數(shù)字化時代，企業(yè)數(shù)據(jù)合規(guī)和個人信息保護(hù)的重要性日益凸顯，信息資源已成為重要的生產(chǎn)要素和社會財富。近年來，國家網(wǎng)絡(luò)安全法律體系不斷完善，數(shù)據(jù)保護(hù)、個人信息保護(hù)等相關(guān)法律法規(guī)密集出臺，民眾網(wǎng)絡(luò)安全感滿意度有所提升。移動應(yīng)用App作為服務(wù)提供的主陣地，更是個人信息保護(hù)的前沿戰(zhàn)場與核心區(qū)域。
手機(jī)銀行App，憑借其卓越的即時響應(yīng)速度、極致便捷的操作體驗(yàn)以及一站式綜合服務(wù)能力，已深深融入公眾的日常生活，成為不可或缺的金融工具。它們不僅極大地拓寬了金融服務(wù)的邊界，提升了服務(wù)獲取的便捷性與效率，還深刻重塑了金融服務(wù)的質(zhì)量標(biāo)準(zhǔn)。鑒于手機(jī)銀行App深度依賴于大數(shù)據(jù)驅(qū)動，其在保障用戶個人信息合規(guī)的角色上更顯關(guān)鍵。
中國電子銀行網(wǎng)聯(lián)合中金金融認(rèn)證中心有限公司（CFCA）信息安全服務(wù)部移動安全團(tuán)隊(duì)，對48款手機(jī)銀行App，包括六大國有行，12家股份制銀行，部分城商行、農(nóng)商行、農(nóng)信社以及民營銀行的個人信息合規(guī)進(jìn)行了測評。測試共分為隱私政策透明度與合理性、用戶權(quán)利保障、用戶授權(quán)過程的合理性等三部分。
本次手機(jī)銀行App個人信息合規(guī)測評工作，旨在提高銀行業(yè)金融機(jī)構(gòu)對個人信息保護(hù)的重視程度，提升其對個人信息保護(hù)的能力，減少和防范對用戶信息侵害事件的發(fā)生，推動中國銀行業(yè)手機(jī)銀行App合規(guī)高質(zhì)量發(fā)展，為踐行“金融為民”貢獻(xiàn)力量。
本文主要為“總體測評指標(biāo)及結(jié)果”和“手機(jī)銀行App隱私政策透明度與合理性測評”兩部分。后續(xù)還將連續(xù)推出“手機(jī)銀行App用戶權(quán)利保障測評”和“手機(jī)銀行App用戶授權(quán)過程的合理性測評”，敬請持續(xù)關(guān)注。
測評對象
本次測評對象為48款手機(jī)銀行App，通過主流應(yīng)用市場（包括華為應(yīng)用市場、騰訊應(yīng)用寶、vivo應(yīng)用市場、小米應(yīng)用市場）和相關(guān)銀行官方網(wǎng)站進(jìn)行下載，均取測評期間的最新版本，詳細(xì)情況可以查看文末附錄。
測評依據(jù)
本次測評從法律法規(guī)出發(fā)，同時參考相關(guān)國家標(biāo)準(zhǔn)及同業(yè)經(jīng)驗(yàn)，其中法律法規(guī)如下：
?《中華人民共和國網(wǎng)絡(luò)安全法》
?《中華人民共和國數(shù)據(jù)安全法》
?《中華人民共和國個人信息保護(hù)法》
參考的規(guī)范、標(biāo)準(zhǔn)、指南包括：
?《GB/T 35273-2020 個人信息安全規(guī)范》
?《App違法違規(guī)收集使用個人信息行為認(rèn)定方法》
?工信部信管函〔2020〕164號《工業(yè)和信息化部關(guān)于開展縱深推進(jìn)APP侵害用戶權(quán)益專項(xiàng)整治行動的通知》
?《JR/T 0171-2020 個人金融信息保護(hù)技術(shù)規(guī)范》
?《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個人信息范圍規(guī)定》
?《GB/T-41391-2022 移動互聯(lián)網(wǎng)應(yīng)用程序（App）收集個人信息基本要求》
?《GB/T 42574—2023 信息安全技術(shù) 個人信息處理中告知和同意的實(shí)施指南》
?《GB/T 42582—2023 信息安全技術(shù) 移動互聯(lián)網(wǎng)應(yīng)用程序（App）個人信息安全測評規(guī)范》
?工信部《APP用戶權(quán)益保護(hù)測評規(guī)范》
測評方法
測試設(shè)備
本次測評通過安卓設(shè)備進(jìn)行測試，測試設(shè)備型號為谷歌Pixel 3與Pixel 6。
測試時間
本次測評時間為2024年6月17日至2024年7月19日，測試對象采集時間同樣為本時間段內(nèi)。
測試方法
本次測評采取人工與工具測評相結(jié)合的方式，針對App本身與App內(nèi)隱私文本兩者相結(jié)合，主要參照《GB/T 42582—2023 信息安全技術(shù) 移動互聯(lián)網(wǎng)應(yīng)用程序（App）個人信息安全測評規(guī)范》進(jìn)行案例設(shè)計(jì)和測試執(zhí)行，測評完成后再對測試項(xiàng)進(jìn)行交叉驗(yàn)證，最終完成測評工作。
總體測評指標(biāo)及結(jié)果
本次測評共選取32個測評項(xiàng)，同時將測評項(xiàng)分為隱私政策透明度與合理性、用戶權(quán)利保障及用戶授權(quán)過程的合理性3個類別，共計(jì)總分100分，其中隱私政策透明度與合理性39分，用戶權(quán)利保障22分，用戶授權(quán)過程的合理性39分。詳細(xì)測評指標(biāo)內(nèi)容可以查看文末附錄。
測評總體情況如下：
1、總體得分
測試結(jié)果顯示，48款手機(jī)銀行App得分均超過60，其中61%的App得分超過80。手機(jī)銀行App在個人信息合規(guī)方面取得了顯著進(jìn)步，整體表現(xiàn)超越了其他類別的應(yīng)用程序。
圖：測評總體得分情況
得分前十的手機(jī)銀行App分別為：
光大銀行手機(jī)銀行App
廣東南粵銀行手機(jī)銀行App
廣發(fā)銀行手機(jī)銀行App
平安銀行手機(jī)銀行App
蘇州銀行手機(jī)銀行App
上海農(nóng)商銀行手機(jī)銀行App
興業(yè)銀行手機(jī)銀行App
中國工商銀行手機(jī)銀行App
郵儲銀行手機(jī)銀行App
營口銀行手機(jī)銀行App
備注：以上排名不分先后，按首字拼音順序排序，首字拼音相同按次字拼音順序排序，以此類推，第十名分值相同情況共同列入本名單。
2、App權(quán)限及隱私政策相關(guān)數(shù)據(jù)統(tǒng)計(jì)
本次測評針對App申請權(quán)限方面以及部分操作步驟也進(jìn)行了統(tǒng)計(jì)，結(jié)果顯示：App申請權(quán)限總體仍然較多。作為金融App，一定的權(quán)限申請用于風(fēng)控有助于降低用戶交易風(fēng)險，同時高風(fēng)險權(quán)限平均值明顯較低，總體來看，手機(jī)銀行App在收集用戶個人信息方面表現(xiàn)出了一定的節(jié)制；但隱私政策聲明的高危權(quán)限和實(shí)際申請的高危權(quán)限尚有一定差距，值得重視；此外在撤回授權(quán)同意的方法上和登錄后訪問隱私政策步驟數(shù)量，大部分手機(jī)銀行App都能做到簡單易用，以下為相關(guān)詳細(xì)數(shù)據(jù)。
3、主流合規(guī)方案實(shí)現(xiàn)統(tǒng)計(jì)
目前對于生物識別協(xié)議、申請敏感權(quán)限時的提示方式等內(nèi)容，雖然業(yè)界并未有完全統(tǒng)一的要求，但是也有一些主流合規(guī)方案為大家普遍接受，以下是本次測評中的主流方案及占比。
手機(jī)銀行App隱私政策透明度與合理性測評
隱私政策是用戶了解企業(yè)收集使用個人信息合規(guī)情況的途徑，也是企業(yè)告知用戶如何處理個人信息的最直接方式，個人信息保護(hù)法的第六條要求處理個人信息應(yīng)當(dāng)具有明確、合理的目的，而第七條就明確要求了處理個人信息應(yīng)當(dāng)遵循公開、透明原則。故本次測評中第一大部分內(nèi)容就是對手機(jī)銀行App隱私政策的透明度與合理性進(jìn)行測評。本次測評選取了14個相關(guān)的測評項(xiàng)進(jìn)行測評，具體內(nèi)容如下：
圖：隱私政策透明度與合理性得分情況（滿分為39分）
本分項(xiàng)測評得分前十的手機(jī)銀行App分別為：
哈爾濱銀行手機(jī)銀行App
華夏銀行手機(jī)銀行App
交通銀行手機(jī)銀行App
平安銀行手機(jī)銀行App
浦發(fā)銀行手機(jī)銀行App
上海農(nóng)商銀行手機(jī)銀行App
蘇州銀行手機(jī)銀行App
天津銀行手機(jī)銀行App
興業(yè)銀行手機(jī)銀行App
郵儲銀行手機(jī)銀行App
中國建設(shè)銀行手機(jī)銀行App
備注：以上排名不分先后，按首字拼音順序排序，首字拼音相同按次字拼音順序排序，以此類推，第十名分值相同情況共同列入本名單。
典型案例
以下將通過一些App的優(yōu)秀合規(guī)案例以及風(fēng)險案例對本次測評中通過率較低的測評項(xiàng)進(jìn)行闡述及分析。
優(yōu)秀案例
1、需逐一列出第三方SDK收集使用個人信息的目的、方式、范圍等。
測評依據(jù)
《App違法違規(guī)收集使用個人信息行為認(rèn)定方法》：未逐一列出App(包括委托的第三方或嵌入的第三方代碼、插件)收集使用個人信息的目的、方式、范圍等。
案例展示
圖：優(yōu)秀案例1-1
圖：優(yōu)秀案例1-2
根據(jù)相關(guān)標(biāo)準(zhǔn)，以上案例中該客戶端詳細(xì)列舉了每一個SDK，并包含了SDK收集使用個人信息的目的、方式、范圍以及隱私政策鏈接（聯(lián)系方式）、SDK名稱、SDK廠商等信息，并詳細(xì)列舉收集的個人信息，不存在使用“等”、“例如”及其他概括性或模糊語句描述。
建議
針對這一項(xiàng)，我們建議開發(fā)者：
? 明確列出所有收集用戶信息的第三方SDK及其收集個人信息的目的、方式和范圍。
? 告知第三方SDK的名稱、廠商以及易于訪問的隱私政策鏈接或者聯(lián)系方式。
? 定期審查和更新第三方SDK收集使用個人信息的描述，確保隱私政策描述和App實(shí)際使用匹配。
? 條件允許的情況下可將SDK列表整理成條理更清晰的表格等形式，并以超鏈接的形式放在二級頁面，方便用戶閱讀，并減少一級頁面的內(nèi)容。
2、在客戶端內(nèi)是否具備個人信息采集清單、個人信息共享清單。
測評依據(jù)
工信部信管函〔2021〕292號《工業(yè)和信息化部關(guān)于開展信息通信服務(wù)感知提升行動的通知》：
（二）建立個人信息保護(hù)“雙清單”。
各相關(guān)企業(yè)應(yīng)建立已收集個人信息清單和與第三方共享個人信息清單，并在App二級菜單中展示，方便用戶查詢。
已收集個人信息清單應(yīng)簡潔、清晰列出App（包括內(nèi)嵌第三方軟件工具開發(fā)包SDK）已經(jīng)收集到的用戶個人信息基本情況，包括信息種類、使用目的、使用場景等。
與第三方共享個人信息清單應(yīng)簡潔、清晰列出App與第三方共享的用戶個人信息基本情況，包括與第三方共享的個人信息種類、使用目的、使用場景和共享方式等。
案例展示
圖：優(yōu)秀案例2-1
圖：優(yōu)秀案例2-2
以上案例中客戶端內(nèi)均在二級菜單設(shè)有個人信息收集清單和第三方信息共享清單，并且個人信息收集清單是隨著時間動態(tài)變化的，方便用戶直觀的看到某個時間段內(nèi)App收集的個人信息。
建議
針對這一項(xiàng)，我們建議開發(fā)者：
? 在客戶端的二級菜單中增加個人信息采集清單和個人信息共享清單。
? 確保個人信息采集清單是動態(tài)變化的，以反映用戶數(shù)據(jù)的最新狀態(tài)。
? 提供易于理解和操作的用戶界面，讓用戶能夠輕松訪問和管理自己的個人信息。
? 定期審查和更新個人信息清單，確保其內(nèi)容與最新的法律法規(guī)和用戶需求保持一致。
風(fēng)險案例
1、實(shí)際收集的個人信息或打開的可收集個人信息權(quán)限超出用戶授權(quán)范圍
測評依據(jù)
《App違法違規(guī)收集使用個人信息行為認(rèn)定方法》：
3.3實(shí)際收集的個人信息或打開的可收集個人信息權(quán)限超出用戶授權(quán)范圍。
GBT 41391-2022《信息安全技術(shù) 移動互聯(lián)網(wǎng)應(yīng)用程序（App）收集個人信息基本要求》：
6.5.1-a) 應(yīng)僅聲明和申請實(shí)現(xiàn)App服務(wù)目的最小范圍的系統(tǒng)權(quán)限，不應(yīng)申請與App業(yè)務(wù)功能無關(guān)的系統(tǒng)權(quán)限。注1:聲明，是指在應(yīng)用程序清單文件(如安卓的AndroidManifest.xml文件、iOS的Info.plist等)中向操作系統(tǒng)說明所需的系統(tǒng)權(quán)限。
案例展示
圖：風(fēng)險案例1-1
圖：風(fēng)險案例1-2
圖：風(fēng)險案例1-3
以上案例中，案例1-1個人信息保護(hù)政策中缺少讀取手機(jī)狀態(tài)和身份權(quán)限的描述，案例1-2個人信息保護(hù)政策中缺少讀取手機(jī)狀態(tài)和身份、讀取電話號碼、讀寫外部存儲空間權(quán)限的描述，案例1-3缺少錄音權(quán)限、讀寫外部存儲空間權(quán)限的描述。
建議
常見缺少描述的權(quán)限如獲取應(yīng)用賬戶、修改或查看電話撥號、讀取手機(jī)狀態(tài)和身份、讀取電話號碼、讀寫外置存儲、讀取通話記錄等，本次測評中具體缺失情況如下圖所示。
圖：缺失權(quán)限統(tǒng)計(jì)展示
針對這一項(xiàng)，我們建議：
? 開發(fā)者完善自身權(quán)限管理制度和流程，在權(quán)限引入時明確權(quán)限使用目的并同步至個人信息保護(hù)政策；
? 涉及第三方SDK引入的權(quán)限也同樣進(jìn)行管理，防止第三方SDK引入預(yù)期外的權(quán)限；
? 在版本打包完成后，檢查App權(quán)限清單并與個人信息保護(hù)政策進(jìn)行核對，防止出現(xiàn)上述問題。
2、需逐一列出App收集使用個人信息的目的、方式、范圍等
測評依據(jù)
《App違法違規(guī)收集使用個人信息行為認(rèn)定方法》：
2.1未逐一列出App(包括委托的第三方或嵌入的第三方代碼、插件)收集使用個人信息的目的、方式、范圍等；
工信部信管函〔2020〕164號《工業(yè)和信息化部關(guān)于開展縱深推進(jìn)APP侵害用戶權(quán)益專項(xiàng)整治行動的通知》：
3.1.1.違規(guī)收集個人信息。重點(diǎn)整治App、SDK未告知用戶收集個人信息的目的、方式、范圍且未經(jīng)用戶同意，私自收集用戶個人信息的行為。
建議
常見的缺少描述的信息有設(shè)備硬件序列號、指定包名信息、運(yùn)營商名稱、SSID、BSSID、MAC地址等，詳見下圖：
圖：缺失行為統(tǒng)計(jì)展示
針對這一項(xiàng)，我們建議：
? 在開發(fā)過程中嚴(yán)格限制App自身代碼對設(shè)備信息的獲取行為或使用統(tǒng)一信息獲取框架，通過攔截對特定設(shè)備信息的獲取行為進(jìn)行預(yù)防；
? 也可以在版本打包完成后，進(jìn)行專項(xiàng)檢測，驗(yàn)證App自身對設(shè)備信息的獲取情況，防止出現(xiàn)上述問題。
轉(zhuǎn)自：中國網(wǎng)
【版權(quán)及免責(zé)聲明】凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章及企業(yè)宣傳資訊，僅代表作者個人觀點(diǎn)，不代表本網(wǎng)觀點(diǎn)和立場。版權(quán)事宜請聯(lián)系：010-65363056。
延伸閱讀
上半年汽車工業(yè)多項(xiàng)經(jīng)濟(jì)指標(biāo)創(chuàng)新高
