2024移动应用分发平台APP个人信息保护自动化检测实施指南

移动应用分发平台移动应用分发平台APP动化检测实施指南目次前言 3引言 4目次前言 3引言 41范围 1²规范性引用文件 13术语和定义 14缩略语 ²±概述 ²6个人信息保护自动化检测方法 3I应用分发平台个人信息保护自动化检测实施指南1 本文件为APP个人信息保护相关要求的自动化检测提供指导。APPAPP对自APP应用分发平台个人信息保护自动化检测实施指南1 本文件为APP个人信息保护相关要求的自动化检测提供指导。APPAPP对自APP² （TD/T4184——²0²²移动互联网应用程序（APP）用户权益保护测评规范TD/T××××——××××个人信息保护术语T/TAE0F8APP用户权益保护测评规范系列标准T/TAE1²±—²0²²应用分发平台APP审核规范3 下列术语和定义适用于本文件。3.1移动能端 ›martmobileterminal3.²移动联应用程序 MobileInternetAppli×ationAPP[来源：TD/T××××——××××个人信息保护术语]3.31应用分发平台appli×ationdi›tributionplatformAPPAPP3.4静默状态›ilen×e›tateAPPAPP应用分发平台appli×ationdi›tributionplatformAPPAPP3.4静默状态›ilen×e›tateAPPAPP4 缩略语下列缩略语适用于本文件。AP移互网用（WoilItenetAplatin）SD软开包（o£treDeelomenKi0C光字识（0pgalCaraterReggnio‘ 概述‘.1TD/T4184——²0²²/频繁APPAPP、APP//及不合格案例。‘.²APP、SDKAPP策后，点击并使用APP功能。隐私政策提取：基于0CR等识别技术从APP内部提取到隐私政策文本内容。APPSDK‘.32图1 自化测境自动化检测工具：部署在应用服务器上运行，同时提供web服务以进行自动化检测。图1 自化测境自动化检测工具：部署在应用服务器上运行，同时提供web服务以进行自动化检测。应用服务器：作为工具运行载体，以及应用。检测环境如图1所示，手机通过数据线连到应用服务器，自动化检测工具安装部署至应用服务器。完成检测环境部署后，开发者通过自动化检测工具提供的web服务提交APP包。6 6.16.1.1未见明示违规行为：APPIWEI、IWSIWACSTPISTCI[来源：YD/T4184—2022《移动互联网应用程序（APP）用户权益保护测评规范》5.2]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：动态检测、场景模拟、隐私政策提取。:²)提取隐私政策文本，检查内容是否明示个人信息收集使用的目的、方式和范围；d）检测不合格案例：1）收集个人信息行为前，应用内无隐私政策；²）涉及到处理用户个人信息的APP，隐私政策内容不包含个人信息收集使用的目的、方式、范围；6.1.²有明示未同意违规行为:APP以个人信息处理规则弹窗等形式向用户明示个人信息处理的目的、方式和范围，未经用户同3意，收集IMEI、IMSI、设备MAC地址、SUPI、SUCI、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息。[来源：YD/T4184——2022意，收集IMEI、IMSI、设备MAC地址、SUPI、SUCI、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息。[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》5.3]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）c)推荐检测方法:APP是否2）APPd）检测不合格案例：隐私政策同意前，APP收集个人信息。6.1.3明示不清晰违规行为:APP以个人信息处理规则弹窗等形式向用户明示个人信息处理的目的、方式和范围，未清晰明示处理IMEIIMSIMACSUPISUCI[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》5.4]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：动态检测、隐私政策提取、隐私政策文本分析c)推荐检测方法:1）提取隐私政策内的个人信息收集列表；2）检测APP前台、后台、静默状态运行时实际的个人信息收集列表，与隐私政策个人信息收集列表对比。d）检测不合格案例：1）APP运行时收集的个人信息不在隐私政策所列的个人信息收集范围内。46.1.4³DK违规行为:APPSDK6.1.4³DK违规行为:APPSDKSDK收集IMEIIMSIMACSUPISUCI[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》5.5]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测:SDKSDKd）检测不合格案例：1）第三方SDK存在个人信息采集行为，没有隐私政策；²）隐私政策内容不包含第三方SDK个人信息处理的目的、方式、范围；6.1.³DK违规行为:APP以个人信息处理规则弹窗等形式向用户明示第三方SDK处理个人信息的目的、方式和范围，未经用户同意，第三方SDK收集IMEI、IMSI、设备MAC地址、SUPI、SUCI、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息。[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》5.6]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）c)推荐检测方法:1）模拟同意隐私政策前场景，包括静止不动、退出、点不同意等未点击“同意按钮”的形式，检测SDK是否存在个人信息收集。5d）检测不合格案例：1）在同意隐私政策前，SDK存在收集个人信息行为。6.1.6³DK违规行为:APPSDKd）检测不合格案例：1）在同意隐私政策前，SDK存在收集个人信息行为。6.1.6³DK违规行为:APPSDKSDK处理IMEI、IMSIMACSUPI、SUCISDKSDKSDK[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》5.7]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测c)推荐检测方法:1）提取隐私政策内的第三方SDK个人信息收集列表；2）检测第三方SDK前台、后台、静默状态运行时实际的个人信息收集列表，与隐私政策第三方SDK个人信息收集列表对比。d）检测不合格案例：SDKSDKSDKSDK6.1.7同意不清晰违规行为:APP在征求用户同意环节，未提供明确的同意或拒绝选项。[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》5.8]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：6动态检测:d）检测不合格案例：1）权限弹窗或隐私政策选择按钮的文字描述为好的、我知道了。²）权限弹窗或隐私政策没有拒绝选项。6.1.8默认同意违规行为:APP动态检测:d）检测不合格案例：1）权限弹窗或隐私政策选择按钮的文字描述为好的、我知道了。²）权限弹窗或隐私政策没有拒绝选项。6.1.8默认同意违规行为:APP在征求用户同意环节，设置为默认同意。[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》5.9]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：动态检测c)推荐检测方法:1）首次启动应用，检测隐私政策是否采用复选框选择同意操作，检测复选框是否默认勾选同意。d）检测不合格案例：1）隐私政策弹框存在默认同意的情形，例如：采用复选框，且复选框默认勾选同意。6.²超范围收集个人信息检测6.².1APP违规行为:APPIMEI、IMSI、设备MACSUPI、SUCIa)APP未向用户明示收集以上个人信息的频次，未经用户同意，以特定频次收集个人信息；[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》6.3]针对该要求的自动化检测可参考如下实现方法:7a)预置条件:APP包b）自动化检测方式：动态检测c)推荐检测方法:1）APP前台状态运行时，检测是否存在以特定频次收集某项个人信息。a)预置条件:APP包b）自动化检测方式：动态检测c)推荐检测方法:1）APP前台状态运行时，检测是否存在以特定频次收集某项个人信息。²）若存在收集行为，检测隐私政策有无相关内容。d）检测不合格案例：1）APP前台运行时以特定频率（如每30秒）收集个人信息。²）存在收集行为，隐私政策无相关内容6.².²³DK违规行为:SDK在收集IMEIMACSUPISUCIa)APP未向用户明示第三方SDK收集以上个人信息的频次，未经用户同意，第三方SDK以特定频次收集个人信息。[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》6.5]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测c)推荐检测方法:1）检测SDK前台状态运行时是否存在特定频率的个人信息收集；²）若存在收集行为，检测隐私政策有无相关内容。d）检测不合格案例：1）SDK（30）6.².3APP违规行为:APPIMEI、IMSIMACSUPISUCI8[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》6.6]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》6.6]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测c)推荐检测方法:1）提取隐私政策内的个人信息收集列表；2）检测APP与隐私政策个人信息收集列表对比。3）检测APP与隐私政策个人信息收集列表对比。注：APP1）d）检测不合格案例：1）APP静默状态运行时存在收集个人信息行为，且收集的个人信息不在隐私政策所列的个人信息收集范围内。2）APP后台状态运行时存在收集个人信息行为，且收集的个人信息不在隐私政策所列的个人信息收集范围内。6.².4APP违规行为:APPIMEIIMSIMACSUPISUCI、a)APP未向用户明示在静默状态下或在后台运行时收集以上个人信息的频次，未经用户同意，以特定频次收集个人信息；[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》6.7]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测、场景模拟c)推荐检测方法:91）检测APP静默或后台状态运行时是否存在特定频率的个人信息收集；²）若存在收集行为，检测隐私政策有无相关内容。注：APP进入静默状态后延长一定时间（如1分钟）后进行检测。d）检测不合格案例：（301）检测APP静默或后台状态运行时是否存在特定频率的个人信息收集；²）若存在收集行为，检测隐私政策有无相关内容。注：APP进入静默状态后延长一定时间（如1分钟）后进行检测。d）检测不合格案例：（306.².‘³DK违规行为:APP在静默状态下或在后台运行时，第三方SDK收集IMEI、IMSI、设备MAC地址、SUPI、SUCI、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息超出其所明示的收集目的的合理关联范围。[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》6.8]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测:SDKAPPSDKSDK实际收集的个人信息收集，与隐私政策个人信息收集列表对比。检测APPSDKSDK实际收集的个人信息收集，与隐私政策个人信息收集列表对比。注：APP1）d）检测不合格案例：1）APP静默状态运行时第三方SDK存在收集个人信息行为，且收集的个人信息不在隐私政策所列的个人信息收集范围内。2）APP后台状态运行时第三方SDK存在收集个人信息行为，且收集的个人信息不在隐私政策所列的个人信息收集范围内。6.².6³DK违规行为:1SDKIMEI、IMSIMACSUPISUCI、SDKIMEI、IMSIMACSUPISUCI、a)APP未向用户明示在静默状态下或在后台运行时第三方SDK收集以上个人信息的频次，未经用户同意，在静默状态下或在后台运行时，第三方SDK以周期性频次收集个人信息；[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》6.9]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测、场景模拟c)推荐检测方法:1）检测第三方SDK静默或后台状态运行时是否存在特定频率的个人信息收集；²）若存在收集行为，检测隐私政策有无相关内容。注：APP进入静默状态后延长一定时间（如1分钟）后进行检测。d）检测不合格案例：SDK（306.3违规使用个人信息检测6.3.1未明示同意共享违规行为:APPIMEIIMSIMACSUPI、SUCISDK[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》7.2]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测、场景模拟c)推荐检测方法:1）SDK1SDK（SDKd）检测不合格案例：SDK（SDKd）检测不合格案例：SDKSDK6.3.²违规行为:APP以个人信息处理规则弹窗等形式向用户明示个人信息处理的目的、方式和范围，未清晰明示共享的第三方身份、目的及个人信息类型，用户同意后，将IMEI、IMSI、设备MAC地址、SUPI、SUCI、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息发送给第三方SDK等产品或服务。[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》7.4]针对该要求的自动化检测可参考如下实现方法:a)预置条件:APP包b）自动化检测方式：隐私政策提取、隐私政策文本分析、动态检测c)推荐检测方法:1）检测隐私政策，是否明示了第三方SDK的使用目的/SDK用途、数据类型/SDK收集的个人信息、链接这些关键字；2）SDKSDKSDK6.4强制、频繁、过度索取权限检测6.4.1APP违规行为:APP运行时，向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝授权后，APP退出或关闭，拒绝注册或登录，或拒绝提供与申请权限无关的功能服务。[来源：YD/T4184——2022《移动互联网应用程序（APP）用户权益保护测评规范》9.2]针对该要求的自动化检测可参考如下实现方法:1a)预置条件:APP包b）自动化检测方式：场景模拟、隐私政策提取、隐私政策文本分析、动态检测c)推荐检测方法:1a)预置条件:APP包b）自动化检测方式：场景模拟、隐私政策提取、隐私政策文本分析、动态检测c)推荐检测方法:1）APPAPPd）检测不合格案例：1）APP授权被拒绝后自动关闭，或出现白屏、卡屏现象；6.4.²APP违规行为:APP运行时，向用户