>首页> IT >

App超频率调用权限情况严重 仅一成承诺提供个人信息转移服务

时间:2021-12-19 16:58:29       来源:腾讯网

刚打开App就被索取一系列授权,明确拒绝后仍频繁弹窗甚至不让用;隐私政策内容错漏百出、难以读懂;想按照App隐私政策里提供的途径下载自己的个人信息副本,客服却说不知道那是什么……以上种种情况,你是否也遇到过却又无力解决?

12月17日,南方都市报个人信息保护研究中心在北京召开“2021啄木鸟数据治理论坛”。南都个人信息保护课题组在会上发布《个人信息安全年度报告(2021)》(下称“报告”),从App隐私政策、权限获取、可携权以及应用商店审核机制四个方面披露了150款App和10家应用商店的个人信息保护合规现状。

没有一款透明度高,仅5款披露非SDK第三方

今年报告选取十大行业共计150款App作为测评样本,其中每个行业头、中、尾各五款。隐私政策透明度越高,代表其关于企业如何收集、使用、存储和保护个人信息的描述越清晰和全面。

测评结果显示,“知乎”“叮当快药”以89分位居第一,“快手”“携程旅行”以两分之差并列第二。透明度达到中等及较高水平的App占比高达82%,得分“不及格”的App共有27款,各行业平均分相差不大。

值得注意的是,透明度高的App数量为零。报告分析认为,这是由于大多数App尚未落实个保法中的创新性规定,失分较多。比如只有40款App提供了专门的未成年人隐私政策,不到10款App提及死者权利。

11月,工信部发布通知,要求相关互联网企业于12月底前建立个人信息保护“已收集个人信息清单”和“与第三方共享个人信息清单”。测评发现,150款App中有135款都列出了嵌入的第三方SDK(软件开发工具包),并告知其名称、处理目的、个人信息类型和链接。

然而,报告指出,第三方SDK并不是App共享用户个人信息的唯一对象,还包括广告主及其代理商、关联公司、授权合作伙伴等。但只有“知乎”“唯品会”等五款App披露了承运商、支付、广告商、媒体等第三方的部分信息。

尽管隐私政策告知不清晰、抄袭、头尾部App得分差距大等问题依然存在,今年150款App的隐私政策透明度平均分仍达到了70.1分,在测评标准更加严格的情况下,几乎与2019年持平。这意味着,App的隐私政策透明度有了明显提升。

拒绝十次还弹窗,五分钟内读定位超两千次

今年3月印发的《常见类型移动互联网应用程序必要个人信息范围规定》(下称《规定》)为39类App划定了满足基本功能服务所需的必要个人信息范围。报告以《规定》为标准,对十大行业的150款App进行了权限获取合规度测评。

测评结果显示,只有“新氧医美”“360借条”“学而思网校”三款App得分高于90分,整体平均分仅有57.9分。其中近半App得分集中在60-70分,不及格的App则有60款,占比40%。

从具体情况看,150款被测App中有89款都在用户首次使用App时弹窗申请了非必要权限,涉及电话、定位、存储、通讯录、相机、麦克风等,其中不乏“钉钉”“美柚”等头部App。

此外,不少App需要用户多次拒绝权限申请后才能正常使用。比如“优健康”“高途课堂”等30款App在用户明确拒绝某权限后,仍然频繁弹窗申请,尤其存储权限被重复申请的次数最多。

如首次打开“粉象生活”,用户需连续拒绝11次存储权限弹窗,其中有两次是选择了“拒绝且不再询问”后仍再次弹窗。报告认为,App连续多次弹窗申请同一权限的做法是一种“变相强制”,不符合法律要求的“明示同意”。

在汉华飞天信安科技有限公司的技术支持下,报告还对150款App在一段时间内调用敏感权限的频率进行了测评。结果显示,有多达135款频繁调用权限。

其中情况较为严重的是“莉景天气”,平均每分钟调用定位权限约153次;退到后台后,又在五分钟内调用了2286次定位权限。

不少App客服称不知何为个人信息副本

根据个保法第四十五条,个人有权向个人信息处理者查阅、复制其个人信息,还有权请求将个人信息转移至其指定的个人信息处理者。报告仿照欧盟《通用数据保护条例》,将上述规定简称为“可携权”。

报告发现,App落实可携权的做法通常是提供个人信息副本并承诺可转移。150款App中,57款明确用户可要求获取个人信息副本,占比38%。截至测评结束,仅收到14款App提供的个人信息副本,内容绝大多数是用户主动提供的信息和设备信息等,如用户ID、昵称,注册手机号,注册时间等。

对于何为个人信息副本,各App给出的答复不尽相同。比如“学而思网校”“斑马App”称获取个人信息副本的方式为自行截屏;多位App客服直言“不知道什么是个人信息副本”。还有不少App告知的获取途径无一联系得上。

还有App会设置身份验证门槛,要求用户提供除注册时提供的个人信息之外的信息。比如“叮当快药”要求用户提交手机营业厅缴费凭证、手持身份证照片,转移个人信息需提供接收方个人信息证明,愿意接收个人信息的证明材料、接收方式。

报告指出,150款App中承诺提供个人信息转移服务的仅有15款,基本都要求用户提供对方App的接收方式、接口等信息。然而,没有任何一款App明示告知用户如何获取上述信息。报告认为,这进一步增加了用户履行可携权的难度。

所有应用商店都在隐私政策链接上失分

为了解应用商店审核机制的合规状况,报告对OPPO软件商店、华为应用市场、360手机助手、小米应用商店、vivo应用商店、腾讯应用宝、百度手机助手、PP助手、豌豆荚、三星应用商店十大应用商店进行测评。

结果显示,OPPO软件商店、华为应用市场、360手机助手分别以82.4、79.1、70分位居前三名,而PP助手、三星应用商店和豌豆荚得分不及格。整体平均分不足60。

报告指出,该测评的一个普遍失分点在于,10家应用商店均存在隐私政策链接问题,包括未提供隐私政策链接、隐私政策链接无法打开、隐私政策版本与App内不一致等。

比如,OPPO软件商店有七款App的展示页面没有隐私政策链接,其中不乏“优健康”“华医通”等知名App;vivo应用商店中,“携程旅行”展示页面的隐私政策链接为隐私设计文档,而非隐私政策;小米应用商店中有九款App在应用商店展示页的隐私政策与App内版本不一致。

值得注意的是,绝大多数应用商店展示App将获取的权限列表时,通常使用的是“允许该应用……”等系统默认表述。只有小米应用商店的权限详情页允许App开发者自行更改权限获取目的。

如“海豚优惠-购物返利平台”就修改了其应用商店展示页面定位、手机信息、相机、录音四项权限的获取目的——如获取手机信息是为了“防止非法分子使用软件进行违法违规行为”。

报告认为,系统默认表述的权限说明通常为概括性描述,无法精准地照顾到每一个App的权限申请目的。允许App开发者修改可以让用户更加清楚地了解App为什么要获取这项权限,有助于保障用户的知情权。

出品:南都个人信息保护研究中心

采写:南都见习记者 樊文扬 记者 孙朝

关键词: App超频率调用权限情况严重 仅一成承诺提供个人信息转移