近年來(lái)，數(shù)據(jù)泄漏事故、勒索軟件和其他類型的網(wǎng)絡(luò)攻擊事件時(shí)常發(fā)生，APP違規(guī)收集、使用個(gè)人信息，強(qiáng)制、頻繁、過(guò)度索取權(quán)限，違規(guī)調(diào)用通訊錄和地理位置權(quán)限等現(xiàn)象頻發(fā)，國(guó)家工業(yè)和信息化部依據(jù)相關(guān)法律法規(guī)定時(shí)公布侵害用戶權(quán)益行為的APP通報(bào)，針對(duì)通報(bào)案件我們梳理出常見違法違規(guī)行為并分析如下。

一、常見違法違規(guī)行為分析

1.未公開收集使用規(guī)則

在App中沒(méi)有隱私政策或者隱私政策中沒(méi)有收集使用個(gè)人信息規(guī)則、App首次運(yùn)行時(shí)未通過(guò)彈窗等明顯方式提示用戶閱讀隱私政策等收集使用規(guī)則、隱私政策等收集使用規(guī)則難以訪問(wèn)、隱私政策等收集使用規(guī)則難以閱讀等。

2.未明示收集使用個(gè)人信息的目的、方式和范圍

未列出收集使用個(gè)人信息的目的、方式、范圍等，以上信息發(fā)生變化時(shí)未以適當(dāng)方式通知用戶；申請(qǐng)打開可收集個(gè)人信息的權(quán)限或個(gè)人敏感信息時(shí)，未同步告知用戶其目的，或者目的不明確；有關(guān)收集使用規(guī)則的內(nèi)容晦澀難懂、冗長(zhǎng)繁瑣，用戶難以理解，如使用大量專業(yè)術(shù)語(yǔ)等。

3.未經(jīng)用戶同意收集使用個(gè)人信息

在征得用戶同意前或用戶明確表示不同意仍收集個(gè)人信息或打開可收集個(gè)人信息的權(quán)限，實(shí)際收集的個(gè)人信息或打開的可收集個(gè)人信息權(quán)限超出用戶授權(quán)范圍；未經(jīng)用戶同意更改其設(shè)置的可收集個(gè)人信息權(quán)限狀態(tài)；利用用戶個(gè)人信息和算法定向推送信息；以欺詐、誘騙等不正當(dāng)方式誤導(dǎo)用戶同意收集個(gè)人信息或打開可收集個(gè)人信息的權(quán)限；未向用戶提供撤回同意收集個(gè)人信息的途徑、方式，違反其所聲明的收集使用規(guī)則，收集使用個(gè)人信息。

4.違反必要原則，收集與其提供的服務(wù)無(wú)關(guān)的個(gè)人信息

收集的個(gè)人信息類型或打開的可收集個(gè)人信息權(quán)限與現(xiàn)有業(yè)務(wù)功能無(wú)關(guān)；因用戶不同意收集非必要個(gè)人信息或打開非必要權(quán)限，拒絕提供業(yè)務(wù)功能；App新增業(yè)務(wù)功能申請(qǐng)收集的個(gè)人信息超出用戶原有同意范圍，若用戶不同意，則拒絕提供原有業(yè)務(wù)功能；要求用戶一次性同意打開多個(gè)可收集個(gè)人信息的權(quán)限，用戶不同意則無(wú)法使用，收集個(gè)人信息的頻度等超出業(yè)務(wù)功能實(shí)際需要。

5.未經(jīng)同意向他人提供個(gè)人信息

未經(jīng)用戶同意，也未做匿名化處理，App客戶端直接向第三方提供個(gè)人信息；數(shù)據(jù)傳輸至App后臺(tái)服務(wù)器后，向第三方提供其收集的個(gè)人信息；App接入第三方應(yīng)用，未經(jīng)用戶同意，向第三方應(yīng)用提供個(gè)人信息。

6.未按法律規(guī)定提供刪除或更正個(gè)人信息功能或未公布投訴、舉報(bào)方式等信息

未提供有效的更正、刪除個(gè)人信息及注銷用戶賬號(hào)功能，設(shè)置不必要或不合理?xiàng)l件，或雖提供功能，但未及時(shí)響應(yīng)用戶相應(yīng)操作，需人工處理的，未在承諾時(shí)限內(nèi)完成核查和處理；更正、刪除個(gè)人信息或注銷用戶賬號(hào)等用戶操作已執(zhí)行完畢，但App后臺(tái)并未完成的；未建立并公布個(gè)人信息安全投訴、舉報(bào)渠道，或未在承諾時(shí)限內(nèi)受理并處理的。 二、防控建議

1.完善平臺(tái)治理，規(guī)范電商運(yùn)營(yíng)

一是梳理系統(tǒng)內(nèi)現(xiàn)有APP、小程序,包括易捷商城、加油中石化APP等，對(duì)存在明顯侵犯?jìng)€(gè)人信息的行為，如過(guò)度收集個(gè)人信息，強(qiáng)制、頻繁、過(guò)度索取權(quán)限，違規(guī)調(diào)用通訊錄和地理位置權(quán)限等侵權(quán)隱患予以整改，修復(fù)漏洞。二是依法合規(guī)收集、使用、處理用戶個(gè)人信息，厘清平臺(tái)對(duì)處理數(shù)據(jù)和權(quán)利的邊界，制定平臺(tái)規(guī)則，規(guī)避法律明確禁止的模糊授權(quán)、打包授權(quán)、二次授權(quán)等，規(guī)范易捷商城、加油中石化APP等電商平臺(tái)的運(yùn)營(yíng)和管理。

2.健全保護(hù)機(jī)制，強(qiáng)化內(nèi)部監(jiān)管

一是建立健全客戶個(gè)人信息制度保護(hù)機(jī)制，覆蓋信息收集、使用、流轉(zhuǎn)等各個(gè)環(huán)節(jié)，明確組織領(lǐng)導(dǎo)、權(quán)限分工、工作流程和責(zé)任認(rèn)定等，實(shí)現(xiàn)個(gè)人信息保護(hù)的常態(tài)化和制度化。二是及時(shí)依據(jù)最新政策要求更新完善合同條款，明確約定個(gè)人信息保密規(guī)定及違約責(zé)任，對(duì)外尋求第三方合作時(shí)簽訂個(gè)人信息保密協(xié)議。三是升級(jí)完善網(wǎng)絡(luò)安全等級(jí)保護(hù)措施，定期進(jìn)行維護(hù)和監(jiān)督，建立投訴舉報(bào)機(jī)制，公布投訴或舉報(bào)電話，保障客戶投訴反饋渠道暢通。

3.加強(qiáng)安全教育，提高合規(guī)意識(shí)

一是建立信息安全考核機(jī)制，定期開展數(shù)據(jù)安全教育，定期組織學(xué)習(xí)《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》等法律法規(guī)，定期檢查數(shù)據(jù)保護(hù)的落實(shí)情況。二是加強(qiáng)涉密員工保密教育，將非法使用、泄露、公開個(gè)人信息等行為納入員工違規(guī)違紀(jì)行為，提高員工合規(guī)意識(shí)，營(yíng)造積極向上的企業(yè)個(gè)人信息保護(hù)合規(guī)文化。

近日，《中華人民共和國(guó)個(gè)人信息保護(hù)法》已獲表決通過(guò)，自2021年11月1日起施行，這是我國(guó)首部專門針對(duì)個(gè)人信息保護(hù)的系統(tǒng)性、綜合性法律，共8章74條，在有關(guān)法律的基礎(chǔ)上，進(jìn)一步細(xì)化、完善個(gè)人信息保護(hù)應(yīng)遵循的原則和個(gè)人信息處理規(guī)則，明確個(gè)人信息處理活動(dòng)中的權(quán)利義務(wù)邊界，健全個(gè)人信息保護(hù)工作體制機(jī)制。

各有關(guān)企業(yè)應(yīng)嚴(yán)格遵守網(wǎng)絡(luò)安全和個(gè)人信息保護(hù)相關(guān)規(guī)定，依法合規(guī)開展經(jīng)營(yíng)活動(dòng)，避免因違法違規(guī)收集使用個(gè)人信息受到處罰及影響企業(yè)品牌形象。