App治理：网购类被举报最多，人脸识别门禁将成检测重点

11月9日，信安标委2020年第二次工作组“会议周”全体会议暨网络安全政策与技术标准研讨会议在北京召开。
　　App违法违规收集使用个人信息专项治理工作组组长、中国电子技术标准化研究院副院长程多福介绍了App治理工作组2020年治理工作进程和下一步工作计划。
　　据了解，2019年1月，根据《关于开展App违法违规收集使用个人信息专项治理的公告》，App治理工作组正式成立。截至目前，举报渠道公众号“App个人信息举报”共收到有效举报信息28177条，涉及5400余款 App。
　以2020年10月为例。从举报对象来看，被举报最多的App类型是“网上购物” ，“网络借贷”和“即时通讯”次之；从问题类型来看，“无法注销账号” 问题最突出，被举报318次，“超范围收集与业务功能无关个人信息”、“强制或频繁索要与业务功能无关权限”也被举报超过百次。
　　程多福介绍，接下来App治理工作组将探索联合各大应用商店建立便捷的举报—通报—处理—审核—上架机制，针对下载量小、问题点明显且易整改的App，高效处理举报信息。
　　今年7月，中央网信办、工业和信息化部、公安部、国家市场监管总局四部门在京召开会议，启动2020年App违法违规收集使用个人信息治理工作。会议提出，App治理工作组将对App、SDK、小程序等进行深度评估，对生物特征信息收集使用不规范、App滥用敏感权限等问题进行专题研究和深度检测。
　　据了解，在App检测评估方面，App治理工作组已经完成第一批通报的81款的整改情况复核，以及第二批对疫情防控和复工复产相关、收集使用儿童个人信息、涉及使用人脸识别技术等50款App审核、评估工作。
　　数据显示，第二批50款受测App在SDK（软件开发工具包）告知和权限获取方面有所好转：未在隐私政策中说明嵌入SDK情况的App占比为40%，去年同比下降29%；在申请权限时同步告知用户目的的App占比升至50%，去年同比仅为18%。
　　不过，50款App中，过半（26款）需要实名认证，15款需收集人脸信息。少数App存在自启动、关联启动及读取剪切板的情况，还有1款App存在向境外传输数据的问题。
　　程多福透露，第三批100款App的深度检测评估工作正在部署阶段。“其中重点包括了涉及人脸识别的社区门禁类App、涉及青少年个人信息保护的校园学习类App等。”
　　隐私护卫队了解到，App治理工作组借助企业的自动化检测平台能力，已完成不同业务类型的四万款App自动化检测任务。目前正在建立两个检测平台能力——App 收集个人信息行为自动化指标检测平台和App个人信息泄露风险安全检测平台。
　　针对App和SDK，App治理工作组参与编制了《移动互联网应用程序（App）第三方SDK安全指南》，计划基于标准最新征求意见稿版本进行试点；对于《移动互联网应用程序（App）收集个人信息基本规范（报批稿）》中的38种服务类型App收集最小必要信息范围，则正在以投票方式广泛征求民众意见。
　　与此同时，App治理工作组还分别针对应用商店和手机操作系统厂商编制完成了两部标准规范：《App收集使用个人信息行为应用商店审核管理指南（草稿）》和《手机操作系统App收集个人信息行为透明度增强指南（草稿）》。
　　发言最后，程多福介绍了App治理工作组的下一步工作。
　　除了推进上述几部指南尽快征求意见并开展试点，App治理工作组还将在检测评估上配合有关部门对未落实整改要求的 App依法处置，部署下一批深度检测任务；同时与地方行业主管部分合作，开展App个人信息保护相关标准规范和检测评估技术方面的培训。
　　此外，App治理工作组还将进一步完善自动化检测能力，尽快建成自动化检测平台投入试用。针对未成年人个人信息保护、App、SDK低功耗窃听等典型问题，App治理工作组也将继续深入研究。