0x00. 引言
2020年，个人信息保护与信息安全领域的法律法规及行业标准呈爆发式发布。而App隐私合规依旧是老生畅谈的话题，延续2019年，2020年有关部门针对App个人信息侵权专项治理成立专项治理工作组，对三十万余App进行检测，对涉及违规 APP 通过通报、约谈、整改、下架等处罚形式，通过深度治理与曝光形式，达到改善 APP 的个人信息安全问题。
工信部副部长刘烈宏2020年11月27日在工信部召开的全国App个人信息保护监管会上表示“工信部将加大力度，从2021年初继续开展为期半年的专项整治，对有令不行、整改不彻底、反复出现问题、搞技术对抗的企业和App严厉处置。
2021年的执法力度将更加深入，SDK的具体技术实现将成为纵深检查点，行政执法方式将从专项治理式转为常态化。更加狠抓严查App侵害用户权益行为，紧盯反复出现问题被点名通报的重点企业。
同时推动App及SDK开发运营者、应用分发平台、第三方服务提供者、设备厂商、安全厂商自觉履行社会责任。”
那么作为App运营者在面对诸多监管和检查标准时应怎么处理和应对呢？本文将梳理部分在App隐私合规工作上的一些经验供大家参考。
0x01. App隐私合规要点
本文将从一个App从首次安装，账号注册，账号登录，功能使用，问题范围，账号注销这6个环节进行阐述。
1、首次安装
关键动作：同意《隐私政策》
A、交互形式
给予用户2个选择，“同意”或“拒绝”。
* 用户可以选择“拒绝”，若用户选择拒绝，可以提示将退出App；
* 仅在用户选择“同意”时，方可收集用户交互数据。
B、内容
方式一：简要说明同意文件的内容，说明要点即可；
方式二：内嵌点击同意动作相关文件的全文。
* 此部分可以参考产品经理或用户体验设计师的想法
C、数据交互：在用户点击“同意”或其他明示同意意思的按键前，禁止任何的数据采集。
* 检查方式：通过第三方工具进行抓包，可以选择外部工具采买、Github寻求开源方案或内部团队自研。
D、参考
2、账号注册
1）注、登一体登录方式
一般为验证码登录方式，前置判断输入手机号是否已生成帐号，如已有帐号则正常获取验证码输入验证码登录；
如未生成帐号，则在进入登录状态前，需单独签署《隐私政策》及其他用户协议内容，签署形式可为弹窗、手动Check Box勾选等。
2）单一注册方式
需单独签署《隐私政策》及其他用户协议内容，签署形式可为弹窗、手动Check Box勾选等。
* 需要注意，以上场景均不可以默认勾选或同意《隐私政策》，需用户自主勾选。
3、账号密码登录
常见做法，可以使用帐号密码登录的用户均已有帐号，并可以登录。可不附加协议。
也可根据各家法务小伙伴要求，是否签署协议等。
4、功能使用
1）信息收集
常见为表单填写，比如：意向用户线索收集。
2）权限申请
A、目的声明
发起权限申请前，应以弹窗的形式提前说明申请权限的场景（即业务场景）、目的、将会收集的信息。
形式：常见以弹框说明，其他形式亦可，需要注意提示时机。
B、 用户交互
a.当用户选择：同意，方开始收集对应权限的信息或行使对应权限功能；
b.当用户选择：拒绝，则在本次使用App时，如用户未主动触发功能则不应再次主动发起，或于48小时后再发起；
c.当用户选择：拒绝且不再提醒，则在App场景内将再不可发起授权，而是提供用户系统设置页面开启。
* 任何权限的拒绝均应仅影响该权限对应的业务功能，不应影响其它与该权限无关的功能；同时，拒绝权限不应闪退退出App。
C、参考
5、隐私中心
1）《隐私政策》查看
当用户进入App后，应提供《隐私政策》查看路径，且路径长度不应超过4步。
常见放置：我的或个人中心 – 设置 – 隐私设置或隐私政策。
2）隐私设置
隐私设置分为2部分。
其一，罗列App所需的所有权限，并根据实际授权状态标识为“已授权”“未授权”“去设置”，其中“去设置”应跳转至系统设置；此处的权限需要说明授权目的以所关联的业务场景。
其二，若为多个App关联，即A类App可以通过选择第三方登录方式，调用第三方App B进行登录。则B类App的隐私设置需设立“授权管理”以确保用户可以取消B类App对于其他业务的授权。
* 参考
6、账号注销
1）帐号可以注册则要提供注销功能，同时根据《电子商务法》的要求，不得给用户帐号注销设置障碍。比如：浏览器帐号注销需要提供帐号用户本人照片。
2）帐号注销的同时需要删除用户的个人信息，法律法规另有要求除外。
0x02. 其他说明
1、隐私政策完整性
隐私政策应清晰、准确、完整地描述个人信息控制者的个人信息处理行为。隐私政策模版可参考《GB/T35273-2020 信息安全技术 个人信息安全规范》附录D。
隐私政策中应明确App所使用的第三方SDK清单，并注明来源、使用目的及收集的个人信息。
* 请注意与企业实际业务开展情况进行编写。
2、用户权利响应
1）知情权
在App中表现形式为：隐私政策签署告知、用户提示、申请目的告知、用户信息采集告知。
2）访问权
在App中表现形式为：个人中心个人信息查看。
3）被遗忘权
在App中表现形式为：帐号注销功能实现。
4）更正权
在App中表现形式为：个人信息修改功能实现。
5）限制处理权
在App中表现形式为：隐私中心功能实现。
6）数据可携带权
在App中表现形式为：个人信息下载。
7）撤回同意
在App 中表现形式为：隐私中心功能实现或帐号注销功能。
* 以上所有功能，如非通过App自有功能实现，而是通过隐私政策明确的反馈路径，如：邮箱。则负责维护邮箱的同学应定期进行用户反馈回复。时间不得超过15个工作日。
0x03. 写在最后
在经过持续2年的专项治理之后，2021年将更加深入地开展工作。笔者认为后续应关注：第三方SDK的告知及安全性，App本身的安全性。包括但不限于：
1、引入前的安全评估，使用过程中的持续监督；
2、以明确的方式告知用户，App中嵌入的SDK及可能收集的信息；
3、提供用户第三方SDK授权开关。
隐私合规之路任重而道远，吾往矣。