小程序个人信息保护研究报告_30页_2mb

报告摘要

本报告由中国信息通信研究院安全研究所与南都个人信息保护研究中心联合发布，旨在分析2020年小程序在个人信息保护方面存在的风险与问题，并提出针对性的对策建议，以推动小程序的健康发展。

小程序作为移动互联网的重要组成部分，因其无需下载、使用便捷、开发成本低等特点，已成为用户获取互联网服务的主要入口之一。在疫情推动下，小程序在政务、医疗、生活服务等领域广泛应用，但同时也暴露出个人信息收集与使用方面的安全隐患。

小程序与App在功能、权限获取、消息推送等方面存在明显差异，主要体现在：

小程序平台在数据收集、使用、存储、传输等方面对小程序运营者提出明确要求，如需确保数据安全，平台需告知用户信息收集方式，并在数据泄露时配合处理。

小程序需依托平台运行，其个人信息收集受限于平台规则。平台对小程序提出以下要求：

报告团队对52款主流小程序进行评测，发现主要存在以下问题：

隐私政策缺失或不规范
- 仅38.5%的小程序提供独立隐私政策；
- 部分小程序使用平台统一协议，未提供清晰说明；
- 存在隐私政策链接失效、未更新等问题。
未采取主动选择同意机制
- 多数小程序采用“登录即同意”方式，未赋予用户主动勾选同意的权利；
- 违反《个人信息安全规范》中关于明示同意的要求。
隐私政策与App不一致
- 小程序与对应App的隐私政策内容存在差异；
- 部分小程序使用旧版隐私政策，造成规则混淆。
明文传输个人信息
- 约1/4的小程序存在明文传输用户信息的问题；
- 明文信息一旦被截获，极易被不法分子利用，造成骚扰、诈骗等风险。
未告知用户关闭权限路径
- 94%的小程序未明确告知用户如何关闭已授权权限；
- 用户可能在不知情情况下持续开放权限，增加信息泄露风险。
关闭授权后仍使用信息
- 约1/4的小程序在用户关闭授权后，仍显示之前授权的信息；
- 存在信息滥用和持续收集的风险。
默认共享用户信息
- 部分平台小程序和关联小程序默认共享用户信息；
- 用户未被明确告知信息共享情况，信息控制权不明确。
未提供删除个人信息渠道
- 超过一半的小程序未提供删除个人信息的途径；
- 用户难以控制信息留存情况，存在过度留存风险。