信通院-智能终端产业个人信息保护白皮书（2018_年）-2018.11-37页

智能终端产业个人信息保护白皮书总结

核心内容概述

本白皮书由中国泰尔实验室、中国互联网协会和电信终端产业协会联合发布，旨在应对智能终端产业快速发展带来的个人信息保护问题，提出从终端设备、应用开发、应用分发及消费者层面的全方位保护建议。白皮书强调，随着智能终端的普及，用户信息过度收集、权限滥用、设备识别码泄露、生物特征数据风险等问题日益突出，亟需构建一个安全、透明、可监管的个人信息保护生态体系。

主要观点

• 智能终端已成为“互联网+”的重要基础设施，为用户提供了丰富的服务，但也带来了严重的个人信息安全风险。
• 用户信息被过度收集和使用，难以识别和举证，导致隐私泄露风险增加。
• Android系统碎片化严重，部分应用使用低API等级规避安全机制，而iOS系统由于其封闭性，具备更强的隐私保护能力。
• 应用分发平台在用户个人信息保护中扮演重要角色，需加强审核、监管和用户反馈机制。
• 消费者应提高安全意识，选择信息明示清晰的设备和应用，谨慎授权权限，合理使用手机设置功能。

关键信息

一、智能终端产业现状

• 2018年1-9月国内智能终端出货量达2.87亿部，其中Android占比89.8%，iOS占比10.1%。
• Android系统版本碎片化严重，Android 6.0及以上版本开始实施运行时权限机制，但仍有大量应用未适配高API等级。
• 游戏娱乐类应用是个人信息保护问题最突出的行业，占比达40.05%。
• 敏感信息窃取比例为11.86%，部分应用存在越界获取用户信息的行为。

二、个人信息保护面临的挑战

1. 用户信息过度收集难识别难举证：大量应用在用户不知情情况下收集敏感信息，且难以举证。
2. 权限申请过度易感知难判定：应用普遍申请与业务无关的权限，且缺乏有效判定机制。
3. 低API等级应用规避安全机制：部分应用使用低API等级，绕过Android系统的保护机制。
4. 设备识别码防护意识不足：设备识别码如IMEI、MAC地址等被滥用，用户缺乏防护意识。
5. 隐私与便利选择两难，产业协作能力不足：用户被迫授权权限以换取便利，产业链协作机制不完善。

三、终端设备个人信息保护建议

1. 权限调用可知可控：通过图标、文字等方式提示权限调用，提供分项控制机制。
2. 落实信息收集告知与同意：在应用运行前、变更后等场景中，详细告知用户信息收集目的、方式等。
3. 提高设备识别码防护能力：采用匿名化机制、替代标识符、权限限制等方式保护设备识别码。
4. 加强生物特征数据保护：加密存储指纹、人脸等数据，采用隔离防护措施。
5. 完善应用管控机制：包括应用签名、运行时内存保护、恶意网址检测、流量监控等。
6. 加强基础安全能力建设：如安全启动、强制访问控制、系统版本防回退、漏洞响应机制等。

四、应用开发个人信息保护建议

1. 采用高API等级开发应用：推荐使用Android 8.0及以上版本，避免低版本一揽子授权问题。
2. 适配最新操作系统及外部代码库：提升应用安全性与用户体验。
3. 遵循合法正当必要原则申请权限：权限申请应最小化，避免滥用。
4. 采用单项同意获取敏感信息授权：对敏感信息的收集使用需分别征得用户同意。
5. 采用加密机制传输敏感数据：使用SSL/TLS等安全协议，防止数据泄露。
6. 谨慎使用外部存储区域：避免敏感数据写入外部存储，保障数据安全性。
7. 贯彻全生命周期安全编码原则：包括合法性校验、减少攻击面、注重第三方代码安全等。

五、应用分发个人信息保护建议

1. 制定完善的开发者政策和分发协议：明确开发者责任与平台审核要求。
2. 落实开发者及应用资质审核：审核开发者身份、应用备案、安全措施等。
3. 完善分发平台上架机制：通过自动化检测与人工审核，规范应用行为。
4. 充分明示应用相关信息：包括权限列表、隐私政策、开发者信息等。
5. 探索运行期管控方案：与终端协同，监测不良行为，保障用户权益。
6. 建立投诉与反馈通道：为用户和开发者提供便捷的投诉处理机制。
7. 建立应用下架响应机制：及时下架违规应用，保障市场秩序。
8. 定期报送行业监管数据：支持主管部门开展市场监测和监管工作。

六、消费者个人信息保护建议

1. 选择信息明示清晰的手机、应用和下载渠道：优先选择官方或正规渠道。
2. 使用前充分了解权限管理机制和隐私政策：避免一次性授权所有权限。
3. 善于使用手机设置功能，增强安全意识：如设置锁屏、权限管理、查找手机等。

七、产业行动倡议

1. 落实企业主体责任：终端厂商、分发平台、开发者应加强个人信息保护制度建设。
2. 加强行业自律：制定行业标准、签署自律公约，推动形成统一的个人信息保护机制。
3. 促进公众监督：建立便捷的举报渠道，积极回应用户关切。
4. 加强沟通协调，强化产业协作体系：推动产业链上下游协作，形成合力。

结语

白皮书呼吁智能终端产业各方共同努力，构建一个以用户为中心、以法律为依据、以技术为支撑的个人信息保护体系，推动产业健康发展，保障用户合法权益。