2018年智能终端产业个人信息保护白皮书_37页

智能终端产业个人信息保护白皮书总结

核心内容

本白皮书由中国泰尔实验室、中国互联网协会和电信终端产业协会联合发布，旨在应对智能终端产业快速发展过程中出现的个人信息保护问题。随着智能终端、应用分发平台和应用软件的普及，用户信息的收集、使用和泄露问题日益突出，成为影响用户权益和产业健康发展的关键挑战。白皮书从终端设备、应用开发和应用分发三个维度，提出了一系列个人信息保护建议，并呼吁行业加强协作，共同构建良好的个人信息保护生态。

主要观点

1. 智能终端产业快速发展
   智能终端已成为“互联网+”的基础设施，为用户提供便利的同时，也带来了个人信息保护的挑战。

2. Android系统碎片化严重
   Android系统版本分布不均，低API等级应用可规避新版本的安全机制，增加了用户信息泄露的风险。

3. iOS系统具有较强管控能力
   iOS系统版本相对集中，且拥有官方应用市场，便于对应用权限和数据收集行为进行统一审核和管理。

4. 应用个人信息保护问题突出
   应用普遍存在权限过度申请、信息过度收集、SDK滥用等问题，威胁用户隐私和财产安全。

5. 用户隐私与便利之间的矛盾
   应用通过一揽子授权方式获取用户信息，用户在拒绝权限时可能无法正常使用应用，造成隐私与便利的两难选择。

关键信息

一、智能终端产业现状

• 2018年1-9月，国内智能终端出货量为2.87亿部。
• Android系统占比89.8%，iOS系统占比10.1%。
• Android系统存在严重碎片化问题，新版本安全机制被部分低API等级应用规避。
• iOS系统版本集中，具备较强的权限管控和数据保护能力。

二、个人信息保护面临的挑战

1. 用户信息过度收集难识别难举证
   应用在用户不知情的情况下收集大量信息，且难以追溯来源。

2. 权限申请过度易感知难判定
   多数应用申请不必要的权限，用户难以判断其是否合法。

3. 低API等级应用规避安卓安全机制
   低API等级应用在高版本系统中运行时，可绕过安全机制。

4. 设备识别码防护意识不足
   用户普遍未意识到设备识别码的重要性，易被滥用。

5. 隐私与便利选择两难，产业协作能力不足
   应用权限滥用成为信息泄露的主要途径，产业链协作不足。

三、终端设备个人信息保护建议

1. 加大权限调用可知可控力度
   提供清晰的权限提示和用户选择机制，避免默认授权。

2. 落实信息收集使用告知同意
   通过隐私政策、弹窗等方式告知用户信息收集目的、方式和范围。

3. 提高设备识别码防护能力
   推广设备识别码匿名化机制，避免真实信息泄露。

4. 重点加强生物特征数据保护
   采用加密存储、隔离支付环境等方式保护生物识别数据。

5. 完善应用管控保障机制
   实施应用签名、运行时内存保护、恶意网址检测等措施。

6. 加强基础保障能力建设
   提供安全启动、强制访问控制、KASLR等技术保障系统安全。

四、应用开发个人信息保护建议

1. 采用高API等级开发应用
   推动开发者使用Android 8.0（API26）及以上版本开发应用。

2. 适配最新操作系统及外部代码库
   及时更新应用以适配新系统版本，提升安全性。

3. 遵循合法正当必要原则申请权限
   应用应只申请业务必要的权限，避免权限滥用。

4. 采用单项同意获取敏感信息授权
   敏感信息收集前需分别征得用户同意，不得使用一揽子授权方式。

5. 采用加密机制传输敏感数据
   使用SSL/TLS等安全协议，防止数据在传输过程中泄露。

6. 谨慎使用外部存储区域
   敏感数据应优先存储在内部存储中，避免写入外部存储。

7. 贯彻全生命周期安全编码原则
   注重代码合法性校验、攻击面控制和第三方代码安全。

五、应用分发个人信息保护建议

1. 制定完善的开发者政策和分发协议
   明确开发者资质、应用上架要求和下架机制。

2. 落实开发者及应用资质审核要求
   审核开发者身份和应用合法性，确保应用符合规范。

3. 完善分发平台上架机制
   建立自动化检测与人工审核机制，规范应用行为。

4. 充分明示应用相关信息
   在下载界面清晰展示应用权限、隐私政策等信息。

5. 探索应用运行期管控方案
   协同终端厂商，监测应用运行行为，保障用户权益。

6. 建立投诉与反馈通道
   提供多种渠道供用户反馈问题，及时处理违规行为。

7. 建立应用下架响应机制
   对违规应用进行下架处理，定期复查和抽检。

8. 定期报送行业监管数据
   向主管部门提供应用统计、不良应用信息等监管数据。

六、消费者个人信息保护建议

1. 选择信息明示清晰的手机、应用和下载渠道
   查看预置软件信息和隐私政策，优先选择官方渠道。

2. 使用前充分了解权限管理机制和隐私政策
   慎重选择权限，避免一次性授权敏感权限。

3. 善于使用手机设置功能，增强安全意识
   启用权限管理、查找手机、通知设置等功能，保障设备安全。

七、产业行动倡议

1. 落实企业主体责任，保障用户合法权益
   终端厂商、分发平台和应用开发者应主动履行个人信息保护义务。

2. 加强行业自律，探索自治新方式
   制定行业自律公约，建立开发者信用评价体系和黑灰名单制度。

3. 促进公众监督，及时响应用户关切
   建立便捷的用户举报机制，提升用户参与度。

4. 加强沟通协调，强化产业协作体系
   产业链各方应协同制定标准、技术方案和检测手段，提升整体保护能力。

总结

本白皮书系统分析了智能终端产业在个人信息保护方面面临的挑战，并从终端设备、应用开发、应用分发和消费者角度提出了全面的建议。通过技术升级、规范制定、行业自律和用户教育等多方面措施，旨在构建安全、透明、可控的个人信息保护体系，保障用户合法权益，推动智能终端产业健康可持续发展。