6月13日，全國信息安全标準化技術委員會發布國家标準《信息安全技術 移動智能終端的移動互聯網應用程序（App）個人信息處理活動管理指南》（以下簡稱《指南》）并公開征求意見。

信安标委官網

《指南》拟根據App生命周期，要求移動智能終端為用戶提供敏感數據訪問提示和控制功能，并拟将應用程序列表和剪切闆納入敏感數據/能力。《指南》還拟引入權限自動重置機制——對于長期不用的App，用戶可以選擇自動解除其敏感權限授權。

應用程序列表和剪切闆屬于敏感數據/能力

随着移動互聯網的迅速發展，移動互聯網應用程序給人們生活帶來便利、越來越多地處理人們的個人信息的同時，也存在個人信息收集、使用不合理的問題。據悉，《指南》旨在提出移動智能終端的個人信息安全管理措施，增強App處理個人信息行為明示程度，為App用戶提供更多個人信息保護控制機制。

《指南》将App在移動智能終端上的生命周期分為安裝、啟動、運行、更新、退出、停用/卸載六大節點，拟要求App個人信息處理活動的管理遵循公開透明、方便管理、确保安全、細緻管控、合理适度的原則。

App在移動智能終端上的生命周期。圖自《指南》

南都記者注意到，《指南》拟提出，移動智能終端應記錄App行為，并為用戶直觀呈現個人信息調用情況。其中統計和記錄的行為除了常見的敏感權限調用如定位、通訊錄、麥克風、照相機、媒體影音數據等外，還包括讀取唯一設備識别碼（如IMEI、WLAN MAC地址）以及App自啟動和被關聯啟動的行為。

目前，小米、蘋果等國内外多款手機廠商都上線了App行為統計功能，而統計結果常常引發用戶擔憂。去年10月，微信被發現頻繁讀取手機相冊、定位，随後南都記者實測發現，王者榮耀、支付寶、中國農業銀行、大衆點評、閑魚等App也有類似行為。

去年底，南都個人信息保護課題組發布《個人信息安全年度報告（2021）》（下稱《南都報告》），披露了150款App的權限獲取合規情況。其中128款App在運行過程中讀取IMEI号超出一次，有的甚至每分鐘讀取超過200次。

對此，有專家曾向南都記者表示，企業可能是為了實現一些功能的“預處理”，及時反饋用戶需要，但高頻率收集個人信息可能會使數據變得更敏感。

值得一提的是，雖然《指南》中僅将統計和記錄App讀取應用程序列表、剪切闆的行為列為可選項，但根據附錄B，應用程序列表和剪切闆被納入了敏感數據/能力。《指南》還拟要求移動智能終端增加剪切闆訪問提示機制，在App讀取剪切闆時向用戶提示。

《指南》附錄B

根據《南都報告》的測評結果，150款受測App中有多達48款App默認獲取非必要權限，主要就是應用程序列表和剪切闆。App頻繁訪問剪切闆也曾引發國内外對于隐私洩露的擔憂有關——國外的TikTok、CNN、紐約時報，國内的QQ、微博、網易雲音樂、淘寶等都被發現有上述行為。

多位專家表示，App可以通過訪問剪切闆打擊垃圾評論、惡意刷評論，還可以識别指令，比如在不同App内跳轉到對應頁面或複制驗證碼。不過，由于剪切闆内容可能包含身份證号、短信驗證碼、銀行賬号等敏感個人信息，洩露風險也不容忽視。

而應用程序列表是一個通常被忽略實則可以獲取敏感數據的權限。2021年11月，廣東省消委會在“常見類型App非必要個人信息收集情況調查活動”回頭看中發現，下載量排名前20的App幾乎均默認讀取了手機的應用程序列表。

此外，《指南》拟要求，移動智能終端保存App調用個人信息行為的周期不少于7天，同時根據終端配置水平的差異，設定調用行為保存次數阈值。

長期不用的App可被自動解除敏感權限授權

除了頻繁訪問敏感權限，App的自啟動或者關聯啟動也一直受到诟病——在用戶不知情的情況下，這些“被喚醒”的App很有可能擅自在後台收集個人信息。

2021年4月，工業和信息化部發布《移動互聯網應用程序個人信息保護管理暫行規定(征求意見稿)》，拟要求明确在非服務所必需或者無合理場景下，不得自啟動或者關聯啟動其他App，并要求移動智能終端生産企業為用戶提供關閉選項。

《指南》則更進一步，拟要求移動智能終端為用戶提供管理App自啟動、被關聯啟動等行為的控制選項，且選項默認設置為關閉狀态；或在App首次自啟動、被關聯啟動時提示用戶，由用戶選擇是否允許自啟動、被關聯啟動。

在敏感數據訪問提示和控制方面，《指南》還對唯一設備識别碼、短信和通話記錄拟提出要求。

針對唯一設備識别碼，《指南》拟要求移動智能終端建立訪問控制機制，包括限制App 獲取不可變更唯一設備識别碼，為用戶提供可便捷地重置可變唯一設備識别碼（如廣告标識符）的機制，支持用戶選擇是否允許向App開放不可變更唯一設備識别碼。

對于短信和通話記錄，《指南》拟限制App向用戶申請短信、通話記錄權限，除非基本功能所需。若确有需要，移動智能終端應提供撥打電話與發送短信的公共接口，App調用後跳轉到系統交互界面，由用戶主動操作。

值得注意的是，《指南》拟引入權限自動重置機制，系國内個人信息保護相關法律法規、标準規範中的首次。

具體來說，移動智能終端應提供相應選項，使得用戶可以選擇當自己長期（如3個月）未使用某App時，是否自動将該App已開啟的敏感系統權限重置為禁止狀态。南都記者了解到，谷歌已經在Android 11及更高版本中引入該功能。

據了解，《指南》将首先在牽頭公司中進行應用試點，并逐漸推廣到其他終端廠家。

采寫：實習生程雨祺 南都記者蔣琳