至此，这一系列的文就结束了！！！！

关于《认定方法》的评估就三篇文章

以后会继续学习其他内容并输出分享的！！！

1、未公开收集使用个人信息规则

1.1在App中没有隐私政策，或者隐私政策中没有收集使用个人信息规则

【评估方法】打开或进入APP需要有可以查看隐私政策的地方，或者在用户协议中有隐私政策的内容。还需要在隐私政策部分写明，收集使用个人信息的方式。

【注意要点】隐私政策出现的位置一般在首次打开APP有弹窗、登录注册页面有阅读提示和链接、APP内设置页面有可以查看隐私政策的地方

1.2在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则（现在较为通用的明显方式有弹窗、特殊字体和颜色等，明显不合规的方式有使用灰色字体、小字号、遮挡、与背景色相近等）

【评估方法】首次运行时的“明显方式”一般指弹窗、粗体字、颜色突出的字来提示用户阅读。“首次运行”一定要注意。

【注意要点】一定要提醒用户阅读，一定要注意不能默认勾选、除了拒绝的按钮之后一定要有同意按钮，如果用户拒绝之后，一定要退出APP。

1.3隐私政策等收集使用规则难以访问，如进入App主界面后，需多于4次点击等操作才能访问到

【评估方法】一般把隐私政策放在设置中，从首页点击开始算起。

【注意要点】最好把隐私政策放在设置界面中，让用户方便访问。

1.4隐私政策等收集使用规则难以阅读，如文字过小过密、颜色过淡、模糊不清，或未提供简体中文版等

【评估方法】肉眼可见，每个字都可以看全，不要乱序。

【注意要点】有些app会直接把文档放上去，类似于word/pdf格式，一页就是一个界面，上翻和下翻都是一整页，还不能放大和缩小，这个在小屏幕的时候就会有文字过小的问题。

2、未明示收集使用个人信息的目的、方式和范围 

2.1未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等

【评估方法】查看app的功能收集使用情况是否在隐私政策中写全，第三方SDK、所使用的开源框架等也需要写明。

【注意要点】APP功能一般可以写明也可以自查。第三方这一部分需要和开发进行深入的沟通，一般查到问题的就是第三方。评估机构会用APP动态行为检测来检查调用了哪些SDK，这些SDK框架一定要写明。

【评估难点】评估需要特定工具辅助--APP动态行为检测平台

2.2收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读

【评估方法】查看隐私政策是否写了更新隐私政策的情况，是否写了以哪种方式提醒用户。并验证是否是这种方式。

【注意要点】一定要写明，哪种情况下会更新隐私政策，这个在《App违法违规收集使用个人信息自评估指南》中第18点有写。一般提醒用户的方式有公告、邮箱、短信、弹窗、首页滚动屏等。

【评估难点】一般第三方是不能验证提示方式是否如隐私政策所写，需要APP方自查。

2.3在申请打开可收集个人信息的权限，或申请收集用户身#份#证#号、银行账号、行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确、难以理解

【评估方式】打开APP或出发某些需要个人信息的业务功能时，一定要弹窗说明为什么需要这个权限，权限用来干什么。涉及个人信息的权限在《网信办-个人信息相关权限26项》中有写（要找最新版本        ）。

【注意要点】IOS系统开发可以修改弹窗内容，一定要写明。安卓系统不能自己修改弹窗内容，那就需要在申请权限弹窗之前，在弹出一个说明弹窗。

【评估难点】因为安卓系统在首次打开APP的启动页面时，会弹出一些申请权限弹窗，不一定是应用弹的，而是系统弹的。如果发现在启动APP的时候，也就是隐私政策还没有弹出来之前就有权限弹窗，那就找不同版本的安卓系统都试一下。

2.4有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解，如使用大量专业术语等

【评估方式】阅读，非科班人员是否能读懂

【注意要点】说人话

3、未经用户同意收集使用个人信息  

3.1征得用户同意前就开始收集个人信息或打开可收集个人信息的权限;

【评估方式】启动APP，但不做任何操作，隐私政策也不能点击。因为安卓系统在打开app的时候会自动打开所有权限，所以安卓系统测试之前需要手动关闭所有权限。

【注意要点】APP开发者需要注意，在用户没有同意前是不能私自打开除了“修改SD卡内容”“查看访问wlan”权限之外的其他权限，也不能申请。很多APP为了实现尽快开启app业务的目的，会提前申请或打开某些权限，这样在评估过程中是会被判为不合规的。

【评估难点】需要APP行为检测工具，在APP静默的状态下检测。

3.2 用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用；

【评估方式】在用户不同意隐私政策之前，就是APP静默状态下，不能有使用权限行为（如3.1）.在用户进入APP内，触发某些功能，拒绝权限后，APP可以不提供此功能，但是不能有频繁弹窗、拒绝其他功能的情况。也不能在用户拒绝之后还是用了权限或收集了信息。

【注意要点】用权限之前要申请。权限和权限之间、业务功能和业务功能之间都需要有明确的界限。不能因为贪图省事而不分清。

【评估难点】此项评估分为两部分，一部分是同意隐私政策之前，此部分与3.1一致，一部分是同意之后。与3.3的区别是，用户拒绝了，app还是擅自打开权限或收集信息；以及频繁也是一个检测点。

3.3 实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围

【评估方式】此评估点一部分与3.1一致。还包括app实际收集的个人信息是否都在隐私政策中写明，还包括3.2用户不同意权限之后app是否有擅自行为。

【注意要点】一定一定要梳理app的功能，没同意隐私政策之前，app只能有读写SD卡和查看网络情况的行为，不能因为优化APP的启动而提前申请一些权限。

【评估难点】与3.1，3.2的界限模糊。3.3包含了前面两点的检测内容。想要这三点合规，app一定要注意申请权限的时机和打开app的条件，必须是“必要”“用户同意”

3.4以默认选择同意隐私政策等非明示方式征求用户同意；

【评估方式】默认选择一般是在首次打开app的时候。明示方式一般有用户勾选、点击同意。

【注意要点】一定一定不要有勾选框默认勾选的情况，某些app在用户填完信息后，按钮变成可以点击状态的同时，把勾选框也勾选上了，这也是不行的。

3.5 未经用户同意更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态；

【评估方法】在用户关闭、拒绝某些权限后，再次打开app后是否有擅自打开权限的行为，可以去手机的设置中查看。APP更新的情况，可以去找上一个旧版本安装更新后检查。

【注意要点】反正不能有私自改的行为，APP更新的时候要记得读取之前权限的状态，不能有所修改。

【评估难点】IOS系统不能安装旧版本。凡是IOS或安卓系统不能安装旧版本来验证的情况下，开发需要自己检查。

3.6 利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项

【评估方法】一般APP都会有个性化推送的情况，隐私政策中要写明，也要写明关闭推送的方式。

【注意要点】最简单的方式就是在设置部分放一个个性化开关按钮

3.7以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的；

【评估方法】一般要注意广告、红包弹窗等部分是否有诱导行为，例如填写个人信息就有红包等字样

【注意要点】要注意审核APP内部投放的广告

3.8未向用户提供撤回同意收集个人信息的途径、方式

【评估方法】一般撤回同意包含权限的撤回，在隐私政策中写清楚方式，例如在手机设置中关闭权限，或者APP内提供了关闭权限的按钮

【注意要点】最好在设置界面给用户提供关闭权限的链接

3.9违反其所声明的收集使用规则，收集使用个人信息

【评估方法】查看隐私政策中缩写的收集使用规则，再去app内验证是否与之相符

【注意要点】隐私政策所写内容一定要与APP的实现一致

4、违反必要原则，收集与其提供的服务无关的个人信息

4.1 收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关

【评估方法】业务功能与申请的权限一致，特别注意类似拍照的功能，如果在拍视频部分申请录音权限是可以的，但是如果用户拒绝了录音权限不得不让用户使用拍照功能。

【注意要点】每个功能点涉及的权限都要分清楚

4.2因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能

【评估方法】有30类app的非必要权限在《信息安全技术 移动互联网应用（App）收集个人信息基本规范-最新征求意见稿》中有说明。可依据这个文献来查看

【注意要点】与4.1描述一致

4.3 App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，则拒绝提供原有业务功能，新增业务功能取代原有业务功能的除外

【评估方法】新增业务功能，一般出现在app版本更新的时候，app版本更新会有更新的说明，要注意查看是否有新增的业务，进而判断新增的业务是否涉及了新的权限。如果有之前没有涉及的权限，再去查看隐私政策是否更新。在用户不同意的情况下，就算是更新后的版本也需要给用户提供原有的业务功能。

【注意要点】这一点是版本更新的时候特别需要注意的。一般涉及功能的重大更新，隐私政策等都需要重新检查一遍，如果更新了隐私政策，一定要注意提醒用户查看。

【评估难点】IOS系统只能安装最新版本，之前没有预装旧版本就无法检查此项。安卓系统可以去找上一个旧版本来安装对比。也需要app的行为检测平台来辅助。

4.4 收集个人信息的频度等超出业务功能实际需要

【评估方法】一个检查点：在静默状态下，不得有收集行为。另一个检查点：在动态情况下，单位时间内的频度是否合理

【注意要点】类似于读取地理位置等权限的频度不要太频繁

【评估难点】需要app行为检测平台来辅助检查

4.5 仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息；

【评估方法】注意“强制”

【注意要点】app在弹窗申请权限的时候不要出现“改善服务”“提升用户体验”等字样。单独弹窗的一般属于用户“单独同意”的范围，是比较重要的权限，此类权限一定要符合必要原则。

4.6 要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。

【评估方法】一般targerSDKversion<23的话就会出现一次性申请权限的情况。首先用appt工具检查此项，或者app的检测平台检查此项。再打开app查看是否有一次性申请的情况。

【注意要点】现在一般不会出现这类问题，只要app打包的时候注意一下这个targer数就好了。

5、未经同意向他人提供个人信息

5.1 既未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码、插件等方式向第三方提供个人信息

【评估方法】一般通过抓包来评估。为了达到“未经用户同意“的条件，在评估此项的时候只检查从启动app和点击同意隐私政策之前，app所交互的数据包，查看是否有敏感信息没有匿名化处理的情况。敏感信息一般包括，手机的IMEI、用户名密码等。

【注意要点】其实只要app有交互敏感信息的行为就需要对其做匿名化处理。现在所谓的匿名化一般是指不要明文传输。在《信息安全技术 个人信息安全规范》中的匿名化是指不可复原。去标志化是指不通过别的手段就无法知道原信息

【评估难点】其实在不知道加密方法的情况下，我们只能判断数据是否明文传输，无法判断到底是匿名化还是去标志化，要想真的完全评估此项，还需要对密文进行破解操作，才能判断到底是匿名化还是去标志化。

5.2 既未经用户同意，也未做匿名化处理，数据传输至App后台服务器后，向第三方提供其收集的个人信息(不能访问服务器，这条如何评估呢)

【评估方法】因为涉及到到服务器，第三方一般无法评估此项，需要自查。

【注意要点】

5.3 App接入第三方应用，未经用户同意，向第三方应用提供个人信息。

【评估方法】接入第三方应用一般指的是，app内部嵌入了其他应用的功能，在使用这些功能的时候需要用户登录等操作。在用户使用这些功能时，需要有授权协议或授权提醒的弹窗来提醒用户，并征求用户同意。

【注意要点】一定要有授权同意的协议或提示。协议内还应该包括涉及哪类个人信息。

6、“未按法律规定提供删除或更正个人信息功能”或“未公布投诉、举报方式等信息

6.1未提供有效的更正、删除个人信息及注销用户账号功能

【评估方法】查看隐私政策是否有写，要注意此部分包括三项“更正“”删除“”注销“，再去查看功能是否能实现。如果隐私政策没写，但是可以找到明显的操作方式，也算合规

【注意要点】更正一般为修改个人资料，在设置中个人信息部分实现。删除可以是删除浏览记录，删除所写的个人信息，注销就很好理解了。因为很多app提供了去找客服操作的路径，但这一点往往是无法实现的，要么好好培训人工客服，要么机器人客服需要给出相应的解答，要么就不要通过此种方式。还有邮箱注销账户的，一定要及时回复用户，考虑到运营成本的问题，就算是自动回复的邮件也要有一个。

6.2 为更正、删除个人信息或注销用户账号设置不必要或不合理条件

【评估方法】一般app要求用户提供额外的身份信息、花完app内虚拟货币、成为会员后无法注销等操作基本都属于设置障碍。金融类app除外，涉及金钱等敏感信息的，一般会需要用户验证自己的身份，验证步骤就不能太繁琐。如果需要客服操作的，应该对用户请求及时应答。

【注意要点】一般6.1不能实现，6.2基本算是违规。不过6.2着重考虑的是“不合理条件“这一判断比较主观，有可能各家标准不一致。

6.3虽提供了更正、删除个人信息及注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理；

【评估方法】在进行此类验证的时候，可以给app一两个工作日的响应时间。

【注意要点】如果为用户设置了客服、邮箱等操作方式，一定要及时应答客户。

6.4 更正、删除个人信息或注销用户账号等用户操作已执行完毕，但App后台并未完成的；

【评估方法】操作完成后，重新打卡app查看操作是否生效。其实APP后台第三方是无法评估的，所以隐私政策中需要加上“删除、注销操作后，我们可能不会马上再备份系统里面删除您的信息，但是会在最短有效期/备份更新的时候删除“

【注意要点】考虑到app数据库更新响应和用户请求的问题，以及一些法律取证的问题，一般后台不会马上删除，但是也要告知用户何时会删除。

6.5 未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理的

【评估方法】一定要有投诉举报渠道，一般在隐私政策的最后。注意查看期限是否符合要求。投诉举报一般不会像删除注销一样响应迅速，但是渠道必须有。

【注意要点】一定要在隐私政策中写明用户反馈的渠道，最后有一个专门接收此类消息的邮箱或者负责人。