10月24日，《信息安全技术 个人信息安全规范》最新版征求意见稿（简称“新版征求意见稿”）对外发布。

相比6月份的征求意见稿，新版征求意见稿规定，App应提供简便易操作的注销功能，核验身份时不得要求用户提供超过注册、使用时收集的个人信息。

用户注销时不应提供多于注册时收集的信息

一直以来，App“注册容易注销难”被用户广泛诟病。

隐私护卫队曾实测12款常用App的注销功能，发现有七款无法注销，有的注销选项位置隐蔽，还有App注册时用手机验证码登录即可，注销时却必须满足上传手持身份证照片、解绑其他账号等多个条件。

中国电子技术标准化研究院信安中心审查部总监何延哲举例说，有App甚至要求用户提供2019年5月1日使用App的地点。此外，不少App没有在隐私政策中承诺注销后会对相关个人信息采取删除或匿名化处理。

上述问题均在新版征求意见稿中得到了更加细致地规范。

新版征求意见稿要求，App应提供便捷的注销功能交互界面，及时响应用户的注销请求；需人工处理的，应在承诺期限内（原则上不超过15天）完成核查和处理。

此外，注销核验身份时不得要求用户重新提供多于注册、使用等服务环节收集的个人信息；注销时不应设置不合理的条件或提出额外的要求增加个人信息主体的义务，比如注销单个账户视同注销多个产品或服务等。

何延哲指出，注销规定的变化“非常明显”。“用户收集、使用个人信息时要合法、正当、必要，注销时也应如此。”

他认为，出于对用户账号利益的保护，为避免账号被盗、被恶意注销等，注销时核验用户身份是可以的，但不能借着核验的目的“实现别的心思”，如防止用户流失、多获取用户其他信息等。

“不是说注销要一味地追求简单，而是要合情合理不能设置过分的要求”。何延哲强调，注销既要从用户角度考虑，也要考虑企业的要求。

App未告知第三方身份或将在信息泄露事件中负全责

在互联网产品和服务的生态中，App为实现多种功能，跟第三方的合作必不可少。

南都个人信息保护研究中心、中国金融认证中心于今年7月发布的《常用第三方SDK收集使用个人信息测评报告》显示，平均每款App使用19.3个第三方SDK（软件开发工具包），有些用户的个人信息也可能流入SDK。

除了嵌入第三方SDK，与第三方公司合作也十分常见。最近51信用卡被警方调查就是因为其合作的第三方催收公司采取恐吓、滋扰等软暴力手段催收债务。据了解，借款人的电话号码、通信记录等个人信息通常是与催收公司共享的。

那么，如果因第三方保管不力而发生信息泄露事件，双方应分别承担哪些责任？何延哲告诉隐私护卫队，“结合实践中发现的问题，（新版征求意见稿）把双方责任进行了细化。”

新版征求意见稿要求，在作出委托时，个人信息控制者不应超出用户授权同意的范围，且需确保受委托者达到一定安全能力，还要监督受委托者。责任划分方面，因共享、转让个人信息发生安全事件而对用户合法权益造成损害的，个人信息控制者应承担相应的责任。

值得注意的是，如果个人信息控制者未明确告知用户第三方身份，以及自身和第三方应分别承担的责任和义务，个人信息控制者应承担因第三方引起的个人信息安全责任。

分享、转让个人信息，委托第三方处理等现象，是业态的常规做法，有时为了完成某些功能，必须这么做，但“这个过程容易造成问题，容易失控”，何延哲说。

他指出，未分享、转让时，用户可找第一方落实权利，而共享、转让之后，第三方也变成了个人信息的控制者，且可以决定用途，此时，用户的控制能力下降，权利落实也更加困难。“第一方既然能决定把个人信息给谁，也应该履行一部分监督、管理的责任，同时，第三方成为控制者之后也应落实安全规范。”

关闭新闻推送时App应提供删除或匿名化个人信息的选项

App收集用户浏览记录、搜索记录、文章阅读偏好等个人信息最主要的用途之一，就是用户画像，进而被用于精准推送。在App的“后台”，每一个用户的每一次点击都被剖析和标签化。

App为用户打上了哪些标签，用户有权了解吗？用户能通过编辑标签，决定推送广告的内容吗？据了解，目前绝大多数App并没有相关功能。

新版征求意见稿建议，App向用户提供个性化展示的，宜建立用户对个人信息（如标签、画像维度）的自主控制机制，保障用户调控个性化展示相关程度的能力。

隐私护卫队注意到，关闭或退出新闻相关的精准推送功能，App被要求“提供删除或匿名化定向推送活动所基于的个人信息的选项”，广告推送则没有。

“新闻推送比广告信息更敏感。”何延哲表示，用户看到定向推送的广告，可以不购买商品或服务，而新闻不一样，只要看到就接收了信息，“相当于不买也得买，且会影响人的判断”。所以，对新闻的定向推送应该管控的更严格一点，给用户的选择权更大一点。

新版征求意见稿还进一步定义，能够单独或和其他信息结合识别用户或反应用户活动的用户画像和特征标签属于“个人信息”；通过加工处理后的信息，一旦泄露、非法提供可能危害人身安全，极易导致个人名誉受损等，属于个人敏感信息。

并且，App不得以改善服务质量、提升用户主体体验、研发新产品、增强安全性等为由，强迫用户同意收集个人信息。

“如果以上述理由收集用户的个人信息，是要有条件的。”何延哲强调，首先鼓励App将上述内容详细阐述；其次App不能把上述条件当成兜底条件，凡是搭边的信息都收集；最重要的是不能因为上述条件而强迫用户同意。（尤一炜 蒋琳）

声明：本文来自隐私护卫队，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。