数字化时代，企业数据合规和个人信息保护的重要性日益凸显，信息资源已成为重要的生产要素和社会财富。近年来，国家网络安全法律体系不断完善，数据保护、个人信息保护等相关法律法规密集出台，民众网络安全感满意度有所提升。移动应用App作为服务提供的主阵地，更是个人信息保护的前沿战场与核心区域。
手机银行App，凭借其卓越的即时响应速度、极致便捷的操作体验以及一站式综合服务能力，已深深融入公众的日常生活，成为不可或缺的金融工具。它们不仅极大地拓宽了金融服务的边界，提升了服务获取的便捷性与效率，还深刻重塑了金融服务的质量标准。鉴于手机银行App深度依赖于大数据驱动，其在保障用户个人信息合规的角色上更显关键。
中国电子银行网联合中国金融认证中心（CFCA）信息安全服务部移动安全团队，对48款手机银行App，包括六大国有行，12家股份制银行，部分城商行、农商行、农信社以及民营银行的个人信息合规进行了测评。测试共分为隐私政策透明度与合理性、用户权利保障、用户授权过程的合理性等三部分。
本次手机银行App个人信息合规测评工作，旨在提高银行业金融机构对个人信息保护的重视程度，提升其对个人信息保护的能力，减少和防范对用户信息侵害事件的发生，推动中国银行业手机银行App合规高质量发展，为践行“金融为民”贡献力量。
本文主要为“总体测评指标及结果”及“手机银行App隐私政策透明度与合理性测评”两部分。后续还将连续推出“手机银行App用户权利保障测评”、“手机银行App用户授权过程的合理性测评”，敬请持续关注。
测评对象
本次测评对象为48款手机银行App，通过主流应用市场（包括华为应用市场、腾讯应用宝、vivo应用市场、小米应用市场）和相关银行官方网站进行下载，均取测评期间的最新版本，详细情况可以查看文末附录。
测评依据
本次测评从法律法规出发，同时参考相关国家标准及同业经验，其中法律法规如下：
·《中华人民共和国网络安全法》
·《中华人民共和国数据安全法》
·《中华人民共和国个人信息保护法》
参考的规范、标准、指南包括：
·《GB/T 35273-2020 个人信息安全规范》
·《App违法违规收集使用个人信息行为认定方法》
·工信部信管函〔2020〕164号《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》
·《JR/T 0171-2020 个人金融信息保护技术规范》
·《常见类型移动互联网应用程序必要个人信息范围规定》
·《GB/T-41391-2022 移动互联网应用程序（App）收集个人信息基本要求》
·《GB/T 42574—2023 信息安全技术 个人信息处理中告知和同意的实施指南》
·《GB/T 42582—2023 信息安全技术 移动互联网应用程序（App）个人信息安全测评规范》
·工信部《APP用户权益保护测评规范》
测评方法
测试设备
本次测评通过安卓设备进行测试，测试设备型号为谷歌Pixel 3与Pixel 6。
测试时间
本次测评时间为2024年6月17日至2024年7月19日，测试对象采集时间同样为本时间段内。
测试方法
本次测评采取人工与工具测评相结合的方式，针对App本身与App内隐私文本两者相结合，主要参照《GB/T 42582—2023 信息安全技术 移动互联网应用程序（App）个人信息安全测评规范》进行案例设计和测试执行，测评完成后再对测试项进行交叉验证，最终完成测评工作。
总体测评指标及结果
本次测评共选取32个测评项，同时将测评项分为隐私政策透明度与合理性、用户权利保障及用户授权过程的合理性3个类别，共计总分100分，其中隐私政策透明度与合理性39分，用户权利保障22分，用户授权过程的合理性39分。详细测评指标内容可以查看文末附录。
测评总体情况如下：
1、总体得分
测试结果显示，48款手机银行App得分均超过60，其中61%的App得分超过80。手机银行App在个人信息合规方面取得了显著进步，整体表现超越了其他类别的应用程序。
图：测评总体得分情况
得分前十的手机银行App分别为：
光大银行手机银行App
广东南粤银行手机银行App
广发银行手机银行App
平安银行手机银行App
苏州银行手机银行App
上海农商银行手机银行App
兴业银行手机银行App
中国工商银行手机银行App
邮储银行手机银行App
营口银行手机银行App
备注：以上排名不分先后，按首字拼音顺序排序，首字拼音相同按次字拼音顺序排序，以此类推，第十名分值相同情况共同列入本名单。
2、App权限及隐私政策相关数据统计
本次测评针对App申请权限方面以及部分操作步骤也进行了统计，结果显示：App申请权限总体仍然较多。作为金融App，一定的权限申请用于风控有助于降低用户交易风险，同时高风险权限平均值明显较低，总体来看，手机银行App在收集用户个人信息方面表现出了一定的节制；但隐私政策声明的高危权限和实际申请的高危权限尚有一定差距，值得重视；此外在撤回授权同意的方法上和登录后访问隐私政策步骤数量，大部分手机银行App都能做到简单易用，以下为相关详细数据。
表：App权限及隐私政策相关统计（平均值为四舍五入后的整数值）
3、主流合规方案实现统计
目前对于生物识别协议、申请敏感权限时的提示方式等内容，虽然业界并未有完全统一的要求，但是也有一些主流合规方案为大家普遍接受，以下是本次测评中的主流方案及占比。
表：App主流合规方案实现统计（实现比例为四舍五入后的整数值）
手机银行App隐私政策透明度与合理性测评
隐私政策是用户了解企业收集使用个人信息合规情况的途径，也是企业告知用户如何处理个人信息的最直接方式，个人信息保护法的第六条要求处理个人信息应当具有明确、合理的目的，而第七条就明确要求了处理个人信息应当遵循公开、透明原则。故本次测评中第一大部分内容就是对手机银行App隐私政策的透明度与合理性进行测评。本次测评选取了14个相关的测评项进行测评，具体内容如下：
表：隐私政策透明度与合理性检测项
图：隐私政策透明度与合理性得分情况（满分为39分）
本分项测评得分前十的手机银行App分别为：
哈尔滨银行手机银行App
华夏银行手机银行App
交通银行手机银行App
平安银行手机银行App
浦发银行手机银行App
上海农商银行手机银行App
苏州银行手机银行App
天津银行手机银行App
兴业银行手机银行App
邮储银行手机银行App
中国建设银行手机银行App
备注：以上排名不分先后，按首字拼音顺序排序，首字拼音相同按次字拼音顺序排序，以此类推，第十名分值相同情况共同列入本名单。
典型案例
以下将通过一些App的优秀合规案例以及风险案例对本次测评中通过率较低的测评项进行阐述及分析。
优秀案例
1、需逐一列出第三方SDK收集使用个人信息的目的、方式、范围等。
测评依据
《App违法违规收集使用个人信息行为认定方法》：未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等。
案例展示
图：优秀案例1-1
图：优秀案例1-2
根据相关标准，以上案例中该客户端详细列举了每一个SDK，并包含了SDK收集使用个人信息的目的、方式、范围以及隐私政策链接（联系方式）、SDK名称、SDK厂商等信息，并详细列举收集的个人信息，不存在使用“等”、“例如”及其他概括性或模糊语句描述。
建议
针对这一项，我们建议开发者：
·明确列出所有收集用户信息的第三方SDK及其收集个人信息的目的、方式和范围。
·告知第三方SDK的名称、厂商以及易于访问的隐私政策链接或者联系方式。
·定期审查和更新第三方SDK收集使用个人信息的描述，确保隐私政策描述和App实际使用匹配。
·条件允许的情况下可将SDK列表整理成条理更清晰的表格等形式，并以超链接的形式放在二级页面，方便用户阅读，并减少一级页面的内容。
2、在客户端内是否具备个人信息采集清单、个人信息共享清单。
测评依据
工信部信管函〔2021〕292号《工业和信息化部关于开展信息通信服务感知提升行动的通知》：
（二）建立个人信息保护“双清单”。
各相关企业应建立已收集个人信息清单和与第三方共享个人信息清单，并在App二级菜单中展示，方便用户查询。
已收集个人信息清单应简洁、清晰列出App（包括内嵌第三方软件工具开发包SDK）已经收集到的用户个人信息基本情况，包括信息种类、使用目的、使用场景等。
与第三方共享个人信息清单应简洁、清晰列出App与第三方共享的用户个人信息基本情况，包括与第三方共享的个人信息种类、使用目的、使用场景和共享方式等。
案例展示
图：优秀案例2-1
图：优秀案例2-2
以上案例中客户端内均在二级菜单设有个人信息收集清单和第三方信息共享清单，并且个人信息收集清单是随着时间动态变化的，方便用户直观的看到某个时间段内App收集的个人信息。
建议
针对这一项，我们建议开发者：
·在客户端的二级菜单中增加个人信息采集清单和个人信息共享清单。
·确保个人信息采集清单是动态变化的，以反映用户数据的最新状态。
·提供易于理解和操作的用户界面，让用户能够轻松访问和管理自己的个人信息。
·定期审查和更新个人信息清单，确保其内容与最新的法律法规和用户需求保持一致。
风险案例
1、实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围
测评依据
《App违法违规收集使用个人信息行为认定方法》：
3.3实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围。
GBT 41391-2022《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》：
6.5.1-a) 应仅声明和申请实现App服务目的最小范围的系统权限，不应申请与App业务功能无关的系统权限。注1:声明，是指在应用程序清单文件(如安卓的AndroidManifest.xml文件、iOS的Info.plist等)中向操作系统说明所需的系统权限。
案例展示
图：风险案例1-1
图：风险案例1-2
图：风险案例1-3
以上案例中，案例1-1个人信息保护政策中缺少读取手机状态和身份权限的描述，案例1-2个人信息保护政策中缺少读取手机状态和身份、读取电话号码、读写外部存储空间权限的描述，案例1-3缺少录音权限、读写外部存储空间权限的描述。
建议
常见缺少描述的权限如获取应用账户、修改或查看电话拨号、读取手机状态和身份、读取电话号码、读写外置存储、读取通话记录等，本次测评中具体缺失情况如下图所示。
图：缺失权限统计展示
针对这一项，我们建议：
·开发者完善自身权限管理制度和流程，在权限引入时明确权限使用目的并同步至个人信息保护政策；
·涉及第三方SDK引入的权限也同样进行管理，防止第三方SDK引入预期外的权限；
·在版本打包完成后，检查App权限清单并与个人信息保护政策进行核对，防止出现上述问题。
2、需逐一列出App收集使用个人信息的目的、方式、范围等
测评依据
《App违法违规收集使用个人信息行为认定方法》：
2.1未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等；
工信部信管函〔2020〕164号《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》：
3.1.1.违规收集个人信息。重点整治App、SDK未告知用户收集个人信息的目的、方式、范围且未经用户同意，私自收集用户个人信息的行为。
建议
常见的缺少描述的信息有设备硬件序列号、指定包名信息、运营商名称、SSID、BSSID、MAC地址等，详见下图：
图：缺失行为统计展示
针对这一项，我们建议：
·在开发过程中严格限制App自身代码对设备信息的获取行为或使用统一信息获取框架，通过拦截对特定设备信息的获取行为进行预防；
·也可以在版本打包完成后，进行专项检测，验证App自身对设备信息的获取情况，防止出现上述问题。
中国电子银行网联合中国金融认证中心（CFCA）信息安全服务部移动安全团队，对48款手机银行App，包括六大国有行，12家股份制银行，部分城商行、农商行、农信社以及民营银行的个人信息合规进行了测评。测试共分为隐私政策透明度与合理性、用户权利保障、用户授权过程的合理性等三部分。
本文为“手机银行App用户权利保障测评”，后续将推出“手机银行App用户授权过程的合理性测评”，敬请持续关注。
手机银行App用户权利保障测评
根据个人信息保护法第四章相关要求，企业在提供服务的同时应保障用户的相关权力，包括知情权、决定权、更正权及删除权等，故本次测评中第二大部分内容就是针对手机银行App用户权利保障的测评。本次测评选取了7个相关的测评项进行测评，具体内容如下：
表：用户权利保障检测项
测评得分情况：
图：用户权利保障得分情况（满分为22分）
本分项测评共有19家银行获得满分，分别为：
安徽农金手机银行App
丹东银行手机银行App
光大银行手机银行App
广东南粤银行手机银行App
广发银行手机银行App
广州银行手机银行App
哈尔滨银行手机银行App
恒丰银行手机银行App
廊坊银行手机银行App
民生银行手机银行App
浦发银行手机银行App
上海农商银行手机银行App
苏州银行手机银行App
天津银行手机银行App
厦门国际银行手机银行App
兴业银行手机银行App
营口银行手机银行App
裕民银行手机银行App
张家港农商银行手机银行App
备注：以上排名不分先后，按首字拼音顺序排序，首字拼音相同按次字拼音顺序排序，以此类推。
典型案例
优秀案例
1、个人金融信息主体的权利和实现机制，如访问方法、更正方法、删除方法、注销账户的方法、撤回同意的方法、获取个人金融信息副本的方法、约束信息系统自动决策的方法等。
测评依据
《GB/T35273-2020 信息安全技术 个人信息安全规范》：
对个人信息控制者的要求包括:
5)个人信息主体的权利和实现机制，如查询方法、更正方法、删除方法、注 销账户的方法、撤回授权同意的方法、获取个人信息副本的方法、对信息 系统自动决策结果进行投诉的方法等;
案例展示
图：优秀案例1-1
该隐私政策中个人信息主体的权利和实现机制描述完整，包含了访问方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法，并将访问和更正单独描述，其中每一项权利都详细描述了所有可能的操作步骤；并且增强要求“获取个人信息副本的方法和约束信息系统自动决策”也进行了说明，在“删除您的个人信息”中直接增加了客服热线，针对无法直接在App操作的权利变更，可以通过客服热线解决。
图：优秀案例1-2
该隐私政策中个人信息主体的权利和实现机制描述完整，包含了访问方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法，方法中均说明了具体的操作步骤，并且增强要求“获取个人信息副本的方法和约束信息系统自动决策”也进行了说明，在“响应您的上述请求”中也明确了客服热线信息，对于一些无法在App上直接操作的用户权利变更可以通过客服热线处理。
图：优秀案例1-3
该隐私政策中个人信息主体的权利和实现机制描述完整，包含了访问方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法，方法中说明了具体的操作步骤，并且增强要求“获取个人信息副本的方法”也进行了说明，在“删除您的个人信息”中也明确了可以通过“如何联系我们”获取联系方式，对于一些无法在App上直接操作的用户权利变更可以通过客服热线处理。
建议
针对这一项，我们建议开发者：
·明确列出用户在个人金融信息方面的权利，如访问、更正、删除、注销账户、撤回同意、获取信息副本等。
·提供具体、易于操作的实现机制，确保用户能够轻松行使这些权利。
·定期更新隐私政策，确保其内容与最新的法律法规和用户需求保持一致。
·加强与用户的沟通，解释这些权利的重要性和实现方式，增强用户的安全感和信任感。
2、个人信息保护政策中用户权利实现机制的人工处理的承诺时限。
测评依据
《App违法违规收集使用个人信息行为认定方法》：
6.3 虽提供了更正、删除个人信息及注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理
图：优秀案例2-1
图：优秀案例2-2
图：优秀案例2-3
以上案例的隐私政策中在“响应用户请求”描述中均详细描述了响应期限，最长15个工作日，更短的还有15天内即完成核查和处理。
建议
针对这一项，我们建议开发者：
·明确承诺人工处理的时限，并在隐私政策中详细说明。
·确保所有用户请求在承诺时限内得到响应和处理，避免超过15个工作日的限制。
·提供清晰的受理和核查流程，确保用户能够轻松了解和跟踪他们的请求状态。
·加强与用户的沟通，解释这些权利的重要性和实现方式，增强用户的安全感和信任感。
风险案例
1、处理个人金融信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构及联络方式
测评依据
JR/T0171-2020《个人金融信息保护技术规范》：
7.1.1-c)收集个人金融信息前，应向个人金融信息主体明确告知金融产品或服务需收集的个人金融信息类别，以及收集、使用个人金融信息的规则(如:收集和使用个人金融信息的目的、收集方式、自身的数据安全能力、对外共享、转让、公开披露的规则、投诉与申诉的渠道及响应时限等)，并获得个人金融信息主体的明示同意；
《GBT35273-2020个人信息安全规范》：
5.5 -a)-8)处理个人金融信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构及联络方式。
案例展示
图：风险案例1-1
图：风险案例1-2
图：风险案例1-3
以上三个案例的情况均为未向用户告知外部纠纷解决机构，仅说明了客户可向App运营者提起疑问意见或建议，未说明客户对App运营者处理结果不满时的额外处理方案。
建议
针对这一项，我们建议：
·建立投诉管理机制和投诉跟踪流程，确保所有用户的投诉举报都可以得到处理；
·提供清晰的受理和核查流程，确保用户能够轻松了解和跟踪他们的请求状态；
·加强与用户的沟通，向用户提供多种投诉举报方式，增强用户的安全感和信任感。
2、个人信息保护政策中是否提供投诉、举报方法、途径，是否在15个工作日内受理并处理
测评依据
GBT35273-2020《信息安全技术个人信息安全规范》：
8.8个人信息控制者应建立投诉管理机制和投诉跟踪流程，并在合理的时间内对投诉进行响应。
《App违法违规收集使用个人信息行为认定方法》：
6.5未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内(承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限)受理并处理的。
JR/T0171-2020《个人金融信息保护技术规范》：
7.1.1-c)收集个人金融信息前，应向个人金融信息主体明确告知金融产品或服务需收集的个人金融信息类别，以及收集、使用个人金融信息的规则(如:收集和使用个人金融信息的目的、收集方式、自身的数据安全能力、对外共享、转让、公开披露的规则、投诉与申诉的渠道及响应时限等)，并获得个人金融信息主体的明示同意。
工信部信管函〔2023〕26号《工业和信息化部关于进一步提升移动互联网应用服务能力的通知》：
12.妥善处理用户投诉。公布有效联系方式，接受用户投诉。按照规范要求答复互联网信息服务投诉平台上的投诉，确保15日内处理完成，提高投诉处理满意率。鼓励在App中设置用户满意度测评链接，引导用户参与测评。
案例展示
图：风险案例2-1
图：风险案例2-2
图：风险案例2-3
以上三个案例的情况皆为仅说明了客户可向App运营者提起疑问意见或建议，并且App运营者会在规定时限内回复用户，但未说明此时限内会进行处理或处理完成。
建议
针对这一项，我们建议：
·明确个人信息控制者应建立投诉管理机制和投诉跟踪流程确保所有用户的投诉举报在承诺时限内得到处理，避免超过15个工作日的限制；
·明确承诺针对用户投诉举报进行人工处理的时限，并在个人信息保护政策中详细说明；
·提供清晰的受理和核查流程，确保用户能够轻松了解和跟踪他们的请求状态。
中国电子银行网联合中国金融认证中心（CFCA）信息安全服务部移动安全团队，对48款手机银行App，包括六大国有行，12家股份制银行，部分城商行、农商行、农信社以及民营银行的个人信息合规进行了测评。测试共分为隐私政策透明度与合理性、用户权利保障、用户授权过程的合理性等三部分。
本文为“手机银行App用户授权过程的合理性测评”。
手机银行App用户授权过程的合理性测评
个人信息保护法中要求处理个人信息时需取得用户同意，但是对合理的授权过程却没有细节方面的要求，企业在通过App取得用户授权的过程中，应该充分尊重客户，告知客户风险，通过合理的方式取得用户的授权。故本次测评中第三部分就是针对手机银行App在使用中用户授权过程合理性的测评。本次测评选取了11个相关的测评项进行测评，具体内容如下：
表：用户授权过程的合理性检测项
测评得分情况：
图：用户授权过程的合理性得分情况（满分为39分）
本分项测评得分前十的手机银行App分别为：
北京银行手机银行App
光大银行手机银行App
广东南粤银行手机银行App
广发银行手机银行App
山东农信手机银行App
上海农商银行手机银行App
兴业银行手机银行App
邮储银行手机银行App
营口银行手机银行App
中国工商银行手机银行App
张家港农商行手机银行App
备注：以上排名不分先后，按首字拼音顺序排序，首字拼音相同按次字拼音顺序排序，以此类推，第十名分值相同情况共同列入本名单。
典型案例
优秀案例
1、检查隐私政策中是否说明在更新后再次征得用户同意、个人信息保护政策的更新内容。
测评依据
《App违法违规收集使用个人信息行为认定方法》：
2.2 收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新个人信息保护政策等收集使用规则并提醒用户阅读等。
《个人信息保护法》：
第十七条 个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
（一）个人信息处理者的名称或者姓名和联系方式；
（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
（三）个人行使本法规定权利的方式和程序；
（四）法律、行政法规规定应当告知的其他事项。
前款规定事项发生变更的，应当将变更部分告知个人。
案例展示
图：优秀案例1-1
图：优秀案例1-2
图：优秀案例1-3
本检测项主要包括两个检测点，一个是隐私政策中收集使用个人信息的目的、方式、范围发生变化时需要以适当方式通知用户，普遍实现方式是在隐私政策更新后，用户下次启动客户端时再次弹窗征求用户授权；第二个检测点是隐私政策中如个人信息相关内容更新后应在显著位置描述本次更新的内容。以上案例均很好的实现了两个检测点的要求。
建议
针对这一项，我们建议开发者：
·在隐私政策更新时，通过明显的方式主动通知用户，例如通过App内通知、电子邮件或短信。
·清晰地描述隐私政策的更新内容，包括变化的原因、影响的范围以及用户的新权利和义务。
·要求用户在更新后再次明确同意新的隐私政策，以确保他们对新条款有充分的了解和接受。
·定期审查和更新隐私政策，确保其内容与最新的法律法规和用户需求保持一致。
·条件允许情况下可以保留所有隐私政策历史版本，并方便用户查看。
2、App在申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时，是否同步告知用户其目的，且目的明确、易于理解。
测评依据
《App违法违规收集使用个人信息行为认定方法》：
2.3 在申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确、难以理解。
案例展示
图：优秀案例2-1
在该案例中不管是申请敏感权限还是收集敏感信息以实现相关业务功能时均通过弹窗告知用户收集该信息的目的，并且所有目的描述均较为详细。
图：优秀案例2-2
该客户端在申请可收集用户敏感信息的权限时，采用系统弹窗和自定义描述同步告知的方式提示用户收集信息的目的，实现方式便捷，逻辑清晰；在收集其他敏感信息时采用弹窗提示用户收集该信息的目的。
图：优秀案例2-3
该客户端在申请可收集用户敏感信息的权限时，先弹出自定义弹窗同步告知用户收集信息的目的，再通过系统弹窗具体授权，是较为普遍的实现方式；在收集其他敏感信息时采用页面下方提示的方式告知用户收集该信息的目的。
建议
针对这一项，我们建议开发者：
·在申请收集敏感信息的权限时，通过弹窗或其他明显的方式同步告知用户具体目的。
·确保告知的目的详细、明确，避免使用模糊不清的语言。
·提供易于理解的说明文本，帮助用户了解其个人信息如何被使用，以及为何需要这些信息。
风险案例
1、收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关
测评依据
《App 违法违规收集使用个人信息行为认定方法》：
4.1 收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关。
GB/T35273-2020 《个人信息安全规范》：
5.2-a) 收集的个人信息的类型应与实现产品或服务的业务功能有直接关联，直接关联是指没有上述个人信息的参与，产品或服务的功能无法实现。
JR/T 0171-2020 《个人金融信息保护技术规范》：
7.1.1-b) 收集个人金融信息应遵循最小化要求，收集个人金融信息的目的应与实现和优化金融产品或服务、防范金融产品或服务的风险有直接关联。直接关联是指无该个人金融信息参与无法实现前述目的。
案例展示
图：风险案例1-1
图：风险案例1-2
图：风险案例1-3
以上案例中，案例1-1与案例1-2皆为申请相机权限的同时申请了存储权限，案例1-3为登录时申请了存储权限，其中案例1-1与案例1-2是最常见的问题情况，原因可能是部分App从低版本Android开始即存在对应功能，未在后续针对性优化，导致出现需要将图片缓存到外部存储后再上传。
建议
针对这一项，我们建议：
·完善自身权限管理制度和流程，在权限引入时明确权限使用的必要性及其与特定功能的关联关系，无关或者无必要性的权限不再申请；
·涉及第三方SDK引入的权限也同样进行管理，防止第三方SDK引入预期外的权限从而导致无关权限申请。
2、因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能
测评依据
《App违法违规收集使用个人信息行为认定方法》：
4.2因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能；
GBT35273-2020《信息安全技术个人信息安全规范》：
5.3-d)个人信息主体不授权同意使用、关闭或退出特定业务功能的，不应频繁征求个人信息主体的授权同意。
GBT 41391-2022《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》：
6.5.1-f) 如用户拒绝或撤回同意系统权限授权，宜为用户提供无需系统权限亦可实现业务功能的替代解决方案
GBT 41819-2022《信息安全技术 人脸识别数据安全要求》：
5-b) 应仅在人脸识别方式比非人脸识别方式更具安全性或便捷性时，采用人脸识别方式进行身份识别；应同时提供人脸识别方式和非人脸识别方式，并由自然人选择使用。
案例展示
图：风险案例2-1
图：风险案例2-2
图：风险案例2-3
以上案例中，案例2-1为用户拒绝权限授权后无法正常进入App，全部功能无法使用；案例2-2和案例2-3为用户拒绝位置权限授权后，无法使用网点功能，属于典型的用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能的情况。
建议
针对这一项，我们建议：
·完善自身权限管理制度和流程，在权限引入时明确权限使用的必要性及其与特定功能的关联关系，非必要权限在用户拒绝授权后不要影响业务功能使用；
·在用户不授权的情况下为用户提供替代方案，当用户拒绝位置权限，仍可以通过自主输入地址的方式使用相关服务；
·涉及第三方SDK引入的权限也同样进行管理，防止第三方SDK引入预期外的权限从而导致上述问题。
尾声
本次行业测评根据现有监管要求，提取了部分当前较为受关注的检测点，深入分析了手机银行在个人信息保护方面的问题与挑战，旨在为手机银行App提供一个合规体检，最终推动整个行业的健康发展。
通过本次对手机银行App个人信息合规性进行细致的检测与分析，我们发现许多应用已经在保护用户隐私方面做出了积极努力，总体情况良好。同时，报告也提出了一系列改进建议，包括但不限于优化用户隐私政策、提高透明度和增强用户控制权。我们期望这些建议能够被行业采纳，并转化为实际行动，以提升整个行业的个人信息保护水平。
手机银行App个人信息合规行业测评报告（附录）
测评App版本与下载途径
测评指标详细内容
声明：本文来自电子银行网，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
