浅谈APP的隐私合规检测
理论基础
国家为了加强用户个人信息保护，为人民群众提供更安全、更健康、更干净的信息环境，国家工业和信息化部开展了《纵深推进APP侵害用户权益专项整治行动》以及《App违法违规收集使用个人信息行为认定方法》 《常见类型移动互联网应用程序必要个人信息范围规定》的通知，在APP合规上都需严格按照国家工业和信息化部164号文件自查自纠，及时整改APP违规问题。
APP隐私政策通常是指APP应用程序依据隐私权政策制定的对用户信息处理的政策，是APP产品与用户之间关于如何处理和保护用户个人信息的基本的权利义务的文件，用于告知用户个人信息如何被搜集、使用、与第三方共享的情况。它不是仅对产品的束缚，也是提示用户自主、自愿、合理提供和处分个人信息，并区分与用户责任的依据。
所有提交上架市场或各平台的APP，都需要经过隐私合规性检测，只有通过该检测(自身检测和平台检测)且没有其他违反审核规则内容前提下，APP才可以正常上线，如果APP隐私合规检测未通过，APP将会被驳回不允许上架，然后进行违规内容的整改，只有整改完成才能进行上架。
基本要求
所有APP在首次打开时，都必须通过弹窗等显著方式向用户展示隐私协议内容。必须对收集用户信息的目的和方式范围通过【隐私政策】条款进行详细说明，并且必须保证APP内的隐私政策和收集用户信息内容完全一致。
APP会集成很多第三方SDK的，必须在隐私政策中详细列明第三方SDK收集使用个人信息的目的、方式、范围。
隐私政策中如果存在“收集用户搜索记录、浏览记录、设备信息或其他用户个人信息等用于向用户推送、展示其感兴趣的、个性化的消息内容”的，必须在APP中有对应的关闭按钮或关闭方式。
对具有舆论属性和社会动员能力的互联网信息服务的APP，须按照APP应用实际办公地原则登录全国互联网安全服务管理平台（http://www.beian.gov.cn ） 安全评估窗口提交安全评估报告。主管机关要求，上传全国互联网安全服务管理平台后，须向上架平台提交副本，以备主管机关查验。
合规检测
在APP合规检测方面，存在比较突出的问题主要有5个，下面就针对5个突出问题做个稍微解析。
1.违规收集个人信息
1、APP未见向用户明示个人信息收集和SDK收集使用的目的、方式和范围，未经用户同意，APP或SDK中存在收集IMEI、设备MAC地址和软件安装列表、通讯录和短信的行为。
2、APP以隐私政策弹窗的形式向用户明示收集使用规则以及向用户明示SDK的收集使用规则，未经用户同意，APP或SDK就存在收集IMEI、设备MAC地址和软件安装列表、通讯录和短信的行为。
3、APP以隐私政策弹窗的形式向用户明示收集使用规则或向用户明示SDK的收集使用规则，但未见清晰明示APP收集设备MAC地址、软件安装列表等的目的方式范围，用户同意隐私政策后，APP或SDK就存在收集设备MAC地址、软件安装列表的行为。
4、APP在征求用户同意环节，设置为默认勾选。
检测方法方式
1、检测APP是否存在隐私政策
2、通过遍历检测APP或集成的SDK是否收集IMEI、MAC等个人信息
3、停留在隐私政策弹窗界面，通过自动化遍历功能点击隐私政策链接、用户服务协议链接等模拟用户同意隐私政策前阶段，检测APP和集成SDK是否收集IMEI、MAC等个人信息
4、识别并点击隐私政策后，自动化遍历检测APP前台运行、后台运行阶段，APP和集成的SDK是否收集IMEI、MAC等个人信息
5、搜索隐私政策内是否含有搜集信息名称，判断APP和集成SDK收集信息是否在隐私政策中明示。
6、检测当前页面勾选框是否为默认勾选状态。
整改建议：
用户首次打开APP必须有隐私政策协议弹窗，隐私协议中请真实完整说明APP和集成的第三方SDK收集用户个人信息的规则；隐私政策隐私弹窗必须使用明确的“同意\拒绝”按钮；只有当用户点击“同意”后，APP和SDK才能调用系统接口和读取收集用户的信息。
2.超范围收集个人信息
1、APP未见向用户告知或未明示SDK的收集使用规则，并且未经用户同意，存在收集通讯录、短信、通话记录、相机等信息的行为，非服务所必需且无合理应用场景，超出与收集个人信息时所声称的目的具有直接或合理关联的范围。
2、APP在运行时，未见向用户告知或未见向用户明示SDK的收集使用规则，且未经用户同意，存在每30s读取一次位置信息，非服务所必需且无合理应用场景，超出实现产品或服务的业务功能所必需的最低频率。
3、APP未见向用户告知或未向用户明示SDK的收集使用规则，且未经用户同意，在静默状态下或在后台运行时，存在收集通讯录、短信、通话记录、相机等信息的行为或存在按照一定频次收集位置信息、IMEI、通讯录、短信、图片等信息的行为，非服务所必需且无合理应用场景，超出与收集个人信息时所声称的目的具有直接或合理关联的范围。
检测方法方式
1、检测是否存在隐私政策
2、停留在隐私政策弹窗界面，模拟用户同意隐私政策前阶段，自动化遍历检测APP是否收集IMEI、MAC等个人信息
3、识别并点击隐私政策后，自动化遍历检测APP前台运行、后台运行阶段，APP是否收集IMEI、MAC等个人信息
4、搜索隐私政策内是否含有收集信息名称，例如IMEI、MAC地址等，判断APP收集信息是否在隐私政策中明示。
5、自动化遍历系统通过计算在隐私政策同意前、APP前台运行和后台运行三个阶段APP收集的个人信息行为时间，判断APP或SDK是否按照固定频率超过合理范围收集用户信息。
整改的建议：
在收集设备信息、个人信息前，加入判断条件，判断用户是否已同意隐私政策，在用户同意的情况下在进行收集信息，修改APP或SDK收集信息的频率≤1次/秒
3.违规使用个人信息
1、APP未见向用户告知且未经用户同意，存在将IMEI/设备MAC地址/软件安装列表等个人信息发送给等第三方SDK的行为。
2、APP未见向用户明示分享的第三方名称、目的及个人信息类型，用户同意隐私政策后，存在将IMEI/设备MAC地址/软件安装列表等个人信息发送给第三方SDK的行为。
检测方法方式
1、检测APP是否存在隐私政策
2、停留在隐私政策弹窗界面，模拟用户同意隐私政策前阶段，自动化遍历检测APP和集成SDK是否收集IMEI、MAC等个人信息
3、识别并点击隐私政策后，自动化遍历检测APP前台运行、后台运行阶段，APP和集成SDK是否收集IMEI、MAC等个人信息
4、搜索隐私政策内是否含有收集信息名称，例如IMEI、MAC地址等，判断APP和集成SDK收集信息是否在隐私政策中明示。
整改建议：
APP和集成的SDK在用户“同意”隐私政策前，获取信息，定位具体的函数代码进行修复，建议通过加入判定，将函数调用行为放在用户“同意”之后执行。
4.APP频繁、过度索取权限
1、APP首次启动时或用户注册登录时，向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝授权后，应用退出或关闭（应用陷入弹窗循环，无法正常使用）或无法正常登录和注册。
2、APP运行时，未向用户告知XXX权限的目的，向用户索取当前服务场景未使用到的通讯录、定位、短信、录音、相机、日历等权限，且用户拒绝授权后，应用退出或关闭相关功能，无法正常使用。
3、APP运行时或重新运行时，在用户明确拒绝通讯录、定位、短信、录音、相机/XXX等权限申请后，仍向用户频繁弹窗申请开启与当前服务场景无关的权限，影响用户正常使用。
4、APP首次打开（或其他时机），未见使用权限对应的相关产品或服务时，提前向用户弹窗申请开启通讯录/定位/短信/录音/相机/XXX等权限。
检测方法方式
1、检测APP是否存在隐私政策
2、启动APP，自动化遍历系统拒绝所有申请系统权限弹窗，检测APP是否会出现退出和检测APP重复弹出申请系统权限。
3、搜索隐私政策内是否含有电话、位置、储存设备、通讯类等权限关键词。
4、杀死进程后重启APP，检测APP是否重复弹出申请系统权限。
5、启动APP，检测APP是否在用户点击隐私政协议“同意”前就向用户申请系统权限。
整改建议：
APP向用户索取（电话）权限，用户拒绝后，APP不能退出或关闭，必须保证APP可以继续正常运行。
5、APP频繁自启动或关联启动
1、APP未向用户明示未经用户同意，且无合理的使用场景，存在频繁自启动或关联启动的行为。
2、APP虽然有向用户明示并经用户同意环节，但频繁自启动或关联启动发生在用户同意前。
3、APP非服务所必需或无合理应用场景，超范围频繁自启动或关联启动第三方APP。
检测方法方式
1、检测APP是否存在隐私政策
2、搜索隐私政策内是否含有自启动、关联启动关键词。
3、杀死进程模拟系统广播，查看APP后台是否存在启动Activity、启动Service行为。
整改建议：
APP存在（自启动），定位具体的函数代码进行修复，建议删除相关自启动函数代码。如APP必须使用（自启动）能力，请在隐私政策协议中清楚说明自启动的规则说明，并且取得用户同意后执行。
小结
《信息安全技术个人信息安全规范》明确了对个人信息控制者在信息收集、保存、使用、共享、转让和披露等方面行为的规范，同时也提供了隐私政策书写模板，为APP 完善隐私保护政策提供依据。
检测判断具体方式，有收集用户信息可以通过定位APP代码中是否有调用指定的系统函数去定位和确认，还有通过运行过程中的行为数据和隐私政策进行同步数据确认。