數字化時代，企業數據合規和個人信息保護的重要性日益凸顯，信息資源已成為重要的生產要素和社會財富。近年來，國家網絡安全法律體系不斷完善，數據保護、個人信息保護等相關法律法規密集出臺，民眾網絡安全感滿意度有所提升。移動應用App作為服務提供的主陣地，更是個人信息保護的前沿戰場與核心區域。

手機銀行App，憑借其卓越的即時響應速度、極致便捷的操作體驗以及一站式綜合服務能力，已深深融入公眾的日常生活，成為不可或缺的金融工具。它們不僅極大地拓寬了金融服務的邊界，提升了服務獲取的便捷性與效率，還深刻重塑了金融服務的質量標準。鑒于手機銀行App深度依賴于大數據驅動，其在保障用戶個人信息合規的角色上更顯關鍵。

中國電子銀行網聯合中國金融認證中心（CFCA）信息安全服務部移動安全團隊，對48款手機銀行App，包括六大國有行，12家股份制銀行，部分城商行、農商行、農信社以及民營銀行的個人信息合規進行了測評。測試共分為隱私政策透明度與合理性、用戶權利保障、用戶授權過程的合理性等三部分。

本次手機銀行App個人信息合規測評工作，旨在提高銀行業金融機構對個人信息保護的重視程度，提升其對個人信息保護的能力，減少和防范對用戶信息侵害事件的發生，推動中國銀行業手機銀行App合規高質量發展，為踐行“金融為民”貢獻力量。

本文主要為“總體測評指標及結果”和“手機銀行App隱私政策透明度與合理性測評”兩部分。后續還將連續推出“手機銀行App用戶權利保障測評”和“手機銀行App用戶授權過程的合理性測評”，敬請持續關注。

測評對象

本次測評對象為48款手機銀行App，通過主流應用市場（包括華為應用市場、騰訊應用寶、vivo應用市場、小米應用市場）和相關銀行官方網站進行下載，均取測評期間的最新版本，詳細情況可以查看文末附錄。

測評依據

本次測評從法律法規出發，同時參考相關國家標準及同業經驗，其中法律法規如下：

·《中華人民共和國網絡安全法》

·《中華人民共和國數據安全法》

·《中華人民共和國個人信息保護法》

參考的規范、標準、指南包括：

·《GB/T 35273-2020 個人信息安全規范》

·《App違法違規收集使用個人信息行為認定方法》

·工信部信管函〔2020〕164號《工業和信息化部關于開展縱深推進APP侵害用戶權益專項整治行動的通知》

·《JR/T 0171-2020 個人金融信息保護技術規范》

·《常見類型移動互聯網應用程序必要個人信息范圍規定》

·《GB/T-41391-2022 移動互聯網應用程序（App）收集個人信息基本要求》

·《GB/T 42574—2023 信息安全技術 個人信息處理中告知和同意的實施指南》

·《GB/T 42582—2023 信息安全技術 移動互聯網應用程序（App）個人信息安全測評規范》

·工信部《APP用戶權益保護測評規范》

測評方法

測試設備

本次測評通過安卓設備進行測試，測試設備型號為谷歌Pixel 3與Pixel 6。

測試時間

本次測評時間為2024年6月17日至2024年7月19日，測試對象采集時間同樣為本時間段內。

測試方法

本次測評采取人工與工具測評相結合的方式，針對App本身與App內隱私文本兩者相結合，主要參照《GB/T 42582—2023 信息安全技術 移動互聯網應用程序（App）個人信息安全測評規范》進行案例設計和測試執行，測評完成后再對測試項進行交叉驗證，最終完成測評工作。

總體測評指標及結果

本次測評共選取32個測評項，同時將測評項分為隱私政策透明度與合理性、用戶權利保障及用戶授權過程的合理性3個類別，共計總分100分，其中隱私政策透明度與合理性39分，用戶權利保障22分，用戶授權過程的合理性39分。詳細測評指標內容可以查看文末附錄。

測評總體情況如下：

1、總體得分

測試結果顯示，48款手機銀行App得分均超過60，其中61%的App得分超過80。手機銀行App在個人信息合規方面取得了顯著進步，整體表現超越了其他類別的應用程序。

圖：測評總體得分情況

得分前十的手機銀行App分別為：

光大銀行手機銀行App

廣東南粵銀行手機銀行App

廣發銀行手機銀行App

平安銀行手機銀行App

蘇州銀行手機銀行App

上海農商銀行手機銀行App

興業銀行手機銀行App

中國工商銀行手機銀行App

郵儲銀行手機銀行App

營口銀行手機銀行App

備注：以上排名不分先后，按首字拼音順序排序，首字拼音相同按次字拼音順序排序，以此類推，第十名分值相同情況共同列入本名單。

2、App權限及隱私政策相關數據統計

本次測評針對App申請權限方面以及部分操作步驟也進行了統計，結果顯示：App申請權限總體仍然較多。作為金融App，一定的權限申請用于風控有助于降低用戶交易風險，同時高風險權限平均值明顯較低，總體來看，手機銀行App在收集用戶個人信息方面表現出了一定的節制；但隱私政策聲明的高危權限和實際申請的高危權限尚有一定差距，值得重視；此外在撤回授權同意的方法上和登錄后訪問隱私政策步驟數量，大部分手機銀行App都能做到簡單易用，以下為相關詳細數據。

表：App權限及隱私政策相關統計（平均值為四舍五入后的整數值）

3、主流合規方案實現統計

目前對于生物識別協議、申請敏感權限時的提示方式等內容，雖然業界并未有完全統一的要求，但是也有一些主流合規方案為大家普遍接受，以下是本次測評中的主流方案及占比。

表：App主流合規方案實現統計（實現比例為四舍五入后的整數值）

手機銀行App隱私政策透明度與合理性測評

隱私政策是用戶了解企業收集使用個人信息合規情況的途徑，也是企業告知用戶如何處理個人信息的最直接方式，個人信息保護法的第六條要求處理個人信息應當具有明確、合理的目的，而第七條就明確要求了處理個人信息應當遵循公開、透明原則。故本次測評中第一大部分內容就是對手機銀行App隱私政策的透明度與合理性進行測評。本次測評選取了14個相關的測評項進行測評，具體內容如下：

表：隱私政策透明度與合理性檢測項

圖：隱私政策透明度與合理性得分情況（滿分為39分）

本分項測評得分前十的手機銀行App分別為：

哈爾濱銀行手機銀行App

華夏銀行手機銀行App

交通銀行手機銀行App

平安銀行手機銀行App

浦發銀行手機銀行App

上海農商銀行手機銀行App

蘇州銀行手機銀行App

天津銀行手機銀行App

興業銀行手機銀行App

郵儲銀行手機銀行App

中國建設銀行手機銀行App

備注：以上排名不分先后，按首字拼音順序排序，首字拼音相同按次字拼音順序排序，以此類推，第十名分值相同情況共同列入本名單。

典型案例

以下將通過一些App的優秀合規案例以及風險案例對本次測評中通過率較低的測評項進行闡述及分析。

優秀案例

1、需逐一列出第三方SDK收集使用個人信息的目的、方式、范圍等。

測評依據

《App違法違規收集使用個人信息行為認定方法》：未逐一列出App(包括委托的第三方或嵌入的第三方代碼、插件)收集使用個人信息的目的、方式、范圍等。

案例展示

圖：優秀案例1-1

圖：優秀案例1-2

根據相關標準，以上案例中該客戶端詳細列舉了每一個SDK，并包含了SDK收集使用個人信息的目的、方式、范圍以及隱私政策鏈接（聯系方式）、SDK名稱、SDK廠商等信息，并詳細列舉收集的個人信息，不存在使用“等”、“例如”及其他概括性或模糊語句描述。

建議

針對這一項，我們建議開發者：

·明確列出所有收集用戶信息的第三方SDK及其收集個人信息的目的、方式和范圍。

·告知第三方SDK的名稱、廠商以及易于訪問的隱私政策鏈接或者聯系方式。

·定期審查和更新第三方SDK收集使用個人信息的描述，確保隱私政策描述和App實際使用匹配。

·條件允許的情況下可將SDK列表整理成條理更清晰的表格等形式，并以超鏈接的形式放在二級頁面，方便用戶閱讀，并減少一級頁面的內容。

2、在客戶端內是否具備個人信息采集清單、個人信息共享清單。

測評依據

工信部信管函〔2021〕292號《工業和信息化部關于開展信息通信服務感知提升行動的通知》：

（二）建立個人信息保護“雙清單”。

各相關企業應建立已收集個人信息清單和與第三方共享個人信息清單，并在App二級菜單中展示，方便用戶查詢。

已收集個人信息清單應簡潔、清晰列出App（包括內嵌第三方軟件工具開發包SDK）已經收集到的用戶個人信息基本情況，包括信息種類、使用目的、使用場景等。

與第三方共享個人信息清單應簡潔、清晰列出App與第三方共享的用戶個人信息基本情況，包括與第三方共享的個人信息種類、使用目的、使用場景和共享方式等。

案例展示

圖：優秀案例2-1

圖：優秀案例2-2

以上案例中客戶端內均在二級菜單設有個人信息收集清單和第三方信息共享清單，并且個人信息收集清單是隨著時間動態變化的，方便用戶直觀的看到某個時間段內App收集的個人信息。

建議

針對這一項，我們建議開發者：

·在客戶端的二級菜單中增加個人信息采集清單和個人信息共享清單。

·確保個人信息采集清單是動態變化的，以反映用戶數據的最新狀態。

·提供易于理解和操作的用戶界面，讓用戶能夠輕松訪問和管理自己的個人信息。

·定期審查和更新個人信息清單，確保其內容與最新的法律法規和用戶需求保持一致。

風險案例

1、實際收集的個人信息或打開的可收集個人信息權限超出用戶授權范圍

測評依據

《App違法違規收集使用個人信息行為認定方法》：

3.3實際收集的個人信息或打開的可收集個人信息權限超出用戶授權范圍。

GBT 41391-2022《信息安全技術 移動互聯網應用程序（App）收集個人信息基本要求》：

6.5.1-a) 應僅聲明和申請實現App服務目的最小范圍的系統權限，不應申請與App業務功能無關的系統權限。注1:聲明，是指在應用程序清單文件(如安卓的AndroidManifest.xml文件、iOS的Info.plist等)中向操作系統說明所需的系統權限。

案例展示

圖：風險案例1-1

圖：風險案例1-2

圖：風險案例1-3

以上案例中，案例1-1個人信息保護政策中缺少讀取手機狀態和身份權限的描述，案例1-2個人信息保護政策中缺少讀取手機狀態和身份、讀取電話號碼、讀寫外部存儲空間權限的描述，案例1-3缺少錄音權限、讀寫外部存儲空間權限的描述。

建議

常見缺少描述的權限如獲取應用賬戶、修改或查看電話撥號、讀取手機狀態和身份、讀取電話號碼、讀寫外置存儲、讀取通話記錄等，本次測評中具體缺失情況如下圖所示。

圖：缺失權限統計展示

針對這一項，我們建議：

·開發者完善自身權限管理制度和流程，在權限引入時明確權限使用目的并同步至個人信息保護政策；

·涉及第三方SDK引入的權限也同樣進行管理，防止第三方SDK引入預期外的權限；

·在版本打包完成后，檢查App權限清單并與個人信息保護政策進行核對，防止出現上述問題。

2、需逐一列出App收集使用個人信息的目的、方式、范圍等

測評依據

《App違法違規收集使用個人信息行為認定方法》：

2.1未逐一列出App(包括委托的第三方或嵌入的第三方代碼、插件)收集使用個人信息的目的、方式、范圍等；

工信部信管函〔2020〕164號《工業和信息化部關于開展縱深推進APP侵害用戶權益專項整治行動的通知》：

3.1.1.違規收集個人信息。重點整治App、SDK未告知用戶收集個人信息的目的、方式、范圍且未經用戶同意，私自收集用戶個人信息的行為。

建議

常見的缺少描述的信息有設備硬件序列號、指定包名信息、運營商名稱、SSID、BSSID、MAC地址等，詳見下圖：

圖：缺失行為統計展示

針對這一項，我們建議：

·在開發過程中嚴格限制App自身代碼對設備信息的獲取行為或使用統一信息獲取框架，通過攔截對特定設備信息的獲取行為進行預防；

·也可以在版本打包完成后，進行專項檢測，驗證App自身對設備信息的獲取情況，防止出現上述問題。

點擊查看>>手機銀行App個人信息合規行業測評報告（附錄）

責任編輯：方杰