GB/T 41391中“App嵌入第三方SDK”相关条款测试技术解析

创作时间:

作者:

@小白创作中心

GB/T 41391中“App嵌入第三方SDK”相关条款测试技术解析

引用

安全内参

https://www.secrss.com/articles/64667

随着移动互联网的快速发展，App已成为人们日常生活中不可或缺的一部分。为了提高开发效率和用户体验，许多App都会嵌入第三方SDK来实现特定功能。然而，不规范地接入第三方SDK可能会带来合规性问题。本文将依据《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》（GB/T 41391-2022）的相关条款，详细解析App嵌入第三方SDK的合规要求及常见问题。

一、何为第三方SDK？

SDK全称Software Development Kit，即软件开发工具包。为协助软件开发的软件库,通常包括相关二进制文件、文档、范例和工具的集合。

为避免相同功能重复开发，SDK提供者将实现特定功能的代码封装成工具包（即SDK），并提供简单的接口。App提供者将SDK嵌入代码，通过调用接口就能实现相应功能，大大提高了App的开发和运营效率。

App提供者和SDK提供者可能为同一方，即为“自身开发的SDK”。如果不是同一方，称为“第三方SDK”。

二、GB41391中嵌入SDK的合规要求

（一）App运营者在接入第三方SDK前，需要满足以下要求：

遵循最小必要原则，仅嵌入实现业务功能所必需的SDK；
评估SDK是否存在违法违规收集使用个人信息行为；
评估SDK是否存在违法违规个人信息出境行为；
与第三方SDK明确双方的个人信息处理规则和保护责任；
对SDK申请使用权限进行审核，确保其申请的权限具有明确、合理的使用目的。

（二）App运营者在接入第三方SDK后，需要注意以下几点：

App仅向第三方SDK提供实现处理目的所必要的最小范围的个人信息；
向用户明示嵌入第三方SDK收集使用个人信息的目的、方式和范围；
向用户明示嵌入第三方SDK申请的系统权限和申请目的；
持续监督嵌入第三方SDK是否存在违规收集个人信息、调用权限、个人信息出境行为；
要求存在热更新机制的第三方SDK在热更新推送前向App运营者告知；
（三）当App运营者停止使用某SDK时，应及时从代码中移除该SDK的相关代码。

三、由SDK导致App违规的常见问题项

01 未征得用户同意，第三方SDK存在收集个人信息的行为

App首次运行时，需通过弹窗等方式征得用户同意隐私政策，在用户点击“同意”前，嵌入三方SDK不应存在收集个人信息或申请打开可收集个人信息权限的情形。

尤其要注意，点击首次弹窗中的隐私政策链接或点击“不同意”按钮后的过程中，均不应存在收集个人信息行为。

对于该类违规行为，App运营者要注意SDK初始化的时机，移至用户点击“同意”隐私政策后再进行初始化及收集行为。

02 App隐私政策未逐一列出第三方SDK收集个人信息或调用的可收集个人信息权限的目的、方式、范围

用户使用App业务功能过程中，嵌入的某些SDK可能会产生较多的收集行为，一般是代码层面的接口调用，因此对于收集行为用户大多是无法感知的。而App运营者需要在隐私政策中将第三方SDK的收集行为逐一列举，向用户明示SDK收集的目的、方式、范围，甚至频次。

那么，对于该类违规行为，App运营者应该如何进行整改呢？

App运营方可自行梳理嵌入的第三方SDK收集个人信息的业务场景是否合理，遵循最小必要原则，对于不合理或非必要的SDK应尽量避免接入；对于有合理业务需求的第三方SDK，需在隐私政策中进一步详细列举其收集的个人信息及调用敏感权限的目的、方式、范围等。

特殊情况：有的SDK存在集成、嵌入其他SDK的情况，对于这种情况，则需在隐私政策中列出该SDK以及其集成、嵌入的其他SDK所收集个人信息和调用可收集个人信息权限的目的、方式、范围，并注明该SDK集成、嵌入了哪些SDK；此外，还有一种处理方式，就是在隐私政策中将该SDK与其集成、嵌入的其他SDK单独分开列出各自收集个人信息和调用可收集个人信息权限的目的、方式、范围。

03 第三方SDK超范围收集个人信息

在用户将App置于手机后台后，若不存在合理的后台业务场景，App嵌入的三方SDK存在后台收集个人信息或调用权限行为，App隐私政策也未对该SDK采集行为做必要说明，这种情况就属于App嵌入的第三方SDK超范围收集个人信息。

相较于在用户使用过程中的个人信息采集行为，App在后台运行时的采集行为会尤为敏感。当然，并不是说App在后台运行时完全不允许采集个人信息。对于一些业务场景而言，后台运行期间的采集行为是合理的，比如：我们平时使用的地图导航类App，开启导航后即使将App置于手机后台，App仍会通过语音提示我们是左转还是直行，故而App采集用户定位的行为是存在合理且必要的业务目的的。

就目前而言，对于后台运行期间采集个人信息的业务场景是否合理以及其采集的频次是否在合理范围还没有一个明确且统一的规范界定。作为App运营者，若发现嵌入的第三方SDK存在后台采集个人信息的情况，首选确认该后台行为是否必要，是否可以避免它在后台采集——通过联系该SDK运营方调整代码，或是选择更合规的SDK替换它；当然，如App运营者核查后确认后台采集行为实际业务所必需，那么应在隐私政策中向用户明示该行为的目的、场景、方式、范围等，并遵循最小必要原则，尽可能的在满足业务功能的同时以低频率采集。