OPPO开放平台 APP常见个人信息保护问题合规指引
为帮助APP开发者更好地履行个人信息保护的责任与义务，OPPO软件商店面向开发者整理出以下APP常见个人信息保护问题和改进建议，望携手开发者一起为用户建设健康、安全、可靠的应用生态环境。
重点关注APP、SDK未告知用户收集个人信息的目的、方式、范围且未经用户同意，私自收集用户个人信息的行为。
-APP未以个人信息处理规则弹窗等形式向用户明示个人信息处理的目的、方式和范围，不应收集个人信息。
-APP以个人信息处理规则弹窗等形式向用户明示个人信息处理的目的、方式和范围，未经用户同意，不应收集个人信息。
-APP以个人信息处理规则弹窗等形式向用户明示个人信息处理的目的、方式和范围，未清晰明示处理个人信息的目的、方式和范围，用户同意后，不应收集相应个人信息；未清晰明示在静默状态下或在后台运行时收集个人信息的目的、方式和范围，不应收集相应个人信息。
-APP未以个人信息处理规则弹窗等形式向用户明示第三方SDK处理个人信息的目的、方式和范围，第三方SDK不应收集个人信息。
-APP以个人信息处理规则弹窗等形式向用户明示第三方SDK处理个人信息的目的、方式和范围，未经用户同意，第三方SDK不应收集个人信息。
-APP以个人信息处理规则弹窗等形式向用户明示第三方SDK处理个人信息的目的、方式和范围，未清晰明示第三方SDK处理个人信息的目的、方式和范围，用户同意后，第三方SDK不应收集相应个人信息；未清晰明示在静默状态下或在后台运行时第三方SDK收集个人信息的目的、方式和范围，第三方SDK不应收集相应个人信息。
-APP在征求用户同意环节，应提供明确的同意和拒绝选项。
-APP在征求用户同意环节，不应设置为默认同意。
情形一： APP首次启动时，未有以弹窗形式明示个人信息保护政策。
改进建议： APP首次启动时，以弹窗等形式向用户明示个人信息保护政策。
情形二： 个人信息保护政策未有说明个人信息处理的目的、方式和范围，如个人信息保护政策为公司官网等与个人信息保护无关的内容。
改进建议： 个人信息保护政策须说明个人信息处理的目的、方式和范围，个人信息保护政策模板可参考GB/T 35273-2020《信息安全技术 个人信息安全规范》附录D。
情形三： 在用户阅读个人信息保护政策前，存在收集个人信息的行为。
改进建议： 建议修改相关代码，停止在用户阅读个人信息保护政策前收集个人信息（个人信息包括不限于IMEI、IMSI、设备MAC地址、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等）。
重点关注APP、SDK未向用户告知且未经用户同意，私自使用个人信息，将用户个人信息用于其提供服务之外的目的，特别是私自向其他应用或服务器发送、共享用户个人信息的行为。
-APP未向用户明示个人信息处理的目的、方式和范围，不应将个人信息发送给第三方SDK等产品或服务。
-APP以个人信息处理规则弹窗等形式向用户明示共享给第三方的行为，未经用户同意，不应将个人信息发送给第三方SDK等产品或服务。
-APP以个人信息处理规则弹窗等形式向用户明示个人信息处理的目的、方式和范围，未清晰明示共享的第三方身份、目的及个人信息类型，用户同意后，不应将个人信息发送给第三方SDK等产品或服务。
-APP未向用户告知且未经用户同意，不应将设备识别信息、商品浏览记录、搜索使用习惯、软件安装列表等个人信息传输至APP服务器后，向第三方产品或服务提供其收集的个人信息。
情形一： App未见向用户明示分享的第三方名称、目的及个人信息类型，用户同意个人信息保护政策后，存在将个人信息发送给第三方SDK的行为。
改进建议： 建议修改APP个人信息保护政策，APP须在个人信息保护政策等公示文本中逐一列明App所集成第三方SDK收集使用个人信息的目的、方式和范围，并征得用户同意；建议修改相关代码，在用户同意前，停止将个人信息发送给第三方SDK。
重点关注APP、SDK未以显著方式标示且未经用户同意，将收集到的用户搜索、浏览记录、使用习惯等个人信息，用于定向推送或广告精准营销，且未提供关闭该功能选项的行为。
-若APP的业务功能存在定向推送功能，应以个人信息处理规则弹窗等形式向用户明示，将收集的用户个人信息用于定向推送、精准营销。
-若APP定向推送功能使用了第三方的个人信息来源，应以个人信息处理规则弹窗等形式向用户明示业务功能使用第三方的个人信息进行定向推送，并向用户明示第三方的个人信息来源。
-APP以个人信息处理规则弹窗等形式明示存在定向推送功能，页面中应显著区分定向推送服务，显著方式包括但不限于：标明“个性化推荐”、“定推”、“猜你喜欢”等其他能显著区分的字样，或通过不同的栏目、版块、页面分别展示等。
-APP以个人信息处理规则弹窗等形式明示存在定向推送功能，应提供便捷有效的退出或关闭个性化展示模式的选项，如拒绝接受定向推送信息，或停止、退出、关闭相应功能的机制。
情形一： APP个人信息保护政策中存在“向您提供更加个性的内容”等内容，明示存在定向推送功能，但未见提供退出或关闭个性化展示模式的选项。
改进建议： 若APP存在定向推送功能，应提供应提供便捷有效的退出或关闭个性化展示模式的选项，如拒绝接受定向推送信息，或停止、退出、关闭相应功能的机制。
重点关注APP安装、运行和使用相关功能时，非服务所必需或无合理应用场景下，用户拒绝相关授权申请后，应用自动退出或关闭的行为；短时长、高频次，在用户明确拒绝权限申请后，频繁弹窗、反复申请与当前服务场景无关权限的行为；未及时明确告知用户索取权限的目的和用途，提前申请超出其业务功能等权限的行为。
-APP 运行时，向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝授权后，APP 不应退出或关闭，不应拒绝注册或登录，或拒绝提供与申请权限无关的功能服务。
-APP 运行时，向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝授权后，APP 不应循环弹窗申请权限，使用户无法继续使用。
-APP 未提供相关业务功能或服务，不应申请通讯录、定位、短信、录音、相机、日历、电话、存储等权限。
-APP 首次打开或运行中，未见使用权限对应的相关功能或服务时，不应提前向用户弹窗申请开启通讯录、定位、短信、录音、相机、日历、电话、存储等权限。
-APP不应频繁申请权限，具体场景包括但不限于以下方式：APP运行时，在用户明确拒绝通讯录、定位、短信、录音、相机、日历、电话、存储、通知等权限申请后，不应向用户频繁弹窗申请与当前服务场景无关的权限，影响用户正常使用。APP在用户明确拒绝通讯录、定位、短信、录音、相机、日历、电话、存储、通知等权限申请后，重新运行时，APP不应向用户频繁弹窗申请开启与当前服务场景无关的权限，影响用户正常使用。
情形一： APP首次启动或用户使用期间，向用户索取权限，用户拒绝授权后，APP强制退出、关闭、白屏、或者循环弹窗，使用户无法继续使用。
改进建议： APP运行时，向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝授权后，APP应至少保证正常浏览，而不应退出、关闭、白屏、或者循环弹窗，影响用户正常使用。
情形二： 用户注册登录时，向用户索取权限，用户拒绝授权后，无法注册或登录。
改进建议： 用户注册登录时，向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝授权后，APP应依然提供注册或登录服务。
情形三： APP首次启动或用户使用期间，在用户明确拒绝权限申请后，用户仅浏览或前后台切换等未有主动触发权限所涉及的业务场景，再次弹窗申请权限。
改进建议： APP运行时，在用户明确拒绝通讯录、定位、短信、录音、相机、日历、电话、存储、通知等权限申请后，应不再向用户频繁弹窗申请与当前服务场景无关的权限，并保证用户正常使用。
情形四： 在用户明确拒绝权限申请后，退出APP后再重新启动后，立刻弹窗申请权限。
改进建议： 在用户明确拒绝通讯录、定位、短信、录音、相机、日历、电话、存储、通知等权限申请后，重新运行时，非用户主动触发权限所涉及的业务场景，应不再向用户弹窗申请与当前服务场景无关的权限，并保证用户正常使用APP。
注：
1）个人信息包含但不限于：IMEI、IMSI、设备MAC地址、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频，具体请参阅GB/T 35273-2020《信息安全技术 个人信息安全规范》
2）个人信息保护政策（又称隐私政策）模板，具体请参阅GB/T 35273-2020《信息安全技术 个人信息安全规范》附录D
3）GB/T 35273-2020《信息安全技术 个人信息安全规范》
4）《App违法违规收集使用个人信息行为认定方法》
5）工业和信息化部关于开展APP侵害用户权益专项整治工作的通知【工信部信管函[2019]337号】
6）工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知【工信部信管函〔2020〕164号】
7）《APP用户权益保护测评规范》
8）《常见类型移动互联网应用程序必要个人信息范围规定》
9）《中华人民共和国网络安全法》
10）《中华人民共和国个人信息保护法》
