1、未公開收集使用個人資訊規則

1.1在App中沒有隱私政策，或者隱私政策中沒有收集使用個人資訊規則（檢查APP所有地方，只要沒有隱私政策的相關內容就算，隱私政策的存在不一定是單獨一個檔案，也可以是用戶協議的一部分，合規條件一定是隱私政策+收集使用規則）

1.2在App首次運行時未通過彈窗等明顯方式提示用戶閱讀隱私政策等收集使用規則（現在較為通用的明顯方式有彈窗、特殊字體和顏色等，明顯不合規的方式有使用灰色字體、小字號、遮擋、與背景色相近等）

1.3隱私政策等收集使用規則難以訪問，如進入App主界面后，需多于4次點擊等操作才能訪問到

1.4隱私政策等收集使用規則難以閱讀，如文字過小過密、顏色過淡、模糊不清，或未提供簡體中文版等

2.未明示收集使用個人資訊的目的、方式和范圍

2.1未逐一列出App(包括委托的第三方或嵌入的第三方代碼、插件)收集使用個人資訊的目的、方式、范圍等(“逐一”很重要，《個人資訊安全規范》的附錄中給了隱私政策模板，很少有APP能達到此項要求，在已使用過APP的情況下，查看APP的動態行為程序，檢查是否有第三方SDK等使用權限收集個人資訊，隱私政策要與行為一致，)

2.2收集使用個人資訊的目的、方式、范圍發生變化時，未以適當方式通知用戶，適當方式包括更新隱私政策等收集使用規則并提醒用戶閱讀(在隱私政策中必須寫明什么方式，明顯方式一般包括彈窗、郵件、公告，一般在評估程序中不會碰到更新的情況，此時報告需要寫明，雖然合規但是無法驗證通知方式)

2.3在申請打開可收集個人資訊的權限，或申請收集用戶身份證號、銀行賬號、行蹤軌跡等個人敏感資訊時，未同步告知用戶其目的，或者目的不明確、難以理解

2.4有關收集使用規則的內容晦澀難懂、冗長繁瑣，用戶難以理解，如使用大量專業術語等(一些能成為用戶理解障礙的話)

3、未經用戶同意收集使用個人資訊

3.1征得用戶同意前就開始收集個人資訊或打開可收集個人資訊的權限;(“征得用戶同意”一般需要在首次打開APP不做任何操作的情況下，拉取APP行為資料，如果發現APP有采集用戶個人資訊的行為則不合規，或在權限全部關閉的情況下，私自打開也不合規，安卓系統會默認打開權限，應該在首次運行APP前在手機設定中關閉此APP的權限，個人資訊的定義和范圍參考《個人資訊安全規范》)

3.2 用戶明確表示不同意后，仍收集個人資訊或打開可收集個人資訊的權限，或頻繁征求用戶同意、干擾用戶正常使用；(在拒絕某項權限或拒絕提供某個人資訊后，APP在運行時仍然打開了缺陷或者收集了此項個人資訊則不合規，如果頻繁彈出此彈窗影響用戶使用也不合規)

3.3 實際收集的個人資訊或打開的可收集個人資訊權限超出用戶授權范圍(發生了3.1的情況，屬不屬于3.3？獲取APP動態行為資料，查看收集情況在隱私政策中是否有說明，沒有或內容不一致則不合規，打開的權限是否均是用戶同意過的)

3.4以默認選擇同意隱私政策等非明示方式征求用戶同意；(一般存在的默認同意方式有：已閱的勾選框默認勾選，只有同意按鈕，有登錄注冊則代表同意等類似表達)

3.5 未經用戶同意更改其設定的可收集個人資訊權限狀態，如App更新時自動將用戶設定的權限恢復到默認狀態；(除了示例情況，還有選擇關閉的權限，打開APP后自動開啟了)

3.6 利用用戶個人資訊和演算法定向推送資訊，未提供非定向推送資訊的選項(查看功能和隱私政策，只要能實作關閉定向推送，則合規，有些APP是沒有定向推送功能的，如果APP內置檔案中沒有關于推送的描述，在使用APP程序中需要自行判斷是否有此功能)

3.7以欺詐、誘騙等不正當方式誤導用戶同意收集個人資訊或打開可收集個人資訊的權限，如故意欺瞞、掩飾收集使用個人資訊的真實目的；(還沒遇見過，可以著重關注推送的廣告是否誘導打開權限，提現功能是否有欺詐等行為)

3.8未向用戶提供撤回同意收集個人資訊的途徑、方式(隱私政策或功能中要有實作撤回的辦法，撤回之后不能影響APP的使用)

3.9違反其所宣告的收集使用規則，收集使用個人資訊(行為要與隱私政策一致，根據隱私政策檢查，與2.1的區別就是，2.1是根據APP功能檢查)

4、違反必要原則，收集與其提供的服務無關的個人資訊

4.1 收集的個人資訊型別或打開的可收集個人資訊權限與現有業務功能無關(需要評估人員自己衡量是否無關)

4.2因用戶不同意收集非必要個人資訊或打開非必要權限，拒絕提供業務功能(非必要的判斷一個可以參考所涉及的業務功能，一個可以參考《資訊安全技術 移動互聯網應用（App）收集個人資訊基本規范-最新征求意見稿》中規定的最小權限和資訊)

4.3 App新增業務功能申請收集的個人資訊超出用戶原有同意范圍，若用戶不同意，則拒絕提供原有業務功能，新增業務功能取代原有業務功能的除外(一般評估時期不會碰到這個問題，無法評估)

4.4 收集個人資訊的頻度等超出業務功能實際需要(頻度是否超出的根據使用時間和其他收集行為的頻度來判斷，若只打開APP，則頻度上百基本算超過，若使用了APP，頻度上千基本算超過，如果3.1不合規，也屬于4，4的不合規)

4.5 僅以改善服務質量、提升用戶體驗、定向推送資訊、研發新產品等為由，強制要求用戶同意收集個人資訊；(“強制”的情況一般是頻繁彈窗影響使用，或不確定就不讓用，還需要注意，此項是專門針對“改善服務、提升體驗”等為目的的，與3.2區分開來)

4.6 要求用戶一次性同意打開多個可收集個人資訊的權限，用戶不同意則無法使用，(官方檔案明確表明targerSDKversion>23合規，23到底包不包含還需要去確定，已經此項代表什么含義也還需要學習，或存在此類彈窗，但這種情況比較少)

5、未經同意向他人提供個人資訊

5.1 既未經用戶同意，也未做匿名化處理，App客戶端直接向第三方提供個人資訊，包括通過客戶端嵌入的第三方代碼、插件等方式向第三方提供個人資訊(需要向第三方提供個人資訊時，應在隱私政策中寫明，如果寫了，抓包看看一些資訊是否匿名化，例如IMEI\密碼等，一般評估只能評估出是不是明文傳輸，無法評估是否匿名化，這里需要區分匿名化和去標志化的概念，《個人資訊安全規范》中說匿名化是不能被復原的，匿名化處理后的資訊不屬于個人資訊，去標志化的定義就屬于我們日常理解的加密的范疇)（例如分享到QQ，抓包能看見QQ號，算不算違規呢？如果技術上非明文賬號也能實作功能，那么Q號明文傳輸就不合規，但是這個怎么判斷？）

5.2 既未經用戶同意，也未做匿名化處理，資料傳輸至App后臺服務器后，向第三方提供其收集的個人資訊(不能訪問服務器，這條如何評估呢)

5.3 App接入第三方應用，未經用戶同意，向第三方應用提供個人資訊，(第三方登錄不算接入第三方，需要注冊登錄才能使用的第三方，需要抓包分析，這個從一大堆訊息包中找到隱私政策中所沒有的，有點難)

6、“未按法律規定提供洗掉或更正個人資訊功能”或“未公布投訴、舉報方式等資訊

6.1未提供有效的更正、洗掉個人資訊及注銷用戶賬號功能(按照方法注銷后，賬戶仍可以使用，不合規)

6.2 為更正、洗掉個人資訊或注銷用戶賬號設定不必要或不合理條件(需要額外資訊才能注銷、虛擬貨幣需要清空、非必要的人證合一要求等為不合理障礙，金融理財軟體需要特殊的界限)

6.3雖提供了更正、洗掉個人資訊及注銷用戶賬號功能，但未及時回應用戶相應操作，需人工處理的，未在承諾時限內（承諾時限不得超過15個作業日，無承諾時限的，以15個作業日為限）完成核查和處理；(在《個人資訊安全規范》中是30日內，移動端更注重時效)

6.4 更正、洗掉個人資訊或注銷用戶賬號等用戶操作已執行完畢，但App后臺并未完成的；(后臺未完成如何判斷，與6.1中注銷后仍然能使用是否相同，我的觀點是，不檢查后臺資料庫是無法評估的)（還有一個現象，賬號M在A,B設備登陸使用過，現在在A設備注銷后，在A設備再次登陸時發現無法登錄；但使用B設備，仍然可以以此賬號M來使用應用，只要退出登錄操作后才不能以M身份使用，我的觀點是，這個情況屬于不合規，在賬號注銷后，B設備上使用時應該直接踢出登錄，如果是不合規，那屬于哪一條？如果合規，為什么？）

6.5 未建立并公布個人資訊安全投訴、舉報渠道，或未在承諾時限內（承諾時限不得超過15個作業日，無承諾時限的，以15個作業日為限）受理并處理的