对移动设备ID标识合规要求的梳理与思考

移动设备ID标识符的体系庞杂多样且迭代快速，MAC、IMEI、Android ID、IDFA、OAID、GAID、UUID、UDID等琳琅满目，而各类设备ID与业务实现逻辑又结合紧密。本文主要对与移动设备ID相关的数据合规法律要求、应用商店规则以及业界实践进行总结分析，也对国内外对移动设备ID的合规要求进行对比。

笔者参考电信终端产业协会发布的《T/TAF 095-2021 安卓系统补充设备标识技术规范》将标识符分成四类，将工作中常见的设备ID归类到不同目录，同时整理了对应的标识符特性。

注：分类方式参考《T/TAF 095-2021 安卓系统补充设备标识技术规范》

我国与美国、欧盟对于设备ID的定义称谓略有不同，中国“设备信息”，美国‘Unique identifier’，欧盟 ‘an online identifier’，但其定义下所指代的标识符是相同的，且各法域下也均有相关定义，无论从中国、美国还是欧盟，设备ID均属于个人信息。

《个人信息安全规范》的“个人信息举例”中包括了个人常用设备信息，有：硬件序列号、设备MAC地址、软件列表唯一设备识别码（如 IMEI / Android ID / IDFA / OpenUDID / GUID / SIM卡 / IIMSI信息）等在内的描述个人常用设备基本情况的信息。

参考来源：《个人信息安全规范》附录A

“Personal information” (A) Identifiers such as a real name, alias, postal address, unique personal identifier, online identifier Internet Protocol address, email address, account name, social security number, driver’s license number, passport number, or other similar identifiers.

(X) “Unique identifier” or “Unique personal identifier” means a persistent identifier that can be used to recognize a consumer, a family, or a device that is linked to a consumer or family, over time and across different services, including, but not limited to, a device identifier; an Internet Protocol address; cookies, beacons, pixel tags, mobile ad identifiers, or similar technology; customer number, unique pseudonym, or user alias; telephone numbers, or other forms of persistent or probabilistic identifiers that can be used to identify a particular consumer or device. For purposes of this subdivision, “family” means a custodial parent or guardian and any minor children over which the parent or guardian has custody.

参考来源：CCPA 1798.140 – Definitions

‘personal data’ means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;

参考来源：GDPR Art.4  Definitions

“Natural persons may be associated with online identifiers provided by their devices, applications, tools and protocols, such as internet protocol addresses, cookie identifiers or other identifiers such as radio frequency identification tags. This may leave traces which, in particular when combined with unique identifiers and other information received by the servers, may be used to create profiles of the natural persons and identify them.” 

参考来源：GDPR Recital 30 of the Regulation

1、重点合规要求汇总

2、合规工作启示

笔者结合国内重点针对移动设备ID要求的相关合规要点进行了一些整理与思考，认为移动ID合规工作的关注点需要有效分配到数据全生命周期。

产品采集设备ID时，合规工作关注：

A、必要性与最小化原则评估，典型的场景

B、明确告知。产品上需要对采集字段的目的、类型、用途等进行梳理和告知，同时需要注意APP自身与SDK均可能采集相关Device信息，典型的营销类、归因类SDK

C、征得同意。产品上需要征得用户同意后对数据进行收集。而落实到实现中的逻辑，则需要注意用户在同意隐私政策前不能采集用户个人信息。开发层面，同样需注意从APP和SDK两个数据采集来源进行限制。

该阶段更多关注数据安全问题，主要包括数据存储加密以及存储脱敏，而实现该类方案的完整性和难易度，也较多依赖企业数据治理成熟度的高低。

A、数据内部使用。例如，企业内部的管理看板、业务后台、审核后台等，合规工作注意。

B、数据外部传输。例如，企业内部的管理看板、业务后台、审核后台等，合规工作注意。

C、用户权利响应。获取个人信息副本是数据使用过程中典型的用户权益响应项，无论个保法、个人信息安全规范等要求均有明确陈述，我们在此不多做法律要求分析。笔者尝试在这个话题上，从行业惯例与诉讼案例上进行对比分享，以供各位看官参考。

综上，在自动化响应的个人信息副本下载功能中，较多APP并不直接提供设备ID信息，但诉讼案例中，存在个人信息查询、复制、副本下载应包含设备ID信息的判决，且行业惯例与实现成本高低无法作为法定的免责事由的审判结果。

D、安全审计与日志记录。注意对于设备ID的数据增删改、访问、下载的记录，以及用户的同意、撤回和权利响应的记录，从而确保数据处理可审计、可追溯。

3、典型规范中涉及设备ID的合规点梳理

参考《个人信息安全规范》因ID标识符属于个人信息，故原则上合规注意事项应与个人信息等同。以下主要梳理了国内典型的专门针对设备ID提出要求的规范条目。

各大型平台作为“守门人”角色，也同样具备一些对于生态内部的治理规则和要求。部分数据合规工作的职责范围，在关注法律合规的同时也对大型平台规则有所延展。笔者试图整理了国内外典型的应用商店中针对设备ID的规则要求并做了些许对比分析。

A、海外应用商店规则

针对不同设备ID类型进行了其机制和特性的细分与深入延展，更具自主性风格，发现部分规则的门槛明显细于或高于法律要求，重点如下：

B、国内应用商店规则

针对不同设备ID类型，进行了使用场景下的区分与延展，相关要求均有据可依，积极落实国家要求，重点如下：

参考Google、Apple 开发者指引与HUAWEI、VIVO应用商店审核指南，我们进行了以下部分规则要点的梳理，统计时间截止至2022年4月。

1、合规工作中，碰到移动设备ID标识符的合规评估，怎么办？

从法律合规要求、应用商店规则两个方面进行，两者的要点可分别参考本文三、四章节。

2、合规工作中，遇到超出本文的不认识的设备标识符，怎么办？

化繁为简，以不变应万变。移动设备ID体系庞杂多样，更新迭代飞速，合规工作本就难以穷尽各种可能，但思考立法态度与商店规则，我们需要关注的是设备ID的基本特征和跨APP属性，无论怎样的ID，先归类它的根本属性再进一步判断其合法性与合理性。

3、ATT导致IDFA断崖式下滑，IOS归因怎么办？

对于归因问题，国内与海外生态略有不同。国内多由广告主自主归因，海外基本依赖第三方归因链路，IOS的ATT机制导致IDFA的授权率断崖式下滑，与此同时绕过设备ID的广告归因方案也受到了Apple的限制，后续IOS也提出了SKAN的方案并逐步迭代版本，笔者后续将尝试分享《IOS在后IDFA时代下的SKAN归因方案》的科普学习类文章。另外有关广告生态下的延展，笔者有幸参与过早期国内DSP、SSP与DMP不同领域独角兽的安全审计，也经历了广告从长媒体到短视频一路演变发展，直至大型平台筑起自己的私域花园，对该产业的机制和生态机制颇具兴趣，后续也尝试整理和分享《广告营销生态链的趣味科普与个人信息保护》的主题文章。

合作电话：18311333376

合作微信：aqniu001

投稿邮箱：[email protected]