编者按：
1、背景
近年来对App收集个人信息违法违规行为治理工作的深化，发现有些违规收集用户信息的行为是第三方SDK造成的，这让集成这些SDK的宿主App存在了合规风险。虽然目前很多第三方SDK也在逐步将收集行为合规化，很多第三方SDK供应商也提供了隐私政策，也将SDK的个人信息收集行为进行公示，说明了SDK在收集个人信息时候的目的、类型等。App在集成这些SDK后，也会在App隐私政策中公示使用的SDK的名称等相关信息。这样让App和SDK对个人信息的收集行为更加的透明化，让用户在使用App的时候，更加了解自己的个人信息的收集者和处理者。
但是，绝大多数第三方SDK并非开放源代码的，而是只提供了使用接口进行功能的调用的方法，这让核实第三方SDK对个人信息的收集行为是否与SDK隐私政策中描述的相符变成了障碍。App在嵌入第三方SDK的时候，无法确定SDK收集个人信息的数量、场景、频率是否与隐私政策中相符？是否存在隐蔽收集的情况？在未确定SDK的合规安全风险的前提下就将SDK集成在App中，无疑是增加了App本身的不合规风险。
据统计，平均每款App嵌入的SDK个数是13.36，也就是说，平均1款App就嵌入了接近14个SDK，App研发企业目前只能通过隐私政策的方式对SDK进行了解，企业没有对应的技术手段、检测思路以及动力对集成的第三方SDK进行检测，来发现SDK实际的个人信息收集行为是否与隐私政策中描述的一致，从而在集成之前就发现SDK的合规问题，减少App由于集成了不合规的第三方SDK而被通报的风险。
2、问题分析
按照通报来看，集成了这13款SDK的宿主App应该是具有合规风险的，宿主App为了防止风险需要进行自我整改，在整改过程中目前无外乎四个方案：一、等待被通报SDK的更新，被通报SDK整改完成后替换合规的SDK；二、删除被通报的SDK，使用其它同功能的SDK进行替换；三、删除被通报的SDK，自主研发相同功能；四、删除被通报SDK，不使用对应的功能。这就引出了以下几个问题：
-
等待被通报SDK完成整改，宿主App完全不能掌控，在未更新之前App将一直处于风险中。
-
采用相同功能的SDK进行替换，这个替换上来的SDK是否也存在合规风险？
-
自主研发相同功能，研发周期、研发成本将会有巨大的投入，研发完成以后是否能达到功能替换效果，也是未知数。在研发完成之前，App还是处于风险中。
-
删除SDK，不使用对应功能，可能会对业务造成损失，合规固然重要，但是业务造成损失就带来App生存问题了。
这几个解决方案就感觉像给孩子洗澡，洗完澡以后，把脏水和孩子一块儿倒了。难道就没有只倒脏水，保留孩子的解决方案吗？答案是有的。
3、解决方案
我们来从技术层面进行分析和查找解决方案。之所以第三方SDK行为违规会给宿主App带来风险，主要是宿主App在嵌入第三方SDK并且初始化以后，SDK在个人信息收集行为方面就不受宿主App的控制了，SDK可以采用异步或者其它的技术手段在后台运行代码。如果是恶意SDK的话，很可能出现在后台隐蔽执行恶意行为，App是无法察觉的。如图：
App中一般包含自研代码+SDK+开源代码组成，SDK和开源代码与自研代码具有同等运行权限，宿主App无法对闭源的SDK行为拥有掌控能力。
要解决这个问题，采用动态行为拦截技术，能有效的通过策略的方式，控制SDK的行为，让宿主App对第三方SDK的行为拥有控制权。如图
动态行为拦截技术，就像在App中加入了一个“合规审核员”，这个“合规审核员”的职责就是，对代码每一次收集用户个人信息的行为进行合规审计，拦截掉违规收集行为。有了这个“合规审核员”以后，哪怕SDK存在违规收集的行为，也能被我们的“合规审核员”给拦截下来。
动态行为拦截技术的应用，能够让您对所有的个人信息收集行为可控。实现个人信息收集清单中描述的业务场景与个人信息的收集关系，与运行过程中实际的收集行为保持一致。比如：购物下单业务场景中，按照最小必要的原则，只需要收集手机号、收货人姓名、收货地址，从技术层面，为了方便用户输入地址信息，可以采用获取GPS信息来帮助用户填写地址，此场景就需要用到1次GPS定位功能。我们可以在购物下单业务场景进入时，采用配置策略的方式，实现业务场景只能获取1次GPS信息，这个业务场景下，无论是SDK还是其他代码，均不能对其他个人信息的获取（如IMEI等），从而实现了单一业务场景只获取对应的最小个人信息的目的，达到对个人信息合法合规的收集。
动态行为拦截技术是目前已知的最能够快速解决App合规性问题的一种技术。它能实现，运行时对App中未知权限使用的拦截和App中未知个人信息收集行为的拦截，拦截率为100%。应用该技术后，您无需对违规收集的SDK进行整改，可以放心的使用SDK对业务有帮助的功能，违规收集行为会被动态行为拦截技术给拦截下来。此项技术的最大特点是通过拦截的方式快速完成合规性能力提升，让App拥有技术手段来控制个人信息的收集行为。
最后，App合规技术能力主要体现为，集成之前的事前审查和运行时刻的动态行为拦截。运行时刻的动态行为拦截技术，更能够从业务场景的角度来规划个人信息的收集，更有效和可控的掌握个人信息收集的时机、频率，能够让App合理合法的收集个人信息。（完）
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
传染病疫情防控与个人信息保护系列文章
关于数据与竞争政策的翻译和分析：
健康医疗大数据系列文章：
网联汽车数据和自动驾驶的系列文章：
网络空间的国际法适用问题系列文章：
人脸识别系列文章：
关于欧盟技术主权相关举措的翻译和分析：
关于保护网络和信息系统安全的相关文章包括：
中国个人信息保护立法的相关文章包括：
《网络数据安全管理条例（征求意见稿）》系列文章：
个性化广告系列文章包括：
《数据安全法》的相关文章包括：
赴美上市的中国公司在网络、数据安全的文章如下：
关于健康医疗数据方面的文章有：
关于人工智能安全和监管，本公号发布过以下文章：
关于中美与国家安全相关的审查机制，本公号发布过以下文章：
-
美国电信行业涉及外国参与的安全审查（一）：基本制度介绍
-
美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权
-
美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令
-
美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令
数据的安全、个人信息保护、不正当竞争等方面的重大案例：
关于数据要素治理的相关文章包括：
关于数据执法跨境调取的相关文章：
业务场景中的数据跨境流动的文章如下：
数字贸易专题的系列文章有：
个性化广告系列的文章包括：
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论