工信部通报13款违规SDK！“偷”隐私套路曝光[通俗易懂]

当你第一次下载使用某应用软件（APP）时，多半会被要求通过微信、QQ或者支付宝授权一键登录。对用户来说，这有可能增加了个人信息泄露风险，甚至直接被SDK收集了更多的个人信息。

那么，SDK是什么？

它是如何嵌入一款APP的？

治理APP侵权为何要规范SDK？

👇👇👇

“目前SDK应用存在诸多问题，如没有明示SDK功能、收集使用信息的规则、目的、方式、范围、用途等。”刘权说。

“基于开发便利和用户研究的需要，往往需要大量的手机用户信息，因为在使用这些信息前往往不能判断哪些信息有价值，所以就会过量地收集一些看起来不必要的信息。”业内观察人士马继华说。

“SDK的问题相对比较隐蔽，用户往往感觉不到，只是后台的开发者、程序员们才能了解，但这种信息的收集也有可能被用于非法的目的。”马继华说，“因此，有关部门应该定期通过专业技术进行检查测试，保护普通用户的合法权益。”

“SDK作为个人信息保护的一环被关注的时间较短，相关标准和经验较少。”刘权说，“从技术上讲，应组织开发检测平台、软件和工具，鼓励APP厂商或服务商开展自我检查或委托第三方进行检测。从标准上讲，应组织制定SDK信息披露方式及模板，将SDK功能、收集使用信息的规则、目的、方式、范围、用途等问题清晰地逐一列出，以保证用户知情权。”

国家计算机网络应急技术处理协调中心相关负责人指出，部分头部企业已开始重视SDK权限的管理，增加了SDK控制中间件等技术手段，用于管控各类SDK对系统权限的滥用。

“SDK本身不是什么需要防范的东西，它就是一段代码，APP里面也全是代码。”TalkingData法务合规负责人及数据合规官葛梦莹说，“实际上，APP是可以在嵌入之前做好SDK的合规性评估，并向个人用户明确告知其所嵌入的SDK类型、收集的数据类型、处理的目的和方式的，APP对SDK是可以尽到谨慎的选择和评估义务的，是可控的。目前都要求APP在隐私政策里公布SDK的类型、作用范围等。”

“因为SDK的服务对象是APP，不是个人用户，所以最终向个人用户负责的应该是APP。”葛梦莹认为，对监管者来说，首先需要从技术层面上判断SDK的法律角色定位、处理个人信息的合法性基础以及特定角色。以自己名义独立提供服务的第三方才需要自己获得用户同意，自己承担责任。

其次要判断SDK处理行为的合规性，可以利用官方的有相关资质的检测工具做检测，对SDK实际收集的个人信息与其隐私政策中所披露的内容进行一致性判断，对比相关字段是否一致。如果检测出SDK实际收集字段小于其隐私政策所披露的字段，则可认为其符合一致性。

据葛梦莹介绍，工信部此前已经要求互联网企业建立个人信息保护双清单（已收集个人信息清单和与第三方共享个人信息清单），并在APP二级菜单中展示，以便用户查询。披露的内容包括已收集个人信息清单应简洁、清晰列出APP包括内嵌第三方SDK，已经收集到的用户个人信息基本情况，包括信息种类、使用目的、使用场景等。

马继华认为，此次专门提出对SDK的管理，也是保护个人信息向深度发展的体现。监管部门应该联合相关开发企业、消费者代表等，制定个人信息最高收集标准以及相关的处罚规定。