超范圍索取權(quán)限、過度收集用戶個人信息……11月4日,北京商報記者梳理發(fā)現(xiàn),自公布首批侵害用戶權(quán)益行為App通報以來,已有包括遼寧振興銀行、永隆銀行、華商銀行、大連銀行、錦州銀行、四川天府銀行、綿陽市商業(yè)銀行、廣州農(nóng)商行、廣東南粵銀行在內(nèi)的多家銀行App因違規(guī)收集個人信息等問題被工信部點名。當(dāng)前,被點名的銀行整改情況如何?北京商報記者從多家上述被點名的銀行處獲悉,目前已有多家銀行完成了整改,部分銀行也通過公開途徑向客戶做出提示。
又一家銀行被點名
11月3日,工信部發(fā)布《關(guān)于App超范圍索取權(quán)限、過度收集用戶個人信息等問題“回頭看”的通報》指出,近期,針對用戶反映強烈的App超范圍、高頻次索取權(quán)限,非服務(wù)場景所必需收集用戶個人信息,欺騙誤導(dǎo)用戶下載等違規(guī)行為進行了檢查,共發(fā)現(xiàn)38款A(yù)pp存在問題。各通信管理局按照工信部統(tǒng)籌部署,積極開展App技術(shù)檢測,截至目前尚有17款A(yù)pp未按時限要求完成整改。其中,在遼寧省通信管理局通報存在問題的應(yīng)用軟件名單中,遼寧振興銀行被點名。
北京商報記者注意到,此次被通報的遼寧振興銀行App來自小米應(yīng)用商店,軟件版本為1.15.7,主要存在的問題為“違規(guī)收集個人信息”“App強制、頻繁、過度索取權(quán)限”。工信部指出,上述App應(yīng)在11月9日前完成整改,逾期不整改或整改不到位的,將依法依規(guī)進行處置并予以行政處罰。
遼寧振興銀行為遼寧省首家法人民營銀行,于2017年9月28日注冊成立,并于同年11月24日正式對外營業(yè)。北京商報記者下載遼寧振興銀行手機銀行App評測后發(fā)現(xiàn),在登錄界面,用戶首先要閱讀《遼寧振興銀行App用戶隱私政策》,遼寧振興銀行表示,當(dāng)用戶使用該行App服務(wù)過程中會收集用戶在使用服務(wù)過程中主動輸入或因使用服務(wù)而產(chǎn)生的信息。
例如,在進行注冊時,遼寧振興銀行會驗證用戶的姓名、身份證件信息、銀行卡信息;在接受網(wǎng)絡(luò)金融服務(wù)時,用戶需要向該行提供IP地址、MAC地址等信息,如不提供則無法進行轉(zhuǎn)賬匯款、明細(xì)查詢、產(chǎn)品購買等服務(wù)。當(dāng)北京商報記者點擊拒絕用戶隱私政策時,被遼寧振興銀行提醒“若您拒絕,我們將無法為您提供全面優(yōu)質(zhì)的服務(wù)”,此時App也無法正常登錄使用。
從工信部的通報中可以看到,遼寧振興銀行屬于尚未按時限要求完成整改的情況,為何出現(xiàn)整而不改問題?易觀高級分析師蘇筱芮指出,尚未整改的主要原因有兩點,一是機構(gòu)合規(guī)意識不夠強,對待整改工作未有足夠重視;二是機構(gòu)水平不足,對監(jiān)管要求的理解及技術(shù)能力還有待提升。針對后續(xù)整改計劃,北京商報記者嘗試致電遼寧振興銀行進行采訪,但截至發(fā)稿未收到回復(fù)。
多款銀行App侵害用戶權(quán)益
個人金融信息收集成為銀行違規(guī)的高發(fā)地帶,11月4日,北京商報記者梳理發(fā)現(xiàn),今年以來已有遼寧振興銀行、永隆銀行、華商銀行、大連銀行、錦州銀行、四川天府銀行、綿陽市商業(yè)銀行、廣州農(nóng)商行、廣東南粵銀行在內(nèi)的多家銀行因App存在違規(guī)問題被通報。
從違規(guī)緣由來看,大連銀行、錦州銀行、永隆銀行深圳分行、華商銀行、四川天府銀行、綿陽市商業(yè)銀行、廣州農(nóng)商行、廣東南粵銀行均存在違規(guī)收集個人信息問題。除了違規(guī)收集個人信息之外,華商銀行還存在強制用戶使用定向推送功能;綿陽市商業(yè)銀行存在超范圍收集個人信息;廣東南粵銀行存在App強制、頻繁、過度索取權(quán)限等情況。
當(dāng)前,被點名的銀行整改情況如何?北京商報記者從廣東南粵銀行方面獲悉,此次該行被通報的App為手機銀行5.3.2版本,涉及問題主要是沒有在隱私政策等公示文本中逐一列明App的相關(guān)信息,在獲得用戶授權(quán)時提示不足,該行已組織內(nèi)部力量開展App的迭代升級工作將問題一一修復(fù),在更新版本的同時,也通過公開途徑向客戶做了更新版本的提示。
四川天府銀行相關(guān)負(fù)責(zé)人也在回應(yīng)北京商報記者時稱,本次通報的問題App,是委托中國信通院于2021年1月通過聯(lián)想樂商店內(nèi)抓取的4.0.0.5版本進行檢測分析,但通報App版本為4.0.0.6,未說明具體原因。早在2021年3月8日,該行已對4.0.0.5版本進行整改升級,并于3月10日在各公開渠道發(fā)布了4.0.0.6版本。
“6月9日,我行收到四川省通信管理局委托中國信通院于6月2日復(fù)測的天府手機銀行《App違法違規(guī)收集使用個人信息合規(guī)評估報告》,報告顯示天府手機銀行(4.0.0.6)各項檢測項均合規(guī),符合相關(guān)法律和規(guī)范性文件要求,并不存在通報中的問題。”上述四川天府銀行相關(guān)負(fù)責(zé)人說道。另有一家銀行相關(guān)人士也向北京商報記者透露稱,“已按照要求完成整改”。
在蘇寧金融研究院金融科技研究中心研究員孫揚看來,App收集信息會和后臺的風(fēng)控系統(tǒng)、埋點系統(tǒng)、營銷系統(tǒng)相關(guān)聯(lián),也會和風(fēng)控服務(wù)提供方相關(guān),收集的信息可能被用于信貸風(fēng)控決策,賬戶反欺詐,用于營銷畫像產(chǎn)品推薦,這些用途可能和一些產(chǎn)品流程相關(guān)聯(lián),目前一些機構(gòu)的科技系統(tǒng)很多都是采購的,很多App也都是委托外包公司開發(fā),很多銀行對于產(chǎn)品細(xì)節(jié)和數(shù)據(jù)細(xì)節(jié)了解得不是很深入,對于數(shù)據(jù)的用途缺乏深刻的研究。
存儲、披露加強管理
當(dāng)下個人信息保護越來越受到監(jiān)管重視,11月1日開始,《個人信息保護法》正式施行,法規(guī)明確收集個人信息,應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍,不得過度收集個人信息。違反該法規(guī)定處理個人信息者,將由相關(guān)部門責(zé)令改正給予警告,并沒收違法所得,對違法處理個人信息的應(yīng)用程序,責(zé)令暫?;蛘呓K止提供服務(wù)。
在近日舉行的2021年香港金融科技周上,央行行長易綱也提出,建立健全法律法規(guī)和監(jiān)管體系是實現(xiàn)個人信息保護的基礎(chǔ)。個人信息保護的最終目的是促進數(shù)據(jù)的合理使用。要在充分保護個人信息的前提下,探索實現(xiàn)更加精確的數(shù)據(jù)確權(quán),更加便捷的數(shù)據(jù)交易,更合理的數(shù)據(jù)使用,激發(fā)市場主體活力和科技創(chuàng)新能力。
個人信息保護法的實施也對App個人信息的收集、使用提出更高的要求。對于如何加快銀行App的規(guī)范和整改,孫揚建議稱,銀行應(yīng)建立專門的數(shù)據(jù)團隊,分析在風(fēng)控、營銷等場景研究收集用戶信息的必要性,制定各個場景下需要收集信息的規(guī)范,并對所有產(chǎn)品進行約束,包括銀行主App、貸款A(yù)pp或者直銷銀行App等。其次,要有能力用“小數(shù)據(jù)”,做好銀行業(yè)務(wù)支撐的能力,而不能盲目追求“大數(shù)據(jù)”,多依賴隱私計算等先進技術(shù),做到用數(shù)據(jù),不存數(shù)據(jù);用數(shù)據(jù),不看數(shù)據(jù);用數(shù)據(jù),不泄露數(shù)據(jù)的目的。
“個人信息保護的工作完善流程并非一蹴而就,各商業(yè)機構(gòu)及其合作伙伴應(yīng)該從數(shù)據(jù)的采集、存儲、加工、傳輸、披露等環(huán)節(jié)規(guī)范用戶個人信息管理,例如采集前需征求用戶同意,必要時應(yīng)采取去標(biāo)識化原則等,通過制度及流程的梳理來加強內(nèi)部管控,遵循‘用戶授權(quán)、最小夠用、專事專用、全程防護’原則,對于其中的不規(guī)范信息管理行為及時糾偏。”蘇筱芮說道。