信息系统隐私风险评估办法.docxVIP

信息系统隐私风险评估办法

信息系统隐私风险评估办法

一、（1）自动化数据采集行为的合规性评估。在信息系统隐私风险评估中，数据采集环节的风险识别是基础工作。除了常规的用户主动提交信息外，需重点评估系统是否存在未经授权的被动采集行为。例如，通过埋点技术获取用户非必要操作轨迹时，需核查是否在隐私政策中明确告知采集目的、范围及存储期限，是否获得用户单独同意。针对生物识别信息采集，需评估系统是否具备活体检测能力，是否存在将人脸、指纹等敏感信息直接存储在客户端设备的情况。同时，需关注第三方SDK嵌入带来的采集风险，核查接入的SDK是否超出业务所需权限，是否存在私自上传用户通讯录、地理位置等行为。评