移动应用的合规性--企业面临的新挑战

‍

‍

I -移动应用的一致性，2024 年的优先事项 ！ 

2022 年，法国人平均每天使用手机的时间为 3.9 小时，这一数字还在不断增长。数字技术的发展和移动应用程序使用量的增加促使法国国家信息和通信委员会（CNIL）更加关注这一问题。Dans le cadre de son plan d'action sur les applications mobiles,la CNIL a publié l'été 2023un projet de recommandation afin de clarifier les obligations légales des différents acteurs concernés et de promouvoir les bonnes pratiques en la matière.CNIL 还准备了 2021 年 3 月发布的主要与网络有关的法律条文的适用期。移动应用的合规性是委员会 2024 年的优先事项。 

移动应用程序允许处理大量网络环境中不存在（或很少存在）的个人数据：实时地理定位、访问用户地址卡、使用手机照片设备、通过谷歌/Facebook 进行身份验证等。这将使用户的数据使用环境更加合理。 

II - 应用，一个复杂的审计环境

这些广告商可以通过审核 CNIL 在其建议书中指出的内容，对其移动应用程序进行审计：  

• 是否已征得用户同意？
• 用户是否了解所收集的数据和所授予的权限？

• 政府的良好做法是否已落实到位？

尽管如此，移动应用程序的技术环境与网站还是有很大不同，以至于这些应用程序经常被比作 "黑盒子"。 

1. 与治理有关的复杂问题

Dans la plupart des entreprises, les équipes gérant le côté web et les équipes gérant les applications mobiles sont différentes, et n'ont que très peu d'adhérence dans leurs travaux.网络数据使用的合规性决定不可能与移动应用中的同类决定相一致。 

2. 记录较少的过程

由于法国和欧洲的不同机构制定了不同的网络规定，因此公告发布者已经习惯于制作一份先进的网络合规性文件。这样，在监管的情况下，就可以很容易地证明自己遵守了法律，并表明自己的良好意愿。这种详尽性在移动应用中十分罕见：很少有历史记录，没有私人生活政策，也很少有与符合性实施有关的管理！

3. 更复杂、更易掌握的技术

从技术上讲，移动应用程序与网络应用程序完全不同：它实际上是与代码相连的，需要一个技术性更强的环境，并要求具备特殊的能力。 

此外，在客户端配置的网页上，透明性是最重要的：我们可以在导航器上方便、即时地观察到所有请求。而在应用程序中，请求可能会以不同的方式处理，用户无法看到：这使得审核更加复杂。 

III - 审计方法 

A - 审计目标

为了解决跟踪器管理问题，我们设计了一种稳健的审计方法，用于识别应用程序、SDK（软件开发工具包）和最终产品上的跟踪器。这样就能确保跟踪器符合标准，或识别为确保符合标准而需要采取的纠正措施。 

移动应用程序审计的全部复杂性和难题在于是否有一种工具可以分析来自不同 SDK 的所有请求；在市场上，有多种工具可以显示不同的请求。 

B - 落实审计方法 

‍

我们的方法主要依赖于将 SDK 与行业和应用软件进行映射，以便识别所使用的 SDK，尤其是我们需要分析请求的 SDK。我们还可以借此机会了解这些不同 SDK 的最终用途，包括营销用途。 

因此，我们使用两个辅助工具来完成审计：一个是传统的应用程序 Browserstack，另一个是NYOB（"与你无关"，保护隐私组织）在审计中使用的工具 PiRogue。这些工具可以满足不同的需求。 

我们通过测试不同的同意情况（同意前、拒绝后和同意后）对请求进行分析，并检测可能存在的个人信息，如姓名、头衔或电子邮件。 

审计结果将有助于发现应用程序的合规性问题，以及解决这些问题的办法。

C - 长期保持一致性 

虽然现在很少有工具能对移动应用程序进行详尽的审核，但仍有一些应用程序出现在市场上。在五十五家公司中，我们测试了几款产品，并将其分为两类： 

• 可实现单元审计的工具 ：Browserstack、PiRogue、Fiddler
• 实现审计工业化和长期监测的工具：Netvigie 

如果您想了解更多有关移动应用程序审计的信息，请联系我们！您还可以在本页 查看我们有关个人数据保护的资源。