近日，廣東省公安廳官網曝光了44款App存在安全問題。
涉及三款醫(yī)療APP
廣東省公安廳稱，根據公安部“凈網2019”專項行動和中央網信辦、工信部、公安部、市場監(jiān)管總局四部委關于開展APP違法違規(guī)收集使用個人信息專項治理行動部署，廣東省公安機關持續(xù)加大超范圍收集用戶信息APP清理整治力度，發(fā)現一些APP存在超范圍讀取用戶通話記錄、短信內容，收集用戶通訊錄、位置信息，超權限使用用戶設備麥克風、攝像頭等突出安全問題。目前，有關監(jiān)測情況已上報公安部通報屬地公安機關開展清理整治。
根據發(fā)布的名單信息，這44款存在安全問題醫(yī)療相關的有三款，包括中藥材O2O服務平臺康美中藥城、新三板掛牌的深圳寧遠科技股份有限公司旗下的移動醫(yī)療服務平臺就醫(yī)160，以及在線醫(yī)學書籍應用平臺小圖醫(yī)學。
以“就醫(yī)160”為例，這款App存在讀取用戶聯系人數據、讀取用戶日歷信息、讀取用戶短信內容，允許應用發(fā)送短信/彩信，導致意外收費，允許應用程序錄制音頻等5條超范圍收集用戶信息的情況，且無用戶協議和隱私政策。而康美中藥城則存在強制訪問相機設備、允許應用程序錄制音頻等超范圍收集用戶信息的情況。
第三方掛號平臺每天泄露10萬+患者數據
事實上，早在上月中旬，廣東省和湖北省針對一些互聯網醫(yī)療產品的安全信息整頓就已展開。有媒體報道稱，一份國家衛(wèi)生健康委發(fā)布的《短信攔截醫(yī)院數據售賣事件分析報告》（下稱《報告》）（以下簡稱報告）在多個醫(yī)療信息化微信群流傳，披露了7月發(fā)生的醫(yī)院掛號數據在網上售賣的問題。
《報告》稱，經調查發(fā)現，2019年7月9日，在暗網論壇（ID：nicaishidashen）以3元/條價格售賣的醫(yī)院實時掛號數據，是由第三方預約掛號網站的發(fā)短信平臺導致的泄露，賣家稱，數據隔天提供，每日10萬條，掛號信息包含用戶的名字、手機、對應科室等，是醫(yī)療詐騙和精準營銷類黑產核心需求的數據。
最終經測試發(fā)現，數據均為真實的，手機與預約名字均為匹配。售賣數據的短信中，預約主體都為第三方代理掛號類網站，包括“卓健科技”和“健康之路”。
事發(fā)后，對于此次出問題的第三方預約掛號平臺，廣東、湖北兩省衛(wèi)生健康委分別下發(fā)通知，要求各醫(yī)院“暫停與其合作的預約掛號業(yè)務”。
具體而言，湖北省衛(wèi)健委發(fā)布《關于加強醫(yī)療機構預約掛號網絡安全管理的通知》，要求立即切斷與健康之路等預約平臺的通訊鏈路，并暫停與其合作預約掛號業(yè)務。
據湖北省一家醫(yī)院信息中心負責人表示，雖然湖北省文件里只提到了兩家掛號平臺，但有的醫(yī)院為保險起見，把所有的第三方掛號平臺全部禁掉了。“第三方掛號平臺沒選好短信服務供應商，這次事件對他們將產生很大影響。”
而廣東省衛(wèi)健委在收到《報告》后，立即對部分醫(yī)療衛(wèi)生機構網絡信息與數據安全進行摸底核查，確認部分患者個人信息確實是由廣東省醫(yī)院合作的“健康之路”等第三方預約掛號平臺上泄漏。廣東省衛(wèi)健康委要求各地、各醫(yī)院立即暫停接入方預約掛號平臺服務，并進行有效的安全隔離。存在安全問題的第三方預約掛號平臺，立即進行整改，據整改結果決定是否恢復服務。
同時，廣東省衛(wèi)健委還要求各地、各單位以此次信息泄露事件為契機，全面組織本地、本單位網絡信息與數據安全工作自查自糾。重點核查與第三方掛號平臺合作情況、與第三方信息系統(tǒng)對接安全性及安全防護措施、健康醫(yī)療數據管理、網絡信息安全責任制的落實等。還要求各單位加強對健康醫(yī)療數據的采集、存儲、處理換等過程的管理和監(jiān)控，按照“誰主管誰負責、誰使用誰負責、誰運營誰負責”原則，指導所屬單位加強監(jiān)測預警，完善應急措施，堵塞安全漏洞。
四部門聯手專項治理
近年來，隨著移動APP得到廣泛應用，一方面，其在促進經濟社會發(fā)展、服務大眾等方面發(fā)揮了不可替代的作用，另一方面，App強制授權、過度索權、超范圍收集個人信息的現象早已不是個例，違法違規(guī)使用個人信息的問題十分突出。
2018年，一篇名為《“春雨醫(yī)生”“丁香醫(yī)生”要獲取8項個人隱私權限，健身醫(yī)療APP收集隱私到底用來干什么?》一文揭露了包括春雨醫(yī)生、丁香醫(yī)生在內的醫(yī)療App獲取隱私信息的驚人范圍。涉及包括允許程序獲取用戶當前粗略的位置信息用來定位、通話程序打開或關閉Wi-Fi、允許程序輸入電話號碼、允許程序獲得用戶當前精確的位置信息用來定位、允許程序修改網絡狀態(tài)、允許程序訪問攝像頭拍照或錄像、允許程序讀取或寫入系統(tǒng)設置等8項個人隱私權限。
另外，程序還擁有禁止設備休眠、禁止用鍵盤鎖、裝載和卸載系統(tǒng)、檢索正在運行的應用、讀取系統(tǒng)日志文件、重啟其他應用、修改或刪除SD卡中的內容等設置。同樣擁有超百萬次安裝量的“拇指醫(yī)生”涉及的個人隱私權限包括讀取聯系人數據、創(chuàng)建藍牙連接等等。
為了切實治理個人信息保護方面存在的亂象，今年年初，中央網信辦、工信部、公安部、市場監(jiān)管總局四部門聯合發(fā)布《關于開展App違法違規(guī)收集使用個人信息專項治理的公告》，決定自2019年1月至12月，在全國范圍組織開展App違法違規(guī)收集使用個人信息專項治理。
《公告》指出，App運營者收集使用個人信息時要嚴格履行《網絡安全法》規(guī)定的責任義務，對獲取的個人信息安全負責，采取有效措施加強個人信息保護。遵循合法、正當、必要的原則，不收集與所提供服務無關的個人信息；收集個人信息時要以通俗易懂、簡單明了的方式展示個人信息收集使用規(guī)則，并經個人信息主體自主選擇同意；不以默認、捆綁、停止安裝使用等手段變相強迫用戶授權，不得違反法律法規(guī)和與用戶的約定收集使用個人信息。倡導App運營者在定向推送新聞、時政、廣告時，為用戶提供拒絕接收定向推送的選項。
《公告》特別強調，有關主管部門加強對違法違規(guī)收集使用個人信息行為的監(jiān)管和處罰，對強制、過度收集個人信息，未經消費者同意、違反法律法規(guī)規(guī)定和雙方約定收集、使用個人信息，發(fā)生或可能發(fā)生信息泄露、丟失而未采取補救措施，非法出售、非法向他人提供個人信息等行為，按照《網絡安全法》《消費者權益保護法》等依法予以處罰，包括責令App運營者限期整改；逾期不改的，公開曝光；情節(jié)嚴重的，依法暫停相關業(yè)務、停業(yè)整頓、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照。
不過，通過文章開頭廣東省公安廳曝光的多款APP違規(guī)情況看，App違法違規(guī)收集使用個人信息治理還任重而道遠，相關職能部門也提醒，可開展App個人信息安全認證，并鼓勵App運營者自愿通過App個人信息安全認證，鼓勵搜索引擎、應用商店等明確標識并優(yōu)先推薦通過認證的App。
合作咨詢
肖女士
021-33392297
Kelly.Xiao@imsinoexpo.com
2006-2024 上海博華國際展覽有限公司版權所有（保留一切權利）
滬ICP備05034851號-57
