Genetic Data Collection Not Disclosed in Privacy Policy

隐私政策中未披露的遗传数据收集

Risk: medium

描述

该应用程序收集遗传数据（涉及个人遗传或后天获得的遗传特征），但隐私政策中未予披露。在GDPR等法规下，遗传数据属于个人信息的特殊类别，具有极高的敏感性。未将此类收集情况告知用户是一个非常严重的问题，并且很可能违反了要求明确同意和最严格数据保护措施的法律要求。

建议

更新您应用程序的隐私政策，明确声明会收集遗传数据。清楚地详细说明收集的遗传数据的特定类型、此项收集的精确目的、如何以最高安全级别使用、处理和存储数据，以及数据保留期。在收集此类高度敏感信息之前，确保获得了用户明确、毫不含糊的同意，并确保所有做法均符合适用于特殊类别数据的适用数据保护法律，这通常需要进行数据保护影响评估（DPIA）。

链接

• GDPR Article 9 - Processing of Special Categories of Personal Data
• GDPR Article 4 - Definitions (Genetic Data)
• CWE-359: Exposure of Private Information ("Privacy Violation")

标准

• GDPR:
  • ART_5
  • ART_6
  • ART_7
  • ART_9
  • ART_12
  • ART_13
  • ART_25
  • ART_32
  • ART_35
• CCPA:
  • CCPA_1798_100
  • CCPA_1798_110
  • CCPA_1798_150
• OWASP_MASVS_v2_1:
  • MASVS_PRIVACY_1
  • MASVS_PRIVACY_2
• SOC2_CONTROLS:
  • CC_2_3
  • CC_5_3
  • CC_6_1
• CNIL_FOR_EDITORS:
  • EDITORS_1_2_5
  • EDITORS_3_1_1
  • EDITORS_3_1_2
  • EDITORS_4_1_1