上海网信解析“理财APP个人信息违法案例”

在国家网信办网络执法与监督局指导下，“亮剑浦江·消费领域个人信息权益保护专项执法行动”近期聚焦网络理财小贷场景下个人信息保护问题进行专项治理。
目前，上海市网信办已指导多家金融理财服务类APP运营企业加强个人信息保护合规工作，并会同国家金融监督管理局上海监管局，以及市银行同业公会、市保险同业公会等部门组织开展“网络理财小贷场景下个人信息保护”普法培训和行政指导，指导企业建立健全个人信息保护合规制度和安全防护措施，切实维护好广大消费者的个人信息权益。

为进一步强化企业合规意识，有效指导企业落实个人信息处理者法律责任，做到个人信息采之有界、用之有度、护之有责，上海市网信办根据前期巡查情况，梳理了该场景下六类常见违法违规问题共十个案例，以案释法，加大《个人信息保护法》普法力度。
第一类问题：强制消费者同意不相关的第三方产品隐私政策
案例1：消费者使用某投资理财类App注册登录功能时，该App强制要求消费者同意某第三方App隐私政策，否则无法完成注册登录功能。

违法违规点：案例1中App注册登录功能强制消费者同意第三方App隐私政策，且该第三方App隐私政策与本产品处理个人信息目的并不相关，属于处理信息未采取对个人权益影响最小的方式。以上行为侵害了消费者的个人信息合法权益。
相关法律条文：《中华人民共和国个人信息保护法》第五条和第六条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。
第二类问题：强制收集消费者非必要个人信息
案例2：消费者使用某投资理财类App拍照上传头像功能，该App申请非必要的存储权限（实际只需拍照权限即可），否则无法使用拍照上传头像功能。

案例3：消费者使用某消费分期类App语音搜索功能时，该App申请非必要的存储权限（实际只需麦克风权限即可），否则无法使用语音搜索功能。

违法违规点：案例2中App在消费者使用拍照上传头像功能时，强制要求消费者同意非必要的存储权限；案例3中App在消费者使用语音搜索功能时，强制要求消费者同意非必要的存储权限。以上行为属于强制要求消费者提供非必要的个人信息，侵害了消费者个人信息合法权益。
相关法律条文：《中华人民共和国个人信息保护法》第十六条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
第三类问题：频繁收集消费者非必要个人信息
案例4：消费者使用某银行贷款微信小程序，该小程序以“定位分行属地”为由申请非必要的精准位置信息，消费者拒绝后，仍继续弹窗申请精准位置信息，严重干扰消费者使用。

案例5:消费者使用某手机银行App注册登录功能时，该App以“填写验证码”为由申请非必要的短信权限，消费者拒绝后，重新使用注册登录功能，仍继续弹窗申请短信权限，严重干扰消费者使用。

违法违规点：案例4中小程序在消费者使用时，多次弹窗申请精准位置信息；案例5中App在消费者使用注册登录功能时，多次弹窗申请短信权限。以上行为属于频繁收集消费者非必要个人信息，干扰用户正常使用行为。
相关法律条文：《中华人民共和国个人信息保护法》第五条和第六条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。《App违法违规收集使用个人信息行为认定方法》第三条第二款规定，用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用。
金融理财服务类机构要对照案例解析举一反三进行自查整改，严格遵循收集消费者个人信息“最小、必要原则”“告知同意原则”，切实履行个人信息保护义务。下一步，上海市网信办将不定期开展“回头看”检查，对整改不力、问题严重的企业依法立案、从严查处。
第四类问题：未经消费者同意收集使用个人信息
案例6：消费者使用某保险类小程序时，该小程序在消费者同意隐私政策之前就向消费者申请授权精准位置信息。

违法违规点：案例6中小程序在消费者未同意隐私政策的情况下，直接申请打开精准位置信息权限，属于未经消费者同意收集使用个人信息的行为。
相关法律条文：《中华人民共和国个人信息保护法》第十三条规定，个人信息处理者在取得个人同意或符合法律规定的其他情形下方可处理个人信息。《App违法违规收集使用个人信息行为认定方法》第三条第一款规定，征得用户同意前就开始收集个人信息或打开可收集个人信息的权限，此类行为可被认定为“未经用户同意收集使用个人信息”。
第五类问题：未同步告知消费者收集个人信息目的
案例7：消费者使用某消费金融类小程序的上传身份证照片功能时，该小程序未同步向消费者告知收集身份证照片的必要性。

案例8：消费者首次使用某贷款类App时，App读取应用列表，但未向消费者同步告知读取应用列表的目的。

违法违规点：案例7中小程序要求消费者上传身份证照片等敏感个人信息，但未同步向消费者告知收集该个人信息的目的和必要性；案例8中App首次读取应用列表时未同步向消费者告知收集应用列表的目的。以上行为侵害了消费者的个人信息合法权益。
相关法律条文：《中华人民共和国个人信息保护法》第十七条规定，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息的处理目的、处理方式，处理的个人信息种类、保存期限等事项；第三十条规定，个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。《App违法违规收集使用个人信息行为认定方法》第二条第三款规定，在申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确、难以理解，此类行为可被认定为“未明示收集使用个人信息的目的、方式和范围”。
第六类问题：为删除消费者个人信息设置不合理条件
案例9：消费者使用某投资理财类App的注销账号功能时，该App提示消费者需同步注销某第三方App账号，但此第三方App与该App并无必要关联，构成了捆绑注销行为，属于为消费者注销账号设置不合理条件。

案例10：消费者使用某汽车贷款小程序的注销账号功能时，隐私政策声明在20个工作日内完成注销账号的核查与处理。

违法违规点：案例9中App实施捆绑注销，为消费者注销账号设置不合理条件；案例10中小程序承诺时限超过15个工作日，属于未按法律规定提供删除或更正个人信息功能行为。
相关法律条文：《中华人民共和国个人信息保护法》第四十七条和第五十条规定，个人撤回同意时，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除。个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。《App违法违规收集使用个人信息行为认定方法》第六条第二款和第三款规定，为更正、删除个人信息或注销用户账号设置不必要或不合理条件；虽提供了更正、删除个人信息及注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理，此类行为可被认定为“未按法律规定提供删除或更正个人信息功能”。
金融理财服务类机构要对照案例解析举一反三进行自查整改，严格遵循收集消费者个人信息“最小、必要原则”“告知同意原则”，切实履行个人信息保护义务。下一步，上海市网信办将不定期开展“回头看”检查，对整改不力、问题严重的企业依法立案、从严查处。