一 制定与出台背景
目前，我国移动应用程序在架数量超过400万款，各种服务类型的移动互联网应用（App）与当前民众生活密切相关。然而，不断爆出的App违法违规收集个人信息乱象显示，移动互联网应用已经成为个人信息权益侵害的重灾区，尤其与民生生活相关的服务领域。2019年8月8日，全国信息安全标准化技术委员会秘书处发布《信息安全技术移动互联网应用（App）收集个人信息基本规范（草案）》（以下简称“《草案》”），面向社会公开征求意见。《草案》在此背景下公布彰显了国家将致力于治理App违法违规收集个人信息的行为，落实《网络安全法》的个人信息保护要求。
而在《草案》发布之前，国家互联网信息办公室于2016年6月28日发布了《移动互联网应用程序信息服务管理规定》（以下简称“《管理规定》”）；App专项治理工作组于2019年3月制定《App违法违规收集使用个人信息自评估指南》，并于2019年5月5日发布了《App违法违规收集使用个人信息行为认定方法（征求意见稿）》（以下简称“《认定办法》”）；全国信息安全标准化技术委员会秘书处于2019年6月1日发布了《网络安全实践指南——移动互联网应用基本业务功能必要信息规范》（以下简称“《实践指南》”）。据此，结合《网络安全法》、2019年6月25日发布的《信息安全技术个人信息安全规范（征求意见稿）》（以下简称“《个人信息规范》”）等有关个人信息保护的法律法规及文件，规范App收集使用个人信息行为的法律法规已然形成了一套纵向体系。而《草案》是在该体系的基础上制定的，也是该体系中的重要一环。虽然《草案》在生效后仅为推荐性国家标准，不具有强制执行力，但仍然能够为监管部门提供评估与监督检查的依据，同时也为App运营者等相关企业收集个人信息提供合规的依据与标准。
二 《草案》制定亮点
（一）“最少信息”与“最小权限范围”概念的使用与明确
“最少信息”与“最小权限范围”概念的首次明确定义是《草案》的一大亮点。当前实践中移动互联网应用违法违规收集个人信息的问题多在于App超范围收集、强制授权、过度索权等方面。根据《草案》，“最少信息”是指保障某一服务类型正常运行所必需的个人信息，包括两类信息，其一为“与服务类型相关，一旦缺少将导致该类型服务无法实现或无法正常运行的个人信息”，其二为“法律法规等规范性文件要求必须收集的个人信息”。而“最小权限范围”是指“保障某一服务类型正常运行所必需的最少系统权限”。上述两个概念是对《网安法》确定的“必要原则”在内容和权限方面的具体诠释。“必要原则”在《个人信息规范》以“最小够用原则”形式体现，并通过“5.2收集个人信息的最小必要”与7.1 （a）中“建立最小授权的访问控制策略”等规定对“必要原则”提出更详细的要求，《认定办法》亦从违反角度提出认定标准，但均未对概念作出界定。《草案》则是首次在术语和定义部分即明确定义“最小信息”和“最小权限范围”，有利于明确App收集用户个人信息的界限与范围，也有利于统一App运营者收集个人信息的标准。
（二）网安法与行业规范的综合规制
《草案》的第二大亮点在于通过附录的形式，对不同常用服务类型的最少信息与最小权限范围进行了明确的列举。我们注意到，此种方式并非《草案》首创，不久前发布的《实践指南》也采取了同样的方式，对16类App基本业务功能正常运行所需的必要个人信息进行了规定。但《草案》相较于《实践指南》仍有不少突破与改进。首先，《草案》共列举了包括地图导航、网络约车、即时通讯、博客论坛、网络支付、新闻资讯、网上购物、短视频、快递配送、餐饮外卖、交通票务、婚恋相亲、求职招聘、金融借贷、房屋租售、二手车交易、运动健身、问诊挂号、浏览器、输入法、安全管理在内的21类常用服务类型，在《实践指南》的基础上增加了5类。其次，《实践指南》将基本业务功能所需必要信息的要求与法律法规等规范性文件要求的个人信息分开成独立的两部分，不具有系统性，行业领域的针对性也有所欠缺。而《草案》则针对每一服务类型，将实现服务所需的个人信息与法律法规要求的个人信息分别列出并置于同一表格中，并对每类个人信息的使用要求列出。在整体上形成以《网安法》框架的纵向规制与各行业领域规范的横向规制的结合的合规结构，兼具完整性与针对性。
三 个人信息保护规范的落实与巩固
《草案》作为App收集个人信息的国家标准，是对《网安法》以及上述出台的关于个人信息保护的法律法规等规范性文件中相关原则的具体化，《草案》中的许多规定为已有的个人信息保护规定的体现与延伸。
（一）主体的细化
根据《草案》“1 范围”的规定，该标准的适用范围为移动互联网应用的开发、运营以及技术评估、监督检查，规制的主体为移动互联网应用运营者（以下简称“App运营者”），规制对象在于App运营者收集个人信息的行为。
根据《草案》的定义，“移动互联网应用”是指安装、运行在移动智能终端上的应用程序，简称“App”。而此种应用程序本质上属于能够接入互联网为用户提供某种服务的产品。而“移动互联网应用运营者”是指移动互联网应用的所有者、管理者。据此，从本质上来说“移动互联网应用运营者”属于《网安法》规定的网络运营者，可以归为网络运营者的一个特殊类别。同时，App运营者有权决定App所收集的用户信息的处理目的和方式，因此也属于《个人信息规范》的“个人信息控制者”。因此，App运营者为网络运营者与个人信息控制者的具体细化，在适用针对App运营者的特殊规定时，也需符合《网安法》《个人信息规范》等的一般性要求。
（二）明示同意原则
《草案》中对于App运营者收集个人信息的明示同意原则与《网安法》《个人信息规范》以及《管理规定》的明示同意原则一脉相承。《网安法》第四十一条规定，“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”《个人信息规范》“4 （c）”“5.4 （a）”均规定，个人信息控制者在收集个人信息以及开展个人信息处理活动时，应向个人信息主体告知明示收集、使用个人信息的目的、方式、范围、规则等，并征求其授权同意。《个人信息规范》还明确了收集未成年人信息的规则。而《管理规定》第七条也明确了App运营者的信息安全管理责任，并规定了App运营者在收集个人信息时，应当明示收集使用信息的目的、方式和范围，并经用户同意。
《草案》“4 App收集个人信息基本要求”分为管理要求与技术要求两部分，虽然较为简练，但仍能够看到“明示同意原则”的具体适用。例如“用户同意App收集某服务类型的最少信息”、“当申请个人信息相关权限或要求用户输入个人信息时，App应向用户同步明示申请权限或收集信息的目的”、“对外共享、转让个人信息前，App应事先征得用户同意”等。
遗憾的是，《草案》对于App收集个人信息的告知同意并没有进行系统完善的规定。例如《草案》并未系统地明确App应当明示与告知的内容、告知时点，且缺少隐私政策、用户协议的规定。然而《认定方法》明确将“没有隐私政策、用户协议，或者隐私政策、用户协议中没有相关收集使用规则的内容”的情形认定为违法违规收集使用个人信息的行为，并对隐私政策的内容与操作要求进行了规定。据此，App运营者收集个人信息时关于明示同意原则的落实，不仅需要满足《草案》的要求，还需要按照《认定方法》等相关规范采取合规措施。
结合规范App收集使用个人信息行为的法律法规相关规定，对App运营者收集个人信息时的明示告知义务合规建议如下：
- App运营者应当制定隐私政策与用户协议，并在其中包含相关收集、使用个人信息规则的内容，包括收集使用个人信息的目的、方式、范围、规则等，且应当独立成文、易于阅读、易于访问；
- App运营者应当在用户安装、首次使用App时以弹窗或链接的方式向用户明示隐私政策、用户协议以及相关收集使用规则；
- App收集使用个人信息的规则与方式需要更新的，App运营者需要在新的规则实施之前通过弹窗、链接等方式向用户明示，并重新取得用户的授权同意；
- App运营者向第三人共享、转让信息前，应当征得用户的明示同意，用户不同意的，不得对外共享、转让个人信息，若经过匿名化处理，可不经用户明示同意向第三人提供；
- App运营者收集未成年人的个人信息的，年满十四周岁的，应当征得未成年人或其监护人的明示同意，未满十四周岁的，应当征得其监护人的明示同意；
- App运营者申请个人信息相关权限或要求用户输入个人信息时，应当向用户同步明示申请权限或收集信息的目的；收集个人敏感信息的，每次需要用户提供敏感信息时应同步实时说明原因。
（三）最小收集原则
《草案》鲜明地体现了App运营者收集个人信息的最小收集原则，是对《网安法》确立的“合法、正当、必要”原则的重申。
《网安法》第四十一条确立了网络运营者收集使用个人信息应当遵循“合法、正当、必要”的原则。此外，《个人信息规范》明确规定了收集个人信息的最小必要，其中包括关联性、频率与数量三项要求：第一，收集的个人信息类型应与实现产品或服务的业务功能有直接关联；第二，自动采集个人信息的频率应是实现产品或服务的业务功能所必需的频率；第三，间接获取个人信息的数量应是实现产品或服务的业务功能所必需的最少数量。同时，《认定方法》将“实际收集的个人信息类型与现有业务功能无关”、“收集个人信息的频率等超出所使用的业务功能需要”、“申请打开可收集无关信息的权限”等情形认定为违反必要性原则收集个人信息的情形。
《草案》对于最小收集原则最直接的体现便在于“最少信息”与“最小权限范围”概念的使用。要求App运营者收集的个人信息应当限于某一服务类型所必需的个人信息以及法律法规等规范性文件要求必须收集的个人信息，不得收集与所提供服务无关的个人信息。当收集的个人信息超出服务类型的最少信息时，超出部分的个人信息应当逐项征得用户的同意。《草案》还将App申请权限限定于保障某一服务类型正常运行所必需的最少系统权限，并要求App以实现服务所必需的最低合理频率向后台服务器发送个人信息。
（四）不强迫接受多项业务功能
《个人信息规范》“5.3 不强迫接受多项业务功能”对用户选择开通业务功能的权利以及运营者的相关要求进行了规定。《认定方法》将“捆绑多项业务功能一揽子征求用户同意，不同意则不提供任何单一服务”的情形认定为违法违规收集个人信息的行为。《草案》有关规定也强调了“不强迫接受多项业务功能”的原则。例如，“用户明确拒绝使用某服务类型后，App不得频繁征求用户同意使用该类型服务，并保证其他服务类型正常使用”、“当同一App有2种或2种以上服务类型时，App应允许用户逐项开启和退出服务类型，开启和退出的方式应易于操作”等。
（五）其他要求
《草案》对App第三方接入以及用户退出服务类型时的个人信息收集与处理进行了规定，App运营者原则上应对其使用的第三方代码、插件的个人信息收集行为负责，将第三方代码、插件收集个人信息的行为视为App收集的行为，同时App运营者有防止第三方代码、插件收集无关个人信息的义务。但若第三方代码、插件自行向用户明示收集信息的目的、方式、范围，并征得用户同意的，则由第三方代码、插件独立承担责任。因此，建议App运营者在使用第三方代码、插件前通过协议的方式明确双方责任，例如约定当App运营者因第三方行为而遭受损失时，有权要求第三方主体在约定期限内赔偿损失，并对违法违规行为进行限期整改。
另外，《草案》规定App运营者应当设置易于操作的退出服务类型的方式，且当用户退出服务类型后，App应当终止该服务类型收集个人信息的活动，并对仅用于该服务的个人信息进行删除或匿名化处理。
四 结语
《草案》尚未正式施行，且作为推荐性国家标准不具有强制效力，但其对于治理移动互联网应用违法违规收集个人信息具有重要意义，也为App运营者等企业提供了具有操作指引的合规依据与标准。诚然，《草案》系针对移动互联网应用领域的专门性规定而无法面面俱到，因此App运营者需要在遵循《草案》的同时，结合其他App收集使用个人信息行为的相关法律法规采取更为系统的措施确保全面合规性。