App数据合规中12个场景解析（附双清单模板）

编者按
自2019年12月至今，工信部完成 300 余万 APP 检测，累计通报、下架违法违规 APP 近 3000 款。APP数据合规监管存在多头监管问题，同时监管的力度不断加大，还涉及到监管领域及主题的不断细分，种种情况对于APP数据合规工作提出更加精细化的要求，增加了合规工作困难。
本文从APP数据合规的立法体系及监管格局着手，通过七大高频场景合规透视和五大低频场景合规要点分析，为企业开展App数据合规项目提供相应的合规建议与指引。
① 与第三方信息共享个人信息清单（模板）
②个人信息收集清单（模板）
目录索引
01 APP数据合规立法体系及监管格局
02 七大高频场景合规透视
03 五大低频场景合规要点
04 开展App项目的合规建议
01 APP数据合规立法体系及监管格局
1. 立法层面
当前APP数据合规立法体系正在逐步完善，从2017年的《网络安全法》到2022年的《信息安全技术移动互联网应用程序(App)生命周期安全管理指南（征求意见稿）》，包括国家互联网信息办公室秘书局等四部门联合印发的《App违法违规收集使用个人信息行为认定方法》，一系列APP数据合规法规成为当前APP数据合规工作常用参考文件，其中还有一些涉及到特殊规制对象的文件，例如《儿童个人信息网络保护规定》。

2. 执法层面
执法情况方面表现为“磨刀霍霍争相作为”：
(1) 执法活动数量非常多，包括传统的四部门（网信办、工信部、公安部、国家市场监督管理局）启动的2020年APP违法违规收集使用个人信息治理工作以及后续网信办、工信部、地方统管局等机关以及行业监管机构、自力组织等开展的APP专项整治活动，呈现出九龙治水、各管一摊的格局。
(2) 专项行为密度增加；
(3) 违规评价细化行业区分、分类别检测；
(4) 监管机构繁多、九龙治水；
(5) 处罚力度增加，从曝光到下架，甚至会引发诉讼（包括公益诉讼）；
(6) 应用市场/手机厂商加入。

02 七大高频场景合规透视
当前高频APP数据合规场景主要包括系统权限、SDK、算法合规、儿童信息保护、隐私文档、个人信息权利响应机制等六大部分。
（一） APP系统权限申请原则及问题与风险
1. 权限相关基本原则
1.1 权限申请
第一， 最小必要原则，仅申请APP业务功能所必需的权限，不申请与APP业务功能无关的权限；
第二， 用户可知原则，申请的权限均应有明确、合理的使用场景，并告知用户权限申请目的；
第三， 不强制、不捆绑原则，不应强制申请系统权限，不要求用户一次性授权同意打开多个系统权限；
第四， 动态申请原则，APP所需的权限应在对应业务功能执行时动态申请，在用户未触发相关业务功能时，不提前申请与当前业务功能物权的权限。
1.2 权限使用
第一， 一致性原则，权限的使用应与权限申请时和隐私政策中所描述的目的用于、适用场景和规则相一致；
第二， 不扩散原则，APP通过系统权限获得的数据和能力，不应在用户未授权的情况下私自提供给小程序或终端上的其他APP使用；
第三， 访问显性化原则，使用系统权限（例如相机、麦克风、位置）获取个人敏感信息时，应采用显性方式提示用户，避免以隐藏方式收集用户个人信息。
2. 系统权限常见问题
2.1 申请
第一， 申请目的不明，包括未告知申请目的和目的告知不明确；
第二， 告知目的与实际不符，包括实际申请权限超出或少于告知范围、告知内容存在错误或以虚假目的诱导用户同意；
第三， 过度索权，包括申请无关权限、强制索取非必要权限、提前申请权限；
第四， 强制捆绑侵权，包括同意开启APP申请的所有权限，否则无法安装以及频繁索权；
2.2 使用
在使用方面主要包括权限滥用以及隐蔽或超出预期使用个人信息两方面问题。
（二） SDK场景合规建议
SDK类型通常主要包括广告类，如今日头条等；推送类，如华为设备的推送等；统计类，可能会兼顾广告监测功能，如友盟等；第三方登录类，如微信等。
后续SDK存在的风险隐患将会引发更强的监管，当前整体管控并不严格，义务仅存在于制作前述部分的SDK清单此类表面合规的行为，但真正的风险点更多的是SDK本身，如其经常会包含多层场景，作为接入方仅仅了解第一层SDK接受数据情况，存在潜在的风险隐患。在规范建议上，可以从以下几个方面进行：
第一， 规范接入：制定监管规则，明确接入、持续监管等要求；
第二， 明确权限：通过协议明确双方权利义务和违约责任；
第三， 告知同意：可采用三重授权原则，即用户授权+平台授权+用户授权，解决正当性问题；
第四， 持续监督：做好前期PIA并定期对SDK收集个人信息的行为进行审计。
（三）算法合规
用户画像以用户话术形式记录用户的浏览特征、消费特征等行为，挖掘用户喜好及习惯，作出个性化的推荐，这一过程由自动化决策完成，然后开展信息制作、商业营销的推送等行为。这一过程会产生差别化待遇，进而引发大数据杀熟的问题出现。
判断差别化待遇是否合理，主要看两个相同条件的个人在交易价格相等条件项下是否存在差别待遇，抗辩理由可以参考《国务院反垄断委员会关于平台经济领域的反垄断指南》第十七条的规定。
个性化推荐从表面合规角度较容易监管，主要参考《个人信息保护法》《App违法违规收集使用个人信息的行为认定方法》以及《信息安全技术—个人信息安全规范》。从合规角度则需要注意两点：
第一点是提供关闭个性化推荐的按钮；
第二点则是显著区分个性化展示和非个性化展示的内容。
（四）儿童个人信息保护
需要明确区分以儿童为用户和处理儿童个人信息：部分APP以儿童用户为属性，天然将儿童群体甚至婴儿群体作为定位用户；部分App不以儿童为用户，但处理儿童个人信息，如保险系统，在进行儿童群体投保时，其便是处理儿童个人信息的主体，但其目标用户群体却并非仅限于儿童；部分金融机构还会主动排除儿童用户。
（五）隐私政策
隐私政策范围应作扩大解释，包括敏感个人信息处理规则等隐私文本的内容，隐私政策是可以“抄作业”的，如部分大厂对隐私政策的变动和处理值得其他企业借鉴。
另外，企业还需要逐步固化形成自己的模板，隐私模板主要核心内容总体不会发生大的波动，以模板为基础对于行业隐私政策进行充分的把握，取其精华去其糟粕，最终固化形成专属于自己的隐私政策模板。
针对隐私政策常见的问题，如超范围收集等问题，需要结合实务经验配置自身的“错题本”和“经典库”，借鉴经验教训，进而采取相对应的措施。
（六）个人信息主体权利响应
个人信息主体权利响应可以借鉴头部企业的操作。企业可以制作表格，如针对微信，可统计查阅、复制、核实身份，可查询字段、删除隐私政策条文等内容，一方面可作为素材使用，另一方面会方便后续的“抄作业”。
查阅复制权的实现可以通过三种路径实现：
第一个是隐私政策＋单独自主操作路径，包括核实身份和加密两种做法；
第二个则是隐私政策，包括联系客服及自行复制；
第三种方法则是单独自主操作路径。
（七）APP交互页面合规评估
1. 隐私相关文本弹窗：首次进入是否弹窗、弹窗内容是否强制阅读，是否需要安装倒计时按钮，弹窗设置逻辑、版本更新后是否弹出以及长时间未登录后是否重新触发弹窗等内容；
2. 敏感个人信息同步告知：是否需要单独告知、敏感个人信息范围、告知提示位置以及敏感个人信息排布方式等内容；
3. APP页面跳转：在进行页面跳转时是内部页面跳转还是关联方合作公司跳转还是埋在其他页面中跳转，不同选择将会引发不同的提示义务，提示程度强弱也不同；
4. APP账户注销：一定要在APP体系内完成注销、用户主动注销；
5. 个人信息权利响应：个人信息收集清单以及查阅复制权等内容都会涉及到页面交互等问题。
针对此类问题，可以参照头部企业的思路，企业自主研讨，若有余力及资金时，可以选择检测机构或认证机构进行检测或认证。
03五大低频场景合规要点
部分企业不属于强C端属性，在APP数据合规过程中会面临低频场景的情况：
第一，企业内部自用APP，此类多针对企业内部员工使用，不仅涉及到人力资源问题还会涉及到内销的情况，比如内销农产品等。
第二，封闭式APP，针对特定身份用户开发，如出行软件中的用户版，以及保险公司中针对非合同员工所开发的APP；
第三，B端用户APP，其中包括企业以自己名义注册，但会开设子账户涉及到个人信息；以及虽然服务B端客户，但是前端直接让授权对象进行C端注册，由 B端的用户实际使用；
第四，偶发式活动，如为定向拉新、抽奖以及投票等开发的APP，本质属于营销活动，必定会涉及到个人信息，如收集用户的昵称、收件地址等。这会引发两种问题：第一是信息交互层级多；第二由于是偶发式，隐私政策中无法通过扩展业务工作进行覆盖，存在信息泄露风险。因此活动页面中的单项信息处理规则甚至活动规则中对于个人信息处理的提示告知同意的嵌入便显得尤为重要。
第五，流量聚合平台，对于平台自身以及嵌入其中的小程序中的用户隐私政策规范需要在实务中不断探索和完善。
04开展App项目的合规建议
从网信办对违规APP通报的频度、APP违规处理个人信息处罚力度，及网信办、工信部标准文件的更新细化，可见对个人信息的保护、个人信息处理者的规范日趋严格，相应的规定和实施细则也日趋完备。APP运营商作为常见的个人信息处理者，本文就其数据合规工作提供以下建议，企业可根据自身实际情况参考。
第一，开展APP数据合规需要以法律法规为依据。包括但不限于《个人信息保护法》《APP违法违规收集适用个人信息行为认定方法》《常见类型移动互联网应用程序必要个人信息范围规定》以及行业特有的《金融消费者权益保护实施办法》等。
第二，以国家标准、行业标准为参考，如《信息安全技术个人信息安全规范》《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》《网络安全标准实践指南—移动互联网应用程序(App)个人信息安全防范指引(征求意见稿)》等。
第三，结合通报、行业实践等开展综合监管，参考中央和地方网信办，工信部和地方通管局发布的通报案例，以及行业内最新方法和变化。
第四，总结自适的规范工作方式与方法，可以借鉴：表单填写；表单核实；表单转化；表单更新的四步走方法。
第五，针对个案因地制宜，针对低频场景明确是To B还是To C；金融机构中会有企业收集银行APP；汽车按行业会有面向汽车经销商的APP；还存在保险公司针对保险销售员开发的APP，要去根据个案的场景适配不同的文本及规则。
第六，APP数据合规工作成果，在进行项目留底时，不仅注意文本类文件，同时还要注意各类隐私政策，包括儿童个人信息规则、敏感个人信息梳理规则、个人信息授权书、页面测试报告以及测试视频等。
在发展方向方面：
第一，要以规为始，以熟悉法条开始；第二，以案为鉴，包括处罚案例及司法案例，内化成合规点，进而构建数据合规数据库；第三，分别配置安卓系统和iOS系统手机，进行测试；第四，在资金允许的情况下进行测试或者认证；第五，逐步形成自己的知识图谱，做自己的表单；第六，制作适配的自用模板；第七，从项目汇报层面对交付物多思考。