又有32款APP被工信部整改，这篇9000字长文告诉您APP收集个人信息的法律边界在哪里

编者按：9月19日，工信部公布《工业和信息化部关于电信服务质量的通告》。通告显示，二季度，工信部组织对61家互联网企业和51家手机应用商店的应用软件进行检查，发现32款应用软件和网站存在未经用户同意收集使用用户个人信息、强行捆绑推广其他应用软件等问题。发现问题的应用软件名单中，YY、滴嗒出行、美团外卖、芒果TV、自如等软件在列。工信部依据《电信和互联网用户个人信息保护规定》，已责令相关企业整改。
APP收集个人信息的法律边界在哪里？今天推出泰和泰（上海）律师事务所律师纪小蕴的重磅文章，纪律师用9000字的篇幅，详尽梳理了APP运营者在收集个人信息过程中应当遵守的合规要求以及相关法律问题，探究App收集个人信息的法律边界。
App收集个人信息的法律边界
——写在App个人信息合规执法年
前言
2019年是国家对于移动互联网应用程序（App）违规收集个人信息问题进行专项综合治理的一年。
● 2019年1月，网信办、工信部、公安部和市场监管总局四部门发布了《关于开展App违法违规收集使用个人信息专项治理的公告》（下称“《App治理公告》”），拉开了全国范围内集中整治App违法收集个人信息专项治理活动的序幕。
● 随后，为落实《App治理公告》的部署，App违法违规收集使用个人信息专项治理工作组（下称“App专项治理工作组”）成立，发布了《App违法违规收集使用个人信息自评估指南》、《App违法违规收集使用个人信息行为认定方法（征求意见稿）》等文件，旨在为App运营者自查自纠提供操作指引。
● 2019年8月，《信息安全技术移动互联网应用（App）收集个人信息基本规范（草案）》（下称“《App收集个人信息基本规范（草案）》”）开始公开征求意见，意味着今后关于App收集个人信息这一具体的数据合规问题也将有参考性的国家标准。
● 除前述专门针对App收集个人信息行为制定的规范外，信安标委为修订《信息安全技术个人信息安全规范》（GB/T 35273—2017）而发布的《信息安全技术个人信息安全规范（草案）》、《信息安全技术个人信息安全规范（征求意见稿）》，公安部、北京市网络行业协会在4月发布的《互联网个人信息安全保护指南》，以及网信办在5月发布的《数据安全管理办法（征求意见稿）》等数据合规相关的文件中也不乏可适用于App收集个人信息行为的极具参考价值的内容。
在监管方面，2018年期间，工信部等部门等针对App违规收集个人信息问题还是采取约谈几家头部互联网企业、发布测评报告、点名批评等较为温和的方式，而在2019年，App专项治理工作组自成立以来已针对千余款App进行大规模评测并采取限期整改的措施，监管范围和力度都大大增强，App收集个人信息问题已成为立法者、监管部门、App运营者和广大用户的关注焦点。
本文将以今年专门针对App收集使用个人信息而发布的几项文件以及《网络安全法》、《信息安全技术个人信息安全规范》等上位法或参考性文件为依据，结合几款常用App的实测结果，简要梳理App运营者在收集个人信息的过程中应当遵守的合规要求以及相关法律问题，探究App收集个人信息的法律边界。
一、App收集个人信息的原则
现有的规范或文件对于App收集个人信息的行为已有较为详细的规定，笔者认为可以归纳为遵守两大原则：一、保障用户的知情权与选择权；二、最少信息和最小权限范围。
1. 保障用户的知情权与选择权
《网络安全法》第四十一条规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。《消费者权益保护法》第二十九条第一款也有类似的规定[1]。
“合法、正当、必要”是网络空间下收集个人信息的根本性原则，也是贯穿其他数据治理相关法规文件的指导性原则。App收集个人信息必须以满足法定要求或实现业务功能为目的，如果App仅仅以改善程序功能、提高用户体验、定向推送等为目的收集用户个人信息的[2]，则违反了“合法、正当、必要”原则。
“公开收集、使用规则”，“明示收集、使用信息的目的、方式和范围”，体现了尊重用户知情权这一要求，因为用户在决定是否同意App运营者收集其个人信息收集之前，首先有权利知道收集信息的规则、哪些个人信息将被收集以及收集信息的目的。在知情的基础上做出的同意，才能体现用户充分行使了选择权。
（1）“公开收集、使用规则”——单独成文的隐私政策
“公开收集、使用规则”是指以通俗易懂的方式向用户展示的个人信息收集使用的规则，在实践中一般是指隐私政策，在界面上要求以单独成文的弹窗或链接形式发布，操作上要做到易于访问（在App内少于4次点击、滑动即可访问到隐私政策），内容格式上不能造成阅读困难。
和前两年大量存在的隐私政策未能在App内明显公示、默认勾选同意甚至根本没有隐私政策的情况不同，目前通过App Store等手机应用商店下载的App基本上都能做到在首次安装启动时就以弹窗、链接的方式提醒用户阅读隐私政策这一合规要求，同时隐私政策都与用户协议区分开，单独成文，且大多数App界面能在4次点击内查找到隐私政策。
在实体内容方面，目前大多数App的隐私政策文本都参考了《个人信息安全规范》的资料性附录D中的隐私政策模板，另外根据《App违法违规收集使用个人信息自评估指南》、《数据安全管理办法（征求意见稿）》等文本，App运营者需注意隐私政策应涵盖以下内容，以充分尊重用户的知情权：

在今年的App专项治理行动中，监管部门强调的一个原则是个人信息收集使用规则应当“经个人信息主体自主选择同意”[3]，尽管现在已经不太出现支付宝年度账单事件中“默认勾选同意”收集、使用个人信息的行为，但以欺骗、误导或隐瞒等手段收集使用个人信息的，也是监管关注的重点。
下载盒马App后首次打开弹出了“温馨提示”对话框提醒用户阅读隐私政策，用户可以通过点选“知道了”关闭该对话框，但将对话框手动滑动到最后才发现点击“知道了”意味着接受隐私政策的全部内容。笔者认为“知道了”的选项并不充分满足“自主选择同意”的监管要求。



（2）明确告知收集个人信息的目的和范围——保障用户知情权
前述隐私政策内容中，此次专项行动的治理重点是App是否向用户明示收集使用个人信息的业务功能以各业务功能分别对应的个人信息。
为了满足《网络安全法》规定的“明示收集、使用信息的目的、方式和范围”法定要求，App运营者必须保证相关条款内容的真实、准确和完整。具体而言，App运营者在隐私政策文本和界面交互设计方面应当注意做到以下几点：
逐项列举收集个人信息的业务功能/服务类型，且不能使用“等”、“例如”等字样[4]
逐一列出收集的个人信息类型。在收集个人敏感信息[5]时，应同步实时说明原因[6]
业务功能类型与收集的个人信息应当一一对应
App申请打开系统权限的，应说明原因（使用何种功能需要开启该权限）
实践中，许多App除了核心业务外还可能存在其他业务功能，例如点评类App同时具有团购、外卖、支付功能，金融类App同时具有购物、支付功能，短视频类App同时具有游戏、阅读功能等。App运营者应当将所涉及的各项业务功能或服务类型一一列举，并说明每一项功能涉及收集的个人信息或开启的权限。
此外，鉴于实时同步说明的合规要求，如App的业务功能涉及收集用户的敏感信息的，除了在隐私协议中以加粗、下划线等显著标识外，建议App在每一次需要收集用户敏感信息时，通过弹窗等技术方式向用户明示收集、使用个人信息的目的、方式、范围[7]。
以搜狐新闻App的隐私政策为例，其列举了App提供的各项业务功能以及对应可能收集到的个人信息，并将敏感信息或权限显著标识：


值得注意的是，《App收集个人信息基本规范（草案）》中提出，除保障网络安全或运营安全的目的外，App不得收集不可变更的设备唯一标识（如IMEI 号、MAC 地址等）。这类设备唯一标识常被用于识别用户，使得App能够在用户在未登陆状态下仍识别出用户身份并向其发送内容或广告，因此获得用户对于收集此类标识的同意对于App运营者有极高的商业价值。而目前许多App的隐私协议中，保留着运营者有权收集IMEI等标识的条款，例如，生活服务类App小红书的隐私政策中有这样的条款：

该条款明确，为了推送产品、服务（该目的并不属于基于“保障网络安全或运营安全”需要而可以收集设备唯一标识的例外情形），小红书App会收集用户设备唯一标识符。如《App收集个人信息基本规范（草案）》中禁止收集设备唯一标识的规定生效，相关互联网企业如继续收集用户IMEI号、MAC地址的，将存在较大的合规风险。
（3）在明示同意的前提下收集信息——保障用户的选择权
人们现在常怀疑手机在“偷听”、“偷看”自己的生活，明明对某款App没有开启麦克风权限，聊天时提到想买的东西很快出现在了电商App的定推广告中；没有开启定位功能，App栏目中却出现了自己所在城市的地方新闻。


可能有人认为“明示告知”这一原则在实践中较为鸡肋，因为大多数用户为了体验App或享受服务都会直接选择同意隐私政策或开放相关权限，很少有人会仔细阅读冗长的协议文本，绝大多数人甚至都不会点开阅读用户协议和隐私政策。但如果App违反了“同意”原则，在未获得用户明示同意或用户明确拒绝的情况下仍私自收集个人信息或调用权限，则构成了对用户个人信息权利的直接侵犯，用户对此行为的容忍度相较知情权而言要低很多。
在《App违法违规收集使用个人信息行为认定方法（征求意见稿）》中，列举了常见的几种未经同意收集用户个人信息的行为：
App首次运行、提示用户阅读隐私政策前就开始收集个人信息
用户明确拒绝后，仍收集个人信息
实际收集使用的个人信息超出用户授权的范围
未经用户同意，私自调用可收集用户个人信息权限
在未打开或使用App时，App后台调用用户个人信息
未经用户同意私自更改用户设置的权限，包括App更新时将用户设置的权限恢复到默认状态
用户拒绝收集个人信息请求后，App仍频繁征求用户同意，干扰用户正常使用
App在未获得授权情况下私自调取信息、超越权限收集信息、调用或更改权限的现象目前广泛存在。值得注意的是，这种行为通常以技术手段在后台操作，具有隐蔽性，用户的个人信息很可能在其不知情的状态下被收集。下面的案例就涉及到App未获得用户明示同意私自收集个人信息的问题。
今日头条App侵犯通讯录隐私权案
2019年6月20日，北京市海淀区法院开庭审理了一起今日头条App用户诉今日头条侵犯隐私权一案[8]，该用户主张其在第一支手机上使用今日头条App时未开放过通讯录权限，然而，在其更换第二支手机安装使用“今日头条”App，并且明确拒绝授权其读取通讯录的情况下，今日头条App竟然可以向其推荐第一支手机中存储的通讯录联系人信息，对此现象唯一的合理怀疑是"今日头条"在用户不知情的情况下读取了其第一支收集的通讯录内容并保存于服务器中。
由于通讯录属于个人信息已不存在争议[9]，如该怀疑被证实属实，笔者认为今日头条App的收集行为构成典型的“未经自主选择同意”私自调用用户信息的行为。
该案还涉及到一个法律问题：即使App获得了用户的明示同意，但将收集到的用户个人信息存储在服务器而非客户端是否具有必要性。此次《App收集个人信息基本规范（草案）》中指出：“技术可行且不影响终端和服务正常的情况下，App应优先在用户终端中存储、使用所收集的个人信息。”[10]如该条款最终生效，可以预见大量在后端存储用户信息的App将迎来更大的合规挑战。
2. 最少信息和最少权限
根据《网络安全法》第四十一条，网络运营者不能收集与其提供的服务无关的个人信息，也不能违反法律定或与用户的约定收集、使用个人信息。这通常被称为个人信息收集需遵循的“必要性原则”，其内涵与国家标准《信息安全技术个人信息安全规范》中规定的“最少够用原则”[11]相契合。
在App收集个人信息的情境下，“最少够用原则”意味着App运营者只能收集与业务功能相关的信息，且不得超出用户的同意范围。
（1）信息过度收集问题是App监管的重点
实践中，大量App为了满足获取用户的明示同意的要求，往往采取捆绑、概括式获取同意的方式，超范围收集过户的个人信息，或者强制用户开放与业务功能无关的权限。前段时间广受诟病的App“ZAO”用户协议中“同意授予ZAO及其关联公司以及ZAO用户全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利”的条款就是典型的过度收集用户信息的表现。


在此次集中整治App违法收集个人信息的行动中，监管部门将信息过度收集问题作为整治重点，明确要求App不得以“不以默认、捆绑、停止安装使用等手段变相强迫用户授权，不得违反法律法规和与用户的约定收集使用个人信息”[12]。
根据App专项治理工作组发布的相关指南[13]，以下行为被认为属于过度收集信息：
收集与业务功能无关的信息
收集与业务功能有关的非必要信息，未经用户自主选择同意
捆绑多项业务功能一揽子征求用户同意，不同意则不提供任何单一服务
当用户拒绝某一业务功能收集个人信息的请求时，App停止提供其他业务功能
如提供未经注册即可使用（如支持浏览、游客模式）的业务功能，用户若不同意收集此类业务功能所需以外的个人信息，App拒绝提供所有服务
新增业务功能时，需收集的个人信息超出原有同意范围，如用户不同意收集，则拒绝提供原有业务功能，新增业务功能将取代原有业务功能的除外
申请打开可收集无关信息的权限
目前市场上许多用户量大的App事实上还存在着过度收集个人信息的问题，最常见的操作为用户首次下载使用App时要求用户同意隐私政策，如用户点击“不同意”，则无法使用App。
以百度糯米为例，首次使用糯米App时会出现如下内容的弹窗，请求用户同意《用户服务协议》及《隐私政策》，如用户点击不同意，则无法使用App并会自动退出。


（2）特定服务类型射程内的最少信息和最少权限
既然过度收集信息为法律所禁止，那么收集个人信息的合法范围和界限在哪里？这就涉及到App收集个人信息行为的第二个重要原则——“最少信息和最少权限范围”。
《App收集个人信息基本规范（草案）》界定了“最少信息”和“最小权限范围”的概念：
“最少信息”是指“保障某一服务类型正常运行所必需的个人信息”，包括a)实现服务功能必须收集的信息；以及b)法律规定必须收集的信息两大类。
“最小权限范围”是指“保障某一服务类型正常运行所必需的最少系统权限。”
此外，根据《App违法违规收集使用个人信息自评估指南》、《App收集个人信息基本规范（草案）》，收集超出最少信息部分的个人信息，App应逐项征得用户以主动勾选方式做出的明示同意。
以下表格是相关文件对各类信息及其对应收集方式规定的汇总：

举个例子说明必要信息、非必要信息和无关信息的概念：地图软件实现其基本的导航服务功能需要用户的精准定位信息，必须开启用户的定位权限，定位信息和定位权限分别构成该App的“最少信息”和“最小权限范围”。但如果App为了向用户提供地图相关的会员服务，例如收藏路线的功能，需要用户注册账户并提供姓名、手机号码等信息，则属于收集“与业务功能有关的非必要信息”，该类信息需要获得用户的明示同意，用户如拒绝提供的，不得影响其使用正常的导航功能。但是，一些信息例如用户的支付方式相对于地图软件所提供的导航服务属于“无关信息”，如果地图App要求用户必须提供第三方支付信息才可以使用导航服务，则违反了“最少信息和最少权限”原则。
信安标委在今年6月基于信息最少够用原则发布了《网络安全实践指南——移动互联网应用基本业务功能必要信息规范》，围绕下载量大的各类App的基本业务功能给出了相对应的必要个人信息的范围作为参考指引。而《App收集个人信息基本规范（草案）》的附录A和附录B也分别列举了App常用服务类型的最少信息和最少权限范围。这两份文件中所列举的最少信息和最少权限范围对于隐私政策的修改和收集个人信息的尺度具有重要参考价值，App运营者应引起注意。


（3）未来的趋势——区分基本业务功能与扩展业务功能分别获取同意？
我们知道，在《个人信息安全规范》（GB/T 35273—2017）发布不满一年时，信安标委于今年初公布了修改后的《个人信息安全规范（草案）》向社会公众征求意见，在此基础上形成了进一步修改后的《个人信息安全规范（征求意见稿）》，再次征求公众意见，足以看出国家标准适时而变的必要性和紧迫性。
《个人信息安全规范》中的一项重要修订是增加了“不得强迫用户接受多项业务功能”的要求。如上所述，许多App包含一项核心业务功能和其他几项附加业务功能。《个人信息安全规范》在此次修订时强调了运营者不能捆绑业务功能，要求用户一次性接受，也不能因为用户拒绝某项业务功能而暂停提供其他业务功能。[14]
为了避免一揽子授权的情形，保障用户自主选择的权利，在获取用户明示同意的实现方法上，修订版的国标提出了除隐私政策外，应区分基本业务功能和扩展业务功能并通过交互式界面分别取得用户同意的方式。
具体而言，基本业务功能和扩展业务功能所涉及的个人信息应采用不同的收集方式：

值得注意的是，划分基本业务功能和扩展业务功能的决定权并不在App运营者手中，而需要根据用户选择该产品的“根本期待和最主要的需求”决定，且应当以一般用户的理解方式参考App的市场定位、App名称、应用商店的描述和所属类型等因素。
鉴于大多数App会向用户提供多项业务功能的实际情况，如《个人信息安全规范》的该项修改内容生效，App运营者的合规成本将大大增加：除了没有什么存在感的隐私政策外，今后还需要针对各项业务功能单独设计交互式界面告知用户各项业务功能所对应收集的个人信息并获得用户明示同意。
《信息安全技术个人信息安全规范（征求意见稿）》附录C的参考界面设计，该界面是否符合各类App业务功能的实际情况、是否具有可操作性有待检验。


笔者认为目前市面上许多App在遵循“最少信息和最小权限范围”原则方面已经做得比较合规：不要求用户必须接受隐私政策，如用户点选不同意隐私政策的，仍可以使用其基本业务功能；同意隐私政策的，则可以使用附加业务功能。例如网易新闻App在用户点击不同意隐私政策后，会提示“支持仅浏览功能”，如点击同意隐私政策的，可以使用附加业务功能如发表评论。当然究其原因，很可能是因为新闻资讯类App实现其基本业务功能本身不需要用户提供个人信息，而一些App需要收集特定个人信息以实现其基本功能，所以用户必须同意隐私政策才能开始使用App，例如餐饮外卖App。然而，在目前监管趋势下，对收集个人信息和权限要求并不高的App，不强制用户同意的隐私政策也可能不再足以满足合规要求，运营者需要区分基本业务功能和扩展业务功能并通过交互式界面分别取得用户同意。



《信息安全技术移动互联网应用（App）收集个人信息基本规范（草案）》附录A.6新闻资讯类实现基本业务功能不需要收集个人信息。
二、App运营者收集个人信息的合规要点总结
基于前述App收集个人信息原则的讨论，结合目前的监管重点，App运营者在收集用户个人信息方面的合规要点可以归纳如下：
1. 保障用户的知情权
注意App的隐私政策在内容、格式和交互界面设计上是否合规。
尤其需要注意隐私政策文本应逐项列出涉及收集个人信息的业务功能以及个人信息，并做到一一对应。
避免默认勾选同意或误导用户同意隐私政策，充分做到获得用户的自主选择同意。
涉及收集敏感信息的，除了需要在隐私政策的文本中突出显示外，建议在技术上通过单独的交互界面明示告知用户。
建议不要在隐私政策中明示App可收集用户设备唯一标识的权利。
2. 尊重用户的选择权
避免采取各种手段在未经用户同意的情况下私自调取个人信息、超越权限收集信息、调用或更改权限等行为。
3. 遵循“最少信息和最小权限范围”原则
避免收集与业务功能无关的信息，避免申请打开无关信息的权限。
避免捆绑业务功能征求一揽子同意或停止安装使用等手段变相强迫用户提供信息。
梳理与业务功能有关的信息，区分必要信息和非必要信息以不同方式向用户收集：
♦ 用户不同意提供必要信息的，明确告知用户不提供则不能享受该类服务；
♦ 用户仅仅提供必要信息的，不得因用户拒绝提供其他信息而拒绝提供服务；
♦ 对于非必要信息，向用户明示收集目的并逐项征得用户同意。
4. 关注监管趋势，区分业务功能分别获取用户同意
App运营者应密切关注监管趋势，划分App的基本业务功能和扩展业务功能，考虑通过交互式界面在不同业务功能启用前以分别取得用户同意的方式收集个人信息：
对于基本业务功能所需收集的个人信息，提示用户拒绝同意收集的影响；
对于扩展业务功能所需收集的个人信息，征求用户的逐项选择同意，用户不同意收集扩展业务功能所对应的个人信息的，不应拒绝提供基本业务功能或降低基本业务功能的服务质量。
结语
此次长达一年时间的App违法收集个人信息专项治理活动相信只是App监管的开始，在互联网商业模式和技术日新月异的当下，立法和监管机构会在维护数据安全、尊重商业效率和保障用户权利之间不断寻找平衡点，App运营者应当密切关注立法动态和监管趋势，并利用此次机会对于App收集个人信息合规问题进行自查自纠。另外，根据国家市场监管总局、中央网信办今年3月发布的《关于开展App安全认证工作的公告》，国家鼓励App运营者自愿通过App安全认证，鼓励搜索引擎、应用商店优先推荐通过认证的App。因此，App运营者对个人信息收集环节的治理不仅是为了满足法律要求，也有助于提升自身合规形象和企业竞争力。
参考文献
[1]《消费者权益保护法》第二十九条第一款：“第二十九条经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。”
[2]《App违法违规收集使用个人信息行为认定方法（征求意见稿）》二、没有明示收集使用个人信息的目的、方式和范围的情形：“1.收集使用信息的目的违反合法、正当、必要原则，如仅仅以改善程序功能、提高用户体验、定向推送等为目的收集用户个人信息；…”
[3]《关于开展App违法违规收集使用个人信息专项治理的公告》第一条：“... 收集个人信息时要以通俗易懂、简单明了的方式展示个人信息收集使用规则，并经个人信息主体自主选择同意…”
[4]《App违法违规收集使用个人信息自评估指南》二、App收集使用个人信息行为评估项2：清晰说明各项业务功能及所收集个人信息类型评估点5是否明示收集个人信息的业务功能：“隐私政策中应当将收集个人信息的业务功能逐项列举，不应使用‘等、例如’字样。”
[5]根据《个人信息安全规范》（GB/T35273—2017），个人敏感信息包括身份证件号码、个人生物识别信息、银行账号、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下（含）儿童的个人信息等。具体范围和类型可参考附录B。
[6]《App违法违规收集使用个人信息行为认定方法（征求意见稿）》二、没有明示收集使用个人信息的目的、方式和范围的情形：“…5.每次要求用户提供个人敏感信息时，如身份证号、银行卡号等，未同步实时说明原因；…”
[7]《App违法违规收集使用个人信息自评估指南》二、App收集使用个人信息行为评估项5 评估点20：是否向用户明示收集、使用个人信息的目的、方式、范围：“3、收集个人敏感信息时，App应通过弹窗提示等明显方式向用户明示收集、使用个人信息的目的、方式、范围。”
[8]参见https://www.guancha.cn/politics/2019_06_20_506410.shtml（访问日期：2019年9月10日）。
[9]根据《信息安全技术个人信息安全规范》附录A，通讯录属于个人联系信息。
[10]《信息安全技术移动互联网应用（App）收集个人信息基本规范》4.2技术要求 g）：“在技术可行且不影响终端和服务正常的情况下，App 应优先在用户终端中存储、使用所收集的个人信息。”
[11]根据《信息安全技术个人信息安全规范》，“最少够用原则”指收集个人信息的最小必要，对个人信息控制者的要求包括：个人信息与实现业务功能具有直接关联性、采集信息的频率应是实现业务功能所需的最低频率、获取信息的数量是实现业务功能所需的最少数量。
[12]参见《关于开展App违法违规收集使用个人信息专项治理的公告》第一条。
[13]参见《App违法违规收集使用个人信息自评估指南》评估项6、评估项7；《App违法违规收集使用个人信息行为认定方法（征求意见稿）》第四条。
[14]参见《信息安全技术个人信息安全规范（征求意见稿）》5.3不强迫接受多项业务功能。