应对App用户权益保护的“年度大考”

前 言
2019年11月4日，工业和信息化部（“工信部”）发布《关于开展App侵害用户权益专项整治工作的通知》[1]，即日起面向App服务提供者和App分发服务提供者，就App违规处理个人信息、过度索权、为用户账号注销设置障碍等八类侵害用户权益的突出问题，由工信部及地方通信管理局主导开展信息通信领域为期两个月的App专项整治行动。
“年度大考”，复盘本年度App用户权益保护工作
今年以来，App个人信息保护问题始终是各行业监管的重点关注对象。年初中央网信办、工信部、公安部和国家标准委四部委在《关于开展App违法违规收集使用个人信息专项治理的公告》[2]中明确提出，今年1-12月内全国范围将组织开展App违法违规收集使用个人信息专项治理行动。在此基调下，相应立法及执法行动频频，包括App专项治理工作组的成立，发布《App违法违规收集使用个人信息自评估指南》（“《自评估指南》”）、《App违法违规收集使用个人信息行为认定办法》（征求意见稿）（“《认定办法》”）及《信息安全技术移动互联网应用程序（App）收集个人信息基本规范（草案）》，“3.15晚会”上曝光典型案例，向用户量大且问题严重的App的运营者发送整改通知，中央网信办推进App安全认证工作，公安部开展“净网2019”专项行动，各行业主管机关纷纷开展行业内检查通报及整治行动等，均展现了对该问题的高度重视及严厉管控的监管态度。临近年末，本次执法行动将扮演全年度执法工作的“复盘验收”角色，对行业内主要App产品的用户权益保护工作成效进行“验收测试”。
“全面整治”，启动App服务供应全链条治理
本次执法工作除了面向App服务提供者外，也面向应用商店、基础电信企业营业厅等承担App分发功能的App分发服务提供者，重点关注后者对《移动智能终端应用软件预置和分发管理暂行规定》[3]等要求的落实情况，主要包括对平台内App用户权益保护等的监管义务。可见，本次执法行动以App用户权益保护为轴，针对行业内App技术服务、服务内容、分发管理等上下游企业进行“全链条治理”。位于供应链内不同身份的运营者，应对照相应规范要求做好自查自省及执法应对准备。
“重点突出”，直击用户体验“痛点”
相较于以往执法通知公告，本次执法行动对于App个人信息合规问题的关注并非“面面兼顾”，而是集中于“违规收集”+“违规使用”+“不合理索权”+“账号注销难”等四方面核心问题。这些问题的特点在于：其一，均为用户可感知且长期投诉反馈的常见“痛点”问题；其二，每个问题背后均有特定的外在操作行为（同意获取、定向推送设计、权限开通及关闭、账户注销操作等）及可外化的合规成果（隐私政策有无及其详尽程度、权限申请说明等）作为支撑。以上述问题为主要抓手，既“急用户之所急”，以提升用户使用体验为先，也便利执法机关针对App在用户权益保护方面的合规程度进行直接判断和执法处罚。对此，建议相应App运营者在推进数据管理整体合规的基础上，侧重对上述外化合规成果的管理。
“按图索骥”，参考最新立法成果进行应对
本次执法通知所列举的整治规范，偏向于对个人信息保护工作的原则性规定，相较于所列举的执法重点的细致性及实践性，相应App运营者难以“直接”从规范文件内找到合规答案。对此，建议App运营者参照上述《自评估指南》及《认定办法》要求，并综合近期《个人信息安全规范》（10月份征求意见稿）以及《移动互联网应用程序（App）收集个人信息基本规范》（10月份草案），梳理相应重点问题的具体应对措施。例如，针对“账户注销难”问题，《自评估指南》、《认定办法》及《个人信息安全规范》均提出，需明确注销渠道（在线功能界面/人工处理等），如需人工处理的需告知承诺时限并在时限内（原则上不超过15个工作日）完成账户注销操作，在账号注销后及时完成相关个人信息的删除及匿名化，上述注销程序不得为用户设置额外的义务要求等[4]。为此，建议相应App运营者可综合参考本年度App个人信息保护相关立法及规范文件予以应对。
本次执法行动在告知执法重点的同时也公布了阶段工作的推进计划，现阶段专项整治行动仍处于企业自查自纠阶段。可以理解，本次行动坚持“以查促改”，为相应App运营者，尤其是与群众生活密切相关、下载使用量较大的App产品和分发平台留足整改时间，通过行业内执法检查的方式促进App用户权益保护工作顺利落地，处罚仅为手段而非目的。为此，我们建议相应App运营者尽快启动合规整改及执法应对方案。由于本次行动与用户投诉反馈密切相关，我们也建议相关企业关注、汇总并集中优先解决用户已反馈或者投诉的、落入本次执法行动重点范围的问题。
[注]
[1] 正文详见：
http://www.miit.gov.cn/newweb/n1146285/n1146352/n3054355/n3057709/n4704651/c7506181/content.html。
[2] 正文详见：
http://www.cac.gov.cn/2019-01/25/c_1124042599.htm。
[3] 正文详见：
http://www.miit.gov.cn/n1146295/n1652858/n1652930/n3757020/c5436955/content.html。
[4] 详见《自评估指南》评估点30、《认定办法》第六节第1-4点、《个人信息安全规范》7.12等。