App违法违规地收集、使用个人信息，已不是一个新鲜话题了，从《网络安全法》出台，到《个人信息安全规范》、《互联网个人信息安全保护指南》等相继出炉，引起了全社会的广泛关注，监督管理部门也屡次通报App违法违规名录，督促企业自查自纠。
早在去年1月，全国信息安全标准化技术委员会、中国消费者协会、中国互联网协会、中国网络空间安全协会就成立了“App违法违规收集使用个人信息专项治理工作组”，从2019年1月-12 月，针对数百款App进行调研、评估。
公安部的“净网2019”专项行动，全年依法查处违法违规采集个人信息的App共683款。“考拉海购”、“樊登读书”、“车讯网”等均在12月的通报名录中被勒令下架整改。
从餐饮外卖、地图导航、短视频、金融借贷、即时通信、交通票务、网络购物，甚至是拍照美化、输入法、新闻资讯类App，行行纠查，无一幸免。
12月30日，该话题再一次被推向高潮，系因网信办、工信部、公安部、市监局四部门的办公厅联合印发了《App违法违规收集使用个人信息行为认定方法》，针对以下六项重点违法违规行为做了界定（文末附表格）。
① 未公开收集使用规则；
② 未明示收集使用个人信息的目的、方式和范围；
③ 未经用户同意收集使用个人信息；
④ 违反必要原则，收集与其提供的服务无关的个人信息；
⑤ 未经同意向他人提供个人信息；
⑥ 未按法律规定提供删除或更正个人信息功能，或，未公布投诉、举报方式等信息；
那些百姓们最关心的：必要、合理、明示！
根据App专项治理小组的统计，“超范围收集与业务功能无关信息”最受关注，比如某提供搜索功能的App浏览网页要查看手机照片和通话记录、某招聘App启动登录时需要联系人列表；
其次是“强制或频繁索要与业务功能无关权限”问题，例如某App反复要求用户开启拨打电话和通话管理权限，否则不让使用、某银行App反复要求开启电话、短信和通讯录权限，否则无法使用等；
第三的是“存在不合理条款”，主要表现为存在不合理要求或不合理的免责条款，如注销账号要求用户提供身份证等实名信息、对于嵌入第三方插件收集数据的泄露不承担责任等。
金融类App是违规重灾区
除《认定方法》外，App专项治理工作组进一步对6大典型问题进行了23项具体案例分析。其中，金融类App“不出所料”是违法违规收集使用个人信息的重灾区。大量金融类App要求用户打开通讯录和位置权限，否则拒绝提供所有业务功能。
这其中，又以网络借贷类App为甚—— 普遍存在“砍头息”、骚扰通讯录好友、暴力催款以及其他滥用个人信息行为。
这些App往往在用户安装使用时需要用户授权（甚至不经授权）读取通讯录、相册、身份证等实名信息。获取贷款后，一旦逾期，借款人则连续拨打电话催款、发送短信骚扰通讯录好友、非法传播用户身份证信息和照片等隐私信息，其中甚至夹杂恐吓、勒索等行为。
分析来看，网贷类App成违规重灾区，某种程度上也是金融业展业中，对于个人征信要求的特殊性导致的，通过收集个人信息进行尽调，是平台风控和贷后管理的重要手段，且个人信息也是平台管理用户的重要依据，因此平台都想尽可能多地收集客户信息。但后续如何妥帖地进行数据管理、避免滥用、乱用，离不开行业自觉和强监管的跟进。
个性化推荐引发隐私焦虑
随着技术的发展，大数据分析渗透到生活的方方面面，基于大数据分析的个性化推荐为用户带来优质、高效、个性化的资讯和服务，App运营者也借精准的资讯和服务迅速积累大量用户。与此同时，为平衡运营成本，App也在利用精准推送的能力以获得广告收入，而当广告过于精准、及时，却容易引发用户的敏感和担忧。
今天和朋友聊天说的话，明天就出现了相关商品或服务的广告；新下载的社交App，还没同意读取通讯录的权限，App就自动推荐了“通讯录好友”。
App是否在监听监视我们的聊天？App究竟如何获取到用户社交关系？日常生活的隐私能否得到保障，面对比你自己还要“懂你”的个性化推荐，无处可逃的隐私焦虑，回到问题的根本，到底什么样个性化推荐才能平衡用户需求和隐私保护？
在新出台的《认定方法》中，特将“利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项”视为违规行为，换言之，App提供个性化推送功能的，同时应当提供基于自然排序结果的推送选项，充分保护用户的选择权。
一张表格带你快速一览《App违法违规收集使用个人信息行为认定方法》主要内容：
| 出台目的 |
| 1.为监督管理部门认定App违法违规收集使用个人信息行为提供参考2.为App运营者自查自纠提供指引3.为网民社会监督提供指引4.落实《网络安全法》等法律法规 |
| 一、 未公开收集使用规则 |
| 1.在App中没有隐私政策，或者隐私政策中没有收集使用个人信息规则；2.在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则；3.隐私政策等收集使用规则难以访问，如进入App主界面后，需多于4次点击等操作才能访问到；4.隐私政策等收集使用规则难以阅读，如文字过小过密、颜色过淡、模糊不清，或未提供简体中文版等。 |
| 二、未明示收集使用个人信息的目的、方式和范围 |
| 1.未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等；2.收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等；3.在申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确、难以理解；4.有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解，如使用大量专业术语等。 |
| 三、未经用户同意收集使用个人信息 |
| 1.征得用户同意前就开始收集个人信息或打开可收集个人信息的权限；2.用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用；3.实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围；4.以默认选择同意隐私政策等非明示方式征求用户同意；5.未经用户同意更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态；6.利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项；7.以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的；8.未向用户提供撤回同意收集个人信息的途径、方式；9.违反其所声明的收集使用规则，收集使用个人信息。 |
| 四、违反必要原则，收集与其提供的服务无关的个人信息 |
| 1.收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关；2.因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能；3.App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，则拒绝提供原有业务功能，新增业务功能取代原有业务功能的除外；4.收集个人信息的频度等超出业务功能实际需要；5.仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息；6.要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。 |
| 五、未经同意向他人提供个人信息 |
| 1.既未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码、插件等方式向第三方提供个人信息；2.既未经用户同意，也未做匿名化处理，数据传输至App后台服务器后，向第三方提供其收集的个人信息；3.App接入第三方应用，未经用户同意，向第三方应用提供个人信息。 |
| 六、未按法律规定提供删除或更正个人信息功能，或，未公布投诉、举报方式等信息 |
| 1.未提供有效的更正、删除个人信息及注销用户账号功能；2.为更正、删除个人信息或注销用户账号设置不必要或不合理条件；3.虽提供了更正、删除个人信息及注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理；4.更正、删除个人信息或注销用户账号等用户操作已执行完毕，但App后台并未完成的；5.未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理的。 |
提示：
APP违法违规现象的监管趋势未来势必会愈发严苛，上述条款的部分认定标准，其实早在专项整治过程中就有所体现，随着实践逐步细化，最终落定为此份《认定办法》，为后续执法监督的标准化和规范化提供更权威的依据。
值得注意的是，企业在落实App合规工作中，要注意标准和规范的全面性，结合《电子商务法》、《个人信息安全规范》、《互联网个人信息安全保护指南》、《App违法违规收集使用个人信息自评估指南》、《信息安全技术-移动互联网应用（App）收集个人信息基本规范（草案）》等逐项核对、一一落实，做一个“细节控”App，为企业的可持续发展保驾护航。