鑒于不少App存在侵害用戶隱私、權(quán)限濫用等諸多問題，2019年伊始，工信部、網(wǎng)信辦、公安部、市場監(jiān)管總局四部門聯(lián)合發(fā)布了《關(guān)于開展App違法違規(guī)收集使用個人信息專項治理的公告》。2019年1月至12月，在全國范圍內(nèi)組織開展了App違法違規(guī)收集使用個人信息專項治理工作。全年共檢測App多達(dá)460萬個，下架處置了違法違規(guī)App3.1萬個，集中核查了相關(guān)App線索3000余條，抓獲814人。

賽迪智庫網(wǎng)絡(luò)安全研究所

近日，工信部、網(wǎng)信辦、公安部、市場監(jiān)管總局四部委聯(lián)合制定并公開發(fā)布了《App違法違規(guī)收集使用個人信息行為認(rèn)定方法》（下稱《認(rèn)定方法》），為認(rèn)定App違法違規(guī)收集使用個人信息行為提供參考，為App運(yùn)營者自查自糾和網(wǎng)民社會監(jiān)督提供指引，深入落實了《網(wǎng)絡(luò)安全法》等法律法規(guī)?！耙粎⒖肌⒁恢敢?、一落實”奠基了《認(rèn)定方法》在認(rèn)定App違法違規(guī)收集使用個人信息行為方面的重要影響力。據(jù)悉，2020年App安全認(rèn)證工作將依托《認(rèn)定方法》全面鋪開。

《認(rèn)定方法》共分為6項認(rèn)定準(zhǔn)則，包含31種場景，App運(yùn)營者只有對照本方法及時、有效地自查自糾，才能減少或者避免被認(rèn)定為違法違規(guī)收集使用個人信息行為，才能充分經(jīng)受起相關(guān)部門、社會公眾的共同監(jiān)督。

第一，“未公開收集使用規(guī)則”。該項相較于征求意見稿，一是明確了App應(yīng)有易于閱讀的隱私政策，不僅強(qiáng)調(diào)要有，還要注重內(nèi)容的易讀性，同時隱私政策中要明示收集使用個人信息的規(guī)則。二是將明顯提示用戶閱讀隱私政策等收集使用規(guī)則的時間點(diǎn)，固定在了App首次運(yùn)行時，提示方式建議采取彈窗方式，在彈窗內(nèi)展示內(nèi)容摘要并放置隱私政策全文鏈接。三是著重強(qiáng)調(diào)了隱私政策要易于訪問，若進(jìn)入App主界面后，需多于4次點(diǎn)擊等操作才能訪問，則可被認(rèn)定為“未公開收集使用規(guī)則”。

第二，“未明示收集使用個人信息的目的、方式和范圍”。該項認(rèn)定方法直擊SDK隱瞞收集個人信息的隱私安全問題，相較于征求意見稿，明確了逐項列舉的要求不僅適用于App自身收集使用個人信息的目的、方式和范圍，亦適用于App嵌入的第三方代碼、插件。同時為體現(xiàn)對個人敏感信息保護(hù)的突出性，要求每次在需要用戶提供個人敏感信息時，應(yīng)同步告知用戶其目的，在收集個人敏感信息時，提出更加嚴(yán)格、更加具體的要求。但本項中的第二條（收集使用個人信息的目的、方式、范圍發(fā)生變化時，未以適當(dāng)方式通知用戶，適當(dāng)方式包括更新隱私政策等收集使用規(guī)則并提醒用戶閱讀等），筆者認(rèn)為其中存在值得思量的地方，若App運(yùn)營者隨著自身需要隨意改造隱私政策內(nèi)容，通過適當(dāng)方式告知用戶（例如進(jìn)入首頁時使用彈窗提示，實踐中這種提示用戶關(guān)注度是很小的，用戶往往會直接選擇關(guān)閉彈窗），那么該如何鑒定此類現(xiàn)象？

第三，“未經(jīng)用戶同意收集使用個人信息”。該項認(rèn)定方法明確了運(yùn)營者要合法合規(guī)收集使用個人信息，不得在未取得用戶授權(quán)的前提下收集用戶個人信息;不得違反用戶意愿收集個人信息;不得頻繁彈窗、干擾使用;不得超出授權(quán)范圍收集個人信息;不得以默認(rèn)選擇同意隱私政策等非明示方式征求用戶同意;不得未經(jīng)用戶同意私自更改用戶權(quán)限設(shè)置;不得故意欺瞞、掩飾收集使用個人信息;定向推送時，要提供非定向推送信息的選項;需向用戶提供撤回同意的途徑和方式;此外，運(yùn)營者還要“知行合一”，不得違反其所聲明的收集使用規(guī)則。經(jīng)過用戶同意收集使用個人信息，以及明確收集使用規(guī)則，不僅是為了告知用戶，更是為了提升運(yùn)營者的行業(yè)規(guī)范。

第四，“違反必要原則，收集與其提供的服務(wù)無關(guān)的個人信息”。該項直指App過度索取權(quán)限、越界獲取個人信息等問題，一是強(qiáng)調(diào)實際收集的個人信息類型及索取的權(quán)限要與現(xiàn)有業(yè)務(wù)功能逐項對應(yīng)，并且與現(xiàn)有業(yè)務(wù)功能直接相關(guān)。二是明確不得因用戶拒絕提供非必要個人信息或打開非必要權(quán)限，而拒絕提供業(yè)務(wù)功能，甚至變相強(qiáng)迫用戶同意收集非必要個人信息或打開非必要權(quán)限的行為。三是規(guī)范收集使用個人信息，需要符合必要性原則的基本要求，不得超范圍、超頻率采集，或者一次性打開多個可收集個人信息的權(quán)限。

第五，“未經(jīng)同意向他人提供個人信息”。該項為對外提供個人信息的合法性給出了指引，一是明確App客戶端向第三方提供個人信息應(yīng)征得同意或匿名化處理。二是規(guī)范數(shù)據(jù)傳輸至App服務(wù)器后，對外提供個人信息的合法性。三是確保App接入第三方應(yīng)用提供個人信息應(yīng)征得用戶同意?？梢钥闯?，前兩點(diǎn)對外提供經(jīng)過匿名化處理無法識別特定個人且不能復(fù)原的，無需獲得用戶的同意，但接入第三方應(yīng)用提供個人信息必須得到用戶的授權(quán)同意。

第六，“未按法律規(guī)定提供刪除或更正個人信息功能”或“未公布投訴、舉報方式等信息”。該項著重強(qiáng)調(diào)為用戶提供注銷權(quán)，保障用戶的行使權(quán)和投訴權(quán)。一是明確應(yīng)提供刪除或更正個人信息和注銷賬號功能。二是不應(yīng)設(shè)置不必要或不合理條件，妨礙用戶行駛權(quán)利。三是保障App后臺操作應(yīng)與用戶操作保持一致，不得欺騙、誤導(dǎo)用戶，讓用戶誤以為已經(jīng)完成刪除、注銷等操作。四是明確建立、公布投訴和舉報渠道，并在承諾時限內(nèi)對用戶權(quán)利要求進(jìn)行及時響應(yīng)，最長承諾時限不得超過15個工作日。

《認(rèn)定辦法》作為大數(shù)據(jù)時代我國第一部App個人信息保護(hù)規(guī)范指引，完善了征求意見稿諸多細(xì)節(jié)規(guī)定，更加具體地細(xì)化了App收集個人信息行為認(rèn)定方法，并給了用戶更多的知情權(quán)、選擇權(quán)、注銷權(quán)、投訴權(quán)等規(guī)定，提高了嚴(yán)謹(jǐn)性和可執(zhí)行性，為違規(guī)收集使用個人信息提供最根本的參考依據(jù)。雖然App運(yùn)營者在收集使用用戶個人信息時，多了相對明確的限制，但也多了相對明確的合規(guī)指引。當(dāng)然，App個人信息保護(hù)的規(guī)范工作仍在不斷探索，希望政府部門、App運(yùn)營者、行業(yè)組織、社會公眾等繼續(xù)攜手共治，共同構(gòu)建安全有序的網(wǎng)絡(luò)生態(tài)環(huán)境。