互联网移动应用程序（APP）个人信息保护领域法律合规操作指引

中国信息通信研究院发布的《移动互联网应用程序（APP）个人信息保护治理白皮书》指出：“数字经济时代，企业盈利模式也从在线广告向基于大数据的定向推送、精准营销转变，用户个人信息成为企业获利的核心价值来源”，而互联网移动应用程序（Application，以下简称“APP”）作为企业在数字经济时代为用户提供服务的主要媒介，也成为企业获取用户个人信息的主要工具。APP对于用户个人信息的处理一方面提高了企业推送商品及服务的针对性，增强了用户的使用体验，另一方面却由于用户对于APP个人信息的索取难以控制，出现了部分企业利用APP违规收集个人信息，侵害用户权益的情况。截至2021年11月，工信部累计通报2049款违规APP，下架540款拒不整改的APP，其中不乏滴滴出行、大麦网等知名APP，所涉问题多为违规收集、使用个人信息、APP强制、频繁、过度索取用户权限等。

《中华人民共和国个人信息保护法》（以下简称“《个保法》”）于2021年11月1日的正式实施，一方面对于个人信息保护又提出了更高要求，另一方面也意味着国家也将加大对违法处理个人信息的惩罚力度，从“警告、拒不整改后下架”到更为严格的行政处罚。律师试从APP个人信息处理、权限索取、自动化决策、信息存储与删除这四个实践中风险频发的领域，整理相关的法律、行政法规、部门规章与标准化文件，并为企业提高APP在个人信息保护领域的合规性提供法律上的建议，供企业参考。

一、企业APP处理个人信息的原则与基本方法

案例一：2020年7月，江西省南昌市人民检察院根据有关媒体报道，对本地企业开发经营的“贪玩蓝月”“地宝网”“洪城乐骑行”“江教在线”“魔题库”等6款手机APP进行详细检测，发现上述APP均存在《APP违法违规收集使用个人信息行为认定方法》规定的违法违规收集或使用公民个人信息的情形，包括未明示收集使用个人信息的目的、方式和范围；未经用户同意收集使用个人信息；违反必要原则，收集与提供的服务无关的个人信息；未经同意向他人提供个人信息等。8月27日，南昌市检察院分别向市公安局、市网信办发出诉前检察建议，要求两行政机关依法对案涉手机APP违法收集使用个人信息行为进行监管及处罚。10月23日，市公安局、市网信办回复南昌市院，已要求案涉手机APP运营主体针对检测发现的25个问题逐一开展对照整改及优化等工作，对其中4款手机APP运营主体予以警告处罚。

《个保法》设立了APP处理个人信息的“告知+同意”原则。除第十三条第二款至第七款规定的特殊情形外，APP收集、存储、使用、加工、传输、提供、公开、删除任何个人信息，首先应当依据第十七条之规定，“以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名和联系方式、个人信息的处理目的、处理方式，处理的个人信息种类、保存期限、个人行使本法规定权利的方式和程序”，且同时均应当“取得个人的同意”（第十三条）且“该同意应当由个人在充分知情的前提下自愿、明确作出”（第十四条）。

而在《个保法》第十三条第二款至第七款规定的例外情形中，企业值得注意的系第十三条第二款：“为订立、履行个人作为一方当事人的合同所必需...不需取得个人同意”。国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局联合制定的《常见类型移动互联网应用程序必要个人信息范围规定》（以下简称“《信息范围规定》”）中明确了“网上购物类”、“餐饮外卖类”、“交通票务类”等三十九类APP所对应的“保障App基本功能服务正常运行所必需的个人信息”的范围，部分规定如下表：

因此，依据上述规定，APP处理《信息范围规定》所列举的必要个人信息时，虽仍应当遵循上文所述第十七条之规定告知个人，但不需取得个人同意，且结合《个保法》第十六条之规定，在消费者拒绝提供必要个人信息时，企业可以因此拒绝提供服务。

此外，企业应当注意到，工信部自2021年11月1日起至2022年3月底，开展信息通信服务感知提升行动（简称“524”行动），根据《工业和信息化部关于开展信息通信服务感知提升行动的通知》（工信部信管函〔2021〕292号）的要求，企业开发APP除满足上述合规要求外，更应提高用户的获得感、幸福感和安全感，建议对用户应以简洁、清晰、易懂的方式，向用户提供APP产品隐私政策摘要，建立已收集个人信息清单和与第三方共享个人信息清单“双清单”：已收集个人信息清单应简洁、清晰列出APP（包括内嵌第三方软件工具开发包SDK）已经收集到的用户个人信息基本情况，包括信息种类、使用目的、使用场景等；与第三方共享个人信息清单应简洁、清晰列出APP与第三方共享的用户个人信息基本情况，包括与第三方共享的个人信息种类、使用目的、使用场景和共享方式等。根据通知，腾讯、阿里、京东等50家大型互联网公司应于2021年12月底前强制性完成上述感知提升的要求。律师建议，企业可根据同样的要求，提升企业于个人信息保护上的合规程度与社会评价。

二、APP对用户权限的索取、使用的法律要求

案例二：2019年10月16日，浙江省杭州市余杭区人民检察院对某网络科技有限公司研发的音乐视频教学类APP侵害个人信息的违法行为立案调查。通过走访询问、提取电子数据、同步录像固证等方式，发现该款APP存在强制索取“访问设备上的照片、媒体内容和文件”及手机设备号等权限行为，涉及违法违规获取、存储用户个人信息数量千万条以上。2020年6月23日，余杭区院依法向杭州互联网法院提起民事公益诉讼，诉请被告某网络科技有限公司停止违法违规收集、储存、使用个人信息并公开赔礼道歉。同年9月9日，法院公开开庭审理本案，双方当庭达成调解协议：被告立即删除违法违规收集、储存的全部用户个人信息1100万余条；在《法治日报》及案涉APP首页公开赔礼道歉；承诺今后合法合规经营，若存在违反协议约定的行为，将自愿支付50万元违约金用于全国性个人信息保护公益基金的公益支出。

APP所能实现的功能需要依赖其向用户所索取的权限，然而对权限的过度索取，又成为部分电商侵犯用户个人信息的重要途径，因此必须要加以规制。国家网信部门多年来持续整治APP过度索取用户权限对个人信息的侵犯，2019年1月，中央网信办、工业和信息化部、公安部、市场监管总局发布了《关于开展App违法违规收集使用个人信息专项治理的公告》强调“App运营者收集使用个人信息时要严格履行《网络安全法》规定的责任义务，对获取的个人信息安全负责，采取有效措施加强个人信息保护。遵循合法、正当、必要的原则，不收集与所提供服务无关的个人信息；收集个人信息时要以通俗易懂、简单明了的方式展示个人信息收集使用规则，并经个人信息主体自主选择同意；不以默认、捆绑、停止安装使用等手段变相强迫用户授权，不得违反法律法规和与用户的约定收集使用个人信息”，2019年10月30日工信部发布《关于开展APP侵害用户权益专项整治工作的通知》，明确了“频繁申请权限”、“不给权限不让用”、“频繁申请权限”、“过度索取权限”这三个涉及不合理索取权限的突出问题，频繁申请权限指APP在用户明确拒绝权限申请后，频繁申请开启通讯录、定位、短信、录音、相机等与当前服务场景无关的权限，骚扰用户；“过度索取权限”指APP在用户未使用相关功能或服务时，提前申请开启通讯录、定位、短信、录音、相机等权限，或超出其业务功能或服务外，申请通讯录、定位、短信、录音、相机等权限；“不给权限不让用”指APP安装和运行时，向用户索取与当前服务场景无关的权限，用户拒绝授权后，应用退出或关闭。企业除应当避免上述问题外，针对这一实践问题，电信产业协会于2020年11月26日发布了《T/TAF 078.4-2020APP用户权益保护测评规范-权限索取行为》的团体标准，进一步列举了APP不合理索取权限的行为，包括“不给权限 APP 弹窗循环”、“不给权限无法注册登录”及“ 申请无关权限”。而全国信息安全标准化技术委员会秘书处组织制定并发布的《TC260-PG-20204A网络安全标准实践指南—移动互联网应用程序（App）系统权限申请使用指南》中从技术层面构建了APP权限申请、使用的基本原则、通用要求，并以定义式的方式描述了各项权限不应当被索取的情形以及索取方式的要求，对于企业增强APP索取权限的合规性具有较强的指导作用。如对于位置权限，其要求申请权限时，应允许用户在始终允许（前台和后台）、使用应用时允许（仅限前台）、单次允许（临时单次授权）、禁止获取位置信息四种位置状态中进行选择授权，在APP索取位置权限的范围上，结合《个保法》第六条规定的最小界限原则：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息”，其建议除地图导航、运动健身等可能需要后台持续获取位置的服务类型外，其他服务类型不宜申请后台位置权限（ACCESS_BACKGROUND_LOCATION）；借助访问粗略位置权限（ACCESS_COARSE_LOCATION）即可实现相关业务功能的App，不建议申请精准位置权限（ACCESS_FINE_LOCATION）等。此外，依据上述“524”行动的要求，建议APP涉及调用用户终端中相册、通讯录、位置等敏感权限的，还应当以适当方式告知用户调用该权限的目的，充分保障用户知情权。

三、APP通过自动化决策设置定向推送功能的法律要求

案例三：2020年12月，微博网友“漂移神父”发文称，在花费15元开通外卖平台会员并获得5个5元的无门槛红包后，常点的驴肉火烧店配送费从2元涨至6元。几天后，“漂移神父”分别使用一个会员账号与一个非会员账号进行测试，在时间、送餐地点、选取菜品内容均一致的情况下，会员账号的配送费均比非会员账号高出约一倍。

广告投放作为部分企业盈利的重要来源，不断激发着企业提升广告投放效率的热情，而借助于云计算、大数据，通过算法定向分析用户行为以确认用户偏好，形成广告精准投放，有利于企业降低广告成本、增强用户粘性，成为了企业向互联网领域深入的重要举措。然而企业应当注意的是，APP定向推送不仅需依广告法的要求保证广告内容的真实性，且应当保证在算法上充分尊重使用者的隐私权。在2019年1月1日实施的《电子商务法》第十八条中，率先要求电子商务经营者展示搜索结果或商业性信息时应当同时提供不针对其个人特征的选项，否则将由市场监督管理部门责令限期改正，没收违法所得，并可以处五万元以上二十万元以下的罚款，情节严重的，可处二十万元以上五十万元以下的罚款。然而以上规定仅将主体局限在电子商务经营者中，制约的行为也仅限制在电商较为常见的“展示搜索结果或商业性信息”，而《个保法》第七十三条，首先统一的将企业“通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策”此类的定向的算法分析定义为了“自动化决策”，并于二十四条中明确所有个人信息处理者“通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式”。《个保法》第二十四条还结合当前部分企业出现的“大数据杀熟”的情况专门做出了规制，“个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇”，显示出《个保法》极强的实践性。此外，《个保法》第五十五条也将企业利用个人信息进行自动化决策列入“应当事前进行个人信息保护影响评估，并对处理情况进行记录”的事项范畴，从程序上减少了自动化决策对个人信息造成的风险，企业应当予以遵守。

四、对APP删除使用者相关信息与注销账号的法律要求

案例四：1998年，西班牙《先锋报》刊登了西班牙公民冈萨雷斯因无力偿还债务而遭拍卖房产的公告。2010年，冈萨雷斯发现，如果在谷歌输入他的名字，会出现指向《先锋报》关于其房产拍卖的网页链接。冈萨雷斯认为，相关债务问题很多年前就已经解决了，这些信息与其目前的状况已经没有关系了。冈萨雷斯向西班牙数据保护局（AEPD）投诉，要求《先锋报》删除或更改其网页上的相关信息，要求谷歌删除或更改搜索结果中显示的相关链接结果。西班牙数据保护局认为，拍卖信息是劳动和社会保障部为了广泛通知竞拍者参加拍卖而发布的，《先锋报》发布该消息是合法的，冈萨雷斯无权要求删除或更改。但网络搜索引擎是数据处理者，如果其对数据的定位和传播侵害了公民数据受保护的基本权利，就应当将这些数据从搜索结果中删除。AEPD命令谷歌将上述与冈萨雷斯相关的信息从搜索结果中删除。谷歌向西班牙国家高等法院提起诉讼。法院最终裁决，认为谷歌作为搜索引擎运营商，应被视为数据控制者，对其处理的第三方发布的带有个人数据的网页信息负有责任，有义务将有关数据主体“不好的、不相关的、过分的”信息从搜索结果中删除。

“被遗忘权”（right to be forgotten）是一种起源于互联网的新型权利，法律对APP删除使用者相关信息的要求与“被遗忘权”的设立密不可分。2012年，欧盟委员会于《一般数据保护条例立法提案》中率先提出“被遗忘权”的定义，指“信息主体要求信息控制者消除或不再继续散步其个人信息，或要求第三方删除相关信息的链接、复制品或仿制品的权利”，由于上述立法长时间未通过，2014年欧盟法院作出的“谷歌诉冈萨雷斯被遗忘权案”裁决将这一概念于司法中确立。2018年，《一般数据保护条例》（General Data Protection Regulation）实施，其中第十九条明确规定了“被遗忘权”：“公民在其个人数据信息不再有合法之需时要求将其删除或不再使用的权利，如当时使用其数据信息是基于该公民的同意，而此时他/她撤回了同意或存储期限已到，则其可以要求删除或不再使用该数据信息”。我国此次制定《个保法》，将“被遗忘权”作为个人信息保护的重点，以第四十七条用列举式的方式进行了详细的规定，“有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：（一）处理目的已实现、无法实现或者为实现处理目的不再必要；（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；（三）个人撤回同意；（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；（五）法律、行政法规规定的其他情形”，此外，值得注意的是，相较于GDPR的规定，《个保法》创新性的结合了区块链信息不可删除的特点，特别规定：“法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理”，充分体现了《个保法》在立法上的先进性。企业应当遵守上述规定，避免对使用者“被遗忘权”的侵害。然而企业应当注意到，删除相关信息的时间还需要结合其他法律法规的要求，如在电商领域，《电子商务法》第三十一条规定，“电子商务平台经营者应当记录、保存平台上发布的商品和服务信息、交易信息，并确保信息的完整性、保密性、可用性。商品和服务信息、交易信息保存时间自交易完成之日起不少于三年”，因此电商企业应在留存三年后再依据《个保法》第四十七条的规定主动删除个人信息。

实践中，常常与删除信息相关的是用户要求注销账号，而用户数量是衡量企业商业价值时所展示重要指标之一，为了保持用户的数量，部分企业在APP上未设置注销账户的渠道，或是以不显著的方式设置，例如需要用户明确向人工客服提出申请等。《工业和信息化部关于开展APP侵害用户权益专项整治工作的通知》将“账号注销难”，即APP未向用户提供账号注销服务，或为注销服务设置不合理的障碍，列为“人民群众反映强烈和社会高度关注的侵犯”八大用户权益行为之一。《电子商务法》第二十四条明确规定：电子商务经营者应当明示用户信息查询、更正、删除以及用户注销的方式、程序，不得对用户信息查询、更正、删除以及用户注销设置不合理条件。值得注意的是，账户注销与个人信息的删除并不等同，若企业与用户达成一致，法律许可保留信息，因此企业可在隐私协议中加入注销后保留用户信息的条款，注销后将相关信息匿名化处理。

五、结语

从法律规定上看，《个保法》对于违法行为的处罚是较为严厉的，《个保法》第六十六条规定，对违法处理个人信息的应用程序，将责令暂停或者终止提供服务；对于违法企业，可处上一年度营业额百分之五以下罚款，并可吊销营业执照；对直接负责的主管人员和其他直接责任人员可处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。从数字经济时代企业ESG建设的角度观察，企业对于个人信息的保护程度越来越成为企业社会评价重要的组成部分，FACEBOOK等跨国企业所爆发出的个人信息侵害问题严重的影响了企业形象，造成了巨大的经济损失。综上，律师建议企业增强对个人信息领域合规的重视，防患法律风险于未然。