App隱私政策避雷指南

本期分享：《App隱私政策避雷指南》

文/朱一博，北京和昶律師事務所

全文：3978字 | 8分鐘閱讀

前言

2019年伊始，圍繞App如何收集、使用個人信息的規範性文件相繼出臺，違法違規專項治理行動（如圖1所示）拉開序幕，眾多為人熟知的App悉數「觸雷」（如圖2所示），或被責令限期整改，或被處以警告、罰款，部分app因涉嫌侵犯公民個人信息罪已被公安機關立案偵查。由此可見，APP已經成為個人信息保護執法的「重災區」。

（圖2：部分App所涉隱私問題）

App隱私政策（或稱「隱私協議」、「隱私條款」等）是應用軟體運營商關於如何收集與使用用戶個人信息的聲明，是企業踐行個人信息保護制度的表徵，也是公眾探知企業個人信息保護機制與實踐的窗口。隱私政策與企業的運營風險息息相關，企業制定和完善隱私政策時，需要避開哪些常見的雷區？這是本文關注的問題。

通過梳理行政監管機關執法情況，結合社會公眾、媒體的反饋（例如南都個人信息保護研究中心發布的《個人信息安全年度報告》），App隱私政策當前存在的違法違規情形主要包括：無隱私政策、未明示收集使用個人信息的範圍、用途、超範圍收集個人信息、過度索取權限、強制用戶使用定向推送功能、私自向第三方共享用戶信息、帳號註銷難等。以上種種情形違反了我國法律規範確立的網絡運營者（經營者）收集、使用個人信息必須遵循的「告知同意原則」與「必要性原則」，企業個人信息保護機制的缺位的背後，揭示出部分企業對隱私政策存在誤讀。最典型的就是以隱私政策之名，行免責條款之實。執法顯現出來千差萬別的問題，本質都是沒有真正理解和踐行隱私政策的性質與功能。隱私政策的實質是企業個人信息保護政策，主要功能為公開個人信息控制者收集、使用個人信息範圍和規則。個人信息承載信息主體的人格利益，體現人的自由與尊嚴，違法的收集和使用都會嚴重侵犯公民的基本權利，所以我國法律規範明確任何組織和個人應當依法獲取他人個人信息，最核心的原則是「告知同意原則」與「必要性原則」，即：公開收集、使用規則，明示收集、使用信息的目的、方式和範圍，並徵得被收集者同意，簡單來說就是在告知的前提下徵得信息主體的同意；同時，對同意範圍進行限制，只能收集與提供的服務有關且必要的個人信息。關於隱私政策有三點誤區需要澄清：其一，隱私政策並非免責條款，應以個人信息保護制度為內核；其二，隱私政策保護的對象為個人信息而不限於隱私信息；其三，隱私政策並非束之高閣的宣示性文件，它呈現的個人信息保護制度及實踐均是行政監管的對象。誠然，構建個人信息保護制度、制定隱私政策需要耗費一定的成本，但利用信息原本就以獲取用戶的自願讓渡、保障用戶信息安全為前提，在「流量為王」的大數據時代，隱私政策既是風險又是機遇，完善的隱私政策不僅能及時堵塞漏洞，還能彰顯企業責任，贏得用戶信任，為企業持續健康發展鋪平道路。2019年11月28日，國家網際網路信息辦公室、工業和信息化部、公安部、市場監管總局四部門聯合制定了《App違法違規收集使用個人信息行為認定方法》（以下簡稱《認定方法》），通過羅列違法行為的方式對「告知同意原則」與「必要性原則」予以細化，為監管部門專項治理行動指明方向，也為當前App運營者自查自糾、公眾監督圈定「雷區」。

在筆者接觸的案例中，大部分App在註冊/登錄界面能找到隱私政策，但部分App在登錄界面採用默認勾選同意，或者「註冊即同意」，即輸入手機號碼接收驗證碼後立刻進入主界面（如圖3所示），導致用戶容易忽視、略過隱私政策，難以保障用戶的知情權。「未完整列舉說明App實際業務功能收集、使用個人信息的範圍、目的、方式」當前較為普遍，在制定隱私政策時應當針對App每一項業務功能說清3個問題（What\Why\How），即需要收集哪些類型的信息、為何需要收集此類信息以及將如何使用，只有說清了以上三個問題，才是充分「告知」，在此基礎上的「同意」才是合法有效的。

App「超範圍收集信息」、「過度索取權限」（如圖4所示）屢見不鮮，例如，金融類App要求打開通訊錄和位置權限，地圖類App要求打開簡訊權限，否則拒絕提供所有業務功能。以上情形因存在數據惡意濫用風險，廣受詬病，是專項行動懲治的重點。（註：圖片源於App治理工作組《基於<App違法違規收集使用個人信息行為認定方法>的評估案例分析》）收集、使用個人信息應當遵循必要性原則，僅收集使用業務功能必須的最少類型和最少數量的個人信息。關於何為必要信息，2019 年6 月發布的《網絡安全實踐指南—移動網際網路應用基本業務功能必要信息規範》與2020年1月發布的《移動網際網路應用程式（App）收集個人信息基本規範》（徵求意見稿）針對不同業務功能做出了清晰的界定，APP運營商可以作為收集信息的類型和數量的參考。

「強制定推」與「私自共享給第三方」是App違法違規中的典型代表。「強制定推」即App未向用戶告知，或未以顯著方式標示，將收集到的用戶搜索、瀏覽記錄、使用習慣等個人信息，用於定向推送或精準營銷，且未提供關閉該功能的選項，如QQ（版本號8.2.0）、QQ閱讀（版本號7.1.1.888）。「私自共享給第三方」是指App未經用戶同意與其他公司共享、使用用戶個人信息，如閃送（版本號5.2.20）、36氦（版本號8.6.7）等。當前，根據用戶興趣愛好等特徵為其提供個性化展示已成App主流運營模式，需要注意的是，應當在隱私政策中明確用戶可以自主選擇關閉定向推送以及關閉的路徑。合作夥伴、關聯公司在用戶眼裡都屬於「第三方」，共享信息均應當經用戶授權或做匿名化處理，向小程序、公眾號、應用提供個人信息也應當經用戶同意，否則可能涉嫌「私自共享第三方」。

「設置不必要、不合理條件」註銷帳戶，例如，註冊僅需手機號，註銷時卻要求用戶提供身份證號、地址、照片等個人敏感信息，且未明確對收集個人敏感信息後的處理措施。在筆者審核的隱私政策中，大部分App向用戶提供了撤回同意、更正、刪除及註銷帳號功能，但只有少數App向用戶承諾了響應請求的時限。因「未及時響應請求」也在違法違規行為之列，建議明確更正、刪除、註銷帳號的操作時限以及投訴、舉報的受理時限，以15個工作日為上限。

除《認定方法》之外，近期公布的《兒童個人信息網絡保護規定》、《App違法違規收集使用個人信息自評估指南》、《個人信息安全規範》（GB/T 35273—2020）、《網絡安全標準實踐指南——移動網際網路應用程式（App）收集使用個人信息自評估指南》（徵求意見稿）等規範性文件對用戶個人信息保護提出了更高的要求，不排除成為未來監管的重要依據。鑑於此，北京和昶律師事務所合規團隊總結合規審查經驗，對隱私政策的制定與完善提出如下合規建議。

1.區分基本業務功能和拓展業務功能。若產品或服務提供多項業務功能，建議在隱私政策中區分基本業務功能和拓展業務功能，對基本業務功能和拓展業務功能逐項列舉，不宜使用「等、例如」字樣，明確各業務功能所必要收集的個人信息，允許用戶對拓展業務功能逐項選擇同意，且不因用戶拒絕拓展業務功能而降低基本業務功能的服務質量。

2.對個人敏感信息突出標註。隱私政策應對涉及的個人敏感信息（如圖5所示）明確標識或突出顯示（如字體加粗、標星號、下劃線、斜體、顏色等），對個人生物識別信息單獨向用戶告知收集、使用個人生物識別信息的目的、方式、範圍、存儲時間等規則。

（圖5：源於《個人信息安全規範》（GB/T 35273—2020））

3.個人信息出境需明示。如果存在個人信息出境情況，隱私政策中應將出境個人信息類型逐項列出並顯著標識。

4.明確個人信息存儲期限、超期處理方式與安全保護措施。個人信息的存儲應遵循「存儲時間最小化」的要求，明示存儲期限。安全保護措施包括：去標識化處理、對個人敏感信息加密、個人生物識別信息與其他個人信息分開存儲、原則上不存儲原始個人生物識別信息等。

5.設置專門的兒童個人信息保護規則。建議在隱私政策中以顯著、清晰的方式告知兒童監護人相關事項，且徵得兒童監護人同意後才收集、使用、轉移、披露兒童個人信息，同時明確對兒童個人信息採取的安全保障措施，為兒童或監護人提供刪除、更正個人信息的渠道。

6.關注各行各業相關的個人信息保護規範與行業標準。例如，健康醫療領域的《國家健康醫療大數據標準、安全和服務管理辦法（試行）》、快遞行業的《寄遞服務用戶個人信息安全管理規定》、計程車行業《網絡預約出租汽車經營服務管理暫行辦法》、金融行業的《個人金融信息保護技術規範》等，均對特定行業如何收集、使用、存儲個人信息提出了更細緻和具體的要求，特定行業的企業一定要以此作為具體標準。

另外，隱私政策冗長的文字在一定程度上會增加用戶的閱讀難度，隨著個人信息保護要求的不斷提高，增加隱私政策核心條款已成必然趨勢，因此，創新隱私政策的表現形式也越來越成為一種趨勢，已有部分App做出了嘗試，比如加入可跳轉目錄、製作表格、解說視頻、動畫等，值得借鑑。

（圖6：360手機衛士App加入隱私政策解說視頻）

寫在最後

總而言之，APP隱私政策的合規，說到底就是運營商站在用戶的角度考慮，如何更明白、清晰地告知用戶收集和使用個人信息規則，如何設置程序，讓用戶的同意更真實、自願，且收集和使用的信息是為滿足APP功能而言必不可少的。當你對用戶越誠信和友好，法律風險就離你越遠。

/走進企業/

/大型活動/

電話：[phone]  18513598975

郵箱：[e-mail]

地址：北京市建外外交公寓15號樓2單元1層

官網：www.falaohui.com