《App违法违规收集使用个人信息行为认定方法（征求意见稿）》合规要点解读
2019年5月5日，全国信息安全标准化技术委员会、中国消费者协会、中国互联网协会、中国网络空间安全协会成立的App专项治理工作组发布了《App违法违规收集使用个人信息行为认定方法（征求意见稿）》（以下简称“征求意见稿”），这一文件进一步落实中央网信办、工信部、公安部、市场监管总局四部门于1月23日联合发布的《关于开展App违法违规收集使用个人信息专项治理的公告》相关部署，切实推进App违法违规收集使用个人信息专项治理工作的开展。
该征求意见稿共有七大认定方面、三十九项具体认定方法，主要适用于界定App运营者（以下简称“运营者”）违法违规收集使用个人信息的行为，为App评估和处置提供参考。
纵观全文，可以发现该征求意见稿仍遵循“告知-同意”模式进行制度构建，是《网络安全法》第二十二条“网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意”；第四十一条“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意”与第四十二条“未经被收集者同意，不得向他人提供个人信息”所确立的同意原则的进一步细化。以下本文也将通过“告知-同意”路径对本次征求意见稿进行解读。
本次解读将主要结合以下法律文件：
文件名 | 发布主体 | 实施时间 | 下文简称 |
《网络安全法》 | 全国人大常委会 | 2017年6月1日 | 《网安法》 |
《信息安全技术 个人信息安全规范》（GB/T 35273-2017） | 国家质量监督检验检疫总局 中国国家标准化管理委员会 | 2018年5月1日 | GB/T 35273-2017 |
《关于开展App违法违规收集使用个人信息专项治理的公告》 | 中央网络安全和信息化委员会 工业和信息化部 公安部 国家市场监督管理总局 | 2019月1月23日 | 《公告》 |
《App违法违规使用个人信息自评估指南》 | App专项治理工作组 | / | 《自评估指南》 |
一、告知
（一）告知的时间点及形式
征求意见稿第一部分第2条规定，在App安装、使用等过程中均未通过弹窗、链接等方式提示用户阅读隐私政策的，属于违法违规收集使用个人信息的行为。
征求意见稿第二部分第3条规定，收集使用个人信息的目的、方式和范围发生变化，应以包括更新隐私政策并提醒用户重新阅读并授权在内的适当方式通知用户。
即运营者实行告知行为的时间点应当为用户安装、首次使用App以及新的信息收集使用方式或更新的隐私政策正式实施之前，且主要以弹窗或链接的方式对用户进行告知。此外，App运营者亦可根据实际情况，通过电子邮件、信函、电话等其他适当方式告知用户，提醒用户阅读并进行授权。
（二）告知的内容
1. 隐私政策、用户协议
首先，App隐私政策、用户协议的存在是告知的前提。根据征求意见稿第一部分的第1条规定，运营者需要制定自己的App隐私政策、用户协议，且隐私政策、用户协议中需要包含相关收集、使用个人信息规则的内容。结合《自评估指南》评估点1、评估点2和评估点20的内容，隐私政策应当单独成文，且在用户协议和隐私政策中均应明确相关收集使用个人信息规则的内容，并在用户协议对应部分以“具体内容可进一步阅读隐私政策”的表述进行明确提示。
其次，隐私政策与用户协议应该易于阅读。其内容不可“晦涩难懂、冗长繁琐”，而应该按照GB/T 35273-2017的5.6条c款，做到“内容清晰易懂，符合通用的语言习惯，使用标准化的数字、图示等，避免使用有歧义的语言”。亦需要结合《自评估指南》评估点4的要求，使隐私政策文本文字显示方式（字号、颜色、行间距等）不会造成用户阅读困难。
最后，隐私政策与用户协议需要易于访问。运营者要做到在用户进入App主功能界面后，在4次以内的点击、滑动即能访问到隐私政策，且隐私政策不得出现链接无效、文本无法正常显示等阻碍用户正常阅读的情况。
2. 收集使用个人信息的目的、方式和范围
征求意见稿第二部分的第1条规定运营者不能仅以改善程序功能、提高用户体验、定向推送等为目的收集用户个人信息。征求意见稿第四部分第1条、第2条及第8条亦指出，实际收集的个人信息类型需要为现有业务功能所必需，收集个人信息的频率也必须为用户所使用的业务功能所需要，且App运营者不得申请打开可收集无关信息的权限。上述规定在结合《自评估指南》评估项2的基础上，再次强调了《网安法》第四十一条所确立的“合法、正当、必要原则”。
在实践中，建议App运营者将改善程序功能、提高用户体验、定向推送等目的与具体业务功能相结合，将实际收集的个人信息类型与现有业务功能逐项对应，并按照App提供业务功能所必需的最低频率来收集个人信息以降低违法违规风险。
第二部分的第2条、第4条、第5条以及第7条要求运营者在收集个人信息时，需要逐一列出收集个人信息的类型、频率，特别是针对个人敏感信息；在申请可收集个人信息的权限时，也需要告知用户收集使用的目的，比如在申请调阅通讯录时需要说明原因。征求意见稿还强调了个人敏感信息的保护力度，首次提出在每次需要用户提供个人敏感信息时皆应同步实时说明原因。
因此，建议App运营者逐项列示每个业务功能对应的个人信息特别是个人敏感信息的收集类型、频率，并在申请可收集个人信息的权限时告知用户收集使用权限的目的。结合《自评估指南》评估点21，运营者使用Cookie及其同类技术收集个人信息的，也需要向用户告知收集信息的方式。
此外，App运营者还需按照GB/T 35273-2017附录B的内容判定个人敏感信息，并结合《自评估指南》评估点20的要求，在每次要求用户提供个人敏感信息时，通过弹窗提示等显著方式同步实时告知用户收集使用该信息的原因。
3.业务情况改变时的告知
征求意见稿的第二部分第3条指出，收集使用个人信息的目的、方式和范围发生变化，未以包括更新隐私政策并提醒用户重新阅读授权在内的适当方式通知用户的，是一种违法违规收集使用个人信息行为。
结合GB/T 35273-2017的5.6条第f款，在该条a款所载事项发生变化时，应及时更新隐私政策并重新告知个人信息主体。同时，GB/T 35273-2017的8.3条指出，当个人信息控制者发生收购、兼并、重组等变更时，个人信息控制者应：a)向个人信息主体告知有关情况；b)变更后的个人信息控制者应继续履行原个人信息控制者的责任和义务，如变更个人信息使用目的时，应重新取得个人信息主体的明示同意。
由此，App运营者在其业务情况发生改变时，比如新增业务功能或运营者发生收购、兼并、重组等情况导致收集使用个人信息的目的、方式和范围发生变化时，运营者应及时告知用户相关情况或更新后的隐私政策，以重新取得用户的同意。
二、同意
取得用户同意是目前我国App运营者降低违法违规风险的重要方式。征求意见稿亦以较大的篇幅将一系列未取得用户同意而收集使用个人信息的情形认定为违法违规。
（一）未经同意收集使用个人信息的情形
根据该稿第三部分的第1条、第5条、第6条与第7条，运营者不得在App首次运行、提示用户阅读隐私政策前即用户还未明示同意时即开始收集个人信息；未经用户同意，运营者不得私自调用可收集用户个人信息权限；运营者亦不可未经用户同意私自更改用户设置的权限，包括App更新时将用户设置的权限恢复到默认状态；在未打开或使用App时，App后台亦不得调用用户个人信息。若运营者从事以上行为，将会被认定为违法违规行为。
同时，该部分的第3条与第9条则规定了运营者不得违背与用户的约定，违反隐私政策中的规则收集使用个人信息，或者实际收集使用的个人信息超出用户授权的范围。运营者需要重视用户在隐私政策中给予的授权范围，若确需超范围收集个人信息的，应当及时告知用户以征求同意。
此外，根据征求意见稿第四部分第3条，运营者也不得为了快速取得用户同意而捆绑多项业务功能，一揽子征求用户同意。通过这种方式取得的用户同意可能会被认定为“无效同意”，而无法为后续的收集使用个人信息活动提供正当性基础。
（二）用户明确拒绝的情形
征求意见稿第二部分的第2点与第8点则规定了用户明确表示拒绝后的情形。在用户明确拒绝后，运营者不得再收集个人信息，亦不得频繁征求用户同意，干扰用户正常使用。在实践中，App运营者可以考虑在征求同意界面添加一个“拒绝后不再重复提示”的选项供用户选择。
需要注意的是，该部分的第4条，该条将“利用用户信息和算法定向推送新闻、广告等，未提供终止定向推送的选项”认定为违法违规行为。而《关于开展App违法违规收集使用个人信息专项治理的公告》仅是“倡导App运营者在定向推送新闻、时政、广告时，为用户提供拒绝接收定向推送的选项。”此外，GB/T 35273-2017亦规定“应保障个人信息主体拒绝接收基于其个人信息推送的商业广告的权利”。这说明“提供终止定向推送的选项”在该稿中已变为一项“强制性要求”，有定向推送的业务功能的App运营者需要在App中设置“终止定向推送选项”。
该稿第四部分第3条至第6条指出，App运营者亦不得因用户拒绝提供某类个人信息而拒绝提供所有服务。当新增业务功能时，若需收集的个人信息超出原有同意范围而用户不同意，运营者不得因此拒绝提供原有业务功能，除非新增业务功能将取代原有业务功能。
因此，App运营者在实践中，需要将实际收集的个人信息类型与现有业务功能一一对应，当用户明确拒绝某一类个人信息时，只能不予提供以该类信息为必要基础的服务，而不能拒绝提供App所能提供的所有服务，除非缺失该类信息将导致App在实际上无法运行。
（三）未经同意向他人提供个人信息的情形
征求意见稿第五部分主要规定了“未经同意向他人提供个人信息”的具体情形。在未经用户同意，且未做匿名化处理的情况下，运营者不得从客户端直接向第三方提供个人信息，包括App客户端嵌入第三方代码、插件（如sdk）等方式向第三方提供；也不得在此情况下，在数据传输至App服务器后向第三方提供其收集的个人信息。
但是结合《网安法》第四十二条“网络运营者……未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外”可以得出结论，如运营者在向他人提供个人信息之前，已经对个人信息进行匿名化处理而使其无法识别特定个人且不能复原的，则无需征求用户同意。GB/T 35273-2017亦指出，个人信息经匿名化处理后所得的信息不属于个人信息。
因此，当App运营者需要向第三方提供其收集的个人信息时，可以采取两种路径：一是征求用户的明示同意；二是对个人信息进行匿名化处理使其无法识别特定个人且不能复原。需要注意的是，仅对个人信息进行“去标识化”处理的仍需在提供给第三方前征求用户的同意。
（四）用户的权利保障
征求意见稿的第六部分将未按法律规定提供删除或更正个人信息功能的具体情形界定为违法违规收集使用个人信息的行为，亦可以将其视为保护用户自由选择同意权利的一种保障。该部分内容可以简要概括为保障用户删除或更正个人信息功能的可操作性、及时性、有效性。
首先，App运营者需要提供更正、删除个人信息，注销用户账号的功能。且该功能需要具备可操作性，不能通过隐蔽位置、操作步骤繁琐等方式影响用户权利的实现。
其次，App运营者要保证权利实现的及时性。提供在线操作方式、客服电话、电子邮件等方式进行相关操作的，运营者需要确保该等方式能够及时响应。而需要人工处理的，则需要受理后在承诺时限内（无承诺时限的，以15个工作日为限）完成核查和处理。
最后，App运营者要保证权利实现的有效性。不得出现在更正、删除或注销操作提示完成后，依然未能更正、删除个人信息，注销用户账号的情形。
（五）特殊同意：对未成年人的保护要求
由于14 周岁以下（含）未成年信息主体的特殊性，征求意见稿亦对此单列一部分进行规定，要求运营者不得在未经监护人同意的情况下，收集使用14 周岁以下（含）未成年人的个人信息，亦不得利用14 周岁以下（含）未成年人信息和算法开展个性化推送新闻、时政信息、广告等定向推送活动。但如何征求未成年人的监护人的同意，在实践中则面临较大困境。
GB/T 35273-2017于附录D隐私政策模板为运营者提供了参考：
“六、我们如何处理儿童的个人信息
我们的产品、网站和服务主要面向成人。如果没有父母或监护人的同意，儿童不得创建自己的用户账户。
对于经父母同意而收集儿童个人信息的情况，我们只会在受到法律允许、父母或监护人明确同意或者保护儿童所必要的情况下使用或公开披露此信息。
尽管当地法律和习俗对儿童的定义不同，但我们将不满 14 周岁的任何人均视为儿童。
如果我们发现自己在未事先获得可证实的父母同意的情况下收集了儿童的个人信息，则会设法尽快删除相关数据。”
本团队亦在2019年3月7日发布的《个人信息监管收紧下的隐私政策设计要点》一文中对该问题提供了对策建议：
“今年3月1日，腾讯推出“儿童锁模式”，要求13周岁以下未成年新用户在首次登录游戏前，强制进行登记认证，只有其监护人完成“解锁”后才能进入游戏，若未完成解锁则被禁止登录，以此限制未成年用户对其账户信息的使用。
如果网络运营者所提供产品或服务需要准确获取信息主体的精确年龄信息的，可能会被认为其已经具备知悉存在未成年人用户的能力，需要承担起对未成年人信息数据的保护义务。在隐私条款设计中需要关注未成年人相关信息，如姓名、身份证号、电话号码等信息，需要事前征得其监护人的同意。例如，可以要求触发未成年人保护条款的用户在提交同意隐私政策时，要求该用户同时上传监护人手持身份证件与未成年人的合照，通过人脸识别技术进行对比进行审核认证，以完成监护人对未成年人信息收集使用的同意。”
结语
我国目前对于包括App运营者在内的网络运营者在收集使用个人信息的规制中仍延续了“告知-同意”的模式。因此App运营者在采取有效措施加强个人信息保护的同时，可参考下述的“告知-同意”模式开展具体业务以降低法律风险：
[1] 刘新宇, 宋海新.《App违法违规收集使用个人信息行为认定方法（征求意见稿）》逐条解读. (2019-05-06) [2019-05-08].http://www.01caijing.com/article/39738.htm.
[2] App违法违规收集使用个人信息自评估指南. (2019-03-01) [2019-05-08]. https://www.thepaper.cn/newsDetail_forward_3060138.
[3] 光明网. App专项治理工作组：欢迎网民积极提供App违法违规线索. (2019-03-01) [2019-05-08]. https://www.thepaper.cn/newsDetail_forward_3060161.
[4] 大数据法律研究. 团队原创 | 个人信息监管收紧下的隐私政策设计要点. (2019-03-07) [2019-05-08]. https://mp.weixin.qq.com/s/zuu-HGOXFU5LbBtXiblXKg.
本文仅为我们对相关法律法规的一般解读，不能作为正式法律意见和建议，如果您有特定的问题，请与观韬中茂律师事务所联系咨询事宜。
作者简介：吴丹君律师，观韬中茂上海办公室合伙人，首席数据官联盟专家组成员及法律顾问、深圳市大数据研究与应用协会法律专家。吴律师专注于互联网、数据信息领域的法律服务，包括网络安全、数据信息管理保护、隐私保护体系建设、数据公开等，为多家国有企业、跨国企业以及互联网大数据企业提供网络安全、数据合规法律服务。吴律师的执业领域为互联网|数据信息、兼并收购、外商直接投资、酒店等，曾多次就互联网法院、共享单车等互联网热点事件接受《中国青年报》《中国企业报》等媒体采访报道，其撰写的四十余篇数据合规专业法律文章被知名互联网媒体广泛转载。
吴丹君
合伙人
观韬中茂上海办公室
电话：（86-21）3135 9919
传真：（86-21）3135 9929
电子邮箱：wudj@guantao.com