安全技术专家解读：《App违法违规收集使用个人信息行为认定方法》

近年来，App违规收集个人信息、过度索权等侵害用户权益的现象饱受诟病，并引发了来自国家监管层面的高度关注。

 

自2019年初监管机构开展App违法违规收集使用个人信息专项治理以来，多次重点针对App无隐私协议、收集使用个人信息范围描述不清、超范围采集个人信息和非必要采集个人信息等情形，进行通报、责令期限整改、处以警告处罚，更有2款App被立为刑事案件开展侦查……

 

 

2019年12月30日，国家网信办、工信部、公安部和市场监管总局四部门联合印发《App违法违规收集使用个人信息行为认定方法》（以下简称《认定方法》），为监督管理部门认定App违法违规收集使用个人信息行为提供参考，为App运营者自查自纠和网民社会监督提供指引。

 

为了更加直观地说明监管机构对App违法违规收集使用个人信息行为的治理维度，百度安全对监管机构在2019年12月至2020年1月期间一系列执法重点进行剖析，并结合《认定方法》进行对应解读，其中涉及四部门App专项治理工作组通报的57款问题App、工信部公布的两批侵害用户权益行为App，以期能够帮助广大App开发及运营者快速了解监管机构治理的侧重点，从而快速对齐国家、行业安全标准与规范，规避App违法违规风险。

 

 

一 “未公开收集使用规则”

 

No.	检测项	简要分析	隐私合规助手评估方法举例
1	在App中没有隐私政策，或者隐私政策中没有收集使用个人信息规则；	明确要求App应公开隐私政策等文件，且隐私政策中应当包含收集使用个人信息的具体规则。在实践中，即使App公开了隐私政策，但App在用户首次登录时向用户默示隐私政策的情况十分普遍，导致隐私政策难以起到告知作用，因此本节要求App在首次运行时应以明显方式提示用户阅读。为了保护用户的知情权，除了要求在App首次运行时以明显方式提供用户阅读，还要求保证隐私政策在使用期间的易获得性。最后，对于难以阅读的情形也进行了非穷尽式列举，如未提供简体中文版等也构成“未公开收集使用规则”。就App专项治理工作组通报的57款存在收集使用个人信息问题App，其中： 1. 有12款App没有隐私政策； 2. 有10款App未通过明显方式提示用户阅读隐私政策，如未使用弹窗提示或采用将字体缩小，颜色变浅且放置在页面最底端的方式展示隐私政策链接； 3. 有14款App的隐私政策难以访问，如仅在注册或登录界面展示隐私政策链接，注册或登录后，无法再找到隐私政策；进入主界面后，多于4次点击等操作才能访问到隐私政策； 4. 有4款App的隐私政策难以阅读，如文字显示过小、过密；隐私政策中存在较多错别字或者歧义句；文字无自动换行；未提供简体中文版。	全自动化智能探测App是否有隐私政策，包括无法通过弹窗、文本链接、常见问题（FAQs）等形式在App中找到隐私政策。
2	在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则；		在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则。明显方式包括但不限于：弹窗、明显位置URL。
3	隐私政策等收集使用规则难以访问，如进入App主界面后，需多于4次点击等操作才能访问到；		全自动化智能探测App是否有隐私政策。检查从App首页到隐私政策是否可以在4次（含）点击之内访问到。
4	隐私政策等收集使用规则难以阅读，如文字过小过密、颜色过淡、模糊不清，或未提供简体中文版等。		全自动化智能探测App是否有隐私政策。包括隐私政策等收集使用规则的文字过小过密、颜色过淡、模糊不清；隐私政策是否是简体中文版；检查隐私政策文字是否造成阅读困难，如没有自动换行，段落划分不明确，存在较多错别字和歧义句等。
【法律依据】： 1) 《网络安全法》第四十一条第一款：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。 2) 《消费者权益保护法》第二十九条第一款：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。

 

 

二、 “未明示收集使用个人信息的目的、方式和范围”

 

No.	检测项	简要分析	隐私合规助手评估方法举例
1	未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等；	本节要求App需明示收集使用个人信息的目的、方式、范围。首先，要求App不仅要说明其自身收集使用个人信息的详细情况，同时为了打击SDK等第三方在App上进行隐秘收集的情况，也要求说明第三方SDK收集使用个人信息的具体情况。第二，原则上App收集使用个人信息的合法事由是获得用户同