AG真人国际-(china)官方网站

根据中国互联网络信息中心2022年8月发布的《第50次中国互联网络发展状况统计报告》显示，截至2022年6月，中国国内市场上监测到的APP数量为232万款，中国网民规模为10.51亿，其中手机网民规模高达10.47亿，占比整体网民99.6%。在数字化高速发展的今天，各种移动互联网应用程序（以下简称“App”）在为人们工作、生活提供便利的同时，其所带来的重大、多发个人信息安全隐患也在暴露，并受到中国监管部门的重点关注。

针对社会反映强烈的App以强制、诱导、欺诈等恶意方式违法违规处理个人信息行为，2022年11月3日，中华人民共和国国家互联网信息办公室（以下简称“网信办”）依据《个人信息保护法》《App违法违规收集使用个人信息行为认定方法》等法律法规规定，依法查处“超凡清理管家”等135款违法违规App，其中55款App被依法予以下架处置，80款App被依法责令限期1个月完成整改，逾期未完成整改的，依法予以下架处置。

App作为经济活动与日常生活中最频繁使用的移动互联交互方式，是个人信息保护的重要领域。本文通过对上述App所涉违法违规行为进行梳理，结合App当前的合规监管现状与趋势，对App合规关键要素/合规大项进行解析，并对相关风险防范提出建议。

通过对本次查处的App所涉违法违规行为的梳理，可以看出，当前监管部门针对App合规审查仍主要集中于必要权限和非必要权限的获取等个人信息收集行为环节，以及隐私政策的展示与访问、个人信息处理规则的告知、注销账号等个人信息主体权利保障方面。根据违法严重程度及性质，监管部门将App违法收集个人信息行为区分为一般违法行为以及严重违法行为，对于一般违法行为，采取限期整改，如App运营者未完成整改再依法予以下架处置；对于严重违法行为，则直接将存在违法违规收集个人信息的App予以下架处置。

具体梳理如下：

自2021年11月1日《个人信息保护法》正式实施以来，中国进入个人信息保护强监管时代，并以《个人信息保护法》为基础，在服务类型、算法、个人信息收集、SDK、预装应用、应用商店审核等各细分领域制定并发布了更加细致的部门规章、推荐性国家标准、行业标准等规定以及征求意见稿，其中部分规定现已施行。

中国对于个人信息处理者数据业务的合规要求呈现体系化、全方位、强监管的态势。在经济活动与日常生活中最频繁使用的App，更是个人信息保护的重要领域，对于App规范对象、规范主体以及规范范围也在逐步扩大和细化完善，以便适应技术快速更迭的App应用场景。

工业和信息化部信息通信管理局自2020年5月14日起组织进行的《关于侵害用户权益行为的App通报》《关于下架侵害用户权益App名单的通报》以及网信办组织的《关于App违法违规收集使用个人信息情况的通报》《侵犯个人信息合法权益的违法违规App》等专项整治活动，针对App个人信息保护的规范对象从App本身已经逐步扩展至预装应用、小程序、SDK等类似产品形态，以确保全方位、无死角地保护公民个人信息安全。

根据已经施行的《移动互联网应用程序信息服务管理规定》《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》《互联网信息服务算法推荐管理规定》以及尚处征求意见过程中的《移动互联网应用程序SDK安全规范》《应用商店App个人信息收集使用上架审核和管理规范》等规定，针对App的规范主体从单一的App运营者已经扩大至分发平台、第三方服务提供者等全产业链范围，以确保在App从审核上架至提供服务的全过程均能实现个人信息保护。

从规范范围上，随着《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》《移动互联网应用程序（App）收集使用个人信息最小必要评估规范 第1部分：总则》《信息安全技术 移动互联网应用程序（App）生命周期安全管理指南》（征求意见稿）的发布与施行，App在运行过程中的个人信息处理行为规范范围也从主要针对收集行为逐步延伸至存储行为、使用行为、传输行为、删除行为等个人信息全生命周期。

根据上述监管重点和趋势，结合《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》等要求，App运营者等个人信息处理者应重点关注以下合规关键要素/合规大项来完善自身App合规体系。

根据国家标准化管理委员会2020年10月1日实施的推荐性国家标准《信息安全技术个人信息安全规范》（GB/T35273-2020）以及2022年11月1日最新实施的推荐性国家标准《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》（GB/T 41391-2022），App应当在系统权限获取以及个人信息收集、存储、使用、传输、删除等各环节依法采取相应的合规措施。应尤其注意个人信息的委托处理、共享等环节，列明已收集个人信息和与第三方共享个人信息的“双清单”，并做好SDK等第三方个人信息处理环节的合规准入管理以及过程监督。

以App设计/接入环节为例，首先，应先区分App的基本业务功能和拓展业务功能。App的基本业务功能即为实现用户主要使用目的的业务功能，该功能即为划分App所属类型的依据。拓展业务功能则包含仅为实现改善服务质量、提升使用体验、定向推送信息、研发新产品等目的的业务功能或外部第三方或关联公司提供的业务功能。其次，根据App的基本业务功能与拓展业务功能，区分必要个人信息和非必要个人信息。即仅有保障App基本业务功能正常运行的个人信息为必要个人信息，属必须收集的个人信息，其余为实现App拓展业务功能所收集的个人信息均为非必要个人信息。最后，应以显著方式告知用户相关个人信息收集方式、内容等。在向用户告知个人信息收集事项时，应在个人信息保护政策（或称“隐私政策”）中以显著方式告知必要和非必要个人信息的收集，并保障用户可拒绝或撤回同意收集非必要个人信息的权利，且不应因用户拒绝或撤回同意提供非必要个人信息，而拒绝用户使用该App的基本业务功能。

作为收集个人信息的必要路径之一，App获取客户终端系统权限时应遵循《个人信息保护法》的“最小必要原则”，即收集个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，且对个人权益影响最小的方式。

具体来说，其一，在App获取用户终端系统权限时，其系统权限申请范围应仅限实现App服务目的最小范围的系统权限，不应申请与App业务功能无关的系统权限，且该系统权限申请时间应为用户使用相关业务功能时，不能提前申请。其二，申请权限时应同步告知用户权限申请目的，目的应明确具体且易于理解，不包含任何欺诈、诱骗、误导用户授权的描述。其三，不应以捆绑方式要求用户一次性同意授权打开多个系统权限，且如用户终端操作系统允许，应尽量以单次授权方式获取系统权限。

软件开发包（Software Development Kit），即被我们所熟知的“SDK”，因其可以使App运营者/开发者缩短开发周期、节省开发成本，已基本被集成在每一款App中。根据中国信息通信研究院安全研究所2021年12月发布的《软件开发包（SDK）安全研究报告》显示，目前国内一款App平均集成了超过20款SDK，且随着监管部门工作的深入，SDK合规将成为个人信息合规监管工作下一阶段的重点方向。

首先，在接入第三方SDK之前，App运营者/开发者应从代码和运行行为方面就SDK的收集和使用个人信息（包含SDK收集个人信息类型、目的、频率；调用敏感权限、目的、频率；个人信息传输服务器地址）、个人信息出境、申请使用用户系统权限等个人信息处理行为进行评估，以确保App中嵌入的SDK数量为实现App业务功能需要的最少数量，申请的权限具有明确、合理的使用目的。同时，App运营者/开发者应与第三方SDK运营者签订相关的协议和条款，用以明确双方的个人信息处理规则和保护责任。

其次，在App运营阶段应在个人信息保护政策（或称“隐私政策”）中说明嵌入的所有收集个人信息的第三方SDK名称、SDK收集个人信息的目的、方式、种类，及其个人信息处理规则。如App中所嵌入的SDK具备热更新功能（注：热更新是指软件不通过运营商店的软件版本更新审核，直接通过应用自行下载的软件数据更新的行为，即在用户下载安装APP之后，打开App时遇到的即时更新）且更新内容涉及个人信息处理目的、方式和范围的变更，应及时通过第三方SDK运营者获取该信息后，第一时间更新个人信息保护政策（或称“隐私政策”）并向App用户进行告知，以便重新获取用户同意。同时，由于绝大多数SDK均为第三方开发运营，App运营者也应当组织专门审查部门，建立相应审查机制，对已嵌入的SDK开展持续或不定期安全审查工作，在SDK嵌入App运营的过程中持续监测并评估代码安全性、收集处理个人信息情况是否与事前约定一致等情形。如经检测发现不合规行为，应当及时通知SDK运营者整改或暂停、终止相关SDK使用。

最后，在SDK退出阶段，App运营者应及时敦促第三方SDK运营者将此前所收集、存储的App用户个人信息予以删除或采取匿名化处理，同时采取移除相关代码并保留操作日志等措施，避免App用户个人信息的持续传输以及因App用户个人信息泄露所产生的争议。

除前述法律规范侧的数据合规要点外，App运营者进行合规差距分析、整改或合规自评估时，有时还需要结合业务场景甚至是技术实现方式等因素来综合判断。下面以App收集地理位置信息频次的检测方式对遵守“最小必要原则”合规评判的影响为例进行说明。

某App在收集地理位置信息时，实务中存在部分App有瞬时收集频率爆发式增长的现象，比如在150毫秒的执行时长下，获取地理位置行为的瞬时次数可达到7次，如仅从瞬时次数分析，则有可能违反《个人信息保护法》第6条第2款关于“最小必要原则”的合规要求。但是通过分析和研究发现，该App可能是为了定位信息的有效性，同时采用了多种定位方式导致。比如，为了提高用户的使用友好度，除了GPS定位方式外，很多App还会采用通过基站坐标来进行定位的技术方式（注：较之GPS定位方式，基站定位方式的优势是遮挡无影响，App可通过基站的定位信息，再进行三角计算相关算法，计算出当前用户的定位信息，这种定位方式的精度，可以达到100米左右）。

从技术上讲，基站定位功能会执行扫描当前用户周围的所有基站信息，并获取基站坐标信息，如果当前用户周围有3个或以上的基站信息，则会轮询获取各个基站坐标数据，通过算法实现对手机的定位。这将导致，App获取基站坐标数据也被研判成一次定位行为，Android操作系统本身对获取基站坐标信息的行为也判定为一次定位。

因此，由于技术验证手段的不同，会出现业务场景下手机地理位置信息频次的合规评判存在差异的情况。从App开发者角度来说，这个业务场景多次收集地理位置信息属于技术方式导致，并非App对用户手机定位信息进行主观地多次获取。

在此场景下，对于App运营者，建议应对于关键行为进行分类汇总，比如针对该7次获取地理位置的敏感行为，可在关键行为汇总列表中进一步列明“通过卫星GPS定位触发次数2次”“通过基站A定位触发次数1次”“通过基站B定位触发次数1次”“通过基站C定位触发次数1次”“通过基站D定位触发次数1次”“通过基站E定位触发次数1次”等。对于App开发者，对某些收集个人信息行为的相关技术原理，应进行一定必要的、通俗易懂的描述，对可能造成的影响进行说明，能够在个人信息保护政策（或称“隐私政策”）中进行完善，做到明示告知，同时也满足监管督查问询时的有效技术响应。