近年來，App強(qiáng)制授權(quán)、過度索權(quán)、超范圍收集個(gè)人信息的現(xiàn)象大量存在，違法違規(guī)使用個(gè)人信息的問題十分突出，廣大網(wǎng)民對(duì)此反映強(qiáng)烈。落實(shí)《網(wǎng)絡(luò)安全法》《消費(fèi)者權(quán)益保護(hù)法》的要求，為保障個(gè)人信息安全，維護(hù)廣大網(wǎng)民合法權(quán)益，中央網(wǎng)信辦、工業(yè)和信息化部、公安部、市場(chǎng)監(jiān)管總局決定，自2019年1月至12月，在全國(guó)范圍組織開展App違法違規(guī)收集使用個(gè)人信息專項(xiàng)治理。根據(jù)《關(guān)于開展App違法違規(guī)收集使用個(gè)人信息專項(xiàng)治理的公告》，在近一年專項(xiàng)治理工作基礎(chǔ)上，四部門制定發(fā)布了《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》（以下簡(jiǎn)稱“《認(rèn)定方法》”），為App評(píng)估和處置提供參考，為App運(yùn)營(yíng)者自查自糾提供指引。
《認(rèn)定方法》結(jié)合App功能特性，針對(duì)移動(dòng)互聯(lián)網(wǎng)行業(yè)現(xiàn)存的個(gè)人信息收集使用方面存在的突出問題，對(duì)《網(wǎng)絡(luò)安全法》關(guān)于個(gè)人信息保護(hù)的原則性要求進(jìn)行了細(xì)化說明：一是明確違法違規(guī)行為的具體表現(xiàn)形式，如“未經(jīng)用戶同意收集使用個(gè)人信息”不僅包括根本沒有征求用戶同意的情況，還有收集信息后再征求用戶同意、實(shí)際收集的信息超出用戶授權(quán)范圍、App更新時(shí)自動(dòng)更改用戶設(shè)置的權(quán)限狀態(tài)等。二是細(xì)化解釋法律規(guī)定的原則性要求，如明確了《網(wǎng)絡(luò)安全法》規(guī)定的“必要”、“明示”等的具體含義和要求，“必要”是指實(shí)現(xiàn)業(yè)務(wù)功能所必需，如改善服務(wù)質(zhì)量、提升用戶體驗(yàn)等不屬于必要范圍，“明示”要求逐項(xiàng)列舉、目的明確、易于理解，收集使用規(guī)則更新時(shí)提示用戶等。三是指明以不正當(dāng)方式逃避監(jiān)管，實(shí)際上并未履行法律責(zé)任的情況，如《網(wǎng)絡(luò)安全法》要求網(wǎng)絡(luò)運(yùn)營(yíng)者公開收集使用規(guī)則，而有些App雖然有隱私政策，但是并未充分履行告知義務(wù)：隱私政策中幾乎不涉及收集使用規(guī)則，或隱私政策在App中十分隱蔽、難以找到，或隱私政策不是在App中公布，而是在官網(wǎng)等用戶無法直接查看的地方公布，或沒有提供簡(jiǎn)體中文版本，用戶難以閱讀。《認(rèn)定方法》明確要求收集使用規(guī)則必須在App中以用戶便于訪問和閱讀的形式展現(xiàn)，并且根據(jù)行業(yè)和監(jiān)管實(shí)際，規(guī)定進(jìn)行主界面后，通過少于4次點(diǎn)擊等操作即可訪問到。
值得說明的是，《認(rèn)定方法》主要針對(duì)App收集使用個(gè)人信息的行為，至于個(gè)人信息安全保護(hù)措施、非法買賣等犯罪行為不是其重點(diǎn)規(guī)范對(duì)象。目前，個(gè)人信息收集使用方面的法律規(guī)定較為原則，執(zhí)法監(jiān)管經(jīng)驗(yàn)不足，服務(wù)模式、業(yè)務(wù)功能復(fù)雜多樣，很多收集使用個(gè)人信息的做法處于灰色地帶，監(jiān)管難度較大，尤其過度收集行為更是個(gè)人信息安全的根源性問題。《認(rèn)定方法》在App違法違規(guī)收集使用個(gè)人信息評(píng)估工作的基礎(chǔ)上，通過深入行業(yè)進(jìn)行調(diào)研，根據(jù)法律法規(guī)劃定出違法違規(guī)行為界限，尤其著力探索破解強(qiáng)制收集、超范圍收集、隱蔽收集個(gè)人信息等現(xiàn)存突出問題和治理難題，從源頭根治個(gè)人信息安全問題，啃個(gè)人信息保護(hù)的“硬骨頭”，標(biāo)志著個(gè)人信息保護(hù)工作進(jìn)入更為深入階段。
《認(rèn)定方法》主要針對(duì)以下行為進(jìn)行了界定：
強(qiáng)制收集使用個(gè)人信息。有些App要求用戶一次性同意其收集所有業(yè)務(wù)功能所需的個(gè)人信息，或要求用戶授權(quán)其運(yùn)營(yíng)的其他產(chǎn)品及第三方插件收集用戶個(gè)人信息，或要求用戶授權(quán)與所謂的“關(guān)聯(lián)企業(yè)”共享個(gè)人信息，不同意則不提供服務(wù)。較為典型的是將targetSdkVersion值設(shè)置小于23，要求用戶一次性同意開啟多個(gè)可收集個(gè)人信息的權(quán)限，用戶不同意則無法安裝使用；有些App在用戶明確表示不同意后，仍頻繁征求用戶同意、干擾用戶正常使用，強(qiáng)迫用戶提供個(gè)人信息。
對(duì)此，《認(rèn)定方法》要求App運(yùn)營(yíng)者不得通過一攬子征求同意的方式、不同意則拒絕提供無關(guān)業(yè)務(wù)功能、頻繁征求同意等強(qiáng)制性方式獲得用戶授權(quán)。
超范圍收集使用個(gè)人信息。有些App收集與所提供服務(wù)無關(guān)的個(gè)人信息。很多App為了增加產(chǎn)品功能豐富性，通常將多種業(yè)務(wù)功能集中開發(fā)在一款產(chǎn)品中，要求用戶同意所有業(yè)務(wù)功能所需個(gè)人信息，不提供任一個(gè)人信息，則拒絕提供所有服務(wù)；有些App在不使用相關(guān)功能時(shí)，仍頻繁收集僅為此項(xiàng)功能所需的個(gè)人信息，或者以超出業(yè)務(wù)功能所需頻率收集個(gè)人信息。
目前，利用個(gè)人信息和算法進(jìn)行定向推送已成為一些互聯(lián)網(wǎng)行業(yè)的一大營(yíng)利模式，有些企業(yè)為實(shí)現(xiàn)精準(zhǔn)推送，往往以改善程序功能、提高用戶體驗(yàn)、定向推送等目的強(qiáng)迫用戶提供并非實(shí)現(xiàn)業(yè)務(wù)功能所必需的個(gè)人信息。有些企業(yè)為了宣傳產(chǎn)品，未經(jīng)用戶同意將所收集的用戶個(gè)人信息提供給廣告營(yíng)銷商，進(jìn)行廣告推送。
對(duì)此，《認(rèn)定方法》要求不得收集無關(guān)的個(gè)人信息，不得強(qiáng)制收集非必要的個(gè)人信息。非必要信息包括“不是業(yè)務(wù)功能所必需”、“僅為改善服務(wù)質(zhì)量、提升用戶體驗(yàn)、定向推送信息、研發(fā)新產(chǎn)品所需要”、“新增業(yè)務(wù)功能所需個(gè)人信息”等。
隱瞞用戶收集使用個(gè)人信息。有些App在用戶注冊(cè)界面默認(rèn)勾選同意隱私政策，非常容易導(dǎo)致用戶在毫不知情的情況下進(jìn)行授權(quán)；有些App在隱私政策中使用“包括但不限于”、“可能用于”等開放式表述，未完整列出具體的個(gè)人信息類型，通過要求用戶同意隱私政策而獲得收集無限制多類個(gè)人信息的授權(quán)；有些App在安裝后，未征得用戶同意，就開始使用Cookie等同類技術(shù)收集用戶設(shè)備IMEI號(hào)、MAC地址等個(gè)人信息；有些App為降低成本、提升效率，通過嵌入各類第三方插件(如SDK)實(shí)現(xiàn)產(chǎn)品功能的多樣化，而這些第三方插件成為“隱形扒手”，在用戶不知情的情況下收集個(gè)人信息，甚至將個(gè)人信息傳至境外服務(wù)器；有些App故意隱瞞、掩飾收集使用個(gè)人信息的真實(shí)目的，或者使用模糊性語(yǔ)言使得收集個(gè)人信息目的不明確、難以理解，誤導(dǎo)用戶同意收集個(gè)人信息；有些App通過其他產(chǎn)品賬號(hào)登錄，未經(jīng)用戶同意，訪問用戶其他產(chǎn)品中的個(gè)人信息；有些App在其界面顯示其他產(chǎn)品鏈接，一旦用戶點(diǎn)擊即默認(rèn)注冊(cè)，未經(jīng)用戶同意將個(gè)人信息提供給第三方。
對(duì)此，《認(rèn)定方法》要求App運(yùn)營(yíng)者通過逐項(xiàng)列舉的方式明確App及委托第三方、嵌入第三方代碼和插件收集個(gè)人信息類型，在收集個(gè)人敏感信息或獲取權(quán)限時(shí)同步告知用戶目的，確保用戶知悉收集個(gè)人信息的真實(shí)明確目的，收集使用行為要經(jīng)過用戶明確授權(quán)等。
未設(shè)置有效的更正、刪除個(gè)人信息及注銷用戶賬號(hào)的功能。有些App雖設(shè)置相關(guān)功能和渠道，但無法及時(shí)響應(yīng)；有些App仍把注銷過的賬號(hào)信息保留于服務(wù)器，注銷賬號(hào)機(jī)制無效；有些App在用戶注銷時(shí)，要求滿足提供超出用戶注冊(cè)時(shí)所需信息等不合理?xiàng)l件，否則不予注銷。
對(duì)此，《認(rèn)定方法》要求App運(yùn)營(yíng)者不僅要設(shè)置更正、刪除個(gè)人信息及注銷用戶賬號(hào)的功能，還要求能夠及時(shí)響應(yīng)，并不得設(shè)置不合理的前提條件。