近三年来，工信部不断开展App侵害用户权益专项整治行动。今年以来，工信部已累计完成29万款App技术检测，工信部已经连续通报了4批侵害用户权益行为App名单，已有457款App遭到工信部公开点名，被责令下架的App共计197款。其中不乏如花椒直播、芒果TV、艺龙酒店、UC浏览器、QQ输入法、墨迹天气等大众所熟知的应用，此外，如广东南粤银行、珠江直销银行等多款银行App也遭到了官方点名。
据统计发现，在众多侵害用户权益的行为中，违规收集个人信息的问题占比高达73%，违规使用个人信息问题占比15.7%，不难发现，违规收集个人信息，违规使用个人信息是App侵权的“重灾区”。
3月12日，国家网信办、工信部、公安部、国家市场监管总局四部门联合发布《常见类型移动互联网应用程序必要个人信息范围规定》，明确39类常见类型App的必要个人信息范围，并要求“App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务”。5月1日，《常见类型移动互联网应用程序必要个人信息范围规定》正式印发，加大对违法违规收集使用个人信息行为的调查处理力度。
5月1日起，国家网信办分批次通报了输入法类（15款）、地图导航类（17款）、即时通信类（1款）、安全管理类（36款）、网络借贷类（48款）、短视频类（19款）、浏览器类（34款）、求职招聘类（51款）、实用工具类（1款），共计222款App违法违规收集使用个人信息情况，未经用户同意手机使用个人信息、违反必要原则，收集与其提供的服务无关的个人信息，未公开收集使用原则，未按法律规定提供删除或更正个人信息功能等是各大应用主要存在的违规问题。
收集和使用个人信息的红线究竟在哪里？如何规范化的在合规范围内采集数据？
为了帮助广大App运营商正确理解《网络安全法》、《常见类型移动互联网应用程序必要个人信息范围规定》、《App违法违规收集使用个人信息行为认定方法》中对于日常App的非法获取、超范围收集和过度索权等侵害个人信息等方面规定，安全419近日对相关规定进行了详细拆解，以期帮助广大的App运营者更好的理解相关规定，规避运营中的安全风险，坚守网络安全的红线。
公开收集使用规则是必要条件
· 在App中需要有隐私政策，或者隐私政策中需要有收集使用个人信息规则；
· 在App首次运行时需要通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则；
· 隐私政策等收集使用规则要轻松访问，如进入App主界面后，需多于4次点击等操作才能访问到就属于违规行为；
· 隐私政策等收集使用规则能够轻松阅读，如文字过小过密、颜色过淡、模糊不清，或未提供简体中文版等都属于违规行为。
收集使用个人信息的目的、方式和范围需要明示
· 逐一列出App中的隐私政策，或者隐私政策中收集使用个人信息规则；
· 收集个人信息的目的、方式、范围发生变化时，需要以适当的方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等；
· 申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时，需要同步告知用户其目的，目的要明确、容易理解；
· 收集使用规则的内容应该通俗易懂，尽量不使用大量的专业术语；
收集使用个人用户信息需要征得用户同意
· 开始收集个人信息或打开可收集个人信息的权限需要事先征得用户同意；
· 用户明确表示不同意后，不得收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用；
· 实际收集的个人信息或打开的可收集个人信息权限不能超出用户授权范围；
· 不得以默认选择同意隐私政策等非明示方式征求用户同意；
· 未经用户同意不得更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态；
· 不得利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项；
· 不得以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的；
· 需要向用户提供撤回同意收集个人信息的途径、方式；
· 不得违反其所声明的收集使用规则，收集使用个人信息。
不得收集与其提供的服务无关的个人信息，违反必要原则
· 收集的个人信息类型或打开的可收集个人信息权限与现有业务功能需要有关；
· 因用户不同意收集非必要个人信息或打开非必要权限，不能拒绝提供业务功能；
· App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，不得拒绝提供原有业务功能，新增业务功能取代原有业务功能的除外；
· 收集个人信息的频度等不能超出业务功能实际需要；
· 不得仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息；
· 不得要求用户一次性同意打开多个可收集个人信息的权限，用户不同意也不影响正常使用。
不得未经同意向他人提供个人信息
· 未经用户同意，也未做匿名化处理，App客户端不得直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码、插件等方式向第三方提供个人信息；
· 未经用户同意，也未做匿名化处理，不得存在数据传输至App后台服务器后，向第三方提供其收集的个人信息；
· App接入第三方应用，未经用户同意，不得向第三方应用提供个人信息。
需要按照法律规定提供删除或更改个人信息功能或公布投诉、举报方式等信息
· 需要提供有效的更正、删除个人信息及注销用户账号功能；
· 不得为更正、删除个人信息或注销用户账号设置不必要或不合理条件；
· 提供了更正、删除个人信息及注销用户账号功能，需要及时响应用户相应操作，需人工处理的，要在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理；
· 更正、删除个人信息或注销用户账号等用户操作已执行完毕，App后台要及时完成；
· 要建立并公布个人信息安全投诉、举报渠道，并在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理。
常见类型移动互联网应用程序 必要个人信息范围
· 地图导航类，基本功能服务为“定位和导航”，必要个人信息为：位置信息、出发地、到达地。
· 网络约车类，基本功能服务为“网络预约出租汽车服务、巡游出租汽车电召服务”，必要个人信息包括：注册用户移动电话号码；乘车人出发地、到达地、位置信息、行踪轨迹；支付时间、支付金额、支付渠道等支付信息（网络预约出租汽车服务）。
· 即时通信类，基本功能服务为“提供文字、图片、语音、视频等网络即时通信服务”，必要个人信息包括： 1.注册用户移动电话号码； 2.账号信息：账号、即时通信联系人账号列表。
· 网络社区类，基本功能服务为“博客、论坛、社区等话题讨论、信息分享和关注互动”，必要个人信息为：注册用户移动电话号码。
· 网络支付类，基本功能服务为“网络支付、提现、转账等功能”，必要个人信息包括： 1.注册用户移动电话号码； 2.注册用户姓名、证件类型和号码、证件有效期限、银行卡号码。
· 网上购物类，基本功能服务为“购买商品”，必要个人信息包括： 1.注册用户移动电话号码； 2.收货人姓名（名称）、地址、联系电话； 3.支付时间、支付金额、支付渠道等支付信息。餐饮外卖类，基本功能服务为“餐饮购买及外送”，必要个人信息包括： 1.注册用户移动电话号码； 2.收货人姓名（名称）、地址、联系电话； 3.支付时间、支付金额、支付渠道等支付信息。
· 邮件快件寄递类，基本功能服务为“信件、包裹、印刷品等物品寄递服务”，必要个人信息包括： 1.寄件人姓名、证件类型和号码等身份信息； 2.寄件人地址、联系电话； 3.收件人姓名（名称）、地址、联系电话； 4.寄递物品的名称、性质、数量。
· 交通票务类，基本功能服务为“交通相关的票务服务及行程管理（如票务购买、改签、退票、行程管理等）”，必要个人信息包括： 1.注册用户移动电话号码； 2.旅客姓名、证件类型和号码、旅客类型。旅客类型通常包括儿童、成人、学生等； 3.旅客出发地、目的地、出发时间、车次/船次/航班号、席别/舱位等级、座位号（如有）、车牌号及车牌颜色（ETC服务)； 4.支付时间、支付金额、支付渠道等支付信息。
· 婚恋相亲类，基本功能服务为“婚恋相亲”，必要个人信息包括： 1.注册用户移动电话号码； 2.婚恋相亲人的性别、年龄、婚姻状况。
· 求职招聘类，基本功能服务为“求职招聘信息交换”，必要个人信息包括： 1.注册用户移动电话号码； 2.求职者提供的简历。
· 网络借贷类，基本功能服务为“通过互联网平台实现的用于消费、日常生产经营周转等的个人申贷服务”，必要个人信息包括： 1.注册用户移动电话号码； 2.借款人姓名、证件类型和号码、证件有效期限、银行卡号码。
· 房屋租售类，基本功能服务为“个人房源信息发布、房屋出租或买卖”，必要个人信息包括： 1.注册用户移动电话号码； 2.房源基本信息：房屋地址、面积/户型、期望售价或租金。
· 二手车交易类，基本功能服务为“二手车买卖信息交换”，必要个人信息包括： 1.注册用户移动电话号码； 2.购买方姓名、证件类型和号码； 3.出售方姓名、证件类型和号码、车辆行驶证号、车辆识别号码。
· 问诊挂号类，基本功能服务为“在线咨询问诊、预约挂号”，必要个人信息包括： 1.注册用户移动电话号码； 2.挂号时需提供患者姓名、证件类型和号码、预约挂号的医院和科室； 3.问诊时需提供病情描述。
· 旅游服务类，基本功能服务为“旅游服务产品信息的发布与订购”，必要个人信息包括： 1.注册用户移动电话号码； 2.出行人旅游目的地、旅游时间； 3.出行人姓名、证件类型和号码、联系方式。酒店服务类，基本功能服务为“酒店预订”，必要个人信息包括： 1.注册用户移动电话号码； 2.住宿人姓名和联系方式、入住和退房时间、入住酒店名称。
· 网络游戏类，基本功能服务为“提供网络游戏产品和服务”，必要个人信息为：注册用户移动电话号码。
· 学习教育类，基本功能服务为“在线辅导、网络课堂等”，必要个人信息为：注册用户移动电话号码。
· 本地生活类，基本功能服务为“家政维修、家居装修、二手闲置物品交易等日常生活服务”，必要个人信息为：注册用户移动电话号码。
· 女性健康类，基本功能服务为“女性经期管理、备孕育儿、美容美体等健康管理服务”，无须个人信息，即可使用基本功能服务。
· 用车服务类，基本功能服务为“共享单车、共享汽车、租赁汽车等服务”，必要个人信息包括： 1.注册用户移动电话号码； 2.使用共享汽车、租赁汽车服务用户的证件类型和号码，驾驶证件信息； 3.支付时间、支付金额、支付渠道等支付信息； 4.使用共享单车、分时租赁汽车服务用户的位置信息。
· 投资理财类，基本功能服务为“股票、期货、基金、债券等相关投资理财服务”，必要个人信息包括： 1.注册用户移动电话号码； 2.投资理财用户姓名、证件类型和号码、证件有效期限、证件影印件； 3.投资理财用户资金账户、银行卡号码或支付账号。
· 手机银行类，基本功能服务为“通过手机等移动智能终端设备进行银行账户管理、信息查询、转账汇款等服务”，必要个人信息包括： 1.注册用户移动电话号码； 2.用户姓名、证件类型和号码、证件有效期限、证件影印件、银行卡号码、银行预留移动电话号码； 3.转账时需提供收款人姓名、银行卡号码、开户银行信息。
· 邮箱云盘类，基本功能服务为“邮箱、云盘等”，必要个人信息为：注册用户移动电话号码。
· 远程会议类，基本功能服务为“通过网络提供音频或视频会议”，必要个人信息为：注册用户移动电话号码。网络直播类，基本功能服务为“向公众持续提供实时视频、音频、图文等形式信息浏览服务”，无须个人信息，即可使用基本功能服务。
· 在线影音类，基本功能服务为“影视、音乐搜索和播放”，无须个人信息，即可使用基本功能服务。短视频类，基本功能服务为“不超过一定时长的视频搜索、播放”，无须个人信息，即可使用基本功能服务。
· 新闻资讯类，基本功能服务为“新闻资讯的浏览、搜索”，无须个人信息，即可使用基本功能服务。
· 运动健身类，基本功能服务为“运动健身训练”，无须个人信息，即可使用基本功能服务。浏览器类，基本功能服务为“浏览互联网信息资源”，无须个人信息，即可使用基本功能服务。
· 输入法类，基本功能服务为“文字、符号等输入”，无须个人信息，即可使用基本功能服务。
· 安全管理类，基本功能服务为“查杀病毒、清理恶意插件、修复漏洞等”，无须个人信息，即可使用基本功能服务。
· 电子图书类，基本功能服务为“电子图书搜索、阅读”，无须个人信息，即可使用基本功能服务。
· 拍摄美化类，基本功能服务为“拍摄、美颜、滤镜等”，无须个人信息，即可使用基本功能服务。
· 应用商店类，基本功能服务为“App搜索、下载”，无须个人信息，即可使用基本功能服务。
· 实用工具类，基本功能服务为“日历、天气、词典翻译、计算器、遥控器、手电筒、指南针、时钟闹钟、文件传输、文件管理、壁纸铃声、截图录屏、录音、文档处理、智能家居助手、星座性格测试等”，无须个人信息，即可使用基本功能服务。
· 演出票务类，基本功能服务为“演出购票”，必要个人信息包括：注册用户移动电话号码；观演场次、座位号（如有）；支付时间、支付金额、支付渠道等支付信息。
法律法规对个人信息保护都有哪些规定？
· 《中华人民共和国刑法》
《刑法》第三百五十三条对侵犯公民个人信息罪作出了规定。该规定明确，向他人提供或者出售公民个人信息的行为均属于犯罪行为，若工作人员将自己在履行职责过程中获得的公民个人信息出售或者提供给他人，则从重处罚。犯此罪者，根据情节不同分别被处以罚金以及有期徒刑。
· 《中华人民共和国网络安全法》
《网络安全法》在第四章以专章的形式对网络信息安全进行了系统规定。个人信息安全作为网络信息安全的重要组成部分，也在其中得到了体现。首先，网络运营商一方掌握着大量的用户个人信息，根据《网络安全法》规定，其必须确保这些个人信息的安全，妥善保管，在建立严格的保密制度的同时，也必须健全用户信息保护制度。再者，网络运营商对于用户个人信息的收集，必须遵循必要性原则，不得收集从事该项业务的任何非必要信息，并且需要在使用完毕后定期清除，确保掌握最少数量且最短时间的用户个人信息。再者，网络运营者对于用户个人信息的使用必须以用户同意为前提，不得有任何威胁个人信息安全的行为，也不得将用户个人信息进行转让、泄露等。
· 《中华人民共和国民法总则》
《民法总则》一百一十一条规定，我国自然人的个人信息安全受到法律的保护，非信息主对于个人信息的获取，必须确保通过合法途径获得，同时也不得非法使用、收集、加工、买卖他人的个人信息，也不得在未经信息主同意的前提下对他人的个人信息进行公开、转让等。
· 《中华人民共和国消费者权益保护法》
《消费者权益保护法》第二十九条规定，经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。 经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。
被点名通报后，如果App运营方拒不整改或是未及时整改怎么办？
数据显示，工信部已累计完成29万款App技术检测，已连续通报了4批侵害用户权益行为App名单，已有457款App遭到工信部公开点名，被责令下架的App共计197款。
为什么这些App的运营者不对自家开发的App进行及时整改呢？在有关专家看来，一方面，是这些应用的开发者在个人信息保护的整改上存在漠视，以及侥幸的心理，另一方面则是当前的监管仍然具有一定的滞后性，配套的法律法规方面仍然不完善，监管部门目前采取的主要手段主要是要求企业开展自查自纠、限期整改，约谈和下架等方式，针对违法违规行为的处罚手段仍然比较有限。
对此，国家有关部门也正在紧锣密鼓的研究个人信息保护新规，以加强对App违法违规行为的监管和处罚。
4月26日，工信部发布了《移动互联网应用程序个人信息保护管理暂行规定（征求意见稿）》，征求意见稿进一步细化了违规处置流程和具体措施。
目前，针对一些拒不整改、不在限期内完成整改，以及整改不彻底的企业，工信部会采取向社会公告、组织下架、行政处罚以及将受到行政处罚的违规主体纳入电信业务经营不良名单或失信名单等措施。对于整改反复出现问题且情节严重的App，App分发平台和移动智能终端生产企业可采取禁入措施，相应违规主体还可能被纳入信用管理，实施联合惩戒。
目前已有大量的App因反复出现同类问题而被下架处理，其中不乏脉脉、天涯社区、大麦、途牛旅游、VIP陪练等为大众所熟知的App。
坚守技术的道德底线 让技术真正造福于大众生活
当下，随着移动互联网的飞速发展，用户数据这一移动互联网时代的产物正在成为企业最核心的资产。根据从用户手机中手机来的个人信息，App的开发者可以了解用户的喜好，可以更准确把握产品功能的用户体验，来不断推进产品的升级和迭代。产品推广部门可以根据用户数据，精准投放广告，实现拉新引流的效率最大化，为新品推广节省费用。用户数据甚至还可以直接货币化，企业可以根据所获取的用户数据，形成精准的用户画像，进而为其他公司产品精准投放广告，收取广告费用。
也正是因为这些原因，一些“打擦边球”的行为也不断滋生，恶意收集和使用用户个人信息，为用户个人信息安全带来极大的风险和隐患。
科技的道德边界始终是一个值得探讨的话题，我们在不断拓展技术革新的同时也应该以人为本，遵守法律法规的同时，不断去探索科技创造美好生活并且尽量不引入新的困扰，是所有科技行业从业者始终要去追求的平衡。
京公网安备 11010802033237号
