侵害用户权益过度索取权限 如何强化App个人信息保护

　　一百零五款App违法违规收集使用个人信息情况被通报

　　拿什么强化App个人信息保护

　　本报记者 赵晨熙

　　喜欢听演唱会的人对大麦App都不陌生，近日，这个“票务专家”却被下架了，原因是侵害用户权益，违规收集个人信息，App强制、频繁、过度索取权限等。  

　　5月21日，国家互联网信息办公室对105款App违法违规收集使用个人信息情况进行了通报。通报要求，针对检测发现的问题，相关App运营者应当于本通报发布之日起15个工作日内完成整改。

　　为加强移动互联网应用程序(App)个人信息保护，规范App个人信息处理活动，在国家互联网信息办公室的统筹指导下，工业和信息化部会同公安部、市场监管总局起草了《移动互联网应用程序个人信息保护管理暂行规定(征求意见稿)》向社会公开征求意见。

　　征求意见稿共20条，界定了适用范围和监管主体；确立了“知情同意”“最小必要”两项重要原则；细化了App开发运营者、分发平台、第三方服务提供者、终端生产企业、网络接入服务提供者五类主体责任义务；提出了投诉举报、监督检查、处置措施、风险提示等四方面规范要求。

　　网经社电子商务研究中心特约研究员赵占领在接受《法治日报》记者采访时表示，App收集个人信息的问题已是老生常谈，涉及相关内容的法律规范也较多，此次征求意见稿是专门针对App处理个人信息的专项规定，将近年来成熟的经验做法和管理措施转换为制度性规范文件，从全链条、全主体、全流程的角度全面强化了对App个人信息保护的管理。

　　明确“知情同意”“最小必要”原则

　　是否允许授权打开相册、是否允许授权打开通讯录、是否允许开启定位……如今在使用一款App的时候，人们似乎已经习惯了“默认”平台方的这些授权要求，毕竟如果点击关闭或拒绝，可能面临无法正常使用服务，甚至App直接闪退的情况。有些App更是“贴心”地为用户自动选择了默认勾选，在看似便利中轻易获得了用户的各类个人信息。

　　在北京德恒律师事务所合伙人张韬看来，用户无奈地“默许”恰恰体现了App在处理用户个人信息上存在诸多问题。

　　App为了向用户提供相关服务，在告知并取得用户同意等合法前提下收集必要的个人相关信息是合理的，但当前部分App运营者存在“过度索权”“超范围索取”以及未经用户同意“非法获取”，甚至“非法出售”用户个人信息的问题。

　　赵占领曾接触过多起App违规收集用户个人信息的案件，他发现当前比较常见的违规方式有两种：一是收集用户的个人信息与所要提供的业务没有必要的关联性，即超范围收集用户个人信息；二是用户如果不同意App收集用户个人信息的要求，App则不向用户提供相关的产品或服务，以这种方式强迫用户同意App收集个人信息。

　　针对这些问题，此次征求意见稿明确，从事App个人信息处理活动的，应遵循“知情同意”“最小必要”两项重要原则，同时，征求意见稿特别指出，应当采取非默认勾选的方式征得用户同意。

　　“知情同意”要求从事App个人信息处理活动的，应当以清晰易懂的语言告知用户个人信息处理规则，由用户在充分知情的前提下，作出自愿、明确的意思表示；“最小必要”则要求从事App个人信息处理活动的，应当具有明确、合理的目的，并遵循最小必要原则，不得从事超出用户同意范围或者与服务场景无关的个人信息处理活动。

　　范围广惩处严

　　此次征求意见稿给赵占领的第一感觉是范围广、惩处严。

　　“广”体现在全方位对App涉及的各方主体责任与义务进行明确与细化。这意味着，包括App开发运营者、分发平台、第三方服务提供者、移动智能终端生产企业、网络接入服务提供者在内的各方主体都被纳入个人信息保护的责任人范畴中。

　　“严”则体现在细化了违规处置流程和具体措施，明确从事个人信息处理活动的有关主体违反要求的，依次按照通知整改、社会公告、下架处置、断开接入、信用管理流程进行处置，并明确具体时间期限要求。

　　征求意见稿特别提出，对未按要求完成整改或反复出现问题、采取技术对抗等违规情节严重的App，将对其进行直接下架；且下架后的App在40个工作日内不得通过任何渠道再次上架的管理要求。

　　在中央财经大学中国互联网经济研究院副院长欧阳日辉看来，一些App平台之所以“肆无忌惮”，是因为违法违规成本过低，尤其是对于一些尚未形成声誉的中小平台而言，规范对它们的约束力会更小。