黎智鵬：明確APP收集個人信息的三大原則

明確App收集個人信息的三大原則

作者：黎智鵬，中國政法大學(xué)法學(xué)學(xué)士、刑法學(xué)碩士，刑事辯護律師，

研究方向：刑事訴訟

    我們可能都遇到過以下情況：用手機號碼注冊使用了一個App，接著就收到數(shù)不清的垃圾短信以及廣告電話；通過一個App購物，能夠看到另一個App上推薦類似的商品；沒必要收集位置信息的App，也在收集位置信息；有的網(wǎng)絡(luò)貸款A(yù)pp收集到聯(lián)系方式后，一旦有用戶未及時還款，網(wǎng)貸公司就打電話給該用戶的朋友，說其是一個欠債不還、不誠信的人。在這些案例中，我們能夠感受到自己在信息社會中“裸奔”。

    出現(xiàn)上述問題的首要責(zé)任在于App，治理首先應(yīng)從信息收集的源頭上解決。2019年8月8日，國家市場監(jiān)督管理總局和中國國家標(biāo)準(zhǔn)化管理委員會聯(lián)合發(fā)布的《移動互聯(lián)網(wǎng)應(yīng)用（App）收集個人信息基本規(guī)范（草案）》征求意見稿，其亮點之一是在附錄中列舉出21種常用App收集的最少信息，比如地圖導(dǎo)航、網(wǎng)約車、即時通信、博客論壇等。通讀這部國家標(biāo)準(zhǔn)，可以總結(jié)出App收集個人信息應(yīng)該遵守的三大原則。

“最少信息”“最小權(quán)限范圍”，體現(xiàn)比例原則

    比例原則是行政法的基本原則，即選擇既能夠達(dá)成目的、對相對方侵害又最小的手段，但適用范圍已經(jīng)溢出行政法領(lǐng)域?！兑苿踊ヂ?lián)網(wǎng)應(yīng)用（App）收集個人信息基本規(guī)范（草案）》提出“最少信息”“最小權(quán)限范圍”這兩個概念，前者即“保障某一服務(wù)類型正常運行所必需的個人信息”，后者即“保障某一服務(wù)類型正常運行所必需的最少系統(tǒng)權(quán)限”。這既滿足了App收集個人信息的必要性和合乎目的性，又要求必須盡可能少地收集信息，正是貫徹比例原則的體現(xiàn)。

    App不能因用戶拒絕提供最少信息之外的個人信息而拒絕提供服務(wù)，不得收集與所提供服務(wù)無關(guān)的個人信息，防止其使用的第三方代碼、插件收集無關(guān)的個人信息，因為收集最少信息之外的個人信息以及與提供服務(wù)無關(guān)的個人信息，不具備必要性和合乎目的性。不可變更的設(shè)備唯一識別（如IMEI號、MAC地址）相當(dāng)于手機的“身份證”，至關(guān)重要，是不可收集的。

“授權(quán)才能收集”，保護用戶的知情權(quán)、同意權(quán)

    其實，之所以要提出“最少信息”這個概念，是因為App收集的信息越多，用戶可能享受的服務(wù)類型就越多，但與此同時，信息也越不安全。有的人以為這種信息無關(guān)緊要，可以被收集，有的人卻認(rèn)為這種信息是必須保密的。那么，在“最少信息”的底線上，可向用戶指出App要收集的個人信息數(shù)量，由用戶自己決定是否允許App收集更多的個人信息。

    《移動互聯(lián)網(wǎng)應(yīng)用（App）收集個人信息基本規(guī)范（草案）》從個人信息收集以及處置兩方面，保護了用戶的知情權(quán)、同意權(quán)。在收集方面，App要明示申請權(quán)限或收集信息的目的，收集的個人信息超出“最少信息”的部分，App要逐項征得用戶明示同意。第三方代碼、插件也要遵守這方面的規(guī)定。在處置方面，對外共享、轉(zhuǎn)入個人信息前，App要事先征得用戶明示同意；同意后，用戶可以通過獨立界面查詢數(shù)據(jù)接收方身份。

“退出App后刪除個人信息或匿名化”，保護用戶的被遺忘權(quán)

    被遺忘的前提是曾經(jīng)存在過。一般來說，如果用戶未曾使用過某App，也就未曾在該App上留下過痕跡，那么也就談不上“被遺忘”了?！氨贿z忘權(quán)”賦予用戶在網(wǎng)絡(luò)工具中刪除自己的名字或相關(guān)歷史事件的權(quán)利?！兑苿踊ヂ?lián)網(wǎng)應(yīng)用（App）收集個人信息基本規(guī)范（草案）》有一款規(guī)定：“當(dāng)用戶退出某服務(wù)類型后，App應(yīng)終止該服務(wù)類型收集個人信息的活動，并對僅用于該服務(wù)的個人信息進行刪除或匿名化處理。”這也體現(xiàn)了“被遺忘權(quán)”的理念。

    在我看來，這一款與比例原則也有關(guān)系。當(dāng)用戶不再使用某款A(yù)pp，該App再保留其個人信息，也就沒有必要性以及合乎目的性，從保護個人信息安全的角度來看，App應(yīng)當(dāng)刪除個人信息，或進行匿名化處理。

    《移動互聯(lián)網(wǎng)應(yīng)用（App）收集個人信息基本規(guī)范（草案）》是自2019年1月23日國家網(wǎng)信辦、工信部、公安部以及國家市場監(jiān)督管理總局聯(lián)合發(fā)布《關(guān)于開展App違法違規(guī)收集使用個人信息專項治理的公告》以來，從“如何做”的方面規(guī)定了App如何收集個人信息的國家標(biāo)準(zhǔn)。它雖然只是國家推薦性標(biāo)準(zhǔn)，并非強制性標(biāo)準(zhǔn)，但不僅可以作為App收集個人信息的企業(yè)合規(guī)經(jīng)營的指南，還可以作為政府監(jiān)管部門評估、檢查App的執(zhí)法指南。

注：《明確App收集個人信息的三大原則》，載《人民郵電》2019年9月6日第5版

贊

好棒