APP收集用戶信息邊界在哪里？超范圍收集信息必須征得個人同意

信息安全已經越來越受到重視。7月5日，國家網信辦發布公告，對“運滿滿”“貨車幫”“BOSS直聘”實施網絡安全審查。對此， 中國傳媒大學人類命運共同體研究院副院長王四新，中國政法大學傳播法研究中心副主任、中國互聯網協會法律工作委員會專家委員朱巍接受了成都商報-紅星新聞記者采訪。

APP為何收集個人信息？

個人信息具有潛在商業價值

APP收集用戶個人信息的動力是什么?中國傳媒大學人類命運共同體研究院副院長王四新接受記者采訪時表示：“收集個人信息是每一個APP都很愿意干的事情，因為信息越豐富，對用戶的畫像就越具體，各類數據信息交叉比對，產生的潛在商業價值就越大。不論是APP自身變現，還是通過廣告等商業途徑變現，都需要收集這類信息。”

那么，本次整治為何是從“BOSS直聘”、“運滿滿”、“貨車幫”等APP開始?對此，朱巍分析認為，對于BOSS直聘等平臺的治理原因，或與今年3·15釋放的信號有關。

記者了解到，在今年的3·15晚會上，多個數字網絡經濟領域的黑色產業鏈被集中曝光，其中就包括用戶人臉信息等個人隱私被非法采集，個人簡歷在招聘網站被下載后大量流向黑市等。晚會同時披露，只要在一些招聘網站注冊企業賬號，在支付一定費用后就可以隨意下載信息詳盡的個人簡歷。由此，大量的個人簡歷信息流入不法分子的黑手，甚至被用作精準詐騙的實施。

超范圍收集信息

必須征得個人同意

那么APP收集用戶信息的邊界在哪里?王四新表示，我國APP收集個人信息方面有一些基本的原則，比如收集想要的信息要和用戶之間有明確的協議，而且這個協議要明示同意。不同類型的APP，國家法律規定了有明確的收集范圍，也就是說APP只能收集保證它功能發揮的必要信息。比如打車軟件，地理位置信息就是必要信息，但是如果收集其他方面的信息，顯然就超范圍了。超范圍的信息必須征得個人同意。

2019年12月，國家互聯網信息辦公室秘書局、工業和信息化部辦公廳、公安部辦公廳、國家市場監督管理總局辦公廳聯合印發《APP違法違規收集使用個人信息行為認定方法》(以下簡稱《認定方法》)。該《認定方法》可以說更系統地回答了“APP收集用戶信息的邊界在哪里”的問題。

《認定方法》對上述《公告》中提到的“未公開收集使用規則”、“未明示收集使用個人信息的目的、方式和范圍”、“未經用戶同意收集使用個人信息”、“違反必要原則，收集與其提供的服務無關的個人信息”、“未經同意向他人提供個人信息”、“未按法律規定提供刪除或更正個人信息功能”或“未公布投訴、舉報方式等信息”六種違規做出了更加詳盡的解釋。

比如，哪些行為可被認定為“違反必要原則，收集與其提供的服務無關的個人信息”?《認定方法》提到：1.收集的個人信息類型或打開的可收集個人信息權限與現有業務功能無關;2.因用戶不同意收集非必要個人信息或打開非必要權限，拒絕提供業務功能;3.APP新增業務功能申請收集的個人信息超出用戶原有同意范圍，若用戶不同意，則拒絕提供原有業務功能，新增業務功能取代原有業務功能的除外;4.收集個人信息的頻度等超出業務功能實際需要;5.僅以改善服務質量、提升用戶體驗、定向推送信息、研發新產品等為由，強制要求用戶同意收集個人信息;6.要求用戶一次性同意打開多個可收集個人信息的權限，用戶不同意則無法使用。

這種專項評估和整治的方式，屬于事后審查，審查范圍主要是：“問題反映集中、用戶數量大、與民眾生活密切相關的APP”。

網絡安全審查有哪些內容？

那么，網絡安全審查主要審查什么?朱巍告訴記者，從目前國內多數網絡平臺來看，其所暴露出的問題已經不僅是個人信息的泄露，還包括信息過度索權、個人信息使用不透明等不法行為，而根據《個人信息保護法》的規定，過度搜集個人信息、擅自披露個人信息、非法買賣個人信息等行為都將成為重點審查對象。

2020年4月，國家互聯網信息辦公室有關負責人就《網絡安全審查辦法》相關問題答記者問。答問中明確提到網絡安全審查的內容。其中提到，網絡安全審查重點評估關鍵信息基礎設施運營者采購網絡產品和服務可能帶來的國家安全風險，包括：產品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數據被竊取、泄露、毀損的風險;產品和服務供應中斷對關鍵信息基礎設施業務連續性的危害;產品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿易等因素導致供應中斷的風險;產品和服務提供者遵守中國法律、行政法規、部門規章情況;其他可能危害關鍵信息基礎設施安全和國家安全的因素。”

王四新解釋說，近年來網絡領域的一些數據問題，實際上可能涉及到很多行業。很多數據涉及到個人隱私或者數據權益的行使方式。還有一些數據越來越上升到了國家安全、公共安全的角度。這些數據存儲、使用的過程中，潛在的風險很大。這次審查，其實就是要給這些企業傳達一個強烈的信號。以后這些企業涉及到數據收集處理的，必須得有安全意識，采取安全措施。

“從大的時代走向來看，這更加說明我們正逐步從過去粗放追求經濟效益的模式，逐步過渡到了在安全的基礎上去追求效益。”中國政法大學傳播法研究中心副主任、中國互聯網協會法律工作委員會專家委員朱巍告訴記者，近日連續啟動的網絡安全審查釋放出一個比較重要的信號在于，現在要追求的不是網絡信息保護的事后安全，更多在于事前安全體系的構建，要做到未雨綢繆。

王四新表示，今年可能成為網絡安全審查元年。去年出臺的《網絡安全審查辦法》可以說有了一個詳細的行動方案，一個程序性規定，一個操作規程。

“這可以看作是第一批審查對象，但未來很大可能會有第二批、第三批對更多平臺的審查工作開展，這將會成為一種網絡安全的監管常態。“朱巍說。