近年来，APP默认勾选协议、大量收集用户隐私权限、不当与第三方共享而导致信息外泄的现象，时有发生。互联网时代，作为被迫用部分隐私交换便利的用户，你该如何保护自己的信息安全？当企业收集你信息时，需要如何告知及征得你同意？如果涉及到与第三方共享数据，又该向你做出怎样的确认？

上述问题在5月1日起正式实施的《信息安全技术　个人信息安全规范》，均有详细的规定。这部国家标准适用于规范各类组织个人信息处理活动，且提出了明确的安全要求。

个人信息安全规范5月1日正式实施。

主要起草人何延哲告诉南都记者，规范在内容上仅用了不到100个条款，就将个人信息保护最有效的措施简洁明了地表达出来了，易于企业和用户理解吸收。

有专家向南都记者表示，对用户而言，规范最大的价值在于对个人信息收集、使用、共享和披露等具体告知细节作了规定。“如果用户连数据收集和使用的基本情况都不了解的话，那就很难维护好自己的权益。”

关注1

打破"一揽子"计划，实施功能区分

规范要求，个人信息控制者开展个人信息处理活动，应遵守包括选择同意、最少够用和公开透明等六大基本原则。

具体而言，企业不得过多收集与产品业务功能无关的用户个人信息类型和数量，且需明示和公开个人信息处理目的、方式、范围、规则等，同时征求用户授权同意，并接受外部监督。

南都记者注意到，规范首次对个人信息和个人敏感信息进行了区分。如果从信息本身可识别和关联到特定个人的，即为个人信息，如姓名、电话号码、身份证、通话记录等。而个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等个人信息。

在规范的附录里，还特别举例说明了个人敏感信息的范畴。比如，指纹等个人生物识别信息，性取向、未公开的违法犯罪记录、网页浏览记录和精准定位信息等。

规范要求，收集个人信息时应告知用户所提供的产品或服务需收集的用户个人信息类型及规则，并征得用户的授权同意。南都记者发现，互联网企业通常采用让用户同意隐私政策的方式达到这一合规要求。

然而，根据南都个人信息保护研究中心发布的《1550家网站和APP的隐私政策透明度测评报告》显示，八成以上的平台隐私政策透明度低，且普遍存在文本晦涩冗长、暗藏格式条款等弊病。

对此，规范特别明确了企业应制定隐私政策，并在网站主页，用户安装APP页面等显著位置提供链接，其内容应清晰易懂，包括收集、使用个人信息的目的，以及目的所涵盖的各个业务功能等。如将个人信息用于推广商业广告，或用于形成直接用户画像及其用途，也有必要在隐私政策中提及。

与此同时，南都记者调查发现，绝大多数的用户并无完整阅读隐私政策的习惯。其中的原因之一在于，即便不同意平台的“霸王条款”也无济于事，一旦用户点击注册，即被默认同意收集个人信息。

如何破解“一揽子”授权的难题？规范提供了一项可借鉴的思路，当收集个人敏感信息时，平台应征得用户明示同意。所谓明示同意是指，用户在完全知情的基础上，自愿给出具体的、清晰明确的愿望表示，包括通过书面声明或主动做出肯定性动作，比如主动勾选、主动点击“同意”、“注册”、“发送”、“拨打”等。

具体表现为，规范建议首先区分核心功能和附加功能，如果收集的是核心业务功能所必需的个人敏感信息，平台应明确告知你拒绝提供或同意将带来的影响，并允许你作出自主选择。而涉及到附加功能所需收集的个人敏感信息，除需上述规定外，在你提出拒绝后，平台不应以此为理由暂停核心业务功能，并应保障相应的服务质量。

比如，如果使用一款社交类APP，聊天是核心功能，购物是附加功能。平台在收集因聊天功能所必需的个人敏感信息时，需要征得你明示同意，而如果你拒绝提供购物功能所需的信息，如银行卡等，那么仍可要求正常使用这款APP。

基于此，规范保障了用户充分行使选择同意的权利，尤其是对个人敏感信息的收集，用户有增强式同意的控制权利。

关注2

使用时超出所声称目的，需要重新授权

当平台收集了个人信息后，在使用和处理环节中，又有哪些细节需要告知用户的？

根据规范要求，除目的所必需外，使用个人信息时应消除明确身份指向性，避免精确定位到特定个人。此外，使用个人信息时，不得超出与收集个人信息时所声称的目的具有直接或合理关联的范围。因业务需要，确需超出上述范围使用个人信息的，应再次征得个人信息主体明示同意。

中国电子技术标准化研究院安全审查部技术总监何延哲告诉南都记者，规范对个人信息的使用限制进行规范，同时对因频繁授权对用户造成打扰与维护用户合法权益进行了平衡。比如，只在企业更改数据使用用途超出合理关联的，才需重新向用户申请授权。

南都记者注意到，规范特别备注说明，将收集的个人信息用于学术研究或得出社会、经济等现象总体状态的描述，也在合理关联范围之内，但对结果中所包含的个人信息应进行去标志化处理。

规范对各类组织个人信息处理活动均有规定。

今年3月，Facebook爆出大规模数据泄露事件，起因源于剑桥分析公司在Facebook平台上推广的一款的个性分析测试软件。以“有偿心理研究”为名，这款应用收集了超过8700万Facebook用户数据，包括住址、年龄、工作经历、人际关系网络，喜好等细节内容。

然而，这些数据却在用户不知情的情况下，又被剑桥分析公司转为商用。在这起数据外泄事件中，Facebook备受指责之处在于，将收集来的用户数据共享给第三方，但又无法限制和保证数据不被第三方滥用。

对于绝大多数互联网企业来说，Facebook此次所曝出的数据丑闻随时可能发生，必须引以为戒。南都记者注意到，针对数据共享问题，规范指出，个人信息原则上不得共享、转让。个人信息控制者确需共享、转让时，应充分重视风险，并遵守相应的要求。

其中包括事先开展个人信息安全影响评估，向用户告知共享、转让个人信息的目的、数据接收方的类型，并事先征得用户的授权同意，帮助用户了解数据接收方对个人信息的保存、使用等情况，涉及个人敏感信息，还需告知用户涉及的信息类型、数据接收方的身份和数据安全能力。

值得一提的是，在Facebook数据外泄事件中，扎克伯格的道歉声明中提到，当时没通知涉事用户的决定是错误的。那么，当企业发生安全事件如何告知用户？规范要求，应及时将事件相关情况，如内容和影响，所采取的处置措施等，告知受影响用户，并提供补救措施和自主防范和降低风险的建议。

关注点3

“对帐户注销进行了强调”

除了强调用户在上述个人信息处理活动中的权利外，规范还指出，用户还享有访问、更正、删除、撤回同意、获取个人信息副本、注销账户的权利。

南都记者注意到，账户注销难是困扰不少用户的一个问题。近日，来自无锡的王先生就有这样的烦心事。

 “为什么注销一个账号需要这么多要求？”王先生告诉南都记者，原先绑定苏宁易购账号的手机号码已弃用，因担心运营商收回转给下任用户，账号存在被别人登录的风险，而想要更换注册手机号又需提交身份证等个人信息，深感麻烦的他因此有了注销账号的想法。

然而，一名苏宁易购的客服人员表示，出于安全考虑，注销必须满足一年内无购物记录的要求才可申请。对此，王先生很是困惑：“二者之间有必然联系吗？”

4月24日，南都记者尝试发现，注销苏宁账户需同时满足12项要求，包括三个月内无修改过绑定手机等操作，账户内无未完成订单，且所有订单完成达一年以上。而符合所有注销条件后，用户还需经过身份验证才能成功。

不久前，南都记者曾调查发现，用户注销难的问题普遍存在。记者实测20款常用APP，其中16款APP注销难，快手和抖音等4款APP暂时无法注销。值得一提的是，在报道发布后，抖音立即修改了用户协议，增加了用户注销的条款，当用户账户处于安全状态，账号内无任何资产和虚拟权益，无任何未处理完毕纠纷等，可提出注销申请。

针对用户关注的账户注销问题，何延哲告诉南都记者：“规范对账号注销进行了强调。”规范提及，通过注册账户提供服务的个人信息控制者，应向用户提供注销账户的方法，且该方法应简便易操作。同时要求，用户注销账户后，平台应删除其个人信息或做匿名化处理。

对于删除的界定，规范规定，“在实现日常业务功能所涉及的系统中去除个人信息的行为，使其保持不可被检索、访问的状态”。也就是说，根据规范要求，平台应充分保证用户注销的权利。

采写：南都记者 李玲 蒋琳