第十六期DPO沙龙纪实：查询App收集个人信息类型、禁止收集IMEI号是未来监管趋势

8月23日，第十六期数据保护官（DPO）沙龙在京举行。此次沙龙针对国家标准《信息安全技术 移动互联网应用（App）收集个人信息基本规范（草案）》（简称草案）征求意见稿进行讨论。

据了解，同月8日，由全国信息安全标准化技术委员会秘书处起草的草案对外发布并征求意见。草案明确了移动互联网应用收集个人信息时应满足的基本需求，并在附录中详细列举了21类常用服务类型可收集的最少信息及可获取的最小权限范围，涉及地图导航、网络约车、即时通讯、浏览器、输入法等。

厘清所有服务类型的最少信息收集范围很困难

沙龙上，DPO社群发起人洪延青表示，草案主要针对App收集个人信息环节，该环节最重要的问题是收集信息的合法性、必要性，草案突出探讨的是其中的必要性。

关于必要性，多个法规和标准中都有提到。《网络安全法》规定：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则；并且，网络运营者不得收集与其提供的服务无关的个人信息。在《个人信息安全规范》中，最少够用原则指出：除与个人信息主体另有约定外，App只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量。

中国电子技术标准化研究院信息安全研究中心数据安全部主任胡影介绍说，草案出台，除了是对上述法规、标准的遵循、落实，也是为了解决App中存在超范围收集、强制授权、过度索权、功能捆绑等个人信息安全问题。

同时，胡影表示，App的服务类型、业务模式多种多样，想搞清楚所有服务类型的最少信息收集范围是非常困难的。

据了解，草案给出的是实现某服务类型的正常运行所需要的最少信息，此外，App收集的信息还包括一些非必要但与功能相关联的信息，还有与功能无任何关联的信息。

对此，洪延青表示，“无关”和非“必要”能简单地划等号吗？两者中间还存在“相关”，必要和相关之间的边界该如何确定？这些都需要讨论。

收集指纹、人脸等不可变更的信息，未来监管趋于严格

沙龙上，洪延青还对草案第四章节——App收集个人信息基本要求的条款进行了详细分析。与会的DPO成员亦提出自己的疑问和见解。

针对草案规定的“App不得收集不可变更的设备唯一标识（如IMEI号、MAC地址等），用于保障网络安全和运营安全的除外”。有DPO成员提问说，该条款允许收集的限定范围是不是有点窄？据其了解，广告行业推送广告时，需要使用上述唯一标识。禁止收集后，广告行业的发展将受到严重限制。

对此，洪延青表示，此规定很可能代表了不可逆的趋势。据其了解，国内手机厂商将于明年推出安卓Q版本，App将获取不到手机的IMEI号，比如，华为手机已开始要求App适配不再收集IMEI号。不仅如此，他还强调，“类似的指纹、人脸等不可变更的唯一标识信息”，未来监管都会趋于严格。

此外，针对条款“App应向用户提供实时查询已收集个人信息类型的功能；查询结果应以独立界面展示，且查询方式应易于操作”。

有DPO成员表示，如今已要求App的功能和收集的个人信息的类型一一对应，隐私政策会完整描述出来，再要求实时查询和单独界面展示，会给企业带来较高的合规成本。

洪延青表示，如果企业实现实时查询和单独页面展示，则可在隐私政策的描述中，用“等”字等概括性词语描述收集的个人信息类型。

他还表示，在欧美等国家里，类似规定更加严格，不仅要求展示个人信息的类型，也需要展示企业处理个人信息后生成的标签等信息。草案只要求展示收集的个人信息类型。

虽然这对企业来说是很大的挑战，需要企业提升对内部数据梳理的能力，明确App收集了哪些信息，哪些没有收集。但洪延青强调，这是未来法规的监管趋势，建议企业尽快适应。

此外，沙龙上，DPO成员对其他条文也提出了完善建议。如针对附录，有成员建议，增加游戏等服务类型可收集的最少信息和最小权限范围。

---

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已经超过200人。关于DPO社群和沙龙更多的情况如下：

DPO社群成果

线下沙龙实录见：

线上沙龙见：

时评见：

DPO社群成员观点