对《常见类型移动互联网应用程序必要个人信息范围规定》的两点理解

编者按：

今天，国家互联网信息办公室秘书局、工业和信息化部办公厅、公安部办公厅、国家市场监督管理总局办公厅联合发布了《常见类型移动互联网应用程序必要个人信息范围规定》【全文见：关于印发《常见类型移动互联网应用程序必要个人信息范围规定》的通知】。如何理解该规定，公号君拟从两个方面入手，分别结合《个人信息保护法（草案）》和《个人信息安全规范》的相关条款进行分析，供大家参考批判。

在具体的通知中，四部门秘书局和办公室强调——“明确移动互联网应用程序（App）运营者不得因用户不同意收集非必要个人信息，而拒绝用户使用App基本功能服务”。这里面有两个关键词：必要个人信息，以及基本功能服务。

对必要个人信息的认识

《常见类型移动互联网应用程序必要个人信息范围规定》明确界定了必要个人信息——“是指保障App基本功能服务正常运行所必需的个人信息，缺少该信息App即无法实现基本功能服务。”

对比《个人信息安全规范》中的相关界定：

可以看出，《规定》对必要的界定，与《个人信息安全规范》基本相同。那必要个人信息和《个人信息保护法（草案）》有存在何种关联？

在公号君看来，《个人信息保护法（草案）》非常重大的一个创新，是把个人信息处理的合法性基础，从单一的同意，扩展到了六个。这六个合法性基础，很多都有国际先例。【详见：中国个人信息保护立法 | 《个人信息保护法(草案)》与GDPR的比较】

第十三条  符合下列情形之一的,个人信息处理者方可处理个人信息:

(一)取得个人的同意;

(二)为订立或者履行个人作为一方当事人的合同所必需;   

(三)为履行法定职责或者法定义务所必需;

(四)为应对突发公共卫生事件,或者紧急情况下为保护自然人的生命健康和财产安全所必需;

(五)为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理个人信息;

(六)法律、行政法规规定的其他情形。

其中，对于产业界来说，最重要的扩展是——“为订立或者履行个人作为一方当事人的合同所必需”。如何理解这个扩展，建议各位参考【EDPB关于GDPR中合同必要性指引的中文翻译（DPO沙龙出品）】在此仅重点强调EDPB对合同必要性的四点强调：

第一，必要的客观性问题。在指引中，EDPB强调：

“必要性”必须是客观上的必要（objectively necessary），而并不单纯是制定合同的在线服务提供商所认为的必要，而是要通过客观的事实来进行判断。判断这种必要性是假定了一个合理的数据主体在其与数据控制者订立合同时，就客观上期待和判断这项服务中必须要进行的数据处理行为。数据控制者需要承担举证责任来证明某一项数据处理行为如果没有进行，合同就会无法履行或者无法订立。

 在公号君看来，客观必要是个非常高的标准。对此，大家可参见《个人信息安全规范（2020版）》【详见：新版《个人信息安全规范》（35273-2020）正式发布】中的判断准则——“直接关联”。

第二，在指引中，EDPB强调：

数据处理行为的“必要性”需要基于合同目的本身进行判断，而并非是将数据处理行为作为合同的目的或标的之一。

这句话稍微有些绕口，核心意思还是可参见《个人信息安全规范（2020版）》中的5.6的g)项的注释。

第三，在指引中，EDPB强调：

如果合同目的可以不需要进行该数据处理行为即可以完成，或者是该合同目的可以通过另外一种对数据主体影响更小的数据处理行为完成，则该等数据处理行为不具有客观上的“必要性”。

对此，请大家参见《个人信息安全规范（2020版）》中的判断准则——“直接关联”。（如上文所罗列）

第四，在指引中，EDPB强调：

一旦合同终止后，因为不再存在任何履约的“必要性”，所以数据处理行为必须停止。合同一旦终止后，后续的留存行为在EDPB看来是一项单独的数据处理行为，并且一般需要依据法律法规的规定（例如为了满足最低留存期间的法定要求）或者是数据控制者自己的合法正当利益（例如留存合同直至过了诉讼时效）作为该等留存行为的合法性事由。

这点也非常重要，也就是说，对合同所必需的依赖，是有边界的。在合同完成之后，这个合法性基础就不应再继续使用了。

因此，在公号君看来，此次四部门秘书局和办公厅联合发布的《常见类型移动互联网应用程序必要个人信息范围规定》，对应的正是《个人信息保护法（草案）》第13条中的“履行个人作为一方当事人的合同所必需”。基本逻辑为——某项功能服务是用户所需要的，即用户作为一方当事人，与企业之间签订了合同；那么为了履行这个合同，企业必需的个人信息，就是《规定》中所称的必要个人信息。

因此，《常见类型移动互联网应用程序必要个人信息范围规定》实际上为后续《个人信息保护法》的落地，提前针对“履行个人作为一方当事人的合同所必需”做出了细化规则。

关于合同所必需和同意之间的区别，见【中国个人信息保护立法 | 合同所必需：魔鬼在细节之中】

对基本功能服务的认识

《常见类型移动互联网应用程序必要个人信息范围规定》中并没有对基本功能服务做出像“必要个人信息”那样明确的界定，但是从第四条、第五条的逻辑结构可以推断出，一个APP应当确定其“基本功能服务”（第四条），并进而按照第五条的规定，明确自己的必要个人信息范围。

如何确定“基本功能服务”？公号君认为可参考《个人信息安全规范》中附录C的方法。在此摘录供大家参考：

注1和注2进一步解释了基本功能服务的界定和划分原则，希望对大家有所帮助。（完）

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

美国电信行业涉及外国参与的安全审查系列文

中国的网络安全审查系列文章：

自动驾驶系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

中国个人信息保护立法系列文章

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

人脸识别系列文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：

关于欧盟技术主权相关举措的翻译和分析：