App收集使用个人信息正负面清单全面比对

前言

2020年3月19日由全国信息安全标准化技术委员会发布的《网络安全标准2020自评估指南—移动互联网应用程序（App）收集使用个人信息自评估指南(征求意见稿)》（以下简称“2020自评估指南”）整体上沿袭了国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局于2019年11月28日签发并于12月30日正式对外发布的《App违法违规收集使用信息行为认定方法》（以下简称”认定方法”）的整体架构，同时延用并细化了《认定方法》与2019年3月1日由App违法违规收集使用个人信息专项治理工作组发布的《App违法违规收集使用个人信息自评估指南》（以下简称“2019自评估指南”）的规定，以实践中的具体场景和实例，为企业落实相关要求提供了明确的指引。

 我们将通过表格的形式，对上述三份文件的内容进行比对，绿色是调整内容；红色是新增内容；蓝色为删减内容。三份文件中基本一致的条款未体现在下文表格中，但在文后作出一一列举。并且，针对三份文件的规定，作出简要评析，以供业界参考。

主要核心变化点摘要：

1. 明确要求企业应在App常规交互界面展示隐私政策链接。

2. 当个人信息存储地域为境外时，需说明境外哪个国家或地区；即使不存在个人信息出境的情形，也需要在隐私政策中明确说明。

3. 注册（包括登录即代表注册）的选项与同意隐私政策等的因果逻辑关系应清楚，且主动提示用户阅读以显著方式展示的隐私政策等收集使用规则后，执行下一步注册/登录等动作。

4. 企业不得频繁征求用户同意，频繁询问的判定标准为48小时。

5. 除提供必要服务所需外，未打开或者在后台运行的App不应收集用户个人信息。

6. 在申请打开可收集个人信息的权限时，App也应“通过显著方式（如弹窗提示等）同步告知用户其目的，对目的的描述应明确、易懂”；如用户拒绝或撤回可收集个人信息的权限时，不得影响用户正常使用与该权限无关的功能，除非该权限是保证App正常运行所必须。

7. 不应在征得用户同意前，利用Cookie等同类技术、或私自调用可收集用户个人信息权限等方式收集个人信息。

8. App接入第三方应用时，应提醒用户关注第三方应用收集使用个人信息的规则，不得私自截留第三方应用收集的个人信息。

9. 如委托的第三方或嵌入的第三方代码/插件直接将个人信息传输至境外的，应明确说明跨境传输个人信息的目的、类型和接收方等。

10. 如App提供无需注册可使用（如浏览、游客模式）的业务模式，当用户拒绝支撑浏览、游客等模式以外的个人信息收集行为，App不应拒绝提供服务。

比对-评析

三份文件中基本一致的条款：

1. 需有隐私政策，可通过弹窗等方式提醒用户阅读。

2. 在用户首次开启App时，应主动提醒用户阅读隐私政策。

3. 进入App主功能界面后，通过4次以内的点击，能够访问到隐私政策。

4. 隐私政策文本文字显示方式（字号、颜色、行间距等）不会造成阅读困难。

5. 需逐一列出App收集使用个人信息的目的、方式、范围等。（隐私政策中应当将收集个人信息的业务功能逐项列举，不应使用“等、例如”字样。每个业务功能在说明其所收集的个人信息类型时，应在隐私政策中逐项列举，不应使用“等、例如”等方式概括说明。）

6. 如果发生使用目的变更等情形时，隐私政策应进行相应修订，并通提醒用户阅读。

7. 当App打开系统权限或收集个人敏感信息时，App应当说明该权限将收集个人信息的目的。

8. 若存在嵌入第三方代码插件收集个人信息的功能，需列出收集个人信息的目的、方式和范围。

9. App收集个人信息前应提供由用户主动选择同意或不同意的选项。

10. App不得以捆绑方式强制要求用户一次性同意打开多个可收集个人信息权限。

11. 各业务功能实际收集的个人信息类型应与隐私政策所描述内容一致，不应超出隐私政策所述范围。

12. App更新升级后，不应更改原有的系统权限设置。

13. 对于用户明确拒绝使用、关闭或退出的特定业务功能，App不应再次询问用户是否打开该业务功能或相关系统权限。

14. App应提供注销账号的途径。

15. App应提供查询、更正、删除个人信息的途径。

16. App运营者应妥善受理并及时反馈用户申诉，在15天内回复处理意见或结果。

往期文章回顾                                  

数据合规和网络安全

时事评析(案例评析)

重要法规解读