App个人信息保护规定解读

4月26日，工信部发布《移动互联网应用程序个人信息保护管理暂行规定（征求意见稿）》（以下简称“《App规定》”），公开征求意见。该文件是对近年来监管部门开展App个人信息保护专项治理的全面总结，兼具强制性和可操作性，基本可以解决“硬法不细、软法无力”的问题。

一、《App规定》出台的背景

二、开发运营者及其责任

1. 贯彻隐私设计（privacy by design）原则：提升个人信息保护意识，在产品设计、开发及运营各个环节落实个人信息保护要求，并以显著、清晰的方式定期向用户呈现App的个人信息收集使用情况。

2. 单独告知个人敏感信息处理行为：处理种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等敏感个人信息的，应当对用户进行单独告知，取得用户同意后，方可处理敏感个人信息。我们理解，此规定在敏感个人信息的界定和告知要求上，参考了《个人信息保护法（草案二次审议稿）》（以下简称“《个保法》”）第29、30条之规定。

3. 详尽披露个人信息的接收方：需要第三方提供个人信息的，应当向用户告知其身份信息、联系方式、处理目的、处理方式和个人信息的种类等事项，并取得用户同意。此规定参考了《个保法》第24条之规定。在实践中，由于接收方众多且时常变动，开发运营者往往仅公布接收方的类型，而不一一列举其名称和联系方式，以避免告知文件篇幅过长。如要遵守这一要求，可采用另表列出接收方信息的方式予以展示。

4. 管理并对接入的第三方承担连带责任：使用第三方服务的，应当制定管理规则，明示服务提供者的名称、功能、个人信息处理规则等内容；应与服务提供者签订个人信息处理协议，明确双方相关权利义务；对服务提供者进行管理监督；如未尽监督义务，开发运营者应当承担连带责任。

5. 尊重和平等保护用户合法权益：基于个人信息向用户提供商品或者服务的搜索结果的，应当保证结果公平合理，同时应向该用户提供不针对其个人特征的选项。也即，保证算法公平，不得实施“杀熟”行为，以及向用户提供退出个性化展示的方式。

6. 给予用户自主选择业务功能的权利：对于不影响其他服务功能的独立服务功能模块，应当向用户提供关闭或者退出该独立服务功能的选项，不得因用户采取关闭或者退出操作而拒绝提供其他服务。

7. 不得欺骗强制误导用户启动App：在非服务所必需或者无合理场景下，不得自启动或者关联启动其他App。

8. 通过官方公民身份认证基础设施认证用户身份：需要认证用户真实身份信息的，应当通过国家统一建设的公民身份认证基础设施所提供的网上公民身份核验认证服务进行。待官方公民身份认证基础设施上线后，从事个人信息处理活动的相关主体需通过官方提供的网络身份核验认证服务落实“实名制”义务，而不能再通过当前市场上的实人认证服务提供商对用户身份信息予以核验，以此防范实人认证服务提供商未经授权缓存及肆意传播用户的身份证信息、生物识别信息等个人敏感信息。

9. 保障App网络和数据安全：加强前端和后端安全防护、访问控制、技术加密、安全审计等工作，主动监测发现个人信息泄露等违规行为，及时响应处置要求。

三、服务提供者及其责任

1. 制定并公开个人信息处理规则：为满足此要求，服务提供者首先需考虑通过其官方网站、公众号等公开渠道发布其个人信息处理规则。此外，鉴于在通常情况下，服务提供者对用户是不可见的，因此其往往需要依赖开发运营者的隐私政策等告知文件公开个人信息处理规则。某些情况下，服务提供者也可以通过页面跳转等方式，自行向用户告知个人信息处理规则。

2. 如实告知开发运营者其个人信息处理活动：以明确、易懂、合理的方式向开发运营者公开其个人信息处理目的、处理方式、处理类型、保存期限等内容，其个人信息处理活动应当与公开的个人信息处理规则保持一致。由于服务提供者的个人信息处理活动具有较强的隐蔽性，其引发的个人信息合规和安全问题不易被察觉，因此，服务提供者需向开发运营者提供上述信息，以便后者履行监督管理义务。

3. 不得未经授权共享转让个人信息：未经用户同意，不得将收集到的用户个人信息共享转让。对于依赖App来获取授权的服务提供者而言，由于开发运营者通常不会为超出其所需服务必要范围的用途获取授权，因此服务提供者合法共享转让用户个人信息的空间不大。

4. 不得私自调用权限：未经用户同意或者在无合理业务场景下，不得自行进行唤醒、调用、更新等行为。此规定回应了实践中服务提供者隐蔽实施恶意行为的问题。

5. 保障个人信息安全：采取足够的管理措施和技术手段保护个人信息，发现安全风险或者个人信息处理规则变更时，应当及时进行更新并告知开发运营者。

四、分发平台及其责任

1. 验证并登记真实身份：登记并核验开发运营者、提供者的真实身份、联系方式等信息，以确保开发运营者和提供者的责任可追溯。

2. 公开App所需设备权限和个人信息处理规则：在显著位置标明App运行所需获取的用户终端权限列表和个人信息收集的类型、内容、目的、范围、方式、用途及处理规则等相关信息。

3. 不得欺骗强制误导用户下载App：不得欺骗误导用户下载App，不得设置难以关闭的弹窗信息。

4. 合规审核：对新上架App实行上架前个人信息处理活动规范性审核，对已上架App在本规定实施后1个月内完成补充审核，并根据审核结果进行更新或者清理。我们理解，分发平台需综合技术和管理措施，既要审核开发运营者或提供者的文本内容，以核查其个人信息处理规则或用户终端权限列表等内容的合法合规性，亦需对App进行安全技术检测，以核查App是否有信息窃取、系统破坏、诱骗欺诈、恶意传播、远程控制及强制弹窗等情形。

5. 建立App信用管理制度：建立开发运营者信用积分、风险App名单、平台信息共享及签名验证等管理机制。

6. 配合监管：按照监督管理部门的要求，完善报送机制，及时配合监督管理部门开展问题App上报、响应和处置工作。

7. 响应社会监督举报：设置便捷的投诉举报入口，及时处理公众对本平台所分发App的投诉举报。

五、终端生产企业及其责任

1. 完善终端权限管控机制：及时弥补权限管理漏洞，持续优化和规范敏感行为的记录能力，在安装过程中以显著方式告知用户App申请的个人信息权限列表，并主动为用户权限申请和告知提供便利。

2. 建立终端启动和关联启动App管理机制：为用户提供关闭自启动和关联启动的功能选项，以防止App在用户不知情、不需要的情况下因终端启动而自行启动。

3. 帮助用户及时准确了解个人信息权限的使用状态：持续优化个人信息权限在用状态，特别是录音、拍照、视频等敏感权限在用状态的显著提示机制，以防止开发运营者私自调用权限。

4. 建立重点App关注名单管理机制：完善移动智能终端App管理措施，以便于配合监管部门的监管与处置。

5. 对预置App进行审核：持续监测预置App的个人信息安全风险，不得在移动智能终端中预置违法收集使用用户个人信息、擅自调用终端通信功能等恶意行为，以及其他侵害用户合法权益以及危害网络与数据安全的App。

6. 完善终端设备标识管理机制：通过合理管控App获取终端设备标识的能力，防止App通过终端设备标识关联、获取用户的个人信息。

六、网络接入服务提供者及其责任

1. 验证并登记真实身份：在为App提供网络接入服务时，登记并核验开发运营者的真实身份、联系方式等信息。

2. 配合监管：按照监督管理部门的要求，依法对违规App采取停止接入等必要措施，阻止其继续违规侵害用户个人信息和其他合法权益。

七、App个人信息保护的监管

1. 实施检查：根据公众投诉举报情况和监管中发现的问题，监督管理部门可以对存在问题和风险的App实施个人信息保护检查。

2. 责令整改与社会公告：对检测发现问题的App的开发运营者、分发平台、服务提供者及相关主体提出整改，要求5个工作日内进行整改及时消除隐患；未完成整改的，向社会公告。在近几年中，这种监管方法被监管部门频繁运用。

3. 下架处置：对社会公告5个工作日后，仍拒绝整改或者整改后仍存在问题的，可要求相关主体进行下架处置；对反复出现问题、采取技术对抗等违规情节严重的，将对其进行直接下架；被下架的App在40个工作日内不得通过任何渠道再次上架。

4. 断开接入：下架后仍未按要求完成整改的，将对其采取断开接入等必要措施。

5. 风险提示与市场禁入：对整改反复出现问题的App及其开发运营者开发的相关App，监督管理部门可以指导组织分发平台和终端生产企业在集成、分发、预置和安装等环节进行风险提示，情节严重的采取禁入措施。

6. 恢复上架：被下架的App完成整改，并完善技术和管理机制及作出企业自律承诺后，可向作出下架要求的监督管理部门申请恢复上架。

7. 恢复接入：被断开网络接入的App完成整改后，可向作出断开接入要求的监督管理部门申请恢复接入。

8. 信用管理：对相应违规主体，可纳入信用管理，实施联合惩戒。

9. 保密义务：监督管理部门应当对履行职责中知悉的用户个人信息予以保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。

八、总结