專家解讀｜加強互聯網應用程序個人信息保護 更好貫徹網信事業為人民的發展思想

十年前，習近平總書記在網絡安全和信息化工作座談會上強調，網信事業要發展，必須貫徹以人民為中心的發展思想。黨的二十屆四中全會指出，實現人民對美好生活的向往是中國式現代化的出發點和落腳點。作為物理世界和數字世界的連接門戶，互聯網應用程序是人民群眾享受信息化便利的重要窗口，做好其治理工作對于讓信息化成果更多更公平惠及全體人民至關重要。近日，國家互聯網信息辦公室就《互聯網應用程序個人信息收集使用規定》(征求意見稿)(以下簡稱《規定》）面向社會公開征求意見，對互聯網應用程序收集使用個人信息做出明確的要求，這對于推動信息惠民便民、加強個人信息保護、推進網絡生態治理具有重要意義。

一、《規定》是讓億萬人民在共享互聯網發展成果上有更多獲得感的迫切需要

從廣大用戶的直觀感受看，“不好用”的功能壁壘、“不能用”的強制捆綁、“不敢用”的安全隱患，是當前互聯網應用程序個人信息保護面臨的突出問題。這些問題侵害了部分民眾的數字權益，降低了用戶的使用體驗，限制了互聯網發展成果的全民共享。《規定》對此給出了詳細規定。

著力解決應用程序“不好用”問題。 當前，部分互聯網應用程序未能從用戶的角度出發對隱私提示、隱私保護等功能進行便捷性設計，導致不少用戶心存顧慮。例如，有的應用程序將隱私設置藏多級菜單中，查找隱私規則、關閉非必要權限需經歷多步操作，用戶難以快速找到入口；有的應用程序通過對用戶開展精準畫像進行個性化的信息推送，一些用戶不想使用個性化推薦功能，卻不知道如何關閉；有的應用程序一旦注冊就不能注銷賬號，或者即使注銷賬號也不能刪除用戶的個人信息。為此，《規定》針對隱私規則便捷查詢，要求互聯網應用程序應當在設置頁面等醒目位置提供個人信息收集使用規則一鍵訪問功能，方便用戶查閱和保存；針對關閉個性化推薦功能，要求互聯網應用程序通過自動化決策方式向用戶進行信息推送、商業營銷的，應當設置易于理解、便于訪問和操作的個性化推薦關閉選項；針對注銷賬號刪除個人信息，要求互聯網應用程序應當為用戶提供注銷賬號的便捷功能，并要求在15個工作日內完成賬號注銷，刪除已收集的相關個人信息或者進行匿名化處理。

著力解決應用程序“不能用”問題。 “不授權就退出”成為不少應用程序的霸王條款，用戶有時不得不被迫同意應用程序收集與功能無關個人信息。為此，《規定》強調，互聯網應用程序應當提供基于功能場景的個人信息收集配置選項，允許用戶根據需要，設定哪些功能場景可以收集使用個人信息；同時，杜絕反復索要信息。對于用戶拒絕的，要求互聯網應用程序不得頻繁索要影響用戶正常使用其他功能；此外，禁止強制索取信息。除個人信息屬于提供產品或服務所必需的外，要求不得以個人信息主體不同意收集使用其個人信息或者撤回同意為由，拒絕提供產品或者服務。

著力解決應用程序“不敢用”問題。 個人信息被濫用、售賣、泄露導致的詐騙、騷擾等問題，讓用戶對互聯網應用程序心存顧慮。為此，《規定》針對保護用戶通信秘密，要求互聯網應用程序、軟件開發包、分發平臺運營者和智能終端廠商對掌握的屬于通信秘密的個人信息，不得對內容進行檢查，不得向第三方提供；針對規范向第三方提供個人信息，要求互聯網應用程序向第三方提供個人信息的，應當取得用戶的單獨同意；針對防止電信網絡詐騙，要求互聯應用程序、軟件開發工具包、分發平臺運營者和智能終端廠商應當制定內部管理制度和操作規程，建立健全內部合規管理體系和問責機制，防止個人信息被用于電信網絡詐騙等違法犯罪活動，充分保護用戶個人信息。

二、《規定》是深化網絡空間安全綜合治理、加強個人信息保護的必然要求

從應用程序的內在動因看，用戶使用應用程序面臨的各種問題，背后原因是應用程序對個人信息的非法、非正當、非必要的獲取。這些行為有的是公然的違法違規行為，有的是利用規則漏洞進行隱性的侵權行為，有的是違背行業倫理的道德問題，嚴重威脅個人信息安全甚至網絡空間安全。《規定》對此給出了明確要求。

著力解決“非法”獲取個人信息問題。 這是應用程序個人信息采集行為中嚴重的違規情形。例如，有的應用程序使用的插件、軟件開發工具包等在用戶不知情下“悄悄”抓取用戶手機通訊錄、通話記錄；有的應用程序偽裝成工具類軟件，安裝后自動打開麥克風、攝像頭，掃描手機存儲的照片、文件獲取用戶的敏感信息。為此，《規定》明確要求應用程序、軟件開發工具包的個人信息收集使用全過程公開透明，一是各方收集使用個人信息須告知用戶并取得同意，要求收集使用個人信息應當向個人信息主體充分告知收集使用規則，并取得個人信息主體同意；二是應用商店等應用程序分發平臺要加強審核，建立互聯網應用程序收集使用個人信息規范性檔案；三是手機等智能終端要對索權調權情況進行記錄、提示、風險提醒等防范“越權”,要求智能終端應當在屏幕頂部等顯著位置，以易于理解的圖標等顯著標識，如實地向用戶提示當前正在調用的麥克風、攝像頭、位置等權限，同時應當準確提示互聯網應用程序調用權限可能帶來的安全風險。

著力解決“非正當”獲取個人信息問題。 非正當獲取個人信息是通過隱私條款“藏貓貓”“玩文字游戲”等手段規避用戶知情權與選擇權，本質是對用戶權益的漠視。例如，有的應用程序將個人信息采集規則隱藏在數萬字的用戶協議中，以灰色字體、極小字號呈現。為此，《規定》明確“不得通過誤導、欺詐、脅迫等方式收集使用個人信息”,并強調對于用戶個人信息收集使用規則，一要清晰易懂，明確互聯網應用程序收集使用個人信息應當遵循公開、透明原則，制定公開個人信息使用規則，通過清晰易懂的語言真實、準確、完整、逐項列明；二要顯著提示，明確個人信息使用規則應當以加粗字體、放大字號、標記不同顏色等顯著方式向用戶提示；三要用戶知情同意，明確互聯網應用程序應當在首次啟動時，通過彈窗等顯著方式向用戶告知個人信息收集使用規則，并在用戶充分知情的前提下，取得用戶同意規則的明確表示。

著力解決“非必要”獲取個人信息問題。 “最小必要”是《個人信息保護法》規定的基本原則，然而不少應用程序為追求商業利益，超出服務本身需求，過度收集與功能無關的個人信息。為此，《規定》明確收集使用個人信息應當采取對個人信息主體權益影響最小的方式，一是個人信息的收集范圍“最小必要”,要求各方不得超出用戶同意的目的、方式、種類、保存期限收集使用個人信息；二是個人信息收集所涉主體“最小必要”,除特定功能需要外，要求互聯網應用程序不得通過調用通訊錄、通話記錄、短信權限收集使用用戶以外其他個人信息主體的個人信息；三是用戶功能權限調取過程“最小必要”,例如要求互聯網應用程序應當僅在用戶主動選擇使用拍照、發送語音、錄音錄像等功能時調用相機、麥克風權限，不得在用戶停止使用相關功能或者無關場景調用相機、麥克風權限。

三、《規定》是加強網絡生態治理、持續營造風清氣正的網絡空間的重要舉措

從行業的生態體系看，互聯網應用程序對用戶個人信息采集使用的上述問題，原因是互聯網應用程序、軟件開發工具包、應用程序分發平臺、智能終端等多主體權責邊界不清晰，多方治理主體協同性不足，部分重點權限的規定不夠精準細致等，亟需加強治理的系統性協同性精準性。《規定》對此給出了明確要求。

著力加強“系統性”治理。 作為個人信息收集使用的核心參與方，互聯網應用程序、軟件開發工具包、應用程序分發平臺、智能終端各主體責任邊界模糊，導致經常相互推卸責任，進而帶來個人信息治理難題。為此，《規定》一是明確各方主體責任，規定互聯網應用程序、軟件開發工具包運營者分別對所運營的互聯網應用程序、軟件開發工具包個人信息收集使用活動及安全保護承擔主體責任。二是明確各方應履行的審核義務，規定互聯網應用程序運營者對嵌入的軟件開發工具包、分發平臺運營者對分發的互聯網應用程序、智能終端廠商對預置的互聯網應用程序依法履行審核義務。未能進行有效審核，對個人信息主體權益造成侵害的，依法承擔相應責任。與此同時，《規定》分別對互聯網應用程序運營、軟件開發工具包運營、應用程序分發平臺、智能終端提出了清晰的安全管理要求。

著力推動“協同性”治理。 當前，對于互聯網應用程序收集使用個人信息的治理，部門合力有待加強，第三方機構的積極作用也沒有得到有效發揮，社會公眾的監督力量也沒有得有充分利用。為此，《規定》一是明確有關部門的職責分工，網信部門負責統籌協調和監督管理，電信主管部門、公安部門和其他有關機關在各自職責范圍內負責相應個人信息保護和監督管理工作；二是有效利用第三方認證的積極作用，要求分發平臺在上架審核中應根據互聯網應用程序運營者取得個人信息保護認證和互聯網應用程序安全認證的結果，予以優先展示推薦；三是充分發揮社會公眾的監督作用，要求互聯網應用程序、軟件開發工具包運營者應當在產品官方網站、個人信息收集使用規則中提供有效的、易于訪問的投訴舉報渠道，健全投訴舉報的受理處置反饋機制，在承諾時限內受理并處置個人信息相關投訴。

著力推動“精準性”治理。 隨意和頻繁調用用戶的相機、麥克風、位置、相冊、通訊錄、短信、存儲等信息，是互聯網應用程序個人信息保護治理的頑疾，調用用戶的生物識別信息以及未成年人的個人信息是高度敏感的問題，社會對此反映強烈。為此，《規定》專門列出條款，對重點權限管理、生物識別信息保護、未成年人保護作出專門規定。值得注意的是，《規定》明確提出，鼓勵互聯網應用程序接入國家網絡身份認證公共服務，有望從更深層次破解互聯網應用程序的個人信息保護問題。

總之，《規定》在我國個人信息保護事業中具有的里程碑意義，體現了以人民為中心的信息化發展思想，體現了動態整體開放相對共同的數據治理原則，體現了系統性協同性精準性的網絡生態治理理念。

作者： 王志成　 中央網信辦數據與技術保障中心副主任

轉載請注明來源：“中央網信辦數據與技術保障中心”微信公眾號