四部门出台App违法违规收集个人信息认定方法

国家互联网信息办公室、工业和信息化部、公安部、市场监管总局日前联合出台《App违法违规收集使用个人信息行为认定方法》(以下简称《认定方法》),对属于“未公开收集使用规则”“未明示收集使用个人信息的目的、方式和范围”“未经用户同意收集使用个人信息”等情形作出明确。

《认定方法》规定,以下情形可被认定为“未公开收集使用规则”:在App中没有隐私政策,或者隐私政策中没有收集使用个人信息规则;在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则;隐私政策等收集使用规则难以访问,如进入App主界面后,需多于4次点击等操作才能访问到;隐私政策等收集使用规则难以阅读,如文字过小过密、颜色过淡、模煳不清,或未提供简体中文版等。

《认定方法》明确,以下行为可被认定为“未明示收集使用个人信息的目的、方式和范围”:未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等;收集使用个人信息的目的、方式、范围发生变化时,未以适当方式通知用户,适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等;在申请打开可收集个人信息的权限,或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时,未同步告知用户其目的,或者目的不明确、难以理解;有关收集使用规则的内容晦涩难懂、冗长繁琐,用户难以理解,如使用大量专业术语等。

《认定方法》指出,以下行为可被认定为“未经用户同意收集使用个人信息”:征得用户同意前就开始收集个人信息或打开可收集个人信息的权限;用户明确表示不同意后,仍收集个人信息或打开可收集个人信息的权限,或频繁征求用户同意、干扰用户正常使用;实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围;以默认选择同意隐私政策等非明示方式征求用户同意;未经用户同意更改其设置的可收集个人信息权限状态,如App更新时自动将用户设置的权限恢复到默认状态;利用用户个人信息和算法定向推送信息,未提供非定向推送信息的选项;以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限,如故意欺瞒、掩饰收集使用个人信息的真实目的;未向用户提供撤回同意收集个人信息的途径、方式;违反其所声明的收集使用规则,收集使用个人信息。

此外, 《认定方法》还对属于“违反必要原则,收集与其提供的服务无关的个人信息”“未经同意向他人提供个人信息”“未按法律规定提供删除或更正个人信息功能”或“未公布投诉、举报方式等信息”的情形作出规定。