近年來(lái)，App強(qiáng)制授權(quán)、過(guò)度索權(quán)、超范圍收集個(gè)人信息的現(xiàn)象越演愈烈。2019年以來(lái)，國(guó)家多部委重拳出擊，著重整治App違規(guī)違法收集個(gè)人信息亂象。截至目前，已有幾十款A(yù)pp遭到強(qiáng)制下架、上百款A(yù)pp被點(diǎn)名整改，App收集個(gè)人信息領(lǐng)域迎來(lái)了強(qiáng)監(jiān)管元年。面對(duì)來(lái)勢(shì)洶洶的強(qiáng)監(jiān)管高壓，App運(yùn)營(yíng)商該如何做好信息收集工作？哪些個(gè)人信息可以收集？哪些不行？其中有哪些風(fēng)險(xiǎn)點(diǎn)值得關(guān)注？接下來(lái)一段時(shí)間，本團(tuán)隊(duì)將陸續(xù)推出App合規(guī)的系列文章，為App運(yùn)營(yíng)商合規(guī)收集個(gè)人信息提供方法和思路。
本篇是系列文章的第四篇：App運(yùn)營(yíng)商如何合規(guī)收集用戶信息？
《網(wǎng)絡(luò)安全法》第41條規(guī)定：“網(wǎng)絡(luò)運(yùn)營(yíng)者收集、使用個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，公開(kāi)收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。”可見(jiàn)，網(wǎng)絡(luò)運(yùn)營(yíng)者在收集個(gè)人信息時(shí)，首先必須遵循合法、正當(dāng)、必要三大原則。
（一）合法性
所謂的合法性，是指網(wǎng)絡(luò)運(yùn)營(yíng)者在收集用戶信息時(shí)應(yīng)當(dāng)符合法律規(guī)定，具體表現(xiàn)為：網(wǎng)絡(luò)運(yùn)營(yíng)者不得欺詐、誘騙、誘導(dǎo)個(gè)人信息主體提供個(gè)人信息；不得隱瞞產(chǎn)品或服務(wù)所具有的收集個(gè)人信息的功能；不得從非法渠道獲取用戶信息；以及不得收集法律法規(guī)明令禁止收集的個(gè)人信息。
其中，實(shí)務(wù)中最常出現(xiàn)APP運(yùn)營(yíng)商非法收取用戶信息的表現(xiàn)是，APP運(yùn)營(yíng)商違背個(gè)人信息主體的自主意愿，強(qiáng)迫用戶接受產(chǎn)品或服務(wù)所提供的業(yè)務(wù)功能及提供相應(yīng)的用戶信息。然而該種做法明顯帶有強(qiáng)迫意味，是不合法的。
APP運(yùn)營(yíng)商須注意，要想合法收集用戶信息須做到：不得通過(guò)捆綁產(chǎn)品或服務(wù)各項(xiàng)業(yè)務(wù)功能的方式，要求用戶一次性接受并授權(quán)統(tǒng)一各項(xiàng)業(yè)務(wù)功能收集個(gè)人信息的請(qǐng)求；應(yīng)在產(chǎn)品或服務(wù)功能開(kāi)啟時(shí)，主動(dòng)給用戶提供主動(dòng)填寫(xiě)、點(diǎn)擊、勾選等主動(dòng)行為，同時(shí)給用戶提供關(guān)閉或退出業(yè)務(wù)功能的途徑或方式；如果用戶不同意使用、關(guān)閉或退出特定業(yè)務(wù)功能，APP運(yùn)營(yíng)商不得頻繁征求個(gè)人信息主體的同意。
（二）正當(dāng)性
所謂的正當(dāng)性，是指APP運(yùn)營(yíng)商收集個(gè)人信息時(shí)，應(yīng)獲得用戶的同意，使其擁有收集用戶信息的正當(dāng)性基礎(chǔ)。
正當(dāng)性主要體現(xiàn)在收集用戶信息時(shí)應(yīng)獲得用戶的授權(quán)同意，收集用戶敏感信息時(shí)，應(yīng)獲得用戶的明示同意。
具體體現(xiàn)為，APP運(yùn)營(yíng)商在收集用戶信息時(shí)，應(yīng)向用戶主體明確告知所提供產(chǎn)品或服務(wù)的不同業(yè)務(wù)功能分別收集的個(gè)人信息類型，以及收集、使用個(gè)人信息的規(guī)則，并獲得用戶的授權(quán)同意，在間接獲取用戶信息上，應(yīng)要求用戶信息提供方說(shuō)明個(gè)人信息的來(lái)源并保證信息來(lái)源的合法性。
APP運(yùn)營(yíng)商在收集用戶敏感信息時(shí)，應(yīng)取得用戶的明示同意，應(yīng)確保用戶的明示同意是其在完全知情的基礎(chǔ)上，自愿給出的、具體的、清晰明確的愿望表示。
當(dāng)然，APP運(yùn)營(yíng)商并不是所有信息都需要得到用戶的授權(quán)同意的，例如事關(guān)國(guó)家安全、國(guó)防安全直接相關(guān)的；與公共安全、公共衛(wèi)生、重大公共利益直接相關(guān)的；與犯罪偵查、起訴、審判和判決執(zhí)行等直接相關(guān)的；或者是APP運(yùn)營(yíng)商為新聞單位且其在開(kāi)展合法的新聞報(bào)道所必需的，亦或是APP運(yùn)營(yíng)商為學(xué)術(shù)研究機(jī)構(gòu)，出于公共利益開(kāi)展統(tǒng)計(jì)或?qū)W術(shù)研究所必要的……以上列舉的種種情況，APP運(yùn)營(yíng)商收集用戶信息是無(wú)需征得用戶主體的授權(quán)同意。
（三）必要性、
所謂的必要性，是指APP運(yùn)營(yíng)商收集個(gè)人信息的類型應(yīng)與實(shí)現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能有必要的、直接的聯(lián)系。直接聯(lián)系是指沒(méi)有該用戶信息的參與，產(chǎn)品或服務(wù)的功能無(wú)法實(shí)現(xiàn)。
同時(shí)，必要性還體現(xiàn)在收集的頻率和數(shù)量上。對(duì)于自動(dòng)采集用戶信息的頻率應(yīng)是實(shí)現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必須的最低頻率；對(duì)于間接獲取的用戶信息數(shù)量，應(yīng)是實(shí)現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最少數(shù)量。
綜上所述，APP運(yùn)營(yíng)商在收集用戶信息時(shí)，應(yīng)遵循合法性要求，不得違反法律法規(guī)的禁止性要求等；遵循正當(dāng)性要求，一般信息需獲得用戶的授權(quán)同意，敏感信息需獲得用戶的明示同意；遵循必要性要求，APP運(yùn)營(yíng)商所收集的個(gè)人信息必須是必不可少的、直接關(guān)聯(lián)的。
