图片来源：unsplash

芥末堆12月30日文，国家互联网信息办公室、工业和信息化部办公厅等四部门近日联合发布《App违法违规收集使用个人信息行为认定方法》（以下简称《办法》），为监督管理部门认定App违法违规收集使用个人信息行为提供参考，除对“未经用户同意收集使用个人信息”等做出具体指导，也对用户行使删除、更正、投诉等权利做了相应保障。

今年以来，教育部等各部门多次发文，对教育APP的规范发展问题做出相关规定。包括教育APP规范入校合作及个人数据、应用管理等方面多有涉及，但对于哪些收集使用个人信息行为属于违规违法范畴却未有指导细则出台。

此次国家互联网信息办公室、工业和信息化部、公安部、市场监管总局联合发布上述《办法》进一步对App违法违规收集使用个人信息行为做出相关认定。

其中，被认定为“未公开收集使用规则”共有四条，包括隐私政策等收集使用规则难以访问，如进入App主界面后，需多于4次点击等操作才能访问到；隐私政策等收集使用规则难以阅读，如文字过小过密、颜色过淡、模糊不清，或未提供简体中文版等。

有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解，如使用大量专业术语的行为，被认定为“未明示收集使用个人信息的目的、方式和范围”的，另外，包括未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等；收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等都属于该条目范围。

而被认定为“未经用户同意收集使用个人信息”共有9条，包括以默认选择同意隐私政策等非明示方式征求用户同意；利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项；未向用户提供撤回同意收集个人信息的途径、方式；以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的等。

因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能以及仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息等，皆被认定为“违反必要原则，收集与其提供的服务无关的个人信息”。

既未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码、插件等方式向第三方提供个人信息；或者在前述前提下，数据传输至App后台服务器后，向第三方提供其收集的个人信息的，可被认定为“未经同意向他人提供个人信息”。

除此之外，《办法》对用户行使删除、更正等权利也做了相应保障。《办法》对此做出五条相关规定，其中包括：

未提供有效的更正、删除个人信息及注销用户账号功能；为更正、删除个人信息或注销用户账号设置不必要或不合理条件；以及虽提供了更正、删除个人信息；注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理。可被认定为“未按法律规定提供删除或更正个人信息功能”。

此外，未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理的。可被认定为“未公布投诉、举报方式等信息”。

政策原文：关于印发《App违法违规收集使用个人信息行为认定方法》的通知