2019年App个人信息违法专项检查要点及整改建议

发布时间:2019-03-04

文 | 黄春林 合伙人 刘月莹 汇业律师事务所

近日,网信、工信、公安、市监四部门联合发布《关于开展App违法违规收集使用个人信息专项治理的公告》(以下简称“《公告》”),决定在全国范围内联合多部门启动App违法违规收集、使用个人信息的2019年专项治理行动。此外,2019年3月,“APP专项治理工作组”制定了评估指南并开通了专门的投诉渠道。

此外,上海、北京、广东等地公安、通管、消协等也于近期陆续启动专项检查行动,重点检查辖区内APP网络安全及个人信息违法违规行为,并约谈了相关企业负责人。

为此,汇业黄春林律师团队结合《公告》要求、评估指南及近期监管执法行动,参考行业实践及实务经验,就APP个人信息收集、使用等场景,整理如下专项检查要点并出具部分整改建议。

要点一:隐私政策形式及内容合规

  • 形式方面:APP应当制定单独成文的隐私政策,公开发布并满足快捷访问、友好阅读、方便保存和下载等合规要求。我们建议运营者在APP安装、注册、主页、用户个人中心等页面的显著位置展示隐私政策或链接;隐私政策的重要条款(例如敏感个人信息、跨境转移等)应当通过加粗等显著方式提示;隐私政策条款变更时应及时通过站内信、公告、弹窗等方式通知用户。

  • 内容方面:隐私政策的内容应浅显易懂、条理清晰,并在首部或折叠页面提供摘要或提示。参考中消协发布的100款App个人信息与隐私政策测评报告及工作组评估指南,隐私政策应包括但不限于如下内容:(1)APP各业务功能条线及与其一一对应的个人信息收集、使用的类型、用途及方式;(2)APP运营主体的基本情况及联系方式,其他关联使用方的种类和身份;(4)个人信息的保存机制、期限和跨境转移情况等;(5)Cookie等自动化程式运行机制;(6)告知用户如何请求查询、更正、删除个人信息和撤回同意,以及APP响应请求方式及期限等;(7)个人信息安全保护措施和能力;等等。

要点二:用户同意方式合规

用户首次使用、注册APP时,应当提示用户阅读并通过自主勾选、点击确认等方式明示同意用户协议及隐私政策,不得采用默认勾选、“注册即视为同意”、捆绑同意等方式获取用户的“非真实意识表示”的同意。

另外,建议企业在隐私政策中,区分基本业务功能和扩展业务功能所需个人信息,用户拒绝提供扩展业务功能所需个人信息的,企业不得拒绝为其提供基本业务功能。为此,我们建议在APP中采取“统一隐私政策”+“单个功能页面文案提示”的合规实践,避免被认定为一揽子概括授权。

要点三:收集用户个人信息应遵守最小必要原则

APP收集用户个人信息应遵循最小、必要等原则,不得收集与所提供服务无关的个人信息,不得收集隐私政策中未披露的个人信息,不得收集用户明确拒绝或者授权到期的个人信息,不得违法收集第三方平台享有合法权益的信息或数据。

比如,很多APP存在过度收集用户手机通讯录、面部识别信息、位置信息的情况。此前,上海市网信办就对23个APP获取用户个人信息权限情况开展专项安全检查,并对申请权限不合理、过度索取等问题约谈APP运营企业负责人。

要点四:定向推送合规

根据《公告》要求及《广告法》等规定,App运营者未经用户同意或者请求,或者用户明确表示拒绝的,不得向其固定电话、移动电话或者个人电子邮箱发送商业性电子信息。发送商业信息应当标明发送者身份和“广告”性质,并提供便捷的退订方式。

此外,汇业黄春林律师团队提醒,本次《公告》将推送内容的性质扩大到除商业广告信息以外的新闻、时政信息,APP务必注意相关推送内容的合规要求。

要点五:个人信息修改、删除以及账户注销合规

App应当为用户提供个人信息查询、修改、删除以及账户注销的方式、指引、入口,不得对用户查询、修改、删除个人信息以及账户注销设置不合理条件,或者恶意拖延响应、执行时间。

结合近期公安、通管执法检查案例和行业实践,汇业黄春林律师团队建议修改、删除个人信息及注销账户的入口方式有:(1)在APP主页、用户个人中心(例如“我的”)等显著位置设置在线编辑、删除个人信息或注销账户入口;(2)不具备在线条件的,至少应当提供邮件、电话客服等非在线方式,且应当在显著、便捷的位置设置负责该等事宜的客服联系方式,并公布相应的指引。

实践中,APP应当如何平衡删除、注销后的个人信息删除(或匿名化)以及其他法律法规要求的留存备份合规冲突,则要根据具体业态具体讨论。

要点六:精准营销合规

根据《电子商务法》等规定,APP根据消费者的兴趣爱好、消费习惯等特征向其提供商品或者服务的搜索结果的,应当同时向该消费者提供不针对其个人特征的选项。比如,提供“按价格”、“按销量”等多种自然排序方式,供用户自主选择搜索展示结果。

另外,部分电商类APP日常业务中还会涉及多来源数据匹配后的精准站内推送问题,此时APP还应当确保数据来源合规,并评估使用授权是否充分,是否侵犯消费者知情权、选择权,以及是否构成价格歧视等合规要求。

要点七:第三方合作伙伴监管合规

根据《电信和互联网用户个人信息保护规定》及《个人信息安全规范》等规定,APP在获取、分享用户个人信息过程中与第三方合作的(例如委托或代理),应当审查该第三方的业务准入资质、数据来源合法性及数据安全能力,并且与其签署相关数据安全协议/条款。

另外,APP向用户提供链接跳转至第三方服务,或者通过SDK等方式嵌入代码、插件等方式由第三方直接收集个人信息的,应当在显著页面提醒用户相关服务的实际提供方,并提示用户阅读、遵守第三方的用户协议、隐私政策等。

要点八:个人信息保护制度合规

根据《网络安全法》、《电信和互联网用户个人信息保护规定》和《个人信息安全规范》等规定及近期执法实践,企业应当对个人信息及数据采取分级、保密及备份等措施并制定相应的管理制度。包括但不限于个人信息保护制度或指引流程,员工信息保护制度,个人信息影响安全评估制度,网络安全事件应急预案制度,数据分类、备份和加密制度,硬件设备管理及停用审计制度,等等。

要点九:个人信息保护岗位及人员合规

根据《网络安全法》、《电信和互联网用户个人信息保护规定》和《个人信息安全规范》等规定,企业应当根据业务实际情况,设立相适应的个人信息及数据保护的岗位及人员,实行定岗定责并确立分级权限体系,开展关键员工的入职背调、培训及离岗审计,并定期开展相关部门和员工的个人信息保护或网络安全法律培训、考核。

要点十:App个人信息安全认证

借鉴国外经验,《公告》建议企业开展App个人信息安全认证,鼓励App运营者自愿通过App个人信息安全认证以提高合规管理水平,同时还建议搜索引擎、应用商店等网络平台明确标识并优先推荐通过认证的App。

汇业黄春林律师团队提示,参考目前行业实践,常见的认证、测评方式包括公安等保测评及备案、ISO27001、TRUSTe 隐私认证等等。


返回列表