如何避免App因收集信息被下架?

关注聪聪的微信公众号:聪聪谈事,(长按复制)有什么问题可以直接在公众号里联系聪聪,聪聪在公众号里等你哦!

据国家网络安全通报中心12月4日发布信息,在2019年11月公安机关网安部门的“App违法采集个人信息集中整治”行动中,共下架整改100款违法违规App。在这些App中,不乏公众熟悉的平台,如“”“微店”“樊登读书”“考拉海购”等。

网安部门对上述App进行处罚的理由,主要包括“无隐私协议”、“收集使用个人信息范围描述不清”、“超范围采集个人信息”和“非必要采集个人信息”等。暂且不论这百款违规的App中,有多少是“有意为之”,多少是“无心之过”——作为一个“普通App”,要如何做才能平安运行,避免下架悲剧?

在我国现行关于个人信息的立法体系中,以公法为主,偏重管理个人信息控制者的行为,《网络安全法》就是最典型的表现。因此,在这个立法框架下,App运营者想要安稳度日,首先应当检视自己的App是否满足了该法的要求,否则随时有被抽中处罚的风险。

结合近期事件,以及《网络安全法》的规定,我们看看App运营者可以提前做哪些工作,避免触及监管红线。

《隐私协议》必不可少

《网络安全法》第四十一条第一款:“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。”而App运营者为满足上述要求,最直接的就是与用户签署《隐私协议》或公布App的《隐私政策》。

通过《隐私协议》或《隐私政策》,App运营者一方面能够“公开”“明示”自己的个人信息收集范围、使用方式等,另一方面也通过该过程向用户请求收集信息的授权,获得用户的同意。

在《隐私协议》中,App运营者至少需要向用户告知如下信息:“我们收集您的什么信息”, “我们如何使用您的信息”, “我们如何委托处理、共享、转让、公开披露您的信息”。

除上述以外,运营者还需要在《隐私协议》中介绍运营者基本情况,包括主体信息、联系方式;告知用户权利和实现机制,如用户信息查询方法、更正方法、删除方法等。当隐私政策发生变化后,运营者还需要及时通知用户等。

避免概括授权、强迫授权

如前所述,运营者需要在《隐私政策》中向用户明示个人信息收集范围,而不能用模棱两可的说辞向用户索要概括授权。例如,隐私政策常用的“相关信息”。

“相关信息”既可能指位置信息,也可能指身份信息,还可能指财产信息。因此,包含“相关”等指向不明词汇的条款,就有很大可能被认为是“概括授权”。

如果我们允许这样的表述存在,《隐私政策》就相当于失去意义——用户仍不知道自己所下载的App究竟在后台偷偷收集了什么。

更恰当的表述,是告知用户收集信息的范围,即具体至前述的个人身份信息、个人教育工作信息、个人上网记录、个人财产信息等。如涉及多项业务,且收集信息有区分的,最好再根据不同的业务向用户告知不同的信息收集范围。

此外,除了明确信息收集范围、保障用户知情权外,正当、必要的信息收集还有另一层要求:不能强迫用户进行授权。此处的强迫,不是指简单粗暴的直接强迫,而是一系列以其他形式表现出的、间接的、“消极”的强迫。如,“注册即视为同意所有隐私政策”,或“使用我方服务即视为同意隐私政策”,乃至“使用我方A服务即同意ABCD四项服务的所有隐私政策”。

如果说前述“模棱两可”的表述从用户知情权角度削弱了用户“明示同意”的可信度,强迫性的表述就从选择权角度削弱了可信度。

搜集要克制,不能“全都要”

在个人信息收集的风险防范中,除了上文提及的《网络安全法》第四十一条第一款,第四十一条的第二款同样重要:“网络运营者不得收集与其提供的服务无关的个人信息,不得违反法律、行政法规的规定和双方的约定收集、使用个人信息,并应当依照法律、行政法规的规定和与用户的约定,处理其保存的个人信息。” 该款为运营者在个人信息收集、使用、保存等全过程勾勒出一条清晰的红线,结合《网络安全法》第六十四条,将法律责任安排得明明白白。

在网络安全法中存在个人信息保护的“最小必要原则”,即在用户授权下,只收集、储存符合App目的的最少个人信息类型和数量,并且在目的达成后及时删除个人信息。其中,所谓的“符合App目的”,是要求收集的个人信息的类型应与实现产品或服务的业务功能有直接关联。换言之,如果没有上述个人信息的参与,目的就无法实现。只有存在直接关联,App运营者才有足够正当的理由要求用户提供个人信息,或记录用户相关的信息。同时,在App储存个人信息时,也要注意必要的时间限度——这主要考虑到信息安全的问题。对于超出储存时间限度的个人信息,运营者要及时进行匿名化处理。否则,超时储存的信息不仅会增加安全隐患,更会为运营者自身添加不必要的负担。

此外,最小必要原则还要求“自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率”。例如,社交类App在用户发动态时,可能需要自动采集用户地理位置信息以显示所在地;但如果该App不仅在用户需要显示位置时自动采集地理信息,还在后台运行过程中采集相关信息——相当于是在记录用户行动轨迹——则显然有违最小必要原则。

最后,最小必要原则要求的第三点,是“间接获取个人信息的数量应是实现产品或服务的业务功能所必需的最少数量”。上文对间接获取个人信息已有提及,就是指从关联方、合作方处获得用户在其他平台留下的信息。在最小必要原则的语境下,间接获取个人信息应当以满足App目的为前提,而不得随意、大量地间接收集该用户的其他信息。否则,暂且不论该种间接收集行为是否合法或是否能合法,多平台无条件共享用户信息与一平台超范围采集用户信息又有何异?

谨慎“共享”用户数据,防范刑事风险

《网络安全法》对于运营者行为的诸多限制,并不是担心运营者借此获取超额利润,而仍然是出于对用户个人信息保护的法益考量。

我国目前对个人信息强保护的态度,即以运营者不得向他人提供个人信息为原则,以用户同意为例外——根据《网络安全法》第四十二条第一款:“网络运营者不得泄露、篡改、毁损其收集的个人信息;未经被收集者同意,不得向他人提供个人信息。但是,经过处理无法识别特定个人且不能复原的除外。”

而事实上,各个业务部门之间或与关联公司之间进行用户数据“共享”的行为更为常见、普遍,因为这样做更符合商业逻辑。现行立法也以“被收集者同意”作为一个豁口,允许公司在用户授权下实现这种操作。

但实践中的不合规行为显然不仅是没有授权那么简单。依据《网络安全法》第四十四条:“任何个人和组织不得窃取或者以其他非法方式获取个人信息,不得非法出售或者非法向他人提供个人信息。”同时,依据《网络安全法》第六十四条第二款:“违反本法第四十四条规定,窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息,尚不构成犯罪的,由公安机关没收违法所得,并处违法所得一倍以上十倍以下罚款,没有违法所得的,处一百万元以下罚款。”至于“构成犯罪的”,就要在《刑法》里面寻找法律后果了。

一般而言,涉及个人信息犯罪的罪名主要是侵犯公民个人信息罪。根据情节的不同,也有可能构成非法获取计算机信息系统数据、非法控制计算机信息系统数据罪或帮助信息网络犯罪活动罪。而在侵犯的是“公民个人信息”的前提下,网络运营者有以下三个行为属于“高危”行为,继而可能面临刑事风险:一,向他人出售公民个人信息的;二,收集行为合法,但未经被收集者同意,将合法收集的公民个人信息向他人提供的;三,收集行为不合法,包括窃取,或以购买、收受、交换等方式非法获取公民个人信息,以及在合法服务过程中无授权收集公民个人信息的。

综上,在信息监管趋严的当下,App运营者在个人信息的收集、储存和传输中,需要格外注意数据安全问题。运营者对用户的个人信息保护,不仅是尊重用户的态度,更是自我保护的底线。

相关推荐

更多内容可以关注聪聪的微信公众号:聪聪谈事,(长按复制)有什么问题可以直接在公众号里联系聪聪,聪聪在公众号里等你哦!

展开阅读全文

猜你喜欢

你也可能喜欢

微信扫一扫

微信扫一扫