【内涵】关于印发App违法违规收集使用个人信息行为认定方法的通知
家市场监督管理总局办公厅
关于印发App违法违规收集使用个人信息行为认定方法的通知 信办秘字〔2019〕191号 各省自治区直辖市及新疆生建设兵团网信办通信管理局公安厅局市场监管局厅委 根据关于开展App违法违规收集使用个人信息专项治理的公告，为认定App违法违规收集使用个人信息行为提供参考，落实网络安全法等法律法规，家互联网信息办公室工业和信息化部公安部市场监管总局联合制定了App违法违规收集使用个人信息行为认定方法。现印发你们，请结合监管和执法工作实际参考执行。 市场监管总局办公厅 2019年11月28日 App违法违规收集使用个人信息行为认定方法 根据关于开展App违法违规收集使用个人信息专项治理的公告，为监督管理部门认定App违法违规收集使用个人信息行为提供参考，为App运营者自查自纠和网民社会监督提供指引，落实网络安全法等法律法规，制定本方法。 一以下行为可被认定为未公开收集使用规则 1.在App没有隐私政策，或者隐私政策没有收集使用个人信息规则； 2.在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则； 3.隐私政策等收集使用规则难以访问，如进入App主界面后，需多于4次点击等操作才能访问到； 4.隐私政策等收集使用规则难以阅读，如文字过过密颜色过淡模糊不清，或未提供简体文版等。 二以下行为可被认定为未明示收集使用个人信息的目的方式和范围 1.未逐一列出App包括委托的第三方或嵌入的第三方代码插件收集使用个人信息的目的方式范围等； 2.收集使用个人信息的目的方式范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等； 3.在申请打开可收集个人信息的权限，或申请收集用户身份证号银行账号行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确难以理解； 4.有关收集使用规则的内容晦涩难懂冗长繁琐，用户难以理解，如使用大量专业术语等。 三以下行为可被认定为未经用户同意收集使用个人信息 1.征得用户同意前就开始收集个人信息或打开可收集个人信息的权限； 2.用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意干扰用户正常使用； 3.实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围； 4.以默认选择同意隐私政策等非明示方式征求用户同意； 5.未经用户同意更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态； 6.利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项； 7.以欺诈诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒掩饰收集使用个人信息的真实目的； 8.未向用户提供撤回同意收集个人信息的途径方式； 9.违反其所声明的收集使用规则，收集使用个人信息。 四以下行为可被认定为违反必要原则，收集与其提供的服无关的个人信息 1.收集的个人信息类型或打开的可收集个人信息权限与现有业功能无关； 2.因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业功能； 3.App新增业功能申请收集的个人信息超出用户原有同意范围，若用户不同意，则拒绝提供原有业功能，新增业功能取代原有业功能的除外； 4.收集个人信息的频度等超出业功能实际需要； 5.仅以改善服质量提升用户体验定向推送信息研发新品等为由，强制要求用户同意收集个人信息； 6.要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。 五以下行为可被认定为未经同意向他人提供个人信息 1.既未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码插件等方式向第三方提供个人信息； 2.既未经用户同意，也未做匿名化处理，数据传输至App后台服器后，向第三方提供其收集的个人信息； 3.App接入第三方应用，未经用户同意，向第三方应用提供个人信息。 六以下行为可被认定为未按法律规定提供删除或更正个人信息功能或未公布投诉举报方式等信息 1.未提供有效的更正删除个人信息及注销用户账号功能； 2.为更正删除个人信息或注销用户账号设置不必要或不合理条件； 3.虽提供了更正删除个人信息及注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限完成核查和处理； 4.更正删除个人信息或注销用户账号等用户操作已执行完毕，但App后台并未完成的； 5.未建立并公布个人信息安全投诉举报渠道，或未在承诺时限内承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限受理并处理的。
