App監管的9個(gè)相關(guān)問(wèn)題
近期A(yíng)pp的監管不斷加碼。國家網(wǎng)信辦持續通報app違法違規收集使用個(gè)人信息情況。2021年5月1日，《常見(jiàn)類(lèi)型移動(dòng)互聯(lián)網(wǎng)應用程序必要個(gè)人信息范圍規定》正式生效；4月份，工業(yè)和信息化部信息通信管理局與信安標委，分別就《移動(dòng)互聯(lián)網(wǎng)應用程序個(gè)人信息保護管理暫行規定（征求意見(jiàn)稿）》，《移動(dòng)互聯(lián)網(wǎng)應用程序（APP）SDK安全指南（征求意見(jiàn)稿）》《移動(dòng)互聯(lián)網(wǎng)應用程序（APP）個(gè)人信息安全測評規范（征求意見(jiàn)稿）》等標準征求意見(jiàn)。
近年來(lái)，App成為個(gè)人信息監管的重點(diǎn)。有關(guān)部門(mén)制定了大量的規范與標準，多個(gè)部門(mén)持續展開(kāi)專(zhuān)項檢查，并設立舉報機制，意圖對App個(gè)人信息的收集與處理進(jìn)行規制。
App監管相關(guān)的9個(gè)相關(guān)問(wèn)題：
1、小程序是否屬于A(yíng)pp？
微信小程序、支付寶小程序均屬于A(yíng)pp的范疇，需要遵守App監管的要求。根據《常見(jiàn)類(lèi)型移動(dòng)互聯(lián)網(wǎng)應用程序必要個(gè)人信息范圍規定》，App包括移動(dòng)智能終端預置、下載安裝的應用軟件，基于應用軟件開(kāi)放平臺接口開(kāi)發(fā)的、用戶(hù)無(wú)需安裝即可使用的小程序。從工信部過(guò)往的檢查記錄來(lái)看，在2021年第3批檢查中，就有草料二維碼的小程序因為違規收集個(gè)人信息被要求整改。
2、App多大可能會(huì )被抽檢？不合規有哪些法律后果？
被抽檢的概率非常高。從2019年到2021年1月，工信部一共實(shí)現對62萬(wàn)款APP的技術(shù)檢測工作，責令2234款違規APP進(jìn)行整改，公開(kāi)通報了500款、下架了132款整改不到位、拒不整改的APP。
在2021年，監管機構的目標是形成全年檢測180萬(wàn)款的覆蓋能力。因此，App被抽檢已經(jīng)成為一種必然趨勢，需要以最高標準開(kāi)展App的合規工作。
App如果存在個(gè)人信息保護的問(wèn)題，可能面臨警告、最高100萬(wàn)元的罰款或（和）App下架。在最新發(fā)布的《移動(dòng)互聯(lián)網(wǎng)應用程序個(gè)人信息保護管理暫行規定（征求意見(jiàn)稿）》中，擬進(jìn)一步完善了不合規App的處置措施：
3、只有App運營(yíng)企業(yè)才需關(guān)注App合規嗎？
在《移動(dòng)互聯(lián)網(wǎng)應用程序個(gè)人信息保護管理暫行規定（征求意見(jiàn)稿）》中，不僅關(guān)注APP開(kāi)發(fā)運營(yíng)者，還為APP分發(fā)平臺、APP第三方服務(wù)提供者（SDK開(kāi)發(fā)商）、移動(dòng)智能終端生產(chǎn)企業(yè)、網(wǎng)絡(luò )接入服務(wù)提供者設定了不同的法律義務(wù)，涵蓋了完整的APP數據鏈路。因此，監管部門(mén)擬對App打造完整的合規鏈條。
4、App開(kāi)發(fā)運營(yíng)者有哪些合規責任？
開(kāi)發(fā)運營(yíng)者是App合規最為重要的主體，直接決定了App的開(kāi)發(fā)運營(yíng)模式，在A(yíng)pp產(chǎn)品層面，開(kāi)發(fā)運營(yíng)者需要關(guān)注以下內容：
除了以上關(guān)于個(gè)人信息保護的基本要求，此次征求意見(jiàn)的《移動(dòng)互聯(lián)網(wǎng)應用程序個(gè)人信息保護管理暫行規定（征求意見(jiàn)稿）》還擬從管理與產(chǎn)品設計層面提出了嶄新的合規要求，這些合規要求有些可能會(huì )更原則性一些，需要機構進(jìn)一步將合規要求落地。
5、App設計“告知-同意”是否有什么特殊之處？
在“告知-同意”的框架下我一直認為：“若拒絕不自由，則同意無(wú)意義”。因此保障用戶(hù)“不同意”的選擇權才是確?！巴狻庇行У奈ㄒ煌緩?。
《民法典》要求“處理個(gè)人信息的，應當遵循合法、正當、必要原則，不得過(guò)度處理”，在此基礎上再踐行“告知-同意”的基本規則。而在A(yíng)pp領(lǐng)域，對“必要”的界定更為細化。在《常見(jiàn)類(lèi)型移動(dòng)互聯(lián)網(wǎng)應用程序必要個(gè)人信息范圍規定》中，對面向消費測（如外賣(mài)平臺面向消費者的App，而非面向騎手的App）的個(gè)人信息獲取設置了范圍。
區分“必要個(gè)人信息”與“非必要個(gè)人信息”的意義在于：如果消費者不提供“必要信息”，App開(kāi)發(fā)運營(yíng)者可以拒絕提供服務(wù)；但如果消費者不提供“非必要信息”，則App開(kāi)發(fā)運營(yíng)者不得拒絕提供服務(wù)。該規定對App的穩定運行提出了較高的要求，機構可能需要大刀闊斧地對App的權限索取、產(chǎn)品邏輯進(jìn)行優(yōu)化，否則可能無(wú)法達到法規的要求。比如對拍攝美化類(lèi)App，要求無(wú)須個(gè)人信息，即可使用拍攝、美顏、濾鏡等基本功能服務(wù)；學(xué)習教育類(lèi)App的必要個(gè)人信息僅包括注冊用戶(hù)移動(dòng)電話(huà)號碼，除此以外均為非必要個(gè)人信息。
當然，《常見(jiàn)類(lèi)型移動(dòng)互聯(lián)網(wǎng)應用程序必要個(gè)人信息范圍規定》也不應被機械適用，除了該規定中所列舉的個(gè)人信息以外，其他因履行法律義務(wù)所必須的個(gè)人信息仍然可以作為提供服務(wù)的前提。如該規定網(wǎng)絡(luò )游戲類(lèi)別僅將移動(dòng)電話(huà)號碼列為必要個(gè)人信息，但網(wǎng)絡(luò )游戲需要對用戶(hù)年齡進(jìn)行收集，判斷用戶(hù)是否是未成年人，因此年齡信息也屬于必要個(gè)人信息。
6、App分發(fā)平臺有什么義務(wù)？
App分發(fā)平臺需要承擔部分治理的責任，即需要對自己平臺內的App進(jìn)行一定程度的管理，這就要求App分發(fā)平臺建立相應的制度與流程。
具體包括：
7、APP第三方服務(wù)提供者有什么義務(wù)？
自去年以來(lái)，通過(guò)SDK等渠道向第三方共享個(gè)人信息成為監管的重點(diǎn)。根據我們的追蹤，我們發(fā)現大量的App開(kāi)發(fā)運營(yíng)者在自己的隱私政策中將所使用的SDK一一列明。對于提供推送、統計、地圖等服務(wù)的第三方服務(wù)提供者來(lái)說(shuō)，應當關(guān)注以下合規義務(wù)：
在2020年11月，全國信息安全標準化委員會(huì )（TC260）發(fā)布《移動(dòng)互聯(lián)網(wǎng)應用程序（App）使用軟件開(kāi)發(fā)工具包（SDK）安全指引移動(dòng)互聯(lián)網(wǎng)應用程序（App）使用軟件開(kāi)發(fā)工具包（SDK）安全指引》（“《SDK安全指引》”），意圖對SDK的合規使用提供清晰的指引。
為了應對SDK的相關(guān)風(fēng)險，《SDK安全指引》從App提供者、SDK提供者的角度進(jìn)行了風(fēng)險防控：
8、移動(dòng)智能終端生產(chǎn)企業(yè)需要做哪些合規措施？
伴隨著(zhù)近期蘋(píng)果調整隱私策略，影響到整個(gè)互聯(lián)網(wǎng)廣告行業(yè)，移動(dòng)智能終端生產(chǎn)企業(yè)對App合規的影響越來(lái)越大。小米在MIUI內設置的一系列個(gè)人信息保護功能讓App的個(gè)人信息收集無(wú)所遁形，而這樣的策略將會(huì )被越來(lái)越多移動(dòng)智能終端生產(chǎn)企業(yè)采用。
9、網(wǎng)絡(luò )接入服務(wù)提供者有什么義務(wù)？
網(wǎng)絡(luò )接入服務(wù)提供者的義務(wù)是此次征求意見(jiàn)稿的亮點(diǎn)之一，突破了以往的App處罰措施。
網(wǎng)絡(luò )接入服務(wù)提供商是最貼近物理層的App相關(guān)方，主要承擔核驗App開(kāi)發(fā)運營(yíng)者的真實(shí)身份核驗以及應監管部門(mén)要求停止接入的義務(wù)，這是此前并未設置過(guò)的處罰措施。
對于海外機構運營(yíng)的App，因為在中國境內可能沒(méi)有運營(yíng)實(shí)體，也沒(méi)有在國內的應用商店下架，因此傳統的處罰措施可能威懾有限，但斷開(kāi)接入可以直接適用于對此類(lèi)App進(jìn)行處罰，極大拓展了我國法律的適用范圍。
