新規(guī)有哪些特點(diǎn)？對(duì)App相關(guān)企業(yè)而言，要特別注意在哪些方面做技術(shù)、法務(wù)、規(guī)程的調(diào)整和優(yōu)化？

　　5月1日，國(guó)家四部委聯(lián)合制定的《常見(jiàn)類型移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序必要個(gè)人信息范圍規(guī)定》（簡(jiǎn)稱《規(guī)定》）將正式實(shí)施。

　　《規(guī)定》明確移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（App）運(yùn)營(yíng)者不得因用戶不同意收集非必要個(gè)人信息，而拒絕用戶使用App基本功能服務(wù)?！兑?guī)定》要求各地各相關(guān)單位督促App運(yùn)營(yíng)者抓緊落實(shí)，并加強(qiáng)監(jiān)督檢查，及時(shí)調(diào)查、處理違法違規(guī)收集使用個(gè)人信息行為，切實(shí)維護(hù)公民在網(wǎng)絡(luò)空間的合法權(quán)益。

　　新規(guī)有哪些特點(diǎn)？對(duì)App相關(guān)企業(yè)而言，要特別注意在哪些方面做技術(shù)、法務(wù)、規(guī)程的調(diào)整和優(yōu)化？

　　中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心高級(jí)工程師樊華為我們進(jìn)行相關(guān)專業(yè)解答。

　　問(wèn)：新規(guī)有哪些突出特點(diǎn)呢？

　　答：

　　一是《規(guī)定》第二條規(guī)定“App包括移動(dòng)智能終端預(yù)置、下載安裝的應(yīng)用軟件，基于應(yīng)用軟件開(kāi)放平臺(tái)接口開(kāi)發(fā)的、用戶無(wú)需安裝即可使用的小程序”，首次將小程序明確納入App收集個(gè)人信息的監(jiān)管范圍?！兑?guī)定》中所說(shuō)的“小程序”不僅僅指代微信小程序，還包括所有無(wú)需下載和安裝的輕應(yīng)用、H5頁(yè)面等收集個(gè)人信息的軟件形態(tài)。這類小程序在提供服務(wù)時(shí)與App一樣收集了用戶個(gè)人信息，因此將其納入《規(guī)定》規(guī)范范圍。

　　二是《規(guī)定》按照基本功能服務(wù)分類以列舉的方式寫(xiě)明39類App的必要信息，更加簡(jiǎn)明、清楚直觀。采用描述性的語(yǔ)言概括基本功能服務(wù)，而非采用簡(jiǎn)單的應(yīng)用市場(chǎng)歸類形式，更便于App定位自身的功能服務(wù)。同時(shí)通過(guò)App基本功能服務(wù)的確認(rèn)，為解決App功能捆綁的問(wèn)題提供了思路。

　　《規(guī)定》中沒(méi)有對(duì)App申請(qǐng)的權(quán)限進(jìn)行規(guī)制，一方面是由于同一權(quán)限可能對(duì)應(yīng)多類個(gè)人信息，一旦用戶授權(quán)，無(wú)法對(duì)細(xì)粒度的個(gè)人信息進(jìn)行控制；另一方面使用信息清單的形式，普通用戶更能清楚了解App收集了何種個(gè)人信息，對(duì)照《規(guī)定》能判斷是否存在違規(guī)情況，進(jìn)而提高舉報(bào)準(zhǔn)確率。

　　三是《規(guī)定》第三條明確必要個(gè)人信息范圍，即“具體是指消費(fèi)側(cè)用戶個(gè)人信息，不包括服務(wù)供給側(cè)用戶個(gè)人信息?！贝颂幨状胃鶕?jù)App服務(wù)對(duì)象，將個(gè)人信息分為消費(fèi)側(cè)個(gè)人信息和服務(wù)側(cè)個(gè)人信息。以網(wǎng)絡(luò)約車(chē)類App為例，按照此處說(shuō)明，《規(guī)定》只涵蓋了打車(chē)用戶使用的App，而駕車(chē)司機(jī)使用的App則不受此《規(guī)定》的約束。

　　四是《規(guī)定》明確12類App無(wú)須個(gè)人信息，即可使用基本功能服務(wù)。一方面，此類App在使用基本功能服務(wù)時(shí)，無(wú)需區(qū)分用戶的身份，所以無(wú)須個(gè)人信息；另一方面，因“不打開(kāi)與個(gè)人信息相關(guān)權(quán)限”是確?！安皇占瘋€(gè)人信息”的前提，且移動(dòng)智能終端系統(tǒng)允許App申請(qǐng)的系統(tǒng)資源足夠大，故App無(wú)需因運(yùn)行需要再申請(qǐng)額外公用系統(tǒng)資源。即不存在不打開(kāi)相關(guān)權(quán)限就無(wú)法運(yùn)行的說(shuō)法。由此可見(jiàn)，無(wú)須個(gè)人信息，相關(guān)App也是可運(yùn)行的。

　　問(wèn)：針對(duì)《規(guī)定》，相關(guān)企業(yè)要從法務(wù)上做哪些應(yīng)對(duì)、調(diào)整？

　　答：

　　《規(guī)定》第二條第一款明確“移動(dòng)智能終端上運(yùn)行的App存在收集用戶個(gè)人信息行為的，應(yīng)當(dāng)遵守本規(guī)定。法律、行政法規(guī)、部門(mén)規(guī)章和規(guī)范性文件另有規(guī)定的，依照其規(guī)定”，即不適用《規(guī)定》的特殊情形為“法律、行政法規(guī)、部門(mén)規(guī)章和規(guī)范性文件另有規(guī)定的”。對(duì)此，法務(wù)人員首先要梳理適用于本企業(yè)的法律、行政法規(guī)、部門(mén)規(guī)章和規(guī)范性文件，同時(shí)了解行業(yè)協(xié)會(huì)發(fā)布的各類要求是否具有與上述文件相同的效力，如果不具備，則不能作為此條的例外情形予以考慮。

　　除此之外，還應(yīng)對(duì)照法律、行政法規(guī)、部門(mén)規(guī)章和規(guī)范性文件的要求，確認(rèn)收集個(gè)人信息業(yè)務(wù)場(chǎng)景，根據(jù)App的業(yè)務(wù)，確認(rèn)自身的基本功能服務(wù)及其對(duì)應(yīng)的必要信息范圍，與業(yè)務(wù)人員溝通App的收集個(gè)人信息的必要時(shí)機(jī)，評(píng)估和調(diào)整業(yè)務(wù)邏輯、隱私政策、界面和彈窗設(shè)計(jì)等。例如，在某些與用戶個(gè)人經(jīng)濟(jì)利益關(guān)系重大的特殊場(chǎng)景中，國(guó)家監(jiān)管要求確認(rèn)用戶真實(shí)身份，而此類個(gè)人信息只有用戶主動(dòng)觸發(fā)此場(chǎng)景時(shí)才能申請(qǐng)，不能在用戶剛開(kāi)始注冊(cè)時(shí)要求用戶提供。

　　同時(shí)，《規(guī)定》以一一列舉的形式明確了必要信息，法務(wù)工作者還需考慮本公司App產(chǎn)品的《隱私政策》是否需要調(diào)整；是否需要以對(duì)照《規(guī)定》的形式，對(duì)必要信息和非必要信息的收集和處理進(jìn)行分別說(shuō)明；是否有必要在相關(guān)條款中引入“等”、“可能”等模糊文字進(jìn)行概括性描述。

　　問(wèn)：企業(yè)要符合新規(guī)從應(yīng)用程序技術(shù)層面采取哪些必要措施？

　　答：

　　對(duì)于開(kāi)發(fā)人員，在編寫(xiě)申請(qǐng)與個(gè)人信息相關(guān)權(quán)限，通過(guò)系統(tǒng)函數(shù)接口自動(dòng)收集用戶個(gè)人信息代碼時(shí)，只能訪問(wèn)《規(guī)定》里允許的信息，而不能收集該權(quán)限對(duì)應(yīng)的其它個(gè)人信息；從代碼庫(kù)復(fù)制的代碼需審計(jì)其個(gè)人信息收集的情況，采用cookie技術(shù)時(shí)，所收集的個(gè)人信息也應(yīng)遵循《規(guī)定》的要求。

　　對(duì)于安全合規(guī)人員，應(yīng)重視出廠檢測(cè)工作。檢測(cè)基本功能服務(wù)收集的個(gè)人信息是否在《規(guī)定》范圍內(nèi)，重點(diǎn)關(guān)注嵌入的第三方插件、代碼是否也遵循了《規(guī)定》的要求。

　　對(duì)于上層管理人員，要及早結(jié)合業(yè)務(wù)布局研究功能的去標(biāo)識(shí)化、匿名化及隱私計(jì)算等個(gè)人信息保護(hù)技術(shù)，深挖數(shù)據(jù)潛能的同時(shí)，完善企業(yè)個(gè)人信息保護(hù)體系。

　　問(wèn)：理解新規(guī)，一般可能出現(xiàn)哪些方面的誤解或者曲解？

　　答：

　　誤解一：《規(guī)定》只規(guī)制了App的基本功能服務(wù)，只要保證App不因?yàn)橛脩舨煌馓峁┓潜匾獋€(gè)人信息，而拒絕用戶使用其基本功能服務(wù)，即合規(guī)。

　　對(duì)于功能服務(wù)單一的App是可以這么理解。對(duì)于提供了多種功能服務(wù)App，此時(shí)這種理解就過(guò)于片面。因?yàn)楸匾畔⑹歉鶕?jù)功能服務(wù)需求、遵循合法、正當(dāng)、必要的原則來(lái)確定的。對(duì)應(yīng)于基本功能服務(wù)的必要信息，非基本功能服務(wù)也有其必要信息。即App亦不得因用戶不同意提供非基本功能服務(wù)的非必要個(gè)人信息，而拒絕用戶使用其非基本功能服務(wù)。

　　誤解二：《規(guī)定》僅列明了39種常見(jiàn)類型App的基本功能服務(wù)和必要個(gè)人信息范圍，對(duì)相對(duì)非常見(jiàn)的提供其他類功能服務(wù)的App暫無(wú)約束力。

　　39種常見(jiàn)類型App可能無(wú)法涵蓋所有App，并且隨著需求變化和技術(shù)發(fā)展可能會(huì)出現(xiàn)新的服務(wù)類型，可能會(huì)出現(xiàn)新的App類型。盡管如此，“合法、正當(dāng)、必要”的收集原則是通用的，同時(shí)新服務(wù)類型App應(yīng)參照39類中相近類型，審視現(xiàn)有功能服務(wù)收集的個(gè)人信息是否屬于必要個(gè)人信息。此外，具有新的基本功能服務(wù)的App，如其非基本功能服務(wù)屬于已規(guī)制的39類App范圍內(nèi)，也必須遵守《規(guī)定》。

　　誤解三：確定了基本功能服務(wù)的App只能收集《規(guī)定》中明確的個(gè)人信息。

　　《規(guī)定》第三條明確“本規(guī)定所稱必要個(gè)人信息，是指保障App基本功能服務(wù)正常運(yùn)行所必需的個(gè)人信息，缺少該信息App即無(wú)法實(shí)現(xiàn)基本功能服務(wù)?！卑凑沾硕x，必要個(gè)人信息是基本功能服務(wù)對(duì)應(yīng)的最小集?！兑?guī)定》并不禁止App收集所列舉的必要個(gè)人信息之外個(gè)人信息。我們知道，即使劃分為同類型的App，在實(shí)現(xiàn)其功能時(shí)也會(huì)有所差別，因此在功能確有需求時(shí)，在現(xiàn)行以同意為主要合法性基礎(chǔ)的法律框架下，可通過(guò)明示告知，征得用戶同意收集非必要的個(gè)人信息。

　　誤解四：《規(guī)定》里已列明的必要個(gè)人信息，無(wú)需征得用戶同意即可收集。

　　《網(wǎng)絡(luò)安全法》第四十一條，提出了“合法、正當(dāng)、必要”收集原則，“明示規(guī)則、征得同意”的要求。因此即使完全符合《規(guī)定》要求，在收集前也需要告知用戶，取得用戶授權(quán)同意。

　　問(wèn)：企業(yè)依照《規(guī)定》進(jìn)行優(yōu)化、整改會(huì)遇到哪些需要解決的問(wèn)題？

　　答：

　　一是App基本服務(wù)功能和非基本服務(wù)功能的切分，需根據(jù)功能逐項(xiàng)征求用戶同意收集個(gè)人信息。對(duì)于提供單一功能服務(wù)的App，這種切分相對(duì)較容易，可以通過(guò)修訂隱私政策、信息收集的同意彈框設(shè)定等方式來(lái)達(dá)到上述要求。而對(duì)于提供多類功能服務(wù)的App，可能需重新設(shè)計(jì)其業(yè)務(wù)邏輯，整合各條業(yè)務(wù)線，調(diào)整界面和彈窗等，對(duì)企業(yè)內(nèi)部而言是一項(xiàng)不小的挑戰(zhàn)。

　　二是對(duì)于同時(shí)擁有兩個(gè)或多個(gè)主要功能服務(wù)的App而言，確定哪個(gè)功能服務(wù)為基本功能服務(wù)有一定的難度。事實(shí)上，市場(chǎng)上也存在大部分用戶會(huì)同時(shí)使用某App兩個(gè)以上的功能服務(wù)，這就涉及企業(yè)戰(zhàn)略定位等更上層的問(wèn)題?！兑?guī)定》實(shí)施在即，是否備出足夠的時(shí)間，進(jìn)行優(yōu)化調(diào)整，企業(yè)需要下功夫。

　　問(wèn)：企業(yè)怎樣理解個(gè)人信息保護(hù)的企業(yè)主體責(zé)任？

　　答：

　　技術(shù)層面看，企業(yè)是收集個(gè)人信息的主體，是個(gè)人信息的控制者，在收集某類個(gè)人信息前，應(yīng)確認(rèn)是否遵循“合法、正當(dāng)、必要”的原則。企業(yè)在存儲(chǔ)、傳輸、委托處理等個(gè)人信息處理的全生命周期里負(fù)有安全管理的主要責(zé)任，未經(jīng)個(gè)人信息主體同意不得收集其個(gè)人信息，不得向他人提供其個(gè)人信息；同時(shí)企業(yè)是用戶個(gè)人信息主體權(quán)益的主要履責(zé)人，應(yīng)向個(gè)人信息主體明示個(gè)人信息處理規(guī)則，保障其選擇同意的權(quán)利，及時(shí)響應(yīng)個(gè)人信息主體對(duì)其個(gè)人信息相關(guān)的查閱、復(fù)制、刪除、更正、補(bǔ)充等的請(qǐng)求，并提供撤回同意、注銷(xiāo)賬戶、投訴的途徑。

　　其次，企業(yè)是保障用戶個(gè)人信息安全的直接負(fù)責(zé)人，應(yīng)具備與所面臨的安全風(fēng)險(xiǎn)相匹配的安全能力，并采取足夠的管理措施和技術(shù)手段，保護(hù)個(gè)人信息的機(jī)密性、完整性、可用性，并對(duì)其個(gè)人信息活動(dòng)對(duì)個(gè)人信息主體合法權(quán)益造成的損害承擔(dān)責(zé)任。

　　問(wèn)：針對(duì)個(gè)人信息保護(hù)的強(qiáng)監(jiān)管，企業(yè)應(yīng)該有怎樣的意識(shí)；在機(jī)制設(shè)置和業(yè)務(wù)流程上，怎樣做才能確保合規(guī)？

　　答：

　　2018年歐盟GDPR開(kāi)始生效以來(lái)，加強(qiáng)個(gè)人信息保護(hù)的呼聲越來(lái)越高。我國(guó)除國(guó)家層面已發(fā)布的法律法規(guī)、標(biāo)準(zhǔn)規(guī)范，多個(gè)行業(yè)部門(mén)也提出了適用于本行業(yè)要求。過(guò)去，在信息技術(shù)飛速發(fā)展的過(guò)程中，個(gè)人信息監(jiān)管始終處于空白狀態(tài)，如今國(guó)家對(duì)個(gè)人信息監(jiān)管日漸加強(qiáng)，企業(yè)難免會(huì)有不適應(yīng)感，這是一個(gè)必經(jīng)的過(guò)程。在數(shù)字經(jīng)濟(jì)時(shí)代，大數(shù)據(jù)是資源、能源的觀點(diǎn)越來(lái)越被更多人認(rèn)可，究其原因，企業(yè)通過(guò)算法將數(shù)據(jù)資源充分挖掘，釋放了其巨大的生產(chǎn)能力。但同時(shí)，企業(yè)應(yīng)該意識(shí)到，數(shù)據(jù)的開(kāi)發(fā)利用不僅帶來(lái)了利潤(rùn)，同時(shí)帶來(lái)了“大數(shù)據(jù)殺熟”“信息繭房”等用戶反映強(qiáng)烈，甚至影響國(guó)家安全的問(wèn)題。在發(fā)展與安全之間找到平衡之道，是現(xiàn)在互聯(lián)網(wǎng)信息服務(wù)行業(yè)首要且必須嚴(yán)肅思考的問(wèn)題。為了獲取高額利益而瘋狂榨取用戶個(gè)人信息價(jià)值，甚至侵犯隱私，最終一定會(huì)帶給產(chǎn)品和用戶重度傷害；對(duì)個(gè)人信息的保護(hù)不僅不會(huì)為業(yè)務(wù)增長(zhǎng)帶來(lái)困擾，還會(huì)成為用戶評(píng)價(jià)服務(wù)優(yōu)劣的重要參數(shù)。廣大企業(yè)只有深切認(rèn)識(shí)并認(rèn)同上述理念，個(gè)人信息保護(hù)之路才會(huì)走得好，業(yè)務(wù)發(fā)展才走得遠(yuǎn)。

　　個(gè)人信息保護(hù)與傳統(tǒng)網(wǎng)絡(luò)安全有所不同，它是跨專業(yè)的一門(mén)學(xué)科。要做到合規(guī)，企業(yè)既需法律背景的法務(wù)人員，還需要了解業(yè)務(wù)的安全人員，要找到一條適合企業(yè)個(gè)人信息保護(hù)的最佳實(shí)踐之路關(guān)鍵是二者要充分溝通、合作。而現(xiàn)在大部分企業(yè)中，法律、安全、業(yè)務(wù)分屬于不同部門(mén)，企業(yè)應(yīng)著力讓個(gè)人信息工作鏈上所有的員工深刻意識(shí)到這項(xiàng)工作的互補(bǔ)性和依賴性，打通部門(mén)之間的壁壘，搭建溝通交流渠道，建立效果評(píng)價(jià)機(jī)制，設(shè)置專門(mén)保障崗位，通力合作架構(gòu)內(nèi)部個(gè)人信息合規(guī)體系。

　　具體來(lái)說(shuō)，一是要重視法律法規(guī)和標(biāo)準(zhǔn)規(guī)范要求。法律法規(guī)的要求是個(gè)人信息收集使用的基線，標(biāo)準(zhǔn)規(guī)范為個(gè)人信息保護(hù)指明了實(shí)踐的方向。App運(yùn)營(yíng)者可積極探索落實(shí)法律法規(guī)要求與企業(yè)產(chǎn)品實(shí)現(xiàn)相結(jié)合的最佳實(shí)踐。

　　二是關(guān)注監(jiān)管重點(diǎn)和媒體熱議問(wèn)題。監(jiān)管部門(mén)重點(diǎn)關(guān)注、媒體熱議問(wèn)題通常也是網(wǎng)民關(guān)心和與網(wǎng)民利益關(guān)系密切的問(wèn)題，App運(yùn)營(yíng)者應(yīng)掌握監(jiān)管動(dòng)向，了解監(jiān)管真實(shí)意圖，有的放矢、實(shí)質(zhì)性地推進(jìn)企業(yè)收集使用個(gè)人信息的合規(guī)化。

　　三是加強(qiáng)宣傳教育和制度建設(shè)工作。App運(yùn)營(yíng)者需明確組織內(nèi)部個(gè)人信息保護(hù)職責(zé)和崗位，加強(qiáng)宣傳交流，強(qiáng)化合規(guī)意識(shí)，規(guī)范企業(yè)個(gè)人信息收集使用流程，建立企業(yè)內(nèi)部的個(gè)人信息保護(hù)機(jī)制，從產(chǎn)品設(shè)計(jì)、流程開(kāi)發(fā)各環(huán)節(jié)貫徹個(gè)人信息保護(hù)的要求，形成能促進(jìn)產(chǎn)品和服務(wù)不斷優(yōu)化、提升的長(zhǎng)效和良性機(jī)制。

　　四是布局和推進(jìn)與業(yè)務(wù)相結(jié)合的隱私計(jì)算。App運(yùn)營(yíng)者應(yīng)大力研究隱私計(jì)算技術(shù)，不斷引入新的業(yè)務(wù)場(chǎng)景、新的法規(guī)要求，以達(dá)成隱私數(shù)據(jù)“可用不可見(jiàn)”等，既實(shí)現(xiàn)業(yè)務(wù)目標(biāo)，又能更好保障用戶個(gè)人信息。