给App信息收集圈出合理范围

工业和信息化部日前在官网发布《关于侵害用户权益行为的App通报（2021年第3批，总第12批）》。从2019年11月启动开展App侵害用户权益专项整治工作至今，工信部已经通报12批问题App名单，约800款。据统计，这些App最大的问题，是超范围收集用户个人信息，占所涉问题总量的一半以上。

3月15日，中国消费者协会发布2020年消费安全热点问题，“个人信息泄露”位列最受消费者关注的四大热点之一。对此，工信部相关负责人表示，目前正起草《移动互联网应用程序个人信息保护管理暂行规定》（以下简称《暂行规定》），该规定出台，将进一步强化消费者个人信息保护。

手机App超范围收集用户个人信息问题已被吐槽多年，相关监管部门不断加强监管，但问题依然存在，顽疾难除。之所以如此，答案并不难找：用户信息具有很高的商业价值。

事实上，用户信息被用于商业广告开发，这已是公开的秘密。业内人士指出，App开发商在收集到用户信息后，一般会先进行脱敏处理，再对用户进行“画像”，并打上标签，比如“男、33岁、上海高级职员、爱运动”，广告商根据这些标签来精准推送广告。在被工信部点名的App中，就有多款在隐私协议中写明了收集信息的用途：分析产品使用情况、实现广告推广与统计共享、帮助用户参加营销推广活动等。

用户信息的价值不止于此。专家表示，个人信息属于数据资产，互联网企业依靠这些数据资产，结合所需算法，可以很大程度上支撑产品研发和运营。个人信息种类越多、数量越大，给企业带来直接或间接收益也就越大。在所有数据中，指向用户个人身份的信息数据最具价值。例如，企业若获得读取用户通讯录的权限，就可以通过通讯录好友的关联关系，推送一些营销短信以增加用户量。所以，很多企业会通过多种渠道收集大量不同种类的个人信息，甚至出现超范围违规收集信息的“过度索权”现象。

企业收集个人信息后，在存储、使用、流转等过程中，如果对个人信息的管理措施和技术保护手段不足，可能会造成数据泄漏，出现信息安全风险。这正是人们吐槽手机App超范围收集用户个人信息的根本原因。关于个人信息泄露可能存在的风险，有人总结了10条：垃圾短信源源不断、骚扰电话接二连三、不明邮件铺天盖地、冒名办卡透支欠款、案件事故从天而降、不法公司前来诈骗、冒充公安要求转账、坑蒙拐骗乘虚而入、账户钱款不翼而飞、个人名誉无端受毁。

当然，企业收集用户信息存在风险，有可能给用户带来诸多麻烦，但这并不意味着用户要将个人信息对企业开放的大门完全关闭。从市场逻辑上讲，互联网企业需要用户信息，若无这些信息，企业就无法开发适合用户使用的App及其他程序。过于强调用户个人信息权和隐私权，必会压抑企业开发大数据的积极性和创造性。显然，企业的大数据与用户的隐私权当并行不悖。在这种情况下，找一个合适的“度”就显得非常重要了。用户个人信息让渡有“度”，企业索取信息更要有“度”。对于企业而言，“度”的标准，就是《暂行规定》中明确的“知情同意”和“最小必要”两项个人信息保护基本原则。

没有规矩，不成方圆。互联网领域也需要立规矩。围绕个人信息安全，大的制度体系和监管框架已经在搭建了。《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》《App违法违规收集使用个人信息行为认定方法》以及将要出台的《暂行规定》等，已经进行了制度设计和安排。我们期望这些法规制度能够真正发挥作用，给企业收集用户个人信息行为划出明确的底线，为用户个人信息保护建起安全屏障。