App收集信息频繁征求用户同意不得进入应用商店

蓝天二号

昨日，为响应《中华人民共和国个人信息保护法》的各项要求，中国网络空间安全协会和国家计算机网络应急技术处理协调中心起草了团体标准《应用商店App个人信息收集使用上架审核和管理规范（征求意见稿）》和《移动智能终端个人信息保护指南(征求意见稿)》。

其中，在应用商店App个人信息收集使用方面，征求意见稿明确，存在收集的个人信息超出实现功能的最小必要范围、在用户拒绝收集非必要个人信息后，频繁征求用户同意、以捆绑多项功能、捆绑必要与非必要个人信息等方式，诱导、强迫用户一次性授权同意个人信息处理规则等行为，平台运营者应当拒绝移动应用程序进入本平台。

平台运营者在受理移动应用程序进入平台的申请时，应当要求开发者至少提交并核实以下信息:

a） 移动应用程序的名称、包名、版本号、更新日期、基本功能服务等基本信息;

b） 移动应用程序开发者的姓名或者名称、个人信息保护负责人或者机构的联系方式;

c） 用户隐私协议全文文本，涉及为儿童提供服务的，还宜提交单独的儿童个人信息保护协议;

d） 开发者未提供上述信息或者提供虚假信息的，平台运营者应当拒绝其移动应用程序上架。

隐私协议审核隐私协议有下列情形之一的，平台运营者应当拒绝移动应用程序进入本平台:

a） 未提示用户阅读隐私协议;

b） 以默认选择同意隐私协议的方式征求用户意见;

c） 未完整、详细、逐项列出收集的个人信息类别、说明收集的必要性、实现的服务或使用目的;

d） 未完整、详细、逐项说明申请权限所实现的服务或使用目的、用户能否拒绝授权、不可拒绝的理由;

e） 未完整、详细、逐项列出嵌入的 SDK 名称、包名、开发者名称、嵌入目的、收集的个人信息类型、使用的系统权限;

f）隐私协议中存在免除个人信息保护相关主要义务、排除用户主要个人信息权益等不合理情形。

申请和调用权限审核移动应用程序申请或者调用权限，有下列情形之一的，平台运营者应当拒绝移动应用程序进入本平台:

a） 在用户未使用任何功能时（如:App 启动过程中)申请或者调用权限;

b） 在用户使用功能过程中，申请或者调用与实现当前功能无关的权限;T/CSAC XXXXX—XXXX2

c） 因用户不同意打开非必要权限而拒绝提供服务;

d） 在用户拒绝打开非必要权限后，频繁征求用户同意，干扰用户正常使用;

e） 在申请权限时，未同步告知用户其目的，或者告知的目的与实际情况不符;

f） 仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等非功能性需求为由，强制要求用户打开权限。

个人信息处理行为审核移动应用程序收集使用个人信息，有下列情形之一的，平台运营者应当拒绝移动应用程序进入本平台:

a） 以捆绑多项功能、捆绑必要与非必要个人信息等方式，诱导、强迫用户一次性授权同意个人信息处理规则，例如进入 App 或注册登录时强制要求用户同意隐私协议全部条款;

b） 收集的个人信息超出实现功能的最小必要范围，包括收集个人信息的类型、频率、数量、方式、精度、场景等;

c） 因用户不同意收集非必要个人信息而拒绝提供服务;

d） 未经用户自主选择，默认开启非基本功能服务收集个人信息;

e） 在用户拒绝收集非必要个人信息后，频繁征求用户同意，干扰用户正常使用;

f） 在收集敏感个人信息时，未向用户同步告知其目的;

g） 仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等非功能性需求为由，强制要求用户同意收集个人信息;

h） 收集了个人信息但未提供声称的功能;

i）未向用户提供有效的查询、更正、删除以及撤回同意收集个人信息的途径;

j）具有定向推送信息功能的，未向用户提供关闭定向推送信息的选项;

k） 具有注册账号功能的，未提供有效的用户账号注销功能，或者为注销用户账号设置不必要或者不合理条件。