移动互联网app开发(移动互联网app开发入门)

互联网金融 来源：互联网

Mark wiens

发布时间：2022-08-01

8月8日，国家市场监督管理总局和中国国家标准化管理委员会发布了《信息安全技术 移动互联网应用（APP）收集个人信息基本规范（草案）》（以下简称《信息收集规范》），针对APP收集个人信息方面提出了更加细化的要求，同时对全国信息安全标准化技术委员会于2019年6月1日发布的《网络安全实践指南——移动互联网应用基本业务功能必要信息规范》（以下简称《基本业务功能规范》）进行了完善，增加了5个行业领域的常用服务类型的最少信息。

该规范主要有以下四点主要变化，其次笔者就规范内容逐条进行解读。

1

01

发布单位的变化

从《信息安全技术 个人信息安全规范》（以下简称《信息安全规范》）、《信息安全技术 数据出境安全评估指南》、《信息安全技术 个人信息安全影响评估指南》等相关规范来看，发布单位都是中华人民共和国国家质量监督检验检疫总局和中国国家标准化管理委员会，但是本次《信息收集规范》的发布单位是国家市场监督管理总局和中国国家标准化管理委员会。中华人民共和国国家质量监督检验检疫总局变化为国家市场监督管理总局。

1

02

适用范围的不同

《信息安全规范》适用于规范各类组织个人信息处理活动，也适用于主管监管部门、第三方评估机构等组织对个人信息处理活动进行监督、管理和评估。《信息收集规范》适用于移动互联网应用的开发和运营，也可用于移动互联网应用的技术评估、监督检查。

可见，《信息收集规范》的适用范围窄于信息安全规范，仅规范移动互联网应用相关领域。根据《信息收集规范》中移动互联网应用是指安装、运行在移动智能终端上的应用程序，简称APP可知，《信息收集规范》的适用范围仅限于APP的开发者、所有者、管理者、负有技术评估和监督检查的第三方机构以及监管部门。

1

03

APP收集个人信息基本要求的细化

《信息收集规范》对APP收集个人信息的基本要求做了区分，分别是管理要求和技术要求。管理要求通过应、不得侧重于APP在收集个人信息时的规范要求；技术要求则通过应侧重于APP在收集个人信息时的具体行为要求。该规范与《信息安全规范》、2019年6月30日公布的《信息安全技术 个人信息安全规范（征求意见稿）》（以下简称《新版信息安全规范》）、《互联网个人信息安全保护指南》（以下简称《安全保护指南》）、《数据安全管理办法（征求意见稿）》（以下简称《数据安全管理办法》）、《APP违法违规收集使用个人信息自评估指南》（以下简称《自评估指南》）等文件相比，在个人信息收集部分提出了更加细化的要求。

1

04

常用服务类型最少信息的变化

首先，从细分服务类型来看，该部分内容与《基本业务功能规范》相比，增加了5个行业领域的常用服务类型的最少信息，分别是：运动健身、问诊挂号、浏览器、输入法和安全管理。此外，部分领域的名称也有变化，在《基本业务功能规范》中的即时通讯社交变为《信息收集规范》中的即时通讯，社区社交变为了博客论坛，房产交易变为房屋租售，汽车交易变为二手车交易。对于前三个领域其业务功能并无实质性变化，而后两个领域的变化明显缩小了适用范围，究其原因是为了更贴近实际App的使用情况。

其次，《基本业务功能规范》中的第五部分通用功能相关必要信息在《信息收集规范》中并无体现，而后者在附录B中列出了服务类型最小权限范围列表，主要是针对Android 6.0及以上的危险权限，给出了二十一类服务类型的最小权限范围，二十一类服务类型中，无一类服务需要申请通讯录、照相机、麦克风等权限。

第三，从《信息收集规范》附录A中各类收集信息所列内容来看，除了在《基本业务功能规范》列表中常见的使用要求说明以外，《信息收集规范》中的列表增加了法律法规要求的个人信息一栏，并在相应信息后列出了有此要求的法律规定名称，从实务操作角度为该标准的使用者提供了更好的依据参考以及检索便利。

从具体服务类型要求的最少信息规定表格内容来看，有以下四点值得注意：

首先，依照《网络安全法》和《移动互联网应用程序信息服务管理规定》，所有服务类型均增加可收集网络日志信息；除快递配送外的所有服务类型均增加了可收集手机号码信息，对公众账号信息发布服务使用者增加收集身份证件号码。

其次，删减了一部分基本功能可收集信息，在《基本业务功能规范》中地图导航功能的行踪轨迹，即时通讯社交功能的好友信息，新闻资讯功能中的关注的账号，短视频功能的关注的账号，婚恋相亲功能的身高、学历、收入状况。此类删减的信息主要为用户画像或个性化展示所需，此处传递出一个信号，即涉及到此类可能精准描述用户的信息需另外经过用户授权同意方可进行收集。

再次，《信息收集规范》中为保持与有关法律要求相一致，对交易信息仅做了概念性的列出，在金融借贷功能中虽无法律要求，但也只列出了借贷交易记录，另外，房屋租售功能下也仅列出业主房产信息，前述信息具体包含哪些细化内容则没有进一步展示。因此对运营者来说，这类信息收集的细化程度仍具有一定的自主决定权。

最后，所有涉及到第三方支付的信息均只有第三方支付方式被规定为服务类型所需的最少信息。相较于《基本业务功能规范》，《信息收集规范》中缺少了支付状态。虽然从一定程度上划分了App运营者与第三方支付运营者之间的权限，但是若此类信息在App上进行记录及向用户对付款状态作出提示也需要用户额外进行授权，是否会因此对客户体验造成影响仍然值得商榷。

1

除了上述变化外，笔者就规范的内容进行如下逐条解读：

1

1、管理要求

a) App运营者应履行个人信息保护义务，采取必要安全措施，保障用户个人信息安全。

从上述文件可知，本条的安全措施 可以理解为管理措施和技术措施等，具体包含身份鉴别、数据加密、访问控制、恶意代码防范、安全审计等措施。

b)当用户同意App收集某服务类型的最少信息时，App不得因用户拒绝提供最少信息之外的个人信息而拒绝提供该类型服务。

注:附录 A 列举了 App 常见的服务类型以及服务类型对应的最少信息。

尽管上述文件中都提到了应收集核心业务功能所对应的最少信息，但是何为最少并没有予以明确，实践中，各家App还是按照自己判断的最少标准收集个人信息。《基本业务功能规范》曾对十六个行业的App所应收集的必要信息进行具体的描述，但是该文件位阶较低，仅具有指引作用，不能成为行政约束的参考文件，该文件公布后，也没有在市场中引起特别大的回声。

本次《信息收集规范》对二十一个行业的App收集服务类型的最少信息进行明确，同时限制了该等最少信息所对应的使用目的。该规范作为国家标准，其位阶高于《基本业务功能规范》，可以成为行政约束的参考性文件。

实践中，对于一些具有垄断地位的App，在个人信息主体没有其他交易选择的情况下，只能授权该App收集非必要个人信息。可以预测，该规范落地后，对于APP收集非必要个人信息的行为必然具有警示和约束作用。

但是，也会存在一个疑问，该规范附录A中的二十一个领域的最少信息是合理的吗？如果实践中依据该规范对企业进行约束，是否会造成企业运营上的障碍？据笔者了解，即使同一行业中，由于运营者的差异，所需要收集的必要信息也有差异。比如在金融借贷类App中，不同企业的反欺诈措施不同，风控手段不同，所需要收集的必要个人信息亦不同，仅仅通过中国人民银行个人信用报告以及第三方个人信用评分，并不能有效支持企业做出授信决策。

笔者认为，收集最少信息起码应该是整个行业平均水平的企业所能够做到的，仅仅行业头部或者少数企业做到，可能会限制行业的发展；另外，对于每个行业中新萌芽的创新力量，严苛的最少信息收集可能会限制企业产品或服务的改善、更迭、获客、推广等，反而易造成行业垄断，头部企业由于已经收集了大量的个人信息，强者恒强，导致新生力量的发展门槛变高。

最少信息的收集是否会依据《信息收集规范》中的附录A或者作为重要的参考依据，仍需拭目以待，但是不可否认的是，该附录将成为企业收集个人信息范围的重要指导内容。

1

c) App不得收集与所提供的服务无关的个人信息。

本条在《自评估指南》评估项7-27中以及《APP违法违规收集使用个人信息行为认定方法（征求意见稿）》（以下简称《认定方法》）第四条中均有提到，在此不赘述。

实践中，大多数App都有收集与所提供的服务无关的个人信息的情形，而该等收集授权也仅仅是在隐私政策中通过诸如公司可能会收集和使用您的相关信息，您一旦选择使用XX软件及相关服务，即意味着同意公司按照本隐私政策收集、使用(含商业合作使用)、储存您的相关信息等表述一揽子获得。

本条款再一次强调App不得收集与所提供的服务无关的个人信息，根据《信息收集规范》的上下文，意即，超出附录A最少信息以外的其他个人信息都不应收集，如需收集，App应证明该等信息与其提供服务的相关性。

d)对外共享、转让个人信息前，App应事先征得用户明示同意。当用户不同意, 则不得对外共享、转让用户个人信息。

根据《信息安全规范》8.2 b）向个人信息主体告知共享、转让个人信息的目的、数据接收方的类型，并事先征得个人信息主体的授权同意。

本条款将授权同意进一步细化为明示同意，提高了同意的授权标准，与收集个人敏感信息划归为一类。根据《信息安全规范》，明示同意指个人信息主体通过书面主动声明或自主作出肯定性动作，对其个人信息进行特定处理作出明确授权的行为。（肯定性动作包括个人信息主体主动作出声明（电子或纸质形式）、主动勾选、主动点击同意、 注册、发送、拨打等）。

同时，本条款将之前文件中的应事先征得个人信息主体的授权同意强化为用户不同意，不得对外共享、转让用户个人信息，从应到不得，可见规范度在进一步加强。

e) App不得收集不可变更的设备唯一标识(如IMEI号、MAC地址等)，用于保障网络安全或运营安全的除外。

根据《信息安全规范》附录A，设备唯一标识(如IMEI号、MAC地址等)属于个人信息，但是不包含在附录B个人敏感信息中。本条款强调不得收集，可见设备唯一标识也是重要个人信息之一。

据笔者了解，设备唯一标识并不是App保障网络安全和运营安全的必要收集信息，相当App收集设备唯一标识的目的是用于广告分析、定向推送或间接获得其他个人信息。比如MAC地址与IP地址结合，可以获得手机移动轨迹；App与广告公司合作，可以基于设备唯一标识追踪获得个人信息主体的其他信息。但是在一些App中，确实需要通过收集设备唯一标识保障安全，比如金融交易类App，在发生用户交易纠纷的时候，需要明确什么账号，在什么时间，通过什么设备，什么IP，提交的交易请求。

如果该条款落地，企业需要对其是否收集设备唯一标识进行评估，其所提供的理由能否达到保障网络安全或运营安全这个除外标准。

f)用户明确拒绝使用某服务类型后，App不得频繁(如每48小时超过一次)征求用户同意使用该类型服务，并保证其他服务类型正常使用。

从上述文件中可以看出，对于限制频繁征求用户授权同意包括两个场景，第一个场景是使用、关闭或退出特定业务功能场景，第二个是收集个人信息场景。本条款指的是第一种场景，即，拒绝使用某服务类型后，App不得频繁征求用户同意。

本条通过示例的方式对频繁进行界定，但是48小时也仅仅是示例，到底是参照48小时即可，亦或不能少于48小时，还是说App向用户明示本平台的频繁程度即可，不得而知。另外需要说明的是，此处的48小时与《新版信息安全规范》附录C中的24小时并不冲突，因为两者讲的并不是一个场景的情形。

g) App应对其使用的第三方代码、插件的个人信息收集行为负责。第三方代码、插件收集个人信息视同App收集，App应防止第三方代码、插件收集无关的个人信息。注:如第三方代码、插件自行向用户明示其收集、使用个人信息的目的、方式、范围，并征得用户同意，则第三方代码、插件独立对其个人信息收集行为承担责任。

本条中的第三方代码、插件有两种性质，第一种不在App上露出，不单独向用户获得授权，用户难以感知，根据《信息安全规范》8.6条的注释部分，该类第三方代码、插件与App属于共同个人信息控制者，用户无从约束该类第三方代码、插件，只能通过约束App来间接实现对该类第三方代码、插件的约束，当然，相应的责任也应该由App来承担。

比如，2017年8月，第三方广告SDK个信因被发现内置后门，在未经用户允许的情况下收集用户隐私数据，获取用户设备已安装App的列表信息，导致嵌入该SDK的500多款App被Google Play下架。

第二种会与用户进行交互，单独向用户获得授权，根据《新版信息安全规范》8.7条，该类第三方代码、插件属于接入第三方，App可以通过事前评估、记录、协议约定、审计等措施来约束该类第三方代码、插件，但《新版信息安全规范》并没有明确App是否对接入第三方的行为承担责任以及承担怎样的责任。

那么问题来了，根据《数据安全管理办法》第三十条：网络运营者对接入其平台的第三方应用，应明确数据安全要求和责任，督促监督第三方应用运营者加强数据安全管理。第三方应用发生数据安全事件对用户造成损失的，网络运营者应当承担部分或全部责任，除非网络运营者能够证明无过错。该条款中的第三方应用指的是什么？是对应《信息安全规范》中共同个人信息控制者中的第三方还是《新版信息安全规范》中的接入第三方，亦或两者兼具？

第三方应用是由第三方运营且可以在App上实现单独的功能，如果对应共同个人信息控制者中的第三方，显然不露出的代码、插件等并不能实现单独的功能，仅仅是辅助角色。所以第三方应用更有可能对应《新版信息安全规范》中的接入第三方。根据上文，App对第三方应用承担无过错推定责任，而本条中，对于单独露出的第三方代码、插件，App不承担责任。

如前所述，单独露出的第三方代码、插件属于接入第三方，对应《数据安全管理办法》中的第三方应用，在App的责任承担上存在两个文件上的差异。从文件的层级效力来看，《数据安全管理办法》显然高于《信息收集规范》，是否可以理解为，对于单独获得用户授权的第三方，仍旧应按照无过错推定责任来约束App。鉴于这两份文件目前都属于征求意见稿，后续还需等待进一步的明确。

未

完

待

续

免责声明：本站所有信息均搜集自互联网，并不代表本站观点，本站不对其真实合法性负责。如有信息侵犯了您的权益，请告知，本站将立刻处理。联系QQ：1640731186