【引言】
近年來，App強制授權、過度索權、超范圍收集個人信息的現象越演愈烈。2019年以來，國家多部委重拳出擊，著重整治App違規違法收集個人信息亂象。截至目前，已有幾十款App遭到強制下架、上百款App被點名整改，App收集個人信息領域迎來了強監管元年。面對來勢洶洶的強監管高壓，App運營商該如何做好信息收集工作？哪些個人信息可以收集？哪些不行？其中有哪些風險點值得關注？接下來一段時間，本團隊將陸續推出App合規的系列文章，為App運營商合規收集個人信息提供方法和思路。
本篇是系列文章的第十篇：App運營商處理用戶信息的合規小結。本系列文章已寫至第十篇，在前九篇，筆者主要介紹了政府機構如何監管App運營商，并就何為個人信息，如何制定隱私政策，如何收集、使用、共享、轉讓個人信息以及用戶應享有的主體權利做了較為詳細的介紹。在本篇中，筆者將歸納總結App運營商處理用戶信息的合規要點，大致分為：如何認定個人信息，如何制定隱私政策以及制定隱私政策后如何貫徹執行。
01 如何認定個人信息
根據《App合規十講（二）：個人信息如何識別？》一文可知，我國對于個人信息的識別方法經歷了“直接識別”法到“直接識別+間接識別”法再到“識別+關聯”法的演變。“識別+關聯”法中的“識別”是指從信息到個人，即由信息本身的特殊性識別出特定自然人，個人信息應有助于識別出特定個人；識別+關聯”法中的“關聯”是指從個人到信息，即如已知特定自然人，則由該特定自然人在其活動中產生的信息 （如個人位置信息、個人通話記錄、個人瀏覽記錄等）即為個人信息。
筆者在撰寫《App合規十講（二）：個人信息如何識別？》一文時，《個人信息保護法（草案）》尚未出臺，2021年4月下旬，《個人信息保護法（草案）》二審征求意見稿出臺，筆者發現關于個人信息的識別方法并未發生變化，還是按照“識別+關聯”法進行判斷。
02 轉隱私政策的制定
根據《App合規十講（三）：如何制定合格的隱私政策？》一文可知，一份合格的隱私政策至少應符合獨立性、合理性、完整性和透明性要求。
獨立性是指隱私政策應該獨立成文。關于獨立性要求不合規的表現包括：App沒設置隱私政策；沒有單獨的隱私政策，只有隱私保密聲明；隱私政策存在于用戶協議當中等。
合理性是指App運營商設置隱私政策條款時，不應設置不公平條款，例如規定免除己方責任，加重對方義務的條款。
完整性是指App運營商設置隱私政策條款時，隱私政策的內容應包含APP運營商是“如何收集和使用個人信息”、“如何使用Cookie和同類技術”、“如何共享、轉讓、公開披露個人信息”、“如何保護用戶個人信息”、“如何保護用戶權利”、“如何處理兒童個人信息”、“如何在全球范圍轉移”等。
透明性是指App運營商設置隱私政策條款時，隱私政策無論是通過彈窗還是文本鏈接，位置應該較為突出明顯，無異物遮擋，內容透明，易于理解。
03 隱私政策的執行
在制定一份合格的隱私政策后，App運營商應嚴格貫徹落實其在隱私政策中的承諾事項。
App運營商在收集用戶信息時必須遵循合法、正當、必要三大原則，需要獲得用戶的同意，同時App運營商收集用戶信息應做好區分業務功能的技術支持。
App運營商在使用用戶信息時，要做好個人信息訪問的控制措施，建立內部審批流程。此外，APP運營商還須使得使用個人信息的目的與其在隱私政策中所公示的目的相符。
App運營商在共享用戶信息時，應事先征得主體授權同意，如果個人信息屬于敏感信息的，還應該事先征得主體的明示同意；共享時應準確記錄和保存個人信息的共享、轉讓情況等；應事先開展安全影響評估，并依評估結果采取有效措施。
App運營商在委托處理、轉讓、公開披露等環節處理個人信息時，App運營商應準確記錄和保存個人信息的委托處理、轉讓、公開披露的情況，事先開展個人信息安全影響評估，并依評估結果采取有效的保護用戶的措施；向用戶告知委托處理、轉讓、公開披露個人信息的目的、類型，并事先征得用戶的明示同意。
App運營商應賦予用戶處理個人信息的查詢權、更正權和刪除權/注銷權，例如App運營商應告知用戶其所持有的關于該用戶的個人信息或個人信息的類型，用戶個人信息的來源、所將使用的功能用途是什么，出于何種目的；已經獲得前述個人信息的第三方身份或類型。在用戶不再使用App運營商提供的服務，App運營商應主動注銷該用戶的個人信息。
