APP系統權限申請的法律風險與應對

摘要：大數據時代，APP違法違規收集使用個人信息的現象頻繁出現。APP系統權限申請侵犯用戶個人信息的問題主要是：未明示收集使用個人信息的目的、方式和范圍，未經用戶同意收集使用個人信息，收集與其提供的服務無關的個人信息。個人信息具有人格權益和經濟價值，因此，隨著個人信息入法，APP超越系統權限處理個人信息會涉及合同條款無效、侵權責任和刑事三類法律風險。對此，應完善以個人信息權為核心的法律體系，提高用戶保護個人信息的意識。APP運營商要在遵循知情同意原則和必要原則的基礎上改進服務內容，以規避法律風險。

關鍵詞：APP系統權限申請;個人信息;法律風險

中圖分類號：TP309;D923.8 文獻標識碼：A 文章編號：2095-6916（2021）07-0066-04

APP（Application，手機軟件）主要是指安裝在智能手機上的軟件，用于完善原始系統的不足與個性化，為用戶提供更豐富的使用體驗。隨著智能手機的普及，人們在溝通、社交、娛樂等活動中越來越依賴于APP系統，但APP違法違規收集使用個人信息的問題愈演愈烈，受到社會公眾的關注，本文現就APP系統權限申請的法律風險與應對作一探討。

一、APP違法違規收集使用個人信息有關情況

2019年11月4日，工業和信息化部信息通信管理局組織召開APP侵害用戶權益行為專項整治工作啟動部署會，重點對違規收集用戶個人信息、違規使用用戶個人信息、不合理索取用戶權限、為用戶賬戶注銷設置障礙四個方面的8類問題開展規范整治工作。2020年7月，中央網信辦、工業和信息化部、公安部、國家市場監管總局在京啟動APP違法違規收集使用個人信息治理工作。在去年的基礎上，本次治理將敏感權限濫用問題納入重點工作。在11月發布的《關于35款APP存在個人信息收集使用問題的通告》中，有關APP系統權限申請的問題大量出現。

（一）基本數量與類型分析

在本次公布的35款APP中，包括政府辦公、城市服務、通信社交、營銷服務、交通出行、輔助工具、視頻播放、拍攝美化、在線教育、動漫創作、校園服務、購物消費、金融理財共15類APP，其中共25款APP存在權限申請問題，占比高達71%。其中牽涉APP系統權限申請的數量與類型眾多，違規重復次數最多的是在線教育、輔助工具、金融理財、動漫創作、校園服務、通信社交、城市服務、政務辦公共八大類APP。

（二）三類行為的法律分析

一是未明示收集使用個人信息的目的、方式和范圍。在通告中，有25款存在權限申請問題，18款輔助工具、金融理財和城市服務類APP在申請打開可收集個人信息的位置、存儲、麥克風、相機、通信錄等的權限時，未同步告知用戶其目的。根據《APP違法違規收集使用個人信息行為認定方法》（下稱《認定辦法》）可知，“在申請打開可收集個人信息的權限時，未同步告知用戶其目的，或者目的不明確、難以理解”可被認定為“未明示收集使用個人信息的目的、方式和范圍”。

知情同意是指個人信息的收集或利用者應明確告知信息主體相關情況并征得其同意。向用戶明示收集使用個人信息的相關情況是確保信息主體知情同意的前提，只有讓信息主體充分知悉和了解處理個人信息的目的、方式和范圍，了解個人信息被收集、處理的后果和影響，才能確保信息主體的意思判斷是自主、真實和合理的。《網絡安全法》第四十一條規定，網絡運營者處理個人信息，應明示處理信息的目的、方式和范圍。《消費者權益保護法》第二十九條規定，經營者處理消費者個人信息時，應明示收集、使用信息的目的、方式和范圍。《民法典》第一千零三十五條規定，處理個人信息要明示處理信息的目的、方式和范圍。《個人信息保護法（草案）》第十八條規定，個人信息處理者在處理個人信息前，應以顯著方式、清晰易懂的語言向個人告知個人信息的處理目的、處理方式。因此，APP運營商要公開處理個人信息的規則，進行權限申請時要同步告知用戶其目的、方式和范圍。

二是未經用戶同意收集使用個人信息。在存在權限申請問題的25款APP中，共有10款金融理財APP在用戶明確表示不同意打開位置、存儲、短信等權限后，仍頻繁征求用戶同意，干擾用戶正常使用;共有3款APP在用戶明確表示不同意收集該權限對應的個人信息后，仍通過其他途徑收集該個人信息;有1款APP實際收集使用個人信息行為與隱私政策聲明不一致，超出用戶授權范圍。根據《認定方法》，以上三種都被認定為“未經用戶同意收集使用個人信息”。

知情同意是合法處理個人信息的合法性前提，以此充分體現信息主體在個人信息處理中的主導地位，可以有效保障用戶對自身個人信息的控制。然而，在上述行為的操作下，用戶無法有效行使個人信息控制權，使用戶的知情同意權形同虛設。《網絡安全法》第四十一條規定，網絡運營者處理個人信息時，應經被收集者同意且不得違反相關法律法規或約定收集使用個人信息。《消費者權益保護法》第二十九條規定，經營者處理消費者個人信息時應經消費者本人同意，未經其同意或明確表示拒絕的，不能向其發送商業性信息。《民法典》第一千零三十五條規定，處理個人信息的，應征得該自然人同意。《個人信息保護法（草案）》第十四條規定，處理個人信息的同意，應當由個人在充分知情的前提下，自愿、明確作出意思表示。

“未明示收集使用個人信息的目的、方式和范圍”強調知情，而“未經用戶同意收集使用個人信息”則側重于同意。根據相關法律法規可知，我國承認并保護個人信息主體的知情同意權，網絡運營者經過個人信息主體同意之后才能收集、處理有關信息。這也充分體現了信息主體的“法益自決權”，即用戶能夠自主決定同意他人對本人信息進行收集、處理及利用的權利，其核心內容就是知情同意權。“同意”意味著將個人信息轉交給了APP運營商，同時運營商要承擔保護個人信息的義務。

上述10款APP在用戶不同意打開系統權限后仍頻繁征求用戶同意，即強制捆綁授權，架空了個人信息主體的知情同意權;3款APP在用戶明確拒絕收集該權限所對應的個人信息后仍通過其他途徑收集，使撤銷同意形同虛設，無法保障用戶“同意”的有效性和真實性;1款APP超出用戶對權限的授權范圍收集個人信息，不尊重用戶的真實意志。

三是違反必要原則。必要原則是指在可以使用也可以不使用個人信息時，應盡量不使用;在必須使用并征得權利人同意時，要盡量少使用;獲取的信息量，以滿足使用目的為必要;只需使用非私密個人信息就能達到目的的，就不應該擴大信息收集和使用的范圍。《網絡安全法》第四十一條規定，網絡運營方不得收集與其提供的服務無關的個人信息。《消費者權益保護法》第二十九條規定，經營者處理用戶個人信息，應遵循必要原則。《個人信息保護法（草案）》第六條原則性規定了處理個人信息要限于目標的最小范圍，不得處理無關的信息，第十七條規定信息處理者不得因個人不同意處理其個人信息或撤回同意，拒絕提供服務。

目前，在25款存在權限申請問題的APP中，共有10款APP因用戶不同意打開非必要的位置、存儲、相機等權限，拒絕提供一項業務功能，如藍牙連接電子秤業務功能或所有業務功能;有1款金融理財APP申請打開的位置、存儲權限與現有業務功能無關。根據《認定方法》，可被認定為“違反必要原則，收集與其提供的服務無關的個人信息”。

因此APP運營商在收集個人信息時，應當僅收集其提供服務所必須的信息，否則會構成過度索權。APP運營商不得因用戶拒絕開啟獲取必要信息之外的其他信息權限后，拒絕提供該項或所有服務。收集信息只有符合必要原則，用戶的知情同意才會變得有意義。

二、APP違法違規收集使用個人信息的法律風險

（一）合同條款無效的法律風險

APP的用戶隱私政策實際是一種法律文件，根據《民法典》合同編的相關規定，隱私政策可視作APP運營商向用戶發出的要約，而用戶的同意可視為對該要約的承諾，在APP運營商與用戶之間形成一種合同關系。由于隱私政策由APP運營商制定，用戶沒有協商或修改隱私政策條款的權利，只有在選擇同意后才能享受APP提供的服務，因此隱私政策是一種格式合同。

根據《民法典》第四百九十六條的規定，若訂立合同采用格式條款的，提供格式條款的一方應當遵循公平原則確定雙方之間的權利義務，并提示對方注意免除或減輕其責任等與對方有重大利害關系的條款。因此，用戶可以根據該條規定要求APP運營商遵循公平原則確定權利義務，以及對和用戶個人信息安全等有著重大利害關系的問題進行提示，本質仍基于信息主體的知情同意權。如果APP運營商在隱私政策中未以合理方式告知用戶收集權限所對應個人信息的目的、方式和范圍等信息，或濫用權限、超出權限范圍收集非必要的個人信息，用戶可根據《民法典》第四百九十七條“提供格式條款一方不合理地免除或者減輕其責任、加重對方責任、限制對方主要權利的，該格式條款無效”主張APP運營商隱私政策中的某些條款無效。

比如在某食品公司與侯某網絡購物合同糾紛一案中，法院認為在實際生活中，消費者對于用戶隱私政策大多不會認真閱讀而是直接點擊同意，該食品公司隱私政策頁數眾多，爭議條款夾雜其中且處于末頁，未置于突出位置，未采取合理方式予以提醒，因此法院認定該隱私政策中的爭議條款無效。

（二）侵權法律風險

《民法典》第一千零三十四條第二款規定，個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、身份證號、生物識別信息、電話號碼等。個人信息具備兩個核心要件，一是可識別性，二是有一定的載體。

當APP運營商在申請權限過程中侵害個人信息中的私密信息時，構成侵害隱私權，適用《民法典》關于隱私權的規定承擔侵權責任。依據《民法典》第一千一百六十五條第一款，運營商因過錯侵害了他人的隱私權并造成損害的，應承擔侵權責任。隱私權中沒有規定，則適用有關個人信息保護的規定。《民法典》第一千一百六十四條是調整因侵害民事權益產生的民事關系的。當APP系統權限申請侵害個人信息權益時，用戶可根據該條尋求保護。我國《民法典》雖然沒有直接規定APP運營商的侵權責任，但第一千一百九十四條規定了網絡環境下對用戶的侵權責任，若提供網絡服務者利用網絡侵害了他人民事權益，應承擔侵權責任。因此，APP運營商作為網絡服務提供者在申請用戶開啟系統權限的過程中，如果沒有履行保障用戶信息安全的義務，造成個人信息泄露、毀損等損害結果，且二者之間存在因果關系，則存在承擔侵權責任的法律風險。

關于損害賠償的確定，侵害個人信息多帶來的是財產損失，比如把過度索權獲得的個人信息用于電信詐騙，這種情況下受害用戶證明自己的損害相對較易。而侵害個人信息給人身權益造成的損害，則較難證明。根據《審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題規定》，提供網絡服務者侵害他人人身權益，造成財產損失或者嚴重精神損害，被侵權人依據《民法典》第一千一百八十二條和第一千一百八十三條的規定，請求其承擔賠償責任的，人民法院應予以支持。如果受害者無法證明自己遭受了嚴重精神損害，則無法請求精神損害賠償。

例如，在凌某訴某科技公司隱私權、個人信息權益網絡侵權責任糾紛一案中，原告在手機通信錄只有本人的情況下使用手機號碼注冊登錄某APP，發現大量好友被推薦為“可能認識的人”，認為被告在原告沒有授權的情況下，非法窺探和使用原告的隱私和個人信息。法院認為自然人的姓名與其使用的手機號碼具有可識別性，屬于個人信息。但被告于原告注冊前收集、存儲原告姓名和手機號碼并使用的行為并未征得原告同意，且在原告未注冊時，其沒有在該APP中建立社交關系的可能。被告從其他用戶手機通訊錄收集到原告的姓名和手機號碼后，應當及時刪除該信息。但直至凌某起訴時，該信息仍然存儲于APP的后臺系統中，超出了必要限度，最終法院認定該APP運營商構成對原告個人信息權益的侵害，由于姓名和手機號碼在日常生活中通常會告知他人，因此并不屬于私密信息，不存在侵害原告隱私權的行為。

對于該案損害賠償的確定，根據《民法典》第一千一百八十二條的規定，侵害他人人身權益造成財產損失的，按照被侵權人受到的損失或者侵權人因此獲得的利益賠償;若難以確定，雙方就賠償數額協商不一致而向法院提起訴訟的，由法院根據實際情況確定賠償數額。在大數據時代，采集個人信息對APP運營商來說有巨大的經濟利益，被告在未征得原告同意的情況下采集原告的個人信息并加以利用，必然會獲得經濟利益，因此應當進行一定的經濟賠償，法院酌定賠償數額為1000元。由于并未造成原告凌某某嚴重的精神損害，故不支持原告精神損害撫慰金的訴訟請求。

（三）刑事法律風險

如果之前非法處理個人信息僅需承擔民事責任，那么在《刑法修正案（九）》出臺之后就可能涉嫌侵犯公民個人信息罪，承擔刑事責任。依據《刑法》第二百五十三條第一款，違反相關規定，向他人出售或者提供公民個人信息，情節嚴重的，處以刑罰;第三款規定，竊取或用其他方法非法獲取公民個人信息的，依照第一款的規定處罰。

在認定該罪時，判斷是否具有刑事違法性，要以行為主體違反前置性法律法規為前提。根據該罪適用法律若干問題的《解釋》第二條、《刑法》第二百五十三條規定，“違反國家有關規定”是指違反法律、行政法規、部門規章有關公民個人信息保護的規定。目前我國主要是《網絡安全法》和《電信和互聯網用戶個人信息保護規定》等，這些規定為認定APP運營商非法索取系統權限提供了依據。

此外，該《解釋》第四條規定、《刑法》第二百五十三條第三款規定的其他方法是指通過購買、收受、交換等方式獲取公民個人信息，或者在履職、服務過程中收集公民個人信息。因此，如果APP運營商在服務過程中，為申請權限卻沒有明示處理個人信息的目的方式和范圍、未經用戶同意就打開權限收集個人信息，或者申請打開的權限對應無關的個人信息，將會違反《網絡安全法》第四十一條，具備刑事違法性的前提。若同時符合《刑法》侵犯公民個人信息罪的犯罪構成要件，則APP運營商就有構成該罪的刑事法律風險。構成要件有四條，其一，犯罪主體為一般主體，具備刑事責任能力并達到責任年齡的單位和自然人都可構成本罪;其二，本罪在主觀方面是故意;其三，本罪侵犯的客體是公民的個人信息權益;其四，客觀方面為違反國家有關規定，向情節嚴重的他人出售或者提供個人信息、將在履職或服務過程中獲得的個人信息出售、提供給他人和竊取或其他非法獲取公民個人信息的行為。

三、APP違法違規收集使用個人信息的法律風險應對

（一）完善以個人信息權為核心的法律體系

首先，加快出臺《個人信息保護法》。隨著大數據時代信息技術的飛速發展，APP侵犯個人信息的手段越來越隱蔽，個人信息被大量泄露、不當使用。其原因之一就是個人信息安全監管不到位，現有的法律體系無法實現保護個人信息權益的任務。因此，急需一部專門保護個人信息的法律，在明確規定處理個人信息的“合法”“正當”“最小化”等原則的同時，具體細化以“告知—同意”為核心的個人信息處理規則體系，嚴格個人信息保護等定義，與其他法律相銜接，實現個人信息保護工作的全覆蓋。

其次，配套救濟性法律規范。個人信息具有經濟價值和人格權益，APP運營商若濫用權限收集使用個人信息，不僅會給用戶帶來經濟損失，嚴重地還會造成精神損害，因此要在《民法典》侵權責任編的基礎上對這類行為進行規制，在訴訟法范疇內引入公益訴訟和集體訴訟制度。因為一款APP在處理個人信息方面的不法行為侵害的可能是一個群體的個人信息權益，因此，依據《民事訴訟法》第五十五條，將APP侵害個人信息納入公益訴訟和集體訴訟的范疇，有利于更大程度地保護消費者即用戶的權益。由于用戶在技術、地位等方面與APP運營商并不平衡，故舉證責任可適當向用戶傾斜，由APP運營商承擔大于用戶的舉證責任。同時，刑法的懲治要與民法、行政法規的監管相協調。結合侵犯公民個人信息罪適用法律若干問題的《解釋》，嚴格認定該罪“情節嚴重”的情形，不能隨意入罪，要保留對互聯網行業的寬容，保持刑法的謙抑性，給民法和行政法領域內的執法保留一定空間，實現三者的相互配合。

（二）APP運營商改進服務內容

其一，APP運營商可以參照《APP系統權限申請使用指南》完善處理用戶個人信息的方式。針對“未明示處理個人信息的目的、方式和范圍”問題，APP運營商要完整、清晰、區分說明各業務功能所收集的個人信息，目的告知應明確且易于理解，不包含任何誤導用戶授權的描述。針對“未經用戶同意處理個人信息”問題，APP運營商要為用戶提供主動選擇同意的選項，在用戶明確拒絕APP業務功能所需權限后，不得頻繁申請系統權限干擾用戶正常使用。針對“違反必要原則，收集與其提供的服務無關的個人信息”問題，APP運營商要結合實際的業務功能，使收集個人信息的類型與業務功能有直接關聯，不申請與APP業務功能無關的權限。

其二，對于合同風險，APP運營商應將用戶隱私政策顯著呈現，有關系統權限申請的內容要基于公平原則明確告知用戶其目的、方式和范圍，盡到保護與用戶有重大利害關系的個人信息的義務。對于侵權風險，APP運營商應嚴格按照我國法律法規和隱私政策處理個人信息，遵循知情同意原則，申請權限所對應的個人敏感信息時要同步告知用戶目的，經用戶同意。申請打開權限須與隱私政策等規則中的相關內容一致，不得超出隱私政策等規則所述范圍。對于刑事法律風險，APP運營商要履行保護公民個人信息的義務，謹防他人盜走信息用于犯罪。在權衡個人信息的經濟價值和人格權益時，不得非法出售、提供個人信息。

（三）提高用戶保護個人信息意識

用戶在使用某款APP時，每一個步驟都要謹慎對待。首先，從下載注冊開始，要仔細閱讀隱私政策合同，了解APP處理個人信息的目的、方式和范圍。其次，在填寫個人資料和選擇是否同意權限申請時，要注意避免泄露自己的個人敏感信息。注冊之后，發布與個人有關的照片視頻時要謹防帶有明顯有個人標識的記號，辨別信息真偽，從源頭避免個人信息的泄露。

注 釋：

①全國信息安全標準化技術委員會秘書處《網絡安全標準實踐指南——移動互聯網應用程序（APP）系統權限申請使用指南》。

參考文獻：

[1]張勇.APP個人信息的刑法保護：以知情同意為視角[J].法學，2020（8）.

[2]張新寶.個人信息收集：告知同意原則適用的限制[J].比較法研究，2019（6）.

[3]冉植權.APP非法獲取其用戶數據的刑法適用研究[J].西部學刊，2020（24）.

[4]楊立新.私法保護個人信息存在的問題及對策[J].社會科學戰線，2021（1）.

[5]劉德良.刑法侵犯個人信息犯罪及其司法解釋的理解與檢討[J].網絡法律評論，2016（1）.

[6]中華人民共和國民法典[N].人民日報，2020-06-02（1）.

作者簡介：來佳洋（2000—），女，漢族，山西晉城人，單位為中國礦業大學（北京），研究方向為民商法。