手機APP用戶個人信息過度收集行為的刑法保護

張瀟恬

遼寧大學，遼寧 沈陽 110000

信息化時代，由于科技的不斷進步，移動互聯網與電子通信技術快速發展，智能手機不斷迭代更新，智能手機用戶數量也在日益增長，手機逐漸占據了我們的日常生活和工作。從社交娛樂到移動支付，用戶需要下載相應的APP來滿足他們的各種需求，越來越多的手機APP為人們的工作和生活提供了更好的體驗，APP的商業價值和經濟價值也在不斷被發掘［1］。但這些APP會記錄我們的生活軌跡和日常信息，從網頁瀏覽、新聞閱讀等行為習慣，到日常購物消費、支付信息等資金往來，它們是我們個人隱私的一部分，具有獨特的個人印記。如果這些信息被泄露、濫用，將嚴重影響我們的日常生活。

一、手機APP收集用戶個人信息概述

（一）個人信息概述

除個人的姓名、身份證號、地址、電話號碼、電子郵件等可以明確納入個人信息范圍的信息外，還包括個人信息的位置信息、健康信息等。在當前大數據的背景下，個人信息通常是在網絡交互過程中產生的，通常是由APP收集和使用。APP運營商可以通過對用戶個人信息的深入分析，解鎖新的商機，更新產品和服務技術，最終推動盈利。

（二）手機APP中用戶個人信息的特點

相較于傳統的個人信息收集方法，在移動互聯網時代收集個人信息的方式更加便捷、內容更加豐富、存儲更加完整。APP中用戶個人信息表現出廣泛性、敏感性、便捷性等特點。

第一，廣泛性。個人信息往往通過數據存在于移動互聯網上，它包含的范圍很廣，除了用戶姓名、出生日期、身份證、籍貫等個人基本信息之外，一些APP還有手機用戶的通訊錄信息、位置信息、相冊、瀏覽痕跡等與日常生活息息相關的其他信息。

第二，敏感性。手機上的一些APP可以收集和記錄用戶的資產情況、消費記錄等信息，從而得出用戶的財務狀況；部分APP還有獲取通訊錄和短信的權限設置，通過收集用戶短信中的信息，分析用戶短信的內容，從而結合相關數據了解用戶的行為，了解用戶的人際關系與需求。

第三，便捷性。APP用戶信息的收集主要通過與用戶簽署一份“隱私聲明”并獲得許可來完成。手機APP運營商只需在APP開發之初設置一個獲取個人信息的電子授權協議，在APP投入市場之后可以通過電子授權協議更方便、快捷地收集用戶的個人信息。

（三）手機APP過度收集用戶個人信息的表現

1.隱秘收集個人信息

《APP違法違規收集使用個人信息行為認定方法》的有關規定指出：同意默認隱私政策以及不明確要求用戶同意收集個人信息的類似行為，將被視為未經用戶同意收集和使用個人信息，即非法收集和使用個人信息。但在APP乃至互聯網行業中，“默認同意”的現象屢見不鮮。APP開發商、運營商、廣告商和其他第三方開發商等多個主體，在不同情況下會在APP中秘密嵌入指令或情報收集功能，隱秘地收集用戶的個人信息。

2.強制收集個人信息

雖然授權條款中的一些個人信息必須在APP執行基本業務功能時獲得和使用，但出于利益考慮，APP運營者仍會對用戶進行過度的信息收集，不過APP并未提供這些信息相對應的業務功能。許多手機APP擴展了軟件收集個人信息的功能要求，并將必要權限信息與非必要權限信息相結合進行捆綁授權。這些APP在權限設置過程中會要求大量的敏感權限，如通訊錄、短信權限、位置權限、相冊權限等，但是，手機APP中沒有提供與這些權限相關聯的實際功能。當用戶使用應用程序時，通常會顯示“是否同意隱私政策”選項，如果用戶點擊不同意，部分應用程序無法正常使用；此外，部分APP在登錄的權限設置中，用戶拒絕相關隱私條款的授權仍可正常使用該APP，但是在使用過程中APP會頻繁以彈窗的形式出現授權提醒，這在很大程度上影響了用戶的體驗感和使用感，因此部分用戶不得不被迫選擇同意隱私條款。

3.肆意濫用個人信息

在大數據時代，個人信息的經濟價值被進一步挖掘，其利益導致許多應用程序過度收集用戶個人信息、濫用用戶個人信息［2］。在很多情況下，個人信息的泄露與濫用是由于買賣信息造成的，APP通過權限設置收集大量用戶個人信息，APP運營商將用戶信息出售給需要的群體，獲得用戶信息的個人或企業通過這些信息來實現精準營銷，為自己帶來用戶流量，從而增加市場知名度。例如，個人信息管理工作組于2020年公布了一份清單，列出了35個過度收集和使用個人信息的應用，其中包括多個知名手機APP。

二、手機APP用戶個人信息保護中暴露出的問題

（一）用戶同意規則異化

有關個人信息的法律法規規定：收集和使用個人信息必須經過信息主體的授權和同意，并告知信息主體收集信息的范圍、方法和目的。互聯網背景下，由于用戶經濟地位、認知能力的不平等，以及對網絡服務的強烈依賴，導致隱私權問題頻發，“通知-同意”原則逐漸流于形式。當前，APP通常采用的是隱私策略或用戶協議，有些APP軟件的隱私權條款有20000字以上，少的也有6000～7000個字符，這些隱私權條款冗長、表述方式過于專業，超出了普通用戶的理解，所以APP用戶常常懶得去閱讀而匆忙地同意相關條款，這使得隱私政策和用戶協議形同虛設。對于用戶來說，經常要求安裝和使用APP的用戶必須同意隱私政策和用戶協議。在個人信息處理過程中，系統還缺乏對個人信息進行檢測和采集的能力，無法對個人信息的采集、使用時間、地點和程度進行檢測，無法對其進行有效控制和限制。異化后的“通知-同意”個人信息處理規則，從本質上揭示了現有的用戶同意規則的缺陷。

（二）侵權行為的懲罰不足

大多數非法收集、使用和不當處理個人信息的應用程序經營者將受到行政處分，造成嚴重損害的，對單位負責人和有關人員依法追究刑事責任［3］。一般情況下，對于違反法律法規收集個人信息的手機APP大多是采取警告、糾正和公開披露等措施，只有情節嚴重的才會被罰款，但罰款規模和金額都很小。對非法收集和處理個人信息的經營者處以行政罰款，行政罰款主要分為兩種類型：APP通過過度收集個人信息獲取了相關利益，在沒收違法所得的基礎上處以違法所得一倍以上十倍以下的罰款；沒有違法所得的，處50萬元以下罰款。侵權行為的懲罰不足使得過度收集個人信息的成本與收益不平衡，過度收集個人信息的現象屢禁不止。

（三）法律監管措施不到位

我國的個人信息收集監管呈現多主管、跨部門的監管現象。在互聯網應用領域，手機APP收集用戶個人信息的監督主要以多方參與的聯合行動或特別行動的形式進行［4］。在對侵犯個人信息的APP違法行為的監管中，由哪個行政主體進行監管、在哪個環節進行監管、監管的具體內容等都沒有具體規定，因此，手機應用收集和使用個人信息的監管主體分工不明確，容易出現交叉監管和無監管。

我國針對手機APP最常見的監管措施是下架和約談。但是由于手機APP進入應用商店的系統不完善，缺乏對應用商店的控制，一些APP可能會在下架一段時間后以不同的名稱重新進入應用商店。下架措施本身并沒有嚴重的缺陷，但遺憾的是，由于缺乏全面的、支持性的其他規定，手機APP從應用商店中下架大多流于形式。約談制度是我國特有的制度，是一種準具體的行政行為。關于約談的法律依據和程序問題，有很多人表達了自己的看法，但目前還沒有明確的結論。此外，對約談控制措施的處罰相對較小。在一些手機APP的監管中，出現了監管機構用約談代替懲罰的現象，使用這種方法可能會讓約談變得更加復雜。

三、手機APP用戶個人信息收集的刑法保護建議

（一）改進用戶同意規則

首先，應當賦予信息主體“撤回同意”的權利，即，在某些情況下，信息主體可以撤銷對收集和使用個人信息的同意，而撤銷后的APP不能使用用戶的個人信息。其次，更應注重履行信息控制人的義務和責任，而非征得信息主體的同意，收集和處理自己的個人信息。顯然，這并不是說信息收集過程不再需要信息主體的同意，而是說在信息管理者的后續信息存儲和處理過程中，信息主體的同意不能成為保存和處理不當行為的免責理由，信息管理控制方應該通過改變風險分配規則，將注意力集中于遵守合規義務。

（二）加強APP侵權懲治力度

由于全球技術的蓬勃發展和我國應用程序用戶個人數據被侵犯的嚴重程度，我國必須在未來立法中改變處罰標準，將違法所得的標準改為營業額標準，增加對APP違反個人信息保護的懲治力度。這不僅可以增加違規的成本，而且還能給予被侵權用戶一定的損失補償，減少信息主體因企業侵權所遭受的損失，平衡侵權人行為自由與信息保護的關系。此外，對于APP違反《個人信息保護法》規定處理個人信息的申請，或因處理個人信息不履行保護個人信息義務的申請，履行個人信息保護義務的部門必須糾正、警告、沒收違法所得，并對個人進行違法處理。命令停止或者終止提供服務的申請；拒絕改正的，處100萬元以下的罰款；直接負責的人員和直接責任人員，處1萬元以上10萬元以下的罰款。情節嚴重的，有關部門沒收APP違法所得，處5000萬元以下或不超過前一年營業額5%的罰款，并有權暫停或停止操作。對直接責任人員和直接責任人員，處以10萬～100萬元人民幣的罰款，并可以禁止其在一定期限內擔任相關企業的董事、監事、高級管理人員和個人信息保護負責人。

（三）完善法律監管措施

第一，建立政府監管機構。成立專門的監管機構來完善手機APP用戶信息的監管問題，在實施監管的過程中要明確劃分監管職責，制定相應的監管措施。在移動互聯網的信息時代，由于信息和數據量巨大且信息復雜多樣，分散監管不利于個人信息的具體保護。為確保個人信息監督機構獨立、公正地行使權力，并確保其他公共機構或組織不干涉個人信息監督機構行使權力，個人信息主管部門可以制定適當的義務，如管理個人信息權限的義務、通知信息的義務和保護個人信息的義務等。因此，建議建立政府監管機構，將個人信息監管機構的權利和責任結合起來，更好地保護公民個人信息的安全。

第二，完善APP的審核承諾。立法應規定，手機APP在軟件中收集用戶信息時負有審查義務，APP運營商必須分析與用戶個人信息相關的風險，防止第三方竊取用戶個人信息；此外，APP運營商必須明確告知用戶在使用APP時會獲取哪些個人信息，獲取信息時不能通過強制捆綁的方式過度收集個人信息。如果APP運營商在未及時通知用戶的情況下，非法或者過度收集個人信息，則應承擔法律責任。

第三，完善企業內部監督。用戶信息數據是企業的核心資產，加強企業信息安全管理在防止用戶信息泄露方面成本最低，效果最好。具體而言，企業應通過以下措施加強對用戶信息和數據的管理：1.在企業信息管理中，根據用戶個人信息的類別和敏感性對用戶進行不同級別的管理，對敏感信息進行訪問權限設置；2.加強APP運營企業內部安全管理，設立專門的崗位來管理用戶的信息，統一管理企業內部信息數據；3.建立企業用戶信息安全部門。安全部門定期對APP相應業務進行數據安全合規評估，及時規避數據安全風險。

四、結語

在大數據時代，數字經濟蓬勃發展。手機APP需要收集和使用個人信息，以占領市場和產生利潤。然而隨之而來，出現了大量APP過度收集公民個人信息的現象，加強對用戶個人信息的刑事法律保護已成為迫切需要解決的問題［5］。本文基于手機APP過度收集個人信息的現狀以及暴露出的相關問題，提出手機APP用戶信息收集刑法保護的相關完善建議，對完善手機APP獲取用戶個人信息提出建議，具體對策為：改進用戶同意規則、加強APP侵權懲治力度、完善法律監管措施，促使APP在信息高效利用與信息保護的兼顧中與用戶實現雙贏。