随着移动互联网时代的快速发展，各类应用软件和小程序已经融入日常的方方面面。但这些应用程序给生活带来便利的同时，却也变身“隐私刺客”，侵犯着用户的隐私底线。近日，国家网络安全通报中心通报69款移动应用存在违法违规收集使用个人信息行为，这也是今年以来的第三次通报。为何相关问题屡禁不止？用户的隐私困局该如何破解？若不同意服务条款和隐私政策就会强制退出/受访者供图
市民马女士下载了一款“流行语”词典APP，在注册的过程中，她发现有点不对劲。曾参与这起案件审理的法官助理，现任北京互联网法院政治部副主任张亚光介绍，这款软件系统自动默认勾选了“已阅读并同意服务条款和隐私政策”选项，如果点击拒绝，APP就会直接退出，无法使用。同时这款APP的《隐私政策》中提及会收集用户的个人信息，如手机号、地理位置、身份证号等，找不到取消授权的途径。
因此，马女士认为，这款APP过度收集了用户的个人信息，侵害了自己的个人信息权益，将其告上法庭，要求被告公司停止侵害、赔礼道歉，并赔偿相应损失。
张亚光说，庭审中，原被告双方各执一词，被告公司认为做法没有过错。对于这款软件收集手机号、身份证号信息的情况，被告公司辩称，APP具有社交属性，注册时收集用户的手机号等个人信息并无不妥。如果用户想要撤回授权，完全可以通过注销账号的方式对同意进行撤回。
本案的争议焦点主要在于这款软件通过“默认勾选”并设置“拒绝即退出”的方式，是否取得了用户“自愿、明确”的同意？一款词典软件收集用户的手机号码等个人信息，是否符合“最小必要”原则？提供的“注销账号”作为撤回同意的方式，是否等同于法律要求的“便捷的撤回同意的方式”？
首先在关于“同意”的有效性上，张亚光表示，根据《中华人民共和国个人信息保护法》第十四条，处理个人信息必须基于个人在充分知情下的自愿、明确同意。本案中，App的“默认勾选”和“不同意就退出”的设计，实质上构成了对用户选择的捆绑和强迫，剥夺了用户的自主决定权，违反了“自愿、明确”这一核心原则。
其次，关于收集的必要性。根据四部门联合发布的《常见类型移动互联网应用程序必要个人信息范围规定》，词典属于实用工具类App，在其提供基本功能服务时，是无须个人信息即可实现的。涉案App在基础服务场景下强制收集用户手机号，超出了实现功能的最小范围，属于过度收集个人信息。
最后，关于撤回同意。《个人信息保护法》第十五条明确赋予个人撤回同意的权利，并要求个人信息处理者提供便捷的撤回方式。将撤回同意等同于注销账号，是混淆概念、设置障碍。注销账号意味着用户彻底放弃整个服务，而撤回同意仅是针对个人信息处理的某一部分。以注销代替撤回，极大地提高了用户行使权利的成本，构成了对原告的侵害。
最终法院判决认定涉案手机软件运营公司存在侵权行为，判令他们删除违法收集的个人信息，向原告赔礼道歉，并赔偿为维权支出的合理费用。被告公司不服提起上诉，二审法院维持原判。
生活中像马女士这样的遭遇并不是个例，近年来，移动应用程序被广泛应用于各种场景，却也不停的向用户的个人信息“伸手”。市民张女士表示，有一些软件会要求相册、位置、麦克风、录音等的使用权，她理解这些授权对某些软件肯定是必要的，但是一些软件会默认用户都同意。“如果我之后需要修改的话，就需要我特意点进设置里面，重新修改才可以。”张女士说。
市民赵女士曾在互联网公司工作，她坦言一些企业在设计应用软件时并没有从用户角度出发，也缺乏一定的道德底线。大多数的软件在采集用户地理信息的时候都会推荐选择“一直同意”，但这其实就是过度收集。“很多软件要获取用户照片或者视频的时候，希望把所有的东西都授权给软件，这是很大范围的内容的索取。其实这些还是告知用户的，但还有很多的东西是不告知你的，比如说监听，比如监视你刷其他的App，或通过你的键盘看你的其它APP搜索了什么。”
从北京市互联网法院审结的多起涉及个人信息保护的案件来看，部分移动应用软件在收集、处理个人信息时主要存在“默认勾选”或“变相强迫”同意服务协议、隐私政策、收集个人信息违反“最小必要”原则以及用户难以撤回授权使用的个人信息这三类问题。
那么为何手机软件如此想要获得用户的个人信息？中国信息通信研究院互联网法律研究中心主任何波表示，最主要的原因在于个人信息的商业价值以及企业的经营需求。一方面，大量个人信息数据有助于企业实现精准的商业模式和商业目的。通过收集用户的设备信息、位置、浏览记录、购物偏好等数据，企业可以构建详细的用户画像，用于精准广告推送、个性化内容推荐以及差异化定价等目的。另一方面，企业还可以利用这些数据提升自身竞争力，比如，通过聚合分析海量用户数据，企业可以洞察市场趋势、发现新需求，从而优化产品设计、开拓新业务。在利益驱动下，企业具有强烈的动机最大化收集用户数据，有时候会超越其提供服务所必需的最小范围，导致违法违规现象。
然而超范围收集、使用个人信息不仅严重侵害用户合法权益，也会引发更多危害后果，潜藏着风险隐患。重点研究个人信息保护领域的中国政法大学法学院讲师庆启宸指出，从对用户进行画像的角度来说，很容易导致大数据杀熟、价格歧视这些问题。当大量的数据被软件的开发者所获取，他们获得的数据量越多，意味着承担的保护数据安全的责任越大。如果一旦出现数据安全泄露的事件，对用户的影响也非常之大。此外，有一些软件从设计之初就不是合法、正当的目的，大量收集个人信息后用于出售，对用户来说最直接的损害就是电信诈骗。
记者也在调查中发现，虽然不少市民对于手机软件过度收集、使用个人信息十分反感，但在注册软件时，面对“一划不到底”的隐私协议，往往无奈“盲点同意”，将自己的权利让渡了出去。冗长又晦涩的隐私政策在合规、透明的基础上真的难以做到简洁吗？
庆启宸认为，并不尽然。如果从单纯的合规角度来说，要达到合规一定是需要写得非常详细，但是这并不代表着软件开发者向用户进行展示的时候，不能用一种更加清楚、明确的方式来进行展示。 比如说涉及到个人敏感信息的时候，是否可以用突出的方式，像高亮、加粗或者以更大的字号来提示用户，在这些领域会存在明显的风险。另外购买药品的时候，都会看到在包装的侧面有一个配方表，对于软件开发者而言也可以采取类似的做法，以这种图表化的形式来简洁的去展示软件主要收集的个人信息种类是什么，使用目的是什么，再附以完整的、能够满足法律合规义务的隐私政策。面对移动应用软件、小程序信息采集频频“越界”、屡禁不止，有关部门也在不断开展行动。2022年新修订的《移动互联网应用程序信息服务管理规定》，强化应用程序提供者和应用程序分发平台的主体责任。今年3月，中央网信办、工业和信息化部、公安部、市场监管总局联合发布《关于开展2025年个人信息保护系列专项行动的公告》，截止目前，已累计通报200多款移动应用软件存在违法违规收集使用个人信息行为，涉及生活、出行、教育、金融、社交等多个领域。
破解这场隐私困局的源头在于移动应用软件开发者或运营者本身的自律，如果始终贯彻“隐私设计”和“默认隐私”理念，落实个人信息保护基本原则，将信息保护内嵌于产品开发全流程，将选择权交还用户，那么“隐私刺客”也自然不复存在。
北京盛廷律师事务所合伙人杨昊律师认为，只要依法利用，就不存在侵犯用户个人信息权益的问题。而对于软件的开发者而言，只要不偷懒，严格按照开发标准进行，一般情况下都是可以避免发生类似问题的。对于软件开发者来说，它是个态度问题，并不是什么技术问题。
对于用户而言，也应当努力提升自身权利意识和保护能力。中国政法大学法学院讲师庆启宸建议，首先要保证软件是从正规途径下载。在阅读隐私政策过程中，关注主要收集哪些内容，要做到心里有数，不要一揽子的同意。在使用软件的过程中，可以去关注哪些软件在过去的24小时里头调用了位置信息或者是手机流量等，要知道哪些软件可能存在不合理使用个人信息、收集个人信息的隐患。当发现有过度收集、违规使用个人信息情况时，可以通过投诉举报、诉讼的方式来维护自己的权益。
同时，法律也在探索如何引入第三方专业机构对应用程序隐私政策等进行监督。国家网信办、公安部在今年11月发布的《大型网络平台个人信息保护规定（征求意见稿）》中提到，大型网络平台服务提供者应当按照国家有关规定自行或者委托第三方专业机构开展个人信息保护合规审计、风险评估等活动，并对发现的问题进行整改。
中国信息通信研究院互联网法律研究中心主任何波表示，第三方机构独立、专业的视角能为企业提供改进指导，为监管机构提供线索，也为用户提供选择参考，是连接各方的桥梁，能有效提升监督的客观性和效率。
保护个人信息是一场持久战，政府监管部门需要保持常态化、精准化监管，通过重拳出击，让相关企业不敢再“以身试法”。何波提出，要对在架APP要定期开展全量检测，对违规App督促及时整改，情节严重的依法采取通报、下架、罚款等处理措施，提高企业违法成本。同时要及时补齐制度短板，细化完善相关规则标准，联合行业出台更具操作性的指南或者指引，明确“最小必要”等原则的具体判定标准，进一步细化APP收集使用个人信息规范要求。也要强化协同监管，APP个人信息保护涉及多方面多部门的职责，网信、工信、市场监管、公安等部门既要立足部门主责主业履行行业监管职责，也要协调配合形成监管治理合力，实现从APP上架、运营到违法违规处置的全链条管理。
（转载请注明本文来源及记者、编辑等信息）
内容来源：记者苏婉、编辑 孙媛、主编 程艳
编辑：刘慧明
值班主编：马龙
监制：车水
