文|法治周末记者  于伟力

责编|马蓉蓉

2019年12月30日，国家网信办秘书局、工信部办公厅、公安部办公厅、市场监管总局办公厅四部门联合印发了《APP违法违规收集使用个人信息行为认定方法》(以下简称《方法》)。在《方法》中，共有6大类、31种APP行为被认定为违法违规行为。强制授权、过度索权、超范围收集、注销难等过去难以界定的诸多行为，也有了更加明确的认定规则。

接受法治周末记者采访的多位专家认为，此次《方法》的出台，也可以看作是对过去一年专项治理工作的经验总结，也是个人信息保护法出台的前奏。有专家预测，今后一段时期内，APP违法违规收集使用个人信息现象将大大减少。 

有助于大大减少APP违法违规收集使用个人信息 

宁人律师事务所金融与科技委员会副主任马军认为，在前期几次APP行业整顿实践经验基础上，《方法》对APP违法违规收集个人信息行为，几乎全部都列举出来，且表述与定性更加明确，“这不仅对APP合规产生重大影响，还会对我国个人信息保护法产生较大的影响，同时，将促使我国建立更健全的个人信息保护体系和产业生态治理体系”。

北京雷腾律师事务所李艳玲律师则表示，《方法》出台，将使APP违法违规收集使用个人信息行为有章可依，有利于受害人主动维权、运营者自纠自查、监管者对症下药。

对此，大连理工大学法学副教授陈光也持同一观点，他认为，《方法》具有很强的实用性和实践针对性，将为有关部门执法提供非常明确的技术性或标准性参考，这有助于今后一段时期内，大大减少APP违法违规收集使用个人信息现象，也可为今后建立长效性立法积累经验。

近年来，我国个人信息泄露事件屡屡见诸报道，而APP过度收集用户个人信息，也早已成为普遍现象。中国互联网数据中心数据显示，在国内安卓市场下载量前1400位的移动APP中，有近三分之一存在隐私信息越轨行为。2018年，中国消费者协会就有关APP个人信息泄露情况的问卷调查结果也显示，曾遇到过个人信息泄露问题的被调查者比例高达85%。

面对这一问题，国家相关部门也一直在寻求解决办法。刚刚过去的2019年，就是APP个人信息专项治理的关键之年。

2019年1月，中央网络安全和信息化委员会办公室、工业和信息化部、公安部和国家市场监管总局在全国范围内组织开展了APP违法违规收集使用个人信息专项治理行动，专项整治的APP范围涵盖了电子商务、地图导航、快递外卖、交通票务等多方面。 

违法成本过低有无需求都收集个人信息 

事实上，随着互联网的不断发展，网络个人信息保护一直都是一个备受关注的课题。此前，为了保护网络个人信息安全，相关部门曾出台过多项相关的法律法规——2006年3月，我国首个个人信息保护标准《大连软件及信息服务业个人信息保护规范》发布;2009年，刑法修正案(七)新增了出售、非法提供公民个人信息和非法获取公民个人信息两个新罪名;2017年6月实施的网络安全法，则强调了中国境内网络运营者对所收集到的个人信息所应承担的保护责任和违规处罚措施。

不少行业专家认为，目前，我国对个人信息保护已形成了基本完善的法律法规体系。

在北京嘉润律师事务所律师柴云乐看来，尽管已经制定了较为严厉和严密的打击APP违法违规收集使用个人信息的法律惩治体系，但具体违法违规行为的分类和判定上，仍存在很多模糊和争议地带。

2016年5月，以“打通人脉”为卖点的社交软件“脉脉”，被法院认定其非法抓取、使用新浪微博用户信息等行为构成不正当竞争，判决其停止不正当竞争行为，消除影响，赔偿经济损失、合理费用200多万元。

企业之间的侵权行为范畴比较好界定，但对个人而言，相关侵权案件的行为界定却并不清晰。2017年，在上海市青浦区人民法院审理的一起案件中，“米恋海归交友APP”等平台被指在未经原告授权的情况下，盗用原告的微信头像，注册虚假账户，将原告李某的个人信息推送给其他用户，使原告半年内遭受许多陌生男性的骚扰而被起诉。

但值得注意的是，尽管在该案件中，法院虽已认定原告的个人信息权和隐私权受到侵犯，但最终还是以侵犯名誉权为由，判决被告立即停止推送其个人信息并赔礼道歉。不过，由于并未给原告造成显著的损害后果、原告亦不能提供任何证据证明实际损失，法院并未支持原告损失赔偿的请求。

对于这种稍显“尴尬”的现象，马军表示，其根本原因在于上位法的规定不够明确或存在空白，且上位法与下位法衔接不够，导致很多违规收集行为并不违法，相关行政处罚依据不明确。“与违法收集个人信息获得的利益相比，违法成本过低，让APP运营者不管业务有无需求都在收集个人信息。” 

对个人信息保护和商业发展平衡缺乏明确态度 

关于个人信息泄露的具体原因，陈光认为，首先是个人信息的商业价值驱使一些市场主体违法违规收集。柴云乐也指出，用户个人信息是许多APP精准运营和营销的依据，更多的用户信息便于APP建立更全面的用户画像，作出更精准的营销。

马军提出，在国家立法层面，如何认识和定位个人信息保护和商业发展的关系，以何者为先、该如何平衡好两者关系，目前没有一个较为明确的态度，这导致相关规则或制度的设计不够、执行力度不足。

李艳玲赞同上述观点，并补充道，互联网时代，得数据者得天下，运营者必然会想尽一切办法去获得足够多的用户数据。“在缺乏必要及可操作的监管规范及标准时，必然就会出现大量违法违规收集使用个人信息的情况。”

此外，陈光还指出，上述现象还与相关主体自我保护意识较弱，没有意识到信息泄露可能造成的危害以及相关信息保护规则不够完善等因素相关。 

如何规制违规新样态是可预见的难题 

受访专家一致认为，以《方法》发布为契机，我国个人信息保护法律体系必将得到进一步的完善，但规则仍然有待落地。

2019年11月，天津告破全国首例专门设立APP骗取公民个人信息案。在该案件中，某网络公司涉嫌利用贷款类手机APP软件非法超限采集公民个人信息，包括通讯录、通话记录、短信等信息的情况。

法治周末记者了解到，该案件前后经过了两个多月的排查追踪，原因是具体执法中存在难点。马军认为，类似的案件，实际执法中确实会有两大难点：首先，大规模的APP排查和认定会给执法机构增加大量的工作;其次，很多违法行为很难发现，仅从APP规则上是无法发现相关非法买卖个人信息等行为的。“此次《方法》是否可以解决相关问题，还需实践来证明，不过，我认为将会对违规APP治理产生重大影响。”

陈光则从网络业态现象的角度分析，网络技术发展很快，相关违法违规行为的表现形式变化也将很快。“无论是否出于规避执法的考虑，APP违法违规收集和使用个人信息必将呈现出一些新的样态，届时该如何加以规制，是一个可以预见的难题。”

而站在立法层面上，柴云乐则认为《方法》目前的效力级别较低，与其他法律的衔接可能会存在问题。

与此同时，陈光直言，目前，对违法违规行为情形缺乏兜底性规定。“如果实践中出现不属于相关列举情形的行为，或者行为类型归属较为模糊，但实际上属于违法违规收集使用并侵害了个人信息安全，执法者该如何处理，缺乏相应的依据。”

因此，马军建议，未来需要进一步明确APP合规评估机制，把《方法》通过评估的方式予以全面落实。李艳玲则强调，需要完善APP运营商向第三方提供个人信息行为的规范问题，目前实际上很多提供行为本身都是基于商业利益驱使，并非必要提供。