个人信息收集新标无单独同意，不应分析相册中生物识别信息

　　App收集用户个人信息时，过度收集个人信息、不授权不给用、反复索权等问题长期存在。对于此类问题，《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》（以下简称《要求》）作出了回应。其对最小必要原则、必要个人信息、告知同意等方面作出了细化。上述《要求》由国家市场监督管理总局、国家标准化管理委员会发布。《要求》提出，如确需通过系统权限实现相关功能，应仅读取用户选取的特定照片；未经用户单独同意，不应分析提取相册照片视频中的生物识别信息，或用于分析挖掘用户的特定身份、兴趣爱好、健康状况等。
　　应仅读取用户选取的特定照片
　　4月15日，推荐性国家标准《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》获批发布。据了解，此文件根据《网络安全法》《数据安全法》《个人信息保护法》等法律法规要求，规定了App收集个人信息的基本要求，给出了常见服务类型App必要个人信息范围和使用要求，起草单位为中国电子技术标准化研究院联合北京理工大学、中国网络安全审查技术与认证中心等34家单位。在App收集个人信息基本要求上，《要求》对最小必要原则、必要个人信息、特定类型个人信息、告知同意、拒绝或撤回同意、系统权限、第三方收集管理等方面作出了细化要求。就特定类型个人信息收集要求而言，《要求》对收集应用程序列表、相册信息等方面作出了规定。App通过读取应用程序列表API（应用程序编程接口，ApplicationProgrammingInterface），可能访问终端设备上正在运行或已安装的应用程序列表，获取应用程序名称、包名、文件路径、安装信息等。《要求》提出，App收集应用程序列表，应在个人信息保护政策中明确告知处理应用程序列表的目的和必要性；应默认不收集应用程序列表，且仅在用户使用到相关业务功能时同步告知用户目的，并取得用户同意；如仅为判断特定App是否安装、应在移动智能终端完成处理；利用应用程序列表开展用户画像、定向推送等活动，应采用增强式告知或即时提示等方式告知用户，并取得用户明示同意。相册信息的个人信息保护问题也是关注的焦点。去年10月，微信QQ淘宝等多款App在后台反复读取用户相册的消息引发关注。其后，微信方面回应称，该功能系为方便用户快速发图做准备，仅在手机本地完成，并承诺在最新版本中取消该功能。《要求》提出，当用户使用预览、上传、分享特定照片（非全量照片）等功能时，宜采用无需开启系统权限的方式实现用户自主选取照片，如确需通过系统权限实现相关功能，应仅读取用户选取的特定照片；收集照片中包含的拍摄位置信息前，应提示用户并取得其同意。值得注意的是，《要求》还提出，未经用户单独同意，不应分析提取相册照片视频中的生物识别信息，或用于分析挖掘用户的特定身份、兴趣爱好、健康状况等；如存在云端自动备份照片或云端识别照片功能，应向用户告知备份或识别的目的、方式、范围、频率等，并取得用户同意，同时提供停止自动备份的功能等。
　　不可强制收集非必要但有关联个人信息
　　去年5月1日，国家网信办、工信部、公安部、国家市场监管总局四部门联合发布《常见类型移动互联网应用程序必要个人信息范围规定》生效，其规定网上购物、网络支付、即时通信等39种常见类型App的必要个人信息范围，并强调App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务。上述规定公布之后，App必要个人信息范围成为众多互联网企业讨论和关注的焦点。对此，《要求》将App功能划分为基本业务功能和扩展业务功能。当App类型属于国家网信办规定的上述常见服务类型时，必要个人信息的使用应符合其要求。当App类型不属于国家网信办规定的常见服务类型时，App基本业务功能为：实现用户主要使用目的的业务功能，扩展业务功能为：App提供的基本业务功能之外的业务功能。例如，地图导航类App还提供网上购物、网络约车类服务，则网上购物、网络约车服务的业务功能均属于扩展业务功能。而App扩展业务功能收集的个人信息以及App基本业务功能可选收集的个人信息构成非必要但有关联个人信息。非必要但有关联个人信息也可收集，但应做到用户可选择、可拒绝，不可以强制收集。参与上述《要求》起草工作的周晨炜、胡影撰写解读文章时表示。何种个人信息即便用户同意或主动提供，也不可以收集？上述解读文章称，即使用户可能同意或可能提供，平台也不应收集、或以任何方式向用户征求同意收集与其所提供的服务无关的个人信息。另外，就告知同意而言，《要求》规定，App收集个人信息应向用户明示App基本业务功能、扩展业务功能和必要个人信息范围，并显著区分必要和非必要个人信息；应拆分App的必要个人信息和非必要个人信息的同意；应向用户提供已收集其个人信息类型的查询方法，查询宜通过App独立界面等方式展示等。当用户拒绝或撤回App个人信息收集、权限申请或业务功能使用的同意时，App不应频繁申请授权干扰用户正常使用，除非由用户主动触发业务功能，且没有该个人信息或权限参与此业务功能无法实现。具体而言，频繁的形式包括但不限于：单个场景在用户拒绝授权后，48小时内弹窗提示用户打开权限的次数超过1次；每当用户重新打开App或使用无关的业务功能时，都会再次向用户索要授权或提示用户缺少相关授权。综合：南都记者孙朝