　　法治在线丨应用程序成“隐私刺客”过度收集信息应该怎么防？

　　在当今的移动互联网时代，App和小程序已经融入我们日常生活中衣食住行等方方面面，这些应用程序给我们的生活带来便利的同时，您是否注意到，每当启动一款新的App或小程序时，它们常常请求访问用户的相机、通讯录、身份信息乃至位置信息，面对这些请求是否必须收集？一旦被收集，这些信息又将流向何方？面对个人信息泄露的潜在风险，该怎么防？

　　如今，很多停车场都安装了智慧停车系统，车主只要通过手机操作点几下就能快速完成缴费停车，然而有些智慧停车软件在带来便利的同时，却隐藏着不小的安全隐患，2025年初，河北省保定市徐水区人民检察院在工作中发现一条线索，当地一款智慧停车软件存在违规收集个人信息的情况。

　　检察官发现，这款智慧停车软件可以任意捆绑5辆车的车牌等信息，捆绑后，这5辆车的车牌信息只要被停车场摄像头采集，就会被记录并传输到这款智慧停车软件。据了解，徐水区多家医院、市民中心、火车站、汽车站，还有多个路边停车场都在使用这款智慧停车软件，也就是说，在这款智慧停车软件上捆绑的车，进出上述任何一家停车场，绑定者都能查到它的位置和进出时间。

　　保定市徐水区人民检察院副检察长谢超：如果我去搜索别人的车辆跟我不知道的车辆，但是我能够随时关注到它的出场日期，还有入场日期等敏感信息，包括一些轨迹信息，也能够清楚看到，泄露信息的风险就很大了。

　　在调查中，检察官还发现，这款智慧停车软件在采集车牌信息之外，还采集到了司机的人脸图像。检察官认为，这款智慧停车软件超范围采集人脸信息，没有履行告知义务，违反了个人信息保护法的规定。

　　在查清问题后，保定市徐水区人民检察院向当地行政管理部门制发检察建议书，要求他们督促相关企业整改。在有关行政管理部门的督促下，这款智慧停车软件的问题得到了整改。

　　不少看似便捷的App，实则是潜伏在我们身边的“隐私刺客”。一款App采集了哪些信息？如何采集？本应按照《中华人民共和国个人信息保护法》的规定都应该写在隐私政策中，可就在这份“数据契约”的背后，又藏着多少侵犯权益的 “陷阱”？

　　在中国政法大学数据法治实验室，和法学专家一起，在《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等多部法律框架下，对能通过手机市场下载的 App的隐私政策，从收集、传输、使用、交换、销毁、存储六个维度进行了检测。结果显示，一些App的隐私政策中确实存在违规收集个人信息等风险。

　　教育部哲学社会科学实验室中国政法大学数据法治实验室副主任王立梅：个人信息保护法规定的所有的条文里面规定的内容都是应该写进去的，都应该写在隐私协议里面，比如说从我是如何收集的、如何存储的、如何传输的、如何使用的，我将来是不是还有删除的方式。

　　一款名为“咿呀画画”的儿童教育类App，在其隐私政策中，没有任何专门针对未成年人的隐私保护条款。这也就意味着，在这款App个人信息收集中，忽略了未成年人的特殊权益，未成年人的个人信息一旦被不当收集、使用或泄露，可能面临比成年人更大风险。而我国《儿童个人信息网络保护规定》中明确规定：网络运营者应当设置专门的儿童个人信息保护规则和用户协议。

　　在“狐狸快跑”“睡前故事会”等儿童教育类App的隐私政策中，仅笼统要求需经监护人同意，但均未设置可核实的同意方式，不符合《儿童个人信息网络保护规定》相关要求。

　　儿童教育类App的核心用户大多为未成年人，对于这一群体的个人信息保护的标准本应更严苛、更细化，但在对58款该类App的检测中，发现有“熊猫识字”等12款App未对涉及影响用户重要权益的内容进行标记，一些重要、核心的条款没有加黑加粗提醒，使得用户的知情权和选择权得不到有效保障，更容易导致未成年人权益受损。而一些整体隐私政策符合《中华人民共和国个人信息保护法》《儿童个人信息网络保护规定》要求的儿童类App，会对个人信息收集的范围和内容等关键信息进行特别提示。

　　教育部哲学社会科学实验室中国政法大学数据法治实验室主任时建中：我们怎么去保护未成年人，怎么把未成年人的保护和这些平台的法律义务，以及自我承诺的义务怎么去做一些匹配，来看平台的隐私保护是不是有利于对未成年人的保护。

　　记者发现，“超范围收集个人信息”的问题在不少App中存在，一款名为“动感秀”的拍摄美化类App，在隐私政策中写到要收集其他软件信息等与核心功能无关的个人信息。同样是一款拍摄美化类App“证件照相机”，在隐私政策中提到要收集确切位置信息、读取通话状态和移动网络信息等。

　　那么这些个人信息是App所必须收集的吗？《中华人民共和国个人信息保护法》第六条明确规定：处理个人信息应当限于实现处理目的的最小范围。

　　根据国家网信办、工信部2021年发布的《常见类型移动互联网应用程序必要个人信息范围规定》，其中，拍摄美化类App，基本功能服务为“拍摄、美颜、滤镜等”，无须个人信息，即可使用基本功能服务。也就是说，这几款App的隐私政策中要求收集的个人信息，违反了《中华人民共和国个人信息保护法》中的最小必要原则。

　　教育部哲学社会科学实验室中国政法大学数据法治实验室主任时建中：个人信息或者个人数据的泄露，甚至出现个人数据或个人信息买卖，由此产生的网络欺诈，即使没到这种严重违法的程度，有时候我们可能会经常收到一些广告，而那些广告跟我们去阅读那些内容，跟浏览过的网站，看过的App，都是高度相关的。

　　“超范围收集个人信息”已成为App领域高频违规行为，近年来国家网信办、工信部等监管部门持续加大整治力度，通过专项行动、限期整改、公开通报等多项举措，严厉打击此类侵犯用户个人信息权益的违法违规行为。

　　工信部多次组织App违法违规问题治理工作，对侵害用户权益行为的App进行通报，其中，“微密圈”“pp视频”“知到”等App就因为“超范围收集个人信息”被通报或处罚，并要求其按有关规定进行整改。

　　2025年3月，中央网信办、工信部、公安部等四部门开展2025年个人信息保护系列专项行动，聚焦App违法违规收集使用个人信息等问题展开治理。

　　今年以来，针对停车缴费等App存在信息泄露风险的现象，多地检察机关在最高检的指导下，利用检察公益诉讼手段推动治理。

　　以上问题都存在于App的隐私政策中，可有多少人会在安装一款App时去看隐私政策？点击“我已阅读并同意”只要0.1秒，可要完整读完一份隐私政策可能要花费好几分钟，而且还不一定能完全理解。不点同意就不能使用，很多人只能被迫同意授权，遗留了很多潜在的风险。

　　专家表示，部分企业受利益驱使，存在过度收集个人信息的倾向。另一方面，《中华人民共和国个人信息保护法》中规定，收集个人信息必须要用户充分知情并同意。这也导致这些企业把超范围收集个人信息这类有风险的条款写进隐私政策中，看似履行了告知义务，其实就是为了通过用户的同意来规避法律风险。

　　教育部哲学社会科学实验室中国政法大学数据法治实验室研究人员韩林睿：这个隐私政策的文本篇幅是非常长的，字数篇幅体量达到万余字，在这样一个体量基础之上，而且它没有一些重点的标识，用户很难第一时间或者直观发现哪些语句的描述是关于自身利益的。

　　专家认为，一份隐私政策并不是简单的企业与用户之间的 “数据契约”，更是一款App的“生存底线”。制定一份合规、透明、简洁的隐私政策，既能明确告知用户个人信息采集的情况，也能更好地对收集个人信息的行为进行规范，

　　对此，法律也在探索如何引入第三方专业机构对App隐私政策等进行监督。国家网信办、公安部于2025年11月22日发布的《大型网络平台个人信息保护规定(征求意见稿)》中也提到，大型网络平台服务提供者应当按照国家有关规定自行或者委托第三方专业机构开展个人信息保护合规审计、风险评估等活动，并对发现的问题进行整改。

　　教育部哲学社会科学实验室中国政法大学数据法治实验室主任时建中：如果让企业自己说我保护很好，恐怕它的公信力是不够的，那么因此这时就非常有必要引入第三方，对这些平台的保护情况做一个独立、中立的评价。这个时候的结论可能会更加公平、公正。

　　App的隐私保护，既要看它是怎么说的，也要看它是怎么做的。一份隐私政策应该成为清晰的“权利清单”，而非模糊的“免责声明”，让用户放心的同时，也是对App采集个人信息行为的约束。监管部门的专项整治、司法机关的持续发力、第三方监督机制的落地，将个人信息保护“事后追责”与“事前防范”相结合，把“隐私刺客”关进制度的笼子里，让用户在数字便利中收获稳稳的安全感。