细化最小必要原则 App分析用户生物识别信息须单独同意

　　细心的用户可能会发现，在一些购物平台上传图片时，会提示“仅限于选定图片”。

　　近日，国家市场监督管理总局、国家标准化管理委员会发布了《信息安全技术移动互联网应用程序(App)收集个人信息基本要求》(以下简称《要求》)。在App收集个人信息基本要求方面，《要求》对最小必要原则、必要个人信息、特定类型个人信息、告知同意、拒绝或撤回同意、系统权限、第三方收集管理等方面作出了细化要求。

　　《要求》提出，如确需通过系统权限实现相关功能，应仅读取用户选取的特定照片；未经用户单独同意，不应分析提取相册照片视频中的生物识别信息，或用于分析挖掘用户的特定身份、兴趣爱好、健康状况等。

　　《要求》的发布，再次引发了互联网行业和用户的广泛关注。

　　细化最小必要原则

　　在某快递平台投诉后，用户被要求完善信息，其中一个便是人脸识别；乘坐地铁除测温外，一卡通也设立了很多刷脸进站站点；在购物平台完成支付后，总不忘问你一下是否开通人脸识别，并且设置了很容易点选的按钮……

　　商家收集人脸等生物识别信息，一方面是方便用户，另一方面更是由于自然人的生物识别信息有极大的商业价值。

　　“处理个人信息的最小必要原则，需要在目的明确、合理的基础上，把握实现目的所必需、最小范围收集以及最小影响个人权益的三大要点。”中国信息通信研究院云计算与大数据研究所人工智能部工程师呼娜英对记者说。“这在《个人信息保护法》《个人信息安全规范》中已有明确规定。而《要求》则对App的收集行为进行了细化，涉及收集个人信息的类型、频率、数量、精度等。”

　　“从用户角度，可以理解为应收集实现其功能最小范围的个人信息，如果有替代方案就用替代方案；如果收集一般个人信息即可，就不要收集敏感个人信息；如果可以在本地实现，就不要回传相关个人信息。即所收集的信息必须与产品功能、处理目的直接相关，且选择对用户权益影响最小的方式等。”《要求》起草人之一、北京同元法律咨询有限公司合规总监马可对记者说。“例如，电商类App并不必要在物流相关场景收集位置信息，完全可以以用户自己填写收货地址的方式，获取邮寄地址。这就是用替代方案的方式，实现了收集最小、必要的个人信息的形式。”

　　马可认为，用户可以通过查阅App的隐私政策、个人信息收集清单及App权限弹窗的内容，并结合该App在标准附录中的类型划分及必要个人信息列举，判断是否超出最小必要、是否与功能有关联性、是否给予用户充分选择权等。

　　“最直观的方式就是用常识和经验去判断。”马可说，“例如，资讯浏览App收集麦克风权限，其必要性显然需要画上问号。但什么情况下是合理必要的或与目的有关联的？如该资讯浏览类App提供了有声读物实时语音直播之类的功能，此时麦克风权限的申请与有声读物的实时直播属于资讯类App非必要但与功能有关联的情况，是具有合理性的。但同时要判断该App是否提供了用户拒绝使用该功能的选择，而非用户点击功能后不授权麦克风，基本的资讯都无法浏览了。”

　　明确特定类型个人信息收集要求

　　呼娜英表示，对于必要个人信息，2021年3月出台的《常见类型移动互联网应用程序必要个人信息范围规定》(以下简称《规定》)，对39类常见类型App的必要个人信息范围作出规定，《要求》及附录中的相关界定与《规定》是一致的。《规定》界定了12种特定类型的个人信息，明确了App通过申请特定权限，获取相应信息情形下的具体要求。

　　马可介绍说，对于特定类型个人信息，《要求》在附录C中采取列举方式，选取了一些常见的、具有一定敏感度的个人信息，帮助企业、用户进一步了解这些信息的收集处理要求。包括日历信息、应用程序列表、设备信息、短信信息、通话记录信息、通讯录信息、位置信息等。

　　马可表示，从《要求》来看，这些信息虽然特别但非绝对不能收集，每项信息都有具体的要求，满足要求的就可以开展。细化要求的基本原则，通俗讲就是能不收集就不收集，必须收集可以先看有没有替代方案，尤其其中比较敏感的个人信息，要做到充分告知并征得用户的单独同意。

　　两位专家指出，用户可以通过App的隐私政策、是否有弹窗说明和及时告知等进行判断。同时，可以在系统设置中查阅App所开启和关闭的权限，从而对应判断是否涉及特定类型个人信息，结合附录C进一步判断是否达到要求。

　　非必要但有关联个人信息不可强制收集