1

在App中没有隐私政策，或者隐私政策中没有收集使用个人信息规则；

明确要求App应公开隐私政策等文件，且隐私政策中应当包含收集使用个人信息的具体规则。在实践中，即使App公开了隐私政策，但App在用户首次登录时向用户默示隐私政策的情况十分普遍，导致隐私政策难以起到告知作用，因此本节要求App在首次运行时应以明显方式提示用户阅读。为了保护用户的知情权，除了要求在App首次运行时以明显方式提供用户阅读，还要求保证隐私政策在使用期间的易获得性。最后，对于难以阅读的情形也进行了非穷尽式列举，如未提供简体中文版等也构成“未公开收集使用规则”。就App专项治理工作组通报的57款存在收集使用个人信息问题App，其中：

1. 有12款App没有隐私政策；

2. 有10款App未通过明显方式提示用户阅读隐私政策，如未使用弹窗提示或采用将字体缩小，颜色变浅且放置在页面最底端的方式展示隐私政策链接；

3. 有14款App的隐私政策难以访问，如仅在注册或登录界面展示隐私政策链接，注册或登录后，无法再找到隐私政策；进入主界面后，多于4次点击等操作才能访问到隐私政策；

4. 有4款App的隐私政策难以阅读，如文字显示过小、过密；隐私政策中存在较多错别字或者歧义句；文字无自动换行；未提供简体中文版。

全自动化智能探测App是否有隐私政策，包括无法通过弹窗、文本链接、常见问题（FAQs）等形式在App中找到隐私政策。

2

在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则；

在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则。明显方式包括但不限于：弹窗、明显位置URL。

3

隐私政策等收集使用规则难以访问，如进入App主界面后，需多于4次点击等操作才能访问到；

全自动化智能探测App是否有隐私政策。检查从App首页到隐私政策是否可以在4次（含）点击之内访问到。

4

隐私政策等收集使用规则难以阅读，如文字过小过密、颜色过淡、模糊不清，或未提供简体中文版等。

全自动化智能探测App是否有隐私政策。包括隐私政策等收集使用规则的文字过小过密、颜色过淡、模糊不清；隐私政策是否是简体中文版；检查隐私政策文字是否造成阅读困难，如没有自动换行，段落划分不明确，存在较多错别字和歧义句等。

【法律依据】：

1) 《网络安全法》第四十一条第一款：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。

2) 《消费者权益保护法》第二十九条第一款：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。

1

未逐一列出App（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围等；

本节要求App需明示收集使用个人信息的目的、方式、范围。首先，要求App不仅要说明其自身收集使用个人信息的详细情况，同时为了打击SDK等第三方在App上进行隐秘收集的情况，也要求说明第三方SDK收集使用个人信息的具体情况。第二，原则上App收集使用个人信息的合法事由是获得用户同意，但如收集使用的目的在获得同意后发生变化，或者App运营者增加了其他类型的目的等，那么App运营者则需向用户告知变化的情况。第三，为了增强用户对其个人信息，尤其是个人敏感信息的控制权，则要求在App申请打开权限或者收集个人敏感信息时应同步告知目的，且强调目的应足够明确，易于理解。第四，隐私政策等文件应易于为普通人所理解，而不是只有律师等专业人士才能看懂，App运营者不能使用晦涩、冗长的隐私政策，如通篇都是法律术语。

就App专项治理工作组通报的57款存在收集使用个人信息问题App，其中：

1. 有34款App未逐一列出嵌入的第三方SDK收集使用个人信息的目的、类型；

2. 有1款App未在收集使用个人信息的目的、方式和范围发生变化时，以更新隐私政策的方式告知用户。

3. 有51款App未在申请打开权限或收集个人敏感信息时，同步告知告知目的；

4. 有3款App的隐私政策等收集使用规则晦涩难懂、冗长繁琐，用户难以理解。

基于百度自然语言理解技术，智能识别隐私政策内容，识别App中集成的第三方SDK。隐私政策中是否明示收集个人信息的业务功能。隐私政策中是否明示各项业务功能所收集的个人信息类型。

2

收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等；

基于百度自然语言理解技术，智能识别隐私政策内容。检查App的业务功能并结合隐私政策，当App的重要情况发生变更，如新增业务功能，使用个人信息的目的发生变更，是否会更新隐私政策等文件，并提醒用户重新阅读。

3

在申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确、难以理解；

对App进行全自动化智能检测，智能发现App申请权限和要求用户输入个人敏感信息时是否存在违规行为。

4

有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解，如使用大量专业术语等。

隐私政策是否大量使用专业术语（用语不符合通用习惯）,未使用标准化的数字、图示等。隐私政策是否存在较多错别字或歧义句。隐私政策是否逻辑结构混乱等。

法律依据：

1) 《网络安全法》第四十一条第一款：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。

2) 《消费者权益保护法》第二十九条第一款：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。

1

征得用户同意前就开始收集个人信息或打开可收集个人信息的权限；

本节对未经用户同意收集使用个人信息行为作出了更为明确和科学的界定，具体分为9种情形：征得同意前收集（即私自收集）、拒绝后仍收集或频繁申请权限、超出用户授权范围收集、默示同意、未经同意更改设置、强制定向推送、欺诈与诱骗、未提供撤回同意的途径、违反承诺。通过明晰App是否具有以上任一行为，从而判定用户意思表示是否真实，以充分保障用户的自主选择权。

针对不同情形下未经同意收集行为的执法情况如下：

1. 工信部通报的两批侵害用户权益的56款App中，有30款App存在征得同意前收集的行为；App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有10款App存在征得同意前收集的行为，收集的信息包括但不限于：MAC地址、用户操作记录、设备ID、应用程序列表、网页点击记录、用户地理位置。

2. 工信部通报的两批侵害用户权益的56款App中，有1款App存在频繁申请权限的行为；App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有12款App存在频繁申请权限的行为，有5款App在用户不同意收集打开某类权限，能通过其他方式间接收集该类个人信息。

3. App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有18款App存在以默认选择同意隐私政策的非明示方式征求用户同意的行为。

4. 工信部通报的两批侵害用户权益的56款App中，有8款App存在强制定向推送的行为。

5. 对于超出用户授权范围收集、欺诈与诱骗等方式诱导用户同意、未经同意更改设置、未提供撤回同意的途径、违反承诺等行为，未在前述所列的工信部和App专项治理工作组通报的执法案例发现该类行为。

对App进行全自动化智能检测，结合隐私行为分析，自动发现未经用户同意的收集个人信息行为。

2

用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用；

对App进行全自动化智能检测，结合隐私行为分析，自动发现频繁骚扰用户的行为。

3

实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围；

基于百度自然语言理解技术，智能识别隐私政策内容。对App进行全自动化智能检测，发现App实际收集用户个人信息的各种行为。判断是否有超出用户授权范围的行为。

4

以默认选择同意隐私政策等非明示方式征求用户同意；

对App进行全自动化智能检测，发现隐私政策入口。自动分析是否有默认勾选同意隐私政策，没有“不同意”选项等行为。

5

未经用户同意更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态；

执行APP更新操作，检验更新后是否自动将用户设置的权限恢复到默认状态。

6

利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项；

对App进行全自动化智能检测，结合AI隐私政策内容理解，判断App是否利用用户的个人网络浏览历史、兴趣偏好等个人信息开展定向推送活动，却未提供非定向推送信息的选项。

7

以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的；

对App进行全自动化智能检测，结合AI隐私政策内容理解，判断App是否通过故意欺瞒、诱骗等方式误导用户同意收集个人信息或打开可收集个人信息的权限。

8

未向用户提供撤回同意收集个人信息的途径、方式；

对App进行全自动化智能检测，结合AI隐私政策内容理解，判断是否向用户提供撤回同意收集个人信息的途径、方式。

9

违反其所声明的收集使用规则，收集使用个人信息；

对App进行全自动化智能检测，结合AI隐私政策内容理解，判断App是否违反了隐私政策中所声明的收集使用规则。

法律依据：

1) 《网络安全法》第四十一条第一款：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。

2) 《消费者权益保护法》第二十九条第一款：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。

1

收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关；

《信息安全技术 个人信息安全规范》（GB/T 35273-2020）要求App收集使用个人信息应当遵循最小必要原则，应当保障用户对多项业务功能的自主选择。然而，实践中，App违反这一规定收集个人信息的情况十分普遍。本节对常见的违反必要原则收集个人信息的典型行为进行了列举：收集的个人信息与现有业务功能无关、打开的权限与现有业务功能无关（过度索取权限）、超频度（次）收集、不给权限不给用。除此之外，还对App新增业务功能申请收集的个人信息超出用户授权范围、仅以服务质量等理由收集个人信息等行为作出了细化认定。

针对不同情形下收集与其提供的服务无关的个人信息的行为的执法情况如下：

1. App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有6款App存在收集的个人信息类型与业务功能无关，如某导航类App收集用户生日、性别等个人信息；有9款App存在过度申请权限的行为。工信部通报的两批侵害用户权益的56款App中，有22款App存在过度索取权限的行为。

2. App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有8款App因用户不同意打开非必要权限或收集非必要个人信息，拒绝提供所有业务功能或个别业务功能。

3. App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有12款App存在超频度收集个人信息的行为。

4. App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有8款App存在超一揽子授权的行为，即将targetSDKversion值设置小于23，要求用户一次性同意开启多个可收集个人信息的权限，用户不同意则无法使用。

5. 对于App新增业务功能超过用户授权同意，用户不同意的，强制用户接受新增业务功能，以及仅以改善服务质量等为理由强制用户同意收集个人信息等行为，则未在前述所列的工信部和App专项治理工作组通报的执法案例发现此类行为。

根据国家标准和行业标准对App进行分类，并分析App的所有业务功能。对App进行全自动化智能检测，分析App收集的个人信息和打开的权限，是否和现有业务功能无关。

2

因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能；

根据国家标准和行业标准对App进行分类，并分析App的所有业务功能。对App进行全自动化智能测试，在App启动时，拒绝其索取敏感权限或非必要权限后，应用是否退出或关闭。

3

App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，则拒绝提供原有业务功能，新增业务功能取代原有业务功能的除外；

根据国家标准和行业标准对App进行分类，并分析App的所有业务功能。分析判断是否有如下情况：（1）App新增业务功能或申请收集的个人信息超出用户原有同意范围没有向用户明确告知并说明后果；（2）用户不授权同意使用、关闭或退出新增业务功能的，仍要频繁征求用户的授权同意;

4

收集个人信息的频度等超出业务功能实际需要；

对App进行全自动化智能检测和全方位行为监控，判断是否有超频度的不合理收集行为，如平均每秒获取多次IMEI号，非地图导航类APP平均每秒上传多次GPS定位信息。

5

仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息；

基于百度自然语言理解技术，智能识别隐私政策内容中收集个人信息的目的，分析判断是否有如下情况：（1）App将改善服务质量、提升用户体验、定向推送信息、研发新产品等列为单独业务功能，并强制要求用户同意收集个人信息；（2）App使用定向推送功能未提供关闭的途径，或者关闭后无法继续使用App。

6

要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。

检测App设置targetSdkVersion值小于23，要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。

法律依据：

1） 《网络安全法》第四十一条：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。

网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

2） 《消费者权益保护法》第二十九条第一款：经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。

1

既未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码、插件等方式向第三方提供个人信息；

本节根据个人信息流转的阶段对未经同意向他人提供个人信息作出的界定，存在3种具体情况：在未经用户同意且未做匿名化处理的情形下，由App客户端直接向第三方提供个人信息；在未经用户同意且未做匿名化处理的情形下，在数据传输至App后台服务器后向第三方提供个人信息；App接入的小程序、公众号、服务应用等第三方主体，未经用户同意，将个人信息直接提供给第三方。

未经同意向第三方提供个人信息的执法情况如下：

1. 工信部通报的两批侵害用户权益的56款App中，有19款App存在未经同意向他人提供个人信息的行为，但未做具体分析，无法将其与本节检测项一一对应。

2. App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有49款App存在通过客户端向第三方提供个人信息的行为，其中有46款App通过客户端嵌入的SDK向第三方提供用户设备IMEI号、地理位置等个人信息，有2款App从客户端向第三方传输个人设备ID，有1款App从其客户端嵌入的SDK将收集Android  ID等个人信息传输到美国某厂商云服务器。

3. App专项治理工作组通报的存在收集使用个人信息问题的57款App中，有1款App未经用户同意，从App客户端向第三方客服平台提供用户手机号并传输用户与在线客服的聊天记录。

4. 对于数据传输至App后台服务器，则未在前述所列的工信部和App专项治理工作组通报的执法案例发现此类行为。

对App进行全自动化智能检测和行为监控，并结合AI隐私政策内容理解，判断App是否有如下行为：（1）未在隐私政策中说明第三方SDK收集个人信息的情况；（2）未对个人信息进行匿名化、去标识化等处理就直接向第三方提供。

2

既未经用户同意，也未做匿名化处理，数据传输至App后台服务器后，向第三方提供其收集的个人信息；

App是否在隐私政策中向用户告知其将向第三方提供其收集的个人信息并征求其同意。将提供给第三方的个人信息做匿名化处理。

3

App接入第三方应用，未经用户同意，向第三方应用提供个人信息。

检测App接入第三方应用前是否向用户明示并征得同意其个人信息共享情况，及共享后个人信息的传播路径等。 

法律依据：

1) 《网络安全法》第四十二条第一款：网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。

2) 《消费者权益保护法》第二十九条第二款：经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。

1

未提供有效的更正、删除个人信息及注销用户账号功能；

本节对用户删除或更正个人信息、注销账户、投诉等权利的实现作出了详尽的说明，旨在保障用户权利实现机制和渠道的有效性。

就App专项治理工作组通报的57款存在收集使用个人信息问题App，其中：

1. 有8款App未提供账号注销功能；

2. 有10款App为注销用户账号设置不合理条件，如需提交身份证正反面照片、手持身份证照片等信息才允许注销；

3. 有8款App未提供有效的注销用户账号功能，如客服表示直接退出账号并卸载即可注销，但经测试采取前述操作后，账号并未注销；客服提供的注销账号链接显示链接错误，无法完成账号注销；按照隐私政策中提示的邮件方式申请注销账户，邮件中的链接为重置密码的解决方法，无法完成账户注销；申请注销的邮件未在15个工作日内完成核查和处理。

4. 有13款App未建立并公布个人信息安全投诉、举报渠道/未提供有效的个人信息安全投诉、举报渠道：向提供的举报邮箱发送信息，系统退信称该邮箱不存在/按照提供的方式进行意见反馈，超过15天未收到回复。

5. 对于用户删除或更正个人信息，则未在前述所列的工信部和App专项治理工作组通报的执法案例发现该类违法违规行为。

对App进行全自动化智能检测和行为监控，并结合AI隐私政策内容理解，判断App是否有在隐私政策中清晰告知账号注销的途径和方式；并且能在App设置等功能处找到便捷的注销入口。

2

为更正、删除个人信息或注销用户账号设置不必要或不合理条件；

检测App是否为更正、删除个人信息或注销用户账号设置了不合理条件，如需要用户提供个人敏感信息或照片才能注销等。

3

虽提供了更正、删除个人信息及注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理；

对账号进行更正、删除、注销等操作，观测如下行为：（1）是否可以直接在线完成操作，完成操作后App能否及时响应（2）通过电话、邮箱等人工服务注销账户的，App可以在承诺期限内（无承诺时限的，以15个工作日为限）实现内完成注销。

4

更正、删除个人信息或注销用户账号等用户操作已执行完毕，但App后台并未完成的；

对账号进行更正、删除、注销等操作后，观测如下行为：（1）用户是否可以直接在线完成操作，完成操作后App能否及时响应（3）用户通过电话、邮箱等人工服务注销其账户的，App可以在承诺期限内（无承诺时限的，以15个工作日为限）实现内完成注销。"

5

未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理的。

隐私政策中是否包含有关个人信息安全、投诉的规则，并提供相应的投诉渠道，如电话号码。App应尽量及时受理并处理用户有关个人信息安全的投诉、举报，最长不得超过15个工作日。

法律依据：

1) 《网络安全法》第四十三条：个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息；发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正。

2) 第四十九条：网络运营者应当建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信息安全的投诉和举报。

3) 《电信和互联网用户个人信息保护规定》第九条第四款：电信业务经营者、互联网信息服务提供者在用户终止使用电信服务或者互联网信息服务后，应当停止对用户个人信息的收集和使用，并为用户提供注销号码或者账号的服务。