4月26日，在國家互聯網信息辦公室的統(tǒng)籌指導下，工業(yè)和信息化部會同公安部、市場監(jiān)管總局起草《移動互聯網應用程序個人信息保護管理暫行規(guī)定（征求意見稿）》。

“征求意見稿”共計二十條，界定了適用范圍和監(jiān)管主體；確立了“知情同意”“最小必要”兩項重要原則；細化了APP開發(fā)運營者、分發(fā)平臺、第三方服務提供者、終端生產企業(yè)、網絡接入服務提供者五類主體責任義務；提出了投訴舉報、監(jiān)督檢查、處置措施、風險提示等四方面規(guī)范要求。

“征求意見稿”中明確指出，要遵循誠信原則，不得通過欺騙、誤導等方式處理個人信息，切實保障用戶同意權、知情權、選擇權和個人信息安全，對個人信息處理活動負責。

明確指出“應當采取非默認勾選的方式征得用戶同意”“應當在對應業(yè)務功能啟動時，動態(tài)申請APP所需的權限，不應強制要求用戶一攬子同意打開多個系統(tǒng)權限，且未經用戶同意，不得更改用戶設置的權限狀態(tài)”。

此外，也指明“用戶拒絕提供非該類服務所必需的個人信息時，不得影響用戶使用該服務”“對于不影響其他服務功能的獨立服務功能模塊，應當向用戶提供關閉或者退出該獨立服務功能的選項，不得因用戶采取關閉或者退出操作而拒絕提供其他服務”“不得欺騙誤導用戶下載APP”。

也要求“從事APP個人信息處理活動的相關主體，應當加強人員教育培訓，制定個人信息保護內部管理制度，落實網絡安全等級保護和應急預案等制度要求；采取加密、去標識化等安全技術措施，防止未經授權的訪問及個人信息泄露或者被竊取、篡改、刪除等風險；需要認證用戶真實身份信息的，應當通過國家統(tǒng)一建設的公民身份認證基礎設施所提供的網上公民身份核驗認證服務進行?！?/p>

移動互聯網應用程序個人信息保護管理暫行規(guī)定（征求意見稿）

第一條 為保護個人信息權益，規(guī)范移動互聯網應用程序（以下簡稱APP）個人信息處理活動，促進個人信息合理利用，依據《中華人民共和國網絡安全法》等法律法規(guī)，制定本規(guī)定。

第二條 在中華人民共和國境內開展的APP個人信息處理活動，應當遵守本規(guī)定。法律、行政法規(guī)對個人信息處理活動另有規(guī)定的，從其規(guī)定。

第三條 本規(guī)定所稱APP個人信息處理活動，是指移動智能終端中運行的應用程序收集、存儲、使用、加工、傳輸個人信息的活動。

本規(guī)定所稱APP開發(fā)運營者，是指從事APP開發(fā)和運營活動的主體。

本規(guī)定所稱APP分發(fā)平臺，是指通過應用商店、應用市場、網站等方式提供APP下載、升級服務的軟件服務平臺。

本規(guī)定所稱APP第三方服務提供者，是指相對于用戶和APP以外的，為APP提供軟件開發(fā)工具包（SDK）、封裝、加固、編譯環(huán)境等第三方服務的主體。

本規(guī)定所稱移動智能終端生產企業(yè)，是指生產能夠接入公眾網絡，提供預置APP或者具備安裝APP能力的移動智能終端設備的主體。

本規(guī)定所稱網絡接入服務提供者，是指從事互聯網數據中心（IDC）業(yè)務、互聯網接入服務（ISP）業(yè)務和內容分發(fā)網絡（CDN）業(yè)務，為APP提供網絡接入服務的電信業(yè)務經營者。

第四條 國家互聯網信息辦公室負責統(tǒng)籌協調APP個人信息保護工作和相關監(jiān)督管理工作，會同工業(yè)和信息化部、公安部、市場監(jiān)管總局建立健全APP個人信息保護監(jiān)督管理聯合工作機制，統(tǒng)籌推進政策標準規(guī)范等相關工作，加強信息共享及對App個人信息保護工作的指導。各部門在各自職責范圍內負責APP個人信息保護和監(jiān)督管理工作。

省、自治區(qū)、直轄市網信辦、通信管理局、公安廳（局）、市場監(jiān)管局負責本行政區(qū)域內APP個人信息保護監(jiān)督管理工作。

前兩款規(guī)定的部門統(tǒng)稱為APP個人信息保護監(jiān)督管理部門。

第五條 APP個人信息處理活動應當采用合法、正當的方式，遵循誠信原則，不得通過欺騙、誤導等方式處理個人信息，切實保障用戶同意權、知情權、選擇權和個人信息安全，對個人信息處理活動負責。

相關行業(yè)組織和專業(yè)機構按照有關法律法規(guī)、標準及本規(guī)定，開展APP個人信息保護能力評估、認證。

第六條 從事APP個人信息處理活動的，應當以清晰易懂的語言告知用戶個人信息處理規(guī)則，由用戶在充分知情的前提下，作出自愿、明確的意思表示。

（一）應當在APP登錄注冊頁面及APP首次運行時，通過彈窗、文本鏈接及附件等簡潔明顯且易于訪問的方式，向用戶告知涵蓋個人信息處理主體、處理目的、處理方式、處理類型、保存期限等內容的個人信息處理規(guī)則；

（二）應當采取非默認勾選的方式征得用戶同意；

（三）應當尊重用戶選擇權，在取得用戶同意前或者用戶明確表示拒絕后，不得處理個人信息；個人信息處理規(guī)則發(fā)生變更的，應當重新取得用戶同意；

（四）應當在對應業(yè)務功能啟動時，動態(tài)申請APP所需的權限，不應強制要求用戶一攬子同意打開多個系統(tǒng)權限，且未經用戶同意，不得更改用戶設置的權限狀態(tài)；

（五）需要向本APP以外的第三方提供個人信息的，應當向用戶告知其身份信息、聯系方式、處理目的、處理方式和個人信息的種類等事項，并取得用戶同意；

（六）處理種族、民族、宗教信仰、個人生物特征、醫(yī)療健康、金融賬戶、個人行蹤等敏感個人信息的，應當對用戶進行單獨告知，取得用戶同意后，方可處理敏感個人信息。

第七條 從事APP個人信息處理活動的，應當具有明確、合理的目的，并遵循最小必要原則，不得從事超出用戶同意范圍或者與服務場景無關的個人信息處理活動。

（一）處理個人信息的數量、頻次、精度等應當為服務所必需，不得超范圍處理個人信息；

（二）個人信息的本地讀取、寫入、刪除、修改等操作應當為服務所必需，不得超出用戶同意的操作范圍；

（三）用戶拒絕相關授權申請后，不得強制退出或者關閉APP，不得提前申請超出其業(yè)務功能或者服務外的權限，不得利用頻繁彈窗反復申請與當前服務場景無關的權限；

（四）在非服務所必需或者無合理場景下，不得自啟動或者關聯啟動其他APP；

（五）用戶拒絕提供非該類服務所必需的個人信息時，不得影響用戶使用該服務；

（六）不得以改善服務質量、提升使用體驗、研發(fā)新產品、定向推送信息、風險控制等為由，強制要求用戶同意超范圍或者與服務場景無關的個人信息處理行為。

第八條 APP開發(fā)運營者應當履行以下個人信息保護義務：

（一）切實提升產品和服務個人信息保護意識，將個人信息保護要求落實在產品設計、開發(fā)及運營環(huán)節(jié)；以顯著、清晰的方式定期向用戶呈現APP的個人信息收集使用情況；

（二）基于個人信息向用戶提供商品或者服務的搜索結果的，應當保證結果公平合理，同時向該用戶提供不針對其個人特征的選項，尊重和平等保護用戶合法權益；

（三）使用第三方服務的，應當制定管理規(guī)則，明示APP第三方服務提供者的名稱、功能、個人信息處理規(guī)則等內容；應與第三方服務提供者簽訂個人信息處理協議，明確雙方相關權利義務，并對第三方服務提供者的個人信息處理活動和信息安全風險進行管理監(jiān)督；APP開發(fā)運營者未盡到監(jiān)督義務的，應當依法與第三方服務提供者承擔連帶責任；

（四）對于不影響其他服務功能的獨立服務功能模塊，應當向用戶提供關閉或者退出該獨立服務功能的選項，不得因用戶采取關閉或者退出操作而拒絕提供其他服務；

（五）加強前端和后端安全防護、訪問控制、技術加密、安全審計等工作，主動監(jiān)測發(fā)現個人信息泄露等違規(guī)行為，及時響應處置要求；

（六）國家規(guī)定的其他個人信息保護義務。

第九條 APP分發(fā)平臺應當履行以下個人信息保護義務：

（一）登記并核驗APP開發(fā)運營者、提供者的真實身份、聯系方式等信息；

（二）在顯著位置標明APP運行所需獲取的用戶終端權限列表和個人信息收集的類型、內容、目的、范圍、方式、用途及處理規(guī)則等相關信息；

（三）不得欺騙誤導用戶下載APP；

（四）對新上架APP實行上架前個人信息處理活動規(guī)范性審核，對已上架APP在本規(guī)定實施后1個月內完成補充審核，并根據審核結果進行更新或者清理；

（五）建立APP開發(fā)運營者信用積分、風險APP名單、平臺信息共享及簽名驗證等管理機制；

（六）按照監(jiān)督管理部門的要求，完善報送機制，及時配合監(jiān)督管理部門開展問題APP上報、響應和處置工作；

（七）設置便捷的投訴舉報入口，及時處理公眾對本平臺所分發(fā)APP的投訴舉報；

（八）國家規(guī)定的其他個人信息保護義務。

第十條 APP第三方服務提供者應當履行以下個人信息保護義務：

（一）制定并公開個人信息處理規(guī)則；

（二）以明確、易懂、合理的方式向APP開發(fā)運營者公開其個人信息處理目的、處理方式、處理類型、保存期限等內容，其個人信息處理活動應當與公開的個人信息處理規(guī)則保持一致；

（三）未經用戶同意或者在無合理業(yè)務場景下，不得自行進行喚醒、調用、更新等行為；

（四）采取足夠的管理措施和技術手段保護個人信息，發(fā)現安全風險或者個人信息處理規(guī)則變更時應當及時進行更新并告知APP開發(fā)運營者；

（五）未經用戶同意，不得將收集到的用戶個人信息共享轉讓；

（六）國家規(guī)定的其他個人信息保護義務。

第十一條 移動智能終端生產企業(yè)應當履行以下個人信息保護義務：

（一）完善終端權限管控機制，及時彌補權限管理漏洞，持續(xù)優(yōu)化和規(guī)范敏感行為的記錄能力，主動為用戶權限申請和告知提供便利；

（二）建立終端啟動和關聯啟動APP管理機制，為用戶提供關閉自啟動和關聯啟動的功能選項；

（三）持續(xù)優(yōu)化個人信息權限在用狀態(tài)，特別是錄音、拍照、視頻等敏感權限在用狀態(tài)的顯著提示機制，幫助用戶及時準確了解個人信息權限的使用狀態(tài)；

（四）建立重點APP關注名單管理機制，完善移動智能終端APP管理措施；

（五）對預置APP進行審核，持續(xù)監(jiān)測預置APP的個人信息安全風險；

（六）在安裝過程中以顯著方式告知用戶APP申請的個人信息權限列表；

（七）完善終端設備標識管理機制；

（八）國家規(guī)定的其他個人信息保護義務。

第十二條 網絡接入服務提供者應當履行以下個人信息保護義務：

（一）在為APP提供網絡接入服務時，登記并核驗APP開發(fā)運營者的真實身份、聯系方式等信息；

（二）按照監(jiān)督管理部門的要求，依法對違規(guī)APP采取停止接入等必要措施，阻止其繼續(xù)違規(guī)侵害用戶個人信息和其他合法權益；

（三）國家規(guī)定的其他個人信息保護義務。

第十三條 從事APP個人信息處理活動的相關主體，應當加強人員教育培訓，制定個人信息保護內部管理制度，落實網絡安全等級保護和應急預案等制度要求；采取加密、去標識化等安全技術措施，防止未經授權的訪問及個人信息泄露或者被竊取、篡改、刪除等風險；需要認證用戶真實身份信息的，應當通過國家統(tǒng)一建設的公民身份認證基礎設施所提供的網上公民身份核驗認證服務進行。

第十四條 任何組織和個人發(fā)現違反本規(guī)定行為的，可以向監(jiān)督管理部門或者中國互聯網協會、中國網絡空間安全協會投訴舉報，監(jiān)督管理部門和相關組織應當及時受理并調查處理。

從事APP個人信息處理活動的相關主體應當自覺接受社會監(jiān)督。

第十五條 根據公眾投訴舉報情況和監(jiān)管中發(fā)現的問題，監(jiān)督管理部門可以對存在問題和風險的APP實施個人信息保護檢查。

從事APP個人信息處理活動的相關主體應當對監(jiān)督管理部門依法實施的監(jiān)督檢查予以配合。

第十六條 發(fā)現從事個人信息處理活動的相關主體違反本規(guī)定的，監(jiān)督管理部門可依據各自職責采取以下處置措施：

（一）責令整改與社會公告。對檢測發(fā)現問題APP的開發(fā)運營者、APP分發(fā)平臺、第三方服務提供者及相關主體提出整改，要求5個工作日內進行整改及時消除隱患；未完成整改的，向社會公告。

（二）下架處置。對社會公告5個工作日后，仍拒絕整改或者整改后仍存在問題的，可要求相關主體進行下架處置；對反復出現問題、采取技術對抗等違規(guī)情節(jié)嚴重的，將對其進行直接下架；被下架的APP在40個工作日內不得通過任何渠道再次上架。
（三）斷開接入。下架后仍未按要求完成整改的，將對其采取斷開接入等必要措施。

（四）恢復上架。被下架的APP完成整改，并完善技術和管理機制及作出企業(yè)自律承諾后，可向作出下架要求的監(jiān)督管理部門申請恢復上架。

（五）恢復接入。被斷開網絡接入的APP完成整改后，可向作出斷開接入要求的監(jiān)督管理部門申請恢復接入。

（六）信用管理。對相應違規(guī)主體，可納入信用管理，實施聯合懲戒。

第十七條 對整改反復出現問題的APP及其開發(fā)運營者開發(fā)的相關APP，監(jiān)督管理部門可以指導組織APP分發(fā)平臺和移動智能終端生產企業(yè)在集成、分發(fā)、預置和安裝等環(huán)節(jié)進行風險提示，情節(jié)嚴重的采取禁入措施。

第十八條 從事APP個人信息處理活動侵害個人信息權益的，將依照有關規(guī)定予以處罰；構成犯罪的，公安機關依法追究刑事責任。

第十九條 監(jiān)督管理部門應當對履行職責中知悉的用戶個人信息予以保密，不得泄露、篡改或者毀損，不得出售或者非法向他人提供。

第二十條 本規(guī)定自 年 月 日起施行。