个人信息收集使用新规之《互联网应用程序个人信息收集使用规定（征求意见稿）》解读 -

1个人信息收集使用新规之《互联网应用程序个人信息收集使用规定（征求意见稿）》解读2026年1月10日，国家互联网信息办公室就《互联网应用程序个人信息收集使用规定（征求意见稿）》（以下简称《征求意见稿》）向社会公开征求意见，意见反馈截止时间为2026年2月9日。《征求意见稿》共分七章三十九条，以互联网应用程序为管理对象，详细规定了个人信息收集使用的要求，同时明确了软件开发工具包（SDK）、分发平台、智能终端等为互联网应用程序提供服务的主体责任，形成了对移动互联网个人信息收集使用环节的闭环规则。整体而言，《征求意见稿》以《个人信息保护法》为基本法律框架，在实践基础上提炼规则，总结了实践通行做法，吸收了相关标准经验，拟将其固化为法律规则。《征求意见稿》突出强调了主体间管理责任、权限管理、智能终端等内容，相较于现行管理制度有不少新的变化（详见下表）。《征求意见稿》既有对现行管理制度的重申和强调，也有一些制度创新，充分反映了监管视角下个人信息保护的重点环节和未来的趋势走向，虽然还在征求意见阶段，对未来个人信息保护工作来说具有重要指导作用。 2互联网应用程序（含小程序、快应用等）互联网应用程序对SDK/分发平台对互联网应用程序/智能终端对互联网应用提供、委托处理和共同处理个人信息收集适用主体应制定并公开；第三方个人信息收集使用规则一键访问功能；大型互联网应用程序修订、更新个人信息收集使用规则应当事先公开个人信息处理规则（隐私政策）明确权限调用、禁用规则；明确权限使用规则和信息披露要求；强调最小必要原则在权限调用中的适用规则；智能终端对互联网应用程序规范审核责任，增加信息披露内容（包括违法违规记录）APP信息明示和审核责任一、总体性要求——在《个人信息保护法》基础上划清责任边界1.适用范围《征求意见稿》在总则部分首先规定了适用范围，包括“运营互联网应用程序过程中收集使用个人信息”和“软件开发工具包、分发平台、智能终端等为互联网应用程序收集使用个人信息活动提供服务”（第二条第一款），其使用主体即覆盖了互联网应用程序、SDK、分发平台和智能终端，从法律意义上扩展了现行个人信息保护的载体对象。同时，《征求意见稿》也在《个人信息保护法》的框架内规定了域外适用效力（第二条第二款）。2.原则重申《征求意见稿》重申了《个人信息保护法》规定的原则，包括合法、正当、必要和诚信原则（第三条第一款）、知情同意原则（第三条第二款）和最小必要原则（第三条第三、四款）。3.责任划分框架《征求意见稿》强调了互联网应用程序、软件开发工具包运营者分别对所运营的互联网应用程序、软件开发工具包个人信息收集使用活动及安全保护承担主体责任（第四条第一款），同时首次明确了不同主体在移动互联网个人信息保护中的各自义务和责任边界，即互联网应用程序对SDK、分发平台运营者对分发的互联网应用程序、智能终端厂商对预置的互联网应用程序依法履行审核义务（第四条第二款）。 3《征求意见稿》实际上在民事主体之间设置了一定的管理义务，这符合一般意义上认知逻辑，也是将实践中的通行做法上升为法律规定。不过，就该审核义务而言，不同主体的审核能力、市场地位有所差异，比如通常意义上分发平台能够对分发的互联网应用程序采取实质性的、强管理的审核，而互联网应用程序则未必能够对所有的SDK采取较为强硬的审核措施，常见的多以披露第三方主体信息和隐私政策来满足合规要求。这在《征求意见稿》未来推进过程中，倾向于实际统一还是遵循现状，是值得观察的合规点之一。进一步而言，《征求意见稿》明确，未能进行有效审核，对个人信息主体权益造成损害的，依法承担相应责任。《征求意见稿》针对互联网应用程序和SDK之间的关系，要求双方约定安全保护责任及违约责任（第十九条第一款）。但是，分发平台运营者对分发的互联网应用程序、智能终端厂商对预置的互联网应用程序这两对关系并无进一步规定。对于所谓的“相应责任”，与《电子商务法》类似，在《网络数据安全管理条例》中也已经规定，其在民事法律框架下可能为连带责任，也可能为补充责任，但在行政监管视角下，则可能具有准连带责任的效果。结合《个人信息保护法》所规定的过错推定责任，相关主体宜充分留存合规证明，以避免发生个人信息主体权益损害时的合规风险。4.国家秘密和通信秘密保护《征求意见稿》还明确了国家秘密和通信秘密的保护要求。对于国家秘密而言，要求对汇聚、关联后属于国家秘密事项的个人信息，按照国家有关安全保密规定加强管理；对于通信秘密，要求各移动应用主体不得对属于通信秘密的个人信息的内容进行检查，不得向第三方提供（第五条）。同时，《征求意见稿》专门针对调用通讯录、通话记录、短信权限的场景中，可能收集使用其他信息主体的个人信息的情况，要求保护可能产生的通信秘密（第十条第二款）。这在规范意义上具有现实的必要性，但就落地操作而言，还需考虑有关国家秘密和通信秘密的界定问题。《保守国家秘密法》规定了国家秘密的范围和相应的定密权限、程序，商业主体实际上不具有定密的能力和权限，如何在实践中确定何种信息为国家秘密，可能是一个操作性的问题。通信秘密的界定更为有限，实务中还局限于传统的通信传输框架，互联网环境下以社交媒体为主的通信方式中，如何准确界定通信秘密，也是另一个操作性的问题。二、互联网应用程序运营安全管理要求《征求意见稿》整体上基于“安全管理”的定位对不同主体收集使用个人信息明确了相应要求。第二章重点规定了“互联网应用程序”的运营安全管理要求。互联网应用程序（APP）是指智能终端预置、下载安装的应用软件，以及基于应用软件开放平台接口开发的、无需安装即可使用的小程序、快应用等，互联网应用程序运营者是指互联网应用程序的开发者、所有者、管理者或者提供者（第三十八条）。1.个人信息收集使用规则《征求意见稿》首先要求互联网应用程序应当制定个人信息收集使用规则（条款表述与“个人信息处理规则”不同这与《个人信息保护法》的规定有所区别1，但与实际监管要求一致，如国家计算机病毒处理中心对违法违规收集使用个人信息的检测中，即包含“无隐私政策”的违规项。在告知事项方面，《征求意见稿》进一步细化相关要求，除了《个人信息保护法》《网络数据安全管理条例》规定的事项以外，还专门要求清单必须符合“结构化”的要求和权限使用情况的要求（针对已收集个人信息清单）。2021年，工信部发布《关于开展信息通信服务感知提升行动的通知》，首次提出建立个人信息保护“双清单”（已收集个人信息清单和与第三方共享个人信息清单）的要求，《网络数据安全管理条例》固化了“清单形式”的法律要求。结构化是指将信息、数据或事物按照一定的逻辑规则、层次关系或标准格式进行组织和排列，使其具有清晰、有序、易于理解和处理的形式。从目前主流双清单合规的做法来看，似乎能够满足结构化的要求，因此《征求意见稿》的目的是将成熟做法固化为法律规则，还是提出新的合规要求，仍有待进一步观察。如果是后者，则可能需要进一步以标准、指引等方式释明结构化的具体要求。1《个人信息保护法》第十七条第三款规定，个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。从条款文义看，并不限于以个人信息处理规则的方式履行告知义务，但实践中似乎并无更好的告知方式；同时，“个人信息处理规则”与“个人信息收集使用规则”在表述上也具有差异。本文中为方便表述，不区分个人信息处理规则、个人信息收集使用规则、隐私政策等概念。 4《征求意见稿》还在具体规定中进一步明确了有关告知同意的具体规则：（1）明确了区分场景同意的规定（第十二条），要求互联网应用程序提供基于功能场景的个人信息收集使用配置选项，允许用户根据需要，同意部分功能场景收集使用相关个人信息；（2）严格权限管理。《征求意见稿》详细规定了调用权限的最小必要原则，仅能在用户使用具体功能时索要相关权限，不得提前索要或者频繁索要（第十三条第一款），调用权限需与当前功能场景直接相关，以最低频度、最小范围调用，且仅限于功能场景使用期间（第十三条第二款），严格限定高敏感场景的权限调用，如相机、麦克风、位置、手机相册、通讯录、短信、存储等权限2（第十四条，见下表）；（3）生物识别信息充分评估。《征求意见稿》要求互联网应用程序收集人脸、指纹、声纹等生物识别信息时，必须具有特定的目的和充分的必要性，采取对个人权益影响最小的方式，并实施严格的保护措施（第十五条第一款），同时要求除例外情形外（法律、行政法规或者用户单独同意），上述生物识别信息仅能存储于生物识别设备内，保存期限也不得超过实现处理目的所需的最短时间。互联网应用程序应当仅在用户主动选择使用拍照、发送语音、录音录像等功能时调用相机、麦克风权限，不得在用户停止使用相关功能或者无关场景调用相机、麦克风权限。互联网应用程序在地图导航、路径记录、外卖闪送、位置共享等需要实时定位的场景，持续调用位置权限的频率应当限于实现业务功能的最低频度；在添加地点、内容搜索、内容推位场景，应当仅在用户进入功能界面或者用户主动刷新时调用一次位置权限。除法律、行政法规另有规定或者所提供业务功能确需后台持续获取位置外，互联网应用程序不应索要后台访问用户位置信息权限。手机相册、通讯录、用户选择使用上传或者发送图片、文件等功能，互联网应用程序可使用智能终端提供的存储访问框架实现的，不得索要手机相册、通讯录、短信、存储等权限。互联网应用程序通过提供文件编辑、文件备份等功能获得存储权限的，不得访问用户主动选择以外的文件。2.大型互联网应用程序特殊义务《征求意见稿》要求大型互联网应用程序3（即注册用户5000万以上或者月活跃用户1000万以上，业务类型复杂的互联网应用程序）修订、更新个人信息收集使用规则，应当向社会公开征求意见，征求意见期限不得少于7个工作日。隐私政策在个人信息保护中发挥基础性作用，是个人信息处理者对外展示个人信息处理情况的重要法律文件，也是明确个人信息处理相关责任的主要依据。《征求意见稿》要求修订、更新个人信息收集使用规则时向社会公开征求意见，有利于公众参与，促进隐私政策的公平性、合理性和透明性。不过，《征求意见稿》仅规定了修订、更新时需要征求意见，而未对制定隐私政策明确征求意见的要求，从逻辑上似乎并不周延。就实际情况看，大型网络平台通常都已经制定了隐私政策，聚焦修订、更新环节并无不妥，但考虑到法律的稳定性和产业发展的变化性，加上制定环节可能更为妥当。相较而言，对于非大型互联网应用程序，《征求意见稿》要求其发布或者更新版本后，应当采取有效方式提醒用户进行版本升级，并对所有授权发布渠道的旧版本互联网应用程序进行更新替换（第二十条）。2《征求意见稿》第三十八条中明确，可收集个人信息权限是指智能终端操作系统向互联网应用程序开放的，具有收集个人信息功能的系统权限，包括日历、通话记录、相机、通讯录、位置、麦克风、电话、短信、存储、身体活动等。3《网络数据安全管理条例》第六十二条第八项明确，大型网络平台，是指注册用户5000万以上或者月活跃用户1000万以上，业务类型复杂，网络数据处理活动对国家安全、经济运行、国计民生等具有重要影响的网络平台。《征求意见稿》的界定有所出入，在定量上保持一致，但没有“对国家安全、经济运行、国计民生等具有重要影响”的定性描述。 53.《征求意见稿》强化了告知同意规则《征求意见稿》细化了三种告知同意的要求：（1）首次使用时弹窗告知（第九条第一款）。这与实践做法基本一致，首次使用时似乎也仅可以通过弹窗的方式告知和取得用户同意；（2）增加一键访问功能。当前实践中，企业通常将第三方的隐私政策放置于向第三方共享的个人信息清单中，《征求意见稿》为了进一步方便用户查阅和保存，要求互联网应用程序在设置页面等醒目位置提供个人信息收集使用规则一键访问功能（第九条第二款）；（3）明确隐私政策变化时的重新同意。《征求意见稿》要求，互联网应用程序对隐私政策做重大调整时（符合第八条第一款情形的），需以弹窗、消息推送等方式告知并重新取得用户同意（第九条第三款）。修订、更新隐私政策通常涉及两种情况，满足监管要求、合规要求等，以及个人信息处理活动发生重大变化。就后者而言，《征求意见稿》如果能够进一步明确在这种情况下用户拒绝同意的处理方法，可能更符合个人信息保护的实际情况，回应在该种情况下如何保护用户权益，以及释明合规做法。4.《征求意见稿》明确了禁止性规定《征求意见稿》非常具有针对性地禁止了互联网应用程序调用通讯录、通话记录、短信权限等收集用户以外的其他个人信息主体的个人信息，仅允许特定场景的调用即确需用于满足通讯录联系、添加好友、数据备份的（第十条第一款）。这是立法层面首次回应了通过某一用户收集第三人个人信息的场景，其集中表现为通讯录等场景，用户的通讯录中包含了其他人的个人信息，企业调用其通讯录即收集了其他人的个人信息，但用户本身不构成个人信息处理者，即无法使用个人信息转移的法律规则，在实践中确属合规的模糊地带。《征求意见稿》首次表明了对此场景的禁止性态度，对于规范个人信息处理活动具有积极意义，也在很大程度上回应了社会公众对通信秘密保护的担忧。5.注销账号的专门规定近年来特别是2025年，注销账号成为影响用户权益的主要场景，也是重点监管领域之一。《征求意见稿》专门针对注销账号问题，规定了三个方面具体要求（第十八条）：（1）不得设置不合理条件。《征求意见稿》专门要求互联网应用程序不得要求用户新增提供人脸、手持身份证照片等超出互联网应用程序已收集范围以外的个人信息（除确有必要用于防范黑灰产、安全风控等情形）；（2）强调15个工作日的时限要求。实践中，账号注销的最长时限为15个工作日甚至在部分实践中进一步确定为15日，《征求意见稿》固化了这一要求；（3）关联注销。《征求意见稿》在一定程度上并不支持关联注销的做法，要求统一账号、一体化管理场景下，应当允许用户选择注销其中一款互联网应用程序账号，或者允许用户选择关闭该账号在此互联网应用程序的使用权限，并删除仅用于此互联网应用程序的个人信息。《信息安全技术个人信息安全规范》（GB/T35273-2020）8.5、《移动智能终端及应用软件用户个人信息保护实施指南第9部分：注销账户》（T/TAF085-2021）等都考虑到了关联注销的问题，将“注销单个账户视同注销多个产品或服务”的情形视为设置不合理的条件或提出额外要求增加个人信息主体义务。当然，关联注销问题在实践中受业务模式、技术条件等限制，可能还存在更为丰富的场景，这在未来立法过程中是否需要进一步关注和讨论，也是需要考虑的问题之一。6.涉及SDK的权利响应《征求意见稿》考虑了一种情形，即互联网应用程序和用户之间存在直接交互关系，用户通常不会感知或者不直接面对SDK。但是互联网应用程序和SDK可能构成提供或者共同处理的关系，当用户行使个人信息权利时，实际的个人信息处理者可能是SDK而非互联网应用程序。对此，《征求意见稿》要求互联网应用程序及时通知SDK并要求SDK及时响应用户请求（第十九条第二款）。同时，《征求意见稿》也直接明确了SDK本身即应直接响应用户有关个人信息权利的请求（第二十四条第三款），建立有效方式和途径并在其个人信息收集使用规则中列明（第二十五条）。 6三、SDK安全运营管理要求《征求意见稿》明确软件开发工具包（SDK）是指协助软件开发的软件库，软件开发工具包运营者是指软件开发工具包的开发者、所有者、管理者或者提供者（第三十八条）。除了前述有关个人信息权利响应的义务，《征求意见稿》还规定了SDK三个方面的义务：1.告知同意。《征求意见稿》同样要求SDK制定个人信息收集使用规则，并在产品官方网站公开（第二十二条第一款），历史版本的不同个人信息收集使用规则均需列明（第二十二条第二款），个人信息处理目的、方式、范围等发生变化的，应当同步更新个人信息收集使用规则（第二十二条第三款）。2.最小必要原则。《征求意见稿》明确了SDK同样需要遵守最小必要原则，不得超范围收集使用个人信息或者调用权限（第二十三条）；SDK也应当遵守自动化决策规定，提供关闭选项（第二十四条第二款），这也可以理解为是最小必要原则的具体体现之一。3.配合互联网应用程序。《征求意见稿》要求SDK基于功能配置个人信息选项，允许互联网应用程序按照不同功能需要对软件开发工具包个人信息收集行为进行管理配置（第二十四条第一款），这为互联网应用程序管理SDK提供了相应的支持。四、应用程序分发平台安全管理要求《征求意见稿》明确，分发平台是指通过互联网提供互联网应用程序发布、下载、动态加载等服务提供者，包括应用商店、应用市场、快应用中心、小程序平台等（第三十八条）。《征求意见稿》明确了分发平台的三类义务：1.上架审核义务。工信部《关于开展纵深推进APP侵害用户权益专项整治行动的通知》（2020年）要求应用分发平台明示APP信息和上架审核，应用商店对APP的上架审核在实践中已经落实并有趋严的趋势。但是对于快应用、小程序等而言，《征求意见稿》也明确对其规定了审核义务。不仅如此，《征求意见稿》还明确了信息记录和披露义务，特别要求分发平台记录和披露互联网应用程序的违法违规历史情况，即因违法违规收集使用个人信息被省级以上履行个人信息保护职责的部门通报或行政处罚的情况（第二十六条第一款、第二十七条）。同时，对于存量互联网应用程序，《征求意见稿》要求分发平台在6个月内补充完成审核。2.配合义务。《征求意见稿》以法律文件的形式明确了分发平台的配合义务，要求分发平台积极配合监管部门采取警示、不予分发、暂停分发或者终止分发等处置措施（第二十八条），这可以理解为是将实践做法上升为法律规则。五、智能终端安全管理要求《征求意见稿》明确，智能终端是指能够接入公众网络、具有操作系统、可由用户自行安装和卸载应用软件的移动通信终端产品（第三十八条）。《征求意见稿》除了强化要求了智能终端的预置审核义务外（第二十九条），重点强调智能终端对互联网应用程序的权限管理义务，具体包括以下：1.权限管控。《征求意见稿》列明日历、通话记录、相机、通讯录、位置、麦克风、电话、短信、存储、身体活动等权限，要求智能终端在互联网应用程序索要上述权限时，采取弹窗的方式取得用户同意，还必须根据权限特点提供可基于时间、频度、精度等精细化授权模式选项（第三十条）。实践中，权限索要时弹窗已经是常见做法，而精细化授权模式则属于新的合规要求。2.权限记录。《征求意见稿》要求智能终端记录并集中展示互联网应用程序调用上述权限的情况，记录互联网应用程序后台静默期间自启动、关联启动的情况，以及互联网应用程序通过智能终端收集剪切板、设备唯一标识、应用程序列表等行为的情况（第三十二条）。3、权限披露。对于麦克风、摄像头、位置等高敏感权限，《征求意见稿》要求智能终端在屏幕顶部等显著位置，向用户提示当前正在使用的上述权限情况（第三十一条）。六、如何监督管理？《征求意见稿》在第六章“监督管理”中规定了监督管理要求和法律责任，与现行法律规定和监管体制保持一致。在监管体制方面，《征求意见稿》按照“三驾马车”的架构，由网信、工信、公安以及相关部门按照职责分工，负责互联网应用程序、SDK、分发平台和智能终端个人信息保护和监督管理工作（第三十三条在保障机制方面，《征求意见稿》要求互联网应用程序、SDK建立有效的投诉举报机制（