信息安全技术 收集的合法基础

处理行为要求

一. 收集

(一) 收集的合法基础

1.告知、同意

企业应当向用户告知收集、使用的目的、方式和范围等规则，同时征得明
示同意（征得同意前不得收集个人信息
或通过 Cookies 等同类技术或通过调用权限、接口等方式收集个人信息），
15并告知不同意的后果；同时应将
用户主动点击、勾选、填写等作为功能开启的条件，确保功能开启后才可
收集用户个人信息16。
告知的内容：应真实、准确、完整。例如，逐一列明功能、所收集的个人
信息、权限等；当在强关联的场景下，则说明个人信息收集的目的、方式、
范围、提供个人信息可能导致的风险、不提供的后果、处理行为与处理规
则、保护措施、用户权利、投诉、申诉、举报的方式，采取要求用户明示
同意，并给予用户撤回同意的渠道的方法。
明示同意：在首次运行、用户注册时，通过弹窗、突出链接方式提醒用户
阅读隐私政策；如果通过设置“下一步”“注册”“登录代表同意”等方式，应说
明点击或执行前述动作与同意隐私政策之间的关系。如点击即代表同意本
隐私政策等17。设置预选框的，由用户自主打勾，而非提前默认已勾选。（此
点仍需紧密关注最新监管执法要求）
将用户的主动填写、点击、勾选等主动行为作为收集个人信息的前提。
15 网络安全标准实践指南
—移动互联网应用程序（App）违法违规收集使用个人信息自评估指南 https://www.tc260
.org.cn/upload/2020-07-22/1595396892533085831.pdf，访问日期 2020 年 7 月 28 日。
16 2020 年版《信息安全技术 个人信息安全规范》。
17 《网络安全标准实践指南—移动互联网应用程序（App）违法违规收集使
用个人信息自评估指南》3.5 b）https://www.tc260.org.cn/upload/2020-07-
22/1595396892533085831.pdf 访问日期 2020 年 7 月 28 日。

2.告知、同意方案

多层次告知，即采用一般告知、增强告知、以及即时提示三个层次来告知
用户。弱化隐私政策的授权同意机制，在产品过程中体现交互性告知，如
通过弹窗、用户提交、用户主动点击等方式；除一般告知外，个人信息处
理关键规则应进行增强告知，比如将字体进行加粗、斜体化处理等；收集
敏感个人信息时，需要做到即时提示，以明确告知收集的类型、目的、方
式、范围，确保用户完全知情，且自主、具体、明确的同意。（收集敏感个
人信息时，通过显著方式告知目的，且目的明确、易懂；18）
收集个人生物识别信息，收集前单独告知目的、方式、范围、存储时间等
专门规则，并征得明示同意。
收集满 14 周岁未成年人的个人信息前，征得未成年或监护人同意；未成年
人不满 14 周岁的周岁的，只能监护人同意，且对监护人有适当的核验。
【一般规则】：
• 合规最低要求为对收集的个人信息至少在隐私政策中说明。
• 收集面部识别、生理健康、银行金融、行踪轨迹信息等敏感信息，
最好有单独弹窗提示并让用户点击同意；如果无法由用户单独点击
同意，至少有浮窗或者备注进行说明。
18 同上。
场景示例 – 一款行车记录仪如果需要后台持续获取地理信息（例如
GPS），该信息为行踪轨迹信息，属于个人敏感信息。应当在需要触发
该权限时，通过弹窗单独申请地理位置权限。如弹窗提示内容为“为了
提供照片/视频分享路况和事故等，需要您的地理位置权限，您可以在
设备中随时关闭改功能。”同时提供“始终允许”、“使用 App 时允许”、
“仅限本次”三个选项。
企业个人信息保护合规思路与实践报告
19 / 181
• 所有行车记录仪、扫地机、儿童手表、路由器等物联网产品、固件，
均需要在说明书中说明收集个人信息情况，同时采取如添加隐私政
策二维码等方式告知用户关于个人信息处理活动等方面的内容。
• 所有行车记录仪、扫地机、儿童手表、路由器等物联网产品、固件，
如果连接家庭类 App，需在该等家庭类 App 个人信息保护政策中说
明；如果没有此类 App，则需在公司网站主页个人信息保护政策中说
明。
场景示例 1 – 一款智能家居产品（例如扫地机）可以通过手机 App
进行操作和功能控制，在用户下载 App 后、注册成为用户前，应当
通过个人信息保护政策告知智能家居产品收集处理个人信息的目
的、方式、种类等。通过专门针对智能家居产品的个人信息保护政策
或者链接到公司网站的一般个人信息保护政策，均为一般告知。在智
能家居产品的说明书中还可以附上个人信息保护政策全文或者摘
要，以便说明。
场景示例 2 -一款智能家居产品（例如智能门锁）可以通过手机 App
进行操作和功能控制，在用户下载 App 后、注册成为用户后，如果
需要启动指纹或者人脸识别开锁功能，应当单独弹窗提示用户是否
授权、告知具体的目的，以满足法律要求敏感信息单独告知并获得用
户同意的要求。
场景示例 3– 如一款购物 App 在用户订单界面备注显示“我们仅提供
流水订单号、商品名称和交易金额给第三方支付机构以完成支付，我
们不会从第三方支付机构获取您的银行卡号和密码等信息。”同时，
在个人信息保护政策中申明“为了满足反洗钱要求，我们可能会在满
足法律规定的条件下，分享您的账户信息、联系方式、地址、所购买
的商品名称信息。”
企业个人信息保护合规思路与实践报告
20 / 181

3.再次告知、征得同意

当收集的目的、方式、范围等重要因素发生变化的，应当再次告知，。可采
取等收集使用规则，并征得用户同意。可采取更新隐私政策等收集使用规
则的方式，并通过推送消息、邮件、弹窗、着重提示等方式提醒用户阅读
发生变化的条款。

4. 其他合法基础

在以下情形下，不需要征得用户同意20：
• 为订立或者履行个人作为一方当事人的合同所必需；
• 为履行法定职责或者法定义务所必需；
• 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健
康和财产安全所必需；
• 依照本法规定在合理的范围内处理已公开的个人信息；
• 为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理
个人信息；
19 同上。
20 《个人信息保护法（草案）》（二次审议稿）。
场景示例 – 一款社交 App 更新了隐私政策中的收集使用规则，在用
户打开 App 时，跳出弹窗提示用户阅读更新后的隐私政策。在弹窗中
可采用如下话术：“《隐私政策》更新提示：我们更新了《隐私政策》，
并将严格按照《隐私政策》保护您的个人信息。本次更新调整了我们
产品与/或服务收集、使用及共享个人信息的类型方式和用途；增加了
用户账户的注销功能；…… 若您不同意《隐私政策》，将影响您使用本
产品与/或服务。”（请结合最新隐私政策相关标准）
企业个人信息保护合规思路与实践报告
21 / 181
• 法律、行政法规规定的其他情形。

参考资料

企业个人信息保护合规思路与实践报告

友情链接

湖北省政务数据资源应用与管理办法