2019年11月以来，公安部开展APP违法违规采集个人信息集中整治，100款违法违规APP被要求下架整改，光大银行、微店、天津农商银行、天津银行等APP名列其中。那么违法和违规是同一个概念么，APP除了被要求下架整改，会有别的处罚情形么，APP在运营中，作死到什么程度会构成犯罪呢？本文将从个人信息保护层面，论述APP运营的违规、违法、犯罪三类行为。
（一）违规行为
2018年5月1日起正式生效的《信息安全技术 个人信息安全规范》（以下简称安全规范），该规范作为国家安全标准，细化且具体化规范了网络安全法中对于个人信息保护的相关要求，且进一步提出更高的规范性要求。
例如《网络安全法》中规定，网络运营者收集、使用个人信息时，应当公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，安全规范中首先明确了直接获得个人信息时需怎样获得客户的授权，间接获得个人信息时应如何对信息提供者进行信息合法性来源的确认；然后将个人信息进一步分为个人信息及个人敏感信息，个人信息需获得客户的同意，而个人敏感信息需获得客户的明示同意，信息控制者需逐一告知客户其收集敏感信息所一一对应的用途及拒绝提供所可能带来的影响。信息控制者需要给客户提供拒绝提供个人信息或个人敏感信息的选项，当客户拒绝提供个人信息时，信息控制者可不提供相应基础产品或服务；而客户拒绝提供与基础产品无关的个人敏感信息时，信息控制者可不提供增值或额外服务，而仅提供基础产品或服务。
当信息控制者违反《网络安全法》中关于“合法、必要、正当”的原则时，构成相应违法行为；而信息控制者没有违反《网络安全法》中的明确规定，仅是没有严格遵循安全规范的要求，例如没有将个人信息区分为个人信息及个人敏感信息分别授权或分级保护，则信息控制者并没有构成违法行为，仅构成违规行为。
个人信息保护领域中，针对违规行为没有直接的处罚，中央网信办、工信部、公安部及市场监管总局在2019年1月25日发布的《关于开展APP违法违规收集使用个人信息专项治理的公告》中，也是要求“APP运营者收集使用个人信息时要严格履行《网络安全法》规定的责任义务”，而没有进一步要求APP运营者严格遵守安全规范的相应要求。所以在APP的运营过程中，违规行为只是APP没有严格遵循相应规范性文件的要求，但并不构成违法行为。
（二）违法行为
违法行为可分为两类，第一类是APP运营过程中违反了《网络安全法》》《消费者权益保护法》的相关规定，例如APP在收集个人信息过程中，没有遵守“公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意”的规定，未经客户同意直接收集客户个人信息，此类行为构成违法行为，同时违反了《网络安全法》》《消费者权益保护法》的规定，应按照《网络安全法》第六十四条规定，网络运营者、网络产品或者服务的提供者违反本法第第四十一条规定，侵害个人信息依法得到保护的权利的，由有关主管部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。
此次公安部公开的100款违法违规APP中，责令限期整改的有27款，处以警告处罚的有63款，处以罚款处罚的有10款，另有2款被立为刑事案件开展侦查。因此APP运营过程中出现违法行为时，除了会被监管部门要求下架整改，逾期不改的，将会被公开曝光；情节严重的，将会被依法暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。
第二类违法行为是指APP运营过程中，违反了《刑法》的规定，但并没有构成相应犯罪的情形。例如侵犯公民个人信息罪的规定为，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。从法条的条款中能够看出，侵犯公民个人信息罪=违反国家有关规定，向他人出售或者提供公民个人信息＋情节严重/情节特别严重，若APP运营者的行为违法向他人提供了公民信息，提供的数量或违法后果未达到情节严重标准的，不构成犯罪行为，只构成了违法行为。根据《网络安全法》窃取或者以其他非法方式获取、非法出售或者非法向他人提供个人信息，尚不构成犯罪的，由公安机关没收违法所得，并处违法所得一倍以上十倍以下罚款，没有违法所得的，处一百万元以下罚款。
（三）犯罪行为
犯罪行为专指违法刑法且构成犯罪的行为，例如侵犯公民个人信息罪，APP运营者只有非法出售或者非法向他人提供个人信息，且达到情节严重或情节特别严重的，构成犯罪。情节严重的情形包括非法出售或提供信息被用于犯罪的，非法出售或提供个人信息达到一定量级的，违法所得在5000元以上的等几类。例如考拉征信涉嫌非法提供身份证返照查询9800多万次，获利3800万元，因此涉嫌构成侵犯公民个人信息罪，相关人员已被公安机关带走。
（四）总结
APP运营过程的不当行为可能不会直接构成违法犯罪，违规行为就像APP运营者在违法边缘试探，违法行为就像是已经踩中了法律的高压线，而犯罪行为就像是APP运营者撒欢的跃过了法律的高压线，在法律的禁区中自由自在奔跑。今年以来，公安部组织开展“净网2019”专项行动，已依法查处违法违规采集个人信息的APP共683款。希望各位APP运营者能够引以为戒，更加合法合规的运营APP。