当我们下载注册手机App的时候，往往会被要求勾选《隐私政策》，来征求用户同意它收集、处理个人信息。这种个人信息的收集是否有限度和边界？用户是否有权拒绝呢？

　　过度收集个人信息

　　最高法发布典型案例

　　近日，最高人民法院发布了一起网络消费民事典型案例。

　　马女士下载了一款某词典App，注册时她发现，系统自动默认帮她勾选了“已阅读并同意服务条款和隐私政策”选项，如果点击拒绝，App就会直接退出，无法使用。此外，马女士还注意到，这款App的《隐私政策》里说会收集她的个人信息，但她找不到在哪里取消授权。

　　北京互联网法院副院长孙铭溪表示，首先是未经她的同意，强迫其同意了用户协议和隐私政策，并且过度收集了她相关的个人信息，比如包括手机号、地理位置信息、身份证号等。另外马女士想去撤回个人信息的同意，发现这个平台也没有相关的机制，她认为这个平台是侵害了个人信息权益诉到法院，要求停止侵害、赔礼道歉，并赔偿相应的损失。

　　马女士认为，这款App的开发及运营公司侵害了自己的个人信息权益，但被告公司认为他们并没有过错。

　　庭审中，被告辩称涉案App具有社交属性，注册时收集用户的手机号等个人信息并无不妥。如果用户想要撤回授权，完全可以通过注销账号的方式对同意进行撤回。

　　收集行为是否合法合规

　　应依据哪些原则

　　庭审上原被告双方各执一词。那么，涉案App是否在“同意隐私政策”这个环节“剥夺”了用户的自主权？它有没有超限度收集用户个人信息呢？

　　“自愿、明确”原则

　　成为判断核心要素

　　根据《中华人民共和国个人信息保护法》第十四条，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。办案法官解释，在司法实践中，如何去把握“自愿、明确”，往往是判断个人信息收集行为是否合法合规的核心之一。

　　北京互联网法院副院长 孙铭溪：其实现在从功能上来讲，很多App是通过诸如必须要求用户主动地进行点选处理同一个人信息的相关功能，或者是主动点选隐私政策这样一种方式来保障，至少形式上用户是明确地知晓个人信息处理的目的范围，并且做出了一个明确的选择。但是在这个案件中，发现虽然它有一个弹窗提示，但是用户随意再一点，它就自动替用户去进行了同意选择。

　　根据规定

　　实用工具类软件无须个人信息

　　也就是说，本案中被告没有设置措施保证用户能够充分知情其隐私政策内容，也没有让用户主动自愿做出同意的选择，因此不符合法律规定的“自愿、明确”的要求。此外，法院审理认为，涉案App的属性为实用工具类App，根据国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局联合制定的《常见类型移动互联网应用程序必要个人信息范围规定》，实用工具类App，“无须个人信息，即可使用基本功能服务”。

　　法院认定，涉案App在基本业务功能为词汇查询的情况下，收集原告的手机号码超过了最小范围，侵犯了用户的个人信息权益。而对于原告主张被告收集其真实姓名、身份证号、偏好设置等信息，法院在庭审过程中查明，被告并未收集上述信息。

　　未提供便捷的撤回同意方式

　　构成侵权

　　此外，对于张女士关于涉案App未向用户提供便捷的撤回同意方式的主张，法院审理认为，根据《中华人民共和国个人信息保护法》第十五条规定，基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。而该App并未提供，因此构成了对原告个人信息权益的侵犯。

　　北京互联网法院副院长 孙铭溪：本案中被告主张的撤回同意的方式是注销账号，我们知道其实注销账号和撤回同意还是有很大的区别的。在这个案件中还是认定不能以账号的注销来代替撤回个人信息同意。

　　判令运营公司删除个人信息

　　并赔礼道歉

　　北京互联网法院判决，被告公司删除收集的马女士个人信息，并马女士赔礼道歉、赔偿其合理开支，也就是公正费用3080元。

　　被告公司不服提起上诉，二审法院维持原判。

　　法官指出，在互联网产品创新的过程中，个人信息处理领域存在诸多模糊地带。就像本案中，对于涉案App的属性界定、个人信息收集方式以及用户选择权的保障等问题，都需要在司法实践中进行有益探索，这样才能让企业创新发展与用户权益保护在法治轨道上实现平衡共进。