日前，網信辦、工信部等4部門聯合印發了《App違法違規收集使用個人信息行為認定方法》，界定了App違法違規收集使用個人信息行為的六大類方法。這為移動互聯網時代的個人信息收集、使用明確劃出了紅線，是個人信息保護發展歷程中的關鍵一步。

為何這么說呢?此前，對于網絡平臺收集用戶個人信息的邊界，法律不缺乏原則性要求。去年實施的《信息安全技術個人信息安全規范》明確規定，個人信息控制者開展個人信息處理活動時，應遵循最少夠用原則;2017年6月正式生效的《網絡安全法》也規定：網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則。但在實踐過程中，什么是“最少夠用”，什么是“正當必要”，存在一定模糊性，導致對信息收集者的實際約束力不足。

這樣的例子比比皆是。一些App雖然出具了隱私條款，但是文字過小過密、顏色過淡、模糊不清，讓人“一攬子”打包同意，其實就有侵權之嫌;還有一些App，用戶不交出個人信息就無法使用，實際上構成了對用戶信息的“勒索”;還有，市面上大部分App沒有注銷選項，消費者想刪除個人信息卻無從下手;至于被收集的個人信息有多少用作精準營銷，有多少被暗中販賣，更無從得知了。種種情況說明，“最小夠用”的原則性要求被架空了。

這就凸顯了認定方法的重要性。隱私政策難以訪問，可被認定為“未公開收集使用規則”;未逐一列出規則，或者艱澀難懂，可被認定為“未明示收集使用個人信息的目的、方式和范圍”;以默認選擇征求用戶同意等，是“未經用戶同意收集使用個人信息”;通過第三方代碼、插件等方式向第三方提供個人信息，是“未經同意向他人提供個人信息”……辦法列出的幾種認定方法，基本涵蓋了我們生活中的困惑，直白明了，簡單易懂，實操性很強。

值得注意的是，《方法》也提出了可被認定為“違反必要原則，收集與其提供的服務無關的個人信息”的情形。比如“收集的個人信息類型或打開的可收集個人信息權限與現有業務功能無關”，“因用戶不同意收集非必要個人信息或打開非必要權限，拒絕提供業務功能”等，這對大眾來說相當有共鳴。如今，一個圖片軟件也收集地理位置，一個視頻軟件也索取人臉圖像，必要性何在?有了這款規定，企業必須出具相應的解釋說明，允許用戶表達拒絕。

此外，為更好地維護用戶權益，《辦法》提出了“未按法律規定提供刪除或更正個人信息功能”的認定條款。這類似于“被遺忘權”，當一個人決定從某個App上退出的時候，他有沒有被App“遺忘”的權利呢?答案是有的，在歐盟制定的專門保護個人數據權利的法律中，軟件可以選擇注銷，然后企業刪除數據。但在我們這里，“遺忘”是件奢侈的事情，雖然并無技術難度，但很少有軟件主動提供。在這一點上，此次認定辦法也有一定的前瞻性。

總的來說，認定辦法細化了“最小夠用”“正當必要”等原則，有利于提高收集和使用個人信息的規范性。但能不能落實到位，還有待觀察。畢竟這只是一則部門規章，沒有涉及具體的執法層面。而經驗告訴我們，如果只有規定沒有代價，規定仍然有被架空的可能性。(扶 青)