近日，国家互联网信息办公室发布了【国家互联网信息办公室关于《互联网应用程序个人信息收集使用规定（征求意见稿）》公开征求意见的通知】，公号君在此和大家分享自己的学习心得。

伴随互联网应用程序的普及，个人信息保护问题成为数字治理领域的核心议题之一。1月10日，国家互联网信息办公室就《互联网应用程序个人信息收集使用规定（征求意见稿）》（以下简称“征求意见稿”或本规定）公开征求意见，正是对此作出的最新制度回应。这份新规不仅体现了个人信息保护治理思路的进一步深化，更呈现出明显的制度创新特征：一方面，它摒弃过去只关注互联网应用程序运营者单一主体责任的传统模式，转而强调对全链条主体的责任统筹；另一方面，它还在规则具体化、工程化落地以及高风险场景治理等方面进行了积极探索。这些治理上的新理念、新方法和新重点，构成了新规的鲜明特征。深入理解这些特征，有助于各主体更有效地适应并落实个人信息保护合规要求，从而推动形成个人信息保护治理新格局。

特点一：治理对象更完整——将个人信息保护纳入全链条统一规制

该“征求意见稿”的第一个鲜明特点，是将个人信息的处理活动纳入完整的治理链条，而非仅停留于单一主体的责任。以往类似规则大多聚焦于互联网应用程序运营者本身，但本规定首次明确覆盖了互联网应用程序运营者、软件开发工具包（SDK）运营者、应用程序分发平台运营者以及智能终端制造厂商等多个关键主体。这一制度创新意味着对个人信息保护责任从过去的“单点责任”扩展为“全链条责任”，从而有效避免主体之间的责任推诿问题。

这一链条化治理结构与现实中个人信息处理活动高度契合。实际业务场景中，一款应用程序通常嵌入若干个SDK，用以实现统计分析、用户登录、广告推送、消息通知等核心功能。同时，用户主要通过应用商店或小程序平台获取应用程序；而应用程序的正常运行又离不开智能终端设备提供的底层权限能力（如定位、相机、麦克风等）。若监管仅限于互联网应用程序运营者，一旦发生违规收集或越权调用个人信息的情形，各主体之间极易相互推诿，难以精准定位责任主体，从而造成监管真空。

有鉴于此，本规定明确划分各主体责任，体现了清晰的分工逻辑：互联网应用程序运营者承担规则告知、用户同意获取、权限规范调用以及SDK接入审查等统筹性合规义务；SDK运营者则需公开收集使用规则，明确收集个人信息范围，提供场景化、可配置的功能选项；分发平台承担应用程序的准入审核与信息公开等“门禁”职责；智能终端厂商则负责提供更精细化的权限管理、调用状态提示和行为记录，以实现个人信息使用的“可控、可视、可追溯”。如此一来，个人信息保护的合规体系不再局限于形式化的隐私政策声明，而是真正融入从开发设计、第三方组件集成、平台分发，到终端运行全过程的综合治理框架之中。这也意味着企业个人信息保护合规管理从单一产品、单一团队的内部任务，扩展为涉及供应链（SDK提供商）、分发渠道（平台）、终端系统（设备厂商）等多主体的协同性治理。

特点二：治理方式更工程化——从原则性宣示走向产品与工程级规范

本规定的第二个突出特点，是在治理方式上呈现出明显的工程化特征。其创新性并非仅体现在对“合法、正当、必要、告知同意”等抽象原则的重申，而是在于将这些原则转化为产品开发与工程实施中具体可落地、可验收的操作标准。

首先，本规定明确提出“场景化权限规则”，要求相机、麦克风等敏感权限仅在用户主动触发的特定功能场景中调用，且在离开场景后立即停止调用。定位权限则明确区分持续定位和单次定位场景，前者（如导航、配送）需严格按照功能实现所需最低频率调用，后者（如内容推荐、广告营销）则应严格限定在进入特定界面或用户主动刷新的瞬时调用。此外，文件存储访问权限则强调以用户明确选择为前提，禁止应用程序以文件备份、编辑等功能为由任意扩大访问范围。这些具体场景化的要求，彻底将权限合规从“授权与否”的抽象层次转变为可具体验收的工程指标。

其次，本规定要求以结构化的清单方式呈现个人信息处理活动，逐项说明具体服务或功能对应收集个人信息的目的、方式、种类、权限调用情况、收集敏感个人信息必要性以及影响，并将嵌入的第三方SDK明确纳入清单体系。这一透明化机制使得隐私政策不再是冗长而抽象的文本，而变为可供用户、监管部门和企业内部审计核验的明确数据流台账。

此外，本规定进一步引入了明确的规模阈值和时限要求，如规定注册用户规模超过5000万或月活跃用户超过1000万的互联网应用程序，规则更新时须同步公开征求意见不少于7个工作日；用户账号注销及个人信息删除或匿名化要求则需在15个工作日内完成。这种明确量化的时限要求，使合规治理工作更具操作性与可评估性，推动企业形成流程化、制度化、留痕化的合规管理机制。

特点三：治理重点更聚焦——强化高风险节点治理，构建可追溯闭环

本规定第三个显著特点是治理重点的高度聚焦化。它明确将监管资源与约束条件集中于风险更高、更易于隐蔽、更可能对个人权益造成重大影响的处理活动，包括第三方SDK管理、敏感权限调用、生物识别信息采集、未成年人个人信息处理、个性化推荐等具体领域。

具体而言，在SDK组件治理方面，本规定明确SDK运营者有义务制定并公开个人信息处理规则，限定收集信息的范围、目的与频率，并要求向应用程序开发者提供可灵活配置的功能选项，从而防止SDK被当作“黑盒”，避免出现“第三方违规企业免责”的情形。

在敏感权限使用方面，本规定对相机、麦克风、定位、通讯录等敏感权限调用作出明确约束，强调权限调用必须与特定功能直接关联，避免无关场景调用，显著提升了权限使用的必要性门槛。

在敏感数据类型与特殊群体保护方面，生物识别信息被限定为严格必要采集，原则上应本地化存储、不得随意上云传输；未满14周岁未成年人信息处理需遵守特别保护规则并获得监护人同意；个性化推荐应为用户提供关闭功能。

更重要的是，本规定在聚焦风险治理的同时，还借助平台、终端的能力构建个人信息处理的全流程可追溯闭环。分发平台在准入审核、信息展示等环节严格把关，智能终端通过精细权限管理、调用状态提示与行为记录功能，使个人信息处理过程可控、可视、可追责。整体而言，本规定体现了将高风险节点的治理从隐蔽与难问责，全面转向透明化、规范化与追责明确化的治理思路。

结语

综上所述，《互联网应用程序个人信息收集使用规定（征求意见稿）》从治理对象、治理方式到治理重点，呈现出全面统筹、多维规范与聚焦高风险的鲜明特征。它不仅突破了以往对互联网应用程序单点治理的局限，更将个人信息保护责任扩展至处理链条中的所有关键主体；不仅将抽象原则具体化为清晰的工程要求，更将隐私治理由被动响应转变为主动可控；不仅强化对敏感权限调用、SDK管理、生物识别数据等关键环节的约束，更借助分发平台、终端设备形成责任追溯的闭环管理。

可以预期，这些制度创新举措将在进一步规范互联网应用程序个人信息收集使用行为、提升企业合规意识和实践能力、增强用户对个人信息处理的信任度等方面发挥积极作用，也必将为未来个人信息保护立法和实践提供重要的经验与借鉴。（完）

声明：本文来自网安寻路人，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。