App权限滥用侵犯个人信息权的法律问题研究.pdf

法治探寻 楚天法治 A p p权限滥用侵犯个人信息权的法律问题研究王文君李盼盼王俊尧孙晓婷曾令钰(山东工商学院,山东 烟台 )【摘要】在互联网经济和信息技术快速发展的背景下,个人信息保护成为备受关注的法律问题之一.快速发展的科学技术推动了A p p的生活工具化,同时,给个人信息保护带来了新的威胁和挑战.A p p运营商收集的个人信息虽受“告知同意”规则的保护,但仍存在个人信息易被信息处理者违规收集并加以滥用的现象.本文顺应社会发展的要求,立足于A p p个人信息保护的理论和现实困境,结合相关文献分析了A p p权限滥用超范围收集个人信息的现状,探讨如何从立法规制和行政监督层面,提高个人信息保护机制的有效性.【关键词】个人信息;个人信息权;隐私权;告知同意在互联网经济和信息技术快速发展的背景下，近年来手机A p p的使用量骤增，手机A p p已经融入到了人们生活的方方面面。但是在手机A p p处理用户个人信息的过程中，却较为普遍地存在着A p p侵犯用户个人信息权益的现象。网络A p p违法违规收集用户个人信息的事件时有发生，对当前我国针对该问题的法律规制提出了巨大的挑战。目前，国内对手机A p p用户个人信息保护的法律规制研究仍不够充分。本文将探究我国手机A p p收集用户个人信息的社会现状，并结合具体法律规定分析当前法律规制的不足，进而提出具体的完善建议。一、个人信息的内涵及属性民法典第 条第款规定：“个人信息是以电子或者其他方式记录的，能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”。个人信息保护法第条规定：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”尽管两种定义的文字表述不同，但二者实质差别不大，界定的个人信息范围基本是相同的。财产属性是个人信息除人格属性外的属性。具体表现在有大量不法分子利用A p p等科技手段窃取并出售公民的识别性信息，以此牟利，导致公民个人财产安全受到严重威胁。个人信息在具有人格属性财产属性的同时，还兼具公共属性。这是由于在当下的大数据时代，基于公共利益和社会生活的需要，个人信息被广泛采集和利用，个人信息不再仅仅是一种私人权益，而是社会发展中的重要资源。二、个人信息保护与隐私权的二元法律架构提起个人信息，就必然会提到个人隐私。然而二者不只是概念之间的文字差异，更有着适用条件、立法规制及法律保护力度等方面的深层差异。(一)个人信息保护与隐私权的联系个人信息保护与隐私权作为两项并列制度，二者存在交叉重合的部分。第一，在民事主体方面，二者的适用主体都仅限于自然人，并且在个人信息保护法尚未正式出台之前，二者共存于民法典的同一章，难免出现交叉混用的情况。第二，在范围界定方面，二者存在交叉重合。个人信息的范围不仅包括可对外披露的公共信息，也包括不可公开的私密信息。因此，隐 私本 身就 具有 个 人信 息的 性质。第三，在适 用 条件 方面，随 着大 数 据 算 法 的 技 术 进步，两者的适用条件中都包括了非法收集获取、不当泄露、非法转让等形式，同时，在法律后果、责任承担等方面也有一定的竞合。由此可见，法条现行规定对于两者之间如何区分的问题不够明确，仍需进一步厘清界限。(二)个人信息保护与隐私权的界分二者的区别主要体现在以下几个方面：首先，在权利属性方面，隐私权系民法典规定的人格权，是对世权，具有人身专属性，不可转让。个人信息权益的不同之处在于其不仅具有人身属性，还可以作为一种财产进行转让，具有财产属性。其次，在权利内容方面，隐私权是一种消极防御性权利。而个人信息保护则可由权利人积极主动地自由支配，并非在只有在权利受到侵害时才可主张权利救济。在大数据时代，面对个人信息安全问题的挑战，我国民法典积极制定对策，设立我国特有的二元法律架构，既填补了当下立法空窗期的缺失，也为将来的专门立法留下了衔接空间。三、“二元法律架构”下研究个人信息保护的现实意义基于个人信息的财产属性，个人数据已成为一种核心资产，具有一定的经济价值。发生信息泄漏最主要的途径就是大量的A p p运营方滥用权限，过度索取收集、存储个人法治探寻 楚天法治 数据，非法转让共享给第三方，进行数据信息贩卖，严重侵犯了公民隐私权。A p p对个人数据的过度收集、滥用及侵犯个人隐私的行为，使得个人信息安全受到了挑战，研究个人信息保护、引入司法治理迫在眉睫。四、当下保护A p p个人信息权益的困境我国自 年开始确立开展个人信息保护立法工作，并围绕个人信息保护法逐渐形成个人信息保护法律制度。随着近年来A p p的广泛应用，A p p用户的个人信息被超范围收集并被非法披露、非法利用、故意泄露，使得A p p个人信息侵权案件屡屡发生。通过评析个人信息的理论困境及A p p收集个人信息的现实问题，为寻找解决方法奠定了基础。(一)个人信息与隐私范围模糊结合个人信息保护法第条和民法典第 条来看，个人信息不同于隐私。前者是可以为人所知，但不愿被人故意收集、利用和处理，具有“身份识别性”的信息；后者是不愿为人所知，且不愿被公之于众的私密性信息。此外，两者的范围存在交叉重合部分。当纠纷涉及两者交叉重合的部分时，应首先适用与隐私权相关的规定；没有相关规定时，适用有关个人信息保护的规定。对于A p p用户来说，个人信息随着用途和信息主体所处环境的改变，个人信息权益被损害的标准也随之改变。比如，手机A p p在收集用户的个人信息时，用户不会因为个人信息被合理收集感到不适。但信息处理者利用收集来的个人信息进行大数据分析，或以此探析用户的喜好，或用来确定用户的具体位置等，会令用户感到个人信息权益被侵犯，甚至侵犯其隐私权。因此，个人信息与隐私的边界感十分模糊。当两者冲突时，隐私权作为高位阶的权利被优先适用。从隐私权的相关规定来看，其规定较为单一且涵盖范围较窄。这使得隐私权无法适应当下信息数据时代，不利于解决相关社会矛盾。因此，厘清个人信息与隐私的范围，是奠定法律赋权的前提。在此基础上，科学处理个人信息权益与隐私权的关系，才能避免制度混乱，才能为未来司法实践提供方向。(二)A p p权限滥用损害个人信息权益 A p p收集个人信息的“告知同意”规则效果不佳个人信息保护法第 条规定“告知同意”规则，即信息处理者在利用、处理个人信息时，应在信息主体知情同意后再收集、处理和利用其个人信息的规则。虽然此规则以尊重信息主体的人格尊严为则，但在实际应用中，许多手机A p p以用户签订隐私协议为使用A p p的前提，变相强迫用户签订隐私协议。隐私协议中多是专业性术语，且篇幅很长，即使是在阅读时间充分的情况下，对普通用户而言也难以读完读懂。这使得用户被迫接受手机A p p中的隐私协议，否则无法使用A p p。这显然与个人信息保护法第 条中“个人自愿作出”的规定不相符。个人信息保护法虽规定了信息处理者需要遵循“告知同意”的信息处理规则，但未规定违反此规则的法律后果。正因如此，越来越多的手机A p p利用“告知同意”规则的漏洞，让用户签订不合理的隐私协议，以此过度收集个人信息。信息处理者的这种行为不仅仅侵犯了个人信息权益，也违反了宪法规定通信自由和通信秘密受保护的原则。A p p滥用权限超范围收集个人信息A p p申请的权限可以分为必要权限以及越级权限。过度索权是指A p p申请超出其业务功能或者服务外的权限，即为越级权限。不同类的A p p在必要权限和越级权限的界定不清晰，向用户索取过多越级权限。比如，地理信息类A p p，向用户索取通讯录权限；再如新闻类和购物类A p p在安装时也存在索要通讯录权限的现象。这些越级权限都有一个共同点，即不开放这些权限，就无法登录账号或使用某项无关的功能。这些强制性授权为A p p运营商超范围收集用户信息提供了便利，使得A p p用户个人信息安全处于危险状态，导致索取权限是当前用户感受最强烈、最为集中的问题。基于信息时代的数据经济化，用户信息在信息时代发展前期被视为战略性资产并普遍被超范围收集。A p p运营故意擅自收集用户信息并不告知其收集目的、方式和范围的现象屡屡发生。在R B S网络安全报告显示，从 年起数据泄漏的数量呈不断上升趋势，至 年高达 亿多条。据调查，的A p p未经用户同意，强制其接受个性化服务或精准营销的现象。即使A p p处于后台运行状态，也能未经用户同意收集历史浏览记录等信息，将其进行大数据分析，用于定向推送服务或精准营销等。此外，鉴于A p p的功能性，A p p侵犯用户的个人信息权益覆盖在生活的多个方面，使得用户的个人信息长期处于高风险、易泄漏的境地。五、个人信息保护问题的应对措施(一)区分保护个人信息在民法典中，个人信息被划分为私密信息与非私密信息；在个人信息保护法中，个人信息被划分为敏感个人信息与非敏感个人信息，这种立法中不同概念的选择，导致了在这些概念基础上构造的具体法律规则适用中的趋同问题。对此，在现行法律对私密信息与敏感个人信息的保护采取差异化立场的前提下，应将私密信息与敏感个人信息在内涵和外延上的关系界定为并列但又交叉的关系，并以此为基础将对二者的保护分为三个方面。其一，基于民法典中的隐私权保护规则与个人信息法治探寻 楚天法治 保护规则，对隐私信息进行了“双层保护”。其二，个人信息保护法确立的敏感个人信息保护规则应当为敏感个人信息形成“特别保护”。其三，对于重叠部分的“敏感私密信息”，应以立法者通过民法典及个人信息保护法所彰显的充分保护与人格尊严、人格自由发展密切相关的个人信息的立法目的为依归。在隐私权保护和个人信息保护的规则不一致时，选择对敏感私密信息更充分、更有力的保护规则，以实现立法者充分保护个人核心私密领域的基本尊严与自由的目标。(二)加强个人信息保护立法规制为了依法处理“用户个人信息保护”的问题，从法律规范角度对其进行完善，是解决“用户个人信息保护”问题的首要措施，加强个人信息保护的法律规制，是实现用户个人信息保护最直接、最根本的保障。基于现有的“告知同意”规则，进一步细化和补充A p p在收集用户个人信息所需遵循的“告知同意”规则。“告知同意”规则意在于用户知悉并同意A p p收集个人信息，但如今各类A p p迫使用户同意不规范的隐私政策，即使告知了用户收集个人信息的方式、范围和目的，也难以真正满足知情同意的条件，而个人信息保护法中“知情同意”的表述过于模糊、难以实施。因此，应完善和补充“告知同意”规则。在网络A p p的设置中，对于需要收集的个人或私人重要信息，应取消不必要的默认同意和预检功能，并在用户首次使用网络A p p时给予人工同意，以保障用户的知情同意权和信息自主权。(三)完善个人信息保护行政监督目前，我国还未设立专门的公民个人信息保护监督管理机构，对公民个人信息安全的行政监督薄弱。因此，应尽快设立针对公民个人信息安全保护的行政监督管理机构，加大安全检查与执法力度。首先，行政部门应成立专门的监督管理机构，明确该部门的职责，使其能够有效监督A p p运营商获取个人信息的行为，确保A p p运营的规范性。其次，行政部门应引入相关的监督制度，确保网络A p p开发严格遵循手机用户信息的合法、必要以及正当的原则，并确保其不会非法泄露用户的个人信息。最后，建立个人信息泄露责任追究制度，分别对A p p运营商和监督管理部门工作人员制定相应的处罚措施，追究向特定个人泄露用户个人信息的责任，使相关人员对用户个人信息的保护给予足够的重视。六、结束语随着信息技术的不断发展，手机A p p的普及广度及深度已经有了突破性的进步，在方便生活的同时，其对个人信息安全造成的威胁以及潜在的隐患也不可小 觑。在“便利”与“隐患”之间，必须寻找一个最佳平衡点，在发展社会经济的同时，也要保护好个人利益。只有坚持促进发展与保护权 利 相统 一，二 者才 能 相 互 促 进、共 同 发 展。反之，过度限制或过度保护将导致两个极端，最终导致信息采集渠道枯竭并影响社会公共秩序。本文