关于《移动互联网应用程序个人信息保护管理暂行规定（征求意见稿）》的起草说明

　　一、起草背景

　　近年来，我国个人信息保护力度不断加大，但APP个人信息收集使用规则、目的、方式和范围仍存在不明确的地方，部分环节仍存漏洞，个人信息保护面临诸多问题和挑战。党中央、国务院高度重视APP个人信息保护治理工作，党的十九届五中全会明确提出，维护人民根本利益，保障国家数据安全，加强个人信息保护。国家互联网信息办公室、工业和信息化部、公安部、市场监管总局持续深入开展APP违法违规收集使用个人信息治理工作，工业和信息化部连续两年开展APP侵害用户权益专项整治行动，社会反映热烈，取得阶段性明显成效。

　　考虑到APP治理是一项具有长期性、复杂性的系统治理工作，有必要将近年来成熟的经验做法和管理措施转换为制度性规范文件。同时，为强化APP个人信息保护管理的系统性、整体性和协同性，在总结专项治理工作经验基础上，起草形成了《移动互联网应用程序个人信息保护管理暂行规定（征求意见稿）》（以下简称《征求意见稿》），并向社会公开征求意见。

　　二、关于起草的主要情况和把握要点

　　《征求意见稿》在国家互联网信息办公室的统筹指导下，由工业和信息化部会同公安部、市场监管总局联合制定完成。起草过程中，就重点问题组织有关单位和专家学者进行了专题研究，并听取了百度、阿里巴巴、腾讯、字节跳动、美团、拼多多、京东、滴滴、新浪微博、快手、小米、华为、OPPO、vivo、360、捷兴信源、梆梆等主要互联网企业、终端企业和安全企业的意见建议。

　　制定过程中，重点把握“三个坚持”：一是坚持以人民为中心的发展思想。贯彻党的十九届五中全会要求，落实以人民为中心的发展思想，坚持人民利益至上，严格规范APP个人信息处理活动，增强人民群众安全感和获得感。二是坚持问题导向。立足前期专项治理工作基础，聚焦用户投诉举报反映强烈的突出问题，将近两年来已经成熟的经验做法和管理措施制度化，为规范APP个人信息处理活动提供可靠制度保障。三是坚持落实主体责任。明确细化了APP开发运营者、分发平台、第三方服务提供者等主体在APP个人信息处理活动中应当履行的主体责任义务。

　　三、关于《征求意见稿》的主要内容

　　《征求意见稿》共计二十条，界定了适用范围和监管主体；确立了“知情同意”“最小必要”两项重要原则；细化了APP开发运营者、分发平台、第三方服务提供者、终端生产企业、网络接入服务提供者五类主体责任义务；提出了投诉举报、监督检查、处置措施、风险提示等四方面规范要求，主要内容如下：

　　一是界定适用范围和明确监管主体。在适用范围方面，《征求意见稿》明确了在中华人民共和国境内开展的APP个人信息处理活动，应当遵守本规定。法律、行政法规对个人信息处理活动另有规定的，从其规定。在监管主体方面，《征求意见稿》明确了APP个人信息保护的联合工作机制，国家互联网信息办公室会同工业和信息化部、公安部、市场监管总局健全完善APP个人信息保护监督管理联合工作机制，统筹推进政策标准规范等相关工作，各部门在各自职责范围内负责APP个人信息保护和监督管理工作。（第一条至第五条）

　　二是明确“知情同意”“最小必要”两项重要原则。《征求意见稿》“知情同意”规定，从事APP个人信息处理活动的，应当以清晰易懂的语言告知用户个人信息处理规则，由用户在充分知情的前提下，作出自愿、明确的意思表示，并明确了“六项应当”要求。“最小必要”规定，从事APP个人信息处理活动的，应当具有明确、合理的目的，并遵循最小必要原则，不得从事超出用户同意范围或者与服务场景无关的个人信息处理活动，并提出了“六项不得”要求。（第六条和第七条）

　　三是规范关键环节主体责任义务。《征求意见稿》对APP治理的全链条、全主体、全流程予以规范，规定了APP开发运营者、APP分发平台、APP第三方服务提供者、移动智能终端生产企业和网络接入服务提供者在APP个人信息保护方面的具体义务。（第八条至第十二条）

　　四是细化违规处置流程和具体措施。《征求意见稿》明确从事个人信息处理活动的有关主体违反要求的，依次按照通知整改、社会公告、下架处置、断开接入、信用管理流程进行处置，并明确具体时间期限要求。特别提出，对未按要求完成整改或反复出现问题、采取技术对抗等违规情节严重的APP，将对其进行直接下架；且下架后的APP在40个工作日内不得通过任何渠道再次上架的管理要求。此外，监督管理部门将指导APP分发平台和移动智能终端生产企业在集成、分发、预置和安装等环节进行风险提示，情节严重的采取禁入措施。（第十六和第十七条）

　　此外，《征求意见稿》还对违反本规定行为的法律责任、保密义务等作了规定。（第十八和第十九条）