近年来，数据泄漏事故、勒索软件和其他类型的网络攻击事件时常发生，APP违规收集、使用个人信息，强制、频繁、过度索取权限，违规调用通讯录和地理位置权限等现象频发，国家工业和信息化部依据相关法律法规定时公布侵害用户权益行为的APP通报，针对通报案件我们梳理出常见违法违规行为并分析如下。

一、常见违法违规行为分析

1.未公开收集使用规则

在App中没有隐私政策或者隐私政策中没有收集使用个人信息规则、App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则、隐私政策等收集使用规则难以访问、隐私政策等收集使用规则难以阅读等。

2.未明示收集使用个人信息的目的、方式和范围

未列出收集使用个人信息的目的、方式、范围等，以上信息发生变化时未以适当方式通知用户；申请打开可收集个人信息的权限或个人敏感信息时，未同步告知用户其目的，或者目的不明确；有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解，如使用大量专业术语等。

3.未经用户同意收集使用个人信息

在征得用户同意前或用户明确表示不同意仍收集个人信息或打开可收集个人信息的权限，实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围；未经用户同意更改其设置的可收集个人信息权限状态；利用用户个人信息和算法定向推送信息；以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限；未向用户提供撤回同意收集个人信息的途径、方式，违反其所声明的收集使用规则，收集使用个人信息。

4.违反必要原则，收集与其提供的服务无关的个人信息

收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关；因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能；App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，则拒绝提供原有业务功能；要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用，收集个人信息的频度等超出业务功能实际需要。

5.未经同意向他人提供个人信息

未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息；数据传输至App后台服务器后，向第三方提供其收集的个人信息；App接入第三方应用，未经用户同意，向第三方应用提供个人信息。

6.未按法律规定提供删除或更正个人信息功能或未公布投诉、举报方式等信息

未提供有效的更正、删除个人信息及注销用户账号功能，设置不必要或不合理条件，或虽提供功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内完成核查和处理；更正、删除个人信息或注销用户账号等用户操作已执行完毕，但App后台并未完成的；未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内受理并处理的。
法律法规
二、防控建议

1.完善平台治理，规范电商运营

一是梳理系统内现有APP、小程序,包括易捷商城、加油中石化APP等，对存在明显侵犯个人信息的行为，如过度收集个人信息，强制、频繁、过度索取权限，违规调用通讯录和地理位置权限等侵权隐患予以整改，修复漏洞。二是依法合规收集、使用、处理用户个人信息，厘清平台对处理数据和权利的边界，制定平台规则，规避法律明确禁止的模糊授权、打包授权、二次授权等，规范易捷商城、加油中石化APP等电商平台的运营和管理。

2.健全保护机制，强化内部监管

一是建立健全客户个人信息制度保护机制，覆盖信息收集、使用、流转等各个环节，明确组织领导、权限分工、工作流程和责任认定等，实现个人信息保护的常态化和制度化。二是及时依据最新政策要求更新完善合同条款，明确约定个人信息保密规定及违约责任，对外寻求第三方合作时签订个人信息保密协议。三是升级完善网络安全等级保护措施，定期进行维护和监督，建立投诉举报机制，公布投诉或举报电话，保障客户投诉反馈渠道畅通。

3.加强安全教育，提高合规意识

一是建立信息安全考核机制，定期开展数据安全教育，定期组织学习《网络安全法》、《数据安全法》、《个人信息保护法》等法律法规，定期检查数据保护的落实情况。二是加强涉密员工保密教育，将非法使用、泄露、公开个人信息等行为纳入员工违规违纪行为，提高员工合规意识，营造积极向上的企业个人信息保护合规文化。

近日，《中华人民共和国个人信息保护法》已获表决通过，自2021年11月1日起施行，这是我国首部专门针对个人信息保护的系统性、综合性法律，共8章74条，在有关法律的基础上，进一步细化、完善个人信息保护应遵循的原则和个人信息处理规则，明确个人信息处理活动中的权利义务边界，健全个人信息保护工作体制机制。

各有关企业应严格遵守网络安全和个人信息保护相关规定，依法合规开展经营活动，避免因违法违规收集使用个人信息受到处罚及影响企业品牌形象。