24小时咨询电话:0571-8802321710年专业网络服务供应商

资讯中心

- 直击网站建设第一现场,掌握全球化的消息 -

当前位置 : 首页 > 新闻中心 > 开发方案 > 杭州小程序开发个人信息合规要点

杭州小程序开发个人信息合规要点

分享 2023.11.03 浏览次数:1190次

小程序已经成为人们日常生活中获取移动互联网服务的重要载体之一。伴随着杭州小程序开发与发展,各类小程序收集的个人信息规模逐渐攀升,相应的个人信息安全隐患也逐渐显现。

所以,我们需要看看《小程序个人信息保护研究报告》,杭州小程序开发运营者需要高度重视并提前进行相应的合规安排。

一、小程序在个人信息保护方面存在的主要问题

结合《小程序个人信息保护研究报告》及监管实践,当前小程序在个人信息保护方面存在的主要问题如下:

1无独立的隐私政策

2未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则

3未逐一列出收集使用个人信息的目的、方式和范围

4收集个人敏感信息,或申请打开地理位置等可收集个人信息权限时,未同步说明收集目的

5收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关

6用户关闭授权后仍使用其个人信息

7传输个人敏感信息时,未采用加密等安全措施

8未提供有效的更正、删除个人信息及注销用户账号功能

9未公布投诉、举报方式等信息

可见,小程序在个人信息流转全生命周期的主要环节(收集、使用、对外提供/传输、删除)中均存在一定的个人信息违规问题。基于小程序的普及其处理的个人信息规模的扩大,结合个人信息保护相关执法工作进一步深化的监管现状,监管部门未来可能会针对小程序开展相应的执法动作。

二、规制小程序收集使用个人信息的法律、规定及国家标准梳理

近年来,数据安全和个人信息安全受到监管层面的普遍重视,但在移动互联网领域,监管部门的立法工作和监管工作主要集中于App的个人信息安全,无法有效适用于小程序的监管。同App相比,直接涉及小程序个人信息安全的法律规定相对较少,这种情况下,上位法《中华人民共和国网络安全法》(以下简称“《网络安全法》”)成为开展小程序个人信息安全合规工作的重要依据。

1、相关法律梳理

《网络安全法》第76条规定,“……(三)网络运营者,是指网络的所有者、管理者和网络服务提供者……”。据此,作为“网络服务提供者”,小程序运营者落入《网络安全法》规定的“网络运营者”范畴,应当履行《网络安全法》规定的网络信息安全义务,其中就个人信息层面,主要包括:遵循合法、正当、必要原则收集、使用个人信息;公开收集、使用规则,明示收集、使用目的、方式和范围,并经被收集者同意;采取技术措施和必要措施确保收集的个人信息安全;确保用户个人信息的删除权和更正权;建立网络信息安全投诉、举报制度等。

2、相关规定梳理

《电信和互联网用户个人信息保护规定》《儿童个人信息保护规定》等法规同样适用于小程序收集、处理个人信息的场景。同时,尽管《移动互联网应用程序信息服务管理规定》《App违法违规收集使用个人信息行为认定方法》等针对App个人信息保护的相关规定并未直接指向小程序的个人信息安全保护工作,但在针对小程序开展的监管实践中,亦有部分监管部门适用了该等规定。有鉴于此,虽然小程序同App在接口调用、权限获取、权限管理、定向推送等方面都存在着一定的差异,但出于充分合规的考虑,在开展小程序个人信息合规相关工作的过程中,亦建议小程序运营者参照App个人信息保护的相关规定对小程序进行整改。

3、相关国家标准梳理

对于企业如何保护个人信息安全,《信息安全技术 个人信息安全规范》(GB/T 35273—2020,以下简称“《个人信息安全规范》”)在《网络安全法》框架下作出了大量细化规定。在监管实践中,尽管其仅为推荐性国家标准,但频繁为监管部门援引,[2]系监管部门监管实践中的重要指引,也是企业个人信息合规的重要参考。小程序运营者系《个人信息安全规范》第3.4条规定的个人信息控制者,即“有能力决定个人信息处理目的、方式等的组织或个人”,故《个人信息安全规范》亦是小程序运营者开展个人信息合规工作的重要参考。 

三、小程序个人信息保护的合规建议

在根据《网络安全法》和《个人信息安全规范》等相关法律、国家标准开展小程序个人信息保护合规工作的过程中,结合当前相关监管工作中发现的主要问题,建议小程序运营者着重关注以下内容:

1、遵守小程序平台对小程序个人信息保护方面的要求

目前,所有的小程序都依托于小程序平台运营,就个人信息活动而言,小程序同平台的关系主要表现为,小程序通过平台直接或间接获取用户的个人信息,平台通过平台服务协议及运营规范中个人信息保护的相关要求对小程序处理个人信息的具体活动作出限制。

在接入小程序平台时,小程序平台一般会同小程序运营者订立相应的平台服务协议,其中一般会对“用户个人信息保护”的相关内容作出明确约定。此外,小程序平台一般还会通过运营规范中的“用户隐私和数据规范”对个人信息保护提出额外的要求。当前主流小程序平台通过平台服务协议和运营规范对小程序运营者施加的限制主要包括:应具有隐私政策;收集或处理用户个人信息前获得用户同意;应平台及用户要求删除留存的个人信息;遵守个人信息保护相关法律法规并向平台提供必要信息证明;未经平台同意不得将通过平台获取的个人信息对外提供等。

该等平台服务协议和运营规范构成小程序运营者同小程序平台之间具有法律约束力的协议,小程序运营者若违反其中个人信息保护的相关约定,则将构成违约,可能需要承担相应的违约责任。同时,若相关违约行为违反《网络安全法》等相关法律、法规中个人信息保护的规定,还可能面临相应的行政处罚。

基于此,建议小程序运营者充分梳理小程序平台的服务协议及运营规范中同个人信息保护相关的条款,在遵守相关约定和要求的基础上开展个人信息处理活动。

2、制定并公开隐私政策

《小程序个人信息保护研究报告》指出,评测发现,只有38.5%的小程序提供了独立的隐私政策,“无独立的隐私政策”系当前小程序个人信息保护方面最突出的问题之一。

虽然小程序并未作为单独的App存在,而一般嵌套于小程序平台的App之中,但如前所述,小程序运营者属于《网络安全法》下的“网络运营者”,其应根据《网络安全法》第41条的要求公开收集、使用规则。同时,小程序运营者作为《个人信息安全规范》下的个人信息控制者,根据《个人信息安全规范》第5.5条的规定,应制定个人信息保护政策。参照去年年底某知名旅游服务公司因其微信小程序存在未公示用户个人信息收集使用规则等问题被工信部约谈背后所折射出的监管意见,制定并公开隐私政策对于小程序而言,是最基本的合规要求。另一方面,部分小程序平台亦明确要求小程序配置有隐私政策,制定并公开隐私政策,对于接入该等平台的小程序运营者而言,亦是其遵守相关平台服务协议和运营规范要求的需要。

基于此,建议小程序运营者制定并公开隐私政策。

3、隐私政策应适用于小程序

在明确应当制定并公开隐私政策的前提下,对于兼有App和小程序两类业务渠道的运营者而言,小程序个人信息合规中的另一个常见问题即是,小程序隐私政策的内容能否同App隐私政策的内容保持一致。

当前实践中,许多小程序运营者即使在小程序中配置了隐私政策,其隐私政策往往同App中所配置的隐私政策保持一致,而非针对小程序所定制。诚然,小程序和App后台的服务器和数据库通常是共用的,但App和小程序在很多涉个人信息的场景下的个人信息处理活动存在明显区别。

例如,在用户注册环节,App一般直接收集用户个人信息,而部分小程序内部可能无单独的账户体系,收集的是用户留存在平台、由平台通过API等方式共享的个人信息。同时,实践中,小程序的功能一般较App更为简单,这意味着App的隐私政策中部分业务功能及其对应收集的个人信息可能同小程序不相匹配。

基于此,在开展小程序个人信息合规的过程中,建议小程序运营者针对性地制定适用小程序自身业务功能需要的隐私政策。

4、采用适当的方式获得用户对收集、使用其个人信息的同意

根据《网络安全法》、《个人信息安全规范》等相关法律、国家标准规定,就获取用户对收集使用其个人信息的同意的方式上,小程序的合规要求同App并无本质区别。然而,实践中仍普遍存在部分小程序未通过明显方式提示用户阅读隐私政策等收集使用规则、未逐一列出收集使用个人信息的目的、方式和范围以及在收集个人敏感信息或请求打开相关权限时未同步向用户说明收集使用目的的情形。在我国现有法律框架下,合法有效的用户同意是收集、处理个人信息的合法性基础。若小程序运营者未能采取适当的方式获得用户同意,则其收集、使用用户个人信息行为可能面临相应的合规风险。

基于此,对于获得用户对收集、使用其个人信息的同意,建议在用户注册或授权登录前主动弹窗提示用户阅读隐私政策,并在征求用户同意时避免采用默认勾选同意、登录即代表同意等非明示方式。对于调取地理位置等设备权限的,建议小程序运营者在向用户弹窗提示的同时同步在弹窗中说明收集相应个人信息的目的。

5、提供有效的注销账号或取消授权的渠道

《电信和互联网用户个人信息保护规定》第9条要求互联网信息服务提供者为用户提供注销号码或者账号的服务。随着专项治理工作的开展,该条规定逐步得以落实,以往App“账号注销难”的局面得到了较大改善。然而,在小程序场景下,部分小程序没有独立于小程序平台的账号体系,用户往往通过授权小程序运营者从小程序平台获取其平台账号的方式、使用平台账号登录小程序,在该场景下,可能不存在注销“小程序账号”的情形,小程序运营者可能也难以提供有效的注销账号渠道。

不同于《网络安全法》第43条规定的用户在网络运营者违法违规或违约的情况下享有的删除权,《电信和互联网个人信息保护规定》第9条规定的注销账号的权利未附任何前提条件。小程序运营者应尽可能保障用户注销账号的权利。

基于此,对于小程序运营者而言,若其有独立于小程序平台的账号体系,其应当为用户提供注销账号的途径。而对于用户授权小程序获取其平台账号用于登录的情形,小程序运营者应当至少确保用户解除该等授权的权利,并在用户解除授权后尽快删除其个人信息或进行匿名化处理。当然,法律法规对于个人信息存储另有规定的除外。

6、公布个人信息安全投诉、举报方式

《网络安全法》第49条第1款规定,网络运营者应当建立网络信息安全投诉、举报制度,公布投诉、举报方式等信息,及时受理并处理有关网络信息安全的投诉和举报。据此,小程序运营者应当在小程序内建立有效的个人信息相关投诉、举报渠道,但实践中,许多小程序内往往未配置相应的个人信息相关投诉、举报页面,限制了用户小程序场景下个人信息相关投诉、举报权利的行使。

基于此,建议小程序运营者应通过隐私政策向用户说明个人信息相关投诉、举报渠道。同时,小程序运营者宜在小程序内开发相应的个人信息投诉、举报板块,或至少明确提示用户可以通过小程序内置的客服或意见反馈等渠道进行个人信息投诉、举报。

想了解更多杭州小程序开发相关内容,欢迎浏览杭州帷拓科技官网更多文章。

最新网站案例

洞悉市场趋势演变让传播回归社会

    免费获取网站建设与网络推广方案报价

    • 关于我们

      杭州帷拓科技有限公司,是一家新型的全案网络开发公司,作为以互联网高端网站建设、APP开发、小程序开发为核心的专业网络技术服务供应商,帷拓科技致力于全面分析市场环境、衡量与预测市场需求、整合区别于行业竞争对手的绝对优势,结合品牌理念深度挖掘项目优势和产品价值,提升客户品牌认知、认可度。

    • 我们的客户

      帷拓科技历经十年沉淀,与国内外上千家客户达成合作关系,其中稳定合作的公司有:浙江华为、浙江移动、浙江5G产业联盟、浙江省社科院、绿城足球俱乐部、娃哈哈双语学校、健康中国杭州峰会、科雷机电等,帷拓科技始终坚持“帷有专业,才能拓展无限”的服务理念,坚持“认真坚持细节”的优质服务理念,不断完善自身,成就企业,最终实现共赢。

    • 我们的业务

      帷拓科技主营业务范围包含互联网高端网站建设、APP开发、小程序开发、商城网站建设、公众号运营以及数字营销等,涵盖了服务、房产、数码、服装、物流贸易等行业,根据品牌现状,为每个客户量身定制项目整体服务方案,以敏锐的市场洞察力、创新的市场策划能力,全面把握市场变化,为客户实现从企业到消费者的价值转换。

    Designerpart Designagentur
    Designerpart Designagentur
    Designerpart Designagentur
    Designerpart Designagentur
    Designerpart Designagentur
    Designerpart Designagentur