一、结论先行：一条基本原则、六类认定情形、两档罚则
App收集使用个人信息的合规判断，可以按以下结构展开：
- 基本原则是合法、正当、必要。网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意；不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息（《中华人民共和国网络安全法》2025年修改后第四十三条，自2026年1月1日起施行）。同时，《个人信息保护法》第六条要求处理个人信息应当具有明确、合理的目的，与处理目的直接相关，并采取对个人权益影响最小的方式，收集个人信息应当限于实现处理目的的最小范围，不得过度收集。
- 具体认定落到六类情形、31种行为。《App违法违规收集使用个人信息行为认定方法》（国信办秘字〔2019〕191号，2019年11月28日印发）将违法违规行为分为六类，共31种具体情形。该文件是监管部门认定行为的参考，也是运营者自查自纠的对照清单。
- 法律后果分两档。违反规定处理个人信息，或者处理个人信息未履行法定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销许可或者营业执照（《个人信息保护法》第六十六条）。
二、六类认定情形与31种行为的分层梳理
六类情形可以按「告知—同意—必要—共享—权利」的逻辑主线重新排列，便于自查：
| 序号 | 认定类别 | 情形数量 | 典型表现 |
|---|---|---|---|
| 一 | 未公开收集使用规则 | 4种 | 没有隐私政策；首次运行未通过弹窗等明显方式提示阅读；进入主界面后需多于4次点击才能访问；文字过小过密、颜色过淡或未提供简体中文版 |
| 二 | 未明示收集使用个人信息的目的、方式和范围 | 4种 | 未逐一列出App（含委托的第三方或嵌入的第三方代码、插件）的目的、方式、范围；目的方式范围变化未通知；申请敏感信息权限未同步告知目的 |
| 三 | 未经用户同意收集使用个人信息 | 9种 | 征得同意前即开始收集；不同意后仍收集或频繁弹窗；实际收集超出授权范围；默认勾选同意；更新时自动恢复权限；定向推送未提供非定向选项；未提供撤回同意途径 |
| 四 | 违反必要原则收集无关个人信息 | 6种 | 收集类型与现有业务功能无关；因不同意非必要信息而拒绝提供业务功能；频度超出业务实际需要；以改善服务为由强制同意 |
| 五 | 未经同意向他人提供个人信息 | 3种 | 未获同意且未匿名化即向第三方提供；数据传至后台服务器后向第三方提供；接入第三方应用未经同意提供个人信息 |
| 六 | 未提供删除或更正功能、未公布投诉举报方式 | 5种 | 未提供有效的更正、删除及账号注销功能；设置不合理条件；未在承诺时限内处理（无承诺时限的以15个工作日为限）；后台未实际完成操作；未公布投诉举报渠道 |
上述情形数量合计31种，与认定方法的分类一致。表中「15个工作日」是认定方法为核查和处理设定的一般上限，运营者自行承诺更短时限的，从其承诺。
三、告知与同意：两项最常被认定为不合规的环节
（一）告知义务的履行标准
《个人信息保护法》第十七条要求个人信息处理者在处理个人信息前，以显著方式、清晰易懂的语言真实、准确、完整地告知下列事项：处理者的名称或者姓名和联系方式；处理目的、处理方式，处理的个人信息种类、保存期限；个人行使法定权利的方式和程序；以及法律、行政法规规定应当告知的其他事项。据此，隐私政策只写「为改善服务，我们可能收集相关信息」这类概括表达，不符合逐一列明的要求。
（二）同意的有效性要件
基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定（第十四条）。同意还必须是可撤回的：个人有权撤回其同意，个人信息处理者应当提供便捷的撤回同意的方式；个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力（第十五条）。同时，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所必需的除外（第十六条）。
四、必要原则的判断方法与必要个人信息范围
必要原则的落地通常按三步判断：
- 确定业务功能。先明确App实际提供哪些业务功能，逐项列出功能清单。
- 建立对应关系。对每一项业务功能，说明实现该功能所必需的个人信息类型与权限，并形成对应表。无法建立对应关系的收集行为，构成「与现有业务功能无关」。
- 剔除强制捆绑。不得因用户不同意收集非必要个人信息或者打开非必要权限而拒绝提供业务功能；也不得要求用户一次性同意打开多个可收集个人信息的权限、用户不同意即无法使用。
与必要原则配套的还有监管机关发布的关于常见类型移动互联网应用程序必要个人信息范围的规定，该规定按行业分类列明各类App的必要个人信息范围，可以作为对照依据。需要提示的是，此类规定属于规范性文件，其内容可能更新，具体范围应当以发布机关的现行文本为准。
五、第三方共享与嵌入代码的管理
认定方法第五类专门规制未经同意向他人提供个人信息，包括通过客户端嵌入的第三方代码、插件向第三方提供个人信息。由此形成三项管理动作：
- 形成SDK与第三方清单。逐一列明嵌入的第三方代码、插件、SDK的名称、提供者、收集的个人信息类型、使用目的，并写入隐私政策。
- 落实告知与同意。向第三方提供个人信息前，应当取得个人同意或者完成匿名化处理。既未经同意也未匿名化的提供行为，属于认定方法列明的违规情形。
- 设置流程控制。在SDK初始化、权限申请等关键节点设置等待确认机制，避免在用户同意前即发生数据传输。
六、个人权利响应机制的建设
第六类情形指向权利响应。需要建立并公开的机制包括：
- 更正、补充与删除。个人发现处理者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求删除；发现收集、存储的个人信息有错误的，有权要求更正，处理者应当采取措施予以删除或者更正（《网络安全法》第四十五条）。《个人信息保护法》第四十七条进一步规定了应当主动删除的具体情形。
- 查阅、复制与可携带。个人有权向处理者查阅、复制其个人信息，请求将个人信息转移至其指定的处理者，符合国家网信部门规定条件的，处理者应当提供转移途径（《个人信息保护法》第四十五条）。
- 申请受理与处理机制。处理者应当建立便捷的个人行使权利的申请受理和处理机制；拒绝个人行使权利的请求的，应当说明理由（第五十条）。
- 时限管理。按认定方法的表述，需要人工处理的请求，未在承诺时限内完成核查和处理的即构成违规；无承诺时限的，以十五个工作日为限。此外还须避免「前台已完成、后台未完成」的状态不一致。
与之配套的安全保障义务包括：制定内部管理制度与操作规程、对个人信息实行分类管理、采取加密与去标识化等安全技术措施、合理确定操作权限并定期开展安全教育培训、制定并实施安全事件应急预案（第五十一条）。处理个人信息达到国家网信部门规定数量的处理者，还应当指定个人信息保护负责人（第五十二条）。
七、常见问答
问：隐私政策写在App内但需要点击五次才能打开，是否合规？
答：认定方法将「进入App主界面后，需多于4次点击等操作才能访问到」归入「未公开收集使用规则」。此外还要求首次运行时通过弹窗等明显方式提示用户阅读。因此入口层级过深即存在被认定为不合规的风险。
问：用户不同意授权通讯录，就不再提供App的核心功能，是否合法？
答：需要判断通讯录是否属于核心业务功能所必需。若非必需，因用户不同意收集非必要个人信息而拒绝提供业务功能，属于认定方法第四类列明的违规情形。若确属必需，则属于《个人信息保护法》第十六条保留的例外。
问：App更新后自动恢复了用户此前关闭的权限，是否有问题？
答：有问题。认定方法明确将「未经用户同意更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态」列为未经用户同意收集使用个人信息的情形之一。
问：用户申请注销账号，App要求提供多项额外材料，可以吗？
答：为更正、删除个人信息或注销用户账号设置不必要或者不合理条件，属于认定方法第六类列明的违规情形。核查与处理应当控制在合理范围内，并在承诺时限内完成；无承诺时限的以十五个工作日为限。
问：违规后主动整改，还会被处罚吗？
答：法律规定的第一档处理是责令改正、给予警告、没收违法所得，对违法处理个人信息的应用程序责令暂停或者终止提供服务；「拒不改正」才并处一百万元以下罚款。因此及时、彻底的整改在处罚裁量中具有重要意义。同时应当注意《行政处罚法》关于从轻、减轻与不予处罚的规定可以一并适用。
八、法条与依据核验
本文引用的规范与条文如下：
- 《中华人民共和国个人信息保护法》（2021年8月20日通过，2021年11月1日起施行）第六条（目的明确合理与最小必要）、第十三条（处理个人信息的合法性基础）、第十四条（同意的作出与单独同意、书面同意）、第十五条（撤回同意）、第十六条（不得因不同意或者撤回同意拒绝提供产品或服务）、第十七条（处理前的告知事项）、第四十四条（个人的知情权、决定权与有权限制或者拒绝他人对其个人信息的处理）、第四十五条（查阅、复制与可携带）、第四十七条（主动删除与请求删除）、第五十条（权利申请受理和处理机制）、第五十一条（安全保障措施）、第五十二条（个人信息保护负责人的指定）、第六十六条（法律责任，含两档罚款）、第六十七条（记入信用档案并公示）。
- 《中华人民共和国网络安全法》（2025年10月28日修改通过，自2026年1月1日起施行）第四十二条（对收集的用户信息严格保密并建立保护制度）、第四十三条（收集使用个人信息的合法正当必要原则，对应修改前第四十一条）、第四十四条（不得泄露、篡改、毁损，未经同意不得向他人提供，经匿名化处理的除外）、第四十五条（删除权与更正权，对应修改前第四十三条）、第四十六条（禁止窃取、非法获取、非法出售或者非法提供个人信息，对应修改前第四十四条）、第六十一条（罚则，对应修改前第五十九条）。
- 《App违法违规收集使用个人信息行为认定方法》（国家互联网信息办公室秘书局、工业和信息化部办公厅、公安部办公厅、国家市场监督管理总局办公厅，国信办秘字〔2019〕191号，2019年11月28日印发）六类共31种情形。
- 《常见类型移动互联网应用程序必要个人信息范围规定》（规范性文件）关于按行业分类确定必要个人信息范围的要求，本文仅作制度性引述，未标注具体条文号。
- 《中华人民共和国行政处罚法》第三十二条、第三十三条（从轻、减轻与不予处罚的规定）。
上述条文均按现行有效版本核对。特别提示：《网络安全法》已于2025年10月28日修改，自2026年1月1日起施行，个人信息保护相关条文序号整体后移两位——修改前的第四十一条现为第四十三条，修改前的第四十二条现为第四十四条，修改前的第四十三条现为第四十五条，修改前的第四十四条现为第四十六条，修改前的第五十九条现为第六十一条。引用时不得沿用修改前的旧条号。此外，《App违法违规收集使用个人信息行为认定方法》系2019年印发的规范性文件，其依据表述中的《网络安全法》条文序号对应修改前的版本，对照使用时应当注意条号衔接。法律法规与规范性文件可能修订，具体适用请以全国人民代表大会及其常务委员会、国家互联网信息办公室官方公布文本为准。
