ARTICLE · 1032277
说法讲理丨APP 不是 “顺风耳”,人脸不是 “通行证”,拒绝个人信息 “被采集”
您有没有过这样的困惑：手机明明锁着屏，APP却精准推送了您刚刚口头提到过的商品广告？
在小区门口、商场入口，甚至公共卫生间，摄像头无处不在，我们往往还没来得及拒绝，就已经“被采集”了。
在数字时代，我们的每一次点击、浏览、停留，都可能被算法精准捕捉并分析。
更触目惊心的是，最近被“两高”接连点名的一起“开盒”案中，9亿余组公民个人信息被明码标价出售，全家户籍、就医信息、银行流水……你的全部隐私，在黑产群里只需几十元就能买到。
本期节目，我们特别带大家了解个人信息保护的法律知识，识别常见的侵权套路，并指导大家如何进行维权。
很多人都产生过疑虑：我的手机是不是在偷听我说话？手机里精准到令人毛骨悚然的推送，背后是否藏着个人信息被非法采集的隐患？
有的推送，是基于合法的数据整合分析；有的，则涉嫌违法采集个人信息，包括但不限于语音信息。
精准推送本身并不必然违法。如果它是基于用户明确同意的浏览记录、搜索行为、主动填写的偏好等合法收集的数据，而且APP提供了关闭个性化推送的选项，那就属于合规行为。
但如果APP未经同意采集语音等个人信息，或者超出授权范围使用信息，那就违法了。
这个过程主要受《中华人民共和国民法典》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》以及相关监管规范约束。
嘉宾陈黎
主持人
用户感受到的“被冒犯”，和平台所说的“已授权”，中间隔着权利边界问题——用户到底在什么时候、以什么方式、让渡了多少信息，平台又是在哪一步开始，把“同意”变成了“概括授权”，甚至变成了“推定同意”。
最高人民法院2025年发布的数据权益司法保护专题指导性案例中，就有一件非常典型的案例——
嘉宾陈黎
案例一
某科技有限公司运营某英语学习网站及两款APP。
2021年1月15日，某科技公司在未征得罗某同意的情况下，通过线下合作体验店收集罗某两个手机号码，为罗某创建案涉某英语学习网站的账号密码，并向罗某手机发送多条相关信息。
2021年1月20日，为了解账号情况，罗某在案涉某英语网站和案涉APP账号登录页面输入手机号、密码并点击登录，即出现若干问答界面，要求用户填写“职业”“学习目的”“学龄阶段”“英语水平”等内容，不填写相关信息则无法继续登录过程。填写完成后，还需填写个人基本信息界面，输入中英文名等必填内容才能完成注册。上述过程中并无“跳过”“拒绝”等选项，亦无授权同意收集个人信息的提示。罗某以隐私权、个人信息保护纠纷为由提起诉讼。
北京互联网法院判决支持了罗某的诉讼请求，判令某科技公司向罗某提供清晰的个人信息副本，停止关于罗某名下两部手机号码及其用户画像信息、账号密码信息、订单信息等个人信息的处理行为和删除相关个人信息，以书面形式向罗某赔礼道歉并赔偿律师费、取证费合计人民币2900元。某科技公司提起上诉，驳回上诉，维持原判。
这个案件中明确了APP不能以“一揽子授权”“强制同意”的方式过度收集用户个人信息。
网站或软件在登录注册界面收集相关信息时，如果没有向用户提供不同意提交信息情况下的其他登录方式，就属于用户非自愿同意提供个人信息；用户主张侵害其个人信息权益的，人民法院依法予以支持。
嘉宾陈黎
主持人
法律上处理个人信息，需要满足什么条件才算合法？
《中华人民共和国个人信息保护法》第十三条确立了处理个人信息的合法性基础，规定了七种可以处理个人信息的情形：取得个人同意、为订立或履行合同所必需、为履行法定职责或法定义务所必需、为应对突发公共卫生事件或紧急情况下保护生命健康和财产安全所必需、为公共利益实施新闻报道和舆论监督在合理范围内处理、在合理范围内处理已合法公开的个人信息，以及法律行政法规规定的其他情形。
其中，取得个人同意是最常见、最基础的合法性基础。
嘉宾陈黎
主持人
那对用户来说，是不是只要平台履行了告知、用户点了同意，处理就必然合法？
不是。这里要分两层规则来看。
第一层，《中华人民共和国民法典》第一千零三十五条确立了个人信息处理的“告知—同意”规则。也就是说，告知和同意是基础，但同意本身不是没有边界的。
第二层，《中华人民共和国个人信息保护法》第十三条第一款第二项，把“为订立、履行个人作为一方当事人的合同所必需”规定为取得个人同意的法定例外情形。
但实践中，对“合同所必需”的认定，要结合有关法律法规、规章、规范性文件对必要个人信息范围的规定，还要考量合同的类型、内容等。如果信息处理的缺位，将使合同约定的基本功能服务或者用户自主选择的附加功能服务无法实现的，可以认定为订立、履行合同所必需；反之，则不予认定。
此外，《中华人民共和国个人信息保护法》还特别要求，在处理敏感个人信息、向他人提供或公开个人信息、跨境转移个人信息等环节，应当取得个人的单独同意。
同时明确规定：个人信息处理者不得以个人不同意处理其个人信息，或者撤回同意为由，拒绝提供产品或者服务，除非处理个人信息属于提供产品或者服务所必需。个人也有权撤回同意。撤回后，处理者应当停止处理，或者及时删除其个人信息。
所以，告知了、点了同意，不等于处理就必然合法。同意之外，还有“合同所必需”的认定边界，还有单独同意的要求，还有撤回同意的权利。
嘉宾陈黎
主持人
那如果把这个标准放到人脸信息上，人脸和手机号、职业不一样，改不了、换不掉，一旦泄露就是终身风险。所以我想问：法律对人脸信息的保护，是不是比普通个人信息更严？
接下来，我们通过最高人民法院第35批指导性案例——“李某侵犯公民个人信息刑事附带民事公益诉讼案”来了解相关法律知识：
嘉宾陈黎
案例二
2020年6月至9月间，被告人李某制作了一款具有非法窃取安装者相册照片功能的手机“黑客软件”，打包成安卓手机端的“APK安装包”，伪装成“颜值检测”软件发布于论坛供访客免费下载。用户下载安装“颜值检测”软件使用时，“颜值检测”软件会自动在后台获取手机相册里的照片，并自动上传到被告人搭建的腾讯云服务器后台，从而窃取安装者相册照片共计1751张，其中部分照片含有人脸信息、自然人姓名、身份号码、联系方式、家庭住址等公民个人信息100余条。
2021年2月，被告人李某明知其持有的资料中含有户籍信息、QQ账号注册信息、京东账号注册信息、车主信息、借贷信息等，仍将网盘链接分享至其担任管理员的“翠湖庄园业主交流”QQ群，提供给群成员免费下载。经鉴定，该资料经去除无效数据并进行合并去重后，包含各类公民个人信息共计8100万余条。
上海市奉贤区人民检察院以社会公共利益受到损害为由，向上海市奉贤区人民法院提起刑事附带民事公益诉讼。
法院审理认为，使用人脸识别技术处理的人脸信息以及基于人脸识别技术生成的人脸信息，均具有高度的可识别性，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况，属于刑法规定的公民个人信息。行为人未经公民本人同意，利用软件程序等方式非法获取上述信息，情节严重的，依照《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第五条第一款第四项等规定定罪处罚。
人脸信息是生物识别信息，属于《中华人民共和国个人信息保护法》所规定的敏感个人信息中的一种。
敏感个人信息的保护标准比一般个人信息更高——一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。
所以处理人脸信息必须遵循“单独同意”原则，不能打包在用户协议里一次性获取授权。
嘉宾陈黎
主持人
如果我们的个人信息被非法收集和滥用，可以通过哪些途径维权？
《中华人民共和国个人信息保护法》构建了行政责任、民事责任、刑事责任三位一体的法律责任体系。我按照从便捷到正式的层次给大家讲解：
第一，向履行个人信息保护职责的部门投诉举报。
《中华人民共和国个人信息保护法》第六十五条规定，任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报；收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉人、举报人。国家网信部门负责统筹协调个人信息保护工作，县级以上地方人民政府有关部门在各自职责范围内负责个人信息保护和监督管理工作。
具体来说，大家可以拨打12377举报热线，或者登录举报中心官网www.12377.cn进行举报，还可以关注“国家网信办举报中心”官方微信公众号或微博进行举报。针对APP违法违规收集使用个人信息，也可以关注“App个人信息举报”微信公众号进行举报。
第二，向检察机关提供公益诉讼线索。
《中华人民共和国个人信息保护法》第七十条规定，个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。
大家可以通过12309检察服务热线、12309网站或12309微信公众号向检察机关提供公益诉讼线索。
第三，向公安机关报案。
如果个人信息泄露导致遭受骚扰、威胁、网络诈骗，或者个人信息被用于违法犯罪活动，应当立即报警。
第四，向人民法院提起民事诉讼。
《中华人民共和国个人信息保护法》第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
嘉宾陈黎
主持人
有没有哪些动作可以帮助大家事前去预防一些风险？
主持人问了一个非常现实的问题。我给大家几个建议：
第一，管好手机权限。在手机设置里定期检查各个APP的权限——麦克风、摄像头、位置、通讯录这些敏感权限，只给必要的APP开放，用完之后及时关闭。不需要麦克风权限的APP如果一直在请求麦克风权限，就要特别警惕。
第二，学会拒绝“强制同意”。遇到APP要求“必须同意用户协议才能使用”的情况，要意识到这可能是不合规的“一揽子授权”。正规的APP应该提供“跳过”或“拒绝”的选项。
第三，注意人脸识别的场景。在小区、商场等场所遇到人脸识别，可以询问对方是否提供了替代方案。根据相关法规，人脸识别不应成为唯一的通行方式。
第四，保留证据，及时维权。如果发现个人信息被非法收集或滥用，及时截屏、录屏保留证据，可以向网信部门、市场监管部门投诉举报，也可以向法院提起诉讼。对于涉及公共利益的案件，检察机关也可以通过公益诉讼介入。
嘉宾陈黎
主持人
用户再小心，面对平台设计好的授权流程，其实还是弱势的一方。那这些典型司法实践，对行业发展有哪些启示？
对行业来说，这些案例划出了清晰的法律红线——APP不能以“霸王条款”强制收集个人信息；人脸信息不能随意采集和买卖；违法违规收集个人信息，不仅要承担民事赔偿，还可能面临行政处罚，甚至刑事责任。技术创新不能以牺牲用户隐私为代价，企业的数据合规不是可选项，而是必答题。
对普通用户来说，这些案例传递的信息是：法律站在用户这一边。过去很多人觉得“被收集就被收集了，反正也没办法”，但《中华人民共和国个人信息保护法》的实施和一系列典型案例的发布，证明法律正在为个人信息筑起坚实的保护墙。但同时，用户也需要增强自身的保护意识，不能把所有的安全责任都推给法律和监管部门。
个人信息保护，说到底关乎每个人的尊严和自由。《中华人民共和国个人信息保护法》为我们提供了法律武器，最高人民法院和最高人民检察院的典型案例为我们指明了维权方向。
但法律的生命在于实施，个人信息保护需要立法机关不断完善规则，需要监管部门加强执法，需要企业自觉合规，也需要我们每一位用户提高警惕、积极维权。
嘉宾陈黎
主持人
APP不是“顺风耳”，人脸不是“通行证”。在数字时代，我们的每一次点击、每一次授权、每一次面对摄像头时的选择，都是在为自己个人信息的安全投票。理性使用数字服务，敢于对过度索权说“不”，才能真正守住个人信息的边界。让技术服务于人，而不是让人受制于技术。
嘉宾：广西鸿州（南宁）律师事务所律师 陈黎
