【每日律答・个人信息篇】APP强制收集用户画像,能以“履行合同必需”免责吗?

大家好，这里是【每日律答】，今日第40篇。

每天一个实务法律问题，用律师视角拆解裁判规则、梳理办案思路。很多APP在登录时要求填写职业、学龄、收入等信息，不填就无法使用，一旦被诉，运营者常以“为订立、履行合同所必需”抗辩，主张无需取得用户同意。这个理由能否成立？今天我们结合最高人民法院指导性案例，把认定标准讲清楚。

【典型案例】

最高人民法院指导性案例265号，罗某诉某科技有限公司隐私权、个人信息保护纠纷案。

某科技公司运营某英语学习网站及两款APP。2021年1月，该公司通过线下合作体验店收集罗某两个手机号码并创建账号。罗某登录时，页面依次要求填写职业、学习目的、学龄阶段、英语水平等内容，不填则无法继续登录，此后还须填写中英文名等必填项，整个过程没有“跳过”“拒绝”选项，也无授权提示。

罗某认为上述信息被强制收集并用于个性化推送，侵害其个人信息权益，诉请提供个人信息副本、停止处理、删除信息、赔礼道歉并赔偿损失。法院认定该公司构成侵权，判令其提供清晰的个人信息副本、停止处理并删除相关信息、书面赔礼道歉，赔偿律师费、取证费合计2900元。

【裁判规则】

以“功能能否实现”为核心判断合同必需性

（一）判断主线：审查“功能—信息”的必要性关联与同意的自愿性。

法院审查的核心有两个：一是收集的用户画像信息是否属于“为订立、履行合同所必需”，即不处理该信息是否会导致基本功能或用户自主选择的附加功能无法实现；二是在非必需的情况下，用户作出的“同意”是否自愿。

（二）可分步、可套用的认定标准。

第一步，确定服务类型与基本功能。结合法律、法规及规章、规范性文件对必要个人信息范围的规定判断。依《常见类型移动互联网应用程序必要个人信息范围规定》，学习教育类APP基本功能为在线辅导、网络课堂等，必要个人信息仅为注册用户移动电话号码。

第二步，判断“功能—信息”的必要性关联。标准是不处理该信息是否会导致相应功能无法实现，而非不收集就无法提供最优体验。仅以改善服务质量、提升用户体验、定向推送、研发新产品为由强制收集的，不构成合同必需。

第三步，逐项审查字段、范围和频率。即使某些信息确有必要，也不能据此认定整套画像均可强制收集；若更少的信息或影响更小的方式即可实现同一目的，应限制收集范围，收集频率超出业务实际需要的，同样违反必要原则。

第四步，审查同意的自愿性。依《个人信息保护法》第14条、第16条，登录注册界面未提供“跳过”“拒绝”或其他替代登录方式，使用户除提交信息外别无选择的，该同意非自愿作出，不产生同意效力。

（三）要件与后果的对应关系。

属于合同必需的，处理者可依《个人信息保护法》第13条第1款第2项不经同意处理，但“无需同意”不等于“全面免责”，仍须履行告知、最小必要和安全保护义务；不属于必需且未提供替代方式的，同意无效，构成对个人信息权益的侵害。

（四）类型化情形。

基本功能所必需的信息，如学习教育类仅手机号，可依法处理；用户自主选择的附加功能所必需的信息，如用户主动开通“先享后付”时的信用评估，可在该功能范围内处理；纯用于精准营销、画像推送的信息，非服务所必需，须另行取得同意。

（五）举证责任分配。

依《个人信息保护法》第69条采过错推定，处理者应就收集属合同必需、功能与信息存在必要关联、已提供替代方式及自身无过错举证，举证不能即承担赔偿责任；用户应就处理行为及登录流程缺少拒绝选项举证。

【实务指引】

第一，代理用户，应录屏固定登录流程中无“跳过”“拒绝”选项的事实，主张同意非自愿；可请求提供个人信息副本、停止处理、删除信息、赔礼道歉，并主张律师费、取证费等合理维权支出。

第二，代理企业，应将必要处理与可选画像分开设计，为非必要信息提供真实的拒绝路径和替代登录方式，确保用户拒绝后仍能使用基本功能；同时以显著方式告知处理规则，落实最小必要，涉及自动化决策的依法开展个人信息保护影响评估。

第三，诉讼请求应表述完整，明确请求停止处理的具体信息范围、删除的具体内容及赔礼道歉的方式，避免笼统主张“承担侵权责任”。

【律师提醒】

第一，“合同必需”是功能无法实现的硬标准，不是体验更好的软理由，业务模式依赖画像不能代替必要性审查。

第二，不提供拒绝路径的“同意”不产生效力，且适用过错推定，处理者须自证无过错。

以上就是今天的全部内容。关注我，每天拆解一个实务问题，多一个办案参考。有法律问题或想探讨的案例，欢迎在评论区留言。

本文为法律实务知识分享，仅作学习交流与参考，不构成针对具体案件的专业法律意见或办案建议。个案情形存在差异，具体问题请结合实际咨询专业律师。