ARTICLE · 1307638
这些App没泄露数据,为什么还是被违规通报了
10月26日和10月30日，两份通报前后脚发出。
前一份84款，国家计算机病毒应急处理中心检测（检测窗口9月4日至10月15日），名单里有《国信证券》《北京地铁》《北京公交》《浦东国际机场》《东方甄选》，还有6款应用连一份隐私政策都没有。上一批通报的82款，复测后有24款仍然存在问题，已经被应用分发平台下架。
后一份35款，公安部计算机信息系统安全产品质量监督检验中心检测（检测窗口8月17日至9月11日），《360你财富》《IT桔子》《单读》在列。其中30款的问题是同一个：未经用户同意收集使用个人信息。上一批的42款，复测后15款没过关，同样下架了。
加上此前网信办的两批和工信部的一批，这一个月国家层面通报的总数是166款。
166份名单里，没有一份提到"数据泄露"。
被点名的企业大概都会问同一句话：我们没卖过数据，也没丢过数据，怎么就违法了。
答案藏在义务的性质里。
罚的是动作，不是后果
个人信息保护法给处理者设的义务，绝大多数是行为义务。第六条要求收集限于实现处理目的的最小范围，第十七条要求把处理目的、方式、种类、保存期限告知清楚，第十四条要求同意必须是在充分知情的前提下自愿、明确作出。
这几条都不以"出现损害"为成立条件。你只要做了那个动作，或者没做那个动作，义务就已经被违反了。
这不是理论推演，有顶格罚单作证。
2022年7月21日，国家网信办对滴滴全球股份有限公司开出80.26亿元罚款，同时对董事长兼CEO程维、总裁柳青各罚100万元——后者是个人信息保护法规定的对直接负责人员的罚款上限。通报认定的违法事实是8个方面、16项，其中一项是"未准确、清晰说明用户设备信息等19项个人信息处理目的"。
这一项，既没有泄露，也没有买卖，就是没说明白。它照样被写进了顶格处罚的事实清单。
同一份通报里还有几组数字：违法收集用户手机相册中的截图信息1196.39万条，过度收集剪切板信息、应用列表信息83.23亿条，过度收集乘客人脸识别信息1.07亿条，违法处理的个人信息合计647.09亿条。这些是"过度"和"未告知"堆出来的量，不是被偷走的量。
所以通报里的措辞，全是动作描述："未经用户同意收集使用个人信息""未完整准确告知""超出必要范围收集""未提供有效注销用户账号功能"。没有一条写"导致用户损失"。
由此可以推出一条很实用的结论：既然查的是动作，那就可以按动作发生的时间顺序，一个节点一个节点地倒查。个人信息处理不是一件事，是一条从产品立项一直延伸到下线之后的链条。
而且这条链上的关卡，这个月每一关都有人栽。下面按时间走一遍。
01一、产品还没上线，答案已经写好了...
需求评审会上有一栏叫"需要收集的信息"。手机号、位置、通讯录、设备标识，通常是产品经理凭经验填的，技术照着实现。
问题出在没人问一句：这个字段，服务于哪个功能。
这件事其实不需要讨论，因为答案写在纸上。2021年5月1日施行的《常见类型移动互联网应用程序必要个人信息范围规定》，把39类常见应用的必要个人信息范围逐类列了出来。其中新闻资讯类、短视频类、在线影音类、浏览器类、输入法类、应用商店类、实用工具类等十余类，写得很干脆——无须个人信息，即可使用基本功能服务。
也就是说，一个看新闻的App要通讯录，不看你的商业解释，先看这张表。
10月的35款通报里，这一栏栽了两个典型。《肝胆相照》被认定的问题是"强制用户同意收集非必要个人信息"；《荣大智慧云》是"超出必要范围收集使用个人信息，在无关场景收集位置、通讯录、短信等个人信息"。两款应用，两款不同的产品逻辑，倒在同一张表上。
最小必要原则落到纸面上，就是一张对照表：字段、功能、目的、是否必需、由谁收集。这张表是后面所有文件的源头——隐私政策是它的对外版本，影响评估是它的论证版本，检查时面对询问的答复是它的口头版本。
企业最常犯的错，是把"以后可能用得上"当目的写进去。"以后可能用得上"这六个字写在纸上，等于自认超范围。
02二、第一次打开的那三秒...
10月26日那批84款里，问题最集中的一类正是这个：16款应用在首次运行时未通过弹窗等明显方式提示用户阅读隐私政策，或者以默认选择同意的方式征求同意，或者隐私政策难以访问，或者没有告知处理者的名称、联系方式和保存期限。
名单里有《白城中心医院》《湖北省肿瘤医院》《南京市儿童医院》《浦东国际机场》《海口美兰机场》《国信证券》，大半不是独立App，而是嵌在微信、支付宝、百度里的小程序和服务号。
这一栏最刺眼的是另外6款：《莘知教育》《125国际教育》《科阳教育》《搜学搜课》《郑州清新教育》《天津黑利伯瑞学校》，被认定的问题只有四个字——无隐私政策。用户打开这些应用，找不到任何一份说明自己的信息被谁收集、拿去做什么、保存多久的文本。
这不是写得不好，是压根没写。
再看另一头。《IT桔子》在同一批通报里被认定的问题，是"未完整准确告知收集使用个人信息情况，或告知的目的、方式、范围与实际收集使用情况不一致"。
这一条比"没写"更值得琢磨。它说明检查人员不是只看文档，而是把文档和实际抓包结果对了一遍。文档写得再漂亮，实际收集的东西不在里面，一样是告知不实。
还有一类，84款里数量最多：隐私政策未逐一列出App（包括委托的第三方、嵌入的第三方代码和插件）收集使用个人信息的目的、方式、范围。四十余款应用栽在这里，《东方甄选》《51信用卡管家》《北京地铁》都在名单上。
SDK在替你收集，法律上就算你在收集。这一栏不写，性质不是遗漏，是告知不实。
03三、用户点下"允许"的那一刻...
同意的法定要件是三个词：充分知情、自愿、明确。
35款那批里，30款栽在"未经用户同意收集使用个人信息"，占比八成以上。这是所有问题类型里最集中的一个。
再往下细分，7款应用的问题是"在申请打开可收集个人信息的权限，或申请收集敏感信息时，未同步告知用户其目的"——《天相财富》《信美相互》《化纤圈》《安盈智汇》《中国黄金》《纱线圈》《国景》。注意这一条的措辞：不是没征得同意，是同意了但没告诉你为什么要这个权限。
用户点下"允许"的那一秒，如果屏幕上只有"是否允许访问通讯录"，没有一句"用于导入好友"，这个同意在认定方法里就是有瑕疵的。
还有几类更常见的：默认勾选、不给权限就不让用、反复弹窗索权。84款那批里，《睿洗智能洗车》《云南新华阅读》《中出行租车经济豪华商务新能源》三款微信小程序，既在"默认勾选同意"这一类，也在"未提供有效注销功能"这一类——一款应用可以同时违反好几条。
单独同意是另一道容易漏的关。向第三方提供、处理敏感个人信息、向境外提供、公开披露，这四种情形要单独同意，一揽子勾选不算数。84款那批里有3款栽在未成年人信息上：《东方甄选》《龙巅》《普拉提运动》被认定"处理不满十四周岁未成年人个人信息的，未制定专门的个人信息处理规则；收集未成年人信息未取得监护人单独同意"。
十四岁这条线，很多产品压根没画。
04四、用起来的每一天...
到这一步，问题从"说没说"变成"做没做"。
84款那批里，12款被认定"未能采取有效安全技术措施，防止未经授权的访问以及个人信息泄露、篡改、丢失"。这一条的法律依据不是个人信息保护法，是网络安全法和数据安全法。
这里有个更根本的问题，值得单独说：很多企业把"个人信息合规"当成一张卷子做，其实是三张。
10月29日，湖南省网信办公布了一批医疗健康领域的执法案例，这个判断在里面看得非常清楚。同一轮专项行动，全省发现线索78条、现场检查46次、执法约谈74次、责令整改63次、立案处罚11起、罚款43万元。三起公布出来的案子，正好落在后两张卷子上：
第一起，某医院信息系统防火墙端口配置不当，未对敏感个人数据采取严格的访问控制和加密保护措施，未落实数据安全管理制度。处罚依据是《数据安全法》和《湖南省网络安全和信息化条例》，由益阳市网信办作出。
第二起，某医院微信服务号"体检报告查询"功能存在安全漏洞，安全管理制度不健全，导致体检人姓名、身份证、手机号、体检报告存在泄露风险。处罚依据是《网络安全法》，由岳阳市岳阳楼区网信办作出。
第三起，某医院服务器上的MySQL数据库使用默认口令，被外部攻击者爆破root用户密码后远程登录；医院未开启数据库通用日志、未保存防火墙流量日志、未采取加密和日志留存措施。这一起的案由，同样是不履行数据安全保护义务。
同一个行业、同一个省、同一个月的行动，三起案子分属两张卷子。再把前面那166款通报算进来，三张卷子在一个月里全铺开了。
第一张是告知同意这套，依据个人信息保护法、App保护管理规定和认定方法，网信、工信、公安、市场监管都可能来查。
第二张是账号与系统的安全这套，依据网络安全法的等级保护义务，其中一条是网络日志留存不少于六个月。主要由公安网安部门看。
第三张是数据处理活动的安全这套，依据数据安全法，讲分类分级、风险评估、事件报告，行业主管部门看得更多。
三张卷子不能互相抵扣。刚花三个月做完隐私政策和弹窗整改的医院，被查出数据库还在用默认口令，照样立案；反过来，等保测评拿了高分，也不代表注销入口就该缺失。
这也是为什么很多整改改不到点子上：你按一张卷子补，来的是另一张卷子的考官。
05五、用户想走的时候...
注销是通报里的常客，也是最好改的一项。
10月的两批通报里各有一例，都是单款应用：《选股魔方》被认定"未提供有效注销用户账号功能"；《三一卡车》被认定"未向用户提供行使更正、删除、拒绝处理个人信息等权利的便捷渠道，相关功能不完善不健全"。84款那批里，同类问题涉及5款，认定口径写得更细——未提供有效功能，或为此设置不必要、不合理条件，或未在承诺时限内处理。
实践中的"不便捷"有几种典型形态：要求手持身份证拍照、要求无未结订单、要求联系客服人工办理、App里不给入口只在网页端给、注销之后还能用原手机号登录回来。
注销之后还有一步：删除。法定应当删除的情形有五种，其中最容易踩的是"处理目的已实现、无法实现或者为实现处理目的不再必要"和"保存期限届满"。删除的意思是真删或者匿名化，不是给账号打个"已注销"的标记。
再往下一层，是很多企业真正薄弱的地方：委托处理和第三方。
35款那批里，4款的问题正是"未列明向第三方提供个人信息的种类、目的、方式以及接收方的名称、联系方式"——《信美相互》《海文交》《正大猪博士》《快期》。注意，被罚的不是"提供了"，是"没列明"。
使用SaaS、外包开发、云服务、短信通道、数据分析服务，法律上都可能构成委托处理，要有书面约定，写清目的、期限、方式、保护措施和双方权利义务；委托合同终止的，受托人应当把个人信息返还或者删除。
这句话对买软件的企业尤其重要。软件交付的是功能，数据在谁的服务器上、合同终止后怎么处理、供应商能不能拿你的数据做"产品优化"——这些没写进合同，你的合规链条在这里是敞口的。
06六、产品下线以后...
最容易被整体忽略的一段。
产品停运、版本下架、合作终止、公司业务调整，这些时候个人信息义务不会自动消失。处理目的不再必要，恰恰是应当删除的法定情形之一。
这一段的证据，是上面那第三起医院案：未开启数据库通用日志、未保存防火墙流量日志。日志不是给监管看的装饰品，它是"我确实做过这件事"的唯一凭据。日志都不在，说什么都是自述。
还有两件平时不做、检查时要看的事：定期合规审计，以及个人信息保护影响评估。处理敏感个人信息、利用个人信息进行自动化决策、委托处理或对外提供、跨境提供，以及其他对个人权益有重大影响的处理活动，都要事前做影响评估，评估报告和处理情况记录至少保存三年。
这两件事的共同点是：只有平时做了，检查时才有东西可看。临时补，日期一定对不上。
07检查的顺序，和你补漏的顺序应该相反...
把这六个时间点收拢，最后说一个排序问题。
监管发现问题的成本是不一样的，所以检查的推进顺序基本是固定的。
先看不用技术、三分钟就能看出来的：首次运行有没有弹窗、隐私政策能不能打开、注销入口在哪。84款那批里，6款"无隐私政策"、16款"未弹窗或默认勾选"，占的是这个位置——不是最严重，是最容易被看见。
再看需要技术检测才能确认的：后台权限调用、超范围收集、SDK的实际行为。35款那批的检测窗口是8月17日到9月11日，84款那批是9月4日到10月15日，两批通报都在一个月后才发出。技术检测是要跑时间的，这类问题企业自己往往不知道，因为不看日志。
最后看只有出了问题才会暴露的：默认口令、共用账号、离职人员权限没回收、内部员工越权查询。湖南那三起医院案，全部落在这一层——防火墙端口、服务号漏洞、数据库默认口令。平时没有任何成本，出事就是全责。
按这个顺序，整改的顺序应该倒过来。
第二层先做，因为看不见的东西不会自己变好，必须建机制：权限清单、调用日志、定期抽查。
第三层紧接着做，因为它几乎不花钱，只要写进流程并且留痕：账号实名到人、密码策略、离职清单、查询审批。
第一层最后做，因为它改一次版本就能上，而且改早了容易反复——产品一迭代又退回去了。
08写在最后...
回到开头那个问题：没泄露，为什么被通报。
因为在这套规则里，合规不是"我没有做错事"的证明，而是"我做了该做的事"的证明。前者要靠结果说话，而你没办法保证结果；后者要靠记录说话，而记录是可以提前准备的。
166款名单的组成，其实把这个道理说得很清楚：绝大部分栽在"没写""没弹""没列""没入口"上，栽在真正的技术攻防上的，少数。
软件能给你能力，给不了证据。权限分级、日志留存、字段管理、注销流程，系统都能支持；但开哪些字段、留多久、谁来批、多久复核一次，是制度要回答的问题。
能力是产品给的，证据是流程留下的。
