最高法指导案例265号:APP强制填画像信息、不同意不让登录?法院明确属于违法收集隐私

裁判要点

1.判断处理个人信息是否属于“为订立、履行个人作为一方当事人的合同所必需”，可以结合有关法律法规及规章、规范性文件等对必要个人信息范围的规定，并考量合同的类型、内容等作出认定。如果不处理有关信息将使合同约定的基本功能服务或者用户自主选择的附加功能服务无法实现的，可以认定该个人信息处理行为属于订立、履行合同所必需，反之则不予认定。

2.在收集用户画像信息并非提供网络服务所必需的情况下，网站或者软件登录注册界面收集该信息时，未向用户提供不同意提交相关信息情况下的其他登录方式的，属于用户非自愿同意提供个人信息；用户主张侵害其个人信息权益的，人民法院依法予以支持。

裁判理由

1.明确法定判定标准：什么是“履行合同必需信息”

法院划定清晰判断规则：判定信息是否必需，结合行业规范、APP类型综合认定。只有缺失该信息，会导致APP基础功能、用户主动选择的附加功能彻底无法使用，才属于无需用户同意、可直接收集的信息；除此之外全部需要用户明确自愿授权。

2.参照行业规范，用户画像不属于学习APP必要信息

根据《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号）规定，学习教育类APP基本功能服务为“在线辅导、网络课堂等”，必要个人信息为注册用户移动电话号码。平台为了推送广告、个性化推荐而收集的职业、学龄、能力水平等画像信息，不属于法定必要信息，不能作为强制收集的理由。

3.画像信息不属于基础/附加服务，不能豁免同意义务

案涉APP正常听课、看视频不需要用户画像，用户也没有主动选择个性化推送等附加服务。平台自动化决策、精准推送仅为商业运营模式，并非合同必备功能。因此收集画像信息不属于法定豁免情形，必须单独取得用户自愿同意。

4.无拒绝选项=非自愿同意，强制收集构成侵权

该APP登录时无跳过、拒绝按钮，不填写画像信息就无法登录使用。根据《个人信息保护法》第十四条第一款“基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出”之规定，有效的同意必须自愿、明确、充分知情。平台利用服务门槛逼迫用户被动勾选同意，并非真实自愿授权，该同意无效，平台收集行为违法。

相关法条

《中华人民共和国民法典》

第一千零三十五条：处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：

（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；（二）公开处理信息的规则；（三）明示处理信息的目的、方式和范围；（四）不违反法律、行政法规的规定和双方的约定。

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

《中华人民共和国个人信息保护法》

第十三条：符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

第十四条：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。

第十六条：个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。