APP强制要用户填隐私信息?指导性案例265号明确:这么做直接侵权!

指导性案例265号核心裁判规则梳理

摘要

该案例聚焦APP过度收集个人信息、强制用户授权的侵权场景，明确了隐私权与个人信息保护领域的两大核心裁判规则：

“合同必需”的认定标准：

判断处理个人信息是否属于“订立、履行合同所必需”，需结合法律法规对“必要个人信息范围”的规定，以及合同类型、服务内容综合认定。若信息处理缺位会导致合同约定的基本功能或用户自主选择的附加功能无法实现，才属于“合同必需”；反之则不属于。

（例如：学习教育类APP的核心功能是在线辅导、网络课堂，仅需注册手机号即可实现，收集“职业、学习目的、英语水平”等用户画像信息，与核心功能无直接关联，不属于“合同必需”。）

“非自愿同意”的认定规则：

若收集用户画像等非必要信息并非服务必需，却在登录/注册界面强制用户填写（无跳过、拒绝选项，无授权同意提示），属于用户非自愿同意，企业构成侵害个人信息权益。

一、律师执业视角：自然人隐私权与个人信息保护的维权路径

结合案例裁判规则，律师可从事前咨询、事中取证、事后诉讼三个维度，为自然人提供全流程维权支持：

1. 事前咨询：预判侵权风险，指导用户固定证据

核心风险提示：告知用户

“强制授权=侵权”

的裁判逻辑，重点排查APP登录/注册环节的

“二选一”陷阱

（如“不填写职业、学习目的就无法登录”）、无明确授权的

“静默收集”

（如线下体验店未征得同意收集手机号并创建账号）。

证据固定指南：指导用户通过录屏、截图记录“不填写非必要信息就无法登录”的过程，保存营销短信、APP隐私政策（若未告知收集范围）、线下体验店的收集凭证（如收据、聊天记录），为后续诉讼提供关键证据。

2. 事中取证：精准锁定侵权行为，明确诉求

侵权类型细分：

个人信息权益侵害：

企业超范围收集（如收集与核心功能无关的用户画像）、未告知收集目的/方式、拒绝提供清晰个人信息副本（如仅提供模糊系统截图）。

隐私权侵害：

企业未经同意发送营销短信，侵扰用户私人生活安宁。

诉求设计建议：结合案例裁判结果，可主张停止侵权（删除个人信息）、赔礼道歉、赔偿损失（含律师费、取证费），参考案例中“2900元赔偿（律师费+取证费）”的判赔逻辑，合理计算维权成本。

3. 事后诉讼：紧扣裁判规则，强化胜诉概率

核心抗辩反驳：针对企业“收集信息是履行合同必需”的抗辩，律师需结合《常见类型移动互联网应用程序必要个人信息范围规定》，证明涉案信息与核心功能无关联（如英语学习APP的“用户画像”与“在线课程学习”无直接关联）。

法律依据引用：重点援引《民法典》第1035条（告知—同意规则）、《个人信息保护法》第13条（“合同必需”的例外情形），结合案例裁判规则，论证企业行为的违法性。

二、企业合规视角：隐私权与个人信息保护的预防措施

结合案例中企业的侵权过错，企业需从制度设计、业务流程、技术管控三个层面，构建个人信息保护的合规体系，避免类似风险：

1. 制度设计：明确“最小必要”原则，规范信息收集边界

信息收集清单审计：对APP/网站的个人信息收集项进行全面梳理，逐一评估“该信息是否为核心功能所必需”。例如：学习教育类APP仅需收集手机号（实现账号登录、课程通知），无需收集“职业、学习目的、英语水平”等用户画像信息。

分类授权机制：将“必要信息”（如手机号）与“非必要信息”（如用户画像）分离，设置独立授权弹窗，确保用户可单独选择是否授权非必要信息，避免“捆绑授权”。

2. 业务流程：落实“告知—同意”规则，杜绝“强制同意”

授权界面优化：在登录/注册界面，对非必要信息的收集设置

“可选填写”

（如“填写职业、学习目的可优化课程推荐，但不填写不影响登录”），并提供“跳过”“拒绝”选项，避免“不授权就无法使用”的强制场景。

告知内容透明化：通过显著提示（如弹窗、加粗字体）告知用户信息收集的目的、方式、存储期限，以及用户享有的权利（如查阅、复制、删除个人信息），避免“静默收集”“模糊告知”。

3. 技术管控：强化数据全生命周期管理，降低泄露风险

数据最小化存储：仅存储实现功能所必需的最少信息，避免过度留存用户画像、订单信息等敏感数据；对非必要信息设置定期删除机制（如用户注销账号后，30日内彻底删除所有关联信息）。

权限隔离与审计：对内部员工、第三方合作方的数据访问权限进行严格隔离，仅授权必要人员访问核心数据；建立数据操作日志，记录每次信息收集、处理、删除的操作主体、时间、内容，便于追溯责任。

第三方合作管控：若通过线下体验店、第三方平台收集用户信息，需签订数据保护协议，明确第三方的收集范围、存储义务、泄露责任，避免“转嫁侵权风险”（如案例中企业通过线下体验店未征得同意收集手机号）。

总结

指导性案例265号通过“强制授权收集用户画像”的侵权场景，明确了

“最小必要”“自愿同意”

是个人信息保护的核心底线。对律师而言，需紧扣裁判规则，指导用户精准取证、高效维权；对企业而言，需从制度、流程、技术层面重构数据合规体系，避免以“优化服务”为名，行“过度收集”之实。

讲述身边的法律故事

普及法律知识，传播正能量！

作者简介

罗建林，从事法律相关工作近20年，原为高校法学教师，现在为广东泰伦律师事务所专业律师，中共党员。

擅长领域：刑事辩护、数据合规、民商事纠纷、行政纠纷

联系电话：13536337145

特别提示：

本公众号为律师团队个人公众号，文章仅代表作者个人观点。

本文内容仅供参考，针对同一问题，不同法院可能会有不同裁判观点，相应风险请谨慎评估。

传播法律知识弘扬法律精神

温馨提示：

各位看官，如果还想更方便看到我们的文章，拜托动动您的金手指，将“砺法堂”加为星标或者每次看完后点击“在看”和“赞”，欢迎大家留言交流。