云亭徐州·法评丨APP用户数据授权环节的法律风险与典型案例研究

一、告知不充分，用户在未“充分知情”下授权无效

该法律风险表现为APP未能以“显著方式、清晰易懂的语言”向用户完整、真实、准确地履行告知义务，导致用户的“同意”建立在信息不对称的基础上，从而产生侵权纠纷。

典型案例：左某诉某国际酒店集团个人信息保护纠纷案 (2023)粤01民终33217号

左某通过某国际酒店集团的APP预订境外酒店并勾选了《客户个人数据保护章程》。该章程使用“集团内部人员和部门”“商业合作伙伴”等模糊词汇描述接收方，并列举了多达100个国家的接收范围。左某诉称该App违法跨境处理自己的个人信息，无限制扩大个人信息的境外接受主体，且未充分告知个人信息处理的目的、方式和范围，致使自己在未“充分知情”下进行授权，其个人信息权益受到侵害，遂诉至法院。

法院认为：根据《个人信息保护法》第七条及第十七条相关规定，处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围；并以显著方式、清晰易懂的语言真实、准确、完整地向个人告知有关事项。经审查，案涉《章程》就个人信息出境共享的接收主体范围指示不清，表述模糊，即使左某阅读该章程，也不能清晰获知自己的个人信息将被传输到何地做何种处理。因此，案涉《章程》的上述内容不符合《个人信息保护法》的相关规定，未取得处理左某个人信息的合法性基础，法院最终判定该APP的行为构成对左某个人信息权益的侵害，判决其删除全部有关左某的个人信息并承担赔偿责任。

该案明确了告知义务的履行标准，即告知内容必须具体、明确、清晰，不得使用概括性、模糊性词汇，否则用户在未“充分知情”下作出的授权不产生法律效力。

该法律风险表现为将非必要的信息数据与核心功能强制捆绑，变相强迫用户同意授权，构成“一揽子”式的笼统授权。

典型案例：马某诉某公司个人信息保护纠纷案 （最高人民法院2025年6月发布的网络消费民事典型案例）

某公司是某词典APP的开发者和运营者。马某下载使用该APP时，系统提示需阅读隐私政策，其中载明需要收集电话号码等个人信息。若用户在未实际阅读的情况下点击手机屏幕其他位置，该提示内容即消失并自动勾选“已阅读并同意隐私政策”选项，且勾选后没有撤回同意的途径。若用户点击拒绝，则该APP自动退出，不向用户提供任何服务。马某认为，该APP变相强迫自己接受隐私政策，将收集手机号等非必要的信息与使用核心功能捆绑，构成对自己个人信息权益的侵害，遂诉至法院，请求判令某公司停止侵害、赔礼道歉并进行相应赔偿。

法院认定，该APP自动为用户勾选同意隐私政策，未依法保障用户在充分知情的情况下自主作出同意，其在用户拒绝同意隐私政策的情况下直接退出，不提供查词服务，属于变相强迫用户同意授权，实际剥夺了用户的自主选择权，该行为违反了《个人信息保护法》第十六条的禁止性规定。法院最终判决某公司删除其收集的马某手机号等个人信息，向马某赔礼道歉并赔偿其维权的合理支出。

该案为明确收集非必要的信息数据时须为用户提供选择空间，不得与核心服务捆绑，剥夺用户自主选择权。

该法律风险表现为APP将非必需的信息数据，错误地归类为履行合同所必需，从而规避获取用户同意的义务，或者即便所收集信息数据被认定为“必需”，也并未满足“最小必要原则”和“充分告知义务”的要求。

典型案例：罗某诉某科技有限公司隐私权、个人信息保护纠纷案 （最高法指导性案例265号）

某科技有限公司运营某英语学习网站及两款APP，为了解账号情况，罗某在案涉某英语网站和案涉APP账号登录页面输入手机号、密码并点击登录，即出现若干问答界面，要求用户填写“职业”、“学习目的”、“学龄阶段”、“英语水平”等内容，不填写相关信息则无法继续登录过程。填写完成后，还需填写个人基本信息界面，输入中英文名等必填内容才能完成注册。上述过程中并无“跳过”、“拒绝”等选项，亦无授权同意收集个人信息的提示。罗某认为案涉网站和APP未告知个人信息收集政策，手机号、用户画像等信息非履行合同所必需的信息，其授权同意的权利不应被剥夺，遂诉至法院要求删除有关自身的个人信息并且进行相应赔偿。

法院援引《常见类型移动互联网应用程序必要个人信息范围规定》，指出该APP基本功能为在线辅导，必要信息数据仅为手机号，用户画像的信息数据仅用于增值服务，并非使用核心服务所必需。最终认定该信息数据的收集不能适用“无需同意”的法定例外情形，某科技公司在不具有取得个人同意的法定例外事由情况下，未经同意收集罗某用户画像信息的行为，侵害罗某个人信息权益，判令某科技公司停止关于罗某名下两部手机号码及其用户画像信息、账号密码信息、订单信息等个人信息的处理行为和删除相关个人信息，以书面形式向罗某赔礼道歉并进行相应赔偿。

该案明确“必需”的认定标准，该信息数据须与合同基本功能直接关联且若缺乏则基本功能无法实现。为提供增值服务所需的信息数据不属于“必需”的范畴，不能据此主张规避获取用户同意的义务。

该法律风险表现为APP将需要获取“单独同意”的敏感信息处理行为混同于一般性隐私政策的概括授权中。

典型案例：北京互联网法院关联APP共享用户数据案

柴某某注册了由某信息公司运营的APP B，却发现关联公司运营的APP A和APP C也自动生成了他的账号。更关键的是，他在任一APP上形成的昵称、头像、动态、粉丝列表等数据，都会自动同步到另外两个APP，实现“一处发布，全网同步”。甚至连实名认证信息和私信这类私密内容也在共享之列。柴某某认为对于其敏感信息的获取未获其单独同意，侵害了其个人信息权益及隐私权，遂诉至法院。

法院经审理后认定，对于账号昵称、头像、简介、动态、粉丝及关注列表等一般个人信息的处理，共同处理行为无需取得原告的单独同意，但仍应符合告知同意的一般要求；对于实名认证、私信等私密信息的处理，依照《个人信息保护法》关于敏感个人信息处理的规则，即使是共同处理行为也仍需取得个人单独同意，本案中两关联公司未取得柴某某的单独同意，侵害了柴某某的隐私权。法院最终判决两关联公司共同承担赔礼道歉、赔偿损失的责任。

该案强化了“单独同意”的严格适用标准，明确“生态互通”不能成为绕开敏感信息数据单独同意义务的挡箭牌。

五、数据共享/对外提供的授权不透明

该法律风险表现为APP未向用户清晰、完整地披露其个人信息数据被共享或提供给第三方，且数据共享或对外提供未取得用户主动、明确的同意动作。

典型案例：吕某诉某信息技术公司网络侵权责任纠纷案 （北京互联网法院2024年8月发布的“服务保障新质生产力十大典型案例”）

吕某是某汽车报价软件的注册用户，某信息技术公司是该软件的运营者。吕某在某汽车报价软件中查询价格，软件弹出包含“经销商将致电您提供报价”灰色小字标识的报价弹窗。吕某点击醒目的“立即查看”按钮后，手机号码被共享给奔驰经销商。此后，吕某还收到了未浏览过的别克和本田4S店的营销电话。吕某认为，自己仅对其中1个品牌有过意向，并未授权将信息提供给另外2个品牌的经销商，其个人信息权益遭受到侵害，遂诉至法院。

法院对两个行为进行了区分认定：关于向奔驰经销商共享信息数据的行为，因软件已告知且用户可自主选择是否使用“询底价”功能，法院认定该授权同意符合法律规定，不构成侵权。然而，关于向别克、本田经销商共享信息数据的行为，后台数据显示询问操作不符合常理，且IP地址不一致，无法认定吕某已充分知情并自愿同意，因此构成侵权，最终判决该公司承担停止侵权并对吕某进行赔礼道歉、赔偿损失的侵权责任。

该案明确了共享个人信息数据的同意边界，即需要有明确告知且用户主动操作的行为方可视为有效同意，无法证明用户知情，则共享信息数据的行为构成侵权。

针对上述APP用户数据授权环节出现的法律风险，APP运营者应当构建体系化的合规措施。

（一）优化告知方式，确保充分知情：采用分层式隐私政策，用摘要、字句加粗和链接结合的方式让用户快速了解核心内容。避免使用“集团内部”、“商业合作伙伴”等模糊词汇。对于关键信息数据应采用弹窗、加粗等显著方式进行提示。

（二）构建分层、动态的授权体系：对不同敏感层级的信息数据，设置概括同意、明确同意和单独同意等不同层级的授权方式。对于敏感信息数据处理、向第三方共享及跨境传输等场景，必须通过弹窗、专门页面等方式获取用户的“单独同意”。

（三）严格界定“履行合同所必需”的边界：“履行合同所必需”的核心标准是缺乏该信息是否会导致合同基本功能无法实现。另外，增值服务所需的信息数据，不属于“履行合同所必需”，应另行获取用户同意。最后，即便基于“履行合同所必需”获取用户信息数据，也应严格遵循“最小必要”和“充分告知”原则。

（四）建立数据共享与第三方合作的透明化管理机制：在产品隐私政策中设立独立的“第三方合作方列表”章节，逐一列明所有接收方或SDK的名称、收集数据、处理目的及隐私政策链接。依据监管要求，建立并公开展示“已收集个人信息清单”与“与第三方共享个人信息清单”，让用户知晓其个人信息数据被共享或提供给第三方的情况。

APP用户数据授权环节的合规治理，已从形式上的“点击同意”全面进入实质层面的“有效同意”验证阶段。最高法指导性案例与各地法院的典型判例共同表明，APP不能以“概括授权”、“生态互通”或“履行合同必需”为由，绕开个人信息保护的法定义务。有效的用户授权体系，必须以“充分知情”为前提、以“自愿明确”为核心、以“单独同意”为保障，并建立起贯穿数据全生命周期的动态管理机制。