关于用户同意机制，这些规矩你得懂

• 第三部分第1项：征得用户同意前就开始收集个人信息或打开可收集个人信息的权限；
• 第三部分第2项：用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限；
• 第一部分第2项：App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则。

1. SDK初始化得挪到同意之后；
2. 安装完要有个醒目的弹窗，给你“同意”和“拒绝”两个按钮，不能默认选好；
3. 申请权限前弹窗说清楚用途，同样给足选项。

1. 协议放在显眼位置，语言尽量说人话；
2. 勾选框放在注册/登录按钮前面，必须你自己手动勾上；
3. 还要用“下一步”“注册即代表同意”这种话，把因果讲明白。

• 实质性变更：如果处理目的、处理方式、处理的个人信息种类变了，《中华人民共和国个人信息保护法》第十四条第二款明确要求重新取得你的同意。

• 一般性更新：如果只是政策文字调整、不改变上述内容，也要以适当方式通知你——191号文第二部分第2项明确，收集使用个人信息的目的、方式、范围发生变化时，“未以适当方式通知用户（适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等）”属于违规。

• 弹窗、推送、红点、邮件、信函或者打电话都行，反正得让你知道、让你重新读一遍。
• 建议App在更新弹窗里简要说说都改了什么——比如京东就写得明明白白：名称调整、删除某个字段、补充某条路径。

• 加一个“仅浏览模式”——不收集任何个人信息，但核心功能（比如看商品详情、浏览内容）照样能用。
• 京东就做得挺好，你不想登录、不想给信息，照样能翻商品。

1. 同意前零收集、零权限（SDK也要归位）——依据：191号文第三部分第1、2项
2. 没有默认勾选，同意必须手动来——依据：191号文第三部分第4项
3. 政策变更通知到位，实质变更重新取得同意——依据：《个人信息保护法》第十四条第二款、191号文第二部分第2项
4. 双清单立起来，公示出去——依据：工信部信管函〔2021〕292号
5. 拒绝非必要信息/权限，核心功能照常开——依据：《常见类型移动互联网应用程序必要个人信息范围规定》第四条、191号文第四部分第2项

• 法律：《中华人民共和国个人信息保护法》（主席令第91号，2021年11月1日施行），核心是第十四条（告知同意）、第十五条（撤回同意）
• 部门规范性文件：《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号），划定38类常见App的必要个人信息范围
• 部门工作文件：《App违法违规收集使用个人信息行为认定方法》（国信办秘字〔2019〕191号），五部分认定标准，是“违规不违规”的直接判断依据；《工业和信息化部关于开展信息通信服务感知提升行动的通知》（工信部信管函〔2021〕292号）——“双清单”的正式出处，别记错；《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》（工信部信管函〔2020〕164号），规定“违规收集、超范围收集、强制频繁过度索取权限”等10类整治重点。注意：164号文管的是这10类问题，并不包含“双清单”要求
• 国家标准（合规参照，非法律）：GB/T 35273-2020《信息安全技术 个人信息安全规范》（近似识别），属于推荐性国家标准，不是法律，也不是行政法规或部门规章，但它是监管认证和行业合规的重要参照。