夜雨聆风在个人信息已成为关键权益客体的数字时代，网络服务的便利往往伴随着个人信息收集边界的争议。不少用户在注册时习惯性地填写职业、兴趣、水平等资料，鲜少追问：这些信息真的是服务所必需吗？未经充分选择而作出的"同意"，在法律上是否有效？最高人民法院发布的指导性案例265号（罗某诉某科技有限公司隐私权、个人信息保护纠纷案）对此给出了明确答复，也为"强制收集个人信息"确立了一项可参照的裁判规则。
一、案情回顾
某科技公司运营某英语学习网站及两款APP。2021年1月，该公司在未征得罗某同意的情况下，通过线下合作体验店收集罗某两个手机号码，为其创建案涉网站账号并发送多条营销信息。同月，罗某在登录界面输入手机号、密码后，系统弹出问答界面，要求填写"职业""学习目的""学龄阶段""英语水平"等内容，不填写即无法继续登录；其后还需填写个人基本信息（中英文名等必填项）方可完成注册。整个过程未设置"跳过""拒绝"选项，亦无告知收集目的、范围的授权提示。
罗某以隐私权、个人信息保护纠纷提起诉讼，主张：案涉网站及APP未告知收集政策，强制收集手机号、用户画像等信息并超范围使用，侵害其个人信息权益；未经同意发送营销短信侵扰私人生活安宁，侵害其隐私权。为确定删除范围，罗某要求查阅、复制个人信息，公司提供的资料截图不够及时、清晰。罗某诉请：提供清晰的个人信息副本、停止侵权、删除个人信息、公开赔礼道歉，并赔偿合理开支2900元。
某科技公司辩称：案涉信息由合作线下体验店收集，其无违法收集及侵扰生活安宁的主观故意；通过自动化决策向用户推送信息系网站及APP的基本功能服务，收集用户画像用于自动化决策系提供服务所必需，故无需取得个人同意；罗某系主动填写，应视为同意。
裁判结果：北京互联网法院于2022年8月1日作出（2021）京0491民初5094号民事判决，认定某科技公司侵害罗某个人信息权益，判令其向罗某提供清晰的个人信息副本，停止处理并删除罗某名下两部手机号码、用户画像信息、账号密码信息、订单信息等个人信息，以书面形式赔礼道歉，并赔偿律师费、取证费合计2900元。某科技公司上诉后，北京市第四中级人民法院于2022年11月28日作出（2022）京04民终494号民事判决，驳回上诉、维持原判。
二、裁判逻辑：争议焦点的层层拆解
本案争议焦点为：某科技公司以自动化决策推送信息为由收集用户画像信息，是否属于《个人信息保护法》第十三条第一款第二项规定的"为订立、履行个人作为一方当事人的合同所必需"这一取得同意的法定例外情形。法院围绕该焦点，依据两项裁判规则逐一论证。
规则一："履行合同所必需"须受"最小必要"与行业规范制约，并非运营者单方主张即可成立。
《民法典》第一千零三十五条确立个人信息处理的"告知—同意"规则，同时《个人信息保护法》第十三条第一款第二项将"为订立、履行个人作为一方当事人的合同所必需"列为取得同意的法定例外。但"合同所必需"并非抽象概念。法院指出，其认定应结合有关法律法规、规章及规范性文件对必要个人信息范围的规定，并考量合同类型与内容：若信息处理缺位将导致合同约定的基本功能服务或用户自主选择的附加功能服务无法实现，方可认定为必需，反之不予认定。
就本案而言，国家网信办等四部门《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号）明确，学习教育类APP的基本功能服务为"在线辅导、网络课堂等"，必要个人信息仅为"注册用户移动电话号码"。案涉APP属学习教育类，其基本功能在于提供在线课程，自动化决策推送并非其基本功能服务，用户画像信息显然不属必要个人信息。因此，科技公司关于"收集画像是提供服务基础"的主张缺乏规范依据。
规则二：未提供替代选项的"同意"，因非自愿而不产生同意效力。
《个人信息保护法》第十六条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。案涉软件在首次登录界面要求提交职业类型、学龄阶段、英语水平等用户画像信息，却未提供"跳过"或"拒绝"选项，亦未提供不同意情况下的替代登录方式，致使提交信息成为登录的唯一途径。此种"同意"系用户为使用软件而被迫作出，不符合《个人信息保护法》第十四条第一款"基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出"的要求，依法不产生取得个人同意的效力。
综上，科技公司在不具有取得同意的法定例外事由的情形下，未经同意收集罗某用户画像信息，侵害罗某个人信息权益；营销短信侵扰私人生活安宁，亦属应当停止的侵权行为的涵摄范围。两审法院据此作出上述裁判。
三、双向合规指引
对APP运营者及企业的建议：
落实"最小必要"原则：注册环节仅收集实现基本功能所必需的信息（如移动电话号码）；用户画像、兴趣标签等应置于用户自主开启的附加功能中，不得绑定为登录前提。
保障用户的选择权：登录、注册界面须设置"跳过""拒绝"或等效替代方式；非必需信息的收集不得以拒绝提供产品或者服务相要挟。
规范同意的取得与响应：收集前清晰告知目的、范围与方式，取得自愿、明确的授权；对用户查阅、复制、删除个人信息的请求，应及时、清晰履行，留存可核验记录。
对普通用户的提示：
辨识"必需"与"强制"：登录所需信息若与核心功能无直接关联却被设为必填，可能违反最小必要原则。
注意留存证据：对强制收集流程、营销短信等予以截图保存，是主张权利的关键。
行使法定权利：可依法请求查阅、复制、删除个人信息；权益受侵害时，可主张停止侵害、赔礼道歉及赔偿合理开支。
指导性案例265号的裁判，精准厘定了"网络服务便利"与"个人信息自决"之间的边界。法律在保障企业正当提供服务的空间的同时，亦明确：以"用户体验""智能推荐"为名、行强制收集之实的，不能借"合同所必需"或"用户已同意"免责。对运营者而言，合规的告知同意机制与最小必要设计是底线；对用户而言，认清"非自愿同意"的无效，是维护自身信息权益的起点。
相关法条
《中华人民共和国民法典》第一千零三十五条
《中华人民共和国个人信息保护法》第十三条、第十四条、第十六条
参考规范：国家互联网信息办公室等《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号）
关联索引
一审：北京互联网法院（2021）京0491民初5094号民事判决（2022年8月1日）
二审：北京市第四中级人民法院（2022）京04民终494号民事判决（2022年11月28日）
最高人民法院指导性案例265号：罗某诉某科技有限公司隐私权、个人信息保护纠纷案
本文作者丨李利乐 律师 010-53393659
声明：本公众号所刊登的文章仅代表本人发表文章时的观点，不视为出具的正式法律意见或建议。鉴于各类纠纷案件性质特殊，每个地方有各自规则，建议具体问题咨询律师，谨慎引用。如您有意就相关问题进一步交流或探讨，欢迎与我们联系。
