专业文章丨APP强制收集用户画像信息用于个性化推送构成侵权
【珠海律师、珠海法律咨询、珠海律师事务所、京师律所、京师珠海律所】
在当今的移动互联网时代，APP强制收集用户画像信息并用于个性化推送的现象屡见不鲜。今年3月15日，中国消费者协会发布了2021-2022年度“全国消费维权十大典型司法案例”，同时发布了十大提名案例。其中，北京互联网法院审理的罗某诉北京某科技有限公司隐私权、个人信息保护纠纷案获得提名，该案系APP强制收集用户画像信息侵权的典型案例。本文将结合该案，从隐私权和个人信息保护角度对APP强制收集用户画像信息的有关法律问题进行分析。
案情概要
原告罗某诉称，在未经原告明确授权同意的情况下，被告擅自收集原告手机号码，并为原告配置了被告旗下产品的账号密码，发送至原告手机号码。此外，在未经原告明确授权同意的情况下，被告将其旗下产品中的账号信息在其关联产品中超范围使用，也将其旗下产品中的订单信息在其关联产品中超范围展示和使用。原告认为，被告上述行为侵犯了原告隐私权和个人信息权益。原告诉至法院，要求法院判令被告向原告提供个人信息副本、停止侵权、删除个人信息、赔礼道歉并赔偿损失。
被告北京某科技有限公司辩称，涉案手机号是由被告合作的线下体验店所收集，被告并没有主动收集原告所使用的手机号，且被告系统也只是根据体验店的开通账号的情况向涉案手机号发送开通账号提醒，并没有违法收集、处理原告信息、侵害原告生活安宁权的主观故意。被告根据线下体验店的申请仅向被告所使用的2部手机共发送3条短信，且上述短信为同一时间发送，并未反复打扰原告的生活安宁，也不会给原告造成精神损害和财产损害。因此，被告不同意原告的赔偿损失及赔礼道歉的诉讼请求。
法院查明，原告在登录涉案软件时，进入账号登录页面，输入涉案手机号及密码，点击登录，进入下一页面，出现若干问答选择界面，需要对用户“注册目的”“学龄阶段”“学习目的”“英语水平”等内容进行填写，填写完成后，则进入填写个人基本信息界面，包括输入英文名、真实姓名、手机号、头像、性别、生日等内容，其中英文名和真实姓名为加星号必填内容，填写完毕后，完成注册过程。上述过程中并无“跳过”选项，亦无关于同意收集个人信息的提示。原告另行取证，在使用其他手机号注册登录时，会出现“我已阅读并同意《用户协议》《个人信息保护政策》《未成年人个人信息保护政策及监护人须知》”选择栏，勾选同意后方可进入下一页面，出现上述“注册目的”等若干问答选择界面。
法院认为
从相关行业规范和标准上看，《常见类型移动互联网应用程序必要个人信息范围规定》明确，学习教育类APP基本功能服务为“在线辅导、网络课堂等”，必要个人信息为注册用户移动电话号码。从该规定可见，被告作为学习教育类软件，不应将电话号码之外的个人信息作为必要收集范围。此外，《个人信息保护法》和《信息安全技术 个人信息安全规范》等均明确规定，个性化决策推送信息不应作为必要或唯一的信息推送模式，需同时提供不针对个人特征的选项或提供便捷的拒绝方式。据此，被告不得以其仅提供个性化决策推送信息这一种业务模式为由，主张收集用户画像信息为其提供服务的前提。
从涉案软件功能设置本身上看，履行合同所必须的范围，应限定在软件或网络运营者提供的基本服务功能，或用户在有选择的基础上自主选择增加的附加功能。若收集的个人信息与该项基础服务和附加功能有直接关联，缺乏上述个人信息将导致相关功能无法实现，“履行服务所必须”之必要性才得以成立。本案中，被告抗辩其收集目的为针对不同用户需求、精准推送适合用户的个性化课程，属于为增进用户体验优化设置的一种信息推送模式，但不能据此认定此为涉案软件提供服务的基础功能，而被告对用户画像信息进行收集的目的并非用于支撑其基础服务功能，亦无证据表明原告曾自主选择使用该项优化设置功能。
从于被告是否取得“知情-同意”上看，被告在原告登录过程中收集用户画像信息，未事先征得原告同意。本案中，涉案软件在用户首次登录界面要求用户提交“注册目的”“学龄阶段”“学习目的”“英语水平”等相关信息，未设置“跳过”“拒绝”等不同意提交相关信息情况下的登录方式，使得提交相关信息成为成功登录、进入到功能使用首页的唯一方式。此种产品设计将导致不同意相关信息收集的用户为实现使用软件的目的，不得不勾选同意或提交相应的信息。此种同意或对个人信息的提供，是在信息主体不自由或不自愿的情况下，强迫或变相强迫地作出，不能被认定为有效同意。
综上，被告未事先征得原告有效同意，在旗下两款产品中强制收集原告职业、学龄阶段、英语水平、学习目的等用户画像信息的行为并非“履行合同所必需”，构成侵权。
裁判结果
最终，法院判决被告涉案软件运营者向原告罗某提供个人信息副本、停止关于原告名下手机号码及其用户画像信息、账户密码信息、订单信息等个人信息的处理行为并删除个人信息，以书面形式向原告赔礼道歉并赔偿原告维权支出2900元。
案例评析
所谓“用户画像”，是指通过收集、汇聚、分析个人信息，对某特定自然人个人特征，如职业、经济、健康、教育、个人喜好、信用、行为等方面作出分析或预测，形成其个人特征模型的过程。在移动互联网产业中，基于用户画像信息的个性化推送已经成为某些数据要素型企业挖掘用户潜在价值的重要手段。随着《个人信息保护法》的出台，用户画像作为个性化推送过程中需要谨慎处理的典型个人信息，也为这些企业今后在隐私权和个人信息保护方面做好数据合规拉响警报。
虽然《个人信息保护法》实施于涉案行为发生之后，并不直接适用于本案，但其第13条之规定对《民法典》第1035条关于处理个人信息的基本原则，即合法、正当、必要原则和“知情-同意”原则，予以了进一步阐释。基于此，法院明确了个人信息处理合法性基础的两个重要规则。一是是否需要获得用户同意，法院认为，如果个性化推送并非涉案软件的基础服务功能或用户在有选择的基础上自主选择增加的附加功能，则收集用户画像信息不属于履行合同所必需，从而需要获得用户同意；二是如何认定“有效同意”，涉案软件未设置“跳过”“拒绝”等不同意提交相关信息情况下的登录方式，用户为实现使用软件的目的，不得不勾选同意或提交相应的信息，因此不能认定为有效同意。
本案的判决对于包括收集用户画像信息在内的个人信息处理行为具有重要启示。首先，APP运营者在处理个人信息时，应当遵循合法、正当、必要原则，使用户对有关个人信息处理行为知情，并获得用户同意。其次，对于常见的违反“知情-同意”原则的情形，APP运营者应当适时优化和调整用户个人信息保护及隐私政策，以充分保障⽤户的知情权。最后，APP运营者应当建立健全个人信息保护内部管理体系，在业务模式、功能设置、法律法规、运行环境等发生变化时进行个人信息安全影响评估。
