文/通商律师事务所 张国平 邓克尔
随着理财意识的增强及消费和投资场景日趋多样化，人们对财务统计和记账的需求日益增强，市场上因此推出了多款功能丰富的记账类APP。目前，这些APP除可向用户提供手动记录收支的功能外，还支持自动记账，即用户向记账类APP提供其银行卡、信用卡或支付宝、微信钱包的账号及密码等，平台可即时获取用户前述移动支付账户的资金变动情况或消费记录，部分记账类APP还具备根据用户提供的电子邮箱账号和密码自动导入用户信用卡账单的功能。
记账类APP为人们统计和分析自身财务收支状况提供了便捷，但同时因其收集和处理了大量用户个人敏感信息（根据国家质量监督检验检疫总局和国家标准化管理委员会联合发布并于2018年5月1日正式施行的《信息安全技术个人信息安全规范》（下称“《安全规范》”》第3.2条，个人敏感信息系指一旦泄露、非法提供或滥用即可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息），故其运营平台作为数据的控制者和处理者能否依法合规地运营并确保用户个人信息安全就显得十分重要。本文对目前主流记账类APP个人信息保护工作存在的问题进行研究，并提出改进建议，以期能为这些APP运营平台完善用户个人信息保护提供帮助。
一、存在的问题
1、存在未获得用户明示同意而收集其个人敏感信息及剥夺用户撤回同意权利的情形
《中华人民共和国网络安全法》（下称“《网络安全法》”）第4条明确规定，网络运营者收集、使用个人信息，应征得被收集者的同意。《安全规范》第5.5条要求个人信息控制者收集个人敏感信息时，应取得被收集者的明示同意。明示同意是指个人信息主体通过书面声明或主动作出肯定性动作，对其个人信息进行特定处理做出明确授权的行为（肯定性动作包括个人信息主体主动作出声明、主动勾选、主动点击“同意”、“注册”、“发送”等）（见《安全规范》第3.6条）。因此，取得用户明示同意是记账类APP运营平台处理用户个人敏感信息的前提条件。部分记账类APP在其注册页面中事先替用户勾选了隐私政策或服务协议（该服务协议包含了个人信息保护相关内容，下同），在此情形下，只要用户点击“注册”，平台即获取了用户对记账类APP运营平台处理其个人敏感信息的同意，损害了用户自由控制和处置其个人敏感信息的权利。
根据《安全规范》第7.7条，个人信息控制者还应向个人信息主体提供撤回收集、使用其个人信息同意授权的方法，以确保用户享有撤回其同意的权利。然而，部分记账类APP通过在其隐私政策或服务协议中的“您在此不可撤销地同意并授权收集以下个人信息”等类似条款，实际上剥夺了用户撤回其授权的权利。
2、存在违反公开透明原则的情形
《网络安全法》第4条规定，网络运营者收集、使用个人信息，应明示收集、使用信息的目的、方式和范围。《安全规范》第5.6条亦规定个人信息控制者在其隐私政策中应明确收集、使用个人信息的目的、方式、范围等内容。《安全规范》第5.5条还规定，收集个人敏感信息时，应确保用户的明示同意是在其完全知情的基础上自愿给出的、具体的、清晰明确的愿望表示。因此，记账类APP运营平台在收集、使用用户个人信息前，应向用户充分告知其收集、使用其个人信息的目的、范围和方式。然而，实际上，部分记账类APP在其服务协议或隐私政策中完全未向用户公布其收集、使用用户个人信息的目的、方式及范围，损害了用户的知情权。
3、存在违反最少够用原则的情形
《网络安全法》第41条规定，网络运营者不得收集与其提供的服务无关的个人信息。《安全规范》第4条规定，个人信息控制者开展个人信息处理活动时，应只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量。因此，收集、使用为用户提供服务所需的最少数量的用户个人信息是记账类APP运营平台应遵循的一项基本原则。然而，部分记账类APP在装入用户手机后所获得的收集、使用用户手机内相关信息的权限少则15项，多则17项，所涉个人信息涵盖了用户的通讯记录、USB存储设备中的内容、手机状态和身份、短信、联系人信息、位置信息等内容，远远超过了收集和处理信息目的所需。
4、存在未公开数据共享接收方类型的情形
《安全规范》第8.2条规定：个人信息原则上不得共享。如个人信息控制者确需共享时，应向个人信息主体告知共享个人信息的目的、数据接收方的类型，并事先征得个人信息主体的授权同意；如共享个人敏感信息的，除前述内容外，还应向个人信息主体告知涉及的个人敏感信息的类型、数据接收方的身份和数据安全能力，并事先征得个人信息主体的明示同意。《安全规范》第5.6条还规定，个人信息控制者在其隐私政策中应公布对外共享个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型，以及所承担的相应法律责任。因此，向用户公布数据接收方的类型及其数据安全能力是记账类APP运营平台保障用户了解其个人信息流转途径的必要措施。然而，部分记账类APP在其隐私政策或服务协议中未列明其对外可能共享的个人信息的类型、目的及数据接收方的类型和数据安全能力。
二、完善建议
1、取得用户明示同意，保障用户撤回其同意的权利
记账类APP运营平台应在注册页面中提供确保用户主动作出肯定性动作的措施，如通过弹窗、加粗或跳转页面等方式使用户主动点击“同意”或“注册”，以获得用户的明示同意。此外，记账类APP运营平台应删除其隐私政策或服务协议中关于诸如“用户不可撤销同意”等类似规定，并向用户提供撤回同意的方法，确保用户能随时行使该项权利。
2、公开用户个人信息收集、使用规则，遵守最少够用原则
为充分保障用户的知情权，记账类APP运营平台应事先向用户公开其收集、使用用户个人信息的规则，明确收集、使用个人信息的目的、方式及范围；此外，记账类APP运营平台应遵守最少够用原则，只收集满足用户授权同意的目的所需的个人信息类型和数量，避免过度收集、使用用户个人信息。如其在开展业务过程中确需收集、使用超出用户授权同意范围的个人信息的，应再次事先征得用户的明示同意。
3、公开用户个人信息共享规则，准确记录数据共享情况
记账类APP运营平台确需共享用户个人信息的，应向用户告知拟共享的个人信息的目的、数据接收方的类型；如涉及共享个人敏感信息的，除前述内容外，还应向用户告知拟共享的个人敏感信息的类型、数据接收方的身份和数据安全能力，并事先征得用户明确同意。此外，记账类APP运营平台还应事先开展个人信息安全影响评估，并根据评估结果采取有效的保护措施。用户个人信息共享完毕后，记账类APP运营平台应准确记录和保存用户个人信息共享情况，包括共享的日期、规模和目的，以及数据接收方的基本情况等。
4、提高数据安全能力，做好安全事件处置
记账类APP中存在大量用户敏感信息，如银行账号或密码等，一旦该等信息泄露，可引发资金盗刷等风险。因此，记账类APP运营平台应建立适当的数据安全能力，落实必要的管理措施和技术手段，防止个人信息的泄露、毁损、丢失。为此，记账类APP运营平台应设立个人信息保护负责人和个人信息保护工作机构，负责个人信息安全工作。其次，记账类APP运营平台应建立个人信息安全影响评估制度，定期评估收集、使用、共享等数据处理相关环节的合规性，并根据评估结果调整其内部数据保护规定。再次，记账类APP运营平台应对接触用户敏感信息的人员进行背景审查，并要求负责个人信息处理工作的相关人员与平台签署保密协议。最后，记账类APP运营平台还应对其隐私政策及数据保护的内容规定，以及数据安全措施的有效性进行定期安全审计。另外，针对可能发生的信息安全事件，记账类APP运营平台应事先制定应急预案，定期组织相关人员进行应急响应培训和应急演练。
在中国关于个人信息保护监管力度逐渐加大以及公民隐私保护意识逐渐增强的背景下，用户个人信息保护工作的合法合规性应成为记账类APP运营平台重点关注的问题。APP运营平台不仅应提高自身数据安全能力，加强数据保护措施，从用户个人信息的收集、使用、保存等环节中贯彻落实个人信息保护相关法律法规的要求，还应该做到在其与第三方发生数据共享、授权使用、转让等情况时，关注第三方的数据安全能力，妥善控制第三方带来的数据安全合规风险。
特别声明：本文仅供读者参考，不作为针对任何个案的法律意见或建议。如需咨询相关问题或对本文有任何意见或建议，请联系zhangguoping@tongshang.com或dengkeer@tongshang.com。如需转载或引用本文任何内容请说明作者和出处。