近年来，随着移动互联网深度融入日常生活，APP已成为个人信息收集的最主要入口。《中华人民共和国个人信息保护法》正式施行，确立了“告知—同意”为核心的个人信息处理规则，并对违法处理个人信息的行为规定了严格的民事、行政乃至刑事责任。然而，实践中APP违规收集个人信息的现象依然屡禁不止。本文通过一则典型案例，深入剖析APP收集个人信息的合法边界与侵权认定标准，并为用户和企业提供切实可行的合规指引。
案例引入：APP强制收集用户画像信息导致侵权
罗某系某科技公司运营的在线学习APP用户。该APP在用户首次登录界面要求用户必须填写姓名、职业类型、学龄阶段、英语水平等个人画像信息方能完成登录并进入功能使用首页，整个过程中未设置“跳过”或“拒绝”等选项，亦未弹出隐私政策提示或单独征得用户同意。
罗某认为上述信息并非提供在线学习服务所必需，APP运营者强制收集用户画像信息的行为侵害了其个人信息权益，遂诉至北京互联网法院，请求判令被告停止侵权、删除个人信息、提供个人信息副本、赔礼道歉并赔偿损失。被告辩称，收集用户画像标签系根据需要为用户推荐合适服务内容所必需，未违反必要原则。
经审理查明，该APP在未经罗某允许的情况下预先为其配置了账户与密码，导致登录流程绕过了常规的隐私政策勾选同意步骤，直接进入信息填写页面。即便撇开这一程序瑕疵，法院进一步指出：用户画像信息用于个性化推荐，并非提供网络服务的基础功能，不属于《个人信息保护法》第十三条第一款第（二）项“为订立、履行合同所必需”的情形；在登录界面强制要求填写且不提供跳过选项，用户在不自由、不自愿的状态下被迫提交信息，该“同意”不能认定为有效同意。据此，法院认定被告行为构成对罗某个人信息权益的侵害，判决被告停止侵权、删除相关信息并赔礼道歉，同时赔偿原告相应经济损失。
法律分析：APP收集个人信息的合法边界与侵权认定
（一）APP收集个人信息何时越界？
1.超越“知情同意”的红线
《个人信息保护法》第十三条明确将“取得个人同意”作为处理个人信息的首要合法性基础，第十七条要求处理者在处理前以“显著方式、清晰易懂的语言”告知处理目的、方式和信息种类。第四十四条更进一步赋予个人对信息处理的知情权、决定权，以及限制或拒绝他人处理其信息的权利。
这意味着APP在收集用户信息时，不仅需要设置明确的隐私政策并获得用户勾选同意，还必须确保该同意是“有效同意”——即用户在充分知情的前提下自由、自愿地作出。本案中，APP将填写职业、学龄等用户画像信息设置为登录的“唯一通行路径”，用户为使用服务别无选择，只能被迫提交，故该同意因缺乏自愿性而被认定无效。
2.突破“最小必要”的底线
《个人信息保护法》第六条确立了处理个人信息的“最小必要原则”：收集个人信息应当限于实现处理目的的最小范围，不得过度收集。这意味着APP运营者不能以“可能有用”“未来可能需要”为由超范围收集信息，每项信息的收集都必须与核心服务功能直接相关且严格必要。
本案中，法院明确指出，用户画像信息用于个性化内容推荐，属于增值性、辅助性功能，并非提供在线学习的基础服务，因此不能以“订立或履行合同所必需”为由豁免用户同意。即便需要收集，也应提供独立勾选的选项，允许用户在拒绝提供的情况下继续使用基础功能。
（二）侵权后承担何种责任？
《个人信息保护法》第六十九条确立了过错推定责任机制：处理个人信息侵害权益造成损害的，由个人信息处理者举证证明自身无过错，否则应承担损害赔偿等侵权责任。这一举证责任倒置的规定大大减轻了用户的维权负担。
从责任形式看，侵权者须承担“停止侵害+消除影响+损害赔偿”的多层次责任。本案判决的赔偿数额虽不算高，但其核心意义在于：即便用户无法证明实际经济损失，法院仍综合考量侵权情节酌定赔偿，传递“违法必究”的司法信号。
值得关注的是，在最高人民检察院发布的杭州余杭区人民检察院诉某网络科技公司民事公益诉讼案中，某音乐视频教学类APP违法违规收集存储用户个人信息达1100万余条，最终以调解方式删除全部信息，在《法治日报》及APP首页公开道歉，并承诺若再违约将支付高额违约金用于公益基金。该案表明，除私益诉讼外，检察机关还可通过民事公益诉讼追究APP运营者的侵权责任，让违法成本不再微不足道。
风险防范实操建议
（一）给普通用户：守住个人信息“四道门”
1.安装前查权限
下载APP前查看应用商店公示的权限清单，对索要与功能明显无关权限（如手电筒索要通讯录、计算器索要位置信息）的APP果断拒绝安装。
2.首次使用时慎点“同意”
仔细阅读隐私政策中“收集的信息类型”和“使用目的”条款，如发现超范围收集，可选择“不同意”或使用基础功能模式。目前主流APP均已依法提供基本功能模式，拒绝提供非必要信息不影响核心功能使用。
3.使用中善用“撤回”权利
根据《个人信息保护法》第十五条，用户有权随时撤回同意，且撤回不影响此前已进行的处理效力。定期在APP设置中检查并关闭非必要的授权（如位置、通讯录、相册权限），关闭个性化推荐功能。
4.权益受损时主动维权
留存隐私政策截图、权限申请记录、账号信息页面等证据。优先通过APP内的“个人信息收集使用投诉”入口或“12321”网络不良与垃圾信息举报中心投诉；协商无果可通过互联网法院在线立案维权，诉讼时效为三年。必要时可向网信、工信部门举报，申请行政介入。
（二）给APP运营企业：筑牢合规“三道防线”
1.上线前完成合规自检
对照《个人信息保护法》《App违法违规收集使用个人信息行为认定方法》《常见类型移动互联网应用程序必要个人信息范围规定》，逐项排查信息收集的合法性基础，做到“非必要不收集、不授权不使用、不告知不处理”。
2.落实“告知—同意”全流程机制
在首次运行、功能触发、权限调用三个环节分别弹窗告知，确保用户充分知情并明示同意；提供独立的非基本功能授权选项，确保用户拒绝后基础功能可正常使用；隐私政策以弹窗等显著方式呈现，不得默认勾选或以“不点击同意即退出”方式强迫同意。
3.建立个人信息保护内控制度
指定个人信息保护负责人并公开联系方式；定期开展个人信息安全影响评估并留存报告；建立个人信息泄露应急响应预案。违规收集个人信息的法律后果涵盖民事赔偿、行政处罚乃至刑事责任，合规投入远低于违法代价。
结语
数字经济时代，个人信息被誉为“新时代的石油”，其价值与风险并存。APP作为连接用户与数字服务的核心载体，“知情同意”与“最小必要”是个人信息收集不可逾越的两条红线。对于用户而言，提高隐私保护意识、主动行使法律赋予的各项权利，是对自身信息安全最好的守护；对于企业而言，将合规嵌入产品设计之初、以“隐私优先”理念构建用户信任，才是可持续经营的底层逻辑。在《个人信息保护法》配套制度日趋完善、监管执法持续加码的背景下，尊重个人信息权益已非选择题，而是必答题。
