一文读懂《常见类型App必要个人信息范围规定》

2021年3月，国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局联合印发《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号，以下简称《规定》），自2021年5月1日起施行。《规定》首次以部委联合规范性文件的形式，对39类常见App的「必要个人信息」范围作出明确列举。

一、为什么需要这份规定：瞄准三大乱象

《规定》出台前，App个人信息收集领域存在三大突出问题：

第一，超范围收集。大量工具类、资讯类、娱乐类App在安装阶段即索取通讯录、位置、相册、麦克风等敏感权限，而这些权限与其基本功能并无直接关联。

第二，捆绑授权。用户若想使用App基本功能，往往被迫一次性同意所有隐私条款和权限请求，无法对非必要信息行使拒绝权。

第三，「不同意就退出」。部分App将用户拒绝非必要权限或信息与基本功能使用相绑定，用户一旦拒绝，即无法完成注册或进入主界面。这种做法实质上架空了用户的自主决定权。

《规定》通过「类别化+列举化」的方式，把「必要」从原则变为清单，直接回应了上述三大乱象。下图以思维导图方式呈现《规定》的核心要点，便于快速建立全局认知。

二、核心概念：什么是「必要个人信息」

《规定》第三条给出了核心定义：「本规定所称必要个人信息，是指保障App基本功能服务正常运行所必需的个人信息，缺少该信息App即无法实现基本功能服务。具体是指消费侧用户个人信息，不包括服务供给侧用户个人信息。」

2.1 「基本功能服务」是判断锚点

判断信息是否「必要」，首先要界定何为「基本功能服务」。它不是企业自定义的全部功能，而是App向普通消费者提供核心价值的、不可缺少的基础服务。例如，地图导航类App的基本功能是「定位和导航」，网约车类App的基本功能是「网络预约出租汽车服务」。在此基础上，衍生功能、增值服务、营销功能所对应的信息，一般不属于「必要个人信息」。

2.2 消费侧 vs 供给侧：边界不能混淆

《规定》明确必要个人信息仅指「消费侧用户个人信息」，不包括「服务供给侧用户个人信息」。这意味着，对于平台型App，平台为撮合交易所需要收集的卖家、司机、医生等服务提供方信息，不属于本规定中对普通消费者设定的必要信息范围。企业在设计隐私政策时，不能将供给侧信息需求作为向消费侧用户过度收集的理由。

2.3 检验标准：拿掉它，核心功能还能用吗？

实务中最简洁的检验方法是：把某项信息拿掉，App的核心功能是否还能正常运行？如果不能，就是「必要」；如果能，就是「非必要」。例如，浏览器的基本功能是「浏览互联网信息资源」，用户无需提供任何个人信息即可使用，因此浏览器类App的「必要个人信息」为零。

三、第4条红线：不得因拒绝非必要而拒绝服务

《规定》第四条是整部文件中最具「牙齿」的条款：「App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务。」

这一条款与《个人信息保护法》第十三条、第十六条的立法精神高度一致，即个人信息的处理应当基于合法基础，用户有权拒绝与提供服务无关的信息处理，且这种拒绝不应导致其无法获得基本服务。

从合规角度看，第4条意味着：企业必须将App功能拆分为「基本功能」与「扩展/增值功能」。对于基本功能，只能收集对应「必要个人信息」；对于扩展功能，可以在单独告知、单独同意的前提下收集额外信息。如果用户拒绝扩展功能所需信息，企业只能关闭该扩展功能，而不能整体拒绝用户继续使用App。

四、39类App全景与重点类别边界

《规定》第五条以39类常见App为载体，逐类明确了必要个人信息范围。从宏观上看，39类App呈现「少数敏感、多数克制」的格局：

其中，13类App的基本功能服务「无须个人信息，即可使用」，包括女性健康、网络直播、在线影音、短视频、新闻资讯、运动健身、浏览器、输入法、安全管理、电子图书、拍摄美化、应用商店、实用工具等。这些类别是日常监管中违规收集的高发区，因为企业往往以「内容推荐」「社交互动」「安全防护」等名义索要位置、通讯录、麦克风等权限。

在26类需要收集必要个人信息的App中，25类都包含「注册用户移动电话号码」，只有地图导航类例外——其必要信息仅为「位置信息、出发地、到达地」。这说明立法者将手机号视为大多数在线服务账户体系与安全保障的基础，而位置信息则是导航服务的核心要素。

4.1 即时通信类：联系人列表被纳入必要范围

即时通信类App的必要信息包括「注册用户移动电话号码」和「账号信息：账号、即时通信联系人账号列表」。其中，联系人账号列表被认定为必要信息曾引发广泛讨论。从功能角度看，即时通信的核心在于「连接」——没有联系人关系，用户无法完成点对点的通信。因此，立法者将联系人列表纳入必要范围。但企业应当注意：只能收集实现通信所必需的联系人账号信息，不能借此获取用户的全部通讯录内容、通话记录或社交关系图谱。

4.2 网络约车类：行踪轨迹是敏感红线

网络约车类App的必要信息中，「乘车人出发地、到达地、位置信息、行踪轨迹」是典型的敏感位置信息。这类信息与用户的人身安全、出行隐私密切相关。《规定》允许收集的前提是：信息必须与「网络预约出租汽车服务、巡游出租汽车电召服务」直接相关，且在服务完成后应及时停止持续追踪，不得长期保留或用于其他商业目的。

4.3 手机银行与网络支付类：强身份核验场景

手机银行、网络支付、网络借贷、投资理财等金融类App的必要信息范围较宽，涉及姓名、证件类型和号码、证件有效期、证件影印件、银行卡号码、银行预留移动电话号码等。这是由于金融业务受到《反洗钱法》《电子银行业务管理办法》等强监管要求，必须落实实名制与身份核验。但即便如此，企业仍需遵循「最小必要」原则：例如，转账时仅收集收款人姓名、银行卡号码、开户银行信息，而不得收集与转账无关的额外信息。

4.4 女性健康、短视频、新闻资讯类：零收集不等于零责任

女性健康、短视频、新闻资讯、浏览器、输入法等13类App被明确为「无须个人信息，即可使用基本功能服务」。实践中，这些类别恰恰是超范围收集的高发区。例如，女性健康类App常被违规索取经期、病史、身体数据等健康信息；短视频类App常被索要通讯录、位置以「优化推荐」。《规定》明确这些App的基本功能可以零收集运营，企业若需收集额外信息，必须对应明确的增值/扩展功能，并取得用户单独同意。

五、合规实务建议：从《规定》到落地

结合《规定》的条款精神与39类清单，企业可从以下六个维度建立合规落地体系：