随着移动互联网的不断发展，新类型互联网应用软件如雨后春笋不断涌现。应用程序可以通过向用户提供《隐私政策》来征求用户同意其收集、处理个人信息，但提供《隐私政策》就意味着可以随意收集用户的个人信息吗？用户能否拒绝？同意后又是否可以撤回？

案情回顾

涉案软件为被告公司运营的一款流行语检索软件，软件介绍为“网络流行语词典”。原告马某在使用时发现，该软件向用户提供了《服务协议》和《隐私政策》两份不同的协议，但却将这两份协议的点选按钮设置为同一个，只能同时拒绝或接受，而且在用户点击拒绝时，软件会强制退出导致无法使用其任何功能。在注册过程中，用户若未勾选“已阅读并同意服务和隐私政策”，软件会弹出提示要求用户阅读服务与隐私政策文件。原告发现，用户并不需要实际阅读，只要点击手机屏幕的任何位置，该提示框会消失，但是系统会自动勾选“已阅读并同意服务和隐私政策”的选项。

此外，原告还发现，该软件在《隐私政策》中说明需要收集电话号码、设备信息等与词典功能毫无关系的个人信息，并且没有任何能撤回同意的途径。在被告新增撤回同意的设置后，原告发现撤回同意后，自己的账号信息虽然不再显示，但账号评论却依然被保留。

原告认为，被告的以上行为构成对自己个人信息权益的损害，向北京互联网法院提起诉讼，请求法院判令被告停止侵害、赔礼道歉、赔偿精神损害抚慰金。

被告辩称，涉案软件是社交类应用，因此可以收集用户的手机号等个人信息。用户点击“拒绝”按钮表示了对《服务协议》和《隐私政策》两份协议的双重拒绝，被告有权拒绝向不接受协议的用户提供服务，用户也可以通过注销账号的方式对同意进行撤回。

争议焦点

本案的争议焦点在于，该词典软件收集处理原告个人信息是否有合法性基础；是否存在过度收集个人信息的情况；软件关于撤回同意的相关设置是否侵犯原告的个人信息权益以及在原告撤回同意后，被告公司是否应当删除原告的个人信息，应删除哪些个人信息。

裁判理由

首先，关于涉案软件收集用户信息的合法性基础。《中华人民共和国个人信息保护法》第十四条第一款规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。本案中，涉案软件在注册界面明确标注了“同意”与“拒绝”处理个人信息的选项，并不会导致用户误认，但被告作为个人信息处理者，应保证用户对其预先拟定的个人信息政策充分知情，在此情况下自愿、主动作出“同意”的肯定性动作。被告未设置措施保证用户能够充分知情其隐私政策内容，在用户未实际阅读的情况下，返回界面后自动勾选“已阅读并同意服务和隐私政策”，并未让用户主动自愿作出同意的选择，不符合“自愿”“明确”的要求。

关于软件在用户拒绝隐私政策后强制退出，由于涉案软件《服务协议》及《隐私政策》的点选按钮被设置为同一个按钮，用户面临着一种无法明确表达自己意愿的情况，用户点击“拒绝”按钮并不能当然理解为用户拒绝接受《隐私政策》，被告的抗辩不能成立。

关于涉案软件超范围收集个人信息，涉案软件的官方描述、应用商店中的描述等均指向其词典功能，社交为其拓展功能。在基本业务为词汇查询的情况下，涉案软件收集了用户的手机号码，这并非使用词典功能的必需信息，超出了实现目的最小范围，即使在用户拒绝《隐私条款》的情况下，涉案软件也应当为用户提供最基本的查词服务。

最后，涉案软件关于撤回同意的设置侵犯了原告的个人信息权益。被告抗辩认为可以通过注销账户撤回同意，但注销账号本质上是网络服务合同的终止，如果要求用户以注销账号的方式撤回同意，将产生如果不同意收集个人信息则无法继续使用涉案产品的情形，这既不属于个人信息保护法第十五条规定的“便捷的撤回方式”，又违反了第十六条规定的“不得以撤回同意为由拒绝提供产品或服务”的规定，因此不宜认定为一种撤回同意的方式。而就撤回同意后删除个人信息而言，由于原告并未明确主张需要撤回同意的信息范畴，被告进行前台匿名化的处理方式适当，倘若原告要求被告删除评论，应当作为明确的诉讼请求提出。

综上，涉案软件的多项设置构成侵权，被告应当承担相应侵权责任。

裁判结果

判决被告删除收集的原告昵称、手机号码、密码、头像、设备信息和用户行为信息，书面向原告赔礼道歉并赔偿合理开支3080元，驳回原告的其他诉讼请求。二审法院驳回被告上诉，维持原判。目前，该案判决已生效。

法官提示

审判员 孙铭溪

个人信息保护法规定，处理个人信息应当征得个人的同意，该同意应当在个人充分知情的情况下自愿、明确作出，这不仅意味着网络服务提供者应当在《隐私政策》中写明处理个人信息的范围、方式等必要内容，还应采取必要措施保证用户能充分知情其内容，并且用户有权拒绝接受关于处理个人信息的条款。本案中，被告公司强行将《隐私政策》与《用户协议》进行绑定，使得用户无法明确表达对处理个人信息同意与否，故而被告公司处理用户个人信息的行为并不具有正当性基础。

除程序上应当得到个人同意外，处理个人信息的内容范围也受到“实现处理目的的最小范围”的限制，不得过度处理个人信息。网络服务提供者应当在应用程序商店、宣传页面以及软件内介绍等位置对应用程序的基本服务作出说明，以保证用户能够理解哪些个人信息为提供服务所必须。除此以外，即使用户拒绝或者撤回同意处理个人信息，网络服务提供者也不得拒绝提供服务，除非该个人信息为提供服务或产品所必须。具体到本案中，根据涉案软件应用商店介绍、软件介绍等信息，可以判断涉案软件是一款基本功能为查词的词典软件，手机号码这类个人信息并非使用查词功能所必需，因此该公司不能拒绝提供基本的查词功能，在原告拒绝接受隐私条款后强行退出的行为侵犯了原告的个人信息权益。

用户不仅有权授权网络服务提供者处理个人信息，也有权随时撤回对处理个人信息的同意，网络服务提供者应当为用户提供便捷的撤回方式。（来源：北京互联网法院 作者  孙铭溪）

（责任编辑：刘丹）