情景背景

某公司上线一款营销小程序，为做用户画像，除必要信息外还顺带收集了用户的位置信息与通讯录权限，隐私政策里只笼统写了「可能收集相关信息以优化服务」，也没有提供关闭个性化推荐的入口。上线数月后有用户投诉，监管部门核查后要求公司限期整改，公司内部随即就责任归属与整改方案产生分歧。

争议与处理思路

处理思路分三层。第一层，定性：超范围收集位置、通讯录等信息，可能同时触及《个人信息保护法》第六条的最小必要原则，以及第四十四条确立的知情权与决定权，个人有权限制或者拒绝他人对其个人信息的处理；因未清晰告知，还涉及第十七条的告知义务。第二层，后果：第六十六条对违法处理个人信息设置了责令改正、警告、没收违法所得、罚款，直至暂停业务、停业整顿、吊销许可与执照的处罚梯度，情节严重的罚款可达五千万元以下或者上一年度营业额百分之五以下；对直接负责的主管人员和其他直接责任人员还可另行处罚，并可在一定期限内禁止其担任相关职务。处罚种类与幅度由监管部门结合情节裁量，本情景不对结果作预测。第三层，整改：通常应尽快停止超范围收集、更新并重新告知处理规则、提供关闭个性化推荐的路径、按第四十七条处理应当删除的信息，并形成可核查的整改记录。本情景为脱敏改编，不指向任何真实案件与真实主体，不构成对结果的预测或承诺。

平台提示

对产品与运营：把「要不要这个权限」放到需求评审阶段解决，收集范围每宽一分，合规成本就高一截，后期整改的代价远大于一开始少收一点。对法务与合规：隐私政策里的告知事项必须与实际的收集行为一一对应，并保留版本与告知记录。对管理层：第六十六条同时指向个人，合规不是「公司的事」——把责任落到岗、到人，才是在整改窗口内真正把风险关小。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查