Methode zur Bestimmung der rechtswidrigen und unzulässigen Erhebung und Nutzung personenbezogener Informationen durch Apps

Mitteilung zur Herausgabe der „Methode zur Bestimmung der rechtswidrigen und unzulässigen Erhebung und Nutzung personenbezogener Informationen durch Apps“

MIIT-Geheim [2019] Nr. 191

An die Internet-Informationsstellen, Telekommunikationsverwaltungsämter, Behörden (Ämter) für öffentliche Sicherheit und Marktregulierungsämter (-abteilungen, -kommissionen) aller Provinzen, autonomen Gebiete, regierungsunmittelbaren Städte und des Produktions- und Aufbaukorps Xinjiang:

Im Einklang mit der „Bekanntmachung zur Durchführung der besonderen Governance der rechtswidrigen und unzulässigen Erhebung und Nutzung personenbezogener Informationen durch Apps“ und um eine Referenz für die Bestimmung der rechtswidrigen und unzulässigen Erhebung und Nutzung personenbezogener Informationen durch Apps bereitzustellen und um Gesetze und Vorschriften wie das „Cybersicherheitsgesetz“ umzusetzen, haben die Cyberspace-Verwaltung Chinas (CAC), das Ministerium für Industrie und Informationstechnologie (MIIT), das Ministerium für öffentliche Sicherheit (MPS) und die Staatliche Verwaltung für Marktregulierung (SAMR) gemeinsam die „Methode zur Bestimmung der rechtswidrigen und unzulässigen Erhebung und Nutzung personenbezogener Informationen durch Apps“ formuliert. Wir geben sie Ihnen hiermit zur Referenz in Verbindung mit der Regulierungs- und Vollzugsarbeit heraus.

Methode zur Bestimmung der rechtswidrigen und unzulässigen Erhebung und Nutzung personenbezogener Informationen durch Apps

Im Einklang mit der „Bekanntmachung zur Durchführung der besonderen Governance der rechtswidrigen und unzulässigen Erhebung und Nutzung personenbezogener Informationen durch Apps“, um eine Referenz für Aufsichts- und Verwaltungsabteilungen zur Bestimmung der rechtswidrigen und unzulässigen Erhebung und Nutzung personenbezogener Informationen durch Apps bereitzustellen und um App-Betreibern eine Orientierung für Selbstprüfung, Selbstkorrektur und öffentliche Aufsicht bereitzustellen und um Gesetze und Vorschriften wie das „Cybersicherheitsgesetz“ umzusetzen, wird diese Methode formuliert.

1. Die folgenden Verhaltensweisen können als „Versäumnis, die Erhebungs- und Nutzungsregeln offenzulegen“ eingestuft werden:

1. Die App hat keine Datenschutzrichtlinie, oder die Datenschutzrichtlinie enthält keine Regeln zur Erhebung und Nutzung personenbezogener Informationen.
2. Die App fordert den Nutzer beim ersten Start nicht durch offensichtliche Mittel wie ein Pop-up-Fenster auf, die Datenschutzrichtlinie oder andere Erhebungs- und Nutzungsregeln zu lesen.
3. Die Datenschutzrichtlinie oder andere Erhebungs- und Nutzungsregeln sind schwer zugänglich und erfordern mehr als vier Klicks oder ähnliche Vorgänge, um nach dem Betreten der Hauptoberfläche der App darauf zuzugreifen.
4. Die Datenschutzrichtlinie oder andere Erhebungs- und Nutzungsregeln sind schwer lesbar, etwa durch kleinen oder dichten Text, blasse Farben, Unschärfe oder das Fehlen einer vereinfachten chinesischen Version.

2. Die folgenden Verhaltensweisen können als „Versäumnis, den Zweck, die Methode und den Umfang der Erhebung und Nutzung personenbezogener Informationen klar anzugeben“ eingestuft werden:

1. Versäumnis, die Zwecke, Methoden und den Umfang der Erhebung und Nutzung personenbezogener Informationen für die App aufzulisten (einschließlich beauftragter Dritter oder eingebetteter Drittanbieter-Codes oder Plugins).
2. Wenn sich der Zweck, die Methode oder der Umfang der Erhebung und Nutzung personenbezogener Informationen ändert, wird der Nutzer nicht in angemessener Weise benachrichtigt. Zu den angemessenen Methoden gehören die Aktualisierung der Datenschutzrichtlinie oder anderer Erhebungs- und Nutzungsregeln und die Erinnerung der Nutzer, sie zu lesen.
3. Bei der Beantragung der Berechtigung zur Erhebung personenbezogener Informationen oder sensibler personenbezogener Informationen wie des Ausweises, Bankkontos oder der Reisehistorie des Nutzers wird der Zweck nicht klar angegeben oder ist schwer verständlich.
4. Der Inhalt der Erhebungs- und Nutzungsregeln ist unklar, langatmig und übermäßig kompliziert, was es den Nutzern schwer macht, ihn zu verstehen, etwa durch die Verwendung einer großen Menge an Fachterminologie.

3. Die folgenden Verhaltensweisen können als „Erhebung und Nutzung personenbezogener Informationen ohne Einwilligung des Nutzers“ eingestuft werden:

1. Initiierung der Erhebung personenbezogener Informationen oder Erteilung der Berechtigung zur Erhebung personenbezogener Informationen vor Einholung der Einwilligung des Nutzers.
2. Fortsetzung der Erhebung personenbezogener Informationen oder Aufrechterhaltung der Berechtigung zur Erhebung personenbezogener Informationen, nachdem der Nutzer ausdrücklich seine Ablehnung ausgedrückt hat, oder häufiges Ersuchen um die Einwilligung des Nutzers oder Störung der normalen Nutzung durch den Nutzer.
3. Erhebung oder Zulassung der Erhebung personenbezogener Informationen über den vom Nutzer autorisierten Umfang hinaus.
4. Nutzung von Standardauswahlen oder nicht-ausdrücklichen Methoden, um die Einwilligung des Nutzers zur Datenschutzrichtlinie oder anderen Erhebungs- und Nutzungsregeln einzuholen.
5. Änderung des Status der Berechtigung zur Erhebung personenbezogener Informationen des Nutzers ohne Einwilligung des Nutzers, etwa die automatische Wiederherstellung der Berechtigungseinstellungen des Nutzers auf die Standardwerte während App-Aktualisierungen.
6. Nutzung der personenbezogenen Informationen des Nutzers und von Algorithmen für gezielte Push-Benachrichtigungen, ohne eine Option für nicht-gezielte Benachrichtigungen bereitzustellen.
7. Irreführung von Nutzern zur Einwilligung in die Erhebung personenbezogener Informationen oder zur Erteilung der Berechtigung zur Erhebung personenbezogener Informationen durch betrügerische oder täuschende Mittel, etwa durch bewusste Irreführung oder Verheimlichung des wahren Zwecks der Erhebung und Nutzung personenbezogener Informationen.
8. Versäumnis, den Nutzern eine Möglichkeit bereitzustellen, die Einwilligung in die Erhebung personenbezogener Informationen zu widerrufen.
9. Verstoß gegen die erklärten Erhebungs- und Nutzungsregeln für personenbezogene Informationen.

4. Die folgenden Verhaltensweisen können als „Verstoß gegen den Grundsatz der Notwendigkeit durch Erhebung personenbezogener Informationen, die nicht mit den bereitgestellten Diensten zusammenhängen“ eingestuft werden:

1. Erhebung von Arten personenbezogener Informationen oder Erteilung der Berechtigung zur Erhebung personenbezogener Informationen, die nicht mit den bestehenden Geschäftsfunktionen zusammenhängen.
2. Verweigerung der Bereitstellung von Geschäftsfunktionen, weil Nutzer die Einwilligung in die Erhebung nicht-wesentlicher personenbezogener Informationen oder die Erteilung nicht-wesentlicher Berechtigungen verweigern.
3. Für neue Geschäftsfunktionen in der App Erhebung personenbezogener Informationen über den ursprünglich vom Nutzer vereinbarten Umfang hinaus. Dies gilt nicht, wenn neue Geschäftsfunktionen die ursprünglichen ersetzen und der Nutzer die Einwilligung verweigert.
4. Übermäßige Erhebung personenbezogener Informationen für Geschäftsfunktionen.
5. Aus Gründen wie der Verbesserung der Dienstqualität, der Verbesserung des Nutzererlebnisses, gezielter Push-Benachrichtigungen oder der Entwicklung neuer Produkte Zwingen von Nutzern zur Einwilligung in die Erhebung personenbezogener Informationen.
6. Verlangen von Nutzern, der Öffnung mehrerer Berechtigungen zur Erhebung personenbezogener Informationen auf einmal zuzustimmen, wobei Nutzer die App ohne Einwilligung nicht nutzen können.

5. Die folgenden Verhaltensweisen können als „Bereitstellung personenbezogener Informationen an andere ohne Einwilligung“ eingestuft werden:

1. Direkte Bereitstellung personenbezogener Informationen an Dritte durch den App-Client ohne Einwilligung des Nutzers und ohne Anonymisierung, einschließlich durch eingebettete Drittanbieter-Codes oder Plugins im Client.
2. Nachdem Daten an den Backend-Server der App übertragen wurden, Bereitstellung der erhobenen personenbezogenen Informationen an Dritte ohne Einwilligung des Nutzers und ohne Anonymisierung.
3. Integration von Drittanbieter-Anwendungen in die App und Bereitstellung personenbezogener Informationen an Drittanbieter-Anwendungen ohne Einwilligung des Nutzers.

6. Die folgenden Verhaltensweisen können als „Versäumnis, die gesetzlich vorgeschriebene Option zum Löschen oder Berichtigen personenbezogener Informationen bereitzustellen“ oder „Versäumnis, Beschwerde- und Meldemethoden offenzulegen“ eingestuft werden:

1. Versäumnis, wirksame Funktionen zum Berichtigen, Löschen personenbezogener Informationen oder Kündigen von Nutzerkonten bereitzustellen.
2. Festlegung unnötiger oder unangemessener Bedingungen für das Berichtigen, Löschen personenbezogener Informationen oder Kündigen von Nutzerkonten.
3. Obwohl Funktionen zum Berichtigen, Löschen personenbezogener Informationen oder Kündigen von Nutzerkonten bereitgestellt werden, Versäumnis, umgehend auf Nutzervorgänge zu reagieren, die manuelle Bearbeitung erfordern, und Versäumnis, Verifizierung und Bearbeitung innerhalb des zugesagten Zeitrahmens abzuschließen (der zugesagte Zeitrahmen darf 15 Werktage nicht überschreiten, und wenn kein Zeitrahmen zugesagt ist, ist er auf 15 Werktage begrenzt).
4. Berichtigungen, Löschungen personenbezogener Informationen oder Kontokündigungen wurden abgeschlossen, aber das Backend der App hat sie nicht abgeschlossen.
5. Versäumnis, Kanäle für Beschwerden und Meldungen zur Sicherheit personenbezogener Informationen zu errichten und zu veröffentlichen, oder Versäumnis, Beschwerden und Meldungen innerhalb des zugesagten Zeitrahmens anzunehmen und zu bearbeiten (der zugesagte Zeitrahmen darf 15 Werktage nicht überschreiten, und wenn kein Zeitrahmen zugesagt ist, ist er auf 15 Werktage begrenzt).

Der 21YunBox-Vorteil

Das Originaldokument ist auf Chinesisch verfasst. Wir haben diese deutsche Übersetzung zu Ihrer Bequemlichkeit bereitgestellt. Bitte beachten Sie jedoch, dass diese Übersetzung dem schnellen Verständnis des Gesetzes dienen soll und nach eigenem Ermessen und auf eigenes Risiko verwendet werden sollte.

Wenn Sie weitere Unterstützung von unserem Team benötigen, nehmen Sie gerne Kontakt auf. Unsere Experten begleiten Sie durch die Feinheiten, den Vertrieb Ihrer Apps in China zu erleichtern!