アプリによる個人情報の違法・不当な収集・利用の認定方法

「アプリによる個人情報の違法・不当な収集・利用の認定方法」の公布に関する通知

工信部秘[2019]191号

各省・自治区・直轄市および新疆生産建設兵団のインターネット情報弁公室、電気通信管理局、公安庁（局）、市場監督管理局（庁・委員会）へ：

「アプリによる個人情報の違法・不当な収集・利用に関する特別ガバナンスの実施についての公告」に従い、アプリによる個人情報の違法・不当な収集・利用の認定に参照を提供し、「サイバーセキュリティ法」などの法律・法規を実施するため、中国サイバースペース管理局（CAC）、工業情報化部（MIIT）、公安部（MPS）、国家市場監督管理総局（SAMR）は共同で「アプリによる個人情報の違法・不当な収集・利用の認定方法」を策定しました。ここに、規制・法執行の作業と併せて参照いただくため、皆様に公布します。

アプリによる個人情報の違法・不当な収集・利用の認定方法

「アプリによる個人情報の違法・不当な収集・利用に関する特別ガバナンスの実施についての公告」に従い、監督・行政部門がアプリによる個人情報の違法・不当な収集・利用を認定する参照を提供し、アプリの運営者に自己点検・自己是正の指針および公衆の監督のための指針を提供し、「サイバーセキュリティ法」などの法律・法規を実施するため、本方法を策定する。

1. 次の行為は「収集・利用のルールを公開していない」と認定され得る：

1. アプリにプライバシーポリシーがない、またはプライバシーポリシーに個人情報の収集・利用のルールが含まれていない。
2. アプリの初回起動時に、ポップアップウィンドウなどの明白な手段で、プライバシーポリシーその他の収集・利用のルールを読むよう利用者に促していない。
3. プライバシーポリシーその他の収集・利用のルールへのアクセスが難しく、アプリのメイン画面に入った後、4回を超えるクリックまたは同等の操作を要する。
4. プライバシーポリシーその他の収集・利用のルールが読みにくい。例えば、文字が小さい・詰まっている、色が薄い、ぼやけている、または簡体中国語版がないなど。

2. 次の行為は「個人情報の収集・利用の目的・方法・範囲を明示していない」と認定され得る：

1. アプリ（委託した第三者、または埋め込まれた第三者のコード・プラグインを含む）の個人情報の収集・利用の目的・方法・範囲を列挙していない。
2. 個人情報の収集・利用の目的・方法・範囲が変更される際、適切な方法で利用者に通知していない。適切な方法には、プライバシーポリシーその他の収集・利用のルールを更新し、利用者に読むよう促すことが含まれる。
3. 利用者のID・銀行口座・移動履歴などの個人情報またはセンシティブ個人情報を収集する権限を申請する際、目的を明確に述べていない、または理解しにくい。
4. 収集・利用のルールの内容が難解で、冗長かつ過度に複雑で、例えば大量の専門用語を用いるなどして、利用者が理解しにくい。

3. 次の行為は「利用者の同意なく個人情報を収集・利用している」と認定され得る：

1. 利用者の同意を得る前に、個人情報の収集を開始し、または個人情報を収集する権限を付与する。
2. 利用者が明確に不同意を表明した後も個人情報の収集を続け、または収集の権限を維持し、あるいは頻繁に利用者の同意を求め、または利用者の通常の利用を妨げる。
3. 利用者が許可した範囲を超えて個人情報を収集し、または収集を許す。
4. 既定の選択肢または明示的でない方法で、プライバシーポリシーその他の収集・利用のルールへの利用者の同意を求める。
5. 利用者の同意なく、利用者の個人情報収集の権限の状態を変更する。例えば、アプリの更新時に利用者の権限設定を自動的に既定へ戻すなど。
6. 利用者の個人情報とアルゴリズムを用いてターゲティングのプッシュ通知を行い、ターゲティングでない通知の選択肢を提供しない。
7. 詐欺的または欺瞞的な手段で、個人情報の収集・利用の真の目的を意図的に誤導または隠蔽するなどして、利用者を誤導して個人情報の収集に同意させ、または収集の権限を付与させる。
8. 利用者に個人情報収集の同意を撤回する方法を提供していない。
9. 公表した個人情報の収集・利用のルールに違反する。

4. 次の行為は「必要性の原則に違反し、提供するサービスと無関係な個人情報を収集している」と認定され得る：

1. 既存の業務機能と無関係な種類の個人情報を収集し、または収集する権限を付与する。
2. 利用者が必須でない個人情報の収集または必須でない権限の付与に同意しないことを理由に、業務機能の提供を拒否する。
3. アプリの新しい業務機能について、利用者が元々合意した範囲を超えて個人情報を収集する。新しい業務機能が元の機能を置き換え、利用者が同意を拒否する場合は適用しない。
4. 業務機能のために個人情報を過度に収集する。
5. サービス品質の向上、ユーザー体験の向上、ターゲティングのプッシュ通知、新製品の開発などの理由で、利用者に個人情報の収集への同意を強制する。
6. 利用者に一度に複数の権限を開いて個人情報を収集することへの同意を求め、同意しなければアプリを利用できないようにする。

5. 次の行為は「同意なく個人情報を他者に提供している」と認定され得る：

1. 利用者の同意なく、かつ匿名化なしに、アプリのクライアントが（クライアントに埋め込まれた第三者のコード・プラグインを通じてを含め）第三者に直接個人情報を提供する。
2. データがアプリのバックエンドサーバーに伝送された後、利用者の同意なく、かつ匿名化なしに、収集した個人情報を第三者に提供する。
3. 第三者アプリケーションをアプリに統合し、利用者の同意なく第三者アプリケーションに個人情報を提供する。

6. 次の行為は「法に基づく個人情報の削除・訂正の選択肢を提供していない」または「苦情・通報の方法を公開していない」と認定され得る：

1. 個人情報の訂正・削除、またはユーザーアカウントの抹消の有効な機能を提供していない。
2. 個人情報の訂正・削除、またはユーザーアカウントの抹消に、不要または不合理な条件を設けている。
3. 個人情報の訂正・削除、またはユーザーアカウントの抹消の機能は提供しているが、手作業の処理を要する利用者の操作に速やかに応答せず、約束した期間内に確認・処理を完了しない（約束した期間は15営業日を超えてはならず、約束した期間がない場合は15営業日を限度とする）。
4. 個人情報の訂正・削除、またはアカウントの抹消は完了したが、アプリのバックエンドで完了していない。
5. 個人情報セキュリティの苦情・通報のチャネルを確立・公開していない、または約束した期間内に苦情・通報を受理・処理しない（約束した期間は15営業日を超えてはならず、約束した期間がない場合は15営業日を限度とする）。

21YunBox の強み

原文は中国語で書かれています。上記はそれを英訳し、さらに日本語にしたものです。本訳は法の概要を素早く把握するためのものです。

さらに当社チームのサポートが必要な場合は、ためらわずお問い合わせください。当社の専門家が、貴社のアプリの中国での配信を円滑にするお手伝いをします。