《规定（征求意见稿）》第二条明确了适用范围，[2]具体来说包括地域范围、主体范围、行为范围和除外情形四个小的要点。

第一，从地域范围看，"中华人民共和国境内"，沿用了《网络安全法》第二条对地域范围的规定；[3]

第二，从主体范围看，"App"。《规定（征求意见稿）》并未对App进行定义，可供参考的依据为即将于2021年5月1日生效的《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号）第二条第二款的规定，即"App包括移动智能终端预置、下载安装的应用软件，基于应用软件开放平台接口开发的、用户无需安装即可使用的小程序。"[4]；

第三，从行为范围看，"App个人信息处理活动"。《规定（征求意见稿）》第三条对"App个人信息处理活动"进行了定义，即"移动智能终端中运行的应用程序收集、存储、使用、加工、传输个人信息的活动"，与《民法典》第一千零三十五条对"个人信息的处理"的定义[5]相近，基本涵盖了"App个人信息处理活动"全生命周期的重要环节；

第四，从除外情形看，"法律、行政法规对个人信息处理活动另有规定的，从其规定"，为应对潜在的法律适用矛盾留下了空间。据媒体报道，在《规定（征求意见稿）》发布的同日，《个人信息保护法（草案）》提交全国人大常委会进行二次审议，[6]具体未来可能修订哪些内容以及后续立法动态，值得高度关注。

《规定（征求意见稿）》第三条规定了"App开发运营者"、"App分发平台"、"App第三方服务提供者"、"移动智能终端生产企业"、"网络接入服务提供者"共计五类主体的定义，并在其第八至第十二条规定了五类主体的个人信息保护义务。

对于App开发运营者而言，该等规定意味着在监管部门、检察机关对其进行监督、监管之外，其还将面临App分发平台（常见的为应用商店）、移动智能终端生产企业（常见的为手机厂商）在个人信息保护方面的审核和监督。如个人信息方面违规，App除面临监管通报、处罚、检察院公益诉讼[7]外，还可能会被App分发平台不予上架/清理、移动智能终端生产企业重点关注/不予预置等。

《规定（征求意见稿）》第四条规定了App个人信息保护的监管主体和职责分工。具体来说，在国家网信办的统筹指导下，国家网信办、工信部、公安部、市场监管总局四部委联合进行App个人信息保护的监督管理，并在各自职责范围内开展个人信息保护和监督管理工作。

该规定与既往App个人信息保护方面的监管实践基本一致，有助于厘清职责分工，在四部委积极作为的同时降低多头、重复监管可能带来的负面影响，降低了企业分别就App个人信息保护面对不同监管部门的成本和困扰。

《规定（征求意见稿）》第六条第五项对App对外提供个人信息提出了严格的规范要求，即"需要向本App以外的第三方提供个人信息的，应当向用户告知其身份信息、联系方式、处理目的、处理方式和个人信息的种类等事项，并取得用户同意"。

为什么说从严规范App对外提供个人信息？我们先来看一下既有法律、规定、国家标准和指南中的相关规定。

看到此处，大家可能有的已经看出，在既有法律、规定、国家标准和指南中，均未明确要求App向用户告知第三方的身份信息、联系方式，最为接近的规定也仅是要求告知"接收方类型或身份"。从严规范App对外提供个人信息，也就不言而喻了。

当然，值得探讨的是，"告知第三方的身份信息、联系方式"的可行性如何。实践中，相当一部分App对外提供个人信息涉及的第三方主体较多，即使用第三方类型来列举，可能都需要列举好几种甚至十几种或者更多；而该等第三方主体也并非一成不变，有的变化频率甚至会比较高。这些因素，都加剧了告知第三方身份信息、联系方式的难度。对于该问题，有待征求意见的探讨和关注后续正式稿的规定。

《规定（征求意见稿）》第六条第六项规定"处理种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等敏感个人信息的，应当对用户进行单独告知，取得用户同意后，方可处理敏感个人信息"，明确要求处理敏感个人信息应单独告知并取得同意。具体理解该规定，需要重点理解"敏感个人信息"和"单独告知，取得用户同意"两个要点：

第一，"敏感个人信息"。该用语首次出现于《个人信息保护法（草案）》第二十九条第二款[8]，本条沿用了该规定，对敏感个人信息的列举也保持完全一致。相较于《个人信息安全规范》第3.2条对于"个人敏感信息"的举例，"敏感个人信息"的举例中未列举"身份证件号码、通信记录和内容、财产信息、征信信息、住所信息、交易信息"，可能与《个人信息保护法（草案）》和本条规定对于处理敏感个人信息规定了更严格的规范要求有关。

第二，"单独告知，取得用户同意"。《个人信息保护法（草案）》第三十条[9]规定了"单独同意"，即将于2021年5月1日正式生效的《网络交易监督管理办法》（国家市场监督管理总局令第37号）第十三条第二款[10]规定了"逐项同意"。本条规定的"单独告知，取得用户同意"与前述"逐项同意"、"单独同意"无根本性差异。从执行该规定的角度看，现有App通过《个人信息保护政策》告知敏感个人信息的处理规则，很难说明是进行了"单独告知"，可能需要在实际触发处理敏感个人信息之前，通过单独弹窗等方式进行告知并获得用户的同意。

《规定（征求意见稿）》第八条第三项从App开发运营者的角度，对其使用第三方服务提出了规范要求；《规定（征求意见稿）》第十条直接对App第三方服务提供者提出了明确的规范要求。

第一，从App开发运营者的角度看，《规定（征求意见稿）》对其提出了四项要求并规定了法律责任。

首先，四项要求具体包括：（1）制定管理规则；（2）明示App第三方服务提供者的名称、功能、个人信息处理规则等内容；（3）与第三方服务提供者签订个人信息处理协议，明确双方相关权利义务；（4）对第三方服务提供者的个人信息处理活动和信息安全风险进行管理监督。

对于如何执行四项要求，《个人信息安全规范》第9.7条"第三方接入管理"、《App自评估指南》第2.1c) 条、《网络安全标准实践指南-移动互联网应用程序（App）使用软件开发工具包（SDK）安全指引》（TC260-PG-20205A，以下简称"《SDK安全指引》"）第5.1条"App使用SDK安全原则"和第5.2条"App提供者安全措施"和2021年4月19日公开征求意见的《信息安全技术 移动互联网应用程序（APP）SDK安全指南（征求意见稿）》第9.1-9.3条中对App提供者的要求均可以作为参考。

其次，法律责任为"App开发运营者未尽到监督义务的，应当依法与第三方服务提供者承担连带责任"。这就意味着，App开发运营者在使用第三方服务时，如果未切实、有效履行前述四项要求，在第三方服务提供者出现侵犯个人信息权益相关的法律责任时，App开发运营者无法"置身事外"，需要承担连带责任。

相较于《SDK安全指引》第3.1条"App 使用SDK的相关方和责任"对于责任承担的具体情形进行细化且仅在App开发运营者和SDK提供者为个人信息共同控制者情形下才需承担连带责任，本条直接将App开发运营者的法律责任规定为连带责任，责任有所加重。

第二，从App第三方服务提供者的角度看，《规定（征求意见稿）》对其提出了五项具体要求并规定了兜底要求。

从五项具体要求看，该等要求一定程度上将《SDK安全指引》第5.3条"SDK提供者安全措施"的规定进行了提炼。其中第五项要求"未经用户同意，不得将收集到的用户个人信息共享转让"可能会对第三方服务提供者的业务模式产生影响，现有的通过App《个人信息保护政策》告知使用第三方服务并征求同意、通过自有《个人信息保护政策》进行告知的方式，在征得个人信息共享转让的同意方面可能存在缺失。

从兜底要求看，本条规定了"国家规定的其他个人信息保护义务"，为适用其他法律法规对个人信息保护的要求留下了空间，该等法律法规包括但不限于《网络安全法》以及后续即将出台的《个人信息保护法》。

《规定（征求意见稿）》第九条明确了App分发平台应当履行的个人信息保护义务，具体来说包括七项具体要求和一项兜底要求。

为什么说进一步细化要求？对App分发平台在个人信息保护方面的规范要求，首次出现于《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》（工信部信管函〔2020〕164号），其"三、整治任务"中"（四）应用分发平台责任落实不到位方面"对"应用分发平台上的APP信息明示不到位"和"应用分发平台管理责任落实不到位"进行了规定。[11]

我们近期参与了某应用商店组织的App数据合规培训，其在培训中也已明确传达了监管要求、该应用商店对App个人信息处理活动规范性审核的态度和重点。实践中，也已经出现了一部分App因无法通过应用商店的个人信息规范性审核而无法上架的实例，需要App开发运营者予以高度重视。

《规定（征求意见稿）》第十六条、第十七条明确了App个人信息处理违规的处置流程和措施，该等措施实际上将近两年来已经成熟的管理措施进行了制度化。

具体来说，从事个人信息处理活动的有关主体违反要求的，依次按照通知整改、社会公告、下架处置、断开接入、信用管理流程进行处置，并明确具体时间期限要求。对未按要求完成整改或反复出现问题、采取技术对抗等违规情节严重的App，将对其进行直接下架；且下架后的App在40个工作日内不得通过任何渠道再次上架的管理要求。此外，监管部门将指导App分发平台和移动智能终端生产企业在集成、分发、预置和安装等环节进行风险提示，情节严重的采取禁入措施。[12]

建议App开发运营者严格按照《网络安全法》等法律、《App违法违规收集使用个人信息行为认定方法》等规定的要求，参照《规定（征求意见稿）》和《个人信息安全规范》《App自评估指南》等国家标准、指南的要求，开展App个人信息处理活动的合规安排。

需要强调的是，监管部门已经为App开发运营者留下了"知错就改"的空间。若收到工信部等监管部门的整改要求，最好在5个工作日内完成整改并申请复测，避免被公开通报；若被公开通报，最好在5个工作日内完成整改并申请复测，避免被下架，否则对业务、对企业品牌、声誉等都会造成明显的不利影响。

除处置流程和措施外，《规定（征求意见稿）》第十八条明确了App个人信息处理违规的法律责任，即"从事App个人信息处理活动侵害个人信息权益的，将依照有关规定予以处罚；构成犯罪的，公安机关依法追究刑事责任"。

该条规定并未直接明确处罚的具体内容，而是指向了有关规定，这里主要包括《网络安全法》第六十四条[13]、《消费者权益保护法》第五十六条[14]等规定，其对于罚款的金额、罚款对象都进行了明确。

除上述要点外，《规定（征求意见稿）》还提出了一些新增的、需要注意的规定，具体包括：

第一，《规定（征求意见稿）》第八条第一项对App开发运营者提出了"以显著、清晰的方式定期向用户呈现App的个人信息收集使用情况"的要求。该要求与《个人信息保护法（草案二审稿）》规定的超大互联网平台应"定期发布个人信息保护社会责任报告"[15]可能存在相似之处。当然，对于App个人信息收集使用情况具体的呈现形式、呈现内容，还有待监管部门的进一步明确和实践的进一步探索。

第二，《规定（征求意见稿）》第十三条对从事App个人信息处理活动的相关主体提出了五项规范要求，其中"需要认证用户真实身份信息的，应当通过国家统一建设的公民身份认证基础设施所提供的网上公民身份核验认证服务进行"系新增的要求。该新增要求，有助于清理用户真实身份信息认证的乱象，减少公民身份信息在认证时的违规操作和泄露风险。