本文作者：李赛

【文章摘要】2026年9月15日，国家互联网信息办公室通报一批执法典型案例，其中某运动管理App在用户开启跑步功能时，以“防止作弊”为由要求一次性授予定位、电话、存储等多项权限，用户不同意即以拒绝提供全部权限为由拒绝提供跑步功能，属地网信办责令改正并予以警告。该案的认定要点在于权限索取与功能必要性的对应关系。依《常见类型移动互联网应用程序必要个人信息范围规定》，运动健身类App的基本功能服务无须个人信息即可使用。本文说明“所必需”的判断依据与方法，以同类案例说明执法口径，并从权限清单自查、拒绝授权后的功能安排、被查处后的整改三个环节，给出可供参照的操作路径。

【关键词】强制索取权限；所必需；必要个人信息范围；自愿、主动提供；合规自查；简化措施

一、案例事实与查处要点

2026年9月15日，国家互联网信息办公室发布近期网络安全、数据安全、个人信息保护等领域执法典型案例。其中一案涉及移动应用程序的权限索取行为，有必要先还原其事实与认定要点。

（一）事实经过

据通报，某信息科技有限公司运营的某运动管理App，在用户开启跑步功能时，以“防止作弊”为由强制要求一次性授予定位权限、电话权限、存储权限等多种权限。若用户不同意授权，该App即以用户拒绝提供全部权限为由，拒绝提供跑步相关功能。属地网信办核查后认定，该企业未向不同场景用户提供差异化功能选择，一次性强制索取多个权限，且在有其他替代方式实现处理目的的情况下，超范围收集使用非必要个人信息，违反《个人信息保护法》《网络数据安全管理条例》等法律规定，已依法责令其改正，予以警告处罚。

（二）三项认定要点：索取方式、功能对应、拒绝后果

该案的认定要点可以归为三项。其一，权限索取的方式。App在单一功能开启环节一次性索取多项权限，用户面对的是“全部授予或者无法使用”的选择，不存在逐项选择的空间。其二，权限与功能的对应关系。“防止作弊”是App对自身需要的说明，通报的认定重点在于该说明能否构成“所必需”——在存在其他替代方式的情况下，一次性索取多项权限超出了实现处理目的的最小范围。其三，拒绝授权的后果。用户拒绝授权后，App拒绝提供跑步功能，这使得授权在事实上成为使用功能的交换条件。

三项要点之间存在递进关系：索取方式决定了个人有无选择空间，必要性判断决定了索取是否越界，拒绝授权的后果则决定了越界是否实际发生。把握这三点，也就可以把握同类行为的合规界线。

二、“所必需”的判断依据与方法

该案的落脚点是“所必需”三字。这一要件并非只存在于一处规范，而是由法律、行政法规、部门规范性文件与《简化措施规定》共同构成一个判断链条。

（一）法律层面：不得以拒绝授权为由拒绝提供产品或者服务

《个人信息保护法》第十六条规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。该条的规范结构值得注意：禁止是原则，允许是例外，例外的范围限于“所必需”。

该条同时说明了对该案事实的定性逻辑。用户不同意授权，属不同意处理其个人信息的表现；App据此拒绝提供跑步功能，落入该条前段的禁止范围。App若要主张适用例外，应当证明所索取的权限属于提供跑步功能所必需。在该案中，这一证明未能成立。

（二）行政法规层面：不得超范围收集

《网络数据安全管理条例》第二十二条第（一）项规定，网络数据处理者基于个人同意处理个人信息的，收集个人信息为提供产品或者服务所必需，不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得个人同意。该条把“所必需”与“不得超范围收集”并列，并将取得同意的方式一并纳入规范，与《个人信息保护法》第十六条相互衔接。

该条第（五）项还规定，不得在个人明确表示不同意处理其个人信息后频繁征求同意。该项与第十六条共同构成对“反复索取直至同意”这类做法的规范回应：用户明确拒绝后，处理者既不应当以拒绝功能相要挟，也不应当反复弹窗征求同意。

（三）必要个人信息范围：运动健身类的明确答案

《常见类型移动互联网应用程序必要个人信息范围规定》第五条按三十九类App逐类列明必要个人信息范围。其第（三十一）项规定，运动健身类App的基本功能服务为“运动健身训练”，无须个人信息，即可使用基本功能服务。

这一项规定为本案提供了直接的判断依据：对运动健身类App的基本功能服务，国家层面确定的必要个人信息范围为零。据此，定位权限、电话权限、存储权限均不属于跑步功能所必需，App以“防止作弊”为由要求一次性授予，与该规定不符。

该规定第四条另明确规定，App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务。这一条把必要个人信息范围与拒绝提供的后果直接连接起来：非必要信息未被提供，不构成拒绝提供基本功能服务的正当理由。

（四）认定方法层面：六类情形的可操作判断

《App违法违规收集使用个人信息行为认定方法》第四条列出六类可被认定为违反必要原则的情形，为实务判断提供了较为具体的尺度。其中与该案直接相关的有两项：第2项，因用户不同意收集非必要个人信息或者打开非必要权限，拒绝提供业务功能；第6项，要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。

该条第1项、第3项至第5项另就权限与业务功能无关、新增业务功能超出原有同意范围、收集频度超出实际需要、仅以改善服务质量等为由强制要求同意等情形作出规定。这六项情形的共同指向是：判断的基准是业务功能本身的客观需要，而非处理者对信息价值的主观评价。

（五）简化措施层面：“所必需”是适用简化路径的前提

《小型个人信息处理者个人信息保护简化措施规定》第七条为小型处理者提供了一条以个人自愿、主动提供信息为依据的处理路径，但该项路径设有明确前提：个人信息的范围限于“获取产品或者服务所必需”。条文的表述是“个人因获取产品或者服务需要，在充分知情的前提下自愿、主动向或者自愿、主动配合小型个人信息处理者提供获取产品或者服务所必需的个人信息”。

由此可见，简化路径与强制索取是相互排斥的两种情形：以“防作弊”等理由强制索取权限，个人在拒绝授权即无法使用功能的压力下作出的选择，不符合“自愿、主动”的要求；所索取的权限超出功能所必需的范围，也不符合“所必需”的要求。两个要件同时不具备时，该案情形不能适用第七条，处理者应当回到《个人信息保护法》第十三条第一款的合法性基础中另行寻找依据。

需要说明的是，该条的适用以处理者属于小型个人信息处理者为前提，即处理不满10万人个人信息。超出该范围的，不适用简化措施，判断依据仍为前述法律、行政法规与部门规范性文件。

三、同类案例的处理方式

被处理的运动管理App所属企业为信息科技公司，其情形在中小规模经营者中具有代表性。以下两起已公开发布的案例，与该案同属权限索取或者必要性判断问题，可用以说明执法处理的常见方式；同批通报的其他案例情形，另在第三部分概述。案例事实以监管机关公开发布的内容为准。

（一）违规收集人脸信息：未取得单独同意

与前述案例同批通报的重庆某置业有限公司案中，该企业在办公场所安装10余处图像采集设备，收集、存储客户人脸信息5000余条，用于客户身份信息识别以及与中介机构等的匹配营销。通报认定，该企业未真实、准确、完整向客户告知收集人脸信息的目的、方式、用途，在未取得客户单独同意的情况下收集、存储、使用客户人脸信息，予以警告、罚款处罚。

该案的处理口径与权限索取案存在共通之处：处理者对所收集信息的用途有自身说明，但说明不能替代法定要件。人脸信息属《个人信息保护法》第二十八条第一款所列敏感个人信息，依该法第二十九条应当取得单独同意，依该法第三十条还应当告知处理敏感个人信息的必要性以及对个人权益的影响。用途说明与“必要性”并非同一层次的判断。

（二）超范围收集并违规出境：最小范围原则

同批通报的上海某科技有限公司案中，该企业自2022年以来持续通过其Windows端应用程序，超范围收集用户使用其硬件产品的主机配置、使用时长、用户系统等信息，并将上述信息与用户注册时填写的姓名、手机号、邮箱、生日、密码等一并传输至境外有关数据中心。通报认定其超出实现处理目的最小范围收集用户个人信息，且在未依法申报数据出境安全评估的情况下向境外传输，予以罚款处罚。

该案说明，超出最小范围收集与后续的处理环节是叠加的：信息一旦超范围收集，其后的存储、传输等处理活动均建立在同一基础上，责任亦随之叠加。对小型处理者而言，权限索取环节的合规判断具有前端意义。

（三）同批通报的其他情形

同批通报的其余案例另涉网页篡改、设置恶意程序、数据被窃取、医院数据泄露风险、个人信息泄露风险、未落实生成合成内容标识要求等情形。这批案例的共同特征是，从案情看被处理主体多为中小规模经营者（通报未披露企业规模，此项系依案情所作的推断），违法情形多出现在基础环节，处理方式以责令改正为主，并视情形给予警告或者罚款。

四、预防与处置的操作路径

以下按事前自查、事中处置、事后整改三个环节，给出可供小型处理者直接参照的操作路径。

（一）事前：权限清单与必要性的逐项比对

第一步是建立权限清单。逐一列出App各功能模块申请的权限与收集的信息项，标明申请时点（首次启动、进入功能、注册账号）、是否可跳过、拒绝后的实际后果。清单的形式不限，一件表格即可。

第二步是逐项比对必要性。比对基准有三层：一是该功能所属类别在国家规定的必要个人信息范围中列明了哪些信息项；二是在技术上有无影响更小的替代方案；三是收集的频度、范围是否超出该功能的实际需要。三层均无支持理由的，该项权限即应考虑取消或者改为选填。

第三步是处理“零必要信息”的功能类别。《常见类型移动互联网应用程序必要个人信息范围规定》第五条中有相当数量的类目属于“无须个人信息即可使用基本功能服务”，除运动健身类外，还包括在线影音类、短视频类、新闻资讯类、电子图书类、拍摄美化类、应用商店类等。该类App的基本功能不得以授权为使用条件。

（二）事中：拒绝授权后的功能安排

用户拒绝授权或者撤回同意时，处理者的正确做法是提供与已获授权相匹配的功能，而不是拒绝提供全部功能。可行的安排包括三种：一是降级提供，即在不依赖该项权限的条件下提供功能，如仅记录运动时长而不记录轨迹；二是提供替代入口，即允许用户手动录入而不强制自动采集；三是延后索取，即在用户实际使用到依赖该权限的特定功能时再行征求，而非在开启基本功能时一次性索取。

需要避免的三种做法是：以“全部授予或者无法使用”的方式一次性索取多项权限；用户明确拒绝后反复弹窗征求同意；以“防止作弊”“改善服务质量”“提升用户体验”等理由作为强制索取权限的依据。这三种做法分别对应《App违法违规收集使用个人信息行为认定方法》第四条的第6项、第5项，以及《网络数据安全管理条例》第二十二条第（五）项的规定。

（三）事后：被核查后的整改与裁量衔接

发现同类问题后，建议按以下顺序推进整改。其一，按前述清单逐项复核全部权限，取消无必要性支持的索取，调整拒绝授权后的功能逻辑。其二，补正公开信息，将收集使用规则中涉及权限与信息项的内容更新至与实际一致，按《简化措施规定》第四条第一款载明三项要素，并按第六条以显著方式提示、便于查阅和保存。其三，留存整改记录，包括清单、修改前后的功能说明、公开信息的发布记录。

就处罚环节而言，整改的及时与到位程度会影响裁量结果。《简化措施规定》第十八条规定，违法行为轻微并及时改正、没有造成危害后果的，应当不予处罚；有证据足以证明没有主观过错的，应当不予处罚；初次违法且危害后果轻微并及时改正的，可以不予处罚。第十九条规定，主动消除或者减轻违法行为危害后果的，应当从轻或者减轻处罚。上述条文的适用以处理者属于小型个人信息处理者为前提，是否适用由监管部门结合个案事实依法裁量。

需要提示的是，上述简化安排只影响程序性义务的履行方式与处罚裁量，不改变实体性义务本身。强制索取权限所涉的“所必需”要求，属于《个人信息保护法》与《网络数据安全管理条例》确立的实体性要求，不因主体规模较小而放宽。

五、常见问题（FAQ）

Q1：以“防止作弊”为由索取定位权限，是否具有合理性？

A：需回到必要性的客观判断。以《常见类型移动互联网应用程序必要个人信息范围规定》第五条为例，运动健身类App的基本功能服务为“运动健身训练”，无须个人信息即可使用。在该类目的框架下，定位权限不构成基本功能所必需。若确有针对特定场景的必要性，应当以影响更小的替代方式实现，并避免一次性索取多项权限。

Q2：用户拒绝授权后，App能否不提供该项功能？

A：应当区分基本功能与特定功能。对基本功能服务，依《常见类型移动互联网应用程序必要个人信息范围规定》第四条，不得因用户不同意提供非必要个人信息而拒绝提供。对确需该项权限方能实现的特定功能，可不予提供，但不得因此拒绝提供不依赖该权限的其他功能。

Q3：处理不满10万人个人信息的，能否适用简化措施？

A：可以，但范围有限。《简化措施规定》为小型处理者简化的是处理规则、告知方式、权利受理通道、合规审计周期等程序性事项的履行方式。就权限索取而言，该规定第七条要求个人信息限于“获取产品或者服务所必需”，且须由个人自愿、主动提供；强制索取不满足该条要件，不能适用简化路径。

Q4：被核查后及时整改，能否适用不予处罚？

A：存在这种可能，但需同时满足条件并由监管部门裁量。依《简化措施规定》第十八条，违法行为轻微并及时改正、没有造成危害后果的应当不予处罚，初次违法且危害后果轻微并及时改正的可以不予处罚；依第十九条，主动消除或者减轻违法行为危害后果的应当从轻或者减轻处罚。是否适用，由监管部门结合个案事实依法裁量。

六、结语

运动App被查处一案的规范意义，在于把“所必需”这一要件的判断落到了具体类目上：国家层面的必要个人信息范围已为三十九类App逐类列明，其中运动健身类的基本功能服务无须个人信息即可使用。处理者对权限的索取，应当以功能本身的客观需要为基准，而非以自身对信息价值或者风险控制的需要为基准。“防止作弊”可以是一项技术安排的理由，但不能成为强制索取权限的依据。

【免责声明】本内容仅为通用法律科普，不构成针对个案的正式法律咨询与诉讼建议；具体案件需结合事实、证据及本地司法实践判断，建议线下携带材料咨询律师。