南京某科技公司APP超范围收集个人信息案

【案件背景】
2025年，江苏省网信办在全省范围内持续开展App违法违规收集使用个人信息专项治理行动。在对一批下载量大、用户活跃度高的App进行技术检测和合规审查过程中，发现南京某科技公司运营的多款生活服务类App存在严重的违法违规收集使用个人信息问题，随即立案调查。

【违法事实】
经技术取证和调查核实，该科技公司的App存在以下主要违法行为：
1. 强制索权与捆绑授权：App在首次启动时即弹窗要求获取用户精确位置信息（GPS经纬度），并以不授权则无法使用基本功能的方式拒绝为用户提供拒绝选项，构成强制收集个人信息；
2. 超范围收集敏感信息：未经用户知情同意，在后台自动读取用户手机相册中的图片，用于图片识别和分析比对功能，该功能并非App核心服务所必需；
3. 数据跨境传输未告知：用户个人信息被存储于境外第三方云服务平台（位于美国的AWS服务器），但App的隐私政策中对此只字未提，用户完全不知道其个人数据被传输至境外；
4. 隐私政策不够清晰：隐私政策文本使用了大量专业术语和冗长的法律表述，普通用户难以理解其个人信息将被如何处理、用于何种目的、是否会被共享给第三方等关键信息；
5. 未提供有效的撤回同意机制：用户无法在App内便捷地撤回已授予的权限授权，撤回同意需通过复杂的客服流程。

【处罚依据】
《个人信息保护法》第十三条至第十七条（告知同意规则）、第六条（目的限制与最小必要原则）、第三十八条至第四十条（跨境传输规则）。

【处罚决定】
江苏省网信办依法对该公司作出警告、责令限期改正的行政处罚，要求企业在30日内完成全面整改，将App下架整改直至合规审核通过后方可恢复上架。

【典型意义】
该案反映了地方网信部门在App专项治理中的常态化执法实践。案件涉及三个典型合规问题：最小必要原则的违反、敏感权限的强制索取、以及跨境数据传输的不透明。尤其是数据存储在境外云平台却未告知用户的情形，在中小企业中较为常见但风险极高。