北京某AI头像App未在隐私政策中明确告知后台收集个人信息案（海淀法院，2024年3月）

【案件背景】
某科技公司开发运营一款AI头像生成App，宣称可将用户照片转换为各类艺术风格头像。该App在应用商店上架后获得大量下载，但其隐私政策仅笼统声明收集'设备信息和日志信息'用于'改善服务体验'，并未明确告知用户App会在后台模式下持续收集应用安装列表、通讯录、精准位置等与AI头像生成功能无直接关联的个人信息，也未说明这些数据将被传输至第三方广告平台用于程序化广告投放和用户画像构建。

【违法事实】
经北京市海淀区人民检察院在公益诉讼调查中通过沙箱环境模拟用户操作并进行抓包分析发现：（1）App隐私政策未完整列明后台收集的个人信息种类、目的和方式，违反《个人信息保护法》第17条规定的告知义务；（2）收集的应用安装列表、通讯录、精准位置等信息与其'AI头像生成'核心功能无直接关联，违反必要原则；（3）收集的个人信息实际被传输至多家第三方广告SDK用于商业营销，但隐私政策中未作任何披露。App的隐私政策使用大量专业术语和法律性表述，普通用户难以理解其真实数据处理范围。

【处罚决定】
2024年3月，北京市海淀区人民法院作出判决：（1）责令该公司立即删除违法收集的全部个人信息；（2）依据《个人信息保护法》第66条处行政罚款80万元（以违法所得为基准计算）；（3）支持检察机关民事公益诉讼请求，判令公司在国家级媒体刊登道歉声明，支付损害赔偿金20万元用于个人信息保护公益事业；（4）要求公司在6个月内完成全面合规整改，包括重构权限申请机制、聘请独立第三方进行隐私审计、建立数据保护官制度。

【典型意义】
本案是'隐私保护优先'（Privacy by Design）理念在司法实践中的重要体现。法院明确指出，'科技企业不能以技术创新之名，行侵权之实'。企业必须在产品开发初期就将隐私保护措施嵌入设计，而非事后补救。隐私政策须以清晰易懂的语言真实、准确、完整地告知用户所有数据收集行为——包括后台收集和向第三方共享行为，这是《个人信息保护法》第17条告知义务的核心要求。对于普遍存在的'一边声明、一边违规'的行业乱象，本案确立了通过技术手段（沙箱环境+抓包分析）取证的有效范式，为后续类案办理提供了重要参考。