装个手电筒要读通讯录，用个天气预报要开定位——App过度索权这件事，监管正在动真格。近日发布的个人信息保护年度工作报告显示：过去一年监管部门检测App数万款，对违规App下架、整改数百款，“不给权限就不给用”被明确列为重点打击行为。
报告划出的违规重点，几乎条条都戳中日常体验：一是”不同意就不能用”——拒绝授权某项权限就闪退、锁功能，这违反”最小必要”原则，用户有权拒绝与业务功能无关的授权；二是超范围收集——运动App读相册、工具类App要位置，收集范围与功能毫无关联；三是强制捆绑授权——一揽子勾选隐私政策，不给逐项选择的机会；四是”大数据杀熟”式滥用——同一商品老用户价格更高，属于利用个人信息进行差别待遇，已被明确定性为违规。
法律依据是2021年施行的《个人信息保护法》：处理个人信息应当有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小的方式；敏感个人信息（生物识别、行踪轨迹、金融账户、医疗健康、未成年人信息）需要单独同意；用户有权撤回同意、要求删除， App必须提供便捷的撤回渠道。
作为普通用户，遇到索权侵权可以怎么做？第一，用手机系统管权限：iOS/安卓的权限管理都能按App逐项关闭，”仅使用期间允许”是性价比最高的设置；第二，平台投诉渠道：违规App可在应用商店举报，或通过12321网络不良信息举报平台、属地网信部门投诉，报告显示投诉后处理率并不低；第三，民事救济：因个人信息被滥用造成损害的，可以主张侵权责任——个保法还设立了举证责任倒置（由处理者证明自己没有过错）和公益诉讼制度，个人维权门槛实际在降低。
对企业端，合规要求已经从”有隐私政策”升级为”全流程合规”：收集前告知目的方式范围、敏感信息单独同意、数据分类分级、委托处理协议、出境安全评估。实务中，App上架前的合规检测（权限声明与功能匹配度、隐私政策文本、SDK清单）成了必备动作，不少企业通过律师服务平台购买”App隐私合规体检”按次服务，把上架前的风险清掉——一次下架整改的损失，远超合规审查的费用。
可以预期的趋势是：个人信息的执法会像当年的环保督察一样常态化，”先用再改”的侥幸空间归零。对用户来说，权利意识配上系统权限开关，就已经能挡住八成的过度索权；对开发者来说，合规不再是法务部的文档作业，而是产品设计的起跑线。
