不同意隐私政策就退出APP、想拍照就得给通讯录权限、关了推送第二天又弹窗要授权——这些让用户烦透了的操作，在网络数据安全管理条例里不再是「体验差」的问题，而是被第22条逐项点名的违法情形。条例2025年1月1日起施行，把个人信息保护法里原则性的同意规则细化成六条可执行的红线，运营者每一条都可能被罚。很多人搜「APP违规收集个人信息有哪些情形」「不同意授权就不让用违法吗」「频繁弹窗要同意怎么办」，这篇按第22条原文把六条红线逐个讲透，运营者拿来自查，用户拿来对号入座。
先看这三个要点
- 必需才能收：第22条第一项明确收集个人信息以提供产品或服务所必需为限，不得通过误导、欺诈、胁迫方式取得同意——要什么权限提供什么功能，一揽子打包授权到此为止。
- 敏感信息要单独同意：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹六类敏感个人信息，必须单项单独勾选，混在隐私政策里一次勾掉不算数。
- 变更要重新同意、拒绝不能烦：处理目的方式种类一变就要重新取得同意；用户明确拒绝后频繁征求同意，本身也是违规情形。
一、条文原文
- 第二十二条 网络数据处理者基于个人同意处理个人信息的，应当遵守下列规定：
- （一）收集个人信息为提供产品或者服务所必需，不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得个人同意；
- （二）处理生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的，应当取得个人的单独同意；
- （三）处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意；
- （四）不得超出个人同意的个人信息处理目的、方式、种类、保存期限处理个人信息；
- （五）不得在个人明确表示不同意处理其个人信息后，频繁征求同意；
- （六）个人信息的处理目的、方式、种类发生变更的，应当重新取得个人同意。
- 法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
二、红线要件对照
| 要件·违规情形 | 条文依据 | 典型表现 |
|---|---|---|
| 必要性 | 第二十二条第一项 | 手电筒要通讯录、不勾全选不给用 |
| 取得方式 | 第二十二条第一项 | 默认勾选、字小到看不清、不同意就闪退 |
| 单独同意 | 第二十二条第二项 | 人脸、轨迹、健康数据混在通用政策里一次授权 |
| 监护人同意 | 第二十二条第三项 | 儿童手表、教育APP直接向孩子收集不问家长 |
| 范围期限 | 第二十二条第四项 | 同意了注册目的却拿去做画像营销、超期留存 |
| 骚扰式征求 | 第二十二条第五项 | 拒绝后每次启动都弹窗、一天弹三次 |
| 变更同意 | 第二十二条第六项 | 政策改版悄悄生效、旧用户被动接受新用途 |
三、六条红线，条条有场景
红线一：必要性原则管住「要多了」。第22条第一项的「必需」判断有个实用标尺：不给这个权限，核心功能还能不能跑起来。地图APP要位置是必需；新闻APP要位置就不是——不看位置照样刷新闻，这种收集就是超范围。现在的违规进化了形态：不给权限不启动（胁迫）、把拒绝按钮做得极小极淡（误导）、用「拒绝后将无法获得最佳体验」暗示功能残缺（欺诈变体）。条例把误导、欺诈、胁迫三种取得方式并列写进同款，执法时按取得时的界面和话术取证。
红线二：单独同意管住「打包卖」。第62条第七项给单独同意下了定义：针对特定处理而专门作出具体、明确的同意。落到交互设计上，敏感信息要有独立的弹窗、独立的勾选项、独立的撤回入口。实践中最常见的翻车是把人脸识别授权埋在「用户协议和隐私政策」的同意按钮里——用户点一次同意，生物识别、行踪轨迹全被授权，这在条例下明确不合规。医疗类APP收健康数据、金融类APP收账户数据、出行类APP收轨迹数据，都要逐项单独设卡。
红线三：儿童数据必须问家长。处理不满十四周岁未成年人信息要取得父母或其他监护人同意，配套第21条第二款还要制定专门的未成年人处理规则。儿童手表、在线教育、游戏产品是这个条款的高发区——向孩子本人要同意等于没要，年龄门槛的核验机制（生日年龄自报加合理怀疑机制）是产品必须补的课。
红线四：同意的范围就是使用的边界。用户同意的目的是注册、方式是APP收集、种类是基础资料、期限是两年——那拿这批数据做广告画像、共享给第三方、存上五年，每一项都超出了同意范围。第22条第四项把「目的、方式、种类、保存期限」四个维度并列，任何一个维度越界都算超范围处理。这条和第21条的告知清单是一体两面：清单写多细，边界就画多清。
红线五和红线六：拒绝的自由和变更的重新同意。用户明确说不之后频繁弹窗，是把「不同意权」架空的老手法；条例直接把它列为违规情形，频率的判断不复杂——拒绝后每次启动都弹，基本就是违规。处理目的方式种类变更则要求重新走一遍同意流程，且新同意没拿到之前只能按旧范围处理。这两条合起来给用户一个完整保障：说不的权利贯穿始终，说过的同意不自动续期。
这条规则的边界
- 第22条管的是「基于个人同意」的处理。个保法第13条规定的合同必需、法定义务、公共卫生应急等其他合法性基础不适用本条，但那几种情形的举证责任在处理者，别拿「有其他依据」当超范围收集的挡箭牌。
- 「必需」的判断以功能为准，不以商业利益为准。推送营销能带来收入不是收集手机号的必需理由；准确率提升、体验优化也不是。拿不准时宁可少收。
- 单独同意针对的是敏感信息的「特定处理」。同一敏感信息出于不同目的的多次处理，原则上需要各自的单独同意，但用户主动行使功能（如主动刷脸登录）隐含的同意范围以该功能为限。
- 执法有梯度。第55条规定违反第22条的，先责令改正、警告、没收违法所得，拒不改正或情节严重才升级到100万元以下罚款和停业整顿——改正及时、态度配合，是中小运营者把损失停在警告档的关键。
四、常见疑问快答
用户不同意非必需的权限，我能限制他使用部分功能吗？**
可以只对依赖该权限的功能做限制，但不能反向捆绑——不给他用与该权限无关的核心功能。比如不给相册权限可以不让用图片上传，但不能因此锁死商品浏览和下单。
用户注册时同意过收集位置，现在想拿位置做个性化推荐，直接更新隐私政策行吗？**
不行。目的变了就触发第22条第六项，要重新取得同意，且推荐功能在新同意前不能对老用户开启。「继续使用视为同意」的条款在执法口径里无效。
我是用户，发现APP超范围收集，能要求删掉吗？**
能。第23条要求提供便捷的删除、注销途径，删除权针对超范围和未经同意收集的信息；协商不成可以向网信、工信部门投诉举报，站内《App违规收集个人信息去哪投诉》专门讲了渠道和下架机制。
五、实操建议
- 做一次权限与功能的映射表：每个权限对应哪个功能、是不是必需、在哪个环节申请，第22条第一项的自查全靠这张表；
- 敏感信息单独设卡：人脸、位置轨迹、健康、金融账户四类高频敏感信息，逐项独立弹窗加独立撤回入口，留取单独同意的日志证据；
- 建立同意版本库：每次政策改版存档版本号、生效时间和用户同意记录，第22条第六项的重新同意有据可查；
- 给拒绝设冷却机制：用户拒绝后设定合理间隔（如本次会话不再弹），既守住红线五，也降低投诉率。
站内《App过度收集个人信息：怎么用删除权和注销权让App放手》从用户维权角度展开，与本篇的运营者自查互补；《经营者收集消费者个人信息，哪些做法被明令禁止》按消费者保护法角度做了梳理，可对照查看不同法律下的一致红线。
相关阅读
一句话总结：第22条把APP收集个人信息的六种老套路逐条写成违法情形——必需才收、单独同意、问过家长、不超范围、不烦拒绝者、变更重新问，运营者按表自查，比等通报下架便宜得多。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体产品合规设计请结合功能形态，咨询执业律师后处理。