对于《规定》中39类的互联网应用程序（APP）必要个人信息范围，我们从APP类型、基本功能、信息范围、相关APP等几方面以表格形式明晰并做以下解读：

在《规定》所列的39类APP中大致可以分为两大类，一类是需要APP用户提供特定必要个人信息方可实现相应基本功能的APP，另一类是无需APP用户提供任何个人信息即可实现相应基本功能的APP。

对于前述《规定》，APP运营方需要知悉的是，基于必要的原则，仅在明示的范围内收集必要的个人信息，是一条红线。然而，何为“必要”，在实践中必然因为具体情况，具体需求的不同而有不同的界定，更会因为立场的差别，尤其是收集方和提供方冲突的立场，而存在不同的解读。

必要个人信息范围规定的意图就是尽可能在问题最突出的互联网领域，尤其是移动互联网领域，为常见场景划定收集个人信息的边界，压缩信息收集者自由解释的空间，规范个人信息收集行为，强化执法力度，减少争议空间。

当然，必要个人信息范围规定不可能穷尽所有状况，必然有大量场景超出列举的39种场景，而且APP亦不会是唯一的大量收集个人信息的工具。因此，对必要个人信息范围规定所确立的尺度、标准，所体现的主管部门的观点，也将是在其他场景、其他空间或平台，执法机关执法尺度的参考。

【关于非基本功能】

如以上分析，每一类APP的基本功能已经明确，此范围外的功能即为非基本功能。当前很多APP都呈现综合化趋势，以便增加用户粘性和商业价值。那么，具有多个功能的APP如何划定类别？目前此必要个人信息范围规定中尚无明确的规定，有待进一步解释或其他法规的补充。

仅立足于当前的规定，一款APP需要定义一个主要的类别，以便界定其“基本功能”，其他的多个功能将均属于非基本功能。进而，每一种“非基本功能”本身，又可以参考此必要个人信息范围规定，对每一种“非基本功能”的基本功能进行界定，进而确定对应的可收集的必要个人信息范围。

根据以上理解，假设，一个主营业务为演出票务类的网络运营商，需要开发一款新的APP，而除了本身的演出购票功能外又需要包含二手闲置物品交易、旅游服务等功能。那么，消费者用户必须同意的授权仅限于（1）注册用户移动电话号码；（2）观演场次、座位号（如有）；（3）支付时间、支付金额、支付渠道等支付信息。该APP必须为消费者用户开通演出购票功能。其他功能所需的个人信息需要作区分，消费者可以拒绝提供。在此情况下，APP的运营商仅能关闭旅游服务功能，仍不得拒绝提供二手闲置物品交易功能，因为该功能所需的必要个人信息仅为注册用户移动电话号码，已包含在演出票务类APP的必要个人信息范围内。

【关于非必要个人信息】

根据《网络安全法》和必要个人信息范围规定，“非必要个人信息”与“必要个人信息”一样，是一种相对概念，其外延是动态的。在一种情况下的非必要个人信息，在另一种情况下可能变为必要个人信息，其依据将是服务的基本功能。

按此原则，一款APP可以要求消费者用户许可的最大的可收集个人信息范围将对应APP所有功能所对应的必要个人信息之和，在此之外的个人信息，将因为不符合网安法第四十一条的规定而不得收集。（“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则……网络运营者不得收集与其提供的服务无关的个人信息……”）

【关于此前已经收集的超出“必要范围”的个人信息】

在必要个人信息范围规定生效前已经收集的，超出了必要个人信息范围规定所确定的范围的信息，应如何处理？目前尚无清晰的规定。

从一种角度看，当时若已经获得用户的授权，用户收集者已经合法收集了此类信息，未来不可继续收集，则不再收集即可。已收集的信息应可以根据当时的授权继续使用。

然而，从另一种更谨慎的视角来看，超出必要个人信息范围规定的个人信息事实上属于不得收集的信息，与消费者授权与否无关。按法不溯及既往的原则，即便不追究过去的收集行为（对必要的范围有争议，理解不一致等等），但是，必要个人信息范围规定生效后，由于该等信息的性质已经发生了变化，继续使用和传输有可能在未来引起法律风险。因此，这一问题需要继续加以研究和关注。

关于突发应急事件中信息管理制度的思考

何需以保护个人信息之名——快评“中国人脸识别第一案”

疫情防控与个人信息保护