小程序和开放平台之间的合规性

　　为了遵守《个人信息保护法》、《信息安全技术、个人信息安全规范》等法律法规和国家标准的要求，主流小程序开放平台逐步升级其个人信息保护管理策略，以履行其管理职责，对其在生态中的应用(包括小程序)收集用户个人信息提出了严格要求，包括：

　　1.要求开发者采取合理措施，在开发者相关服务协议中保护用户个人信息;

　　2.对需要获取用户个人信息的小程序实施更严格的准入审核机制;

　　3.将用户的授权同意作为小程序调用接口获取个人信息的前提;

　　4.限制小程序获取某些类型用户的个人信息。例如，提供小程序获取生物认证信息的接口，限制小程序获取用户个人信息的频率;

　　5.在处理用户个人信息时，要求小程序开发人员采取一定的安全措施(如加密等);

　　6.要求小程序开发人员配置隐私协议(开放平台将为小程序开发人员提供隐私协议模板)，选择需要申请的权限等。

　　鉴于开放平台对小程序收集用户个人信息的合规要求，个人开发人员认为，只要遵循开放平台的规则，他们就已经履行了个人信息保护的合规义务。但是，遵循开放平台制定的个人信息处理规范，只能防止小程序运营商免受开放平台的处罚，不能证明他们已经全面有效地履行了个人信息保护的合规义务。

　　目前，开放平台提供的隐私协议模板通常相对简单，只需要小程序运营商根据小程序中相应的业务场景披露收集的信息和用途。然而，许多小程序运营商倾向于通过小程序收集用户的个人信息和其他渠道(例如APP，线下渠道)收集的个人信息收集、整合、建模分析等。

　　如果用户未在小程序的隐私协议和其他文件中通知用户并获得用户同意，则上述相关信息处理行为也缺乏法律依据。小程序运营商应根据小程序处理个人信息的实际情况，起草隐私政策。以小程序为核心操作工具的运营商应更加关注其个人信息处理行为整个生命周期的合规性。