APP 超出必要范围、强制或捆绑收集与功能无关的个人信息，明确违法。我国已建立以《个人信息保护法》为核心、辅之以《网络安全法》《数据安全法》《消费者权益保护法》及工信部系列规范的个人信息保护体系，基本要求是"合法、正当、必要、最小化"。APP 若索要与提供服务无关的权限（如手电筒 APP 要通讯录、日历 APP 要地理位置、阅读软件要麦克风），或未经同意默认勾选、不授权就不让用，均属过度收集，既违反行政监管规定、面临通报下架与罚款，也构成对用户的民事侵权，用户可要求停止侵害、删除信息并索赔。
从法律依据看，《中华人民共和国个人信息保护法》第五条规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理；第六条规定，处理个人信息应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式，收集个人信息应当限于实现处理目的的最小范围，不得过度收集。第十三条规定处理个人信息应取得个人同意（或符合其他法定情形）；第十四条规定同意应由个人在充分知情前提下自愿、明确作出；第十五条规定个人有权撤回同意。第二十三条规定向其他处理者提供个人信息应告知接收方并取得单独同意。第六十九条规定个人信息侵权适用举证责任倒置，由处理者自证无过错。《中华人民共和国网络安全法》第四十一条要求网络运营者收集、使用个人信息遵循合法、正当、必要原则，公开规则，明示目的、方式和范围并经被收集者同意；第四十二条禁止泄露、篡改、毁损个人信息，未经同意不得向他人提供。第四十四条规定任何个人和组织不得窃取或以其他非法方式获取个人信息。此外，国家网信办、工信部等制定有《常见类型移动互联网应用程序必要个人信息范围规定》，逐项列举了各类 APP 的"必要信息"清单（如地图类需位置、支付类需账户，但均不含无关权限），超出清单即属违规；工信部还对违规收集、超范围收集、频繁索权、不给权限不让用等行为常态化通报下架。
实务中用户维权可分四步。第一步，识别过度收集：对照《常见类型移动互联网应用程序必要个人信息范围规定》判断该 APP 索要的权限是否与其核心功能匹配；典型红线包括：非功能必需的通讯录、相册、位置、麦克风、摄像头强制索取；首次打开即一次性索要全部权限；以"体验优化""风控"等模糊理由扩大收集；不授权就拒绝提供基本服务。第二步，在 APP 内自救：进入设置关闭非必要权限、撤回授权同意（个人信息保护法第十五条），使用系统级权限管理（如仅在使用中允许）限制后台获取；向 APP 投诉并要求删除已收集的多余信息。第三步，向监管部门举报：通过 APP 违法违规收集使用个人信息专项治理举报渠道（如 12321 网络不良信息举报、全国 12315 平台、网信办违法和不良信息举报中心）反映，提供截图证据；情节严重的，工信部和地方通信管理局可责令整改、通报、下架。第四步，民事索赔：依《民法典》第一百一十一条、第一千零三十四条及《个人信息保护法》第六十九条，对造成损害的提起侵权之诉，主张停止侵害、删除信息、赔礼道歉及赔偿（含维权合理支出）；因举证责任倒置，由 APP 运营方证明自己合规，用户举证负担相对减轻。
风险提示：其一，个人信息保护法第六十九条的举证责任倒置仅适用于"损害赔偿责任"环节，用户仍需先证明 APP 确有超范围收集行为（如权限截图、隐私政策文本），日常保留这些证据很重要。其二，部分 APP 把权限包装进"用户协议""隐私政策"的冗长格式条款，依《民法典》第四百九十六条、第四百九十七条，若格式条款不合理免除其责任、加重用户责任、排除用户主要权利，可能被认定无效，不能据此主张用户"已同意"。其三，单纯"被多收了信息"若无实际损害，民事赔偿额可能有限，但行政举报仍能有效倒逼整改下架，是更现实的救济。其四，下载 APP 优先选正规应用商店、查看隐私政策与权限列表，安装时审慎授权，比事后维权成本更低。
补充说明，监管部门对 APP 违规收集已建立常态化通报机制，工信部每季度公布违规名单，用户举报后查实概率较高。用户在安装时应养成三看习惯：看隐私政策是否清晰、看权限申请是否必要、看注销是否便利；安装后通过系统权限管理限制后台获取。值得注意的是，部分 APP 将过度收集包装成提升体验、风控需要，依《个人信息保护法》这些是模糊理由，不能替代明确、合理目的与单独同意。保留权限申请截图与隐私政策文本，是后续投诉与诉讼的关键证据。若因过度收集造成骚扰或诈骗，还可一并主张财产与精神损害赔偿，举证责任倒置进一步减轻了用户的证明负担。
在维权策略上，用户可先通过系统权限管理关闭非必要授权，再以书面函要求 APP 删除多余信息；若 APP 以已勾选用户协议抗辩，应强调敏感信息须单独同意而非一揽子授权。对屡教不改的违规 APP，除向 12321、网信办举报外，也可依《个人信息保护法》第六十九条起诉，由运营方自证合规。需要提醒，卸载 APP 不等于删除云端数据，用户有权要求运营方依《个人信息保护法》第四十七条彻底删除，而非仅停止展示。发现超范围收集后宜尽早主张，拖延可能导致信息被反复用于画像与比对，损害扩大且取证变难，及时维权比事后补救更有价值。
还需强调，过度收集往往伴随信息滥用与泄露风险，用户在维权同时应主动收紧授权：定期在系统设置中复核各 APP 权限，收回不必要的通讯录、位置、麦克风访问；对长期不用的 APP 及时注销账号并要求删除数据。发现个人信息已被转卖或遭诈骗，应依前文路径同步举报与报案。监管对违规 APP 的通报下架已形成常态，用户积极举报既是维权也是推动行业合规的参与，积少成多方能倒逼企业落实最小必要原则。下载 APP 优先选正规应用商店、查看隐私政策与权限列表，安装时审慎授权，比事后维权成本更低、效果更直接。
【特别声明：本文仅供个人学习使用，不作为任何决策依据，任何人参考或采用本文或本文观点引发的任何后果由当事人自行承担！】
