【问题引入】
新装一个手电筒软件，启动就弹窗要读取通讯录。一个修图软件，要求开启精确定位，否则直接退出。一个本地记事本，反复索要相册权限，点拒绝就弹窗循环。为了用上软件，多数人最后都点了同意。
这种不给权限就用不了的强制索权，法律上站得住脚吗？拒绝授权以后，软件方能不能直接不提供服务？
结论不是一句"违法"或者"不违法"能概括的，界限其实很清楚：软件只能收集与其服务目的直接相关的必要信息；把它设成提供服务的前提，那它必须真的是实现该功能所必需；涉及行踪轨迹这类敏感个人信息，还要单独同意并说明必要性。捆绑索权、过度收集、拿拒绝授权当理由拒绝提供基础服务，都踩在个人信息保护法的红线上。
【法条原文】
原则性的两条，先立在这里：
- 《中华人民共和国个人信息保护法》第五条（2021-08-20，现行有效）：处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
- 《中华人民共和国个人信息保护法》第六条（2021-08-20，现行有效）：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。 收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
处理的合法性基础，和同意本身的质量：
- 《中华人民共和国个人信息保护法》第十三条（2021-08-20，现行有效）：符合下列情形之一的，个人信息处理者方可处理个人信息： （一）取得个人的同意； （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （三）为履行法定职责或者法定义务所必需； （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （七）法律、行政法规规定的其他情形。 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
- 《中华人民共和国个人信息保护法》第十六条（2021-08-20，现行有效）：个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
- 《中华人民共和国个人信息保护法》第十七条（2021-08-20，现行有效）：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项： （一）个人信息处理者的名称或者姓名和联系方式； （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限； （三）个人行使本法规定权利的方式和程序； （四）法律、行政法规规定应当告知的其他事项。 前款规定事项发生变更的，应当将变更部分告知个人。 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
敏感个人信息的门槛更高：
- 《中华人民共和国个人信息保护法》第二十八条（2021-08-20，现行有效）：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
- 《中华人民共和国个人信息保护法》第二十九条（2021-08-20，现行有效）：处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
- 《中华人民共和国个人信息保护法》第三十条（2021-08-20，现行有效）：个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。
出了事怎么举证、怎么算钱：
- 《中华人民共和国个人信息保护法》第六十九条（2021-08-20，现行有效）：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。
网安法的对应条款：
- 《中华人民共和国网络安全法》第四十三条（2025-10-28，现行有效）：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。 网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。
- 《中华人民共和国网络安全法》第四十四条（2025-10-28，现行有效）：网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。 网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
- 《中华人民共和国网络安全法》第四十五条（2025-10-28，现行有效）：个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息；发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正。
民法典人格权编的三条，是底层依据：
- 《中华人民共和国民法典》第一千零三十四条（2020-05-28，现行有效）：自然人的个人信息受法律保护。 个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。
- 《中华人民共和国民法典》第一千零三十五条（2020-05-28，现行有效）：处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件： （一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外； （二）公开处理信息的规则； （三）明示处理信息的目的、方式和范围； （四）不违反法律、行政法规的规定和双方的约定。 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
- 《中华人民共和国民法典》第一千零三十七条（2020-05-28，现行有效）：自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。 自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。
【深度理解】
判断强制索权是否合法，核心在最小必要。个保法第六条要求收集限于实现处理目的的最小范围、采取对个人权益影响最小的方式，网安法第四十三条进一步明确不得收集与其提供的服务无关的个人信息。判断标准不是软件自己说某项权限有用，而是这项信息与服务功能之间有没有直接关联。一个手电筒读通讯录，功能描述写得再冠冕堂皇，也很难解释成照明所必需；导航类应用请求定位，则是典型的功能必需。
看功能能不能自圆其说。
处理个人信息得有合法性基础。个保法第十三条列了同意、订立履行合同所必需、履行法定义务等七项情形，最常见的是取得个人同意。同意必须是基于真实意愿作出的，通过误导、欺诈、胁迫方式处理个人信息，第五条明确禁止。频繁弹窗、隐藏关闭入口、把拒绝按钮设计得极难找到，这些做法实质上侵蚀了同意的自愿性，与第五条的要求相冲突。
点了一百次"同意"，不代表真的同意。
以拒绝授权为由拒绝提供服务，只在必需时才允许。第十六条确立了原则与例外的关系：原则上不得因个人不同意或者撤回同意而拒绝提供产品或者服务，唯有处理该个人信息属于提供产品或者服务所必需时才例外。关键在"必需"的边界。一项权限对应核心功能、拒绝后确实无法运行，停止服务有其合理性；这项权限只服务于广告推送、用户画像、第三方共享这类附加目的，就不能拿它要挟用户，也不能因此阻断基础功能。
涉及敏感个人信息的，门槛更高。第二十八条把生物识别、行踪轨迹等列为敏感个人信息，只有在具有特定目的和充分必要性、采取严格保护措施的情形下才能处理。精确定位直接对应行踪轨迹，属于这一范畴；相册里包含可识别人脸的照片，也可能触及生物识别信息。对此类信息，第二十九条要求取得单独同意，不能混在一揽子隐私政策里一次性拿走；第三十条还要求额外告知处理敏感信息的必要性以及对个人权益的影响。一次弹窗打包索取通讯录、相册、定位多项权限，很难满足单独同意的要求。
知情权和后续救济都有依据。处理前，第十七条要求以显著方式、清晰易懂的语言真实准确完整地告知处理者身份、处理目的与方式、信息种类、保存期限以及个人行使权利的方式和程序。处理之后，个人并非只能被动接受：民法典第一千零三十七条给了查阅复制、异议更正与请求删除的权利，网安法第四十五条同样规定了删除与更正请求权。因违规处理造成损害的，个保法第六十九条采用过错推定，由处理者自证没有过错，赔偿数额按个人所受损失或者处理者所获利益确定，两者都难以确定时由法院根据实际情况酌定。
具体维权可以分层推进。先向应用运营者主张查阅复制、更正删除；拒绝整改的，向网信、工业和信息化、市场监督管理等部门举报投诉，也可以通过应用商店的合规渠道反映。涉及大规模违规收集、泄露的，还可能触发行政处罚。行踪轨迹、通讯录是否构成敏感个人信息，某项权限是否属于服务所必需，在不同场景下都有解释空间，个案结论要结合具体功能和使用方式判断。
【相关案例】
有人下载了一款本地图片编辑软件。安装后首次启动就弹出权限申请，一次要求开启精确定位、读取通讯录、访问相册，弹窗只有"允许"一个按钮，点拒绝软件直接退出，进不了主界面。为了用滤镜，只能点允许。此后发现该软件在后台持续上传定位数据。他向运营者发邮件，要求说明收集各项信息的目的、删除已收集的定位与通讯录数据，对方回复称隐私政策已作概括告知，拒绝删除。随后他向监管部门举报，并就停止侵害、删除信息、赔礼道歉提起诉讼。
争议焦点有三个。打包索取三项权限，符不符合最小必要与单独同意的要求；以拒绝授权即退出作为处理方式，能不能归入第十六条的必需例外；运营者的概括告知，能不能替代第十七条的具体告知义务。
分析起来并不复杂。编辑类软件读取通讯录，与其图片处理功能之间缺乏直接关联，难以认定为必需；精确定位落入行踪轨迹范畴，本应单独同意并额外说明必要性；拒绝即退出的设计，把非必需权限变相设成了核心功能的准入条件，与第十六条的原则相悖。
举证上按第六十九条的过错推定走，由运营者就其处理行为的必要性、同意取得的合法性承担证明责任。这一点对用户很关键——不需要自己证明对方"不需要通讯录"。
（本示例为说明性虚构情形，非真实案件）
【律师提醒】
安装应用时养三个习惯。看权限清单与功能是否匹配，手电筒要通讯录、闹钟要相册这类明显错配的，谨慎授权；优先用系统提供的"仅在使用中允许""模糊定位""仅允许访问选定照片"这些精细化选项，不用就关掉；定期在系统设置里复查已授权项，长期不用的应用撤回授权。
发现强制索权，先截图保存弹窗、权限页面和隐私政策版本，再向运营者提出查阅复制、删除请求，沟通记录留着。涉及敏感个人信息被违规收集、出现骚扰电话或者信息外泄迹象的，及时向网信、工信、市场监管等部门举报。
实务中，这两年工信部通报的问题里，超范围收集个人信息一直排在前面，被通报的应用多数是在"拒绝授权就退出"这一步上出的问题——这类设计很难解释成功能必需。
个案中某项权限是否属于服务所必需、某项信息是否构成敏感个人信息，都要结合具体功能判断，没有一刀切的答案。维权时把重点放在"这项权限和这个功能有没有关系"上，比笼统地说"侵犯隐私"有效。
【特别声明：本文仅供个人学习使用，不作为任何决策依据，任何人参考或采用本文或本文观点引发的任何后果由当事人自行承担！】
