《網絡安全法》執法情況討論分析：我國首部保障網絡空間安全的基本法——《網絡安全法》正式施行三月有餘，期間，各地網信辦及公安部門以此為依據加強對相關案件的執法，全國各地紛紛湧現行政執法“第一案”。本期內容旨在對執法情況和相關案例進行分析、解讀，從中發現共性，對《網絡安全法》與現行法律法規之間的有效銜接以及在實際執法過程中的適用性問題進行討論。
7月末中央網信辦、工信部、公安部、國傢標準委等四部門聯合啟動“個人信息保護提升行動”，行動的首期確定為“隱私條款專項工作”。8月24日，四部門組成的專傢工作組結束對首批10款網絡產品和服務的隱私條款評審。首批被評審的網絡產品和服務為：京東商城、航旅縱橫、滴滴出行、攜程網、淘寶、高德地圖、新浪微博、支付寶、騰訊微信、百度地圖。評審重點包括三方面：“隱私條款內容、展示方式和征得用戶同意方式”。
在評審之後，多傢媒體和不少專傢關註到瞭這10款產品和服務在隱私條款方面的改變，發表瞭中肯的評論和觀點，說明四部門在《網絡安全法》生效後開展的“隱私條款專項工作”引發瞭社會方方面面對個人信息保護的關註，也從側面體現瞭6月1日以後民眾對國傢機關保護個人信息有瞭更高的期待和需求。借著“隱私條款專項工作”的開展，筆者與大傢分享一些個人思考。
一、隱私條款的內涵
從最廣泛的意義上來說，隱私條款是網絡運營者對其所開展的收集、保存、使用、共享、轉讓等個人信息處理行為的說明。因此，隱私條款完成的是“告知”（notice）這個動作。
在中外實踐中，產品和服務主要是通過隱私政策（privacy policy）或者在服務協議中加入關於個人信息的條款（privacy clauses）來完成告知。隱私政策文本或服務協議中的個人信息條款通常篇幅較長，其作用在於完整、清晰地描述產品和服務收集、保存、使用、對外提供個人信息的行為。在此有必要說明，之所以稱為隱私政策而不是個人信息政策，主要是尊重國內外行業中約定俗成的叫法，其針對的還是個人信息而非個人隱私。
除此之外，產品和服務還可以通過其他形式完成告知：一是增強式告知（enhanced notice），即註冊賬號，或安裝程序，或首次使用時向用戶展示的關於個人信息的提示。其並非隱私政策，但濃縮瞭隱私政策的核心內容，或突出展示瞭用戶最關心的信息，例如收集瞭哪些個人信息，這些信息將會提供給誰等。很多時候，在增強式告知中包含瞭指向完整的隱私政策文本的鏈接。這樣做的好處就是，即便用戶沒有閱讀隱私政策文本，但是通過增強式告知，能夠瞭解到隱私政策的關鍵核心內容，瞭解到風險較高的個人信息處理行為。二是即時提示（just-in-time notice），即在用戶使用過程中即時展示的關於具體個人信息處理行為的提示。其往往用於針對個人敏感信息的二次授權（在對隱私政策）前的告知。個人敏感信息是指一旦泄露、非法提供或濫用可能危害人身和財產安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息。這些個人敏感信息在收集、使用或者向他人提供（包括共享、轉讓、公開披露）前，需要再一次提醒用戶，因為這樣的信息處理對用戶有著重大影響。從用戶角度出發，對個人敏感信息的處理行為，不應該僅僅埋沒於隱私政策的文字中，而是應該突出、凸顯出來，征得用戶的同意。
與國外單一功能類的互聯網應用相比，我國平臺式的互聯網應用較多。平臺式的應用必然要集合很多其他功能。這些功能可能會遵守同一份隱私政策，也可能各自有一些特殊規定。因此，在用戶點開這些附加功能的時候，產品和服務的提供者可能還會提供一次單獨告知，有針對性地告知用戶，這個附加功能將對個人信息做出那些與平臺應用的隱私政策不同的處理。
由此可見，隱私條款實際上包含瞭產品和服務提供的上述各種形式告知（以及本短文沒有提及的其他形式）的一種或多種組合。
二、隱私條款的公開要求
在《網絡安全法》中，對隱私條款最直接的要求是第41條第一款：“網絡運營者收集、使用個人信息，應當 公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，並經被收集者同意。”總結起來，就是公開、明示、同意三個具體要求，餘文逐一討論。
在筆者看來，公開收集、使用個人信息的規則，有利於用戶瞭解產品和服務個人信息處理行為的實質；更重要的是，對監管機構來說，產品和服務公開收集、使用個人信息的規則，是加強個人信息監管的有力抓手；從社會監督角度來看，公開收集、使用規則是形成公眾、輿論壓力的最佳切入路徑。下面以歐美個人信息保護部門對谷歌和臉書公司的兩次執法事件為例說明。
2012年3月，谷歌把涉及其旗下產品和服務的70餘項隱私政策合並為一個文本。包括英國、荷蘭、西班牙、法國、意大利等國在內的個人信息保護部門對此各自開展獨立調查。這些部門得出的一致結論是：合並後的隱私政策文本沒能清晰地告知谷歌出於哪些目的分別收集瞭哪些信息，將和誰共享上述信息。例如，荷蘭個人信息保護官在命令中指出：谷歌在其隱私政策中“沒能清晰、充分、具體地界定其收集個人信息的目的，因此違反瞭荷蘭數據保護法第7條關於應出於具體、正當的目的而收集個人信息的要求”，谷歌應於2015年2月前修改隱私政策，否則將面臨1500萬歐元的罰款。英國個人信息保護官則認定，谷歌在其隱私政策中對其使用個人信息的規則描述過於“模糊”，因此要求其在2015年6月30日前整改完畢。意大利、法國、西班牙則直接對其處以罰款，並給出整改期限。
2010年，美國民間組織“電子隱私信息中心”（EPIC）將臉書公司個人信息收集、處理行為與其隱私政策描述不符一事，向美國聯邦貿易委員會（FTC）投訴。EPIC聲稱，臉書公司未事先獲得用戶同意向其合作夥伴共享用戶個人信息；共享瞭用戶設置為限制訪問的個人信息；公開瞭用戶限定瞭隻限朋友可見的個人信息等，違背瞭臉書在隱私政策上所做的承諾。FTC隨後開展調查並最終要求臉書更正其隱私政策，並在接下來的20年裡要定期聘請獨立第三方對其個人信息處理行為開展評估。
從上述兩個執法和社會監督案例來看，雖然隱私政策文本冗長而經常被詬病，但是長文本的好處在於能做到詳細、完整、清晰，而且隱私政策公開以後，讀者並非僅僅是用戶而已，還包括監管部門、學者、記者、消費者保護團體等，因此不應一味要求隱私政策文本簡短、簡練，畢竟其還承擔瞭許多其他角色。
三、隱私條款的明示要求
《網絡安全法》要求“明示收集、使用信息的目的、方式和范圍”，後面緊跟著“並經被收集者同意”。因此可以認為，明示這個要求主要服務於用戶，用戶要做出授權同意的前提當然應該是知道自己“同意瞭什麼”；進一步來說，明示還可以理解為要求產品和服務在告知時提供的信息，應當在用戶所處的具體場景（current context）中有著直接的相關性（direct relevance），以幫助用戶在做出具體決定前，能夠充分考慮對其個人信息的具體影響。
從這個角度出發，僅僅通過冗長的隱私政策或者服務協議來告知完成明示這個要求，顯然存在巨大的缺陷。隱私政策提供的是個人信息處理規則的全集，其包含的許多內容在用戶瀏覽、註冊、支付時並非直接相關，對用戶做出具體動作來說屬於冗餘信息。因此不加區分地向用戶展現和灌輸，隻會造成用戶認知和選擇上的疲倦。
如前文所述，產品和服務完成明示要求，事實上可以綜合采用多種告知的形式，創造性地對“增強式告知”、“即時提示”、對附加功能的“單獨告知”等進行組合。具體來說，在進行上述行為以滿足明示要求時，產品和服務可考慮以下因素：
一是場景和時機。充分考慮用戶在不同使用場景中最需要的信息：例如某些產品和服務無須要求用戶註冊賬戶也能夠使用，則當用戶首次打開應用時，隻需通過“即時提示”向用戶展示純粹瀏覽時需要收集的信息，同時可提供指向隱私政策文本的鏈接以供感興趣的用戶進一步查閱。在用戶決定註冊賬戶時，可以通過“增強式告知”展示濃縮後的隱私政策核心內容（如新華社報道中指出的“用一圖讀懂的形式告知用戶提供哪些服務對應要采集哪些信息”），同時要求用戶同意隱私政策文本。
二是用戶的合理期待，即在明示時充分考慮對用戶來說可能出乎其意料的個人信息處理，或者根據個人信息處理對用戶合法權益造成的風險大小來排列展示信息的順序。例如，許多平臺式的應用集成瞭其關聯公司或第三方的服務，用戶在打開這些服務時可能並不清楚自己正在向不同的網絡運營者提供個人信息，此時就需要采用對附加功能的“單獨告知”、“即時提示”等形式來提醒用戶。
此外，產品和服務還可用聲音、震動等提示方式作為對文字展示的補充。例如在進入集成瞭特定傳感器的環境，手機上與該傳感器相匹配的應用可以發起震動或者調用閃爍功能來提醒用戶，達到明示的效果。
總結起來，前文敘述的隱私條款的公開要求，面向的是多個對象。而此節的明示要求，則主要針對用戶，最核心的考核標準是用戶是否對某個場景或操作中涉及的個人信息處理行為明明白白。許多企業對外宣稱“以用戶為中心”，那就必須在明示時，多發揮一點創造性，讓用戶真切地感受到產品和服務的真誠和溫度。更多隱私解讀：www.yangfenzi.com/tag/yinsi
四、隱私條款的同意要求
“經被收集者同意”事實上可以分兩個層次來理解：首先，選擇同意應當是用戶清晰的自主意思表達，具體來說就是用戶通過書面聲明或主動做出肯定性動作，對其個人信息進行特定處理做出明確授權的行為。例如用戶主動做出聲明（電子或紙質形式）、主動勾選、主動點擊“同意”、“下一步”、“註冊”、“發送”、“撥打”等視為肯定性動作。其次，應當避免存在一攬子協議強迫用戶同意，例如天氣預報軟件強制收集用戶通信錄信息，否則無法使用，此舉事實上剝奪瞭用戶的選擇權利。
對於前者來說，用戶註冊時彈出“增強式告知”時的選擇同意，附加功能開啟時彈出“單獨告知”時的選擇同意或主動填寫提供個人信息、個人敏感信息采集在業務場景中即時彈框同意，附加功能采集個人敏感信息逐項選擇同意，在線撤回同意，在線註銷賬戶等等，都是尊重用戶自主意思表達的具體做法。
對於後者，理想的狀態是產品和服務在設計、開發階段就考慮到個人信息與實現功能之間一一對應的關系；然後提供控制面板，允許用戶逐項選擇同意收集、使用的個人信息類型；在用戶選擇完畢後，得出產品和服務可以實現的功能集合；用戶可隨時在控制面板做出或撤回同意。但由於通過設計保護隱私（privacy by design）的理念尚未大規模成為業界的實踐，現階段大部分的中外網絡產品和服務均無法達到上述的理想狀態，因此一個折中的辦法就是要求產品和服務劃分出核心功能和附加功能。
對於核心功能，產品和服務應向用戶告知所提供的核心業務功能及所必需收集的個人信息，並明確告知拒絕提供或拒絕同意將帶來的影響。例如提供實時導航服務的軟件，用戶不提供位置信息則無法完成服務。
但對於附加功能，啟用前應向用戶逐一說明個人信息為完成何種附加功能所必需，並允許用戶逐項選擇是否提供或同意自動采集。當用戶拒絕時，可不提供相應的附加功能，但不應以此為理由停止提供核心業務功能，並應保障相應的服務質量。例如提供實時導航服務的軟件，還提供附近的餐飲或住宿預訂服務，就屬於附加功能，用戶有權拒絕使用且仍能夠享受導航服務。
應當說明的是，為完整、清晰、詳細地展示產品和服務關於個人信息處理行為的全貌，隱私政策文本需要同時囊括核心功能和附加功能收集、使用個人信息的規則，用戶點擊同意其實並不意味著一攬子對核心功能、附加功能提供瞭一次性的授權同意。相反，附加功能的使用還需要用戶主動觸發，例如主動點擊同意，或主動填寫相關的個人信息。所以，不宜將此情形中產品和服務要求點擊同意隱私政策視為“綁架用戶”。畢竟對於附加功能的開啟及所需要的個人信息，用戶在實際使用中還是能夠行使選擇權的。
五、堅持管控個人信息收集環節
提升隱私條款，實質是加強個人信息收集環節的管控，堅持數據最小化原則（data minimization principle）。而在大數據、萬物互聯、人工智能的時代，國內外均有專傢提出，應當放棄對個人信息收集環節的管控，放棄數據最小化原則，轉而專註規范使用環節。從這個角度出發，四部門開展的“隱私條款專項工作”沒能抓住個人信息保護問題的關鍵，甚至註定是吃力不討好的。
這樣的觀點值得商榷。首先，告知是各國現行法律和國際權威框架的基本要求，例如OECD的隱私保護框架、歐盟2018年將生效的《通用數據保護條例》、美國聯邦貿易委員會的執法準則、美國金融行業的“格雷姆-裡奇-比利雷法”等，可以說國際主流做法對個人信息的保護，都是從收集環節就開始著手的。
其次，在現階段確實有越來越多的個人信息被越來越多的組織以越來越多的方式、途徑所收集，但這就意味著收集這個環節就應該放棄控制？這是典型的技術邏輯至上的思維。但有意思的是，幾乎所有的學者都認為對人工智能的發展，應該通過倫理、法律的力量對其加以馴化。顯然，是不是讓技術邏輯說瞭算，本身就是個可左可右的問題。
再者，許多學者擔心管控收集會拖慢創新和發展，影響國傢社會進步，降低民眾可享受的便利。可以設想一下，放棄收集環節的控制，最大的受益者是各個收集個人信息的網絡運營者，但他們對個人信息的使用是否一定會遵循最大化公共利益的路徑，本身就是個疑問。而且如果收集環節已經控制不住，為什麼在使用環節就一定能控制住？
最後，幾乎所有學者都認為應該限制政府部門收集、使用個人信息，因為掌握瞭個人信息再輔以公權力，很容易實現對個人的優勢性支配。目前，各大型網絡運營者，特別是平臺運營者正在對民眾生活各方面行使著“準公權力”，如果允許他們對個人信息的收集不受控制，真的是一種明智的選擇嗎？
六、展望
綜合上述五個方面，四部門開展的“隱私條款專項工作”旨在落實《網絡安全法》的有關規定，進一步細化瞭公開、明示、同意的要求，是對個人信息收集環節管控的一次有益嘗試和創新，值得大大的點贊。
需要特別指出的是，“隱私條款專項工作”是“個人信息保護提升行動”的第一步，正如管控收集環節僅是對個人信息全生命周期保護的起點。
在後續工作中，期待四部門通過持續展開“個人信息保護提升行動”，進一步督促個人信息控制者切實負起保護個人信息的責任，正如國傢標準《個人信息安全規范（報批稿）》中個人信息安全首要基本原則“權責一致”（accountability principle）所要求的——個人信息控制者“應對其個人信息處理活動對個人信息主體合法權益造成的損害承擔責任”，這才是時刻懸在收集、使用個人信息的組織頭頂上的達摩克利斯之劍，這才是確保個人信息在場景、技術不斷變化的未來持續獲得保護的關鍵。
（本文刊登於《中國信息安全》雜志2017年第9期）
·氧分子網（http://www.yangfenzi.com）延伸閱讀：
??從蘋果與央視之爭 看網絡隱私究竟如何界定
??社交軟件引發隱私焦慮 個人信息被濫用埋隱患
??2013全球網民搜索榜出爐 從排名看各國人”隱私”
??互聯網沖擊下，失去隱私的人類未來會怎樣？
??大數據時代，精準化營銷其實是在消費用戶隱私
??WhatsApp CEO簡·庫姆Jan Koum：保護隱私和信息安全更重要
·氧分子網（http://www.yangfenzi.com）綜合整理
AUGI SPORTS｜重機車靴｜重機車靴推薦｜重機專用車靴｜重機防摔鞋｜重機防摔鞋推薦｜重機防摔鞋
AUGI SPORTS｜augisports｜racing boots｜urban boots｜motorcycle boots
文章標籤
全站熱搜
留言列表
