為個(gè)人信息安全治理扎緊制度的籠子

作為互聯(lián)網(wǎng)大國(guó)，我國(guó)在2012年迎來了移動(dòng)互聯(lián)網(wǎng)市場(chǎng)的爆發(fā)式增長(zhǎng)。據(jù)中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心發(fā)布的統(tǒng)計(jì)報(bào)告，2012年12月底，手機(jī)就已成為我國(guó)第一上網(wǎng)終端，且網(wǎng)民比例持續(xù)上升。移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序在促進(jìn)經(jīng)濟(jì)社會(huì)發(fā)展、服務(wù)民生等發(fā)面發(fā)揮了不可替代的作用，但其違法違規(guī)收集使用個(gè)人信息的問題也日益突出，加大治理力度成為國(guó)家網(wǎng)信部門的重要關(guān)切。

為構(gòu)建清朗網(wǎng)絡(luò)空間出擊

黨的十八大以來，面對(duì)國(guó)內(nèi)外網(wǎng)絡(luò)安全和信息化發(fā)展的復(fù)雜形勢(shì)，黨中央審時(shí)度勢(shì)，推動(dòng)互聯(lián)網(wǎng)管理領(lǐng)導(dǎo)體制改革，成立中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組，統(tǒng)籌協(xié)調(diào)政治、經(jīng)濟(jì)、軍事、文化等領(lǐng)域網(wǎng)絡(luò)安全和信息化重大問題，網(wǎng)信工作的總體框架基本確立。近年來，國(guó)家網(wǎng)信部門除了在整體上構(gòu)建網(wǎng)絡(luò)安全基本制度外，也著力于移動(dòng)互聯(lián)網(wǎng)領(lǐng)域的監(jiān)管，助力保障公民個(gè)人信息安全。

2016年，國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布《移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序信息服務(wù)管理規(guī)定》，明確移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序提供者的信息安全責(zé)任和互聯(lián)網(wǎng)應(yīng)用商店作為服務(wù)提供者的管理職責(zé)。針對(duì)前者，要求其建立健全用戶信息安全保護(hù)機(jī)制，依法保障用戶知情權(quán)和選擇權(quán)；針對(duì)后者，要求其督促移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序提供者保護(hù)用戶個(gè)人信息。

緊接著，為落實(shí)網(wǎng)絡(luò)安全法有關(guān)用戶信息保護(hù)制度的各項(xiàng)要求，2017年，中央網(wǎng)信辦、工信部、公安部、國(guó)家標(biāo)準(zhǔn)委聯(lián)合啟動(dòng)個(gè)人信息保護(hù)提升行動(dòng)之“隱私條款專項(xiàng)工作”，分批選取重點(diǎn)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，分析評(píng)審其隱私條款、展示方式、征得用戶同意等內(nèi)容，強(qiáng)化對(duì)個(gè)人信息收集環(huán)節(jié)的管控。

2019年，針對(duì)移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序強(qiáng)制授權(quán)、過度索權(quán)、超范圍收集個(gè)人信息等問題，中央網(wǎng)信辦、工信部、公安部、市場(chǎng)監(jiān)管總局等4部門聯(lián)合發(fā)布公告，決定開展App違法違規(guī)收集使用個(gè)人信息專項(xiàng)治理，涵蓋App隱私政策和個(gè)人信息收集使用情況評(píng)估、違法違規(guī)行為監(jiān)管處罰、侵犯公民個(gè)人信息違法犯罪行為打擊、App個(gè)人信息安全認(rèn)證制度等方面。此次行動(dòng)完成了近千款用戶數(shù)量大、與民眾生活密切相關(guān)的App隱私政策和個(gè)人信息收集使用評(píng)估工作。相較于以往的個(gè)人信息保護(hù)行動(dòng)，參評(píng)App范圍更廣、評(píng)估更深入、治理更加體系化。

推進(jìn)個(gè)人信息科學(xué)治理

不久前，中央網(wǎng)信辦、工信部、公安部、市場(chǎng)監(jiān)管總局等4部門立足于App個(gè)人信息安全治理監(jiān)管及執(zhí)法實(shí)踐的需求，聯(lián)合發(fā)布《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》（以下簡(jiǎn)稱《認(rèn)定方法》）。

《認(rèn)定方法》結(jié)合專項(xiàng)治理行動(dòng)中發(fā)現(xiàn)的App隱私政策和收集使用個(gè)人信息存在的典型問題，對(duì)網(wǎng)絡(luò)安全法、消費(fèi)者權(quán)益保護(hù)法等法律法規(guī)中的不確定概念加以解釋，明確App違法違規(guī)收集使用個(gè)人信息行為的具體表現(xiàn)形式，涵蓋未公開收集使用規(guī)則，未明示收集使用個(gè)人信息的目的、方式和范圍，未經(jīng)用戶同意收集使用個(gè)人信息，違反必要原則收集與其提供的服務(wù)無關(guān)的個(gè)人信息，未經(jīng)同意向他人提供個(gè)人信息，未按法律規(guī)定提供刪除或更正個(gè)人信息功能或未公布投訴、舉報(bào)方式等共6大類行為的判定標(biāo)準(zhǔn)，為相關(guān)監(jiān)管和執(zhí)法工作提供了參考，是我國(guó)移動(dòng)互聯(lián)網(wǎng)領(lǐng)域個(gè)人信息科學(xué)治理的重要成果。

1．細(xì)化“告知—同意”模式具體要求

“告知—同意”模式為國(guó)際通行的個(gè)人信息保護(hù)路徑，我國(guó)網(wǎng)絡(luò)安全法在第四十一條也予以明確。其中，針對(duì)“公開收集使用規(guī)則”，《認(rèn)定方法》具體落實(shí)為App隱私政策的相關(guān)要求，包括隱私政策的展示時(shí)間與形式，是否完整、是否易于訪問、是否便于閱讀理解等。

針對(duì)“明示收集使用個(gè)人信息的目的、方式和范圍”，《認(rèn)定方法》著重對(duì)常見的軟件開發(fā)工具隱瞞收集個(gè)人信息、App權(quán)限申請(qǐng)及收集個(gè)人敏感信息等問題加以規(guī)范。例如，《認(rèn)定方法》明確App運(yùn)營(yíng)者應(yīng)當(dāng)向用戶明示其所嵌入的第三方代碼、插件收集使用個(gè)人信息的目的、方式和范圍；針對(duì)App申請(qǐng)收集用戶個(gè)人敏感信息，要求App運(yùn)營(yíng)者應(yīng)當(dāng)同步告知用戶其目的，并且要明確、易于理解。

針對(duì)“經(jīng)被收集者同意”原則，《認(rèn)定方法》圍繞用戶授權(quán)時(shí)間、授權(quán)范圍、授權(quán)方式等加以細(xì)化，用戶拒絕后仍頻繁征求用戶同意，超出或私自更改用戶權(quán)限范圍等行為被列為違規(guī)。如實(shí)踐中，App安裝后未經(jīng)用戶同意就收集設(shè)備地址、應(yīng)用程序列表等個(gè)人信息，或每次啟動(dòng)App仍會(huì)索要用戶之前已明確拒絕提供的系統(tǒng)權(quán)限等。

2．細(xì)化必要原則的要求

我國(guó)網(wǎng)絡(luò)安全法明確規(guī)定，網(wǎng)絡(luò)運(yùn)營(yíng)者收集使用個(gè)人信息應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則。其中，針對(duì)必要原則，《認(rèn)定方法》從3個(gè)維度予以細(xì)化。

其一，《認(rèn)定方法》要求App收集個(gè)人信息的類型，或申請(qǐng)打開收集個(gè)人信息的權(quán)限應(yīng)當(dāng)為現(xiàn)有業(yè)務(wù)功能所必需，如僅以改善服務(wù)質(zhì)量、提升用戶體驗(yàn)、定向推送信息、研發(fā)新產(chǎn)品等為由，強(qiáng)制用戶授權(quán)，則不屬于必要性的范疇。其二，用戶授權(quán)不應(yīng)當(dāng)通過捆綁或一攬子授權(quán)等方式獲取，如用戶不同意收集非必要個(gè)人信息或打開非必要權(quán)限，App就拒絕提供服務(wù)功能，或者要求用戶一次性同意打開多個(gè)可收集個(gè)人信息的權(quán)限，用戶不同意則無法使用，均屬于強(qiáng)制用戶授權(quán)的情形。其三，App收集用戶個(gè)人信息頻次也應(yīng)當(dāng)以業(yè)務(wù)功能實(shí)際需要為限。

3.細(xì)化向他人提供個(gè)人信息的要求

網(wǎng)絡(luò)安全法第四十二條規(guī)定，未經(jīng)被收集者同意，不得向他人提供個(gè)人信息，但經(jīng)過處理無法識(shí)別特定個(gè)人且不能復(fù)原的信息除外。

實(shí)踐中，App運(yùn)營(yíng)者基于產(chǎn)品功能實(shí)現(xiàn)、廣告推送等目的，或需要與第三方進(jìn)行數(shù)據(jù)交互。對(duì)此，《認(rèn)定方法》明確App客戶端或后臺(tái)服務(wù)器，以及嵌入的第三方代碼、插件向第三方提供個(gè)人信息時(shí)，均應(yīng)征得用戶同意或進(jìn)行匿名化處理。對(duì)于App接入第三方應(yīng)用的情形，也需要征得用戶同意，方可向第三方應(yīng)用提供個(gè)人信息。

4.細(xì)化用戶權(quán)利保障的要求

網(wǎng)絡(luò)安全法第四十三條指出，個(gè)人發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)者違反法律法規(guī)或雙方約定，收集、使用個(gè)人信息的，有權(quán)要求其刪除；發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)者收集、存儲(chǔ)個(gè)人信息有誤的，有權(quán)要求其更正。第四十九條還明確網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)建立網(wǎng)絡(luò)信息安全投訴、舉報(bào)制度，并及時(shí)受理和處理。

圍繞用戶權(quán)利保障，《認(rèn)定方法》進(jìn)一步從更正、刪除個(gè)人信息或注銷相關(guān)功能，是否設(shè)置不必要或不合理?xiàng)l件，App運(yùn)營(yíng)者的響應(yīng)時(shí)限，以及是否在App后臺(tái)實(shí)際貫徹執(zhí)行等提出了判定標(biāo)準(zhǔn)。

互聯(lián)網(wǎng)不是法外之地，在發(fā)揮信息化驅(qū)動(dòng)引領(lǐng)作用的同時(shí)，也需要堅(jiān)持與依法管理相統(tǒng)一。期待國(guó)家網(wǎng)信部門持續(xù)發(fā)揮統(tǒng)籌協(xié)調(diào)作用，與相關(guān)主管部門密切配合，強(qiáng)化數(shù)據(jù)安全管理，提升民眾在網(wǎng)絡(luò)空間的獲得感、幸福感、安全感。

（轉(zhuǎn)載自《保密工作》雜志2020年第2期）