近日，國(guó)家互聯(lián)網(wǎng)信息辦公室通報(bào)了129款A(yù)pp（移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序）違法違規(guī)收集使用個(gè)人信息的情況。“違反必要原則，收集與所提供服務(wù)無(wú)關(guān)的個(gè)人信息”“未經(jīng)用戶同意收集使用個(gè)人信息”等成為這些App違法違規(guī)收集個(gè)人信息的集中問(wèn)題。
事實(shí)上，從2019年開(kāi)始，中央網(wǎng)信辦、工信部、公安部、國(guó)家市場(chǎng)監(jiān)管總局就開(kāi)始在全國(guó)范圍內(nèi)組織開(kāi)展App違法違規(guī)收集使用個(gè)人信息專(zhuān)項(xiàng)治理行動(dòng)。僅2019年，上述四部門(mén)成立的App專(zhuān)項(xiàng)治理工作組就受理網(wǎng)民有效舉報(bào)信息1.2萬(wàn)余條，針對(duì)2300余款A(yù)pp開(kāi)展了深度評(píng)估、問(wèn)題核查。對(duì)用戶規(guī)模大、問(wèn)題突出的260款A(yù)pp，有關(guān)部門(mén)采取了公開(kāi)曝光、約談、下架等處罰措施。
今年5月1日起，《常見(jiàn)類(lèi)型移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序必要個(gè)人信息范圍規(guī)定》施行。該規(guī)定旨在規(guī)范App個(gè)人信息收集行為，解決當(dāng)前超范圍收集、強(qiáng)制授權(quán)等突出問(wèn)題，其中明確的39類(lèi)常見(jiàn)App覆蓋大眾衣食住行、學(xué)習(xí)工作等日常生活主要方面，基本涵蓋了當(dāng)前網(wǎng)民的訴求。同時(shí)，針對(duì)當(dāng)前新技術(shù)、新應(yīng)用違法違規(guī)收集使用個(gè)人信息的問(wèn)題，將小程序、預(yù)置軟件等均納入管理范圍。但App違法違規(guī)收集使用個(gè)人信息問(wèn)題仍存在。此次被國(guó)家網(wǎng)信辦通報(bào)的App中，不乏下載量大、用戶日活量高、用戶黏性強(qiáng)的App。
部分App產(chǎn)品功能設(shè)計(jì)有瑕疵
從實(shí)踐看，“告知—同意”機(jī)制是目前個(gè)人信息保護(hù)領(lǐng)域中App、網(wǎng)站等運(yùn)營(yíng)者的通行做法。但從用戶角度看，以繁雜冗長(zhǎng)的隱私政策或協(xié)議等為基礎(chǔ)的“告知”，無(wú)人讀、讀不懂并隨之點(diǎn)擊同意是常有的事，這使得“告知—同意”機(jī)制無(wú)法發(fā)揮其應(yīng)有的作用，用戶難以真正行使權(quán)利，也因此該做法常為人所詬病。從此次國(guó)家互聯(lián)網(wǎng)信息辦公室通報(bào)的129款A(yù)pp來(lái)看，未經(jīng)用戶同意收集使用個(gè)人信息、違反必要原則收集與其提供的服務(wù)無(wú)關(guān)的個(gè)人信息仍是大部分App存在的主要問(wèn)題，其他問(wèn)題還有未按法律規(guī)定提供刪除或更正個(gè)人信息功能、未公開(kāi)收集使用規(guī)則等。
除事前“告知—同意”機(jī)制外，目前許多運(yùn)營(yíng)商已經(jīng)在App或者網(wǎng)頁(yè)中設(shè)置了關(guān)閉個(gè)性化推送、不允許同城展示、不允許推薦通訊錄好友等諸多功能，但這些功能的設(shè)計(jì)仍有或多或少的瑕疵。比如，不久前，有微博網(wǎng)友總結(jié)，若要關(guān)閉微信的個(gè)性化推送功能，至少需要經(jīng)歷8道關(guān)卡，且微信App內(nèi)的《隱私保護(hù)指引》的位置并不在顯著位置。不僅如此，微信用戶點(diǎn)擊關(guān)閉個(gè)性化廣告推送的有效期只有6個(gè)月；微博App內(nèi)個(gè)性化廣告推薦的關(guān)閉有效期為3個(gè)月，到期后用戶需要再次選擇關(guān)閉才能避免被推送個(gè)性化廣告。
不同信息涉及不同保護(hù)路徑
除對(duì)當(dāng)下和未來(lái)個(gè)人信息隱私的保護(hù)外，過(guò)去公開(kāi)的個(gè)人信息如何保護(hù)問(wèn)題也值得關(guān)注。去年北京互聯(lián)網(wǎng)法院審結(jié)了一起“校友錄”頭像被爬案。該案中，用戶孫某于十余年前將自己的真實(shí)證件照上傳至搜狐網(wǎng)站運(yùn)營(yíng)的“校友錄”當(dāng)做個(gè)人賬戶頭像，賬戶名稱(chēng)為真實(shí)姓名。2018年，孫某在百度網(wǎng)站搜索自己姓名時(shí)，搜索結(jié)果中關(guān)聯(lián)了自己的上述證件照，隨后他向百度網(wǎng)站發(fā)出通知要求刪除證件照，但未獲得回復(fù)，從而訴至法院。
華東政法大學(xué)數(shù)字法治研究院副院長(zhǎng)韓旭至表示，“校友錄”頭像被爬案，實(shí)質(zhì)上涉及的是對(duì)已經(jīng)公開(kāi)的信息能否不經(jīng)用戶同意而獲取的問(wèn)題。
該案中，雙方對(duì)已經(jīng)公開(kāi)的個(gè)人信息是否屬于個(gè)人隱私存在爭(zhēng)議。法院綜合案件事實(shí)和證據(jù)，最終認(rèn)定姓名和證件照結(jié)合構(gòu)成個(gè)人信息，百度網(wǎng)站作為搜索引擎服務(wù)提供者，無(wú)法預(yù)見(jiàn)一般公開(kāi)網(wǎng)絡(luò)信息為未經(jīng)授權(quán)公開(kāi)的個(gè)人信息，其搜索行為不存在過(guò)錯(cuò)，但收到通知后應(yīng)及時(shí)采取措施，因怠于采取措施行為造成損失的，構(gòu)成侵權(quán)。
韓旭至表示，實(shí)踐中，要正確區(qū)分個(gè)人隱私和個(gè)人信息�！皡^(qū)分的關(guān)鍵在于私密性的判定上。個(gè)人隱私以私密性為要件，個(gè)人信息保護(hù)不以私密性為要件。信息本身存在的意義在于交換和流通，個(gè)人信息保護(hù)是對(duì)信息流動(dòng)范圍的規(guī)范。” 而對(duì)于已經(jīng)公開(kāi)的個(gè)人信息，民法典規(guī)定了處理個(gè)人信息的免責(zé)事由，其中包括合理處理該自然人自行公開(kāi)或者其他已經(jīng)合法公開(kāi)的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外。
目前，《中華人民共和國(guó)個(gè)人信息保護(hù)法（草案）（二次審議稿）》（以下簡(jiǎn)稱(chēng)“個(gè)人信息保護(hù)法二審稿”）第十三條第一款中增加的第五項(xiàng)內(nèi)容，將依照個(gè)人信息保護(hù)法的規(guī)定在合理的范圍內(nèi)處理已公開(kāi)的個(gè)人信息，納入個(gè)人信息處理者可以處理的范圍。
對(duì)此，韓旭至表示，“公開(kāi)”在范圍和方式上會(huì)有多種不同情況，比如小范圍公開(kāi)和完全公開(kāi)、合法公開(kāi)和非法公開(kāi)、主動(dòng)公開(kāi)和被動(dòng)公開(kāi)等，因此，涉及包括個(gè)人信息保護(hù)法二審稿相關(guān)條文的適用問(wèn)題可進(jìn)一步細(xì)化。
實(shí)踐中，對(duì)用戶未公開(kāi)的個(gè)人的不同信息也涉及不同的保護(hù)路徑。韓旭至表示，以通訊錄信息為例，在互聯(lián)網(wǎng)經(jīng)濟(jì)發(fā)展過(guò)程中，有些企業(yè)需要依靠流量發(fā)展，“獲取通訊錄信息”或者依靠用戶向好友推送起了關(guān)鍵作用。但這是否意味著經(jīng)過(guò)用戶同意，就可以隨意抓取用戶通訊錄的信息？在個(gè)人信息保護(hù)領(lǐng)域，無(wú)論是可識(shí)別性的信息還是關(guān)聯(lián)性信息，前提都是個(gè)人信息，這涉及信息主體問(wèn)題。從目前用戶“同意”邏輯上看，用戶同意的只是自己的信息被采集或者使用，而通訊錄中涉及大量他人信息。因此，在獲取通訊錄信息問(wèn)題上，值得商榷，比如是否需要再征得通訊錄中每一個(gè)人的同意？
通過(guò)產(chǎn)品設(shè)計(jì)保護(hù)個(gè)人隱私
近期，美國(guó)蘋(píng)果公司正式在手機(jī)產(chǎn)品中實(shí)行“App跟蹤透明度”功能，針對(duì)App運(yùn)營(yíng)者對(duì)用戶手機(jī)設(shè)備的廣告標(biāo)識(shí)符（IDFA）的訪問(wèn)以提升廣告質(zhì)量的營(yíng)銷(xiāo)所涉及的用戶隱私問(wèn)題。在此功能下，手機(jī)終端默認(rèn)用戶關(guān)閉“允許App請(qǐng)求跟蹤”。如果用戶打開(kāi)“允許App請(qǐng)求跟蹤”，只有用戶主動(dòng)授權(quán)，App才能進(jìn)行跟蹤，此種情況下，用戶會(huì)收到“是否同意該App跟蹤用戶在其他公司的App和網(wǎng)站上的活動(dòng)”彈窗，用戶可以選擇要求App不跟蹤或者允許跟蹤。據(jù)了解，目前，國(guó)內(nèi)不少App運(yùn)營(yíng)商已經(jīng)根據(jù)蘋(píng)果這一新規(guī)完成App的更新、適配。
個(gè)人信息保護(hù)法二審稿第二十五條規(guī)定，利用個(gè)人信息進(jìn)行自動(dòng)化決策，應(yīng)當(dāng)保證決策的透明度和結(jié)果公平合理。通過(guò)自動(dòng)化決策方式進(jìn)行商業(yè)營(yíng)銷(xiāo)、信息推送，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)，或者向個(gè)人提供拒絕的方式。韓旭至表示，蘋(píng)果公司推出的該新功能，就是自動(dòng)化決策的體現(xiàn)。他認(rèn)為，“彈窗”機(jī)制是個(gè)人信息保護(hù)的一項(xiàng)重要機(jī)制，相比基于隱私政策“告知—同意”機(jī)制下的一攬子授權(quán)，彈窗機(jī)制更能使用戶清晰地知道自己的哪種信息被采集、被使用。按照我國(guó)個(gè)人信息保護(hù)法二審稿的有關(guān)規(guī)定，App運(yùn)營(yíng)者應(yīng)當(dāng)為用戶提供一個(gè)明確的、清晰的、可拒絕的選項(xiàng)。
但韓旭至認(rèn)為，彈窗機(jī)制也并非完全有效。因?yàn)閷?shí)踐中，隨著使用彈窗頻率的增高，也會(huì)存在不去看彈窗內(nèi)容而直接點(diǎn)擊同意的可能；或者當(dāng)人們有必須使用某種服務(wù)的需要時(shí)，彈窗也就沒(méi)有了意義。
不過(guò)，對(duì)此問(wèn)題，個(gè)人信息保護(hù)法二審稿第十七條規(guī)定，個(gè)人信息處理者不得以個(gè)人不同意處理其個(gè)人信息或者撤回其對(duì)個(gè)人信息處理的同意為由，拒絕提供產(chǎn)品或者服務(wù)。
在韓旭至看來(lái)，在個(gè)人信息保護(hù)的合規(guī)問(wèn)題上，平臺(tái)應(yīng)當(dāng)轉(zhuǎn)變思路，通過(guò)產(chǎn)品設(shè)計(jì)來(lái)保護(hù)隱私。“過(guò)去，實(shí)踐中對(duì)個(gè)人信息保護(hù)的救濟(jì)具有滯后性，只有在權(quán)利被侵害之后，權(quán)利人才會(huì)通過(guò)各種渠道維權(quán)，然后通過(guò)監(jiān)管部門(mén)處罰或者司法判決進(jìn)行事后救濟(jì)；但個(gè)人信息及隱私的特殊性在于，一旦被泄露后，很難‘被遺忘’，因此，事前救濟(jì)顯得尤為重要�！表n旭至說(shuō)，App運(yùn)營(yíng)者在進(jìn)行產(chǎn)品設(shè)計(jì)的過(guò)程中，就應(yīng)當(dāng)將個(gè)人信息、隱私的保護(hù)融入進(jìn)去，把對(duì)個(gè)人信息、隱私的保護(hù)當(dāng)成一個(gè)產(chǎn)品的功能進(jìn)行整體和細(xì)節(jié)構(gòu)建，而不再局限于點(diǎn)擊同意隱私政策或者協(xié)議的方式。同時(shí)，一些功能的默認(rèn)設(shè)計(jì)，也應(yīng)當(dāng)是遵循對(duì)個(gè)人信息保護(hù)的原則，而不是誘導(dǎo)性或者欺詐性的營(yíng)利原則設(shè)計(jì)。