筑牢未成年人個人信息安全防線專家認為個人信息保護法應(yīng)對未成年人信息給予特殊保護
是否允許授權(quán)打開相冊、是否允許授權(quán)打開通訊錄、是否允許授權(quán)開啟定位……如今，想要正常使用一款A(yù)pp，人們得先和平臺方達成“交易”，多數(shù)人似乎已經(jīng)習(xí)慣了默認平臺方的授權(quán)要求，畢竟如果點擊關(guān)閉或拒絕，可能面臨無法正常使用服務(wù)，甚至出現(xiàn)App直接閃退的情況。
現(xiàn)在，有地方立法向這類行為“出手”了。
6月29日，《深圳經(jīng)濟特區(qū)數(shù)據(jù)條例》（以下簡稱《條例》）經(jīng)廣東省深圳市七屆人大常委會第二次會議表決通過，將于2022年1月1日起施行?！稐l例》對任性收集個人信息、強制個性化推薦等行為說“不”，并給予重罰。
中國市場監(jiān)管學(xué)會理事張韜近日接受《法治日報》記者采訪時表示，《條例》作為國內(nèi)數(shù)據(jù)領(lǐng)域首部基礎(chǔ)性、綜合性立法，著力關(guān)注個人信息保護問題，尤其強化對未成年人個人信息的保護，其中一些規(guī)定可以為正在審議的個人信息保護法草案提供參考借鑒。
“告知－同意”規(guī)則遏制App強制捆綁
App的授權(quán)權(quán)限問題其實是個老生常談的話題。今年4月公開征求意見的《移動互聯(lián)網(wǎng)應(yīng)用程序個人信息保護管理暫行規(guī)定（征求意見稿）》中就明確了從事App個人信息處理活動的，應(yīng)遵循“知情同意”“最小必要”兩項重要原則，同時還特別指出，應(yīng)當采取非默認勾選的方式征得用戶同意。
《條例》明確了處理個人數(shù)據(jù)的五大基本原則，即合法正當、最小必要、知情同意、準確完整和確保安全原則。
對此，深圳市人大常委會法工委副主任林正茂介紹說，在個人數(shù)據(jù)保護方面，《條例》的規(guī)定與個人信息保護法草案二審稿保持了銜接。
針對個人信息收集和使用環(huán)節(jié)出現(xiàn)的種種亂象，個人信息保護法草案二審稿確立了個人信息處理應(yīng)遵循的原則，強調(diào)處理個人信息應(yīng)當采用合法、正當?shù)姆绞?，具有明確、合理的目的，限于實現(xiàn)處理目的的最小范圍，公開處理規(guī)則，采取必要的安全保障措施等，這些原則應(yīng)當貫穿于個人信息處理活動的全過程各環(huán)節(jié)。
對于各大App平臺較為關(guān)注的“最小必要”原則的具體內(nèi)涵，個人信息保護法草案二審稿規(guī)定，處理個人信息應(yīng)當限于實現(xiàn)處理目的所必要的最小范圍，采取對個人權(quán)益影響最小的方式，不得進行與處理目的無關(guān)的個人信息處理。
張韜注意到，《條例》第十一條對“最小必要”原則進行了列舉，比如，包括建立最小授權(quán)的訪問控制策略，使被授權(quán)訪問個人數(shù)據(jù)的人員僅能訪問完成職責所需的最少個人數(shù)據(jù)，且僅具備完成職責所需的最少數(shù)據(jù)處理權(quán)限。同時使用了“包括但不限于”的表述為日后完善留下空間。
“這是非常好的立法創(chuàng)新，在個人信息保護法的制定中也應(yīng)借鑒?！睆堩w指出，個人信息保護法草案二審稿并沒有對最小必要原則明確具體的情形作要求，建議可進一步細化，就如何判斷違反最小必要原則提出較為具體的認定標準，這樣更有助于最小必要原則落到實處，為數(shù)據(jù)處理者、數(shù)據(jù)提供者、執(zhí)法監(jiān)管部門等提供更好的行為指引。
當前App經(jīng)常會通過“一攬子協(xié)議”將收集個人數(shù)據(jù)與其功能或服務(wù)進行捆綁，令很多使用者“敢怒不敢言”，隨著個人信息保護法的出臺，這種行為將得到規(guī)制。
個人信息保護法草案二審稿確立了以“告知－同意”為核心的個人信息處理規(guī)則，要求處理個人信息應(yīng)在事先充分告知的前提下取得個人同意，不得以個人不同意為由拒絕提供產(chǎn)品或者服務(wù)。
《條例》也基于這一規(guī)則規(guī)定，處理個人信息應(yīng)當在事先充分告知的前提下取得個人同意，數(shù)據(jù)處理者應(yīng)當提供撤回同意的途徑，不得對撤回同意進行不合理限制或者附加不合理條件。
“‘告知－同意’規(guī)則中的告知是要充分保障個人主體的知情權(quán)，同意是要保障其對信息的自主決定權(quán)，保障這兩種權(quán)利才能從根本上保障個人信息安全?！本W(wǎng)經(jīng)社電子商務(wù)研究中心特約研究員趙占領(lǐng)說。
將未成年人信息視為敏感個人信息
據(jù)最新發(fā)布的《中國互聯(lián)網(wǎng)絡(luò)發(fā)展狀況統(tǒng)計報告》顯示，截至2020年12月，我國小學(xué)及以下網(wǎng)民群體占比由2020年3月的17.2%提升至19.3%，未成年人已經(jīng)是我國網(wǎng)民的重要組成部分。隨著“觸網(wǎng)年齡”不斷降低，如何保護未成年人的個人信息安全一直備受關(guān)注。
趙占領(lǐng)注意到，《條例》中有不少專門針對未成年人數(shù)據(jù)保護的規(guī)定。最值得關(guān)注的是，《條例》將未滿十四歲的未成年人的個人數(shù)據(jù)視作敏感個人數(shù)據(jù)，適用處理敏感個人數(shù)據(jù)的有關(guān)規(guī)定，這在國內(nèi)的立法中尚屬首次。
在趙占領(lǐng)看來，敏感個人數(shù)據(jù)的規(guī)定借鑒了2020年10月1日起施行的《信息安全技術(shù)個人信息安全規(guī)范》中關(guān)于“十四歲以下兒童的個人信息屬于敏感個人信息”的規(guī)定。
在個人信息保護法草案二審稿中，也對“敏感個人信息”作出了規(guī)定，是指一旦泄露或者非法使用，可能導(dǎo)致個人受到歧視或者人身、財產(chǎn)安全受到嚴重危害的個人信息，包括種族、民族、宗教信仰、個人生物特征、醫(yī)療健康、金融賬戶、個人行蹤等信息。
針對個人信息處理者處理不滿十四周歲未成年人個人信息的，草案二審稿要求應(yīng)當取得未成年人父母或其他監(jiān)護人的同意。但并未將未成年人個人信息作為個人敏感信息進行保護。
“未成年人是國家發(fā)展的未來和希望，其認知能力、辨別能力和自我保護能力相對薄弱，在違法違規(guī)收集使用個人信息問題層出不窮的形勢下，更需要加強對未成年人個人信息的保護，以切實維護未成年人利益。”張韜認為，有必要借鑒《條例》規(guī)定，在個人信息保護法中將未滿十四歲的未成年人個人信息視為敏感個人信息。
多層面加強未成年人個人信息保護
據(jù)全國人大常委會法制工作委員會發(fā)言人臧鐵偉介紹，在中國人大網(wǎng)針對個人信息保護法草案二次審議稿公開征求社會公眾意見后，有相當一部分人建議進一步加強對未成年人個人信息的保護。
張韜也建議加強對未成年人個人信息保護力度。他說，目前個人信息保護法草案二審稿僅規(guī)定處理未成年人個人信息應(yīng)當在處理前取得未成年人父母或者其他監(jiān)護人同意，但并未對同意的具體方式進行明確，也未規(guī)定其他對未成年人個人信息保護的方式。
亞太網(wǎng)絡(luò)法律研究中心主任劉德良對此表示認同，他認為個人信息在網(wǎng)絡(luò)時代越來越具有商業(yè)價值，這是導(dǎo)致非法收集、買賣和濫用行為日益泛濫的最主要原因。未成年人個人信息背后的商業(yè)價值巨大，但其自身辨別能力較弱，理應(yīng)受到法律的特殊保護，應(yīng)加強對信息處理者收集使用未成年人個人信息行為的規(guī)范，加大對侵害未成年人個人信息違法行為的打擊力度等，多層面加強對未成年人個人信息的保護。
剛搜索過某種商品或打開某條新聞，平臺就會推送類似的商品或信息……用戶畫像和個性化推薦在提供精準服務(wù)的同時，也讓人感覺隱私被“圍觀”，特別是對缺乏基本辨識認知能力的未成年人而言，更是難以辨別這種推薦是否符合其自身利益。
為此，《條例》明確，除為了維護未滿十四周歲未成年人的合法權(quán)益并征得其監(jiān)護人明示同意外，不得向其進行個性化推薦。
張韜指出，個人信息保護法草案二審稿第二十五條對利用個人信息進行自動化決策的行為進行了規(guī)范，但該規(guī)定具有普適性，并未根據(jù)未成年人個人信息保護的特殊情況作出針對性規(guī)定?！稐l例》原則上禁止向未成年人進行個性化推薦，例外情況下才允許，體現(xiàn)了對未成年人個人信息的傾斜保護。建議在制定個人信息保護法過程中增加相應(yīng)規(guī)定，進行傾斜性保護。
劉德良也表示，個人信息保護立法要注意方向，不是一味地去保密信息，更關(guān)鍵的是要在如何防止濫用上下功夫，尤其針對未成年人的信息，這一點更為重要。(記者趙晨熙)
?
