近日，國家互聯(lián)網(wǎng)信息辦公室通報了129款A(yù)pp（移動互聯(lián)網(wǎng)應(yīng)用程序）違法違規(guī)收集使用個人信息的情況�！斑`反必要原則，收集與所提供服務(wù)無關(guān)的個人信息”“未經(jīng)用戶同意收集使用個人信息”等成為這些App違法違規(guī)收集個人信息的集中問題。
事實上，從2019年開始，中央網(wǎng)信辦、工信部、公安部、國家市場監(jiān)管總局就開始在全國范圍內(nèi)組織開展App違法違規(guī)收集使用個人信息專項治理行動。僅2019年，上述四部門成立的App專項治理工作組就受理網(wǎng)民有效舉報信息1.2萬余條，針對2300余款A(yù)pp開展了深度評估、問題核查。對用戶規(guī)模大、問題突出的260款A(yù)pp，有關(guān)部門采取了公開曝光、約談、下架等處罰措施。
今年5月1日起，《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個人信息范圍規(guī)定》施行。該規(guī)定旨在規(guī)范App個人信息收集行為，解決當前超范圍收集、強制授權(quán)等突出問題，其中明確的39類常見App覆蓋大眾衣食住行、學習工作等日常生活主要方面，基本涵蓋了當前網(wǎng)民的訴求。同時，針對當前新技術(shù)、新應(yīng)用違法違規(guī)收集使用個人信息的問題，將小程序、預(yù)置軟件等均納入管理范圍。但App違法違規(guī)收集使用個人信息問題仍存在。此次被國家網(wǎng)信辦通報的App中，不乏下載量大、用戶日活量高、用戶黏性強的App。
部分App產(chǎn)品功能設(shè)計有瑕疵
從實踐看，“告知—同意”機制是目前個人信息保護領(lǐng)域中App、網(wǎng)站等運營者的通行做法。但從用戶角度看，以繁雜冗長的隱私政策或協(xié)議等為基礎(chǔ)的“告知”，無人讀、讀不懂并隨之點擊同意是常有的事，這使得“告知—同意”機制無法發(fā)揮其應(yīng)有的作用，用戶難以真正行使權(quán)利，也因此該做法常為人所詬病。從此次國家互聯(lián)網(wǎng)信息辦公室通報的129款A(yù)pp來看，未經(jīng)用戶同意收集使用個人信息、違反必要原則收集與其提供的服務(wù)無關(guān)的個人信息仍是大部分App存在的主要問題，其他問題還有未按法律規(guī)定提供刪除或更正個人信息功能、未公開收集使用規(guī)則等。
除事前“告知—同意”機制外，目前許多運營商已經(jīng)在App或者網(wǎng)頁中設(shè)置了關(guān)閉個性化推送、不允許同城展示、不允許推薦通訊錄好友等諸多功能，但這些功能的設(shè)計仍有或多或少的瑕疵。比如，不久前，有微博網(wǎng)友總結(jié)，若要關(guān)閉微信的個性化推送功能，至少需要經(jīng)歷8道關(guān)卡，且微信App內(nèi)的《隱私保護指引》的位置并不在顯著位置。不僅如此，微信用戶點擊關(guān)閉個性化廣告推送的有效期只有6個月；微博App內(nèi)個性化廣告推薦的關(guān)閉有效期為3個月，到期后用戶需要再次選擇關(guān)閉才能避免被推送個性化廣告。
不同信息涉及不同保護路徑
除對當下和未來個人信息隱私的保護外，過去公開的個人信息如何保護問題也值得關(guān)注。去年北京互聯(lián)網(wǎng)法院審結(jié)了一起“校友錄”頭像被爬案。該案中，用戶孫某于十余年前將自己的真實證件照上傳至搜狐網(wǎng)站運營的“校友錄”當做個人賬戶頭像，賬戶名稱為真實姓名。2018年，孫某在百度網(wǎng)站搜索自己姓名時，搜索結(jié)果中關(guān)聯(lián)了自己的上述證件照，隨后他向百度網(wǎng)站發(fā)出通知要求刪除證件照，但未獲得回復(fù)，從而訴至法院。
華東政法大學數(shù)字法治研究院副院長韓旭至表示，“校友錄”頭像被爬案，實質(zhì)上涉及的是對已經(jīng)公開的信息能否不經(jīng)用戶同意而獲取的問題。
該案中，雙方對已經(jīng)公開的個人信息是否屬于個人隱私存在爭議。法院綜合案件事實和證據(jù)，最終認定姓名和證件照結(jié)合構(gòu)成個人信息，百度網(wǎng)站作為搜索引擎服務(wù)提供者，無法預(yù)見一般公開網(wǎng)絡(luò)信息為未經(jīng)授權(quán)公開的個人信息，其搜索行為不存在過錯，但收到通知后應(yīng)及時采取措施，因怠于采取措施行為造成損失的，構(gòu)成侵權(quán)。
韓旭至表示，實踐中，要正確區(qū)分個人隱私和個人信息�！皡^(qū)分的關(guān)鍵在于私密性的判定上。個人隱私以私密性為要件，個人信息保護不以私密性為要件。信息本身存在的意義在于交換和流通，個人信息保護是對信息流動范圍的規(guī)范。” 而對于已經(jīng)公開的個人信息，民法典規(guī)定了處理個人信息的免責事由，其中包括合理處理該自然人自行公開或者其他已經(jīng)合法公開的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外。
目前，《中華人民共和國個人信息保護法（草案）（二次審議稿）》（以下簡稱“個人信息保護法二審稿”）第十三條第一款中增加的第五項內(nèi)容，將依照個人信息保護法的規(guī)定在合理的范圍內(nèi)處理已公開的個人信息，納入個人信息處理者可以處理的范圍。
對此，韓旭至表示，“公開”在范圍和方式上會有多種不同情況，比如小范圍公開和完全公開、合法公開和非法公開、主動公開和被動公開等，因此，涉及包括個人信息保護法二審稿相關(guān)條文的適用問題可進一步細化。
實踐中，對用戶未公開的個人的不同信息也涉及不同的保護路徑。韓旭至表示，以通訊錄信息為例，在互聯(lián)網(wǎng)經(jīng)濟發(fā)展過程中，有些企業(yè)需要依靠流量發(fā)展，“獲取通訊錄信息”或者依靠用戶向好友推送起了關(guān)鍵作用。但這是否意味著經(jīng)過用戶同意，就可以隨意抓取用戶通訊錄的信息？在個人信息保護領(lǐng)域，無論是可識別性的信息還是關(guān)聯(lián)性信息，前提都是個人信息，這涉及信息主體問題。從目前用戶“同意”邏輯上看，用戶同意的只是自己的信息被采集或者使用，而通訊錄中涉及大量他人信息。因此，在獲取通訊錄信息問題上，值得商榷，比如是否需要再征得通訊錄中每一個人的同意？
通過產(chǎn)品設(shè)計保護個人隱私
近期，美國蘋果公司正式在手機產(chǎn)品中實行“App跟蹤透明度”功能，針對App運營者對用戶手機設(shè)備的廣告標識符（IDFA）的訪問以提升廣告質(zhì)量的營銷所涉及的用戶隱私問題。在此功能下，手機終端默認用戶關(guān)閉“允許App請求跟蹤”。如果用戶打開“允許App請求跟蹤”，只有用戶主動授權(quán)，App才能進行跟蹤，此種情況下，用戶會收到“是否同意該App跟蹤用戶在其他公司的App和網(wǎng)站上的活動”彈窗，用戶可以選擇要求App不跟蹤或者允許跟蹤。據(jù)了解，目前，國內(nèi)不少App運營商已經(jīng)根據(jù)蘋果這一新規(guī)完成App的更新、適配。
個人信息保護法二審稿第二十五條規(guī)定，利用個人信息進行自動化決策，應(yīng)當保證決策的透明度和結(jié)果公平合理。通過自動化決策方式進行商業(yè)營銷、信息推送，應(yīng)當同時提供不針對其個人特征的選項，或者向個人提供拒絕的方式。韓旭至表示，蘋果公司推出的該新功能，就是自動化決策的體現(xiàn)。他認為，“彈窗”機制是個人信息保護的一項重要機制，相比基于隱私政策“告知—同意”機制下的一攬子授權(quán)，彈窗機制更能使用戶清晰地知道自己的哪種信息被采集、被使用。按照我國個人信息保護法二審稿的有關(guān)規(guī)定，App運營者應(yīng)當為用戶提供一個明確的、清晰的、可拒絕的選項。
但韓旭至認為，彈窗機制也并非完全有效。因為實踐中，隨著使用彈窗頻率的增高，也會存在不去看彈窗內(nèi)容而直接點擊同意的可能；或者當人們有必須使用某種服務(wù)的需要時，彈窗也就沒有了意義。
不過，對此問題，個人信息保護法二審稿第十七條規(guī)定，個人信息處理者不得以個人不同意處理其個人信息或者撤回其對個人信息處理的同意為由，拒絕提供產(chǎn)品或者服務(wù)。
在韓旭至看來，在個人信息保護的合規(guī)問題上，平臺應(yīng)當轉(zhuǎn)變思路，通過產(chǎn)品設(shè)計來保護隱私�！斑^去，實踐中對個人信息保護的救濟具有滯后性，只有在權(quán)利被侵害之后，權(quán)利人才會通過各種渠道維權(quán)，然后通過監(jiān)管部門處罰或者司法判決進行事后救濟；但個人信息及隱私的特殊性在于，一旦被泄露后，很難‘被遺忘’，因此，事前救濟顯得尤為重要�！表n旭至說，App運營者在進行產(chǎn)品設(shè)計的過程中，就應(yīng)當將個人信息、隱私的保護融入進去，把對個人信息、隱私的保護當成一個產(chǎn)品的功能進行整體和細節(jié)構(gòu)建，而不再局限于點擊同意隱私政策或者協(xié)議的方式。同時，一些功能的默認設(shè)計，也應(yīng)當是遵循對個人信息保護的原則，而不是誘導性或者欺詐性的營利原則設(shè)計。