專家認為個人信息保護法應對未成年人信息給予特殊保護

　　是否允許授權打開相冊、是否允許授權打開通訊錄、是否允許授權開啟定位……如今，想要正常使用一款App，人們得先和平臺方達成“交易”，多數(shù)人似乎已經習慣了默認平臺方的授權要求，畢竟如果點擊關閉或拒絕，可能面臨無法正常使用服務，甚至出現(xiàn)App直接閃退的情況。

　　現(xiàn)在，有地方立法向這類行為“出手”了。

　　6月29日，《深圳經濟特區(qū)數(shù)據條例》(以下簡稱《條例》)經廣東省深圳市七屆人大常委會第二次會議表決通過，將于2022年1月1日起施行?！稐l例》對任性收集個人信息、強制個性化推薦等行為說“不”，并給予重罰。

　　中國市場監(jiān)管學會理事張韜近日接受《法治日報》記者采訪時表示，《條例》作為國內數(shù)據領域首部基礎性、綜合性立法，著力關注個人信息保護問題，尤其強化對未成年人個人信息的保護，其中一些規(guī)定可以為正在審議的個人信息保護法草案提供參考借鑒。

　　“告知-同意”規(guī)則遏制App強制捆綁

　　App的授權權限問題其實是個老生常談的話題。今年4月公開征求意見的《移動互聯(lián)網應用程序個人信息保護管理暫行規(guī)定(征求意見稿)》中就明確了從事App個人信息處理活動的，應遵循“知情同意”“最小必要”兩項重要原則，同時還特別指出，應當采取非默認勾選的方式征得用戶同意。

　　《條例》明確了處理個人數(shù)據的五大基本原則，即合法正當、最小必要、知情同意、準確完整和確保安全原則。

　　對此，深圳市人大常委會法工委副主任林正茂介紹說，在個人數(shù)據保護方面，《條例》的規(guī)定與個人信息保護法草案二審稿保持了銜接。

　　針對個人信息收集和使用環(huán)節(jié)出現(xiàn)的種種亂象，個人信息保護法草案二審稿確立了個人信息處理應遵循的原則，強調處理個人信息應當采用合法、正當?shù)姆绞剑哂忻鞔_、合理的目的，限于實現(xiàn)處理目的的最小范圍，公開處理規(guī)則，采取必要的安全保障措施等，這些原則應當貫穿于個人信息處理活動的全過程各環(huán)節(jié)。

　　對于各大App平臺較為關注的“最小必要”原則的具體內涵，個人信息保護法草案二審稿規(guī)定，處理個人信息應當限于實現(xiàn)處理目的所必要的最小范圍，采取對個人權益影響最小的方式，不得進行與處理目的無關的個人信息處理。

　　張韜注意到，《條例》第十一條對“最小必要”原則進行了列舉，比如，包括建立最小授權的訪問控制策略，使被授權訪問個人數(shù)據的人員僅能訪問完成職責所需的最少個人數(shù)據，且僅具備完成職責所需的最少數(shù)據處理權限。同時使用了“包括但不限于”的表述為日后完善留下空間。

　　“這是非常好的立法創(chuàng)新，在個人信息保護法的制定中也應借鑒?！睆堩w指出，個人信息保護法草案二審稿并沒有對最小必要原則明確具體的情形作要求，建議可進一步細化，就如何判斷違反最小必要原則提出較為具體的認定標準，這樣更有助于最小必要原則落到實處，為數(shù)據處理者、數(shù)據提供者、執(zhí)法監(jiān)管部門等提供更好的行為指引。

　　當前App經常會通過“一攬子協(xié)議”將收集個人數(shù)據與其功能或服務進行捆綁，令很多使用者“敢怒不敢言”，隨著個人信息保護法的出臺，這種行為將得到規(guī)制。

　　個人信息保護法草案二審稿確立了以“告知-同意”為核心的個人信息處理規(guī)則，要求處理個人信息應在事先充分告知的前提下取得個人同意，不得以個人不同意為由拒絕提供產品或者服務。

　　《條例》也基于這一規(guī)則規(guī)定，處理個人信息應當在事先充分告知的前提下取得個人同意，數(shù)據處理者應當提供撤回同意的途徑，不得對撤回同意進行不合理限制或者附加不合理條件。

　　“‘告知-同意’規(guī)則中的告知是要充分保障個人主體的知情權，同意是要保障其對信息的自主決定權，保障這兩種權利才能從根本上保障個人信息安全?！本W經社電子商務研究中心特約研究員趙占領說。

　　將未成年人信息視為敏感個人信息

　　據最新發(fā)布的《中國互聯(lián)網絡發(fā)展狀況統(tǒng)計報告》顯示，截至2020年12月，我國小學及以下網民群體占比由2020年3月的17.2%提升至19.3%，未成年人已經是我國網民的重要組成部分。隨著“觸網年齡”不斷降低，如何保護未成年人的個人信息安全一直備受關注。

　　趙占領注意到，《條例》中有不少專門針對未成年人數(shù)據保護的規(guī)定。最值得關注的是，《條例》將未滿十四歲的未成年人的個人數(shù)據視作敏感個人數(shù)據，適用處理敏感個人數(shù)據的有關規(guī)定，這在國內的立法中尚屬首次。

　　在趙占領看來，敏感個人數(shù)據的規(guī)定借鑒了2020年10月1日起施行的《信息安全技術個人信息安全規(guī)范》中關于“十四歲以下兒童的個人信息屬于敏感個人信息”的規(guī)定。

　　在個人信息保護法草案二審稿中，也對“敏感個人信息”作出了規(guī)定，是指一旦泄露或者非法使用，可能導致個人受到歧視或者人身、財產安全受到嚴重危害的個人信息，包括種族、民族、宗教信仰、個人生物特征、醫(yī)療健康、金融賬戶、個人行蹤等信息。

　　針對個人信息處理者處理不滿十四周歲未成年人個人信息的，草案二審稿要求應當取得未成年人父母或其他監(jiān)護人的同意。但并未將未成年人個人信息作為個人敏感信息進行保護。

　　“未成年人是國家發(fā)展的未來和希望，其認知能力、辨別能力和自我保護能力相對薄弱，在違法違規(guī)收集使用個人信息問題層出不窮的形勢下，更需要加強對未成年人個人信息的保護，以切實維護未成年人利益。”張韜認為，有必要借鑒《條例》規(guī)定，在個人信息保護法中將未滿十四歲的未成年人個人信息視為敏感個人信息。

　　多層面加強未成年人個人信息保護

　　據全國人大常委會法制工作委員會發(fā)言人臧鐵偉介紹，在中國人大網針對個人信息保護法草案二次審議稿公開征求社會公眾意見后，有相當一部分人建議進一步加強對未成年人個人信息的保護。

　　張韜也建議加強對未成年人個人信息保護力度。他說，目前個人信息保護法草案二審稿僅規(guī)定處理未成年人個人信息應當在處理前取得未成年人父母或者其他監(jiān)護人同意，但并未對同意的具體方式進行明確，也未規(guī)定其他對未成年人個人信息保護的方式。

　　亞太網絡法律研究中心主任劉德良對此表示認同，他認為個人信息在網絡時代越來越具有商業(yè)價值，這是導致非法收集、買賣和濫用行為日益泛濫的最主要原因。未成年人個人信息背后的商業(yè)價值巨大，但其自身辨別能力較弱，理應受到法律的特殊保護，應加強對信息處理者收集使用未成年人個人信息行為的規(guī)范，加大對侵害未成年人個人信息違法行為的打擊力度等，多層面加強對未成年人個人信息的保護。

　　剛搜索過某種商品或打開某條新聞，平臺就會推送類似的商品或信息……用戶畫像和個性化推薦在提供精準服務的同時，也讓人感覺隱私被“圍觀”，特別是對缺乏基本辨識認知能力的未成年人而言，更是難以辨別這種推薦是否符合其自身利益。

　　為此，《條例》明確，除為了維護未滿十四周歲未成年人的合法權益并征得其監(jiān)護人明示同意外，不得向其進行個性化推薦。

　　張韜指出，個人信息保護法草案二審稿第二十五條對利用個人信息進行自動化決策的行為進行了規(guī)范，但該規(guī)定具有普適性，并未根據未成年人個人信息保護的特殊情況作出針對性規(guī)定。《條例》原則上禁止向未成年人進行個性化推薦，例外情況下才允許，體現(xiàn)了對未成年人個人信息的傾斜保護。建議在制定個人信息保護法過程中增加相應規(guī)定，進行傾斜性保護。

　　劉德良也表示，個人信息保護立法要注意方向，不是一味地去保密信息，更關鍵的是要在如何防止濫用上下功夫，尤其針對未成年人的信息，這一點更為重要。