網(wǎng)絡(luò)平臺收入個人信息的規(guī)定

網(wǎng)絡(luò)平臺收入個人信息的規(guī)定根據(jù)《個人信息保護法》確立的“最小必要+知情同意”原則，網(wǎng)絡(luò)平臺處理用戶個人信息需要在充分、明確告知平臺處理用戶信息的內(nèi)容后取得用戶的同意，并在完成網(wǎng)絡(luò)平臺業(yè)務(wù)的必要范圍內(nèi)，以最小影響收集用戶個人信息。而在網(wǎng)絡(luò)平臺業(yè)務(wù)開展過程中，平臺往往在用戶注冊環(huán)節(jié)通過用戶協(xié)議的方式獲取處理用戶個人信息的授權(quán)。具體到注冊環(huán)節(jié)，平臺需在注冊協(xié)議中充分履行告知義務(wù)，確保用戶對其個人信息的處理內(nèi)容充分知情，并采取有效方式獲取用戶同意，避免陷入違規(guī)陷阱。網(wǎng)絡(luò)平臺收集用戶個人信息合規(guī)要求（-）顯著告知根據(jù)《個人信息保護法》第0條，個人信息處理者在處理個人信息前，應(yīng)當(dāng)以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知有關(guān)個人信息處理者和信息處理的相關(guān)事項,包括個人信息處理主體和聯(lián)系方式、個人信息處理目的、方式、種類、保存期限，以及個人行使權(quán)利的方式和程序等。通過制定個人信息處理規(guī)則的方式告知的，該處理規(guī)則應(yīng)當(dāng)在用戶閱讀注冊協(xié)議時予以公開，并便于查閱和保存。實踐中，網(wǎng)絡(luò)平臺通?？梢圆扇≈T如用戶協(xié)議強制閱讀30秒、重要條款突出顯示、多次確認的方式保證自身履行了顯著告知的義務(wù)。（二）取得同意除《個人信息保護法》規(guī)定的法定情形外，本法第23條要求個人信息處理者獲取用戶個人信息需取得個人在充分知情的前提下的自愿同意。若涉及到向第三方個人信息處理者（如網(wǎng)絡(luò)平臺之間的信息合作共享）提供個人信息，則應(yīng)當(dāng)取得個人的“單獨同意”，接收方變更原先的處理目的、處理方式的，應(yīng)當(dāng)重新取得個人同意。網(wǎng)絡(luò)平臺在收集用戶個人信息前,應(yīng)當(dāng)公示需要收集的個人信息的種類、范圍等，并經(jīng)其同意。此外，根據(jù)國家標(biāo)準《信息安全技術(shù)個人信息安全規(guī)范》（以下簡稱國標(biāo)）的要求，收集個人敏感信息（包括個人身份信息和個人財產(chǎn)信息）時，應(yīng)當(dāng)獲得用戶的明示同意。在平臺行業(yè)中，網(wǎng)絡(luò)平臺收集的個人用戶信息往往由于我國網(wǎng)絡(luò)空間實名制的要求，其收集的個人信息顯然屬于個人敏感信息。而所謂“明示同意。即網(wǎng)絡(luò)平臺在獲取用戶授權(quán)收集個人信息時，不得采取“默示”方式。在司法實踐中，也存在一定數(shù)量的因網(wǎng)絡(luò)平臺用戶協(xié)議注冊頁面自動勾選“已閱讀”“同意”選項而被認定為非法獲取公民個人信息的案例。因此網(wǎng)絡(luò)平臺在設(shè)置用戶注冊協(xié)議時，應(yīng)重點關(guān)注協(xié)議閱讀的充分性和用戶同意的有效性，避免用戶同意環(huán)節(jié)存在意思表示瑕疵。（三）最小必要落實該原則，分三點內(nèi)容:L最小影響。即處理個人信息應(yīng)當(dāng)具有明確的、合理的目的，并應(yīng)當(dāng)與處理目的直接相關(guān),采取對個人權(quán)益影響最小的方式。.最小范圍。網(wǎng)絡(luò)平臺收集個人信息，應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息。根據(jù)《網(wǎng)絡(luò)安全法》第41條規(guī)定，網(wǎng)絡(luò)運營者不得收集與其提供的服務(wù)無關(guān)的個人信息，也即網(wǎng)絡(luò)平臺不得收集與其提供的網(wǎng)絡(luò)平臺服務(wù)無關(guān)的信息。.最短時間。除法律、行政法規(guī)另有規(guī)定外，個人信息的保存期限應(yīng)當(dāng)為實現(xiàn)處理目的所必要的最短時間。具體到網(wǎng)絡(luò)平臺，實踐中常見平臺應(yīng)在用戶注銷賬戶后詢問用戶是否保留注冊信息，并在得到否定答復(fù)后立即刪除，并且保證已刪除信息在技術(shù)上不可恢復(fù)。除上述原則性內(nèi)容判斷方式外，針對該最小必要原則，可依據(jù)《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個人信息范圍規(guī)定》（國信辦秘字〔2021〕14號）列舉的常見類型App予以對照，或可參考國標(biāo)中對收集個人信息的最小必要的釋明予以判斷，以確保處理個人信息符合該原則。根據(jù)國標(biāo)第5.2條規(guī)定，所謂最小化原則，是指企業(yè)所收集的用戶的個人信息應(yīng)與實現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能有直接關(guān)聯(lián)，且收集的頻率和數(shù)量應(yīng)當(dāng)是實現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率和最小數(shù)量。簡而言之，企業(yè)收集個人信息時必須以實現(xiàn)其產(chǎn)品或者服務(wù)的功能為限，不得超出必要的限度收集個人信息。例如，用戶在下載某些APP后，經(jīng)常被索取手機通訊錄、錄音視頻功能等權(quán)限，事實上，該等APP在為用戶提供產(chǎn)品或服務(wù)的過程中，并不需要用到這些功能和/或信息，這種行為顯然嚴重違反了最小必要原則。網(wǎng)絡(luò)平臺手機用戶個人信息合規(guī)指引筆者統(tǒng)計了國家互聯(lián)網(wǎng)信息辦公室發(fā)布的《關(guān)于輸入法等33款A(yù)pp違法違規(guī)收集使用個人信息情況的通報》、浙江省App違法違規(guī)收集使用個人信息專項治理工作組發(fā)布《關(guān)于萌拍拍等57款A(yù)pp違法違規(guī)收集使用個人信息情況的通報》，并結(jié)合《App違法違規(guī)收集使用個人信息行為認定方法》《App違法違規(guī)收集使用個人信息自評估指南》、國標(biāo)等相關(guān)規(guī)定，對網(wǎng)絡(luò)平臺收集個人信息提供5個平臺合規(guī)指引標(biāo)準：.平臺應(yīng)當(dāng)告知用戶個人信息提供后存在的安全風(fēng)險以及不提供的影響，建立個人信息主體詢問、投訴、舉報的渠道和機制。之所以告知安全風(fēng)險，是為了用戶在充分明知的基礎(chǔ)上作出授權(quán)，既是平臺獲取公民個人信息的必要要求，也是平臺一定程度上免除自身責(zé)任的保障。由于《個人信息保護法》規(guī)定了個人信息處理者不得因為個人不同意處理其個人信息為由拒絕為其提供產(chǎn)品或服務(wù)，所以網(wǎng)絡(luò)平臺應(yīng)當(dāng)告知用戶其可以在不完全提供平臺索要的個人信息的基礎(chǔ)上提供服務(wù)，并且向其告知那些個人信息是平臺提供核心服務(wù)所必要的，不提供無法為其正常提供服務(wù)，哪些個人信息是能夠增加服務(wù)質(zhì)量的，不提供可能影響其正常使用平臺功能。至于建立個人信息主體詢問、投訴、舉報的渠道和機制，則是為用戶保障其個人信息權(quán)益提供合理的救濟途徑，包括知情權(quán)、刪除權(quán)等。上述措施一定程度上能夠增加平臺的信用，一旦出現(xiàn)侵犯公民個人信息權(quán)益的情況發(fā)生，平臺可以以盡到合規(guī)義務(wù)為由減輕自身的責(zé)任。.用戶協(xié)議首次運行設(shè)置明顯提示，收集規(guī)則便于訪問和閱讀，強制閱讀，不得采取默認勾選、下拉隱藏、多層嵌套的方式。該條措施既是為了進一步保障公民對平臺處理其個人信息是明知且同意的，避免用戶在未能有效閱讀授權(quán)條款的情況下授權(quán)平臺處理其個人信息，也是平臺減少自身違規(guī)風(fēng)險的重要措施。實踐中，諸多個人信息處理者被違規(guī)的重要原因之一就是用戶在自身權(quán)益受損后指責(zé)平臺未能盡到告知義務(wù)，聲稱自己沒有授權(quán)過平臺處理其個人信息。故平臺可以通過上述方式，尤其是強制閱讀的方式，在爭議產(chǎn)生后有效證明自身盡到了告知義務(wù)，并且證明用戶是在充分了解授權(quán)內(nèi)容后作出授權(quán)平臺處理其個人信息的決定。.明示收集個人信息的目的、方式和范圍，一一列出，變化時通知并取得單獨、二次同意。平臺應(yīng)保證信息同步提醒，簡潔明確，申請權(quán)限時或申請之前，應(yīng)明確逐條告知用戶，申請和使用某權(quán)限的目的、方式和范圍，并不得在未獲得用戶授權(quán)的前提下，將權(quán)限對應(yīng)的數(shù)據(jù)對外提供。本條是《個人信息保護法》的明確規(guī)定。但實踐中，平臺往往忽略的是對外提供個人信息時未能有效獲取用戶的二次同意，這既是平臺合規(guī)意識欠缺導(dǎo)致的，也是出于商業(yè)效率的考量。故筆者在此處要強調(diào)的是，雖然二次同意必定有損于商業(yè)效率，但平臺為保證自身的合規(guī)性，必須在對外提供個人信息時獲得用戶即時的二次授權(quán)。.經(jīng)用戶同意收集使用其個人信息，平臺應(yīng)保證用戶明示同意、授權(quán)同意、在用戶同意范圍內(nèi)、更改時需同意、用戶可撤回同意、不得誘導(dǎo)用戶同意。此處強調(diào)的是平臺應(yīng)當(dāng)轉(zhuǎn)變過去處理用戶個人信息時的態(tài)度，不得將用戶授權(quán)看作是開展服務(wù)的累贅或者處理其個人信息的“尚方寶劍二平臺應(yīng)當(dāng)在處理用戶個人信息時反復(fù)確認和保證其一切處理行為均在用戶許可和開展服務(wù)必要的范圍內(nèi)，認清自己的地位和服務(wù)身份，牢記其中風(fēng)險，時刻審視自身的處理行為是否會對用戶產(chǎn)生不利影響或是背離了用戶授權(quán)的本意。.與現(xiàn)有業(yè)務(wù)功能無關(guān)因而用戶不同意提供個人信息的情況下，平臺非必要不得拒絕提供業(yè)務(wù)功能、不得超出業(yè)務(wù)實際功能需要、不得以業(yè)務(wù)功能無關(guān)的理由強制要求用戶提供，