前言

近日一款名為“ZAO”的手機APP在朋友圈刷屏，使用該款軟件，用戶通過上傳自拍照，就可以把多部經(jīng)典影視劇主角的臉替換成自己的臉。但很快，“ZAO”的隱私政策的相關(guān)條款引發(fā)了網(wǎng)友爭議。根據(jù)其隱私政策（據(jù)我們的最新核實， ZAO已對其隱私政策進行修改并刪除相關(guān)爭議內(nèi)容），用戶上傳相關(guān)內(nèi)容即意味著同意授予“ZAO”及其關(guān)聯(lián)公司以及“ZAO”的用戶在“全球范圍內(nèi)完全免費、不可撤銷、永久、可轉(zhuǎn)授權(quán)和可再許可的權(quán)利，包括但不限于可以對用戶內(nèi)容進行全部或部分的修改與編輯”。除此霸王條款外，網(wǎng)友還爆出“ZAO”的用戶無法直接刪除已經(jīng)上傳的照片、無法注銷自己的賬號等情形。

而就在一個多月前，App專項治理工作組[1]（“工作組”）發(fā)布公告稱，其近期對用戶數(shù)量大、與民眾生活密切相關(guān)的部分App的隱私政策和個人信息收集使用情況進行了評估并發(fā)現(xiàn)，40款App在個人信息收集使用方面存在諸多問題，例如未經(jīng)用戶允許即收集信息、過度收集信息、用戶注銷后不及時刪除個人信息，以及APP未公開有效聯(lián)系方式等。這40款APP涉及金融借貸、閱讀、新聞閱讀、社交等多個領(lǐng)域，其中包括“扇貝單詞”、“同花順”、“起點讀書”等知名APP。

近年來，隨著互聯(lián)網(wǎng)的應(yīng)用和普及，個人信息[2]被大量采集和使用，而與之相關(guān)的過度采集和濫用等問題也日趨嚴重。然而在立法層面，《個人信息保護法》卻遲遲未出臺，與個人信息保護相關(guān)的規(guī)定僅散見于《中華人民共和國網(wǎng)絡(luò)安全法》（“網(wǎng)絡(luò)安全法”）、《中華人民共和國刑法》（“刑法”）、《全國人民代表大會常務(wù)委員會關(guān)于加強網(wǎng)絡(luò)信息保護的決定》（“加強網(wǎng)絡(luò)信息保護的決定”），以及《電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定》（“個人信息保護規(guī)定”）等法律法規(guī)中，此外還有諸如國家標準《信息安全技術(shù)個人信息安全規(guī)范》（GB/T 35273—2017）（下稱“個人信息國標”）等規(guī)范性文件。本文擬從現(xiàn)行有效的與個人信息保護相關(guān)的法律法規(guī)出發(fā)，結(jié)合楊春寶律師團隊為眾多客戶提供個人信息保護相關(guān)的法律服務(wù)的實際工作經(jīng)驗，就企業(yè)在制訂對內(nèi)/對外的個人信息保護規(guī)則（下稱“個人信息規(guī)則”或“隱私政策”）時應(yīng)關(guān)注的核心要點進行介紹，以期對廣大企業(yè)在日常的生產(chǎn)經(jīng)營活動中正確處理（包括收集、保存、使用和刪除等）個人信息提供有益參考。

一、對外——企業(yè)如何制訂針對用戶/消費者的隱私政策

前不久，國家網(wǎng)信辦公布的《數(shù)據(jù)安全管理辦法（征求意見稿）》（下稱“數(shù)據(jù)安全意見稿”）就對此進行了明確規(guī)定。根據(jù)該意見稿，個人信息收集、使用規(guī)則應(yīng)當包括：網(wǎng)絡(luò)運營者信息（網(wǎng)絡(luò)運營者基本信息，及其主要負責(zé)人、數(shù)據(jù)安全責(zé)任人的姓名及聯(lián)系方式），收集、使用個人信息的具體規(guī)則（收集和使用的目的/種類/數(shù)量/頻度/方式/范圍等，信息保存地點、期限及到期后的處理方式，向他人提供信息的規(guī)則和信息安全保護策略），以及個人信息主體的權(quán)利（撤銷同意，查詢、更正、刪除個人信息的途徑和方法，投訴、舉報渠道和方法等）。

雖然數(shù)據(jù)安全意見稿并未正式生效，但楊春寶律師團隊認為，該文件對規(guī)范企業(yè)收集、使用用戶/消費者個人信息的行為具有一定的指導(dǎo)意義，因此強烈建議廣大企業(yè)參考該意見稿制訂、修改相關(guān)隱私政策，并在后續(xù)的商務(wù)實踐中嚴格遵守。

以下我們將結(jié)合相關(guān)法律法規(guī)以及我們的服務(wù)經(jīng)驗介紹個人信息收集、使用和刪除的具體規(guī)則：

1、個人信息的收集

誠然，不同企業(yè)的隱私政策因其所處行業(yè)和實際經(jīng)營情況的不同而有所區(qū)別，不過楊春寶律師團隊認為，關(guān)于個人信息的收集所應(yīng)遵循的主要原則應(yīng)當是趨同的，而其中最重要的兩項原則即經(jīng)權(quán)利人同意原則和最小化原則。

關(guān)于經(jīng)權(quán)利人同意原則。根據(jù)個人信息保護規(guī)定，企業(yè)在收集用戶/消費者個人信息前，務(wù)必公示需要收集的個人信息的種類、范圍等，并經(jīng)其同意。未經(jīng)公示并經(jīng)消費者同意的，企業(yè)不得收集用戶的相關(guān)個人信息。此外，根據(jù)個人信息國標的要求，收集個人敏感信息[3]時，應(yīng)當獲得用戶的明示同意[4]。

關(guān)于最小化原則。根據(jù)個人信息國標第5.5條規(guī)定，所謂最小化原則是指企業(yè)所收集的用戶/消費者的個人信息應(yīng)與實現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能有直接關(guān)聯(lián)，且收集的頻率和數(shù)量應(yīng)當是實現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率和最小數(shù)量。簡而言之，企業(yè)收集個人信息時必須以實現(xiàn)其產(chǎn)品或者服務(wù)的功能為限，不得超出必要的限度收集個人信息。然而在商務(wù)實踐中，企業(yè)通過APP過度索權(quán)，明顯超出APP的業(yè)務(wù)功能范圍收集用戶/消費者個人信息的現(xiàn)象層出不窮，例如：用戶在下載某些APP后，經(jīng)常會被索取手機通訊錄、錄音視頻功能等權(quán)限，而事實上，該等APP在為用戶提供產(chǎn)品或服務(wù)的過程中，并不需要用到這些功能和/或信息，這種行為顯然嚴重違反了最小化原則。本次被工作組點名的40款APP中，大約有三分之一的APP存在違反最小化原則的現(xiàn)象，尤其是金融貸款類的APP，大多會強行收集用戶通訊錄中的信息。

2、個人信息的保存、使用和處理

個人信息的使用與處理必須建立在保證信息安全的基礎(chǔ)上。根據(jù)網(wǎng)絡(luò)安全法相關(guān)規(guī)定，企業(yè)應(yīng)當采取技術(shù)措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失。此外，根據(jù)個人信息保護規(guī)定，電信業(yè)務(wù)經(jīng)營者、互聯(lián)網(wǎng)信息服務(wù)提供者應(yīng)當采取相關(guān)措施防止用戶個人信息泄露、毀損、篡改或者丟失。而個人信息國標要求企業(yè)在收集用戶信息后采用一定的技術(shù)手段進行去標識化[5]保存，以此來保障收集到的信息不被泄露。因此我們建議企業(yè)應(yīng)當在隱私政策中明確告知用戶/消費者，企業(yè)保存其個人信息的具體方式以及保障其個人信息安全的具體措施。

根據(jù)個人信息國標的相關(guān)規(guī)定，企業(yè)在使用個人信息時，不得超出與收集個人信息時所聲稱的目的具有直接或合理關(guān)聯(lián)的范圍。因業(yè)務(wù)需要，確需超出上述范圍使用個人信息的，應(yīng)再次征得用戶明示同意。此次“ZAO”APP的隱私條款之所以會引發(fā)巨大爭議，原因便是在于相關(guān)條款明顯違反相關(guān)法律法規(guī)對于個人信息使用的限定。根據(jù)“ZAO”修改前的隱私政策，一旦用戶點擊同意該隱私政策，“ZAO”的即運營企業(yè)可對用戶上傳的數(shù)據(jù)和信息進行再編輯和使用而無需再次征得用戶同意，這一要求顯然與個人信息國標的規(guī)定相悖。

此前，“ZAO”還在其隱私政策中規(guī)定，用戶上傳的個人信息除“ZAO”APP平臺運營方享有使用的權(quán)利外，其關(guān)聯(lián)公司也享有同樣的權(quán)利。而根據(jù)個人信息國標，企業(yè)在轉(zhuǎn)移、共享收集到的個人敏感信息前，應(yīng)當告知用戶轉(zhuǎn)移的對象，并征得用戶明示同意。“ZAO”的關(guān)聯(lián)公司為獨立主體，而“ZAO”的用戶上傳至平臺的信息大多為個人照片，一旦遭到泄露，將很可能導(dǎo)致個人受到歧視（如用戶的外貌遭到帶有侮辱性的評頭論足）或危及個人財產(chǎn)安全（考慮到部分支付工具支持刷臉，用戶照片可能會被不法分子利用），因此我們理解，該等信息當屬于個人敏感信息范疇，因此“ZAO”在向其關(guān)聯(lián)公司轉(zhuǎn)移或共享用戶個人敏感信息時理應(yīng)征得用戶同意，因此“ZAO”修改前的隱私政策相關(guān)內(nèi)容顯然違反了個人信息國標。事實上我們注意到很多企業(yè)在制訂隱私政策時亦會像“ZAO”APP那樣加入一些“霸王條款”，強烈建議該等企業(yè)嚴格依法行事，切勿為了貪圖信息處理的便利性而剝奪用戶應(yīng)享有的涉及其個人信息的相關(guān)權(quán)益，以免受到相關(guān)行政處罰和/或招致用戶的民事索賠。

企業(yè)除了要避免前述“霸王條款”外，還應(yīng)當注意大數(shù)據(jù)技術(shù)對于個人信息使用和處理的影響。隨著大數(shù)據(jù)技術(shù)的發(fā)展，企業(yè)在收集用戶/消費者的個人信息后，不只是簡單利用這些個人信息向用戶/消費者提供產(chǎn)品和服務(wù)，更會對這些個人信息進行加工、處理，通過處理后得到該用戶/消費者的用戶畫像[6]，而后基于用戶畫像向用戶推送相關(guān)新聞信息、廣告等。如果征得用戶/消費者的同意，并且僅是出于為用戶/消費者提供更優(yōu)質(zhì)的產(chǎn)品和服務(wù)的目的進行推送的，當然無可厚非。然而，在實踐中，一些企業(yè)卻利用用戶畫像侵犯用戶/消費者的合法權(quán)益，例如最近幾年頻繁爆出的“大數(shù)據(jù)殺熟”[7]就是典型的企業(yè)利用用戶畫像侵犯消費者權(quán)益的現(xiàn)象。雖然近年來網(wǎng)信辦多次約談了利用“大數(shù)據(jù)殺熟”的網(wǎng)絡(luò)平臺經(jīng)營者，但是實踐中仍存在違法利用大數(shù)據(jù)等加工處理個人信息的行為，例如去年五月爆出的攜程大數(shù)據(jù)殺熟事件，有用戶稱在攜程APP上預(yù)訂酒店，使用不同的攜程賬號搜索同一家酒店同一房型顯示的價格并不相同，在沒有任何優(yōu)惠的情況下，同一時間作為老用戶的賬號顯示酒店預(yù)訂價格為208元，而新用戶賬號顯示的價格僅為198元，兩個賬號價格存在較大差異。針對此類現(xiàn)象，數(shù)據(jù)安全意見稿作出了一定的規(guī)制，即：企業(yè)通過互聯(lián)網(wǎng)等利用用戶畫像推送新聞信息、商業(yè)廣告等（下稱“定向推送”），應(yīng)當以明顯方式標明“定向推送”字樣，同時還應(yīng)該給予用戶選擇權(quán)，消費者可以選擇定向推送的數(shù)據(jù)信息，也可以選擇非定向推送的數(shù)據(jù)信息。關(guān)于定向推送，今年生效的《中華人民共和國電子商務(wù)法》中也明確規(guī)定，在根據(jù)消費者的興趣愛好、消費習(xí)慣等特征向其提供商品或者服務(wù)的搜索結(jié)果時，企業(yè)應(yīng)當同時向該消費者提供不針對其個人特征的選項。因此，我們建議企業(yè)在隱私政策中列明使用和處理用戶/消費者個人信息的具體方式，而對于定向推送等服務(wù)，企業(yè)應(yīng)當告知用戶/消費者選擇非定向推送信息的渠道和方式，以避免被認定為存在“大數(shù)據(jù)殺熟”或其它利用用戶畫像侵犯消費者合法權(quán)益的行為。

3、個人信息出境

對于跨國公司而言，將收集到的某些個人信息傳送到國外的子公司或者母公司進行存儲或者處理是慣常操作，而該行為必須遵循涉及個人信息出境[8]的法律法規(guī)。網(wǎng)絡(luò)安全法對關(guān)鍵信息[9]出境作出了較為原則性的規(guī)定，即要求關(guān)鍵信息的運營者在中國境內(nèi)運營的過程中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)應(yīng)當在境內(nèi)存儲。而今年6月國家網(wǎng)信辦出臺的《個人信息出境安全評估辦法（征求意見稿）》（下稱“安全評估辦法”）對個人信息出境問題進行了擴展和進一步明確。該辦法規(guī)定，如網(wǎng)絡(luò)運營者向境外提供在中國境內(nèi)運營的過程中收集的個人信息，應(yīng)當向所在地省級網(wǎng)信部門申報并進行安全評估。經(jīng)安全評估認定個人信息出境可能影響國家安全、損害公共利益，或者難以有效保障個人信息安全的，不得出境。與此同時，網(wǎng)絡(luò)運營者應(yīng)當建立個人信息出境記錄并且至少保存5年。雖然該辦法尚未正式頒布生效，但是對于涉及個人信息出境的跨國公司而言仍有較強的參考意義，我們建議其在隱私政策中明示用戶/消費者個人信息出境的目的等信息，并承諾將嚴格依法行事。

4、個人信息的更正與刪除

根據(jù)網(wǎng)絡(luò)安全法的相關(guān)規(guī)定，對于用戶/消費者而言，如發(fā)現(xiàn)企業(yè)收集的其個人信息存在錯誤，其有權(quán)要求企業(yè)進行更正（即更正權(quán)）。而刪除權(quán)，也被稱為“被遺忘權(quán)”，該權(quán)利最早在2012年歐盟的相關(guān)個人信息法案中被提出，其權(quán)利基礎(chǔ)在于企業(yè)并無權(quán)永久使用其收集的用戶/消費者的個人信息。我國法律法規(guī)中雖沒有“被遺忘權(quán)”的相關(guān)規(guī)定，但是根據(jù)個人信息國標以及公安部等部門發(fā)布的《互聯(lián)網(wǎng)個人信息安全保護指南》等相關(guān)規(guī)定，個人信息應(yīng)在實現(xiàn)目的所必需的最短時間內(nèi)保存，而超過保存時限之后應(yīng)刪除個人信息。如本文前言部分所述，“ZAO”APP此前的隱私政策限制用戶直接刪除其上傳的圖片，這一行為事實上侵犯了用戶的刪除權(quán)，應(yīng)予以糾正。同時根據(jù)網(wǎng)絡(luò)安全法的相關(guān)規(guī)定，如企業(yè)違反法律法規(guī)或者與用戶的約定收集個人信息，用戶有權(quán)要求企業(yè)即刻刪除收集到的個人信息。因此，我們強烈建議企業(yè)應(yīng)當在隱私政策中列明用戶/消費者享有更正權(quán)、刪除權(quán)等權(quán)利，并且告知用戶/消費者行使該等權(quán)利的具體渠道及步驟。   

5、兒童信息的特殊保護

除前述關(guān)于隱私政策的普適原則和內(nèi)容外，企業(yè)在收集用戶/消費者的個人信息時還應(yīng)當特別關(guān)注對兒童[10]的特殊保護。國家網(wǎng)信辦在2019年8月22日公布了《兒童個人信息網(wǎng)絡(luò)保護規(guī)定》（下稱“兒童信息保護規(guī)定”）。根據(jù)該規(guī)定，企業(yè)在收集兒童個人信息時，應(yīng)當遵循更加嚴格的程序，例如：在收集、使用兒童個人信息時，應(yīng)當以顯著、清晰的方式告知兒童監(jiān)護人且征得其明示同意；兒童或者其監(jiān)護人要求企業(yè)刪除其收集、存儲、使用的兒童個人信息的，企業(yè)應(yīng)當及時采取措施予以刪除。

兒童信息保護規(guī)定將于2019年10月1日起正式生效，因此我們強烈建議企業(yè)（尤其是主要面向兒童提供產(chǎn)品服務(wù)的企業(yè)，例如一些益智類電子游戲的經(jīng)營者等）在制訂隱私政策時應(yīng)當將該規(guī)定的相關(guān)內(nèi)容納入其中，并在收集、使用兒童個人信息時加以嚴格遵守。

二、對內(nèi)——企業(yè)如何制訂員工隱私政策

在商業(yè)實踐中，企業(yè)為日常經(jīng)營和內(nèi)部管理之目的，往往需要不時收集/使用員工的相關(guān)個人信息，有時還要根據(jù)業(yè)務(wù)需要將該等信息提供給合作方。而在進行員工個人信息收集、處理的過程中，存在信息過度收集、信息不當泄露（因企業(yè)自身或合作方的原因）或遭受黑客攻擊等各種潛在風(fēng)險。因此，如何制訂一份合法有效且具備可操作性的員工隱私政策，對廣大企業(yè)而言至關(guān)重要。我們理解，企業(yè)為其外部用戶/消費者制訂的個人信息規(guī)則所遵循的原則和應(yīng)注意的關(guān)鍵點應(yīng)同樣適用于其內(nèi)部員工隱私政策，此外，考慮到企業(yè)所收集的員工信息在內(nèi)容上可能會比企業(yè)所收集的外部用戶/消費者的信息更為具體和私密（如員工信息可能涉及婚姻狀況、近親屬信息等），員工隱私政策應(yīng)當更強化信息保護方面的措施。

楊春寶律師團隊的一外資客戶在日常經(jīng)營活動中經(jīng)常需要將員工派駐至委托方（俗稱“甲方”）處提供服務(wù)，因此需應(yīng)甲方要求向其提供該等員工的包括姓名、聯(lián)系方式、學(xué)歷和工作經(jīng)歷等在內(nèi)的相關(guān)個人信息。該客戶系一家英國上市公司，因此，于2018年5月正式實施的被稱為“史上最嚴格的隱私和安全法”的歐盟《通用數(shù)據(jù)保護條例》（General Data Protection Regulation，下稱“GDPR”）直接適用于該客戶（如英國在未來正式退出歐盟，GDPR的規(guī)定將被寫入英國的《2018數(shù)據(jù)保護法》）。根據(jù)GDPR，個人數(shù)據(jù)只屬于本人，不屬于其他任何人，個人擁有了解其個人數(shù)據(jù)被如何處理、訪問，要求更正不正確的個人數(shù)據(jù)，要求刪除個人數(shù)據(jù)，抗議個人數(shù)據(jù)被用于營銷，在特定情況下要求限制個人數(shù)據(jù)處理等多項權(quán)利。違反GDPR將被處以高達全球收入的4％或2000萬歐元的罰款，以較高者為準，GDPR同時支持數(shù)據(jù)主體尋求損害賠償。因此，盡管該客戶的英國總部擁有非常完善的員工隱私政策，其在中國境內(nèi)的業(yè)務(wù)公司在員工個人信息保護方面也必須符合中國的法律法規(guī)和國家標準的要求。為了最大限度降低該客戶在中國境內(nèi)處理員工個人信息的相關(guān)風(fēng)險，我們及時為其制訂了《員工隱私政策》并涵蓋以下主要內(nèi)容：

第一，員工個人信息的收集。該部分內(nèi)容與本文前述企業(yè)制訂對外隱私政策時所需要注意的事項大致相同，即應(yīng)遵循經(jīng)權(quán)利人同意和最小化原則等要點，同時應(yīng)將隱私政策作為公司的重要規(guī)章制度，在員工入職時讓其對隱私政策的紙質(zhì)或電子文檔進行簽收。此外，我們還提請客戶注意，在員工入職時如需收集其近親屬的相關(guān)信息，應(yīng)征得其近親屬的同意，并將客戶收集該等信息的目的和客戶的聯(lián)系方式告知該等近親屬。

第二，員工個人信息的保存。在這方面，我們針對客戶公司對員工的信息保存設(shè)置了相關(guān)條款，建議客戶應(yīng)在必要時建立獨立的數(shù)據(jù)庫，存儲員工個人信息。如需對員工個人信息進行訪問、管理、維護，則應(yīng)設(shè)置嚴格的內(nèi)部審批流程。此外，隱私政策在涵蓋員工查詢和更正其個人信息的權(quán)利的同時，也明確了員工在離職時享有的被遺忘權(quán)，即有權(quán)要求客戶永久性刪除其收集到的離職員工的相關(guān)信息。

第三，員工個人信息的披露與使用。這部分主要涉及客戶在商業(yè)往來中，對外提供員工個人信息時應(yīng)遵循的原則。我們建議客戶如確有必要向甲方披露員工個人信息時，必須經(jīng)公司管理層的嚴格批準，以防止員工個人信息被濫用。并且，在向甲方披露員工個人信息時，務(wù)必與甲方簽訂保密條款，保證所披露的員工個人信息不被泄露。與此同時，我們還建議客戶應(yīng)當對該等披露活動進行完整的記錄，包括披露的目的、披露的信息種類等。當然，對于為了公共安全或者應(yīng)有權(quán)機關(guān)強制性要求進行披露的，可不經(jīng)相關(guān)員工同意，但應(yīng)在依法進行披露的同時，書面告知相關(guān)員工。

結(jié)語

如前文所述,“ZAO”APP在網(wǎng)友的一片質(zhì)疑聲中對其用戶隱私政策進行了修訂，刪除了違法違規(guī)的相關(guān)內(nèi)容。而工作組也在公告中要求本次涉嫌違規(guī)的40款App的運營者應(yīng)當及時聯(lián)系工作組并對其隱私政策的相關(guān)內(nèi)容進行整改，否則工作組將建議相關(guān)部門予以處置。而對于企業(yè)而言，如未能制訂出一套合法合規(guī)且行之有效的員工隱私政策，將存在因侵犯員工個人信息而招致索賠的潛在法律風(fēng)險。因此，楊春寶律師團隊建議廣大企業(yè)（特別是網(wǎng)絡(luò)平臺和APP運營者等）及時制訂或完善對內(nèi)和對外的隱私政策并向用戶/消費者/員工及時公布，并在今后的日常運營中，嚴格遵守適用法律法規(guī)和隱私政策，依法收集、使用、保管、刪除個人信息，以避免因相關(guān)違法違規(guī)行為而招致民事賠償，被處以行政處罰甚至追究刑事責(zé)任。（華東政法大學(xué)研究生徐冬冬對本文亦有貢獻）