查看详情
文丨天元律师事务所 刘瑛 王玄
2017年6月1日《中华人民共和国网络安全法》(“《网络安全法》”)实施以来,其中与数据安全和个人信息保护有关的规范要求尤为引人关注。特别是近两年来数据安全事件、个人信息泄露事件频发,欧盟《通用数据保护条例》(“GDPR”)、美国加州《消费者隐私法案》(“CCPA”)等域外监管要求提升的背景下,对于作为网络运营者的企业,就所处行业、不同的业务和平台下在数据安全和个人信息保护方面有哪些问题,如何在《网络安全法》框架下结合行业特点和企业特性积极有效地应对、进而搭建与本企业相适应的数据合规体系。值《网络安全法》实施两年之际,天元将推出数据合规系列文章,从不同维度归纳和分享我们对问题的思考及实务经验。
无论是将平台用于销售/提供自有商品和服务(自营平台),还是为交易方提供平台服务(第三方平台),电商平台都会收集、使用用户个人信息。本文将结合电商平台的特点,归纳和梳理电子商务经营者数据合规管理要点。
一、用户信息的收集管理要点
1. 用户信息收集的方式安排
对于用户个人信息的收集和使用,电商平台通常通过用户注册时签署用户协议、隐私政策的方式集中取得用户授权。
用户协议是规范电商平台与用户之间权利义务关系的基础文件,其中会涉及用户个人信息收集、使用的内容。对于用户个人信息的收集、保存、使用、委托处理、共享、转移、公开披露等数据管理全链条中的具体事项,则在隐私政策中集中规定,并加以细化。用户协议、隐私政策一般由用户主动勾选、明示同意。
此外,对于具体产品或特定服务下需要收集的信息,可以通过具体产品协议、服务条款做出约定和安排;对于敏感信息或者需要调取终端权限(例如手机通讯录权限、摄像头权限)的信息,还可以以弹窗等方式再次提示。
2. 用户信息收集的正当性和必要性考量
电商平台收集、使用用户个人信息同样需要遵循合法、正当、必要的原则,特别是所收集信息的正当性和必要性。
通过隐私政策等文件集中取得用户授权时,需要关注所列信息是否为用户使用服务所必需,是否与实现产品或服务的业务功能有直接关联。如果不提供该信息并不影响该产品或服务功能的实现,则该信息不属于必要信息。
对于已经通过隐私政策等文件集中取得用户授权的信息,在实际操作时,需要考虑在哪一业务环节下收集更符合必要性的要求