【国浩·廖理琳 杜玉松】数字时代中消费者的个人信息保护

引言：一年一度的“3.15消费者权益保护日”如约而至。人工智能、移动互联等新兴技术在带来各种新消费场景的同时，也增加了个人隐私泄露、网络诈骗等安全隐患。
2023年5月23日，国家市场监督管理总局、国家标准化管理委员会发布了《信息安全技术 个人信息处理中告知和同意的实施指南》（GB/T 42574-2023）（以下简称《实施指南》），并于2023年12月1日正式生效，其在《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）和《信息安全技术 个人信息安全规范》（GB/T 35273-2020）的基础上，给出了处理个人信息时，向个人告知处理规则、取得个人同意的实施方法和步骤。
值此“3.15消费者权益保护日”之际，本文回顾去年中央广播电视总台“3.15晚会”曝光的三个消费者个人信息泄露的案例，并结合新近生效的《实施指南》的指导内容，简述数字时代对消费者个人信息保护的实施路径。
目 录
案例一：App成手机“窃听器”
案例二：商家因遭差评擅自公布消费者个人信息
案例三：餐饮小程序违规收集个人信息
结语
案例一
App成手机“窃听器”
生活中人们常常会经历这样的“巧合”：上一秒和朋友聊天随口说了一句“想吃火锅”，下一秒打开手机就看到了附近火锅店的团购推荐；上一秒刚收到面试邮件，下一秒手机的推荐搜索就出现了“面试应对技巧”……类似“巧合”的频繁出现让人们“不寒而栗”——难道自己被窃听了？
在港片《窃听风云》中，窃听者使用GSM阻截器，只要输入目标的手机号码，就能轻松进行窃听；随着大数据时代的到来，手机是否也会暗中进行“窃听”呢？又需如何保护消费者个人信息安全？
去年的“3.15”晚会曝光了这样一起网络安全事件：一款视频App的破解版被嵌入了3款第三方插件，即SDK软件包；一旦运行，这3款SDK包就能悄悄地偷走用户手机里的个人信息，从手机设备的识别号，再到电话卡的识别码，甚至手机操作系统的识别码，所有的关键识别信息都能被一网打尽；而只要掌握其中2-3种信息，即使用户更换了手机或电话号码，它也能精准锁定用户，实时捕捉和追踪用户动态，形成用户的精准画像，从而推送大量的广告，进行流量变现。
针对上述行为，法律早已规定，在未经个人明确同意的情况下窃取消费者个人信息属于违法行为：
根据《中华人民共和民法典》（以下简称《民法典》）第1032条规定，违法收集信息的行为属于侵害公民隐私权的行为；根据《民法典》第179条，公民有权要求停止侵害、恢复名誉、消除影响、赔礼道歉，并赔偿损失。
除了上述破解版App的运营者恶意窃取个人信息的情况外，市面上大部分App通过寻求个人授权以获取个人信息。例如，App安装后会问询是否同意“跟踪”，初次使用时都需要我们同意“隐私政策”，而一旦我们勾选了“同意”“已阅读并同意”，我们就自愿授权了许多收集个人信息的权利。如图1所示，某些购物类App会在“隐私政策”中写明，同意“隐私政策”即同意授权记录交易信息。
图1
在操作系统的“更进一步信息”的链接下，可见图2展示的APP授权跟踪内容、处理方式。
图2
全部
这些授权便使得手机APP常常能跟随消费者的“心愿”，推送心里想要的产品和信息。更进一步地，很多APP在安装和使用的过程中，还会不断出现弹窗向我们获取如麦克风权限、位置权限等，消费者在为了自身使用方便让渡这些权限的同时，也为app收集非必要个人信息留了一道“后门”，使随身携带的手机感觉像一个“窃听器”。
更有甚者，如果消费者拒绝授予部分权限，APP便拒绝提供所有服务，该等行为很可能违反了《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号）（以下简称《APP信息范围规定》）的规定，即“App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务”。
而对于什么是APP的“基本功能服务”，在新近生效的《实施指南》在附录A（资料性）项下有了更为明确的指引，并分别列出了App运营者在实施告知App基本业务和扩展业务时的注意点：

A.3:“App运营者可在用户首次进入App时或基本业务功能开启前，通过交互式界面（如弹窗、文字说明、提示条、提示音等形式）向用户告知App所对应的服务类型，以及基本业务功能的开启或使用方式等，并通过简短的个人信息保护政策（指引、声明等）等告知用户基本业务功能所必需的个人信息种类、处理目的等处理规则。”例如：
图3
 A.4:“a）App运营者可在用户使用扩展业务功能前，通过交互式界面（如弹窗、文字说明、提示条等形式）向用户告知扩展业务功能的个人信息处理规则……c）用户不同意收集扩展业务功能所必需的个人信息的，不影响基本业务功能使用或降低基本业务功能的服务质量。”例如：
图4


案例二
商家因遭差评擅自公布消费者个人信息
随着我国数字经济的蓬勃发展，网络消费已经成为社会大众的基本消费方式之一。网购用户享受着互联网带来的便利化、个性化服务的同时，也面临着“数据裸奔”、信息泄露等困境。
去年“3.15”之日，最高人民法院举行新闻发布会，发布十件网络消费典型案例，其中就有案例聚焦消费者的个人信息泄露问题。在“张某等人诉某商家网络侵权责任纠纷一案”中，被告某商家因其提供的“剧本杀”游戏服务被原告张某等人发布“差评”，遂在微信公众号发布与张某等人的微信群聊记录、游戏包厢监控视频录像片段、微信个人账号信息，还称“可向公众提供全程监控录像”。
经审理，法院认定消费者在经营者提供的包间内的活动具有私密性，商家公开消费者包间内监控录像并称可提供全程录像，构成对消费者隐私权的侵害；商家公布张某微信个人账号信息构成对个人信息权益的侵害，除非商家按照《个人信息保护法》第13条的规定，就公布个人信息的行为“取得个人的同意”。
该案例发布一年之际，随着《实施指南》的生效，个人信息保护的规则进一步细化。例如，在上述案例中怎样算是取得了个人同意呢？对于“剧本杀”这类游戏，商家全程会进行录像似乎已经成为了心照不宣的行业惯例，可以因此默认商家已经完成了对收集个人信息的“告知”吗？消费者在没有明示不同意的情况下可以被推定为“同意”吗？
《实施指南》发布后，其中第9.1条为“同意”的机制与方式提供了细化的指引。9.1条共包括9.1.1和9.1.2，分别介绍了“同意”的两种机制：“明示同意”和“其他同意”（即：可推定同意）。关于“明示同意”的具体方式，9.1条采用列举的方式，在（a）~（h）条举例了8种常用的方式。如：

 9.1.1：“（a） 个人通过交互式界面作出主动勾选、主动点击‘同意’‘下一步’‘继续’、滑动滑块、主动发送等动作表示意愿。”
图5
图5所示即为9.1.1（a）中规定的明示同意的方式。
关于“可推定同意”，《实施指南》在9.1.2条列出了可推定同意须满足的4个条件，同时在附录N中列出了可推定同意的四种情形。需要注意的是，即使是可推定同意，个人依然可以行使撤回同意的权利：
9.1.2：“可推定为个人表示同意的情形示例见附录 N。使用该方式取得个人同意时，需同时满足以下条件:
a）取得明示同意存在显著困难
……
d) 被推定为个人同意的情形不影响个人行使撤回同意的权利。”

据此，若“剧本杀”商家取得消费者明示同意并不存在显著困难，则仍应在取得消费者“明示同意”后，方能对其个人信息进行收集和处理。具体到本案情形，虽然大部分玩家均已知晓游戏过程中会进行录像并会对录像进行合理的处理，商家仍具有告知义务并需要经过玩家的明示同意。此外，对于案件中出现的提供、公开个人信息的情形，根据《实施指南》5.2、6.1条的规定，提供、公开个人信息必须告知个人并获得同意。

案例三
餐饮小程序违规收集个人信息
2023年“3.15”前夕，上海市消费者权益保护委员会对29家知名度较高的奶茶店和快餐店进行暗访，发现其中有多个品牌小程序会索要消费者的手机号，部分品牌在消费者拒绝提供手机号后无法进行点餐。除此之外，有的扫码点餐小程序必须要提供位置信息才能点餐；而有的扫码点餐小程序在用户拒绝提供位置信息后，虽然仍可点餐，但会频繁弹窗提示，对消费者正常使用造成干扰。进一步调查发现，65%的消费者不愿在扫码点餐时向商家提供手机号码；56%的消费者对强制获取位置信息表示担忧。[注1]
近年来，餐饮小程序违规收集个人信息的行为屡见不鲜。2023年12月21日，海南省举行了开展互联网移动应用程序专项治理工作新闻通气会。海南省互联网信息办公室针对一批群众反映强烈的小程序收集使用个人信息情况进行了技术检测，结果显示有7款餐饮小程序均不同程度存在非法获取、超范围收集、过度索权等违法违规收集使用个人信息行为。[注2]
从监管部门对餐饮小程序违规收集个人信息问题的反馈来看，餐饮小程序存在的问题主要表现为：
▷ 过度收集消费者个人信息；
▷ 未向用户提供隐私政策或提供的隐私政策未达标；
▷ 在用户拒绝同意后频繁提示干扰用户正常使用等。
对于该等过度收集个人信息的行为：

《个人信息保护法》第六条规定：“收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。”
《消费者权益保护法》第二十九条规定：“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。”

即便如此，很多用户表示，虽然自己不愿意提供，平台也允许拒绝或撤回同意，但由于拒绝或撤回同意页面后会频繁弹窗提示，对正常使用造成干扰，最终只好选择同意提供相关信息。这种情况下，《个人信息保护法》中规定的“非必要不收集”原则就可能“有名无实”。消费者在选择是否愿意让个人信息处理者收集个人信息时，仍然处于相当被动的地位。
针对商家这一“霸道”行为,《实施指南》9.5和9.6条分别规定：

 “个人拒绝同意后，如相关个人信息并非为提供服务所必需，不以频繁询问、请求（如 48h 内超过 1 次询问）同意方式对个人造成打扰”；
 “个人撤回同意后，个人信息处理者不采用频繁打扰等方式，反复提醒个人再次同意对个人信息的处理”。

这一细化指引有助于进一步保护消费者能够顺利地行使拒绝同意、撤回同意的权利，对自身个人信息的让渡有了真正的选择权。
再例如，对于前文所述海南省互联网信息办公室检测到的许多餐饮小程序未向客户提供隐私政策的行为，或者虽然提供了隐私政策，但是隐私政策中应列出的事项不完整、隐私政策中提供的操作与实际操作路径不符的情况，《个人信息保护法》仅在第7条规定“处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。”
但如何才算公开了个人信息处理规则？哪些内容应当公开？以什么方式公开？对于实践中出现的大量操作性问题，《实施指南》在8.1条细化了指引，隐私政策应当采用“一般告知”的方式告知用户：

“一般告知，主要用于个人信息处理者在处理个人信息前向个人全面阐述个人信息处理规则，且通常采用制定、展示个人信息保护政策（或被称为“隐私协议”“隐私政策”“隐私权政策”等）的形式进行告知。”
图6
如图6所示，某咖啡品牌餐饮小程序通过“一般告知”的方式告知隐私政策。
同时，《实施指南》在7.1条规定了告知应当遵循“公开透明”和“真实明确”的原则：
 “个人信息处理者在实施告知时需考虑以下基本原则：
a) 公开透明：公布处理个人信息的种类、目的、方式、安全措施等处理规则，不采取故意遮挡、隐藏等方式诱导个人略过告知内容……
d) 真实明确：告知个人信息的处理种类、目的、方式等规则与实际情况一致，且需结合实际业务功能，不使用笼统、宽泛的表述。”

例如，以下图7、8均出自同一餐饮小程序，消费者在小程序初始页面必须选择“同意”方能进入小程序，然而初始页面并没有提供“隐私政策”供消费者点击查看。因此，消费者实际上是在无法了解“隐私政策”的情况下被迫选择了“同意”。进入小程序后，消费者只能在个人主页的一个小角落里找到“隐私政策”。在《实施指南》生效后，该商家应调整该等隐私政策的告知方式，才能符合《实施指南》项下的“公开透明”的基本原则。
图7
图8
下图9、10分别为两个不同的餐饮小程序“隐私政策”中对信息使用规则的解释，对比而言，图9所示的商家并未明确告知个人信息使用规则，而是采用了笼统、宽泛的表述，而图10则更加明确阐述了收集信息的目的，处理信息的方式，更加贴合《实施指南》项下“真实明确”的原则的要求。
图9
图10
《实施指南》通过对个人信息处理者“告知”这一行为的具体方式和基本原则进行规定，明确了商家告知义务，保障了消费者在使用平台服务的过程中能够对平台真实的个人信息处理规则了然于心。

结 语
自《个人信息保护法》颁布以来，“告知-同意”规则被确立为个人信息保护中的核心原则和黄金原则。随着互联网时代各种新消费场景的出现，个人信息泄露的实务模式也越来越复杂，《实施指南》生效之后，对个人信息处理者收集和处理个人信息时及时告知并经过个人同意提出了更为细致、严格的要求。
数字经济的蓬勃发展已是势不可挡，个人信息保护问题亦与其相生相伴，唯有不断跟进个人信息保护的合规要求，正确理解、适用法律规范，方能让网络消费更好地服务于社会生活与经济发展，勿让个人信息安全问题成为数字经济时代的“阿喀琉斯之踵”。

注释及参考文献
[1] 澎湃新闻∙ 澎湃研究所：《“扫码点餐”要求授权手机号，个人信息安全怎么保障？》（2023-03-21）[2024-02-23] https://www.thepaper.cn/newsDetail_forward_22385197
[2] 中新网海南：《违法违规收集使用个人信息 海南22款App被限期整改》（2023-12-22）[2024-02-23] http://www.hi.chinanews.com.cn/hnnew/2023-12-22/695897.html
作者简介
廖理琳
国浩北京合伙人
业务领域：建设工程与房地产，科技、电信与互联网，投资与并购
邮箱：liaolilin@grandall.com.cn
杜玉松
国浩北京管理合伙人
业务领域：资本市场、投资基金与私募股权、建设工程与房地产
邮箱：duyusong@grandall.com.cn
（国浩北京实习生戴晓钰对本文亦有贡献。）
相关阅读
算法中的性别偏见与应对策略
体面的退出：从小程序涉及的数据“删除权”说起
大数据时代妇女隐私及个人信息保护
从 “一带一路”涉外工程，谈强制招标制度的立法沿革及展望
拾遗重光：项目开发中的历史建筑保护性利用（下）
拾遗重光：项目开发中的历史建筑保护性利用（上）
外商投资互联网数据中心（IDC）项目的交易结构建议
互联网数据中心（IDC）项目风控要求概述——聚焦于土建、用电和运营方面
互联网数据中心（IDC）与智算中心的发展趋势及行业监管
互联网数据中心（IDC）项目准入要求概述——聚焦于节能、立项和环评方面
执行中追加未履行出资义务的股东问题研究——以公司法修订、执行法立法为背景
传统商业数字化转型的机遇与挑战——小程序商城运营中的法律问题
《反垄断法》修订后对房地产行业经营者集中申报的观察与建议（下）
《反垄断法》修订后对房地产行业经营者集中申报的观察与建议（上）
2023年房地产行业及其法律服务的趋势展望
【 特别声明：本篇文章所阐述和说明的观点仅代表作者本人意见，仅供参考和交流，不代表本所或其律师出具的任何形式之法律意见或建议。】