ZAO！怎樣合法收集使用個人信息，你“造”嗎？
——淺析企業(yè)應如何制訂隱私政策
楊春寶 孫瑱
前言
近日一款名為“ZAO”的手機APP在朋友圈刷屏，使用該款軟件，用戶通過上傳自拍照，就可以把多部經(jīng)典影視劇主角的臉替換成自己的臉。但很快，“ZAO”的隱私政策的相關條款引發(fā)了網(wǎng)友爭議。根據(jù)其隱私政策（據(jù)我們的最新核實， ZAO已對其隱私政策進行修改并刪除相關爭議內(nèi)容），用戶上傳相關內(nèi)容即意味著同意授予“ZAO”及其關聯(lián)公司以及“ZAO”的用戶在“全球范圍內(nèi)完全免費、不可撤銷、永久、可轉(zhuǎn)授權和可再許可的權利，包括但不限于可以對用戶內(nèi)容進行全部或部分的修改與編輯”。除此霸王條款外，網(wǎng)友還爆出“ZAO”的用戶無法直接刪除已經(jīng)上傳的照片、無法注銷自己的賬號等情形。
而就在一個多月前，App專項治理工作組[1]（“工作組”）發(fā)布公告稱，其近期對用戶數(shù)量大、與民眾生活密切相關的部分App的隱私政策和個人信息收集使用情況進行了評估并發(fā)現(xiàn)，40款App在個人信息收集使用方面存在諸多問題，例如未經(jīng)用戶允許即收集信息、過度收集信息、用戶注銷后不及時刪除個人信息，以及APP未公開有效聯(lián)系方式等。這40款APP涉及金融借貸、閱讀、新聞閱讀、社交等多個領域，其中包括“扇貝單詞”、“同花順”、“起點讀書”等知名APP。
近年來，隨著互聯(lián)網(wǎng)的應用和普及，個人信息[2]被大量采集和使用，而與之相關的過度采集和濫用等問題也日趨嚴重。然而在立法層面，《個人信息保護法》卻遲遲未出臺，與個人信息保護相關的規(guī)定僅散見于《中華人民共和國網(wǎng)絡安全法》（“網(wǎng)絡安全法”）、《中華人民共和國刑法》（“刑法”）、《全國人民代表大會常務委員會關于加強網(wǎng)絡信息保護的決定》（“加強網(wǎng)絡信息保護的決定”），以及《電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定》（“個人信息保護規(guī)定”）等法律法規(guī)中，此外還有諸如國家標準《信息安全技術個人信息安全規(guī)范》（GB/T 35273—2017）（下稱“個人信息國標”）等規(guī)范性文件。本文擬從現(xiàn)行有效的與個人信息保護相關的法律法規(guī)出發(fā)，結合楊春寶律師團隊為眾多客戶提供個人信息保護相關的法律服務的實際工作經(jīng)驗，就企業(yè)在制訂對內(nèi)/對外的個人信息保護規(guī)則（下稱“個人信息規(guī)則”或“隱私政策”）時應關注的核心要點進行介紹，以期對廣大企業(yè)在日常的生產(chǎn)經(jīng)營活動中正確處理（包括收集、保存、使用和刪除等）個人信息提供有益參考。
一、對外——企業(yè)如何制訂針對用戶/消費者的隱私政策
前不久，國家網(wǎng)信辦公布的《數(shù)據(jù)安全管理辦法（征求意見稿）》（下稱“數(shù)據(jù)安全意見稿”）就對此進行了明確規(guī)定。根據(jù)該意見稿，個人信息收集、使用規(guī)則應當包括：網(wǎng)絡運營者信息（網(wǎng)絡運營者基本信息，及其主要負責人、數(shù)據(jù)安全責任人的姓名及聯(lián)系方式），收集、使用個人信息的具體規(guī)則（收集和使用的目的/種類/數(shù)量/頻度/方式/范圍等，信息保存地點、期限及到期后的處理方式，向他人提供信息的規(guī)則和信息安全保護策略），以及個人信息主體的權利（撤銷同意，查詢、更正、刪除個人信息的途徑和方法，投訴、舉報渠道和方法等）。
雖然數(shù)據(jù)安全意見稿并未正式生效，但楊春寶律師團隊認為，該文件對規(guī)范企業(yè)收集、使用用戶/消費者個人信息的行為具有一定的指導意義，因此強烈建議廣大企業(yè)參考該意見稿制訂、修改相關隱私政策，并在后續(xù)的商務實踐中嚴格遵守。
以下我們將結合相關法律法規(guī)以及我們的服務經(jīng)驗介紹個人信息收集、使用和刪除的具體規(guī)則：
1、個人信息的收集
誠然，不同企業(yè)的隱私政策因其所處行業(yè)和實際經(jīng)營情況的不同而有所區(qū)別，不過楊春寶律師團隊認為，關于個人信息的收集所應遵循的主要原則應當是趨同的，而其中最重要的兩項原則即經(jīng)權利人同意原則和最小化原則。
關于經(jīng)權利人同意原則。根據(jù)個人信息保護規(guī)定，企業(yè)在收集用戶/消費者個人信息前，務必公示需要收集的個人信息的種類、范圍等，并經(jīng)其同意。未經(jīng)公示并經(jīng)消費者同意的，企業(yè)不得收集用戶的相關個人信息。此外，根據(jù)個人信息國標的要求，收集個人敏感信息[3]時，應當獲得用戶的明示同意[4]。
關于最小化原則。根據(jù)個人信息國標第5.5條規(guī)定，所謂最小化原則是指企業(yè)所收集的用戶/消費者的個人信息應與實現(xiàn)產(chǎn)品或服務的業(yè)務功能有直接關聯(lián)，且收集的頻率和數(shù)量應當是實現(xiàn)產(chǎn)品或服務的業(yè)務功能所必需的最低頻率和最小數(shù)量。簡而言之，企業(yè)收集個人信息時必須以實現(xiàn)其產(chǎn)品或者服務的功能為限，不得超出必要的限度收集個人信息。然而在商務實踐中，企業(yè)通過APP過度索權，明顯超出APP的業(yè)務功能范圍收集用戶/消費者個人信息的現(xiàn)象層出不窮，例如：用戶在下載某些APP后，經(jīng)常會被索取手機通訊錄、錄音視頻功能等權限，而事實上，該等APP在為用戶提供產(chǎn)品或服務的過程中，并不需要用到這些功能和/或信息，這種行為顯然嚴重違反了最小化原則。本次被工作組點名的40款APP中，大約有三分之一的APP存在違反最小化原則的現(xiàn)象，尤其是金融貸款類的APP，大多會強行收集用戶通訊錄中的信息。
2、個人信息的保存、使用和處理
個人信息的使用與處理必須建立在保證信息安全的基礎上。根據(jù)網(wǎng)絡安全法相關規(guī)定，企業(yè)應當采取技術措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失。此外，根據(jù)個人信息保護規(guī)定，電信業(yè)務經(jīng)營者、互聯(lián)網(wǎng)信息服務提供者應當采取相關措施防止用戶個人信息泄露、毀損、篡改或者丟失。而個人信息國標要求企業(yè)在收集用戶信息后采用一定的技術手段進行去標識化[5]保存，以此來保障收集到的信息不被泄露。因此我們建議企業(yè)應當在隱私政策中明確告知用戶/消費者，企業(yè)保存其個人信息的具體方式以及保障其個人信息安全的具體措施。
根據(jù)個人信息國標的相關規(guī)定，企業(yè)在使用個人信息時，不得超出與收集個人信息時所聲稱的目的具有直接或合理關聯(lián)的范圍。因業(yè)務需要，確需超出上述范圍使用個人信息的，應再次征得用戶明示同意。此次“ZAO”APP的隱私條款之所以會引發(fā)巨大爭議，原因便是在于相關條款明顯違反相關法律法規(guī)對于個人信息使用的限定。根據(jù)“ZAO”修改前的隱私政策，一旦用戶點擊同意該隱私政策，“ZAO”的即運營企業(yè)可對用戶上傳的數(shù)據(jù)和信息進行再編輯和使用而無需再次征得用戶同意，這一要求顯然與個人信息國標的規(guī)定相悖。
此前，“ZAO”還在其隱私政策中規(guī)定，用戶上傳的個人信息除“ZAO”APP平臺運營方享有使用的權利外，其關聯(lián)公司也享有同樣的權利。而根據(jù)個人信息國標，企業(yè)在轉(zhuǎn)移、共享收集到的個人敏感信息前，應當告知用戶轉(zhuǎn)移的對象，并征得用戶明示同意。“ZAO”的關聯(lián)公司為獨立主體，而“ZAO”的用戶上傳至平臺的信息大多為個人照片，一旦遭到泄露，將很可能導致個人受到歧視（如用戶的外貌遭到帶有侮辱性的評頭論足）或危及個人財產(chǎn)安全（考慮到部分支付工具支持刷臉，用戶照片可能會被不法分子利用），因此我們理解，該等信息當屬于個人敏感信息范疇，因此“ZAO”在向其關聯(lián)公司轉(zhuǎn)移或共享用戶個人敏感信息時理應征得用戶同意，因此“ZAO”修改前的隱私政策相關內(nèi)容顯然違反了個人信息國標。事實上我們注意到很多企業(yè)在制訂隱私政策時亦會像“ZAO”APP那樣加入一些“霸王條款”，強烈建議該等企業(yè)嚴格依法行事，切勿為了貪圖信息處理的便利性而剝奪用戶應享有的涉及其個人信息的相關權益，以免受到相關行政處罰和/或招致用戶的民事索賠。
企業(yè)除了要避免前述“霸王條款”外，還應當注意大數(shù)據(jù)技術對于個人信息使用和處理的影響。隨著大數(shù)據(jù)技術的發(fā)展，企業(yè)在收集用戶/消費者的個人信息后，不只是簡單利用這些個人信息向用戶/消費者提供產(chǎn)品和服務，更會對這些個人信息進行加工、處理，通過處理后得到該用戶/消費者的用戶畫像[6]，而后基于用戶畫像向用戶推送相關新聞信息、廣告等。如果征得用戶/消費者的同意，并且僅是出于為用戶/消費者提供更優(yōu)質(zhì)的產(chǎn)品和服務的目的進行推送的，當然無可厚非。然而，在實踐中，一些企業(yè)卻利用用戶畫像侵犯用戶/消費者的合法權益，例如最近幾年頻繁爆出的“大數(shù)據(jù)殺熟”[7]就是典型的企業(yè)利用用戶畫像侵犯消費者權益的現(xiàn)象。雖然近年來網(wǎng)信辦多次約談了利用“大數(shù)據(jù)殺熟”的網(wǎng)絡平臺經(jīng)營者，但是實踐中仍存在違法利用大數(shù)據(jù)等加工處理個人信息的行為，例如去年五月爆出的攜程大數(shù)據(jù)殺熟事件，有用戶稱在攜程APP上預訂酒店，使用不同的攜程賬號搜索同一家酒店同一房型顯示的價格并不相同，在沒有任何優(yōu)惠的情況下，同一時間作為老用戶的賬號顯示酒店預訂價格為208元，而新用戶賬號顯示的價格僅為198元，兩個賬號價格存在較大差異。針對此類現(xiàn)象，數(shù)據(jù)安全意見稿作出了一定的規(guī)制，即：企業(yè)通過互聯(lián)網(wǎng)等利用用戶畫像推送新聞信息、商業(yè)廣告等（下稱“定向推送”），應當以明顯方式標明“定向推送”字樣，同時還應該給予用戶選擇權，消費者可以選擇定向推送的數(shù)據(jù)信息，也可以選擇非定向推送的數(shù)據(jù)信息。關于定向推送，今年生效的《中華人民共和國電子商務法》中也明確規(guī)定，在根據(jù)消費者的興趣愛好、消費習慣等特征向其提供商品或者服務的搜索結果時，企業(yè)應當同時向該消費者提供不針對其個人特征的選項。因此，我們建議企業(yè)在隱私政策中列明使用和處理用戶/消費者個人信息的具體方式，而對于定向推送等服務，企業(yè)應當告知用戶/消費者選擇非定向推送信息的渠道和方式，以避免被認定為存在“大數(shù)據(jù)殺熟”或其它利用用戶畫像侵犯消費者合法權益的行為。
3、個人信息出境
對于跨國公司而言，將收集到的某些個人信息傳送到國外的子公司或者母公司進行存儲或者處理是慣常操作，而該行為必須遵循涉及個人信息出境[8]的法律法規(guī)。網(wǎng)絡安全法對關鍵信息[9]出境作出了較為原則性的規(guī)定，即要求關鍵信息的運營者在中國境內(nèi)運營的過程中收集和產(chǎn)生的個人信息和重要數(shù)據(jù)應當在境內(nèi)存儲。而今年6月國家網(wǎng)信辦出臺的《個人信息出境安全評估辦法（征求意見稿）》（下稱“安全評估辦法”）對個人信息出境問題進行了擴展和進一步明確。該辦法規(guī)定，如網(wǎng)絡運營者向境外提供在中國境內(nèi)運營的過程中收集的個人信息，應當向所在地省級網(wǎng)信部門申報并進行安全評估。經(jīng)安全評估認定個人信息出境可能影響國家安全、損害公共利益，或者難以有效保障個人信息安全的，不得出境。與此同時，網(wǎng)絡運營者應當建立個人信息出境記錄并且至少保存5年。雖然該辦法尚未正式頒布生效，但是對于涉及個人信息出境的跨國公司而言仍有較強的參考意義，我們建議其在隱私政策中明示用戶/消費者個人信息出境的目的等信息，并承諾將嚴格依法行事。
4、個人信息的更正與刪除
根據(jù)網(wǎng)絡安全法的相關規(guī)定，對于用戶/消費者而言，如發(fā)現(xiàn)企業(yè)收集的其個人信息存在錯誤，其有權要求企業(yè)進行更正（即更正權）。而刪除權，也被稱為“被遺忘權”，該權利最早在2012年歐盟的相關個人信息法案中被提出，其權利基礎在于企業(yè)并無權永久使用其收集的用戶/消費者的個人信息。我國法律法規(guī)中雖沒有“被遺忘權”的相關規(guī)定，但是根據(jù)個人信息國標以及公安部等部門發(fā)布的《互聯(lián)網(wǎng)個人信息安全保護指南》等相關規(guī)定，個人信息應在實現(xiàn)目的所必需的最短時間內(nèi)保存，而超過保存時限之后應刪除個人信息。如本文前言部分所述，“ZAO”APP此前的隱私政策限制用戶直接刪除其上傳的圖片，這一行為事實上侵犯了用戶的刪除權，應予以糾正。同時根據(jù)網(wǎng)絡安全法的相關規(guī)定，如企業(yè)違反法律法規(guī)或者與用戶的約定收集個人信息，用戶有權要求企業(yè)即刻刪除收集到的個人信息。因此，我們強烈建議企業(yè)應當在隱私政策中列明用戶/消費者享有更正權、刪除權等權利，并且告知用戶/消費者行使該等權利的具體渠道及步驟。
5、兒童信息的特殊保護
除前述關于隱私政策的普適原則和內(nèi)容外，企業(yè)在收集用戶/消費者的個人信息時還應當特別關注對兒童[10]的特殊保護。國家網(wǎng)信辦在2019年8月22日公布了《兒童個人信息網(wǎng)絡保護規(guī)定》（下稱“兒童信息保護規(guī)定”）。根據(jù)該規(guī)定，企業(yè)在收集兒童個人信息時，應當遵循更加嚴格的程序，例如：在收集、使用兒童個人信息時，應當以顯著、清晰的方式告知兒童監(jiān)護人且征得其明示同意；兒童或者其監(jiān)護人要求企業(yè)刪除其收集、存儲、使用的兒童個人信息的，企業(yè)應當及時采取措施予以刪除。
兒童信息保護規(guī)定將于2019年10月1日起正式生效，因此我們強烈建議企業(yè)（尤其是主要面向兒童提供產(chǎn)品服務的企業(yè)，例如一些益智類電子游戲的經(jīng)營者等）在制訂隱私政策時應當將該規(guī)定的相關內(nèi)容納入其中，并在收集、使用兒童個人信息時加以嚴格遵守。
二、對內(nèi)——企業(yè)如何制訂員工隱私政策
在商業(yè)實踐中，企業(yè)為日常經(jīng)營和內(nèi)部管理之目的，往往需要不時收集/使用員工的相關個人信息，有時還要根據(jù)業(yè)務需要將該等信息提供給合作方。而在進行員工個人信息收集、處理的過程中，存在信息過度收集、信息不當泄露（因企業(yè)自身或合作方的原因）或遭受黑客攻擊等各種潛在風險。因此，如何制訂一份合法有效且具備可操作性的員工隱私政策，對廣大企業(yè)而言至關重要。我們理解，企業(yè)為其外部用戶/消費者制訂的個人信息規(guī)則所遵循的原則和應注意的關鍵點應同樣適用于其內(nèi)部員工隱私政策，此外，考慮到企業(yè)所收集的員工信息在內(nèi)容上可能會比企業(yè)所收集的外部用戶/消費者的信息更為具體和私密（如員工信息可能涉及婚姻狀況、近親屬信息等），員工隱私政策應當更強化信息保護方面的措施。
楊春寶律師團隊的一外資客戶在日常經(jīng)營活動中經(jīng)常需要將員工派駐至委托方（俗稱“甲方”）處提供服務，因此需應甲方要求向其提供該等員工的包括姓名、聯(lián)系方式、學歷和工作經(jīng)歷等在內(nèi)的相關個人信息。該客戶系一家英國上市公司，因此，于2018年5月正式實施的被稱為“史上最嚴格的隱私和安全法”的歐盟《通用數(shù)據(jù)保護條例》（General Data Protection Regulation，下稱“GDPR”）直接適用于該客戶（如英國在未來正式退出歐盟，GDPR的規(guī)定將被寫入英國的《2018數(shù)據(jù)保護法》）。根據(jù)GDPR，個人數(shù)據(jù)只屬于本人，不屬于其他任何人，個人擁有了解其個人數(shù)據(jù)被如何處理、訪問，要求更正不正確的個人數(shù)據(jù)，要求刪除個人數(shù)據(jù)，抗議個人數(shù)據(jù)被用于營銷，在特定情況下要求限制個人數(shù)據(jù)處理等多項權利。違反GDPR將被處以高達全球收入的4％或2000萬歐元的罰款，以較高者為準，GDPR同時支持數(shù)據(jù)主體尋求損害賠償。因此，盡管該客戶的英國總部擁有非常完善的員工隱私政策，其在中國境內(nèi)的業(yè)務公司在員工個人信息保護方面也必須符合中國的法律法規(guī)和國家標準的要求。為了最大限度降低該客戶在中國境內(nèi)處理員工個人信息的相關風險，我們及時為其制訂了《員工隱私政策》并涵蓋以下主要內(nèi)容：
第一，員工個人信息的收集。該部分內(nèi)容與本文前述企業(yè)制訂對外隱私政策時所需要注意的事項大致相同，即應遵循經(jīng)權利人同意和最小化原則等要點，同時應將隱私政策作為公司的重要規(guī)章制度，在員工入職時讓其對隱私政策的紙質(zhì)或電子文檔進行簽收。此外，我們還提請客戶注意，在員工入職時如需收集其近親屬的相關信息，應征得其近親屬的同意，并將客戶收集該等信息的目的和客戶的聯(lián)系方式告知該等近親屬。
第二，員工個人信息的保存。在這方面，我們針對客戶公司對員工的信息保存設置了相關條款，建議客戶應在必要時建立獨立的數(shù)據(jù)庫，存儲員工個人信息。如需對員工個人信息進行訪問、管理、維護，則應設置嚴格的內(nèi)部審批流程。此外，隱私政策在涵蓋員工查詢和更正其個人信息的權利的同時，也明確了員工在離職時享有的被遺忘權，即有權要求客戶永久性刪除其收集到的離職員工的相關信息。
第三，員工個人信息的披露與使用。這部分主要涉及客戶在商業(yè)往來中，對外提供員工個人信息時應遵循的原則。我們建議客戶如確有必要向甲方披露員工個人信息時，必須經(jīng)公司管理層的嚴格批準，以防止員工個人信息被濫用。并且，在向甲方披露員工個人信息時，務必與甲方簽訂保密條款，保證所披露的員工個人信息不被泄露。與此同時，我們還建議客戶應當對該等披露活動進行完整的記錄，包括披露的目的、披露的信息種類等。當然，對于為了公共安全或者應有權機關強制性要求進行披露的，可不經(jīng)相關員工同意，但應在依法進行披露的同時，書面告知相關員工。
結語
如前文所述,“ZAO”APP在網(wǎng)友的一片質(zhì)疑聲中對其用戶隱私政策進行了修訂，刪除了違法違規(guī)的相關內(nèi)容。而工作組也在公告中要求本次涉嫌違規(guī)的40款App的運營者應當及時聯(lián)系工作組并對其隱私政策的相關內(nèi)容進行整改，否則工作組將建議相關部門予以處置。而對于企業(yè)而言，如未能制訂出一套合法合規(guī)且行之有效的員工隱私政策，將存在因侵犯員工個人信息而招致索賠的潛在法律風險。因此，楊春寶律師團隊建議廣大企業(yè)（特別是網(wǎng)絡平臺和APP運營者等）及時制訂或完善對內(nèi)和對外的隱私政策并向用戶/消費者/員工及時公布，并在今后的日常運營中，嚴格遵守適用法律法規(guī)和隱私政策，依法收集、使用、保管、刪除個人信息，以避免因相關違法違規(guī)行為而招致民事賠償，被處以行政處罰甚至追究刑事責任。（華東政法大學研究生徐冬冬對本文亦有貢獻）
作者簡介
楊春寶律師
楊春寶律師，北京大成（上海）律師事務所高級合伙人、TMT業(yè)務組牽頭人。執(zhí)業(yè)24年，系上海最早的70后高級律師。楊律師連續(xù)入選國際知名法律媒體China Business Law Journal“100位中國業(yè)務優(yōu)秀律師”，榮獲Lawyer Monthly“2018中國并購律師大獎”和“2018中國TMT律師大獎”，多次榮獲Finance Monthly“中國TMT律師大獎"和“中國并購律師大獎"等專業(yè)大獎，系Asia Pacific Legal 500和Asia Law Profiles多年推薦律師。楊律師具有上市公司獨立董事任職資格，系華東理工大學法學院兼職教授、復旦大學法學院兼職導師、華東政法大學兼職研究生導師。楊律師出版《企業(yè)全程法律風險防控實務操作與案例評析》《私募股權投資基金風險防控操作實務》《完勝資本2：公司投融資模式流程完全操作指南》等13本專著。楊律師執(zhí)業(yè)領域為：公司、投資、并購和基金，TMT，房地產(chǎn)和建筑工程，以及上述領域的爭議解決。電郵：chambers.yang@dentons.cn
孫瑱律師
孫瑱律師，北京大成（上海）律師事務所律師。孫律師在執(zhí)業(yè)前先后在美國沃茨、英格索蘭和阿爾卡特朗訊等全球500強企業(yè)擔任全球、亞太區(qū)或中國區(qū)總裁或副總裁執(zhí)行助理，積累了豐富的企業(yè)運營管理經(jīng)驗，并具備非常優(yōu)秀的中英文雙語溝通和協(xié)調(diào)能力。孫律師出版《私募股權投資基金風險防控操作實務》并發(fā)表數(shù)十篇并購、基金、電商領域的文章。孫律師擅長領域為：私募股權投資、企業(yè)并購、電商和勞動法律事務。電郵：sun.zhen@dentons.cn
更多TMT文章
電子商務
區(qū)塊鏈與金融科技
網(wǎng)絡安全與數(shù)據(jù)保護
互聯(lián)網(wǎng)+
