被忽視的兒童網絡隱私保護

黃姝靜

一個未成年的孩子，在家長并不知情的情況下，便可自行將手機號碼、電子郵箱等信息提交給各類網絡平臺，完成注冊。未成年人對平臺將如何存儲和使用自己的個人信息也往往是一知半解。

上述場景時有發生。這是因為在并不明晰的法律規則下，多數網絡平臺在收集、使用用戶個人信息時并未建立起未成年用戶年齡驗證制度，以及事實上取得監護人同意的規則，未成年人網絡隱私保護因而存在很大的風險。

根據共青團中央維護青少年權益部、中國互聯網絡信息中心（CNNIC）于3月26日共同發布的《2018年全國未成年人互聯網使用情況報告》，中國的未成年人互聯網普及率達93.7%，未成年網民規模達1.69億人。

未成年人“觸網”數量日益龐大，但針對未成年人個人信息網絡保護的立法仍處于空白狀態。好消息是，近期已有相關法律法規涉及前述議題：4月20日，民法典人格權編草案提請十三屆全國人大常委會第十次會議審議。草案新增規定，收集使用未成年人個人信息的，應征得其監護人同意。此外，《未成年人保護法》也將于今年迎來大修。

然而，無論是新法出臺，還是舊法修訂，均需時日。當下的困境是，中國尚沒有針對未成年人個人信息網絡保護的位階較高、效力較高的法律規定，遑論與其相適配的落地細則。與之互為因果的是，全社會在法治和觀念層面，都未能形成應當對未成年人網絡隱私進行特殊保護的意識。

“青少年模式”的啟示與爭議

36歲的張珊（化名）發現，最近打開抖音時，會看到是否進入“青少年模式”的提醒。作為兩個孩子的母親，張珊對《財經》記者表示，8歲的大兒子和6歲的小兒子每天都會吵著要看抖音，她期待看到平臺方有更多針對未成年人的保護舉措。

事實上，抖音早在2018年7月就推出了“青少年模式”。抖音相關負責人聲稱，用戶開通“青少年模式”后，將只能瀏覽由抖音青少年內容團隊所精選出、適宜未成年人健康成長的短視頻內容，且無法使用包括打賞、充值、提現、直播等在內的相關功能。抖音之外，包括快手在內的其他短視頻平臺也推出了類似模式。

不過，青少年指的是哪個年齡階段的未成年人？這個概念并未出現在已有的法律文件中。事實上，在針對個人信息的網絡收集、使用行為的規制中，尚無專門性法律明確將未成年人與成年人區別開來。僅推薦性國家標準《信息安全技術個人信息安全規范》（下稱《個人信息安全規范》）中有所提及。

面對網絡社會中無處不在的信息收集和使用，未成年人該如何甄別其正當性和合法性？中國青少年研究中心青少年法律研究所所長郭開元表示，僅靠未成年人個人，是不可能實現的。未成年人心智發展尚未成熟，欠缺社會經驗，判斷能力不足，沒有完全的行為能力，屬于應當給予特殊保護的群體。

而根據《個人信息安全規范》的規定，收集年滿14周歲的未成年人的個人信息前，應征得未成年人或其監護人的明示同意；不滿14周歲的，應征得其監護人的明示同意。

北京德和衡律師事務所律師周楊指出，可以認為14歲-18歲是《個人信息安全規范》劃定的青少年標準，而14歲以下的認知能力較弱的人群則應該視為兒童予以特別保護。

未成年人處于成長發展過程中，人格獨立和權利意識也逐漸趨于健全。郭開元就曾遇到過這樣的案例：年輕的父母自覺有趣，將孩子小時候的搞怪照片、視頻發布至公共平臺。孩子逐漸長大后，部分人對父母的前述行為的適當性表達了質疑。“在我所接觸到的案例中，一般12歲左右的孩子就會逐漸開始有這種自主思考與判斷。”郭開元稱。

周楊也贊成細分青少年和兒童兩個群體。“這也是減輕企業商業壓力的可能方式。對兒童，企業毫無疑問應該投入成本落實家長同意的形式；而對已有一定自主意識和處理能力的青少年，則可由未成年人用戶直接授權。”

北京航空航天大學法學院教授周學峰則表示，確定了年齡劃分，才有可能開啟整個未成年人網上個人信息保護機制的第一步，即進行實質上的年齡申報與驗證。

但在目前多數企業設置的規則中，并未將年齡申報與驗證作為前置步驟。以上述“青少年模式”為例，即便未成年人不選擇“青少年模式”，仍可能正常使用。

早于前述短視頻平臺發展壯大的游戲企業在未成年人保護問題上最先承壓，也因此作出了更多探索。目前已有頭部平臺通過與公安部門合作強化實名校驗、人臉識別驗證等方式來實現未成年人的年齡和身份認證。

“虛設”的家長同意？

張珊注意到，一些平臺針對未成年人的隱私保護條款中，會有“監護人同意”的相關表述，但她作為兩個孩子的母親，卻表示并不完全掌握“決定權”。

《財經》記者查閱了市場上較受歡迎的兩家短視頻平臺的用戶服務協議與隱私政策中的未成年人保護條款，其內容意旨都很類似，關于“監護人同意”的相關規定表述也很相似。

以其中一家平臺的具體條款為例，其載明，“我們根據國家相關法律法規的規定保護未成年人的個人信息，只會在法律允許、父母或其他監護人明確同意或保護未成年人所必要的情況下收集、使用、共享或披露未成年人的個人信息。”

此外，在隱私政策的開篇，該平臺即作出如下提示，“若你是未滿18周歲的未成年人，在使用本軟件及相關服務前，應在你的父母或其他監護人監護、指導下共同閱讀并同意本隱私政策。”

這意味著，未成年人用戶自己在注冊該產品前，需要閱讀上述協議與政策，征得家長的同意。但因沒有任何年齡申報和驗證機制，這實質上成為針對未成年人的自律機制。

周學峰認為，此種條款設計可以起到提醒的作用，但是，其在保護兒童網絡隱私方面能夠發揮多大的實際作用尚有待檢驗。更有專家直言，“這相當于讓未成年人用戶自己確保自己的行為獲得了監護人的同意和授權。在中國法律體系下，不能說不合規，卻極可能沒有什么實質作用。”

在周楊看來，采用類似的“家長同意”條款違背了相關立法的本意，“從未成年人保護的角度來說，立法的本意在于保護意識尚未健全的孩子，但這么去做，相當于要求未成年人自己作出一個行為合規性的判斷。”

個人信息收集、使用的知情同意在國內外的法律規制中都已成為共識。知情同意原則是指平臺方應當明確告知用戶其收集信息的范圍、方式、目的，并獲得用戶同意。具體到條款，《網絡安全法》規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。

周學峰認為，“同意”其實是一種意思表示，其主體應該具有相應的民事行為能力。根據中國《民法總則》的規定，不滿八周歲的未成年人為無民事行為能力人，所謂“同意”應當由其監護人做出，而八周歲以上的未成年人為限制民事行為能力人，其做出“同意”的事項應當僅限于其能夠理解的、與其年齡及智力相適應的事項，而對于其他事項，則仍應獲得其監護人的同意。

鑒于中國現行法律法規對收集和使用未成年人信息時需經監護人同意的規則未作出強制性規定，僅在前述《個人信息安全規范》中有所提及，但因其為推薦性國家標準，不具有強制性，市場和企業實質上作出了另一番選擇。周楊表示，前述平臺的協議模式比較常見，企業出于運營成本考量，往往會采用這種方式試圖說明自己已經履行了未成年人保護義務。

而頭部互聯網企業目前針對未成年人網絡保護的探索多集中在游戲領域，且多與防沉迷相關。周楊建議，應當從個人信息的角度而不僅僅是防沉迷、網絡內容凈化等角度予以規制，由把控未成年人使用時長等“環境控制”類的措施推至對兒童、青少年個人信息的特殊保護，從未成年人進入網絡環境開始，即應當區分其身份，并針對性地提供服務。

可供對比的是，國外不少互聯網頭部企業在針對未成年人隱私保護方面作出了很多技術上的努力和創新。從合規角度來看，執行相對嚴格者當屬蘋果公司。業內人士認為，該公司的具體規則基本與《兒童網絡隱私保護法》（Childrens Online Privacy Protection Rule，下稱COPPA）一致。比如，蘋果公司有“家人共享”計劃。其隱私政策載明，13周歲以下的兒童無法自行創建Apple ID，如需創建，家庭組織者需要提供經驗證的家長同意書，并代表兒童在家庭群組中創建Apple ID。

COPPA于1998年由美國國會制定、總統簽署通過，并在2000年正式生效。它作為國際上較早頒布的關于兒童網絡隱私保護的法律，影響深遠。美國聯邦貿易調查委員會（Federal Trade Commission，下稱FTC）已據此對違規企業作出過多例處罰。

當地時間2月28日，美國短視頻社交應用Musical.ly（于2017年被字節跳動收購）因違規收集兒童個人信息，被FTC處以570萬美元巨額罰款，這是FTC迄今為止因兒童隱私案而作出的最高額的民事罰款。

雖然上述案件調查發生在字節跳動收購Musical.ly之前，但因Tik Tok為其現運營者，Tik Tok又多被視為抖音國際版，“抖音國際版”被罰的說法一度甚囂塵上。抖音母公司字節跳動副總裁李亮就此公開回應，“FTC的調查及此次和解都是（針對）Musical.ly，與抖音、Tik Tok沒有關系。”

FTC官網的公開資料顯示，支付570萬美元的和解費用之外，Tik Tok還必須刪除Musical.ly平臺上13歲以下兒童制作的所有視頻，并采取多項措施以遵守COPPA規則。

據南方都市報報道，曾參與起草COPPA的參議員Ed Markey指出，“FTC的處罰強調了一個我們早已知曉的事實：企業不會額外考慮兒童的個人信息，也許這個罰款金額是所有案例中最高的，但相較對涉事兒童造成的傷害，以及對未來企業違法形成震懾，還是遠遠不夠高。”

立法尚存空白

一個值得注意的現象是，越是在對未成年人個人信息有系統法律保護的國家和地區，如美國與歐盟，越是有眾多兒童網絡隱私泄露事件的披露。反觀中國，鮮見類似事件曝光。有法律界人士表示，這并不意味著中國相關領域安全保護工作的完備，更可能歸咎于立法的空白和整體保護意識的淡薄。

上述法律界人士就曾遇到過未成年人信息被泄露的事件。因黑客侵入，中國一家為教育系統提供網絡服務的互聯網企業泄露了大量未成年學生的個人信息。但在當地教育局和公安、網警介入之前，該公司上下并未感到緊張。

“他們缺乏這樣的意識——未成年人的個人信息是特別的，應當得到特別的保護。”該人士如是描述對方咨詢此事時的態度。

所幸，在行政和公安力量的介入下，泄露信息被追回，黑客也落網。事件也并未進行公開披露。但是否所有曾經歷過類似危險處境的未成年人網絡數據都有此種“幸運”，外界不得而知。

值得期待的是，最近中國與個人信息保護相關的法律法規修訂的細節接連公布，部分內容也言及對未成年人網絡隱私的保護。在周學峰看來，多部法律的（可能）條款都注意到了這個問題，說明大家存在共識，這個問題是很重要、很迫切的。

4月20日上午，民法典人格權編草案提請十三屆全國人大常委會第十次會議審議。二審稿新增規定，對于收集使用未成年人等無民事行為能力人或者限制民事行為能力人的個人信息的，應征得其監護人同意，但是法律、行政法規另有規定的除外。

4月21日，《個人信息告知同意指南（草案）》（下稱《指南（草案）》）對收集未成年人個人信息征得監護人同意的具體方式作出了修訂。周楊告訴《財經》記者，《指南（草案）》將《個人信息安全規范》關于如何獲取監護人同意的規定具體化，讓其落地有了進一步實施的可能。

此外，據央廣網報道，《未成年人保護法》修訂草案今年有望提交全國人大常委會審議。北京市青少年法律援助與研究中心主任佟麗華作為專家代表，給全國人大相關機構起草了專家建議書，其所提建議包括，順應網絡發展現狀，在法律中增加網絡保護一章。

更早之前，2017年2月，國務院法制辦公布《未成年人網絡保護條例（送審稿）》，向社會公開征求意見。2018年10月份，司法部辦公廳就前述條例送審稿的修改版本向各部委征求了意見。

這意味著，中國針對未成年人網絡信息保護的立法空白的填補方向逐漸清晰。民法典人格權編的位階較高，將未成年人個人信息保護充分提到其應有的高度。結合包括《未成年人保護法》《未成年人網絡保護條例》等專門性法律法規，有望覆蓋民事、行政和刑事責任的規制。

周學峰告訴《財經》記者，監護人同意制度的立法中有兩點需要注意：

第一，其關鍵在于落實和執行，這需要后續明確的責任規制。若處罰力度跟不上，再嚴格的條款也可能形同虛設。

第二，監護人同意的實施需要整套機制的建立和配合。這套機制應當明確收集、使用信息者的注意義務的合理邊界，并應當具有技術上的可行性，建議由主管部門或行業協會制定一套行為指引，供互聯網企業進行業務合規審查時參考。

周楊認為，以美國COPPA為鑒，法律法規在制定之初就應當考慮為企業的自主實踐和技術創新“開口”。據悉，FTC還出臺了包括《六步合規計劃》《常見問題解答》《消費者指南》等指導性文件。其中《六步合規計劃》詳細載明了企業如何一步步獲得兒童監護人的同意，并對這些已經獲得的同意承擔證明責任。

“立法不可能窮盡問題細節，技術的探索是很重要的。在網絡社會的法律規制問題上，技術也是法律規范的一部分，技術發展到一定程度就可能變成規則。”郭開元對《財經》記者表示。

（本刊實習生秦紫函對此文亦有貢獻）