論兒童個人信息網絡保護合規完善
——以商業App為例

武警警官學院 莊兮

網民在享受互聯網帶來的便捷與高效的同時，也遭遇了大量個人信息收集、竊取甚至騷擾，現階段人們已經開始重點關注商業App 對個人信息的收集和管理，關注個人信息的網絡保護。而隨著經濟發展以及教學手段的改革創新，兒童在日常的生活中普遍使用互聯網已成為社會生活的基本現狀。主要包括普通的商業App（例如社交類、游戲類、購物類）以及針對兒童設計的兒童App（例如兒童教育App、教輔App，，商業App 為獲得更為精準的用戶數據，會利用技術手段在使用過程中收集、處理大量個人信息。而兒童身心尚處于發育過程中，其行為能力、風險識別能力在生理階段處于弱勢地位，并且缺乏自我保護能力，同時大部分商業App 的《用戶協議》《隱私政策》都較為冗長、繁雜，包含較多專業詞匯，大部分兒童在閱讀時較為困難，可能難以理解。而兒童的個人信息數據一旦泄露或被竊取，必將會威脅兒童的數據安全，就可能對兒童的日常生活造成安全影響。

2019年8月22日，國家互聯網信息辦公室發布《兒童個人信息網絡保護規定》（以下簡稱《規定》），2019年10月1日起施行。《規定》針對兒童個人信息的網絡保護出臺了具體措施和要求，這是我國首次針對兒童出臺的專門性的個人信息保護相關的法規，各企業，尤其是涉及互聯網服務、互聯網App 的企業，需要根據《規定》要求相應調整關于兒童個人信息保護的合規實踐。《規定》出臺距今已三年，各類商業App 都已針對兒童個人信息網絡保護進行了修改，兒童個人信息的網絡保護環境已有了較大改善。

一、對兒童個人信息網絡保護的必要性

2021年7月20日，共青團中央維護青少年權益部、中國互聯網絡信息中心（CNNIC）聯合發布了《2020年全國未成年人互聯網使用情況研究報告》（以下簡稱“報告”）。報告顯示，2020年，我國未成年網民規模達到1.83 億，未成年人的互聯網普及率為94.9%，比2019年提升1.8個百分點，高于全國互聯網普及率（70.4%）[1]。

由于經濟發展，智能化生活和智慧教學也隨之帶來了網民的低齡化，我國未成年人很早就開始接觸互聯網。而在線教育、智慧教育的普及以及智慧課堂的建設，網絡成了未成年人重要的學習陣地。除了平時上課使用智慧設備外，課后老師會利用教學軟件給學生及家長布置作業、記錄課堂表現，另外新冠肺炎疫情發生后，互聯網也成為“停課不停學”的重要保障，網課開始出現在中小學生的課堂。作為新興的娛樂方式，短視頻也開始占據未成年人（包括但不限于中小學生）的課余生活。

而未成年人多數為限制民事行為能力人或無民事行為能力人，還處于身心都未完全成熟的狀態，在閱讀商業App 冗長繁雜的《用戶協議》《隱私政策》時會感到非常吃力，且難以理解收集信息的內容，容易被“鉆空子”。同時，未成年人的個人信息一旦泄露，可能會對其身心都造成較大影響，因此，對年紀較小的未成年人個人信息加強網絡保護是趨勢，更是要求。

二、我國兒童個人信息網絡保護的立法現狀

我國《民法典》在“人格權”編中，設了“隱私權和個人信息保護”一章，規定了自然人享有隱私權和信息安全，未成年人也包括在內。除此之外，《中華人民共和國未成年人保護法》（下稱《未成年人保護法》）《中華人民共和國網絡安全法》（下稱《網絡安全法》）《中華人民共和國個人信息保護法》（下稱《個人信息保護法》）也對未成年人個人信息保護作出了相應規定，《個人信息保護法》將不滿十四周歲未成年人的個人信息列為敏感個人信息，規定“只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。”

2019年10月1日起生效的《兒童個人信息網絡保護規定》是專門針對兒童信息的法律規范，對于兒童信息保護起到了里程碑式的作用。

我國對兒童個人信息網絡保護的立法規定，主要有以下措施：

（一）確定了個人信息保護語境下的“兒童”的范圍

《規定》第2 條明確：“本規定所稱兒童，是指不滿十四周歲的未成年人。”這與《未成年人保護法》所規定的十八歲以下為未成年人以及《民法典》限制民事行為能力人和無民事行為能力人的范圍有所區分。

兒童個人信息在互聯網需要得到特殊保護，是國際社會的共識，各國在對“兒童”年齡的具體界定上存在差異。例如，美國《兒童在線隱私保護法》（COPPA）中的兒童年齡為十三歲以下，歐盟《一般數據保護條例》（GDPR）中則將兒童年齡最高限界定在十六歲，同時允許成員國自行在十三至十六歲之間依據實際情況設置自己的標準。我國《規定》在網絡保護中考慮兒童年齡時，參考了國際經驗，同時也結合我國的實際情況以及兼顧了與國內刑事法律制度等的銜接。

（二）明確“非必要不處理”

《個人信息保護法》規定不滿十四周歲的未成年人的個人信息屬于敏感個人信息。對于敏感個人信息，只有在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下才可處理。

（三）針對兒童用戶制定專門規則

針對App《用戶協議》和《隱私政策》冗長復雜、兒童難以理解的情況，《規定》要求，處理兒童個人信息，需要制定專門的兒童個人信息處理規則和用戶協議，并指定專人負責兒童個人信息保護。這要求內容不僅要貼近兒童個人信息處理，在閱讀方式上也要針對兒童作出特殊處理。

（四）明確了告知監護人同意的 “監護同意”規則

《規定》第5 條、第9 條、第10 條、第14 條、第19 條、第20 條等規定，監護人對于網絡運營商意圖收集、處理、使用未成年人個人信息具有事前同意、事中及事后對產生錯誤的兒童個人信息刪除、更正的控制權。

（五）明確了網絡運營者的運營責任

《規定》第7 條、第9 條、第10 條等條款規定，網絡運營者在收集、處理兒童個人信息時需要監護人同意，并且網絡運營商應當針對兒童制定符合其生理、心理特征的保護規則和用戶協議，強調了監護人的事前監督權和平臺承擔的事前責任。

（六）明確了網絡運營者的問責制度

《規定》第25 條、第26 條、27 條規定了網絡運營者的問責制度。若網絡運營者落實兒童個人信息安全管理責任不到位，存在較大安全風險或者發生安全事件的，將由網信部門依據職責進行約談。強調了網絡運營者若不落實安全管理，將進行責任追究，問責制度對部分不規范的企業敲響了“警鐘”，防止部分企業抱有“僥幸心理”，覺得自己開發的商業App 流量小、受眾少就可以逃脫，成為“漏網之魚”。

三、落實兒童個人信息網絡保護實踐中存在的難點

隨著《規定》及《個人信息保護法》等法律法規的出臺、修訂，網絡運營者均對旗下的App進行產品合規設計及相關協議政策的修訂，但受制于App 用戶體驗、技術操作以及成本等現實因素，對兒童個人信息的保護實踐中仍存在部分難點。

（一）監護人同意機制的落地受技術與成本制約

在規范設計商業App 中，難點在于怎樣識別兒童、監護關系和監護人的知情同意。需要提供何種資料？需要誰來提供？需要設計一系列復雜的操作和繁多的要求，意味著商業App 的開發者和運營者會在“用戶體驗”與“合法合規”中獲取平衡點，甚至進行抉擇。

由于互聯網是線上環境，在App 設置中，需要監護人的知情和同意，意味著首先需要證明監護人身份，其次需要證明監護人有“知情”和“同意”的行為。通常在線下環境中，證明兒童及其監護人需要提供一系列身份類證件，例如身份證、戶口本等，由工作人員進行現場核驗。且線下環境可以直接面對面接觸，相對方能夠通過外形特征識別年齡、精神狀況。但即使是線下，需要攜帶證件及本人辦理在實踐中仍然屬于用戶較為“抵觸”的行為，很多時候是出于不得不辦理的情況下才會進行。在商業App 中，若同樣設置證明監護人身份、監護人知情和同意的操作環境，首先會加大技術難度，給網絡運營者增加成本；其次，若該App 并非“不得不用”，復雜的操作和過多的材料要求也會造成用戶減少，許多用戶會因為“嫌麻煩”而直接放棄操作。同時，收集監護人證明材料、監護人的知情同意等信息，又屬于二次信息收集，會造成數據過量收集，也增加社會成本。

（二）未針對不同使用場景區分

許多互聯網服務或App 提供的服務較為簡單，不涉及個人信息的收集，但使用用戶包括了成年人和未成年人。例如網絡搜索引擎或互聯網詞典，功能簡單，網絡運營者沒有必要去收集、鑒別用戶的年齡、甚至監護人的相關信息，并獲取監護人同意[2]。App 用戶在使用該類服務時的特征是快速、便利，此種情況下用戶不愿意有太多的操作。而另一些功能操作復雜、涉及個人信息較多的商業App，例如購物類、支付類，需要人臉識別的人臉生物信息、身份證號信息等敏感程度較高的信息，此類App 本身就需要嚴格的操作，網絡開發者在設計時相對而言成本尚可控制。同時，對監護人而言，就此類App 嚴格執行“監護同意”機制，會更容易接受。

四、兒童個人信息保護完善之建議

（一）細分不同功能下兒童個人信息保護規則

1.針對不同功能App 進行區分

例如搜索功能或記錄功能的App，本身的功能較為簡單，收集個人信息少，兒童使用所涉及的個人信息收集少，此種情形下可以根據功能的不同進行進一步細分。例如此類功能簡單、收集個人信息少的App 可成為“監護同意”的例外情形。

2.針對不同信息進行區分

例如，因受新冠肺炎疫情影響，眾多中小學生改為線上授課，需要使用智能設備登錄相應教育App/網站或在線課堂App，通過網絡進行學習。學生需要注冊，處于教育目的，必然將個人信息披露給學習網站，對于性別、昵稱、頭像等低敏感度信息可以成為“監護同意”的例外情形，在特殊場景交由兒童有限處分。若確實需要進行更多操作，例如實名認證（例如身份證號、人臉識別等）等涉及收集敏感度較高信息時，再設置相應的流程。

（二）“監護同意”制度完善

監護人知情同意制度是兒童個人信息網絡保護中的重要制度，知情同意權是兒童個人信息權的核心權利[3]。目前，《規定》只有“監護同意”的原則性規定，缺乏具體的操作指引。

在實踐中，由于需要證明“監護同意”的資料和程序較為復雜，大部分商業App 目前采用的都是設置“青少年模式”或彈窗同意。但此種情形下，不論是網絡運營商抑或是監管單位對“監護同意”的真實性都難以完全辨明。無法確認真實性的“監護同意”對網絡運營商而言極為不利，運營商可能需要為無意間違反《規定》而承擔不利后果。

故筆者認為，“監護同意”的真實性判斷可采取“推定真實”模式，且需要區分不同場景。具體而言：使用數據保護影響評估（DPIA）和隱私影響評估（PIA）規則判斷兒童的網絡行為處于何種風險之中，若處于低風險狀況，例如兒童使用搜索引擎，或注冊QQ、微信、微博等社交軟件App，具有形式上可以查證的監護人信息即可對“監護同意”的效力“推定真實”；若處于高風險狀況，如兒童進行“人臉識別”、網絡購物、辦理銀行卡需要人臉生物信息等需要收錄敏感信息的場景，采取嚴格“監護同意”并且增加“監護同意”的同意次數，在“監護同意”完成后進行二次回訪，且要求網絡運營商承擔過錯推定責任。

綜上，我國《規定》可以借鑒GDPR 規定，要求網絡運營商向有關監管部門提供手機應用、網站等網絡產品劃分應用場景的數據影響評估風險等級，以此作為“監護同意”有限適用的指引規則，再配合細分兒童年齡和“監護同意”的真實性判斷，成體系地完善“監護同意”制度。

（三）明確行業兒童個人信息安全信譽評價機制

互聯網行業目前處于蓬勃發展的狀態，開發者、運營者正處在追求利益的“奔跑”階段，部分App開發者會因此舍棄“合規”，帶著僥幸心理繼續收集兒童個人信息，在此種背景下，筆者建議可以建立行業兒童個人信息安全信譽評價機制，由行業的企業牽頭設置評判標準，將企業真正與其旗下開發App 的兒童個人信息安全信譽等級進行綁定，讓行業自律真正發揮應有的效用。

對此，相關部門可以以兒童個人信息收集的數量、必要性程度、使用的安全化程度等因素為考核量，組織行業企業共同建立公開的、便于查詢的兒童個人信息安全信譽評價體系，其中表現優秀的企業可以進入下一輪規則的制定，鼓勵企業重視、發展兒童個人信息保護。

排名機制的具體規則，可以參考目前手機商城對App 的排名，例如用戶評價、是否因非法收集個人信息受過相關部門的下架、查出或行政處罰等“紅牌”警告，加入網信辦等部門認證后的合法合規（“綠燈”），每個分類統計“紅牌”數量和“綠燈”數量，制定出一個行業認可的、合法合理的、真實公開的評價機制。一個科學的、公開的信譽評價外部約束機制的存在，會敦促企業更加注重個人信息安全問題，使其將維護兒童個人信息安全作為企業生存發展、提升同行業競爭力以及自身吸引力的必要條件[4]。

五、結語

少年兒童是祖國的希望，民族的未來。2022年“六一”前夕，習近平總書記致信祝賀中國兒童中心成立40 周年，強調：“希望你們發揚光榮傳統，團結廣大兒童工作者，做兒童成長的引路人、兒童權益的守護人、兒童未來的筑夢人，用心用情促進兒童健康成長、全面發展。”兒童個人信息作為網絡時代兒童的一項重要權益，應該得到法律的特殊保護和重點保護。網絡運營者應當按照相關法律規范的要求，設計、完善商業App 及其相關用戶協議、隱私政策，謹慎收集兒童個人信息；同時，有關部門可通過調研等方式了解目前制度落地實施難度，避免有用的制度規范因實施成本過高而難以具體落地，從而“本末倒置”失去本意，淪為束之高閣的無用條框，甚至帶來更多負面問題。