个人信息共享行为区分

数据合规是一个比较新的领域，很多问题都难以通过公开渠道检索到答案。比如，某个特定的场景抄哪家大厂的作业比较合适。此时，实务人士间的思想碰撞、交流就显得尤为珍贵。
由此，我建立了一个小规模的社群，和朋友们讨论数据合规相关的问题。我相信其中的部分讨论是兼具共性和分享价值的。初步计划每周一次，对群聊内容以问答的形式进行梳理、共享。希望对你有所帮助。
• CONTENT •
「匿名问卷可识别性」
「共同处理典型案例」
「线下落实单独同意」
「个人信息共享行为区分」
● 匿名问卷可识别性
-问：各种问卷星，问卷网的匿名调查，是否根据设备号等可以识别到个人的？HR动不动就用问卷星匿名调查，感觉还是缺点什么提示。
-答1：这个问题很像最近知乎匿名评论却被诉的案子一样，是薛定谔的匿名。
-答2：一般获取手机设备号是不是要系统权限的？（有些情况下不要）我觉得他即使获取了设备号，也要有设备号和个人之间的映射关系数据，感觉问卷星为了匿名调查搞这个成本有点高吧。
-答3：问卷星调查页面是H5吧。H5无法收集个人信息。
-答4：App权限获取个人信息的场景，大家聊得比较多，就不赘述了。对于web形式（包括H5）的场景，除非填问卷前要求注册、登录（账号信息，无论是否实名，或不实名但可追踪到身份的情况，如国内的手机号），否则一般没法收集个人信息。当然，还有极端一点的情况，问卷运营方偷偷摸摸收集、追踪填问卷的用户的IP地址、cookie及浏览器指纹。这些信息通常用于个性化、定向推送、营销之类，如果用于定位一个人的身份的话，难度比较大，也不划算。费这么大力气和成本，去定位一个不是那么高价值的目标人物，吃饱了没事干？大家有兴趣的话，可查一下自己的浏览器指纹，不同的人的浏览器指纹通常也不一样，就跟手指上的指纹一样。详见：https://www.whatismybrowser.com/
-答3：Web的设备指纹精度不高。
-答5：收集浏览器指纹和广告联盟合作可以用于广告投放，以前不是类似这样的场景：你在浏览器用某东搜索“瑜伽垫”，然后你打开某度，就会看到瑜伽垫的广告。有些就是通过浏览器指纹实现，大家用同一套浏览器指纹即可。
-答4：所以，我刚说主要用于个性化、定向推送、营销之类，如果用于定位一个人的身份难度很大，也不划算。（当然，如果信息量足够大，多组数据进行关联分析的时候，浏览器指纹还是能派上一些用场的）
● 共同处理典型案例
-问：大家有没有遇到过比较典型的共同处理的case?
-答1：《个人信息安全规范》那个共同控制的例子有些抽象。还有母子公司一起办活动促销，这种应该算吧。

-答3：曾经问过某位教授，他认为用户扫码美团下单，美团把用户订单数据下发给商家，是共同处理。但我觉得处理目的仅由商家决定，更像委托处理，相当于商家为了优化自己的点单程序外包了。
-答4：张新宝老师在其《个人信息保护法》释义一书中的共同处理和对外提供都引用了微信读书案。但这个是主体之间没理清关系，法院一锅端判的。
-答5：这个看起来有些像29条工作组有关控制者和处理者概念的指南里订票的例子。虽然所解释的法律概念未尽相同，这个指南还是目前比较详细的相关讨论之一，可能也是其他一些观点的源头。
-答6：国内对这块的关系并没有非常详细的判断细则，也不清楚监管有没有细化规则的计划，只能看GDPR指导了。
● 线下落实单独同意
-问：我们的客户线下与公司签署供应协议，我们会在我们供应协议的的合规条款中包含隐私政策，同时refer到官网的地址让客户有机会查询隐私政策。这样大家理解觉得是否已经做到了告知+同意（隐私政策里面需要以同意获得处理基础的我理解才有同意的说法，若不是同意的处理基础，其实法律规定仅仅告知就可以）。另外，对于同意里面的单独同意，因为不能像APP那样通过交互单独取得同意，是否在隐私政策里面进行加粗提醒就可以视为单独同意啦？将隐私政策打印出来和供应协议一起签署以及单独签署隐私协议，当然是最合规做法。不过实在是很难推行。
-答1：同意要有确认动作并作为记录保存。如果是线下签署，出于成本考量可以考虑使用电子签。
-答2：前者，我觉得提示阅读和告知还是两回事。后者，单独同意要可以单独拒绝，加粗显然不符合要求。如果是线上签署，我一般会建议做单独勾选框。
-答3：如果涉及单独同意的事项特别多，且不会涉及到线上交互的话，那么可以做成勾选表单那种样式作为附件勾选并最后签个字。如果签字很困难，考虑一下其他方式证明用户同意，签字只是手段。如果合同内容和信息收集涉及到线上交互的话，就从线上走隐私政策及单独同意的授权。
● 个人信息共享行为区分
-问：A、B都是航空公司，双方签了一份互售客票的协议：就是A可以卖B的票，出的票上面自然是B是承运人了；B也帮A卖票；双方在协议里面还约定了利益分配等等问题。在此种情况下，A和B之间是共同处理个人信息（第20条），还是互为委托方和受托方，还是互为提供方和接收方？
-答1：实践中，我猜客户比较想要的答案应该是委托处理。你要告诉客户怎么才是委托处理。
-答2：这不是构成什么法律关系的问题，是想把他们设计成什么法律关系的问题。
-答3：我认为是委托处理。委托人对受托人有监督义务，但其他关系中是没有这个监督义务的。
-答4：我认为相互提供是比较好的。因为售票和承运 两个过程对用户来说是比较独立的，你很难跟用户说在东航网站上买一个机票，东航不是这个数据的处理者。这不太符合用户的直觉。
-答5：在此代理的法律关系下，为A和B相互委托对方收集个人信息，与一般的委托处理不同，此处的受托方是与个人信息主体直接接触的。想认定为委托处理还是对外提供，可以在合同中予以安排，比如代替对方收集个人信息后，相关个人信息是否留存等。不过程啸老师在其书中举了一个类似的例子，是放在共同处理里面的。
A航空公司、B旅行社、C连锁酒店共同成立D网络公司，A、B、C三方协议约定，顾客通过D公司的网络平台订酒店、买机票或购买旅行产品，其个人信息被D公司的网络平台收集后由A、B、C三方共同使用，并据此为各个公司向用户推送相关广告。
程啸著：《个人信息保护法理解与使用》，中国法制出版社2021年版，第193-194页。
群友对此例子表示疑惑，后检索发现本例来自于EDPB《GDPR下数据控制者及数据处理者概念的指南（07/2020）》
-答6：我咋觉得都是对外提供，而不是委托处理也不是共同处理。我有一个想法，我作为一个用户，我为什么要在东航买南航的票？是线下买还是线上买？一、如果线下买的话，是东航依据我的需求为我匹配的南航的航班对吗？（我理解肯定是自己的航班不满足乘客需求的时候，才会为乘客推荐南航航班）那这种情况下：乘客支付的机票钱是转给东航（东航留分成部分后转给南航）还是直接支付给南航？如果是前者：我理解相当于乘客与东航签合同，但是东航满足不了需求，于是为了履行合同之目的，用南航的航班。如果是后者：那就是乘客与南航签合同，东航类似导流的角色，那相当于个人信息的对外提供。乘客给了东航的个人信息是为了用于购买南航的机票，东航不能超出我的授权目的额外使用我的个人信息，同时线下购买的时候因为知道了是买南航的机票，线下告知—单独同意。二、如果线上购买的话，相当于东航App同时出现东航和南航的机票。我在App上买机票，我的个人信息自然要提供给东航，东航基于隐私政策获得了我的个人信息的授权-这一步东航使用我的个人信息的范围可能大于线下购买的情形。当我在东航App上看到南航的机票时，购买南航机票，同理，看我的支付对象是谁。
-答2：数据控制者并不一定需要接触数据。
-答3：我之前理解委托处理的核心就在于“依指令行事”，受托方完全按照委托方的安排进行相应的处理行为，再抽象一点来讲就是委托方对受托方的处理行为有很高程度的控制力，可以控制处理行为的处理目的与处理方式，在约定的处理范围内，受托方是委托方的“工具”。
相关法条：
两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。
《个人信息保护法》第20条
个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。未经个人信息处理者同意，受托人不得转委托他人处理个人信息。
《个人信息保护法》第21条
个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。
《个人信息保护法》第23条