从“拼多多共享数据侵权”案，探讨关联主体数据“互通”法则

近日，一则名为“拼多多向关联公司提供用户信息被判违法”的新闻引起广泛关注。用户吴某在使用上海寻梦信息技术有限公司（下称“寻梦公司”）运营的“拼多多”平台服务时，意外发现当通过“多多钱包”填写个人姓名及身份证号信息，进入“免输卡号添加银行卡”功能页面时，“拼多多”平台并未通过弹窗提示等方式就其共享用户个人信息至其关联第三方支付机构上海付费通信息服务有限公司（下称“付费通公司”，即“多多钱包”的运营主体）及相关银行一事明确予以告知并单独征得其授权同意，而是将相关的告知事项隐含于“服务协议”之中并默认同意。吴某认为寻梦公司的行为侵害其合法权益，故诉至法院。

杭州互联网法院经审理认为，根据知情同意规则，若未取得个人同意，即便信息处理者进行了充分、清晰的告知，信息处理者的信息处理行为亦构成对个人信息权益的侵害；且本案涉及处理敏感个人信息，信息处理者还应当获得个人的单独同意。
本案中，寻梦公司未以任何形式明确或单独告知吴某并取得其同意，仅在相关隐私政策中作出模糊说明，不符合知情同意原则的要求，而付费通公司甚至未与吴某签订任何协议且致使用户误以为收集信息的主体系寻梦公司，故法院最终认定寻梦公司未经平台用户同意，擅自将用户个人信息传输给付费通公司的信息处理行为侵害用户的个人信息权益，责令立即删除该用户个人信息，以书面道歉信方式赔礼道歉，并赔偿合理维权损失2000元。
在实践中，如上文拼多多的案例，关联主体需要数据互通的情况客观存在，本文结合该案一审判决情况，探讨关联主体能否打通壁垒实现数据互通的问题。
一、关联主体能否进行数据“互通”
我们常听到“xx集团”这样的说法，通常大家将存在某种关联关系的企业形成的法人联合体称之为“集团”，但“集团”并非是法律意义上的法人主体概念，因此能否以“xx集团”作为单一的信息处理者，仍需要结合个人信息保护相关的法律规定进行探讨。目前《民法典》及《个人信息保护法》（“个保法”）都未对“信息处理者”进行概念界定。但从个保法的立法精神出发考虑，若允许“集团”作为单一的个人信息处理者，意味着同一集团下的各法人主体可以不加限制的处理用户个人信息，个人信息能在集团内不同主体间任意流转和交换。
无论集团内部是否存在法律实体的新增、合并、分立或破产都不会影响集团作为单一的个人信息处理者实现对个人数据的处理，这显然与个保法保护个人信息权益、规范个人信息处理活动等立法目的背道而驰，也不符合其“合法、正当、必要”的基本原则。
因此，“xx集团”不能视为单一的个人信息处理者，真正属于“个人信息处理者”的是构成集团的各个法人或非法人组织，这也是本文要论证的对象，我们且称之为“关联主体”（或称“关联方”）。
那么，关联主体能否进行数据“互通”呢？
如果按字面含义理解，“互通”应有互相交换、彼此触达之意，但事实上“互通”并非是一个法律概念。我们在个保法中找到了与“互通”内涵吻合的两项规定，即个保法第二十一条“委托处理”与第二十三条“向其他个人信息处理者提供”（包含共享行为），在这两个场景下都会产生企业数据互通的效果。由此可见，个保法并未禁止数据在不同主体间互通，也没有区分是否为有关联关系的不同主体。
因此，关联主体之间的数据互通是可以实现的，此时作为互通对象的关联方来说，与外部的合作方并无不同。
二、关联主体之间数据互通在实务中的适用与选择
为了印证企业与关联主体是否存在数据互通的情形，我们选取了18家企业的隐私政策条款进行调研，这些企业分布在十二类行业，所从事的业务类型大部分都与互联网技术密不可分。

从上表内可以看出，虽然所有的企业都已在隐私政策中提前向用户告知会与外部互通数据的情况，仔细研究后，我们仍发现个中微妙存在其中：
（一）对“关联方”的定义情况
在上述18个隐私政策中，有5个隐私政策对关联方进行了定义，其余13个产品或服务的隐私政策未对关联方进行定义。而在这13个未作定义的隐私政策中，有的直接使用“某某集团及关联方”作为隐私政策中的服务主体，有的则采用列举的方式罗列了几家关联名称，多数隐私政策只提及“关联方”却未作任何解释或界定。在5个已对关联方进行定义的隐私政策中，有2个上市公司明确以其最新年报披露的“关联公司列表”为准定义关联关系，其余3个对“关联方”的界定与《企业会计准则第36号--关联方披露》第三条对“关联方”界定的精神基本吻合。

综上可知，各隐私政策对“关联方”是否界定、如何界定并无规律可循。但本文认可适用《企业会计准则第36号--关联方披露》第三条、第四条对“关联方”的定义和列举用于分析和讨论相关数据处理的合规问题。
（二）大部分企业选择以“共享”方式实现关联主体间数据互通
通过上表不难看出，“共享”方式已经成为企业的主流选择。在我们调研的18家企业的隐私政策中，有13家通过共享方式实现关联主体间的数据互通。更有甚者将“共享”与“委托处理”进行了巧妙融合，与关联主体之间的数据互通既是共享，又有委托处理之意。此处以奔驰（中国）为代表：

上述条款既可以理解为奔驰（中国）与其关联方共享数据，又能看出关联方是接受“委托”处理信息，且此种委托处理应当遵守奔驰（中国）要求的处理目的和处理方式。
（三）部分企业选择“共享”或“委托处理”的出发点不同
对于一些严格区分“共享”与“委托处理”的适用情形的企业来说，从隐私政策可以窥探到他们对于“共享”或“委托处理”的适用因目标不同而有所区别。总体来说，“共享”的出发点是为了服务用户，准确来说是为了实现企业所提供的产品或服务的本身功能；而“委托处理”的出发点则更多是为了提升企业处理数据的效率。此种做法以新浪微博、携程为代表：

（四）部分企业区别“共享”及“委托处理”的适用对象而实现“内外有别”
有个别企业在隐私政策中通过与“共享”和“委托处理”来区分适用对象的不同，从而实现企业数据管理的“内外有别”。简单来说就是对内共享，对外委托。对同属于一个集团的关联方来说，开通内部共享机制，打通数据交互的内部通道。之所以有这样的行为模式，可能是由于集团内各产品或服务采用统一帐号进行管理的原因。此种做法以淘宝、网易游戏为代表：

（五）部分企业以确定同一服务主体而实现跨产品或服务的数据互通
在调研过程中，我们发现个别企业在隐私政策中明确说明不会共享给该企业主体以外的第三方，甚至没有像其余大部分企业一样事先说明会共享给关联方。以微信为例：

我们发现，微信是腾讯公司旗下的产品，而深圳市腾讯计算机系统有限公司不仅是微信软件的运营方，也几乎是其他腾讯公司产品或服务的实际运营方。基于个保法的各项要求都是针对“个人信息处理者”，此时深圳市腾讯计算机系统有限公司则成为在“微信”服务下处理用户个人信息数据的明确主体。

（来源：腾讯隐私保护平台）
因此，虽然微信在隐私政策中主动承诺不会与深圳市腾讯计算机系统有限公司以外的第三方共享个人信息数据，但鉴于深圳市腾讯计算机系统有限公司本身也是腾讯游戏、腾讯视频、腾讯新闻、QQ等产品及服务的实际提供方，其仍然有可能在自身运营的各产品及服务中共享数据，而这种跨产品或服务的共享行为，只要其实际提供服务的主体是同一的，并不违反个保法的规定。
三、关联主体间数据互通的合规要求
可以互通不等于“肆意”互通。在确定“可以做”及了解“别人怎么做”之后，我们将从“如何做”的角度为关联主体间如何实现数据互通提出以下必要建议：
（一）完善隐私政策，告知用户与关联方进行数据共享的目的、方式等必要信息并获得用户单独同意
虽然个保法及相关国家标准并未进一步要求关联主体间必须采用何种方式进行数据互通，但通过调研发现，“共享”成为大部分企业的普遍选择，因此我们认为在选择“共享”作为关联主体间的数据互通方案时，应在隐私政策中向用户告知共享的目的、关联方的类型、关联方数据安全能力等必要信息，征得用户的单独授权同意。

（来源：淘宝网隐私政策）
（二）加强内部数据共享机制管理，通过书面协议方式明确关联方之间的权责
如前所述，现行法律并未认可包含多个关联法律实体在内的集团可以作为单一的个人信息处理者，也未将向关联方共享个人信息作为一项无须取得用户同意或无须遵守“合法、正当、必要、诚信”原则的例外情形。在数据共享场景下，关联方与外部第三方并无不同。因此，无论企业集团内部公司之间存在多么紧密的互相依赖的关系，在向关联方共享数据时，企业同样需要遵循合法、正当、必要和诚信原则。
根据《信息安全技术个人信息安全规范》（GB/T 35273—2020）9.2（d）项要求，共享双方需要通过合同等方式规定数据接收方的责任和义务。我们建议关联主体间应当以书面协议方式明确共享数据的范围、类型、期限、使用目的、接收方的义务与责任、提供方的监督权利、变更数据处理目的及处理方式的后果、违约责任及用户损失赔偿等必要内容。
（三）建立并完善监督制度，时刻防范因关联方不当处理个人信息数据产生的法律风险
尽管有合同的事先约定，但从个人信息保护的角度来说，“共享”并不是一个孤立的一次性行为，提供方仍然需要对数据共享期间的接收方的全部行为向用户负责。因此，为了防止出现关联方不当处理数据的情形导致提供数据一方的企业承担违法风险，企业应当在共享后定时了解关联方对个人信息的保存及使用情况，监督保存及使用的过程是否符合共享的范围及目的，同时也要督促数据接收方完善、优化对用户个人的权利保障，确保用户可在接收数据的关联方处实现访问、更正、删除、注销帐号等法定权利。
（四）境内关联主体间共享数据，还应遵守数据跨境传输的相关要求
如果关联方分布在全球范围内，还应当评估数据共享是否会触发数据出境的监管要求。此时，企业不但要履行向用户充分告知并取得二次授权的义务，还应当在跨境传输数据前，按照个保法等相关法律规定及监管要求，通过国家网信部门组织的安全评估并进行专业机构的个人信息保护认证。此外，涉及数据跨境共享时，企业只能按照国家网信部门制定的标准合同与境外关联方签署，不允许双方超出标准合同之外擅自进行权责分配。
四、结语
数据的上下游流转在当前的商业社会普遍存在，稍有不慎，甚至涉及刑事风险。企业将个人信息数据共享给关联方，要清晰地知道共享的安全边界在何处，企业明白“有所为”或“有所不为”，方能在规则框架内真正让数据“流动”起来，合法实现数据的最大价值。