论坛跟帖、群组账号管理规定密集出台，互联网信息内容服务合规迫在眉睫

编者按：继9月7日“公众账号”“群组管理”两大新规发布之后，中央网信办于9月8日召开新闻发布会，向媒体详细介绍了2017年国家网络安全宣传周筹备情况，本次国家网络安全宣传周将于9月16日至24日在上海举办，以“网络安全法为人民，网络安全靠人民”为主题，重点宣传十八大以来的网络安全工作取得的重大成就，推动《网络安全法》的广泛普及。近期，基于《网络安全法》的行政及刑事处罚频发，网络安全数据合规的重要性正日益凸显，互联网企业应予以足够重视。
8月25日以来，国家网信办在两周时间内密集发布了《互联网跟帖评论服务管理规定》（以下称“《跟帖规定》”）、《互联网论坛社区服务管理规定》（以下称“《论坛规定》”）和《互联网群组信息服务管理规定》（以下称“《群组规定》”）、《互联网用户公共账号信息服务管理规定》（以下称“《账号规定》”），针对各大论坛、贴吧、群组等公共平台的合规管制正如火如荼地进行。与此同时，各地也纷现微信群主不履行监管职责遭受行政处罚的案例，为此，大数据法律研究服务团队特地对上述四部规定进行分析，结合《网络安全法》（以下称“《网安法》”）提出相应的合规整改建议。
网信办管理规定分析
《互联网跟帖评论服务管理规定》
《跟帖规定》主要针对跟帖评论服务，即互联网站、应用程序、互动传播平台以及其他具有新闻舆论属性和社会动员功能的传播平台，以发帖、回复、留言、“弹幕”等方式，为用户提供发表文字、符号、表情、图片、音视频等信息的服务。
《跟帖规定》要求跟帖服务提供者严格落实网站主体责任，主要包括八个方面：一是落实实名制要求，按照“后台实名、前台自愿”原则，对注册用户进行真实身份信息认证，不得向未认证真实身份信息的用户提供跟帖评论服务；二是建立用户信息保护制度，鉴于《网络安全法》第四章对用户信息保护制度作了规定，且国家标准化部门正抓紧组织制定《个人信息安全规范》，因此《跟帖规定》对此仅作了原则性表述；三是建立先审后发制度，《网络安全法》第四十七条要求网络运营者应当加强对其用户发布信息的管理，建立先审后发制度，目的在于维护跟帖评论的良好生态，但也对网站的管理责任提出了更高要求；四是加强弹幕管理，为维护弹幕正常秩序，防止利用弹幕传播违法违规信息，《跟帖规定》要求提供弹幕服务的网站要在同一平台和页面同时提供与之对应的静态版信息内容；五是建立信息安全管理制度，《跟帖规定》明确网站要建立跟帖评论审核管理、实时巡查、应急处置等信息安全管理制度，及时发现和处置违法信息。需要说明的是，该条规定系针对用户公开发布的违法信息，因而不存在损害个人隐私以及妨碍言论自由的问题；六是技术保障措施，《跟帖规定》明确网站要研发使用反垃圾信息管理系统，提升垃圾信息处理能力；七是加强队伍建设，《跟帖规定》要求网站审核编辑人员的数量和能力要与服务规模相适应，以解决审核人力不足和质量不高的问题；八是配合有关主管部门依法开展监督检查工作，提供必要的技术、资料和数据支持。
除上述义务外，《跟帖规定》明确要求跟帖服务提供者及其从业人员不得为谋取不正当利益或基于错误价值取向，采取选择性删除、推荐跟帖评论、利用软件、雇佣商业机构及人员等方式干预或误导舆论，对于违法违规信息应当及时采取警示、拒绝发布、删除信息、限制功能、暂停更新直至关闭账号等措施，并保存相关记录，同时构建用户分级管理制度，进行信用评估，将严重失信用户拉入黑名单并禁止其重新注册。
《互联网论坛社区服务管理规定》
《论坛规定》将互联网论坛社区服务定义为在互联网上以论坛、贴吧、社区等形式，为用户提供互动式信息发布社区平台的服务，因此无论是天涯论坛、百度贴吧这种囊括了海量信息内容的综合性平台还是虎扑、豆瓣、知乎等专注特定领域提供社交服务的企业，都属于《论坛规定》的规制主体。
《论坛规定》中互联网论坛社区服务提供者应当履行的义务主要为六个方面：一是建立健全信息安全管理制度，不得发布、传播法律明令禁止的信息，同时应当与用户签订协议，明确用户同样不得发布、传播上述信息的义务，明确论坛社区版块发起者、管理者履行与其权利相适应的义务；二是加强对其用户发布的信息的管理，发现含有法律法规和国家有关规定禁止的信息的，应当立即停止传输该信息，采取消除等处置措施，保存有关记录并及时报告；三是严格落实用户真实身份信息认证，加强对注册用户虚拟身份信息、版块名称简介等的审核管理，同时做好用户身份信息保护；四是不得通过发布、转载、删除信息或者干预呈现结果等手段，谋取不正当利益；五是开展经营和服务活动时，必须遵守法律法规，尊重社会公德，遵守商业道德，诚实信用，承担社会责任；六是建立健全公众投诉、举报制度，主动接受公众监督，及时处理公众投诉、举报。
《论坛规定》的处罚措施主要针对用户以及论坛社区板块发起者、管理者，对于违反《论坛规定》的上述主体将被限制、取消管理权限直至封禁或关闭有关账号、板块。
《互联网群组信息服务管理规定》
《群组规定》第二条明确规定，互联网群组，是指互联网用户通过互联网站、移动互联网应用程序等建立的，用于群体在线交流信息的网络空间，因此诸如微信群、QQ群、微博群、贴吧群、陌陌群、支付宝群聊等均为互联网群组。
《群组规定》要求，互联网群组信息服务提供者应当落实信息内容安全管理主体责任，配备与服务规模相适应的专业人员和技术能力，建立健全用户注册、信息审核、应急处置、安全防护等管理制度。平台方应落实的主体责任有以下五个方面：一是制定并公开管理规则和平台公约，与使用者签订服务协议，明确与使用者双方权利义务；二是按照“后台实名、前台自愿”的原则，对使用者进行真实身份信息认证，并保护使用者个人信息安全；三是对互联网群组实行分级分类管理，并建立使用者信用等级管理体系；四是对违法违规的互联网群组及使用者依法依规采取相应的管理措施；五是接受社会公众和行业组织的监督，建立健全投诉举报渠道，及时处理投诉举报。
对于建群条件、群组规模、群组管理方式等问题，《群组规定》明确群组信息服务提供者应当根据自身服务规模和管理能力，合理设定群组成员人数和个人建立群数、参加群数上限，平台方应根据自身能力运营相应规模的群组，并依法承担相应的管理责任。
《互联网用户公共账号信息服务管理规定》
所谓互联网公共账号信息服务，是指通过互联网站、应用程序等网络平台以注册用户公众账号形式，向社会公众发布文字、图片、音视频等信息的服务。具体而言，在各类社交网站和客户端开设的用户公众账号，如腾讯微信公众号、新浪微博账号；百度的百家号、网易的网易号，今日头条的头条号、腾讯的企鹅号、一点资讯的一点号等；在花椒、映客等直播平台和秒拍、快手等短视频平台开设的用户公众账号；在知乎、分答等互动平台开设的对公众答复的用户公众账号等，均在《账号规定》的适用范围之内。
关于用户公共账号服务提供者应当承担的义务，《账号规定》明确互联网用户公众账号服务提供者应当落实信息内容安全管理主体责任，一是配备与服务规模相适应的专业人员和技术能力，设立总编辑等信息内容安全负责人岗位，建立健全管理制度；二是制定和公开管理规则和平台公约，与使用者签订服务协议，明确双方权利义务，对违反法律法规、服务协议和平台公约的互联网用户公众账号依法依规立即处理；三是按照“后台实名、前台自愿”原则，对使用者进行基于组织机构代码、身份证件号码、移动电话号码等真实身份信息进行认证，同时建立用户信用等级管理体系；四是对使用者账号信息、服务资质、服务范围等实施审核、分级分类与备案；五是保护个人信息安全，不得泄露、篡改、毁损，不得非法出售或者非法向他人提供；六是加强对本平台公众账号发布内容的监测管理，发现有传播违法违规信息的，应立即采取消除等处置措施，防止扩散传播，必要时纳入黑名单。
《账号规定》还就公共账号发布新闻信息的条件进行了规定，只有依照《互联网新闻信息服务管理规定》及相关法律法规取得互联网新闻信息采编发布资质许可的互联网新闻信息服务提供者，才能通过开设的用户公众账号采编发布新闻信息。根据《互联网新闻信息服务管理规定》，通过互联网站、应用程序、论坛、博客、微博客、公众账号、即时通信工具、网络直播等形式向社会公众提供互联网新闻信息服务，应当取得互联网新闻信息服务许可，禁止未经许可或超越许可范围开展互联网新闻信息服务活动。此处所称互联网新闻信息服务，包括互联网新闻信息采编发布服务、转载服务、传播平台服务。
互联网信息服务平台合规整改建议
明确违法信息范围
《跟帖规定》第六条第二款、《论坛规定》第六条、《群组规定》第十条以及《账号规定》第十一条第一款均要求相关服务的提供者与使用者不得发布法律法规和国家有关规定禁止的信息内容，但都没有明确具体范围。我们建议参照《网安法》第十二条以及《互联网信息服务管理办法》第十五条的规定明确上述信息的范围，简言之，对于危害国家安全、损害国家利益、煽动民族仇恨、宣扬恐怖主义、封建迷信、破坏社会稳定、传播赌博、凶杀、暴力、淫秽色情以及侵犯他人名誉权、隐私权、知识产权等合法权益的网络信息都应当禁止发布。
落实真实身份信息认证
四部规定均明确了网站平台应当按照“后台实名、前台自愿”原则进行用户真实身份信息认证，不得向未认证真实身份信息的用户提供相关服务。在用户进行注册程序时，信息服务提供者就应当对其真实身份基于组织机构代码、身份证件号码、移动电话号码等信息进行验证，严格遵守实名制要求，及时登记备案，定期进行核验，保证用户注册程序的合法合规。2015年实施的《互联网用户账号名称管理规定》首次要求互联网信息服务提供者对注册用户进行真实身份信息认证，用户还应当与互联网信息服务提供者签订协议，承诺遵守法律法规、社会主义制度、国家利益、公民合法权益、公共秩序、社会道德风尚和信息真实性等七条底线，显然，在注册程序中制定用户承诺书，列明承诺事项，同样有利于减少互联网信息服务提供者的法律风险。
构建信息安全管理制度
关于信息安全管理制度，四部规定也都作出了相应规定，即互联网信息服务提供者应当落实主体责任，建立健全用户注册、信息审核、实时巡查、应急处置、安全防护等制度。我们建议，应将个人信息保护贯穿信息安全管理制度始终，兼顾《网安法》关于网络安全等级保护制度和网络信息安全的规定，制定内部安全管理制度和操作规程，采取必要的技术措施进行数据加密、分类、备份，监测、记录网络运行状态和网络安全事件，并按照规定留存相关的网络日志不少于六个月；收集注册用户身份信息时遵循合法、正当、必要的原则，在签订注册协议时公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并获取收集者的明示同意，不得泄露、篡改、毁损收集的用户身份信息，采取技术或其他措施确保收集的用户身份信息的安全，防止信息泄露、毁损、丢失，及时处理注销用户身份信息保证无法识别特定个人。
构建信用等级及黑名单制度
综合四部规定，针对用户在平台传播、散布违法违规信息的行为，互联网信息服务提供者应当建立用户信用分级管理制度，根据用户在平台中的行为开展信用评估，划分信用等级，根据信用等级确定服务范围及功能，将严重失信或有严重违法违规行为的用户纳入黑名单，视情节采取限制或停止提供服务、关闭账号、禁止重新注册、保存记录以及上报主管部门等措施。