涉及个人数据的用户协议合规建议

北京时间2018年5月31日，被称为互联网女皇的凯鹏华盈（KPCB）风投合伙人玛丽·米克尔（MaryMeeker）公布的2018《互联网趋势报告》，其中列出的市场调研机构GFK调查结果显示：“中国用户为了更低的费用、个性化定制等原因愿意分享自己个人数据的人数比例为38%，位列世界第一。”
但是，中国用户真的更愿意为了利益分享数据吗？得出这样结论的前提应当是，用户在阅读用户协议隐私条款后，在完全知晓个人数据将会被以某种形式使用的前提下，为了获得一定利益而将个人数据作为交换条件，而事实上，快速划过产品中的用户协议直奔“已阅读并同意”按钮似乎已经成为用户的普遍画像。
然而，虽然用户注意力停留在用户协议上的时间如此短暂，但对于服务提供商收集、使用个人信息情况的关注却从未降低。近日，“航旅纵横”APP在使用个人数据基础上开发的“虚拟客舱”（提供查看同航班旅客常去目的地、选择航空公司偏好等信息功能）因用户的担忧和抗议而暂时关闭；同时，从GDPR（欧盟《通用数据保护条例》）生效引发的全世界热议可以看出，个人数据与隐私保护已经具有超越其体量的重要意义。
在面对协议签订阶段似乎并不关注协议内容，却对个人数据的收集、使用提出了较高要求的用户，企业应当如何在用户协议的内容与形式上做到合规？本期TA将一一为您解读。
一、用户协议的概念及法律性质
本文所讨论的用户协议是指，服务提供商与用户之间在线达成合意的合同条款，该种用户协议一般由服务提供商预先拟定，用户完成某种确认行为后对双方形成约束力。用户协议在性质上属于格式合同、电子合同，也是一种内容高度混合的无名合同。
二、用户协议效力的实体性要求：遵守相关规定，注意监管规范
随着《网络安全法》的颁布与实施，以及国家相关法律法规、政策举措对于个人信息保护的不断加强，越来越多的产品开始在其用户协议中增加隐私条款，或设立专门的隐私政策以试图“合法合规”地获取用户个人信息。但需要注意的是，虽然产品运营者与用户签订了个人数据“卖身契”，但这并不意味着可以就此高枕无忧地使用用户个人数据，涉及个人数据的用户协议应注意以下几点：
1、避免用户协议整体无效
用户协议的整体有效首先需要排除合同法中的法定无效情形，即：一方以欺诈、胁迫的手段订立合同，损害国家利益；恶意串通，损害国家、集体或者第三人利益；以合法形式掩盖非法目的；损害社会公共利益；违反法律、行政法规的强制性规定；造成对方人身伤害的免责条款无效；因故意或者重大过失造成对方财产损失的免责条款无效。
2、避免用户协议因存在格式条款无效
即便协议不存在上述情形，也需要注意的是，由于绝大多数用户协议均属于格式条款，根据我国《合同法》规定，一旦运营者提供的格式条款存在免除其自身责任、加重用户责任、排除用户主要权利之情形的，则该条款无效。
同时《合同法》还对服务提供商提出了合理告知的要求，即服务提供商应当遵循公平原则确定与用户之间的权利和义务，并采取合理的方式提请用户注意免除或者限制其责任的条款，按照用户的要求，对该条款予以说明。
3、关注《网络安全法》对个人信息使用的要求
服务提供商在设置用户协议过程中应注意《网络安全法》对个人信息的收集与使用提出了一系列原则性要求，应避免因违反相关规定导致条款无效。《网络安全法》对于个人信息的收集、使用要求如下：
（1）收集用户信息的明示告知义务
网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
（2）收集个人信息需具有必要性
网络运营者不得收集与其提供的服务无关的个人信息。
（3）使用个人信息规则
网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。
（4）信息安全保障义务
网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
4、隐私条款设置可参考国标委《信息安全技术个人信息安全规范》
与用户个人信息授权收集使用相关的内容一般包含在用户协议的“隐私条款”中或以单独设置“隐私政策”的形式呈现，服务提供商在具体内容设置上可参考2018年5月1日起开始实施的GB/T 35273—2017《信息安全技术个人信息安全规范》，该标准对个人信息收集、保存、使用提出了一系列规范要求，现总结如下：
（1）个人信息处理基本原则
权责一致、目的明确、选择同意、最少够用、公开透明、确保安全、主体参与。
（2）个人信息收集规范
服务提供者对个人信息的收集应满足合法化、最小化要求并取得用户的同意。
a.合法化要求不得存在欺骗、诱骗、隐瞒行为，不得从非法渠道获取个人信息，不得收集法律法规明确禁止的个人信息。
b.最小化要求对《网络安全法》提出的收集必要性原则予以进一步细化，除收集的用户信息必须与产品服务有直接关联外，标准还要求收集信息的频率及数量应是达到产品服务目的所必须的。
c.授权：该标准将用户授权行为区分为直接授权与间接授权，在直接授权的情况下，服务提供商应明确告知用户收集用户信息的业务类型与收集信息的相关情况（例如：收集范围、使用目的、存储情况、安全保障能力等）；在间接授权的情况下主要规定了服务提供商在取得用户信息时应注意的审查义务。
d.敏感信息处理：同时该标准还进一步区分了个人信息中敏感信息的范围，并进一步提高了对于敏感信息收集与使用的标准。
（3）个人信息保存规范：
a.保存期限：应当是为实现目的所需的最段时间，并在目的实现后及时予以删除。
b.去标识化处理：服务提供商应当在获得个人信息后将其中可以与用户个人身份进行对应的部分进行去除，并将完成去标识化处理的信息与可识别用户身份的信息进行分开存储。
c.敏感信息的处理：涉及到敏感信息的，应采取加密措施。
d.停止运营后的相关义务：停止运营后应停止收集用户信息，将停止运营的消息告知用户，并对已持有的信息删除或进行匿名化处理。
（4）个人信息使用规范：
a. 加强内部对于个人信息的访问、修改等权限的控制。
b.涉及在屏幕、纸面上展示个人信息的，应进行去标识化处理。
c.个人信息使用应消除身份指向性，不得超出收集时所称的合理范围。
d.保证个人信息提供者了解所提供信息的相关情况。
e.保证信息提供者可以对个人信息进行更正、删除、撤回，保证可以进行账户注销。
（5）完善用户申诉机制并及时响应相关请求。
5、关注监管部门审查过程中提出的警告与倡导性意见
即使依法律规定已经生效的用户协议，也应当注意有关监管部门提出的合规要求，避免在审查过程中受到警告，影响产品的正常使用与社会评价。同时，对于监管部门提出的倡导性意见应在不影响产品服务的基础上尽量予以完善。
如，工业和信息化部信息通信管理局曾约谈北京百度网讯科技有限公司、蚂蚁金服集团公司(支付宝)、北京字节跳动科技有限公司，指出三家企业存在用户个人信息收集使用规则、使用目的告知不充分的情况，要求其立即进行整改。中央网信办、工信部、公安部、国家标准委曾指导开展的对微信、淘宝网、支付宝、滴滴出行、京东商城等产品隐私条款的专项评审中，就隐私条款设置提出了细化要求，并对其中“一站式”撤回和关闭授权、在线访问、更正、删除其个人信息、在线注销账户等功能予以重点强调。
三、协议生效的程序性要求：用户协议确认
1.用户协议的常见确认方式
用户对个人数据收集、使用的授权以其对于用户协议的确认为前提，即通过用户确认行为认定双方达成合意。国内互联网产品的用户确认方式主要有两种：浏览确认、点击确认。
图1所示为常见的浏览确认方式。此种确认方式多表现为服务提供商在其产品中以超链接嵌入用户协议，用户浏览网站或使用产品即视为已经对该协议进行确认。图2为常见的点击确认方式，用户在使用产品前被强制阅读用户协议内容，并以其点击“确认”、“同意”等按钮表示接受合同条款的内容。


图1:浏览确认界面 图2:点击确认界面
2.美国司法实践对于确认方式及提示义务的认定
美国司法实践中普遍承认点击确认合同的效力，但同时也在个别案例中提出了点击确认合同必须具备的一定要素，例如Hoffman v.Supplements Togo Management, L.L.C案中，法院指出用户协议需要对该点击确认行为的法律后果予以明确说明，Grosvenor v.Qwest Communications Intern.Inc.案中, 法院要求点击确认行为生效需要以确认按钮与合同条款在同一页面为前提。服务提供商使用此种确认方式下的合理告知义务多表现于，协议需要便利用户进行阅读，并通过加粗、高亮等方式提醒用户注意重点合同条款，例如Feldman v.Google案中, 法院认为Google用户协议的字体字号阅读顺畅，方便打印，因此Google尽到了合理主义义务。

图4:Facebook提供的打印版本协议
美国司法实践对于浏览确认行为的效力判定重点考虑服务提供商是否尽到了合理告知义务。在Specht v.Netscape Communications Corp.案中，被告没有要求原告以任何行为表示对用户协议的认可，原告在下载和使用被告产品时也没有接收到任何提示用户协议存在的信息。因此法院认为，被告将用户协议以链接的形式隐蔽的置于网站中并不能使一般用户意识到协议的存在，因此即使原告用户对被告产品进行了下载，该行为也不能认定为用户对协议进行了确认。相比较而言，对于Dewayne Hubbert v.Dell Corp案，法院认为网站中的蓝色超链接协议与网站其他内容形成了鲜明对比，运营者已经尽到了合理告知义务，推定用户已经对该协议进行了阅读并通过购买行为进行了确认。
可见，美国司法实践中对于服务提供商设置用户协议提出了两个层次的要求：如果以点击确认的形式与用户签署协议，则服务提供商应当注意该协议阅读友好并加注重点提示；如果服务提供商使用浏览确认的形式与用户签署协议，除需要达到点击确认用户协议的要求外，还需以较为显著鲜明的方式在推定用户浏览的页面进行展示。
3.国内司法实践对于确认方式及提示义务的认定
（1）点击确认
我国法院对于采取点击确认形式的服务提供商额外提出了较高的提示义务标准，如厦门美图网科技有限公司与曹涛买卖合同纠纷案中，法院认为虽然用户在注册登录APP时，必经“点击注册登录表示同意美拍服务条款和账号规则”的页面，且“美拍服务条款”有下划线，但因以上内容字体系灰色小字体且在该页面最下端，与整体彩色的该页面相比并不醒目，同时，即使用户打开美拍用户协议，协议中大多内容均有黑色背景加下划线，重点提示条款并不明显，服务提供商没有尽到提请合理注意的义务。
（2）浏览确认
对于在注册过程中未显示用户协议内容，也未提示用户协议存在的情况，法院不认可服务提供商尽到了合理提示义务。如纳恩博科技有限公司与臧磊产品责任纠纷案中，法院认定消费者在注册成为小米科技有限责任公司网站用户时无需打开《用户协议》，只需要点击“立即注册”就可进行注册，故不能认定小米科技有限责任公司已经采取了合理方式提请消费者注意，但最终法院仅认定用户协议中部分条款无效，并未对用户协议整体效力予以否定。
（3）注册过程自动勾选“确认“按钮
对于在注册过程中自动勾选了“确认”、“同意”等按钮的用户协议，法院认为其并未尽到合理提示义务。吴建飞与互爱互动（北京）科技有限公司等网络服务合同纠纷案中，法院认定消费者在注册使用涉诉“斩仙游戏”时系统自动勾选了《应用用户协议》的“同意”选项，故系统自动勾选的行为未采取合理方式提请消费者注意《应用用户协议》，因此认定其中部分条款无效。
由以上案例可以看出，法院对于用户的确认行为效力与服务提供商是否尽到了合理提示义务的认定，针对不同的产品设置有着不同的要求，主要是基于是否合理、明显这一标准，虽然法院一般不会作出整体用户协议无效的认定，但如果服务提供商未尽到合理注意义务，法院通常会认定涉案条款部分无效。
四、TA对于涉及个人信息用户协议合规建议
1.用户协议显示方式与确认方式设计
TA建议较为稳妥的方式为：在用户正式使用相关产品或成为注册会员前，以强制性阅读的方式将用户协议原文进行展示，同时，在用户协议原文同一界面设置用户对上述协议内容的确认按钮，确认按钮需要具有一定的提示性表述，如“已阅读以上用户协议并同意注册”，且不要设置为默认勾选“同意”选项。
在用户完成第一次使用或注册前的确认行为后，还应保证用户可在指定的时间于产品中可方便阅读、下载经其确认的用户协议。针对网站类产品的特性，如不便于在用户进入时以弹窗形式展现全部用户协议内容，则建议可以在首页重点位置设置超链接形式的用户协议，但应注意用户协议超链接应与整体背景有所区分。
如用户协议有所更新，建议在用户开屏后以弹窗的形式展示用户协议修改内容并设置确认按钮，保证用户对用户协议修改内容享有知情权并进一步确认，对于网站类产品，则可以以首页公告的形式告知更新内容，防止未经用户确认的修改更新内容不对其发生效力。
2.涉及个人信息条款重点提示
个人信息使用条款可能以包含在用户协议中和单独设立隐私政策声明的形式存在，如在用户协议中设置个人信息使用条款或隐私条款，建议对该等条款予以重点标注，且建议注意划分用户协议中的重点条款范围，如对较多内容进行了下划线或加粗的标注，反而会被认定为未尽到提示义务。
3.避免不必要地扩大授权范围
用户协议中应尽量避免以下条款表述：“对于您提供的数据信息，您授予公司及其关联公司独家的、全球通用的、永久的、免费的许可使用权利（并有权在多个层面对该权利进行再授权）。此外，公司及其关联公司有权使用、复制、修订、改写、发布、翻译、分发、执行和展示您的全部资料数据（包括但不限于注册资料、交易行为数据及全部展示于网站的各类信息）或制作其衍生作品。“
以上条款看似取得了用户较大范围的授权，但却可能违反《网络安全法》《全国人大常委会关于加强网络信息保护的决定》《消费者权益保护法》《电信和互联网用户个人信息保护规定》等关于合法、合理、最小、必要等原则的规定。建议涉及个人信息授权条款中，在考虑产品需求及业务模式的基础上，明确可能会使用个人信息的业务范围、具体的使用形式、使用区域、授权的前提与目的等。
如服务提供商在具体业务中需要得到较大范围授权或无法确定是否符合以上原则要求，则建议与相关用户有针对性地进行协商，并采取线下方式确认协议内容。
4.区分去标识化信息与身份特征信息
服务提供商使用的与用户相关的部分信息并不必然要求具有一定的可识别身份特征，那么在用户协议中应当明确，在收集该等信息后服务提供商将对其进行“去识别化”处理，并进一步明确完成处理的信息可能的使用方式与使用范围，同时运营者应当注意清晰划定该部分信息与必要的身份特征信息之间的界限，以将其分开储存为佳。
5.细化用户“被遗忘权”行使路径
个人信息“被遗忘权”是指公民在其个人数据信息不再有合法之需时要求将其删除或不再使用的权利，如当时使用其数据信息是基于该公民的同意，而此时撤回了同意或存储期限已到，则其可以要求删除或不再使用该数据信息。用户享有被遗忘权意味着即使用户协议中个人数据授权使用条款已经生效，但在一定条件下用户有“撤回”授权的权利。目前被遗忘权已经在GDPR（《一般数据保护条例》）第17条的规定中作为法律渊源被确立下来。我国的相关规定中也有被遗忘权的影子，如《网络安全法》第四十三条规定了“删除权”与“更正权”，用户可以基于违法、违约或信息不正确的理由，向网络运营者提出删除或更正的申请。
建议服务提供商在用户协议中明确用户行使被遗忘权的可能路径，告知用户撤销授权、删除个人信息、注销账户等功能的实现方法。
6.注明用户建议与申诉渠道
用户协议中应提示用户如何反馈对于产品或者用户协议本身的建议，并针对涉及个人信息相关事项建立申诉管理机制，包括反馈方式、跟踪流程、合理反馈时间等。
参考文献：
[1] 高瓴资本：《2018中国互联网趋势报告》
[2] 姚黎黎，《美国法院的司法案例看用户协议的效力认定》，载《山东农业大学学报》
[3] 刘德,《良个人信息的财产权保护》，载《法学研究》
[4] 林旭霞,《论网络运营商与用户之间协议的法律规制》，载法律科学(西北政法大学学报)
[5] 高俊、杨瑾煜舟，《企业合规之消费者个人信息保护》，文章来源：威科先行
[6]中国电子商务研究中心《2016淘宝/天猫平台用户格式条款审查报告》
[7]《隐私条款评审提升信息保护水平》http://www.cac.gov.cn/2017-09/15/c_1121667458.htm
（最后访问日期2018年6月13日）
[8]（2018）辽14民辖终13号判决书
[9](2017)粤01民辖终3548号判决书
[10](2017)京03民辖终831号判决书
[11]Spechtv.Netscape Commc’ns Corp., 306 F.3 d17, 23-24 (2dCir.2002) .
[12]DewayneHubbert v.Dell Corp.359Ill.App.3 d976, 835N.E.2d113 (Ill App 5Dist., August 12,2005) .
[13]Hoffmanv.Supplements Togo Mgmt, L.L.C., 18A.3d210, 220 (N.J.Super.Ct.App.Div.2011) .