从“ZAO爆红风波”看互联网行业投资中合规尽调要点

最近，一款名为“ZAO-逢脸坐戏”的App（以下简称“ZAO”）风靡互联网，用户可通过上传或拍摄符合要求的面部照片将平台上存在的视频片段或表情包中的人物面部替换为照片上的脸生成以自己为主角的视频片段，体验一把“做演员”的感觉。“换脸”这一新奇玩法激发了用户的好奇心和分享欲，使得ZAO在各社交平台迅速流行。但随着网友指出ZAO的用户协议显失公平，涉嫌将肖像权和著作权等侵权风险转嫁给普通用户，存在侵犯包括用户隐私在内的合法权益的可能性，批判与质疑之声接踵而至。ZAO官方微博账号“ZAO官方助手”于9月1日对隐私问题进行简短回应并修改部分争议较大的用户协议条款，随后于9月3日发布说明对相关问题作出解释。为回应公众关切，工业和信息化部网络安全管理局于9月3日对北京陌陌科技有限公司相关负责人进行问询约谈。



ZAO刚刚爆红期间，有媒体披露著名投资人朱啸虎透露目前已经有10多家VC主动邀约ZAO团队。[1]用户隐私和数据保护是互联网行业的一大痛点，近年来由于目标公司存在侵权风险而导致投资失败或受到影响的案例颇多，如腾讯投资涉嫌“洗稿”的公众号“差评”而被迫撤回投资，ZAO目前所面临的争议亦可能影响到ZAO的投资价值。
另外，在此前的“万豪国际客户个人信息泄露”事件中，万豪国际本可在收购喜达屋之前通过尽职调查发现系统漏洞从而采取对应措施，但因对网络安全和数据合规未施以足够重视导致2016年因未充分尽职调查所埋下的隐患终于于2018年爆发。因此，当投资者计划投资与网络产品和服务相关的项目时，对目标公司进行网络安全和数据合规尽职调查是不应忽视的重要环节。
下文将从“ZAO爆红风波”入手，分析互联网行业投资者在进行网络安全和数据合规尽职调查时所需重点考察的事项。
一、目标公司的网络安全和数据合规制度构建及落实情况
对目标公司内部制度构建的审查主要需要考察是否其符合《电信条例》《网络安全法》《电子商务法》《儿童个人信息网络保护规定》等相关规定，《信息安全技术个人信息安全规范》《互联网个人信息安全保护指南》等法律文件以及相关征求意见稿或草案亦是重要参考。对目标公司的网络安全和数据合规制度的审查需包括以下几个方面：
① 许可备案、服务范围审查；
② 网络安全保护制度审查，包含等级保护制度、平台内容审核制度、网络安全应急处置制度、实名验证制度、网络产品和服务安全审查等；
③ 网络安全管理制度审查，包括内部安全管理制度和操作规程、网络安全管理负责人或网络安全管理部门部署等；
④ 数据合规制度审查，包含数据来源、数据跨境传输、数据留存、个人信息保护等。
制度构建体现的是目标公司的“形式”合规性，而投资者亦应关注目标公司的“实质”合规性，即目标公司是否能够落实上述制度，真正实现维护网络安全和数据合规的目的。《网络安全法》第二十一条规定，网络运营者应当按照网络安全等级保护制度的要求履行安全保护义务，包括采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施。此时投资者需要全面审查目标公司是否拥有相应的抵御威胁，发现安全事件以及在遭到损害后能够恢复先前状态等的安全保护能力。
二、目标公司的个人信息保护能力
在面向“C端”的网络产品或服务中，如何切实保护个人信息是一个无法绕开的话题。网络运营者有效保障个人信息主体权益有利于赢得用户信任，而用户的信任则是市场竞争力的重要组成部分。比如在“万豪国际客户个人信息泄露”事件中，在万豪国际于2018年11月30日发布网络安全事件公告后，其美股盘前即跌逾5%。[2]万豪国际不仅承担了巨额行政处罚罚金和经济损失，更使得万豪国际这一品牌形象受损。
个人信息保护主要包括两个方面，一是对数据安全的保护，即能否保障个人信息和信息系统不被未经授权的第三方访问、使用、披露、破坏、修改或销毁；二是对个人信息主体自决权益的保护，即网络运营者不得超出个人信息主体授权同意的范围使用、委托处理、共享、转让或公开披露个人信息。对目标公司的数据安全保护能力审查已被上一节内容所涵盖，在此不再赘述，下文将分析对目标公司的个人信息主体自决权益保护能力进行审查所需考虑的内容。
用户协议和隐私政策是用户了解网络运营者个人信息安全保护能力的窗口，甚至能够直接影响用户是否使用该项网络产品或服务。ZAO引发争议的重要原因就在于其原有用户协议中部分条款的表述引发了用户对其个人信息的安全性和控制力的担忧，目前ZAO已对用户协议进行了修改。

（ZAO旧版用户协议）

（ZAO新版用户协议）
因此，合法适当的用户协议和隐私政策的重要性不言而喻，在文本中应尽可能详细说明网络运营者将对用户个人信息所采取的保护措施与安全事件发生时的应对方案，并在运营过程中真正落实其所承诺的各项措施。
除了审查目标公司的用户协议和隐私政策外，投资者还需考虑以下内容：
① 个人信息管理方案（包括但不限于个人信息分级管理，个人信息定期清理制度等内容）；
② 个人信息安全影响评估制度；
③ 目前个人信息合作客户名单和合作方案（包括但不限于个人信息的使用方式、使用范围）以及向第三方提供个人信息的流程；
④ 用户管理相关文件（包括但不限于索引方式、使用认证方式、保密等级、权限管理和操作规章、数据备份机制、审计功能等）；
⑤ 用户账号注销方式、注销协议、注销流程以及注销后公司对已收集和保存的个人信息的处理方式。
三、目标公司核心业务的违法性风险及风险应对能力
风险与收益在市场中往往相伴相生，核心业务的潜在违法性风险是影响投资收益的重要因素，能否容忍某一风险需要投资者的慎重考虑。以ZAO为例，无论是目前将视频或表情包中的人物替换为用户上传的照片，还是后续可能开发的新功能，其核心均在于“换脸”，因此保持用户活跃度的前提在于拥有丰富多样的素材库供用户“有脸可换”。目前ZAO产品上所存在的短视频或表情等素材大多源自影视作品，其核心业务所存在的著作权侵权风险以及ZAO的风险防范和应对能力均应当得到投资者的注意。
将他人拥有著作权的视频中的人物替换为用户上传的照片，存在着侵犯《著作权法》第十条所赋予著作权人的信息网络传播权和保护作品完整权等权利。
在旧版用户协议中，ZAO要求用户同意或确保实际权利人同意授予ZAO及其关联公司以及ZAO用户“对用户修改前后的用户内容进行信息网络传播以及《著作权法》规定的由著作权人享有的全部著作权利及邻接权利”。

（ZAO旧版用户协议）
ZAO在目前的版权声明中表示，“ZAO产品上存在的短视频和表情等素材，除了特别声明是ZAO跟合作方进行版权合作的之外，均来源于ZAO用户自发的上传，ZAO不享有素材的商业版权”，这一说明与上述旧版协议条款内容相似，均试图将获取著作权人授权的义务转移给用户，从而将著作权的侵权风险分配给用户，但上述条款不能实现规避风险的目的。

（ZAO版权声明）
首先，换脸功能的使用不能被认定为合理使用。在“优酷网络技术（北京）有限公司诉深圳市蜀黍科技有限公司侵害类电作品信息网络传播权案【（2019）京0491民初663号】”中，北京互联网法院认定深圳市蜀黍科技有限公司在其运营的“图解电影”APP和“图解电影”网站中提供普通用户上传的《三生三世十里桃花》第一集图片集的行为不属于合理使用，侵犯了优酷网络技术（北京）有限公司所拥有的信息网络传播权，判决赔偿被告经济损失3万元。在该案中，法官认为，合理引用的判断标准并非取决于引用比例，而应取决于介绍、评论或者说明的合理需要。而ZAO平台所提供的“换脸”服务亦不符合《著作权法》第二十二条所列明的合理使用的十二种情形，因此无法以此为由规避侵权风险。
其次，ZAO无法通过“避风港原则”规避侵权风险。普通用户并不具备获取影视作品著作权人授权的能力，但各类不存在“特别声明”同时著作权人授权情况未明确的作品片段则直接显示在App页面，可以认为ZAO对于用户利用其服务侵害著作权人权益这一情况的认识属于“知道或应当知道”的情形，此时ZAO难以适用“避风港原则”。

（从上述视频截图中可以看出，未明确著作权人授权的影视作品直接显示在App界面）
《侵权责任法》第三十六条规定，网络服务提供者知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。《最高人民法院关于审理侵害信息网络传播权民事纠纷案件适用法律若干问题的规定》第七条规定，网络服务提供者明知或者应知网络用户利用网络服务侵害信息网络传播权，未采取删除、屏蔽、断开链接等必要措施，或者提供技术支持等帮助行为的，人民法院应当认定其构成帮助侵权行为。同时，前已述及，换脸素材库的丰富程度与用户的使用体验密切相关，在这一利益导向下，ZAO可能涉嫌为保持用户粘度诱导、鼓励用户上传未经著作权人授权的作品以扩充素材库，从而被认定为《最高人民法院关于审理侵害信息网络传播权民事纠纷案件适用法律若干问题的规定》在提供网络服务时教唆或者帮助网络用户实施侵害信息网络传播权行为而需承担侵权责任。
上述ZAO旧版用户协议引发了公众的强烈批评，目前ZAO已对该条款进行修改，但新版用户协议以及其于9月3日发布的说明仍未阐明如何解决知识产权及监管等法律风险的问题。因此，除了审查目标公司事前的风险防范能力，投资者还需考察其在违法性事件发生后的风险应对能力。
不同的网络产品和服务由于核心业务的差异有着不同的违法性风险，投资者需要根据项目特性调整尽职调查工作内容。比如在计划投资互联网医院项目时，需要审查目标公司规避医疗不良事件的风险防范和应对能力；在计划投资云服务企业时，则需审查目标公司在因其用户从事违法行为而可能承担连带责任等情形下的风险防范和应对能力，比如在“北京乐动卓越科技有限公司诉阿里云公司侵害作品信息网络传播权案【（2017）京73民终1194号】”中，阿里云公司即体现出良好的风险应对能力。
四、结语
投资实质上是对风险与回报的进行权衡的结果，尽职调查则是对目标公司业务风险和未来回报进行全面了解的过程。投资者在投资前通过网络安全和数据合规尽职调查，方能有效识别目标公司在制度设计、产品、业务模式等方面的网络安全和数据合规法律风险，并系统评估目标公司投资价值及后续发展中竞争优势的可持续性，从而为最终的投资决策及投后管理提供有价值的参考。
参考资料：
[1] AI人工智能产业研究. AI换脸一夜爆红，隐私、版权争议不断，你真敢ZAO吗. (2019-09-02)[2019-09-03]. https://www.ithome.com/0/442/462.htm.
[2] 浙江之声. 万豪：喜达屋旗下酒店数据库被黑，5亿用户开房信息或外泄. (2018-12-01)[2019-09-04]. https://mp.weixin.qq.com/s/hpyUaVMJRFf3i-3f7guoeA.