一、引言：從谷歌返華的第一步說起
近日，人民日報發(fā)文歡迎谷歌返回中國大陸，作為谷歌返華后最強勁的對手，百度CEO李彥宏毫不示弱地表示“百度有信心再贏一次。”然而，作為準備充分、卷土重來的谷歌，返華的第一步并非其他，卻是要求處理用戶敏感信息的開發(fā)者提供有效的隱私權政策。足見谷歌本次“歸來”并非側重與百度之間傳統(tǒng)流量和排位的競爭，而是注重網(wǎng)絡平臺“生態(tài)系統(tǒng)”的合規(guī)優(yōu)化，從而為用戶的數(shù)據(jù)隱私提供高標準的保護。不難看出，谷歌對我國《網(wǎng)絡安全法》的解讀和當前數(shù)據(jù)合規(guī)的大趨勢把握得十分精準，才會使出隱私政策這第一把殺手锏。
2017年6月開始實施的《網(wǎng)絡安全法》（下稱《網(wǎng)安法》）對于個人信息的收集、使用、保存、對外提供等一系列處理行為提出了明確要求。《網(wǎng)安法》第22條第3款規(guī)定, “網(wǎng)絡產(chǎn)品、服務具有收集用戶信息功能的, 其提供者應當向用戶明示并取得同意”；第41條第1款規(guī)定,“網(wǎng)絡運營者收集、使用個人信息, 應當遵循合法、正當、必要的原則, 公開收集、使用規(guī)則, 明示收集、使用信息的目的、方式和范圍, 并經(jīng)被收集者同意。”隱私政策是目前企業(yè)對個人信息處理向信息主體進行“明示”的常用方式之一, 其合法合規(guī)為企業(yè)收集處理的個人信息提供了保障。隱私政策的合格與否關系到企業(yè)能否規(guī)避懲罰風險、能否增強企業(yè)競爭力，其重要性不言而喻。本文將對完備的隱私政策必備的幾個要素進行分析，供企業(yè)參考。
二、完備的隱私政策的三大要素
本人將多份隱私政策的形式、內容等進行一一對比分析，總結出一份合規(guī)的隱私政策所應該具有的三大要素。
(一）顯著性
顯著的方式有多種，現(xiàn)行法律條文中能夠想象的“顯著”方式包括“加黑、顏色、下劃線、放大字體”等方式。本人認為此處的“顯著”是指“應當有友好而極易發(fā)現(xiàn)的通道從而讓用戶能瀏覽隱私權政策”。因此隱私政策的顯著性主要體現(xiàn)在：
1、用戶注冊確認頁面設置《隱私權政策》的超鏈接
首先，《隱私政策》的顯著性，最為直觀表地現(xiàn)為同意隱私政策的位置。在用戶安裝、注冊、第一次使用前對《隱私政策》采取增強式告知，提示關于個人信息收集的核心內容。增強式告知不是隱私政策的全部內容，但濃縮了隱私政策的核心,突出用戶最關心的信息,例如收集的個人信息范圍、使用目的和使用主體等。2017年“隱私條款專項工作”結束后,京東、支付寶等在其更新后的隱私政策使用了增強式告知，并且展現(xiàn)形式可擴展收縮,點擊目錄可以跳轉到具體條款，易于用戶獲取和閱讀關鍵信息。在實踐中，不少應用程序，電子商務平臺的《用戶服務協(xié)議》和《隱私政策》被縮小成小小的兩行超鏈接文字，且不具備擴展收縮、彈窗功能，對于此種缺乏顯著性的《隱私政策》的“同意”，因不具備顯著性功能，無疑在合規(guī)上存在重大瑕疵。
2、用戶表示“明示同意”的方式
自從互聯(lián)網(wǎng)行業(yè)發(fā)展伊始，用戶的“同意”便是企業(yè)機構取得用戶數(shù)據(jù)處理權限的最常用而直接的方式，我國《網(wǎng)絡安全法》更是以用戶同意作為唯一明文規(guī)定的數(shù)據(jù)處理合法性基礎。對于一份合規(guī)的《隱私政策》，有效的用戶同意必須滿足以下要求：
A）用戶“同意”應由其自由做出---基于用戶真正的選擇權
B）從內容上看，用戶“同意”應當是具體的、知情的
C）從方式上看，用戶“同意”應當是明確不含糊的
根據(jù)上述標準，目前不少軟件、應用中的《隱私政策》都因存在以下情形將被認定為合規(guī)性存在問題：
①以用戶“同意”作為提供一般服務的前提或與其他條款不合理的捆綁
②采用“我已閱讀上述……并同意……”的模式獲取用戶的同意
③采用預先勾選或其他默認同意的方式獲取用戶的同意
④數(shù)據(jù)處理活動或目的超出原始同意的權限范圍
（二）完整性
由于《網(wǎng)安法》原則性較強,對數(shù)據(jù)合規(guī)的具體要求需要企業(yè)根據(jù)自身情況予以細化落實。在法律強制性要求的基礎上, 本文結合《網(wǎng)安法》，將隱私政策的完整版本總結如下：
（三）合規(guī)性
隱私政策作為企業(yè)數(shù)據(jù)合規(guī)審查中首當其沖的審查對象，其合規(guī)性必然是其最終目的與完善目標。隨著《網(wǎng)安法》制定和實施，數(shù)據(jù)合規(guī)的紅線不斷提高，企業(yè)也不斷修訂和完善隱私政策以使其一次次跨越審查紅線。因此，合規(guī)性作為隱私政策的基本特征不容置疑。
在《網(wǎng)安法》中規(guī)定的個人信息權有：“知情權”（收集和使用公民個人信息必須遵循合法、正當、必要原則，且目的必須明確并經(jīng)用戶的知情同意）、“更正權（個人發(fā)現(xiàn)網(wǎng)絡運營者收集、存儲的其個人信息有錯誤的，有權要求網(wǎng)絡運營者予以更正。）”、“刪除權”（個人發(fā)現(xiàn)網(wǎng)絡運營者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個人信息的，有權要求網(wǎng)絡運營者刪除其個人信息）、“撤銷權”（個人信息主體有權撤回其先前的同意，個人信息控制者應向個人信息主體提供方法撤回收集、使用其個人信息的同意授權。）、“注銷權”（個人信息主體有權注銷其賬戶）。無一例外，以上權利都應該體現(xiàn)在一份合規(guī)的隱私政策中。換言之，在現(xiàn)行的法制條件下，若一份隱私政策沒有以上權利的存在，足以認定其為不合規(guī)的隱私政策。
值得一提的是，在應用APP的隱私政策中，通常將提供服務的業(yè)務分為核心功能和附加功能。而在隱私政策相關規(guī)定中，應用軟件在提供附加服務時，對個人數(shù)據(jù)信息的處理是否同核心業(yè)務一樣具有嚴密的合規(guī)性是值得我們思考的問題。另外，當應用軟件的初始目的和后續(xù)目的在長時間的開發(fā)使用中出現(xiàn)不一致時，隱私協(xié)議是否需要重新擬定及用戶是否需要重新表示“單項同意”，同樣是值得我們探討的問題。
三、結語
隨著國家對大數(shù)據(jù)產(chǎn)業(yè)關注的深入，針對個人信息甚至用戶信息的保護趨勢也是會越來越規(guī)范化。提前防范風險、修改完善隱私政策，并隨時根據(jù)新政策新形勢調整，其必要性、重要性不言而喻。合規(guī)的隱私政策不僅有利于降低企業(yè)自身的法律風險，還可以增強客戶對企業(yè)的信任感。同樣，在越來越多的大平臺加緊抓牢隱私政策審查的大形勢下，隱私政策的合規(guī)逐漸成為企業(yè)進入大平臺的“市場準入門檻”。擁有完備的隱私政策將成為企業(yè)手中的一張“王牌”，既能規(guī)避法律懲罰風險，又能增強企業(yè)競爭力，在企業(yè)數(shù)據(jù)風云中行穩(wěn)致遠。
注：感謝實習生陳玲玲為這篇文章做的支持工作。
