2019年5月31日，兒童節(jié)的前一天，國家互聯(lián)網(wǎng)信息辦公室發(fā)布《兒童個人信息網(wǎng)絡保護規(guī)定（征求意見稿）》（以下簡稱“征求意見稿”），為兒童節(jié)送出一份大禮。根據(jù)國務院2019年5月11日發(fā)布的《國務院2019年立法工作計劃》，《未成年人網(wǎng)絡保護條例》位列其中，反映出國家對保護未成年人網(wǎng)絡合法權益的重視和關切，此時在兒童節(jié)前夕出臺《征求意見稿》，尤應值得網(wǎng)絡運營者關注。
國家網(wǎng)信辦在六一前夕送來的兒童大禮包，須附上使用說明書才更顯得情真意切。因此，筆者將在下文對該《征求意見稿》做相應解讀，嘗試為網(wǎng)絡運營者提供指導和幫助。
第一，適用對象、立法目的、適用范圍和適用原則。《征求意見稿》規(guī)定所謂的兒童，是指不滿十四周歲的未成年人，從而界定了本規(guī)定的適用對象；《征求意見稿》的立法目的在于“保護兒童個人信息安全，促進兒童健康成長”，適用范圍主要是“在中華人民共和國境內(nèi)通過網(wǎng)絡從事收集、存儲、使用、轉移、披露兒童個人信息等活動”，《征求意見稿》規(guī)定網(wǎng)絡運營者的收集、使用、存儲等活動應遵循“正當必要、知情同意、目的明確、安全保障、依法利用的原則。”
第二，收集兒童信息。《征求意見稿》第5條、第6條、第7條和第8條規(guī)定網(wǎng)絡運營者應該設置保護兒童個人信息的規(guī)則或者用戶協(xié)議，規(guī)則須具體明確、通俗易懂，不得收集與目的無關的個人信息，同時并應設置個人信息保護專員。收集兒童信息須征得監(jiān)護人的明示同意，并且應設置“拒絕”選項。
其中，如何理解設置收集兒童個人信息的規(guī)則或者用戶協(xié)議？須知，當前的隱私政策大多數(shù)都有設置“未成年信息保護”的條款，用戶協(xié)議也有適當說明，對于兒童信息的收集并非全無告知。因此，筆者分析，此處的制定規(guī)則應是專設收集兒童信息的規(guī)則或者專門設置與兒童用戶之間的用戶協(xié)議，網(wǎng)絡運營者應重視該條款的規(guī)定。
此外，《征求意見稿》規(guī)定針對兒童要設置個人信息保護專員，根據(jù)《數(shù)據(jù)安全管理辦法》（征求意見稿）規(guī)定，收集個人敏感信息和重要數(shù)據(jù)要設置數(shù)據(jù)安全責任人，《網(wǎng)絡安全法》第34條要求關鍵基礎設施設置安全管理負責人，《個人信息安全規(guī)范（征求意見稿）》規(guī)定要任命個人信息保護負責人。如何理解這四者的關系？個人信息專員、數(shù)據(jù)安全責任人、安全管理負責人和個人信息保護負責人是否可以同一個人。筆者認為，如果可以是同個人，那么此人最好“具有相關管理工作經(jīng)歷和數(shù)據(jù)安全專業(yè)知識的人員擔任，參與有關數(shù)據(jù)活動的重要決策，直接向網(wǎng)絡運營者的主要負責人報告工作。”
第三，保存兒童信息。《征求意見稿》規(guī)定應采取加密措施保存兒童信息，并且存儲的期限不得違反實現(xiàn)收集、使用兒童信息的目的。
第四，使用兒童信息。《征求意見稿》規(guī)定網(wǎng)絡運營者使用兒童個人信息，不得超出約定的目的和范圍。因業(yè)務需要，超出目的使用兒童信息的，須再次征得監(jiān)護人的明示同意。同時，《征求意見稿》進一步規(guī)定使用兒童信息的工作人員應遵循最小授權原則，嚴守兒童秘密，訪問時要經(jīng)審批手續(xù)等。
該條規(guī)定從內(nèi)部控制的角度規(guī)定了一線工作人員使用兒童數(shù)據(jù)的規(guī)范操作，一定程度上有利于保障兒童的信息安全。然而，由于一線工作人員多以技術人員為主，采取技術手段避免工作人員復制、下載個人信息時，也需警惕技術人員的反技術措施。因此，筆者建議該條規(guī)定還需進一步規(guī)定，網(wǎng)絡運營者應制定措施，規(guī)定一線工作人員如違反操作要求應受懲罰。
第五，委托第三方處理數(shù)據(jù)。《征求意見稿》規(guī)定網(wǎng)絡運營者委托前要進行安全評估，評估安全后，應簽訂委托協(xié)議，明晰雙方責任和義務，受委托人不得再轉委托，應負擔對兒童信息的保護義務。
第六，數(shù)據(jù)轉移。《征求意見稿》規(guī)定網(wǎng)絡經(jīng)營者在轉移兒童信息時，應進行安全評估，并征得兒童監(jiān)護人的明示同意。
第七，數(shù)據(jù)共享。《征求意見稿》規(guī)定網(wǎng)絡運營者和第三方共同使用兒童個人信息的，應當征得兒童監(jiān)護人的明示同意。
《征求意見稿》在數(shù)據(jù)轉移和共享上，均要求網(wǎng)絡運營者應進行安全評估。其中，《信息安全技術 個人信息安全規(guī)范》對于如何安全評估，有做出相應規(guī)定，網(wǎng)絡運營者可參考該標準。筆者想討論的是，何為兒童監(jiān)護人的“明示同意”？如何確定已經(jīng)得到了監(jiān)護人的“明示同意”？“明示”的意思應是兒童監(jiān)護人基于主觀自愿的原則，以具體、明確、可被第三人確知的方式允許網(wǎng)絡經(jīng)營者收集兒童信息。但這種“明示”的表達如何以互聯(lián)技術的方式確認下來？同時，網(wǎng)絡運營者如何確認屏幕另一側點進同意按鈕的一方就是兒童的監(jiān)護人？種種問題都有待繼續(xù)探討。
第八，數(shù)據(jù)披露。《征求意見稿》規(guī)定除例外規(guī)定，網(wǎng)絡運營者不得披露兒童個人信息。
第九，停止產(chǎn)品或服務運營。《征求意見稿》規(guī)定出現(xiàn)該種情況后，網(wǎng)絡運營者應當立即停止收集兒童個人信息的活動，刪除其持有的兒童個人信息，并將停止運營的通知及時告知兒童監(jiān)護人。
《信息安全技術 個人信息安全規(guī)范（征求意見稿）》明確規(guī)定網(wǎng)絡運營者發(fā)生兼并、重組、破產(chǎn)的，數(shù)據(jù)承接方應承接原網(wǎng)絡運營者數(shù)據(jù)安全責任與義務。《數(shù)據(jù)安全管理辦法（征求意見稿）》進一步規(guī)定，在沒有數(shù)據(jù)承接方，應對數(shù)據(jù)作刪除處理。該《征求意見稿》在兩者的基礎上，規(guī)定網(wǎng)絡運營者不僅應刪除兒童個人信息，還應將“停止運營的通知及時告知兒童監(jiān)護人”，該規(guī)定更進一步保障了兒童的信息安全。但筆者顧慮之處在于在產(chǎn)品或者服務已經(jīng)停止運營情況下，多數(shù)情況下意味著公司的倒閉或者破產(chǎn)。在這種情況下，網(wǎng)絡運營者是否有動力做后續(xù)的處理措施呢？因為一旦公司破產(chǎn)清算注銷，意味著公司的市場主體身份已經(jīng)滅失，如果網(wǎng)絡運營者未通知兒童監(jiān)護人，往后如何確定承擔責任的主體？筆者認為立法者應進一步理清該問題。
第十，兒童信息主體權利。《征求意見稿》規(guī)定兒童或者其監(jiān)護人有以合理理由要求網(wǎng)絡運營者更正、刪除兒童信息的權利。
第十一，監(jiān)督處罰。《征求意見稿》規(guī)定網(wǎng)信部門在“網(wǎng)絡運營者落實兒童個人信息安全管理責任不到位，存在較大安全風險或者發(fā)生安全事件”情況下，有約談、督促網(wǎng)絡運營者整改的權力。當網(wǎng)絡運營者有違反本規(guī)定的情況，網(wǎng)信部門和有關部門有權“根據(jù)情節(jié)單處或者并處警告、沒收違法所得、處違法所得一倍以上十倍以下罰款，沒有違法所得的，處一百萬元以下罰款，對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款；情節(jié)嚴重的，并可以責令暫停相關業(yè)務、停業(yè)整頓、關閉網(wǎng)站、吊銷相關業(yè)務許可證或者吊銷營業(yè)執(zhí)照；構成犯罪的，依法追究刑事責任”，并將網(wǎng)絡運營者的行為記入誠信檔案。
《數(shù)據(jù)安全管理辦法（征求意見稿）》規(guī)定違反本辦法，將“根據(jù)情節(jié)給予公開曝光、沒收違法所得、暫停相關業(yè)務、停業(yè)整頓、關閉網(wǎng)站、吊銷相關業(yè)務許可證或吊銷營業(yè)執(zhí)照等處罰；構成犯罪的，依法追究刑事責任。”《征求意見稿》進一步規(guī)定了罰金措施和信用懲戒措施，有助于網(wǎng)絡運營者的規(guī)范運營。
綜上所述，《征求意見稿》在兒童信息的收集、存儲、使用、委托、共享、轉移、披露等方面都做了規(guī)定，并設置了相應的懲處措施，規(guī)定完整、脈絡清晰。當然，沒有一部法律盡善盡美，《征求意見稿》也存在著不少問題，正式稿將對該規(guī)定做何調(diào)整，有待進一步觀察。
