姜曉婧

（華東政法大學(xué)，上海 200333）

移動(dòng)應(yīng)用（App）作為網(wǎng)絡(luò)技術(shù)支撐的數(shù)字化產(chǎn)品已經(jīng)滲入衣食住行作等社會(huì)生活的方方面面，成為網(wǎng)民生活、學(xué)習(xí)、工作的主要方式。據(jù)統(tǒng)計(jì)，截至2022 年6 月，我國(guó)國(guó)內(nèi)市場(chǎng)上監(jiān)測(cè)到的App 數(shù)量為232 萬(wàn)款①樂(lè)思：《工信部：國(guó)內(nèi)市場(chǎng)上監(jiān)測(cè)到的APP 數(shù)量為232 萬(wàn)款》，http：//finance.sina.com.cn/tech/roll/2022-07-28/doc-imizmscv3851599.shtml，訪(fǎng)問(wèn)日期：2022 年11 月4 日。。在其給人們帶來(lái)便利的同時(shí)，移動(dòng)應(yīng)用侵害個(gè)人信息的侵權(quán)事件和安全風(fēng)險(xiǎn)逐日攀升，超范圍搜集個(gè)人信息，強(qiáng)制索要無(wú)關(guān)權(quán)限用于服務(wù)無(wú)關(guān)用途等成為用戶(hù)投訴的焦點(diǎn)。在《中華人民共和國(guó)個(gè)人信息保護(hù)法》（以下簡(jiǎn)稱(chēng)《個(gè)人信息保護(hù)法》）、《中華人民共和國(guó)網(wǎng)絡(luò)安全法》（以下簡(jiǎn)稱(chēng)《網(wǎng)絡(luò)安全法》）之外，企業(yè)構(gòu)建個(gè)人信息處理的合規(guī)機(jī)制對(duì)于規(guī)避移動(dòng)應(yīng)用中個(gè)人信息安全風(fēng)險(xiǎn)意義重大。無(wú)論是宏觀層面接軌國(guó)際、爭(zhēng)奪數(shù)據(jù)保護(hù)話(huà)語(yǔ)權(quán)，還是中觀層面營(yíng)造良好的數(shù)據(jù)產(chǎn)業(yè)發(fā)展氛圍，抑或微觀層面為用戶(hù)提供網(wǎng)絡(luò)安全保障，移動(dòng)應(yīng)用中個(gè)人信息處理的合規(guī)機(jī)制構(gòu)建都不可或缺[1]。個(gè)人信息處理的合規(guī)機(jī)制構(gòu)建應(yīng)當(dāng)扎實(shí)立足于理論依據(jù)與規(guī)范依據(jù)，剖析個(gè)人信息處理應(yīng)當(dāng)遵守的實(shí)體規(guī)則，將這些規(guī)則內(nèi)化為企業(yè)內(nèi)部管理機(jī)制中的具體制度，并建立外部評(píng)價(jià)機(jī)制，隨時(shí)檢視合規(guī)機(jī)制的效果、提出反饋及進(jìn)一步調(diào)整合規(guī)機(jī)制，用閉合的企業(yè)合規(guī)機(jī)制將數(shù)據(jù)處理活動(dòng)中的個(gè)人信息保護(hù)責(zé)任落到實(shí)處。

一、個(gè)人信息處理合規(guī)的理論依據(jù)與規(guī)范依據(jù)

（一）理論依據(jù)

企業(yè)合規(guī)緣起于美國(guó)，經(jīng)過(guò)多年的發(fā)展現(xiàn)已成為一項(xiàng)被世界各國(guó)廣泛接受并開(kāi)展研究的公私合作治理制度[2]。從企業(yè)合規(guī)的性質(zhì)與功能來(lái)看，合規(guī)之“合乎規(guī)定”的字面意思得到了一定的限縮，目前通行的理論將合規(guī)風(fēng)險(xiǎn)與經(jīng)營(yíng)風(fēng)險(xiǎn)、財(cái)務(wù)風(fēng)險(xiǎn)相并列共同作為公司三大治理風(fēng)險(xiǎn)，也即將合規(guī)問(wèn)題基本限定在符合法律法規(guī)的要求[3]。

設(shè)置企業(yè)合規(guī)制度的根據(jù)主要是激勵(lì)理論，例如，企業(yè)設(shè)置刑事合規(guī)制度可以降低其預(yù)防必要性，從而對(duì)其減輕處罰甚至免予處罰[4]。除刑事犯罪外，在法律監(jiān)管的其他領(lǐng)域激勵(lì)理論也同樣有效[5]。從理論上分析企業(yè)設(shè)置提前，設(shè)置合規(guī)機(jī)制有助于企業(yè)增強(qiáng)法治意識(shí)，并將合法合規(guī)落實(shí)到實(shí)際的經(jīng)營(yíng)活動(dòng)中，既降低了企業(yè)的違規(guī)風(fēng)險(xiǎn)，又節(jié)約了相關(guān)機(jī)構(gòu)的監(jiān)管成本，在依法經(jīng)營(yíng)越來(lái)越成為企業(yè)經(jīng)營(yíng)的基本要求時(shí)，企業(yè)合規(guī)的推行是既有理論依據(jù)又能滿(mǎn)足現(xiàn)實(shí)需求的監(jiān)管革命[6]。

雖然企業(yè)合規(guī)的價(jià)值基礎(chǔ)理論眾多，也面臨諸多本土化調(diào)適的問(wèn)題，企業(yè)數(shù)據(jù)合規(guī)的正當(dāng)性與必要性已經(jīng)在理論界與實(shí)務(wù)界達(dá)成了共識(shí)[7]。對(duì)于我國(guó)而言，企業(yè)合規(guī)最初是為了應(yīng)對(duì)中國(guó)企業(yè)被國(guó)外監(jiān)管機(jī)關(guān)或者國(guó)際組織處罰而迫不得已開(kāi)展的企業(yè)管理工作，發(fā)展至今監(jiān)管部門(mén)已經(jīng)在食品藥品安全、出口管制、數(shù)據(jù)合規(guī)等領(lǐng)域大力推進(jìn)企業(yè)合規(guī)制度，企業(yè)合規(guī)對(duì)于公司內(nèi)部經(jīng)營(yíng)與監(jiān)督部門(mén)外部監(jiān)管的價(jià)值已經(jīng)得到初步證明[8]。如何引導(dǎo)不同企業(yè)開(kāi)展不同領(lǐng)域的合規(guī)工作，是監(jiān)管部門(mén)與企業(yè)本身亟待解決的問(wèn)題。

隨著數(shù)據(jù)經(jīng)濟(jì)時(shí)代的到來(lái)，數(shù)據(jù)保護(hù)合規(guī)已經(jīng)發(fā)展成為企業(yè)合規(guī)管理體系當(dāng)中的關(guān)鍵核心之一。歐美等地區(qū)或國(guó)家持續(xù)推進(jìn)數(shù)據(jù)保護(hù)的立法進(jìn)程，為企業(yè)設(shè)立了嚴(yán)苛的合規(guī)義務(wù)，強(qiáng)化了企業(yè)數(shù)據(jù)活動(dòng)的守法意識(shí)；同時(shí)，執(zhí)法機(jī)構(gòu)對(duì)違反合規(guī)義務(wù)企業(yè)的處罰也日趨嚴(yán)厲，以求營(yíng)造良好的企業(yè)經(jīng)營(yíng)環(huán)境，爭(zhēng)奪國(guó)際大數(shù)據(jù)話(huà)語(yǔ)權(quán)[9]。這為我國(guó)企業(yè)帶來(lái)了巨大的發(fā)展壓力。在此情況下，加強(qiáng)我國(guó)企業(yè)數(shù)據(jù)處理合規(guī)成為企業(yè)合規(guī)治理中的緊迫任務(wù)。

個(gè)人信息作為數(shù)據(jù)類(lèi)型中最具價(jià)值的數(shù)據(jù)，是商業(yè)活動(dòng)爭(zhēng)奪的重要數(shù)據(jù)資源，這決定了個(gè)人信息會(huì)面臨廣泛的傳播與深度的處理，也意味著用戶(hù)個(gè)人信息安全問(wèn)題的嚴(yán)峻。移動(dòng)應(yīng)用作為個(gè)人信息收集的第一站與用戶(hù)數(shù)據(jù)生成的最活躍場(chǎng)所，對(duì)其中個(gè)人信息處理的合規(guī)機(jī)制構(gòu)建具有時(shí)代意義。

（二）規(guī)范依據(jù)

我國(guó)個(gè)人信息保護(hù)制度源于《中華人民共和國(guó)憲法》對(duì)公民人格尊重和通信自由保護(hù)的規(guī)定，總體保護(hù)思路和框架體現(xiàn)于《網(wǎng)絡(luò)安全法》，系統(tǒng)形成于《個(gè)人信息保護(hù)法》，依托“四部門(mén)一行三會(huì)”施行行政監(jiān)管，統(tǒng)籌協(xié)調(diào)于App 專(zhuān)項(xiàng)治理工作組。與此體制機(jī)制相適應(yīng)的規(guī)范依據(jù)形成了“三層次五標(biāo)準(zhǔn)”的個(gè)人信息保護(hù)法規(guī)范依據(jù)。

第一層次是以《網(wǎng)絡(luò)安全法》《個(gè)人信息保護(hù)法》《中華人民共和國(guó)數(shù)據(jù)安全法》（以下簡(jiǎn)稱(chēng)《數(shù)據(jù)安全法》）為核心的國(guó)家立法層面的信息與數(shù)據(jù)保護(hù)立法。其中《網(wǎng)絡(luò)安全法》將個(gè)人信息界定為識(shí)別自然人個(gè)人身份的各種信息，實(shí)質(zhì)上的識(shí)別性和形式上的記錄性是其兩個(gè)基本要素[10]。就個(gè)人信息的安全保護(hù)義務(wù)而言，該法要求網(wǎng)絡(luò)的運(yùn)營(yíng)者負(fù)擔(dān)用戶(hù)信息保護(hù)的主體責(zé)任，收集和使用個(gè)人信息時(shí)應(yīng)當(dāng)以必要、明示和同意為原則，不得泄露、篡改、損毀其收集的個(gè)人信息，且不得轉(zhuǎn)作他用和超越原范圍使用，應(yīng)當(dāng)采取技術(shù)措施確保個(gè)人信息的安全。應(yīng)當(dāng)說(shuō)這些規(guī)定為數(shù)據(jù)型企業(yè)的個(gè)人信息保護(hù)合規(guī)施加了強(qiáng)制性要求，為相關(guān)企業(yè)從事個(gè)人信息經(jīng)營(yíng)活動(dòng)劃定了紅線(xiàn)。如果依照《數(shù)據(jù)安全法》的界定，被記錄下來(lái)的個(gè)人信息構(gòu)成數(shù)據(jù)，對(duì)個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)等行為構(gòu)成數(shù)據(jù)處理，企業(yè)在開(kāi)展數(shù)據(jù)活動(dòng)時(shí)應(yīng)當(dāng)保障數(shù)據(jù)的安全，遵從《數(shù)據(jù)安全法》的相關(guān)規(guī)定，在有效利用個(gè)人信息形成的匿名數(shù)據(jù)時(shí)，應(yīng)當(dāng)遵從數(shù)據(jù)安全相關(guān)標(biāo)準(zhǔn)，建構(gòu)數(shù)據(jù)企業(yè)的內(nèi)部安全體系，建立全流程安全管理制度，設(shè)立數(shù)據(jù)安全負(fù)責(zé)人（安全官），落實(shí)數(shù)據(jù)安全保護(hù)責(zé)任[11]。專(zhuān)門(mén)針對(duì)個(gè)人信息處理和保護(hù)活動(dòng)的具體規(guī)范，主要以《個(gè)人信息保護(hù)法》為典型，其就各種信息的處理、流通和使用，以及個(gè)人信息權(quán)人享有的相關(guān)權(quán)益，尤其是就個(gè)人的知情同意作出了詳細(xì)的規(guī)定，為企業(yè)合規(guī)提供了可操作的規(guī)范指引，以類(lèi)型化列舉的方式規(guī)定了個(gè)人信息處理者的義務(wù)，如第五十一條規(guī)定分類(lèi)管理、安全措施、應(yīng)急預(yù)案等安全管理義務(wù)[12]。這些信息與數(shù)據(jù)立法雖然較為宏觀，但卻是移動(dòng)應(yīng)用中個(gè)人信息處理環(huán)節(jié)中不可違背的規(guī)范紅線(xiàn)。

第二層次是以行政法規(guī)和部門(mén)規(guī)章為主的規(guī)范依據(jù)。以《互聯(lián)網(wǎng)信息服務(wù)管理辦法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等為代表的部分行政法規(guī)強(qiáng)調(diào)運(yùn)營(yíng)者應(yīng)當(dāng)申領(lǐng)互聯(lián)網(wǎng)信息服務(wù)牌照，具備相關(guān)的設(shè)立條件，在運(yùn)營(yíng)企業(yè)內(nèi)部設(shè)置專(zhuān)門(mén)的管理機(jī)構(gòu)，履行個(gè)人信息和數(shù)據(jù)安全保護(hù)責(zé)任，建立健全個(gè)人信息和數(shù)據(jù)安全保護(hù)制度。如《網(wǎng)絡(luò)安全審查辦法》《數(shù)據(jù)出境安全評(píng)估辦法》等部門(mén)規(guī)章則明確了具體領(lǐng)域內(nèi)的操作規(guī)程和運(yùn)行規(guī)則，要求掌握超過(guò)100 萬(wàn)用戶(hù)個(gè)人信息的網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者赴國(guó)外上市，必須向網(wǎng)絡(luò)安全審查辦公室申報(bào)網(wǎng)絡(luò)安全審查，向境外提供數(shù)據(jù)的，應(yīng)當(dāng)向國(guó)家網(wǎng)信部門(mén)申報(bào)數(shù)據(jù)出境安全評(píng)估①楊振：《企業(yè)應(yīng)如何應(yīng)對(duì)〈網(wǎng)絡(luò)安全審查辦法〉監(jiān)管下的合規(guī)風(fēng)險(xiǎn)》，https：//www.pkulaw.com/lawfirmarticles/cabf9dc2c0898f0 699075f83c5589c0ebdfb.html?articleFbm=CLI.A.252759，訪(fǎng)問(wèn)日期：2022 年11 月14 日。。

第三層次是以《互聯(lián)網(wǎng)個(gè)人信息安全保護(hù)指南》《App 違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》等為代表的規(guī)范性文件。這些具體的規(guī)范性文件聚焦于具體的移動(dòng)應(yīng)用個(gè)人信息處理場(chǎng)景，為行政監(jiān)督管理架構(gòu)的設(shè)置提供了規(guī)范依據(jù)，形成了圍繞App個(gè)人信息保護(hù)展開(kāi)的“四部門(mén)+工作組”的執(zhí)法體制。其中網(wǎng)信辦根據(jù)《網(wǎng)信部門(mén)行政執(zhí)法程序規(guī)定》，采用約談、責(zé)任改正、停業(yè)整頓、關(guān)閉下架等措施，依法打擊危害網(wǎng)絡(luò)安全、數(shù)據(jù)安全、侵害公民個(gè)人信息等違法行為。電信、公安和市場(chǎng)監(jiān)督管理部門(mén)在各自的職責(zé)范圍內(nèi)履行監(jiān)管職責(zé)。根據(jù)行政監(jiān)管的規(guī)范性文件的要求，數(shù)據(jù)性企業(yè)應(yīng)當(dāng)將個(gè)人信息保護(hù)的標(biāo)準(zhǔn)工作納入合規(guī)化標(biāo)準(zhǔn)化的一環(huán)，以《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（App）收集使用個(gè)人信息自評(píng)估指南》《信息安全技術(shù) 個(gè)人信息安全規(guī)范》《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（App）個(gè)人信息保護(hù)常見(jiàn)問(wèn)題及處置指南》等標(biāo)準(zhǔn)為企業(yè)內(nèi)部個(gè)人信息數(shù)據(jù)合規(guī)的流程標(biāo)準(zhǔn)化指引。

二、個(gè)人信息處理企業(yè)合規(guī)的實(shí)體規(guī)則

從網(wǎng)信辦、工信部對(duì)App 發(fā)布的違規(guī)通報(bào)情況看，移動(dòng)應(yīng)用在個(gè)人信息處理中主要涉及九大類(lèi)違規(guī)行為：未公開(kāi)收集使用規(guī)則，未明確告知收集個(gè)人信息的目的、方式和范圍，未經(jīng)用戶(hù)同意收集個(gè)人信息，超越范圍收集個(gè)人信息，欺騙、誘導(dǎo)或者強(qiáng)迫用戶(hù)同意收集個(gè)人信息，違規(guī)使用個(gè)人信息，設(shè)置障礙、頻繁騷擾用戶(hù)，未向用戶(hù)提供主張權(quán)利的途徑，應(yīng)用分發(fā)功能違規(guī)②參見(jiàn)國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心、中國(guó)網(wǎng)絡(luò)空間安全協(xié)會(huì)《App 違法違規(guī)收集使用個(gè)人信息監(jiān)測(cè)分析報(bào)告》（2021 年12 月）。。這九大類(lèi)違規(guī)行為從本質(zhì)上看主要是侵害用戶(hù)的知情同意權(quán)，通過(guò)不正當(dāng)手段擅自變更個(gè)人信息允許使用的范圍，以及濫用經(jīng)營(yíng)者的私權(quán)利。這九大類(lèi)典型的違規(guī)行為從反面鮮活生動(dòng)地揭示了移動(dòng)應(yīng)用中個(gè)人信息處理合規(guī)應(yīng)當(dāng)遵循的實(shí)體規(guī)則究竟為何，為相關(guān)企業(yè)合規(guī)提供了精準(zhǔn)的執(zhí)法標(biāo)準(zhǔn)和尺度，應(yīng)當(dāng)作為企業(yè)合規(guī)實(shí)體規(guī)則建構(gòu)的重點(diǎn)。移動(dòng)應(yīng)用中個(gè)人信息處理合規(guī)的內(nèi)核應(yīng)當(dāng)是對(duì)實(shí)體規(guī)則的遵守，可以將其概括總結(jié)為：嚴(yán)格遵循“知情同意”規(guī)則，固守原有授權(quán)范圍，規(guī)范行使私權(quán)利。

（一）嚴(yán)格遵循“知情同意”規(guī)則

根據(jù)《個(gè)人信息保護(hù)法》的規(guī)定，處理個(gè)人信息應(yīng)當(dāng)及時(shí)向個(gè)人披露，并獲得個(gè)人自愿、明確同意。這包含了知情同意規(guī)則的兩項(xiàng)義務(wù)：一是知悉具體的使用場(chǎng)景、使用規(guī)則、處理的范圍等；二是以條款或單獨(dú)協(xié)議的形式明確表示同意。鑒于不同個(gè)人信息處理場(chǎng)景對(duì)個(gè)人信息人格利益影響的差異性，如第二十四條對(duì)個(gè)人信息處理者作出“通過(guò)自動(dòng)化決策方式向個(gè)人進(jìn)行信息推送、商業(yè)營(yíng)銷(xiāo)，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)，或者向個(gè)人提供便捷的拒絕方式”的規(guī)定，要求個(gè)人信息處理者針對(duì)利用個(gè)人信息進(jìn)行自動(dòng)化決策的特殊場(chǎng)景，給予個(gè)人信息額外的保護(hù)。

應(yīng)當(dāng)說(shuō)知情同意規(guī)則貫穿整個(gè)《個(gè)人信息保護(hù)法》，全鏈條、全方位式同意，儼然將所有基于個(gè)人信息的行為和衍生性商業(yè)使用都建立在同意基礎(chǔ)之上，沒(méi)有征得用戶(hù)同意的數(shù)據(jù)收集、加工、傳輸、提供等行為就喪失了合法性基礎(chǔ)[13]，可能引發(fā)侵害個(gè)人信息的民事和刑事風(fēng)險(xiǎn)。但是，又受制于用戶(hù)技術(shù)性知識(shí)的欠缺和部分用戶(hù)對(duì)同意后產(chǎn)生后果的無(wú)法預(yù)計(jì)，形式上的同意并不能消除用戶(hù)實(shí)際上不具備同意能力的現(xiàn)實(shí)障礙，這就引發(fā)了基于個(gè)人信息所開(kāi)發(fā)產(chǎn)品的侵權(quán)風(fēng)險(xiǎn)，因而在企業(yè)合規(guī)的規(guī)范設(shè)計(jì)中務(wù)必要提供切實(shí)可行的措施保障用戶(hù)的同意能力，固定用戶(hù)合法的同意形式。

（二）固守原有授權(quán)范圍

由于數(shù)據(jù)主體對(duì)于數(shù)據(jù)處理活動(dòng)以及后續(xù)應(yīng)用復(fù)雜程度的理解有限，出現(xiàn)了許多“掛羊頭賣(mài)狗肉”的企業(yè)，超出個(gè)人信息授權(quán)范圍將數(shù)據(jù)用于完全不同的場(chǎng)景甚至從事隱秘的違法活動(dòng)，極大地增加了用戶(hù)的個(gè)人信息安全風(fēng)險(xiǎn)，故網(wǎng)絡(luò)經(jīng)營(yíng)者在用戶(hù)原有授權(quán)范圍內(nèi)規(guī)范使用個(gè)人信息是企業(yè)合規(guī)應(yīng)當(dāng)遵守的重要實(shí)體規(guī)范。根據(jù)重慶市2022 年3 月通過(guò)的《重慶市數(shù)據(jù)條例》規(guī)定，超出約定范圍使用公共數(shù)據(jù)最多可能面臨十萬(wàn)元的罰款①《重慶市數(shù)據(jù)條例》第五十七條規(guī)定：“自然人、法人和非法人組織違反本條例第二十九條規(guī)定，有下列行為之一的，由市數(shù)據(jù)主管部門(mén)責(zé)令限期改正；逾期未改正的或者造成嚴(yán)重后果的，處一萬(wàn)元以上十萬(wàn)元以下的罰款：（一）未向市數(shù)據(jù)主管部門(mén)反饋數(shù)據(jù)使用情況的；（二）超出約定使用范圍使用公共數(shù)據(jù)的?！?。

在個(gè)人信息使用過(guò)程中，只要個(gè)人信息具備可識(shí)別性或能夠反映自然人活動(dòng)情況的，個(gè)人信息控制者便應(yīng)遵循使用授權(quán)范圍。超出授權(quán)范圍使用個(gè)人信息的，應(yīng)再次征得個(gè)人信息主體的明示同意；如果將所收集的個(gè)人信息用于學(xué)術(shù)研究或得出對(duì)自然、科學(xué)、社會(huì)、經(jīng)濟(jì)等現(xiàn)象總體狀態(tài)的描述，屬于與收集目的合理關(guān)聯(lián)的范圍內(nèi)，延伸視為已經(jīng)同意，無(wú)須再次征得用戶(hù)授權(quán)。

（三）規(guī)范行使私權(quán)利

依照《網(wǎng)絡(luò)安全法》的規(guī)定，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)對(duì)網(wǎng)絡(luò)空間傳播的個(gè)人信息負(fù)擔(dān)行政法層面上的審查和保護(hù)責(zé)任。然而，現(xiàn)實(shí)中網(wǎng)絡(luò)運(yùn)營(yíng)者可能利用用戶(hù)同意和用戶(hù)協(xié)議剝奪、騙取用戶(hù)的個(gè)人信息。用戶(hù)協(xié)議固然是運(yùn)營(yíng)者與用戶(hù)之間簽訂的平等協(xié)議，但是鑒于用戶(hù)在技術(shù)和地位上無(wú)法與網(wǎng)絡(luò)運(yùn)營(yíng)者比擬，所以在合同的條款上其并無(wú)平等協(xié)商的能力和機(jī)會(huì)，只能同意網(wǎng)絡(luò)運(yùn)營(yíng)者擬訂的條款，如App 以彈窗的形式向用戶(hù)明示共享給第三方的行為，在用戶(hù)點(diǎn)擊同意的情況下，將聯(lián)系人、位置、短信、本機(jī)號(hào)碼等個(gè)人信息發(fā)送給第三方SDK 等產(chǎn)品或服務(wù)。用戶(hù)基于格式條款無(wú)效之理論主張平臺(tái)規(guī)則不合理，或以違約責(zé)任過(guò)重為由主張平臺(tái)制裁不合理的訴求，基本難以獲得法律支持[14]。

如果說(shuō)平臺(tái)與用戶(hù)之間的協(xié)議尚有平等協(xié)商的外衣，那么平臺(tái)單方制定的管理規(guī)則和公約，則使其獲得了實(shí)質(zhì)意義上的準(zhǔn)立法權(quán)，對(duì)平臺(tái)管理處于絕對(duì)的支配地位②《網(wǎng)絡(luò)信息內(nèi)容生態(tài)治理規(guī)定》第十五條規(guī)定：“網(wǎng)絡(luò)信息內(nèi)容服務(wù)平臺(tái)應(yīng)當(dāng)制定并公開(kāi)管理規(guī)則和平臺(tái)公約，完善用戶(hù)協(xié)議，明確用戶(hù)相關(guān)權(quán)利義務(wù)，并依法依約履行相應(yīng)管理職責(zé)。網(wǎng)絡(luò)信息內(nèi)容服務(wù)平臺(tái)應(yīng)當(dāng)建立用戶(hù)賬號(hào)信用管理制度，根據(jù)用戶(hù)賬號(hào)的信用情況提供相應(yīng)服務(wù)?！?。從經(jīng)營(yíng)效益層面而論，平臺(tái)內(nèi)用戶(hù)和流量越多，為平臺(tái)賺取的收益也越大，因而平臺(tái)容易受到放任市場(chǎng)化選擇信息的激勵(lì)。從平臺(tái)營(yíng)利性的目的與平臺(tái)擁有的實(shí)質(zhì)管理權(quán)兩方面綜合來(lái)看，平臺(tái)有理由左右搖擺，其管理的預(yù)見(jiàn)性和透明性降低。如果不在企業(yè)內(nèi)部合規(guī)環(huán)節(jié)中嚴(yán)格審查平臺(tái)自己私權(quán)利的行使，就無(wú)法杜絕平臺(tái)管理淪為掩蓋法律制裁而攫取私人商業(yè)利益的手段，尤其是網(wǎng)絡(luò)平臺(tái)利用其豐富的數(shù)據(jù)資源，在技術(shù)架構(gòu)內(nèi)驅(qū)動(dòng)智能算法，剝奪了用戶(hù)的知情權(quán)，算法權(quán)力甚至取代了公權(quán)力決策[15]，形成對(duì)政府、組織和公民的影響力，而技術(shù)架構(gòu)的嵌入優(yōu)勢(shì)，隔離了法律的規(guī)定[16]。因此，對(duì)于涉及個(gè)人信息的產(chǎn)品和流程，應(yīng)當(dāng)嚴(yán)格依照相關(guān)的管理規(guī)定設(shè)計(jì)用戶(hù)協(xié)議、平臺(tái)規(guī)約等自治性的規(guī)則。比如，汽車(chē)企業(yè)涉及通過(guò)車(chē)載處理器獲取個(gè)人行程軌跡、用車(chē)習(xí)慣等信息的，必須依照《汽車(chē)數(shù)據(jù)安全管理若干規(guī)定（試行）》的要求嚴(yán)格收集、加工、傳輸?shù)刃袨?，不可通過(guò)彈窗式同意方式等規(guī)則設(shè)定自身的管理規(guī)范。

三、個(gè)人信息處理企業(yè)合規(guī)的內(nèi)部管理機(jī)制

個(gè)人信息合規(guī)的規(guī)范體系建設(shè)要明確數(shù)據(jù)處理合規(guī)管理的政策和制度，將個(gè)保法、網(wǎng)安法、數(shù)據(jù)保護(hù)總則、企業(yè)個(gè)人信息數(shù)據(jù)安全管理政策、分級(jí)分類(lèi)制度、個(gè)人信息權(quán)生命管理制度、訪(fǎng)問(wèn)與管控制度等按照等級(jí)層次落實(shí)分類(lèi)協(xié)同。一些典型的、必要的內(nèi)部管理機(jī)制主要是對(duì)個(gè)人信息保護(hù)的影響評(píng)估、信息的分級(jí)分類(lèi)管理等常態(tài)化合規(guī)機(jī)制，以及應(yīng)對(duì)突發(fā)狀況的安全事件應(yīng)急關(guān)機(jī)機(jī)制。在此基礎(chǔ)上，避免企業(yè)合規(guī)機(jī)制形同虛設(shè)的關(guān)鍵在于將合規(guī)管控要求和具體節(jié)點(diǎn)的文件嵌入到具體的業(yè)務(wù)流程中，使合規(guī)機(jī)制與企業(yè)的具體經(jīng)營(yíng)業(yè)務(wù)緊密關(guān)聯(lián)，如此才能切實(shí)發(fā)揮企業(yè)合規(guī)機(jī)制的作用。

（一）個(gè)人信息保護(hù)影響評(píng)估

個(gè)人信息活動(dòng)之前的個(gè)人信息保護(hù)影響評(píng)估是數(shù)據(jù)活動(dòng)順利合法合規(guī)進(jìn)行的重要環(huán)節(jié)。個(gè)人信息保護(hù)影響評(píng)估是《個(gè)人信息保護(hù)法》第五十五條明確規(guī)定的強(qiáng)制性義務(wù)，是預(yù)防和識(shí)別個(gè)人信息合規(guī)風(fēng)險(xiǎn)的關(guān)鍵一環(huán)。特別是尚未開(kāi)展的個(gè)人信息處理活動(dòng)，影響評(píng)估能夠大幅降低違法風(fēng)險(xiǎn)，同時(shí)提高產(chǎn)品信任度及競(jìng)爭(zhēng)力，且面對(duì)監(jiān)管審查時(shí)，清晰、完整、及時(shí)的個(gè)人信息保護(hù)影響評(píng)估能夠作為有力的合規(guī)證明文件用于抗辯。

根據(jù)《個(gè)人信息保護(hù)法》第五十五條的規(guī)定，在處理敏感個(gè)人信息，利用個(gè)人信息進(jìn)行自動(dòng)化決策，委托處理個(gè)人信息、向其他個(gè)人信息處理者提供個(gè)人信息、公開(kāi)個(gè)人信息，向境外提供個(gè)人信息，其他對(duì)個(gè)人權(quán)益有重大影響的個(gè)人信息處理活動(dòng)前，個(gè)人信息處理者應(yīng)從個(gè)人信息的處理目的、處理方式等是否合法、正當(dāng)、必要，對(duì)個(gè)人權(quán)益的影響及安全風(fēng)險(xiǎn)，所采取的保護(hù)措施是否合法、有效并與風(fēng)險(xiǎn)程度相適應(yīng)等方面，開(kāi)展個(gè)人信息保護(hù)影響評(píng)估①《個(gè)人信息保護(hù)法》第五十五條規(guī)定：“有下列情形之一的，個(gè)人信息處理者應(yīng)當(dāng)事前進(jìn)行個(gè)人信息保護(hù)影響評(píng)估，并對(duì)處理情況進(jìn)行記錄：（一）處理敏感個(gè)人信息；（二）利用個(gè)人信息進(jìn)行自動(dòng)化決策；（三）委托處理個(gè)人信息、向其他個(gè)人信息處理者提供個(gè)人信息、公開(kāi)個(gè)人信息；（四）向境外提供個(gè)人信息；（五）其他對(duì)個(gè)人權(quán)益有重大影響的個(gè)人信息處理活動(dòng)?！逼髽I(yè)處理個(gè)人信息如果存在其中任何一種情形，個(gè)人信息保護(hù)影響評(píng)估都將成為企業(yè)必須進(jìn)行的合規(guī)項(xiàng)目。。

個(gè)人信息保護(hù)影響評(píng)估大致包括三個(gè)環(huán)節(jié)：預(yù)備環(huán)節(jié)—評(píng)估環(huán)節(jié)—報(bào)告及整改環(huán)節(jié)。在預(yù)備環(huán)節(jié)，首先，應(yīng)當(dāng)集合技術(shù)部門(mén)、法律部門(mén)、相關(guān)業(yè)務(wù)部門(mén)等代表組成評(píng)估團(tuán)隊(duì)；其次，制定切實(shí)可行的評(píng)估計(jì)劃，如多方人員訪(fǎng)談、管理制度及規(guī)范檢查或者技術(shù)測(cè)試等方式；再次，明確評(píng)估對(duì)象與范圍，包括即將開(kāi)展的個(gè)人信息處理活動(dòng)之基本信息、系統(tǒng)設(shè)計(jì)、處理流程等。在評(píng)估階段，應(yīng)當(dāng)先行覆蓋數(shù)據(jù)全生命周期的個(gè)人信息處理映射表，結(jié)合處理的具體場(chǎng)景分類(lèi)統(tǒng)計(jì)個(gè)人信息處理活動(dòng)，記錄每類(lèi)個(gè)人信息處理中的個(gè)人信息類(lèi)型、信息主體、控制者、收集處理目的、合法事由等具體情形，在此基礎(chǔ)上結(jié)合《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（GB/T35273—2020）、《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全管理中心技術(shù)要求》（GB/T 36958—2018）等國(guó)標(biāo)來(lái)識(shí)別個(gè)人信息處理中的風(fēng)險(xiǎn)源，從個(gè)人自主決定、差別待遇影響、個(gè)人名譽(yù)、精神壓力、人身財(cái)產(chǎn)等角度對(duì)個(gè)人權(quán)益的影響進(jìn)行分析，并最終統(tǒng)合風(fēng)險(xiǎn)因素識(shí)別與個(gè)人權(quán)益影響這兩步的結(jié)果，得出評(píng)估結(jié)果。評(píng)估結(jié)束之后，還應(yīng)當(dāng)依照結(jié)果進(jìn)行針對(duì)性的整改才能完成評(píng)估工作的閉環(huán)，依據(jù)不同的風(fēng)險(xiǎn)等級(jí)排除個(gè)人信息處理的風(fēng)險(xiǎn)，并繼續(xù)追蹤風(fēng)險(xiǎn)排除情況，掌握剩余風(fēng)險(xiǎn)的發(fā)展變化。

（二）信息分類(lèi)分級(jí)管理

個(gè)人信息分級(jí)分類(lèi)管理制度是通過(guò)“定性+定量”的方式確定個(gè)人信息保護(hù)優(yōu)先順序的制度，是精準(zhǔn)合規(guī)的體現(xiàn)，精確的個(gè)人信息分類(lèi)保護(hù)能夠合理化配置個(gè)人信息安保資源，實(shí)現(xiàn)個(gè)人信息合規(guī)與保護(hù)的最佳效果。在目前尚無(wú)權(quán)威的分級(jí)分類(lèi)標(biāo)準(zhǔn)之時(shí)，可以依據(jù)《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)分類(lèi)分級(jí)指引》《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》進(jìn)行制定，也可參考借鑒域外《通用數(shù)據(jù)保護(hù)條例》一般個(gè)人信息與特殊類(lèi)型信息的分類(lèi)標(biāo)準(zhǔn)。

對(duì)個(gè)人信息的分類(lèi)旨在將具有相同數(shù)據(jù)特征的數(shù)據(jù)統(tǒng)一歸類(lèi)。從企業(yè)管理的角度，可以將個(gè)人信息初步分為一般個(gè)人信息、敏感個(gè)人信息、匿名化個(gè)人信息、出境個(gè)人信息與重要數(shù)據(jù)這五類(lèi)。匿名化個(gè)人信息已經(jīng)喪失了個(gè)人的可識(shí)別性，因而屬于五類(lèi)中合規(guī)條件較寬的信息類(lèi)別。出境個(gè)人信息不僅可能受到來(lái)自境內(nèi)的風(fēng)險(xiǎn)，同時(shí)還要面臨境外安全因素的考驗(yàn)，需要按照《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》以及《數(shù)據(jù)出境安全評(píng)估辦法》等法律法規(guī)進(jìn)行合規(guī)[17]。敏感個(gè)人信息是指一旦泄露就會(huì)危害人格尊嚴(yán)或者財(cái)產(chǎn)安全的個(gè)人信息或者未滿(mǎn)14 周歲的未成年人的個(gè)人信息，而重要數(shù)據(jù)是指國(guó)家秘密之外有關(guān)涉及國(guó)家安全與我國(guó)公共利益的數(shù)據(jù)。敏感個(gè)人信息與重要數(shù)據(jù)與個(gè)人與國(guó)家利益攸關(guān)，是合規(guī)的重點(diǎn)。排除四類(lèi)信息之后剩余的數(shù)據(jù)構(gòu)成一般個(gè)人信息，主要包括通用信息與基本信息。

個(gè)人信息的分級(jí)保護(hù)旨在對(duì)個(gè)人信息分類(lèi)的基礎(chǔ)上，依據(jù)具體個(gè)人信息的敏感程度、易受侵害性等因素進(jìn)行的分等級(jí)保護(hù)，在個(gè)人信息處理技術(shù)的支持下，可以通過(guò)多重方式來(lái)實(shí)現(xiàn)個(gè)人信息分級(jí)，將個(gè)人信息從非敏感到極敏感劃分為S1 至S5 五個(gè)等級(jí)。具體的劃分方法如依據(jù)主體難易程度以及數(shù)據(jù)敏感程度的劃分或者通過(guò)個(gè)人信息微數(shù)據(jù)的每條記錄、其記錄中的每個(gè)字段以及微數(shù)據(jù)組合而成個(gè)人信息數(shù)據(jù)表進(jìn)行分級(jí)保護(hù)等。

個(gè)人信息分級(jí)分類(lèi)管理之后還需做好數(shù)據(jù)資產(chǎn)清單梳理，對(duì)業(yè)務(wù)經(jīng)營(yíng)和管理中收集使用的個(gè)人信息進(jìn)行識(shí)別歸類(lèi)。完成個(gè)人信息分類(lèi)定級(jí)后，應(yīng)當(dāng)按照有關(guān)技術(shù)標(biāo)準(zhǔn)對(duì)個(gè)人信息進(jìn)行加密和去標(biāo)識(shí)化，同時(shí)依照最小必要原則，設(shè)置內(nèi)部管理與訪(fǎng)問(wèn)操作的權(quán)限。

（三）安全事件應(yīng)急管理

《個(gè)人信息保護(hù)法》第五十一條明確提出要求個(gè)人信息處理者制定并組織實(shí)施個(gè)人信息安全事件應(yīng)急預(yù)案。安全事件應(yīng)急管理制度對(duì)安保人員素質(zhì)提出了較高的要求，有必要建立專(zhuān)業(yè)的組織指揮機(jī)構(gòu)并明確其職責(zé)。除人員保障外，還應(yīng)做好設(shè)備、資金、系統(tǒng)等硬件保障，如網(wǎng)絡(luò)硬件、救援設(shè)備等硬件物資儲(chǔ)備和用于緊急恢復(fù)重要數(shù)據(jù)的容災(zāi)備份系統(tǒng)等軟件設(shè)施。

根據(jù)安全事件發(fā)展過(guò)程來(lái)看，應(yīng)急管理應(yīng)當(dāng)涵蓋事件發(fā)生的即時(shí)監(jiān)測(cè)預(yù)警、先期處置，現(xiàn)場(chǎng)應(yīng)急處置與后期處置追蹤全流程。前期環(huán)節(jié)應(yīng)當(dāng)側(cè)重對(duì)個(gè)人信息安全突發(fā)事件的監(jiān)測(cè)，定期匯報(bào)，防患于未然，通過(guò)密切監(jiān)控個(gè)人信息運(yùn)行各環(huán)節(jié)的指標(biāo)，及早發(fā)現(xiàn)個(gè)人信息安全事件指征并及早處理。為了確保個(gè)人信息安全事件處理的及時(shí)性，應(yīng)當(dāng)設(shè)置多名即時(shí)聯(lián)絡(luò)人員并嚴(yán)格設(shè)置初次報(bào)告最遲時(shí)間?，F(xiàn)場(chǎng)應(yīng)急處置環(huán)節(jié)應(yīng)當(dāng)全面分析導(dǎo)致個(gè)人信息安全事件的原因，準(zhǔn)確定位事故來(lái)源，從而縮短響應(yīng)時(shí)間。在排查個(gè)人信息威脅來(lái)源的基礎(chǔ)上應(yīng)當(dāng)及時(shí)采取關(guān)閉服務(wù)、修改防火墻或斷開(kāi)連接、封鎖登錄賬號(hào)等方式防止事件影響的進(jìn)一步擴(kuò)大。在根除事件風(fēng)險(xiǎn)后還應(yīng)當(dāng)注意將相關(guān)數(shù)據(jù)、程度、服務(wù)、系統(tǒng)等予以補(bǔ)充恢復(fù)，特別要注意機(jī)密系統(tǒng)與機(jī)密數(shù)據(jù)恢復(fù)的合法性。后期處置環(huán)節(jié)應(yīng)當(dāng)認(rèn)真評(píng)估安全事件對(duì)移動(dòng)應(yīng)用造成的損失，吸取事件經(jīng)驗(yàn)，形成評(píng)估調(diào)查報(bào)告，同時(shí)制定恢復(fù)重建計(jì)劃，實(shí)現(xiàn)個(gè)人信息安全事件應(yīng)急管理制度的閉環(huán)。

另外，應(yīng)注意應(yīng)急管理制度不僅僅局限于安全事件發(fā)生之時(shí)，更在于平時(shí)的防范與演練。為保證安全事件應(yīng)急管理制度的有效實(shí)施，首先，應(yīng)當(dāng)定期組織內(nèi)部相關(guān)人員進(jìn)行應(yīng)急響應(yīng)培訓(xùn)，使其掌握崗位職責(zé)和應(yīng)急處置策略及規(guī)程；制定個(gè)人信息安全事件應(yīng)急預(yù)案，并根據(jù)法律法規(guī)及業(yè)界甚至自身案件的處置情況，及時(shí)更新應(yīng)急預(yù)案，將事件發(fā)生概率或影響降至最低，盡可能保障企業(yè)合法權(quán)益。其次，應(yīng)建立個(gè)人信息安全事件應(yīng)急管理定期實(shí)操演練制度，確保個(gè)人信息安全保障機(jī)制處于激活狀態(tài)。同時(shí)，由于應(yīng)急管理制度較少啟用，實(shí)際應(yīng)急能力難以檢驗(yàn)等原因考慮，應(yīng)當(dāng)設(shè)置鮮明的獎(jiǎng)懲機(jī)制，明確管理職責(zé)，提高優(yōu)化個(gè)人信息安全事件應(yīng)急管理制度的積極性。

（四）業(yè)務(wù)流程嵌入式合規(guī)

流程化的個(gè)人信息合規(guī)管理是現(xiàn)代數(shù)據(jù)合規(guī)規(guī)范化的要求所在[18]。數(shù)據(jù)合規(guī)的每個(gè)結(jié)點(diǎn)應(yīng)當(dāng)清晰明了地反映在個(gè)人信息處理合規(guī)流程之中。然而，同樣是關(guān)涉?zhèn)€人信息處理的不同產(chǎn)品或服務(wù)，所配適的個(gè)人信息處理合規(guī)千差萬(wàn)別，確保個(gè)人信息全流程合規(guī)的核心在于依托業(yè)務(wù)全流程構(gòu)建個(gè)人信息處理合規(guī)體系，通過(guò)將個(gè)人信息處理合規(guī)制度拆解并嵌入研發(fā)、運(yùn)維、人力資源等日常的業(yè)務(wù)流程，確定不同流程中相關(guān)人員的操作權(quán)限，才能持續(xù)通過(guò)業(yè)務(wù)流程運(yùn)行貫徹個(gè)人信息保護(hù)合規(guī)要求，盡可能地減少流程中人員主觀因素的影響，使個(gè)人信息合規(guī)的可控性進(jìn)一步增強(qiáng)。

個(gè)人信息處理全生命周期的合規(guī)應(yīng)當(dāng)與具體的移動(dòng)應(yīng)用軟件業(yè)務(wù)緊密結(jié)合，并且個(gè)人信息合規(guī)的流程應(yīng)當(dāng)做到依據(jù)業(yè)務(wù)板塊、功能等的變化而及時(shí)調(diào)整更新，與經(jīng)營(yíng)者實(shí)時(shí)業(yè)務(wù)、具體產(chǎn)業(yè)線(xiàn)時(shí)刻同步。例如，移動(dòng)應(yīng)用在進(jìn)入應(yīng)用商店之前，除了應(yīng)當(dāng)提交運(yùn)營(yíng)者信息、移動(dòng)應(yīng)用基本信息，還應(yīng)當(dāng)提交個(gè)人信息保護(hù)政策、所收集的個(gè)人信息范圍、申請(qǐng)的敏感系統(tǒng)權(quán)限以及第三方SDK 信息等相關(guān)內(nèi)容配合進(jìn)行合規(guī)審查。移動(dòng)應(yīng)用的技術(shù)升級(jí)版本更新時(shí)也要隨流程同步接受重新審核，確保個(gè)人信息處理全程合規(guī)。又如，移動(dòng)應(yīng)用處理商在委托處理用戶(hù)信息或者作出委托行為時(shí)，委托方應(yīng)當(dāng)明確所征得的用戶(hù)授權(quán)范圍，及時(shí)開(kāi)展用戶(hù)信息安全影響評(píng)估，積極監(jiān)管受委托方的個(gè)人信息處理行為，如通過(guò)簽訂合同等方式介入受委托方個(gè)人信息處理合規(guī)的流程并嚴(yán)格履行監(jiān)管、審計(jì)的職責(zé)；而受委托方也應(yīng)嚴(yán)格按照委托方的要求處理個(gè)人信息，出現(xiàn)特殊情況及時(shí)反饋處理信息，再次轉(zhuǎn)委托時(shí)事先征得原委托方的明確同意獲取授權(quán)，且在委托關(guān)系解除時(shí)做好及時(shí)刪除個(gè)人信息等善后措施。

四、個(gè)人信息處理企業(yè)合規(guī)的外部評(píng)價(jià)機(jī)制

移動(dòng)應(yīng)用中個(gè)人信息處理的企業(yè)合規(guī)不僅包括內(nèi)部管理機(jī)制，還包括外部評(píng)價(jià)機(jī)制。后者用于對(duì)內(nèi)部管理機(jī)制效果的評(píng)估，以便及時(shí)反饋、調(diào)整、優(yōu)化，促進(jìn)個(gè)人信息處理合規(guī)機(jī)制的長(zhǎng)期有效運(yùn)行。外部評(píng)價(jià)機(jī)制應(yīng)當(dāng)以個(gè)人信息保護(hù)法的基本原則、守門(mén)人義務(wù)、特定場(chǎng)景增強(qiáng)義務(wù)以及用戶(hù)個(gè)人信息法定權(quán)利為基準(zhǔn)。

（一）遵守個(gè)人信息保護(hù)法基本原則的測(cè)評(píng)

《個(gè)人信息保護(hù)法》第五條至第十條對(duì)個(gè)人信息保護(hù)法的基本原則作出了規(guī)定，明確了在個(gè)人信息處理活動(dòng)中應(yīng)當(dāng)遵循合法、正當(dāng)、必要、誠(chéng)信、目的限制、公開(kāi)透明、質(zhì)量、安全等八項(xiàng)原則[19]。這是涉?zhèn)€人信息企業(yè)合規(guī)的原則性要求，自然也應(yīng)當(dāng)作為合規(guī)效果的基本測(cè)評(píng)指標(biāo)。

“合法”要求數(shù)據(jù)企業(yè)在個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)等全鏈條、全行為流程中都應(yīng)當(dāng)符合法律法規(guī)的規(guī)定，遵從上文論及的企業(yè)合規(guī)的規(guī)范依據(jù)。比如，使用個(gè)人信息進(jìn)行自動(dòng)化決策的環(huán)節(jié)，除遵守《個(gè)人信息保護(hù)法》規(guī)定外，還應(yīng)根據(jù)《信息安全技術(shù) 個(gè)人信息安全影響評(píng)估指南》及《個(gè)人信息保護(hù)法》要求開(kāi)展評(píng)估并全程留痕，把算法管理作為一項(xiàng)工作內(nèi)容納入企業(yè)合規(guī)管理體系，基于個(gè)人信息處理及業(yè)務(wù)全流程進(jìn)行部署。

“必要”要求個(gè)人信息的收集和處理遵從比例原則，非達(dá)致數(shù)據(jù)產(chǎn)品之外的服務(wù)目的，不應(yīng)過(guò)度采集，非充分必要性不得處理敏感性個(gè)人信息。比如，將App 切換至后臺(tái)后，該程序在靜默狀態(tài)下讀取用戶(hù)的多媒體信息、通訊錄信息。又如，不涉及與地理位置、定位有關(guān)的服務(wù)功能，App 卻收集用戶(hù)的位置信息等。

“公開(kāi)透明”是指?jìng)€(gè)人信息處理者在處理個(gè)人信息時(shí)應(yīng)當(dāng)采取公開(kāi)、透明的方式，公開(kāi)個(gè)人信息處理的規(guī)則，向信息主體明示個(gè)人信息處理的目的、處理的方式和處理的范圍。公開(kāi)透明原則的目的在于保證信息主體全過(guò)程的知情權(quán)和監(jiān)督權(quán)，對(duì)于自動(dòng)化決策影響其重要決定的，可以拒絕。未經(jīng)允許設(shè)置設(shè)備自動(dòng)采集其生物性信息的，違背了公開(kāi)透明原則。在合規(guī)測(cè)評(píng)時(shí)，如果發(fā)現(xiàn)未經(jīng)用戶(hù)同意處分個(gè)人信息，尤其是敏感性信息的，可歸入合規(guī)重大缺陷的結(jié)果檔。

（二）“守門(mén)人”義務(wù)的遵守情況

根據(jù)《個(gè)人信息保護(hù)法》第五十八條規(guī)定，對(duì)提供重要互聯(lián)網(wǎng)平臺(tái)服務(wù)、用戶(hù)數(shù)量巨大、業(yè)務(wù)類(lèi)型復(fù)雜的個(gè)人信息處理者，還應(yīng)當(dāng)履行“守門(mén)人”義務(wù)?！爸匾ヂ?lián)網(wǎng)平臺(tái)服務(wù)”蘊(yùn)含著對(duì)平臺(tái)服務(wù)進(jìn)行分類(lèi)的要求，“用戶(hù)數(shù)量巨大、業(yè)務(wù)類(lèi)型復(fù)雜”確立了對(duì)提供重要互聯(lián)網(wǎng)平臺(tái)服務(wù)的企業(yè)進(jìn)行分級(jí)和識(shí)別的兩項(xiàng)主要標(biāo)準(zhǔn)，四項(xiàng)具體要求明確了“守門(mén)人”必須履行的特別義務(wù)[20]。從目前移動(dòng)互聯(lián)網(wǎng)的現(xiàn)實(shí)環(huán)境來(lái)看，“守門(mén)人”主要包括以下三類(lèi)：一是應(yīng)用程序分發(fā)平臺(tái)，通過(guò)提供應(yīng)用分發(fā)服務(wù)影響移動(dòng)App 觸達(dá)海量用戶(hù)進(jìn)而進(jìn)行個(gè)人信息處理活動(dòng)的能力；二是移動(dòng)終端操作系統(tǒng)，通過(guò)為移動(dòng)App 提供可調(diào)用的系統(tǒng)權(quán)限等，影響移動(dòng)App的個(gè)人信息處理能力；三是平臺(tái)型App，平臺(tái)型App能夠在技術(shù)資源、運(yùn)營(yíng)環(huán)境等兩個(gè)方面顯著便利和提升第三方小程序等移動(dòng)App的個(gè)人信息處理能力[21]。

對(duì)照上述標(biāo)準(zhǔn)，如果涉?zhèn)€人信息的合規(guī)企業(yè)為“守門(mén)人”型企業(yè)，那么應(yīng)當(dāng)履行特別的四項(xiàng)義務(wù)，即健全合規(guī)制度體系、制定平臺(tái)內(nèi)規(guī)則、處罰違法者、定期報(bào)告發(fā)布?！笆亻T(mén)人”制度的核心是對(duì)“守門(mén)人”提供門(mén)徑服務(wù)所涉及的數(shù)據(jù)處理活動(dòng)進(jìn)行監(jiān)管，防止其利用數(shù)據(jù)優(yōu)勢(shì)阻礙競(jìng)爭(zhēng)和創(chuàng)新，“守門(mén)人”提供門(mén)徑服務(wù)過(guò)程中形成、獲取的個(gè)人信息，當(dāng)然是數(shù)據(jù)監(jiān)管的重點(diǎn)。

（三）特定場(chǎng)景的增強(qiáng)義務(wù)

對(duì)于影響個(gè)人利益的重大事項(xiàng)，《個(gè)人信息保護(hù)法》要求個(gè)人信息處理者需要取得該個(gè)人的“單獨(dú)同意”。這些特定場(chǎng)景的增強(qiáng)義務(wù)包括向第三方提供個(gè)人信息、公開(kāi)個(gè)人信息、公共場(chǎng)所采集圖像、生物識(shí)別性信息、處理敏感個(gè)人信息、個(gè)人信息出境，通過(guò)“增強(qiáng)式告知”或“即時(shí)提示”等方式，單獨(dú)向個(gè)人信息主體告知處理個(gè)人信息的目的、方式和范圍，以及存儲(chǔ)時(shí)間、安全措施等規(guī)則，并由個(gè)人信息主體明示同意（主動(dòng)作出確認(rèn)性動(dòng)作），不應(yīng)與其他不相關(guān)的目的或業(yè)務(wù)功能相捆綁或混同在其他同意事項(xiàng)中，不應(yīng)通過(guò)“同意個(gè)人信息保護(hù)政策”等方式一攬子獲得同意。具體到企業(yè)的業(yè)務(wù)場(chǎng)景中，可以根據(jù)特定的業(yè)務(wù)功能，采用單獨(dú)的交互式界面或紙質(zhì)頁(yè)面向個(gè)人信息主體告知相關(guān)信息，并向其提供可分項(xiàng)選擇同意的機(jī)制，如勾選、點(diǎn)亮等方式。

（四）個(gè)人信息處理的法定權(quán)利保護(hù)情況

《個(gè)人信息保護(hù)法》是保護(hù)個(gè)人信息權(quán)益的基本法，對(duì)個(gè)人信息權(quán)利進(jìn)行了定義，全面構(gòu)建了個(gè)人在信息處理活動(dòng)中享有的法定權(quán)利，包括知情權(quán)、決定權(quán)、限制權(quán)、拒絕權(quán)、查閱權(quán)、復(fù)制權(quán)、可攜帶權(quán)、更正權(quán)、刪除權(quán)等。在常見(jiàn)的九類(lèi)侵犯?jìng)€(gè)人信息的場(chǎng)景中，主要侵害的就是信息主體的知情同意權(quán)，部分App 無(wú)法查閱對(duì)個(gè)人信息的收集、使用、加工以及匿名化處理情況，還有部分App 以誘導(dǎo)、欺騙的方式獲得用戶(hù)同意，且無(wú)法刪除，侵害用戶(hù)的查閱權(quán)和刪除權(quán)。

在個(gè)人信息合規(guī)的審查中，對(duì)照App 處理個(gè)人信息的全鏈條全環(huán)節(jié)，很容易查詢(xún)到侵害用戶(hù)權(quán)益的情形。比如，國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布的《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》第五條規(guī)定，以下行為可被認(rèn)定為“未經(jīng)同意向他人提供個(gè)人信息”：1. 既未經(jīng)用戶(hù)同意，也未做匿名化處理，App 客戶(hù)端直接向第三方提供個(gè)人信息，……；2.既未經(jīng)用戶(hù)同意，也未做匿名化處理，數(shù)據(jù)傳輸至App后臺(tái)服務(wù)器后，向第三方提供其收集的個(gè)人信息；3.App 接入第三方應(yīng)用，未經(jīng)用戶(hù)同意，向第三方應(yīng)用提供個(gè)人信息。該情形本屬于特別增強(qiáng)義務(wù)的范疇，需要用戶(hù)單獨(dú)同意，但卻以侵害用戶(hù)知情同意權(quán)的方式違法收集和使用。

在個(gè)人信息處理的重點(diǎn)事項(xiàng)中，需要對(duì)應(yīng)相關(guān)標(biāo)準(zhǔn)，重點(diǎn)做好合規(guī)事項(xiàng)，該類(lèi)事項(xiàng)包括隱私政策、人臉識(shí)別、自動(dòng)化決策、第三方合作、SDK 接入、系統(tǒng)索權(quán)六個(gè)方面，需要重點(diǎn)評(píng)測(cè)是否滿(mǎn)足合規(guī)要求。比如，針對(duì)SDK 接入，應(yīng)針對(duì)五方面事項(xiàng)予以合規(guī)：一是接入前應(yīng)審查第三方業(yè)務(wù)資質(zhì)及安全合規(guī)能力，審計(jì)第三方SDK 的安全性及合規(guī)性（或要求提供審計(jì)報(bào)告），并持續(xù)動(dòng)態(tài)審查。二是與第三方簽署數(shù)據(jù)處理協(xié)議，明確雙方權(quán)責(zé)義。三是在隱私政策或雙清單中向用戶(hù)明示SDK 提供者名稱(chēng)、功能、個(gè)人信息收集范圍方式、系統(tǒng)權(quán)限獲取目的及范圍及個(gè)人信息處理規(guī)則等。四是應(yīng)當(dāng)為用戶(hù)提供個(gè)人信息更正刪除、自行關(guān)閉相關(guān)應(yīng)用、插件及SDK 的渠道和方式，保障用戶(hù)拒絕及撤回同意的權(quán)利。用戶(hù)對(duì)App、小程序的行為同意，效力不及于SDK。五是高度關(guān)注監(jiān)管合規(guī)，盡量規(guī)避“不真正連帶責(zé)任”。

五、結(jié)論

面向用戶(hù)個(gè)人的App 移動(dòng)應(yīng)用產(chǎn)品作為實(shí)現(xiàn)數(shù)字經(jīng)濟(jì)的便捷工具已經(jīng)逐步整合了傳統(tǒng)的衣食住行作的方方面面，App接觸個(gè)人信息的直接性和廣泛性使其成為侵害個(gè)人信息權(quán)益的違法違規(guī)重地。企業(yè)作為保護(hù)個(gè)人信息的第一責(zé)任主體，應(yīng)當(dāng)主動(dòng)負(fù)擔(dān)起合規(guī)治理的責(zé)任。目前，從法律到法規(guī)再到行業(yè)規(guī)范出臺(tái)了諸多文件，以求為企業(yè)合規(guī)提供可行的制度依據(jù)，本文據(jù)此提煉出了企業(yè)合規(guī)應(yīng)當(dāng)遵守的實(shí)體規(guī)則，而后以該實(shí)體規(guī)則為目的構(gòu)建了內(nèi)部管理機(jī)制，同時(shí)配套了外部評(píng)價(jià)機(jī)制，對(duì)移動(dòng)應(yīng)用中個(gè)人信息處理合規(guī)進(jìn)行了初步嘗試。個(gè)人信息保護(hù)是互聯(lián)網(wǎng)時(shí)代無(wú)法回避的議題，企業(yè)合規(guī)任重道遠(yuǎn)，未來(lái)還需將合規(guī)實(shí)踐中的經(jīng)驗(yàn)反哺于企業(yè)合規(guī)的理論研究，夯實(shí)企業(yè)合規(guī)的理論基礎(chǔ)，將企業(yè)合規(guī)與法律外部約束有效接軌，以期形成企業(yè)合規(guī)與法律約束緊密結(jié)合、雙效并舉的移動(dòng)應(yīng)用個(gè)人信息保護(hù)機(jī)制。