分享到
EN
  • 专业文章 Articles

智能终端APP程序信息安全合规:以某共享单车APP为例

公司与并购 知识产权

  一、APP程序
  APP程序,即应用程序,是指为满足特定目的而设计的,通常用于移动设备的独立程序或软件。由于APP功能不同,在其使用过程中涉及到的个人信息的数量与种类繁多,并且将会接触到这些信息的主体多样,设计和使用APP可能会带来意想不到的数据保护方面的挑战。
  将APP想象成为一个数据收集机器有助于我们在研发和使用APP时,对数据保护有更好的理解。这种机器存在于用户的移动终端,从那里它们将会收集信息,其中一部分或者全部将会被反馈给其设计者或其他组织。由于移动设备的自身特点,可供收集的信息是非常广泛的,包括精确的GPS地址、用户独特的设备IMEI码、通过设备麦克风采集的声音、通过设备摄像头拍摄的相片以及用户储存的其他信息,例如通讯录、短信内容、邮件信息等。
  近年来,共享单车普及迅速。据统计,2017年6月某共享单车APP新增活跃用户达到1321万人,APP启动次数更是高达60269.8万次。[1]根据《某共享单车隐私政策》(下称“《隐私政策》”)的规定,该共享单车APP收集的信息包括使用某共享单车服务所产生的用户的地理位置信息、电话号码、电子邮件地址以及其他可帮助某共享单车联系用户的信息,以及用户的姓名、身份证号等可帮助某共享单车确认用户是否达到法定骑车年龄的个人资料;用户的密码、密码提示以及其他可用于验证和访问用户的账户的安全信息;处理用户付款操作所必需的数据,如用户的银行卡号或第三方支付账户名等支付工具,以及与该等支付工具相关的安全码;用户如何与某共享单车服务交流互动的相关数据,包括但不限于用户使用的功能、付款的记录等。以上可以看出,该共享单车APP收集的信息极为广泛。
  在APP的设计、运营过程中,可能涉及到的主体包括APP运营者、APP设计者、外包服务提供者、第三方广告商等。APP运营者作为网络运营者,应适用《网络安全保护法》以及其他信息安全相关的法律法规。APP设计者虽非数据的直接控制人,但由于其客户为网络运营者,因此亦需掌握相关信息安全规范,以便其设计的产品符合信息安全合规要求。在APP的运营过程中,APP运营者与外包服务提供者、第三方广告商等第三方建立合同关系时,可能发生数据的共享、授权使用等情况。此时APP运营者尤其应注意获得用户同意并妥善控制来自于第三方的信息安全风险。

[1]中国经济网:易观发布《2017年6月中国共享单车市场研究报告》,网址:http://jingji.cctv.com/2017/08/01/ARTI1doUHnbdPfRNkezil8nf170801.shtml,最后访问日期2017.8.28


  二、数据收集
  用户个人数据信息的采集可能发生在不同的阶段。鉴于APP的性质与功能,大量的数据收集最有可能在用户初次下载APP时发生,包括用户名、密码、支付信息、设备识别信息、用户的居住国等。对用户照片、通讯录、其他储存与设备中的信息进行授权访问时,也可能发生数据收集。但数据收集也可能发生在其后的阶段,例如在使用APP时对用户地理位置以及使用记录的收集,或者在APP更新时的数据收集。
  我国的《网络安全法》第四十一条[1]与第四十二条[2]规定了数据收集的合法、正当、公开透明与向他人提供个人信息需经同意等原则[3]:
  (一)合法原则
  《网络安全法》第四十一条第一款规定:“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。”
  合法原则即网络运营者收集、使用个人信息必须有合法依据,且收集、使用的方法应当符合法律的规定。合法的依据可以是法律法规的规定、网络运营者与用户签订的协议、被收集者的同意。此为个人信息保护的核心原则。《网络安全法》第二十二条第三款亦规定:“网络产品、服务具有收集用户信息功能的,其提供者应当向用户明示并取得同意。”以某共享单车APP为例,其与用户达成的《某共享单车租赁服务协议》(下称“《租赁服务协议》”)第5条“用户数据及隐私政策”、《隐私政策》以及用户的点击同意为其数据收集的合法性依据。
  APP运营者有时希望通过“分层”的方式,将基础的隐私保护信息提供给用户的同时,将更具体的隐私政策以链接的方式提供给用户,供其进一步了解。《租赁服务协议》第5条共设有7款条文规定该共享单车APP的用户数据及隐私政策。同时其第5.5条又提供了更为具体的《隐私政策》的链接:“《隐私政策》是本协议的有效组成部分,且用户同意并接受公司不时更新的隐私政策。如您不接受现行的或更新后的隐私政策,请立即停止使用共享单车服务。关于我们的《隐私政策》,请查看https://m.mobike.com/app/help/zh/privacy.html”。
  当APP的受众包含未成年人时,通知应以通俗易懂的方式起草,保证未成年人能够理解。为确保未成年人理解用户协议,《租赁服务协议》在特别提示部分规定:“某共享单车服务仅向年满十六周岁、身体健康、具备骑行自行车能力的人士开放,符合上述条件的未成年人需在监护人的陪同下阅读本协议,并在监护人认可的情况下方能注册和使用服务。”
  (二)正当原则
  根据《网络安全法》第四十二条第一款,数据收集应遵循正当原则。正当原则包括目的特定原则和收集使用限制原则。
  目的特定原则是指个人信息的收集、处理与利用应当依据特定、明确的目的进行,禁止超出目的范围收集、使用个人信息。对于APP运营者而言,收集个人信息必须与其提供的服务相关。如上文所述,《隐私政策》规定了该共享单车APP可能收集的信息范围,包括地理位置信息、联系方式及个人信息、密码信息、支付信息、APP使用记录等。收集这些数据的目的是为了计算用户使用费、确定用户是达到法定骑车年龄、访问账户、进行支付以及分析、改善该共享单车APP等。
  收集使用限制原则要求收集和使用个人信息应当限定在必要的限度内,不应当超出特定目的的合理范围收集和使用个人信息。APP运营者在设计APP之初,应当将信息的收集和使用限制在履行特定目的所必须的最低限度内。欧盟《个人数据保护指令》第四章亦规定过度收集个人信息违反该法,且用户的同意并不构成免责事由。
  (三)公开透明原则
  《网络安全法》第四十二条第一款规定的公开透明原则要求APP运营者公开收集、使用个人信息的规则,并应当包括收集、使用个人信息的目的、方式和范围,确保个人信息主体的知情权。
  《隐私政策》规定了该共享单车APP收集信息的范围、收集方式、信息用途,以遵循《网络安全法》规定的公开透明原则。
  (四)向他人提供个人信息需经同意原则
  《网络安全法》第四十二条规定:“网络运营者不得泄露、篡改、毁损其收集的个人信息;未经被收集者同意,不得向他人提供个人信息。”
  在发生APP转让或将个人数据授权给第三方使用的情况时,应将该等事实通知用户并取得用户同意。《租赁服务协议》第5.3条规定:“依法保护用户隐私是公司的一项基本政策,公司保证不对外公开或向第三方提供单个用户的注册资料及用户在使用服务时存储在“某共享单车”软件或相关系统中受法律保护的隐私等个人信息,但下列情况除外:(1)事先获得用户的明确同意……” 

[1] 《网络安全法》第四十一条:“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。网络运营者不得收集与其提供的服务无关的个人信息,不得违反法律、行政法规的规定和双方的约定收集、使用个人信息,并应当依照法律、行政法规的规定和与用户的约定,处理其保存的个人信息。”

[2] 《网络安全法》第四十二条:“网络运营者不得泄露、篡改、毁损其收集的个人信息;未经被收集者同意,不得向他人提供个人信息。但是,经过处理无法识别特定个人且不能复原的除外。

网络运营者应当采取技术措施和其他必要措施,确保其收集的个人信息安全,防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时,应当立即采取补救措施,按照规定及时告知用户并向有关主管部门报告。”

[3] 杨合庆:《中华人民共和国网络安全法解读》,中国法制出版社,2017年,第90-94页。


  三、位置信息
  既然APP是应用于手机端,且是基于使用者的位置信息而运行的,相关信息收集者不仅需要考虑限制处理使用者的个人信息(包括位置信息),也需要限制运营者处理使用者位置信息。根据《隐私政策》,用户“使用某共享单车服务所产生的地理位置信息(包括但不限于行程起止地、骑行轨迹等信息)”便包含在该共享单车APP收集信息范围内。由于位置信息涉及到特定用户的生活轨迹,属于敏感度较高的个人信息,在许多法域,其较之一般的个人信息要受到更为严格的保护。例如,韩国采用了单行法的方式,颁布《位置信息保护与使用法》对位置信息予以保护。[1]而在我国,虽无专门的立法来规制位置信息的收集与使用,但其作为个人信息,受到《网络安全法》等相关信息安全法律法规的保护。 

[1] 何波:《苹果手机收集用户位置信息问题及其法律分析》,网址http://www.tisi.org/Article/lists/id/3408.html,最后访问日期:2017年9月8日。


  四、广告信息
  《广告法》第四十三条规定:“任何单位或者个人未经当事人同意或者请求,不得向其住宅、交通工具等发送广告,也不得以电子信息方式向其发送广告。以电子信息方式发送广告的,应当明示发送者的真实身份和联系方式,并向接收者提供拒绝继续接收的方式。”
  APP的应用使得向APP使用者推送广告信息更加容易。这些信息有的是APP运营者自身的商品或服务信息,如某共享单车APP的月卡、季卡促销信息;有的则是第三方付费广告业主的信息,例如新浪微博APP推送的各类第三方广告。APP的程序开发者应当铭记隐私政策的相关要求,在推送此类消息之前应预先经过用户的同意。
  《租赁服务协议》第5.7条规定:“用户同意接受公司在提供服务过程中以各种方式投放各种商业性广告或其他任何类型的商业信息,并且,用户同意接受公司通过电子邮件或其他方式向用户发送的商品、服务信息或其他相关商业信息。”
  五、数据出境
  2017年8月1日交通运输部、公安部等10部门联合出台了《关于鼓励和规范互联网租赁自行车发展的指导意见》,其中第十三条对共享单车的数据存储作出了规定:“互联网租赁自行车运营企业应当遵守《中华人民共和国网络安全法》等法律法规要求,将服务器设在中国大陆境内……在境内运营中采集的信息和生成的相关数据应当在中国大陆境内存储。”《个人信息和重要数据出境安全评估办法(征求意见稿)》第四条规定:“个人信息出境,应向个人信息主体说明数据出境的目的、范围、内容、接收方及接收方所在的国家或地区,并经其同意。未成年人个人信息出境须经其监护人同意。”

  APP的使用会涉及个人数据出境问题。APP的运营者需要采取合适的措施通知用户其个人信息可能出境的事实及其出境目的,并且需保证数据出境有正当、合法的理由。根据《信息安全技术 数据出境安全评估指南(草案)》第3.4条规定,个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全、损害个人名誉和身心健康、导致歧视性待遇等的个人信息。如果涉及个人敏感信息出境,取得用户的事先同意是有必要的,除此之外还可对拟出境的个人信息采取去标识化等脱敏技术处理措施,且应对去标识化后个人信息能否再次识别出个人信息主体进行验证,确保达到合理程度的不可逆,以有效降低数据出境安全风险。

  六、结语
  在国家快速推进网络法律体系构建的背景下,如何做到信息安全合规应该成为每一个APP运营者着力关注的问题。我们认为,信息安全合规应从最源头的APP设计做起,并在数据收集、使用、出境以及广告信息推送等环节中落实信息安全规范。APP运营者不仅要关注自身信息安全合规措施,在其与第三方发生数据的共享、授权使用等情况时,还需妥善控制来自于第三方的信息安全风险。
相关文章
  • 查看详情

    私募投资基金销售回访新规解读及回访操作实施方法的建...

  • 查看详情

    以案说法——试用期“录用条件”真的不可或缺吗?

  • 查看详情

    浅析商标侵权案件中惩罚性赔偿的适用

关注:
地 址:上海市浦东新区银城中路501号上海中心大厦15/16层
电 话:+86 21 5878 5888