24日,由中央网信办、工信部、公安部、国家标准委指导开展的隐私条款专项工作公布对首批10款网络产品和服务评审结果。经过评审和整改,10款产品和服务在隐私政策方面均有不同程度提升,做到明示其收集、使用个人信息的规则,并征求用户的明确授权。其中5款产品和服务提供了在线“一站式”撤回和关闭授权,在线访问、更正、删除其个人信息,在线注销账户等功能。

长期以来,部分网络运营者在提供产品和服务时,普遍存在擅自扩大范围收集、使用个人信息,私自共享、转让个人信息等问题。比如,一些产品和服务隐私条款笼统不清,不主动向用户展示隐私条款,或展示内容晦涩冗长。年初有媒体对50家企业发起调查,结果只有30家制定独立隐私政策,18家关于隐私保护的内容存在于用户协议中,2家完全没有关于隐私的声明。还有一些产品和服务存在过度收集嫌疑,动辄调取用户的通讯录、地理位置、照片等,如天气类应用收集通讯录,手电筒应用调用位置信息,令人不知所以。更有部分产品在征求用户授权同意时要求“一揽子”打包授权,比如弹出“为改进服务,我们需要收集、分析您使用手机的情况,并可能与第三方共享”等强制性条款,用户只能点击允许。根据互联网数据中心发布的报告,11.9%的安卓手机APP越界获取了隐私权限。

在大数据时代,通过收集个人信息的确有助于更好了解用户,推送高效精准服务,但收集要有尺度,利用要有规范。纵观一些产品和服务的隐私协议,收集的不只是使用语言、访问日期和时间,还有浏览历史、偏好兴趣等隐私信息,甚至身份、住址、健康信息等。当个人信息被毫无顾忌地收集,也就埋下了被利用、被泄露的风险。从过往经验看,一些网站在相互授权和推介时,用户信息就可以被分享;当产品和服务遭遇系统问题时,也可能被违法分子利用。有鉴于此,我国今年6月正式施行的《网络安全法》规定:“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意”。其中更明确规定,网络运营者应当依据法律、行政法规和用户的约定,处理其保存的个人信息。

从当前工作取得的进展来看,相关隐私政策具有一定程度的示范价值。虽然隐私政策的制定是产品和服务的自发之举,但通过提高监管力度,也有望形成普遍示范,进而形成行业规范。首先,要做到所有产品和服务恪守《网络安全法》,向用户主动提示并提供更多选择权,例如运用增强式告知、即时提示等方式,在注册、使用环节引导用户阅读、了解隐私条款的核心内容,主动区分核心功能和附加功能供用户选择。再者,要逐渐建立起一种意识,即用户具有“被遗忘”的权利。现在,已经有一些产品提供撤回和关闭授权,和“被遗忘权”异曲同工,意指用户既然能被记录,也就应该被删除、被遗忘。最后,要加强对个人信息使用用途的规制,产品和服务收集个人信息的初衷、范围、方式方法等,都需要列入有关部门的监管范围,对某些越界、违法的行为更要及时纠偏。

随着大数据时代的发展,个人信息正变得越来越脆弱,如何保护个人信息已成为重要议题。无论是规定“自然人的个人信息受法律保护”,还是在法律上明确个人信息的侵权责任,都是我们将个人信息保护摆在重要位置的体现。对此,相关产品和服务也应树立好自己的社会担当,通过联合倡议形成行业规范,以共同推动网络安全建设。