【条文主旨】
本条是关于处理不满14周岁未成年人个人信息的规定。
【条文理解】
一、未成年人个人信息特殊保护的必要性与现状
互联网的发展和数据技术运用为当前未成年人的成长提供了前所未有的信息平台,对于未成年人的在线教育、成长参与以及社会化服务等方面起到了积极的促进作用。同时,未成年人在网上的大量信息活动也产生了未成年人信息的处理问题。而未成年人并未成熟的心智造成未成年人个人信息权益受损害的可能性增大。未成年人在微信、微博上进行的分享诸如自己的照片、定位等具有极强敏感属性个人信息的行为,使得数据平台掌握了未成年人的成长历程信息。不仅如此,未成年人的家人、朋友等其他网络用户也存在提供未成年人信息的风险。比如在微信、微博和其他各种短视频平台上都可以看到很多未成年人的监护人“晒娃”的照片、视频。这些司空见惯的情况其实极大地增加了未成年人个人信息受侵害的可能性。
总体而言,各国未成年人个人信息的保护均以未成年人利益最大化为基本原则。该原则的实现需要具体规则的系统建构。在我国目前的未成年人个人信息保护法律体系中,除《
民法典》《
网络安全法》等法律对个人信息作了原则性规定外,《互联网个人信息保护指南》《信息安全技术个人信息安全规范》以及《儿童个人信息网络保护规定》等法规也进一步细化了包括未成年人在内的公民拥有的个人信息权益,其中包括了同意权、更正权、删除权等内容。我国目前的未成年人个人信息保护法律体系仍较为松散,但《个人信息保护法》从基本法律层面对未成年个人信息保护进行了具体的规定,填补了该领域基础规定的空白。
二、监护人同意制度
对于在个人信息保护中对未成年人是采取赋权还是保护方式,一直在各国理论与实务界争议不断。此外,对于未成年人是否应当根据年龄及成熟程度来保护和赋权,年龄标准如何界分,各国根据自身不同的政治和社会环境也都有不同的安排。目前我国的《个人信息保护法》立法中采取的监护人同意机制,是建立在对未成年人保护而非赋权的理念基础上的。这一保护在法律上主要还是依赖监护人尤其是父母的支持实现。
从比较法层面,各国对于未成年人个人信息保护中的监护人同意制度有不同的安排。美国是儿童网络保护立法方面的先驱,有一系列
法律法规来保护未成年人的网络个人信息。联邦层面包括1974年的《美国家庭教育权与隐私权法》、1998年的《美国儿童网络隐私保护法》及联邦贸易委员会出台的配套规则,其基本规则是获得儿童父母可验证的同意方可收集、处理未成年人个人信息。同时,美国国会通过《美国学生隐私保护法》来保护针对学校的市场调研行为,该法要求公司必须获得父母的书面同意,否则不得以市场营销目的收集任何18岁以下的学生的个人信息。2001年,信息通信委员会制定《美国儿童网络保护法》。2015年,国会又通过了《美国学生数字隐私和家长权利法案》,规定只能在基于合法目的或者学生或家长明示的确认的请求下,网络运营者才可以披露学生个人信息。欧洲方面,2011年经济合作与发展组织针对未成年人网络保护提出建议,囊括了未成年人网络隐私风险;2018年5月25日生效的GDPR,对未成年人个人信息的处理提出原则性的规定,即获得未成年人监护人的同意前置。GDPR规定了基于年龄获得家长同意的规范,而未考虑学界对中家长同意机制无效的批评,也未考虑年龄验证机制的可行性以及选择更加细致的未成年人隐私保护模式,发布伊始即受到质疑。
我国未成年人网络个人信息保护相较欧美起步较晚,《
未成年人保护法》中并未提及对未成年人网络个人信息的保护。目前《个人信息保护法》第31条中的规定从法律层面明确了“父母或监护人同意”框架下对未成年人的保护。
综合来看,监护人或父母同意的理论根源主要有两个:一是隐私控制理论;二为亲权及监护权理论。根据隐私控制理论,隐私是一种自主决定的利益,这种利益成年人拥有,未成年人也应当享有。亲权及监护权理论是源于对未成年人的照顾和保护。由于未成年人的脆弱性,为了保护其健康发展,监护人或父母作为未成年人的代理人一方面行使控制权。另一方面,为了未成年人更好发展,须要代理未成年人从事一些民事法律行为。代理未成年人对于个人信息处理进行同意,就是基于上述理论,这也是目前立法中未成年人个人信息收集、处理前需要获得监护人或父母同意的法律基础。
三、信息处理者在未成年人个人信息保护中的专门规则制定义务
对于未成年人的特殊保护,应合理分配信息处理者、监护人的不同责任和义务,信息处理者的义务主要体现在为未成年人制定专门的规则。这主要体现在两方面:一方面是未成年人个人信息处理达到一定规模的企业规则制定义务,这一类企业规则主要是要求信息处理者在提供其服务时采取基于其企业提供服务的特点设计规则给予未成年人个人信息权益保护的进路,承担起更多的社会责任。另一方面是行业本身对于统一的未成年人信息处理规则的制定义务。我国目前有一些行业自律组织,比如中国互联网协会发布《网络数据和用户个人信息收集、使用自律公约》,其中涉及未成年人信息处理的规则。但目前我国这种行业统一规则发展还有欠缺,协会更多采取联合业界积极向未成年人和青少年推荐“绿色网络文化产品”;对手机App收集和使用未成年人用户个人信息情况展开评议方式开展工作。大量从事信息业务处理的中小公司由于规则订立能力有限,对于行业协会订立规则具有迫切的需要。但目前依靠公司内部规定及政府部门监管规则来保护未成年人网络个人信息仍是主流,自我监管的有限及政府监管的不足亟待我国形成良好的行业规则。
【条文适用】
一、关于监护人与被监护人在个人信息保护中利益冲突的问题
监护人同意模式事实上是以高度信任监护人为基础的思想,其理论基础是监护人原则上会很好保护未成年人的利益。但该原则也会出现例外,很多时候会出现父母的选择不符合未成年人利益的情况,其中典型的情况就是包括父母在内的监护人在社交平台分享未成年人日常情况,俗称“晒娃”;除此之外,未成年人个人信息的有偿使用也是由监护人代理完成,其中也存在未充分保护未成年人利益的可能。
未成年人在个人信息保护中与监护人利益冲突时,可以采取的救济方式主要有三方面:一是在不剥夺监护人资格情况下,由其他有资格担任监护人的组织或个人在特定案件中成为诉讼中的法定代理人,代理未成年人起诉监护人的个人信息侵权行为;二是在严重侵权情况下,通过特别程序剥夺监护人资格,继而保护未成年人的权益;三是待未成年人成年后,依法独立以自己的名义向监护人主张侵权责任,按照《民法典》相关规定,此时诉讼时效自知道或应当知道并且已经成年后方开始起算。
二、未成年人个人信息保护中的“被遗忘”问题
我国目前的法律没有明确规定个人信息中的“被遗忘权”,但基于删除信息的权利一直存在,通过删除权利可以在一定程度上保证合理的个人信息被遗忘目的达到。对于未成年人而言,在心智成熟之前的个人信息一定程度被遗忘,有利于其成年以后的健康成长。这一原则能有效地允许未成年人改变他们的数字足迹,有利于未成年人开展新的生活。由于许多原因,孩子们很少或根本无法减少或者不同意父母的过度分享以及对父母代为同意第三方收集使用其个人信息持反对意见。“被遗忘”在某种程度上可以平衡父母的分享权与未成年人的隐私权以及实现随着年龄增长未成年人逐渐具有的自主权。此外,由于未成年人心智尚未成熟且具有很大的可塑性,对于其曾经的不良个人信息“被遗忘”具有更大的价值。如轻微少年犯罪记录等,随着时间的流逝,信息披露的价值被最小化,必须为未成年人的隐私利益让路。该权利主要由未成年人在成年后,采取要求删除相关信息、消除有关影响的方式表现。
“被遗忘”原则实际是本条监护人同意规则的例外,在某些情况下也是个人信息合理使用原则的例外。如对于轻微少年犯罪行为,未成年人在悔改后,应允许其对公众屏蔽相关记录,恢复征信记录,以使其能重新开始正常的社会生活。这也是“未成年人利益最大化”原则的具体表现。