Category: Governance

第三重“同意”该由谁取得以及同意与告知的关系探究 一、第三重“同意”中的单独同意该由谁取得？ 上文《个人信息保护法生效后，“三重授权原则”还能继续适用吗？》讨论了“三重授权原则”的适用性。论述其中“三重授权”应该为“三重同意”，而对于第三重同意中的单独同意该由谁取得，未进行深入探讨。 即，当A公司向B公司提供用户个人信息，按照《个人信息保护法》（以下简称“个保法”）第23条，A公司应当向个人告知B公司的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。此处的同意本文认为是第三重同意，但这里的同意是应由A公司取得还是B公司取得，在实践中存在不确定性。另外延伸出的问题是，如果A公司告知信息主体其要向B公司提供个人信息且取得单独同意后，B公司作为信息接收者是否还需要再取得同意，并告知信息主体？ 对此，本文尝试分两种情形讨论，认为这取决于A机构是否是主动向B机构提供个人信息。 （1）如果A机构基于同意的合法性基础主动向B机构提供个人信息的，例如，A卖家取得单独同意并告知个人将其家庭地址提供给快递公司B，以完成送货上门服务，则B公司不需要再取得个人的单独同意，并告知个人。（这里假定卖家将个人家庭地址给物流公司不是履行买卖合同所必需；B公司也不是个保法中的“受托人”） （2）如果A机构是被动的或者说B机构是个人信息的需求方，B机构取得个人同意向A机构索取其个人信息（第三重同意）后，还在于A是否同意向B提供个人信息（即第二重同意），此时关键问题是A机构是否需要就向B机构提供个人信息的行为向个人取得单独同意（即第一重同意）？这在实践中是个非常棘手的问题。从理论上来讲，A机构为了向个人提供服务而收集并存储用户个人信息的法律依据是合法正当的，但并没有对外提供用户个人信息的合法性基础，即，如果不是基于合同或者法律义务等“非同意的合法性基础”需要向其他机构提供用户个人信息的，A机构就需要在向B机构提供个人信息前取得单独同意。这种单独同意显然不能在用户刚开始使用A机构的服务时，在隐私政策里面通过一揽子告知实现。 另外，事实上某些A类机构很难取得个人的单独同意。例如在电子支付链路中涉及很多不会直接面向用户的机构，电商平台接入很多家第三方支付服务，在支付过程会随机路由选择其中一家第三方支付机构传递支付请求，又通过银联和网联到达银行完成扣款，因此上述机构都合法存有大量个人消费记录信息。持牌征信机构则很需要这些交易信息以生成个人征信报告。如果要求上述机构都严格做到每次交易都要取得单独同意，例如，服务接口被吊起时弹窗取得单独同意。那么以现在的技术和管理手段来看，对于在线支付运行效率影响以及相应合规成本都是难以评估的，除非未来法律法规另有规定。 二、同意与告知的关系 根据个保法23条，对外提供个人信息需要告知个人，并取得单独同意。似乎同意和告知是需要同步进行的，取得同意必须同时告知，但在很多情形下需要告知个人，并不总需要取得同意；然后也有既无须同意，也无须告知的情形。 首先，基于个人同意的个人信息处理活动，个人信息处理者都需要履行告知义务，再取得个人同意或者单独同意后才能实施个人信息处理活动。 非基于同意而处理个人信息，仍需要按照个保法第17条告知个人。一是，满足个人信息处理透明性原则；二是，保障个人的知情权。知情权是保护个人人格权与财产权的前提，因此除非涉及重大公共利益或者国家利益，个人信息处理者都应该履行告知义务。 其次，既无须同意，也无须告知的情形在个保法第18条和第35条予以规定。 第十八条 个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。  紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。  第三十五条 国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。  总结来看，既无须同意，也无须告知的情形： （1）法律、行政法规规定应当保密或者告知个人将妨碍国家机关履行法定职责的情形法律、行政法规规定应当保密的情形，根据一般理解是指基于侦查犯罪、反恐怖主义等维护公共安全、 国家安全等社会公共利益和国家利益的考虑，而由法律、行政法规规定的个人信息处理者需要保密的情形。例如，《保守国家秘密法》《反恐怖主义法》《反间谍法》《国家情报法》等。 而告知个人将妨碍国家机关履行法定职责的情形，是指如果在处理个人信息前告知个人，国家机关将无法履行法定职责。不得不说，这里仍然是模糊的，需要根据实际情况确定是否使得国家机关无法履行法定职责以及比例原则，谨慎排除个人的知情权。 （2）不需要告知的情形 信息主体已经知悉需要告知的信息，让我们再次回到上文的例子： 情形一：如果A机构基于同意的合法性基础主动向B机构提供个人信息的，当A机构已经告知个人并取得同意，则B机构作为个人信息接受者无须再行告知。 情形二：如果A机构是被动的或者说B机构是个人信息的需求方，B取得个人同意向A机构索取其个人信息（第三重同意）后，还在于A是否同意向B提供个人信息（即第二重同意），此时A机构是否需要就向B机构提供个人信息的行为向个人取得单独同意，并告知个人呢？本文倾向于认为，B机构取得个人同意向A机构索取其个人信息，如果能够认定为个人信息主体已经知悉需要告知的信息，即A机构向B机构提供的信息类型和目的，那么A机构不需要再取得单独同意，也无需再告知个人。 处理已经合法公开的个人信息 如果要求处理已经公开的个人信息也逐一告知并取得同意，不仅难以实现，也不利于个人信息合法利用。但是，个人信息处理者必须在“合理的范围”内处理已经合法公开的信息，才免除告知义务。对于非法公开的息，或者合法公开但是处理超出合理范围的情形，个人信息处理者仍有告知义务。至于在实践中如何把握“合理的范围”可以考虑个人信息处理的目的与公开个人信息目的是否一致兼容，并且同时符合信息主体的主观期待和社会公众的客观期待。 三、 为公共利益实施新闻报道、舆论监督等行为，个人有拒绝的机会吗？ 第二十七条 个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。  个保法第27条，规定了如果个人明确拒绝处理其自行公开或者合法公开的个人信息，个人信息处理者不能擅自处理，但是个人如何行使拒绝权利，尚需要讨论。在此本文结合个保法第13条第5款【为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息】，稍作分析。 新闻报道或者舆论监督曝光的内容既可能是合法公开的个人信息，也可能是未公开的个人信息。如果是合法公开的个人信息，为了新闻报道或者舆论监督在合理范围内公开披露则无需取得个人的同意，似乎也无须告知，因为如果对当事人不利的情形，告知当事人似乎是不合逻辑的，谁会同意呢？在这种场景下，似乎个人没有拒绝的机会，除非在各种公开个人信息的场景都注释声明【未经允许，不得挪作他用】。但当公共利益占上风的时候，个人利益则会被挤压，声明似乎也是无用的；如果是非公开的个人信息，则个人信息处理者为新闻报道或者舆论监督曝光的目的需要着重考虑是否是在“合理范围”内处理个人信息。 欢迎讨论，不吝赐教。 数据合规与治理  2022-01-14 17:00 #个人信息 #保护法 #告知 #同意

个人信息保护法生效后，“三重授权原则”还能继续适用吗？ 一、三重授权原则的来由 2016年，在新浪微博诉脉脉案中，“三重授权原则”首次被二审法院提出【北京淘友天下技术有限公司等与北京微梦创科网络技术有限公司不正当竞争纠纷二审民事判决，(2016) 京73民终588号】。在该案中，新浪微博主张脉脉的下述行为不当: （1）未经新浪授权获取微博用户的职业、教育信息。脉脉通过新浪微博提供的OpenAPI获取新浪微博用户的数据。根据双方间的《开发者协议》，脉脉获得的是普通级别权限，只能获得用户ID、头像等数据，无权获得用户职业、教育信息。但由于新浪微博的技术缺陷，只拥有普通级别权限的脉脉通过其获取的接口同样也获得了用户职业和教育信息。 （2）在新浪终止脉脉的API端口，终止双方合作协议后，脉脉违反《开发者协议》，仍使用之前获得的微博用户数据。 （3）未经新浪同意，绕过API获取了非脉脉用户的新浪微博数据。 （4）将获得的非脉脉用户，与脉脉用户手机通讯录中的联系人关联，导致非脉脉用户的微博信息展示在脉脉用户的脉脉软件联系人中。 法院认为脉脉的两项行为构成不正当竞争：一是获取、使用新浪微博用户信息的行为；二是获取、使用脉脉用户手机通讯录联系人与新浪微博用户对应关系的行为。 法院的主要理由是：脉脉的信息获取、使用行为违反了双方间的《开发者协议》，未经新浪微博授权，或未经非脉脉用户同意，损害了消费者知情权等，且对公平竞争秩序构成了损害。同时，二审法院在裁判中提出企业获取数据应遵循“三重授权原则”，即互联网企业在OpenAPI合作开发时，应事先取得用户的同意再收集、利用相关信息。第三方应用基于OpenAPI合作模式利用用户信息时，除应取得网络平台提供方同意外还应再次取得用户同意。 随后的几年，“三重授权原则”成为企业数据获取民事纠纷审判的重要依据。 新浪微博诉脉脉案被评为“2016年度北京市法院知识产权司法保护十大典型案例”，这表明司法系统对“三重授权原则”的认可。 在淘宝诉美景案【淘宝(中国)软件有限公司与安徽美景信息科技有限公司不正当竞争纠纷一审民事判决书(2017)浙8601民初4034号】中，法院重申了网络运营者通过其他平台收集使用网络用户的信息受到“三重授权原则”的规制：【一审法院认为，依照网络安全法第四十二条规定的规定，“生意参谋”数据产品使用其他网络运营者收集的用户信息，不仅应获得其他网络运营者的授权同意，还应获得该信息提供者的授权同意，即作为第三方的淘宝公司使用天猫网用户信息，受“用户授权网络运营者+网络运营者授权第三方+用户授权第三方”的三重授权许可使用规则限制。】 2019年，在腾讯与今日头条纠纷的裁定书【天津市滨海新区人民法院(2019)津0116民初2091号民事裁定书】中，法院认为“三重授权原则已成为开放平台领域网络经营者应当遵守的商业道德”。 但，是否“三重授权原则”可以成为企业间获取数据的通用原则呢？尤其是在《个人信息保护法》生效后，在同意不再是唯一的合法性基础的情况下，“三重授权”是否总是合法正当的？适用的空间如何？ 二、还能继续适用吗？ 其实无论是在理论层面还是在实践中，对于“三重授权原则”的合法正当性和适用场景质疑不乏。 首先，对“授权”的质疑。在数据权属尚无定论的情况下，各方并没有“授权”的法定权利基础。《民法典》《个人信息保护法》并没有赋予个人—个人信息权，而是个人享有个人信息权益，既有人格利益，也有财产利益。 而对于企业所持有的个人信息数据，在法律尚未确认的情况下，法院不予支持企业的数据财产权。在淘宝诉美景案中，法院对于淘宝公司诉称其对涉案“生意参谋”数据产品享有竞争性财产权益的诉讼主张，予以了支持。法院认定的具有“竞争性财产权益”的对象是【“生意参谋”：使用的网络用户信息经过匿名化脱敏处理后已无法识别特定个人且不能复原，公开“生意参谋”数据产品数据内容，对网络用户信息提供者不会产生不利影响】的数据产品。 可见即使是匿名化脱敏处理后已无法识别特定个人且不能复原的数据产品，对于淘宝公司诉称其对涉案“生意参谋”数据产品享有财产所有权的诉讼主张，法院也没有予以确认，认为，财产所有权作为一项绝对权利，如果赋予网络运营者享有网络大数据产品财产所有权，则意味不特定多数人将因此承担相应的义务。是否赋予网络运营者享有网络大数据产品财产所有权，事关民事法律制度的确定，限于我国法律目前对于数据产品的权利保护尚未作出具体规定，基于“物权法定”原则，故对淘宝公司该项诉讼主张不予确认。 而新浪微博诉脉脉案法官在审判之后发表的文章中【张玲玲、田芬:《涉及用户数据信息商业利用的竞争行为是否属于正当的司法判断———评上诉人淘友技术公司、淘友科技公司与被上诉人微梦公司不正当竞争纠纷案》】将“三重授权原则”的表述改为了“三重同意原则”：【第三方应用通过开放平台例如Open API 模式获取用户信息时应坚持“三重同意原则”，以“用户同意”+“平台同意”+“用户同意” 的三重同意为原则，保护用户权益，维护互联网络的公平竞争秩序，实现数据经济的合作共赢。】 其次，是对适用场景的质疑，即，是否总需要三方“同意”？个人信息保护法规定了六项合法性基础，同意只是其中一种。是否需要取得用户的同意，需要依据具体的场景来判断。而三重“同意”中的用户同意只适用于基于同意处理个人信息的情形。 《个人信息保护法》第十三条符合下列情形之一的，个人信息处理者方可处理个人信息： （一）取得个人的同意； （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （三）为履行法定职责或者法定义务所必需； （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （七）法律、行政法规规定的其他情形。 （个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等） 其一，对于“第一重同意”，主要涉及个人信息的收集和使用。个人信息的源头是个人信息主体，即个人用户。收集是个人信息处理的第一步，收集的合法性基础可以是上述合法性基础的任何一种。例如，A公司在取得用户的个人同意后收集、存储并使用其个人信息；或者基于合同，个人作为一方当事人，B机构为了履行合同所必需而收集存储并使用其个人信息；或者C机构基于法定义务或者法定职责收集和加工个人信息。 其二，对于“第二重和第三重同意”，涉及企业间个人信息的提供。提供行为的合法性基础也可以是上述合法性基础的任何一种。 例如，A公司向B公司提供用户个人信息，按照个人信息保护法第23条，A公司应当向个人告知B公司的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。此处的同意本文认为是第三重同意，但这里的第三重同意是应由A公司取得还是B公司取得，在实践中存在不确定性，理论层面有待深入研究。但关键是只有当此处的提供行为的合法性基础是同意的情形下，才需要取得单独同意。一般情况下前半句的告知义务是必须的，但法律规定要求保密的除外。 以下分情况举例： 不需要个人同意的情形：例如A公司为履行合同所必需向C公司提供个人信息，则无需第三重同意。 既不需要A公司也不需要个人同意的情形：A基于法定义务向D机构提供个人信息的，则无需第二重和第三重同意。 因此，“三重同意”根据个人信息处理的不同场景，不同合法性基础，可能在任何个人信息处理的环节都不需要“同意”。而在合规实践中厘清个人信息处理合法性基础的重要性可见一斑。 数据合规与治理 2021-12-15, 01:42 #个人信息保护法 #三重授权原则