法治號
鄭飛
《未成年人網絡保護條例》（以下簡稱《條例》）近日公布，自2024年1月1日起施行。《條例》構建了完整的未成年人網絡保護框架，其個人信息網絡保護部分的內容涵蓋了未成年人信息的收集、處理、提供、訪問、復制、更正、補充、刪除等過程，立足于個人信息保護法以及未成年人保護法基本規定，針對未成年人個人信息的特殊性進行了規則細化和完善。
第一，規定了未成年人身份信息認證規范。未成年人在獲得網絡服務時，需提供真實身份信息。在網絡直播領域，需建立身份信息動態核驗機制，不得向不符合法律規定情形的未成年用戶提供網絡直播發布服務。網絡服務中未成年人身份信息認證規則早已有之，《條例》進一步提高了其法律位階，并明確了網絡直播領域未成年人保護規則。
第二，完善了未成年人個人信息處理原則。包括最小授權原則和監護人同意原則，二者都是專門針對未成年人信息保護的特殊原則。最小授權原則是指嚴格設定信息處理者內部工作人員的信息訪問權限，并設置相應的審批、記錄規則，類似于個人信息處理原則中必要原則和目的限制原則的延伸。其中暗含了未成年人個人信息處理應當出于特定、明確、合理目的的要求，在進行處理時采取損害最小的手段。最小授權原則可以說是更加嚴格和根本性的規定。監護人同意原則在未成年人保護法第七十二條中進行過規定，要求處理不滿十四周歲的未成年人個人信息需征得未成年人的父母或其他監護人同意。《條例》在原有規則的基礎上進行了細節完善，正是國務院行政法規應當起到的規范作用。當然，個人信息保護法中合法、正當、必要和誠信原則、公開原則、目的限制原則作為上位法基本規范，仍應得到遵守。
第三，強化了監護人的教育保護義務。監護人是未成年人個人信息保護的第一防線，對未成年人的教育、指導會起到直接作用。明確監護人的保護義務能夠促進監護人提升自身的個人信息保護意識，進而才能對未成年人進行教育。同時，監護人保護義務也避免了個人信息控制者和處理者承擔過于嚴苛的責任。
第四，明確了未成年人個人信息可查閱、復制、更正、補充、刪除、轉移的特性，并且為個人信息處理者設置了配合上述要求的義務。長期以來，網絡中個人信息的可獲得性、準確性以及信息主體的被遺忘權等問題受到廣泛關注，從《條例》中可見，在應受到更嚴格保護的未成年人個人信息領域，上述問題不再是有爭論余地的問題，而應成為未成年人個人信息保護的原則性規定，體現出立法機關對未成年人個人信息加強保護、徹底保護的態度。
第五，完善了未成年人個人信息處理風險規范。對于信息泄露、篡改和丟失，處理者應當采取補救措施，包括個人信息安全事件應急預案，向有關部門進行報告，以及告知未成年人及其監護人。對于難以逐一告知的情形，也應當采取合理、有效的方式及時發布相關警示信息。這一規定對不同情形下的風險狀況都進行了明確。
對于未成年人私密信息的泄露，網絡服務提供者應及時提示，并采取相應必要措施，防止信息擴散。雖然《條例》中只明確了停止傳輸必要措施，但采取了開放式規定，或可參考民法典中提到的刪除、屏蔽、斷開連接等必要措施。兒童私密信息是容易產生諸如兒童色情等相關犯罪的領域，《條例》因此設置了與公安機關相銜接的條款，將未成年人私密信息涉罪的報告義務施加給網絡服務提供者，也是與未成年人保護法第八十條第三款規定的銜接。
第六，創設了未成年人個人信息保護合規審計規定。《條例》將未成年人個人信息保護歸入個人信息處理者的合規事項，要求其自行或委托專業機構，每年對處理未成年人個人信息遵守法律、行政法規的情況進行合規審計，并將審計情況報告相關部門，通過合規制度輔助未成年人網絡保護，是一種創新。
整體來看，《條例》個人信息網絡保護一章既有對個人信息保護法中基本個人信息保護原則和規范的承接，又有對未成年人保護法相關規范的細化，對未成年人個人信息保護進行了全方位規定，能夠承上啟下，保障未成年人個人信息規范化收集、處理，實現風險預防。
（作者系北京交通大學法學院副院長）
編輯：邢國涵