推动隐私保护成为互联网行业规范

　　24日，由中央网信办、工信部、公安部、国家标准委指导开展的隐私条款专项工作公布对首批10款网络产品和服务评审结果。经过评审和整改，10款产品和服务在隐私政策方面均有不同程度提升，做到明示其收集、使用个人信息的规则，并征求用户的明确授权。其中5款产品和服务提供了在线“一站式”撤回和关闭授权，在线访问、更正、删除其个人信息，在线注销账户等功能。

　　长期以来，部分网络运营者在提供产品和服务时，普遍存在擅自扩大范围收集、使用个人信息，私自共享、转让个人信息等问题。比如，一些产品和服务隐私条款笼统不清，不主动向用户展示隐私条款，或展示内容晦涩冗长。年初有媒体对50家企业发起调查，结果只有30家制定独立隐私政策，18家关于隐私保护的内容存在于用户协议中，2家完全没有关于隐私的声明。还有一些产品和服务存在过度收集嫌疑，动辄调取用户的通讯录、地理位置、照片等，如天气类应用收集通讯录，手电筒应用调用位置信息，令人不知所以。更有部分产品在征求用户授权同意时要求“一揽子”打包授权，比如弹出“为改进服务，我们需要收集、分析您使用手机的情况，并可能与第三方共享”等强制性条款，用户只能点击允许。根据互联网数据中心发布的报告，11.9%的安卓手机APP越界获取了隐私权限。

　　在大数据时代，通过收集个人信息的确有助于更好了解用户，推送高效精准服务，但收集要有尺度，利用要有规范。纵观一些产品和服务的隐私协议，收集的不只是使用语言、访问日期和时间，还有浏览历史、偏好兴趣等隐私信息，甚至身份、住址、健康信息等。当个人信息被毫无顾忌地收集，也就埋下了被利用、被泄露的风险。从过往经验看，一些网站在相互授权和推介时，用户信息就可以被分享;当产品和服务遭遇系统问题时，也可能被违法分子利用。有鉴于此，我国今年6月正式施行的《网络安全法》规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意”。其中更明确规定，网络运营者应当依据法律、行政法规和用户的约定，处理其保存的个人信息。

　　从当前工作取得的进展来看，相关隐私政策具有一定程度的示范价值。虽然隐私政策的制定是产品和服务的自发之举，但通过提高监管力度，也有望形成普遍示范，进而形成行业规范。首先，要做到所有产品和服务恪守《网络安全法》，向用户主动提示并提供更多选择权，例如运用增强式告知、即时提示等方式，在注册、使用环节引导用户阅读、了解隐私条款的核心内容，主动区分核心功能和附加功能供用户选择。再者，要逐渐建立起一种意识，即用户具有“被遗忘”的权利。现在，已经有一些产品提供撤回和关闭授权，和“被遗忘权”异曲同工，意指用户既然能被记录，也就应该被删除、被遗忘。最后，要加强对个人信息使用用途的规制，产品和服务收集个人信息的初衷、范围、方式方法等，都需要列入有关部门的监管范围，对某些越界、违法的行为更要及时纠偏。

　　随着大数据时代的发展，个人信息正变得越来越脆弱，如何保护个人信息已成为重要议题。无论是规定“自然人的个人信息受法律保护”，还是在法律上明确个人信息的侵权责任，都是我们将个人信息保护摆在重要位置的体现。对此，相关产品和服务也应树立好自己的社会担当，通过联合倡议形成行业规范，以共同推动网络安全建设。