1. 引言
党的十八大以来，党中央高度重视传统媒体与新兴媒体的融合发展。 [1] 在强有力的政策指引和内在需求推动下，数字革命在报业内部如火如荼开展，其中二维码的应用使新兴媒体与报纸日趋融合。 [2] 但二维码在为报纸注入新的生机与活力的同时，也诱发诸多易被忽视的新型合规风险，如管理合规风险、知识产权合规风险、数据合规风险等。在中国知网上，鲜有文章探讨报社合规问题，更未深入挖掘报码结合链接数字资源的合规问题。在实务中，合规亦未得到足够重视和发挥应有作用，与报码结合链接数字资源相关的合规对策尚付阙如。
合规(compliance)是指合乎、遵从有关规范。根据ISO 37301: 2021《合规管理体系 要求及使用指南》第3.26条规定，合规是指“满足组织的所有要求的合规义务”。虽然合规属于组织实现自我监管、自我报告、自我披露和自我整改的有效路径，但无论是国际还是国内，合规都被赋予了独特的、突出的功能，即在可能引发行政处罚或刑事责任的场景中，是否履行了合规义务成为判断、斟酌行政或刑事责任与否及程度的一项重要的考量要素。 [3] 换言之，达到了合规，则成为某组织自我声明符合、获得相关认证证书的依据，在承担消极法律后果时可获得行政司法机构的较大宽恕处罚等。 [4]
可见合规也是报社行稳致远的内生需求可以减少甚至避免声誉贬损、法律制裁、监管处罚等消极影响，达到合规带来的可持续发展的积极效果。因此有必要对为何报社需要合规、报社应如何合规以及如何保障报社合规等问题展开一体研究。由于篇幅受限，本文以“报与码”链接数字资源的合规问题为切入点，具体细密指引合规风险，对合规对策予以补充和深化，以求增强报社合规意识、降低经营风险和强化法治理念。
2. 合规：“报与码”链接数字资源的新准则
传统报刊出版发行已有较为完善的固定的遵循准则，但报码结合链接数字资源的新型报刊出版发行，不但拓展了传统报刊出版发行的广度与深度，而且导致数据信息网络法律制度在报刊出版发行领域的适用。由于合规义务是数据信息网络法律制度的创新内容，报码结合的新型报刊出版发行也必将以合规为其所遵循的新准则。
(一) “报与码”链接数字资源的4种类型
报码结合链接数字资源的类型有所差异，但其本质都是将二维码作为读者进行互动和获取丰富资源的入口，打破新旧媒体之间的封闭性、利益失衡、协作链条的割裂， [5] 实现报纸与互联网的实质性互动。经整理和统计，报纸嵌入二维码链接数字资源主要分为四种类型，如下表1所示。第一类是设置二维码为读者提供新闻线索、讨论话题的入口，实现新闻与读者的互动，架构读者与新闻的参与和反馈的渠道。第二类是设置二维码对报纸内容进行拓展和延伸，读者可以扫码看图片、观视频、读全文、听音频等。第三类是提供微信公众号、微博的入口和手机客户端的下载途径，通过微信公众号、微博和手机客户端能够使读者方便快捷地实时接收新闻。第四类是搭建主题学习专栏，针对性、集中性、连续性对某一主题进行全面报道。
Table 1. Main types of digital resources linked to newspapers and QR codes
表1. “报纸 + 二维码”链接数字资源的主要类型
资料来源：本表由作者收集整理制作。
(二) “报与码”链接数字资源的法律属性
二维码作为基于平面媒体又超越平面媒体的形式，嵌入报纸发挥了“阅读引擎”的作用，为读者架起了便捷获取数字资源的桥梁， [6] 尤为需要关注的是报码结合链接的数字资源是否属于报纸的一部分，因为这关涉报社的合规风险和编辑的责任。作为传统纸媒，报纸在诞生之际似乎与纸张有着千丝万缕且难以割裂的关系。根据《报纸出版管理规定》第二条第三款的规定，其对报纸的权威定义确定了报纸的“纸”的介质性质与新闻时事的内容性质。对于报码结合链接的数字资源能否被界定为报纸内容需要重新审视。从介质性质来看，报纸的转型发展使得“报”的部分载体突破了“纸”的介质局限，但数字资源明确载明来源于报纸，其没有脱离报纸而独立存在，仍是处于附随和伴生的状态；从内容性质来看，通过二维码链接的数字资源是对报纸所报道的新闻内容的衍生和拓展，在内容上无疑没有突破报纸刊载新闻与时事评论的定位。从介质性质和内容性质的角度，报纸嵌入二维码链接的数字资源是报纸的自然延伸，应被视同报纸的一部分。
由于二维码链接的数字资源属于报纸的一部分，根据《出版管理条例》第八章及《报纸出版管理规定》第五章规定，报社需遵守法律、法规及规章等规定，否则将承担法律责任，报社需事前预防和控制二维码链接数字资源引发的合规风险。根据合规价值的相关理论，“自我监管理论”“社会效益理论”立足于效益和社会责任， [7] 是成为报社自身管理以降低违法成本的主要价值支撑，报社进行事前自主合规展现出对法律规范的合理性回应，可减少或避免法律制裁或者监管惩罚，降低财产损失和声誉受损的风险， [8] 为报社长远发展奠定稳健基础。
(三) “报与码”链接数字资源的合规内容构成
从纸墨到比特，载体的变化使报纸在数字化时代获得新生，对于“规”的范围也需要突破纸质时代的传统思维定势，这关乎着报社未来的走向与发展。然而“规”的涵盖范围极具广泛性，根据2018年国资委印发的《中央企业合规管理指引(试行)》第二条第二款规定，主要包括以下四个层面：一是法律法规、监管规定、行业准则，但其尚未对报码结合链接数字资源这一新业态作出直接规定；二是企业章程、规章制度，但企业在管理中制定的章程和规章制度属于内部范畴从外部难以知晓；三是国际条约，我国已缔结的《视听表演北京条约》《马拉喀什条约》《WIPO版权条约》《WIPO表演和录音制品条约》《知识产权协定》等国际条约对报码结合链接数字资源产生的问题尚未关注或达成共识；四是特定行业的职业道德，2019年最新修订的《新闻出版工作者的职业道德》强调新闻舆论工作的指导思想，未对数字资源等相关问题作出细化规定。
鉴于“规”的范围广泛、边界模糊，第一层面的法律法规、行业准则、监管规定等属于报社必须遵守的范畴，虽然其未对报码结合链接数字资源作出直接且明确的规定，但是在刚性边界内仍预留冗余空间为预防和化解报码结合链接数字资源的合规风险提供指引和保障，因此本文主要锚定法律法规、行业准则、监管规定作为报社合规的正当性根据。就报纸刊载的内容和形式而言，报社在传统出版时代需符合《宪法》《民法典》《著作权法》《出版管理条例》《报纸出版管理规定》《报纸期刊质量管理规定》及相关法律法规，但在数字化背景下，报纸内容脱离有限载体限制易引致多类型合规风险，“规”的范围也有别于纸质时代，需要全面回应多类型合规风险的现实需要。如报社尚未对数字资源内容充分落实三审三校制度和存在隐形扩版之嫌，遵守《出版管理条例》《报纸出版管理规定》是报社维护出版发行秩序的重要支撑；报社普遍应用的二维码来自于日本公司研发的快速响应码(QR码)，遵守《网络安全法》及相关法律法规是报社保护国家和公民的信息安全的重要抓手；报社将自然人作品上传至互联网应获得信息网络传播权的授权，遵守《著作权法》《信息网络传播权保护条例》及相关法律法规是报社保护数字版权重要切入点；报社推出app收集和处理读者的个人信息，遵守《个人信息保护法》《数据安全法》《常见类型移动互联网应用程序必要个人信息范围规定》及相关法律法规是报社保护读者在网络空间享有合法权益的坚实基础。
3. “报与码”链接数字资源的合规风险
二维码作为承载数字资源的主要工具，是报纸实现纵深发展的有力武器，但在对主流报纸进行调查过程中，发现报码结合链接数字资源存在包括但不限于内容质量问题、危及信息安全、侵犯数字版权等合规风险。多方面的原因导致这一结果的发生，既有报社自身的主观原因，也存在法律规定滞后、技术发展滞缓等客观环境的限制。
(一) 校对环节缺位和隐形扩版有违报纸出版相关规定
报码结合链接数字资源的内容多数是在报纸付印之后制作，为报纸的全天候传播提供支撑。 [9] 根据《报纸期刊质量管理规定》第九条规定，报纸出版单位应当落实“三审三校”等管理制度。报码结合链接的数字资源应视同报纸内容的一部，其内容兼具高信息量和高新闻价值，需杜绝政治问题和意识形态问题，而付印之后制作的数字资源内容缺失严格的校对环节把关，有违“三审三校”制度之嫌。根据随机抽取的权威报纸样本出现链接内容空白、更新速度慢、内容与标注引人误解等现象，时效性和准确性影响读者体验，更遑论报纸的权威性和耐读性。本文挑选了典型情况：一是链接内容上传或更新速度慢，读者阅读报纸欲扫码发现数字资源尚未制作完成或者数字资源内容上传时间晚(如图1所示)。二是未载明链接的内容类型或链接内容与标注有偏差。二维码左侧注明“光明图片”，但实际链接到的却是一则长达两分钟的视频内容，链接内容也未醒目标注该视频内容的来源(如图2所示)。而校对工作缺失是引发上述情况出现的重要原因。
此外，报码结合链接数字资源有效化解了报纸的有限版面与读者对于信息的丰富性与及时性需求之间的矛盾。 [10] 但对于报业来说，根据《报纸出版管理规定》第二条第三款的规定，报纸具有固定的开版。而报码结合链接的数字资源内容属于报纸内容的一部，在报纸版面数量不变的情形下提供可待延展的内容应属于变相扩版。此种行为虽然是市场中多数报纸为加速转型发展、实现媒介融合采取的博弈行为， [11] 但是有违《出版管理条例》《报纸出版管理规定》等关于报纸固定版面的规定，扰乱报纸出版发行秩序。
来源：《光明日报》2022年8月12日第1版。
Figure 1. Slow update of digital resource content
图1. 数字资源内容更新慢
来源：《光明日报》2022年8月17日第1版。
Figure 2. May lead to misunderstanding
图2. 标注易引人误解
(二) 应用日本QR码潜伏信息安全和文化安全风险
二维码类型多样，主流的码制分别有QR码、DM码和PDF417码等。目前国内应用的二维码大部分是日本DENSO公司于1994年研制的QR码，因为DENSO公司声明放弃相关专利权，对于全球都免费且开源， [12] 其奉献主义精神使其迅速在二维码这一领域占据极大市场份额，尤其是在我国几乎形成市场垄断。QR码也被广泛应用于报纸中，其可能引发的风险不容小觑，因为QR码作为信息传输的入口和连接网络的通道，其背后隐藏着能收集任何信息的软硬件系统，意味着潜伏着无数未知的安全隐患。 [13] 近年来，使用QR码从事违法犯罪活动呈现日益猖獗的态势，QR码本质不是恶意的，问题出在QR码解码后需要点击访问的URL (Uniform Resource Locator，统一资源定位器，俗称“网址”)，QR码链接的数字资源绝大部分在普通网站上，可以直接跳转至目标界面或者是客户端下载地址。 [14] 一旦报纸QR码被偷换、伪造、篡改，植入病毒、木马程序、扣费软件，可能将读者引导至网络钓鱼网站或冒充应用程序的恶意软件，发生敏感信息泄露、感染病毒、黑客入侵等，给读者的信息安全带来巨大风险。
由于QR码为日本研发的码制，其技术来源不可控，尚不能从技术源头实现自主控制和安全监管。无法统一管理QR码的生成和识别工具，国家主管机构或第三方机构也较难对报纸QR码承载的信息进行审核和实时监控，存在无法溯源和没有管理机构提供认证的隐患，此种失控和无序的状态导致难以监管用户信息安全问题和无法锁定责任主体，甚至涉及国家信息安全和文化安全的问题。 [15]
(三) 将作品置于互联网上涉嫌侵犯信息网络传播权
报纸通过嵌入二维码链接数字资源，将其置于开放的网络服务器上，供读者在其选定的时间和地点获取内容，是受信息网络传播权控制的行为。根据《信息网络传播权保护条例》第二条规定，任何组织或者个人将他人的作品通过信息网络向公众提供，应当取得权利人许可，并支付报酬。那么报社将作品网络化应取得谁的许可？向谁支付报酬？
上述问题可分为两类情形来讨论。其一是报社的工作人员创作的职务作品，根据《著作权法》第十八条第二款第二项的规定，报社的工作人员仅享有作品的署名权，报社享有著作权的其他权利，可见报社将工作人员的作品上传至互联网无需获得许可和支付报酬。
其二是非报社工作人员向报社投稿的作品，根据《著作权法》第十一条第一款和第二款规定，作者享有包括信息网络传播权在内的完整著作权，报社将非工作人员的作品上传至互联网应当取得许可并支付报酬。根据《著作权法实施条例》第二十三条的规定，报社刊登作品无需与著作权人订立书面形式的许可使用合同。但数字环境下需突破纸质时代的思维定势，信息网络传播权是否在许可的权利范围里存疑，上传至互联网可能扩大了著作权人仅想在纸质报纸上刊登的原意。由于法律规定本身的滞后性和模糊性，尚未对报社在互联网上传作品取得许可的方式进行确定。本文认为，信息网络传播权与“报社刊登作品除外”并非一回事，刊登的作品载体是有形、纸质的报纸，而上传至互联网脱离了有形载体的限制，著作权人对信息网络传播权的失控会挫伤其创作积极性和难以保障著作权人经济利益的实现。在现有授权模式下，报社若未与著作权人单独签订许可使用合同或转让合同，擅自将作品网络化可能涉嫌侵犯著作权人的信息网络传播权，成为影响报社发展的“绊脚石”。
(四) 不当收集和利用阅读行为轨迹可能侵害个人信息权益
报社推出手机客户端平台并将报码结合链接的数字资源内容发布到平台上，成为海量数字资源聚合的场域，如解放日报社推出的上观新闻客户端、光明日报社推出光明日报客户端、文汇报社推出文汇客户端等。对于读者而言，作为海量数字资源的消费者的同时，也成为信息的生产者，产生了如琐屑般的阅读行为轨迹信息。对于报社而言，读者的阅读行为轨迹并非“数据废气” [16] ，因为报社推出的手机客户端平台可以对订阅量、阅读量、读者互动回馈量等进行检测和统计，量化分析读者的阅读兴趣，挖掘读者的详细信息，建立并完善读者数据库，而后靶向精准提供新闻服务，读者的阅读行为轨迹信息是报社实现从“规模经济”转向“范围经济”的有效工具。 [17]
阅读行为轨迹信息是读者在线交互的副产品，是读者在网络上留下的“电子脚印”， [18] 已被纳入法律保护的范围。在“微信读书侵权案”1中，读者的阅读行为轨迹信息能够反映读者的阅读习惯、偏好、文化修养，可能勾勒刻画出人格侧面并识别和关联到个人，阅读行为轨迹信息(微信读书用户的读书信息)被认定为个人信息。近年来各大报社推行客户端的数量猛涨，但报社推出的手机客户端若存在超范围收集和利用个人信息、未有效展示隐私条款、征求用户授权同意时未提供足够的选择权等情形，可能侵害个人信息权益的风险，造成他人损害需承担侵权责任。《民法典》《个人信息保护法》《网络安全法》《数据安全法》等法律对保护个人信息权益日益重视，对报社推出的手机客户端收集和利用个人信息也提出了更高的合规要求和更多的合规义务。
4. “报与码”链接数字资源的合规对策
合规不仅是依法治国方略的体现，也是报社实现行稳致远的内需，报社合规是涉及多个法律领域的重要法律问题，有效落实充分的合规对策可减少和避免民事责任、行政处罚和刑事追究，为报社免责起到关键性作用。有必要针对报码结合链接数字资源引发的合规风险细化合规对策，指引报社找到主动“合”的关键蕴意，稳步推动报社开展合规出版发行。
(一) 落实编辑责任制度和办理与隐形扩版相关手续
校对是提高书刊质量的重要环节和保障书刊质量的最后防线，作为对编辑加工工作的延续，不仅可以纠正编辑加工过程中的疏漏，还具有再创造的功能。 [19] 由于报码结合所链接的数字资源为截稿和付印之后制作，缺乏“三审三校”制度对数字资源把关导致漏洞频出。因此，报社需要落实《报纸出版管理规定》第二十四条规定的编辑责任制度，专门制定数字资源的审校流程标准，由编辑对数字资源的制作质量负责，层层审核将责任落实到人，由编辑带领团队定期对报码结合链接的数字资源进行管理和勘误，及时进行删改和纠正，检查是否存在二维码被入侵发生数字资源内容被替换的情况，并声明二维码链接的有效期。
根据《出版管理条例》第十七条第二款规定，报社变更报纸的开版应当经有关机关审查同意、申请变更登记并备案。但是对于报码结合链接数字资源的隐形扩版行为是否属于变更开版尚无定论。但根据《出版管理条例》第三十六条第一款和第三十七条第一款规定，通过互联网等信息网络开展出版物发行业务需要取得《出版物经营许可证》，变更《出版物经营许可证》登记事项需要办理审批手续，报社在手机客户端或者第三方平台发布数字资源应属于通过互联网等信息网络开展出版物发行业务，所以报社还需及时取得或变更《出版物经营许可证》。
(二) 引领媒体使用自主知识产权二维码——汉信码
从经济稳定、信息安全、文化安全等角度长远考虑，我国需要采用自主二维码码制标准，增加我国在全球二维码领域的话语权。为了应对我国二维码技术空缺的现实情况，我国完全自主研发且拥有完整自主知识产权的二维码——汉信码，其标准能力和技术水平均不低于国外标准，完全具备替换日本QR码的能力。 [20] 虽然汉信码得到二维码业界认可，但由于QR码一直在我国二维码市场占据垄断地位，国家产业部门在汉信码的落实和应用方面缺乏强有力的政策扶持和驱动，造成汉信码未得到广泛应用，破解困局在于加快推广汉信码的应用步伐。
因此，报社可以通过示范引领媒体领域使用汉信码，降低未来高昂的整体切换成本，使汉信码赋能报纸的数字化转型，这同时是报社担起信息安全守卫者重任的体现。我国建立标准的信息系统和应用自主知识产权二维码核心技术，可以把信息的“根服务器”建立在我国，实现二维码技术的自主、安全与可控，追踪到每一个二维码的安全问题，锁定违法者以减少二维码在应用过程中的潜在风险，可见报社主动引领应用汉信码，不仅有助于为读者营造安全的扫码环境，还有利于推进未来二维码应用及监管纳入我国法制轨道。
(三) 订立许可使用合同以获得信息网络传播权
报社需要定期预估与知识产权有关的风险，将可能造成的不良影响提前降至最低。 [21] 虽然根据《著作权法实施条例》第二十三条的规定，报社在纸质报纸上刊登作品无需与著作权人订立书面形式的许可使用合同，但对于数字资源没有明确规定。且学者对报刊作品数字化的知识产权管理问题争论不休，有学者提出法定许可的平衡理念可以兼顾作品传播和作品保护，对符合一定条件的作品可直接规定法定授权， [22] 也有学者提出，可在自愿基础上解决授权问题，著作权默示许可制度具有弹性、适应性特征，在著作权人没有明确意思表示反对使用，即可推定允许他人使用作品。 [23]
但是滞后的法律规定与激烈的学术讨论无法成为报社擅用信息网络传播权的挡箭牌，根据《著作权法》第二十六条规定，报社如需将其作品上传至互联网，在成本有限的情况下，可与著作权人订立许可使用合同，在权利类别应加入信息网络传播权，否则可能需要根据情况承担民事责任、行政责任、刑事责任；在获得使用许可之后，根据《著作权法》第五十二条第一款第七项规定，报社应当及时支付报酬，否则可能需要承担民事责任，报酬标准可根据《著作权法》第三十条规定进行确定，以减少知识产权侵权纠纷，有效管控与知识产权相关的经营风险。
(四) 自觉承担和履行保护个人信息的责任和义务
APP运营者自律是个人信息保护的重要内容。 [24] 报社作为内容提供者和平台运营方，需要在收集并使用个人信息时需要严格履行《民法典》《网络安全法》《数据安全法》《个人信息保护法》《常见类型移动互联网应用程序必要个人信息范围规定》等规定的法定义务，主动承担与其控制力和影响力相匹配的保护读者个人信息的责任， [25] 进行良性的数据开发和保护。
首先在隐私政策文本方面，虽然各大报社推出的手机客户端在注册或登录时均有提供用户协议和隐私政策文本，但对于读者来说，大部分文本内容的易读性不强且没有与平台协商余地，在一刷而过后一般会直接勾选同意授权，因此需要报社客户端运营者严格遵循《网络安全法》第四十一条的规定，不仅需要向读者清晰说明其对个人信息的处理行为，更需要对隐私政策及相关文件中的内容进行自评自查自纠，是否清晰说明收集的读者的个人信息类型、处理规则、权益保障等内容，是否存在加重读者义务等不合理条款。其次在收集和使用读者的个人信息行为方面，对于隐私政策文本的自评自查自纠远远不够，需要在个人信息的收集和使用环节落实以真正满足合规要求，在具体场景收集和使用与业务功能相关但超出必要性范围的个人信息时，应充分提示由读者自主选择同意，不得收集与和业务功能无关的个人信息。再次在权利保障方面，能否更正和删除个人信息、注销账号、及时反馈申诉等至关重要，报社客户端运营者应及时对个人信息进行更正、删除或匿名化处理，提供注销账户的途径，在合理期限内对申诉进行回复。最后，可以为读者设立举报途径，对报社客户端违法违规收集并使用个人信息的行为设立真实可用的举报渠道，由广大读者提供相关线索。读者也需要增强个人信息的保护意识，明确对获取更为安全和可靠服务的期待，敢于举报为自己主张合法权益。
5. 结语
报社面对媒体融合的新常态，风口取势，应势而谋，顺势而为，探索出报码结合链接数字资源的融合之路，打造出能够容纳海量信息的足够空间。 [26] 但是报社从“摸着石头过河”转变为“摸准石头过河”，还需要有效、恰当应对各类合规风险，既是报社兼顾道德责任和法律责任，也是确保报社可持续发展的关键。 [27] 但合规的灵魂在于有效性，如何将合规的压力真正转化为报社长远发展的内在动力，是一个亟待解决的问题。换言之，报社确保合规监管措施的落实和实施，是其免责的重要考量因素，凸显出合规的基本要义。无论如何，报社通过合规不断改进、上下求索，将报码结合链接数字资源的风险纳入合规框架，推动报社的可持续发展，这是合规的最终归宿和终极目标。
NOTES
1北京互联网法院(2019)京0491民初16142号民事判决书。 https://baijiahao.baidu.com/s?id=1674019799216849729&wfr=spider&for=pc。