1. 问题的提出
个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息1，其中，隐私信息具有不愿为人知晓的特征，大数据时代背景下，隐私信息的泄露看似不足为奇，但会带来严重后果。自2021年出台《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)后，学界和公众对于个人信息保护问题有着前所未有的关注，在App行业中，表现为运营者均制定隐私政策来说明在收集、传递、共享、利用、发布个人信息的过程中，运营者应当承担的保护用户的个人信息合法权益的责任和义务，以及非App原因造成信息泄露的免责声明 [1] 。
此外，告知用户App运营者，即隐私信息收集者的责任义务，并非隐私政策的唯一用途，隐私政策作为涉及运营者、用户甚至第三方平台的多方主体的约束性文本，其存在的目的还有避免所涉任意一方滥用权利实施违法行为 [2] 。在本文的具体情况下来说，隐私政策的合规性审查的目的不仅在于避免企业行为可罚性，从更广泛的层面看是为了阻止侵权行为的发生。考虑到公众对于社交App的依赖程度之深，本文选择4款典型社交App，即QQ、微信、微博和抖音，分析其隐私政策的文本内容。
2. 个人隐私保护的法律标准与自律规约要点梳理
2.1. 法律框架下的个人隐私保护要求
在当下国际社会中，隐私信息方面规定具有代表性且较为完善的立法有两部，即欧盟的《通用数据保护条例》和美国加州议会通过的《消费者隐私法案》，综合其他国家的司法实践来看，通过立法来保障个人隐私信息安全，规范企业个人隐私信息收集行为已经成为了主流趋势。而我国尚且缺乏对应的具体法律规范，目前主要是通过App运营者自觉遵守《中华人民共和国民法典》(以下简称《民法典》)、《个人信息保护法》等相关法律规范，将法律的要旨体现在隐私政策之中，通过约束自己来合理收集、使用用户信息，因此在隐私政策的制定方面，企业具有较大的自主权，因此对于隐私政策合规性的审查应当更加严格。
首先，隐私政策的制定必须在法律框架内实施。综合《个人信息保护法》、《中华人民共和国网络安全法》(以下简称《网络安全法》)、《中华人民共和国电子商务法》(以下简称《电子商务法》)和《信息安全技术个人信息安全规范》(以下简称《规范》)以及《中华人民共和国消费者权益保护法》(以下简称《消费者权益保护法》)等涉及个人信息和隐私保护的法律、规范中对于个人信息的收集、使用、保存等具体规定，从信息的收集和使用、信息的保存和管理以及信息的共享、转让和披露三部分入手，归纳出限制权限、最少够用、明确目的、敏感告知、最短时限、保证质量、确保安全、主体参与、安全评估、透明公开、责任明确的11点要求，以此作为评判四款社交App隐私政策是否合法、合理、规范的标准(见表1)。
Table 1. Privacy policy evaluation criteria
表1. 隐私政策评判标准
2.2. App隐私政策的自律规则
App隐私政策是对外公开的企业自律规则，反映出App运营者对用户个人隐私信息保护的重视程度、保护的内容和具体的保护措施。通过分析网站隐私政策的内容，可以更好地了解网站在保护个人隐私信息方面的认知倾向和关注点。参考华为应用市场社交类App总下载次数，选择其中四种安装量超过100亿次的常用App：QQ (107亿次)、微信(135亿次)、微博(157亿次)和抖音(330亿次)，结合上文参考个人信息保护方面的法律和规范得出的评判App隐私政策是否合法规范的标准对我国App的隐私政策的内容进行合规性考察。
3. 我国App个人隐私保护的现状考察及问题透视
3.1. 一般规定的考察
对于隐私政策的合规性考察，除了需要考虑是否具有上文所述的11种内容性规范之外，对于隐私政策的考察还要注重一些基础规范的有无和技术性规范存在与否。
《电子商务法》第23条要求隐私政策的制定须遵守个人信息的保护的法律规定2，由此看来，隐私政策的制定和条款应该有明确的法律的依据。此外，由于App运营所需的信息用途与特殊技术相关，因此运营者需要解释隐私条款中涉及的专业术语，本文将基于《规范》的解释，比照隐私条款中的专业术语解释，判断该基础规范是否合法合理。政策更新解释则是为了充分保障用户的知情权，《个人信息保护法》第17条规定了App运营者的更新告知义务3。最后，用户申诉途径是在商业活动中必不可缺的部分，收集用户个人信息虽然是为了给用户提供更好的服务，但也有一定的风险，所以为了用户安全考虑，当用户认为运营者不合理收集、使用、处理自己的个人隐私信息时，有权要求运营者中止隐私信息的收集、删除相关信息，这就要求App运营者建立让用户行使权利的申请受理和处理机制4。
结合本文研究的4款App的隐私政策而言，每个隐私政策都包含且以加粗字体的方式提示用户运营者将会在政策更新时及时通知用户以取得新的授权，并为用户提供了明确的联系方式和申诉途径。而只有微博详细说明了制定依据是中国个人信息保护相关的法律法规(《个人信息保护法》《数据安全法》《民法典》《网络安全法》)及其配套实施规则、国家标准和监管要求。专业术语的解释则是融合在隐私政策的文本之中，并未作为独立的一部分，例如抖音的《用户服务协议及隐私保护政策》第1.2条：“‘用户’指所有直接或间接获取和使用‘抖音’软件及相关服务的使用者，包括自然人、法人和其他组织等。……”
3.2. 特殊规定的考察
与一般的监管指标不同，隐私政策中的特殊项目主要对个人信息处理行为中涉及的特定技术应用、特定实体、个人信息的特殊处理提供监管解释。从Cookies及同类技术使用、未成年人及儿童隐私条款两个方面去考察，结果表明：首先，网站对Cookies及同类技术的使用，主要目的是提供个性化服务，如用户登录、安全认证、用户偏好、广告宣传等。但是其主要基于向物理设备发送小型数据追踪文件，从而将用户信息行为记录并被整理于数据库中，对Cookies数据保存不善容易对用户造成隐私侵犯，这涉及个人信息的保存问题，在此不作赘述。
4款App运营者均在隐私条款中表明用户可自行管理或删除Cookies数据信息，从用户角度看，禁用Cookies及同类技术并不会给用户带来极大的不便，所以现阶段隐私政策的规定还是较为完善的。
3.2.1. 个人隐私的收集与使用
2020年北京互联网法院审理了一起抖音侵犯个人信息的案件5：原告凌某某主张在本人手机通讯录空白的情况下，使用该手机号码注册抖音后，大量“可能认识的人”仍然被推荐，原告认为抖音App存在非法获取其个人信息及隐私的行为，故将抖音App诉至北京互联网法院 [3] 。
该案实情为，抖音从原告亲友的通讯录中反向识别到原告，进而将这些人的账号推荐给原告。法院认为处理手机通讯录中联系人的姓名和手机号码需要同时被用户和联系人同意，在本案发生时，抖音的隐私政策并未提及“反向推荐”这样的信息收集、处理方式，且原告的通讯录中没有他人，意味着其不愿通过“好友推荐”的方式知晓他人账号；此外，法院认为“合理使用个人信息”是“不打扰他人生活，不会不合理损害他人利益，抖音的行为显然对原告的生活造成了困扰，在未经双方允许的情况下推荐个人账号，不仅违反当事人本人的意志，还可能会损害到用户及他人利益，因而这是一种不合理使用个人信息的侵权行为。
虽然截至本文写作时，抖音已多次更新隐私政策，并将“反向推荐”这一收集、使用信息的方式写入隐私条款，获得用户授权，但是，案例反映出来的问题仍然值得我们讨论：App运营者应该如何避免在收集、使用信息的过程中的侵犯用户权益？
个人隐私信息的收集和使用是App围绕用户个人信息提供相关服务的关键环节，对其合规性考察可从如下几方面进行：是否遵循“合法、正当、必要”的法律规范要求，承诺按照隐私协议进行既有约定下的信息收集和使用活动；对与个人权益关联密切的敏感信息有无特殊提示和功能关联性说明，符合必要性规定；是否明确披露收集个人信息的目的、范围和方式，满足用户知情需要；收集和使用信息是否基于功能实现的必要，符合最少够用原则 [4] 。
首先，“合法、正当”原则是法律明文规定的信息收集、处理原则，在《个人信息保护法》6、《网络安全法》7等有关于个人信息的法律中都有体现，这同样是一种限制，App提供服务所需以及用户合法授权，是运营者收集和使用用户个人信息的主要权利约束条件。本文着眼的4款App在收集手段上，虽然有类似“反向推荐”这样隐晦的信息收集手段，但由于用户自愿授权，这种看似不合理的手段具有了实施的可能性。因此运营者应将收集信息的手段重点标识并辅之以更加清晰明了地阐述。
此外，在收集的个人隐私信息的内容方面，《规范》明确了“最少够用原则”8，即只处理满足个人信息主体授权同意的目的所需的最少个人。例如腾讯隐私政策提及：“我们一些特定的服务可能需要您提供特定的个人信息来实现相关功能。若您选择不提供该类信息，将不会影响您使用产品或服务中的其他功能”，表明其收集的信息符合“最小必要原则”。
最后，对于用户的敏感信息，为保障用户自愿被收集敏感信息，愿意接受因此带来的风险，《规范》提出了重点标示的要求9，在4款App的信息收集页面中体现为将敏感信息的内容加粗，旨在提醒用户注意收集的该类信息的独特性。
3.2.2. 个人隐私的保存与管理
个人隐私信息的保存和管理是在收集后的极为重要的环节，为规范App运营者的权利义务，法律法规提出了如下要求，这也是本文考察该环节合规性的依据：是否以实现目的所需的最短时间为标准保存个人信息，合理限定保存时限10；是否声明不会泄露、篡改、毁损所收集的个人信息，尊重信息主体的信息权益(见脚注10)；是否采取必要措施保障个人信息安全，对信息予以脱敏处理11；是否明确告知用户信息访问、修改和授权撤回等权限，为用户提供自主管理信息的途径12。
首先，微博和腾讯都在隐私政策中明确表示会依照法律规定，在实现服务目的必需的最短时限内保留用户个人信息，在这一方面抖音并未作出明确的承诺，但是抖音规定，当用户连续不使用账号时长达2年时，抖音有权删除账号及相关信息或进行匿名化处理，变相说明了个人信息的保管是有时长限制的。
其次，保障个人信息质量的要求旨在避免因信息失真或泄露而损害用户个人权益。在上述4款App的隐私政策中，运营者均表示已经采取了信息安全保障措施，以防止个人信息遭到未经授权访问、披露、使用、修改等，在面对信息泄露时，均会启动应急预案，阻止损失扩大，并以推送通知、公告等形式告知用户，确保用户的知情权。
最后，信息主体参与其个人信息管理是实现信息自我控制和尊重其自决权的要求。目前，同意授权模式已成为隐私政策中常用的信息自我控制方法。此外，合法的用户权利涉及信息处理的多个方面，例如用户个人删除、更改信息的权利。抖音给予用户删除Cookie进而删除自己留存在App中的信息权利；在腾讯隐私条款中也有相似的表述：“您在使用我们服务的过程中，可以通过查阅、复制、更正、补充、删除等方式来管理您的信息……”总体而言，用户自主管理个人信息的途径并未受到限制，几款App都较好地保障了用户的自主权。
3.2.3. 个人隐私的共享、转让与公开披露
在个人隐私信息的使用方面，为了便利用户同时使用与某一App关联的其他App，个人隐私信息的使用除自身平台之外，还涉及数据共享、转让以及公开披露，这就涉及第三方甚至多方平台的信息安全问题。对第三方平台展开信息安全影响评估，是App运营者与第三方共享用户信息时应当做的准备，也是《规范》对于信息收集者提出的要求13。但是，在实践中，这类评估经常被遗忘，本文选取的4款App中，只有微博在隐私政策里表明会评估与之合作的第三方平台收集信息的合法性、正当性和必要性，对其数据安全环境进行调查，并要求其按照微博隐私政策以及适用的数据保护法律的要求来处理微博用户的个人信息。抖音和腾讯则对评估只字未提，因此在App运营者广泛地与第三方平台共享信息的大环境下，用户的信息安全能否得到保障的问题依旧存疑。
同样出于对用户知情权的保护，App运营者应当向个人信息主体告知共享、转让个人信息的目的、数据接收方的类型以及可能产生的后果，并事先征得同意14。在4款App中，只有微博明确说明与第三方共享用户信息是为了实现微博的服务及功能，实现有针对性的广告推送和微博必要的安全与分析统计；抖音和腾讯则对信息共享、转让的目的描述较为模糊，仅说明在符合法律规定的情形下，实现公司提供服务所必需的目的。
考虑到信息共享、转让与公开披露过程中可能面临的信息泄露的风险，造成实体损害结果之后的责任承担也应成为运营者考虑的问题。个人信息保护相关立法均说明了信息收集、使用者在有过错的情况下的归责问题，结合App运营者的自我规约，应当有较为完整的追责制度保障。然而，4款App都没有主动说明责任承担问题，反而提出了众多免责情形，反映出运营者对责任承担的消极性，而这方面的漏洞将给用户追责带来较大的困扰。
3.3. APP个人隐私保护自律规约的合规性困境
从4款App的隐私政策文本不难发现，虽然我国尚且没有一部法律对隐私政策作出完整的规定，但是现行的法律法规对于隐私条款应有的内容提出了要求，然而隐私政策不能完全涵盖，因此存在规定上的漏洞，无形之中放大了企业的自主权；除此之外，隐私政策的内容冗长且晦涩，对于某些专业术语的解释不够明确；其次，App运营者以平台利益为主，对于信息收集、使用有众多强制性规定，变相损害了用户权益；最后，用户对隐私政策的了解不足，导致众多用户并不知道自己的何种信息在何时遭到了泄露，这也是个人信息保护中必须要解决的问题。
尽管App业务发展至今已经经历了从自律到自觉的自我规约态度转变，但仍然有众多App运营者没有完全按照法律法规和规范的要求制定隐私政策。这是因为，虽然有《个人信息保护法》、《网络安全法》、《电子商务法》和《消费者权益保护法》等有关个人隐私信息保护的法律作为上位法架构起App行业的个人信息保护法律体系，但是法律的规定还不够细致，很多规定都是针对一般化的个人信息设定，对于“个人隐私”的规定存在疏漏，因此无法涵盖所有问题。
当然，受制于法律的局限性，法律不可能解决所有的社会问题，尽管如此，法律仍然是调整网络秩序的重要规范 [5] 。因此，在保护App用户个人信息权益方面，依旧需要更加专业、细致的立法，确保在运营者不能自主遵守现有法律与公序良俗的情况下，依然有可遵循的法律的约束使其不得不将公众利益放在首位。
4. 我国App个人隐私保护问题应对策略
结合上文所述，在综合分析4款App的隐私政策文本之后，可以发现，虽然App的目的、内容及功能各有不同，但隐私政策中有许多共同点，尤其是同属于腾讯公司的QQ和微信，虽然各自有隐私政策，但是二者同样受到《腾讯隐私政策》的限制，《QQ隐私保护指引》与微信的《隐私保护指引》均在正文中说明该文本与腾讯的《隐私政策》存在不一致或者矛盾之处时，应以QQ或微信的隐私政策为准。这一条款类似于一般法与特别法的适用，是在基本精神保持一致的前提下，对于具体情况作出的具体规定，是稳定性与灵活性的结合，这一概念应当在全行业推广适用。
4.1. 颁布特定行业个人信息保护法
《个人信息保护法》的颁布已经是我国在个人信息保护方面长足进步的体现，弥补了多年来对于个人信息保护的法律空缺，但正如上文所述，考虑到《个人信息保护法》的位阶，这是一部概括性的立法，无法解决具体行业的具体问题，因此，针对特定行业，应当有更加具体细致的立法。
4.2. 设立统一的个人信息保护机构
实践中还存在个人信息侵权难以救济的情况，虽然个人信息保护方面的法律对于信息收集者侵权责任都有一定的规定，但是由于网络的复杂性和不稳定性，仅通过信息收集者和信息提供者通过签订隐私政策及严格履行注意义务即要求保证信息没有泄露危险本身就是不可能的，那么，面对已经签订合理的隐私政策的情况下，还能通过什么途径给信息提供者的个人信息多加一层保护呢？目前国际社会上已经有很多重视个人信息保护的国家对此作出了尝试：借助专业化的个人信息保护机构，为法律规范应用实践提供必要支持。如德国信息保护委员会、法国政府信息获取委员会、新加坡个人信息保护委员会等 [6] 。
反观现阶段我国的信息保护，依旧以传统的监管机构职责延伸至各行各业为主。大数据时代背景下，我们面临着专业性和复杂性极高的个人信息保护问题，这需要特定的信息保护机构来履行监督管理职责，对企业的个人信息保护机制进行科学鉴定，并针对行业中可能存在的个人信息安全问题提供专业化的应对方案，对行业中的个人信息保护情况予以全面监督。可以借鉴新加坡等国，设置个人信息保护委员会，并特设个人隐私保护部门，在保护个人信息的统一规定基础上，针对个人隐私实施更细致的保护。
4.3. 构建行业个人隐私保护自律规范体系
完全通过法律和外部监督来实现信息保护当然有其合理性，但是，法律终究是社会管理的手段而不是目的，要实现个人隐私信息保护毫无漏洞，还需要信息收集者的配合。
就企业微观层面而言，企业应增强信息处理标准意识，积极将信息安全要求纳入组织管理和发展战略，建立内部信息安全评价体系，有效识别和防范潜在的信息安全风险，并及时采取补救或预防措施。
从行业宏观层面来看，从行业宏观角度看，有必要加快构建个人信息保护自律体系，营造规范的自律秩序。根据不同行业及其信息处理活动的特点，建立全面的行业自律条例，为行业信息处理活动有序发展提供详细、可操作的规范性指导。
5. 结语
App的发展是智能手机普及的必然结果，在信息时代下如何保障个人信息是科技对法律和社会提出的问题。在个人隐私兼具人身与财产属性的今天，对于个人隐私的保护不仅涉及社会中个人的权益，还涉及到社会整体的利益，实现个人隐私信息充分利用与保护个人隐私权益之间的平衡，是未来很长一段时间内立法者和通过收集个人隐私来提供网络服务的App运营者重点需要解决的问题。因此，未来应将法律制度与行业自律的有机结合，规范构建行业秩序，推进个人隐私信息保护的规范化进程。
NOTES
1《中华人民共和国个人信息保护法》第4条第1款。
2《中华人民共和国电子商务法》第23条。
3《中华人民共和国个人信息保护法》第17条。
4《中华人民共和国个人信息保护法》第50条。
5案件来源于北京互联网法院官网经典案例，2020年7月30日宣判。
6《中华人民共和国个人信息保护法》第5条。
7《中华人民共和国网络安全法》第41条。
8《信息安全技术个人信息安全规范》4d。
9《信息安全技术个人信息安全规范》5.5a2。
10《中华人民共和国个人信息保护法》第19条。
11《中华人民共和国个人信息保护法》第51条。
12《中华人民共和国个人信息保护法》第44~49条。
13《信息安全技术个人信息安全规范》9.2a。
14《信息安全技术个人信息安全规范》9.2b。