近日在使用手機(jī)APP或打開電腦時(shí)，許可發(fā)現(xiàn)一些明顯變化。有關(guān)“隱私政策”變更的“彈窗”頻繁出現(xiàn)，用戶只有點(diǎn)擊確認(rèn)或同意后，才能繼續(xù)使用。

5天前收到蘋果公司寄出的“Apple已為《個(gè)人信息保護(hù)法》做好準(zhǔn)備”的郵件； 4天前更新微信最新版本后，看到隱私指引條款和信息共享披露變更了；再到昨天打開星巴克APP后，發(fā)現(xiàn)其首頁(yè)出現(xiàn)“隱私權(quán)政策變更”的“彈窗”……

這一系列的改變，都和一部法律的實(shí)施有關(guān)。

11月1日，中國(guó)第一部個(gè)人信息保護(hù)方面的專門法律——《個(gè)人信息保護(hù)法》（下稱“個(gè)保法”）正式落地實(shí)施。個(gè)保法以“告知-同意”作為核心處理規(guī)則，并針對(duì)現(xiàn)實(shí)生活中社會(huì)反應(yīng)強(qiáng)烈的一攬子授權(quán)、強(qiáng)制同意等問題，規(guī)定個(gè)人信息處理者在處理敏感個(gè)人信息、向他人提供或公開個(gè)人信息等環(huán)節(jié)應(yīng)取得個(gè)人的單獨(dú)同意。

為確保個(gè)人信息處理過程的合法合規(guī)，“告知-同意”機(jī)制受到了信息處理者的重視。但當(dāng)在APP、網(wǎng)站上，增強(qiáng)隱私保護(hù)成為“新常態(tài)”，一些新問題和舊頑疾也引起更多關(guān)注。比如，如何在細(xì)化APP隱私政策顆粒度的同時(shí)，增加用戶可讀性？在APP向第三方提供個(gè)人信息時(shí)，如何增強(qiáng)權(quán)限調(diào)用的透明度？“彈窗時(shí)代”如何讓用戶不累心、企業(yè)不鬧心？

“準(zhǔn)確完整”和“清晰易懂”如何兩全

個(gè)保法的第二章第一節(jié)明確了個(gè)人信息處理規(guī)則的一般規(guī)定，其中，第十七條指出，個(gè)人信息處理者在處理個(gè)人信息前，應(yīng)當(dāng)以顯著方式、清晰易懂的語(yǔ)言真實(shí)、準(zhǔn)確、完整地向個(gè)人告知相關(guān)規(guī)定事項(xiàng)。

“準(zhǔn)確、完整”意味著告知文本需充分、詳盡，而“清晰易懂”則意味著告知文本需簡(jiǎn)明、易懂。這一旨在對(duì)于用戶知情權(quán)進(jìn)行充分保護(hù)的規(guī)定，對(duì)于個(gè)人信息處理者而言，卻在實(shí)際操作中面臨著難以兩全的問題。

北京師范大學(xué)網(wǎng)絡(luò)法治國(guó)際中心執(zhí)行主任吳沈括在接受第一財(cái)經(jīng)采訪時(shí)表示，當(dāng)下，作為個(gè)人信息處理者用以“告知”的主要形式，隱私政策如何在文本完整和文本簡(jiǎn)明之間取得平衡還是一個(gè)難題——模糊的告知會(huì)導(dǎo)致“同意”的不自由；冗長(zhǎng)的告知又會(huì)增加知情的時(shí)間成本和專業(yè)門檻，如何去平衡仍有待信息處理者進(jìn)一步摸索。

不過，在探索階段，針對(duì)隱私政策宣示性效果大于實(shí)質(zhì)性作用的問題，已有部分信息處理者進(jìn)行內(nèi)容完善和形式創(chuàng)新。

其中包括，對(duì)“隱私功能設(shè)置”附有操作流程或跳轉(zhuǎn)鏈接；增加目錄但簡(jiǎn)化文本內(nèi)容，并在重點(diǎn)部分予以加粗；提供可視化瀏覽方式；明示第三方信息共享名單等。

比如，在蘋果10月27日對(duì)其中國(guó)用戶更新的隱私政策中，采用“在Apple，個(gè)人數(shù)據(jù)是指什么”“你在Apple的隱私權(quán)”“Apple從你那里收集的個(gè)人數(shù)據(jù)”“Apple從其他來源收到的個(gè)人數(shù)據(jù)”等12條主目錄的形式，以減少因內(nèi)容太多而“迷人眼”的難題。同時(shí)，每一條主目錄后均設(shè)有“＋”鍵，欲知詳細(xì)內(nèi)容的用戶可繼續(xù)瀏覽。

在支付寶“我的”中的“用戶保護(hù)中心”，則對(duì)支付寶隱私權(quán)政策和螞蟻集團(tuán)隱私權(quán)政策進(jìn)行了分別說明。在“支付寶隱私權(quán)政策”中，設(shè)有“簡(jiǎn)要版+完整版”兩個(gè)版本，而在簡(jiǎn)要版中，采取“視頻+文字+圖表”的告知方式。

其中，“螞蟻集團(tuán)隱私權(quán)政策”是10月31日發(fā)布、11月7日生效的最新版本。根據(jù)該版本，為了方便用戶對(duì)不希望接受“根據(jù)用戶信息形成群體特征標(biāo)簽，用于向用戶提供其可能感興趣的營(yíng)銷活動(dòng)通知、商業(yè)性電子信息或廣告”的關(guān)閉式操作，直接附有跳轉(zhuǎn)鏈接，也即可在閱讀時(shí)，同步進(jìn)行操作處理。

此外，根據(jù)個(gè)保法，向第三方提供個(gè)人信息時(shí)，應(yīng)取得信息主體的單獨(dú)同意。針對(duì)這一規(guī)定，截至目前，支付寶、微信、QQ等已在其隱私政策中進(jìn)行了單列、加粗說明，并附上了第三方信息共享清單。

值得注意的是，為進(jìn)一步落實(shí)第三方處理個(gè)人信息時(shí)信息處理者的監(jiān)督義務(wù)，11月1日，工信部發(fā)布《關(guān)于開展信息通信服務(wù)感知提升行動(dòng)的通知》，要求相關(guān)互聯(lián)網(wǎng)企業(yè)建立個(gè)人信息保護(hù)“雙清單”——“已收集個(gè)人信息清單”和“與第三方共享個(gè)人信息清單”，并在APP中展示以便用戶查詢。首批設(shè)立“雙清單”的企業(yè)，包括騰訊、阿里巴巴、美團(tuán)、快手、拼多多等39家。

在吳沈括看來，若想讓隱私政策對(duì)用戶個(gè)人信息保護(hù)的作用真正落到實(shí)處，仍面臨兩個(gè)亟待解決的問題。

“一是用戶本身的數(shù)字素養(yǎng)和數(shù)字保護(hù)意識(shí)提升是一個(gè)循序漸進(jìn)的過程；二是信息處理者在文本設(shè)計(jì)上，仍存在為了規(guī)避合規(guī)風(fēng)險(xiǎn)進(jìn)行虛假性陳述的現(xiàn)象，換言之，考慮到用戶或不會(huì)完整地瀏覽隱私政策的具體內(nèi)容，相關(guān)聲明主要起到自我承諾的作用，在此背景下，需要加強(qiáng)對(duì)于虛假說明的事后追責(zé)。”吳沈括說。

彈窗困境

但隱私政策并不是實(shí)現(xiàn)“告知”的唯一路徑。

中國(guó)信息通信研究院互聯(lián)網(wǎng)法律研究中心高級(jí)研究員、個(gè)人信息保護(hù)立法研究團(tuán)隊(duì)負(fù)責(zé)人楊婕對(duì)第一財(cái)經(jīng)表示，匹配到具體場(chǎng)景時(shí)，通過及時(shí)提示或者“彈窗”式增強(qiáng)告知的方式，將該場(chǎng)景下的個(gè)人信息處理活動(dòng)的核心要點(diǎn)進(jìn)行濃縮，再告知個(gè)人，并附上完整版的隱私政策查詢鏈接，也是信息處理者實(shí)現(xiàn)或增強(qiáng)“告知”的可行路徑。

北京清律律師事務(wù)所首席合伙人、清華大學(xué)法學(xué)院互聯(lián)網(wǎng)法律與政策研究中心秘書長(zhǎng)熊定中也認(rèn)為，“彈窗”是明示告知、增強(qiáng)個(gè)人信息保護(hù)的重要載體。

他告訴第一財(cái)經(jīng)，對(duì)于信息處理者，當(dāng)前，大致有三種途徑，對(duì)用戶明示告知雙方在權(quán)限或隱私方面的約定。第一，寫在隱私政策里，但監(jiān)管部門反對(duì)通過一個(gè)隱私政策“一攬子”告知；第二，發(fā)站內(nèi)信，但前提是信息處理者事先收集到用戶的信息，操作上或存在合規(guī)風(fēng)險(xiǎn)；第三，設(shè)置“彈窗”，即通過強(qiáng)迫用戶通過做出如點(diǎn)擊、關(guān)閉等一系列動(dòng)作，再將告知內(nèi)容關(guān)閉的方式，實(shí)現(xiàn)明確有效的告知。

“針對(duì)個(gè)保法中需要單獨(dú)同意的場(chǎng)景，‘彈窗’已成為相關(guān)信息處理者的最佳方案。”熊定中稱。

根據(jù)個(gè)保法第二十八條、第二十九條規(guī)定，處理敏感個(gè)人信息應(yīng)當(dāng)取得個(gè)人的單獨(dú)同意。

敏感個(gè)人信息是指，一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害的個(gè)人信息，包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個(gè)人信息。

伴隨個(gè)保法的頒布和落地，形式簡(jiǎn)潔且直接易察的“彈窗”已成為信息處理者實(shí)現(xiàn)增強(qiáng)式告知的共同選擇。但對(duì)于用戶而言，越來越多的“彈窗”，在保障了選擇權(quán)的同時(shí)，卻影響了體驗(yàn)感。

在考慮到不同場(chǎng)景“彈窗”合理性、必要性的前提下，中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院網(wǎng)安中心測(cè)評(píng)實(shí)驗(yàn)室副主任何延哲對(duì)“彈窗”做出分類統(tǒng)計(jì)。

何延哲認(rèn)為，與合規(guī)有關(guān)的“彈窗”可大致分為兩類：第一類是與個(gè)人信息保護(hù)有直接關(guān)聯(lián)的彈窗，包括首次開啟或注冊(cè)賬號(hào)時(shí)的隱私政策，隱私政策更新時(shí)，權(quán)限申請(qǐng)前告知目的彈窗，刷臉、指紋等功能開通，嵌入的第三方SDK等超過15個(gè)場(chǎng)景；第二類是其他可能彈窗的場(chǎng)景，包括訪問網(wǎng)站類型、廣告或活動(dòng)彈窗、青少年模式、個(gè)人操作業(yè)務(wù)時(shí)的提醒等數(shù)個(gè)場(chǎng)景。

而除了以上“彈窗”外，還存在拒絕后APP再次詢問的場(chǎng)景（如權(quán)限）。

何延哲舉例稱，以用戶平均安裝了30個(gè)APP為例，假如都做了更新且都會(huì)在1個(gè)月內(nèi)使用，按照第一類“彈窗”出現(xiàn)60次，第二類“彈窗”出現(xiàn)20次，當(dāng)月30天來計(jì)算，則一個(gè)月“彈窗”出現(xiàn)2400次。

也就是說，用戶在將來的1個(gè)月內(nèi)，保守估計(jì)有上千個(gè)“彈窗”要點(diǎn)擊。

何延哲告訴第一財(cái)經(jīng)，“彈窗”不斷出現(xiàn)的背后，是信息處理者與用戶不斷博弈的結(jié)果，而之所以需要博弈，是為了找到更好的平衡點(diǎn)。在此過程中，信息處理者或可通過減少低價(jià)值的“彈窗”、進(jìn)一步給用戶“隱私偏好”的選擇權(quán)和對(duì)“彈窗”適度合并等方式，進(jìn)行優(yōu)化。

為避免用戶在開啟APP時(shí)，同一時(shí)間彈出太多“彈窗”，并滿足個(gè)人信息收集的必要性原則，楊婕建議，權(quán)限申請(qǐng)應(yīng)在APP某項(xiàng)業(yè)務(wù)功能必須啟動(dòng)該權(quán)限時(shí)，再進(jìn)行動(dòng)態(tài)申請(qǐng)；對(duì)于用戶不同意開啟的權(quán)限，不得頻繁彈出“彈窗”要求用戶同意。

但正是由于用戶體驗(yàn)感會(huì)受到“彈窗”增多的影響，在熊定中看來，面對(duì)越來越多的“彈窗”，感到“鬧心”的反而該是相關(guān)的信息處理者。

“事實(shí)上，彈窗多不是企業(yè)追求的，彈窗少才是。由于更多的彈窗往往伴隨著更高的用戶流失率，所以，以合規(guī)為目的的‘彈窗’大多是企業(yè)為了履行法定的義務(wù)而不得已為之的做法。”熊定中稱。

熊定中表示，在用戶看來越來越多的“彈窗”，已經(jīng)是信息處理者優(yōu)化后最為精簡(jiǎn)的內(nèi)容。