網(wǎng)上投稿
2022年5月19日，江蘇省消保委發(fā)布了《新能源汽車行業(yè)不公平格式條款調(diào)查報(bào)告》（下稱“《調(diào)查報(bào)告》”），該報(bào)告選取了市場(chǎng)上具有一定知名度和影響力的14家新能源汽車企業(yè)的隱私政策、用戶協(xié)議等文本，從消費(fèi)者權(quán)益保護(hù)角度一共梳理了十個(gè)方面的“不公平格式條款”問(wèn)題，將汽車企業(yè)的目光聚焦到格式條款的合規(guī)問(wèn)題上。本文擬就《調(diào)查報(bào)告》中公布的幾個(gè)問(wèn)題進(jìn)行簡(jiǎn)要分析，結(jié)合我們?cè)谠擃I(lǐng)域的過(guò)往經(jīng)驗(yàn)，從消費(fèi)者權(quán)益保護(hù)視角審視數(shù)據(jù)合規(guī)問(wèn)題，并為車聯(lián)網(wǎng)企業(yè)提供整改的思路和建議，供各同行討論及參考。
民法典規(guī)定，“采用格式條款訂立合同的，提供格式條款的一方應(yīng)當(dāng)遵循公平原則確定當(dāng)事人之間的權(quán)利和義務(wù)。”該條款確定了格式條款應(yīng)當(dāng)遵循公平原則的基本理念。市面上較多汽車企業(yè)在用戶協(xié)議、隱私政策這類文件中為了業(yè)務(wù)的便利而設(shè)置了相對(duì)嚴(yán)格的格式條款，也帶來(lái)了企業(yè)數(shù)據(jù)合規(guī)的問(wèn)題。
一、格式條款文本篇幅長(zhǎng)的問(wèn)題
江蘇省消保委指出部分車企的用戶協(xié)議及隱私政策的文本字?jǐn)?shù)較多、篇幅較長(zhǎng)、協(xié)議種類較多，不利于實(shí)現(xiàn)消費(fèi)實(shí)質(zhì)公平。而隱私政策的文本是為了向用戶充分告知企業(yè)如何處理和管理用戶的個(gè)人信息，部分企業(yè)因業(yè)務(wù)龐雜，其業(yè)務(wù)場(chǎng)景、個(gè)人信息處理情況的內(nèi)容也相對(duì)較多，企業(yè)在力求精簡(jiǎn)文本的同時(shí)也不可避免出現(xiàn)文本字?jǐn)?shù)較多的情況。
為更清晰地向用戶展示個(gè)人信息的處理情況，部分企業(yè)開(kāi)始在向用戶提供隱私政策的同時(shí)在其APP上顯示簡(jiǎn)化版的隱私政策。我們建議，企業(yè)也可以參考工信部《關(guān)于開(kāi)展信息通信服務(wù)感知提升行動(dòng)的通知》（即“524行動(dòng)”）中提出的“雙清單”要求，一是“已收集個(gè)人信息清單”和“第三方共享信息清單”確實(shí)可以較為清晰地向用戶展示企業(yè)的數(shù)據(jù)處理情況，二是，“雙清單”目前雖然是僅針對(duì)部分互聯(lián)網(wǎng)大廠提出的要求，但可能會(huì)成為大型數(shù)據(jù)處理者的合規(guī)趨勢(shì)，企業(yè)可以提前進(jìn)行規(guī)劃布局。
二、消費(fèi)者權(quán)益保護(hù)問(wèn)題
（一）協(xié)議主體不明確
《調(diào)查報(bào)告》首先指出的問(wèn)題是協(xié)議主體不明確的問(wèn)題。除民法典的規(guī)定外，在《個(gè)人信息保護(hù)法》中也規(guī)定了，個(gè)人信息處理者在處理個(gè)人信息前，應(yīng)當(dāng)向個(gè)人告知個(gè)人信息處理者的名稱或者名字和聯(lián)系方式等內(nèi)容。對(duì)于在用戶協(xié)議或隱私政策中尚未向用戶完整披露名稱和聯(lián)系方式的企業(yè)需要及時(shí)完成文本修訂，補(bǔ)充缺失信息。
而《調(diào)查報(bào)告》也提出很多企業(yè)采用了“參與服務(wù)的關(guān)聯(lián)企業(yè)或第三方”的表述，使用戶無(wú)法準(zhǔn)確知曉協(xié)議的具體交易對(duì)象。對(duì)于很多企業(yè)而言，實(shí)踐中確實(shí)存在多個(gè)主體為用戶提供服務(wù)、多個(gè)主體處理個(gè)人信息的情形，我們建議，企業(yè)首先應(yīng)厘清業(yè)務(wù)中多個(gè)主體之間的合作方式，與關(guān)聯(lián)企業(yè)之間是共同處理者的關(guān)系還是數(shù)據(jù)共享（對(duì)外提供）的關(guān)系，與第三方之間是數(shù)據(jù)共享（對(duì)外提供）的關(guān)系還是委托處理的關(guān)系。在厘清法律關(guān)系的性質(zhì)后，對(duì)應(yīng)不同行為的合規(guī)要求，履行相應(yīng)的合規(guī)義務(wù)，包括充分向用戶告知每個(gè)交易對(duì)象的主體名稱等。
（二）侵害消費(fèi)者自主選擇權(quán)和公平交易權(quán)
江蘇省消保委在《調(diào)查報(bào)告》中指出，車企單方無(wú)限制修改協(xié)議的條款侵害了消費(fèi)者的自主選擇權(quán)和公平交易權(quán)，企業(yè)在用戶協(xié)議中設(shè)置了企業(yè)可單方面修改、更新協(xié)議的權(quán)利，同時(shí)免除單獨(dú)通知消費(fèi)者的義務(wù)，而為用戶設(shè)置了自行關(guān)注協(xié)議更新的義務(wù)，且采用了默示同意的方式獲取用戶的同意。在該條款的設(shè)置上，用戶被設(shè)置不公平條款而處于弱勢(shì)地位。
其實(shí)部分企業(yè)在設(shè)置此類條款時(shí)更多是為了方便開(kāi)展業(yè)務(wù)的考量，然而企業(yè)也應(yīng)當(dāng)重視協(xié)議修改更新后可能對(duì)用戶權(quán)益產(chǎn)生的影響。因此，我們建議，企業(yè)可以在用戶協(xié)議更新后通過(guò)“彈窗”等方式通知用戶并提示用戶注意變更的內(nèi)容，且更新后的協(xié)議應(yīng)當(dāng)重新獲取用戶的同意。當(dāng)涉及到重大權(quán)益變更的時(shí)候，如產(chǎn)品價(jià)格的調(diào)整等，企業(yè)可以提前向用戶發(fā)布公告，由用戶自行選擇是否接受變更后的條件。同時(shí)，企業(yè)也可以增加用戶意見(jiàn)反饋渠道，接受用戶的投訴建議并及時(shí)給予反饋，這也是促進(jìn)業(yè)務(wù)良性發(fā)展的途徑之一。
（三）網(wǎng)絡(luò)安全漏洞過(guò)度免責(zé)
江蘇消保委還指出車企在提供網(wǎng)絡(luò)服務(wù)過(guò)程中，設(shè)置了較為寬泛的網(wǎng)絡(luò)安全漏洞的免責(zé)條款。因《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》中對(duì)企業(yè)提出了在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，履行數(shù)據(jù)安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問(wèn)，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。那么企業(yè)在用戶協(xié)議中為自己設(shè)置較為寬泛的網(wǎng)絡(luò)安全漏洞的免責(zé)條款，實(shí)則免除了企業(yè)根據(jù)法律規(guī)定應(yīng)當(dāng)履行的網(wǎng)絡(luò)數(shù)據(jù)安全保障義務(wù)。當(dāng)然，由于技術(shù)發(fā)展的限制問(wèn)題，企業(yè)確實(shí)無(wú)法防范所有的計(jì)算機(jī)病毒或網(wǎng)絡(luò)攻擊，因此，我們建議，企業(yè)更應(yīng)加強(qiáng)風(fēng)險(xiǎn)監(jiān)測(cè)，發(fā)現(xiàn)數(shù)據(jù)安全缺陷、漏洞等風(fēng)險(xiǎn)時(shí)，立即采取補(bǔ)救措施。而車企和車聯(lián)網(wǎng)服務(wù)平臺(tái)運(yùn)營(yíng)企業(yè)可能會(huì)構(gòu)成關(guān)鍵信息基礎(chǔ)設(shè)施的經(jīng)營(yíng)者，那么相應(yīng)地，經(jīng)營(yíng)關(guān)鍵信息基礎(chǔ)設(shè)施的企業(yè)應(yīng)當(dāng)設(shè)置網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警制度以及網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，通過(guò)技術(shù)配套制度履行網(wǎng)絡(luò)數(shù)據(jù)安全保障義務(wù)。
三、消費(fèi)者個(gè)人信息保護(hù)合規(guī)問(wèn)題
江蘇消保委在《調(diào)查報(bào)告》中也反饋了消費(fèi)者個(gè)人信息保護(hù)中存在的問(wèn)題，問(wèn)題聚焦在個(gè)人信息的收集、使用、提供（共享）、跨境提供以及用戶權(quán)利的響應(yīng)等方面。結(jié)合我們?yōu)檐嚻筇峁?shù)據(jù)合規(guī)服務(wù)的實(shí)踐經(jīng)驗(yàn)，這類問(wèn)題確實(shí)是現(xiàn)階段企業(yè)在個(gè)人信息保護(hù)合規(guī)中存在的重點(diǎn)和難點(diǎn)問(wèn)題。
（一）個(gè)人信息的收集
《調(diào)查報(bào)告》提到智能網(wǎng)聯(lián)汽車的個(gè)人信息默認(rèn)不收集原則，《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》中提出的默認(rèn)不收集原則是指除非駕駛?cè)俗灾髟O(shè)定，每次駕駛時(shí)默認(rèn)設(shè)定為不收集狀態(tài)。而車企不收集特定的汽車數(shù)據(jù)則無(wú)法實(shí)現(xiàn)諸如自動(dòng)駕駛、輔助駕駛等功能，這就要求企業(yè)進(jìn)一步完善駕駛?cè)说氖跈?quán)機(jī)制，在具體的場(chǎng)景中合理適當(dāng)?shù)卦O(shè)置駕駛?cè)俗灾髟O(shè)定流程以完成授權(quán)。
收集個(gè)人信息必要性原則要求企業(yè)進(jìn)一步審視收集的每一項(xiàng)個(gè)人信息種類是否都滿足最小必要的原則，是否與收集目的直接相關(guān)，是否對(duì)個(gè)人權(quán)益影響最小。尤其在收集用戶的敏感個(gè)人信息時(shí)，還需要向用戶告知處理該敏感個(gè)人信息的必要性以及對(duì)個(gè)人權(quán)益的影響。
（二）個(gè)人信息的使用
數(shù)據(jù)的價(jià)值也體現(xiàn)在對(duì)數(shù)據(jù)的二次開(kāi)發(fā)利用上，企業(yè)收集個(gè)人信息后除用于業(yè)務(wù)開(kāi)展中，也希望通過(guò)對(duì)數(shù)據(jù)進(jìn)行分析加工，更多地發(fā)揮數(shù)據(jù)的價(jià)值，再通過(guò)改進(jìn)服務(wù)從而改善用戶體驗(yàn)，促進(jìn)業(yè)務(wù)的良性發(fā)展。此外，企業(yè)也可以通過(guò)對(duì)用戶進(jìn)行定向營(yíng)銷開(kāi)展推廣活動(dòng)。這里面存在的合規(guī)風(fēng)險(xiǎn)是，在進(jìn)行個(gè)人信息的分析時(shí)企業(yè)有沒(méi)有做到個(gè)人信息的匿名化處理，對(duì)于無(wú)法滿足匿名化要求的企業(yè)來(lái)說(shuō)，分析加工個(gè)人信息的行為應(yīng)當(dāng)事先向用戶披露并取得用戶的同意。而企業(yè)通過(guò)對(duì)個(gè)人信息的分析形成用戶畫(huà)像，并進(jìn)行用戶個(gè)性化推薦、定向營(yíng)銷和推廣時(shí)涉及到自動(dòng)化決策的問(wèn)題，企業(yè)不得設(shè)置不合理的差別待遇，如“大數(shù)據(jù)殺熟”，或者為用戶提供拒絕個(gè)性化推薦、拒絕定向營(yíng)銷推廣的途徑，且該途徑應(yīng)是便捷、可實(shí)現(xiàn)的。
（三）單獨(dú)同意的特殊場(chǎng)景
《個(gè)人信息保護(hù)法》對(duì)個(gè)人信息提供（共享）、公開(kāi)、處理敏感個(gè)人信息、個(gè)人信息出境等場(chǎng)景規(guī)定了單獨(dú)同意的要求。對(duì)于此類場(chǎng)景，企業(yè)如在隱私政策中通過(guò)一攬子的方式獲取同意顯然是不符合合規(guī)要求的。因此，我們建議，企業(yè)應(yīng)當(dāng)對(duì)單獨(dú)同意的場(chǎng)景進(jìn)行梳理，針對(duì)具體的場(chǎng)景來(lái)設(shè)計(jì)滿足合規(guī)要求的處理方式。
（四）刪除權(quán)的響應(yīng)
在個(gè)人權(quán)利的響應(yīng)方面，江蘇省消保委著重關(guān)注了刪除個(gè)人信息的響應(yīng)問(wèn)題。在《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》中規(guī)定了個(gè)人要求刪除敏感個(gè)人信息的，汽車數(shù)據(jù)處理者應(yīng)當(dāng)在十個(gè)工作日內(nèi)刪除。車企應(yīng)當(dāng)注意到該規(guī)定中提出的特殊要求，以避免出現(xiàn)合規(guī)風(fēng)險(xiǎn)。
然而企業(yè)在響應(yīng)用戶的刪除權(quán)時(shí)也面臨著平衡企業(yè)權(quán)益的實(shí)際問(wèn)題，如用戶“薅羊毛”行為，利用刪除權(quán)不斷地參與新用戶活動(dòng)，或者用戶在與企業(yè)之間面臨仲裁訴訟的風(fēng)險(xiǎn)時(shí)向企業(yè)提出刪除權(quán)要求等。因此，我們建議，企業(yè)應(yīng)在響應(yīng)用戶刪除權(quán)的同時(shí)也需要在維護(hù)企業(yè)利益中尋找一個(gè)平衡點(diǎn)。目前的法律規(guī)定中暫未對(duì)此進(jìn)行規(guī)定，《個(gè)人信息保護(hù)法》第四十七條第二款規(guī)定目前也無(wú)法適用于前述場(chǎng)景。我們認(rèn)為，企業(yè)可以在用戶提出刪除權(quán)的響應(yīng)過(guò)程中，與用戶進(jìn)行公平合理的約定，達(dá)成用戶與企業(yè)之間關(guān)于實(shí)現(xiàn)刪除權(quán)的協(xié)議，在響應(yīng)用戶刪除權(quán)的同時(shí)平衡企業(yè)的合理利益。
四、總結(jié)
我們理解江蘇省消保委出具的《調(diào)查報(bào)告》是針對(duì)車企協(xié)議中格式條款的合規(guī)情況做的一個(gè)摸底調(diào)查，部分問(wèn)題也存在一定的爭(zhēng)議，如在約定查詢回復(fù)的響應(yīng)過(guò)長(zhǎng)的問(wèn)題上，消保委引用的《信息安全技術(shù)網(wǎng)聯(lián)汽車采集數(shù)據(jù)的安全要求（草案）》能否直接適用該場(chǎng)景存在一定的探討空間。我們期待，江蘇省消保委在下一步與被調(diào)查車企開(kāi)展約談，督促被調(diào)查車企進(jìn)行整改的過(guò)程中，能給市面上企業(yè)的格式條款的合規(guī)整改提供切實(shí)可行的整改方向。
滬公網(wǎng)安備 31010402007129號(hào)
