【引言】
近年來，App強制授權(quán)、過度索權(quán)、超范圍收集個人信息的現(xiàn)象越演愈烈。2019年以來，國家多部委重拳出擊，著重整治App違規(guī)違法收集個人信息亂象。截至目前，已有幾十款App遭到強制下架、上百款App被點名整改，App收集個人信息領(lǐng)域迎來了強監(jiān)管元年。面對來勢洶洶的強監(jiān)管高壓，App運營商該如何做好信息收集工作？哪些個人信息可以收集？哪些不行？其中有哪些風險點值得關(guān)注？接下來一段時間，本團隊將陸續(xù)推出App合規(guī)的系列文章，為App運營商合規(guī)收集個人信息提供方法和思路。
本篇是系列文章的第七篇：App運營商共享個人信息的注意事項。
01 合規(guī)操作指引
App運營商不僅在收集、使用用戶信息時需要注意合規(guī)操作，其在共享用戶信息上也應該遵守相關(guān)的合規(guī)要求。首先，App運營商在共享個人信息時，應事先征得主體授權(quán)同意，如果個人信息屬于敏感信息的，還應該事先征得主體的明示同意；其次，共享時應準確記錄和保存?zhèn)€人信息的共享、轉(zhuǎn)讓情況等；最后，App運營商應事先開展安全影響評估，并依評估結(jié)果采取有效措施。
值得一提的是，如果App運營商是共享給境外的合作伙伴，還應當根據(jù)App運營商所處的行業(yè)來判斷進行跨境共享可能面臨的限制。如果App運營商是屬于公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業(yè)和領(lǐng)域的運營商，則App運營商的數(shù)據(jù)共享出境將會嚴格受到監(jiān)管；如果不是上述關(guān)鍵信息基礎設施的運營商，仍會受到監(jiān)管部門的審核監(jiān)管。但由于現(xiàn)階段監(jiān)管部門尚未完全明確，App運營商共享出境或多或少都會受到影響。
02 司法實踐難題
正如前文所述，App運營商在共享個人信息時，應事先征得主體授權(quán)同意，但司法實踐中發(fā)現(xiàn)，所謂的“授權(quán)主體”不一定指用戶，而可能是指互聯(lián)網(wǎng)平臺。2016年，微夢公司（新浪微博的運營商）以“第三方數(shù)據(jù)侵權(quán)”為由起訴淘友技術(shù)公司、淘友科技公司（脈脈軟件和脈脈網(wǎng)站的共同運營商），法院判決認為“微博用戶是微博的重要商業(yè)資源，這些用戶信息是微博開展經(jīng)營活動的基礎，也是保持競爭優(yōu)勢的必要條件，脈脈的行為侵犯了微博的合法權(quán)利”；2019年，騰訊計算機公司、騰訊數(shù)碼公司和騰訊科技公司（微信、QQ的共同運營商）以“第三方數(shù)據(jù)侵權(quán)”為由起訴北京微播視界公司（抖音運營商）、北京拍拍看看公司（多閃運營商），法院判決認為“經(jīng)平臺授權(quán)的數(shù)據(jù)要遵循‘最小必要原則’，平臺授權(quán)的數(shù)據(jù)僅能用于登陸目的”，裁定“抖音和多閃的行為已經(jīng)侵犯了騰訊的合法權(quán)利，支持騰訊提出行為保全的訴請”。換言之，法院認為互聯(lián)網(wǎng)平臺本身的長期積累使其自動獲得對用戶信息的占有權(quán)，其有權(quán)授權(quán)或者不予授權(quán)第三方App運營商使用用戶信息。
法院的判決將導致實踐中難以解決的難題：即假如個人信息的主體權(quán)利有可能是互聯(lián)網(wǎng)平臺，那么當用戶不想將個人信息給與第三方應用程序，或者想把個人信息給與第三方應用程序時會發(fā)現(xiàn)自身喪失了該權(quán)利，將導致與生俱來的權(quán)利無法自決使用的問題。
03 第三方App運營商如何做好共享合規(guī)
撇開前述司法難題，根據(jù) “脈搏之爭”和“頭騰大戰(zhàn)”的案例，我們發(fā)現(xiàn)如果互聯(lián)網(wǎng)平臺長期壟斷用戶個人信息，第三方App將很難取得互聯(lián)網(wǎng)平臺的個人信息，無法進行用戶信息的共享。遇到這種情況，該怎么處理呢？筆者認為，可從以下幾個方面進行操作：
第一，由于“三重授權(quán)”原則已經(jīng)獲得實務上的認可，因此對于平臺授權(quán)第三方App運營商的數(shù)據(jù)，該類數(shù)據(jù)僅可作為登陸目的使用，不能用于其他目的。第三方App運營商應運用技術(shù)手段，嚴格區(qū)分平臺授權(quán)下獲取的數(shù)據(jù)和自身獲取的用戶數(shù)據(jù)，建立隔離機制和定期審查機制，共享自身所獲取的數(shù)據(jù)。
第二，如果第三方App運營商同時也是開放平臺，那么第三方App運營商在草擬《開發(fā)者協(xié)議》中要做好自身數(shù)據(jù)的保護措施，可規(guī)定數(shù)據(jù)收集方在收集用戶任何數(shù)據(jù)時，必須事先獲得用戶的明確同意，從而獲得自主共享的權(quán)利。
