中国未成年人网络个人信息保护的立法进路①——对“监护人或家长同意”机制的反思

王 苑

(华东政法大学法律学院,上海201100)

第43次《中国互联网发展状况统计报告》显示,截至2018年12月,我国网民规模达8.29亿,10岁以下者占4.1%,10～19岁者占17.5%。未成年人使用网络呈现一些较为明显的特征:低龄化触网,上网频率增加;未成年人个人信息泄露,网络诈骗案件频发;家长过度分享未成年人照片等,引发了社会对未成年人网络隐私和安全问题的担忧。

自1994年以来,我国立法部门制定了与未成年人网络保护有关的全国性法律、法规、部门规章与司法解释已达53部之多,但目前尚无专门保护未成年人上网权益的法律[1]306。2017年初,国家互联网信息办公室出台《未成年人网络保护条例(送审稿)》(以下简称“条例送审稿”),其中第16条明确提出收集使用未成年人个人信息的应经未成年人或其监护人同意。2017年12月,全国信息安全标准化技术委员会发布《信息安全技术个人信息安全规范》(以下简称“安全规范”)规定收集年满14岁的未成年人的个人信息前,应征得未成年人或其监护人的明示同意;不满14周岁的,应征得其监护人的明示同意。2019年8月22日,国家互联网信息办公室公布《儿童个人信息网络保护规定》(以下简称“保护规定”),其中第9条要求网络运营者收集、使用儿童个人信息的,应当以显著、清晰的方式告知儿童监护人,并应征得儿童监护人的同意。保护规定中所称的“儿童”,指不满14周岁的未成年人。由上述规则可见,我国对未成年人网络个人信息保护规则的研究和实践尚未跳脱欧美(1)美国法语境中的隐私权不同于我国《侵权责任法》中的隐私权的狭义概念,本文中主要讨论的美国《儿童网络隐私保护法》(COPPA)中的网络隐私概念是建立在威斯丁(Westin)的信息隐私(information privacy)概念之上的,保护的是儿童消费者的预期,更接近欧盟法中的个人数据的概念,我国法律中相应的概念为“个人信息”。因此,为避免概念的不统一,本文在美国法语境下将采用“未成年人网络隐私”概念,欧盟和我国语境下采用“未成年人个人信息”概念。的窠臼。

照搬欧美立法的问题在于:“一刀切”的监护人(家长)同意机制(2)波兰COPPA中用的术语是家长同意,欧盟GDPR中采用监护人同意术语,我国采用监护人同意术语。可否起到保护作用?本文将从三个部分对此展开和论述,第一部分讨论现阶段我国未成年人网络个人信息特别保护的必要性;第二部分论述欧美尤其是美国实践了多年的家长可验证同意模式存在的争议;第三部分引入场景隐私理论并通过设计保护隐私理论探索未成年人网络个人信息保护的新路径,以期对我国该项立法有所借鉴。

一、监护人或家长同意机制的理论根源

联合国《儿童权利公约》第3条“儿童利益最大化”已经成为世界各国制定儿童相关法律法规中的共识,但是对未成年人是赋权还是保护(empowerment versus protection),国际社会一直争议不断,尤其是对于未成年人是否应当根据年龄及成熟程度来赋权,各国根据自身不同的政治和社会环境有不同的取舍[2]。甚至有学者认为赋权和保护之间天然存在一定的冲突,为了未成年人的利益,代表未成年人做出决定可能会限制未成年人的权利的行使[3]。目前立法中采取的监护人同意机制,是建立在对未成年人保护而非赋权的理念基础上的。

(一)未成年人在网络中的特殊性决定其需要立法特殊保护

联合国《儿童权利公约》第16条规定“儿童的隐私、家庭、住宅或通信不受任意或非法干涉,其荣誉和名誉不受非法攻击”,明确了未成年人隐私权的特殊保护。相较于成年人而言,未成年人身心发展不健全,辨别是非能力不强,易于遭受到相应的损害。

根据调查显示,虽然儿童有一些措施来应对网络隐私问题,但主要还是依赖父母的支持[4]。儿童尤其易受网络环境的影响,比如网络精准营销,在网络游戏中,通过对未成年用户画像(profiling),精准定位更有可能为游戏花钱的玩家,并向其提供更多个性化广告。孩子的年龄和成熟度可能会影响他们对于销售背后所含动机的理解能力。同时,随着制造业分工的精细化,针对儿童的细分市场逐渐形成,尤其是人工智能产品对未成年人个人信息收集处理的影响不可估量。

因此,立法者认为对于未成年人的个人数据,应当进行特殊保护,因为他们对于风险、后果和关于个人数据处理行为中的安全保障措施以及自身权利可能更缺乏相关理解。当处理未成年人个人信息的目的涉及到销售、创设人格或用户画像,以及通过使用直接提供给未成年人的服务来收集其个人信息时,这些特殊保护尤其应当被适用[5]。

(二)现行未成年人网络个人信息保护的立法现状

2017年初,联合国儿童基金会发布年度报告《2017年世界儿童状况:数字时代的儿童》,号召各国政府、数字技术行业、教育者和儿童自身对儿童个人信息和隐私保护等问题给予更多关注。

美国是儿童网络保护立法方面的先驱,有一系列法律法规来保护未成年人的网络个人信息。联邦层面,包括1974年的《家庭教育权与隐私权法》(Family Educational Rights and Privacy Act,FERPA)、1998年的《儿童网络隐私保护法》(Children’s Online Privacy Protection Act,COPPA)及联邦贸易委员会(Federal Trade Commission,FTC)出台的配套规则,其基本规则是获得儿童父母可验证的同意(a verifiable parental consent)方可收集、处理未成年人个人信息。同时,美国国会通过《学生隐私保护法》(The Student Privacy Protection Act,SPPA)来保护针对学校的市场调研行为,该法要求公司必须获得父母的书面同意,否则不得以市场营销目的收集任何18岁以下的学生的个人信息。2001年,信息通信委员会(Federal Communications Commission,FCC)制定《儿童网络保护法》(Children’s Internet Protection Act,CIPA)。2015年,国会又通过《学生数字隐私和家长权利法案》(Student Digital Privacy and Parental Rights Act,SDPPRA),规定只能在基于合法目的或者学生或家长明示的确认的请求下,网络运营者才可以披露学生信息。州法层面,受到关注最多的是加州568号法案,又被称为“橡皮擦法案”,承继了COPPA中家长可验证同意的要求。

欧洲方面,1995年《个人数据保护指令》中并无对未成年人个人信息的特殊保护条款;2011年经济合作与发展组织(Organization for Economic Co-operation and Development,OECD)针对未成年人网络保护提出建议,囊括了未成年人网络隐私风险;2018年5月25日生效的欧盟《统一数据保护条例》(也有学者译为《一般数据保护条例》,General Data Protection Regulation,GDPR),对未成年人个人信息的处理提出原则性的规定,即获得未成年人监护人的同意前置。GDPR照抄了COPPA基于年龄获得家长同意的规范,而未考虑学界对COPPA中家长同意机制无效的批评,也未考虑年龄验证机制的可行性以及选择更加细致的未成年人隐私保护模式,发布伊始即受到质疑。

我国未成年人网络个人信息保护相较欧美起步较晚,《未成年人保护法》中并未提及对未成年人网络个人信息的保护。直到条例送审稿和保护规定才有了相应的保护条款,但该条款也并未超出欧美“家长或监护人同意”机制的框架。

(三)监护人或家长同意机制的理论根源

监护人或家长同意的理论根源主要有两个,一是隐私控制理论;二为亲权及监护权理论。隐私的定义极其复杂,相关著作汗牛充栋,其中较有影响力的观点是个人控制论,源于隐私权概念的提出者之一布莱代斯大法官,其认为隐私是“不受干扰的权利”[6]。威斯丁(Westin)认为隐私是“个人、组织或者机构与他人交往时,决定他们自己何时、如何及多大程度披露自己信息的权利”[7]7,该观点是对传统隐私概念的一项突破,将隐私拓展到信息隐私(information privacy)的维度。弗兰德(Fried)认为隐私权最基本的是“个人控制与自己有关的信息的权利”[8]。美国联邦最高法院也认为隐私包含了个人“控制关于他自身的信息的权利”。因此,无论在理论界还是实务界,将隐私权视为控制访问或公开的权利都得到很多拥护。在绝对的控制理论下,隐私是静态的,是与信息自决权息息相关的一项权利,而信息自决的实现往往会寻求同意机制的保护。

根据隐私控制理论,隐私是一种自主决定的利益,这种利益成年人拥有,未成年人也应当享有。亲权及监护权是源于对未成年人的照顾和保护,由于儿童的脆弱性,美国联邦最高法院认为儿童的权利应当受到一定的限制,不能与成人拥有完全相同的权利,儿童无法理性且成熟地做出自己的决定,需要限制其自主性来保护他们。因此,监护人或家长作为未成年人的代理人行使控制权。这也是目前立法中未成年人个人信息收集、处理前需要获得监护人或家长同意的理论根源。

二、监护人或家长同意机制的困境及原因

(一)同意困境

同意机制作为收集处理个人信息的必要合法性基础,长期受到学界的严厉批判。通知同意规则看似给予个人很强的个人信息自决权,但是面对纷繁复杂且愈加普遍的信息收集,比如物联网的普及,个人对其信息的控制能力非常有限,因此陷入同意的困境。同时,目前的立法过多地关注收集前取得同意,忽略了实际上人们在同意的时候根本无法预知未来个人信息的使用情况,“一揽子”同意会让人们在个人信息被滥用的时候无计可施。

条例送审稿第16条明确规定“通过网络收集、使用未成年人个人信息的,应经未成年人或其监护人同意”。获得同意的初衷是保护未成年人的权益,但是过度的监护人同意要求可能会导致陷入同意疲劳;事实上甚少有人去阅读冗长且晦涩的隐私政策,尤其是未成年人的隐私政策因涉及披露及共享等各个细节的同意,更加具体和复杂;况且即便阅读了隐私政策,监护人也不一定明白同意给未成年人将带来的影响。因此,最终监护人同意的效果和立法目的背道而驰,此外,也可能会使网络服务提供者过度依赖家长同意机制,希望通过获得同意一劳永逸,反而在程序的开发设计上疏忽大意。

索罗夫(Solove)曾经对同意困境有过精彩论述,“隐私自治需要同意予以保障”,“而当某种隐私自治陷入失败的时候,无论是立法者还是学者却往往呼吁更多更严格的隐私自治。为了改变这种情况,隐私法律和政策必须直面隐私自治存在的问题,寻求一种新的解决路径”。这不仅是对加强个人“隐私自决权”趋势的批判,同时也表明通知同意规则无法实现对个人信息的控制,也无法真正保障信息主体的权益,立法需要探索新的路径。

(二)年龄为划分基础的监护人同意之悖论

年龄作为监护人同意基础的悖论有两点。第一,立法者对于以什么年龄作为界分观点不统一,甚至存在立法的反复。我国条例送审稿16条并未对要求获得监护人或家长同意的年龄明确划定,条文中用“或”字实际上留下了制定细则的空间,而安全规范和保护规定对条例送审稿第16条进行了细化,将14岁作为强制需要监护人同意的分界线。对以14岁作为划分基础的可行性和合理性暂且不论,实践中我国的未成年人网络个人信息保护鲜有符合安全规范标准的。比如微信的隐私政策指引中明确限制收集16岁以下的儿童提供的个人信息,但却未从技术上限制16岁以下儿童的注册,未成年人可以便捷地使用他们的QQ号、手机号注册微信,所以微信隐私政策中的监护人同意更倾向于政策宣导。

自COPPA出台以来,对年龄的质疑从未中断,许多学者认为放弃对13岁以上18岁以下的青少年群体的网络隐私保护是不合理的,因为处在叛逆期的青少年常常无法认清自身行为的后果,在社交媒体上过度暴露自己的隐私信息,他们同样也需要家长的保护[9]54。面对这些批评,2018年《儿童反追踪法案》(Do Not Track Kids Act of 2018)修订了COPPA中对于儿童年龄的限制,将原先仅涉及13周岁以下儿童的保护制度扩大到了“青少年”(minor,指12～16岁的未成年人)。该法案要求获得青少年本人可验证的同意,回应了对COPPA不保护青少年的批评,同时捍卫了其作为独立的权利主体的地位。该法目前尚未生效,但新的质疑相应而生,尤其是青少年和儿童同样作为未成年人,是否应当同等对待?以12或13岁作为家长同意的划分标准是否合理?13岁以上的青少年对自己的网络行为的认知是否足以做出充分的同意?而父母是否有权审查青少年的网络行为?

GDPR赋予成员国自己划定监护人同意的年龄标准的权力,因此欧盟各国对年龄标准划分不一,比如德国、西班牙划定14岁,而荷兰划定16岁。也有质疑认为GDPR第8条如此规定忽视了未成年人的自主权,使得他们丧失了对他们个人数据的决定权。监护人同意机制很可能会成为限制儿童上网自由的工具[10]127-141。

综上,立法中对于年龄的悖论在于,若将年龄设置得较低,比如COPPA的13岁或我国保护规定中的14岁,则有学者认为13岁或14岁以上未成年人的个人信息也需要家长保护;而如果将年龄设置得较高,比如欧盟GDPR的16岁或者我国条例送审稿中的18岁,则又有人质疑是否限制了未成年人(尤其是青少年)的自主权。总而言之,只要依然将年龄作为是否需要征求家长同意的条件,相关的争论会一直持续下去。

第二,即便对年龄划分不置可否,家长同意条款仍常常形同虚设,有些场景下监护人或家长主动帮助未成年人谎称年龄使用服务。随着未成年人触网年龄持续走低,COPPA鼓励父母限制未成年人访问网络以保护他们的隐私和安全,然而大多数父母认为如果未成年人访问互联网可以实现教育目的、促进父母子女沟通,或者有利于未成年人的社交,未成年人访问社交网站是可以接受的[11]。许多家长会鼓励子女虚报年龄回避家长验证程序,这种“造假”的方式实际上将未成年人暴露于隐私风险之下。脸书(Facebook)在其隐私政策中明确规定不接受13周岁以下儿童注册账号,还推出如何“举报未满13周岁儿童账户”的服务。尽管如此,通过对美国家长进行的一项调查显示,家长明知Facebook的规定,依然为孩子提供帮助隐瞒年龄注册,成为孩子“共犯”。吊诡的是,家长不希望子女撒谎,也不希望他们假装成年人和他人网络交流,因此,严格的年龄限制导致家长在帮助子女撒谎还是禁止子女使用社交网络之间进退两难。而这一冲突随着网络用户的低龄化走向变得愈发严峻。研究青少年隐私的专家指出,家长认为COPPA的年龄限制剥夺了家长的选择。

另外,虽然COPPA是基于保护儿童的立法目的,但并不阻碍网站继续收集13岁以下儿童的个人信息,尤其是那些谎报年龄访问网站的儿童的信息[12]。同时虽然一些游戏网站启动了实名注册机制,但儿童大多使用家长或者其他成年人的身份信息完成实名认证。谎称成年人的未成年人个人信息仍然会被游戏网站大量收集、使用。

(三)技术和成本难题

判断监护人或家长同意是否真实有效,一直是未解难题。验证手段随着技术发展逐渐多样化,比如父母电子邮箱确认、传真或电话询问、扫描同意书等。还有些网站会要求提供父母的信用卡(未成年人不能办理)或者社会保障账号来验证家长同意的有效,但是对于收集的这些信息如何处理却没有解释。我国也有网站要求用户上传手持身份证照片或是通过人脸识别来对用户身份进行验证,然而上述做法也许会带来更严重的隐私担忧。

可验证的家长同意的成本难题包含两个方面。一方面,无论是通过邮件、人工电话、人脸识别等验证父母身份,都需要耗费网络服务提供者大量的人力和物力成本,初创型互联网企业往往无法承受。验证成本过高会导致两个结果:要么消极对待法律规定形成普遍违法,比如据美国对5 855个最受儿童欢迎的APP的分析显示,其中大部分违反了COPPA关于同意的规定;要么直接放弃儿童市场以规避法律监管,在隐私政策中强调自己不为法律限制年龄以下的儿童提供服务,如Facebook拒绝儿童使用的做法。

另一方面,执法机构(比如FTC)执法的成本过高。自2000年以来,FTC一直积极执法,已经提起了超过20起的诉讼,得到数百万美元的民事赔偿。比如,2014年Yelp(基于位置信息提供服务的点评网站)因违反COPPA受到FTC的民事处罚,2019年初抖音(TikTok)因违反COPPA被FTC处以570万美元的罚款。每年FTC年度报告中都会披露针对违反COPPA的诉讼,但是受限于时间和人力,相较于违法的网络服务提供者的数量,每年提起的诉讼数依然只占极少数,大量违法收集未成年人信息的网络服务商依然在法外生存,对未成年人个人信息隐私和安全造成巨大威胁。

三、我国的路径:不同场景中通过设计保护隐私

法律需要“明线规则”(3)明线规则(bright-line rule),指的是美国法律中要求规则或标准必须有明确清晰的定义,不预留或极少预留解释空间。的稳定性、准确性和可操作性,以未成年人年龄作为划分基准获得其监护人同意的规则于立法者而言无疑是最便捷的选择。但是,如上文所论,该范式无法达到保护未成年人个人信息的法律效果。以隐私控制理论为基础的保护机制越来越不符合社会现实,在个人信息海洋中,个人的控制力非常无力和渺小,个人的同意越来越被证明不能控制个人信息的流向和生命周期,不能实现对个人权益的保护[13]。因此,考虑采用隐私场景理论来考察未成年人的个人信息保护,也许是一种可行的范式转换,这也意味着保护个人信息的责任主体从以个人为主转向以社会为主。

(一)信息流通要符合在特定场景中的公正

场景公正性(contextual integrity)(4)关于contextual integrity,又被译为“情境脉络完整性”或“语境公道性”,本文并未采纳上述翻译,而将此译为“场景公正性”,基于两方面原因,一是“情境脉络完整性”是对于白宫《消费者隐私权利法案》的尊重隐私场景条文的理解,但是integrity在尼森鲍姆教授的理论中有伦理导向,需要社会规范作为支撑;二是在互联网时代,将context一词译为场景而非情境已经是互联网业界和传媒界的约定俗成.理论的核心在于符合合理的信息流通(appropriate information flow),只要信息流通是合理的,就不存在侵犯隐私权益的行为。尼森鲍姆(Nissenbaum)提出,符合场景公正的信息流通就是合理的信息流通,需要审视五个要件,分别是信息主体(subject)、信息发送人(sender)、信息接收者(recipient)、信息种类(information types)以及信息传输原则(transmission principles),缺少任一要件,信息的流通都可能是不合理的[14]140-147。合理的信息流通应同时符合公共利益和个人利益。比如在医疗场景中,患有传染病的患者基于个人利益(担心被歧视等)不同意将自己的病历信息共享给国家疾病防控防疫部门,但是医生基于公共利益或医疗规章的规定不经患者同意将病历共享给有关部门,其符合在医疗场景中的公正,所以是合理的信息流通。脱离场景的信息流通常伴随着极大的隐私风险,只有尊重场景才能谈合理的流通[15]。

在未成年人网络个人信息保护框架下,未成年人作为信息主体,其他四要件随着场景的改变而改变。比如健康场景下,医院通过APP收集儿童的医疗信息也许需要强制的家长同意,但专门给问题儿童寻求帮助的求助网站,如果也必须获得可验证的家长同意才能继续访问或求助的话,儿童就无法和求助网站进行沟通,专业人员也无法及时给予帮助,这明显违背了最大化保护未成年人的立法目的。所以,是否会侵犯未成年人利益,获得监护人的同意并非为单一标准,最终要衡量的是在不同的社会场景之中,关于未成年人个人信息的流通是否合理。

以教育类APP为例,教育部在2018年末印发了《关于严禁有害APP进入中小学校园的通知》(以下简称“通知”),要求内含色情暴力、网络游戏、商业广告及违背教学规律等内容的APP立即停止使用,并且要求保障学生信息和数据安全,防止泄露学生隐私。在该场景下,信息主体是未成年学生,由于进入中小学校园的APP与学校合作,该场景下需要衡量信息流通是否符合教育部通知规定(传输原则),即便家长同意将未成年人的个人信息发送给广告商,也不符合合理的信息流通。由此可见,家长可验证的同意规则,并非是未成年人个人信息流通的必要规则,而是多种传输原则中的一种。在学习类APP进入中小学校园的教育场景下,传输原则是通知的规定,经过学校审核的APP的使用不需要再经过家长同意。

(二)通过设计保护隐私

在讨论场景中的隐私时,应合理借鉴“通过设计保护隐私”(privacy by design)原则,GDPR将“通过设计保护数据”(data protection by design)作为指导原则,其核心思想是隐私保护并不仅仅是事后的法律救济,更需要将隐私保护的理念贯穿在产品开发设计的始终,确保信息控制者和处理者以及产品开发者实践其数据保护义务,让产品本身将保护用户隐私最大化[16]。

用户通常寄希望于网络服务提供者保障用户隐私,比如匿名、隐私设置、验真体系,甚至希望网站能帮助用户处理那些来自第三方的隐私威胁。APP服务提供者已在不同程度上试图将该理念贯穿于产品设计之中,比如腾讯建立了“成长守护平台”,关联家长账号,及时提醒家长孩子游戏登陆和消费信息,同时开启实名验证身份信息、通过人脸识别验证用户身份并承诺不留存相关数据等。

但是,要求所有的APP设置实名认证并不现实,实名认证中的身份信息的泄露风险暂且不论,对于哔哩哔哩或优酷等视频网站而言,主动要求未成年人进行实名认证很可能会带来流量的流失,且网络服务提供者进行算法优化也需要收集大量的用户信息,因此,设置保护用户隐私的产品往往与网络服务提供者追求商业利益的诉求不符,很多情况下未成年人隐私保护名大于实。因此,通过设计保护隐私不能仅仅作为一项指导原则而存在,寄希望网络服务提供者的自律自觉,而应当成为我国未来《个人信息保护法》中的明确的法律规则。正如欧盟GDPR和美国《消费者隐私权利法案(草案)》的规定,我国也完全可以借鉴将系统开发者纳入个人信息保护的责任主体范围[17]。该规则如果能够与激励网络服务提供者机制相容,会极大降低执法成本,提高合规动力,最终发挥引导作用,成为网络服务提供者的守法诱因。

综上,未成年人个人信息的保护中,“一刀切”式的监护人同意规则将责任过多加诸于监护人身上并不合适,相反,应采纳在不同场景中用设计来保护隐私利益(Privacy by design in a contextual approach),同时以是否符合场景中的公正来衡量和预判产品设计是否保护隐私,对未成年人网络个人信息保护的责任由监护人和网络服务提供者共同承担转向由网络服务提供者(包括系统开发者)承担为主、监护人为辅。采用在不同场景中通过设计来保护隐私的进路,相比“一刀切”要求监护人的同意,更能真正保护未成年人的个人信息(网络隐私)。这一转变不是通过简单的赋权和个人维权实现法益保护,而是通过对个人信息控制者(使用者)的行为(义务)规范来实现。

(三)监护人的教育义务

除了网络服务提供者在不同的场景中用设计来保护隐私之外,监护人依然有不可免除的责任。亲权制度下,父母对未成年子女的关心照顾在内容上包括了抚养、教育和保护[18]。家长应当侧重教育未成年人使用网络的风险及自我保护的重要性,提高风险意识。从调查数据分析来看,亲子关系一定程度影响未成年人的互联网使用,据《中国未成年人互联网运用和阅读实践报告》(2017)显示,与父母感情不好的未成年人使用自己手机上网比例为48.1%,比与父母感情好的孩子高出近10个百分点(39.0%)。美国消费者报告机构调查也显示,比起警告儿童隐私风险,更有效的是家长或老师学会与孩子有效的沟通。

(四)我国未成年人网络个人信息保护的思考

保护规定和条例送审稿借鉴了国际通行做法,但通过反思欧美法律实施情况发现,现有机制受到诸多诟病且无法起到应有的保护效果,应当思考实践一条独立自主又真正符合儿童利益最大化的路径。

首先,立法层面,对于未成年人网络个人信息保护制度的构建,应摒弃收集、使用、转移、披露全过程都需获得监护人同意的模式,在不同场景中应合理分配网络服务提供者、监护人以及其他责任主体之间的责任和义务,通过大量的社会实证调研制定网络服务提供者的义务规则,要求网络服务提供者在提供其服务时采取“不同场景下通过设计保护隐私”的进路,承担起更多的社会责任。以教育场景为例,学习类APP进入校园,开发者应设计符合教育部通知规定的默认设置,学校应当尽到审核的义务,监护人在未成年人使用该APP的过程中起到辅助教育作用,如果发现有不符合通知规定的,及时向学校或教育管理部门汇报。

其次,加强政府与行业组织的合作,将制定行业标准和规范的权力赋予行业本身,充分发挥行业自律组织的力量[19]。条例送审稿第4条和保护规定第6条鼓励相关行业组织参与未成年人网络保护工作,制定关于未成年人网络保护的行业自律规范,引导行业组织成员加强对未成年人的网络保护。我国目前有一些行业自律组织,比如中国互联网协会,曾联合业界积极向未成年人和青少年推荐“绿色网络文化产品”,也多次对手机APP收集和使用用户个人信息情况展开评议,并发布《网络数据和用户个人信息收集、使用自律公约》。但是我国互联网协会与美国行业自律组织存在本质的不同,互联网协会依托政府存在,且其会员单位并不囊括主流互联网公司,阿里、腾讯、百度等公司主要还是依靠公司内部规定及政府部门监管来保护未成年人网络个人信息,比如腾讯建立“成长守护平台”等。自我监管的有限及政府监管的不足亟待我国形成良好的行业组织,如借鉴美国的TRUSTe LLC或加拿大的The KidSafe Project Society等行业自律组织,不同场景制定不同的行业规范、标准或指引来引导网络服务提供者规范其行为,颁发符合该协会标准的行业认证标志,推荐绿色安全的未成年人网络产品,行业组织的成长尚需结合国情进行长期的探索和实践。

最后,关于行业组织如何评估网络服务提供者是否符合行业隐私保护标准,笔者认为应该回归场景公正性理论,通过评估不同场景下的信息五要件来判断信息流通是否合理,对于存在不合理的信息流通的网络服务提供者不予颁发认证标志,在行业官网公示警告等,情节严重的,可以上报公权力机构或代表消费者诉至法院寻求司法救济。