□ 彭肅華

我國兒童個人信息，是指十四周歲以下自然人的個人信息。大數(shù)據(jù)時代，兒童個人信息保護正在成為各國重視的專門領域。我國兒童個人信息保護法律體系的構建，呈現(xiàn)出各個層級，包括法律、部門規(guī)章、國家標準等交錯進行，螺旋式上升、日臻完善的特點。

從吸收保護到獨立保護

2017年之前，兒童在內的自然人主體個人信息的獨立價值未被認可，個人信息內化為隱私加以保護，法院也經常采取隱私權保護為個人信息權利人提供救濟。隨著民法總則（已隨民法典施行而廢止）和網絡安全法的實施，隱私權和個人信息的二元化體系得以確立，個人信息獨立于隱私權獲得保護。民法典在人格權編專章規(guī)定了“隱私權和個人信息保護”，對隱私權和個人信息的定義及其保護方式予以界定，隱私和個人信息的界分，有了明確的法律依據(jù)。因此，民法典雖然并未對兒童的個人信息單獨進行規(guī)定，但是兒童個人信息獨立于兒童隱私權獲得保護。

在未成年人保護領域，2020年之前的未成年人保護法沒有對兒童個人信息這一領域作出規(guī)定，而采取通過保護未成年人隱私利益保護未成年人個人信息的路徑。1991年未成年人保護法第三十條規(guī)定，任何組織和個人不得披露未成年人的個人隱私。2006年、2012年修訂的未成年人保護法延續(xù)了這一規(guī)定，2020年修訂的未成年人保護法第四條則規(guī)定處理涉及未成年人事項，應當符合保護未成年人隱私權和個人信息，重申了民法典規(guī)定的個人信息保護不再依附于隱私權保護的模式。2021年施行的預防未成年人犯罪法第三條提出了保護未成年人的個人信息，第五十九條規(guī)定，除法定情形外，未成年人的犯罪記錄依法被封存的，公安機關、人民檢察院、人民法院和司法行政部門不得向任何單位或者個人提供。在未成年人保護領域，兒童個人信息獨立于兒童隱私權獲得保護。

從一般保護到特殊保護

網絡安全法作為網絡運行安全、網絡信息安全領域的基礎性立法，對個人信息的保護涵蓋收集、使用、傳輸、共享等各個環(huán)節(jié)。根據(jù)網絡安全法的規(guī)定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。網絡運營者不得泄露、篡改、毀損其收集的個人信息；未經被收集者同意，不得向他人提供個人信息。任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。對于涉及未成年人的網絡產品、服務，網絡安全法第十三條提出了概括性的基本要求，但是沒有規(guī)定具體的規(guī)則。因此，網絡安全法對兒童個人信息的保護，適用一般主體的規(guī)則。

2019年施行的《兒童個人信息網絡保護規(guī)定》，是我國專門針對兒童個人信息保護的部門規(guī)章，雖未規(guī)定兒童個人信息屬于個人敏感信息，但對兒童個人信息網絡保護的原則和具體處理規(guī)則提出了一系列專門性要求：一是要求制定專門的兒童個人信息保護規(guī)則和用戶協(xié)議，并需要網絡運營者指定專人來負責兒童個人信息保護工作；二是明確網絡運營者處理兒童個人信息，應當以顯著、清晰的方式告知兒童監(jiān)護人，并應當征得兒童監(jiān)護人的明示同意。征求同意過程中，應當同時提供拒絕選項（拒絕同意影響使用）；三是要求存儲兒童個人信息時，應當采用加密等措施；四是規(guī)定網絡運營者應當把控內部管理流程、嚴格設定內部信息訪問權限和兒童個人信息知悉范圍；五是要求委托第三方處理兒童個人信息時，應當進行安全評估，確定委托范圍和相應權利責任；六是對刪除權、數(shù)據(jù)泄露通知等制度作了細致要求。

民法典雖然并未對兒童個人信息單獨進行規(guī)定，但是通過第一千零三十四條、第一千零三十五條、第一千零三十六條、第一千零三十七條等條文，在基本法的層面從未成年人信息權益獨立保護的角度作出了原則性規(guī)定。新修訂的未成年人保護法對處理、發(fā)布未成年人個人信息作出了規(guī)定。直至2021年我國個人信息保護法在法律層面將兒童的個人信息納入敏感個人信息，突出了對兒童主體的特別對待，提升了保護強度。一方面，兒童個人信息的處理應當遵守敏感個人信息處理的一般規(guī)則；另一方面，對兒童個人信息的特殊保護規(guī)則主要體現(xiàn)在個人信息處理者設置專人負責兒童個人信息的保護，同時要制定專門的個人信息處理規(guī)則，區(qū)別于對一般主體的敏感個人信息的處理規(guī)則。

從粗放保護到細化保護

法律保護兒童個人信息的主要方式之一是限制兒童的自主性，由監(jiān)護人替代兒童行使知情權和同意權，是兒童個人信息保護的關鍵所在。我國相關法律法規(guī)均對監(jiān)護人同意進行了規(guī)定。民法典規(guī)定了處理兒童個人信息要取得監(jiān)護人同意，但是該“同意”不必然是明示同意和單獨同意，而可以是默示同意和概括同意。未成年人保護法雖然提及了處理兒童信息時需監(jiān)護人同意，但并沒有具體明確的同意規(guī)則。個人信息保護法規(guī)定了明確同意和單獨同意。明確同意包含兩方面要求：一是明示同意，即同意是監(jiān)護人經充分告知，以明示的方式作出；二是可被確認，即采用合理方式并利用現(xiàn)有技術，可以確認監(jiān)護人所作出的同意決定。既然兒童個人信息處理者的法定義務是必須取得未成年人父母或者其他監(jiān)護人的明示同意，那么處理者就具有雙重確認義務：第一，必須驗證個人信息被處理的自然人是十四周歲以下的未成年人；第二，必須驗證十四周歲以下未成年人的個人信息處理真正經過了其父母或者監(jiān)護人的同意。然而，我國民法典、個人信息保護法等均未規(guī)定驗證方式，導致了實踐中父母的知情同意權被“虛化”。

雖然我國法律未規(guī)定監(jiān)護人同意的可驗證方式，但是我國立法政策在未成年人身份識別上提出了很多具體要求。我國從2007年開始逐步推行網絡游戲實名認證，強調網絡游戲運營商應將收集的用戶身份信息提交公安部門進行驗證用戶年齡信息，用以識別未成年人用戶。2021年，國家新聞出版署、教育部等部門相繼發(fā)文，進一步嚴格管理措施。金融等特定領域也相繼確立了嚴格的未成年人實名認證和識別標準。

自2024年1月1日起施行的《未成年人網絡保護條例》，除了規(guī)定網絡游戲服務提供者應當通過統(tǒng)一的未成年人網絡游戲電子身份認證系統(tǒng)等必要手段驗證未成年人用戶真實身份信息，還規(guī)定了網絡服務提供者為未成年人提供信息發(fā)布、即時通訊等服務的，應當依法要求未成年人或者其監(jiān)護人提供未成年人真實身份信息。未成年人或者其監(jiān)護人不提供未成年人真實身份信息的，網絡服務提供者不得為未成年人提供相關服務。網絡直播服務提供者應當建立網絡直播發(fā)布者真實身份信息動態(tài)核驗機制，擴展了身份驗證的監(jiān)管范圍。