升级隐私政策，优化弹窗，个保法落地实施，这些成为新常态

近日在使用手机APP或打开电脑时，许可发现一些明显变化。有关“隐私政策”变更的“弹窗”频繁出现，用户只有点击确认或同意后，才能继续使用。

5天前收到苹果公司寄出的“Apple已为《个人信息保护法》做好准备”的邮件； 4天前更新微信最新版本后，看到隐私指引条款和信息共享披露变更了；再到昨天打开星巴克APP后，发现其首页出现“隐私权政策变更”的“弹窗”……

这一系列的改变，都和一部法律的实施有关。

11月1日，中国第一部个人信息保护方面的专门法律——《个人信息保护法》（下称“个保法”）正式落地实施。个保法以“告知-同意”作为核心处理规则，并针对现实生活中社会反应强烈的一揽子授权、强制同意等问题，规定个人信息处理者在处理敏感个人信息、向他人提供或公开个人信息等环节应取得个人的单独同意。

为确保个人信息处理过程的合法合规，“告知-同意”机制受到了信息处理者的重视。但当在APP、网站上，增强隐私保护成为“新常态”，一些新问题和旧顽疾也引起更多关注。比如，如何在细化APP隐私政策颗粒度的同时，增加用户可读性？在APP向第三方提供个人信息时，如何增强权限调用的透明度？“弹窗时代”如何让用户不累心、企业不闹心？

“准确完整”和“清晰易懂”如何两全

个保法的第二章第一节明确了个人信息处理规则的一般规定，其中，第十七条指出，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知相关规定事项。

“准确、完整”意味着告知文本需充分、详尽，而“清晰易懂”则意味着告知文本需简明、易懂。这一旨在对于用户知情权进行充分保护的规定，对于个人信息处理者而言，却在实际操作中面临着难以两全的问题。

北京师范大学网络法治国际中心执行主任吴沈括在接受第一财经采访时表示，当下，作为个人信息处理者用以“告知”的主要形式，隐私政策如何在文本完整和文本简明之间取得平衡还是一个难题——模糊的告知会导致“同意”的不自由；冗长的告知又会增加知情的时间成本和专业门槛，如何去平衡仍有待信息处理者进一步摸索。

不过，在探索阶段，针对隐私政策宣示性效果大于实质性作用的问题，已有部分信息处理者进行内容完善和形式创新。

其中包括，对“隐私功能设置”附有操作流程或跳转链接；增加目录但简化文本内容，并在重点部分予以加粗；提供可视化浏览方式；明示第三方信息共享名单等。

比如，在苹果10月27日对其中国用户更新的隐私政策中，采用“在Apple，个人数据是指什么”“你在Apple的隐私权”“Apple从你那里收集的个人数据”“Apple从其他来源收到的个人数据”等12条主目录的形式，以减少因内容太多而“迷人眼”的难题。同时，每一条主目录后均设有“＋”键，欲知详细内容的用户可继续浏览。

在支付宝“我的”中的“用户保护中心”，则对支付宝隐私权政策和蚂蚁集团隐私权政策进行了分别说明。在“支付宝隐私权政策”中，设有“简要版+完整版”两个版本，而在简要版中，采取“视频+文字+图表”的告知方式。

其中，“蚂蚁集团隐私权政策”是10月31日发布、11月7日生效的最新版本。根据该版本，为了方便用户对不希望接受“根据用户信息形成群体特征标签，用于向用户提供其可能感兴趣的营销活动通知、商业性电子信息或广告”的关闭式操作，直接附有跳转链接，也即可在阅读时，同步进行操作处理。

此外，根据个保法，向第三方提供个人信息时，应取得信息主体的单独同意。针对这一规定，截至目前，支付宝、微信、QQ等已在其隐私政策中进行了单列、加粗说明，并附上了第三方信息共享清单。

值得注意的是，为进一步落实第三方处理个人信息时信息处理者的监督义务，11月1日，工信部发布《关于开展信息通信服务感知提升行动的通知》，要求相关互联网企业建立个人信息保护“双清单”——“已收集个人信息清单”和“与第三方共享个人信息清单”，并在APP中展示以便用户查询。首批设立“双清单”的企业，包括腾讯、阿里巴巴、美团、快手、拼多多等39家。

在吴沈括看来，若想让隐私政策对用户个人信息保护的作用真正落到实处，仍面临两个亟待解决的问题。

“一是用户本身的数字素养和数字保护意识提升是一个循序渐进的过程；二是信息处理者在文本设计上，仍存在为了规避合规风险进行虚假性陈述的现象，换言之，考虑到用户或不会完整地浏览隐私政策的具体内容，相关声明主要起到自我承诺的作用，在此背景下，需要加强对于虚假说明的事后追责。”吴沈括说。

弹窗困境

但隐私政策并不是实现“告知”的唯一路径。

中国信息通信研究院互联网法律研究中心高级研究员、个人信息保护立法研究团队负责人杨婕对第一财经表示，匹配到具体场景时，通过及时提示或者“弹窗”式增强告知的方式，将该场景下的个人信息处理活动的核心要点进行浓缩，再告知个人，并附上完整版的隐私政策查询链接，也是信息处理者实现或增强“告知”的可行路径。

北京清律律师事务所首席合伙人、清华大学法学院互联网法律与政策研究中心秘书长熊定中也认为，“弹窗”是明示告知、增强个人信息保护的重要载体。

他告诉第一财经，对于信息处理者，当前，大致有三种途径，对用户明示告知双方在权限或隐私方面的约定。第一，写在隐私政策里，但监管部门反对通过一个隐私政策“一揽子”告知；第二，发站内信，但前提是信息处理者事先收集到用户的信息，操作上或存在合规风险；第三，设置“弹窗”，即通过强迫用户通过做出如点击、关闭等一系列动作，再将告知内容关闭的方式，实现明确有效的告知。

“针对个保法中需要单独同意的场景，‘弹窗’已成为相关信息处理者的最佳方案。”熊定中称。

根据个保法第二十八条、第二十九条规定，处理敏感个人信息应当取得个人的单独同意。

敏感个人信息是指，一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

伴随个保法的颁布和落地，形式简洁且直接易察的“弹窗”已成为信息处理者实现增强式告知的共同选择。但对于用户而言，越来越多的“弹窗”，在保障了选择权的同时，却影响了体验感。

在考虑到不同场景“弹窗”合理性、必要性的前提下，中国电子技术标准化研究院网安中心测评实验室副主任何延哲对“弹窗”做出分类统计。

何延哲认为，与合规有关的“弹窗”可大致分为两类：第一类是与个人信息保护有直接关联的弹窗，包括首次开启或注册账号时的隐私政策，隐私政策更新时，权限申请前告知目的弹窗，刷脸、指纹等功能开通，嵌入的第三方SDK等超过15个场景；第二类是其他可能弹窗的场景，包括访问网站类型、广告或活动弹窗、青少年模式、个人操作业务时的提醒等数个场景。

而除了以上“弹窗”外，还存在拒绝后APP再次询问的场景（如权限）。

何延哲举例称，以用户平均安装了30个APP为例，假如都做了更新且都会在1个月内使用，按照第一类“弹窗”出现60次，第二类“弹窗”出现20次，当月30天来计算，则一个月“弹窗”出现2400次。

也就是说，用户在将来的1个月内，保守估计有上千个“弹窗”要点击。

何延哲告诉第一财经，“弹窗”不断出现的背后，是信息处理者与用户不断博弈的结果，而之所以需要博弈，是为了找到更好的平衡点。在此过程中，信息处理者或可通过减少低价值的“弹窗”、进一步给用户“隐私偏好”的选择权和对“弹窗”适度合并等方式，进行优化。

为避免用户在开启APP时，同一时间弹出太多“弹窗”，并满足个人信息收集的必要性原则，杨婕建议，权限申请应在APP某项业务功能必须启动该权限时，再进行动态申请；对于用户不同意开启的权限，不得频繁弹出“弹窗”要求用户同意。

但正是由于用户体验感会受到“弹窗”增多的影响，在熊定中看来，面对越来越多的“弹窗”，感到“闹心”的反而该是相关的信息处理者。

“事实上，弹窗多不是企业追求的，弹窗少才是。由于更多的弹窗往往伴随着更高的用户流失率，所以，以合规为目的的‘弹窗’大多是企业为了履行法定的义务而不得已为之的做法。”熊定中称。

熊定中表示，在用户看来越来越多的“弹窗”，已经是信息处理者优化后最为精简的内容。