編者按：在信息化時代，個人信息保護(hù)已成為廣大人民群眾最關(guān)心最直接最現(xiàn)實的利益問題之一。8月20日，十三屆全國人大常委會第三十次會議表決通過了《中華人民共和國個人信息保護(hù)法》（以下簡稱“個人信息保護(hù)法”），將于2021年11月1日起施行。出臺個人信息保護(hù)法有何意義？未成年人個人信息安全，如何保障？對此，人民網(wǎng)《良法善治大家談》欄目推出系列報道，邀請法律專家進(jìn)行解讀。

據(jù)中國互聯(lián)網(wǎng)絡(luò)信息中心今年2月3日發(fā)布的第47次《中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計報告》顯示，截至2020年12月，我國小學(xué)及以下網(wǎng)民群體占比由2020年3月的17.2%提升至19.3%。由此可見，未成年人已經(jīng)逐漸成為我國網(wǎng)民的重要組成部分。

那么，如何保護(hù)未成年人的個人信息安全？8月20日通過的個人信息保護(hù)法，給家長和孩子們吃了一顆“定心丸”。

對未成年人個人信息進(jìn)行升級保護(hù)

個人信息保護(hù)法將不滿十四周歲未成年人的個人信息列為了敏感個人信息。該法第二十八條規(guī)定，敏感個人信息是一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。只有在具有特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，個人信息處理者方可處理敏感個人信息。

對此，中國政法大學(xué)副教授苑寧寧在接受人民網(wǎng)記者采訪時表示，此前未成年人保護(hù)法或是《兒童個人信息網(wǎng)絡(luò)保護(hù)規(guī)定》中都沒有特別突出，這意味著個人信息保護(hù)法將不滿十四周歲未成年人的所有個人信息都作為敏感信息進(jìn)行了升級保護(hù)。

談到升級保護(hù)的理由，苑寧寧認(rèn)為，一方面是因為不滿十四周歲未成年人的知情同意能力相對不成熟，對個人信息被收集、利用很難做出完全理性的判斷和同意；另一方面，不滿十四周歲未成年人往往自我保護(hù)意識能力和認(rèn)識風(fēng)險能力相對較弱。所以在實踐當(dāng)中，為了避免不滿十四周歲未成年人由于個人信息泄露帶來的線上或是線下的威脅或風(fēng)險，個人信息保護(hù)法特別設(shè)置，將其列為敏感個人信息加以保護(hù)。

對未成年人個人信息處理者實行“雙保險”

光是列為敏感個人信息還不夠，個人信息保護(hù)法第三十一條第一款強調(diào)，個人信息處理者處理不滿十四周歲未成年人個人信息的，應(yīng)當(dāng)取得未成年人的父母或者其他監(jiān)護(hù)人的同意。

北京航空航天大學(xué)法學(xué)院教授、博士生導(dǎo)師周友軍解釋，這條規(guī)定主要是為了實現(xiàn)對不滿十四周歲未成年人的特殊保護(hù)，貫徹憲法上保護(hù)未成年人的立法精神。我國憲法第四十九條第一款專門就未成年人保護(hù)作出了規(guī)定。這一規(guī)定的精神必須貫徹到個人信息保護(hù)領(lǐng)域。

周友軍告訴記者，這一規(guī)定主要是考慮到兩點：第一，不滿十四周歲的未成年人，屬于無民事行為能力人或者限制民事行為能力人，其對于個人信息處理的可能后果無法作出非常理性的判斷，因此，需要引入其監(jiān)護(hù)人的同意，以保護(hù)這些未成年人。第二，這與民法典和未成年人保護(hù)法的規(guī)定保持一致性。民法典第一千零三十五條第一款強調(diào)，未成年人的信息處理要得到其監(jiān)護(hù)人的同意；未成年人保護(hù)法第七十二條第一款規(guī)定：“處理不滿十四周歲未成年人個人信息的，應(yīng)當(dāng)征得未成年人的父母或者其他監(jiān)護(hù)人同意，但法律、行政法規(guī)另有規(guī)定的除外�！�

建議出臺行業(yè)規(guī)范和行業(yè)準(zhǔn)則加強保護(hù)

個人信息保護(hù)法第三十一條第二款規(guī)定，個人信息處理者處理不滿十四周歲未成年人個人信息的，應(yīng)當(dāng)制定專門的個人信息處理規(guī)則。

對此，周友軍表示，這一規(guī)定主要是為了強化對未成年人的保護(hù)，以貫徹我國憲法、未成年人保護(hù)法等確立的未成年人利益最大化原則。另外，這一規(guī)定也與個人信息保護(hù)法第二十八條的規(guī)定保持了協(xié)調(diào)。

但此條規(guī)定中并沒有展開說專門的個人信息處理規(guī)則。隨著互聯(lián)網(wǎng)行業(yè)的不斷發(fā)展，未成年人個人信息保護(hù)可能需要方方面面的注意。

為了落實法律規(guī)定，苑寧寧認(rèn)為，個人信息處理者應(yīng)當(dāng)在堅持正當(dāng)必要、知情同意、目的明確、安全保障等原則基礎(chǔ)上，出臺不滿十四周歲未成年人個人信息保護(hù)的行業(yè)規(guī)范和行業(yè)準(zhǔn)則。

“不僅要有行業(yè)規(guī)范行業(yè)準(zhǔn)則，其實針對個人信息的收集者來說，也應(yīng)當(dāng)有最低的要求。”苑寧寧提出，第一，個人信息處理者應(yīng)當(dāng)在收集不滿十四周歲未成年人的個人信息時，設(shè)置專門的用戶協(xié)議，并指定專人來負(fù)責(zé)處理不滿十四周歲未成年人的個人信息。

第二，在收集個人信息過程當(dāng)中應(yīng)當(dāng)堅持“最小授權(quán)”的原則。收集不滿十四周歲未成年人的個人信息后，應(yīng)當(dāng)嚴(yán)格設(shè)定信息的訪問權(quán)限，控制知悉范圍，避免不必要、不相關(guān)的人員可以輕而易舉地獲取或訪問信息。

第三，要堅持多次同意原則。當(dāng)收集不滿十四周歲未成年人信息的目的、使用方式、處理方式等內(nèi)容發(fā)生實質(zhì)性變化時，必須要再次征得未成年人本人和監(jiān)護(hù)人的同意。

第四，處理或者保存不滿十四周歲未成年人的個人信息時，應(yīng)當(dāng)加強技術(shù)保障，比如，加密措施或是在委托第三方處理時進(jìn)行安全評估等，有效防止被非法竊取或者獲取個人信息。

第五，當(dāng)未成年人及其監(jiān)護(hù)人要求個人信息撤回、刪除時，應(yīng)當(dāng)優(yōu)先受理和處理，并及時反饋。作為個人信息處理者來說，應(yīng)當(dāng)優(yōu)先處理涉及不滿十四周歲未成年人對個人信息的投訴舉報，甚至可以考慮由專人來處理。

苑寧寧總結(jié)稱，此次個人信息保護(hù)法，不但對不滿十四周歲未成年人個人信息做了升格保護(hù)處理，更對個人信息處理者在處理不滿十四周歲未成年人的個人信息方面，要求更高，力度更大。（記者 李楠楠 黃玉琦 何淼）