电商行业的个人信息合规要点

随着电子商务的飞速发展变化, 传统营销逐渐向精准营销转变。如何根据法律法规的要求, 完善网络安全、个人信息保护制度, 保障电子商务产业的良性发展成为电商从业者的关注重点。根据电商行业特点,本篇列举了《电子商务法》、《网络安全法》以及配套法律法规、推荐性国家标准出台后, 与电商行业息息相关的个人信息合规要点, 供读者参考。

被誉为电子商务经营者的“宪章”的《电子商务法》已于2019年1月1日正式生效。《电子商务法》多个条款对电子商务经营者的个人信息合规做出了规定。

《电子商务法》第79条规定电子商务经营者违反有关个人信息保护的法律法规的，按照网络安全法等法律法规的规定处罚。

电商企业通常掌握大量个人信息, 可能因此构成关键信息基础设施运营者（CIIO）。

对于CIIO的其他责任与义务, 具体可参考本书第8篇《关键信息基础设施运营者的责任与义务》。

不少网络经营者与机构热衷于从商业利用角度收集消费者的各方面个人信息, 尤其是通过各类APP“一键”收集个人信息。《网络安全法》第四十一条提出, 网络运营者收集、使用个人信息, 应当遵循合法、正当、必要的原则, 不得收集与其提供服务无关的个人信息。该项要求的具体内容体现在配套国标《信息安全技术 个人信息安全规范》（“《个人信息安全规范》”）的第5.2条：

过度收集个人信息可能导致行政处罚1, 甚至可能构成刑事犯罪2。为避免过度收集个人信息, 电商企业应根据个人信息与实现各项功能之间的因果关系; 区分产品或服务的核心功能与附加功能; 并确保用户拒绝提供个人敏感信息时能够继续使用核心功能。举例来说, 基于位置服务（LBS）的APP（如百度地图, 高德地图等导航软件）的核心功能为定位与导航, 附加功能可能有附近商户推荐、道路情况查询、天气查询等。为实现前述核心功能而收集位置信息、起点和终点信息等信息属于合理收集; 收集姓名、性别、电话号码等则属于过度收集。为实现附加功能, 收集性别、消费者偏好、地址信息的, 属于合理收集。

用户画像对于传统营销模式向精准营销模式转变具有决定性作用。《个人信息安全规范》定义了用户画像, 并进一步将用户画像细分为“直接用户画像”与“间接用户画像”。直接使用特定自然人的个人信息, 形成该自然人的特征模型, 称为直接用户画像。使用来源于特定自然人以外的个人信息, 如其所在群体的数据, 形成该自然人的特征模型, 称为间接用户画像。

3. 除消费者的基本个人信息外, 消费者的网络活动信息, 如消费者浏览过的网页、关注过的产品、发布的评论信息等内容都会被用于生成用户画像。该类网络活动信息主要通过自动数据收集工具收集而来。电商企业应在隐私政策中对使用的技术机制做详细描述, 说明使用自动工具收集个人信息的目的, 并向用户提供限制自动工具进行数据收集的方法和详细的指导。

电商企业业务覆盖面广, 从业人员众多, 员工素质参差不齐。若发生企业员工侵犯个人信息的行为，除员工个人需承担责任外, 还可能对企业带来不同程度的负面影响。除遵照《网络安全法》的规定落实网络安全负责人、形成内控制度外, 我们建议企业可从以下方面降低因员工侵犯个人信息导致企业责任的风险：

5. 定期安排员工进行个人信息安全培训, 参加培训必须出席签到, 并将个人信息安全意识纳入员工考核内容。

• 2018年3月，支付宝（中国）网络技术有限公司因在“年度账单”中过度要求收集、使用用户个人信息，被中国人民银行杭州支行以“个人金融信息收集不符合最少、必要原则”及“个人金融信息使用不当”为由处以罚款。

• 2 《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》规定，“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息，或者在履行职责、提供服务过程中收集公民个人信息的，属于刑法第二百五十三条之一第三款规定的‘以其他方法非法获取公民个人信息’。”