APP個人信息使用合規問題不容忽視——數據合規角度看“給差評遭上門報復”案

近日，上海的張女士稱自己點了一份餓了麼外賣，因自己一直在通話外賣員未能打入，後訂單顯示已經送達。騎手錶示，要明天才能配送。隨後，張女士提交了差評。該外賣員次日上門報復，砸門、辱罵恐嚇張女士：“差評給我取消掉！3分鐘解決不了，我就弄死你！”張女士在恐嚇下轉給外賣員200元“賠償”。報警後該外賣員因尋釁滋事被拘留10天。張女士稱，在向餓了麼投訴後，對方只是提出補償100元優惠券。

雖然只是個案，但由於該事件極度貼近生活，經互聯網傳播後還是引起網民的高度關注和熱議，人民日報官方微博賬號也對類似事件進行了評論。網民議論的話題很多：涉事張女士是否存在過錯、外賣騎士評價體系是否科學、惡意差評問題如何解決等。本文要探討的問題是：假定APP平臺方將差評的評價人地址信息直接或間接提供給外賣騎士，是否存在法律風險？該問題涉及數據安全、個人信息保護的相關法律規定。

爲方便論述，筆者將案例中涉及到的個人信息抽象和精簡爲兩條來進行討論，即差評信息和評價人地址信息。以下按照個人信息界定、數據法律關係主體識別、數據環節識別、個人信息使用處理原則、行爲性質及合規建議的順序逐一討論。

一、案例中的差評信息、評價人地址屬於個人信息

從個人信息定義來看，我國採取的定義模式既不是過於狹隘的“隱私型”定義，也不是過於寬泛的“關聯性”定義，而是“識別型”定義模式，強調信息與信息主體之間被直接或間接“認出來”的可能性。《網絡安全法》第76條第5項規定的“能夠單獨或者與其他信息結合識別自然人個人身份”就是該定義模式的體現。《民法典》第1034條第2款基本沿襲《網絡安全法》的定義，即“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息”。從這一定義來看，差評信息和評價人地址顯然都能夠起到識別特定自然人的作用，屬於用戶的個人信息。

二、用戶是個人信息主體、APP平臺方是數據控制者和數據處理者

在數據法律關係中，數據主體、數據控制者、數據處理者都佔有一定地位，數據權力體系的構建，實質就是將權利義務在這些主體之間進行平衡的過程，對個人信息保護至關重要。

雖然現行法律沒有對數據主體作出明確規定，但數據法的通說觀點就是通過個人信息已識別或可識別的自然人。《信息安全技術 個人信息安全規範》第3.3條規定，個人信息主體（personal data subject）是“個人信息所標識或者關聯的自然人”。很明顯，案例中的用戶就是其個人信息的主體。

“數據控制者”首次在法律文本中的確立是經濟合作與發展組織（OECD）1980年發佈的《隱私保護與個人數據跨境流動指南》，定義是：“根據各國法律能夠決定個人數據內容和用途的主體，無論該數據是由其本人還是由其代理人收集、存儲、處理和傳播的。”歐盟GDPR作爲全球個人數據保護法律體系的典範，主要規範的義務主體是“數據控制者”和“數據處理者”。GDPR第4條第7款規定，數據控制者是能夠單獨或聯合決定個人數據處理目的和處理方式的自然人、法人、公共機構、行政機關或其他非法人組織。對“數據處理者”的定義則是：“數據處理者是爲數據控制者處理個人數據的自然人、法人、公共機構、行政機關或者其他非法人組織。”之所以進行區分是因爲相對成熟的數據法律體系中對數據控制者和數據處理者規定的義務是有所區別和側重的。

我國與個人信息保護有關的立法是分散的，並未擬製共同的特定義務主體，僅有爲數不多的幾部法律規範對信息利用主體進行了界定。《全國人大常委會關於加強網絡信息保護的決定》中提及的義務主體是網絡服務提供者和其他企業事業單位。《網絡安全法》中也沒有“數據控制者”“數據處理者”的概念，其規範的主體有網絡運營者、關鍵信息基礎設施（CII）運營者、網絡產品或服務的提供者。爲了方便處理，本文採用了通說和控制範圍更廣泛的概念。案例中APP平臺方作爲“數據控制者”和“數據處理者”的主體地位也是易於識別、不存在爭議的。

三、案例中提供個人信息的行爲屬於對數據的“披露”或“使用”

對數據流程不同階段的劃分，不同學科、不同理論、不同運用場景下會有不同的劃分方式。數據流程理論將劃分爲數據採集、輸入、處理、加工和輸出，大數據處理場景下會把數據流程分爲收集、存儲、變形、分析四個環節。從數據安全、合規監管等角度出發，較多的劃分方式是個人信息收集、存儲、使用、處理、共享、轉讓、披露、跨境等環節。

案例中，用戶地址是平臺在爲用戶提供服務之前就已經收集到的，也是用戶爲了享受外賣服務必須提供的信息。平臺收集地址信息後在特定外賣訂單服務將其通過“派單”形式提供給特定外賣騎手，該行爲是外賣平臺主要服務內容，屬於對該數據的正常、合法使用，當然也是得到用戶授權和同意的。差評信息也是用戶在平臺上作出差評操作後產生、並同步被平臺採集的數據。爲了讓評價體系發揮作用，用戶對平臺收集差評信息當然是同意的，但對於平臺方會如何使用差評信息，用戶並沒有太多的選擇權。大體上說，對外賣產品的服務評價體系的主要作用是APP平臺方用以考評商家和騎手、計算業績、促進服務質量的提升，因此如果APP平臺將差評信息反饋或披露給商家、騎手屬於對數據的使用。

四、個人信息使用與處理的原則

（一）合法、公平和必要原則

也是數據處理最基本的原則之一。合法是對個人信息使用和處理最基本的原則要求，包括依法合法、方式合法、結果合法等多方面內容。公平原則即正當原則，一方面強調使用和處理個人信息應當具有正當目的，另一方面明確在個人信息處理行爲中應遵循權責一致、責任明確的原則。必要原則又稱數據最小化或最小必要原則，要求使用和處理個人信息要以充分、相關爲要求，並以該個人信息處理目的之必要爲限度。

（二）透明度原則

即應以透明的方式處理與主體有關的個人信息。印度《個人數據保護法（草案）》第23條規定透明度要求“處理一般信息應公示、重要操作要通知”。加拿大《個人信息保護法》提出的開放性原則也有類似含義。我國《民法典》第一千零三十五條也指出，處理個人信息應公開處理信息的規則並明示處理信息的目的、方式和範圍。

（三）同意原則

個人信息的使用與處理須經過數據主體的同意，又稱告知同意原則。國內外立法普遍認爲同意原則貫穿個人信息收集、使用、處理、轉讓和共享等多個環節，也是合法性基礎之一。當然立法在確立同意原則的同時也會對例外情況作出規定，屬於合理使用範圍，但是必須遵循法律明文規定。

（四）目的限制原則

指數據處理者應當在法律、行政法規的規定和與用戶約定的範圍限制內處理和使用數據，包含目的合法和符合約定兩項限制。例如《網絡安全法》第41條要求網絡運營者不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息，並應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人信息。

（五）保密性原則

個人信息的保密性原則要求數據處理者採取有效措施和手段保障數據的完整性、準確性和機密性，在存儲或傳輸過程中不被修改、破壞、插入，採取有效措施確保數據不被泄露給非授權的個人和組織。

（六）主體參與原則

又稱個人蔘與原則，指通過個人信息主體的參與和控制，對數據控制者和數據處理者的數據使用和處理行爲實現及時、有效的約束和修正。

五、案例中APP平臺的行爲涉嫌違規向第三方提供個人信息

如前文分析，用戶做出差評行爲的前提是同意APP平臺採集和使用差評信息的，但具體如何披露和使用，APP平臺並沒有提前對用戶明示或者徵得用戶同意。例如用戶對其自己給出的差評能否即時披露給騎手、什麼時間會披露、披露哪些信息都是不清楚的，由此纔出現互聯網上關於騎手是如何得知差評評價人地址信息的廣泛討論。

APP平臺將差評信息，關鍵是連同評價人的地址信息一併向騎手披露的行爲，無異於在匿名選舉投票後向候選人披露選票內容和對應的投票人情況，一定會對投票人造成安全隱患。當然也有網民稱打差評就是爲了讓騎手知道，從而促使其有針對性地提升服務質量。但可以肯定的是，如果給用戶選擇的權利，至少不會所有用戶都選擇即時向被評價人披露差評信息以及與差評訂單相關的用戶信息。對照個人信息使用的原則規定就能夠發現，該行爲至少違反了必要原則、透明度原則、保密性原則等，涉嫌違規向第三方提供個人信息。

從2019年多部門聯合開展的APP違法違規收集使用個人信息專項治理中通報的結果看，被通報的57款APP中有47款都存在違規向第三方提供個人信息的行爲。當然，該違規行爲更常見的表現是未詳細公開第三方SDK收集使用個人信息的目的、類型或未公開APP委託或嵌入的第三方代碼、插件等。雖然表現形式不同，但是性質是一樣的。當然，本文探討的案例中，是不是平臺方將差評信息及評價人地址提供給騎手有待進一步討論。但即使是騎手通過其他方式得到相關信息，平臺方也應當擔負起更多的社會責任，從制度上、技術上彌補相關漏洞。所幸本文探討的案例並沒有造成更嚴重的後果，涉事騎手僅被採取行政拘留，如果騎手實施了危及用戶生命安全、身體健康的更嚴重的行爲，後果將不堪設想，平臺方所承擔的法律責任也將更加重大。

六、合規建議及本案啓示

本文探討案例中涉嫌的違規問題，合規整改的思路也是非常清晰的。從必要原則和保密性原則出發，可以對差評信息的披露內容進行限縮，不披露評價人的具體信息，或者在披露前對具體的個人信息作相應隱藏和脫敏處理，使被評價人不能將差評與訂單、評價人形成聯繫。從透明度和同意原則出發，應當向用戶公開評價體系實施的具體方式，尤其是用戶對相關商家、騎手進行評價後，評價信息、個人信息會如何向被評價人進行披露、什麼時間披露、披露範圍是什麼。從主體參與原則出發，甚至可以開發個性化的評價體系，由用戶對評價信息的披露時間、內容、方式進行個性化選擇。這些解決方案和合規建議從技術實現上並不是難題，最重要的是企業要從思想上提升對數據合規問題重要性和必要性的認識，並將該思想認識貫徹到個人信息和數據運用的全流程各環節中。

本文討論的案例雖然只是一起個案和小案，但是背後反映出的是移動互聯網信息技術飛速發展現狀下個人信息保護、數據合規的必要性和緊迫性。隨着國內立法的逐步完善，我國對APP運營平臺的規制手段也在不斷加強，對涉及個人信息違法犯罪行爲打擊力度不斷增大，相關監管部門的專項整治也還在向縱深開展。從近期證監會發審委披露的對IPO被否決企業的聆訊問題來看，針對用戶數據收集、處理的合規性（數據合規問題）已經成爲證監會重點關注的問題之一，併成爲影響企業上市成功與否的重要因素。數據合規已經成爲關係到APP平臺、網絡運營者生死存亡的課題。

正如人民日報對本案的評論，“相關平臺不能在糾紛爭議面前做鴕鳥，既保護消費者差評的權利，也維護外賣員正當的權益，這是一道必答題”。同樣，相關企業也不可能在網絡安全和數據合規的大潮中做鴕鳥，既享受技術發展帶來的紅利，又履行好網絡安全、個人信息保護職責，同樣是一道必答題。