《民法典》时代,企业如何合法收集使用消费者个人信息?

2021-05-08 09:17:04 作者 : 知产商事部

消费者在享受互联网快速发展带来的各种便利时,个人信息泄露、盗用、贩卖事件时有发生,骚扰、诈骗电话和邮件肆虐横行,已成为全社会和广大消费者普遍担忧的问题。


2021年1月1日正式开始施行的《民法典》新设一章对隐私权和个人信息进行保护,对于公民的个人信息保护有了更系统的规定。新《民法典》下,我们到底该如何合法收集使用消费者个人信息呢?



个人信息的法律定义

首先,我们来看一下哪些是《民法典》保护的个人信息。
第一千零三十四条  自然人的个人信息受法律保护。
个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息,包括自然人的
姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。
个人信息中的私密信息,适用有关隐私权的规定;没有规定的,适用有关个人信息保护的规定。
从该条可以看出,个人信息的范围是比隐私的范围要大的,个人信息包括了隐私,个人信息中的私密信息,适用有关隐私权的规定,个人信息中的非私密信息,如姓名、出生日期、住址、电话号码、电子邮箱等适用有关个人信息保护的规定。

个人信息的收集需要合法合规

告知+同意:告知收集、使用信息的目的、方式和范围,并经过权利人同意,方可收集个人信息。实践中很多企业或门店未告知,就开始收集他人的个人信息,更别谈经过同意,这都是为法律所禁止的。
以下行为可被认定为“未经用户同意收集使用个人信息”:
1、征得用户同意前就开始收集个人信息或打开可收集个人信息的权限;
2、用户明确表示不同意后,仍收集个人信息或打开可收集个人信息的权限,或频繁征求用户同意、干扰用户正常使用;
3、实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围;
4、以默认选择同意隐私政策等非明示方式征求用户同意;
5、未经用户同意更改其设置的可收集个人信息权限状态,如App更新时自动将用户设置的权限恢复到默认状态;
6.利用用户个人信息和算法定向推送信息,未提供非定向推送信息的选项;
7、以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限,如故意欺瞒、掩饰收集使用个人信息的真实目的;
8、未向用户提供撤回同意收集个人信息的途径、方式;
9、违反其所声明的收集使用规则,收集使用个人信息。
相关案例

央视315晚会曝光监控自动抓取人脸数据,万店掌等机构被点名
根据央视报道,万店掌推出的具有“人脸识别”功能的摄像头,在科勒卫浴等多个店铺门店安装后,未经用户许可抓取人脸数据,对用户的性别、年龄甚至心情等进行分析。
根据介绍,万店掌是一个连锁企业门店远程监督服务云平台,主要为用户提供远程视频巡店、客流统计、热点分析等功能。同时,平台可将门店相关信息和权限分配给每个人,用户可通过客户端查看。根据万店掌官网展示的“成功案例”,除了科勒卫浴外,公司线下客户还包括戴尔等。



个人信息的使用需要合法合规


实践中,大量企业违规收集个人信息,甚至收集与其提供商品或服务无关的个人信息,这些行为都是被禁止的。即便是经过同意,合法收集的信息,也不得超出约定使用,如果未经用户同意,也不得通过合法获取的用户信息向用户发送其他商业广告或者于其他商业目的中使用,否则就可能会构成侵权。

第一千零三十五条 处理个人信息的,应当遵循合法、正当、必要原则,不得过度处理......个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。

之前,“Paintly”APP(版本号:V2.1.6.3)被认为存在超范围收集用户信息问题。陕西省西安市公安局已依法责令该公司改正违法行为。

对个人信息的保密义务


第一千零三十八条 信息处理者不得泄露或者篡改其收集、存储的个人信息;未经自然人同意,不得向他人非法提供其个人信息,但是经过加工无法识别特定个人且不能复原的除外。
从以上规定可以看出,即便是合法收集、使用的个人信息,未经自然人同意,也不得向他人提供或公开他人信息,但是如果对个人信息进行了处理,比如隐去了姓名、肖像、社会职务等具有身份识别的信息,已经无法识别到特定个人且不能复原的除外。实践中,有些企业对收集的个人信息,不但自己使用,还会提供给其他公司或个人使用,或者要求其他公司将收集的个人信息提供给自己使用,这也是为法律所禁止的。
企业除了不能主动泄露或提供以外,还应当采取技术措施和其他必要措施,确保其收集、存储的个人信息安全,防止信息泄露、篡改、丢失。因此,企业应当将收集、存储的个人信息当做自己企业的商业秘密一样保护。一旦发生或者可能发生个人信息泄露、篡改、丢失的,应当及时采取补救措施,按照规定告知自然人并向有关主管部门报告。
相关案例

用户庞某在去哪儿网购买了机票后,收到的诈骗短信显示了所买航班的起飞时间、降落时间、机场名称、航班号等,他认为这些信息是由去哪儿网泄露,遂提起诉讼;北京市第一中级人民法院认定去哪儿网构成侵权,需向庞某赔礼道歉。



处理个人信息的免责条款


法律在保护个人信息的同时,为了平衡保护个人信息和保护公共利益之间的关系,还规定了在某些情形下可以合理使用他人个人信息的情形。那么,有哪些是法律规定的可以免责的情形呢?

第一千零三十六条 处理个人信息,有下列情形之一的,行为人不承担民事责任:
(一)在该自然人或者其监护人同意的范围内合理实施的行为;
(二)合理处理该自然人自行公开的或者其他已经合法公开的信息,但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外;
(三)为维护公共利益或者该自然人合法权益,合理实施的其他行为。

从上述法律,我们也可以看出对于个人或者企业来说,想要合法使用他人个人信息且不经过权利人同意是比较困难的。因此,我们在使用他人个人信息时最好经过权利人的同意,以降低侵权的法律风险。


侵犯个人信息的法律责任


(一)刑事责任
《刑法》第二百五十三条 之一 【侵犯公民个人信息罪】违反国家有关规定,向他人出售或者提供公民个人信息,情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金; 情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。
违反国家有关规定,将在履行职责或者提供服务过程中获得的公民个人信息,出售或者提供给他人的,依照前款的规定从重处罚
窃取或者以其他方法非法获取公民个人信息的,依照第一款的规定处罚。
单位犯前三款罪的,对单位判处罚金,并对其直接负责的主管人员和其他直接责任人员,依照各该款的规定处罚。
(二)民事责任
侵犯个人信息的,应当承担停止侵害、排除妨碍、消除危险、消除影响、恢复名誉、赔礼道歉、赔偿损失等民事责任。
相关案例

郭某某侵犯公民个人信息案——将在提供服务过程中获得的公民个人信息出售、提供给他人的,构成侵犯公民个人信息罪
基本案情:
  被告人郭某某利用其原在某信息技术服务公司工作的便利和通过QQ群交换等途径,非法获取楼盘业主、公司企业法定代表人及股民等的姓名、电话、住址及工作单位等各类公民个人信息共计185203条,上传存储于“腾讯微云”个人账户内。后通过QQ群发布信息,将上述非法获取的公民个人信息出售给他人,从中非法获利人民币4000元。法院以侵犯公民个人信息罪判处被告人郭某某有期徒刑七个月,并处罚金2000元。




建议企业对现有经营活动主动进行合规审查,设立专员或可委托专业人员(如律师)对日常经营过程中的此类风险做好预防和控制,并及时关注个人信息保护方面的最新政策和合规指引,以避免不必要的民事、行政甚至刑事风险。