網(wǎng)上投稿
2022年5月19日，江蘇省消保委發(fā)布了《新能源汽車行業(yè)不公平格式條款調(diào)查報告》（下稱“《調(diào)查報告》”），該報告選取了市場上具有一定知名度和影響力的14家新能源汽車企業(yè)的隱私政策、用戶協(xié)議等文本，從消費者權(quán)益保護角度一共梳理了十個方面的“不公平格式條款”問題，將汽車企業(yè)的目光聚焦到格式條款的合規(guī)問題上。本文擬就《調(diào)查報告》中公布的幾個問題進行簡要分析，結(jié)合我們在該領(lǐng)域的過往經(jīng)驗，從消費者權(quán)益保護視角審視數(shù)據(jù)合規(guī)問題，并為車聯(lián)網(wǎng)企業(yè)提供整改的思路和建議，供各同行討論及參考。
民法典規(guī)定，“采用格式條款訂立合同的，提供格式條款的一方應(yīng)當(dāng)遵循公平原則確定當(dāng)事人之間的權(quán)利和義務(wù)?！痹摋l款確定了格式條款應(yīng)當(dāng)遵循公平原則的基本理念。市面上較多汽車企業(yè)在用戶協(xié)議、隱私政策這類文件中為了業(yè)務(wù)的便利而設(shè)置了相對嚴(yán)格的格式條款，也帶來了企業(yè)數(shù)據(jù)合規(guī)的問題。
一、格式條款文本篇幅長的問題
江蘇省消保委指出部分車企的用戶協(xié)議及隱私政策的文本字?jǐn)?shù)較多、篇幅較長、協(xié)議種類較多，不利于實現(xiàn)消費實質(zhì)公平。而隱私政策的文本是為了向用戶充分告知企業(yè)如何處理和管理用戶的個人信息，部分企業(yè)因業(yè)務(wù)龐雜，其業(yè)務(wù)場景、個人信息處理情況的內(nèi)容也相對較多，企業(yè)在力求精簡文本的同時也不可避免出現(xiàn)文本字?jǐn)?shù)較多的情況。
為更清晰地向用戶展示個人信息的處理情況，部分企業(yè)開始在向用戶提供隱私政策的同時在其APP上顯示簡化版的隱私政策。我們建議，企業(yè)也可以參考工信部《關(guān)于開展信息通信服務(wù)感知提升行動的通知》（即“524行動”）中提出的“雙清單”要求，一是“已收集個人信息清單”和“第三方共享信息清單”確實可以較為清晰地向用戶展示企業(yè)的數(shù)據(jù)處理情況，二是，“雙清單”目前雖然是僅針對部分互聯(lián)網(wǎng)大廠提出的要求，但可能會成為大型數(shù)據(jù)處理者的合規(guī)趨勢，企業(yè)可以提前進行規(guī)劃布局。
二、消費者權(quán)益保護問題
（一）協(xié)議主體不明確
《調(diào)查報告》首先指出的問題是協(xié)議主體不明確的問題。除民法典的規(guī)定外，在《個人信息保護法》中也規(guī)定了，個人信息處理者在處理個人信息前，應(yīng)當(dāng)向個人告知個人信息處理者的名稱或者名字和聯(lián)系方式等內(nèi)容。對于在用戶協(xié)議或隱私政策中尚未向用戶完整披露名稱和聯(lián)系方式的企業(yè)需要及時完成文本修訂，補充缺失信息。
而《調(diào)查報告》也提出很多企業(yè)采用了“參與服務(wù)的關(guān)聯(lián)企業(yè)或第三方”的表述，使用戶無法準(zhǔn)確知曉協(xié)議的具體交易對象。對于很多企業(yè)而言，實踐中確實存在多個主體為用戶提供服務(wù)、多個主體處理個人信息的情形，我們建議，企業(yè)首先應(yīng)厘清業(yè)務(wù)中多個主體之間的合作方式，與關(guān)聯(lián)企業(yè)之間是共同處理者的關(guān)系還是數(shù)據(jù)共享（對外提供）的關(guān)系，與第三方之間是數(shù)據(jù)共享（對外提供）的關(guān)系還是委托處理的關(guān)系。在厘清法律關(guān)系的性質(zhì)后，對應(yīng)不同行為的合規(guī)要求，履行相應(yīng)的合規(guī)義務(wù)，包括充分向用戶告知每個交易對象的主體名稱等。
（二）侵害消費者自主選擇權(quán)和公平交易權(quán)
江蘇省消保委在《調(diào)查報告》中指出，車企單方無限制修改協(xié)議的條款侵害了消費者的自主選擇權(quán)和公平交易權(quán)，企業(yè)在用戶協(xié)議中設(shè)置了企業(yè)可單方面修改、更新協(xié)議的權(quán)利，同時免除單獨通知消費者的義務(wù)，而為用戶設(shè)置了自行關(guān)注協(xié)議更新的義務(wù)，且采用了默示同意的方式獲取用戶的同意。在該條款的設(shè)置上，用戶被設(shè)置不公平條款而處于弱勢地位。
其實部分企業(yè)在設(shè)置此類條款時更多是為了方便開展業(yè)務(wù)的考量，然而企業(yè)也應(yīng)當(dāng)重視協(xié)議修改更新后可能對用戶權(quán)益產(chǎn)生的影響。因此，我們建議，企業(yè)可以在用戶協(xié)議更新后通過“彈窗”等方式通知用戶并提示用戶注意變更的內(nèi)容，且更新后的協(xié)議應(yīng)當(dāng)重新獲取用戶的同意。當(dāng)涉及到重大權(quán)益變更的時候，如產(chǎn)品價格的調(diào)整等，企業(yè)可以提前向用戶發(fā)布公告，由用戶自行選擇是否接受變更后的條件。同時，企業(yè)也可以增加用戶意見反饋渠道，接受用戶的投訴建議并及時給予反饋，這也是促進業(yè)務(wù)良性發(fā)展的途徑之一。
（三）網(wǎng)絡(luò)安全漏洞過度免責(zé)
江蘇消保委還指出車企在提供網(wǎng)絡(luò)服務(wù)過程中，設(shè)置了較為寬泛的網(wǎng)絡(luò)安全漏洞的免責(zé)條款。因《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》中對企業(yè)提出了在網(wǎng)絡(luò)安全等級保護制度的基礎(chǔ)上，履行數(shù)據(jù)安全保護義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。那么企業(yè)在用戶協(xié)議中為自己設(shè)置較為寬泛的網(wǎng)絡(luò)安全漏洞的免責(zé)條款，實則免除了企業(yè)根據(jù)法律規(guī)定應(yīng)當(dāng)履行的網(wǎng)絡(luò)數(shù)據(jù)安全保障義務(wù)。當(dāng)然，由于技術(shù)發(fā)展的限制問題，企業(yè)確實無法防范所有的計算機病毒或網(wǎng)絡(luò)攻擊，因此，我們建議，企業(yè)更應(yīng)加強風(fēng)險監(jiān)測，發(fā)現(xiàn)數(shù)據(jù)安全缺陷、漏洞等風(fēng)險時，立即采取補救措施。而車企和車聯(lián)網(wǎng)服務(wù)平臺運營企業(yè)可能會構(gòu)成關(guān)鍵信息基礎(chǔ)設(shè)施的經(jīng)營者，那么相應(yīng)地，經(jīng)營關(guān)鍵信息基礎(chǔ)設(shè)施的企業(yè)應(yīng)當(dāng)設(shè)置網(wǎng)絡(luò)安全監(jiān)測預(yù)警制度以及網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，通過技術(shù)配套制度履行網(wǎng)絡(luò)數(shù)據(jù)安全保障義務(wù)。
三、消費者個人信息保護合規(guī)問題
江蘇消保委在《調(diào)查報告》中也反饋了消費者個人信息保護中存在的問題，問題聚焦在個人信息的收集、使用、提供（共享）、跨境提供以及用戶權(quán)利的響應(yīng)等方面。結(jié)合我們?yōu)檐嚻筇峁?shù)據(jù)合規(guī)服務(wù)的實踐經(jīng)驗，這類問題確實是現(xiàn)階段企業(yè)在個人信息保護合規(guī)中存在的重點和難點問題。
（一）個人信息的收集
《調(diào)查報告》提到智能網(wǎng)聯(lián)汽車的個人信息默認(rèn)不收集原則，《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》中提出的默認(rèn)不收集原則是指除非駕駛?cè)俗灾髟O(shè)定，每次駕駛時默認(rèn)設(shè)定為不收集狀態(tài)。而車企不收集特定的汽車數(shù)據(jù)則無法實現(xiàn)諸如自動駕駛、輔助駕駛等功能，這就要求企業(yè)進一步完善駕駛?cè)说氖跈?quán)機制，在具體的場景中合理適當(dāng)?shù)卦O(shè)置駕駛?cè)俗灾髟O(shè)定流程以完成授權(quán)。
收集個人信息必要性原則要求企業(yè)進一步審視收集的每一項個人信息種類是否都滿足最小必要的原則，是否與收集目的直接相關(guān)，是否對個人權(quán)益影響最小。尤其在收集用戶的敏感個人信息時，還需要向用戶告知處理該敏感個人信息的必要性以及對個人權(quán)益的影響。
（二）個人信息的使用
數(shù)據(jù)的價值也體現(xiàn)在對數(shù)據(jù)的二次開發(fā)利用上，企業(yè)收集個人信息后除用于業(yè)務(wù)開展中，也希望通過對數(shù)據(jù)進行分析加工，更多地發(fā)揮數(shù)據(jù)的價值，再通過改進服務(wù)從而改善用戶體驗，促進業(yè)務(wù)的良性發(fā)展。此外，企業(yè)也可以通過對用戶進行定向營銷開展推廣活動。這里面存在的合規(guī)風(fēng)險是，在進行個人信息的分析時企業(yè)有沒有做到個人信息的匿名化處理，對于無法滿足匿名化要求的企業(yè)來說，分析加工個人信息的行為應(yīng)當(dāng)事先向用戶披露并取得用戶的同意。而企業(yè)通過對個人信息的分析形成用戶畫像，并進行用戶個性化推薦、定向營銷和推廣時涉及到自動化決策的問題，企業(yè)不得設(shè)置不合理的差別待遇，如“大數(shù)據(jù)殺熟”，或者為用戶提供拒絕個性化推薦、拒絕定向營銷推廣的途徑，且該途徑應(yīng)是便捷、可實現(xiàn)的。
（三）單獨同意的特殊場景
《個人信息保護法》對個人信息提供（共享）、公開、處理敏感個人信息、個人信息出境等場景規(guī)定了單獨同意的要求。對于此類場景，企業(yè)如在隱私政策中通過一攬子的方式獲取同意顯然是不符合合規(guī)要求的。因此，我們建議，企業(yè)應(yīng)當(dāng)對單獨同意的場景進行梳理，針對具體的場景來設(shè)計滿足合規(guī)要求的處理方式。
（四）刪除權(quán)的響應(yīng)
在個人權(quán)利的響應(yīng)方面，江蘇省消保委著重關(guān)注了刪除個人信息的響應(yīng)問題。在《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》中規(guī)定了個人要求刪除敏感個人信息的，汽車數(shù)據(jù)處理者應(yīng)當(dāng)在十個工作日內(nèi)刪除。車企應(yīng)當(dāng)注意到該規(guī)定中提出的特殊要求，以避免出現(xiàn)合規(guī)風(fēng)險。
然而企業(yè)在響應(yīng)用戶的刪除權(quán)時也面臨著平衡企業(yè)權(quán)益的實際問題，如用戶“薅羊毛”行為，利用刪除權(quán)不斷地參與新用戶活動，或者用戶在與企業(yè)之間面臨仲裁訴訟的風(fēng)險時向企業(yè)提出刪除權(quán)要求等。因此，我們建議，企業(yè)應(yīng)在響應(yīng)用戶刪除權(quán)的同時也需要在維護企業(yè)利益中尋找一個平衡點。目前的法律規(guī)定中暫未對此進行規(guī)定，《個人信息保護法》第四十七條第二款規(guī)定目前也無法適用于前述場景。我們認(rèn)為，企業(yè)可以在用戶提出刪除權(quán)的響應(yīng)過程中，與用戶進行公平合理的約定，達(dá)成用戶與企業(yè)之間關(guān)于實現(xiàn)刪除權(quán)的協(xié)議，在響應(yīng)用戶刪除權(quán)的同時平衡企業(yè)的合理利益。
四、總結(jié)
我們理解江蘇省消保委出具的《調(diào)查報告》是針對車企協(xié)議中格式條款的合規(guī)情況做的一個摸底調(diào)查，部分問題也存在一定的爭議，如在約定查詢回復(fù)的響應(yīng)過長的問題上，消保委引用的《信息安全技術(shù)網(wǎng)聯(lián)汽車采集數(shù)據(jù)的安全要求（草案）》能否直接適用該場景存在一定的探討空間。我們期待，江蘇省消保委在下一步與被調(diào)查車企開展約談，督促被調(diào)查車企進行整改的過程中，能給市面上企業(yè)的格式條款的合規(guī)整改提供切實可行的整改方向。
滬公網(wǎng)安備 31010402007129號
