深圳出台数据条例新规 对“不全面授权就不让使用”、大数据“杀熟”等行为说不

近年来，一些APP存在过度索权、过度收集个人信息等侵犯消费者隐私的现象，甚至有些APP用户不同意全面授权，就无法使用。此外，APP还存在大数据“杀熟”、强制推荐个性化广告等行为。

7月6日，针对此类现象，深圳市出台《深圳经济特区数据条例》，条例将于明年1月1日起，正式实施。据悉，这是国内数据领域首部基础性、综合性立法。

对此，深圳市人大常委会召开法规解读会，对该条例进行了解读。

明确处理个人数据的基本原则

《条例》参考《中华人民共和国个人信息保护法（二次审议稿）》（以下简称《个人信息保护法（二稿）》）以及国家推荐性标准《信息安全技术 个人信息安全规范》（GB/T 35273—2020）（以下简称《个人信息安全规范》）等相关规定确立了处理个人数据的基本原则，即处理个人数据应当具有明确、合理的目的，并遵循最小必要和合理期限原则；同时，针对公众普遍关注的最小必要原则的具体内涵，《条例》进一步明确，即限于实现处理目的所必要的最小范围、采取对个人权益影响最小的方式处理个人数据，并例举了五种符合最小必要原则的具体情形。

确立以“告知——同意”为前提的个人数据处理规则

据了解，目前，我国互联网用户量已达9亿，应用程序数量数百万个。当前，一些移动互联网应用程序（APP）通过“一揽子协议”将收集个人数据与其功能或服务进行捆绑，用户不同意全面授权，就无法使用该APP。不少用户往往被迫接受“一揽子协议”，这严重损害了用户作为个人数据主体的决定权。

针对这一问题，《条例》确立以“告知-同意”为前提的个人数据处理规则：

一是处理个人数据具有告知义务，应当在处理前向自然人告知数据处理者的基本信息，处理个人数据的种类、范围、目的和方式，存储个人数据的期限，可能存在的安全风险、采取的安全保护措施，以及自然人依法享有的权利、行使权利的方式等事项。

二是处理个人数据应当征得自然人的同意，在其同意的范围内处理其个人数据，不得通过误导、欺骗、胁迫等违背自然人真实意愿的方式获取同意，并对同意规则的例外情形作出了规定。

三是针对自然人撤回同意的情形，规定数据处理者应当提供撤回同意的途径，不得对撤回同意进行不合理限制或者附加不合理条件；并在立法中首次认可了数据处理者在自然人撤回同意前基于同意进行的合法数据处理的有效性。

合理限制生物识别数据的处理

“人脸识别”“指纹验证”“声音解锁”“虹膜识别”等生物识别技术在刑侦、治安、金融、医疗、交通、学校、支付等场景大范围使用，深刻改变了人们的生产生活方式。但是由于生物识别数据具有唯一性、终生性、不可更改性，一旦泄露或者被滥用，将造成较一般个人数据更为严重的损害后果。

为了在拓展生物识别技术应用的同时，避免生物识别数据的滥用，《条例》对处理生物识别数据作出了较处理其他数据更加严格的规定，要求处理生物识别数据时，除该生物识别数据为处理个人数据目的所必需，且不能为其他非生物识别数据所替代的情形外，应当同时提供处理其他非生物识别数据的替代方案。

规范用户画像和个性化推荐的应用

银保监会郭武平：异地跨行取现降费幅度达到80%以上、相对同城降幅更明显

近日，中国银行业协会、中国支付清算协会联合倡议降低自动取款机跨行取现手续费。

用户画像和个性化推荐的应用，为人们提供了更加精准、个性化的商品和服务，但同时也带来了一些负面影响，如“信息茧房”。

为了在尽可能尊重和保障自然人对处理其个人数据的决定权的同时，不阻碍用户画像和个性化推荐等新兴数据应用技术的发展，《条例》首创性地规定，数据处理者基于提升产品或者服务质量的目的，对自然人进行用户画像的，应当明示用户画像的主要规则和用途；自然人有权拒绝数据处理者对其进行上述用户画像和基于用户画像进行的个性化推荐，数据处理者应当为其提供拒绝的途径。

强化对未成年人个人数据的保护

《条例》将未满十四岁未成年人的个人数据视作敏感个人数据，首次在国内立法中明确。

针对未成年人用户画像问题，虽然未成年人用户画像有诸多有益应用，如在线教育APP针对不同特征的学生有的放矢地制定相应的教学方案，但由于未成年人缺乏基本的辨识认知能力，难以辨别对其进行的个性化推荐是否符合其自身利益，因此，《条例》首次在国内立法中明确，除为了维护未满十四周岁未成年人的合法权益并征得其监护人明示同意外，不得向其进行个性化推荐。

公共数据最大限度开放利用

在公共数据方面，《条例》就公共数据开放确立了分类分级、需求导向、安全可控的原则，要求公共数据应当在法律、法规允许范围内最大限度开放。一是最大限度界定公共数据范围，规定公共管理和服务机构在依法履行公共管理职责或者提供公共服务过程中，产生、处理的数据均属于公共数据。明确将提供教育、卫生健康、社会福利、供水、供电、供气、环境保护、公共交通和其他公共服务的组织纳入公共管理和服务机构范围。二是建设统一、高效的公共数据开放平台，组织公共管理和服务机构通过平台向社会开放公共数据。三是公共数据依照法律、法规规定开放，不得收取任何费用。

大数据“杀熟”最高可罚五千万元

针对大数据杀熟等现象，《条例》在《中国人民共和国反不正当竞争法》的基础上，总结近年来数据要素市场不正当竞争司法案例的审判经验，借鉴国务院反垄断委员会《关于平台经济领域的反垄断指南》，在国内立法中首次确立数据公平竞争有关制度，针对数据要素市场“搭便车”“不劳而获”“大数据杀熟”等竞争乱象，创新性规定市场主体不得以非法手段获取其他市场主体的数据，或者利用非法收集的其他市场主体数据提供替代性产品或者服务，侵害其他市场主体的合法权益；不得利用数据分析，无正当理由对交易条件相同的交易相对人实施差别待遇；不得通过达成垄断协议、滥用在数据要素市场的支配地位、违法实施经营者集中，排除、限制数据要素市场竞争。

《条例》对数据不正当竞争行为规定了相应的法律责任，明确规定市场主体不得使用非法手段获取其他市场主体数据，不得非法收集其他市场主体数据提供替代性产品或者服务，不得通过数据分析无正当理由对交易条件相同的交易相对人实施差别待遇。违反上述规定拒不改正的，处五万元以上五十万元以下罚款，情节严重的，处上一年度营业额百分之五以下罚款，最高不超过五千万元。

网友：建议全国推广

在规定出台之后，网友纷纷表示，建议全国推广。

近年来，数据已是新型生产要素，立法是大势所趋。据悉，上海、北京的数据立法工作也正在紧密锣鼓推进。此前，天津、贵州、安徽等地的政府大数据或公共数据相关立法先后发布。今年5月末，上海召开了数据立法研讨会，聚焦《上海市数据条例（暂定名）》。此外，山东、黑龙江、北京等地也处于征求意见或启动立法阶段。

根据《App违法违规收集使用个人信息行为认定方法》，征得用户同意前就开始收集个人信息或打开可收集个人信息的权限，被认定为“未经用户同意收集使用个人信息”。2020年，工信部以及地方通信管理局多次通报了近300款APP存在该行为。

而在日前，网信中国发布关于下架“滴滴出行”App的通报。通报称，根据举报，经检测核实，“滴滴出行”App存在严重违法违规收集使用个人信息问题，决定下架“滴滴出行”APP。此外，网信办还启动对“运满满”“货车帮”“BOSS直聘” 网络安全审查，要求审查期间停止新用户注册。