未成年人个人信息保护中监护人同意之完善

■徐培颖

（杭州师范大学，浙江 杭州 310000）

信息科技在为人们带来便捷的同时也使得人们陷入个人信息泄露的担忧之中，“人类正生活在文明的火山口上”[1]。由于未成年人的特殊性，未成年人个人信息法治保护已成为一项世界议题。监护人同意制度是未成年人个人信息法治保护的核心，各国在法律制度中普遍设计了监护人同意这一制度。我国《民法典》《未成年人保护法》以及《儿童个人信息网络保护规定》仅对监护人同意和相关的告知说明义务进行了纲领性规定，使得实践中这一制度的落实成为未成年人个人信息实现有效保护的最大困难。鉴于此，本文将从监护人同意制度的理论基础出发，围绕监护人同意制度的实践困境展开讨论，通过细化相关法律适用使得这一制度在未成年人个人信息法治保护的实践中折射出其应有的制度价值。

一、监护人同意制度的理论回溯

监护人同意制度孕育于欧美的个人信息保护控制理论和亲权、监护理论。

个人信息保护控制论肇始于欧洲基于人的尊严保护的个人数据保护理论和美国基于个人自由保护的隐私理论。尽管两个法域的理论基础不同，但其结论都是个人应当有权控制其个人信息的使用，以实现对个人自治（独立人格和自由意志）等基本权利的保护[2]。而这种基本权利成年人拥有，未成年人也应享有。但是基于未成年人的理性瑕疵，面对多发、隐蔽的信息侵权，势必需要监护人或父母的代位保护和帮助。

亲权制度的核心在于父母对未成年子女的哺育、监护或教育。亲权建立在血缘关系的基础上，依法律规定而发生，专属于父母，被视作父母对人类社会的天职[3]。未成年人个人信息的泄露给子女的安全带来巨大的风险，父母因此陷入担忧与痛苦。未成年人个人信息保护不仅与未成年人利益息息相关也与父母的亲权利益紧密连接。监护制度为保护无民事行为能力人和限制民事行为能力人的人身财产权益而设立。基于监护关系，监护人对未成年人的个人信息享有知情权，并在对外行为方面享有代理权，以此弥补未成年人的认知能力、行为能力缺陷，为其做出更符合自身利益的选择。

知情和同意两项权能的实现是个人信息保护法律体系构建的关键两环，因而父母替代子女行使其知情权和同意权成为未成年人个人信息保护的关键。未成年人个人信息保护是根植于信息控制基础上的权利保护，并由父母替代决定行使知情和同意权能的一种法律范式[4]。监护人同意制度有其正当性，但也存在天然的理论漏洞。监护人同意制度默认父母的亲权利益与未成年人的个人利益始终保持一致，父母基于亲权利益以及监护人责任而当然地基于未成年人的最大利益做出替代决定，然而事实是父母可能并不总是能够完全掌握未成年人的最大利益，甚至可能会成为孩子隐私的潜在侵犯者[5]。理论上的客观掣肘亟需实践性规范加以补足与完善。

二、监护人同意制度的现实样貌

（一）单一模式：年龄与内容的“一刀切”

关于“赋权与保护”（empowerment versus protection）的讨论在有关未成年人权利的相关讨论中并非是一个新话题，可以说是构成了整个未成年人权利体系设计的根本冲突。参与性（emancipatory）权利包括未成年人对“决策权”的诉求，与成人人权接近，例如表达和思想自由的权利。随着未成年人的长大，这一类权利应当被相应地赋予。保护性权利条款与参与性（emancipatory）权利条款之间存在天然的潜在紧张关系。未成年人的保护性权利源于他们的脆弱性、对成人的依赖以及对身心健康成长和教育的需要[6]。联合国《儿童权利公约》第3条确立了儿童最大利益原则，第12条规定确保有主见能力的儿童有权对影响到其本人的一切事项自由发表自己的意见，对儿童的意见应按照其年龄和成熟程度给以适当地看待。儿童最大利益的实现需要儿童本人的参与，但是一个未成年人在同时作为“成年人干预的受益者”和“有能力的社会代理人”的两个角色之间存在内在矛盾[6]。目前我国立法中采取的监护人同意机制，是建立在对未成年人保护而非赋权的理念基础上的。

《民法典》第1035条、《个人信息保护法》第28条、《未成年人保护法》第72条以及《儿童个人信息网络保护规定》第9条均规定处理不满14周岁未成年人个人信息应当征得未成年人的父母或者其他监护人同意。我国目前立法中采取的监护人同意机制是一刀切式的单一同意模式。单一同意模式体现在同意的主体单一以及同意的个人信息内容单一两部分。主体上，法律只对14周岁以下未成年人个人信息规则作出了规定，那么14至18周岁未成年人个人信息保护应该遵循怎样的规定？内容上，立法将14周岁以下未成年人个人信息一刀切式地全部划分为敏感信息完全适用监护人同意制度。尽管“法律、行政法规另有规定的除外”，但目前并未对此范围作出详细规定。内容上的完全适用实质上不是保护未成年人免受伤害，而是有可能限制所有未成年人的在线活动并限制未成年人自我发展能力的习得。单一同意模式将责任过多地加诸于监护人身上，也导致监护人陷入“同意疲劳”。

（二）实操性规范缺失：受限的监护人同意制度

监护人同意制度目前在一定程度上受到配套规则设计欠缺的影响而呈现出运行有限的态势，主要体现在年龄识别、告知同意以及同意验证三个部分。一是年龄识别之困。目前“青少年模式”是我国在法律框架下探索未成年人网络保护的主要尝试。大部分网络运营者都在其产品的隐私政策文件中明确青少年模式下个人信息处理的特殊保护。但这一模式存在程序化倾向，它的开启完全被动地依赖用户提供的年龄信息，后续也没有其他途径来核实，这实际上将是否适用未成年人网络保护这一问题交给了产品使用者本人,而未成年用户输入的年龄信息可能本身就是虚假的。二是告知同意之困。一方面，由于网络运营者提供的选择往往是“同意”或“退出”这种“二选一”式的选择，加之隐私政策文件繁杂冗长，在社会公众隐私保护意识待彰的当下大多监护人往往不加阅读即点“同意”。而这种“一揽子”式同意的授权方式也容易使得监护人及未成年人在日后遭遇信息侵权时束手无策。另一方面，网络运营者一味追求形式合规，过度依赖家长同意机制，希望通过获得同意“一劳永逸”，更加怠于进行实质保护的技术研究。三是同意验证之困。我国目前并未像美国《儿童在线隐私保护法》一样穷尽式列举所有可能的授权同意方式。在实践中，我国大部分网络运营者采取的是推定同意模式，对同意的验证可谓少之又少，已有验证方式的有效性也有待探讨。以爱奇艺奇巴布（爱奇艺儿童版）为例，在使用家长中心、账号注册登录、发布视频、购买服务等功能时，爱奇艺设计了家长验证功能，其验证方式是在五个汉字中找出一个四字成语以此验证家长同意[7]。这种成语题式的验证方式的确可以筛选掉一批冒充家长的低龄儿童，但对于一些语文素养较高的儿童来说自主解答这类成语题蒙混过关并非难事。

三、监护人同意制度的路径构建

任何一个实然法律制度的完善都离不开反思理性精神的注入，监护人同意制度也不例外。以此种反思精神审视当前监护人同意制度所面临的困境，“一刀切”式地将未成年人个人信息保护的责任过多地分配给监护人或难辞其咎。在适度完善单一同意模式，赋予网络运营者更多责任与义务的前提下，探索有助于制度顺畅运行的匹配机制，如此方能更好地借助监护人同意制度维护未成年人个人信息安全。

（一）双层模式：赋权与保护平衡视角下的有效选择

未成年人的保护措施应当根据其不断发展的能力而变化，在保护和赋权之间取得平衡，这已成为学界的共识。单一模式下，高度保护性的同意条款使得未成年人的个人信息控制权完全地集中在父母手中，这并不能达到帮助未成年人成长的目的。未成年人的特殊保护是合理的，但与此同时他们应该“有能力作为他们自己的自由、理性的代理人来承担责任”[6]。尤其是对青少年而言，高度保护性的同意条款更是扭曲了赋权和保护之间的平衡。同样地，过多地强调“赋权”，要求立法针对不同成熟度的未成年人给予差异化保护，这也会给立法工作带来巨大的压力，亦加重网络运营者的成本与负担。基于单一同意模式框架下建立的双层模式是赋权与保护平衡视角下的有效选择。

在主体上，我国法律只保护14周岁以下未成年人的个人信息，建议主体延伸至14至18周岁的未成年人，并区分情形确定其能否决定个人信息被获取或被提供。目前我国立法上关于年龄的规定借鉴了美国《儿童在线隐私保护法》，美国《儿童在线隐私保护法》将年龄段划分为13周岁以下。这种单一模式使得14至18周岁未成年人个人信息保护处于无法可依的尴尬局面。可借鉴美国《加利福尼亚州消费者隐私法》①，仍以14周岁为划分，将未成年人划分为14周岁以下与14至18周岁两个年龄段，并侧重考察相应年龄段内未成年人的平均能力。如此，既使得14周岁这一“明线规则”②得以保全，又使得主体保护更加周延，有其可取之处。

在内容上，同意要求的内容应当可以预见多种不同的情况，而不是受单一规则的约束。在欧洲一些儿童信息隐私案件中，法院判决中承认了特殊的公共利益可以超越儿童通常的最高利益[8]。虽然儿童的最大利益是首要考虑事项，但这些利益不会绝对超过任何对立的利益——仍应进行平衡[5]。事实上，国家网信办发布的《儿童个人信息网络保护（征求意见稿）》中规定了征得监护人同意的三种例外情形，分别是为维护国家安全或者公共利益、为消除儿童人身或者财产上的紧急危险和法律以及行政法规规定的其他情形，但正式出台的《儿童个人信息网络保护规定》却删除了上述规定。建议在同意的内容里阐明例外的情况。当面对这些事项时，不需要征得监护人的同意，信息使用者即可获取信息。对于14周岁以下的未成年人，除“例外”情况以外个人信息的收集、使用均应当征得监护人的同意。但是这种基于公共利益的免同意行为必须在合理范围内依法进行。而14至18周岁的未成年人已经是中学生，本身已具有较为成熟的认知能力和行为能力，这部分青少年对互联网的了解程度并不亚于父母或者其监护人。对于这部分青少年，可以规定除高风险的个人信息应当在监护人的明示同意下进行授权外，其他均可自行授权。这在一定程度上有效避免了对未成年人的过度保护的同时赋予了适龄未成年人的信息自决权，还通过规定监护人同意的例外情形减轻了网络运营者的成本、缓解了监护人的“同意疲劳”。

（二）细化网络运营者义务：未成年人隐私保护的应有之义

一方面，大数据时代下的技术发展在创造巨大进步与机会的同时也造就了诸多有着特殊样态的社会风险，对于这些社会风险理应以“技术+法律”进行回应，在回归技术治理的同时以法律的制度理性为单向度的技术理性矫正与纠偏[9]。在未成年人个人信息保护的治理过程中，也应当贯彻上述基本理念；另一方面，企业是互联网发展的领航员，不仅是网络产品的设计者、网络服务的提供者，更是未成年人权利责任主体中最了解互联网的一方。因此，建议对未成年人个人信息保护的责任由监护人和网络运营者共同承担转向由网络运营者承担为主、监护人为辅。这一转变需要通过增加网络运营者的义务规范来实现。

欧盟《一般数据保护条例》将“通过设计保护数据”（data protection bydesign）作为指导原则之一③，要求网络运营者将隐私保护的理念贯穿于互联网产品设计的始终，通过产品本身实现保护用户隐私最大化，彰显了“科技向善”这一基本技术道德理念。“通过设计保护数据”应当成为我国未来《个人信息保护法》中的宏观原则之一，将网络运营者纳入个人信息保护的责任主体范围[10]。有学者曾经提出，面对技术不可避免地给公民带来的侵害，法律在发挥保护作用时必须注意在相关法律的制定过程中要有高屋建瓴的宏观预见，对传播技术可能的进展有前瞻性把握，以便宏观原则能顺应社会发展趋势[11]。“通过设计保护数据”便是如此。若再制定与之相匹配的激励政策，那么会极大提高网络运营者的合规动力，降低个人信息保护的执法成本[10]。在这一原则的指导下，再对监护人同意制度中的网络运营者责任逐一进行细化。

未成年人的年龄识别是实现未成年人特殊保护的第一步。在这个问题上，如若选择通过收集未成年人用户更多的身份信息的方式去实现年龄的精准判断，那么对于该部分敏感信息的收集、使用、存储又将造成新的困难。在产品设计上完善人工智能识别举报机制和家长的事后探查途径或许是解决这个问题的更优方案。通过人工智能分析用户参与网络互动的方式以确定用户的年龄段，当人工智能分析得出的结论与用户申报不符时，账户将被暂停使用，监护人可以进入“家长模式”进行操作解冻账户。此外，当监护人发现年龄段申报错误时可以进入“家长模式”进行修改，重新申报。对于告知同意问题的解决，可以尝试从信息披露以及撤回同意的角度进行思考。网络运营者可以在“家长模式”中设计查阅被收集的个人信息类型和范围的途径以保障未成年人及监护人的信息知情权，并且提供“撤回同意”选项保障其撤回权[4]。监护人无需先与网络运营者联系即可通过点击“撤回同意”撤回对部分个人信息收集的授权，再由网络运营者在后台删除对应个人信息。在同意的验证方式上，国内网络运营者已有尝试，但验证方式过于宽松，效果不佳。欧美已经在探索的方式如邮件确认、银行记录、人脸识别等已在实践中暴露出许多弊端，借鉴意义有限。同意的可验证模式应当以“合理程度”和“技术水平”作为参照因素，综合运用多种手段建立。网络运营者可以考虑设计包含教育水平考察、社会知识考察和心理学等多方面内容的“家长验证”问卷，后台对其提交的问卷答案进行分析判断提交“同意”的对象是否是成人进而实现“同意”的可验证。

四、结语

加强未成年人个人信息保护已成为未成年人法治保护中不可或缺的环节。监护人同意制度作为未成年人个人信息保护法律框架中的核心制度，在实际运行中并未达到理想的法律效果与社会效果。一方面，已有规范的原则性、单一性以及高保护性特征导致制度的现实适应力不强；另一方面，无论是我国还是儿童在线隐私保护机制运行多年的欧美国家，都面临着未成年人年龄识别、告知同意、同意验证等监护人同意制度的衍生性问题。因此，需要在现有单一同意模式的基础上，秉持赋权与保护相平衡的理念搭建主体与内容上的双层同意模式以增强制度的现实适应力；在“技术+法律”的理念下赋予网络运营者更多的责任与义务，运用技术层面的设计解决年龄识别、告知同意、同意验证等衍生性问题。

注释：

①美国《加利福尼亚州消费者隐私法》将未成年人划分为两个年龄段，分别针对不满13岁的儿童和13至16岁的青少年采用不同的隐私保护模式：企业知道消费者不满16岁的不得出售消费者的个人信息，但是13至16岁的消费者或者不满13岁的消费者的父母或监护人明确同意出售消费者个人信息的除外。

②明线规则（Bright-line Rule）是指美国法律中要求规则或标准必须有明确且清晰的定义，不预留或极少预留解释空间。

③参见General Data Protection Regulation,Chapter IV Section 1 Article 25。