（一）隐私保护政策的宣示功能
网络服务提供商的隐私保护政策的考量一般涉及六个方面：是否有专门的隐私保护政策；隐私保护政策名称的规范性；获取隐私保护政策的便捷程度；用户接受该政策的自主性；更新时间的标注；企业联系方式的提供。就隐私保护政策的具体内容的评价而言，主要关注收集数据内容、收集数据目的、收集数据方法、数据披露条件、数据保存期限、数据安全保证、用户权利、未成年人隐私保护及免责条款等事项。“尊重用户个人隐私信息的私有性是本公司的一贯原则，本公司将通过技术手段、强化内部管理等办法充分保护用户的个人隐私信息，除法律或有法律赋予权限的政府部门要求或事先得到用户明确授权等原因外，本公司保证不对外公开或向第三方透露用户个人隐私信息，或用户在使用服务时存储的非公开内容。”类似的隐私保护承诺条款是各类互联网服务提供商的隐私保护政策协议中的必备内容，但很大程度上其象征性功能强于实际执行的效果。长期以来，网络运营者在提供产品和服务时，普遍存在如下突出问题：一是隐私条款笼统不清，对收集、使用个人信息的目的、方式、范围、保存期限和地点等没有明确说明；二是不主动向用户展示隐私条款，或展示内容晦涩冗长；三是征求用户授权同意时，未给用户足够选择权；四是没有为用户提供访问、更正、删除个人信息的途径；五是大量收集与所提供服务无直接关联的个人信息，超越与用户约定等。
已于2017年6月开始实施的《网络安全法》第四十一条规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集与使用的规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，网络运营者不得收集与其提供的服务无关的个人信息。但实际情况并非如此符合规矩，服务提供商超出服务属性与范围收集个人信息、用户难以识别收集信息的目的、主体意思表示的无约束力等信息收集、使用现象比较普遍。如百度曾和某些医院一度合作的、已经下线的一套免费Wi-Fi“百度黄金眼”系统，在“百度黄金眼使用指南”中有“患者属性分析”：当用户走进医院，手机就会被自动连上“百度黄金眼”，它就可以基于用户的线上搜索数据、线下到诊数据和百度地图数据了解“患者位置分布、患者兴趣及患者到院停留时长”。对这类收集、使用行为，《网络安全法》已有明确的规范，“网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息”。但这些提供不同服务的互联网服务提供商所拟定的隐私政策条款并没有结合自身服务类型、特征与范围将这些法律精神糅合进去，隐私条款仍然体现为“千人一面”，缺乏必要的、细化的分解，加上用户的隐私实际保护意识及能力有限，政策的可执行性与效能明显受到限制。据中国互联网协会发布的《中国网民权益保护调查报告2016》，有72%的受访网民表示身份信息（姓名、手机号、电子邮件、学历、住址和身份证号码等）遭到泄露；有54%的受调查网民表示网上活动信息（网购记录、网站浏览痕迹、IP地址、位置信息等）遭到泄露。APP与社交软件在用户完全不知情或不完全知情的情形下收集信息，是网民信息泄露的主要途径之一。
据媒体报道，2018年“五四”青年节当天，美图类APP天天P图推出了一款民国范的头像模板《我的前世青年照》小游戏，因其怀旧感十足、互动性强、设计新颖有趣等特点迅速吸引了大量网友参与。根据天天P图对外公开发布的统计数据显示，截至活动结束时，已经生成超过1.16亿张“前世青年照”。但此举也引发了法律专业人士对用户个人信息安全隐患的担忧和互联网公司企业忽略个人隐私的质疑。天天P图在提供该产品时，并未主动向用户展示其隐私条款，用户无法阅读、了解其收集、使用用户个人信息的目的、方式和范围，且在获取用户信息时未征求和取得用户的明确授权。天天P图在要求用户上传图片的同时，并没有严格遵守《网络安全法》相关条款规定。法律人士认为，天天P图收集用户照片，同时也收集了照片中的时间、位置等信息，能够对用户进行迅速定位。照片中还可能会携带手机信息。互联网公司收集和使用用户的个人信息，要建立在用户授权同意的前提下，用户有权知道，天天P图收集了我们照片中哪些信息，收集的目的以及使用的方式和范围。2018年5月1日生效的推荐性国家标准《信息安全技术个人信息安全规范》规定，收集个人信息时需要得到用户授权同意，而且收集的如果是个人敏感信息，还需明示同意[41]。
针对《网络安全法》正式实施后有些互联网服务提供商在隐私政策执行方面仍然存在的突出问题，2017年7月，中央网信办、工信部、公安部、国家标准委四部门联合启动“个人信息保护提升行动”，组织专家进行隐私条款专项评审工作，首批评审的十款网络产品和服务为微信、微博、淘宝、京东商城、支付宝、高德地图、百度地图、滴滴、航旅纵横、携程网，评审的重点内容包括明确告知收集的个人信息、收集方式、使用个人信息的规则，如形成用户画像及画像的目的是否用于推送商业广告等；明确告知用户访问、删除、更正其个人信息的权利、实现方式、限制条件等。如2017年6月，蚂蚁金服旗下从事消费信贷业务的“花呗”发布《花呗用户服务合同》条款调整公告，透露了此前网络运营商搜集和使用个人信息的普遍做法：用户使用“花呗”需要向服务商提供姓名、身份证号、联系电话、联系地址，“花呗”则要求得到用户授权，向关联公司、合作伙伴、部分政府机构、司法机构、公共事业单位（如公积金管理中心、中国互联网金融协会等机构）采集与本服务相关的必要信息，比如工商注册信息、诉讼信息、社保信息等。用户认为，自己在“花呗”面前成为“透明人”。2017年9月，中央网信办等四部门24日公布10款数量大、与民众生活密切相关的移动互联网产品和服务隐私条款评审结果，10款产品和服务在隐私政策方面都有不同程度的提高，做到明示其收集、使用个人信息的规则，并征求用户的明确授权。微信、淘宝网、京东商城、支付宝、高德地图、百度地图、滴滴出行、航旅纵横8款产品做到了向用户主动提示、并提供更多选择权。微信、淘宝网、支付宝、滴滴出行、京东商城提供了更便利的“一站式”撤回和关闭授权，在线访问、更正、删除个人信息，在线注销账户等功能。有些参加评审的公司在隐私保护条款方面有所改进，如在用户可自行删除、更新、注销账户的基础上，进一步明确了用户行使删除权、更正、注销账户权益的路径，通过技术运用手段强化尊重用户知情权、用户控制权的落实。
中央网信办网络安全协调局主要负责人表示，隐私条款专项工作将分批选取重点网络产品和服务，对其隐私条款进行分析梳理，通过评审和宣传形成社会示范效应，带动行业整体个人信息保护水平的提升。除了行政监管部门依法开展常态化的执法监督，用户基于便捷途径的诉讼亦是权利救济的有效策略，鉴于《网络安全法》已有条款“网络运营者未经被收集者同意，不得向他人提供个人信息”“个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息”，司法解释需要进一步明确除“删除”之外，对于明显超出必要范围的用户信息收集及利用行为，应当有具体的民事赔偿责任承担条款。
（二）移动APP隐私保护政策亟待完善
移动互联网已经构成人们日常学习、工作和生活的不可替代品，通过移动客户端APP解决诸多方面的问题已成为一种大众化的生活与生存方式，而这种生活与生存方式是以提供与个人有关的信息为前提的。移动APP的高频使用和大量信息的交换与传播使得用户隐私安全事故发生的风险在增加。据《2015年安卓APP安全漏洞分析报告》分析：“2015年，移动客户端APP安全事件泄露的信息以用户的姓名、地址、账号、密码、手机号等信息为主，其中金融理财和生活服务类APP是安全事件爆发的重灾区。2015年超过10家知名APP被爆存在安全漏洞，可导致1 000万用户隐私泄露。”[42]《2016年度中国移动APP安全监测报告》则指出，2016年度“信息和数据泄露事件屡见不鲜，如雅虎10亿信息泄露、1.17亿LinkedIn账户登录信息泄露”[43]。在移动APP的隐私保护安全链中，隐私保护政策是一个重要环节，互联网服务提供商制定用户隐私保护条款的合法性、合理性及实用性直接影响到政策执行的效果。一项针对11类96款APP隐私保护政策文本的研究表明，部分政策存在明显的霸王条款属性、缺乏协商机制、政策宣达效果不理想[44]。
该项研究执行于2017年3—4月，选取的研究对象为手机浏览器类（5个，即手机百度、UC浏览器、QQ浏览器、360浏览器、Chrome）、新闻资讯类（7个，即腾讯新闻、搜狐新闻、今日头条、一点资讯、凤凰新闻、新浪新闻、人民日报）、影音播放类（8个，即酷狗音乐、酷我音乐、蜻蜓FM、喜马拉雅FM、优酷视频、爱奇艺、暴风影音、斗鱼）、社交应用类（10个，即微信、手机QQ、新浪微博、人人网、陌陌、YY、世纪佳缘、珍爱网、知乎、豆瓣）、移动电商类（13个，即淘宝、京东商城、1号店、苏宁易购、当当、亚马逊、中粮我买网、美团外卖、饿了么、口碑外卖、大众点评、百度糯米、支付宝）、金融理财类（10个，即拉卡拉、同花顺、挖财理财、东方财富网、新浪财经、工行手机银行、中国建设银行、农行掌上银行、招商银行、中国银行手机银行）、旅行导航类（8个，百度地图、高德地图、谷歌地图、携程旅行、去哪儿旅行、同程旅游、途牛旅游、驴妈妈旅游）、拍摄美化类（8个，即美拍、微视、快手、秒拍、美图秀秀、in、天天P图、美人相机）、健康医疗类（8个，即小米运动、Keep、乐动力、好大夫在线、微医、丁香医生、宝宝树孕育、妈妈网）、办公存储类（9个，即WPS Office、QQ邮箱、网易邮箱大师、印象笔记、微办公、百度云、微云、掌阅iReader、起点读书）、生活服务类（10个，即58到家、赶集网、土巴兔装修、房天下、智联招聘、菜鸟物流网、汽车之家、全国违章查询、滴滴出行、摩拜单车）共11类96个移动网络客户端APP的隐私保护政策文本。该项研究主要考察六个方面的事项：
其一，收集个人数据内容。综合不同服务内容的移动APP所收集的数据，包括个人基本信息（姓名、生日、性别、住址、电话号码、电子邮箱）；身份信息（身份证、军官证、护照、驾驶证等）；面部特征；网络身份标识信息（系统账号、IP地址、密码、口令、口令保护答案）；个人财产信息（交易和消费记录、虚拟财产信息）；通讯录；个人上网记录（含网站浏览记录、软件使用记录、点击记录）；个人常用设备信息（含硬件型号、设备MAC地址、操作系统类型等）；个人位置信息（含行程信息、精准定位信息、住宿信息、经纬度等）等。这些个人信息中，有一部分属于个人敏感信息，比如财产信息、身份信息、面部识别特征等，一旦泄露、非法提供或者滥用可能危害人身和财产安全，应当予以保护。调查结果显示，在有隐私保护政策的56个APP中，只有5个移动APP没有收集个人数据的内容，占比8.9%。(www.xing528.com)
其二，收集个人数据的目的与方法。网络服务商在收集数据的同时，一般都交代收集个人数据的目的，包括实现部分网络功能、满足用户个性化需求、用于产品和服务调查、为用户提供安全保障等。绝大部分移动APP交代了收集数据目的，仅有1家没有这样做；收集个人数据方法上，这些移动APP收集数据的基础方法有两大类：用户主动提供个人数据；移动APP通过Cookie、Beacon、Proxy等方式获取用户的个人数据。考察对象中有14家移动APP（占比25%）没有交代收集数据的方法，也有11个移动APP（占比19.6%）为了让用户理解，特别对相关技术词汇作了详细解释，体现出对用户知情权的尊重。
其三，个人数据披露条件。网络运营商负有保护用户个人数据安全的义务，不能随意向第三方提供用户的个人数据。一般来说，网络运营商进行披露用户数据的前提有两个：第一是经过用户许可，第二是某些特殊情况，如涉及国家安全、违法犯罪、权利滥用等。在56个APP中，仅有2个（占比3.6%）未交待数据披露条件。就条款字面的规定看，大部分移动APP在制定隐私政策时都考虑到了这些因素，但实际的执行效果却并不乐观。
其四，个人数据保存期限与安全保证。移动APP一方面需要对用户数据予以保存，方便调取，另一方面也要设定个人数据保存期限，在完成特定的任务后应予删除和销毁。如英国1984年实施的《数据保护法》规定：“依任何目的处理个人数据者，其数据保留期限不得超过其取得目的的必要期限。”由于网络存储数据的大容量和便捷性，数据保存期限这一项经常为不少网络运营商所忽视。考察对象中，有36家移动APP（占比64.3%）没有设定数据保存期限；个人数据安全保证方面，《网络安全法》对网络运营商负有保护用户个人数据安全的义务有明确的规定，网络运营商应当运用各种技术、落实主体责任保护用户数据安全。调查对象中仅有8个移动APP（占比14.3%）没有将数据安全保证写入隐私保护政策中。
其五，用户权利及未成年人隐私保护。用户对自己的个人信息，有随时查询、补充、更正和删除的权利，是否详细规定了用户权利是检验隐私政策内容是否完备的重要标准之一。在56个有效对象中，39个移动APP（占比69.6%）将用户权利写入了隐私保护政策；《未成年人保护法》规定，任何组织或者个人不得披露未成年人的个人隐私。移动APP隐私政策中也应单独设计未成年人隐私保护问题，但该事项容易被忽略，22家移动APP（占比39.3%）就没有关于未成年人隐私保护的条款，社交应用、金融理财、健康医疗和生活服务四个领域的APP隐私政策的缺失较为突出。
其六，免责条款。在一些特殊情况下，网络运营商无法保障用户的个人数据安全，如用户自身原因导致的个人数据泄露，或者遇到政府管制、黑客攻击等不可抗力，由于运营商本身没有过错，因此也不需要承担责任。为了避免事后出现纠纷，网络运营商通常也会将这类免责条款写入隐私保护政策中，用以保护自身权益。在考察的对象中，24个移动APP（占比42.9%）没有免责条款。
该项研究就政策文本的呈现给出了如下的结论与建议：
第一，隐私政策水平参差不齐。有的移动APP隐私政策醒目、清晰、详细而且专业，部分移动APP还提供了更便利的在线“一站式”撤回和关闭授权，在线访问、更正、删除其个人信息，在线注销账户等功能，如京东商城、滴滴出行、淘宝网、腾讯微信等；有的移动APP隐私政策内容非常简单、隐蔽、模糊和随意，如同花顺、当当网等。总体而言，大企业的APP隐私政策文本优于小企业，国际企业APP的隐私保护政策比大部分国内企业APP更为专业和详细；运营时间较长的APP隐私保护政策比创立不久的APP要完善。隐私保护政策条款的完善和提升不仅是要符合法律法规和监管规定，更是维护市场信心和用户信任的基石，也是企业行稳致远的核心竞争力，最终受益最大的还是企业。企业APP应当加强对隐私保护政策的完善，可以参照国际著名企业的做法，制定规范、完整、专业、清晰的隐私保护政策，让用户能够准确清楚地了解个人信息收集、使用、分享和保护的流程，减少用户的隐私顾虑，增加用户对企业和产品的信心。
第二，存在不利于用户方的单方意志条款。不少APP推行强制性条款，要求用户接受相关隐私政策，如果用户不接受会强制退出APP，或者被取消相关服务；有些APP隐私政策内容也极为霸道，较少考虑用户的需求，强行规定用户的个人信息可用于不合理的商业用途，并拒绝承担任何用户隐私泄露的责任。如珍爱网规定：“您在缔结本协议时已理解并同意，您在本网站上公开发布的个人信息，任何登陆到本网站的第三人均可查看”“一旦您使用珍爱网或成为会员（无论是付费还是免费），则表示您已许可我们将这些信息披露给我们的附属公司、母公司和相关联的第三方商业机构，以及其他和我们处于共同公司控制权的有关联的法律实体和商业机构。”又如快手APP规定：“如果您不同意本隐私权政策任何内容，您应立即停止使用快手平台服务。快手可能随时修改本隐私政策的条款，该等修改构成本隐私政策的一部分。快手可随时根据实际情况有权自行决定以任何理由不经事先通知的中止、终止向用户提供部分或全部快手服务，暂时冻结或永久冻结（注销）用户的账户在快手的权限，且无须为此向用户或任何第三方承担任何责任。”对于这种情况，网民应当增强自我的隐私保护意识，敢于主张自己的合法权益，明确自己对隐私权的合理期待，提升自己的议价能力，获取更为安全的网络服务。
第三，隐私保护效果不理想。尽管有不少移动APP制定了隐私政策，由于缺乏专门监督机构和完善监督机制，在现实中并没有按照规定严格执行隐私政策。有的APP运营商会将隐私政策隐蔽化处理或将隐私政策制定得冗长深奥增加用户阅读难度；有的会擅自修改隐私政策而不告知用户；有的会不当使用用户隐私数据；有的则没有积极采取实际技术手段进行隐私保护，如此种种使隐私保护未达到理想效果。制定隐私保护政策只是个人信息保护的起步，实现隐私保护效果更依赖于政策的执行。首先，政府需要进行监督和管理，包括引导网络企业自律、依法对侵权行为进行惩戒、赋予应用平台审核责任、推进和鼓励保护网络隐私权的新技术开发和利用等。其次，需要加强第三方隐私保护机构的监督，设立类似于美国TRUSTe和BBBOnline这样的行业自律组织，认证并监督网络机构的隐私政策，完成隐私执行和效果评估，参与解决消费者争端和用户隐私问题。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
