新《消費者權益保護法實施條例》強化保護消費者個人信息
作者：吳鵬飛 吳金冬 林靜 2024-09-06《消費者權益保護法實施條例》（以下簡稱“條例”）自2024年7月1日起施行，其中，第二十三條和第二十四條1重申和細化了保護消費者個人信息的規定。該兩條規定既加強了對消費者權益的保護，同時也對經營者提出了新的挑戰。
一、最小必要原則
（一）要點
條例第二十三條規定了消費者個人信息保護的以下兩個要點：
1、收集消費者個人信息遵循最小必要原則：條例明確禁止經營者過度收集消費者個人信息，不得采用一次概括授權、默認授權等方式，強制或者變相強制消費者同意收集、使用與經營活動無直接關系的個人信息。
2、敏感個人信息保護：經營者處理消費者的敏感個人信息必須符合法律法規的規定。
上述規定均是對《個人信息保護法》已有原則和規定在消費場景下的重申。
（二）相關規定
《民法典》為消費者個人信息保護提供了基礎性法律支撐2，第一千零三十五條提出了處理個人信息應遵循必要原則，不得過度處理個人信息?！秱€人信息保護法》作為我國個人信息保護的主要法律依據，其第五條、和第六條確立了個人信息處理的基本原則，旨在確保個人信息的收集和使用既滿足必要性，又最大限度地保護個人隱私和權益。《個人信息保護法》在第二章個人信息的處理規則中專設第二節，規定了敏感個人信息的處理規則，對敏感個人信息的處理設置了更高的門檻和更嚴格的保護要求，包括單獨同意原則、強化告知義務、必要性與嚴格保護原則以及遵守法律、行政法規的特別規定等。
除此之外，國家網信辦等部門聯合制定了《常見類型移動互聯網應用程序必要個人信息范圍規定》，明確了39種常見類型APP的必要個人信息范圍，規定APP運營者不得因用戶不同意收集非必要個人信息而拒絕用戶使用APP的基本功能服務，經營者如運行APP應注意遵守該等規定。
（三）相關案例
近兩年來，部分經營者（尤其是互聯網平臺）在經營的過程中，存在超出必要范圍收集和使用個人信息的情況，這也導致了多起個人信息保護糾紛案件的發生。正如王某、深圳市騰訊計算機系統有限公司個人信息保護糾紛案件3中，深圳市中級人民法院認為，微視APP收集、使用王某“地區、性別”信息，同時又允許用戶隨意更改和填寫該信息，其收集處理該信息不符合必要性原則。某科技公司與某房地產公司商品房委托代理銷售合同糾紛案4中，佛山市禪城區人民法院認為，房地產公司未經有關機關許可、也未經消費者同意，為其經營目的，擅自設置人臉圖像采集、個人身份識別設備，長時間收集、儲存客戶人臉信息，其以該方式所收集的證據屬于非法證據，否定違法采集公民個人圖像信息作為民事證據的效力。
另外，全國范圍的整治APP過度收集信息的活動體現了相關行政部門在消費者個人信息保護方面的執法力度和決心，如2024年上海市網信辦和市市場監管局啟動了“亮劍浦江·消費領域個人信息權益保護專項執法行動”，面向掃碼點餐、停車繳費、商超購物、少兒培訓等八大日常消費場景開展個人信息保護綜合整治，旨在通過聯合約談、指導整改等措施，促進企業將獲取消費者個人信息的“最小和必要原則”落到實處。
二、保護消費者的安寧權
（一）要點
條例第二十四條強調了保護消費者安寧權：未經消費者同意，經營者不得向消費者發送商業性信息或撥打商業性電話，且要求經營者為消費者提供便捷的取消方式。經營者違反條例第二十四條的，行政管理部門將按照《消費者權益保護法》第五十六條，根據情節單處或者并處警告、沒收違法所得、處以違法所得一倍以上十倍以下的罰款，沒有違法所得的，處以五十萬元以下的罰款；情節嚴重的，責令停業整頓、吊銷營業執照。
（二）相關規定
條例第二十四條并非全新的規定，《廣告法》、《網絡交易監督管理辦法》和《消費者權益保護法》等已包含消費者安寧權的規定?！稄V告法》第四十三條規定了“任何單位或者個人未經當事人同意或者請求，不得向其住宅、交通工具等發送廣告，也不得以電子信息方式向其發送廣告。以電子信息方式發送廣告的，應當明示發送者的真實身份和聯系方式，并向接收者提供拒絕繼續接收的方式。”《網絡交易監督管理辦法》第十六條也規定了“網絡交易經營者未經消費者同意或者請求，不得向其發送商業性信息。”《消費者權益保護法》第二十九條第三款規定了經營者未經消費者同意不得向其發送商業性信息，此次條例第二十四條增加了對經營者“向消費者撥打商業性電話”的限制。
（三）相關處罰案例
現實中，商家撥打營銷電話、向消費者發送短信是普遍的營銷手段，鑒于此，行政機關對此類營銷手段給予了密切關注。2022年8月，針對上海四凸兄弟信息科技有限公司向不特定消費者發送商業短信的行為，奉賢區市監局認定其行為違反《中華人民共和國消費者權益保護法》第二十九條第三款、《網絡交易監督管理辦法》第十六條第一款的規定，依法對其作出罰款五千元的行政處罰。2023年10月，針對臺州恒貫貿易有限公司未取得短信接收人的同意向其發送廣告短信，溫嶺市市監局認定其違反《中華人民共和國廣告法》第四十三條第一款、《互聯網廣告管理辦法》第十七條第二款，依法對其作出罰款五千元的行政處罰。
三、對經營者的建議
為了應對條例的要求，經營者應采取以下措施：
1、制定和實施個人信息保護的內部政策和程序，并確保所有員工都了解并遵守。
2、最小化信息收集：只收集業務所必需的最少量個人信息，避免過度收集。
3、透明的信息使用規則：公開信息使用規則，明確如何使用、存儲和保護個人信息。
4、告知并獲取明確同意：在收集個人信息前，必須明確告知消費者收集的目的、方式和范圍，并獲取其明確的同意。
5、尊重消費者選擇：為消費者提供拒絕接收商業性信息的選項，并在消費者選擇退出后，立即停止向其發送相關信息。
通過采取上述措施，經營者嚴格遵守條例及相關法規，不僅能夠減少違法風險，還能夠提升經營者的品牌聲譽。
注釋
1.《消費者權益保護法實施條例》第二十三條：經營者應當依法保護消費者的個人信息。經營者在提供商品或者服務時，不得過度收集消費者個人信息，不得采用一次概括授權、默認授權等方式，強制或者變相強制消費者同意收集、使用與經營活動無直接關系的個人信息。
經營者處理包含消費者的生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息以及不滿十四周歲未成年人的個人信息等敏感個人信息的，應當符合有關法律、行政法規的規定。
第二十四條：未經消費者同意，經營者不得向消費者發送商業性信息或者撥打商業性電話。消費者同意接收商業性信息或者商業性電話的，經營者應當提供明確、便捷的取消方式。消費者選擇取消的，經營者應當立即停止發送商業性信息或者撥打商業性電話。
2.《中華人民共和國民法典》第一千零三十四條：自然人的個人信息受法律保護。個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定。
第一百一十一條：自然人的個人信息受法律保護。任何組織或者個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。
3.參見王某、深圳市騰訊計算機系統有限公司個人信息保護糾紛案，(2021)粵03民終9583號。
4.參見某科技公司與某房地產公司商品房委托代理銷售合同糾紛案——廣東高院發布個人信息保護典型案例之五。
