信息资源是企业参与市场竞争不可或缺的要素，但企业在收集、整理、分析各种信息的过程中，时常存在信息滥用、无序利用等情况，可能涉及到个人信息及隐私权的侵犯。防止企业违法收集获取使用个人信息是国家强化反垄断和防止资本无序扩张的风险防控重点，也是公检法机关网络侵害领域的办案重点。对于从事教育培训、母婴服务、房产租售、汽车销售、装修装饰、美容健身、旅游住宿、网站或APP运营等侵犯个人信息违法行为多发高发的行业和领域的企业来说，尤其需要强化对其获取使用的个人信息风控意识以堵塞漏洞、防控风险。

Q&A：企业如何处理敏感个人信息，“脱敏处理”是否可避免侵权？

要回答上述问题，首先需要明确的是敏感个人信息的定义，《信息安全技术 个人信息安全规范》（GB/T35273-2017）规定“通常情况下，14周岁以下（含）儿童的个人信息和自然人的隐私信息属于个人敏感信息。” 《个人信息保护法》规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

一些合规意识较强的企业在日常经营操作中会采取去标识化的方式进行脱敏处理，但是去标识化是否能真正做到完全匿名、无法识别特定个人且不能复原，尚存疑。例如，在杭州蜂鸟云商实业有限公司等侵犯公民个人信息一案【（2019）浙01刑终329号】中，杭州蜂鸟公司为推广其保险业务，向另一公司购买潜在客户的电话信息，双方特别约定对客户姓名、电话号码等个人信息进行脱敏处理后上传至外呼平台，从而在不显示客户完整姓名及电话号码的情况下进行拨号。后买卖双方及主要负责人以涉嫌侵犯公民个人信息罪被刑事追责。审判该案的法院认为“即使手机号码中部分数字被隐藏，该部分公民个人信息也已被实际利用，而被告公司因掌握了管理员账号，事实上可查看包括完整手机号在内的所有信息并可导出数据”。因此，企业在处理信息时最好能做到结合其他数据仍然能以还原到相对应用户的具体主体身份信息的程度，当然此举会导致信息使用的商业价值大大降低，需要企业进行法律风险和商业价值的综合平衡考量。

Q&A：企业设置同意授权条款免责条款能否获得个人信息侵权豁免？

企业在相关服务协议或在与他方签订收集使用交易个人信息数据的协议时，可能会采用格式免责条款来规避侵权风险。以下案例则可以说明设置所谓免责条款的局限性：上海锐英公司总经理肖某获悉英国的CARRO公司拥有入侵全球GSM通信网络的定位技术，遂在其公司研发出了中文查询界面后与CARRO公司实现了网络同步对接，并购买查询手机定位信息的点数。肖某等人通过公司的销售网络推出手机基站定位业务，并使用下属关联企业锐浩公司名义与多家公司订立名为云平台取证服务、实为买卖公民手机定位信息的合同以出售定位信息获利。而后该公司及直接负责的主管人员、直接责任人员，以侵犯公民个人信息罪被上海市浦东新区人民法院、上海市第一中级人民法院定罪惩处。【注：案号（2016）沪0115刑初4109号、（2016）沪0115刑初4109号】本案中，锐浩公司对外签订合同时，均在合同中标注所提供的服务仅用于司法机关办案，希望以此作为免责条款。但锐浩公司并未经过相关部门许可，且对自身提供的技术服务具备的功能认识明确，明知购买方可能将服务用于出售公民个人信息，却仍然予以销售，难以自圆其说。此案例说明对企业此类行为的司法认定会综合考虑主客观因素进行个案裁量。企业不得抱有侥幸心理，须慎用个人信息数据资源。

另外，企业为一定经营目的会明示或默示用户对个人信息收集使用的授权，对于企业因运用人脸识别技术等进行生物识别而涉及处理个人信息的特殊情形，要以个人信息主体单独明示同意作为合法性基础。收集个人生物识别信息前，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，如果采取书面协议豁免侵权的形式，注意单独同意意味着同意不能与其他协议条款混合出现；所谓明示同意，按照《信息安全技术个人信息安全规范（GB/T 35273—2020）》的说法，即个人信息主体通过书面、口头等方式主动作出纸质或电子形式的声明，或者自主作出肯定性动作，对其个人信息进行特定处理作出明确授权的行为。肯定性动作包括个人信息主体主动勾选、主动点击“同意”“注册”“发送”“拨打”、主动填写或提供等。在此基础上，企业应防止超范围使用个人生物信息，并降低技术和管理升级而降低信息泄露的风险。

Q&A：企业如何防止诸如“大数据杀熟”等数据歧视？

为了增加用户使用黏性，增加竞争优势，部分视频类、资讯类互联网企业主要靠算法向用户推送内容，但《个人信息保护法》规定，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。故企业须采取合规自查保证其开展自动化决策的透明度和结果的公平、公正，不得借此在交易价格等交易条件上实行不合理的差别待遇。企业在向用户开展信息推送、商业营销等活动，应在用户知情并同意的基础上进行个人信息处理，并为用户提供拒绝的方式。例如，在相关软件页面提供明显可识别的关闭个性化推荐选项，提供便捷的营销信息退订功能。

Q&A：企业如何防止过度收集个人信息？

企业基于经营的产品或服务收集个人信息时，必须具有明确、合理的目的，应当采取对个人权益影响最小的方式收集信息，在与经营直接相关的必要场景和范围内收集使用个人信息，不得过度收集个人信息。以移动互联网企业为例，国家网信办曾对抖音、快手、百度、领英、智联招聘等105款App违反必要原则收集与其服务无关的个人信息情况进行通报，对于需要通过移动端APP实现经营目的的企业来说，国家互联网信息办公室等部门发布的《常见类型移动互联网应用程序必要个人信息范围规定》就对这类型企业可收集的必要个人信息进行了明确规定，该规定明确为保障App基本功能服务的正常运行可以收集必要个人信息，不得因为用户不同意提供非必要个人信息而拒绝用户使用。并列举了不同种类的APP须根据基本功能区分，可以收集的个人信息。常见的类型如：基本功能服务为“个人房源信息发布、房屋出租或买卖”的房屋租售类APP，允许收集必要个人信息包括：1.注册用户移动电话号码；2.房源基本信息：房屋地址、面积/户型、期望售价或租金。基本功能服务为“婚恋相亲”的婚恋相亲类APP，允许收集的必要个人信息包括：1.注册用户移动电话号码；2.婚恋相亲人的性别、年龄、婚姻状况。基本功能服务为“求职招聘信息交换”的求职招聘类APP，允许收集的必要个人信息包括：1.注册用户移动电话号码；2.求职者提供的简历。基本功能服务为“提供网络游戏产品和服务”的网络游戏类APP、基本功能服务为“在线辅导、网络课堂等”，学习教育类APP、基本功能服务为“家政维修、家居装修、二手闲置物品交易等日常生活服务”本地生活类APP，允许收集的必要个人信息为：注册用户移动电话号码。基本功能服务为“影视、音乐搜索和播放”的在线影音类APP、基本功能服务为“不超过一定时长的视频搜索、播放”的短视频类APP、基本功能服务为“新闻资讯的浏览、搜索”，的新闻资讯类APP、基本功能服务为“运动健身训练”的运动健身类APP，则无须个人信息，也应当允许用户使用基本功能服务。企业不得以用户不提供上述个人信息以外的其他信息为由拒绝提供产品或服务。

在国家个人信息保护、数据安全相关立法进一步完善和大数据时代的背景下，需要企业愈加关注个人信息及数据隐私保护，建立相关合规体系对自身业务、产品进行全面自查自改以有效应对监管执法和诉讼抗辩。