深度分析 | 未成年人个人信息保护工作思路（下篇）— 告知同意 - 新鲜讯息

摘要

随着我国个人信息保护和未成年人保护体系的不断完善，对未成年人个人信息要进行特殊且优先的保护，已经成为了共识。通过分析相关法律法规以及标准文件，不难分析出在个人信息保护的全生命周期过程中，除了在收集、存储、使用、加工、提供、公开等环节需要增强未成年人个人信息的保护之外，还有一个非常特殊的环节，就是在收集和处理不满14周岁未成年人的个人信息之前，需要征得其监护人的同意；对于年满14周岁的未成年人，需要征得未成年人或其监护人的同意。这在我国近年来陆续发布的《儿童个人信息网络保护规定》第九条，《未成年人保护法》第七十二条， GB/T 35273《信息安全技术个人信息安全规范》第5.4章节，《个人信息保护法》第三十一条等，都有明确的要求。本文针对这一主题，探讨如何在实践中落实未成年人监护人告知同意的实施。

一、监护人告知同意的整体方案

在普通的告知同意环节中，个人信息主体与明示同意主体是统一的，因此整个告知同意以及后续的个人信息处理过程都闭环在个人信息处理者（通常是平台）与用户之间，双方可以交互完成所有的过程而不涉及其他主体。但对于需要征得未成年人监护人同意的情况，由于信息主体（未成年人）与告知同意主体（未成年人的监护人）的分离，导致如何找到未成年人用户的监护人，如何落实监护人的有效同意都成为了复杂的问题，需要考虑以下四个方面：监护人告知同意的触发，监护人身份的确认，向监护人告知，征得监护人的同意，如下图所示。

二、监护人告知同意流程的触发

如果要收集处理14周岁以下的未成年人的个人信息，就必须触发监护人告知同意流程。如果要收集处理14周岁以上的未成年人的个人信息，可以有平台自行决定是否触发监护人告知同意。此外，对于一些有特殊要求的业务，也需要按要求触发监护人告知同意，比如对于未满16周岁的主播，就需要告知监护人并获得监护人的同意。

通过以上分析可以看出，触发的关键点其实就是用户年龄的识别，也就是用户是否是未成年人，以及是否年满14周岁等等。在实践中，大部分的互联网服务通过移动电话号码对用户进行实名认证，这时并不能直接得知用户的年龄。基于个人信息收集最小必要的原则，如果没有合理的场景，也不适合仅为了得知用户年龄，就强制收集用户的其他信息。根据不同的业务，目前主要有以下几种方式：

（1）在必要的场景下，收集用户的法定身份证件信息，进而可以准确判断用户年龄。比如开通直播、注册网游、支付提现等服务，明确要求提供身份证件进行身份核验。这种方式准确度很高，但仅适用于一些特定的场景。

（2）基于用户的交互询问，如通过弹窗、勾选等方式让用户自愿提供年龄相关信息，或者通过设计简单的计算、成语、诗词等题目，让用户回答来判断用户年龄。显然这种方式的准确度值得评估。

（3）用户本身就以未成年人或者儿童的身份使用服务，比如仅针对未成年人提供服务的网络应用、儿童智能手表

（4）其他方式，比如平台通过技术手段智能自动识别。

三、监护人身份验证

触发了监护人告知同意流程后，需要联系到监护人，并且验证监护人的身份。

联系监护人通常可以由用户直接提供联系方式，对于亲子平台等存在账号绑定的情况，也可以直接从服务后台获取监护人的联系方式。

在对监护人进行身份验证时，也要遵循最小必要，不过度收集个人信息的原则。具体来讲，尽量借助于在未成年人身份识别过程中已经收集的数据，进行监护人身份的核验。如已经收集了未成年人的法定身份证件信息，那么可以验证监护人是否正确掌握通过身份证件获取的儿童身份信息，如经过脱敏的儿童姓名、出生日期、身份证件号码等；如果基于用户交互询问判断了未成年人的身份，应验证提供的监护人是否正确掌握在交互询问过程中获取的未成年人身份信息。

四、向监护人告知

对于确认了身份的监护人，平台应将未成年人个人信息处理的相关信息告知监护人，告知内容应包括法律法规的要求内容。

五、征得监护人同意

在监护人授权同意过程中，应满足以下要求：

-- 应使用明示的方式，获取监护人的授权同意；

-- 不应采用默认勾选同意的方式；

-- 应提供拒绝同意的选项。

六、结语

本文立足于个人信息保护和未成年人保护的要求，研究了当前在网络空间识别未成年人身份并进行验证的方案，从而确保在不过度收集个人信息的前提下，真正推进落实对未成年人的各种保护措施。针对当前多样的业务形态，对主流的场景进行了分析和提炼，从识别的启动到识别的方式，给出了可行的实践方案。

关于其他扩展的方式，比如基于智能技术的自动识别方案，目前尚不成熟，需要进一步的研究和分析。

参考文献

[1] 第52次《中国互联网络发展状况统计报告》,中国互联网络信息中心（CNNIC）, https://cnnic.cn/n4/2023/0828/c199-10830.html