重點解讀

本條明確了明示個人信息處理規則的要求。

與《網絡安全法》第四十一條以及《民法典》第一千零三十五條第一款第二項相類似，《個人信息保護法》要求個人信息處理者明示個人信息處理規則。這就意味著，個人信息處理者要讓個人信息處理在陽光下進行，不得隱瞞個人信息處理規則。公開個人信息處理規則，本質上是在保障權利人的知情權。就處理規則的內容而言，至少應當包括處理個人信息的目的、方式、范圍等。

實務要點

就公開個人信息處理規則而言，實踐中常見的做法是將個人信息處理規則通過個人信息保護政策或用戶協議等文本向用戶進行展示。

關于展示時的具體標準，《App違法違規收集使用個人信息行為認定方法》對于App公開收集使用規則的方式進行了規定，或可以作為企業實務的參照。該規定列舉了四類“未公開收集使用規則”的情形，包括“1.在App中沒有隱私政策，或者隱私政策中沒有收集使用個人信息規則；2.在App首次運行時未通過彈窗等明顯方式提示用戶閱讀隱私政策等收集使用規則；3.隱私政策等收集使用規則難以訪問，如進入App主界面后，需多于4次點擊等操作才能訪問到；4.隱私政策等收集使用規則難以閱讀，如文字過小過密、顏色過淡、模糊不清，或未提供簡體中文版等”。對個人信息處理者而言，若相關業務渠道中無個人信息處理規則，或未采用彈窗等方式向個人明示，或個人信息處理規則難以訪問、難以閱讀，均可能被認定為“未明示個人信息處理規則”。

個人信息處理者在進行合規整改時，可以參照上述規定，逐項確認自身是否存在上述情形，并及時作出相應調整。

案例解析

*案情介紹

P公司運營的購物App將“已閱讀并同意服務協議與隱私政策”以淺灰色字體標注于頁面的最底端，未以明顯方式提示消費者。同時，該模塊未設置是否確認選項，用戶未經閱讀亦可直接進入App首頁進行操作。后原告購買的貨物與宣傳的不符，原告于收貨地起訴P公司，要求其承擔侵權損害賠償，P公司提起管轄權異議，主張服務協議約定的管轄地為上海市長寧區，應由上海市長寧區法院管轄。

*法律解析

法院經審理認為，此類服務協議與隱私政策關于用戶權利的規定應當被視為一種“格式條款”。本案App中“已閱讀并同意服務協議與隱私政策”的模塊系淺灰色字體標注于頁面底端，也沒有設置確認選項，屬于P公司未能采取合理方式提請消費者注意的情形，因此對于消費者認為該服務協議與隱私政策無效，其中的管轄權條款亦無效的主張，法院予以支持，并裁定駁回P公司的管轄權異議申請。

本案中當事人雖未要求法院針對隱私政策的整體效力作出認定，但法院認定服務協議中管轄權條款無效的過程或可作為認定此類條款效力的參考。如前所述，服務協議或個人信息保護政策通常是個人信息處理者處理信息的合法性基礎。如果包含個人信息處理規則的協議或條款被認定為無效，可能直接影響個人信息處理行為的效力。因此，在設計展示個人信息處理規則的相關界面時，處理者應當確保其便于用于閱讀，并且引導用戶通過主動勾選、主動點擊等方式確認相關個人信息處理規則，以降低被認定為未公開個人信息處理規則的風險。

關聯法條

《民法典》第一千零三十五條；《網絡安全法》第四十一條；《App違法違規收集使用個人信息行為認定方法》第一點、第二點。