2019年8月22日，国家互联网信息办公室（"网信办"）发布了《儿童个人信息网络保护规定》[1]，作为《中华人民共和国网络安全法》（"《网络安全法》"）的配套法规，对14周岁以下未成年人[2]的个人信息保护进行规范，并将于10月1日实施。

随着以教育、学习为主要应用场景的移动互联网应用（"APP"）快速发展，在提高教学水平、满足学生个性化学习需求的同时，一些数据滥用、强制授权、平台垄断等乱象也日益凸显。2019年8月10日教育部等八部门联合发布了《关于引导规范教育移动互联网应用有序健康发展的意见》[3]，针对近两年教育类APP的监管工作提出了总体部署方案，从备案管理、内容审核、数据保护、网络安全等多个层面提出了规范性意见。

我们就近期密集出台的未成年人个人信息保护立法与监管动态进行了梳理，为面向未成年人尤其是在校学生提供产品或服务的运营者提供借鉴。 

近期，国内外均发生了学校部署人脸识别系统用于日常考勤及纪律管理，从而引发较大争议的事件。人脸识别技术的合理运用、学生个人信息（尤其是面部识别特征等个人敏感信息）收集及使用的合规性问题值得相关企业重点关注。

国内某大学于今年8月下旬在学校各大校门、学生公寓、试点教室等部分场所安装了人脸识别系统收集学生的面部识别特征等个人敏感信息，以支持门禁管理、日常考勤等管理目的，引发了社会舆论的高度关注[4]。从个人信息保护角度出发，该应用场景涉及的个人信息主体数量较大、数据类型高度敏感、数据使用目的多样，主要存在以下争议：

（1）通过收集学生面部识别特征等个人敏感信息以实现日常考勤与课堂纪律管理，是否满足《网络安全法》规定的正当、必要的原则[5]，以及《GB/T 35273-2017 信息安全技术-个人信息安全规范》（"《个人信息安全规范》"）规定的最小必要要求[6]；

（2） 学校及相应系统供应商对学生面部识别特征等个人敏感信息的收集和使用是否已具备合法基础，即是否获得学生或其监护人[7]的授权同意。进一步来说，面对学校与学生之间"不对等"的主体关系，如何满足相应授权同意的真实有效；

（3）学校在收集个人信息前是否履行了对相应系统供应商数据安全能力的审核义务，是否明确规定了第三方供应商的数据保护义务。

2019年8月21日，瑞典数据保护机构根据欧盟通用数据保护条例（General Data Protection Regulation, "GDPR"）对瑞典一所学校利用人脸识别系统收集学生面部识别特征等个人信息的行为处以200,000瑞典克朗（约人民币15万元）的罚款[8]，这也成为了瑞典历史上的第一个GDPR处罚案例。

在这一事件中，该校收集了参与课堂学习的22名学生的面部识别特征以进行自动化课程登记，相应数据均存储在未连接互联网的本地计算机中，在收集此类生物识别数据前也已征得学生监护人的明确同意。尽管如此，瑞典数据保护机构经调查认为，该校所获得的学生监护人的"同意"在学校和学生之间构成的"不对等"关系下作出，不应视为自愿的"同意"，因此不能作为个人数据处理合法化的依据。同时，该校为统计课堂出勤记录可以采取保护学生个人数据的其他方式进行，为此收集面部识别特征等高度敏感性数据超出了实现目的所必需，并不满足GDPR对于个人数据处理的目的限制和数据最小必要基本原则。此外，瑞典数据保护机构认为学校在进行相应个人数据处理活动前，未进行任何数据保护影响评估，尤其缺乏此类数据处理行为对数据主体权利影响的评估。

目前国内个人信息保护相关立法及执法态度均借鉴了域外数据保护相关法律的立法原则。尽管该事件为域外执法案例，但对于向境外提供产品或服务的境内企业，以及利用新兴技术从事教育行业的相关企业而言，其指导意义是不言而喻的。对于收集个人信息尤其是学生的个人信息，一刀切的授权同意已经不再满足日趋严格的执法要求，建议企业结合数据应用场景、使用目的、手段必要性、授权同意的真实意思表示、双方权利分配等因素，多方位综合判断数据处理合法依据是否有效。同时，在收集个人信息之前，相关企业应当进行数据保护影响评估工作，以明确风险并采取一定技术和制度措施有效降低风险。 

2019年8月22日，网信办发布了《儿童个人信息网络保护规定》，作为《网络安全法》的配套法规对14周岁以下未成年人（"儿童"）的个人信息保护进行了统一规范，其作为国家层面发布的儿童个人信息保护专门立法对各行业各领域涉及儿童个人信息的收集、处理活动的企业均具有约束力。该规定将于2019年10月1日正式生效。

从立法框架及其内容上看，该规定沿袭了《网络安全法》对个人信息保护的基本原则，吸纳了《个人信息安全规范》对于个人信息收集、使用、转移、共享、存储、披露、删除等全生命周期的合规保护逻辑及规范要求，突出了儿童个人信息保护的特殊监管要求，同时强调了儿童监护人的监护职责，网络运营者与监护人协同共治的管理思路。对于违反该规定的相关企业，网信部门可依据职责进行约谈，作出处罚并记入信用档案，予以公示。

可以预见，即将生效的《儿童个人信息网络保护规定》将作为执法检查的合规重点，相关企业应当及时排查风险，部署相应的合规措施。为此，我们梳理了儿童个人信息保护核心排查重点如下：

2019年8月10日，教育部、中央网信办、工业和信息化部、公安部、民政部、市场监管总局、国家新闻出版署、全国"扫黄打非"工作小组办公室等八个部门联合发布了《关于引导规范教育移动互联网应用有序健康发展的意见》，并于同日生效。

作为国家层面发布的首个全面规范教育App的政策文件[9]，相比于此前发布的《教育部办公厅关于严禁有害APP进入中小学校园的通知》[10]以及《教育部等六部门关于规范校外线上培训的实施意见》[11]，该意见不止于中小学，也不局限于校外，而是覆盖各学段教育和各类应用场景的教育移动互联网应用，包括APP、公众号和小程序等移动互联网平台（统称为"教育APP"）。 

从监管对象来看，该意见界定了教育App的内涵和外延，提出教育App是以教职工、学生、家长为主要用户，以教育、学习为主要应用场景，服务于学校教学与管理、学生学习与生活以及家校互动等方面的教育移动互联网应用。从使用场景来看，教育App大致分为三类：1）市场竞争提供、师生自主选用；2）学校企业合作、学校组织应用；3）学校自主开发、部署校内使用。

从责任主体来看，该意见不仅针对教育移动应用提供者（即教育APP运营者），提出了备案管理、内容审核、数据保护、网络安全等多个层面的规范性要求，同时针对教育、网信、电信、公安、市场监管、扫黄打非等职能部门进行协同联动的监管体系建设和"互联网+教育"领域的集中治理工作的整体部署。此外，该意见明确了教育行政部门和学校在教育App推荐、选用及运维中的责任。

• 教育部将于近期制定并出台教育移动互联网应用备案管理办法，明确备案方式、内容、对象和时间，实现"一省备案、全国有效"和全程网上办理，并于2019年底，落实并完成教育APP的备案工作。

   

• 由教育行政部门牵头，会同网信部门、电信主管部门、公安部门等多部门开展教育移动应用专项治理行动，集中治理利益绑架、信息泄露、低俗信息等问题。

   

• 教育行政部门将着手建立推荐机制，形成推荐名单，并向社会公开。同时，建立常态化的监测预警通报机制，教育移动应用的选用退出机制、负面清单和黑名单制度，推动将黑名单信息纳入全国信用信息共享平台。

   

• 2020年底，建立健全教育移动应用管理制度、规范和标准，形成常态化的多部门协同治理监管机制，各部门执法重点如下：

该意见针对教育APP提供者、应用商店等APP分发平台提供者、移动终端制造商提出了备案管理、内容审核、数据保护、网络安全等多个层面的规范性要求，具体如下：

纵观2019年网络安全与数据保护领域的执法行动，自2019年1月中央网信办、工信部、公安部、市场监管总局四部门联合开展App个人信息专项治理工作[12]以来，从全国范围到地方监管的执法力度日益加强。2019年7月， App专项治理工作组先后两次向社会公布了50款违法违规收集使用个人信息的App[13]。2019年6月至9月，上海市通信管理局共监测处置了App应用12000余个，分批次对44家运营单位进行了约谈通报[14]。2019年9月，国家计算机病毒应急处理中心公布《移动APP违法违规问题及治理举措》，曝光多个APP涉嫌超范围收集个人信息、恶意扣费、远程控制等违法违规行为[15]。2019年9月16日至22日，由中央宣传部、中央网信办等十部门联合主办的国家网络安全宣传周活动举办，更加显现出国家对网络安全、数据保护的高度重视。

面对日趋严格的网络安全与数据保护执法大环境，尤其是近期密集出台的有关未成年人、个人信息保护的立法与监管活动，对产品及服务提供者如何平衡商业发展与网络安全与数据保护合规风险提出了严峻挑战。结合上述国内外未成年人个人信息保护立法及监管趋势，我们建议相关企业优化个人信息授权机制，以"制度+技术"双重保障防范风险，具体如下： 

为帮助企业更好的理解中国复杂的执法监管环境，更有效的降低法律风险，我们将结合在网络安全与数据保护领域的广泛实践经验，持续推出系列文章，对立法及政策走向及时进行解读，以期对企业的合规工作有所帮助。