近期，工信部发布《关于App违规调用通信录、位置信息以及开屏弹窗骚扰用户等问题“回头看”的通报》显示，43款App仍存在违规调用通信录、位置信息等突出问题。其中，唯品会、苏宁小店等App因违规调用通讯录和地理位置权限被通报。2021年，工信部、公安部、网信办等多次通报或下架违规App，其中苏宁易购、蘑菇街等多个电商平台App因个人信息保护问题被“点名”。 　　 　　近年来，随着科学技术的不断进步，依托互联网迅速发展的电商平台在为人们提供消费便利的同时，越来越多地收集大量个人信息。尽管多个电商平台因个人信息保护问题在2021年被“点名”后，根据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》等法律规定及时更新相关隐私保护政策，但电商平台过度收集个人信息现象仍时有发生。笔者试对电商平台更新后的隐私政策进行研究，分析过度收集个人信息行为存在的原因，提出规制建议。 　　 　　 　　电商平台过度收集个人信息的原因 　　 　　根本原因在于实现精准营销目的。通常情况下，用户在电商平台自愿填写个人信息是为了满足购物需求，而用户在使用电商平台时常明显感受到平台推送的东西恰好是自己正在浏览或者正想要购买的产品。这类现象的出现并非巧合，而是因为电商平台通过增加用户消费欲望、吸引广告商投放广告、避免用户流失等手段达到盈利目的。为实现其商业目的，电商平台首先需要搜集大量的用户个人信息，然后通过算法等建立数据模型、挖掘有用信息、全面分析用户购物偏好或需求，最终做到精准广告推送、增加市场交易额、实现自身营销目的。因此，大量个人信息实际上被用于精准算法推荐，背离电商平台为用户提供基础购物服务的个人信息收集目的。 　　 　　“必要”“最小”等原则的模糊性提供了可操作的空间。个人信息保护法第六条规定：“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。”但查阅各大电商平台的隐私政策可以看到，过度收集个人信息行为可能仍存在。以《京东隐私政策》为例，该隐私政策最新版本生效时间为2022年4月20日。在该政策中，京东以保障交易安全为由，收集用户的设备信息、历史上网记录、日志信息、面部信息、IP地址、位置信息、浏览信息、订单信息、常用软件列表、SSID（服务集标识符）、WIFI（无线局域网）信息、IMSI（国际移动用户识别码）、SIM卡信息等大量个人信息。这些信息的收集是否为平台开展服务所必需、是否符合最小且必要原则，值得探讨。需要注意的是，个人信息保护法规定的“必要”“最小”等界定相对模糊，尚没有统一认定标准，这给予了平台过度收集用户个人信息的自主空间。此外，由于电商平台涉及购物、支付、邮寄以及售后等多个环节，而每一个环节都会收集一定的个人信息。这导致电商平台为覆盖所有环节，倾向于搜集更多用户个人信息以满足自身的商业需要。因此，建议在实践基础上，制定司法解释对“必要”“最小”等原则进行明确。 　　 　　隐私政策内容晦涩冗长，增加了用户隐私权益保障的难度。虽然随着个人信息保护法、数据安全法等法律的实施，许多电商平台制定或更新了隐私政策，但有的隐私政策内容晦涩冗长，甚至将欲搜集的个人信息进行穷尽式列举，这客观上影响用户阅读。首先，用户出于快速使用目的，很难完整阅读冗长的隐私政策，这使得用户可能在不全部知情情况下，将个人信息的处理和使用进行授权。其次，有的平台发布的隐私政策专业术语多，用户在缺乏相应专业知识背景下，很难读懂。此外，许多平台的隐私政策通常只会给出同意或不同意两个选项，同意意味着全盘接受，不同意则意味着用户将无法获取相应服务。这使得隐私政策的设置很难真正保障用户隐私权益，建议监管部门完善相关制度，如以企业合规形式对类似情形进行定期审查。 　　 　　 　　具体应对策略 　　 　　如何规制电商平台过度收集和滥用用户个人信息的行为，以及规范平台隐私政策？笔者认为，可以从以下几个方面进行完善： 　　 　　进一步完善立法，加强平台消费者个人信息保护力度。从具体实践来看，电商平台隐私政策中出现的规则模糊等问题，在一定程度上对相关法律法规的完善提出更高要求。工信、网信等主管部门可以依据个人信息保护法等法律确立的“必要”“最小”等原则，制定具体实施细则办法，明确电商平台不得进行个人信息搜集的范围。比如不得为了刻画用户形象搜集用户职业信息、不得仅仅为了进行商业广告推送而搜集用户的上网浏览记录等。建立健全相关规章制度，强化电商平台用户个人信息安全，针对性地限制电商平台过度收集和滥用个人信息的行为。 　　 　　明确要求电商平台的隐私政策简洁化、通俗化。隐私政策内容应简洁清晰、重点突出，以方便用户准确知晓授权内容，作出真实意思表示，可以清晰的图文或表格形式增加隐私政策的可读性，更好地保障用户的知情权，以便用户了解自己的权利义务、及时发现问题。为确保隐私政策真正落实落地，监管部门可以制定统一内容标准或格式样本，指导电商平台正确地制定方便用户阅读和理解的隐私政策。此外，电商平台应将个人信息搜集以及后续处理可能产生的不利后果进行列举，从而增强用户对由此产生的相应后果有个预期，帮助用户判断是否愿意提供自己的个人信息并承担相应风险。 　　 　　确保平台推荐功能默认关闭，提高用户自我保护意识。大数据时代虽然给用户工作生活带来极大便利，但电商平台的商业目的不能以牺牲用户个人信息安全为代价。目前，许多电商平台推荐功能处于自动打开状态，如果用户想关闭此功能，则需要根据隐私政策的步骤提示自行操作。为防止电商平台过度收集用户个人信息，笔者建议，该推荐功能处于默认关闭状态。若用户对此有特别需求，可以通过申请开通等程序特别授权电商平台对自身个人信息搜集，从而实现推荐功能个性化使用。用户也应当增强自我保护意识，监督电商平台是否过多索取信息授权等。 　　 　　尽管许多电商平台积极根据最新法律法规修改更新隐私政策内容，但其实质内容并无明显变化。产生这一行为的本质原因是电商平台收集用户个人信息进行商业化应用的目的并未改变。为加强用户个人信息保护，防止电商平台过度收集和滥用用户信息，在强化法律法规等外部约束的同时，还需要电商平台自觉履行社会责任、强化个人信息安全保护意识。 　　 　　（作者单位：西南政法大学行政法学院）伊志律师事务所位于北京市朝阳区朝外大街乙6号朝外SOHO-C座1209，优越的地理位置，便利的交通条件，安静、专业的办公环境为需求提供方便。 电话：010-84493343 微信：18401228075 电话：18401228075