个人信息保护法律研究（三） 关于移动网络个人信息保护的三则规范意见出台

2012年底，《信息安全技术公共及商用服务信息系统个人信息保护指南》（“《指南》”）和全国人大常委会《关于加强网络信息保护的决定》（“《决定》”）相继颁布。2013年4月10日，工信部关于“电信和互联网用户个人信息保护”及“电话用户真实身份信息登记”两个规定的征求意见稿（“两个征求意见稿”）发布。在此前后，工信部针对软硬件高度整合的移动网络，密集出台了一系列着眼于信息保护实际操作的意见和通知，包括：

《关于进一步规范基础电信运营企业校园电信业务市场经营行为的意见》

该意见由工信部于2013年4月3日发布并于同日生效，规范对象仅限于中国电信、中国移动和中国联通三大基础电信运营商，要求它们在校园电信业务经营活动中，不得非法获取学生、教师或学生家长（简称“校园用户”）的个人信息（如姓名、性别、年龄、家庭住址、联系电话等），未经本人许可不得向校园用户邮寄或与其他单位合作邮寄移动电话用户身份识别（SIM）卡和业务宣传资料。该意见赋予各通信管理局进行相关调查与行政处罚的权力，并要求三大基础电信运营商制定本集团内的校园电信业务市场管理办法。

《关于开展深入治理垃圾短信息专项行动的通知》

2013年4月7日，工信部出台了该通知及配套的《深入治理垃圾短信息专项行动工作方案》（“《工作方案》”），决定自2013年4月至12月开展深入治理垃圾短信专项活动。这是对《决定》中有关规范商业性电子信息条款的具体贯彻落实，其适用主体包括所有提供信息服务的基础及增值电信运营商。《工作方案》要求，未经用户同意或请求，或用户已经明确表示拒绝的，不得向用户发送商业类短信息；对用户明确表示对其造成侵扰的商业性短信息发送行为，应采取有效措施予以制止。

《关于加强移动智能终端进网管理的通知》

该通知由工信部于2013年4月11日发布，将于2013年11月1日生效。该通知要求生产企业不得在移动智能终端（如智能电话、具备智能操作系统的各类平板电脑）中预置具有以下性质的应用软件：(i) 未向用户明示并经用户同意，擅自收集、修改用户个人信息的；(ii) 未向用户明示并经用户同意，擅自调用终端通信功能，造成信息泄露等不良后果的；(iii) 其他侵害用户个人信息安全和合法权益的。此外，获得进网许可的移动智能终端新增预置应用软件，或者操作系统升级发生的变化涉及进网检测中终端基本安全要求项目的，生产企业需向工信部报备。根据这些要求，各类智能终端生产厂商需要在该通知生效前不到半年的过渡期内，按相关规定逐步提高其产品的个人信息安全标准。

上述规则的出台，显示了政府主管部门对地位日益显赫的移动网络平台的关注，也在具体执法中开始践行两个征求意见稿所明确的个人信息保护原则。

就目前电信领域个人信息保护的法律框架而言，《决定》提纲挈领，却流于原则；《指南》细节丰富，但无法律强制力；两个征求意见稿何时出台尚属未定之数，但据业内人士分析，监管趋严的压力可能引发反弹，两个征求意见稿未必能够在短时间内对个人信息保护的现行制度体系提供有效补充。

在此局面下，工信部于2011年12月29日颁布、已于2012年3月15日生效的《规范互联网信息服务市场秩序若干规定》（以下简称“20号令”）对用户个人信息保护着墨较多，虽仅适用于“境内从事互联网信息服务及与互联网信息服务有关的活动”，在电信领域的个人信息保护专项规定出台前，仍不失为部门规章层面的纲领性文件。

20号令将“用户个人信息”界定为“与用户相关的、能够单独或者与其他信息结合识别用户的信息”。规范的主体为经营性或非经营性的“互联网信息服务提供者”，适用范围不及《决定》广泛（后者的适用范围为“网络服务提供者和其他企业事业单位及其工作人员”）。20号令针对用户个人信息的收集、使用、保管、安全防护、接受投诉等方面对互联网信息服务提供者提出了较为细致的要求，与《决定》中提出的原则不存在矛盾。因此，其个人信息保护条款在实践中可暂作实施细则，在其适用领域内与《决定》参照适用。20号令明确电信管理机构为互联网信息服务领域内个人信息保护的监管机关，并规定了“责令改正、警告、一万元以上三万元以下的罚款、向社会公告”的处罚措施。这些均已被《电信和互联网用户个人信息保护规定（征求意见稿）》所吸收和借鉴。