网络安全法来袭，互联网企业如何确保合规?

注：本为作者为广东国晖律师事务所执业律师杜奕良，为方便用户阅读，文内有一定增删。

本期话题导读

2016年8月23日，大学生徐玉玉被骗后无法承受，心脏骤停死亡。2016年5月9日，甘肃教师范银贵被骗，自杀身亡。2016年8月19日，揭阳准大学生蔡淑妍被骗学费后自杀身亡。个人信息怎样才能在互联网中得到保护，这个月新出台的《网络安全法》终于给出了一个答案。

2016年11月7日，互联网行业引来了一个安全法规——《网络安全法》，这部法律的出台对互联网引起了重大影响。随着互联网的发展和壮大，各种各样的信息每天都在网上发布，扩大了网民的视野，但是这些信息的来源，特别是个人信息的来源是否合法呢?近几年涉及互联网的案件越来越多，涉黄案件，网络诈骗案件，网络暴力案件屡屡发生，这也让我们不禁关注另外一个问题，互联网背后是不是可以毫无限制的发展?言论自由是不是已经让网络成为了法外之地?由于个人信息泄露导致的恶性诈骗案件更是一件接着一件，这背后凸显的是监管不力以及法律缺失。而这次法规的出台，可以说就是为了加强政府对互联网层面的监管和规范互联网的网络规则。

新出的法规总共有七章，共计七十九条法规的内容，第一章、第二章主要强调网络安全的原则和国家层面的监管。第三章和第四章是规范互联网安全以及信息保护的重点，特别是集中在个人信息保护制度方面，第五章对国家网信部门的监管作出了指引和要求，第六章是法律责任。第七章附则，明确了部分名词的含义。而互联网企业需要重点关注的主要有以下五点。

一、信息收集需征得用户同意

互联网运营商应当重点关注的是第三章和第四章的内容，其中第二十二条要求对具备收集个人信息的互联网运营方，必须跟用户明示并取得同意。实际上大部分网络运营方在用户注册阶段会有注册须知或者用户须知的提前告示，但其中的内容少有涉及到用户信息的目的以及用户信息保护内容，笔者建议新规出台后，在用户注册页面就提前以加粗字体或者标注字体提醒注册用户，告知平台信息收集功能和使用目的。

二、信息后台的实名认证要求

其次，为了规范互联网信息来源以及合法性，对网民涉及到的发布信息、即时通讯的，网络运营商要求对这部分个人用户进行实名认证(第二十四条)，该条款针对的对象有两类，一种是类似赶集、58同城、贴吧等发布信息的运营方，一类是针对qq、微信、msn、微博等即时通讯公司。这个条款的目的是规范互联网用户的网络言行，实现前台资源，后台实名，让每个人在使用互联网时，既有隐私，又提醒增强责任意识和自我约束，作为网络服务提供者一定要落实主体责任，加强审核把关。

三、用户信息的使用告知义务

提醒网络行业注意的是，第四章规定的网络信息安全是整部法规的重点，特别是当中对个人信息获取、个人信息使用、个人信息流转以及网络运营者应当尽到的义务都进行了列举，是互联网行业的红线规定。

具体来说，网络运营方获取个人信息之前，应当尽到提醒以及告知义务，明确告知获取个人信息的目的以及可能使用的方式，并取得该个人的同意(第四十一条)。收集到的个人信息应当采取合理的措施进行保密和保护(第四十条)，不得篡改或者泄露，没有得到个人同意的情况下，不得向第三方提供信息，除非有经过特别处理无法识别的(第四十二条)。

四、信息的“出入”均要合法

法规第四十四条与刑法中的非法获取公民信息罪对接，要求网络运营方获取个人信息的渠道应当合法，不得非法出售或者非法提供给第三方。个人发现信息未经同意得到泄露或者在无关网络运营方发现个人信息的有权要求删除，运营方发现用户发布违规信息的应当尽到管理的义务，及时删除并汇报主管部门，杜绝了网络服务提供者的避风港原则，合理分配政府的监管范围。

五、重点关注与用户的约定内容

在部分条款的后面，有一个附加的条件需要提醒运营方注意的，就是无论是收集、使用、提供给第三方、修改，如果法律、行政法规有具体规定的，不得违背法律规定。但是!如果网络运营商与个人用户之间有达成约定的。且使用个人信息是在约定之内的，即便个人信息被使用、提供给第三方了，网络运营方可以免责。

实际上，这个附加的条件是比较少见，因为《网络安全法》是一部行政执法的法规，涉及民事约定的内容比较少，特别是，行政法规里面很少会有以约定作为依据的。笔者认为，这是网络监管与互联网发展之间的一个妥协点，大数据时代特别强调对信息的收集、统计、分析，如果过于限制个人信息的保护，会导致互联网发展停滞，最终影响整个互联网进程，因此，《网络安全法》加上的这个限制条件，可以说是一个新的突破。

这个附加条件也为网络运营商提供了收集、使用个人信息的依据，笔者建议，运营商在用户进行注册的阶段必须提供详细的注册须知条款，如有涉及到收集、使用、转提供个人信息的情况，必须提前在注册须知条款中进行说明，要求用户进行语音确认或者邮件确认，这样能最大程度地避免违反法律的规定。