产妇和宝宝还没出医院，就接到不同儿童摄影机构的电话推销；孩子还不满1岁，家长就被各种早教、游泳类商业机构电话“轰炸”了；在某平台搜索儿童用品，其他购物App马上给你推送类似商品链接……网络时代，儿童个人信息泄露问题带来很多安全隐忧，非法获取、买卖儿童个人信息的刑事案件也随之越来越多。
儿童个人信息的泄露或非法处理，不仅影响孩子的生活安宁、财产权益，同时对儿童人身安全也构成潜在风险或实质损害。现行法律中针对儿童信息保护都有哪些规定？如何正确保护儿童个人信息？如果儿童个人信息遭到泄露应该如何维权？对于这些问题，北京市房山区人民法院法官助理阮小英进行了具体解答。
记者：法律中对儿童个人信息保护都有哪些规定？
阮小英：《中华人民共和国个人信息保护法》第二十八条第一款规定：“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。”同时对包括十四岁以下未成年人个人信息在内的敏感个人信息使用条件进行了严格限制，也就是，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
国家互联网信息办公室发布的《儿童个人信息网络保护规定》，对儿童信息的网络保护进行了专门规定。其中第四条规定：“任何组织和个人不得制作、发布、传播侵害儿童个人信息安全的信息。”第八条规定：“网络运营者应当设置专门的儿童个人信息保护规则和用户协议，并指定专人负责儿童个人信息保护。”这也意味着网络运营者对其运营过程中收集、使用、转移、存储、披露儿童个人信息的各种行为需要进行合规性审查。此外，该法第十一条规定：“网络运营者不得收集与其提供的服务无关的儿童个人信息，不得违反法律、行政法规的规定和双方的约定收集儿童个人信息。”第十二条和第十三条分别规定：“网络运营者存储儿童个人信息，不得超过实现其收集、使用目的所必需的期限。”“网络运营者应当采取加密等措施存储儿童个人信息，确保信息安全。”
2021年新修订的《中华人民共和国未成年人保护法》新增“网络保护”专章，其中第七十二条规定：“信息处理者通过网络处理未成年人个人信息的，应当遵循合法、正当和必要的原则。处理不满十四周岁未成年人个人信息的，应当征得未成年人的父母或者其他监护人同意，但法律、行政法规另有规定的除外。未成年人、父母或者其他监护人要求信息处理者更正、删除未成年人个人信息的，信息处理者应当及时采取措施予以更正、删除，但法律、行政法规另有规定的除外。”
通过民法典、个人信息保护法、未成年人保护法以及相关行政法规等全方位对儿童个人信息予以特殊保护，为实践中保护儿童个人信息提供了重要法律依据。
记者：个人信息处理者可以不经允许处理儿童个人信息吗？
阮小英：网络时代，个人信息被大规模、自动化地收集、存储和使用，而儿童个人信息被非法收集或处理的风险增大，由此带来儿童人身、财产权益遭受侵害的风险也随之加大。在没有特殊目的及充分必要性，且未采取严格保护措施的情况下，个人信息处理者是不能处理、利用儿童个人信息的。
《中华人民共和国民法典》第一千零三十五条规定：“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：(一)征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；(二)公开处理信息的规则；(三)明示处理信息的目的、方式和范围；(四)不违反法律、行政法规的规定和双方的约定。”
《中华人民共和国个人信息保护法》第三十一条规定：“个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。”该法对知情同意规则进行了细化，儿童个人信息属于敏感个人信息，对此类信息的处理，需征求儿童监护人的同意，并告知处理敏感个人信息的必要性以及对个人权益的影响等，并要求个人信息处理者针对儿童个人信息制定专门的个人信息处理规则。
《中华人民共和国未成年人保护法》第七十二条也明确规定，处理不满十四周岁未成年人个人信息的，应当征得未成年人的父母或者其他监护人同意。
《儿童个人信息网络保护规定》对如何征得监护人的同意也进行了具体规定：“网络运营者收集、使用、转移、披露儿童个人信息的，应当以显著、清晰的方式告知儿童监护人，网络运营者征得监护人同意时，应当同时提供拒绝选项，并明确告知收集、存储、使用、转移、披露儿童个人信息的目的、方式和范围，儿童个人信息存储的地点、期限和到期后的处理方式，儿童个人信息的安全保障措施等内容。另外还规定，网络运营者使用儿童个人信息，不得违反法律、行政法规的规定和双方约定的目的、范围。因业务需要，确需超出约定的目的、范围使用的，应当再次征得儿童监护人的同意。”
记者：儿童个人信息被非法处理，监护人该怎么维权？
阮小英：根据民法典规定，自然人的个人信息受法律保护，个人信息中的私密信息，同时适用隐私权保护的有关规定。监护人若发现孩子个人信息被非法处理，可以代理孩子以侵犯隐私权、个人信息保护纠纷为由提起民事诉讼，要求停止侵害、删除信息、消除影响、赔礼道歉以及要求财产损害或精神损害赔偿等。
同时，《中华人民共和国个人信息保护法》第七十条明确规定：“个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。”家长若发现儿童个人信息被非法处理，也可以向检察机关或其他相关机构提供线索，由这些机构提起民事公益诉讼，可以请求侵权人立即停止侵权行为，赔礼道歉，消除影响，赔偿损失。
《中华人民共和国刑法》也对此进行了规定，其中第二百五十三条之一规定：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，构成侵犯公民个人信息罪。”其中“情节严重”是指“非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的”等10种类型。孩子家长若发现孩子信息被非法处理，首先应向公安机关报案，并提供犯罪线索，由公安机关查处相关犯罪行为。
《中华人民共和国个人信息保护法》规定，任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。《儿童个人信息网络保护规定》也明确规定，任何组织和个人发现有违反该规定行为的，可以向网信部门和其他有关部门举报。
因此，家长面临儿童个人信息被非法处理的情况，也可以第一时间向网信部门举报，避免损害后果的产生或扩大。若网络运营者落实儿童个人信息安全管理责任不到位，存在较大安全风险或者发生安全事件的，网信部门将依据职责进行约谈，网络运营者应当及时采取措施进行整改，消除隐患。
法官提醒，儿童个人信息安全问题不容忽视。事实上，仅靠法律事后保护并不能完全消除对儿童个人信息非法收集和处理的现象，全社会应从各个角度加强儿童个人信息的保护。在面临侵权的情况下，公益诉讼机关、儿童监护人也应在权利范围内正当履行职责，使违法者得到惩戒，同时教育、引导儿童增强个人信息保护意识和能力。（□本社记者 李卓谦 □通讯员 曾慧）
