专题 | 刘春泉：华为腾讯微信数据争议的法律关系分析
点击上方“网络空间治理创新”可以订阅哦
本专题内容是在2017年8月“上海大数据治理沙龙”专家发言稿基础上整理汇编而成。此为专题第三篇文章《华为腾讯微信数据争议的法律关系分析》。
华为技术有限公司(Huawei Technologies Co.)正在通过其荣耀Magic智能手机收集用户活动信息，以打造其人工智能功能，例如使手机能够基于用户的短信内容推荐餐厅。其收集的信息包括热门社交应用微信(WeChat)的聊天信息。华为称，所有用户数据都属于用户，而不属于微信或是荣耀Magic，该公司在荣耀Magic设备上处理用户数据之前经过了用户的授权。腾讯认为侵犯用户隐私，并请求工信部介入，经华尔街日报报道，由于此事牵涉到企业大数据商业利益与用户隐私保护敏感问题，引起广泛关注和大量质疑与讨论。
根据媒体已经公开的信息，主要包括华为通过其高管新浪微博账号发布的声明和演示视频，华为公司高管赵明关于产品的发布会介绍，电商渠道关于华为magic手机的产品介绍，广告，媒体相关报道等公开资料，并结合个人信息、隐私保护相关法律规定，本人经长期思考、研究，认为华为与腾讯就此事存在的法律争议焦点可以概括如下：
1、华为手机用户点击同意启用华为magic系统是否满足法律关于个人信息收集应当“合法、正当、必要”并经用户同意的要求？
2、华为作为硬件生产商和底层软件系统厂商，获取手机应用软件数据是否需要获得微信软件厂商腾讯公司的同意？
3、应用软件的用户协议是否可以禁止包括手机硬件和底层系统厂商华为在内的任何第三方读取数据？
根据上述争议焦点问题，梳理基本相关事实如下：
1.华为magic手机预装了magic live系统，该系统为底层操作系统，无法通过软件安装卸载操作程序删除卸载。
2.华为magic live系统确有点击“启用”“不启用”两个平行按钮的设置，启用排在左侧第一个，背景是按照中国用户习惯一般从左侧向右阅读并点击的操作习惯。用户可以通过点击右侧“不启用”来关闭智慧助手功能。
3.华为荣耀magic手机启用后magic live为默认开启状态，即用户购买该手机后除另行选择“不启用”予以关闭，否则会直接使用该系统，相关背景是手机行业均有公知常识在中国绝大部分手机用户都“小白”用户不会或甚少对手机进行设置调整。
4.断网（wifi）情况下试验，magic live系统仍可以正常使用。
5.不启用智慧助手则场景读取数据等不可见，是否静默运行因无技术手段验证无法根据公开材料予以认定。
根据华为高管赵明在发布会上关于隐私保护的介绍，华为自称经过用户授权，智慧助手是在终端本地处理，不会上传数据到服务器，所以不存在泄露个人信息问题。由于赵明提到有必要时会从云端调用数据，并且根据上海市消保委对数十部手机进行的实验，包括华为手机在内的几乎所有手机产品会发生静默情况下流量消耗，证明手机终端与服务器有数据交换，因而，有无隐藏数据上传到华为服务器，无论规律性或者随机，或者经加密传输，这些必须经实验，笔者无法检测，因此只能假设本地化存储属实，暂不考虑华为通过系统升级机会对数据进行上传或者更新本地数据库，暂时不考虑导流到华为的产品对应的流量广告等涉及反不正当竞争问题（属于知识产权领域超出本文讨论范畴）。假设数据存储本地，系通过超级链接、软件、算法或者任何机制自动触发并调用相关系统资源。本文认为华为magic live系统对微信通信内容设置超级链接跳转到第三方服务的行为不合法，理由如下：
一、华为magic live系统启用的点击同意不符合个人信息收集的要求，也不构成有效的同意。
根据华为magic live软件的设置，启用与不启用仅仅是启用相关功能的命令，对于用户来说，并不能当然就知道启用了这个功能有必须收集哪些信息的后果，更没有包含对于收集个人信息的说明，因此不能视为是对个人信息授权的同意。
1、对于底层软件功能的启用不能认定为征得了用户关于个人信息收集的同意
手机作为计算机终端设备，其可以通过可卸载软件执行任务，也可以通过预装的不可卸载的软件执行任务。经上海市消保委公益诉讼后，按照消法知情权和选择权和工信部现行规定，除少量系统必要软件外预装软件应可以卸载。Magic live系统非手机必需功能，可以停止，因此应当可以卸载。
根据介绍，该软件具有多种功能，如弱光下启动手电筒，对该功能启用，不一定需要收集个人信息。在涉及收集个人信息时，应当予以提示并获得用户同意。
从法律角度来说，一键式获得用户关于个人信息的概括性授权不满足法定条件，假如认定此种概括性授权满足同意条件，则无外乎律师把征求同意的内容写长一些，完备一些，仍然无法解决个人信息滥收滥用问题。因此，对个人信息的收集应区分信息类型，对于敏感信息应逐次分别获得授权，只有一般个人信息可以通过概括性授权获得同意。
2、应用软件应区分公开内容和隐私内容，微信属于通信隐私
设计智能设备的功能应考察不同软件场景，区分是否公开内容。国内外对于数据是否公开第三方有无权利获取有不同判决。在中国在新浪诉脉脉一案，中国法院不支持第三方爬取数据。在美国，hiQ vs. Linked-In案件中，法官一审判决认为信息是公开的，第三人爬取与自己抄录无异，因此判决驳回了linked-in要求禁止hiQ爬取数据的要求。
应当注意到linked-in的部分数据是对外公开的，而微信根据产品设计和用户使用情况，任何人都知道是属于私人通信内容，连微信自己工程师都说不能容忍自己与妻子微信内容被监控和记录。对于用户来说，在类似linked-in的社交场景推送广告尚可容忍，但在微信私人通信场景被监控哪怕本地监控也是难以接受的。
3、用户的同意不能延及第三人
用户关于微信内容的同意即使是微信用户个人个别逐次同意，认定合法有效，但因任何微信聊天都涉及第三方，而第三方并不一定是华为手机用户，也不一定也会同意，因此就算用户同意也不能处分第三方的通信自由和秘密。除非涉及刑事犯罪由法定程序进行侦察之外，以用户同意为由的监控涉及第三方权益应认定为无效。
二、用户的同意成立与否均不能排除侵犯通信秘密自由的违法性
1 、手机厂商设计此类产品应当区分不同层级软件，不同类型软件的不同法律关系
手机进行智能设计应区分底层软件与应用层软件，公开数据与非公开数据，本地存储信息与离线缓存等不同情况，并相应进行合规分析论证，否则点击合同作为用户授权依据不符合事实，不符合消费者认知，也不符合法律关于个人信息收集规定。
2 、通信自由与隐私属于宪法保护的，法律阶位高于一般民事商事法律
近期发生法院以违反民诉法为由对通信运营商进行50万罚款的执行处罚案 41 32306 41 13305 0 0 6501 0 0:00:04 0:00:02 0:00:02 6502例，但事实上通信运营商不接受一般民事法律程序进行证据调取是有法律依据的，除非刑事程序由有权侦察机关依法进行，否则不能对抗宪法关于保护通信自由的规定。换句话说民事案件法院不能强制调取通信内容。尽管这个问题现在还有争议，通信自由和秘密受宪法保护，宪法高于一般法律这应该是不争事实。
3、手机用户对自己权利的处分仅仅及于个人，但认定个人放弃通信隐私悖于人性
用户对个人信息权利在知情、有选择的情况下同意，可以由企业进行处置。但若以点击启用作为授权依据，则对于通信隐私的权益放弃首先不符合知情有选择的前提条件，用户并不真正知道点击了之后会发生调取微信通信内容的后果，也无法通过华为手机的选择设置进行自主选择，因而这种许可启用仅仅是满足用户知情同意启用magic live 软件，至于启用后可能发生读取哪些数据，产品本身应当进行提示说明并依照法律规定获得同意，在没进行说明的情况下，启用智慧助手可能是用户看重其他功能，用户并不知道会发生后果是微信也被读取数据，用户完全有可能只希望使用其他功能而拒绝读取微信数据并被设置超级链接，因而华为主张的获得授权并不是用户许可调取微信内容的真实意思表示。
何况，微信是人与人的交流，属于思想范畴，不同文化对于相同的文字有诸多不同忌讳，人人有劣根性，人人均有权利犯错误，如果许可对这种内容进行商业利用，也会给监控制造口实，从全世界即时通信软件来看，只有安全原因的监控在容忍之列。通过法律设计手段让用户放弃通信隐私也悖于人性与伦理，不应当获得法律肯定。
三、手机厂商或者底层软件厂商获取信息应当区分情况分别获得用户和软件厂商同意。微信的用户协议可以约束用户使用行为，不能约束手机厂商和底层软件厂商
根据网络安全法，在不涉及个人信息情况下，企业可以开发大数据应用，企业之间数据财产按照现行判例需要协商同意。
1、用户协议属于格式合同，原则上有效
企业可以通过用户协议设定与用户之间权利义务关系，华为与腾讯都已经充分利用了这一法律工具。根据合同法规定，这些用户协议除非违反法律强制性的禁止规范，否则一般是有效的。但要注意的是，用户协议是格式合同，是点击合同，涉及个人信息与隐私，因此其效力与可否履行的判断并不只能考虑合同法，还需要考虑宪法，网络安全法等相关法律规范。
2、合同相对性原则，不能延及第三人
虽然腾讯可以通过用户协调对数据进行规定，在大众点评诉爱帮网案件中，起诉之前，大众点评也通过修改用户协议的方式对点评数据约定为企业获得用户授权，从而解决原告资格问题。但这种用户协议还是不能突破合同相对性原则，不能直接对抗第三方。微信用户协议（为简略含平台规则）对第三方的禁止性规范一般不能约束第三方，但若第三方可以被视为“用户”则除外，在这种情况下，第三方的企业是被视为平台的“用户”，违反了微信用户协议腾讯作为厂商可以追究责任，或者发生的法律后果是企业信息获取行为违反信息收集的合法性原则。
3、数据财产权益侵犯属于公法调整或者知识产权范畴
企业对于数据的权益属于信息财产权范畴，目前全球范围内对此尚未形成共识，但对于独创性数据库通过知识产权（版权或者商业秘密）保护，是成熟的。欧盟还有专门法律规定非独创性数据库（sui generis right）予以保护。这些保护都不保护单独的数据本身。如何区分数据与数据库，相关规则如何建立尚需进一步观察研究。
四、腾讯对微信通信内容保密具有法定义务，通信内容本身的商业化企图不具有正当性。
网络安全法第二十七条规定：“任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助”。
第四十条” 网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度”。第四十二条 ” 网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。
网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告”。
虽然腾讯宣称对微信通信内容不予存储，笔者倾向于认为微信作为一个独立的信息系统，如果有对微信客户端程序数据包进行篡改的行为可以认定为入侵干扰，腾讯也具有保护信息安全的法定义务。微信如果指控华为的数据调取属于非法侵入微信网络，干扰网络正常功能，能否成立？从业务来看，微信自身商业化设计（例如朋友圈广告有明确显示）均不在通信内容内。说明微信在产品设计上是克制自省的，这种做法值得执法和司法判决肯定、鼓励。
企业需要盈利以及探索新的智能功能设计，这些都可以理解，也可以共同研究如何做符合用户的利益，体验更好，并且可以做到守法合规。产品的商业场景应在通信软件插件或者外围，而不是通信本身。从QQ历史来看，腾讯也会通过本地对可能涉嫌盗号诈骗等进行监控，一旦输入银行卡会有提示，这种出于安全原因对消费者的保护从未受到任何质疑。
华为不仅仅magic live系统，P9手机也有智能读取航班并进行日常提醒，自动识别驾驶和停车，记录停车位置等设计，从普通用户角度而言，如果客观上确实做到了本地软件读取数据，不上传到服务器，仅仅在本地进行提醒设置，并且设置停用禁止等选项，这种智能设计虽然从个人信息合规角度不无可探讨指出，但一般却不会招致用户反感。
但是对微信内容进行超级链接设置则不同，微信属于隐私内容，作为普通用户，除非安全原因，否则被监控或者读取跳转第三方资源，极易引发对隐私的担心，这种场景设计也不符合用户心理和习惯，通信就是通信，如果通信可以随意嵌入其他商业场景，腾讯的电子商务业务也不需要卖给京东。从商业角度而言，腾讯作为利益相关方，华为此等设计实际是利用微信的流量实现导流到第三方，相当于流量劫持，这显然是不可接受的。这是本次双方争议的商业实质所在。
五、自动监控只有为用户安全绝对必要情况下才可能要以最低必要限度设置。对监控有争议时应按照不利于监控设置一方解释法律。
华为如何识别通信内容并调用资源，是否本地有数据库，在什么情况下向服务器进行数据交换，这些本文无法进行调查分析。但监控的合法性前提必须是为安全原因且按照最低必要性原则才能设置。斯诺登揭开棱镜计划的黑幕之后，全世界对无处不在的电子监控早已噤若寒蝉。任何对于数据的动态监控读取都必须慎之又慎。按照设定的规则本地系统进行触发和资源调配，是否构成收集、使用、监控个人信息？Magic live等智能功能设计与安全软件对于病毒、木马程序的监控有何差别？这些需要在查明技术设置的前提下再进一步分析。笔者分析认为这种对聊天内容进行识别和设置超级链接，按照最稳妥的做法也应该有本地数据库（如果云端数据库则侵犯隐私嫌疑更大），系统自动触发关键词并设链对于用户来说与监控是无差异的，自动监控应当只在为安全绝对必要情况下才可以，并且应当以最低必要限度设置，防止对监控的滥用，因为监控在有些国家是可以通过法律正常司法程序进行制衡的，尽管如此仍然让人难以接受。如果我们轻易对监控进行认可将可能招致国际上对我国人权保护的更为严厉的批评。
综上所述，华为调取信息不属于数据积累以实现深度学习，也不属于安全软为用户信息安全而进行技术性监控，而是通过数据触发系统调用相关服务，推送第三方服务（可以实现流量、广告等商业安排，无论是否已经在做），看得出华为腾讯两家企业都进行了产品的合规设计，根本冲突在于商业模式不一致。笔者认为通信场景自动识别关键词并进行推荐不具有正当性，信息触发设置链接的数据库（如有）可能被滥用，本地存储不上传服务器也不并是合规的充分理由。
本专题后三篇文章将在明日为您呈现，敬请期待！
编辑 | 张钰莹
作者
刘春泉
段和段律师事务所合伙人/律师