域外传真 | 今起正式执行，如何理解英国《适龄设计准则》的15条标准

文/ 陈馨文 上海市协力律师事务所

目 录

1. 英国《适龄设计准则》简介

2.《准则》的适用范围

3.《准则》的15项标准与相关解读

4. 违反《准则》的法律后果

1.  英国《适龄设计准则》简介

本日起，英国《适龄设计准则》（<Age Appropriate Design Code>, 以下简称“《准则》”）长达12个月的过渡期正式宣告结束，英国信息委员会办公室（Information Commission Office，以下简称 “ICO”） 将开始正式执行该《准则》并追究相应责任。自此，在线服务提供商将必须从儿童利益至上的角度设计相关产品，为不同年龄段的用户打造更加严格的隐私设置和配套政策。

《准则》通过列出为儿童提供在线服务的组织需要遵循的15项标准，旨在帮助这些组织以符合GDPR的方式设计服务。此外，该《准则》的附件还特别给出了几份极具参考价值的附录。例如，以流程图形式指引企业判断其服务是否适用这一《准则》，如何划分不同年龄段儿童的发展特征，如何选择处理儿童个人信息的合法性依据以及一份简明的数据保护影响评估模板（DPIA template）。这些附录都是非常实用的合规文本工具，企业可直接适用。[1]

这里需要特别指出，出海互联网企业需重点关注《准则》，因为其作为儿童个人信息保护领域监管实践的重要先锋，影响力远非仅限于英国。《准则》是继美国《儿童网络隐私保护法》之后，有全球性示范效应的儿童个人信息保护领域的重要规范文件。2021年8月，美国众议院和参议院多名政客向国外游戏大厂和传媒巨头（包括动视、Take-Two、任天堂、拳头游戏、Epic Games、华纳、迪士尼等）的CEO签发的质询函中就明确指出，相关公司是否计划按照英国《适龄设计准则》修改游戏，以及是否会确保在美国发布的游戏符合这些标准。

2. 《准则》的适用范围

《准则》的范围很广，它适用于“任何提供涉及个人数据处理的在线服务，并可能被英国儿童访问的组织”。而“在线服务”的概念更是非常广泛，ICO文本中提供了以下（非详尽）涵盖服务的示例：应用程序、游戏、社区环境、搜索引擎、社交媒体平台、流媒体服务、新闻和教育网站，以及通过互联网向用户提供产品或服务的网站。此外，《准则》还明确列出了一些不包含在内的在线服务示例加以区分，例如公共当局提供的非商业服务、传统语音电话服务、一般广播服务以及预防或咨询服务。而判断一项在线服务是否“很可能被儿童访问”，不仅取决于该服务专门针对儿童的情况，还包括现实中18岁以下的未成年人访问和使用该服务的可能性大于不访问和使用的情况。因此，如果在线服务提供商不希望儿童使用他们的服务，则需要致力于防止儿童访问其服务（可以通过技术措施或通过设计对儿童没有吸引力的服务来达成这项目标），从而脱离《准则》的适用。

需要额外注意的是，在《准则》中，儿童为18岁以下的任何人，任何“可能被”18岁以下未成年人访问的在线服务提供商（除少数例外）都在其规制范围内，合规标准远远大于全球范围内别的国家：我国《儿童个人信息网络保护规定》中儿童指的是不满14周岁的未成年人，美国《儿童网络隐私保护法》中的儿童为13岁以下的未成年人。

3. 《准则》的15项标准与相关解读

《准则》围绕儿童个人数据保护的宗旨，对先行数据保护实践与法律法规进行整理，形成了十五项标准，以期在线服务提供商在满足如下标准时可以达成各数据保护规定的合规目标：

①儿童利益最大化（Best interests of the child）：机构组织在设计和开发可能被儿童访问的网络服务时，首要考虑因素是儿童的最大利益。

解读：ICO认为，考虑到儿童的最大利益对于证明在线服务提供商遵守GDPR，公平合法地处理个人数据的义务至关重要。因此，在线服务提供商应考虑在他们在处理儿童的个人数据时如何保护儿童免受剥削风险，并保护和支持他们的福祉、发展、需求、权利和自由。

②数据保护影响评估（Data protection impact assessments，下称“DPIA”）：针对处理儿童数据给儿童权利和自由带来的影响进行评估，以便采取措施降低风险。

解读：DPIA是控制者责任义务的关键部分，因此，在线服务提供商必须在进行任何可能对个人权利和自由造成高风险的处理之前执行DPIA。ICO认为，由于在线服务的性质和背景，它们对儿童权利和自由的处理方式将不可避免地包含高风险。DPIA应特别关注儿童的特定权利和风险，并应评估和记录对本准则的遵守情况。此外，提供商应根据服务和相关处理的变化定期审查DPIA，并更新DPIA的内容。

③适龄应用（Age appropriate application）：针对用户进行年龄识别，并将本准则的标准应用于儿童用户上；如果没有年龄识别的流程，则将本准则中的标准应用于所有用户。

解读：该标准表明，ICO意识到了使用在线服务的用户的年龄跨度很大，为儿童提供的保护水平应该适应他们的年龄，这意味着，提供商需要确定用户的年龄并且根据年龄来设计服务。

《准则》本身提供了一些提供商可以用来确定儿童年龄的参考示例，例如自我声明、使用人工智能来评估用户年龄、第三方年龄验证服务或由成年人来确认使用者年龄（当然，其中部分方法可能自身即包含数据保护风险）。如果提供商不希望新增这些确定用户年龄的流程，则《准则》中标准应适用于所有用户，以确保对儿童数据的最大保护。

④透明度（Transparency）：向用户提供的隐私信息及其他条款政策等，必须简洁突出、语言清晰，便于儿童用户阅读。提供商应在触发使用时，对个人数据的使用提供额外的“一口大小”解释。

解读：提供商应根据用户的年龄，尽量使得隐私通知方便其理解，并应在服务中激活特定数据使用时向用户提供及时通知。此外，提供商应考虑不同年龄儿童的不同需求，例如，根据儿童的理解水平，让他们选择查看更基本或更详细的信息。在这一方面，可以参考附录中不同年龄段儿童的发展特征，从而准备不同的解释文本。

⑤数据的有害使用（Detrimental use of data）：儿童的个人数据不应以已被证明有害于他们的福祉或违反行为准则、监管规定或政府建议的方式使用。

解读：这是提供者证明其对数据的处理合法和公平的关键部分，这要求提供商及时了解相关的政府建议和监管规定。如果个人数据的使用明显或已被证明对儿童的身心健康有害，他们就不应该继续铤而走险。提供商需要考虑的相关行为准则将包括营销、行为广告、广播、新闻报道和在线游戏方面的行为准则。提供商应避免在其服务中根据个人数据而提供激励和优势，或告知儿童：如果他们停止使用服务则将蒙受损失。

⑥政策和社区标准（Policies and community standards）：机构组织针对其自行发布的隐私政策、年龄限制等条款、政策和社区标准进行维护并执行。

解读：这意味着提供商必须遵守并执行他们制定的规则和标准，例如用户行为政策。如果提供商在政策和标准中声明提供商将监控用户行为和内容，或针对欺凌指控采取行动，则提供商在必要时必须按规定执行。

⑦默认设置（Default settings）：隐私保护的默认设置应为“高度隐私保护水准”。

解读：这项标准表明，仅仅允许儿童激活“高度隐私保护水准”设置是不够的，默认设置就应当是“高度隐私保护水准”。当然，儿童应有权选择改变这些默认设置。因此，提供者应考虑，如果儿童试图改变对隐私进行高度保护的默认设置，是否需要对其进一步干预。例如，确保儿童了解这样做的影响和风险。当软件进行更新时，提供商应保留用户的隐私设置，同时，提供商应允许使用同一设备的不同用户选择不同的设置。

⑧数据最小化（Data minimisation）：收集儿童用户数据应以“最少必要”为原则。

解读：这意味着在线服务提供商应清楚地了解，其提供的服务的每个单独板块所必需的个人数据，并应采取保护措施以确保仅收集每个板块服务所必需的儿童个人数据。同时，其应保证儿童有权选择他们使用服务的哪些部分以及向提供商提供多少个人数据。

⑨数据共享（Data sharing）：除为了儿童利益最大化之目的，否则不得向第三方共享或披露儿童数据。

解读：如果在线服务提供商可以合理预见，某个数据共享可能导致第三方以对儿童有害的方式使用个人数据，则其不应明知故犯。因此，建议提供者应从所有数据接收者处获得有关使用个人数据的保证，并应对接收者的数据保护措施进行尽职调查。

⑩地理位置（Geolocation）：默认情况下在线服务应关闭地理位置选项；当地理位置跟踪处于开启状态时，需要以显著的标志提示儿童，且在结束后该选项需要恢复默认关闭。

解读：ICO认为地理定位数据对于儿童来说尤其重要，因为如果有关儿童的实时位置信息遭到泄露，他们的人身安全就会面临风险。因此，在位置追踪打开时，提供商应做到令儿童充分知悉该状态，并且在每次使用服务后自动关闭跟踪。

⑪家长控制（Parental controls）：如果在服务中加入了家长控制，应向儿童提供相应的信息，确保儿童对此知悉，包括在儿童被监控时提供一个明显的标志。

解读：虽然家长控制有利于保护儿童数据，但《准则》也承认了这可能影响儿童的隐私权。因此，儿童有权了解在线服务采取了哪些控制措施以及这些措施对其的影响。该条款区别于美国《儿童网络隐私保护法》（“COPPA”），因为COPPA中仅规定了家长进行控制的权利，却没有规定儿童的知情权，可以看出，《准则》的制定充分植根于《联合国儿童权利公约》，以儿童人权为首位。

⑫画像（Profiling）：默认情况下应关闭“画像”功能；只有在采取了适当措施保护儿童免受有害影响时才能对儿童进行“画像”。

解读：提供商应限制对儿童数据进行的“画像”行为，特别是在用于行为广告时，毕竟这不是儿童访问的核心服务的一部分。对“画像”的同意应该是明确且符合儿童年龄的，在儿童试图更改默认设置时，提供商应进行干预。

⑬轻推技术（Nudge techniques）：禁止使用轻推技术诱导或鼓励儿童提供非必要个人数据。

解读：所谓“轻推技巧”，主要是指产品或服务的提供者刻意引导或鼓励用户在决策时遵循设计者首选路径而采用的策略，例如在一些设计者希望获得用户授权的场合，其通常把同意授权的选项做得更为显眼。

《准则》认为，在线服务设计中使用轻推技术，可能导致用户（包括儿童）被鼓励允许平台获取比他们自愿提供更多的个人数据，也可能被用来引导用户尤其是儿童，在进行个性化隐私设置时选择较少的隐私增强选项。这种基于人类心理偏见的技术违反了《通用数据保护条例》（GDPR）第五条关于“公平”和“透明度”的规定，也违反了第38条中关于儿童因为不了解个人数据相关风险、后果、权利和保障措施，而需要特殊保护的规定。[2]

⑭互联玩具和设备（Connected toys and devices）：在提供连接互联网的儿童玩具和其它设备时，需要明确处理个人数据的主体并设计为适合不同年龄用户使用、在购买和设置环节提供对个人数据使用的说明信息、提供与儿童用户及其监护人“即时”交流的工具，从而避免默认收集个人信息。

解读：ICO尤为关注联网设备，因为它们收集和处理个人数据的范围很大，而且儿童经常在没有成人监督的情况下使用这些设备。因此，联网设备的提供商应在设备的供应链中建立适当的隐私义务，并确保在购买和设置时提供有关数据处理的明确信息。提供商应避免在默认设置的情况下收集个人数据，在设备收集数据时应明确告知用户。

⑮在线工具（Online tools）：向儿童提供便于使用的工具，帮助其行使数据权利。

解读：该《准则》建议在线服务提供商定制其他在线工具以支持GDPR下的儿童权利。例如，可为用户提供下载数据以支持访问和携带的选项，以及删除所有数据或选择要删除的数据的选项。

4. 违反《准则》的法律后果

我们可以看到，虽然该准则不具有法律约束力，提供商不遵守该准则本身并不会导致被采取强制措施。但是，在不遵守该《准则》的情况下，他们会发现自己难以证明其在GDPR的合规性。而如果该组织违反了GDPR ，ICO将在采取执法行动时考虑该《准则》中的要求，因此不遵守该《准则》很有可能导致处罚，包括最高 2000 万欧元或全球年营业额4%的罚款。可以说，该《准则》充分表明了ICO的立场，即要求在线服务提供商对他们使用个人数据对弱势群体造成不利影响的情况负责。

Reference

向上滑动阅览

[1]https://ico.org.uk/for-organisations/guide-to-data-protection/ico-codes-of-practice/age-appropriate-design-a-code-of-practice-for-online-services/annex-d-dpia-template/

[2] 《深度丨未成年人游戏内“开箱”是赌博吗？美国多位议员呼吁限制诱导性“轻推技巧”》 来源 | 21世纪经济报道、21财经

https://advance.lexis.com/document/?pdmfid=1000516&crid=e1844444-3e7b-47dd-a8c2-8a6889b19b50&pddocfullpath=%2Fshared%2Fdocument%2Fanalytical-materials%2Furn%3AcontentItem%3A5YWX-37T1-JNS1-M1FM-00000-00&pdcontentcomponentid=254935&pdteaserkey=sr1&pditab=allpods&ecomp=wzgpk&earg=sr1&prid=c2f00171-40cb-49c7-80be-9d11130a33db&cbc=0

陈馨文

上海市协力律师事务所 实习律师

陈馨文，上海市协力律师事务所知识产权团队实习律师，先后于中国政法大学、美国加州大学洛杉矶分校取得法学学士、德语专业文学学士以及娱乐法专业法学硕士。

在团队中协助主办律师，为盛趣游戏、波克城市、上海音乐厅等单位提供知识产权等方面的法律服务。

（本文为授权发布，仅代表作者观点，未经许可不得转载）

“星标”、“转发”、“在看”，给小编加鸡腿哦！投稿请联系[e-mail]
近期热文