从企业合规角度解读《未成年人网络保护条例（征求意见稿）》

一、互联网企业须履行针对未成年人网络素养培育的相关义务

《2020年全国未成年人互联网使用情况研究报告》显示，“我国未成年人互联网普及率已高达94.9%”，[3] 未成年人的网络素养不仅对其身心发展至关重要，也对国家和民族的未来有重大意义。由于未成年人处于心智尚未发展成熟的阶段，容易受到不良网络信息的影响，面对个人信息泄露、网络沉迷、网络暴力等风险，提高未成年人识别不良网络信息的能力，确保未成年人更好地使用互联网工具至关重要，这需要社会各方长期的教育和引导。

《条例（三次意见稿）》在网络素养培育一章中，重点规定了针对未成年人上网保护软件、专门供未成年人使用的智能终端产品的规制要求，以及重要互联网平台服务提供者的相关合规义务。

（一）针对未成年人上网保护软件、智能终端产品制造者、销售者的合规义务

2022年3·15晚会曝光了部分生产儿童手表的厂商，其为控制成本，安装的老旧低版本操作系统无法通过弹窗告知用户并获得用户授权同意，存在恶意程序索取权限的行为。该恶意程序通过调用手表的定位、麦克风、摄像头、通讯录权限，获取手表使用者的位置、人脸图像、声音等个人信息，很容易造成儿童个人信息的泄露。

针对此类问题，《未成年人保护法》第六十九条第二款[4]规定了智能终端产品的制造者、销售者应在产品上安装未成年人网络保护软件，或者以显著方式告知用户有关未成年人网络保护软件的安装渠道和方法。

《条例（三次意见稿）》对上述要求进行了细化：

1）智能终端产品制造者应当在产品出厂前安装未成年人上网保护软件，或者采用显著方式告知用户安装渠道和方法。

2）智能终端产品销售者在产品销售前应当采用显著方式告知用户安装未成年人上网保护软件的情况以及安装渠道和方法。这是因为通常在销售场景中鲜少涉及由销售者安装未成年人网络保护软件的情形，所以智能终端产品销售者主要承担的是告知用户关于安装情况、安装渠道和方法的义务。

此外，《条例（三次意见稿）》第十九条第一款增加了“未成年人上网保护软件、专门供未成年人使用的智能终端产品”应具备有效识别违法信息和可能影响未成年人身心健康的信息、保护未成年人个人信息权益、预防未成年人沉迷网络、便于监护人履行监护职责等功能。因此，我们建议相关企业关注此条要点，能在产品开发之初将合规义务融入到产品中。

再者，《条例（三次意见稿）》还明确规定“国家网信部门及国务院有关部门”有工作需要时，应明确软件及智能终端产品的技术标准或要求。比如，《信息安全技术 未成年人移动终端保护产品测评准则（GA/T 1537-2018）》的行业标准已于2018年发布，《未成年人互联网不健康内容分类与代码》《信息技术 网络游戏未成年人 监护系统技术要求》等国家标准也都已经在制定过程中。未来可能有专门针对未成年人智能终端产品或软件的相关标准出台，或者在智能终端产品或软件的技术标准中增加未成年人保护的章节，建议产业链上的相关企业应持续关注国家相应标准或规范性文件的出台动态。

（二）针对重要互联网平台服务提供者的合规义务

为推进互联网平台治理，《条例（三次意见稿）》融入了未成年人网络保护的特定场景。参考《个人信息保护法》第五十八条，[5]《条例（三次意见稿）》第二十条中也增加了针对“未成年人用户数量巨大、在未成年人群体具有显著影响力的重要互联网平台服务提供者”的相关义务。

对于何为“重要互联网平台服务”，《条例（三次意见稿）》暂未给出明确定义，只作出了概括性描述。但企业可以参考《互联网平台分类分级指南》《互联网平台落实主体责任指南》的相关规定来判断自身是否可能被认定为重要互联网平台。如果后续有相关文件对上述概念进一步澄清，则企业需要密切关注当前结论是否需要更新。

比照《个人信息保护法》第五十八条，我们对新增义务进行如下提示：

• 在平台服务设计、研发阶段，应充分考虑未成年人身心健康发展的特点，定期开展未成年人网络保护影响评估（新增）；
• 应建立健全未成年人网络保护合规制度体系，成立主要由外部成员组成的独立监督机构，对未成年人网络保护情况进行监督；
• 应提供青少年模式或未成年人专区等产品或服务（新增）；[6]
• 如发现存在严重违反法律、行政法规侵害未成年人身心健康或者侵犯未成年人其他合法权益的平台内的产品或者服务提供者，应对其停止提供服务；
• 应以显著方式提示未成年人用户享有的网络保护权利和遭受网络侵害后的救济途径（新增）；
• 每年（新增）应发布个人信息保护社会责任报告，并通过公众评议（新增）等方式接受社会监督。

（三）实践案例

经调研，我们看到，不少互联网企业已经开始从网络素养培育入手，专门为未成年人提供网络保护产品或服务。如在2021年，某互联网短视频平台发布“护苗行动计划”，通过升级未成年人保护工具、上线青少年小程序等举措，对未成年人保护进行宣传（如图1）。[7]2022年，某互联网短视频平台升级扶持青少年内容创作者的“萌知计划”，为青少年提供优质的专属内容，以良善科技陪伴孩子健康成长（如图2）。

部分互联网企业已经根据现行法律法规，对规范网络信息内容作出了探索，根据未成年人心理特点、行为模式专门设置了青少年模式。譬如开启某互联网通讯平台推出的青少年模式（如图3）后，将限制未成年人访问视频号、公众号、摇一摇、直播和附近、游戏等部分功能。2021年10月，该平台上线了“青少年模式监护人授权”功能，启用该功能后，未成年人若需要访问公众号文章、小程序、链接以及延长视频号使用时长时，则需要远程申请监护人授权。监护人可以通过个人账号远程对申请进行授权操作，防止未成年人受到不健康网络内容的侵害，沉迷网络。通过上线“青少年模式监护人授权”功能，企业既延伸了监护人的保护方式和保护范围，得以履行保护未成年人的义务，又降低了企业自身的合规风险。

图3

二、网络信息内容规范义务

暴露在充斥着不良网络信息内容中，未成年人的身心健康会造成极大的损害。在2020年7月启动的“清朗”未成年人暑期网络环境专项整治中，7家网站平台、网课学习频道、3款青少年常用学习教育类App、2家互联网视频平台、5家互联网平台均存在推送不良和/或低俗信息的情况，或故意利用有害内容进行引流等行为。[8] 2021年9月，有小学生家长在某App上搜索“亲子乐园”后，发现被推送明显泄露未成年人身体隐私的视频。2022年1月，该涉事企业因“发现用户发布、传播含有危害未成年人身心健康的信息后，未立即停止传输相关信息，采取删除、屏蔽、断开链接等处置”，受到了30万元的行政处罚[9]。

《未成年人保护法》要求任何组织或者个人出版、发布、传播的图书、报刊、电影、广播电视节目、舞台艺术作品、音像制品、电子出版物或者网络信息，包含“可能影响未成年人身心健康内容”的，应当以显著方式作出提示。针对何为“可能影响未成年人身心健康内容”，《条例（三次意见稿）》参照《网络信息内容生态治理规定》第七条第八款[10]作出规定，即指“引发或者诱导未成年人模仿不安全行为、实施违反社会公德行为、产生不良情绪、养成不良嗜好”等情况。国家网信部门会同各部门，将在以上规定基础上确定信息的具体种类、范围、判断标准和提示办法。建议企业应当密切关注相关法律文件、标准，第一时间做好合规工作，遵守并履行以下相关义务。

（一）禁止一般网络产品和服务提供者出现下述行为及内容（二）专门禁止“在线教育”网络产品和服务提供者以下操作

《条例（三次意见稿）》第二十九条和第二十六条规定，为未成年人提供“在线教育”网络产品和服务的运营者：

• 不得插入网络游戏链接；
• 不得推送广告等与教学无关的信息；
• 不得在首页开屏弹窗热搜等处于产品或者服务醒目位置、易引起用户关注的重点环节呈现可能影响未成年人身心健康的信息。

上述禁止性行为曾是导致未成年人身心健康受影响的恶源。2021年10月发布的《关于进一步加强预防中小学生沉迷网络游戏管理工作的通知》（以下简称“《预防沉迷网络游戏通知》”）明确规定，网信、市场监管部门对发布不良网络游戏信息、插入网络游戏链接、推送网络游戏广告的中小学在线教育网络平台和产品，要按有关规定及时进行处罚或关停。

（三）网络产品和服务提供者应当遵守的三类特殊义务

基于《未成年人保护法》第七十四、七十七和八十条，以及《网络安全法》第四十七条，《条例（三次意见稿）》还特别规定了互联网产品和服务提供者的以下四类特殊义务：

1. 网络产品和服务应对特定内容进行显著提示

《条例（三次意见稿）》第二十四条规定制作、复制、发布、传播信息的组织和个人对“可能影响未成年人身心健康”的信息负有显著提示的义务。建议企业应结合《网络信息内容生态治理规定》的规定，禁止制作、复制、发布含十类违法信息、九类不良信息以及法律、行政法规禁止的其他内容。2. 应制止网络欺凌

《未成年人保护法》第七十七条定义的网络欺凌行为是指通过网络以文字、图片、音视频等形式，对未成年人实施侮辱、诽谤、威胁或者恶意损害形象等行为。并且，将编造未成年人的负面新闻、丑化和攻击他人，并引来网友围观、起哄、谩骂等行为都归入网络欺凌的通常形式[11]。网络欺凌会对受害者产生极大伤害，在某些极端情况下，甚至会导致自杀。例如广东陆丰女高中生琪琪因被怀疑偷拿商品，在店主公开发帖后遭到“人肉搜索”导致个人信息曝光，受到辱骂，并在事发后第二天跳河自杀身亡。[12] 因此，《条例（三次意见稿）》在《未成年人保护法》基础上明确了网络产品和服务提供者应制止网络欺凌的行为，具体可采取的措施有采取删除、屏蔽、断开链接、限制账号功能、关闭账号等。

3. 应对不当内容予以处置

与《网络安全法》《互联网信息服务管理办法》《互联网视听节目服务管理规定》等相关法律法规规定类似，《条例（三次意见稿）》第三十条规定了网络产品和服务提供者针对不当内容进行处置的义务，例如加强对其用户发布的信息的管理，防范不当内容的发布与传播。但目前没有专门法律法规规定具体的信息管理方式，企业可以参考《网络信息内容生态治理规定》第九条的规定，健全用户注册、账号管理、信息发布审核、跟帖评论审核、版面页面生态管理、实时巡查、应急处置和网络谣言、黑色产业链信息处置等制度，设立网络信息内容生态治理负责人，配备专业人员等，完善对用户发布信息的管理。在实践中，为尽早发现不当内容的发布，企业也可以利用算法过滤、人工审核、投诉处理、抽查复审等方式，依法采取“先审后发”或“先发后审”的方式进行不良内容的审核与过滤。

（四）实践案例

对于网络信息内容规范，部分互联网企业也开始进行有益尝试，比如部分可供用户发布短视频的移动应用软件，明确其将采取严格的管理办法，杜绝发布和传播包含法律法规禁止发布和传播的内容，并在青少年模式开启时将展示精选适宜未成年人观看的内容，如教育类、知识类内容（如图4）。

图4

三、个人信息保护义务

近年来，互联网上时常发生儿童个人信息泄露事件[13]，应对此类情况，《个人信息保护法》明确“不满十四周岁未成年人的个人信息”属于“敏感个人信息”，并规定个人信息处理者处理此类个人信息的，应当取得未成年人的父母或者其他监护人的同意，且应当制定专门的个人信息处理规则。同时《未成年人保护法》也对保护未成年个人信息作出了相应规定，如规定了网络游戏服务提供者、网络直播服务提供者的真实身份信息认证义务；不得为未满16周岁的未成年人提供相关服务；限制保护未成年人私密信息的发布等义务[14]。此外，《儿童个人信息网络保护规定》作为我国第一部个人信息保护方面的成文部门规章，专门规定了保护儿童（不满14周岁）个人信息权益，但在《条例（三次意见稿）》出台以前我国缺乏对于保护14-18周岁未成年人个人信息的实施细则，《条例（三次意见稿）》针对未成年人（不满18周岁）个人信息保护做出规定，能够对此立法缺位起到有效补充作用。《条例（三次意见稿）》在未成年人个人信息保护方面共设立了十三条具体条文，承接并强调了上位法中关于未成年人个人信息保护的重点，根据相应的个人信息处理场景明确了互联网企业合规义务：

（一）特定真实身份核验

在《未成年人保护法》第七十五、七十六条规定网络游戏服务提供者、网络直播服务提供者须履行用户真实身份核验义务基础上，《条例（三次意见稿）》增加了向未成年人提供信息发布、即时通讯等服务的网络服务提供者，应当在提供服务时验证未成年人或者其监护人的真实身份信息。未成年人或者其监护人不提供未成年人真实身份信息的，网络服务提供者不得为未成年人提供相关服务。

并且，《条例（三次意见稿）》针对网络直播服务提供者还应当建立用户真实身份动态核验机制。根据“最小必要原则”，目前相关法律法规并不鼓励互联网产品或服务提供者获取过多的用户个人身份信息，特别是实名认证时涉及到的身份证、人脸识别信息等敏感个人信息。但是，在游戏、直播等场景下，实行实名认证又具有必要性。监管部门虽然反复要求平台服务提供者对现有的“青少年防沉迷系统”进行升级改造，但未成年人依然有办法通过利用成年人的身份信息、第三方帐号、使用租赁手机注册帐号等方式避开防沉迷系统监控，登录游戏、直播平台。实名制认证可以在一定程度上堵截上述漏洞，现有规定也对此做出了相应的要求，如《关于防止未成年人沉迷网络游戏的通知》明确要求网络游戏用户帐号须进行实名制注册；《网络表演经营活动管理办法》规定网络表演经营单位应当要求表演者使用有效身份证件进行实名注册，并采取面谈、录制通话视频等有效方式进行核实；《关于加强网络直播服务管理工作的通知》明确各网络直播服务提供者应按照要求落实用户实名制度。

（二）私密信息保护义务

《条例（三次意见稿）》对《未成年人保护法》下网络服务提供者私密信息保护义务的条款进行了细化，即规定当网络服务提供者发现涉及未成年人私密信息时，应当及时提示，并采取停止传输的措施，以防止信息扩散。但《条例（三次意见稿）》并未对“私密信息”的范围作出说明。但我们发现在《民法典》对隐私（私密信息）做出的界定中，也使用了“私密信息”的概念，即隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。通常情况下，除隐私以外的个人信息，适用个人信息保护相关的规定。[15]《条例（三次意见稿）》在此似乎采用了《民法典》[16]中的对于私密信息的认定，但对于私密信息的内涵与外延，根据现有规定难以做出具体的判断，我们期待最终稿时可以厘清或者将来由相关下位法或者指南作出进一步解释。

（三）处理未成年人个人信息的合规义务

《条例（三次意见稿）》依照《个人信息保护法》对于其处理未成年人个人信息的义务进行细化。其中同意、处理敏感个人信息、保障未成年人信息主体权利等规定与《个人信息保护法》的相关内容基本一致。[17]

值得注意的是，在《个人信息保护法》的基础上，《条例（三次意见稿）》进一步强化了互联网产品和服务提供者作为数据处理者时的义务，体现出对未成年人个人信息的增强保护：

• 原则上不得向他人提供互联网产品和服务提供者处理的未成年人个人信息；
• 发生未成年人个人信息泄露时，应当立即启动个人信息安全事件应急预案，采取以下告知方式：邮件、信函、电话、推送通知等方式，难以逐一告知的，应当采取合理、有效的方式及时发布相关警示信息；
• 对内部工作人员应当以最小授权为原则，严格设定信息访问权限，控制未成年人个人信息的知悉范围，设立相应的访问审批、记录机制，并采取相应的技术措施，避免违法处理未成年人个人信息；
• 每年应对所处理的未成年人个人信息进行合规审计。

（四）实践案例

根据调研，不少互联网平台虽然在隐私政策的文字上区分了成年人和未成年人用户，但实际上落实年龄验证机制的很少。部分平台履行实名认证也仅是因为履行国家关于游戏/直播业务有此强制义务；有的平台虽设有验证年龄的机制，但实际可以可自由设置年龄，验证机制形同虚设。但另一方面，我们也应当看到已有多家互联网游戏平台、直播平台、即时通讯软件平台，在未成年人实名认证的实现方式上进行着探索，尝试更为有效的实名认证机制。

如某互联网游戏设置实名注册和防沉迷系统，通过微信扫码认证形式，联动微信完成实名认证（如图5）。

图5

某互联网视频平台规定未成年人不能开通直播间服务，其实名认证的方式是露脸手持身份证正反面照片完成实名认证（如图6）。

图6

某通讯类软件在“钱包”中需通过填写姓名、性别、身份证号码等基础信息来进行实名认证。未通过实名认证的，通过该软件付款或者收钱、使用零钱发红包等功能可能会受到限制（如图7）。

图7

某游戏平台中，在首次注册时，用户需要通过填写真实姓名及身份证号码进行实名认证。身份证号码作为系统验证用户是否已年满18岁的依据。如经系统认定用户未满18岁，则该用户的账号将会被纳入防沉迷系统。同时，为防止未成年人使用家长的身份证号码进行实名验证，家长可以在平台上查询自己的身份证是否已被用于登记防沉迷信息（如图8）。

图8

此外，近年来由于检察机关也可以综合运用民事公益诉讼和行政公益诉讼职能，对网络侵犯未成年人个人信息权益的情形进行监督。如最高检于2022年3月发布指导性案例中关于保护未成年人网络信息权益的案例：对于北京某公司运营的短视频App[18]在收集、存储、使用儿童个人信息过程中，未遵循正当必要、知情同意、目的明确、安全保障、依法利用原则的行为，2020年9月余杭区人民检察院以民事公益诉讼案件立案；2021年10月，北京市检察院以行政公益诉讼立案，向北京市网信办提出履行监管职责，推动完善儿童个人信息权益网络保护的特殊条款的相关建议。此后，北京市网信办约谈了该公司，要求其严格落实保护儿童个人信息权益的责任，并制定了《关于开展未成年人信息安全保护专项整治的工作方案》，压实直播和短视频平台主体责任。随着《条例（三次意见稿）》的出台，各方未成年人个人信息保护的主体责任将被细化，为保护未成年人权益提供了进一步法律基础。

四、网络沉迷防治义务

近年来，未成年沉迷游戏和“天价充值打赏”造成不良影响的案件也屡见不鲜。如黑猫投诉平台上，2021年中与未成年人消费相关投诉超2.6万条[19]；2020年，11岁男童“模仿游戏中‘飞’和‘复活’场景”带着9岁妹妹从4楼跳下，造成重伤；[20] 2021年5月，某未成年人因沉迷于网络直播，在70天的时间，将父母的158万积蓄全部打赏给一名主播。未成年人自控能力差，容易对网络产生依赖心理，网络沉迷不仅会占用大量时间、消耗金钱，还容易引起未成年人角色定位混乱，甚至诱发犯罪行为，因此杜绝网络沉迷刻不容缓。此前，为防止未成年人网络沉迷，2021年，文化和旅游部[21]、国家新闻出版署[22]、国务院未成年人保护工作领导小组[23]，先后发布意见或通知，提出要“推动建立统一的未成年人网络游戏电子身份认证系统”，要求“所有网络游戏必须接入国家新闻出版署网络游戏防沉迷实名验证系统”，“督促网络文化市场主体提高识别未实名认证未成年人用户账号能力”。前文提及的《预防沉迷网络游戏通知》中明确规定，网信、市场监管部门将按有关规定对发布不良网络游戏信息、插入网络游戏链接、推送网络游戏广告的中小学在线教育网络平台和产品，及时进行处罚或关停。

（一）互联网企业网络沉迷防治的合规义务

对未成年人防治网络沉迷是本次《条例（三次意见稿）》着重拓展的部分。在网络产品与服务提供者层面，《条例（三次意见稿）》第四十九条不再局限于《未成年人保护法》中粗略的“不得向未成年人提供诱导其沉迷的产品和服务”义务，总体上提出了网络产品和服务提供者应当建立健全防沉迷制度，及时修改可能造成未成年人沉迷的内容、功能或者规则，并定期向社会公布防沉迷工作情况。

《条例（三次意见稿）》细化了互联网企业应履行的网络沉迷防治义务：

• 对未成年人在使用网络产品和服务中的单次消费数额和单日累计消费数额提出了明确进行限制，并要求网络产品和服务提供者不得向未成年人提供与其民事行为能力不符的付费服务。新增网络产品和服务提供者应当防范和抵制流量至上等不良价值倾向，不得设置以应援集资、投票打榜、刷量控评等为主题的社区、群组，不得诱导未成年人参与上述行为，并预防和制止其用户诱导未成年人实施上述行为。
• 对网络游戏服务提供者落实适龄提示标准规范提出了具体的落实路径，除上文中提到的实名认证以外，要求网络游戏服务提供者针对不同年龄阶段未成年人身心发展特点，通过评估游戏产品的类型、内容与功能等要素，对游戏产品进行分类，明确游戏产品所适合的未成年人用户年龄阶段，并在用户下载、注册、登录界面等位置显著提示。

此外，对于网络直播平台，2021年2月9日，网信办联合七部门，印发《关于加强网络直播规范管理工作的指导意见》，其中第六点“加强未成年人保护”中，要求网络直播平台对未成年人注册主播账号作出限制，向未成年用户提供青少年模式，不得向未成年人提供充值打赏服务。2021年4月16日，网信办、公安部、商务部、文旅部等七部门，联合印发《网络直播营销管理办法（试行）》，在第十二条规定直播营销平台应当建立健全未成年人保护机制，网络直播营销中包含可能影响未成年人身心健康内容的，直播营销平台应当在信息展示前以显著方式作出提示；在第十七条规定了未成年人成为“直播营销人员”及“直播间运营者”的限制和要求。《条例（三次意见稿）》第三十三条、第五十条至第五十二条（分处个人信息保护、网络防沉迷部分）系统化的对上述内容均作出了回应，提升了相关规定的法律层级。

（二）实践案例

网信办早在2019年就开始在部分短视频平台试行“青少年防沉迷系统”，进入青少年模式后，所有网络视频用户使用时段、服务功能、在线时长均受限，只能访问专属内容池。[24] 2021年5月根据网信办要求，某短视频平台App实施平台史上最严格的青少年保护措施——14岁以下实名认证用户，在打开App后自动进入青少年模式，每天使用时长为40分钟，且在每天22时至次日6时无法使用App，此外，多款游戏也发布并陆续升级防沉迷模式，如某互联网游戏从2021年8月31日起，陆续升级防沉迷模式，并且提供成长守护平台，给家长提供游戏管控端口（如图9）。

图9

某互联网企业推出成长守护小程序[25]，并且完善未成年人保护体系，在游戏内按照国家法律法规对用户进行实名认证，并对游戏时长及充值进行限制，家长可以通过小程序了解孩子每天游戏的情况（如图10）。

图10

五、结语

《条例（三次意见稿）》目前处于征求意见阶段，后期将可能存在条款更新的情况。但经过对监管主体及职责、规制主体及义务的分析，不难发现，作为《网络安全法》《个人信息保护法》《未成年人保护法》的下位法，《条例（三次意见稿）》秉承“最有利于未成年人”“社会共治”的立法原则，同时明确了相应的罚则，正式出台后将成为互联网企业合规工作的重要指引。值得注意的是，《条例（三次意见稿）》提及了“网络服务提供者”（包括“网络游戏服务提供者”、“网络直播服务提供者”）、“个人信息处理者”等多项互联网主体概念，但上述主体身份在大多数情况下也是重叠的，多种概念的混用可能导致企业难以准确界定主体义务，因此我们期待《条例（三次意见稿）》在后期修改中可以对此加以完善。

最后，我们建议，可能被定义为上述主体的互联网企业，应重点关注《条例（三次意见稿）》的立法动态，对其中涉及的合规要点进行自我排查，减少企业在未成年人网络保护中的合规风险敞口。此外，也建议企业关注同行先进合规经验，主动承担起在网络空间中保护下一代的社会责任。