网络服务商个人信息保护制度的缺陷及其完善——以新浪微博诉脉脉案为例

一、引言

随着互联网经济的蓬勃发展，个人信息已成为重要的商业资源。网络服务商在收集、使用和共享个人信息的过程中，往往存在制度缺陷，导致用户权益受损。新浪微博诉脉脉案（以下简称“脉脉案”）作为我国大数据时代个人信息保护的重要司法判例，集中暴露了网络服务商在个人信息保护制度上的不足至。本文将以该案为例，分析网络服务商个人信息保护制度的主要缺陷，并结合互联网广告服务的特殊性，提出相应的完善建议。

二、脉脉案的基本案情与争议焦点

脉脉是一款职场社交软件，其运营方通过用户上传通讯录等方式，获取了包括新浪微博用户信息在内的数据。新浪微博认为脉脉未经授权抓取、使用其用户信息，构成不正当竞争。法院经审理认定，脉脉的行为违反了《开发者协议》约定，破坏了OpenAPI合作模式下的用户信息保护机制，最终判令脉脉停止侵权并赔偿经济损失。

该案的争议焦点在于：网络服务商在OpenAPI合作中，对用户个人信息的收集、使用边界如何界定？第三方通过OpenAPI获取用户信息时，是否需要再次获得用户明确同意？平台方与第三方之间的责任如何划分？

三、网络服务商个人信息保护制度的主要缺陷

（一）“授权同意”机制流于形式

在脉脉案中，新浪微博的用户在注册时虽同意了平台的服务协议和隐私政策，但该同意往往是一次性、概括性的，并未明确涵盖后续向第三方开放数据的情形。平台方以“用户已同意”为由进行抗辩，但法院指出，用户对第三方获取其信息缺乏具体认知。这反映出当前“告知-同意”框架在OpenAPI场景下存在实质缺陷：同意不具体、不充分，难以保障用户的知情权和选择权。

（二）平台与第三方的责任边界模糊

网络服务商通过OpenAPI向第三方开放数据时，往往通过《开发者协议》将保护用户信息的责任转嫁给第三方。平台方作为数据的初始控制者，是否尽到了合理的监督义务？脉脉案中，法院认为新浪微博作为平台方，对第三方获取用户信息的行为负有管理责任。但现行制度对平台与第三方之间的责任划分缺乏明确规则，导致实践中互相推诿。

（三）互联网广告服务中的二次利用问题突出

互联网广告是网络服务商的重要盈利模式。许多平台在未明确告知用户的情况下，将收集的个人信息用于精准广告推送，甚至与广告联盟共享数据。脉脉案虽未直接涉及广告服务，但其揭示的“数据不当共享”问题在广告领域尤为普遍。用户往往不知道自己的职业、兴趣、社交关系等信息被用于商业推广，且缺乏有效的退出机制。

（四）法律规范滞后与执行难

在脉脉案审理时，《个人信息保护法》尚未出台，法院主要依据《网络安全法》《消费者权益保护法》及反不正当竞争法进行裁判。现有法律虽有原则性规定，但针对OpenAPI合作、数据共享、广告推送等具体场景的规则仍不健全，导致司法裁判标准不一，行政执法也面临举证难、认定难等问题。

四、互联网广告服务视角下的制度完善建议

（一）构建分层级、场景化的同意机制

针对互联网广告服务，应要求网络服务商在将用户信息用于广告推送或与第三方共享前，必须获得用户不带附加条件的、具体的单独同意。应允许用户随时撤回同意，并提供便捷的拒绝选项，避免“全有或全无”的捆绑授权。

（二）明确平台与第三方的连带责任

在OpenAPI合作及广告数据共享中，平台方不能仅通过协议免责。应当确立“谁开放、谁负责”的原则，要求平台对第三方的数据使用行为进行合理审核与持续监督。若第三方违法使用信息，平台方若未尽到注意义务，应承担连带责任或补充责任。

（三）强化互联网广告的透明度和可追溯性

网络服务商应建立广告数据使用台账，记录个人信息的来源、使用目的、共享对象及流转路径。用户应有权查询自己的信息被用于哪些广告、被哪些主体获取。监管部门可要求平台定期提交数据保护影响评估报告，特别是针对个性化广告推送。

（四）完善法律细则与行业标准

建议在《个人信息保护法》框架下，针对互联网广告服务出台专门细则，明确“个性化广告”的定义、用户画像的合规边界、去标识化要求以及数据泄露通知义务。推动行业协会制定OpenAPI数据合作的自律公约，将脉脉案确立的“三重授权原则”（用户授权、平台授权、用户对第三方的再次授权）吸收为行业标准。

（五）加强监管技术与执法协同

利用区块链、隐私计算等技术实现数据流转的可审计性。网信、市场监管等部门应建立联合执法机制，对违法收集、使用个人信息用于广告的行为进行常态化抽查。可引入公益诉讼制度，降低用户个体维权成本。

五、

新浪微博诉脉脉案是我国个人信息保护法治进程中的一个标志性事件，它深刻揭示了网络服务商在OpenAPI合作和互联网广告服务中存在的制度漏洞。面对日益复杂的数字经济形态，必须从同意机制、责任分配、透明度、法律细则和监管技术等多个维度完善个人信息保护制度，才能实现数据利用与权益保障的平衡，促进互联网行业的健康有序发展。