Facebook和Ins因儿童个人信息违法被起诉，冤吗？

据媒体报道^[i]，近日美国42个州向加州北区法院起诉了拥有Facebook和Instagram的社交网络巨头Meta，指控其以盈利为目的，利用强大且前所未有的技术来吸引、吸引并最终诱骗儿童和青少年。同时Meta还存在违法收集青少年个人信息的问题。

笔者看了该案的诉状^[ii]，感觉事情挺恶劣，今天就介绍下该案，同时也聊聊我国法律有哪些保护青少年个人信息的法律规定。

 

一、Meta的商业模式

用户在Facebook和Instagram上建立账户免费，但Meta通过收集用户的数据和时间向用户收费，然后Meta将这些数据和时间转化为广告费。

 

起诉书称，Meta通过以下方式剥削其社交媒体平台的年轻用户：

1. 创造一种商业模式，专注于最大限度地增加年轻用户在其平台上的使用时间；

2. 使用有害的和心理操纵性的平台功能，同时在这些功能的安全性方面误导公众；

3. 发布误导性报告，声称显示用户受到伤害的比例较低；

4. 通过数据收集和定向广告将年轻用户的注意力货币化。

 

Meta在其社交媒体平台上的核心商业模式，是通过增加用户在其平台上的参与度（也称参与时间）来实现用户信息和注意力的货币化。Meta不断努力维持和提高用户在其平台上的参与度，以便向付费广告商出售更多更好的广告机会。Meta的大部分收入来自广告商，他们可以根据Meta收集到的每个用户的个人数据，有针对性地投放广告。

 

当Meta成功地通过其推荐算法维持了用户的兴趣，从而使用户在平台上停留更长时间时，Meta就可以收集更多的用户数据并为用户提供更多的广告。增加在Meta平台上花费的时间可以提高定向广告的有效投放，这是Meta创收能力的关键因素。

 

这个商业模式，和国内的社交平台微信、QQ有点类似。无独有偶，2023年9月，腾讯的QQ小世界也曾因为儿童个人信息违法，具体包括版块存在大量色情引流信息，部分用户在评论区诱导未成年人不良交友、实施性引诱，招募未成年人进行游戏陪玩，严重侵害未成年人合法权益，危害未成年人身心健康，被罚款100万元^[iii]。

 

虽然腾讯也因为青少年个人信息被罚，但中国互联网的青少年保护问题却应该比美国小很多，原因在于根据实名制要求，未成年人需要手机号才能注册账号，所以中国未成年人没有家长同意，办不了手机号，从第一关就卡住了大量未成年人，家长也可以利用监控手机号的方式监控未成年人的上网行为。而包括Facebook、Instagram、Twitter在内的国外的社交网站和App，有邮箱就可以申请。

 

中国的实名制还不是走过场，必须是可信实名，笔者在《从应用程序新规看实名制与互联网监管动向》^[iv]一文中提到过，根据《移动互联网应用程序信息服务管理规定》的规定，应用程序提供者和应用程序分发平台应当履行信息内容管理主体责任，积极配合国家实施网络可信身份战略，这是要求较高的实名制，不仅要实名制，还要可信，要排除那些虚假注册的伪实名。这也在一定程度上保护了青少年。

 

二、Meta违法放任未成年人以成年人身份注册

根据《美国法典》的定义，“儿童”是指年龄未满13岁的个人。1998年《儿童在线隐私保护法》（COPPA）要求Meta等技术公司征得儿童的知情同意，从而保护儿童的隐私。在网上收集儿童的个人信息之前，要征求家长的意见。Meta在运营Instagram和Facebook的过程中经常违反 《儿童在线隐私保护法》，具体表现为在这些平台上收集儿童的个人信息，而没有事先获得（甚至是试图获得）法规要求的可核实的父母同意。

 

《儿童在线隐私保护法》要求Meta在13岁以下的Facebook用户使用Instagram和Mac OS X时，获得可核实的家长同意。《儿童在线隐私保护法》禁止Meta等社交媒体公司未事先征得可核实的父母同意而获取儿童信息收集个人信息： (a)社交媒体平台确实知道它正在收集以下用户的个人信息；(b)经营者的服务对象是儿童。

 

Meta 对Instagram和Facebook的运营受《儿童在线隐私保护法》的可验证条款约束，需要定期获得家长的同意。但其实际知道Instagram和Facebook上的用户未满13岁，还是将儿童作为Instagram和Facebook的目标用户，使平台面向儿童。

 

个人信息包括：儿童的姓名、地址、电子邮件地址、个人儿童的身份识别信息、地理位置信息、照片或视频，以及其他信息类别。“可核实的父母同意”至少要求向儿童的父母提供以下信息：

1. 告知父母，有关 Meta如何收集、使用、披露个人信息的情况。

2. 在Meta实际收集、使用或披露儿童的个人信息时，必须获得家长的授权。

 

但实际上Meta没有获得可核实的父母同意，而是依赖于Instagram和Facebook名义上禁止13岁以下用户使用，以逃避《儿童在线隐私保护法》规定的责任。起诉书称，Meta的注册政策分三阶段：

 

1. 不需要披露年龄的阶段。在2019年12月之前，Instagram在其历史上的大部分时间里，都不需要新的用户在创建Instagram账户时必须披露年龄或出生日期。Meta甚至不要求用户采取最起码的自我证明步骤，证明他们已经超过了13岁，所以在这七年多的时间里，13岁以下的用户在以下方面没有遇到任何实际障碍在Instagram上创建账户。

 

2. 自动生成超过13岁年龄的阶段。在监管机构和公众的压力下，Meta声称在Instagram的账户注册过程中实施年龄限制，但“限制”一词是一个错误的名称，因为它并没有阻止13岁以下用户创建和使用Instagram账户。恰恰相反，Meta公司最初设计年龄的方式是促使所有包括13岁以下儿童在内的用户提供13岁以上的年龄。

 

具体而言，Meta's注册页面包含一个下拉菜单，可自动生成出生日期和年份。但注册页面自动生成的日期是13年前的日期，它使用代表用户已满 13岁。起诉书认为：Meta公司知道，根据《儿童在线隐私保护法》，怂恿儿童伪造年龄以获得访问权是不允许的。故其涉嫌帮助用户虚报年龄，以便访问Instagram。

 

3. 用户随意填报年龄的阶段。Meta 最近才更改了Instagram的注册页面，以自动生成而不是13年前的日期。Meta采用的年龄允许用户输入任何出生日期。无论其准确性如何，仍无法阻止13岁以下用户使用Instagram。

 

起诉书认为，对未成年人，Meta是有验证方法的，例如要求年轻用户在使用社交媒体平台注册时提交学生证。但Instagram决定不使用有效的年龄核查，以排除13岁以下用户，这是该网站有效瞄准并欢迎13岁以下用户使用该网站的一种方式。

 

儿童注册网络账号，在我国也是违法的，我国《未成年人保护法》规定：禁止网络直播服务提供者为未满十六周岁的未成年人提供账号注册服务。同时，我国可能涉及青少年使用的App都有青少年模式。而将于2024年1月1日生效的我国《未成年人网络保护条例》第二十条规定，加强对未成年人用户数量巨大或者对未成年人群体具有显著影响的网络平台服务提供者的职责和义务，要求其定期开展未成年人网络保护影响评估、提供未成年人模式或者未成年人专区，建立健全未成年人网络保护合规体系和制定专门的平台规则。

 

三、Meta 在收集个人资料前未获可核实的家长同意

尽管 Meta实际了解13 岁以下用户，而且Instagram和Facebook针对儿童，但Meta没有按照《儿童在线隐私保护法》的要求，在收集儿童用户的个人信息之前，获得可核实的家长同意。为获得可核实的父母同意，Meta应当需要：

 

1. 首先提供通知向母公司介绍公司的“个人信息收集、使用和披露做法”。

2. 获得母公司的授权，以便公司“收集、使用和披露，如适用的......个人信息以及随后对该信息的使用”——所有这些都符合《儿童在线隐私保护法》规定，并在收集儿童信息之前进行所有操作。

 

Meta没有在其Instagram和Facebook上提供适格的通知，在网站或平台，通过显著张贴的链接或直接向家长介绍：它从儿童那里收集的信息、它如何使用这些信息、它的披露做法，以及父母审查或删除子女信息的权利。

 

尽管如此，Meta仍会收集以下网站所有注册用户的个人信息包括Instagram和Facebook上所有未满13岁的用户，而未事先获得可核实的父母同意。Meta 通过Instagram和Facebook收集儿童的个人信息，包括但不限于地理位置信息、儿童的持久性标识符、独特的设备儿童的身份识别信息、照片和视频，以及其他可识别个人身份的信息，包括每个13岁以下的用户。

 

我国法律上对青少年个人信息是重点保护，具体包括，《个人信息保护法》明确将未满十四周岁未成年人的信息为敏感个人信息，并要求个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并应当制定专门的个人信息处理规则。而且法律责任很重，严重违法的，可以处五千万元以下或者上一年度营业额百分之五以下罚款。滴滴2022年就曾因为严重的个人信息保护违法，被罚款80.26亿元。国外处罚也不轻，微软2023年6月就曾经因为Xbox违规收集了儿童个人信息且未及时删除^[v]，违反《儿童在线隐私保护法》，被美国联邦贸易委员会（FTC）罚款2000万美元。

 

四、其他违法行为

在起诉书的最后，每个起诉的州都会有违法总结，其中的伊利诺伊州总结得比较好，笔者摘录如下：

 

A. 将其社交媒体平台瞄准年轻用户，同时故意在设计其社交媒体平台时加入会对年轻用户造成心理和生理伤害的功能，包括已知会促进强迫性使用的功能。

 

B. 利用社交媒体平台的功能对青少年用户造成不公平的伤害，这些功能包括无限滚动、短暂内容功能、自动播放、“赞”的量化和显示以及干扰性提醒，Meta不公正地利用所有这些功能从年轻用户那里榨取额外的时间和注意力，而年轻用户正在发育的大脑不具备抵制这些操纵策略的能力；

 

C. 设计、开发和部署破坏性的视听和震动通知和提醒以及短暂内容功能，不公平地利用年轻用户的心理弱点，培养“害怕错过”的意识，以诱导年轻用户在Meta社交媒体平台上花费比他们本来选择的更多时间；

 

D. 按照“可变强化时间表”通过算法向年轻用户提供内容，从而操纵年轻用户的多巴胺释放，不公平地诱导他们反复使用其产品——就像他们本来选择的那样。根据“可变强化计划”通过算法向年轻用户提供内容，从而操纵年轻用户的多巴胺释放，不公平地诱导他们反复使用其产品——就像老虎机上的赌徒一样；

 

E. 收集Instagram和Facebook上13岁以下用户的个人信息，而事先未征得可核实的父母同意。在所有相关时间内，Meta公司都在其网站上发布了关于“Meta”的信息。在所有相关时间，Meta公司都充分了解使用其平台的年轻用户所遭受的精神和身体伤害以及上瘾问题。Meta公司非但没有采取适当措施减轻这些损害性影响，反而视而不见，坚持利用年轻用户的心理弱点。Meta在此被指控的行为和做法是不道德、不道德、压迫性和不择手段的，包括因为它们的决定，对年轻用户造成不必要和不合理的伤害，以获取Meta的经济利益。

 

我国《未成年人保护法》中对本案涉及的其他问题也有很多的规定：要求网络服务提供者应及时采取提示和保护措施保护未成年人发布私密信息；网络产品和服务不得诱导沉迷的产品或服务，并设置时间管理、权限管理、消费管理等功能；要求建立健全网络欺凌行为的预警预防、识别监测和处置机制；规定网络服务提供者应作出提示或通知用户，不得发布或传播可能影响未成年人身心健康的信息，并立即停止传输、采取删除、屏蔽、断开链接等处置措施。在网络游戏领域，我国有全世界最严格的青少年防沉迷规定，2005年就开始运行。

 

最后，用我国互联网治理的常用语来描述，本案是Meta的平台主体责任没有压实，但本质是互联网赢家通吃的模式给从业者带来的焦虑，导致业务发展时只考虑业绩，不考虑合规和社会责任导致的。作为服务互联网产业的律师，前几年笔者也感受到了互联网公司的这种焦虑，好在近年来，包括我国在内的世界各国都意识到了互联网平台存在的问题，加大力度予以整治，相信类似问题，国内外互联网平台后续都会有改进。

  

参考资料：

[i] https://www.reuters.com/legal/dozens-us-states-sue-meta-platforms-harming-mental-health-young-people-2023-10-24/

[ii] https://oag.ca.gov/system/files/attachments/press-docs/FINAL%20Meta%20Multistate%20Complaint%2C%20N.D.%20Cal.%20%28REDACTED%2C%20CONFORMED%29.pdf

[iii] https://finance.sina.cn/tech/2023-09-18/detail-imznazyn9371152.d.html?fromtech=1&vt=4&cid=76675&node_id=76675

[iv] https://mp.weixin.qq.com/s/P31t70O6RHfBt5_samt-pg

[v]https://www.ali213.net/news/html/2023-6/761419.html

本文作者：游云庭，上海大邦律师事务所高级合伙人，知识产权律师。电话：8621-52134900，Email: yytbest@gmail.com，本文仅代表作者观点。