电子商务平台用户信息保护条例

电子商务平台用户信息保护条例第一章总则第一条【立法目的与依据】为规范电子商务平台用户信息处理活动，保护用户合法权益，维护网络空间良好生态，促进电子商务持续健康发展，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等相关法律法规，制定本条例。第二条【适用范围】在中华人民共和国境内运营的电子商务平台（以下简称“平台”）处理用户个人信息及其他与用户权益相关的信息（以下统称“用户信息”）的活动，适用本条例。本条例所称电子商务平台，是指在电子商务活动中为交易双方或者多方提供网络经营场所、交易撮合、信息发布等服务，供交易双方或者多方独立开展交易活动的法人或者非法人组织。第三条【基本原则】平台处理用户信息，应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理用户信息。处理用户信息应当具有明确、合理的目的，并与平台提供的服务直接相关。采取对用户权益影响最小的方式，限于实现处理目的的最小范围，不得过度收集用户信息。第四条【平台责任】平台对其收集、存储、使用、加工、传输、提供、公开、删除等用户信息处理活动负主体责任，应当建立健全用户信息保护制度，保障用户信息安全。第五条【监督管理】国家网信部门负责统筹协调电子商务平台用户信息保护工作和相关监督管理工作。国务院有关部门依照各自职责负责电子商务平台用户信息保护相关监督管理工作。县级以上地方人民政府有关部门在各自职责范围内负责本行政区域内电子商务平台用户信息保护相关监督管理工作。第二章信息收集与使用第六条【告知同意】平台收集用户信息，应当向用户明示收集、使用信息的目的、方式和范围，获得用户的单独同意。法律、行政法规另有规定的除外。平台在申请用户同意时，应当提供清晰、易懂的选项，不得通过捆绑服务、默认勾选、强制同意等方式变相强迫用户同意，不得将用户同意作为使用平台基本服务的前提条件，但为了维护平台基本功能和安全所必需的除外。第七条【最小必要】平台收集的用户信息应当限于实现服务目的所必需的最小范围。在用户注册、登录等环节，平台不得强制要求用户提供与服务无关的个人敏感信息。鼓励平台采用逐步引导、场景化授权等方式，在具体服务场景下获取用户同意。第八条【收集规则】平台收集个人敏感信息的，应当取得用户的明示同意，并对收集的必要性、安全性进行单独评估。平台不得收集法律法规禁止收集的用户信息。平台通过用户行为轨迹等间接方式获取用户隐含信息，用于精准画像、个性化推荐等服务的，应当向用户提供明确的提示，并赋予用户拒绝的权利。第九条【第三方收集】平台不得委托或允许第三方在未获得用户明确同意的情况下，通过平台收集用户信息。平台接入的第三方应用（如插件、小程序等）收集用户信息的，平台应当对第三方的信息收集行为进行审核和管理，并要求第三方遵守本条例及相关法律法规的规定。第十条【信息使用限制】平台应当按照已告知用户的目的和范围使用用户信息，不得超出范围使用。如需超出原告知范围使用，应当再次获得用户同意。平台利用用户信息进行自动化决策的，应当保证决策的透明度和结果的公平合理，不得对用户在交易价格等交易条件上实行不合理的差别待遇。第三章信息存储与传输第十一条【存储期限】平台存储用户信息的期限应当为实现服务目的所必需的最短时间。法律、行政法规另有规定或者用户另行授权同意的除外。服务终止后，平台应当根据用户要求删除其个人信息，或者进行匿名化处理。第十二条【存储安全】平台应当采取加密、去标识化等安全技术措施和管理制度，保障用户信息在存储过程中的安全，防止信息泄露、丢失、篡改。对存储的个人敏感信息，应当采用更为严格的安全保护措施。第十三条【传输安全】平台在传输用户信息时，应当采取加密等安全措施，确保信息传输的保密性和完整性。第四章信息使用与加工第十四条【个性化推荐】平台基于用户信息向用户提供商品或服务推荐的，应当向用户提供不针对其个人特征的选项，或者向用户提供便捷的关闭个性化推荐的方式。用户选择关闭个性化推荐后，平台应当立即停止基于其个人信息的个性化推荐服务。第十五条【自动化决策】平台利用用户信息进行自动化决策，对用户权益有重大影响的（如信用评价、交易限制等），应当向用户告知自动化决策的逻辑、主要参数及其对决策结果的影响，并赋予用户对自动化决策结果的知情权、异议权和申诉权。第十六条【信息共享】平台与其他组织或个人共享用户信息的，应当确保共享方具备相应的信息安全保障能力，并向用户告知共享的目的、范围、共享方类型以及用户享有的拒绝权，取得用户的明示同意。法律法规另有规定的除外。平台不得向第三方共享其收集的个人敏感信息，除非获得用户的单独同意并进行风险评估。第五章用户权利第十七条【知情权】用户有权知悉其个人信息的收集、使用、存储、传输、共享等处理情况。平台应当提供便捷的查询渠道，保障用户的知情权。第十八条【访问与复制权】用户有权访问、复制其个人信息。平台应当在收到申请后合理期限内提供，对于不合理的重复申请，平台可以要求用户说明理由，但不得拒绝提供。第十九条【更正与补充权】用户发现其个人信息不准确或不完整的，有权请求平台更正、补充。平台应当在核实后及时处理。第二十条【删除权】在下列情形之一的，用户有权请求平台删除其个人信息：（一）平台处理目的已实现、无法实现或者为实现处理目的不再必要；（二）平台停止提供服务，或者用户注销账号；（三）用户撤回同意；（四）平台违反法律法规或双方约定处理用户信息；（五）法律法规规定的其他情形。平台应当在收到申请后，及时对用户的删除请求进行处理，并告知处理结果。第二十一条【撤回同意权】用户有权撤回其对平台处理个人信息的同意。平台应当提供便捷的撤回同意的方式。撤回同意不影响撤回前基于用户同意已进行的信息处理活动的效力。第二十二条【权利救济】用户认为平台侵害其信息权益的，可以向平台提出投诉、举报。平台应当建立便捷的投诉举报渠道，在收到投诉举报后及时处理并反馈结果。对处理结果不满意的，用户可以向有关主管部门投诉、举报，或者依法提起诉讼。第六章安全保障义务第二十三条【安全制度】平台应当建立健全用户信息安全管理制度，明确信息安全负责人和管理机构，制定内部安全管理制度和操作规程。第二十四条【安全技术】平台应当投入必要的资源，采取与其规模、业务范围和风险程度相适应的技术措施，如数据脱敏、访问控制、入侵检测、应急响应等，保障用户信息安全。第二十五条【人员管理】平台应当对接触用户信息的工作人员进行安全培训和管理，签署保密协议，明确其信息安全职责和保密义务。第二十六条【安全评估】平台应当定期对其用户信息处理活动进行安全风险评估，并根据评估结果改进安全措施。对于新技术、新应用，如人工智能、大数据分析等在用户信息处理中的应用，平台应当进行专项安全评估。第二十七条【事件处置】平台应当制定用户信息泄露、丢失、篡改等安全事件应急预案。发生或者可能发生用户信息安全事件时，应当立即采取补救措施，及时告知受影响的用户，并按照规定向有关主管部门报告。第二十八条【合规审计】鼓励平台委托独立的第三方机构对其用户信息保护合规情况进行审计，并公开审计结果。第七章法律责任第二十九条【平台责任】平台违反本条例规定，有下列情形之一的，由有关主管部门责令改正，给予警告，没收违法所得；拒不改正的，处一定数额罚款；情节严重的，责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照：（一）未履行告知同意义务，违法收集、使用用户信息的；（二）超出必要范围收集、使用用户信息的；（三）未采取必要安全措施导致用户信息泄露、丢失、篡改的；（四）违反规定共享、传输、公开用户信息的；（五）未保障用户信息权利的；（六）其他违反本条例规定的行为。第三十条【连带责任】平台对其接入的第三方应用等的信息处理行为未尽到审核和管理义务，导致用户信息权益受损的，应当与第三方承担连带责任。第三十一条【内部人员责任】平台工作人员违反本条例规定，泄露、篡改、滥用用户信息的，平台应当依法对其进行处理；构成犯罪的，依法追究刑事责任。第八章附则第三十二条【定义】本条例下列用语的含义：（一）用户信息，是指以电子或者其他方式记录的与已识别或者可识别的电子商务用户有关的各种信息，不包括匿名化处理后的信息。（二）个人敏感信息，是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。（三）自动化决策，是指通过计算机程序自动分析、评估用户的行为习惯、兴趣爱好或者经济、健