中国开启儿童个人信息网络保护新阶段（附《规定》全文）
首先，《规定》是《网络安全法》等法律的配套措施之一。《规定》是落实相关上位法规定，全面保护儿童个人信息的具体措施。根据《规定》第一条，其上位法依据包括《网络安全法》和《未成年人保护法》。《网络安全法》是我国网信法律体系的基础性立法，全面规定了网络安全各个领域的主要问题。《网络安全法》第十三条明确：国家支持研究开发有利于未成年人健康成长的网络产品和服务，依法惩治利用网络从事危害未成年人身心健康的活动，为未成年人提供安全、健康的网络环境。未成年人特别是儿童群体，生长在互联网时代，属于“互联网原住民”，互联网已经与新生代儿童的生活、学习等密不可分。我们既要保证儿童通过互联网学习知识、开拓眼界的权利，同时也要保护儿童在网络空间的合法权益不受侵害。以此为背景，营造安全的网络环境，对于保护儿童群体尤为必要。利用网络侵害儿童个人信息的行为，应当明确相关制度规定并依法予以打击。《网络安全法》也首次以法律层级的形式对个人信息保护的问题进行了规定，在“网络信息安全”一章对个人信息保护的原则和具体规则提出了明确的要求。《规定》以《网络安全法》为上位法依据，其调整对象与《网络安全法》一致，均为“网络运营者”，主要制度设计以《网络安全法》为基础，以儿童为保护对象，充分细化了《网络安全法》有关未成年人网络保护和个人信息保护的相关内容。同时，《未成年人保护法》第三十九条第一款规定：任何组织或者个人不得披露未成年人的个人隐私。这是有关儿童个人信息保护的首部也是唯一一部法律规定。《未成年人保护法》规定时间较早，没有对保护对象的年龄做进一步细化，同时保护范围也局限在隐私领域。随着互联网技术的发展，特别是移动互联网技术的发展，个人信息保护与隐私保护的内涵和外延都发生了变化。个人信息保护不完全是以隐私保护为基础，保护思路也存在差异。《规定》以此为原则，结合《网络安全法》相关要求，对儿童个人信息网络保护问题进行了专门规定，进一步完善了未成年人保护工作的具体内容和专门措施。
其次，《规定》主要针对儿童群体提出专门性要求。《规定》所保护的“儿童”是指不满十四周岁的未成年人。结合国外立法经验，考虑到未成年人触网年龄趋低，新生代“互联网原住民”等特点，为了确保监管措施的针对性、有效性，在保护未成年人个人信息方面，一般会对被保护群体做进一步细分。国外有关儿童个人信息保护的规定，也采取了相应的做法。对于一定年龄以上的未成年人来说，互联网认知水平和操作水平已经不亚于成年人，适用一般的个人信息保护规则就能够满足实际需要。因此，《规定》以十四周岁为界限，主要保护不满十四周岁的未成年人。
最后，《规定》体现了从严保护的总体思路。儿童受限于身心发展的阶段限制，需要予以特别保护，以有利于其健康成长，已经成为毋庸置疑的共识。《规定》秉持这一要求，对儿童个人信息保护的水平，相比一般个人信息保护，提出了更高的要求。除了遵从国际立法通行做法，在取得用户同意环节，要求儿童用户监护人同意，《规定》还提出了一系列专门性要求。一是要求专门的儿童个人信息保护规则和用户协议，并需要网络运营者指定专人来负责儿童个人信息保护工作；二是明确了征求同意过程中，应当同时提供拒绝选项；三是要求存储儿童个人信息时，应当采用加密等措施；四是规定网络运营者应当把控内部管理流程，严格设定内部信息访问权限和儿童个人信息知悉范围；五是要求委托第三方处理儿童个人信息时，应当进行安全评估，确定委托范围和相应权利责任；六是对删除权、数据泄露通知等制度做了细致要求。
附：《规定》全文
《儿童个人信息网络保护规定》
第一条 为了保护儿童个人信息安全，促进儿童健康成长，根据《中华人民共和国网络安全法》《中华人民共和国未成年人保护法》等法律法规，制定本规定。
第二条 本规定所称儿童，是指不满十四周岁的未成年人。
第三条 在中华人民共和国境内通过网络从事收集、存储、使用、转移、披露儿童个人信息等活动，适用本规定。
第四条 任何组织和个人不得制作、发布、传播侵害儿童个人信息安全的信息。
第五条 儿童监护人应当正确履行监护职责，教育引导儿童增强个人信息保护意识和能力，保护儿童个人信息安全。
第六条 鼓励互联网行业组织指导推动网络运营者制定儿童个人信息保护的行业规范、行为准则等，加强行业自律，履行社会责任。
第七条 网络运营者收集、存储、使用、转移、披露儿童个人信息的，应当遵循正当必要、知情同意、目的明确、安全保障、依法利用的原则。
第八条 网络运营者应当设置专门的儿童个人信息保护规则和用户协议，并指定专人负责儿童个人信息保护。
第九条 网络运营者收集、使用、转移、披露儿童个人信息的，应当以显著、清晰的方式告知儿童监护人，并应当征得儿童监护人的同意。
第十条 网络运营者征得同意时，应当同时提供拒绝选项，并明确告知以下事项：
（一）收集、存储、使用、转移、披露儿童个人信息的目的、方式和范围；
（二）儿童个人信息存储的地点、期限和到期后的处理方式；
（三）儿童个人信息的安全保障措施；
（四）拒绝的后果；
（五）投诉、举报的渠道和方式；
（六）更正、删除儿童个人信息的途径和方法；
（七）其他应当告知的事项。
前款规定的告知事项发生实质性变化的，应当再次征得儿童监护人的同意。
第十一条 网络运营者不得收集与其提供的服务无关的儿童个人信息，不得违反法律、行政法规的规定和双方的约定收集儿童个人信息。
第十二条 网络运营者存储儿童个人信息，不得超过实现其收集、使用目的所必需的期限。
第十三条 网络运营者应当采取加密等措施存储儿童个人信息，确保信息安全。
第十四条 网络运营者使用儿童个人信息，不得违反法律、行政法规的规定和双方约定的目的、范围。因业务需要，确需超出约定的目的、范围使用的，应当再次征得儿童监护人的同意。
第十五条 网络运营者对其工作人员应当以最小授权为原则，严格设定信息访问权限，控制儿童个人信息知悉范围。工作人员访问儿童个人信息的，应当经过儿童个人信息保护负责人或者其授权的管理人员审批，记录访问情况，并采取技术措施，避免违法复制、下载儿童个人信息。
第十六条 网络运营者委托第三方处理儿童个人信息的，应当对受委托方及委托行为等进行安全评估，签署委托协议，明确双方责任、处理事项、处理期限、处理性质和目的等，委托行为不得超出授权范围。
前款规定的受委托方，应当履行以下义务：
（一）按照法律、行政法规的规定和网络运营者的要求处理儿童个人信息；
（二）协助网络运营者回应儿童监护人提出的申请；
（三）采取措施保障信息安全，并在发生儿童个人信息泄露安全事件时，及时向网络运营者反馈；
（四）委托关系解除时及时删除儿童个人信息;
（五）不得转委托；
（六）其他依法应当履行的儿童个人信息保护义务。
第十七条 网络运营者向第三方转移儿童个人信息的，应当自行或者委托第三方机构进行安全评估。
第十八条 网络运营者不得披露儿童个人信息，但法律、行政法规规定应当披露或者根据与儿童监护人的约定可以披露的除外。
第十九条 儿童或者其监护人发现网络运营者收集、存储、使用、披露的儿童个人信息有错误的，有权要求网络运营者予以更正。网络运营者应当及时采取措施予以更正。
第二十条 儿童或者其监护人要求网络运营者删除其收集、存储、使用、披露的儿童个人信息的，网络运营者应当及时采取措施予以删除，包括但不限于以下情形：
（一）网络运营者违反法律、行政法规的规定或者双方的约定收集、存储、使用、转移、披露儿童个人信息的；
（二）超出目的范围或者必要期限收集、存储、使用、转移、披露儿童个人信息的；
（三）儿童监护人撤回同意的；
（四）儿童或者其监护人通过注销等方式终止使用产品或者服务的。
第二十一条 网络运营者发现儿童个人信息发生或者可能发生泄露、毁损、丢失的，应当立即启动应急预案，采取补救措施；造成或者可能造成严重后果的，应当立即向有关主管部门报告，并将事件相关情况以邮件、信函、电话、推送通知等方式告知受影响的儿童及其监护人，难以逐一告知的，应当采取合理、有效的方式发布相关警示信息。
第二十二条 网络运营者应当对网信部门和其他有关部门依法开展的监督检查予以配合。
第二十三条 网络运营者停止运营产品或者服务的，应当立即停止收集儿童个人信息的活动，删除其持有的儿童个人信息，并将停止运营的通知及时告知儿童监护人。
第二十四条 任何组织和个人发现有违反本规定行为的，可以向网信部门和其他有关部门举报。
网信部门和其他有关部门收到相关举报的，应当依据职责及时进行处理。
第二十五条 网络运营者落实儿童个人信息安全管理责任不到位，存在较大安全风险或者发生安全事件的，由网信部门依据职责进行约谈，网络运营者应当及时采取措施进行整改，消除隐患。
第二十六条 违反本规定的，由网信部门和其他有关部门依据职责，根据《中华人民共和国网络安全法》《互联网信息服务管理办法》等相关法律法规规定处理；构成犯罪的，依法追究刑事责任。
第二十七条 违反本规定被追究法律责任的，依照有关法律、行政法规的规定记入信用档案，并予以公示。
第二十八条 通过计算机信息系统自动留存处理信息且无法识别所留存处理的信息属于儿童个人信息的，依照其他有关规定执行。
第二十九条 本规定自2019年10月1日起施行。
