从寻找同窗的“校内网”到半夜偷菜的“开心农场”，曾经被称为“中国脸书”的人人网承担着许多人的青春记忆。随着人人网（www.renren.com）的易主，人们开始担心：我的青春数据去哪了？对此，受让方北京多牛互动传媒股份有限公司（下称“多牛传媒公司”）表示将承担起人人网的运营责任，会一如既往地高度重视并妥善处理用户数据的保密和信息安全管理工作。但该承诺是否足以安心？要回答这一问题，还是从这场交易的实质开始。
营业转让而非股权转让
11月14日，人人公司发布公告称：其子公司北京千橡网景科技发展有限公司将以2000万美元和4000万美元股份的对价，把“人人网”社交平台业务及其有形或无形资产出售给多牛传媒公司，用户在人人网上累计的数据自然随之转移。这些数据数量庞大。截止2013年3月，其注册用户达到2.8亿，带有地理位置信息的用户原创内容每天可达170万条，累计超过7亿条。而截至2018年3月31日，人人网的月独立登录用户数仍高达3100万。正是这些数据，而非股权成为本次交易的关键内容。
容易理解，在股权转让的情形下，只是发生了股东变更，包括数据在内的所有资产依然在原公司名下，并不存在数据控制者的变化。此时，法律对于收购者的要求并不高。根据我国《个人信息安全规范》，只要向个人告知有关情况，并继续履行原有责任和义务即可，不过，如其变更个人信息使用目的时，应重新取得个人的明示同意。相反，在数据随业务、资产一并出售的情形下，我国法律将其与一般数据转移一视同仁，这意味着根据《网络安全法》第四十二条的规定，其转让应取得用户的同意。不仅如此，人人网的《隐私声明》亦明确“在未得到用户的许可之前，不会将任何个人信息提供给无关的第三方”。就此而言，人人公司和多牛传媒要做的绝不仅仅是信息安全，而是要充分尊重用户是否将个人信息交给多牛传媒的自主选择权。而在这场交易中，用户显然没有在事前被征询同意，存在违法之嫌。
然而，由营业转让所导致的数据控制者变更毕竟有着特殊性。在这一转让之中，数据并非孤立的交易对象，而是整体资产的有机组成部分。无论是转让方，还是受让方，均把包括数据在内的有形或无形资产看做不可分割的一部分，以保持业务持续的机能。人人公司CEO陈一舟对此洞若观火：很高兴为人人网找到一个“家”，资产转让是处理人人网SNS业务的最可行途径，并使人人网进入下一阶段的增长。正因如此，一旦用户拒绝致使数据不得不其他资产相剥离，营业的商业价值必将大幅降低，人人网的经营甚至会被迫终止，这无疑是个双输的局面。
那么，如何在用户对个人信息保护的关切与企业的经营利益之间做出平衡？我们有必要借鉴一下它山之石。
营业转让的美国经验
与我国相似，美国对于股权转让中的个人信息保护少有关注，其重点始终放在营业转让导致企业违反其隐私承诺的问题上。目前，这一问题尚无统一的答案。
以美国联邦贸易委员会（FTC）为例，其执法依据主要是它与在线玩具零售商 Toysmart达成的和解协议。根据和解协议，FTC允许Toysmart在停止运营后，将用户数据转移给第三方，但要受到下述严格限制：（1）相关数据不能单独出售；（2）受让方的业务应与Toysmart业务基本相同；（3）受让方应同意遵守Toysmart的隐私政策条款，同时若隐私政策发生重大更改，应获得用户的明确同意。
与联邦的执法机构FTC不同，美国各州采用的RadioShack原则。2015年，电子产品零售巨头RadioShack公司破产，它试图将包括用户数据在内的资产打包出售给General Wireless Operations公司。鉴于RadioShack的隐私政策声称“我们不会随时向任何人出售或出租您的个人身份信息”，38个州的州检察长对这一交易提出质疑。最终，各州与RadioShack公司达成和解，限制个人信息类型（例如，仅在之前两年内有效的客户电子邮件地址，以及仅限特定数据字段），同时要求通知用户并提供选择退出机会，使人们能够拒绝个人信息的同步转让。
有趣的是，美国法院对这一问题另有看法。2011年，美国最大的书籍与音乐零售商Borders公司计划在破产拍卖中向Barnes＆Noble公司出售资产，其中包括了4500万名用户的个人数据。纽约南区的破产法院在充分考虑后，批准了这一交易，但前提是Barnes＆Noble公司采取与Borders公司相同的隐私政策，更重要的是，Barnes＆Noble公司应及时向用户发出通知，告知其数据业已转让，用户有权在15天内行使退出权，在此期间，Barnes＆Noble公司不得使用个人信息。
总之，尽管上述三个方案有着微妙的不同，但均认同企业营业转让中数据移转的合法利益，并不要求其严守之前的隐私政策。另一方面，又赋予了用户拒绝个人信息使用的权利，从而对用户利益加以保障。
人人网数据问题解决之道
回到人人网这场交易中，不论是我国法律，还是企业操作，均应反省自身不足，摒弃零和思维，实现多方共赢。
一方面，我国立法者应认识到营业转让中数据保护的特殊性，豁免“用户事先同意”要求，扫除现有的法律障碍。恰如欧盟《一般数据保护条例》所洞见的，“用户同意”并非个人信息使用的唯一正当化事由。这是因为，将“用户同意”作为个人信息处理的单一基础，不但可能超出了用户的能力：我们既不会阅读隐私政策或用户协议，也不太可能理解其中蕴藏的风险；而且，这可能损害了多元化的、更广泛的利益，结果反而伤害了消费者，营业转让中的个人信息保护就是这样一个典型的例子。设想一下，当前景黯淡的人人网只能留在人人公司手中，我们只能看到它日趋没落而最终关停。到那时，我们的青春回忆便如我们的青春，真的一去不返。而随着多牛传媒新鲜血液的注入，后者的海量内容将为用户带来新服务和新动能，汇聚游戏、科技、动漫、直播、社交于一体，有可能重振和激活人人社区。
对“用户事前同意”的放松并不意味着降低企业的责任，相反，它要求受让方做的更多。首先，受让方应遵守转让方的隐私政策并不做实质性改变。在人人网的本场交易中，多牛传媒作为新三板市场中第一支传媒大数据公司，一直以大数据及商业智能为中心，社交媒体平台并非其主营业务。如其所言，在完成人人网的收购后，多牛传媒将通过数据整合，围绕用户兴趣建立更丰满的数据维度，扩张媒体矩阵的数字分发网络，有效提升用户连接的效率。由此引发的问题是：这种对人人网数据的深度挖掘是否超出了原有的“目的限制”？如果答案是肯定的，那么重新获得用户同意也是肯定的。
其次，受让方应告知用户数据控制者变更情况，并向其提供退出渠道。营业转让毕竟打破了用户的预期，而一旦用户和新的受让方难以建立信任，后者使用个人信息便丧失了正当性。故而，法律有必要保障用户的“事后选择权”，允许其在一定期限内撤回其同意。就此而言，多牛传媒做的远远不够。据报告，人人网账号目前尚无法被彻底注销。尽管网站设置内有“停用账号”选项，但“停用账号”仅会将账号置于锁定状态，其个人信息只是被隐藏而非删除。在收购后，多牛传媒应第一时间向用户告知其退出的权利，并在服务页面上增加注销按钮。一旦用户选择注销，除法律另有规定外，其个人信息将被删除、并不得被多牛传媒使用。这里的删除应以“不能复认”为标准，其既可以通过直接销毁原件和副本的方式进行，也可通过匿名化技术，令个人信息主体无法被识别，且处理后的信息不能被复原的方式进行。
当前，我国正处于《个人信息保护法》制定的关键时点，如何妥当平衡各方利益，是立法的重中之重。而任何平衡都是动态的和场景化的，我们必须深入到市场活动和个人信息利用的微观结构中，在实践与理论的互动中，丰富和完善法律的细节。倘若果真如此，那么人人网这场交易不但是商业价值的创造，更是社会价值的创造。
发顺计算机作为Brickstream亚太代理，已经协助澳门威尼斯人、香港太空馆及国内各大零售一线品牌提供客流解决方案。通过客流管理系统提供全面的数据统计与分析结果，帮助零售商快速发现市场变化，从而及时作出调整。通过多样性的统计与分析，商家能够掌握时时变化的消费者行为特征；评估运营调整对终端销售所产生的即刻影响。随着分析的深入，能够明晰消费者基数；制定提高到店顾客流量策略；合理化零售终端员工配置；优化商品规划与陈列效果表现；最终，促进转化率与平均交易价值。
网友评论