点击蓝字
关注我们
2025年7月14号，欧盟委员会通过了最新《有关未成年人在线隐私、安全与保障高水平措施指引》（Guidelines on measures to ensure a high level of privacy, safety and security for minors online）（以下简称《指引》），这被认为是全球数字治理领域最具系统性的未成年人保护框架之一。如何理解《指引》出台的背景和意义呢？《指引》在法律效力上如何？在立法模式上有哪些可圈可点之处？这对中国相关立法又有哪些启示？（点击文末“阅读原文”即可浏览文件）
作者｜张文娟
我们知道，在线未成年人会面临很多风险，包括但不限于：
（1）接触到侵害他们隐私和身心健康的非法和有害内容；
（2）遭遇线上人身伤害，如网络欺凌、隔空猥亵、网络诈骗，被拐卖或被招募进入暴力化、极端化甚至是宣扬恐怖主义的犯罪团伙；
（3）遭遇消费风险，尤其是上瘾性消费风险；
（4）人工智能驱动的深度伪造技术也会影响未成年人与在线平台的互动，尤其聊天机器人和陪伴机器人融入在线平台，会进一步恶化上述未成年人面临的在线风险。
与此同时，我们也必须意识到，获得技术赋能也是未成年人的权利。在线平台为未成年人提供了多种好处，如提供大量教育资源，帮助未成年人学习新技能并拓展他们的知识面；还为未成年人提供社群参与的机会，如与志趣相同的人建立联系并互动；在线平台还为未成年人提供开发好奇心，参与问题解决、创新创造的项目和活动机会。简而言之，在技术发展中，未成年人不仅仅是被保护不受伤害，还要被提供获得技术赋能的机会。
因此，不论是家长、学校，还是政策制定者，就未成年人访问在线平台议题，既不能因噎废食，也不能放任不管，而是要在技术赋能和在线保护中探索最佳平衡点。而这一目标的实现，也需要平台企业的同频共振。
从政策制定看， 不论从个人信息保护还是基于其他一些关于数据安全、网络安全的合规要求，隐私与安全设计是需要平台企业重点关注的合规内容之一。同时，我们还知道联合国《儿童权利公约》中的有一个基本原则，即未成年人最大利益原则。原则上，社会所有的技术进步，都应该从未成年人最大利益出发。
从现实运行看，虽然各国立法都注意到未成年人在线保护的重要性，但遗憾的是，大多都是在理念上将未成年人在线保护高高捧起，而在实践层面却将未成年人保护轻轻放下。欧盟关于未成年人在线保护《指引》是在隐私与安全设计中将未成年人最大利益原则进行可操作化的一种重要尝试。
从内容上看，该《指引》分为引言、适用范围，结构，一般原则，风险审查，服务设计，报告、用户支持和监护工具，平台治理和立法审查部分。内容非常丰富而具体，不仅介绍是什么，还介绍为什么以及如何做。所以，该《指引》在立法模式上也有一些新可圈可点之处，值得其他国家在相关立法中参考。
《指引》不属于严格意义上的欧盟立法，但没有人会否认，它是企业合规的事实标准，这正体现了欧盟数字立法中将柔性立法与刚性立法相结合的立法逻辑。
从法律效力上看，该《指引》是根据授权立法制定的执行措施，对违法者，可以直接适应上位法的处罚措施。欧盟法规2022/2065第28条有关未成年人在线保护的规定第1款要求：“提供可供未成年人访问的在线平台的服务商应采取适当和相称的措施，确保未成年人在其服务中享有高水平的隐私、安全和保障。”第28（4）条款则规定，“委员会在咨询理事会后，可以发布指导方针，以协助在线平台提供商执行第1款的规定。”该《指引》正是根据第28（4）款而制定。
《指引》在具体标准中也将欧盟已经通过的其他立法作为上位法，如2010/13/EU 指令（“视听媒体服务指令”）、2024/1689/EU 法规（“人工智能法”）、2016/679/EU 法规（“通用数据保护条例”）、2011/93/EU 指令（关于打击儿童性虐待和性剥削）、2005/29/EC 指令（关于不公平商业行为的“UCPD”）等。如果企业不执行指引的标准，就会适应欧盟法规2022/2065及其他相关立法的处罚。对超大型平台而言，违规的代价很大，最高可处罚全球营业额的6%。
从规制逻辑上看，《指引》兼顾了企业规制与企业赋能的双重逻辑。该《指引》定位于帮助提升平台企业应对未成年人线上风险的能力，以确保未成年人在线隐私、安全保障措施达到欧盟法规2022/2065第28条的高水平保护标准。《指引》不是将平台企业当作单纯的规制对象，而是假设他们在应对未成年人在线保护时会面临着挑战，缺乏具体标准、工具和良好实践做法的支持。因此，该《指引》不仅明确企业需要做什么，还分析了为什么要这样，以及如何做。《指引》整合了欧盟的立法政策，同时将联合国儿童基金会、经济合作与发展组织以及其他机构、学者的最新前沿研究与探索，在提出标准的同时，分析为什么要这样做，让企业了解底层逻辑，以更有预判性的合规。
从内容上看，《指引》既像政策研究报告，又像企业赋能的工具包。在如何做方面，该《指引》借鉴了其他组织已经开发的比较好用的工具，如联合国儿童基金会、荷兰内政与王国关系部（BZK）或欧洲标准化机构CEN-CENELEC提供的模板、表格和其他指引，同时给出了一些激励性的或者正向的指导。比如《指引》针对特定标准，给出了合规的良好榜样以及不合规的不良实践。相当于把已有的一些平台的做法呈现出来，让其他企业知道怎么做是好的，怎么做是不好的。这意味着《指引》开发了一套融合了政策、标准、工具和经验教训的一套赋能工具包。
《指引》将未成年人最大利益原则、未成年人参与原则、未成年人被保护原则与技术发展进行融合，提出了未成年人在线保护的四大基本原则：
即在线平台所采取的技术措施要平衡好未成年人的参与权、隐私权、个人数据保护权、表达和获取信息的自由等权利，要兼顾“赋能”和“保护”双重目标。这在《指引》中的多个方面有所体现。比如，在立法理念上，《指引》同时看到了未成年人在线风险和获得技术赋能权利的双重性需求，要求平台企业在产品和服务的适龄设计方面，一定要平衡好二者，时时刻刻体现“相称和适当”的原则。再比如在审查年龄确认方案适当性时，《指引》要求平台企业要遵守数据最小化、目的限制和用户信任的原则，也即平台企业设定的年龄确认方法，既要追求年龄验证的稳健性和准确性，又要最低限度获取用户个人信息，还要保护好用户的隐私。《指引》不仅仅是提要求，而且还提供了目前可实现这一政策目标的可行性解决方案，供平台企业作为参考。
即平台企业应考虑未成年人的所有权利，认识到这些权利是相互联系的、不可分割的，而且要以未成年人最大利益为原则，从而在平台设计上达到高水准的隐私保护、在线安全和安全保障。《指引》对平台企业的产品和服务中如何体现未成年人权利保护原则，列举了非常具体的要求。如默认设计中，要将未成年人账户列为最高级别隐私安全，以便个人信息、数据和社交媒体内容被隐藏。再比如，在推荐算法设计上明确要求，针对未成年人的算法，要优先使用外显式而非内隐式推荐法，也即针对成年人的推荐算法可以是行为路径，但针对未成年人的，应该是该年龄的外显需求。再比如，不允许对未成年人使用劝诱性设计技术，如间歇性奖励系统、类似赌博的功能或无尽滚动等。平台企业还应确保在呈现未成年人的搜索结果和联系人时，应优先显示经过身份验证的账户，以及与未成年人有连接的联系人，或与未成年人同龄的联系人。
即将高标准的隐私保护、内容安全和保障安全融入产品和服务设计，将促进人类福利的价值作为优先价值。这可以从欧盟法规2022/2065 的立法说明看出，在线隐私和安全保护，不仅仅是为了确保未成年人在线隐私、安全和保障得到高水平的措施，而是以此为契机，为所有用户创造一个隐私保护、安全可靠的在线环境。只有当整体在线环境中的隐私保护和安全保障提升了，未成年人的隐私和安全保障也就自然提升了。《指引》也在介绍这一原则时说得很清楚，就是希望“利用在线平台提供者、设计师和政策制定者的影响力，以促进以人为本的价值观为优先的方式塑造产品和服务的发展。”
即要考虑并满足未成年人在不同年龄段的多样化发展、认知和情感需求，而且可供未成年人访问的在线平台，都应常态化开展未成年人在线权利影响的评估。《指引》在适龄设计方面做出了非常细致的规定，包括年龄确认的适当性，进一步可细分为以下三个主要问题：基于年龄认证的访问限制必要性评估、年龄确认方案的评估原则、以及年龄确认方案的兼顾性与可行性方案。同时《指引》也对如何在产品与服务设计中体现适龄设计做出规定，如默认设计、在线接口设计以及推荐系统设计中都要在架构和算法上体现适龄设计。如在线接口设计中，要求平台企业确保所有工具、功能、设置、提示、选项及报告、反馈和投诉机制都对未成年人友好，适合年龄，易于找到、访问、理解和使用。
随着生成式人工智能的发展，原有的静态立法和机械合规已经不合时宜，也即立法不可能提供一个一刀切的适用所有企业所有阶段的立法规制标准。与此同时，生成式人工智能让原来的个人信息保护变得极具挑战性，甚至存在某种内在张力，如决策黑箱与个人信息处理透明的冲突，自动化处理与数据使用目的限制的冲突等。所以，在生成式人工智能时代， 新的立法趋势强调情境化合规，同时强调将算法、硬件设备和人工智能伦理相结合。
在情景化动态合规方面，《指引》有很多具体探索。一是对平台企业提出了动态调适的要求。二是《指引》本身也会面临年度审查和调适要求。
在平台调适方面，《指引》要求平台企业，“定期与未成年人、监护人、学术界、民间社会组织、儿童权利专家及其他相关利益相关者进行咨询，以设计和评估任何涉及未成年人在平台上隐私、安全和保障的要素。”除此之外，《指引》也要求平台企业在产品和服务设计中考虑到未成年人在成长和发展中的需求变化，并在算法上来回应这种需求变化。
《指引》自身也强调调适的重要性。如《指引》明确提到，欧盟委员会将定期审查《指引》与社会实践的相称性，并明确提到，最迟在12个月后就进行审查，以评估其与《欧盟法规（EU）2022/2065》第28(1)条款下的商业实践以及技术、社会步伐的匹配程度。
除了强调动态化合规，在生成式人工智能时代，合规还体现在将算法、硬件设备和人工智能伦理的深度结合方面。人工智能伦理是当下回避不了的现实问题。被誉为“人工智能教父”的辛顿（Hinton）来中国参加人工智能大会时，也再次强调人工智能伦理的重要性。他估计，人工智能接管并摧毁人类文明的概率10%到20%之间，而这在二三十年前还被认为是危言耸听。
从未成年人视角看，重视AI 伦理就更为迫切。我们现在给孩子投喂什么样的信息和互动逻辑，也将决定我们人类的下一代在跟 AI 互动中，会处于什么样的角色。所以《指引》呈现出的一个立法思路是，将算法、硬件设备和人工智能伦理相结合。《指引》对嵌入人工智能的平台企业提出了很多针对性要求。例如，可供未成年人访问的在线平台中嵌入人工智能的，平台企业要保证人工智能对话框或人机互动不会自动激活。平台企业也需要采取措施警告未成年人，人机互动和人与人互动存在的重大差别。平台企业还要采取技术解决方案，“以防止他们平台上的人工智能系统让用户访问、生成和传播对未成年人隐私、安全和/或保障有害的内容”等。
也即《指引》提供了一种情景化、动态化合规尝试，要求平台企业常态化开展风险评估，并动态化调适其产品和服务达到合规要求。而《指引》本身也要动态调适，以让监管与技术和社会发展相契合。
就未成年人的在线保护，中国立法对此已有专门关注，如2020年修订实施的《未成年人保护法》增加了“网络保护”专章，2021年制定实施的《个人信息保护法》，也将“未满十四周岁”的未成年人个人信息作为敏感个人信息来处理。除此之外， 国家互联网信息办公室于2019年通过实施了《儿童个人信息网络保护规定》，2023年国务院通过了《未成年人网络保护条例》。但现有立法更多还是在彰显一种未成年人保护理念，在具体执行层面还面临很多问题和挑战。
参考欧盟《指引》和其他欧盟立法，我们下一步立法中可以对很多问题进行更深入的思考。我以下面三个问题举例说明：
一是如何让未成年人在网络上得到适龄保护？目前《未成年人保护法》网络保护专章是将不满18周岁的未成年人作为保护对象，而《个人信息保护法》中则将不满14岁的未成年人的个人信息界定为敏感个人信息；对于已满14周岁不满18周岁的未成年人，则是跟成年人一样的标准。这种一刀切的年龄划分方式，在实践中会面临很多执行困境。从《指引》及欧盟其他立法来看，成员国会对年龄做一些限制，但更有效的落实，则是通过规制和帮助平台企业采取基于风险的适龄设计来实现。目前《未成年人保护法》只在网络游戏方面提出了适龄设计，但并没有将此融入所有平台工具、功能、设置、提示、选项及报告、反馈和投诉机制中。我们在下一步立法中，应重点从平台架构设计方向思考如何体现适龄设计。
二是未成年人网络保护中的监护人角色该如何定义？目前立法将未成年人网络保护的把关依赖于监护人的把控。如《未成年人保护法》第71条第2款规定：“未成年人的父母或者其他监护人应当通过在智能终端产品上安装未成年人网络保护软件、选择适合未成年人的服务模式和管理功能等方式，避免未成年人接触危害或者可能影响其身心健康的网络信息，合理安排未成年人使用网络的时间，有效预防未成年人沉迷网络。”《个人信息保护法》第31条第1款规定：“个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。”这种主要依赖监护人的网络保护模式，面临着明显执行挑战，也存在某种程度的设计缺陷。一方面，在技术快速发展、算法不透明的背景下，家长自身的网络保护能力都有限，更难去保护他们的孩子；另一方面，这种假定监护人与未成年人利益一致的原则，也忽视了未成年人的主体性。欧盟《指引》要求平台企业将未成年人权利保护纳入底层架构设计，在“默认”设计、在线接口设计以及推荐系统设计等，要按照明确而具体的标准来体现未成年人的最大利益原则。不仅如此，《指引》要求平台企业在给监护人控制措施的同时，也平衡好未成年人的自主权。我们下一步立法可以更好思考未成年人网络保护中监护人与平台企业角色的合理配置。
三是在生成式人工智能时代，如何体现立法的动态化和情景化，并在立法上回应人工智能驱动的深度伪造技术对未成年人的影响，是当务之急。目前的立法规制，大多是一种静态立法模式，如个人信息的知情同意权主要在信息收集阶段，但在端侧大模型数据环境下，收集时的知情同意基本流于形式。虽然《个人信息保护法》第24条赋予个人对自动化决策的某些信息知情权，《个人信息保护法》第55条、56条和2024年《网络数据安全条例》第24条也对信息处理者进行自动化决策时提出了一些要求，如需要开展风险评估及如何获得知情同意。但整体上个体权利处于虚化状态，因为当数据用于模型训练时，数据的删除或查阅权形同虚设，个人根本无法知晓数据使用情况。所以，《指引》对平台企业和自身都提出了动态调适的要求，并在企业在算法上是否有利于未成年人保护进行自我披露。另外，Deepseek发布后，很多平台都嵌入了人工智能，我们当下立法对人工智能对未成年人的影响关注不足。《指引》看到了人工智能驱动的深度伪造技术，可能会影响未成年人如何与在线平台互动，并恶化已有的未成年人风险，因此，对嵌入人工智能的平台提出了很多额外要求。这些立法关注都提示我们尽快进行立法跟进，以防止立法严重滞后于技术发展。
除此之外，我们还可以借鉴《指引》的模式，就如何更好执行已有立法，出台一个落实《未成年人保护法》网络保护专章和《个人信息保护法》的执行指引，这个指引可以作为《未成年人网络保护条例》配套措施。《指引》将中国现有立法中有关未成年人网络保护、个人信息保护的内容进行立法层面的整合，同时将中国在落实未成年人网络保护和个人信息保护方面的最新研究、最新标准和最佳实践进行梳理，包括将法院、检察院发布的典型案例，也包括鼓励企业分享一些良好实践，尤其是将中国平台企业在欧洲的实践标准予以整合，从而制定出一个集政策、标准、工具和企业最佳实践的一个综合指引。而且该指引还可以动态更新。相信这一综合指引将对未成年人和监护人的网络素养提升，平台企业的预判性合规，以及立法政策的统合与调适都具有非常重要的指导意义。
简而言之，欧盟新《指引》为我们提供了一个未成年人在线保护的高标准范例。该《指引》提炼出了未成年人在线保护的四大原则，以平台企业为主体，以风险防范为规制起点，以实现未成年人技术赋能和在线保护的最佳利益平衡为立法目标，并采取了柔性与刚性立法相结合、企业规制与企业赋能相配套的立法策略。这对中国下一步立法中未成年人网络保护的适龄设计、监护人角色配置以及如何尽快回应生成式人工智能对未成年人在线保护的影响都有重要参考意义。
清华大学人工智能国际治理研究院（Institute for AI International Governance, Tsinghua University，THU I-AIIG）是2020年4月由清华大学成立的校级科研机构。依托清华大学在人工智能与国际治理方面的已有积累和跨学科优势，研究院面向人工智能国际治理重大理论问题及政策需求开展研究，致力于提升清华在该领域的全球学术影响力和政策引领作用，为中国积极参与人工智能国际治理提供智力支撑。
新浪微博：@清华大学人工智能国际治理研究院
微信视频号：THU-AIIG
Bilibili：清华大学AIIG
内容中包含的图片若涉及版权问题，请及时与我们联系删除
评论
沙发等你来抢