网络实名制：为什么必须实名、实名不等于公开、平台能核到什么程度

一句话定义：网络实名制是指网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息；用户不提供真实身份信息的，网络运营者不得为其提供相关服务。条文依据是网络安全法第二十六条。它的制度设计是「后台实名、前台自愿」——实名解决的是可追溯，不是公开身份。

本词条属于网络与数据栏目。关于实名制有三个流行的误解：以为实名就是「必须用真名发言」；以为平台可以「通融一下」先给用；以为实名信息可以随便拿去做营销、做风控。三个误解分别错在把「后台」当「前台」、把「应当拒绝」当「可以变通」、把「履行法定义务」当「概括授权」。

构成要件

一、义务主体是「网络运营者」，比「平台」宽。 第二十六条的义务主体是网络运营者，包括网络所有者、管理者与网络服务提供者，不限于通常所说的内容平台。义务触发的场景有五类：办理网络接入、域名注册服务；办理固定电话、移动电话等入网手续；为用户提供信息发布服务；为用户提供即时通讯服务；以及与该条列举相当的其他网络服务。「我们不是社交平台」不是抗辩——只要能发信息、能建群、能私聊，就落在这个范围内。

二、义务内容是「要求提供」加「不得提供」，后者是强制条款。 条文第一款两句：应当要求用户提供真实身份信息；用户不提供真实身份信息的，网络运营者不得为其提供相关服务。「不得」是禁止性表述——意味着平台没有「先让用、后补实名」的裁量空间。实务中常见的变通做法（游客模式可发言、先发内容后弹实名、用第三方账号登录绕过核验）都存在合规风险；可行的替代是「限制功能」而不是「有限使用」——未实名用户可以浏览，但不能发布、不能私信、不能建群。

三、实名不等于公开真名，「后台实名、前台自愿」是制度设计。 实名解决的是「出了事找得到人」，不是「让所有人都知道你是谁」。前台展示什么，由用户自主选择：可以用昵称、可以用化名、可以只展示头像。平台把实名信息（真实姓名、身份证号、手机号）展示在前台，或者允许他人通过搜索获取，属于超出实名目的的处理，可能构成侵权。这一层区分是本篇的核心：很多关于「实名制侵犯言论自由」的争论，混淆了「后台可追溯」与「前台必须署名」。

四、核验强度要与风险相当，法律没有要求一律刷脸。 第二十六条要求的是「要求用户提供真实身份信息」，没有规定必须以何种方式核验。实务中的核验梯度大致是：手机号加短信验证（基础）；身份证号加姓名比对（中等）；证件影像或者银行卡四要素（较高）；人脸识别（最高）。选择哪一档，取决于业务风险：普通内容发布用手机号核验通常足够；金融、支付、未成年人保护场景可以提高。「实名制要求我们必须刷脸」这个说法不成立——刷脸属于处理敏感个人信息，另有更高的合规门槛，两者不能混为一谈。

五、处理实名信息的合法性基础是「履行法定义务所必需」，但仍要告知。 实名信息属于个人信息（民法典第一千零三十四条列举了姓名、身份证件号码、电话号码等），处理它需要第十三条的合法性基础。第二十六条本身就是法定义务，因此落在第十三条第一款第三项「为履行法定职责或者法定义务所必需」——这类处理不需要取得个人同意。但不需要同意不等于不需要告知：第十七条的告知义务照旧，要说明处理目的、方式、种类、保存期限。常见的错误是「反正法定的，什么都不用说」——这会导致用户在不知情的情况下被收集，也可能构成未履行告知义务。

六、目的锁定：实名信息只能用于实名，不能顺带做营销。 这是最容易被越界的一环。「履行法定义务所必需」的范围限于实现实名目的：身份核验、账号找回、安全风控、依法配合调查。把实名信息用于精准营销、用户画像、对外提供、模型训练，都超出了原目的，需要另行取得合法性基础；涉及敏感个人信息的，还要单独同意。实务中常见的越界是「实名信息进数据中台，全公司随便调」——这已经不是实名制，而是把法定义务当成了数据来源。

七、通信领域的实名制更严，还有数量限制。 反电信网络诈骗法第九条要求电信业务经营者依法全面落实电话用户真实身份信息登记制度，基础电信企业和移动通信转售企业要对代理商落实实名制管理责任；第十条规定办理电话卡不得超出国家有关规定限制的数量，对存在异常办卡情形的，电信业务经营者有权加强核查或者拒绝办卡。这两条把实名制从「登记」推进到「数量管控 + 异常识别」，是近年来变化最大的一块。「一人多卡」「批量办卡」在这套机制下会被识别。

八、未成年人实名是防沉迷的基础，但不能借机过度收集。 未成年人保护与网络保护规则要求平台识别未成年人并采取相应措施，实名是识别的前提。但收集范围应当限于识别所必需：年龄或者出生日期、监护人信息（必要时）。不得以「防沉迷」为名收集与识别无关的信息（如人脸、就读学校、家庭住址）。不满十四周岁未成年人的个人信息属于敏感个人信息，处理需要监护人同意，并制定专门的个人信息处理规则，具体边界见未成年人个人信息保护。

九、手机号「二次放号」是实名制带来的一类特殊纠纷。 号码被运营商回收后重新放号，新用户可能通过短信验证登录前用户的账号、看到前用户的订单与通信记录。这类问题的责任分配：运营商有号码回收与告知义务；平台有识别与处置义务（如登录异常提醒、解绑机制、客服通道）。「号码是我的，账号就是我的」这个直觉不成立——账号绑定的实名信息不属于新用户，平台不得仅凭短信验证就把账号交给新用户。遇到这类问题，第一步是向平台申诉并要求冻结，第二步是向运营商核实号码状态。

十、实名信息泄露，平台的责任比一般信息更重。 实名信息包含姓名、身份证号、手机号，一旦泄露可直接用于诈骗、开户、注册。平台的安全保障义务包括：加密存储、访问控制、最小授权、操作审计、离职人员权限回收。发生泄露的，要按个人信息保护法履行告知与报告义务；造成损失的，承担侵权责任。「我们只是按规定收集，泄露不是我们的错」不成立——收集合法与保管到位是两项独立的义务。

法条依据

与相邻概念的区别

第一，与「人脸识别」的区别。 实名制要求的是「真实身份信息可核验」，人脸识别只是核验手段之一。两者的合规门槛不同：实名制走第十三条第三项（法定义务），不需要同意；人脸识别属于处理敏感个人信息，需要单独同意、特定目的、充分必要性、事前影响评估。实务中常见的错误是「为了落实实名制，所以强制刷脸」——这个推理跳过了必要性判断：手机号加身份证核验通常足以完成实名，刷脸属于更重的手段，要有额外理由。区分清楚了，就能理解为什么「不刷脸就不给用」在多数场景下站不住。

第二，与「账号注册」的区别。 注册是建立账号关系，实名是核验身份真实性。两者可以分离：很多平台允许先注册、后实名，但未实名状态下不能提供信息发布、即时通讯等服务。「我已经注册了，所以你必须让我发言」不成立——第二十六条第二句就是针对这种情形的。

第三，与「后台可追溯」的区别。 实名制的功能是让行为可追溯到具体的人，这是面向监管与救济的制度安排；不等于平台可以随时调取、比对、分析用户的实名信息。平台内部对实名信息的访问应当受权限控制与审计，「员工想查就查」本身就可能构成违法处理。

第四，与「网络可信身份战略」的区别。 第二十六条第二款提到国家实施网络可信身份战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之间的互认。这是制度方向，不是对平台的额外授权——平台不能以「配合可信身份战略」为名，扩大收集范围或者强制使用某一种认证方式。

第五，与「手机号二次放号」相关规则的区别。 号码回收属于电信业务管理，账号处置属于平台义务。两者是两套规则、两个主体：运营商负责号码状态与回收告知；平台负责账号安全与异常登录处置。用户遇到问题时要分别主张，只找一方往往解决不了。

第六，与「展示网络账号归属地」的区别。 部分平台会展示账号的网络位置归属地。这一做法的落点不是实名制，而是网络信息内容治理与公众监督——它公开的是「大致位置」，不是「真实身份」，通常只到省级或者境外国家级粒度。这个区别在实务中很有意义：归属地展示不能替代实名核验（粒度太粗，无法追溯到人）；反过来，实名信息也不能被用来反推并公开更精确的位置。判断某项措施是否越界的标准是「公开的信息能不能识别到具体个人」：能识别，就落入个人信息甚至敏感个人信息的规则；不能识别，属于内容治理层面的安排。遇到平台公开超出必要粒度的位置信息，可以要求说明依据并主张删除或者模糊处理。

第七，与「未成年人防沉迷实名」的区别。 防沉迷实名是实名制在未成年人保护领域的延伸，目的是识别年龄而不是识别身份。这意味着收集范围应当限于年龄识别所必需：要求上传身份证正反面、要求人脸识别、要求填写就读学校，通常超出必要范围。「防沉迷」不能成为过度收集的通行证。

实操指引

第一步，个人一侧：先分清自己被要求的是哪一档核验。 手机号加验证码、身份证号加姓名、证件影像、人脸识别，四档的合规要求依次提高。遇到明显超出必要范围的要求（如看个新闻要刷脸），可以书面提出异议，要求说明依据，并提出替代方案。异议不影响你先用替代方式完成注册——多数平台都留有其他核验路径。

第二步，个人一侧：区分「必须实名」与「可以拒绝」。 发布信息、即时通讯、开直播这类功能，实名是法定前提，拒绝就不能用；浏览、搜索、看公开内容，通常不以实名为前提。如果平台对纯浏览也强制实名，可以质疑其必要性。

第三步，个人一侧：保护实名信息的边界。 不要在公开资料里填写完整身份证号、住址；发现平台把实名信息展示在前台（如真实姓名出现在个人主页），可以要求隐藏并说明依据；收到可疑的「实名补录」链接，先核实域名与来源——这类钓鱼在高发期非常集中。

第四步，企业一侧：把「要求提供」与「不得提供」都落到产品里。 前者是注册流程的必填项，后者是功能开关的硬约束。技术上要有三件事：未实名状态的功能限制清单；实名信息的加密存储与访问审计；超期或者目的实现后的删除或者匿名化。这三件事缺一件，检查时都会被指出。

第五步，企业一侧：把「目的锁定」写进权限设计。 实名信息应当单独存放、单独授权、单独审计，不与业务数据混在同一张宽表里；调用要留痕，批量导出要审批。这一层的实务价值很高：一旦发生内部人员倒卖，有权限记录才能划清责任。

第六步，遇到二次放号、账号被顶、实名被占用，按「先冻结、再核实、后处理」走。 先向平台申诉要求冻结账号、停止一切操作；再向运营商核实号码状态与放号时间；最后按平台要求提交材料完成解绑或者找回。全程留痕：申诉编号、通话记录、提交材料的截图。证据准备可参照个人信息被侵害：要收集哪些证据？的清单。

常见问题