未成年人个人信息保护

一句话定义： 未成年人个人信息保护是指处理未成年人个人信息应当遵循合法、正当、必要原则，处理不满十四周岁未成年人个人信息必须取得其父母或者其他监护人同意并制定专门的个人信息处理规则，该年龄段的个人信息同时被列为敏感个人信息，未成年人及其监护人有权要求更正、删除。

这套规则的特殊之处在一条年龄线：不满十四周岁。跨过这条线，个人信息就从一般信息升级为敏感信息，处理门槛陡然提高——需要监护人同意、需要专门规则、需要特定目的与充分必要性、需要严格保护措施。为什么卡在十四周岁？因为这一年龄段的孩子已经大量上网，却还没有能力理解信息被收集的后果，也没有能力独立作出有效的同意。

构成要件

一、客体要件：未成年人个人信息，包括身份、生物、行踪、网络痕迹。 个人信息的范围按个人信息保护法的界定，是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。落到未成年人身上，最常见的有：姓名、出生日期、身份证号、学籍号；face 特征、指纹、声纹等人脸与生物识别信息；家庭住址、就读学校、班级、接送人信息；位置轨迹（手表定位、App 定位）；网络账号、浏览记录、搜索记录、消费记录；健康状况、心理测评结果、成绩排名。

这些信息单看未必敏感，聚合起来就能勾勒出一个孩子的完整画像：在哪上学、几点出门、家住哪里、父母职业、消费能力、心理状态。正是这种聚合效应，使未成年人的个人信息成为高价值的目标。

二、特别客体：不满十四周岁未成年人的个人信息属于敏感个人信息。 《中华人民共和国个人信息保护法》第二十八条第一款明确，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

注意这个表述的逻辑：不是「不满十四周岁未成年人的某些敏感信息」，而是「不满十四周岁未成年人的个人信息」整体列入敏感个人信息。也就是说，一个十二岁孩子的姓名、学校、班级，在法律上就是敏感个人信息，不因为内容看似普通而降格。这是立法者对未成年人的整体性加强保护。

第二款规定，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。三个条件缺一不可，且门槛高于一般个人信息。

三、同意要件：必须取得监护人同意。 《中华人民共和国个人信息保护法》第三十一条第一款规定，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。未保法第七十二条第一款作了同样规定。

这里的同意有三层要求。第一层是「取得」，即处理者应当主动获取，不能推定、不能默示。第二层是「监护人」的同意，孩子自己的同意不算数，即使孩子说「我同意」也不行。第三层是「单独同意」，即不能混在冗长的隐私政策里一揽子勾选，应当就未成年人信息的处理单独征求同意，并说明处理的目的、方式、种类、期限。

四、规则要件：制定专门的个人信息处理规则。 第三十一条第二款规定，个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。这一条常被忽略，但它是监管检查的重点项。

专门规则不能是成人版隐私政策的改名版。它应当用简明易懂的语言（考虑监护人甚至较大儿童的阅读能力），写清：收集哪些信息、为什么收集、如何使用、保存多久、与谁共享、如何保护、如何行使权利、联系方式。规则应当在显著位置展示，不能藏在多层链接之后。

五、目的与必要性要件：特定目的、充分必要、严格保护。 第二十八条第二款的三个条件要逐个审查。特定目的指处理目的具体明确，不能是「提升服务体验」这种笼统表述；充分必要性指该信息对实现目的是不可缺少的，能用较少信息实现目的的，不得收集更多；严格保护措施指加密、去标识化、访问控制、权限最小化、审计留痕等技术与管理手段。

实践中常见的违规是「过度收集」：一个作业 App 要求获取通讯录、位置、相机、麦克风全部权限；一个儿童手表要求绑定家长社交账号；一个校园应用强制采集人脸。这些都属于超出必要范围，即使取得了同意，也可能因违反必要性原则而违法。

六、最小必要原则与告知义务。 《中华人民共和国未成年人保护法》第七十二条第一款规定，信息处理者通过网络处理未成年人个人信息的，应当遵循合法、正当和必要的原则。个人信息保护法第十七条要求处理前以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、权利行使方式等事项。

告知的意义在于让监护人能够作出有效判断。如果告知是模糊的、隐藏的、专业术语堆砌的，同意就是形式上的。监管检查时，会看告知的显著程度、语言的易懂程度、是否分层展示关键信息。

七、更正删除权：监护人可要求更正、删除。 未保法第七十二条第二款规定，未成年人、父母或者其他监护人要求信息处理者更正、删除未成年人个人信息的，信息处理者应当及时采取措施予以更正、删除，但法律、行政法规另有规定的除外。

这项权利有四个要点。一是主体，未成年人与监护人都有权提出。二是内容，包括更正（信息不准确）与删除（处理目的已实现、撤回同意、违法处理等）。三是时限，法律用「及时」，实务中通常理解为合理期限内，超过十五个工作日未处理即属不当拖延。四是例外，法律、行政法规另有规定的除外，如依法应当保存的档案、司法机关调取的信息。

行使时应当以书面或者平台指定方式提出，写明要更正或者删除的具体信息、理由、依据，保留提交记录与平台回复。平台不处理的，可以向网信部门举报，造成损失的可以主张赔偿。个人信息被泄露后的处置路径，见个人信息被泄露怎么办。

八、私密信息提示义务：平台发现即应提示并保护。 未保法第七十三条规定，网络服务提供者发现未成年人通过网络发布私密信息的，应当及时提示，并采取必要的保护措施。私密信息包括身体隐私照片、家庭住址、就读学校、身份证件、联系方式、行踪轨迹。

这一条针对的是「孩子自己发出去」的情形，与「平台收集」是两条线。平台的义务是发现后的提示与保护（限制可见范围、下架、通知监护人），而不是主动全面监控用户内容。但对未成年人高发的场景（如未成年人用户在公开社区发布照片），平台应当有更强的识别与提醒机制。

九、教育场景的特殊性：人脸、成绩、监控三个高发点。 学校与培训机构是未成年人个人信息最集中的场所，也是违规最集中的地方。三个高发点是：人脸识别（门禁、考勤、消费、课堂行为分析）；成绩与排名（公开张贴、群内发布、App 公示）；视频监控（教室、走廊、宿舍的覆盖范围与查看权限）。

处理这三类信息，除了要满足个人信息保护法的一般要求，还要遵循教育领域的专门规定。教育部对校园人脸识别有明确限制，对成绩排名公开有禁止性要求。判断是否合规，看三点：是否有明确的教育管理目的、是否是实现该目的的最小必要手段、是否提供了替代方案（如刷卡代替刷脸）。

十、责任要件：行政处罚与民事赔偿并行。 违法处理未成年人个人信息，可能面临两类责任。行政责任方面，个人信息保护法规定了责令改正、警告、没收违法所得、罚款、暂停业务、吊销许可等处罚，情节严重的罚款额度很高。民事责任方面，造成损害的应当承担赔偿责任；侵害众多未成年人权益的，还可能面临公益诉讼。

刑事责任方面，非法获取、出售或者提供公民个人信息，情节严重的构成侵犯公民个人信息罪。未成年人个人信息属于重点保护对象，涉案数量与情节的认定标准更严。

十一、与隐私权的衔接：个人信息不等于隐私。 个人信息保护与隐私权是两套制度，保护的对象、方式、救济路径都不同。隐私权保护的是私密空间、私密活动、私密信息，核心是「不愿为他人知晓」；个人信息保护的是信息处理全过程的合法性，核心是「知情同意与必要原则」。

同一条信息可能同时受两者保护。例如孩子的病历，既是个人信息（受个人信息保护法调整），也可能属于私密信息（受隐私权保护）。起诉时可以选择更有利的请求权基础，也可以并列主张。

十二、跨境与共享：向第三方提供须单独同意。 向第三方提供未成年人个人信息，应当告知接收方名称、联系方式、处理目的、方式、信息种类，并取得单独同意。委托处理（如使用第三方云服务）应当签订委托协议，明确处理目的、期限、方式、保护措施与双方权利义务，并进行监督。

实践中常见的问题是把信息共享给「合作伙伴」「关联公司」时只用一句概括性表述带过。这种概括授权不符合单独同意的要求，尤其是在未成年人信息场景下，监管审查更严。

法条依据

与相邻概念的区别

第一层区别在年龄线的作用。 未成年人个人信息本身不是独立的信息类型，但不满十四周岁这一年龄段被整体升格为敏感个人信息。这意味着同一个 App 收集同样的字段，面向成年人是一般处理，面向十二岁孩子就要走敏感个人信息的完整流程：单独同意、专门规则、必要性论证、严格保护措施。年龄线是整套规则的开关。

第二层区别在个人信息与隐私的分工。 个人信息保护管的是「处理行为是否合法」，隐私权管的是「私人领域是否被侵入」。平台超范围收集信息，是个人信息问题；在更衣室装摄像头，是隐私权问题，还可能涉及治安违法。两条路径可以并用，但举证与请求不同。

第三层区别在「同意」的类型。 一般个人信息可以一揽子同意，敏感个人信息要求单独同意，不满十四周岁未成年人信息要求监护人单独同意。三层同意的严格程度递增，实务中最常见的违规是把后两层混进第一层，用一份隐私政策覆盖全部。

第四层区别在教育场景的合规判断。 学校处理学生信息，与商业平台处理用户信息，判断标准不同。学校有教育管理的正当目的，但手段必须必要：能刷卡就不刷脸，能不公开就不公开，能不收集就不收集。商业平台的正当性则要看是否为实现服务所必需，以及是否提供了不使用该项信息的替代方案。

实操指引

第一步，家长先做一次「信息体检」。 检查孩子手机上的应用，逐个看权限：哪些要了通讯录、位置、相机、麦克风、相册的权限，这些权限与功能是否相关。关掉不必要的权限。检查是否用孩子真实信息注册了大量账号，尤其是学习类、社交类、游戏类应用。

第二步，看清隐私政策里关于未成年人的部分。 重点看四件事：是否声明处理不满十四周岁未成年人信息需监护人同意；是否有专门的未成年人个人信息处理规则；是否说明了共享给哪些第三方；是否提供了更正删除的渠道。看不到这些内容的应用，谨慎使用。

第三步，谨慎提供人脸、指纹等生物信息。 校园门禁、考勤、消费、课堂分析，凡是要求刷脸的，先问三个问题：目的是什么、有没有替代方案（刷卡、密码）、信息存在哪里、保存多久、谁能查看。教育部对校园人脸识别有明确限制，家长有权要求提供替代方案。

第四步，注意孩子自己发布的内容。 定期看看孩子的社交账号是否公开了学校、班级、住址、行程、身份证件、身体照片。发现后立即删除、调整可见范围，并教孩子为什么不能发。平台未及时处置的，可以要求删除并向网信部门举报。处置路径见孩子私密照片被传上网怎么办。

第五步，行使更正、删除权的规范动作。 书面提出，写清要处理的具体信息、理由、法律依据（未保法第七十二条第二款），通过平台指定渠道或个人信息保护负责人邮箱提交，保留提交记录与回复。平台超过合理期限不处理的，向网信部门举报。

第六步，发现泄露后的应急处置。 四件事同时做：修改相关账号密码、开启双重验证；截图保存泄露的证据（页面、时间、来源）；通知平台要求删除并说明处置情况；向网信部门、公安部门举报。若涉及财产损失或者被诈骗，立即报警。取证清单可参照网络诽谤与侵权证据指引。

第七步，学校与机构的合规建设。 建立学生信息清单，逐项说明收集目的、依据、保存期限、访问权限；对敏感信息（人脸、健康、心理测评）设置更严格的审批与加密；与第三方服务商签订数据处理协议并监督；建立家长查询、更正、删除的通道；定期开展合规自查并留档。

第八步，主张赔偿时的举证思路。 需要证明三件事：信息被违法处理（超范围收集、未经同意、泄露）、存在损害（财产损失、精神损害、被骚扰或者诈骗）、两者之间有因果关系。损害难以量化时，可以主张停止侵害、删除信息、赔礼道歉，并结合侵权情节主张精神损害抚慰金。平台泄露信息的赔偿责任分析，可延伸阅读个人信息被平台泄露可以索赔吗。

常见问题

问：孩子十三岁，注册 App 时自己点了「同意」，算不算有效同意？

答：不算。处理不满十四周岁未成年人个人信息，必须取得监护人同意，孩子自己的同意在法律上无效。平台如果只让孩子勾选同意，而未设置监护人同意的环节（如监护人验证、家长账号授权），属于违法处理。监护人可以要求删除信息，也可以向网信部门举报。

问：学校要求刷脸进校，家长能拒绝吗？

答：可以要求提供替代方案。人脸识别属于敏感个人信息，处理须有特定目的、充分必要性与严格保护措施。校园门禁的目的是安全管理，但刷卡、密码、人工核验同样能实现，因此刷脸未必是「必要」手段。家长可以书面要求提供替代方案；学校坚持刷脸且无正当理由的，可以向教育行政部门、网信部门反映。

问：孩子成绩被发在家长群里，算侵犯个人信息吗？

答：可能构成。成绩属于个人信息，批量公开涉及多个学生，属于处理行为。教育领域对成绩公开有明确限制，不得公开排名、不得以任何方式羞辱学生。家长可以要求学校停止公开、删除已发布内容。若造成孩子被歧视、羞辱等后果，可以主张停止侵害、赔礼道歉。

问：App 要求获取通讯录才能用，合理吗？

答：多数情形不合理。通讯录与多数功能无关，属于超出必要范围的收集。除非该功能确实需要（如社交软件的找人功能），且提供了不使用通讯录也能使用的替代方案，否则属于违规。可以拒绝授权、向网信部门举报，或者选择不使用该应用。

问：孩子的人脸信息被培训机构采集，能要求删除吗？

答：可以。培训机构处理未成年人敏感个人信息，须取得监护人单独同意、说明目的与保存期限、采取严格保护措施。监护人撤回同意或者要求删除的，机构应当及时删除。机构拒绝的，向网信、教育、市场监管部门举报。

问：信息被泄露后，怎么证明损失？

答：损失包括财产损失与精神损害。财产损失如被诈骗的金额、因处理泄露产生的费用，凭票据与记录证明；精神损害如被骚扰、被威胁、社会评价降低，可以结合骚扰记录、就医记录、证人证言证明。即使损失难以量化，也可以主张停止侵害、删除、赔礼道歉，法院可以结合情节酌定精神损害抚慰金。

问：未成年人信息被泄露，可以提起公益诉讼吗？

答：可以。侵害众多未成年人个人信息权益的，检察机关、法律规定的消费者组织等可以提起公益诉讼。实践中已有针对 App 违规收集儿童个人信息、校园人脸识别滥用的公益诉讼案例。家长发现涉及面广的违规行为，可以向检察机关反映。

问：孩子长大后，能不能要求删除小时候的信息？

答：可以主张。个人信息保护法赋予个人删除权，处理目的已实现、撤回同意、处理行为违法等情形下，个人有权要求删除。未成年人时期被收集的信息，在成年后仍可要求删除，尤其是与当前使用目的无关的历史信息。行使方式仍是书面提出、保留记录、必要时投诉。

需要补充的是，未成年人个人信息保护的最大难点不在规则，而在「看不见」。孩子用的应用、加的群、填的表单、扫的码，家长往往不清楚。所以第一步永远是「知道有哪些」，第二步才是「判断合不合法」。这也是本词条把「信息体检」放在实操第一步的原因。

从制度趋势看，监管正在从「原则倡导」转向「专项整治」。近年针对教育类 App、儿童智能设备、校园人脸识别的专项治理持续开展，处罚案例逐年增多。对机构而言，合规不再是成本项，而是准入项；对家长而言，知情与拒绝的能力，就是保护孩子的第一道屏障。网络保护的整体框架见未成年人网络保护，网络与个人信息的常见问题汇总见网络、个人信息与未成年人上网。