同样是扫描用户云端数据，WPS和苹果iCloud有区别吗？

　　

文丨游云庭（上海大邦律师事务所高级合伙人，知识产权律师）

据媒体报道，办公软件WPS近日陷入隐私争议，某用户称自己的云端和本地文稿均被WPS无端封锁，无法打开使用，系统显示“可能包含违禁内容。已停止访问”。WPS公司回应称，实际是用户分享的在线文档链接涉嫌违规，WPS依法禁止了他人访问该链接。但WPS仍因扫描用户数据受到了很多批评。
此事让我想起了苹果公司曾陷入的类似争议，去年苹果公司曾宣布，将扫描检测用户存储在iCloud云端照片中的儿童色情信息（中国区除外），发现后会向执法部门报告。随即引发巨大争议，大量组织和个人发表公开反对苹果侵犯隐私，几个月后，苹果在网站上删除了扫描计划，至今没有恢复。
今天就结合中外这两个案例和大家聊聊互联网公司哪些情况下扫描用户云端信息是合法的，哪些情况是非法的或有争议的，以及WPS的用户协议对此的规定有什么问题。
WPS是一个办公软件，还带有云端存储的服务，用户使用WPS的软件创作的文档，不论是存储在用户本地电脑手机的存储器上，还是保存在云端的WPS服务器上，如果没有公开的，都属于个人隐私。同样的，用户存储在个人设备和苹果公司的iCloud上的文件和照片也是个人隐私，没有用户的许可或者法定的事由，WPS的公司和iCloud服务的运营者苹果公司都无权扫描。
法律依据是我国民法典的规定：隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。简而言之，本地存储器和云端都是私密空间，扫描就是刺探隐私。
但WPS这次的文件封锁事情和苹果公司的iCloud扫描计划还是有区别的。区别点在于扫描触发机制：根据WPS公司的声明，其扫描行为是因为用户分享了文档而触发的。而苹果公司的iCloud扫描计划则是主动扫描用户的照片寻找儿童色情内容，发现后会主动向执法部门举报。所以WPS运营公司是被动触发，而苹果公司是主动扫描。
WPS公司被动触发扫描是有合规要求的，我国《网络安全法》第四十七条规定：网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关纪录，并向有关主管部门报告。据此规定，如果用户的文档对外传播的，WPS运营公司确实应当扫描，发现文档有合规问题的，有责任锁定该文档以防止信息扩散。
苹果公司的主动扫描目的是为了打击针对儿童的性犯罪，参考欧盟《通用数据准则》（GDPR）第6条，扫描用户的iCloud云端数据可以归入为公共利益的目的，也不是没有依据的。但根据我国《网络安全法》第四十一条规定的网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则。用户存储在iCloud云端数据毕竟是隐私，主动扫描用户数据并举报违法内容在正当性和必要性上是有瑕疵的。主动扫描潘多拉魔盒一旦打开，第一步是儿童色情信息，第二步可能是盗版信息，第三步可能就会扫描反政治正确的信息了。这也是欧美众多组织个人对此反对的原因。
虽然此次WPS公司的扫描可能是合法的，但笔者还是要吐槽一下他们的用户协议，扩权得比较过分。根据WPS公司网站上的《金山办公在线服务协议》第五条（用户行为）第2.2条的规定：“对于您使用本服务，上传、提交、发布、存储、发送、接收、传播或分享的内容，我们仅在有关法律、法规、国家政策等规定或者相关国家机关的要求的前提下，自行或委托**进行查看、审阅、分析、讨论等，并有权将该等内容提供给相关国家机关审阅并用于其所需的目的。”
这条的问题在哪里？按照《网络安全法》第四十七条的规定，网络运营者有义务对发布、传播内容进行审查，并阻止法律、行政法规禁止的信息的传输。该条文的重点，网络运营者是对“发布”和“传播”内容进行相应的审查。也就是说，只有在文档在非本人查看的情况下，才能构成“发布”或“传输”。
而WPS用户协议的规定，明确是说“对于上传、提交、发布、存储、发送、接收、传播或分享的内容”，WPS均有权审阅并采取相应的处置措施。《网络安全法》要你管的是发布和传播，但WPS自我扩权，把上传、存储、提交都管起来了。这也违反了《网络安全法》规定的合法、正当、必要的原则，在正当性和必要性上都存在瑕疵。
最后，随着互联网从少年步入中年，东西方民众对于隐私保护都有着越来越多的关切。对于依赖出让隐私换取免费服务的模式的互联网公司而言，如何应对这种改变，如何合法、正当、必要的使用个人信息和数据将会是一个持续多年的挑战。
（文章仅代表作者观点。责编邮箱：[email protected]。）

---