随着互联网技术的推广、社交网络生态的日益成熟，以网约车等为代表的共享出行方式极大方便了人们生活，成为居民出行的重要选择。但网约车平台为用户提供便捷服务的同时，有的也存在侵害用户个人信息与数据安全的情况。

　　近日，交通运输部、工信部、公安部等五部门对T3出行、美团出行、曹操出行、高德、滴滴出行等11家网约车平台公司进行约谈，对平台加强保障用户信息和数据安全方面提出了整改要求。《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等相关法律陆续出台，为保障用户个人信息和数据安全提供了有力法治支撑，网约车平台应在落实用户个人信息保障基础上，构建数据安全制度体系，积极探索平台合规治理之道。

　　保障用户个人信息安全

　　平台不得过度收集个人信息。个人信息保护法第五条规定：“处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。”该规定作为个人信息保护的基本原则，是构建个人信息保护的具体规则制度基础。同时，《网络预约出租汽车经营服务管理暂行办法》第二十六条第二款规定：“网约车平台公司采集驾驶员、约车人和乘客的个人信息，不得超越提供网约车业务所必需的范围。”因此，网约车平台在收集个人信息过程中应该遵循最小和必要原则，考量所收集的个人信息类型是不是实现其基本业务功能所必需的，不应收集与所提供服务无关的个人信息。

　　平台处理个人信息应征得用户同意。个人信息保护法第十三条规定，取得个人的同意，个人信息处理者方可处理个人信息。这一“告知—同意”机制建构了覆盖个人信息处理全生命周期的规则框架，强化了保障自然人的自主权利。具体而言，网约车平台基于同意处理个人信息，应履行充分告知的义务，确保在个人充分知情和自愿前提下，用户做出同意处理个人信息处理的决定，应杜绝一揽子授权和强制同意。同时，网约车平台还应该进一步简化“格式合同”，让个人可以明确知悉“同意”处理个人信息的具体“后果”，发挥“告知—同意”机制应有的规制作用。

　　平台委托处理个人信息应审慎严谨。实践中，有的网约车平台委托他人（其他公司）处理个人信息而引发公民个人信息泄露。个人信息保护法第二十一条明确规定：“个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。未经个人信息处理者同意，受托人不得转委托他人处理个人信息。”该条款明确了平台委托处理个人信息的规定。个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。对网约车平台而言，在委托处理个人信息行为中，应借鉴“告知—同意”模式，将取得个人信息权利人同意作为委托行为有效的前置条件，以便更加有效地保护公民个人信息权利。

　　构建平台数据安全体系

　　平台应依法、正当收集数据。作为传统出租车公司以外的交通运输新业态，网约车平台在为用户提供服务过程中会收集用户和司机大量数据。实践中，一次完整的网约车服务活动，都需要以收集到的个人数据为主要基础条件。例如，乘客和驾驶员注册、网约车运营者对驾驶员资质审核、乘客发单、订单匹配、驾驶员接单、行程服务、网约车服务运营者对安全秩序的维护、支付收款、用户评价等，都涉及平台对用户数据的收集和处理。数据安全法第三十二条规定：“任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。”合法原则是对数据使用和处理最基本的要求，正当原则主要强调数据控制者和处理者使用和处理数据应当具有正当的目的。网约车平台作为以“数据收集”为基础、以“算法分析”为核心的互联网平台，应该严格落实数据收集必须遵循的合法、正当性原则，并在充分保障个人数据安全基础上，提升服务水平和质量。

　　落实平台数据安全保护责任。网约车平台作为用户与提供服务者的链接和桥梁，其掌握大量基础数据，关系到数据流通安全，应履行对个人数据安全的保护责任。根据数据安全法关于数据安全保障义务的一般规定，网约车平台利用互联网等信息网络开展的数据处理活动，应当在网络安全等级保护的基础上，履行数据安全保护义务。对于重要数据的处理应该明确安全负责人和管理机构，将保障用户数据安全置于平台整体数据安全的核心地位。同时，应该加强风险监测，做好数据安全缺陷和漏洞的补救措施，完善数据安全应急管理体系。进一步加强个人重要信息处理的风险评估工作，严格落实数据安全的保护责任。

　　（作者单位：华东政法大学法律学院）