一、案件事实

　　2018年4月28日，原告打开“知乎”应用，显示《隐私政策-知乎》的推送。原告浏览全部页面后，并不同意其收集用户个人信息的隐私政策，遂选择“不同意”，然而页面弹出提示“我们将按业界成熟的安全标准，采取相应的安全保护措施来保护您的个人信息”，并附“知道了”点击选项。原告点击“知道了”后，被告继续要求原告对“隐私政策-知乎”作出“同意”或是“不同意”的选择。原告再次选择“不同意”，则上述提示再次弹出。如此反复多次后，原告无奈只得点击“同意”。2018年11月3日，原告打开“知乎”应用，被告再次强制原告同意《隐私保护指引概要》。

　　因此原告认为被告强制原告同意其发布的隐私政策，违法收集原告个人信息，侵害了原告的合法权益。遂将知乎起诉至法院。在诉讼中，原告明确在本案中仅主张其与被告之间隐私政策、指引相关的合同不成立，明确表示不主张合同无效等事由。在案件的性质上属于消极确认之诉。

　　二、法院观点：隐私政策是一份合同

　　在案件中，法院将隐私政策认定为一种以数据电文形式订立的合同。针对隐私政策的更新，法院依据合同法要约-承诺理论理论进行了分析：“故被告发布的隐私政策、指引属于其向原告发出的变更合同条款的要约。”

　　这与《个人信息安全规范》（GB/T 35273-2020）中的规定截然不同，在《个人信息安全规范》（GB/T 35273-2020）中认为“个人信息保护政策（隐私政策）的主要功能为公开个人信息控制者收集、使用个人信息范围和规则，不宜将其视为合同”（5.6g）。此种差异尤其值得关注。开展合规工作，应当面向诉讼，以期在发生纠纷时合规措施最终能够得到法庭的支持，因此从合同的角度思考隐私政策尤为必要。

　　本案中，关键点在于判断隐私政策、指引相关的合同是否成立：

　　……被告通过对相关条款设置弹窗、加黑等方式进行了提示，并对相关条款内容进行了说明，应认定被告已履行了提示或者说明义务。同时，原告主张在浏览全部页面后不同意有关个人信息的条款，曾多次选择“不同意”，但未表明其不理解相关条款含义，故本案并不能适用民法典上述规定。……第三，原告主张因被告对选择模式的设置，导致其被迫选择“同意”，并要求被告提供其针对上述条款进行选择的全过程信息。本院认为，平台对用户所有选择操作轨迹（情形）进行收集、保存，涉及对用户的个人信息搜集，应进行必要提示并取得用户的同意；且即使能够查实原告进行了多次否定的操作，因其最终选择了“同意”，已经符合了承诺的形式要件，并不能产生否认相关条款成立的法律效果。

　　案件中，因为原告在几经拒绝后仍然点击了“同意”，法院因此认为已经符合承诺的形式要件，从而认定合同成立。

　　三、合规启示：更新隐私政策的风险

　　本案的性质属于消极确认之诉，而非请求权之诉，因此原告点击“同意”的行为对案件定性、成败十分重要。如果原告始终没有点击“同意”，且知乎对隐私政策的变更涉及用户访问、修改、删除个人信息等权益的行使，那么对案件的裁判结果可能会有不同的走向。

　　本案中，法院虽然没有支持原告的诉讼请求，但也明确指出：

　　被告在用户拒绝同意涉案相关条款时，仅向用户提供游客身份浏览相关网站内容等服务，而未提供用户以真实身份的接受上述服务的选项，未给用户一定期限内作出选择的缓冲期，亦未说明此种设计的合理理由；在用户拒绝同意涉案条款时，虽多次提示同意涉案条款的必要性，但未设置包括解除合同在内的选项供用户选择，客观上造成合同长期处于不稳定状态，可能损害用户基于履行合同而享有的相应权利。被告作为平台经营者应进一步完善相应规则，提供优质的网络服务，保障广大网络用户权益，促进产业健康规范发展。

　　目前对隐私政策的关注更多是在新用户注册环节，关注首次使用如何告知获取同意。但根据我对各大平台隐私政策的跟踪关注，发现隐私政策是动态的，会随着产品的升级与外部监管环境的变化而需要进行更新。

　　更新隐私政策的风险甚至是高于全新起草、部署一份隐私政策的风险。在更新时，隐私政策中的更新条款就显得尤为重要，判断是否会对已有权益造成影响，对更新进行说明，将更新告知用户并获取同意，缓冲期的设置，对历史版本的隐私政策进行留存等因素都可能成为风险点。

　　随着《个人信息保护法》的脚步越发临近，个人对自己个人信息权益的主张也会更加理直气壮，反过来对企业来说合规的压力也会随之成倍增加。当隐私政策的变更涉及到个人权利行使，在“告知-同意”层面所需要的工作会比新用户注册更加艰巨。