被通报的APP，隐私政策（上图是Stokke隐私政策）里其实已经有未成年人个人信息保护的专章，但还是被点了名。

大家很自然地会想：是不是专章不算数，只有单独做一份《儿童个人信息保护政策》，才算是《个人信息保护法》第31条要求的“专门的个人信息处理规则”？

而且这恐怕不是上海一地的口径。据我了解，目前多数监管部门和技术支撑单位大体都是这个看法：只要APP有未成年人用户，就应当单独有一份儿童隐私政策。

重视儿童个人信息保护，方向上我完全理解。但具体到“是不是必须单独成文”，我觉得有商榷的余地，也想借这篇文章呼吁一下。

一、法条说的是“专门”，不是“单独”

《个人信息保护法》第31条第2款的原文是：“个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。”2025年1月1日起施行的《网络数据安全管理条例》第21条，用的也是“专门的个人信息处理规则”这个表述。

“专门”，强调的是规则内容要针对儿童、能够被清楚地识别和找到，并没有说这些规则必须另起一份文件。如果隐私政策里有一个完整、独立成章、用户可以直接定位到的未成年人专章，把处理场景、监护人同意、删除机制这些都写清楚了，从文义上讲，它已经是一套“专门的”规则。把“专门”直接等同于“单独”，多少是在法条之外又加了一层要求。

二、回到立法目的：哪些APP才真正需要

从立法目的看，第31条真正针对的，是那些以儿童为服务对象、会实际、持续处理儿童个人信息的场景。儿童教育、儿童游戏、亲子类的APP，用户本来就是孩子，业务上必然会大量处理儿童个人信息，这类产品单独做一份儿童隐私政策、甚至儿童用户协议，都是应该的。

但大多数APP不是这样。拿奶茶点单类APP来说：你到店用现金点单，一条个人信息都不用给；用小程序点单，无非是留个手机号，用来登录、下单和取单。它不收年龄，没有任何必要性，不知道也不关心屏幕后面是13岁还是30岁，更不会因为你是孩子就给你推什么特别的内容。

让这样的企业再单独做一份儿童隐私政策，保护的到底是什么？结果反而有点矛盾：企业为了证明自己没有针对儿童做任何特殊处理，得先建一套专门针对儿童的文本。这恐怕不是立法的本意，只是平添了企业的负担。

更极端的是信用卡、证券、基金这类APP。这类业务对用户有明确要求，开户的都是具备完全民事行为能力的成年人，不满十四周岁的儿童基本不可能成为用户——除了继承这类极端情形。要求这类APP单独做一份儿童隐私政策，等于让它为一群不会出现的用户写一套规则。在隐私政策里写明“不向不满十四周岁未成年人提供服务，如误收集将及时删除”，我认为已经足够。

三、一点呼吁

企业不能因为“我不是儿童APP”就觉得第31条与自己无关，这一点没有争议。

我想呼吁的只是，在具体的执法和评估口径上，能不能把“专门”和“单独”、“面向儿童提供服务”和“偶然有儿童用户”区分开：对真正面向儿童的产品从严要求；对普通APP，认可隐私政策中一个清晰、完整的未成年人专章；对根本不会有儿童用户的业务，更不必再另行要求一份独立文本。

否则，最后很容易出现一种非常熟悉的合规场景:一个APP本来只需要在现有隐私政策里增加一个清晰、完整的未成年人保护章节，结果为了证明“专门”，又单独复制出一份《儿童隐私政策》。内容基本一样。链接基本一样。义务基本一样。唯一增加的，是企业的工作量。

请加「星标」不错过我们的消息 

• 重磅发布 | 最高院《关于依法审理涉人工智能纠纷案件的意见》
• 42款医疗健康应用被通报｜医疗App个保合规该怎么做？
• ChatGPT报警后：谁有权审判你的对话框？
• 美国法院出现首例提示词注入攻击案，揭示法庭文件中的"隐形墨水"问题