顺丰菜鸟互拔网线：开放平台数据共享（OpenAPI）合规指南

顺丰物流和菜鸟网络就像小孩子一样，在六一节吵得不可开交，也给在六一生效的《网络安全法》作了一个有意义的形式上的正向示范。

和顺丰菜鸟案相关的《网络安全法》条款是其第四十二条 ：网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。

** 一 **
祸起萧墙，《网络安全法》背锅

6月1日凌晨，顺丰突然宣布关闭对菜鸟的数据接口，意思就是说数据断开后，通过淘宝购买了商品的用户，在淘宝网后台上没法再看到顺丰快递的物流实时信息了，商家也在淘宝后台查不到用户是不是已经收货（要去顺丰网站查），那可能产生的连锁反应暗下揣测是不是支付宝不确定什么时候给商家放款，用户收货后的评价也不能按时作出了。所以吧，一个小举动，影响还是挺厉害的。

另外一方面，因为顺丰是各物业小区丰巢系统公司的创始股东，而菜鸟（淘宝系）要提供消费者的手机号给丰巢，以便丰巢系统向淘宝反馈消费者收货信息并实时推送至淘宝后台作确认收货（以前是消费者通过快递员手签确认收货，再由快递员上传收货信息），现在丰巢中的顺丰快递信息估计也会遇到麻烦。

因此，菜鸟建议所有淘宝卖家暂停用顺丰发货。而之所以顺丰要停止数据共享，原因是其称「菜鸟先提出所有快递柜信息的触发必须通过菜鸟裹裹，取件码信息无条件给到菜鸟，丰巢需要返回所有包裹信息给菜鸟（包括非淘系订单）」。反之，菜鸟却提出，以数据安全为由停止对丰巢的合作，并在6月1日0点下线丰巢接口信息。

** 二 **

顺丰菜鸟互拔网线，若暂且不去理会两者之间复杂的商业利益纠葛，原因可以归结于一点——开放平台数据共享合规问题在《网络安全法》之下，愈显重要。

互联网时代，互联企业获取用户数据，总上来看，有两种方式：一是利用蜘蛛进行「数据爬取」，其中合法的爬取实际上就是类如谷歌和百度类的「网站收录」，不合法的爬取就是对方网站有Robot禁爬协议还照爬，或者进入人家服务器偷抢数据；二是通过「数据授权」，即通过开放平台以调用OpenAPI的方式取得数据共享后使用。数据爬取和数据授权两种方式最大区别在于数据方是否知晓并授权。

但在「开放平台数据共享」模式下，数据共享合规远非「知晓并授权」这几个字如此简单。

** 三 **
建立并完善数据共享规则

一般而言，OpenAPI授权规则有三个维度。一是控制授权有效期，即例如朋友给我推荐了一个网站（见下图），我也想注册使用，当我使用「微博」这个第三方帐号登陆时，就需要一步授权这个网站获得我在微博上的信息「如头像、性别、微博名等」。那假设我过了一个月后再想用微博账号登陆时，会发现我们重新一步步获得微博的授权，而假设我当天登陆了一次，第二天再用微博帐号登陆，就不需要微博再授权了（重新计算授权期），上面可能会闪过「您最近已经授权过该网站进行登陆」，是不是经常在微信上看到这种情况？授权期越短越安全但用户体验越差，授权期越长越不安全但用户体验会好，这两者间要达成一个平衡。

二是控制接口调用的频次。即开放接口限制每段时间只能请求一定的次数，限制的单位时间有每小时、每天，例如一个应用内单授权用户每小时只能请求开放平台开放接口n次，一个IP地址每小时只能请求微博开放接口x次（以微博为例）。这种频次访问的限制最为主要的目的还在为了区别是真实用户访问还是机器人访问调用，从而从技术上确保没有机器在抓取用户数据。


三是设置具体的接口权限。因为开放平台会将期平台上用户沉淀的数据进行分类打包，并分类供第三方调取，要根据第三方的业务需要决定“哪些接口可以调用”，每个接口都应当有普通和高级之分，每个高级接口都需要第三方单独申请，且第三方要调取用户的隐私信息（例如互联网金融业内需要一些真实信息），还需要经用户另行授权。例如脉脉要调用微博用户的昵称是普通的权限，但其要调用用户的教育或手机号码则属于高级权限，需要另行授权。

** 四 **
数据共享要确立「三重授权」原则

在微博和脉脉案中，法院认为：OpenAPI开发合作模式中数据提供方向第三方开放数据的前提是数据提供方取得用户同意，同时，第三方平台在使用用户信息时还应当明确告知用户其使用的目的、方式和范围，再次取得用户的同意。因此，在OpenAPI开发合作模式中，第三方通过OpenAPI获取用户信息时应坚持“用户授权01”+“平台授权”+“用户授权02”的三重授权原则。

如此具体操作？所谓的“用户授权01”应当是开放平台获得用户授权以便于开放平台取得用户的数据，并由用户授权其数据供开放平台再授权开放给第三方调用；所谓的“平台授权”即当第三方要调用平台上沉淀的用户数据时，还需要获得平台的授权，否则不得擅自抓取或偷抢；所谓的“用户授权02”即当平台授权第三方调用后，应当由用户再行二次点击确认同意将开放平台上的个人数据明确逐项勾选后再点击授权给第三方，而不能由平台私自直接交给第三方使用并在第三方网站上呈现。这才构成一个完整的三重授权原则。

** 五 **
数据共享应当秉持「免费」精神

数据本身是有巨大的商业价值的，而为何个人认为开放平台的数据共享应当免费提供呢？其意义也简单，即防止开放平台用个人信息进行买卖牟利，当然，如果是开放平台形成的大数据，当然可以商业化利用。

理论依据在于：根据刑法第二百五十三条之一的规定，违反国家有关规定，向他人出售或者提供公民个人信息，是侵犯公民个人信息罪的客观行为方式之一。根据刚刚发布的《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，其第四条对“非法获取公民个人信息”的认定作了进一步明确，包括“违反国家有关规定，通过购买、收受、交换等方式获取公民个人信息”的，属于“非法获取公民个人信息”。所以，个人信息在任何情况下，如果有「购买」的行为，一定要被归于非法获取情况。这就像器官只能捐赠，而不能买卖一样个道理。

** 六 **

其实，不仅仅是顺丰和菜鸟之间有数据共享争议，国家间亦是如此。《网络安全法》实施后，这样的争议也会在中国和世界间上演。

2015年，欧洲最高法院欧盟法院宣布，已运行15年的欧美数据共享协议将失效。所谓的欧美数据共享协议即“安全港协议”(Safe Harbor)，是美国商务部和欧盟于2000年12月签署的一份协议，用于调整美国企业出口以及处理欧洲公民的个人数据，如姓名和住址等。简言之，这份协议主要是为了方便企业在欧盟和美国之间转移数据。业内人士称，欧盟法院的该裁决可能会让亚马逊、苹果、谷歌和Facebook等跨国科技公司在欧盟28个成员国收集其用户数据变得更加困难。

网络法领域 深度观察的律界工匠
个人微信号：macelawyer
封面题文图片来源：cc0授权