擰緊個人信息保護閥

齊志明 陳星月

最近一段時間，由騰訊發(fā)布的《2018微信年度數(shù)據(jù)報告》被朋友圈熱轉(zhuǎn)。從交通出行習慣、生活作息規(guī)律到常用表情符號，各個人群的“微信畫像”躍然紙上。這份報告火了，但也招來很多質(zhì)疑：微信不會是在窺探用戶的隱私吧？

雖然騰訊馬上回應(yīng)“所有數(shù)據(jù)均已匿名及脫敏化處理”，但許多人還是心里犯嘀咕。中國消費者協(xié)會聯(lián)合人民網(wǎng)輿情數(shù)據(jù)中心日前發(fā)布的《2018年十大消費維權(quán)輿情熱點》顯示，“個人信息保護缺失”高居當年維權(quán)輿情熱點排行榜第二位——你在看手機，而屏幕那邊，不知有多少只眼睛盯在著你哩！

目前，個人信息被泄露的情況有哪些種類？會對個人和社會造成哪些損害？增強個人信息安全、避免人人成為“透明人”，我們該如何行動起來？

超八成消費者個人信息被泄露過，近半數(shù)APP的隱私條款內(nèi)容不達標

生活在互聯(lián)網(wǎng)時代的人們是幸運的：一鍵下單，可口的飯菜就能送到家里;刮風下雨，出租車可以開到門口;預(yù)約掛號，一個軟件連著多家醫(yī)院，再不用披星戴月排長隊;家有年長老人，可用手機實時查看其坐臥起居;或者美圖軟件來個自拍，就能給自己換個發(fā)型……不過短短10多年，我們的生活已經(jīng)處處“互聯(lián)網(wǎng)+”，經(jīng)濟社會管理很多難題迎刃而解，日常生活的方便、舒適程度大大提升，而且催生了很多新業(yè)態(tài)、新行當，挖掘百姓消費新潛力、增添經(jīng)濟新動能。

然而，“發(fā)展的煩惱”也如影隨形——

“您好！我是教初二數(shù)學(xué)的馬老師，您家小孩兒需要期末考前輔導(dǎo)嗎？”“這里是X醫(yī)院X科室，您最近身體是否不適？”……從理財、培訓(xùn)到裝修、出游，對方似乎有“未卜先知”的超能力，準確知曉你的某些關(guān)鍵信息與近期需求。這說明，你的個人信息被泄露了。

這種情況有多嚴重呢？中消協(xié)發(fā)布的《APP個人信息泄露情況調(diào)查報告》（以下簡稱《調(diào)查報告》）顯示，當前我國遭遇過個人信息泄露情況的人數(shù)占比為85.2%。當消費者個人信息泄露后，約86.5%的受訪者曾收到推銷電話或短信的騷擾，約75%的受訪者接到詐騙電話，約63.4%的受訪者收到垃圾郵件。

中消協(xié)發(fā)布的另一份調(diào)研報告《100款A(yù)PP個人信息收集與隱私政策測評報告》（以下簡稱《測評報告》）顯示，91款A(yù)PP存在過度收集用戶個人信息的問題，近半數(shù)APP的隱私條款內(nèi)容不達標，位置信息、通訊錄信息、身份信息、手機號碼這幾項高居涉嫌過度收集或使用信息清單中的前四名，部分APP還涉嫌過度收集個人財產(chǎn)信息、生物識別信息等敏感信息。

47款“劣跡”突出的APP中，侵犯用戶隱私的典型問題包括：

——隱私條款籠統(tǒng)不清，對收集、使用個人信息的目的、方式、范圍、類型、保存期限、地點等沒有明確說明，收集敏感信息時未明確告知用戶信息的用途。比如，被測評的10款交易支付類APP中，即便是唯一被評為四星的那一款，在收集個人敏感信息時，也未對核心和附加功能進行區(qū)分，導(dǎo)致用戶容易認為所收集的信息均為必需項。

——沒有或未明確用戶更正、撤回同意、刪除個人信息的途徑。比如愛搶購APP不支持賬號退出功能，手機解綁需向客服申請，方法過于繁瑣。

——對外提供個人信息時不單獨告知并征得用戶同意。有些應(yīng)用以提升產(chǎn)品或服務(wù)質(zhì)量的需要為名，在傳播用戶信息時越界。比如，ofo小黃車向關(guān)聯(lián)公司及第三方分享相關(guān)信息時，未單獨征得用戶同意，且對外提供行為未體現(xiàn)其必要性，其存在的風險不得而知。

——大量收集與所提供服務(wù)無直接關(guān)聯(lián)的個人信息。一些應(yīng)用未遵守行業(yè)標準中關(guān)于最小化收集個人信息的規(guī)定，像天氣預(yù)報、手電筒這類功能單一的APP，在安裝協(xié)議中竟然都提出要讀取通訊錄。

“總體來看，由于網(wǎng)絡(luò)空間具有即時性與虛擬性，公民個人信息一旦遭泄露普遍存在舉證難、損失認定難等問題，需進行更加有效的治理，目前侵犯公民個人信息等違法犯罪問題仍呈高發(fā)態(tài)勢?！敝袊▽W(xué)會消費者權(quán)益保護法研究會副秘書長陳音江說。

非法信息買賣形成黑色產(chǎn)業(yè)鏈，涉事主體缺乏法律與責任意識，事前保護和監(jiān)管亟待加強

不少受訪者都有這樣的困惑：個人信息曾被多個單位、機構(gòu)或企業(yè)采集過，信息到底是怎么被泄露、買賣的？究竟誰是“元兇”？

其實，信息泄露有跡可循?！墩{(diào)查報告》發(fā)現(xiàn)了兩條最主要的途徑：

一是經(jīng)營者未經(jīng)本人同意擅自收集客戶信息，也就是《測評報告》指出的隱私政策不合理導(dǎo)致的諸多亂象，最典型的是部分記賬理財APP會通過留存消費者的個人網(wǎng)銀登錄賬號、密碼等信息，并模仿消費者網(wǎng)銀登錄的方式，獲取賬戶交易明細及余額等信息，某些小額貸款A(yù)PP的開發(fā)商甚至能通過技術(shù)手段獲得用戶手機系統(tǒng)最高管理權(quán)限。

二是經(jīng)營者或不法分子故意泄露、出售或者非法向他人提供個人信息，這兩者均超過調(diào)查總樣本的60%。業(yè)內(nèi)人士指出，這已形成一條規(guī)模龐大、利益巨大的產(chǎn)業(yè)鏈，上游環(huán)節(jié)負責“源頭供貨”，中游負責“包裝易貨”，下游負責“應(yīng)用變現(xiàn)”。公開數(shù)據(jù)顯示，我國網(wǎng)絡(luò)安全產(chǎn)業(yè)規(guī)模僅為450多億元，但據(jù)推測，國內(nèi)網(wǎng)絡(luò)非法從業(yè)人員已超150萬人，互聯(lián)網(wǎng)黑色產(chǎn)業(yè)鏈早已達千億元規(guī)模。

其他被泄露方式還包括：網(wǎng)絡(luò)服務(wù)系統(tǒng)存有漏洞造成個人信息泄露，不法分子通過木馬病毒、釣魚網(wǎng)站等手段盜取、騙取個人信息;經(jīng)營者收集不必要的個人信息，這些經(jīng)營者包括手機應(yīng)用程序APP、網(wǎng)絡(luò)服務(wù)提供商、“云”服務(wù)等。

一直以來，國家重拳出擊整治網(wǎng)絡(luò)個人信息泄露亂象，為廣大網(wǎng)民營造安全放心的網(wǎng)絡(luò)環(huán)境。公安部2018年開展“凈網(wǎng)”專項行動，嚴厲打擊侵犯公民個人信息、黑客攻擊破壞等犯罪行為，僅半年內(nèi)，就抓獲犯罪嫌疑人8000余名，其中涉及電信服務(wù)商、互聯(lián)網(wǎng)企業(yè)、銀行等行業(yè)內(nèi)部人員300余名，黑客1200余名，繳獲“黑卡”270余萬張。

不過，總體上當前我國網(wǎng)絡(luò)個人信息泄露情況仍不容樂觀。陳音江指出，當前個人信息買賣之所以呈現(xiàn)利益化、復(fù)雜化、常態(tài)化的特點，原因有多方面，其中最主要的是采集或儲存企業(yè)缺乏保護個人信息的法律意識和責任意識，有的企業(yè)過度采集用戶個人信息，目的就是根據(jù)用戶的消費行為分析，精準投放商業(yè)廣告;有的企業(yè)采集公民個人信息以后，由于安保防范措施不到位、內(nèi)控制度不完善，個別企業(yè)的“內(nèi)鬼”與不法分子勾結(jié)。另外，目前個人信息保護主要依賴事后監(jiān)管，缺少事前保護和監(jiān)管，公民個人信息保護職責分散且呈現(xiàn)邊緣化，受害人維權(quán)渠道不通暢，經(jīng)濟補償難落地。

監(jiān)管嚴起來，標準強起來，形成監(jiān)管合力，打好“技術(shù)”補丁

保護公民信息不受侵害，當務(wù)之急是完善法律法規(guī)——

目前我國有近40部法律、30余部法規(guī)涉及個人信息保護，比如《民法總則》《刑法修正案》《消費者權(quán)益保護法》《網(wǎng)絡(luò)安全法》《電子商務(wù)法》等等。中消協(xié)商品服務(wù)監(jiān)督部主任皮小林認為，要真正保護好“大數(shù)據(jù)時代”的個人隱私，需要進一步提高法律的操作性，能比較全面地覆蓋目前信息侵權(quán)行為的各種表現(xiàn)，減少法律盲區(qū)，同時應(yīng)加大對于個人信息侵權(quán)行為的制裁力度，“要給互聯(lián)網(wǎng)企業(yè)收集用戶信息等行為戴上‘金箍?！?/p>

據(jù)悉，2018年9月，十三屆全國人大常委會立法規(guī)劃公布，旨在強化企業(yè)主體責任的《個人信息保護法》與《數(shù)據(jù)安全法》已被列入第一類項目，有望使個人信息保護早日進入法制化軌道。

監(jiān)管力量還需“擰成一股繩”——

目前，有關(guān)個人信息保護的主管機關(guān)還未確定，相關(guān)職責分散于公安、工信、網(wǎng)信、司法等多家部門，如何在實際工作中形成監(jiān)管合力，還需進一步探索。

中國人民大學(xué)法學(xué)院教授劉俊海指出，個人信息獲取、存儲和利用的環(huán)節(jié)眾多，流通傳播又兼具隱蔽性和復(fù)雜性，強化公民個人信息安全，須得多方聯(lián)動、協(xié)同共治。

“首要的是，監(jiān)管部門必須利劍高懸，加強監(jiān)督執(zhí)法?！标愐艚赋觯嘘P(guān)部門要對網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)詐騙、網(wǎng)絡(luò)有害信息等違法犯罪活動加大打擊力度，切斷網(wǎng)絡(luò)犯罪利益鏈條，持續(xù)形成高壓態(tài)勢，使廣大消費者的合法權(quán)益免受侵害。

“下一步，重點加強對當事人的民事權(quán)益保護，充分調(diào)動法院的積極性，在懲戒手段、賠償問題上落實落細，強化侵害個人信息權(quán)行為的賠償責任，比如建議立法上增加最低賠償額規(guī)定，借鑒消法500元或者食品安全法1000元最低賠償數(shù)額規(guī)定?！敝袊嗣翊髮W(xué)法學(xué)院教授楊立新說。

中國政法大學(xué)傳播法中心研究員朱巍建議設(shè)立黑名單制度，將違規(guī)企業(yè)、個人納入黑名單，越界侵權(quán)APP在應(yīng)用市場下架，同時追根溯源找到發(fā)布者，從重處罰。“民事上，要對消費者進行賠償，消協(xié)要發(fā)揮積極作用;行政上，可對涉事機構(gòu)處以吊銷執(zhí)照等處罰;刑事上，主要負責人應(yīng)被訴以侵害公民個人信息犯罪等?！?/p>

行業(yè)企業(yè)標準強起來——

專家建議，行業(yè)要建立網(wǎng)絡(luò)個人信息分類標準，企業(yè)要建立健全內(nèi)部管理制度，推動數(shù)據(jù)防竊密、防篡改、防泄露等安全技術(shù)的研發(fā)和部署，對數(shù)據(jù)庫、服務(wù)器、服務(wù)器網(wǎng)絡(luò)、客戶端網(wǎng)絡(luò)、客戶端等關(guān)鍵節(jié)點做好防護工作，有效降低“內(nèi)鬼”和不法分子竊密風險。

事實上，面對“信息保護缺失”的風險隱患，一些大型互聯(lián)網(wǎng)企業(yè)正在通過筑牢制度“防火墻”、打好技術(shù)“補丁”，加寬個人信息保護的“護城河”。

一位業(yè)內(nèi)人士認為，互聯(lián)網(wǎng)公司在數(shù)據(jù)隱私保護工作中應(yīng)始終遵守“三C”原則：取得用戶同意（Consent），讓用戶充分、全面了解隱私政策 （Clarity），給予用戶對其個人信息利用的控制權(quán)（Control）。比如在產(chǎn)品中增加隱私偏好設(shè)置選項，讓用戶可以動態(tài)開啟或關(guān)閉個人信息的應(yīng)用場景，也可輕松訪問被采集的數(shù)據(jù)以便審核，同時給用戶請求和申訴渠道，以便用戶更新、修改或刪除數(shù)據(jù)。再如，對收集的個人信息按照敏感程度進行分類分級，采取不同的管理策略和安全防護策略，確保用戶信息安全。