陸峰

日前，百度CEO李彥宏關于“中國用戶愿意用隱私交換便捷性”的言論則令人咋舌。幾乎同期，滴滴利用大數(shù)據(jù)“殺熟”一事甚囂塵上。一時間，數(shù)據(jù)隱私保護成為業(yè)界熱議的話題。

我國個人信息保護存在巨大風險

隨著人工智能、新零售等行業(yè)迅速發(fā)展，數(shù)據(jù)被大規(guī)模使用，企業(yè)與用戶之間的摩擦明顯加劇。然而，國內企業(yè)對數(shù)據(jù)的保護和使用仍然雜亂無章，信息泄露正以無孔不入的態(tài)勢入侵工作生活。利用獲取信息的特權，企業(yè)搭便車過度采集信息現(xiàn)象非常普遍。

不可否認，在萬物互聯(lián)時代，數(shù)據(jù)的戰(zhàn)略重要性與日俱增，但真正能實現(xiàn)商業(yè)價值的數(shù)據(jù)只是一小部分。能站在數(shù)據(jù)權力頂端的，很可能是那些能真正使用好數(shù)據(jù)的超級公司。

然而日前，百度董事長兼CEO李彥宏在中國發(fā)展高層論壇上關于中國人對隱私問題的態(tài)度更開放、用戶可以用隱私來換取便利的言論，激起了網(wǎng)民的廣泛討論。大家發(fā)現(xiàn)，即使安裝普通APP軟件，軟件要求用戶同意數(shù)十項的用戶隱私獲取權限方可安裝。被迫無奈用隱私換取便利已經(jīng)成為了大眾對當前我國個人隱私保護現(xiàn)狀的共識。

隨著互聯(lián)網(wǎng)應用日益融入到大眾生活中，個人信息被大量留痕在各類網(wǎng)絡服務平臺上，作為數(shù)字經(jīng)濟時代個人最為寶貴數(shù)字資產(chǎn)，加強個人信息保護，不僅事關個人權益的維護，更是關系到網(wǎng)絡社會時代個人的幸福感和獲得感。

個人信息濫采濫用現(xiàn)象嚴重

目前，國內企業(yè)采集用戶信息主要存在以下問題：一是個人信息濫采現(xiàn)象十分嚴重。目前大部分APP軟件在安裝過程中都或多或少存在獲取與軟件應用功能無關的個人信息，主要包括個人通訊錄、地理位置、個人相冊等眾多信息訪問權限。以手電筒APP軟件為例，除了要求獲取電池和攝像頭訪問權限之外，還要求訪問用戶通訊錄和地理位置等與軟件功能無關的個人信息。

二是企業(yè)通過軟件服務獲取用戶個人信息后，究竟如何使用這些個人信息，是否存在信息倒賣或者過度挖掘等行為，用戶完全不知，也無法掌控。

三是用戶許可協(xié)議流于形式，盡管許多軟件在安裝過程中都有用戶許可協(xié)議步驟，但許可協(xié)議存在條款冗長難以閱讀、霸王條款強迫用戶等行為，甚至像支付寶一樣替用戶勾選等現(xiàn)象也大量存在。

2014年8月，微博訴脈脈抓取使用微博用戶信息；2017年8月，騰訊指控華為榮耀Magic手機侵害了微信用戶的數(shù)據(jù)；2017年6月，順豐和菜鳥數(shù)據(jù)斷交門等大量類似事件中，雙方企業(yè)圍繞用戶數(shù)據(jù)的使用唇槍舌劍，但是作為數(shù)據(jù)所有者的用戶卻沒有任何發(fā)言權。

企業(yè)間個人信息之爭，普遍暴露了當前個人信息保護存在以下幾點問題：一是個人信息被企業(yè)收集之后流通交易，流通情況個人是不掌握的。二是企業(yè)收集的個人信息，究竟誰能用，誰又不能用，作為主角的個人并沒有發(fā)言權。三是個人信息被企業(yè)采集后開發(fā)利用，企業(yè)只關心自身利益，個人用戶體驗是次位的。

五大原因致個人信息泄露

法律法規(guī)不完善

《網(wǎng)絡安全法》和《電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定》中盡管對個人信息保護做了大量規(guī)定，但大多屬于方向性約束條款，缺乏可量化、可操作的執(zhí)行細則，導致企業(yè)在條款落實上有很大打插邊球空間，監(jiān)管部門在執(zhí)法上還有很大裁量空間余地。

互聯(lián)網(wǎng)信息服務等各類互聯(lián)網(wǎng)行業(yè)管理辦法中，對個人信息保護重視不夠甚至尚未提及，導致行業(yè)主管部門在行業(yè)管理時，只盯業(yè)務行業(yè)合規(guī)性，輕視對個人信息保護。

違法成本太低，處罰力度太小，幾萬元、甚至幾十萬元的罰款處罰措施，對大型互聯(lián)網(wǎng)平臺型企業(yè)而言，其威懾力度嚴重不足。

標準規(guī)范缺失

個人信息范圍、權屬和使用權限等標準缺失，尤其是針對網(wǎng)絡平臺和大數(shù)據(jù)挖掘情況下個人信息的界定和使用，沒有統(tǒng)一的國家或行業(yè)標準，致使很多個人信息開發(fā)利用處在灰色地段。

個人信息采集、存儲、清洗、使用等環(huán)節(jié)操作流程、業(yè)務規(guī)范、防護要求等沒有統(tǒng)一的標準，導致企業(yè)在個人信息開發(fā)、利用、保護等環(huán)節(jié)缺乏合規(guī)合法對標尺度，個人信息濫采和濫用現(xiàn)象十分嚴重，風險隱患較大。

個人信息開發(fā)利用負面清單制度缺乏，導致許多企業(yè)在個人信息采集、開發(fā)、利用和保護中，都是摸著石頭過河，以試探政府和社會反應為依據(jù)，來推進個人信息開發(fā)利用創(chuàng)新，企業(yè)業(yè)務創(chuàng)新風險極大。

缺乏統(tǒng)一、規(guī)范、標準的個人信息采集和使用用戶承諾書，導致許多企業(yè)制定用戶承諾書，都是以考慮企業(yè)利益最大化為目標，無限制強化自身權利，對個體保護自身信息存在極大不公平。

安全防護措施薄弱

部分政府部門和企業(yè)在個人信息的采集、存儲和使用中安全防護基礎措施保障不到位，難以應對復雜網(wǎng)絡、新技術應用、技術服務外包等各種條件下個人信息保護需求。

個人信息保護技術攻關研究和推廣應用步伐滯后，尤其是針對移動互聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等條件下，個人信息保護技術支撐能力不足，技術存在不成熟、未體系化等系列問題。

政府和企業(yè)信息系統(tǒng)和網(wǎng)絡平臺個人信息保護制度不完善，網(wǎng)絡、技術、人員、外包等多個環(huán)節(jié)制度不健全、不系統(tǒng)、不精細，個人信息泄露和濫用風險極大。

個人信息保護透明度不高，政府部門和企業(yè)對個人信息開發(fā)、利用和保護等工作主動披露意識不強。

政府監(jiān)督檢查手段滯后

政府監(jiān)督檢查手段滯后，技術支撐保障能力不足，傳統(tǒng)線下檢查手段，難以適應對數(shù)字化、網(wǎng)絡化和在線化服務中個人信息采集和使用監(jiān)管需要。

針對含有大量個人信息的信息系統(tǒng)和網(wǎng)絡平臺，缺乏專業(yè)性、系統(tǒng)性、針對性的個人信息保護測評和個人信息等級保護制度。

尚未依據(jù)個人信息內容和規(guī)模實行分級分類使用許可制度，導致不具備安全防護和風險管控能力，以及沒有規(guī)范采集和使用流程的機構，在采集和使用個人信息，風險隱患極大。

行業(yè)自律尚未發(fā)揮作用

技術研發(fā)、應用推廣等方面致力于推動企業(yè)發(fā)展的聯(lián)盟很多，但屬于約束企業(yè)行為的個人信息保護行業(yè)自律聯(lián)盟缺乏，盡管有政府部門牽頭少量企業(yè)成立，但重點企業(yè)的積極性和主動性不足。

缺乏個人信息保護行業(yè)自律公約，重點企業(yè)和重點行業(yè)在個人信息保護方面的引導和示范作用尚未發(fā)揮。

缺乏個人信息保護行業(yè)自律發(fā)展水平評估，行業(yè)個人信息保護狀態(tài)缺乏摸底評估，大量企業(yè)個人信息保護透明度不高。

完善措施防止信息泄露

完善相關法律法規(guī)

加快出臺《網(wǎng)絡安全法》個人信息保護實施細則，明晰個人信息保護法律操作要求，提供操作層面示范借鑒案例集。

加快出臺個人信息保護法或保護條例，明確個人信息采集、傳輸、存儲、流通、交易、開發(fā)、利用等全流程環(huán)節(jié)權利和責任等法律要求。

將個人信息保護相關內容納入到互聯(lián)網(wǎng)信息服務等各類互聯(lián)網(wǎng)行業(yè)管理辦法中，明確各行業(yè)領域應用場景個人信息保護詳細要求。

加大對個人信息保護相關違法行為查處和處罰力度，提高違法成本和法律震懾效應，建議處罰力度與企業(yè)經(jīng)營收入、泄露信息規(guī)模等要素掛鉤，對出現(xiàn)重大個人信息泄露或是違規(guī)利用企業(yè)，實施停業(yè)整頓或取締營業(yè)資質。

規(guī)范個人信息收集和使用

明確個人信息范圍、種類和權屬，特別要明確互聯(lián)網(wǎng)服務平臺、大數(shù)據(jù)挖掘分析、大數(shù)據(jù)交易流通、政務信息資源共享、公共信息資源開放等情況下個人信息內容和權屬的界定辦法。

出臺個人信息保護相關操作指南，明確個人信息采集、存儲、傳輸、清洗、利用等環(huán)節(jié)資質要求、操作流程、業(yè)務規(guī)范、管理要求、防護措施等。

出臺個人信息采集和使用負面清單，明確個人信息采集、流通、挖掘和使用禁區(qū)，最大限度地促進和保護個人信息開發(fā)利用創(chuàng)新。

規(guī)范互聯(lián)網(wǎng)服務用戶同意承諾書，制定統(tǒng)一的企業(yè)個人信息收集和使用用戶同意承諾書通用模板，統(tǒng)一明確企業(yè)必要的權責，最大限度地規(guī)范和約束企業(yè)個人信息開發(fā)利用行為。

完善個人信息保護安全措施

完善政府和企業(yè)個人信息保護安全基礎設施，加大入侵監(jiān)測、電子認證、訪問控制、安全審計等配套保障設施建設，提高安全基礎設施保障能力。

加快個人信息保護技術攻關研究和推廣應用步伐，加大個人信息標記、脫敏、溯源等技術研究，增強移動互聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等融合條件下個人信息保護能力。

建立健全政府和企業(yè)個人信息保護制度，加強對網(wǎng)絡、技術、人員、外包等各個環(huán)節(jié)個人信息保護管理力度，完善全鏈條個人信息保護，防止個人信息保護出現(xiàn)短板效應。

提高個人信息保護透明度，定期發(fā)布政府和企業(yè)個人信息保護白皮書，告知社會其在個人信息采集、開發(fā)、利用、保護等方面采取措施和取得效果，提高大眾對政府和企業(yè)個人信息保護信任度。

加強個人信息保護的監(jiān)督和檢查

建立政府個人信息保護治理網(wǎng)絡平臺，采用網(wǎng)絡監(jiān)測、大數(shù)據(jù)挖掘、人工智能分析等各類手段，加強網(wǎng)絡個人信息采集、傳輸、開發(fā)和利用全方位在線監(jiān)測。

加強對重點領域、重點企業(yè)、重點網(wǎng)絡平臺的個人信息開發(fā)、利用、保護定期檢查，對存儲大規(guī)模個人信息的信息系統(tǒng)和網(wǎng)絡平臺，周期性開展第三方安全測評，對測評不達標的信息系統(tǒng)和網(wǎng)絡平臺，及時采取整改或清理措施。

實施個人信息應用等級保護制度，依據(jù)個人信息存儲規(guī)模、系統(tǒng)平臺重要性等指標，采取不同安全等級防護措施要求。

實施個人信息使用分級分類認證制度，依據(jù)個人信息內容性質和信息規(guī)模，采取分級分類使用許可制度，對不同級別個人信息和不同分類用戶群體，提出相應個人信息采集和應用防護措施要求。

強化個人信息保護行業(yè)自律

推動電信、金融、互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能等重點領域成立個人信息保護行業(yè)自律聯(lián)盟，從技術、標準、管理、法律等角度加強個人信息保護行業(yè)研究。

發(fā)布個人信息保護行業(yè)自律公約，推動龍頭企業(yè)更加重視個人信息保護，形成社會引導和示范效應，帶動行業(yè)個人信息保護水平的整體提升。

依托行業(yè)自律聯(lián)盟，開展行業(yè)自律動態(tài)監(jiān)測，實施個人信息保護發(fā)展水平評估，定期發(fā)布個人信息保護行業(yè)自律報告。

定期開展行業(yè)自律交流，組織研討會、經(jīng)驗交流會、論壇等形式，深入交流企業(yè)個人信息開發(fā)、利用、保護等經(jīng)驗，共同探討行業(yè)發(fā)展存在問題和應對措施。

技術是把雙刃劍，大數(shù)據(jù)技術也不例外。大數(shù)據(jù)發(fā)展給產(chǎn)業(yè)發(fā)展、民生保障、國家治理帶來新機遇的同時，也給個人隱私保護帶來了前所未有的挑戰(zhàn)。在沒有個人隱私的大數(shù)據(jù)時代，如何讓個人隱私得到切實有效的保護，需要技術、產(chǎn)業(yè)、政策三者協(xié)同發(fā)力。

如何在個人隱私保護和促進產(chǎn)業(yè)發(fā)展之間尋求平衡點，歐盟和美國走了兩條不同的道路，歐盟實施了嚴格的隱私保護政策，美國走了一般性隱私保護政策。歐美之間隱私保護政策有顯著的差異，但是差異背后相同特點都是依據(jù)各自互聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展程度來制定的。我國在制定個人隱私保護政策的時候，也要充分借鑒歐盟和美國的個人隱私保護政策，做到既能兼顧個人隱私保護，又能促進互聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展。