大資料時代,個人資訊如何才能不裸奔
導讀:目前,各類移動應用程式(App)在給公眾生活帶來便利的同時,其背後存在的強制授權、過度索權、超範圍收集個人資訊等問題,也給使用者個人資訊保安帶來極大隱患。近日,上海檢察機關就此向多家網際網路企業發出公益訴訟檢察建議書。如何看待公益訴訟對於規範App違法收集個人資訊亂象的意義和價值?App在收集個人資訊時又該如何落實“必要原則”?本期“聲音版”邀請相關專家和讀者一道進行探討,敬請關注。
齊愛民:重慶大學網路與大資料戰略研究院院長
許 可:對外經濟貿易大學數字經濟與法律創新研究中心執行主任
阿拉木斯:網規研究中心主任 中國網路空間安全協會理事
周慧虹:銀行職員
史洪舉:法官
期待公益訴訟承擔起個人資訊保護重任
大資料時代,企業採集使用者個人資訊的主要目的之一就是基於海量和領域交叉的使用者資訊,通過大資料技術對使用者的消費行為進行分析,進而精準匹配投放商業廣告,以達到“一對一”“千人千面”的營銷效果。但在隱私政策缺失或無法真實發揮約束作用的現狀下,通過手機App獲取消費者個人資訊使得個人資訊洩露風險和相關安全隱患劇增。然而,由於普通消費者和網路服務提供商之間就個人資訊的獲取、利用等存在資訊不對稱,加之消費者在維權時經常面臨舉證難困境,這都使得消費者個人主體很難對App違規收集利用個人資訊亂象起到遏制作用。
此前,App違規行為已經引起消費者協會和國家有關部門的重視。2017年12月,江蘇省消費者權益保護委員會就百度違法獲取使用者資訊許可權及相關問題提起消費民事公益訴訟；2018年11月,中消協釋出《100款App個人資訊收集與隱私政策測評報告》,揭示出個人資訊收集情況不容樂觀；今年年初,中央網信辦等四部門又聯合開展App違法違規收集使用個人資訊專項治理行動。在這樣的大背景下,今年6月,上海市人民檢察院組織開展了App違法收集個人資訊問題的專項調查,並向存在相關違法情形的App開發者發出公益訴訟檢察建議書。
可以說,對消費者個人資訊的安全保護,始終面臨著違法成本低與維權成本高的雙重困境。在行政手段之外,針對個人資訊保護的根本還在於立法與司法。從立法角度看,諸多手機App開發商、運營者之所以敢於過度收集使用者個人資訊,其中部分原因就在於法律不夠健全。目前,我國對公民個人資訊權利的保護始終是依附在隱私、網路安全等領域,尚未形成法定的獨立權利,且大多是概括性、原則性規定,可操作性不強。因此,有必要加快專門立法程序,讓個人資訊保護步入法治化軌道。
從司法實踐角度看,由於手機App過度收集使用者個人資訊的受害者比較分散,且個人維權成本較高,舉證艱難,極少出現使用者個人提起訴訟維權的情況。在這種情形下,確定最佳的個人資訊保護方式和保護主體顯得尤為重要。在寄希望企業自律和個人主體主動維權難以實現的情況下,為確保消費者個人資訊的安全無虞,筆者認為由檢察機關提起公益訴訟或許是目前為止最佳的選項。
公益訴訟一般指特定的國家機關、組織和個人根據法律法規的授權,對違反法律,侵犯國家利益、社會公共利益的行為,向法院提起訴訟,由法院追究違法者的法律責任。作為公權力代表的檢察機關針對App違法收集和利用個人資訊的行為提起公益訴訟,是一種公益訴訟領域的全新嘗試,將對維護公共利益中的個人資訊權利,規範App行業亂象產生積極影響。
第一,樹立法律權威,引起網際網路行業高度重視。以公權力介入民商法違法領域,將極大樹立法律的權威,給App行業違法收集個人資訊亂象以強大震懾,既體現出國家對於法律的高度執行力,也能讓網際網路行業予以高度重視,從而進一步推動相關企業主動建立和認真對待消費者個人資訊中的合規性制度,有效推進個人資訊保護工作。
第二,為行政執法保駕護航,提高執法效率和執行力。國家網信部門在處理違法收集利用個人資訊案件時,往往由於處罰力度和執行力度的不足難以真正對違法企業產生實質性影響,以至於不法企業反覆出現違法亂象。通過提起公益訴訟的方式,將為後續行政執法提供強大的法律後盾,強化執法效率和執行力。
第三,增加公共利益的維權路徑,強化公民個人資訊權利保障。通過檢察機關針對App違法收集個人資訊領域提起公益訴訟,有利於解決使用者在網際網路絡中的弱勢地位和舉證艱難的困境。這種通過增加公民維權渠道的方式,對規範網際網路行業的個人資訊保護將有著重要的推動作用。
第四,推進個人資訊保護立法程序,從根本上規制網際網路行業個人資訊收集使用亂象。目前我國已將個人資訊保護法納入立法規劃,檢察機關的公益訴訟實踐是將來確定個人資訊保護法具體規定的一項重要實踐活動,對於個人資訊保護法出臺後可操作性的提高具有重大意義。（齊愛民）
破解個人資訊收集使用“必要原則”困局
豐富多彩、應用廣泛的App已經成為我們每個人須臾不離的生活工作助手,但與此同時,App也成為個人資訊洩露和濫用的重災區。有鑑於此,今年2月,中央網信辦、工信部、公安部、市場監管總局四部門聯合組織開展App違法違規收集使用個人資訊專項治理行動,要求網路運營者遵循必要原則,不收集與所提供服務無關的個人資訊,從而劃定個人資訊收集和利用的邊界。
其實,個人資訊收集使用的必要原則由來已久。早在1981年,歐洲理事會在《關於個人資料自動化處理的個人保護公約》中就規定:個人資料應出於明確、具體及合法的目的而收集,且對其處理目的而言,資料應適當、關聯且不過量。必要原則在1995年歐盟《資料保護指令》被進一步強調,最終成為2018年《一般資料保護條例》(GDPR)的六項處理原則之一。
基於上述國際經驗,我國網路安全法第41條亦明定收集、使用個人資訊的必要原則。2018年,國家標準《個人資訊保安規範》第5.2條再次給出三項衡量標準,即收集個人資訊與實現產品或服務的業務功能之間的直接關聯、最低頻率和最少數量關係。
然而,在大資料時代,必要原則面臨著巨大的挑戰。正如維克托·邁爾-舍恩伯格在《大資料時代》一書中所指出的,大資料的價值不再來源於基本用途,而是源於其二次使用；更重要的是,許多資料在收集時並無意他用,最終卻產生了諸多創新性用途,顯然,資料收集者永遠不可能提前告知收集時尚未想到的目的。以美國芝加哥通訊公司為例,其收集使用者位置資訊的主要目的是確定手機訊號覆蓋情況。但在新的場景中,通過採集在特定地點所有手機使用者的資訊,它還能計算出開車經過特定廣告牌的人數,進而估算出廣告牌的價值,顯然,這是收集目的的一次重大轉變。
不唯如是,社會學家和醫學專業人士都知道,當人們事前知道其資訊將被收集和度量,就可能導致最終結果出現偏差,這是因為人們會不自覺地改變行為,甚至出於利益考慮而操縱或破壞資料。所以,在很多場景下,使用者資料的被動收集和間接度量比主動收集和直接度量,更能實現收集的初衷,而這樣的目的往往是無法向用戶告知的。
2009年,在甲型H1N1流感爆發前幾周,谷歌使用了億萬使用者的檢索詞準確預測了流感發生的地區和州,如果嚴格遵循必要原則,這一嘗試不但在技術上不可行,在成本上也是難以想象的。
這就要求我們一方面要踐行必要原則,防範個人資訊被無節制、無邊際地收集和使用,另一方面,又要為後續創新容留空間,避免過分阻礙數字經濟的發展,這確實是一個兩難問題。這一難題不可能有一勞永逸的解答,但不妨從如下方面探索可能的解決之道。
其一,清晰、靈活地劃定收集範圍。必要原則的癥結在於難以判斷“究竟何為必要”,或者“究竟哪些個人資訊與服務相關”。為此,監管者不妨儘量在事前列出與特定服務直接相連的個人資訊範圍。最近,全國資訊保安標準化技術委員會制定的《移動網際網路應用基本業務功能必要資訊規範(V1.0)》便依照這一思路,明確了地圖導航、網路約車、即時通訊社交、網路支付等16種服務所需的個人資訊型別。但必須指出,在產品迅速迭代、服務日新月異的今天,上述規範不應視為相關App不能在上述範圍之外另行收集、使用個人資訊,而應理解為給企業額外增加了自證清白的負擔。簡言之,一旦在事後發生執法和糾紛,它們必須證明自己已充分告知了使用者,並且相關資訊的收集和使用符合其產品定位、商業慣例和商業道德。
其二,嚴謹、務實地解釋“目的”。歐盟在GDPR的起草中,已經意識到資料的二次利用可能與原先目的無關,為此GDPR特別引入“相容使用”概念。這意味著企業可以在既有目的之外,對資料作出後續處理。當然,這並非沒有限制,監管者需要綜合考量後續使用目的與原先目的之間的關聯性、資料收集的場景、該場景下個人的合理預期、資料性質、後續使用產生的後果及現有的保障措施等。
其三,促進市場化的個人資訊保護。如果我們把個人資訊保護理解為一種服務,那麼通過市場來讓個人享受到更好的服務不失為激勵相容的治理方式。美國一項針對30萬款App的定量分析發現,較之收費App,免費App中收集個人敏感資訊的現象更為頻繁。就此而言,個人資訊已經成為隱形的價格。以此觀之,一些禁止網路運營者服務質量、價格差異的條款的規定,則缺失了洞見市場經濟規律的眼力。恰恰相反,監管者應當鼓勵App披露其定價策略和個人資訊收集之間的關聯,使得使用者充分知情後作出審慎決定。
其四,通過科技降低個人資訊收集的需求。資料難以流通是各個App爭相收集個人資訊的重要原因。由於制度缺失和安全擔憂,企業不願意共享資料。資料孤島的現實,迫使所有人都必須自力更生,憑藉一己之力,儘可能多地從使用者那裡攫取資料。如今,通過“多方安全計算”技術,企業可以在原始資料不出域的情況下實現資料共享、計算、合作,從而在維護資料安全、保護使用者隱私、挖掘資料價值之間取得了平衡,這必然大大緩解企業對取得個人資料的焦慮。
個人資訊保護與數字經濟發展並不矛盾,正如個人權利和企業利益並不矛盾一樣。作為立法者和監管者,理應執其兩端、統籌各方,最終實現共生共享共贏的網路空間。（許可）
眾議
用公益訴訟保護個人資訊應審慎
目前,在網際網路個人資訊保護這一領域,關於個人資訊和資料到底是什麼,是什麼樣的權利或權益,是財產權還是人身權,如何平衡保護和利用的關係等一些關鍵的、底層的問題,在整個國際範圍內相關的制度和研究都遠沒有達到相對成熟的程度,還有很多關鍵核心問題需要得到破解和形成共識。去年歐洲雖然出臺了《一般資料保護條例》(GDPR),但爭議仍很大,尤其是在產業界。
單就過度收集個人資訊本身而言,其一般不會產生直接危害後果,只有這種行為和非法使用、轉讓、披露等一起發生時,才會帶來侵害後果。因此對過度乃至未告知收集等其他非法收集個人資訊的規制,需要視不同情況具體來看。進一步來說,關於個人資訊保護,遠不像目前已經納入公益訴訟範疇的生態環境和資源保護、食品藥品安全等領域那樣已經建立了比較成熟的法律和制度體系,執法部門有足夠的法律依據和判斷方法,因此用公益訴訟保護個人資訊應審慎推進。在網際網路這個快速發展變化的領域,在很多問題上需要看得更全面和更長遠,並且進行過充分的論證,才可能得出經得起歷史考驗的法律解決方案,實現發展和規範的平衡。（阿拉木斯）
防止App越界需聯動處置
App開發運營者過度收集個人資訊,一旦保管與使用不當,極易為電信詐騙、竊取個人網上錢財等違法犯罪活動留下可乘之機。為從源頭上查堵漏洞,必須採取有效措施,將App開發運營者對於個人資訊的收集控制在最少夠用原則範圍之內。近日,《移動網際網路應用基本業務功能必要資訊規範(V1.0)》釋出,針對不同行業、服務類別,進一步細化了原則標準,讓最少夠用等相關原則更具可衡量性與可操作性,此舉有助於遏制有些App開發運營者“揣著明白裝糊塗”,繼續過度收集、使用個人資訊。
在此基礎上,對資訊保安、網路消費等負有監管職能的各級機構還應攜手聯動,進一步完善工作協調機制,著力構築起一張防護個人資訊保安,維護消費者合法權益的大網,努力使非法收集、使用個人資訊等行為無從遁形,讓社會公眾不再因個人資訊被無端洩露而擔驚受怕。（周慧虹）
壓實應用商店和開發者責任
打擊超範圍收集使用者個人資訊和竊取隱私的App並非無法可依。根據有關規定,App未向用戶明示並經同意,不得開啟收集地理位置、讀取通訊錄等功能,不得開啟與服務無關的功能,否則就將承擔下架等責任。應用商店對此也負有監管等責任。同時,根據網路安全法,侵犯個人資訊的,最高可處100萬元罰款,並可責令其停業整頓,關閉網站、吊銷證照。尤其是,根據刑法有關規定,非法獲取行蹤軌跡、通訊內容等資訊50條以上的,就可能構成侵犯公民個人資訊罪。
向一些非法過度收集和利用個人資訊的App說“不”,根本不能靠弱勢的消費者自覺發現和抵制,更不能靠唯利是圖的應用商店及App開發者良心發現。而應靠監管部門積極作為,科學應對,妥善處置。具體而言,除制訂強制標準外,還應注重監測、下架、遮蔽違規App,追究開發者和應用商店的違法乃至刑事責任。進而壓實應用商店的稽核責任和開發者的主體責任,讓其多些對規則和使用者權利的尊重。讓使用者真正享受到科技進步帶來的紅利,而非在科技的發展下淪為毫無還手之力的“裸奔者”。（史洪舉）
相關連結
2019年6月上旬,上海市人民檢察院組織開展了App違法收集個人資訊問題專項調查,發現10多款手機App存在違法收集個人資訊行為。經過線索評估、立案審查、證據固定後,檢察院依法向開發運營上述App的網際網路企業制發檢察建議11件。上海市檢察機關表示,將持續加強對App違法收集個人資訊等問題的關注,切實履行公益訴訟職能,以創新思路和方法推進公共利益保護。