個(gè)人信息保護(hù)面臨尷尬：對企業(yè)追責(zé)不夠 立法分散
時(shí)間：2018-11-20 10:56 來源：中國經(jīng)濟(jì)周刊 瀏覽次數(shù)：15099“從去年7月1日實(shí)施以來，《網(wǎng)絡(luò)安全法》執(zhí)法力度是很大的，但存在對企業(yè)主體追責(zé)不明確的問題?！?1月1日，在青島舉辦的中國保密技術(shù)交流大會(huì)上，360企業(yè)安全集團(tuán)董事長齊向東首次評(píng)論“華住案”。
今年8月28日早上6時(shí)，一則華住旗下酒店開房記錄疑似泄露，在網(wǎng)上明碼標(biāo)價(jià)出售的消息在網(wǎng)上流傳。被售賣的數(shù)據(jù)包括華住官網(wǎng)注冊資料，酒店入住登記身份信息，還有酒店開房記錄等三類，總計(jì)近5億條數(shù)據(jù)，合計(jì)大小141.5G。發(fā)帖者稱以上數(shù)據(jù)全部打包價(jià)為8比特幣，約為38萬元人民幣。
隨后華住酒店集團(tuán)向警方報(bào)案，上海警方隨即介入調(diào)查。360企業(yè)安全集團(tuán)作為技術(shù)支持者配合上海警方以技術(shù)手段進(jìn)行偵查，并成功將犯罪嫌疑人抓捕歸案。經(jīng)查，犯罪嫌疑人利用黑客手段竊取華住集團(tuán)旗下酒店數(shù)據(jù)并在境外網(wǎng)站兜售，但未交易成功。上海警方還表示，對該案中涉及未落實(shí)網(wǎng)絡(luò)安全措施的責(zé)任主體單位，警方將依法予以查處。此后上海警方再未對外公布關(guān)于該案的具體內(nèi)容和偵破過程。
齊向東對《中國經(jīng)濟(jì)周刊》記者說，《網(wǎng)絡(luò)安全法》已經(jīng)在個(gè)人信息保護(hù)的立法層面進(jìn)行了比較全面的闡述，但仍有對企業(yè)主體追責(zé)不夠的遺憾，這部分遺憾需要在更加細(xì)致的《個(gè)人信息保護(hù)法》中加以落實(shí)。
中國消費(fèi)者協(xié)會(huì)今年8月發(fā)布的《APP信息泄露情況調(diào)查報(bào)告》顯示，我國個(gè)人信息泄露總體情況比較嚴(yán)重，遇到過個(gè)人信息泄露情況的人數(shù)占比為85.2%，沒有遇到過個(gè)人信息泄露情況的人數(shù)占比為14.8%。
對我國何時(shí)能有一部專門的《個(gè)人信息保護(hù)法》的討論隨之而來。就此話題《中國經(jīng)濟(jì)周刊》記者對相關(guān)人士和立法專家進(jìn)行了采訪。
《個(gè)人信息保護(hù)法》 進(jìn)入立法議程
雖然上海市公安局在公告中稱“對該案中涉及未落實(shí)網(wǎng)絡(luò)安全措施的責(zé)任主體單位警方將依法予以查處”，但《網(wǎng)絡(luò)安全法》只在相關(guān)章節(jié)規(guī)定了網(wǎng)絡(luò)運(yùn)營主體和數(shù)據(jù)控制方對保護(hù)個(gè)人信息所負(fù)的法律義務(wù)，并未規(guī)定企業(yè)面臨的法律后果。
《中國經(jīng)濟(jì)周刊》記者檢索公開資料發(fā)現(xiàn)，截至目前，“華住案”中未落實(shí)網(wǎng)絡(luò)安全措施的責(zé)任主體單位華住酒店集團(tuán)，尚未有受到任何處罰及查處的消息。
齊向東認(rèn)為，作為泄密單位，華住酒店集團(tuán)給用戶造成的損失是不可挽回的，它應(yīng)該承擔(dān)什么樣的責(zé)任，法律上有要求但細(xì)節(jié)和細(xì)則落實(shí)不到位。
360企業(yè)安全集團(tuán)總裁吳云坤則對記者表示，目前掌握個(gè)人信息最多的不是個(gè)人用戶本地的存儲(chǔ)，也不是政府部門，而是企業(yè)，“特別是使用頻次很高的產(chǎn)品背后的企業(yè)，比如微信、支付寶和其他網(wǎng)購平臺(tái)，所以保護(hù)企業(yè)所掌握的個(gè)人信息其實(shí)就是在保護(hù)絕大部分的個(gè)人信息。”
就在9月10日，《個(gè)人信息保護(hù)法》被寫入十三屆全國人大常委會(huì)立法規(guī)劃(共116件)的第一類項(xiàng)目，即條件比較成熟、任期內(nèi)擬提請審議的法律草案，立法的地位和優(yōu)先級(jí)有了巨大提升。
從事個(gè)人信息保護(hù)研究工作的中國人民大學(xué)金融科技與互聯(lián)網(wǎng)安全研究中心主任楊東告訴《中國經(jīng)濟(jì)周刊》記者，《個(gè)人信息保護(hù)法》主要的立法目的就是強(qiáng)化企業(yè)的責(zé)任，“個(gè)人信息泄露的主要出口就是企業(yè)的不規(guī)范操作?！?/p>
立法分散是目前個(gè)人信息保護(hù)的另一個(gè)尷尬。國務(wù)院信息化辦公室從2003年起就開始部署個(gè)人信息保護(hù)法立法研究工作；2009年修訂通過的《刑法修正案(七)》對非法竊取、出售、泄露個(gè)人信息的行為作出了規(guī)定，《刑法修正案(九)》還設(shè)置了非法獲取公民個(gè)人信息的罪名。除《網(wǎng)絡(luò)安全法》外，個(gè)人信息保護(hù)的內(nèi)容還出現(xiàn)在《民法總則》《消費(fèi)者權(quán)益保護(hù)法》《電子商務(wù)法》和《全國人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》等近40部法律、30余部法規(guī)和200部規(guī)章制度中?！澳壳暗姆涩F(xiàn)實(shí)是對個(gè)人信息保護(hù)的規(guī)定十分分散，缺乏系統(tǒng)性、嚴(yán)謹(jǐn)性和邏輯性，也沒有清晰的流程。”楊東說。
相關(guān)企業(yè)將配置部門管理個(gè)人信息
值得注意的是，在《網(wǎng)絡(luò)安全法》生效后不久，一則由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)制定的《個(gè)人信息安全規(guī)范》(下稱“《規(guī)范》”)從2017年底開始在各互聯(lián)網(wǎng)公司等數(shù)據(jù)控制方中悄然流行。《規(guī)范》按照《網(wǎng)絡(luò)安全法》所規(guī)定的原則進(jìn)行的更加細(xì)致的規(guī)定，很多企業(yè)為避免違反《網(wǎng)絡(luò)安全法》，就將《規(guī)范》作為其業(yè)務(wù)執(zhí)行的標(biāo)準(zhǔn)。
《規(guī)范》明確了個(gè)人信息的邊界和范圍，即關(guān)聯(lián)路徑和識(shí)別路徑下的個(gè)人信息同屬應(yīng)被保護(hù)的范疇。所謂關(guān)聯(lián)路徑是指不能直接識(shí)別出某個(gè)特定的自然人，但包含了特定自然人的大量行為和習(xí)慣數(shù)據(jù)，如聊天記錄，購物記錄，經(jīng)常使用的行車路線和好友名單等的數(shù)據(jù)，對該段數(shù)據(jù)進(jìn)行分析之后可以關(guān)聯(lián)到特定的自然人；所謂識(shí)別路徑，是指可直接識(shí)別出特定自然人的信息，如手機(jī)號(hào)碼、身份證號(hào)碼和其他證件號(hào)碼等。
以微信、微博和人人網(wǎng)等社交網(wǎng)站為例，在《規(guī)范》出臺(tái)之前，其只將包含用戶識(shí)別路徑下的信息加以保護(hù)，而將用戶關(guān)聯(lián)路徑下的個(gè)人信息作為網(wǎng)絡(luò)運(yùn)行日志保存而非個(gè)人信息對待，這種做法在《規(guī)范》的指引下得到了糾正。
《規(guī)范》還要求規(guī)模在200人以上，或處理超過50萬人的個(gè)人信息的企業(yè)設(shè)立專職負(fù)責(zé)人和部門管理個(gè)人信息的保護(hù)問題。按此標(biāo)準(zhǔn)，零售業(yè)巨頭阿里巴巴、京東以及社交領(lǐng)域的微信、微博和QQ無一例外都需建立這一部門。根據(jù)《中國經(jīng)濟(jì)周刊》記者的了解，屬醫(yī)療行業(yè)的丁香園在2018年初已將該負(fù)責(zé)人部署到位，零售巨頭京東和屬網(wǎng)絡(luò)安全領(lǐng)域的360集團(tuán)早年間就設(shè)立了類似的部門。
《個(gè)人信息保護(hù)法》是否會(huì)沿用《規(guī)范》當(dāng)中的內(nèi)容？抑或與時(shí)俱進(jìn)地做出調(diào)整？楊東對《中國經(jīng)濟(jì)周刊》記者表示，與《個(gè)人信息保護(hù)法》相比，《規(guī)范》更傾向于是對從業(yè)者的一種業(yè)務(wù)層面的“建議”，“不一定所有內(nèi)容都會(huì)進(jìn)入法律，法律也沒有必要過分具體地落地到業(yè)務(wù)操作層面的規(guī)定。但《規(guī)范》中一些十分成熟的條文很有可能被法律吸收進(jìn)來?！睏顤|說。
