后網絡安全時代個人隱私保護難題

文 《法人》記者 肖岳

在互聯網浪潮和大數據時代下，以《網絡安全法》為代表的相關法律法規不斷出臺與落地，為用戶與企業的合法權益保駕護航，但基于技術的不斷迭代更新，用戶信息安全的保護往往需要監管部門、企業和用戶自身共同維護，三方缺一不可

從“支付寶年度賬單事件”，到百度因涉嫌侵害消費者個人信息安全被江蘇省消保委起訴，再到工信部因用戶隱私問題約談百度、支付寶和今日頭條。新年伊始，“信息安全”這個本就不陌生的話題，又多次出現在公眾的視野中。

在此之前，有網民在中國政府網上留言稱：“在網絡平臺、手機APP注冊賬號后，由于很少使用或以后不會再使用，想把自己的賬戶注銷，但卻發現根本無法注銷。”

而根據《中華人民共和國網絡安全法》第四十三條規定：個人發現網絡運營者違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的，有權要求網絡運營者刪除其個人信息。此類被強制的案例很快引起監管部門的注意，工信部就此事回應稱，根據《電信和互聯網用戶個人信息保護規定》（工業和信息化部令第24號）第九款第四款規定：“電信業務經營者、互聯網信息服務提供者在用戶終止使用電信服務或者互聯網信息服務后，應當停止對用戶個人信息的收集和使用，并為用戶提供注銷號碼或賬號的服務。”

在有法可依的情況下，用戶權益仍被如此侵犯，可見互聯網個人隱私保護任重道遠。

應用越界獲取用戶信息成新常態

2017年12月11日，江蘇省消費者權益保護委員會（以下簡稱“江蘇消保委”）對北京百度網訊科技有限公司違法獲取用戶信息權限及相關問題，提起消費民事公益訴訟。.2018年1月2日，南京市中級人民法院對此正式立案，隨后江蘇省消保委于1月5日進行了案件情況通報。

早在2017年7月，江蘇省消保委就曾對涉及購買類、閱讀類、支付類、旅游類等服務領域，并有一定代表性的27家手機App開發企業進行調查，發現普遍存在侵犯消費者個人信息安全的問題。

本土搜索巨頭百度位列其中，7月4日，江蘇省消保委就手機App侵犯個人信息安全問題向百度公司發送《關于手機應用程序獲取權限問題的調查函》，要求其就旗下“手機百度”“百度瀏覽器”兩款手機App存在的相關問題派員前來接受約談。

江蘇省消保委稱，在多次催促、監督下，2017年11月百度公司接受約談，但對于“手機百度”“百度瀏覽器”中“監聽電話”“讀取短彩信”“讀取聯系人”等涉及消費者個人信息安全的相關權限拒不整改，也沒有明確措施提示消費者App所申請獲取權限的目的、方式和范圍并供消費者選擇。

基于此，江蘇消保委根據《消費者權益保護法》《網絡安全法》《江蘇省消費者權益保護條例》相關規定，依法向南京市中級人民法院提起訴訟，請求法院依法判令北京百度網訊科技有限公司停止其相關侵權行為。

百度隨后就被起訴一事向媒體做出回應，百度指出：“已經獲悉江蘇省消費者權益保護委員會提起訴訟一事。在保護公民個人信息方面，百度與消保委‘立場和根本出發點是一致的’。在過去幾個月間，百度與江蘇省消保委就手機應用產品的隱私保護和用戶權限管理機制問題，進行了多輪溝通，對江蘇消保委方面的疑問進行了說明和澄清。”

對于被指監聽電話一事，百度則回應稱“旗下手機應用‘沒有能力、也從來不會’申請這一權限”。

中國電子商務協會調解中心副主任喬聰軍在接受《法人》記者采訪時表示，首先從盡職盡責上，江蘇消保委代表用戶和消費者對百度提起公益訴訟值得肯定，雖然保護消費者權益是消保委的主要職責，但也并不是每個消保委都會積極地幫助消費者維權。

其次，江蘇消保委的介入也使得案件無論后續結果如何，都會產生更廣泛的法律效力，企業可以從中反思自身合規問題，同時也使得用戶或消費者的權益得到保障。

喬聰軍指出，在人們生活中，用戶基于使用需要，對下載的部分App中的一些約定或權限，往往都會選擇同意。但有些App對于一些權限的獲取與其所提供的正常服務并非必要關系。另外，往往同一款App，安卓系統用戶被獲取的權限高于蘋果系統用戶。

“其實關于App過度獲取用戶個人信息的問題，無論是媒體還是研究機構，對此早就有過探討。”喬聰軍告訴《法人》記者。

“和過去的個人信息保護相比，現在的情況也有些許不同。”互聯網觀察家郭濤在接受《法人》記者采訪時表示，在過去，可能用戶個人信息的獲取途徑僅僅局限于用戶注冊和使用一些App時，自己主動所填充的信息，但現在更多的是對于權限的過度獲取。

艾媒咨詢集團CEO張毅則指出，應用過度獲取用戶權限目前并不少見，可能安裝個新聞客戶端，都要獲取你的諸多權限，并不僅局限于你登錄的手機號和地理位置等信息。而這些獲取是否有必要，目前并沒有一個明確的說法和規則與之對應。

技術升級使個人信息保護捉襟見肘

無獨有偶，江蘇消保委對百度提起公益訴訟后，“支付寶年度賬單事件”再次使用戶個人信息保護這一話題備受關注。

事情起源于刷爆朋友圈的2017支付寶年度賬單，當用戶打開賬單時，包括用戶的全年總消費額、芝麻分、線下支付次數等信息都可呈現在用戶面前。

而在賬單首頁的一行小字引起了一位律師的注意，他直指其中問題，由于“我同意《芝麻服務協議》”一行字號較小，且這一選項是被默認為“同意”，使得用戶在未注意到選項的情況下，便會直接同意協議，而根據該《芝麻服務協議》的規定，此舉意味著用戶同意其向第三方收集并在適用的法律法規許可范圍內向信息的使用者提供這些信息，已經充分理解并知曉這些信息被提供和使用的風險，包括但不限于……該等信息被本公司提供給第三方后被他人不當利用的風險、因您的信用狀況較好而造成您被第三方推銷產品或服務等打擾的風險。

該事件發酵后，支付寶表示道歉，并稱這個做法“肯定是錯了”。

喬聰軍在接受《法人》記者采訪時表示，基于大數據時代的到來，以及物聯網等新的技術浪潮的涌現，數據所承載的內容和作用也越發重要。可能支付寶賬單此次事件并沒有實際對用戶產生多嚴重的危害，但在個人信息與數據泄露頻發的當下，一個個鮮活的案例都在告誡人們，信息泄露所能引發的風險并非小事。

喬聰軍指出，隨著技術的發展，可能服務商的有些行為是出于好意，本意是為了使用戶獲得更好的使用體驗和提升自身服務水平，但有些時候如何去把握一個“度”也并非易事。比如通過購物平臺搜索商品，可能之后會在打開網頁時看到跟用戶搜索過的商品有關的產品推薦，當然這方便了用戶，但同時由于用戶所需不同，有些涉及隱私或用戶不愿意被別人看到的商品搜索記錄也會被推薦，當然總體來說肯定還是方便了用戶的。

喬聰軍同時表示，技術的發展和應用多樣化，對于用戶個人信息的保護也提出了更高的要求，以往用戶個人信息泄露較好推斷泄露渠道，從而倒查企業，但隨著技術發展，往往幾個無關緊要的信息，可能就會勾勒出用戶的一些信息全貌，這使得用戶被侵權后，往往權責問題更難劃分清楚。

喬聰軍強調，對用戶而言，企業或應用商還是應當盡到告知義務，尊重用戶的選擇權和知情權，這樣用戶才會對產品和企業更加信賴。

中研普華研究員譚小龍在接受《法人》記者采訪時則表示，大數據時代下，隨著新技術的發展，通過大數據的分析和利用，企業可以分析市場整體的情況，有助于企業對公司產品的確定以及戰略的定位提供數據的支撐，同時基于大數據具有海量數據規模、快速數據搜尋與流動等特征，企業通過布局大數據戰略可以明顯地提高企業利潤等。

這些都是技術進步為企業帶來的好處，但從另一方面而言，大數據的爆發、較多企業的入局，也使得行業發展良莠不齊，同時數據的安全性亦無法保障。

“也因此在大數據時代下，個人隱私保護可以說是十分艱難的。”譚小龍補充道，隨著網購越來越普及，互聯網越來越深入人心，在網購的過程中留下的個人信息，以及在瀏覽免費網址時留下的個人信息，都無法完全清除掉。而這些留下的信息中，有些可以得出個人的喜好，如果后續被別有用心的人利用，極有可能造成風險。

張毅在接受《法人》記者采訪時則表示，其實大數據等只是影響個人信息安全的一個因素，但最主要的還是要服務商和運營商落實好相應的責任，比如在用戶授權中詳細注明獲取哪些權限，并在顯著位置標注等，從源頭做好用戶信息安全的防護。

信息使用及存儲監管困局

隨著大數據的發展，對于其應用與監管，國內現有的法規往往很難做到面面俱到。除了需要在相應的法規下陸續出臺相應的細則外，作為收集、儲存和使用大數據重要環節的企業，同樣不容忽視。

基于互聯網技術的發展，每個用戶通過各個途徑每天都勢必會產生大量的數據，而這些數據涵蓋飲食、出行、消費等方方面面，想要從個人角度憑一己之力來拒絕個人信息被獲取往往很難。

喬聰軍在接受《法人》記者采訪時表示，雖然《網絡安全法》對于規范網絡空間安全秩序和保障個人信息安全起到了重要的意義，但有些情況下仍需后續出臺細則來配套。比如《網絡安全法》第四十一條規定，“網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意；網絡運營者不得收集與其提供的服務無關的個人信息，不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息，并應當依照法律、行政法規的規定和與用戶的約定，處理其保存的個人信息。”

但現實生活中，有些時候用戶的確是看到了用戶協議，但如果不同意，可能就無法使用該應用。另外，在對于數據和信息的存儲等方面，主要還是以企業自律和行業自律為主，當然行業里的從業者更了解技術的應用及防護，這本無可厚非，但仍需要相關的規則出臺來輔佐行業的發展，當然從相關部門的一些決策上也能看到，都是致力于個人信息保護的。

“2017年12月初，最高人民檢察院偵查監督廳有關負責人曾指出，對電信網絡詐騙犯罪堅持做到“三個一律”：一律依法快捕快訴；一律組成專班集中辦理；對重點整治地區，一律加大源頭治理和綜合治理的力度。”喬聰軍說道，這些無論是政策或是決定的落實，對于促進行業健康發展，打擊侵犯用戶個人信息起到了至關重要的作用。

譚小龍則指出，從大數據技術而言，依靠使用大數據收集個人信息的企業自律，對于保護用戶個人信息安全肯定是遠遠不夠的，還需要統一的標準與監管來對市場進行規范。否則由于技術漏洞或市場不規范所導致的個人信息安全泄露風險將加大，同時也難免會有一些居心叵測的企業利用技術謀取暴利，甚至從事犯罪活動。

“與歐美國家相較而言，國內對于個人隱私保護相關的法律是有的，但具體的措施較少，包括像行業自律其實也是很薄弱的。”郭濤指出，在《網絡安全法》的框架下，怎樣做到違法必究也是有待探討的問題。

張毅同時指出，在《網絡安全法》下，除了具體細則需要進一步完善和落地，事后的懲戒措施也應更加明確。

界定與落實仍需細則配套

自2017年6月1日《網絡安全法》正式施行，這也是作為規范網絡空間安全秩序的基礎性法律，與此幾乎同步施行的還有最高人民法院和最高人民檢察院發布的《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》等，甚至在《民法總則》第127條中指出“法律對數據、網絡虛擬財產的保護有規定的，依照其規定”。這也使得數據是一種受到法律保護的財產形態得到了明確，可以說國內目前對于個人信息和隱私保護的法律體系已初步完善。

喬聰軍在接受《法人》記者采訪時表示，雖然無論從國家層面還是立法層面，對于個人信息保護的舉措多有建樹，但往往較為分散，這也就導致具體到社會的實際生活中往往存在千差萬別。多種情況往往難以被一一細化地加以規定，這就需要一部專門的、綜合的保護個人信息的法律出臺，將企業等侵犯個人隱私事件發生后的民事、刑事、行政處罰綜合起來。

“目前有些情況就較難以判斷是否侵權。”喬聰軍說道，比如有些資訊類App在用戶安裝時會獲取用戶的相機權限，這是否算是對于用戶信息的過度獲取，但如果該App辯稱后續將拓展一些用戶自行錄制的新聞“小視頻”功能，是否還算過度獲取用戶信息呢，這恐怕很難界定。

在《網絡安全法》下，除了具體細則需要進一步完善和落地，事后的懲戒措施也應更加明確

譚小龍則在接受《法人》記者采訪時指出，雖然《網絡安全法》第一條就指出“為了保障網絡安全，維護網絡空間主權和國家安全、社會公共利益，保護公民、法人和其他組織的合法權益，促進經濟社會信息化健康發展，制定本法”，但隨著技術的更迭頻率較高，今后仍需有細則結合市場發展出臺，從而完善個人信息保護。

“我覺得一方面是法規和細則的不斷細化與落地，另一方面從用戶自身也要提高信息保護意識。”郭濤指出，對用戶而言，其實更多的情況下在使用應用或安裝應用時并不會過于仔細地看用戶協議，同時對于其中一些術語可能也未必明白含義。

這也僅僅是基于這些應用是大企業開發的，相對而言，對于用戶信息獲取等方面還是可靠的。但有些小的應用開發者，則極有可能為了獲取用戶隱私權限不擇手段，因此用戶在安裝和使用應用前，對于用戶協議等要養成留意觀察的習慣，培養自身對于隱私數據保護的習慣。

雖然對于用戶信息保護的方式難以窮盡，但用戶的知情權和選擇權是最重要也是最核心的

用戶知情權與選擇權更應重視

“我能有什么辦法呢？”互聯網用戶小王無奈的向《法人》記者說道，有些App比如打車軟件或者送餐軟件，獲取用戶的地理位置都很正常，但是有些新聞客戶端甚至要獲取用戶的錄音甚至相機權限，這就有些讓人難以理解了，但如果拒絕往往App都不能使用。

喬聰軍指出，其實除了這些問題，用戶協議被弱化也是最為頻發的問題。在很多互聯網應用產品的用戶協議中，可能洋洋灑灑幾千甚至上萬字，對用戶而言，即便是真的注意到了用戶協議，也未必會有耐心去讀完全部條文。另外，用戶也不可能都像法律專業人員一樣去逐條分析其中原委。就像此次“支付寶賬單”這一事件，最開始公開問題的是北京市岳成律師事務所的岳山律師，普通用戶則很難有這樣的意識。

“我認為應用提供方應該將用戶協議比較核心的內容進行簡要概括，或對重要部分進行標注呈現給用戶。”喬聰軍說道，因為用戶協議也是用戶與應用提供方發生糾紛時解決問題的憑證，所以也應對用戶提供更清晰的告知義務。目前很多應用存在弱化用戶協議的問題，隨著國家層面對于個人信息保護的關注度和保護措施的加強完善，用戶協議問題也應得到更多重視。

喬聰軍最后建議，雖然對于用戶信息保護的方式難以窮盡，但用戶的知情權和選擇權是最重要也是最核心的，這也應依靠法律法規的不斷細化完善、行業和企業提高自律以及用戶自身對于信息安全意識的提高，完全依賴其中任何一方都會使信息保護捉襟見肘。

譚小龍在接受《法人》記者采訪時也表示，很多客戶在使用App的過程中，往往對于服務協議覺得很煩瑣，覺得不了解也沒有什么影響，法律意識相對較為淡薄，后續應當有相應的細則來約束企業在App產品的固定或醒目位置標注用戶服務協議，明確雙方責任。

“或者可以在用戶登錄軟件時，為用戶協議設定一個固定的強制用戶閱讀的時間，比如10S等，而只有過了這段時間，用戶才能登錄。”郭濤指出，這樣可以盡量避免用戶協議被弱化等問題。

“我覺得就像金融產品的廣告都會標注‘投資有風險’等字樣，其實近期頻發的圍繞用戶信息安全的這些事件，也從側面反映出了人們的安全意思不斷提高，同時也看到了有關部門代表消費者進行維權，體現出了盡職盡責。”張毅最后說道。