謹防個人信息泄露新陷阱

■鐘濤

就在五四青年節當天，天天P圖通過引入幾個民國范的頭像模板，推出了“我的前世青年照——百年前的你竟然長這樣”迅速引爆微信朋友圈。目前，天天P圖已經收集8 000多萬張用戶照片。其實，每逢一些特殊節日，都會有一些第三方應用以性格測試、人品調查等各種“應景”的方式有意無意地搜集用戶信息。

對此，國內電商智庫——電子商務研究中心針對本熱點話題中反映的問題提出以下點評。

問題一：天天P圖收集用戶照片，是否適當、合法？

1.對此，電子商務研究中心法律權益部助理分析師賈路路認為，互聯網公司收集和使用用戶的個人信息，要建立在用戶授權同意的前提下。

天天P圖收集了用戶照片，同時也收集了照片中的時間、位置等信息，能夠對用戶進行迅速定位，你的家在哪里，公司在哪里，五一節放假去哪個地方等等；而且照片中還可能會攜帶手機信息，比如你是用的高檔手機，可能會被用來大數據營銷，被不法分子利用還可能會用來詐騙等。

根據《網絡安全法》第四十一條規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。用戶有權知道，天天P圖收集了我們照片中哪些信息，收集的目的，以及使用的方式和范圍。而且，就在5月1日剛剛生效的推薦性國家標準《信息安全技術個人信息安全規范》也規定，收集個人信息時需要得到用戶授權同意，而且收集的如果是個人敏感信息，還需明示同意。然而天天P圖收集個人用戶照片時，并沒有任何個人信息授權的提示，顯然違反了法律的相關規定。早前的微信朋友圈“星座性格測試”也涉及盜取用戶個人信息，泄露人數也達千萬，但隨即引起騰訊封殺。或許，天天P圖會面臨相似命運。

2.對此，河北社科院法學研究所劉勇博士認為，天天P圖應筑牢用戶個人信息保護的“安全堤”，遵循合法、正當、必要的原則收集、使用用戶個人信息。

天天P圖在提供該產品時，并未主動向用戶展示其隱私條款，用戶無法閱讀、了解其收集、使用用戶個人信息的目的、方式和范圍，且在獲取用戶信息時未征求和取得用戶的明確授權，涉嫌違反《國家網絡安全法》第二十二條和《消費者權益保護法》第二十九條等規定。

天天P圖應筑牢用戶個人信息保護的“安全堤”，遵循合法、正當、必要的原則收集、使用用戶個人信息，建立健全用戶個人信息安全內控機制，采取一切合理可行的措施，保護用戶個人信息。

3.對此，浙江墾丁律師事務所聯合創始人律師麻策表示:建議相關主管部門應當加以嚴厲查處。

我國網絡安全法規定收集、使用個人信息時應當公開收集、使用規則并經被收集者同意。而朋友圈一再出現的上傳照片生成匹配畫像的模式，很多都只是讓用戶直接上傳照片，卻沒有向這些用戶事先說明收集照片的業務合法性，甚至該類工具會直接調用用戶微信昵稱、姓名、頭像等內容，從而生成比對照片。另外，這些工具也沒有說明上傳照片日后的用途，而事實上這些海量照片會成為這些工具的圖片庫，以作進一步的數據畫像。這些不事先公開收集規則并獲用戶同意的營銷方式其實是嚴重違反個人信息保護的相關規定的，也無法保護用戶日后對于該類照片信息的刪除、撤回等權利，建議相關主管部門應當加以嚴厲查處。

目前有很多互聯網公司為吸粉，采取互動游戲，個性分析，H5頁面、答題、調查、拼團、一元購等方式，攫取用戶個人信息，但沒有對用戶提示個人信息已被收集以及日后數據使用規則，如果收集的信息可形成用戶數據畫像并指向可識別對象，可能構成非法收集信息行為。麻律師個人揣測該類營銷的本意是為了推廣而不是詐騙。關鍵是這類公司一般都是初創公司（這類公司才需要大量吸粉），而他們本身不具備數據安全意識和技術配備，一旦數據泄漏被黑后果會非常嚴重，可謂“螳螂補蟬黃雀在后”，這個產業鏈太深了。

麻策提醒廣大用戶網絡服務提供者和其他企業事業單位在業務活動中收集、使用公民個人電子信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意，不得違反法律、法規的規定和雙方的約定收集、使用信息。網絡服務提供者和其他企業事業單位收集、使用公民個人電子信息，應當公開其收集、使用規則。

4.對此，上海漢盛律師事務所高級合伙人李旻律師曾發表意見，企業收集個人信息的行為，要遵守《網絡安全法》。

《網絡安全法》在如何更好地對個人信息進行保護這一問題上有了相當大的突破。它確立了網絡運營者在收集、使用個人信息過程中的合法、正當、必要原則。形式上，進一步要求通過公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，經被收集者同意后方可收集和使用數據。《網絡安全法》加大了對網絡詐騙等不法行為的打擊力度，特別對網絡詐騙嚴厲打擊的相關內容，切中了個人信息泄露亂象的要害，充分體現了保護公民合法權利的立法原則。

問題二：天天P圖使用用戶信息時，需要注意什么？

1.賈路路認為，如果天天P圖不具備保密的能力，那么他就沒有資格收集用戶的信息。

根據《網絡安全法》第四十條規定，網絡運營者應當對其收集的用戶信息嚴格保密，并建立健全用戶信息保護制度。用戶有權知道，天天P圖對收集的個人信息采取了哪些保密措施，如果天天P圖不具備保密的能力，那么他就沒有資格收集用戶的信息。

2.上海信本律師事務所主任高興發認為，從規范、合法運行的角度，我們善意提示并建議服務商依法改進。

根據《全國人民代表大會常務委員會關于加強網絡信息保護的決定》第二條規定：網絡服務提供者和其他企業事業單位在業務活動中收集、使用公民個人電子信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意，不得違反法律、法規的規定和雙方的約定收集、使用信息。網絡服務提供者和其他企業事業單位收集、使用公民個人電子信息，應當公開其收集、使用規則。《民法總則》第一百一十一條規定：自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。

在用戶體驗天天P圖“我的前世青年照”過程中，服務商會收集到用戶的照片以及照片中的時間、位置等信息，但是在此鏈接上并沒有公開信息收集、使用原則，沒有明示收集、使用信息的目的、方式和范圍，亦未經被收集者同意，違反了信息收集應當遵守的合法、正當、必要原則，不利于用戶個人信息安全，與上述法律規定相悖，也不符合網絡服務提供者在收集、使用用戶信息時應遵循的規定。從規范、合法運行的角度，我們善意提示并建議服務商依法改進。

問題三：用戶在提供個人信息時，應該注意什么？

上海安全協會專委會副主任張威曾發表觀點認為：互聯網沒有“刪除鍵”，用戶需提高防范意識。

現在對于社交網絡的個人信息獲取確實比較泛濫，利用人性的弱點實現一些不道德的目的，很多人也因此上當受騙，這種危害廣大網民了解較少，從而不太注意，防范意識比較差。我們研究的黑客或者黑產（黑色產業），這些人形容現在的網民都叫做“肉雞”，可以向稻子一樣收割……2015年，騰訊微信就發布過《微信公眾平臺關于禁止發布簽類測試信息的公告》，就是為了限制上述那種泛濫的個人信息采集行為。

另外，據電子商務研究中心監測諸多案例獲悉，絕大多數新型的網絡騙術都與個人信息的泄漏有關。

他們或者是充分利用已經竊取到的受害者個人信息實施網絡詐騙，或者就是以受害者的個人信息為網絡詐騙的攻擊目標，個人信息的非法交易也恰恰是造成網絡詐騙犯罪泛濫的根本原因。

另據“電子商務消費糾紛調解平臺”近年來受理的全國數十萬起電商投訴案件大數據表明，包括天貓、淘寶、京東、唯品會、當當網、蘇寧易購、國美在線、1號店等在內的電商平臺，以及窩窩團、美團、大眾點評、百度糯米、攜程、去哪兒、支付寶等在內的生活服務O2O平臺，均屢屢因用戶平臺信息泄露，被盜號灰色產業鏈不法分子頻頻通過“撞庫”方式盜號，造成平臺上賬戶被盜，帶來巨大經濟損失，成為了歷年網購、O2O“重災區”。