大數據時代APP用戶個人信息保護的困境和解決對策

武煜熹 安小米

摘? ?要：大數據時代用戶個人信息安全所承擔的風險是前所未有的。近年來，隨著互聯網+各種服務應用的普及，APP已經逐漸成為個人信息安全問題頻發的重災區。通過對APP用戶個人信息安全保護現狀進行分析，發現其正面臨著諸多困境，其中包括APP隱私政策編寫要素的規范問題、違規違法收集行為的有效監督問題以及APP運營者責任意識的淡薄問題。為了更好地保護用戶個人信息安全，在規范問題上，建議構建一套完整的APP隱私政策合規審查操作指南;在監督問題上，建議采取政府監管、行業自治和用戶檢舉三者相結合的制度健全機制;最后在APP運營者責任意識薄弱問題上，建議應強化“信息地位對等”“用戶個人信息權”等觀念。

關鍵詞：大數據;個人信息保護;個人信息安全;解決對策;APP

中圖分類號： TP309? ? ? ? ? 文獻標識碼：A

1 引言

大數據時代下，隨著網絡高新技術的快速發展，信息的獲取和傳遞等行為變得比以往都更加容易。與此同時，近年來，隨著智能手機的普及，各類各樣的手機APP層出不窮。根據2020年中國互聯網絡信息中心發布的《中國互聯網絡發展狀況統計報告》數據顯示，目前出現在中國市場上的APP總數已超過350余萬種。不管是在生活、購物、教育、娛樂、交通、通訊、新聞等方面，這些APP的出現都極大地為人們的日常生活提供了便利。然而，人們在享受著這些APP所帶給便利的同時，也在不斷地承受著由它們所帶來的個人信息泄露的風險[4，5]。

2018年中國消費者協會所發布的《APP泄露情況調查報告》顯示，有超過85%的手機APP用戶認為自身的個人信息遭受到了泄露威脅。除此之外，過度索取用戶授權、非法收集儲存用戶個人信息、在隱私政策中設置“霸王條款”等手段仍然被作為某些APP侵害用戶個人信息的主要行為正在不斷上演[1]。而這也使得智能手機APP成為了違規違法泄露用戶個人信息的重災區。2019年為進一步監督管理APP收集使用用戶個人信息的行為，國家相關部門特別制定了《APP違法違規收集使用個人信息行為認定辦法》[13]，進一步規范了APP收集使用用戶個人信息的行為，為實際監督管理工作提供了強有力的法律依據。然而，在2020年新型冠狀肺炎疫情期間，又有一批APP借助“數字防疫”的由頭，違規違法收集使用用戶的個人信息造成了個人信息泄露、濫用等問題。

面對這種境況，反思研究如何改進監督管理APP收集使用用戶的個人信息行為，如何避免出現用戶個人信息“裸奔”現象十分必要。為此，本文首先探究了APP用戶個人信息保護的困境，然后提出了破解困境的對策。

2 用戶個人信息保護面臨的困境

2.1 APP隱私政策編寫要素有待規范

雖然早在2010年前后國家就出臺了相關的法律法規以及國家標準，如《中華人民共和國網絡安全法》[11]《互聯網個人信息安全保護指南》[12]《GB/T 35273-2017， 信息安全技術 個人信息安全規范》[9]《GB/T 35274-2017， 信息安全技術 大數據服務安全能力要求》[10]和《GB/T 37964-2019 信息安全技術 個人信息去標識化指南》[14]等對個人信息以及個人信息保護提出了明確的規定，并對APP隱私政策的編寫提出了要求，但是由于缺少專門針對APP隱私政策編寫要素的規范以及一套適用于APP隱私政策合規審查的操作指南，實踐中APP運營違規違法收集使用用戶個人信息的情況不斷發生[2]。同時，由于APP隱私政策的篇幅比較長、內容比較枯燥，會有不少用戶并不會對其進行仔細閱讀和研究，APP運營者一般會將涉及用戶個人信息收集及其使用的條款隱藏在其中，并以此獲得用戶準許收集個人信息的授權。此外，部分APP甚至會使用“霸王條款”，即用戶要想獲得其服務必須無條件允許其對自身個人信息進行收集和使用[3]。這些也使得APP隱私政策從保護用戶個人信息的“安全協議”逐漸淪為了APP運營者謀取自身利益、不斷過度索取用戶個人信息的“賣身契”。而現有的關于APP用戶個人信息保護的政策建議，大多局限于用戶本身或者政府，對APP隱私政策的政策建議尚屬少數，尤其是對其合規性的研究關注較少。

2.2 違規違法收集行為監督有待加強

雖然《APP違法違規收集使用個人信息行為認定方法》中已經對APP收集使用用戶個人信息行為進行了認定并精細劃分為了六種違規違法行為，強化了監督執法過程中的可操作性，但是違規違法收集使用用戶個人信息的行為并沒有因此得到減少。究其原因來看，政府對APP收集使用用戶個人信息行為的監督管理力度不夠，還需要來自多方的監督。

2.3 個人信息保護責任意識仍有待加強

近年來，關于APP違規違法收集使用用戶個人信息的報道此起彼伏，例如Facebook信息泄露、數據堂違規違法收集使用百億條用戶個人信息、新三板掛牌公司竊取30億條用戶個人信息、華住酒店5億條用戶個人信息被違規違法收集使用并在暗網中標價銷售等，在2020年新冠肺炎疫情期間，又爆出個別APP利用疫情防控二維碼違規違法收集使用6，000余用戶的個人信息并進行泄露的問題。這些報道一方面說明APP違規違法收集使用用戶個人信息行為是普遍性問題，另外一方面也說明APP運營者責任意識淡薄。

即使國家相繼發布了一系列的國家標準用于進一步明確責任主體和強化個人信息保護意識，例如在國家標準《GB/T 35273-2017信息安全技術 個人信息安全規范》[9]和最新發布即將完全替代前者的《GB/T 35273-2020信息安全技術 個人信息安全規范》[6]中均對責任部門與人員進行了明確，而后者也在前者基礎之上對多項業務功能的許可選擇、用戶畫像的使用規則、第三方接入管理、個人信息安全工程和個人信息處理活動記錄等進行了再規定并從多方面對企業應當承擔的義務和責任進行了解讀，但是仍然有許多企業尚未完成責任主體上的轉換和思想意識上的認知。

其主要原因是，雖然法律中已經將概不履行信息網絡安全管理義務列入了違法犯罪行為，因為不主動承擔或者違背信息網絡安全管理義務的行為難以認定，且定罪的條件是在被有關部門要求整改的前提下仍未進行整改而發生重大事故。假如在沒有被有關部門要求整改時即使發生了用戶個人信息安全問題也不會受到相應的懲罰。

因此，這也使得更多的APP運營者選擇逃避應當承擔的義務和責任，鋌而走險違規違法收集使用用戶的個人信息并利用這些個人信息獲取非法利益。

3 用戶個人信息保護相關問題的解決對策

3.1增強相關政策及法律法規的可操作性，加強精細化管理

當前，雖然有一系列相關的政策及法律法規，對個人信息保護和APP違規違法收集使用用戶個人信息的行為進行了規定及認定，但在具體的監管和處罰的可操作性規范上仍然有待加強。例如，數據留存方面，缺少針對數據留存期限和數據留存地域的具體規定。因此，進一步精細化相關的條例條款，尤其是對APP隱私政策編寫要素的規范和對其合規性的審查，對于增強實施監管和處罰的可操作性十分必要[7，8]。

構建一套APP隱私政策合規審查操作指南用于APP隱私政策的合規性審查顯得尤為重要。而在APP隱私政策合規審查操作指南的構建過程中，可以依據與APP隱私政策相關的代表性法律法規及政策、國家標準，利用文獻研究的方法通過對其進行編碼、提取和聚類，提出APP隱私政策的合規指標。此外，也可以通過使用比較分析法和層次分析法將擬定好的APP隱私政策的合規指標在相關的代表性法律法規及政策、國家標準中進行統計分析，同時利用專家訪談等方式，并在兩者的基礎之上通過對合規指標進行重要性比較，完成合規審查指標的權重劃分。最后，通過選擇合適的APP隱私政策合規指標體系檢驗樣本對其科學性、實用性和可行性進行檢驗，由此可得出一套用于協助APP隱私政策合規審查的指標體系并以此作為評判其行為是否合規的操作指南。

綜上，建議不斷完善相關法律法規及政策和標準，進一步細化個人信息保護相關的條例條款，自上而下形成主動負責、主動保護、主動維護用戶的個人信息的良好環境。

3.2 多方面合作，政府監管、行業自治、用戶檢舉多舉并行

從當前APP用戶個人信息保護所呈現出來的問題來看，仍然存在相當一部分企業并未充分認識到自身在收集使用用戶個人信息過程中應該承擔的責任和扮演的角色，更沒有形成“責任主體”這一重要意識。

考慮到大數據時代，數以百萬級的企業或運營者數量，以及海量的用戶，針對APP收集使用用戶個人信息行為的監管工作面臨著巨大的挑戰。這些挑戰一方面對政府監管工作提出了新的要求，包括新的技術要求、新的操作要求等，另外一方面更是對監管工作模式轉型提出了迫切需求。

為應對這些挑戰，可以打破傳統的監管工作模式，融合綜合集成的思維和方法逐步建立起新的監管工作模式。具體思路是多方面合作，跨部門、跨領域、跨層級全方位開展監管工作，逐步推動“政府主監管、行業內自治、用戶共檢舉”生態環境的形成。在監管工作當中除了不可或缺的政府日常監管之外，也同樣需要企業或運營者自身的行為規范。例如，荷蘭通過各個行業協會發布各個行業內的信息行為規范，在避免政府直接監管導致信息不對稱問題的同時，也使得企業或運營者能夠承擔起相應的責任和義務。雖然在這種模式下行業內的行為規范是由政府批準后發布的，但是仍然無法避免出現“監守自盜”的現象。所以在這一過程當中需要用戶群體的共同參與，并賦予用戶群體一定的“檢舉權”來補充和完善整個監管工作。

3.3 強化運營者責任意義，倡導“信息地位對等”

目前，僅有少數APP隱私政策含有責任條款，這說明企業或運營者有關責任和義務的落實并不夠到位，這同樣也是企業或運營者在個人信息收集使用方面“地位不平等”的體現，在“應急安全事件”和“敏感信息提示”方面，用戶弱勢地位更為突出。由于絕大多數的企業或運營者以“買者自負”的原則與用戶進行著所謂“公平的信息交易”。而這種不對等現象產生的主要原因在于兩方面，一方面是用戶本身對企業或運營者所提供服務的需求較大以至于不得不接受企業或運營者提供的“不平等條約”，另外一方面是企業或運營者們普遍具有的“霸權意識”。由此，需要樹立并強化“運營者與用戶信息地位對等”的觀念，需要培養公民的個人信息保護意識，提高運營者的責任意識。

4 結束語

隨著網絡信息技術的快速發展和大數據技術的廣泛應用，APP用戶個人信息的安全保護越來越重要。本文提出了針對性的對策建議：首先，需要增強相關政策及法律法規的可操作性，加強精細化管理，尤其是對APP隱私政策編寫要素的規范和對其合規性的審查，可以構建一套APP隱私政策合規審查指標體系用于APP隱私政策的合規性審查并以此作為評判其行為是否合規的操作指南;其次，可以多方面協作，推動政府監管、行業自治、用戶檢舉監管工作新模式;最后，需要強化“運營者與用戶信息地位對等”觀念，倡導“信息地位對等”。

參考文獻

[1] 林凌，李昭熠.個人信息保護雙軌機制：歐盟《通用數據保護條例》的立法啟示[J].新聞大學，2019（12）：1-15+118.

[2] 付少雄，趙安琪.健康APP用戶隱私保護政策調查分析—以《信息安全技術? 個人信息安全規范》為框架[J].圖書館論壇，2019，39（12）：109-118.

[3] 李寧，李衛東.移動閱讀APP用戶個人信息安全研究—基于10款移動閱讀APP的調查分析[J].圖書館學研究， 2019（21）：48-56.

[4] 于世梁.APP收集使用個人信息亂象及其治理[J].湖北行政學院學報，2019（05）：33-37.

[5] 秦博陽，靳文京.APP個人信息安全現狀及解決思路[J].保密科學技術，2019（10）：12-15.

[6] GB/T 35273-2020， 信息安全技術 個人信息安全規范[S].

[7] 江麗.關于APP收集個人信息實務及規范研究[J].北京航空航天大學學報（社會科學版），2019，32（04）：7-12.

[8] 孟霞，岳鵬宇.移動終端APP隱私政策內容分析[J].山西師大學報（社會科學版），2018，45（06）：47-54.

[9] GB/T 35273-2017.信息安全技術 個人信息安全規范[S].

[10] GB/T 35274-2017.信息安全技術 大數據服務安全能力要求[S].

[11] 全國人民代表大會常務委員會.中華人民共和國網絡安全法[Z].2016-11-07.

[12] 公安部網絡安全保衛局、北京網絡行業協會、公安部第三研究所.互聯網個人信息安全保護指南[Z].2019-04-10.

[13] 國家互聯網信息辦公室、工業和信息化部、公安部、市場監管總局.APP違法違規收集使用個人信息行為認定方法[Z].2019-11-28.

[14] GB/T 37964-2019.信息安全技術 個人信息去標識化指南[S].

作者簡介：

武煜熹（2000-），男，漢族，河南周口人，中國人民大學信息資源管理學院，本科;主要研究方向和關注領域：信息資源管理、個人信息保護、隱私保護。

安小米（1965-），女，彝族，云南昭通人，英國利物浦大學，博士，中國人民大學，教授;主要研究方向和關注領域：信息資源管理、知識管理與數據治理。