齊愛民:重慶大學網絡與大數據戰略研究院院長
許 可:對外經濟貿易大學數字經濟與法律創新研究中心執行主任
阿拉木斯:網規研究中心主任 中國網絡空間安全協會理事
周慧虹:銀行職員
史洪舉:法官
期待公益訴訟承擔起個人信息保護重任
大數據時代,企業采集用戶個人信息的主要目的之一就是基于海量和領域交叉的用戶信息,通過大數據技術對用戶的消費行為進行分析,進而精準匹配投放商業廣告,以達到“一對一”“千人千面”的營銷效果。但在隱私政策缺失或無法真實發揮約束作用的現狀下,通過手機App獲取消費者個人信息使得個人信息泄露風險和相關安全隱患劇增。然而,由于普通消費者和網絡服務提供商之間就個人信息的獲取、利用等存在信息不對稱,加之消費者在維權時經常面臨舉證難困境,這都使得消費者個人主體很難對App違規收集利用個人信息亂象起到遏制作用。
此前,App違規行為已經引起消費者協會和國家有關部門的重視。2017年12月,江蘇省消費者權益保護委員會就百度違法獲取用戶信息權限及相關問題提起消費民事公益訴訟；2018年11月,中消協發布《100款App個人信息收集與隱私政策測評報告》,揭示出個人信息收集情況不容樂觀；今年年初,中央網信辦等四部門又聯合開展App違法違規收集使用個人信息專項治理行動。在這樣的大背景下,今年6月,上海市人民檢察院組織開展了App違法收集個人信息問題的專項調查,并向存在相關違法情形的App開發者發出公益訴訟檢察建議書。
可以說,對消費者個人信息的安全保護,始終面臨著違法成本低與維權成本高的雙重困境。在行政手段之外,針對個人信息保護的根本還在于立法與司法。從立法角度看,諸多手機App開發商、運營者之所以敢于過度收集用戶個人信息,其中部分原因就在于法律不夠健全。目前,我國對公民個人信息權利的保護始終是依附在隱私、網絡安全等領域,尚未形成法定的獨立權利,且大多是概括性、原則性規定,可操作性不強。因此,有必要加快專門立法進程,讓個人信息保護步入法治化軌道。
從司法實踐角度看,由于手機App過度收集用戶個人信息的受害者比較分散,且個人維權成本較高,舉證艱難,極少出現用戶個人提起訴訟維權的情況。在這種情形下,確定最佳的個人信息保護方式和保護主體顯得尤為重要。在寄希望企業自律和個人主體主動維權難以實現的情況下,為確保消費者個人信息的安全無虞,筆者認為由檢察機關提起公益訴訟或許是目前為止最佳的選項。
公益訴訟一般指特定的國家機關、組織和個人根據法律法規的授權,對違反法律,侵犯國家利益、社會公共利益的行為,向法院提起訴訟,由法院追究違法者的法律責任。作為公權力代表的檢察機關針對App違法收集和利用個人信息的行為提起公益訴訟,是一種公益訴訟領域的全新嘗試,將對維護公共利益中的個人信息權利,規范App行業亂象產生積極影響。
第一,樹立法律權威,引起互聯網行業高度重視。以公權力介入民商法違法領域,將極大樹立法律的權威,給App行業違法收集個人信息亂象以強大震懾,既體現出國家對于法律的高度執行力,也能讓互聯網行業予以高度重視,從而進一步推動相關企業主動建立和認真對待消費者個人信息中的合規性制度,有效推進個人信息保護工作。
第二,為行政執法保駕護航,提高執法效率和執行力。國家網信部門在處理違法收集利用個人信息案件時,往往由于處罰力度和執行力度的不足難以真正對違法企業產生實質性影響,以至于不法企業反復出現違法亂象。通過提起公益訴訟的方式,將為后續行政執法提供強大的法律后盾,強化執法效率和執行力。
第三,增加公共利益的維權路徑,強化公民個人信息權利保障。通過檢察機關針對App違法收集個人信息領域提起公益訴訟,有利于解決用戶在互聯網絡中的弱勢地位和舉證艱難的困境。這種通過增加公民維權渠道的方式,對規范互聯網行業的個人信息保護將有著重要的推動作用。
第四,推進個人信息保護立法進程,從根本上規制互聯網行業個人信息收集使用亂象。目前我國已將個人信息保護法納入立法規劃,檢察機關的公益訴訟實踐是將來確定個人信息保護法具體規定的一項重要實踐活動,對于個人信息保護法出臺后可操作性的提高具有重大意義。（齊愛民）
破解個人信息收集使用“必要原則”困局
豐富多彩、應用廣泛的App已經成為我們每個人須臾不離的生活工作助手,但與此同時,App也成為個人信息泄露和濫用的重災區。有鑒于此,今年2月,中央網信辦、工信部、公安部、市場監管總局四部門聯合組織開展App違法違規收集使用個人信息專項治理行動,要求網絡運營者遵循必要原則,不收集與所提供服務無關的個人信息,從而劃定個人信息收集和利用的邊界。
其實,個人信息收集使用的必要原則由來已久。早在1981年,歐洲理事會在《關于個人數據自動化處理的個人保護公約》中就規定:個人數據應出于明確、具體及合法的目的而收集,且對其處理目的而言,數據應適當、關聯且不過量。必要原則在1995年歐盟《數據保護指令》被進一步強調,最終成為2018年《一般數據保護條例》(GDPR)的六項處理原則之一。
基于上述國際經驗,我國網絡安全法第41條亦明定收集、使用個人信息的必要原則。2018年,國家標準《個人信息安全規范》第5.2條再次給出三項衡量標準,即收集個人信息與實現產品或服務的業務功能之間的直接關聯、最低頻率和最少數量關系。
然而,在大數據時代,必要原則面臨著巨大的挑戰。正如維克托·邁爾-舍恩伯格在《大數據時代》一書中所指出的,大數據的價值不再來源于基本用途,而是源于其二次使用；更重要的是,許多數據在收集時并無意他用,最終卻產生了諸多創新性用途,顯然,數據收集者永遠不可能提前告知收集時尚未想到的目的。以美國芝加哥通信公司為例,其收集用戶位置信息的主要目的是確定手機信號覆蓋情況。但在新的場景中,通過采集在特定地點所有手機用戶的信息,它還能計算出開車經過特定廣告牌的人數,進而估算出廣告牌的價值,顯然,這是收集目的的一次重大轉變。
不唯如是,社會學家和醫學專業人士都知道,當人們事前知道其信息將被收集和度量,就可能導致最終結果出現偏差,這是因為人們會不自覺地改變行為,甚至出于利益考慮而操縱或破壞數據。所以,在很多場景下,用戶數據的被動收集和間接度量比主動收集和直接度量,更能實現收集的初衷,而這樣的目的往往是無法向用戶告知的。
2009年,在甲型H1N1流感爆發前幾周,谷歌使用了億萬用戶的檢索詞準確預測了流感發生的地區和州,如果嚴格遵循必要原則,這一嘗試不但在技術上不可行,在成本上也是難以想象的。
這就要求我們一方面要踐行必要原則,防范個人信息被無節制、無邊際地收集和使用,另一方面,又要為后續創新容留空間,避免過分阻礙數字經濟的發展,這確實是一個兩難問題。這一難題不可能有一勞永逸的解答,但不妨從如下方面探索可能的解決之道。
其一,清晰、靈活地劃定收集范圍。必要原則的癥結在于難以判斷“究竟何為必要”,或者“究竟哪些個人信息與服務相關”。為此,監管者不妨盡量在事前列出與特定服務直接相連的個人信息范圍。最近,全國信息安全標準化技術委員會制定的《移動互聯網應用基本業務功能必要信息規范(V1.0)》便依照這一思路,明確了地圖導航、網絡約車、即時通訊社交、網絡支付等16種服務所需的個人信息類型。但必須指出,在產品迅速迭代、服務日新月異的今天,上述規范不應視為相關App不能在上述范圍之外另行收集、使用個人信息,而應理解為給企業額外增加了自證清白的負擔。簡言之,一旦在事后發生執法和糾紛,它們必須證明自己已充分告知了用戶,并且相關信息的收集和使用符合其產品定位、商業慣例和商業道德。
其二,嚴謹、務實地解釋“目的”。歐盟在GDPR的起草中,已經意識到數據的二次利用可能與原先目的無關,為此GDPR特別引入“兼容使用”概念。這意味著企業可以在既有目的之外,對數據作出后續處理。當然,這并非沒有限制,監管者需要綜合考量后續使用目的與原先目的之間的關聯性、數據收集的場景、該場景下個人的合理預期、數據性質、后續使用產生的后果及現有的保障措施等。
其三,促進市場化的個人信息保護。如果我們把個人信息保護理解為一種服務,那么通過市場來讓個人享受到更好的服務不失為激勵相容的治理方式。美國一項針對30萬款App的定量分析發現,較之收費App,免費App中收集個人敏感信息的現象更為頻繁。就此而言,個人信息已經成為隱形的價格。以此觀之,一些禁止網絡運營者服務質量、價格差異的條款的規定,則缺失了洞見市場經濟規律的眼力。恰恰相反,監管者應當鼓勵App披露其定價策略和個人信息收集之間的關聯,使得用戶充分知情后作出審慎決定。
其四,通過科技降低個人信息收集的需求。數據難以流通是各個App爭相收集個人信息的重要原因。由于制度缺失和安全擔憂,企業不愿意共享數據。數據孤島的現實,迫使所有人都必須自力更生,憑借一己之力,盡可能多地從用戶那里攫取數據。如今,通過“多方安全計算”技術,企業可以在原始數據不出域的情況下實現數據共享、計算、合作,從而在維護數據安全、保護用戶隱私、挖掘數據價值之間取得了平衡,這必然大大緩解企業對取得個人數據的焦慮。
個人信息保護與數字經濟發展并不矛盾,正如個人權利和企業利益并不矛盾一樣。作為立法者和監管者,理應執其兩端、統籌各方,最終實現共生共享共贏的網絡空間。（許可）
眾議
用公益訴訟保護個人信息應審慎
目前,在互聯網個人信息保護這一領域,關于個人信息和數據到底是什么,是什么樣的權利或權益,是財產權還是人身權,如何平衡保護和利用的關系等一些關鍵的、底層的問題,在整個國際范圍內相關的制度和研究都遠沒有達到相對成熟的程度,還有很多關鍵核心問題需要得到破解和形成共識。去年歐洲雖然出臺了《一般數據保護條例》(GDPR),但爭議仍很大,尤其是在產業界。
單就過度收集個人信息本身而言,其一般不會產生直接危害后果,只有這種行為和非法使用、轉讓、披露等一起發生時,才會帶來侵害后果。因此對過度乃至未告知收集等其他非法收集個人信息的規制,需要視不同情況具體來看。進一步來說,關于個人信息保護,遠不像目前已經納入公益訴訟范疇的生態環境和資源保護、食品藥品安全等領域那樣已經建立了比較成熟的法律和制度體系,執法部門有足夠的法律依據和判斷方法,因此用公益訴訟保護個人信息應審慎推進。在互聯網這個快速發展變化的領域,在很多問題上需要看得更全面和更長遠,并且進行過充分的論證,才可能得出經得起歷史考驗的法律解決方案,實現發展和規范的平衡。（阿拉木斯）
防止App越界需聯動處置
App開發運營者過度收集個人信息,一旦保管與使用不當,極易為電信詐騙、竊取個人網上錢財等違法犯罪活動留下可乘之機。為從源頭上查堵漏洞,必須采取有效措施,將App開發運營者對于個人信息的收集控制在最少夠用原則范圍之內。近日,《移動互聯網應用基本業務功能必要信息規范(V1.0)》發布,針對不同行業、服務類別,進一步細化了原則標準,讓最少夠用等相關原則更具可衡量性與可操作性,此舉有助于遏制有些App開發運營者“揣著明白裝糊涂”,繼續過度收集、使用個人信息。
在此基礎上,對信息安全、網絡消費等負有監管職能的各級機構還應攜手聯動,進一步完善工作協調機制,著力構筑起一張防護個人信息安全,維護消費者合法權益的大網,努力使非法收集、使用個人信息等行為無從遁形,讓社會公眾不再因個人信息被無端泄露而擔驚受怕。（周慧虹）
壓實應用商店和開發者責任
打擊超范圍收集用戶個人信息和竊取隱私的App并非無法可依。根據有關規定,App未向用戶明示并經同意,不得開啟收集地理位置、讀取通訊錄等功能,不得開啟與服務無關的功能,否則就將承擔下架等責任。應用商店對此也負有監管等責任。同時,根據網絡安全法,侵犯個人信息的,最高可處100萬元罰款,并可責令其停業整頓,關閉網站、吊銷證照。尤其是,根據刑法有關規定,非法獲取行蹤軌跡、通信內容等信息50條以上的,就可能構成侵犯公民個人信息罪。
向一些非法過度收集和利用個人信息的App說“不”,根本不能靠弱勢的消費者自覺發現和抵制,更不能靠唯利是圖的應用商店及App開發者良心發現。而應靠監管部門積極作為,科學應對,妥善處置。具體而言,除制訂強制標準外,還應注重監測、下架、屏蔽違規App,追究開發者和應用商店的違法乃至刑事責任。進而壓實應用商店的審核責任和開發者的主體責任,讓其多些對規則和用戶權利的尊重。讓用戶真正享受到科技進步帶來的紅利,而非在科技的發展下淪為毫無還手之力的“裸奔者”。（史洪舉）
