手機APP過度採集，竊取販賣屢禁不止…… 個人信息 要多加幾道保護鎖

不久前發生的一系列事件讓個人信息安全再成輿論熱點：華住旗下多家酒店品牌疑似發生大規模信息洩露事件，數據涉及約1.23億條官網註冊資料、1.3億條入住登記身份信息；有“暗網”用戶聲稱手握3億條順豐快遞客戶數據，包括寄收件人姓名、地址、電話等個人信息，並積極叫賣……

 

網絡時代，我們的個人信息安全狀況如何？誰是個人信息洩露的幕後“黑手”？護航個人信息安全，政府和企業需要再做些什麼？

 

個人身份信息最容易被侵犯

 

全國消協組織受理的消費者投訴數據顯示，今年上半年，電商平臺、社交平臺軟體等非法採集消費者個人信息現象成消費投訴新熱點，位居十大投訴榜榜首。不久前，中消協發佈的《APP個人信息洩露情況調查報告》（以下簡稱《報告》）也反映，遇到過個人信息洩露情況的人數佔比為85.2%。

 

“網絡具有即時性與虛擬性，加上個人信息被廣泛採集卻未受到良好保護，公民個人信息一旦洩露，普遍存在舉證難、損失認定難的情況，因此，個人信息洩露問題沒得到有效治理。”中國法學會消費者權益保護法研究會副秘書長陳音江説。

 

“個人信息主要有三種形式：第一種叫個人隱私信息，這是隱私權保護的範圍；第二種叫個人身份信息，如身份證號碼、電話號碼、個人賬戶信息等，用個人信息權予以保護；第三種是衍生數據，是對網絡上留存的海量的個人數據進行加工處理形成的新數據，已經與個人的身份信息脫敏。”中國人民大學法學院教授楊立新認為，個人隱私信息和個人身份信息都要依照法律的規定進行支配，只有衍生數據才可以在大數據時代中進行商業處理。

 

楊立新認為，最容易被侵犯的個人信息是身份信息，各類商業推銷、電信詐騙等大多是基於個人身份信息洩露而出現的。《報告》顯示，約86.5%的受訪者曾收到推銷電話或短信的騷擾，約75.0%的受訪者接到詐騙電話，約63.4%的受訪者收到垃圾郵件，這是最常見的三大問題。此外，消費者還面臨著收到非法連結、個人賬戶密碼被盜等風險。

 

據介紹，去年3月，公安部開展了打擊整治駭客攻擊破壞和網絡侵犯公民個人信息犯罪專項行動，僅4個月就偵破相關案件1800余起，查獲各類被非法倒賣公民個人信息500余億條。

 

手機應用軟體過度採集個人信息

 

《報告》發現，個人信息洩露的兩條最主要途徑，一是經營者未經本人同意暗自收集個人信息，二是經營者或不法分子故意洩露、出售或者非法向他人提供個人信息，這兩者均超過調查總樣本的60%。

 

據了解，部分APP會“私自竊密”。例如，部分記賬理財APP會通過留存消費者的個人網銀登錄賬號、密碼等信息，並模倣消費者網銀登錄的方式，獲取賬戶交易明細等信息。有的APP在提供服務時，採取特殊方式來獲得用戶授權，這本質上仍屬“未經同意”。例如，在用戶協議中，將“同意”之選項設置為較小字體，且已經預先勾選，導致部分消費者在未知情況下進行授權。

 

另外，手機APP過度採集個人信息呈現普遍趨勢。“最突出的是在非必要的情況下獲取位置信息和訪問聯繫人權限。”中消協秘書長朱劍雄説，“比如，像天氣預報、手電筒這類功能單一的手機APP，在安裝協議中也提出要讀取通訊錄，這與《全國人民代表大會常務委員會關於加強網絡信息保護的決定》明確規定的手機軟體在獲取用戶信息時要堅持‘必要’原則相悖。”

 

《報告》還發現，在安裝和使用手機APP時，很少有用戶仔細閱讀應用權限和用戶協議或隱私政策。“不授權就沒法用，只能被迫接受。”不少消費者在接受採訪時表示。

 

“雙方當事人無法進行面對面協商，這決定了消費者只能先接受平臺提出的交易規則，否則就無法進行交易。”楊立新説，問題的關鍵在於，網絡交易平臺提供的交易規則是否合法，“對此，商務、市場監管等有關部門在實體和程式上都做了規定。若交易規則內容違法，消費者可以主張廢除該規則，也可以行使撤銷權撤銷該交易，造成損害的還可以請求損害賠償。”

 

與此同時，個人信息買賣已形成一條規模大、鏈條長、利益大的産業鏈。“這條産業鏈結構完整、分工細化，個人信息被明碼標價，流通變現環節主要包含三個方面。”據中國人民大學法學院博士後劉笑岑介紹，上游環節負責“源頭供貨”，非法獲取或向他人提供個人信息，主要來自於駭客攻擊和“內鬼”外泄；中游環節負責對從上游處獲取的個人信息進行處理與再加工，通過買賣、交換等形式形成規模化市場；下游環節負責“應用變現”，將所獲個人信息應用於電信詐騙、惡意行銷等不法渠道以牟取高額利潤。

 

在公安部今年的“凈網2018”專項行動中，公安機關對侵犯公民個人信息犯罪、駭客攻擊破壞犯罪和非法銷售“黑卡”犯罪進行嚴厲打擊，半年內抓獲犯罪嫌疑人8000余名，其中涉電信服務商、互聯網企業、銀行等行業內部人員300余名，駭客1200余名，繳獲“黑卡”270余萬張。

 

引導行業建立個人信息分級分類保護體系

 

據統計，目前有近40部法律、30余部法規涉及個人信息保護，包括民法總則、刑法、消費者權益保護法、網絡安全法以及新近通過的電子商務法。

 

楊立新認為，現有的法律法規已經足以保護個人信息，問題在於，侵害個人信息構成犯罪的，能夠追究其刑事責任，但對於侵權行為，仍然制裁不力。“重點是加強司法上的民法保護，在懲戒手段、賠償問題上落實落細，加強對侵害個人信息權行為的打擊力度，承擔賠償責任。”“個人信息保護的主管機關還未確定，目前公安、工信、網信、司法等多家部門都在管，需擰成監管合力。”劉笑岑認為，還處於立法計劃當中的個人信息保護法，將來應致力於解決這些問題。

 

個人信息洩露的源頭是什麼？“問題出在過度採集上。”陳音江説，“合法、正當、必要”六字是目前相關法律對個人信息採集和使用的規定，必須貫徹落實，同時要儘快明確，哪些事項必須通過實名制註冊或辦理，哪些事項無需實名，避免信息採集主體過多、實名登記事項過度。

 

“如何引導行業對於個人信息進行分類，構建分級分類保護體系，這是當前個人信息防洩露問題要著重考慮的一項。”騰訊守護者計劃安全專家馬瑞凱説。

 

受訪專家表示，個人信息獲取、存儲和利用的環節眾多，許多信息的傳播又具有隱蔽性和複雜性，做到切實保障公民個人信息安全，需要公民、信息採集機構、技術人員和有關部門協同共治。就企業管理層面而言，要推動數據防竊密、防篡改、防洩露等安全技術的研發和部署，有效降低不法分子竊密風險；就監管部門而言，要進一步加大對電信詐騙、網絡詐騙等違法犯罪活動的打擊力度，持續形成高壓態勢，保護消費者的合法權益。（記者  齊志明）