掃碼點餐、電商購物、使用APP……個人資訊保護應更規範
掃碼點餐、電商購物、使用APP……個人資訊保護應更規範
共建共治共用良好數字生態(關注個人資訊保護)
我國網民規模龐大，網際網路應用場景豐富，帶來諸多便利。隨著技術的發展和使用的深入，從手機APP到深度偽造技術、智慧互聯設備，個人資訊保護日益成為人們關注的焦點，也是數字經濟發展必須直面的課題。
11月1日起，個人資訊保護法將正式實施。本版今起推出系列策劃“關注個人資訊保護”，聚焦個人資訊保護現狀，探討如何共同築牢安全邊界、共建共治共用良好數字生態。
——編者
安裝手電筒程式，要提供地理位置資訊；下載文字編輯APP，需獲取通訊錄許可權；走進售樓處，在毫不知情時，人臉資訊可能被記錄……大數據時代，人們享受著數據帶來的便利，也被一些過度收集個人資訊的行為所困擾。
不久前，十三屆全國人大常委會第三十次會議審議通過《中華人民共和國個人資訊保護法》(以下簡稱“個人資訊保護法”)，並將於11月1日正式實施。
難以拒絕的“同意”
不授權就無法使用，許可權與APP功能需求並不匹配
在調查了數十萬款APP後，中國人民大學一個團隊研究發現，APP的各類許可權有30多個，但很多許可權跟APP實現功能的需求並不匹配。
APP要求這麼多許可權有何用？如果仔細查看用戶隱私協議條款，幾乎無一例外提及，將對收集的部分資訊進行商業利用，例如推送個性化的資訊、廣告等，這也是個人資訊潛在的商業價值。
擔心資訊被違規使用，在安裝一些APP時，北京市朝陽區的王先生曾想拒絕某些授權，可他發現，不同意授權，就無法使用。“一旦授權，我的個人資訊去了哪兒？”王先生很困惑。同時，許可權申請的文字大多冗長複雜。曾有人統計，APP通行的隱私條款內容大多在1萬字以上。閱讀等待時間過後，許多人來不及細看，就會直接點“同意”。
一位開發者表示，獲取許可權後，後臺甚至能夠判斷數據背後的人做什麼工作、常去哪。保護虛擬空間數據化的“我們”，通常依靠收集方自律。然而，倘若某些企業安全“防護墻”不結實，就可能造成資訊洩露。更大的風險是，一些數據收集方甚至會做起數據交換的“生意”，幾經轉手，數據可能被非法利用。
近些年，有媒體曝出在網路平臺明碼標價販賣個人資訊的事件。比如，一則17萬條“人臉數據”被公開售賣的新聞，就曾引起社會廣泛關注。
利用資訊分析個人特徵，為用戶精準畫像，有利於提升消費體驗，但也會產生“大數據殺熟”等侵犯消費者權益的行為。復旦大學一項關於網約車的研究發現，某一品牌手機用戶更容易被舒適型車輛司機接單，這一比例遠高於其他品牌手機用戶。也有網友反映，同一時段與朋友在網上瀏覽同樣品牌的相同商品，價格存在不小的差異。
此外，隨著數據內涵的擴大，人臉資訊、健康資訊、金融賬戶、行蹤軌跡等也越來越多被收集，這些資訊因與隱私密切相關，比較敏感。專家表示，收集、處理敏感個人資訊的規範應當更加嚴格。
“告知—同意”是核心規則
收集個人資訊，應當限于實現處理目的的最小範圍
“為了提高體驗，完善產品，一些APP必然要求獲得許可權，用數據來服務消費者。”安全專家、綠盟科技集團副總裁曹嘉說，由於實際生活中的應用場景往往比較複雜，數據收集、使用範圍的邊界並不清晰。
圍繞規範個人資訊處理活動、保障個人資訊權益，個人資訊保護法構建了“告知—同意”的個人資訊處理規則。
專家表示，個人資訊保護法明確，處理個人資訊應當具有明確、合理的目的，並應當與處理目的直接相關，採取對個人權益影響最小的方式。收集個人資訊，應當限于實現處理目的的最小範圍。
同時，對於人們反映強烈的所有授權、強制同意等問題，個人資訊保護法特別要求，個人資訊處理者在處理敏感個人資訊、向他人提供或公開個人資訊、跨境轉移個人資訊等環節應取得個人的單獨同意，明確個人資訊處理者不得過度收集個人資訊，不得以個人不同意為由拒絕提供產品或者服務，並賦予個人撤回同意的權利，在個人撤回同意後，個人資訊處理者應當停止處理或及時刪除其個人資訊。
近年來，我國在規範個人資訊收集使用上做了一系列積極探索。針對公眾反映突出的APP違法違規收集使用個人資訊問題，2019年開始，中央網信辦聯合工信部、公安部、市場監管總局持續開展了專項治理行動。統籌制定APP個人資訊保護系列規範，先後發佈了《資訊安全技術個人資訊安全規範》《APP違法違規收集使用個人資訊行為認定方法》《常見類型移動網際網路應用程式必要個人資訊範圍規定》，明確個人資訊收集、存儲、使用、共用、轉讓、公開披露等行為規範，界定了6類31種個人資訊收集使用違法違規情形，明確了39類常見類型APP的必要個人資訊範圍。比如，地圖導航類應用，必要個人資訊包括位置資訊、出發地、到達地。超出部分則屬於違法違規範圍。
針對“大數據殺熟”，個人資訊保護法明確規定：個人資訊處理者利用個人資訊進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。
個人資訊保護法將生物識別、特定身份、醫療健康、金融賬戶、行蹤軌跡等資訊列為敏感個人資訊。該法要求，只有在具有特定的目的和充分的必要性，並採取嚴格保護措施的情形下，方可處理敏感個人資訊，同時應事前進行影響評估，並向個人告知處理的必要性以及對個人權益的影響。
為保護未成年人的個人資訊權益和身心健康，個人資訊保護法特別將不滿14周歲未成年人的個人資訊確定為敏感個人資訊予以嚴格保護。獲取這類資訊應當取得未成年人的父母或者其他監護人的同意，並應當對此制定專門的個人資訊處理規則。
現實中，保護個人資訊可能比想像中複雜。“個人資訊與非個人資訊的界限並非如想像的那樣清晰。收集行為是否合法等，也就不那麼容易判斷。”中國人民大學法學院副教授丁曉東說。
比如，個性化推薦、用戶畫像等收集的數據屬於個人資訊嗎？通常，企業在收集了用戶瀏覽網頁、搜索記錄等資訊後，會將此類資訊做匿名化處理。丁曉東表示，這些匿名化處理後的資訊，是否屬於個人資訊，是否納入個人資訊的範疇來管理，學界尚無定論。此外，個人資訊的範圍因時代而改變，針對不同的個人資訊的類型，應該採取不同的管理方式。
保護利用的平衡
保護個人資訊與數字經濟發展並不對立
保護個人資訊，現實監管的難點還在於，如何找到數據保護和合理利用之間的平衡點。
截至2020年底，中國網民規模為9.89億人。龐大的網民數量是發展數字經濟的基石，數據成為數字經濟的重要驅動力。不過，保護個人資訊與數字經濟發展並不對立。專家認為，關鍵在於以保護個人權益和促進資訊合理流通為準繩，找到資訊利用和安全的平衡點。
在數字經濟領域，我國的一些方面走在世界前列，也面臨一些新情況、新問題。“正視個人資訊保護的多元化訴求，找到解好隱私難題的最大公約數，我們嘗試探索一條與數字時代相適應的數據隱私保護路徑。”曹嘉說。
個人資訊保護是系統工程。過去，保護個人資訊的規則制度散見於許多單行法律中。在現有法律基礎上，個人資訊保護法進一步細化、完善個人資訊保護應遵循的原則和個人資訊處理規則，明確個人資訊處理活動中的權利義務邊界，健全個人資訊保護工作體制機制。專家表示，維護、保障好合法權益，有利於人民群眾在數字經濟發展中享受更多的獲得感、幸福感、安全感。
安全專家提醒，當前，APP的功能設計複雜，用戶也養成了使用習慣，即便界定了應用的基本功能和收集的必要個人資訊範圍，實際上仍可能出現採集、使用的數據超出規定範圍的情況。
針對現實中資訊倒賣、違背承諾等違法行為，丁曉東認為，有必要加強對違法行為的懲處力度，提高違法成本，形成法律震懾效應。(記者 喻思南)
