“華住開房記錄泄露案”該如何處罰

銀昕

“從去年7月1日實施以來，《網(wǎng)絡(luò)安全法》執(zhí)法力度是很大的，但存在對企業(yè)主體追責(zé)不明確的問題?！?1月1日，在青島舉辦的中國保密技術(shù)交流大會上，360企業(yè)安全集團(tuán)董事長齊向東首次評論“華住案”。

今年8月28日早上6時，一則華住旗下酒店開房記錄疑似泄露，在網(wǎng)上明碼標(biāo)價出售的消息在網(wǎng)上流傳。被售賣的數(shù)據(jù)包括華住官網(wǎng)注冊資料，酒店入住登記身份信息，還有酒店開房記錄等三類，總計近5億條數(shù)據(jù)，合計大小141.5G。發(fā)帖者稱以上數(shù)據(jù)全部打包價為8比特幣，約為38萬元人民幣。

隨后華住酒店集團(tuán)向警方報案，上海警方隨即介入調(diào)查。360企業(yè)安全集團(tuán)作為技術(shù)支持者配合上海警方以技術(shù)手段進(jìn)行偵查，并成功將犯罪嫌疑人抓捕歸案。經(jīng)查，犯罪嫌疑人利用黑客手段竊取華住集團(tuán)旗下酒店數(shù)據(jù)并在境外網(wǎng)站兜售，但未交易成功。上海警方還表示，對該案中涉及未落實網(wǎng)絡(luò)安全措施的責(zé)任主體單位，警方將依法予以查處。此后上海警方再未對外公布關(guān)于該案的具體內(nèi)容和偵破過程。

齊向東對《中國經(jīng)濟(jì)周刊》記者說，《網(wǎng)絡(luò)安全法》已經(jīng)在個人信息保護(hù)的立法層面進(jìn)行了比較全面的闡述，但仍有對企業(yè)主體追責(zé)不夠的遺憾，這部分遺憾需要在更加細(xì)致的《個人信息保護(hù)法》中加以落實。

中國消費者協(xié)會今年8月發(fā)布的《APP信息泄露情況調(diào)查報告》顯示，我國個人信息泄露總體情況比較嚴(yán)重，遇到過個人信息泄露情況的人數(shù)占比為85.2%，沒有遇到過個人信息泄露情況的人數(shù)占比為14.8%。

對我國何時能有一部專門的《個人信息保護(hù)法》的討論隨之而來。就此話題《中國經(jīng)濟(jì)周刊》記者對相關(guān)人士和立法專家進(jìn)行了采訪。

《個人信息保護(hù)法》 進(jìn)入立法議程

雖然上海市公安局在公告中稱“對該案中涉及未落實網(wǎng)絡(luò)安全措施的責(zé)任主體單位警方將依法予以查處”，但《網(wǎng)絡(luò)安全法》只在相關(guān)章節(jié)規(guī)定了網(wǎng)絡(luò)運營主體和數(shù)據(jù)控制方對保護(hù)個人信息所負(fù)的法律義務(wù)，并未規(guī)定企業(yè)面臨的法律后果。

《中國經(jīng)濟(jì)周刊》記者檢索公開資料發(fā)現(xiàn)，截至目前，“華住案”中未落實網(wǎng)絡(luò)安全措施的責(zé)任主體單位——華住酒店集團(tuán)，尚未有受到任何處罰及查處的消息。

齊向東認(rèn)為，作為泄密單位，華住酒店集團(tuán)給用戶造成的損失是不可挽回的，它應(yīng)該承擔(dān)什么樣的責(zé)任，法律上有要求但細(xì)節(jié)和細(xì)則落實不到位。

360企業(yè)安全集團(tuán)總裁吳云坤則對記者表示，目前掌握個人信息最多的不是個人用戶本地的存儲，也不是政府部門，而是企業(yè)，“特別是使用頻次很高的產(chǎn)品背后的企業(yè)，比如微信、支付寶和其他網(wǎng)購平臺，所以保護(hù)企業(yè)所掌握的個人信息其實就是在保護(hù)絕大部分的個人信息?！?/p>

就在9月10日，《個人信息保護(hù)法》被寫入十三屆全國人大常委會立法規(guī)劃（共116件）的第一類項目，即條件比較成熟、任期內(nèi)擬提請審議的法律草案，立法的地位和優(yōu)先級有了巨大提升。

從事個人信息保護(hù)研究工作的中國人民大學(xué)金融科技與互聯(lián)網(wǎng)安全研究中心主任楊東告訴《中國經(jīng)濟(jì)周刊》記者，《個人信息保護(hù)法》主要的立法目的就是強(qiáng)化企業(yè)的責(zé)任，“個人信息泄露的主要出口就是企業(yè)的不規(guī)范操作。”

立法分散是目前個人信息保護(hù)的另一個尷尬。國務(wù)院信息化辦公室從2003年起就開始部署個人信息保護(hù)法立法研究工作；2009年修訂通過的《刑法修正案（七）》對非法竊取、出售、泄露個人信息的行為作出了規(guī)定，《刑法修正案（九）》還設(shè)置了非法獲取公民個人信息的罪名。除《網(wǎng)絡(luò)安全法》外，個人信息保護(hù)的內(nèi)容還出現(xiàn)在《民法總則》《消費者權(quán)益保護(hù)法》《電子商務(wù)法》和《全國人民代表大會常務(wù)委員會關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》等近40部法律、30余部法規(guī)和200部規(guī)章制度中?！澳壳暗姆涩F(xiàn)實是對個人信息保護(hù)的規(guī)定十分分散，缺乏系統(tǒng)性、嚴(yán)謹(jǐn)性和邏輯性，也沒有清晰的流程。”楊東說。

相關(guān)企業(yè)將配置部門管理個人信息

值得注意的是，在《網(wǎng)絡(luò)安全法》生效后不久，一則由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會制定的《個人信息安全規(guī)范》（下稱“《規(guī)范》”）從2017年底開始在各互聯(lián)網(wǎng)公司等數(shù)據(jù)控制方中悄然流行。《規(guī)范》按照《網(wǎng)絡(luò)安全法》所規(guī)定的原則進(jìn)行的更加細(xì)致的規(guī)定，很多企業(yè)為避免違反《網(wǎng)絡(luò)安全法》，就將《規(guī)范》作為其業(yè)務(wù)執(zhí)行的標(biāo)準(zhǔn)。

《規(guī)范》明確了個人信息的邊界和范圍，即關(guān)聯(lián)路徑和識別路徑下的個人信息同屬應(yīng)被保護(hù)的范疇。所謂關(guān)聯(lián)路徑是指不能直接識別出某個特定的自然人，但包含了特定自然人的大量行為和習(xí)慣數(shù)據(jù)，如聊天記錄，購物記錄，經(jīng)常使用的行車路線和好友名單等的數(shù)據(jù)，對該段數(shù)據(jù)進(jìn)行分析之后可以關(guān)聯(lián)到特定的自然人；所謂識別路徑，是指可直接識別出特定自然人的信息，如手機(jī)號碼、身份證號碼和其他證件號碼等。

以微信、微博和人人網(wǎng)等社交網(wǎng)站為例，在《規(guī)范》出臺之前，其只將包含用戶識別路徑下的信息加以保護(hù)，而將用戶關(guān)聯(lián)路徑下的個人信息作為網(wǎng)絡(luò)運行日志保存而非個人信息對待，這種做法在《規(guī)范》的指引下得到了糾正。

《規(guī)范》還要求規(guī)模在200人以上，或處理超過50萬人的個人信息的企業(yè)設(shè)立專職負(fù)責(zé)人和部門管理個人信息的保護(hù)問題。按此標(biāo)準(zhǔn)，零售業(yè)巨頭阿里巴巴、京東以及社交領(lǐng)域的微信、微博和QQ無一例外都需建立這一部門。根據(jù)《中國經(jīng)濟(jì)周刊》記者的了解，屬醫(yī)療行業(yè)的丁香園在2018年初已將該負(fù)責(zé)人部署到位，零售巨頭京東和屬網(wǎng)絡(luò)安全領(lǐng)域的360集團(tuán)早年間就設(shè)立了類似的部門。

《個人信息保護(hù)法》是否會沿用《規(guī)范》當(dāng)中的內(nèi)容？抑或與時俱進(jìn)地做出調(diào)整？楊東對《中國經(jīng)濟(jì)周刊》記者表示，與《個人信息保護(hù)法》相比，《規(guī)范》更傾向于是對從業(yè)者的一種業(yè)務(wù)層面的“建議”，“不一定所有內(nèi)容都會進(jìn)入法律，法律也沒有必要過分具體地落地到業(yè)務(wù)操作層面的規(guī)定。但《規(guī)范》中一些十分成熟的條文很有可能被法律吸收進(jìn)來?！睏顤|說。