給 App 戴上緊箍咒

簡宏妮

立法保護(hù)刻不容緩 在信息化時(shí)代，個(gè)人信息價(jià)值日益凸顯，個(gè)人信息安全風(fēng)險(xiǎn)與日俱增，給個(gè)人隱私和國家安全帶來了嚴(yán)重的安全隱患。

今年的國慶長假，羅雨欣出去游玩前在某旅行App預(yù)訂酒店，發(fā)現(xiàn)同一時(shí)間、同一家酒店，她看到的價(jià)格要比同事看到的高出不少，打電話給客服，得到的答復(fù)是，平臺(tái)給新用戶的優(yōu)惠力度大。很多人不知道，這就是所謂的“大數(shù)據(jù)殺熟”，它違反了誠信原則，侵犯了《消費(fèi)者權(quán)益保護(hù)法》規(guī)定的消費(fèi)者享有公平交易條件的權(quán)利。

11月1日起，《個(gè)人信息保護(hù)法》正式施行，將終止平臺(tái)的類似漏洞，保護(hù)用戶的合法權(quán)益。應(yīng)用程序過度收集個(gè)人信息、一攬子授權(quán)、強(qiáng)制同意、大數(shù)據(jù)殺熟……這些侵害公民個(gè)人信息權(quán)益的行為將受到制約。

隨著信息化與經(jīng)濟(jì)社會(huì)持續(xù)深度融合，網(wǎng)絡(luò)已成為生產(chǎn)生活的新空間、經(jīng)濟(jì)發(fā)展的新引擎、交流合作的新紐帶。截至2020年12月，我國互聯(lián)網(wǎng)用戶已達(dá)9.89億，互聯(lián)網(wǎng)網(wǎng)站超過443萬個(gè)，應(yīng)用程序超過345萬個(gè)，個(gè)人信息的收集、使用更為廣泛。

現(xiàn)實(shí)生活中，一些企業(yè)、機(jī)構(gòu)和個(gè)人基于各種各樣的目的，違法獲取、過度使用、非法買賣個(gè)人信息，甚至把隱私作為非法獲利的“搖錢樹”，滋生出黑色產(chǎn)業(yè)鏈條，導(dǎo)致群眾人身和財(cái)產(chǎn)安全等問題日益突出。

西南政法大學(xué)總體國家安全觀研究院研究員、法學(xué)博士謝波在接受《小康》雜志、中國小康網(wǎng)記者采訪時(shí)說：“在信息化時(shí)代，個(gè)人信息價(jià)值日益凸顯，個(gè)人信息安全風(fēng)險(xiǎn)與日俱增，給個(gè)人隱私和國家安全帶來了嚴(yán)重的安全隱患?！睘榇?，近年來，我國積極建立健全個(gè)人信息保護(hù)法律體系，相繼出臺(tái)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》等法律，并在《刑法修正案》《民法典》中做出相關(guān)規(guī)定，但由于針對(duì)個(gè)人信息保護(hù)的專門性法律長期缺位，個(gè)人信息保護(hù)制度并不完善，個(gè)人信息安全事件屢有發(fā)生。

正是在這樣的背景下，加強(qiáng)個(gè)人信息保護(hù)專項(xiàng)立法成為社會(huì)各界普遍共識(shí)，經(jīng)過十多年醞釀?wù)撟C、十三屆全國人大常委會(huì)三次審議，8月20日，十三屆全國人大常委會(huì)第三十次會(huì)議表決通過的《個(gè)人信息保護(hù)法》正式出臺(tái)。

“去餐廳吃飯，被要求掃碼點(diǎn)餐，有的還必須填寫姓名、出生年月、手機(jī)號(hào)碼等與服務(wù)無關(guān)的個(gè)人信息。有時(shí)候想下載一款A(yù)pp，需要按照平臺(tái)要求，開放一大堆個(gè)人隱私，比如允許打開相冊、允許打開通訊錄、允許開啟定位等等?！闭f起商家過度收集個(gè)人信息的現(xiàn)象，羅雨欣感受頗深。作為資深網(wǎng)民，她不僅對(duì)平臺(tái)利用大數(shù)據(jù)提供差別服務(wù)感到憤怒，也擔(dān)心自己的信息在不知不覺間被泄露。

作為中國首部針對(duì)個(gè)人信息保護(hù)的專門性立法，《個(gè)人信息保護(hù)法》將進(jìn)一步強(qiáng)化個(gè)人信息安全監(jiān)管與治理，把個(gè)人信息使用權(quán)關(guān)進(jìn)法律的籠子里。

謝波解讀說，《個(gè)人信息保護(hù)法》對(duì)個(gè)人信息處理者設(shè)置了個(gè)人信息的處理規(guī)則，其中就包括一些明確的禁止性規(guī)定，如“不得對(duì)個(gè)人在交易價(jià)格等交易條件上實(shí)行不合理的差別待遇”“所收集的個(gè)人圖像、身份識(shí)別信息只能用于維護(hù)公共安全的目的，不得用于其他目的”?等，一旦個(gè)人信息處理者違反了這些規(guī)定，我們就可以向履行個(gè)人信息保護(hù)職責(zé)的部門進(jìn)行投訴、舉報(bào)，甚至根據(jù)具體情況向法院提起訴訟。

此外，根據(jù)《個(gè)人信息保護(hù)法》規(guī)定，對(duì)個(gè)人信息處理者實(shí)行過錯(cuò)推定原則，一旦發(fā)生侵害個(gè)人信息的行為，不能證明自己沒有過錯(cuò)的就應(yīng)當(dāng)承擔(dān)侵權(quán)責(zé)任，這也將大大降低個(gè)人維權(quán)的難度。

面對(duì)大數(shù)據(jù)殺熟、濫用人臉識(shí)別等侵害公民權(quán)益的行為，我們應(yīng)當(dāng)如何識(shí)別？謝波介紹，所謂大數(shù)據(jù)殺熟，是指同樣的商品或服務(wù)，老客戶的價(jià)格反而高于新客戶的現(xiàn)象。簡單來說，就是商家給不同人設(shè)置了不同價(jià)格。大數(shù)據(jù)殺熟往往具有較強(qiáng)的隱蔽性。網(wǎng)民可以看商家的宣傳、展示頁面是否做出特別說明，如明確標(biāo)注新客、新號(hào)、滿額減、首次消費(fèi)可以領(lǐng)取優(yōu)惠券等信息，規(guī)則是明確的，且無論用新號(hào)還是老號(hào)登錄頁面，展示的信息是一樣的，則為正常營銷手段，反之則可能存在大數(shù)據(jù)殺熟。對(duì)于濫用人臉識(shí)別，可以從是否在公共場所提供了識(shí)別設(shè)備的顯著提示標(biāo)識(shí)、說明了識(shí)別信息的使用目的等方面，來評(píng)判人臉識(shí)別的合法性。

《個(gè)人信息保護(hù)法》從列入立法規(guī)劃到正式出臺(tái)，歷經(jīng)了幾次大的審議修改。與《網(wǎng)絡(luò)安全法》和《數(shù)據(jù)安全法》有所區(qū)別，《個(gè)人信息保護(hù)法》側(cè)重保護(hù)個(gè)人信息，監(jiān)管對(duì)象是個(gè)人信息的處理者和受托人。

謝波認(rèn)為，“《個(gè)人信息保護(hù)法》的亮點(diǎn)之一，就是確立個(gè)人信息處理中的合法、正當(dāng)、必要、誠信等基本原則，同時(shí)明確了敏感個(gè)人信息并予以嚴(yán)格保護(hù)。”

值得注意的是，《個(gè)人信息保護(hù)法》在國內(nèi)首次將個(gè)人信息分類成敏感和非敏感個(gè)人信息。從法律上看，生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡、不滿十四周歲未成年人的個(gè)人信息屬于敏感個(gè)人信息，這些信息一旦泄露或者被非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害。相對(duì)來說，個(gè)人姓名、職稱等屬于非敏感個(gè)人信息。

從保護(hù)個(gè)人的角度，法律首次提出了單獨(dú)同意和書面同意的要求。謝波表示，《個(gè)人信息保護(hù)法》以“告知—同意”個(gè)人信息處理規(guī)則為核心，賦予個(gè)人在個(gè)人信息處理活動(dòng)中的充分權(quán)利，比如，在個(gè)人信息處理中享有知情權(quán)、決定權(quán)，有權(quán)限制或拒絕他人對(duì)其個(gè)人信息進(jìn)行處理等。

此外，《個(gè)人信息保護(hù)法》明確了個(gè)人信息處理者的合規(guī)管理和保障個(gè)人信息安全等義務(wù)，對(duì)大型互聯(lián)網(wǎng)平臺(tái)設(shè)定特別的個(gè)人信息保護(hù)義務(wù)，加大對(duì)違法處理個(gè)人信息行為的懲戒，促進(jìn)形成全社會(huì)協(xié)同共治的個(gè)人信息保護(hù)模式?！啊秱€(gè)人信息保護(hù)法》強(qiáng)調(diào)監(jiān)管和違法懲戒，就好比一枚硬幣的兩面，監(jiān)管主要立足于‘防’，懲戒主要著眼于‘懲’，只有懲防有機(jī)結(jié)合，才能實(shí)現(xiàn)個(gè)人信息保護(hù)的最佳效果。”謝波說。

在監(jiān)管方面，個(gè)人信息處理活動(dòng)涉及面廣、情況復(fù)雜、主體多樣、隱蔽性強(qiáng)，一旦發(fā)生侵害個(gè)人信息權(quán)益的行為，往往會(huì)對(duì)社會(huì)造成較嚴(yán)重的后果。因此，通過立法理順監(jiān)管體制，并對(duì)相關(guān)部門的監(jiān)管職責(zé)做出規(guī)定，是個(gè)人信息保護(hù)工作必須重視事前、事中的具體體現(xiàn)，這有利于從源頭上防范個(gè)人信息被侵害的情形發(fā)生。

在違法懲戒方面，《個(gè)人信息保護(hù)法》對(duì)違法處理個(gè)人信息的行為設(shè)置了不同梯次的行政處罰，對(duì)未造成嚴(yán)重后果的輕微或一般違法行為，可由執(zhí)法部門責(zé)令改正、給予警告、沒收違法所得，對(duì)拒不改正的最高可處100萬元罰款;對(duì)情節(jié)嚴(yán)重的違法行為，最高可處5000萬元或上一年度營業(yè)額5%的罰款，并可以對(duì)相關(guān)責(zé)任人員做出從業(yè)禁止處罰。這些嚴(yán)厲的處罰措施，無疑有利于倒逼相關(guān)主體履行好法律的規(guī)定。

隨著《個(gè)人信息保護(hù)法》正式實(shí)施，網(wǎng)絡(luò)環(huán)境必然會(huì)發(fā)生相應(yīng)變化。一方面，法律實(shí)施前網(wǎng)絡(luò)空間普遍存在的一些突出問題勢必得到依法治理，從而更好保護(hù)個(gè)人信息和隱私;另一方面，《個(gè)人信息保護(hù)法》通過明確個(gè)人信息處理者的法定義務(wù)、相關(guān)部門的個(gè)人信息保護(hù)職責(zé)，以及合規(guī)審計(jì)、個(gè)人信息保護(hù)影響評(píng)估等激勵(lì)相容機(jī)制設(shè)計(jì)，推動(dòng)個(gè)人信息保護(hù)全社會(huì)協(xié)同共治，有利于集合力量構(gòu)建清朗網(wǎng)絡(luò)空間。謝波表示，“立法只是第一步，還需要在行業(yè)內(nèi)形成具體個(gè)人信息保護(hù)標(biāo)準(zhǔn)、制定個(gè)人信息保護(hù)技術(shù)標(biāo)準(zhǔn)等細(xì)化的制度機(jī)制，才能實(shí)現(xiàn)網(wǎng)絡(luò)安全的可持續(xù)性。”

（應(yīng)采訪對(duì)象要求，文中羅雨欣為化名）