個人信息保護(hù)法對郵政業(yè)的影響與合規(guī)研究

楊春麗 邵妍妍 金旭彤 黃月琴 邵雪焱 許保光,4

1(國家郵政局郵政業(yè)安全中心信息安全處 北京 100091) 2(中國科學(xué)院大學(xué)應(yīng)急管理科學(xué)與工程學(xué)院 北京 100049) 3(中國科學(xué)院科技戰(zhàn)略咨詢研究院 北京 100190) 4(中國科學(xué)院大學(xué)公共政策與管理學(xué)院 北京 100049)

隨著數(shù)字經(jīng)濟(jì)的發(fā)展和數(shù)字中國戰(zhàn)略的提出，數(shù)據(jù)已成為和土地、勞動力、資本、技術(shù)一樣的生產(chǎn)要素.在數(shù)據(jù)的使用和處理過程中對個人信息的應(yīng)用需求不斷增加[1]，個人信息的地位愈發(fā)重要.郵政業(yè)作為現(xiàn)代服務(wù)業(yè)的關(guān)鍵產(chǎn)業(yè)已經(jīng)進(jìn)入高速發(fā)展期.2021年11月1日，《中華人民共和國個人信息保護(hù)法》(以下簡稱《個人信息保護(hù)法》)正式施行，作為個人信息保護(hù)領(lǐng)域的基本法，《個人信息保護(hù)法》全面規(guī)定了個人信息處理者的義務(wù)及責(zé)任，并提出明確的合規(guī)要求[2].《個人信息保護(hù)法》主要關(guān)注公民個人信息保護(hù)，僅側(cè)重于保護(hù)個人信息，但相較于《中華人民共和國數(shù)據(jù)安全法》(以下簡稱《數(shù)據(jù)安全法》)，《個人信息保護(hù)法》提出了更多具體的場景，例如對個人信息、敏感信息應(yīng)當(dāng)基于全生命周期進(jìn)行保護(hù)，對個人信息主體的權(quán)利和個人信息處理者如何應(yīng)對信息主體提出的權(quán)利請求，以及針對應(yīng)對不當(dāng)所負(fù)相應(yīng)的責(zé)任等都作出了規(guī)范.

此前，《中華人民共和國網(wǎng)絡(luò)安全法》于2017年6月1日正式施行，是我國第一部全面規(guī)范網(wǎng)絡(luò)空間安全管理的基礎(chǔ)性法律[3]，側(cè)重于網(wǎng)絡(luò)安全，主要從網(wǎng)絡(luò)安全監(jiān)管角度，關(guān)注的數(shù)據(jù)主要是以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別自然人個人身份的各種信息[4]；《數(shù)據(jù)安全法》于2021年11月1日正式施行，是數(shù)據(jù)安全領(lǐng)域的基礎(chǔ)法律.它對數(shù)據(jù)處理者提出相關(guān)的義務(wù)要求，并對監(jiān)管數(shù)據(jù)進(jìn)行全面的界定，其范圍更廣，包括個人信息與非個人信息.針對個人信息合理處理使用的問題，有關(guān)部門也曾先后出臺《互聯(lián)網(wǎng)個人信息保護(hù)指南》《個人信息安全標(biāo)準(zhǔn)》等規(guī)范性文件，并在《中華人民共和國民法典》(以下簡稱《民法典》)中也提出了保護(hù)個人信息的責(zé)任要求[5].這些關(guān)于個人信息保護(hù)等方面的法律法規(guī)文件能進(jìn)一步細(xì)化為具體詳細(xì)的、對企業(yè)有規(guī)范意義的標(biāo)準(zhǔn).總體來說，我國基本已建立起個人信息安全保護(hù)的完整法律框架.

本文討論了《個人信息保護(hù)法》的出臺對郵政業(yè)數(shù)據(jù)安全的影響，介紹郵政業(yè)特點(diǎn)與數(shù)據(jù)安全問題.從《個人信息保護(hù)法》和郵政業(yè)信息保護(hù)法律文件要求出發(fā)，結(jié)合郵政業(yè)務(wù)中個人信息泄露案例，分析郵政業(yè)面臨的信息安全問題.提出相關(guān)應(yīng)對措施，對郵政業(yè)個人信息安全保護(hù)具有一定的參考作用.

1 郵政業(yè)業(yè)務(wù)流程及數(shù)據(jù)特點(diǎn)

1.1 郵政業(yè)業(yè)務(wù)流程特點(diǎn)

郵政業(yè)主要業(yè)務(wù)流程是指寄遞承運(yùn)方運(yùn)用專用工具、設(shè)備和應(yīng)用軟件系統(tǒng)，將快件進(jìn)行處理，在較短的時間內(nèi)將特定的物品運(yùn)達(dá)指定地點(diǎn)或目標(biāo)客戶手中的活動[6].郵政快遞企業(yè)的生產(chǎn)運(yùn)作流程具體可分為收件、驗視、信息核對、裝載、運(yùn)輸?shù)侥车啬臣⒅行?、安檢、分揀、裝載、再次運(yùn)輸、投遞、用戶收件等環(huán)節(jié)，整體環(huán)節(jié)可分為攬收、運(yùn)輸、派送等，如圖1所示.

在攬收環(huán)節(jié)，首先由寄件人填寫寄遞詳情單，包括姓名、地址與寄件人身份證號等個人信息，攬收人將相關(guān)信息錄入系統(tǒng)，在寄遞服務(wù)末端將物品集中發(fā)送下一級轉(zhuǎn)運(yùn)中心；物品運(yùn)輸至轉(zhuǎn)運(yùn)中心后，分揀員會依據(jù)寄遞系統(tǒng)的指示，將物品按一定方式進(jìn)行分類、集中，其中運(yùn)輸距離遠(yuǎn)且時間跨度大的物品進(jìn)行干線運(yùn)輸；物品到達(dá)轉(zhuǎn)運(yùn)中心后繼續(xù)進(jìn)行盤駁運(yùn)輸，到達(dá)收件地網(wǎng)點(diǎn)后進(jìn)入投遞環(huán)節(jié).寄遞系統(tǒng)會指派快遞員進(jìn)行派件，同時通知收件人進(jìn)行接收.具體交付方式按照用戶與快遞公司的約定進(jìn)行交付，一般有直接送貨上門和送貨至云柜寄存2種方式.

根據(jù)郵政業(yè)的業(yè)務(wù)流程，其特點(diǎn)簡單概括如下：

1) 服務(wù)群體的廣泛性.郵政業(yè)的服務(wù)范圍面向整個社會，服務(wù)群體廣泛，服務(wù)對象不只是個人，還包括政府、企業(yè)等組織.

2) 生產(chǎn)過程和消費(fèi)過程的同一性.郵政業(yè)的生產(chǎn)過程也是用戶的使用過程，是為用戶服務(wù)的全過程[7].

3) 寄遞環(huán)節(jié)的信息技術(shù)主導(dǎo)性.在寄遞的全過程中，使用現(xiàn)代信息技術(shù)主導(dǎo)寄遞環(huán)節(jié).利用條碼技術(shù)、智能分揀系統(tǒng)、全球?qū)Ш叫l(wèi)星系統(tǒng)、智能交通技術(shù)、無線射頻技術(shù)等現(xiàn)代信息技術(shù)，為實(shí)現(xiàn)郵寄的全過程跟蹤、監(jiān)控、管理等提供技術(shù)支持.

1.2 郵政業(yè)用戶數(shù)據(jù)

郵政業(yè)涉及的數(shù)據(jù)主要包括用戶數(shù)據(jù)和企業(yè)運(yùn)營數(shù)據(jù).用戶數(shù)據(jù)是指業(yè)務(wù)開展過程中涉及到的個人用戶及企業(yè)用戶相關(guān)數(shù)據(jù)，其中，個人用戶數(shù)據(jù)指業(yè)務(wù)開展過程中涉及的個人寄遞用戶數(shù)據(jù)，企業(yè)用戶數(shù)據(jù)指業(yè)務(wù)開展過程中涉及的企業(yè)客戶數(shù)據(jù)、供應(yīng)商數(shù)據(jù)等企業(yè)用戶相關(guān)數(shù)據(jù).企業(yè)運(yùn)營數(shù)據(jù)是指經(jīng)營活動中產(chǎn)生的各類業(yè)務(wù)經(jīng)營相關(guān)的數(shù)據(jù)，包括但不限于寄遞物品的費(fèi)用信息、配送信息、簽收信息、售后信息[8].用戶數(shù)據(jù)具體包括地址信息、電話信息以及身份證信息等，涉及用戶個人隱私，是郵政快遞服務(wù)的核心數(shù)據(jù)，也是數(shù)據(jù)安全的關(guān)注焦點(diǎn).

快遞業(yè)務(wù)流程中蘊(yùn)含的信息量極其豐富，且高度敏感.近年來，郵政業(yè)處于個人信息泄露的重災(zāi)區(qū)，相關(guān)個人信息泄露事件頻發(fā).由于涉及數(shù)據(jù)處理環(huán)節(jié)復(fù)雜，相關(guān)企業(yè)缺乏較高的自律意識，難以主動為此付出時間和費(fèi)用的成本.面對行業(yè)內(nèi)如此嚴(yán)峻的形勢，出臺數(shù)據(jù)安全相關(guān)法規(guī)、制定行之有效的監(jiān)管辦法將成為郵政業(yè)未來發(fā)展的重點(diǎn).

2 郵政業(yè)個人信息保護(hù)要求和存在的問題

2.1 郵政業(yè)個人信息保護(hù)相關(guān)法律法規(guī)

為了加強(qiáng)用戶個人信息安全保護(hù)，郵政業(yè)從個人信息合法處理原則、個人信息處理者相關(guān)責(zé)任義務(wù)、個人信息處理規(guī)則等方面制定了相關(guān)法律文件.

1) 《個人信息保護(hù)法》第9條規(guī)定：“個人信息處理者應(yīng)當(dāng)對其個人信息處理活動負(fù)責(zé)，并采取必要措施保障所處理的個人信息的安全”.第10條規(guī)定：“任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息；不得從事危害國家安全、公共利益的個人信息處理活動”[12].以上條款強(qiáng)調(diào)了個人信息處理者處理個人信息應(yīng)遵循合法的處理原則，并采取正當(dāng)?shù)奶幚矸绞?郵政業(yè)針對“個人信息合法處理原則”制定了相關(guān)法律規(guī)定，如表1所示.

表1 針對“個人信息合法處理原則”的法律文件梳理

2) 《個人信息保護(hù)法》第5章明確了個人信息處理者的合規(guī)管理和保障個人信息安全等要求，強(qiáng)化了個人信息處理者在掌握個人信息過程的安全保障義務(wù)[9].郵政業(yè)針對“個人信息處理者相關(guān)責(zé)任義務(wù)”制定了相關(guān)法律規(guī)定，如表2所示.

表2 針對“個人信息處理者相關(guān)責(zé)任義務(wù)”的法律文件梳理

3) 《個人信息保護(hù)法》中對個人信息處理規(guī)則明確規(guī)定，個人信息處理者負(fù)有個人信息處理告知義務(wù)，將處理規(guī)則公開；并應(yīng)遵循最小范圍使用原則，對個人信息的保存期限應(yīng)當(dāng)為實(shí)現(xiàn)處理目的所必要的最短時間[9].在2021年2月發(fā)布的《快遞物流服務(wù)數(shù)據(jù)安全指南》(征求意見稿)[8]中，同樣要求服務(wù)運(yùn)營者收集信息應(yīng)遵守用戶告知同意原則，在提供寄遞服務(wù)時應(yīng)提前獲得用戶明示同意；快遞物流服務(wù)收集用戶個人信息應(yīng)遵守數(shù)據(jù)最小化原則，明確了個人信息收集范圍界限.

2.2 郵政業(yè)個人信息問題分析

快遞用戶信息泄露事件層出不窮，郵政業(yè)面臨的信息安全形勢十分嚴(yán)峻.在寄遞服務(wù)流程中，主要面臨以下個人信息泄露問題：

1) 信息泄露風(fēng)險節(jié)點(diǎn)較多.

近年來，電商企業(yè)讓社會發(fā)生了巨大的變化，與此同時，郵政快遞企業(yè)的發(fā)展也迎來新一波高潮.消費(fèi)者的個人信息在業(yè)務(wù)全流程的中轉(zhuǎn)節(jié)點(diǎn)較多，從電商平臺下單到訂單完成，中間涉及平臺、賣家、快遞訂單系統(tǒng)和快遞包裝4個環(huán)節(jié)，有人會接觸到消費(fèi)者的訂單信息，導(dǎo)致信息泄露的風(fēng)險變大.如杭州某電商公司盜取6.5萬余條快遞信息的王某，佯裝進(jìn)入該電商公司進(jìn)行應(yīng)聘，只為在公司電腦上安裝木馬病毒，盜取大量用戶信息.然而數(shù)據(jù)存儲是數(shù)據(jù)安全的重中之重，《個人信息保護(hù)法》第5章也明確了個人信息處理者需要采取加密等安全措施，履行掌握個人信息過程的安全保障義務(wù)[9].在電商平臺掌握消費(fèi)者的個人信息后，有義務(wù)采取相應(yīng)的安全措施，提高數(shù)據(jù)庫和相關(guān)防護(hù)系統(tǒng)(如防火墻等)的安全能力，降低數(shù)據(jù)泄露風(fēng)險.

2) 郵政快遞企業(yè)信息系統(tǒng)管理中的問題.

隨著快遞業(yè)務(wù)規(guī)模的不斷擴(kuò)大，郵政快遞企業(yè)積累了大量的寄遞用戶信息，個人信息泄露事件頻發(fā)，如2020年國內(nèi)某快遞公司5名員工非法售賣和使用寄遞用戶信息事件更是引起社會對于信息泄露和個人信息保護(hù)的進(jìn)一步重視.外部人員租用該快遞公司內(nèi)部員工系統(tǒng)賬號，登錄后進(jìn)入內(nèi)部寄遞系統(tǒng)，導(dǎo)出寄遞用戶信息，將信息通過社交平臺非法售賣到全國及東南亞等電信詐騙高發(fā)地區(qū).《個人信息保護(hù)法》第51條要求個人信息處理者制定內(nèi)部管理制度和操作規(guī)程，并組織實(shí)施制定個人信息安全應(yīng)急預(yù)案[9]；《寄遞服務(wù)用戶個人信息安全管理規(guī)定》也提出郵政企業(yè)應(yīng)當(dāng)制定內(nèi)部安全管理制度和操作流程，建立寄遞用戶信息安全應(yīng)急處置機(jī)制[13]，履行企業(yè)信息安全保障的義務(wù).對于郵政快遞企業(yè)，需進(jìn)一步落實(shí)相關(guān)法律法規(guī)要求，開展自查，從內(nèi)部制度、人員分工、系統(tǒng)安全、風(fēng)險管控等方面進(jìn)行數(shù)據(jù)安全管理.

3) 個人信息脫敏加密中的問題.

每個快遞包裝上都印有一張快遞面單，快遞面單中包含著寄件人、收件人的聯(lián)系方式、家庭住址等關(guān)鍵信息.在某社交平臺的關(guān)于“快遞”“快遞面單”等社群中，大量出售和收購寄遞用戶快遞面單的帖子不在少數(shù).其中不乏實(shí)時快遞面單，在用戶下單僅數(shù)小時內(nèi)，快遞面單就被標(biāo)價出售.《個人信息保護(hù)法》第51條要求個人信息處理者采取相應(yīng)的加密、去標(biāo)識化等安全技術(shù)措施[9]；《快遞暫行條例》《郵政業(yè)寄遞安全監(jiān)督管理辦法》《郵政快件包裝管理辦法》也提出，郵政企業(yè)應(yīng)當(dāng)建立寄遞詳情單及電子數(shù)據(jù)管理制度[12,14-15]，保護(hù)用戶信息安全.京東、順豐和菜鳥分別推出了“隱私面單”，采取數(shù)據(jù)脫敏加密的措施，在不同程度上隱去用戶真實(shí)信息，實(shí)現(xiàn)信息保護(hù).

4) 從業(yè)人員隊伍建設(shè)中的問題.

近年來郵政業(yè)高速發(fā)展，其從業(yè)人員數(shù)量暴增且流動性大.快遞公司內(nèi)部人員以便利條件獲取用戶個人信息，導(dǎo)致公民個人信息泄露的事件層出不窮.如2016年以來，馮某利用其為河北某快遞公司員工的便利條件，用自己和同事的工號登錄公司系統(tǒng)查詢公民個人信息，整理后，再通過電子郵件賣給外部人員，以獲取非法利益.《個人信息保護(hù)法》第51條要求合理確定個人信息處理的操作權(quán)限，并定期對從業(yè)人員進(jìn)行安全教育和培訓(xùn)[9].為避免內(nèi)部員工未按規(guī)定使用設(shè)備產(chǎn)生信息泄露的問題，郵政快遞企業(yè)應(yīng)落實(shí)對相應(yīng)職位員工個人的職業(yè)規(guī)范和道德培訓(xùn)的責(zé)任.

綜上，郵政業(yè)積累了數(shù)量龐大的寄遞用戶個人信息，在《個人信息保護(hù)法》正式出臺以前，針對存在的信息安全問題，郵政管理部門已出臺多份法律文件，明確規(guī)定企業(yè)處理個人信息的原則和義務(wù)，并對業(yè)務(wù)全流程進(jìn)行監(jiān)管和公開；要求相關(guān)企業(yè)對使用的數(shù)據(jù)信息進(jìn)行分類分級，對數(shù)據(jù)進(jìn)行加密化處理；要求相關(guān)企業(yè)對個人信息使用權(quán)限及用戶告知同意，保護(hù)寄遞用戶個人隱私權(quán)利.依據(jù)相關(guān)法律文件，郵政業(yè)需要針對行業(yè)內(nèi)信息泄露的突出問題作出相關(guān)應(yīng)對措施.

3 郵政業(yè)個人信息保護(hù)應(yīng)對建議

3.1 確立完整的個人信息控制流程

郵政業(yè)為了發(fā)展需要與其他電商平臺進(jìn)行合作，其中用戶個人信息安全保護(hù)程序必然變得復(fù)雜.在這種情況下快遞企業(yè)需要和電商平臺進(jìn)行合作，把工作業(yè)務(wù)和工作程序公開，讓用戶了解其個人信息在收集、利用、處理全流程中的去向，這是對知情同意原則的遵守與維護(hù)[1].2018年國務(wù)院辦公廳印發(fā)了《關(guān)于推進(jìn)電子商務(wù)與快遞物流協(xié)同發(fā)展的意見〔2018〕1號》(以下簡稱《意見》)[16]，其中也明確規(guī)定了相關(guān)部門應(yīng)引導(dǎo)電子商務(wù)企業(yè)與快遞物流業(yè)加強(qiáng)系統(tǒng)互聯(lián)和業(yè)務(wù)聯(lián)動，共同提高信息系統(tǒng)安全防護(hù)水平.目前來看落實(shí)不夠，建議下一步相關(guān)部門按照《意見》相關(guān)內(nèi)容要求進(jìn)一步落地，促進(jìn)郵政快遞企業(yè)與電商平臺關(guān)于數(shù)據(jù)安全的戰(zhàn)略合作交流，推動上下游企業(yè)聯(lián)合確立完整的個人信息控制流程，加強(qiáng)數(shù)據(jù)安全監(jiān)管，保證在合作過程中的數(shù)據(jù)流動安全.

3.2 建立郵政業(yè)數(shù)據(jù)安全管理制度

《個人信息保護(hù)法》的正式出臺加大了郵政業(yè)對保護(hù)寄遞用戶個人信息安全的重視.郵政業(yè)應(yīng)基于時代發(fā)展與快遞服務(wù)需要，出臺關(guān)于郵政業(yè)數(shù)據(jù)安全的法律法規(guī)，加強(qiáng)對郵政數(shù)據(jù)安全的相關(guān)指導(dǎo).在郵政業(yè)數(shù)據(jù)安全管理方面，運(yùn)用安全審計、安全檢查的監(jiān)督手段，對數(shù)據(jù)安全的管理工作進(jìn)行審計審查，查看企業(yè)數(shù)據(jù)安全管理工作的合法性與合規(guī)性.郵政管理部門應(yīng)當(dāng)盡快發(fā)布行業(yè)內(nèi)關(guān)于敏感數(shù)據(jù)監(jiān)管的文件規(guī)定，要求郵政企業(yè)對敏感數(shù)據(jù)進(jìn)行分類分級，切實(shí)建立內(nèi)部數(shù)據(jù)安全監(jiān)督運(yùn)行機(jī)制，運(yùn)用系統(tǒng)管理的方法對數(shù)據(jù)安全實(shí)施管理，注重數(shù)據(jù)安全風(fēng)險評估及事件安全應(yīng)急預(yù)案.

3.3 推動郵政業(yè)新技術(shù)手段應(yīng)用

為加強(qiáng)對電商及郵政業(yè)的監(jiān)督和管理，規(guī)范郵政快遞企業(yè)寄遞快遞包裹的行為，2015年11月快遞實(shí)名收寄制度正式實(shí)行.在快遞實(shí)名制實(shí)行之后，雖然社會不良安全事件顯著減少，但是由于快遞面單詳細(xì)記錄了寄遞用戶的姓名、電話號碼和家庭住址等，將用戶個人信息暴露在公共視野中，危險系數(shù)大大增加.為減少用戶個人信息的直接泄露，郵政快遞企業(yè)應(yīng)對面單上敏感字段進(jìn)行脫敏、去標(biāo)識化處理，加大對隱私面單、電子身份二維碼、虛擬號碼等新技術(shù)的推廣應(yīng)用，保障寄遞用戶個人信息不被泄露和非法使用.

3.4 加強(qiáng)郵政業(yè)數(shù)據(jù)安全人才培養(yǎng)

郵政業(yè)的蓬勃發(fā)展需要大量擁有專業(yè)知識和職業(yè)操守的工作人員參與.在用戶個人信息處理方面更是需要有良好的安全技術(shù)和道德素質(zhì)的信息人員配合工作.郵政業(yè)應(yīng)當(dāng)注重對信息安全人才的培養(yǎng)，提高信息安全專職技術(shù)人員比例，不斷提升從業(yè)人員信息保護(hù)的規(guī)范化水平.郵政快遞企業(yè)可對相應(yīng)職位的信息操作人員進(jìn)行法律和技術(shù)培訓(xùn)，如《個人信息保護(hù)法》和信息安全技術(shù)的培訓(xùn)，并進(jìn)行定期考核[1].此前行業(yè)相關(guān)文件已經(jīng)作出規(guī)定，然而培訓(xùn)和考核必須是持久的.針對業(yè)務(wù)流程的不同場景進(jìn)行培訓(xùn)與考核，具備個人信息處理資格的工作人員才可從事快遞服務(wù)中的個人信息處理的工作.

除此之外，寄遞用戶作為寄遞服務(wù)的主體對象，也應(yīng)該不斷提升信息安全保護(hù)意識，提高個人信息安全保護(hù)能力.在網(wǎng)絡(luò)平臺進(jìn)行購物時，由于快遞面單上包含了個人相關(guān)信息，對此，寄遞用戶在寄送和簽收快遞時可主動勾選、開啟“隱私面單”服務(wù).寄遞用戶在收取快件時應(yīng)養(yǎng)成及時處理面單上的個人信息的習(xí)慣，確保敏感信息被遮擋以后再扔掉包裹或者將快遞單進(jìn)行銷毀處理，主動規(guī)避信息泄露的風(fēng)險.

4 結(jié)束語

新技術(shù)的發(fā)展是一把雙刃劍，相伴而來的是信息安全風(fēng)險日益嚴(yán)峻[17].《個人信息保護(hù)法》的出臺對個人信息泄露頻發(fā)的亂象提出了明確的法律責(zé)任要求.對此，郵政監(jiān)管部門、郵政快遞企業(yè)、寄遞用戶等多方主體須嚴(yán)格遵循法律要求，規(guī)范個人信息處理活動，切實(shí)保障寄遞用戶個人信息安全，郵政業(yè)將會擁有更廣闊的發(fā)展空間、更高質(zhì)量的快遞服務(wù).