原标题：谁动了我的信息:个人信息在"裸奔"用户毫不知情
从被各种推销电话骚扰,到下载使用App被过度收集个人信息,几乎每个人都曾遇到过自己的信息被泄漏或不当使用的情况。个人信息安全问题一直是社会关注的焦点,也是不少代表委员关注的议题。
刘艳
迟日大
吕卉
日前,由浙江省杭州市下城区检察院提起民事公益诉讼的民法典实施后全国首例侵犯公民个人信息案件通过网络公开审理(图左下为被告人代理律师)。记者范跃红通讯员朱兰兰摄
在一起侵犯公民个人信息刑事附带民事公益诉讼案庭审现场,上海市黄浦区检察院检察官以公益诉讼起诉人身份出庭支持公诉。通讯员钱盛摄
上海市宝山区检察院就一起侵犯公民个人信息刑事附带民事公益诉讼案召开专题研讨会。记者林中明通讯员程玲摄
不久前,央视“3·15”晚会上曝光的“人脸识别技术被滥用”的新闻引起了广泛关注。据报道,科勒卫浴、宝马等知名企业在线下门店使用带有人脸识别的摄像头,顾客在不知情的情况下被采集个人信息,并生成一串编码。从此以后顾客去了哪家门店、去了几次,商户都能知道,从而达到精准营销。
商家企业以智慧为名,却行“偷脸”之实。个人信息在用户毫不知情的情况下处于“裸奔”状态,令人细思极恐。
从被各种推销电话骚扰,到下载使用App被过度收集个人信息,几乎每个人都曾遇到过自己的信息被泄漏或不当使用的情况。个人信息安全问题一直是人们关注的焦点。在不久前结束的全国两会上,不少代表委员的建议也和个人信息保护有关。
在大数据、人工智能等互联网新技术广泛使用的背景下,如何加强个人信息监管、保护个人隐私安全?检察机关在依法惩治相关刑事犯罪的同时,如何发挥公益诉讼职能保护公民个人信息?记者对此采访了相关学者、检察官以及关注个人信息保护议题的代表委员。
1担忧:个人信息被过度收集及不当使用
“下载一个App,却要求获取我的通讯录、麦克风等权限,实际上这些权限的获取和App本身的正常使用没什么关系。”全国人大代表、安徽广播电视台广播剧创作室主任吕卉告诉记者,自己就曾遇到过下载App被过度获取隐私权限的情况。提到当时的情景,吕卉语气颇为无奈。
与吕卉的遭遇相似,全国政协委员、功承律师事务所主任迟日大也遇到过相似的情况。“如果App要求获取的用户权限与App本身的功能使用并无关系,这就属于对个人信息的过度采集。比如,就打车软件而言,获取用户地理位置是必需的,但如果还要求获取用户的相册、通讯录等权限,则属于过度采集。”迟日大表示。
据了解,自工信部2019年11月首次组织开展App侵害用户权益专项整治行动以来,至今已有11批657款侵害用户权益的App被点名通报并依法依规予以处理。尽管如此,与现下多如牛毛、令人不胜其烦的App侵害用户权益行为相比,专项治理的成效并不能满足群众的殷切期待。“这也恰恰是个人信息保护法和数据安全法立法的重要现实意义之一。”迟日大表示。
同样聚焦个人信息保护,全国人大代表、上海市闵行区副区长刘艳更关注在常态化疫情防控形势下,对流调过程中所采集的数据信息安全保护问题。
刘艳曾任上海交通大学医学院附属第九人民医院副院长,她告诉记者,流行病学调查是传染性疾病防控的重要关键手段,利用大数据分析等现代技术,可使流调工作更具效率。刘艳认为,对流调过程中采集的数据信息安全保护问题不容忽视,“这不仅涉及个人隐私保护,从某种程度上来说,也涉及国家安全保护,比如定位数据信息、个人身份信息等。”
“与互联网技术的发展速度相比,我国相关法律法规相对滞后,存在对数据信息的采集、储存、使用以及个人隐私范围的界定不明确等问题。”刘艳说。
2建议:加快个人信息保护立法进程
采访过程中,三位代表委员都提到了加快个人信息保护法的立法进程,同时表示需要明确数据收集、处理、使用的义务边界。
目前,个人信息保护法草案已提请全国人大常委会审议,这一法律的颁布和实施,将对保护个人信息安全发挥重要作用。
在今年的全国两会上,迟日大建议从三方面完善个人信息保护法。一是要进一步完善数据安全和个人信息保护的相关标准。他表示,目前关于数据安全和个人信息保护的相关规范存在数量庞杂、内容交织、效力层级不一致等问题。因此在加快立法进程的同时,应对相关的标准、规范加以整合,力争出台内容全面、规范合理、效力层级较高的国家强制性标准。二是要严格限制和监管“隐私换便利”情形,通过具体的规则设计和技术手段,解决App协议过度索取权限等问题。三是在法律责任上采取强监管的立法取向。比如,将侵犯公民个人信息、危害数据安全行为纳入治安管理处罚法修改内容,以便与数据安全法和个人信息保护法草案的相关规定相适应,共同构建起全方位的法律保护格局。
刘艳告诉记者,目前,无论是网络安全法还是“两高”关于侵犯公民个人信息刑事案件的司法解释,虽然明确惩治侵犯公民个人信息犯罪活动,但更多还是集中于买卖环节的“灰色产业链”上,对大数据等技术领域的规定着墨不多。“从数据信息的采集到应用的各个环节,包括数据质量、数据隐私以及数据采集界限等都需要更详细的规定。”刘艳建议,进一步加快个人信息保护法的立法进程及相应实施细则的出台,增强法律规范的系统性、针对性和可操作性,在个人信息保护方面提供更有力的法律保障。同时,加强执法力度检查,确保现行法律法规的有效执行。要落实主体责任,在相关信息使用和流调过程中,对于接触者及其使用目的要有明确清晰的记录,明确“谁主管谁负责,谁使用谁负责”。建议对相关工作人员加大个人信息保护意识的宣传力度,并进行保密培训。对于因个人原因造成信息泄露的,追查到个人,严格依法惩处。“我们还应该严格落实‘最小必要’原则,规范个人信息的收集和管理。”刘艳说道。
记者注意到,“十四五”规划中,专门提到要完善适用于大数据环境下的数据分类分级保护制度。吕卉在接受采访时表示,在积极推进个人信息保护立法工作的过程中,还应建立个人信息分级分类采集标准和体系,明确不同情况下采集主体、采集内容、采集方式、流通范围和保护机制等。
“相较于一般的公民个人信息,对个人生物识别信息应予以更严格的保护。”针对最近一段时间,媒体爆出人脸信息被滥用、盗用、随意采集的现象,西南政法大学民商法学院副院长张力表达了自己的担忧。如今越来越多的场景涉及处理敏感个人信息,如自动售卖机、小区物业等收集人脸信息,这些场景是否有充分的必要性处理敏感个人信息,“恐怕要打一个问号。”
“相较于一般个人信息而言,生物识别信息私密性程度较强,属于‘特殊敏感类数据’,其对个人的重要性意义非凡。此外,生物识别信息不仅与个人身份识别相关,而且与个人的财产权相关联。”张力进一步解释。“因此,有必要确立全方位的法律防范体系,避免因生物识别信息泄露给人身和财产带来重大损害。”
值得注意的是,个人信息保护法草案已把个人生物特征列入敏感个人信息,规定处理敏感个人信息应当取得个人的单独同意,个人信息处理者应当告知处理的必要性及对个人的影响。同时,草案还拟规定公共场所安装图像采集、个人身份识别设备,应该为维护公共安全所必需,且只能用于维护公共安全的目的。
张力表示,可以考虑在法律上确立强行性禁止规范。即明确禁止购买、出租、交易等生物识别个人信息;禁止任何主体通过获取的生物识别信息进行牟利,以及非经个人同意非法搜集、存储、使用、披露生物识别个人信息。仅仅在法律有特别规定时,方可不需经个人同意将有关信息提交给相关国家机关做公益用途使用。
3期待:将个人信息保护纳入检察公益诉讼范围
日前,在央视“3·15”晚会曝光部分企业违规采集人脸数据后,上海市检察机关和江苏省苏州市检察机关针对涉事企业涉嫌侵害公益的线索展开调查。
“普通民众当发现自己的信息被过度收集、非法买卖后,由于专业知识不足、调查取证能力有限等,想要维权实际上很难。”迟日大认为,检察公益诉讼是强化个人信息保护的重要方式,将个人信息保护纳入检察公益诉讼范围具有必要。
目前,检察机关履行公益诉讼职责的法定范围是“4+1”,即生态环境和资源保护、食品药品安全、国有财产保护、国有土地使用权出让和英烈权益保护。不过,相关法律在明确检察公益诉讼案件范围时都有一个“等”字,即除法律明确规定的领域外,其他需要同等保护公共利益的领域。2019年10月,党的十九届四中全会作出要“扩展公益诉讼案件范围”的新部署。最高检将检察公益诉讼“等”外探索原则由“稳妥、积极”调整为“积极、稳妥”。
在此过程中,检察机关积极发挥公益诉讼检察职能,探索在网络个人信息保护领域开展公益诉讼,与刑事检察同向发力,逐步形成对公民个人信息的全方位司法保护。截至2020年底,已有18个省级人大常委会通过决定或决议,授权检察机关在互联网侵害公益、个人信息保护等相关领域探索公益诉讼实践。四川、上海、江苏、湖北等地检察机关办理了多起严重侵害公民个人信息的公益诉讼案件。杭州市余杭区检察院办理了全国首例未成年人网络保护民事公益诉讼案,以典型个案的办理,推动网络运营商、互联网企业完善行业规则,切实加强对儿童个人信息的网络保护;苏州市相城区检察院针对售楼处安装人脸识别系统和设备,非法采集人脸信息向相关部门制发检察建议;浙江省检察院不久前决定对10起公民个人信息保护领域公益诉讼案件进行挂牌督办……
开展个人信息保护领域的公益诉讼,与传统单一的民事诉讼、行政处罚、刑事追究等手段相比,究竟有什么不同?江苏省检察院第七检察部主任周合星告诉记者,个人信息保护领域的公益诉讼是针对不特定多数人信息被泄露或被违法利用提起的诉讼,侧重点是通过诉讼解决一类问题,达到“以点带面”的综合治理效果。
“在个人信息保护领域的案件中,被泄露信息的公民往往并不知道自己的信息被泄露,无法找到信息泄露的源头,因而公民维权积极性较低,在这方面,公益诉讼更具有优势。”周合星对记者讲起泰州市高港区检察院此前办理的一起侵犯公民个人信息刑事附带民事公益诉讼案。“该案中,涉案公民个人信息高达85万余条,如果公民个人进行维权,成本和难度都很高。”
“将个人信息侵权案件纳入到公益诉讼范围内,实际上是加大了对个人信息的保护力度。”张力表示。刘艳同样认为,应该进一步鼓励支持检察机关开展个人信息保护领域公益诉讼工作。
“建议以个人信息保护专门立法为契机,明确将公民个人信息保护纳入检察公益诉讼范围,明确检察院提起个人信息保护领域公益诉讼的具体条件,为个人信息保护提供更完善的制度保障。”张力表示。
(卢志坚对本文亦有贡献)
