征求意见|征求意见期满行业“内鬼”频现个人信息保护法如何破题隐私保护隐私保护|征求意见|破题|内鬼

文章插图
就在《中华人民共和国个人信息保护法（草案）》（以下简称《个人信息保护法（草案）》）意见征集截止前，圆通速递（以下简称“圆通”）因泄露用户个人信息在被推上舆论风口。11月17日，圆通在官方微博发文称，近日有媒体报道经公司报案、公安机关破获的非法获取并使用快递运单信息的案件。发稿当日，国家邮政局回应称，“一直非常重视个人信息保护，对于信息泄露等问题态度一直非常明确，一切以此前公布的政策、表态为准”。
圆通“内鬼”事件并非侵权孤例。近年来，随着互联网发展，个人信息侵权案屡禁不止。业内指出，身处大数据红利时代，个人信息保护并非无法可依，但想要真正平衡企业和个人权益的天秤，不仅需要实操性更强的法律依据，也需要对“个人信息”的明确界定和划分，而企业端立行整改也不应仅是说说而已。
【 征求意见|征求意见期满行业“内鬼”频现个人信息保护法如何破题隐私保护】当事人难知情
根据圆通发布的信息显示，今年7月底，公司总部实时运行的风控系统监测到圆通速递河北省区下属加盟网点有两个账号存在非该网点运单信息的异常查询，判断为明显的异常操作。经多方调查发现，疑似有加盟网点个别员工与外部不法分子勾结，利用员工账号和第三方非法工具窃取运单信息，导致信息外泄。当前，相关犯罪嫌疑人已于9月落网。
事实上，圆通此次泄密并非首犯。2013年10月，有媒体曝近百万条圆通快递单个人信息网上可购，单号数据24小时滚动刷新；2018年7月至2019年5月间，嫌疑人利用爬虫软件从圆通公司网站非法窃取公司快件信息并获利100万元。
回顾圆通事件仅是管中窥豹。随着互联网时代大数据普及，近年来个人信息侵权案件也以几何倍数增长。2018年末，北京市朝阳区法院曾披露数据，据不完全统计，过去15年间朝阳法院共受理公民个人信息民事侵权案件74件，其中近五年即2013至2017年案件总量为38件，占比达到51.4%。就在10月26日，工业和信息化部向社会通报了131家存在侵害用户权益行为APP企业的名单，部分软件涉违规收集和使用个人信息。
值得关注的是，多位律师指出，从当前侵权案例来看，媒体曝光前，作为信息处理者并未及时履行信息侵权后的告知义务，这也为日后埋下隐患。“试想如果圆通事件中未经媒体披露，被侵权者又如何及时获悉自己信息被出售或披露？”卓纬律师事务所合伙人孙志峰表示，智能时代保护个人信息安全最大的难点在于识别和举证，企业具有技术优势，个人普遍缺乏相应的技术知识和识别能力，使得双方处于不对称的情形，个人举证和侵权论证更无从谈起。
然而，不论是2017年落地的《中华人民共和国网络安全法》还是当前公开征求意见的《个人信息保护法(草案)》，均对个人信息处理者告知义务作出明确。其中，《个人信息保护法(草案)》第五十五条规定，个人信息处理者发现个人信息泄露的,应当立即采取补救措施,并通知履行个人信息保护职责的部门和个人。通知内容应当包含泄露原因、可能造成的危害、已采取的补救措施、可采取的减轻危害的措施以及个人信息处理者的联系方式。
“但从实际义务履行情况来看，当个人信息被泄露后，信息处理者一般并不会第一时间主动通知被侵权者和相关部门并说明可能引起的权益损害；而在不通知的情况下，市场监管部门也不会进行处罚；此外，虽然刑法也规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。但关于如何界定被侵权者的损失也是一个问题。”宁人律师事务所金融与科技委员会副主任马军表示。
提倡“先保护再利用”
“其实，我们对于侵犯个人信息的案件并非无法可依。”孙志峰指出。例如，《民法总则》第111条明确规定个人信息受法律保护，任何组织和个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或公开他人的个人信息；《网络安全法》等法律也有保护个人信息的专门条款；《刑法》则将严重侵犯公民个人信息的行为列为刑事犯罪，予以严惩；而《民法典》更是将个人信息作为人格权项下的新型人格利益予以保护。
在这种情况下，侵权案件仍屡禁不止，问题出在哪里？马军分析指出，当前国家对于个人信息的立法基调是“保护+利用”。“欧盟对于个人信息使用的要求是非常严格的，而美国则相对灵活宽松，更强调信息的灵活使用。考虑到需要为立法保留空间，我们想要走第三条道路，既保护又利用。这就带来另一个问题，现行法规尚不完备，违法成本低但维权成本高。”

征求意见|征求意见期满 行业“内鬼”频现 个人信息保护法如何破题隐私保护

征求意见|征求意见期满行业“内鬼”频现个人信息保护法如何破题隐私保护