個人信息保護面臨尷尬：對企業追責不夠 立法分散
時間：2018-11-20 10:56 來源：中國經濟周刊 瀏覽次數：15133“從去年7月1日實施以來，《網絡安全法》執法力度是很大的，但存在對企業主體追責不明確的問題?！?1月1日，在青島舉辦的中國保密技術交流大會上，360企業安全集團董事長齊向東首次評論“華住案”。
今年8月28日早上6時，一則華住旗下酒店開房記錄疑似泄露，在網上明碼標價出售的消息在網上流傳。被售賣的數據包括華住官網注冊資料，酒店入住登記身份信息，還有酒店開房記錄等三類，總計近5億條數據，合計大小141.5G。發帖者稱以上數據全部打包價為8比特幣，約為38萬元人民幣。
隨后華住酒店集團向警方報案，上海警方隨即介入調查。360企業安全集團作為技術支持者配合上海警方以技術手段進行偵查，并成功將犯罪嫌疑人抓捕歸案。經查，犯罪嫌疑人利用黑客手段竊取華住集團旗下酒店數據并在境外網站兜售，但未交易成功。上海警方還表示，對該案中涉及未落實網絡安全措施的責任主體單位，警方將依法予以查處。此后上海警方再未對外公布關于該案的具體內容和偵破過程。
齊向東對《中國經濟周刊》記者說，《網絡安全法》已經在個人信息保護的立法層面進行了比較全面的闡述，但仍有對企業主體追責不夠的遺憾，這部分遺憾需要在更加細致的《個人信息保護法》中加以落實。
中國消費者協會今年8月發布的《APP信息泄露情況調查報告》顯示，我國個人信息泄露總體情況比較嚴重，遇到過個人信息泄露情況的人數占比為85.2%，沒有遇到過個人信息泄露情況的人數占比為14.8%。
對我國何時能有一部專門的《個人信息保護法》的討論隨之而來。就此話題《中國經濟周刊》記者對相關人士和立法專家進行了采訪。
《個人信息保護法》 進入立法議程
雖然上海市公安局在公告中稱“對該案中涉及未落實網絡安全措施的責任主體單位警方將依法予以查處”，但《網絡安全法》只在相關章節規定了網絡運營主體和數據控制方對保護個人信息所負的法律義務，并未規定企業面臨的法律后果。
《中國經濟周刊》記者檢索公開資料發現，截至目前，“華住案”中未落實網絡安全措施的責任主體單位華住酒店集團，尚未有受到任何處罰及查處的消息。
齊向東認為，作為泄密單位，華住酒店集團給用戶造成的損失是不可挽回的，它應該承擔什么樣的責任，法律上有要求但細節和細則落實不到位。
360企業安全集團總裁吳云坤則對記者表示，目前掌握個人信息最多的不是個人用戶本地的存儲，也不是政府部門，而是企業，“特別是使用頻次很高的產品背后的企業，比如微信、支付寶和其他網購平臺，所以保護企業所掌握的個人信息其實就是在保護絕大部分的個人信息?！?/p>
就在9月10日，《個人信息保護法》被寫入十三屆全國人大常委會立法規劃(共116件)的第一類項目，即條件比較成熟、任期內擬提請審議的法律草案，立法的地位和優先級有了巨大提升。
從事個人信息保護研究工作的中國人民大學金融科技與互聯網安全研究中心主任楊東告訴《中國經濟周刊》記者，《個人信息保護法》主要的立法目的就是強化企業的責任，“個人信息泄露的主要出口就是企業的不規范操作?！?/p>
立法分散是目前個人信息保護的另一個尷尬。國務院信息化辦公室從2003年起就開始部署個人信息保護法立法研究工作；2009年修訂通過的《刑法修正案(七)》對非法竊取、出售、泄露個人信息的行為作出了規定，《刑法修正案(九)》還設置了非法獲取公民個人信息的罪名。除《網絡安全法》外，個人信息保護的內容還出現在《民法總則》《消費者權益保護法》《電子商務法》和《全國人民代表大會常務委員會關于加強網絡信息保護的決定》等近40部法律、30余部法規和200部規章制度中?！澳壳暗姆涩F實是對個人信息保護的規定十分分散，缺乏系統性、嚴謹性和邏輯性，也沒有清晰的流程?！睏顤|說。
相關企業將配置部門管理個人信息
值得注意的是，在《網絡安全法》生效后不久，一則由全國信息安全標準化技術委員會制定的《個人信息安全規范》(下稱“《規范》”)從2017年底開始在各互聯網公司等數據控制方中悄然流行?！兑幏丁钒凑铡毒W絡安全法》所規定的原則進行的更加細致的規定，很多企業為避免違反《網絡安全法》，就將《規范》作為其業務執行的標準。
《規范》明確了個人信息的邊界和范圍，即關聯路徑和識別路徑下的個人信息同屬應被保護的范疇。所謂關聯路徑是指不能直接識別出某個特定的自然人，但包含了特定自然人的大量行為和習慣數據，如聊天記錄，購物記錄，經常使用的行車路線和好友名單等的數據，對該段數據進行分析之后可以關聯到特定的自然人；所謂識別路徑，是指可直接識別出特定自然人的信息，如手機號碼、身份證號碼和其他證件號碼等。
以微信、微博和人人網等社交網站為例，在《規范》出臺之前，其只將包含用戶識別路徑下的信息加以保護，而將用戶關聯路徑下的個人信息作為網絡運行日志保存而非個人信息對待，這種做法在《規范》的指引下得到了糾正。
《規范》還要求規模在200人以上，或處理超過50萬人的個人信息的企業設立專職負責人和部門管理個人信息的保護問題。按此標準，零售業巨頭阿里巴巴、京東以及社交領域的微信、微博和QQ無一例外都需建立這一部門。根據《中國經濟周刊》記者的了解，屬醫療行業的丁香園在2018年初已將該負責人部署到位，零售巨頭京東和屬網絡安全領域的360集團早年間就設立了類似的部門。
《個人信息保護法》是否會沿用《規范》當中的內容？抑或與時俱進地做出調整？楊東對《中國經濟周刊》記者表示，與《個人信息保護法》相比，《規范》更傾向于是對從業者的一種業務層面的“建議”，“不一定所有內容都會進入法律，法律也沒有必要過分具體地落地到業務操作層面的規定。但《規范》中一些十分成熟的條文很有可能被法律吸收進來。”楊東說。
