财新传媒
位置:博客 > 知识分子 > 中国新规有望加强个人信息安全保护

中国新规有望加强个人信息安全保护

撰文 | 柴爱新 责编 | 夏志坚
面对手机APP条款繁复、晦涩难懂的隐私政策,还有一揽子授权,必须要点同意吗?邮箱、手机,甚至身份证、家庭住址、社会关系、银行卡号……这些被拿去的个人信息会不会被泄露和滥用?
 
近期,中国有关部门公布的管理办法,有望进一步规范互联网企业搜集用户信息的范围,并加强数据使用环节的规定。
 
01 个人信息安全规范修订
 
2019年6月25日,全国信息安全标准化委员会发布《信息安全技术个人信息安全规范》(以下简称《个人信息安全规范》)征求意见稿。
 
对于数据安全,中国此前最重要的法律依据是2017年实施的《网络安全法》。其中第40—44条是对个人信息保护的条款,但都是原则性的表述,需要细致的可落地方案,这也是2018年5月第一版《个人信息安全规范》的由来。
 
一般情况下,国家标准修订一次会间隔五年左右的时间,而修订《个人信息安全规范》距离上一版只有一年的时间,可见在大数据产业高速发展的今天,个人信息安全工作的重要和迫切。
 
本质上来说,《个人信息安全规范》是推荐性标准,没有强制力。“这个标准虽然是推介性的,但是很多的监管部门用这个标准在执法,对企业来说,就等同强制性。”《个人信息安全规范》主要起草人、北京大学互联网发展研究中心高级顾问洪延青介绍,“现在的企业,基本上按照2018年的安全规范标准在做”。
 
相对于第一版,新版个人信息安全规范的修订主要集中在三大方面:限制搜集信息的范围,打破一揽子强制授权;加强数据使用环节的规定;调整隐私政策模板。
 
“在参考国际现有标准借鉴国际经验的基础上,按照中国的法律法规调整,尽量做到接轨。”洪延青表示。
 
有些问题也具有中国特色。“比如,在国外很少有一个APP想干很多事儿,平台式的,上面放各种小程序,所以使用这样的APP就面临很多的个人信息授权。为了解决这个事儿,我们在信息收集那一章节列出很多细则要求,就是打破一揽子授权同意。” 洪延青说。
 
据个人信息安全规范主要起草者之一、中国电子技术标准化研究院的何延哲介绍,新版个人信息安全规范主要是增加了一些条款,比如“用户画像的使用限制”和“个性化展示及退出”,这部分也是起草过程中内部讨论最多的。
 
用户画像越准确,广告推送就越精准。准确的用户画像来源于个人信息。从利益驱动来说,企业肯定期望收集的用户个人信息越多越好。
 
那么,个人信息收集的度在哪里?
 
《个人信息安全规范》中明确,收集个人信息的度是:最小必要。而且,向用户推送新闻信息,如果使用个性化展示的,应标明“个性化展示”或“定推”等字样,而且应提供简单直观的退出或关闭个性化展示模式的选项。
 
但目前的一些APP产品的个性化推送,没有为用户提供更多选择。只能等新的规范生效,靠监管部门的推进执行下去。
 
02 将规范搜集信息的范围
 
根据新规,APP收集用户的个人信息,必须是实现它的基本功能所必要的,不能超范围收集。
 
据网络安全审查技术与认证中心检测部主管张志强介绍,在进行APP审查和认证中,他们把向用户收集的信息分为必要信息、非必要(与产品功能)相关联的信息和无关联非必要信息。
 
张志强举例,比如一款订餐APP需要联系人电话信息,因为没有这个信息,餐食无法送到本人手中,这就是必要信息。但是它还收集订餐人的定位信息,用户订餐其实可以手动输入地址,实时定位信息不是必需的,但是这个定位信息能改善用户体验,加快送达效率,而且可以查到用户附近相关的餐饮店状况,改善提高服务,和基本功能业务相关,因此属于非必要相关联信息。
 
在非必要相关联信息这一点上,很多用户遇到过这样的烦恼:选择不同意,界面直接关闭,基本功能也不让用;或者,不停地弹出界面反复循环询问,用户不胜其扰,只好选择同意。
 
按照新规,这个问题将得到解决。新规明确规定,APP如果使用非必要相关联的信息,需要征求用户的同意。如果用户选择不同意,不可以影响基本功能的使用。
 
张志强表示,当前App还普遍存在超范围收集、强制授权、过度索权、功能捆绑等个人信息安全问题。
 
“但是辨别这些需要专业技术门槛,超出了个体的判断能力,所以这也是检测认证(的)价值和意义。”张志强强调。
 
2019年3月,中国网络安全审查技术与认证中心(CCRC)开始正式受理认证申请。目前,网络安全审查技术与认证中心主导的 APP 安全认证属于自愿性认证,并鼓励搜索引擎、应用商店等明确标识并优先推荐通过认证的 App。
 
张志强透露,目前已经开展了第一批 App 安全认证试点,入围第一批试点的 App有9家企业16款产品,部分已完成认证技术验证。
 
03 数据安全背后的博弈
 
在企业收集个人信息之后,用户最担心的是:会不会被泄露或转卖?有没有被滥用?
 
“虽然目前在中国数据泄露还没有严重的处罚和索赔的案例,但实际从规则上来说,根据《网络安全法》,数据泄露属于违法行为,转卖更是犯罪行为,会被追究法律责任。”一直关注数据安全领域的北京安理律师事务所合伙人王新锐律师说,“对于很多互联网公司来说,数据(包括个人信息)是最重要的资产,企业肯定不会主动泄露,不会被黑客偷走,这一点,从商业利益上来说,是有很大动力的。”
 
比如,据腾讯守护者计划安全专家徐一可介绍,过去十年,腾讯陆续建立了七大实验室,专注安全技术研究及安全攻防体系搭建,其核心目的之一就是保障用户的个人信息安全。
 
不过,“使用的目的和范围,和收集的时候不一样,这才是最大的问题”。王新锐接着说,“如果发现有些APP不太对劲儿,感觉超出了范围收集或使用你的个人信息,最好退出,或者举报。”
 
在《个人信息安全规范》征求意见稿中,王新锐提到的这些问题得到了细化。
 
“在使用上,无论国际标准,还是国内法律法规的要求,你收集了哪些个人信息,用在什么方面,目的是什么,都要明确透明。如果收集信息后,改变使用目的,需要再次向用户征求同意,并且,敏感权限需要设置关闭功能。”《个人信息安全规范》主要起草人洪延青说道。此外,如果没有征得用户同意,企业不得将用户信息共享,即使是隶属于同一家公司的不同产品。
 
比如,用户比较熟悉的QQ,其“通讯录权限”、“通话权限”、“短信权限”等敏感权限设置了用户授权的互动界面,QQ安全团队负责人也演示了如何在应用场景下通过用户授权,和如何在产品设置内关闭敏感权限的访问。作为起步较早的互联网公司,由于在数据安全上积累了较多经验,腾讯有关技术部门参与了《个人信息安全规范》的起草。
 
2019年1月,中央网信办、工信部、公安部、市场监管总局发布了联合公告,成立APP专项治理工作组,受理对APP违法违规收集使用个人信息的举报(受理举报的微信公号是“APP个人信息举报”)。对发现问题的APP,必须整改。
 
但是在整改的过程中,也会遇到难题。“有时候发现需要整改的地方正好是这家企业业务发展的主要模式。企业以生存和发展为第一目标,如果直接影响到他们的核心利益,在推进的过程中会遇到阻力。” 张志强说。
 
对于这一点,王新锐认为:“也不一定是说企业在作恶或者很霸道,因为目前在国内APP提供的服务基本都是免费的,向国外一样全面开启付费或者会员制不现实,那么这个模式造成企业主要靠广告盈利活下去,造成了中国企业更需要用户信息。所以,在保证运营收益的情况下,又能提供安全便捷免费的服务,关键是把握这个度。”
 
“……数据安全背后是多重力量博弈,不是一个简单的是非判断,牵扯到多方利益平衡,要充分能理解各方立场,才能保持可持续发展。” 律师王新锐强调。
 
张志强的团队在认证时也有平衡的考虑。比如,如果反反复复出现授权同意的界面,也会影响到用户的体验。所以在考虑到合乎标准要求的同时,也会兼顾用户体验层面的产品设计。
推荐 0