經(jīng)濟(jì)觀察報 記者 胡艷明   “二手0.5，一手1.5。”抱著求職心態(tài)在招聘網(wǎng)站投出的簡歷，或許正被人暗中提取和交易；在網(wǎng)店的買賣交易信息，有可能在某些隱秘的角落流轉(zhuǎn)……數(shù)字化便利了我們的生活的同時，稍有不慎，信息泄露就會讓用戶變成互聯(lián)網(wǎng)上的“透明人”。

11月19日，經(jīng)濟(jì)觀察報記者在某“數(shù)據(jù)交流群”里發(fā)現(xiàn)，群中充斥著其它大量販賣個人信息的消息。“一手優(yōu)質(zhì)車主料，地區(qū)/購車時間均可，量大從優(yōu)，閑人勿擾”、“出tb（淘寶）訂單一手二手?jǐn)?shù)據(jù)……”

這似乎成為了一個“產(chǎn)業(yè)鏈”，在數(shù)據(jù)交流群里，有人賣簡歷、有人賣招聘網(wǎng)站的企業(yè)賬號、有人幫助認(rèn)證人臉信息。

對于販賣個人信息的行為，中國人民大學(xué)商法研究所所長、教授劉俊海對經(jīng)濟(jì)觀察報表示，“這是一種嚴(yán)重的侵權(quán)行為，情節(jié)嚴(yán)重或構(gòu)成犯罪，給消費者造成嚴(yán)重?fù)p害的依法追究刑事責(zé)任。民事責(zé)任、行政處罰和刑事責(zé)任并行不悖，并不是道歉或者賠償損失就可以免責(zé)，不構(gòu)成犯罪要進(jìn)行行政處罰，構(gòu)成犯罪要追究刑事責(zé)任。”

那么，誰來為信息泄露負(fù)責(zé)？個人信息保護(hù)立法正在啟動，人們該如何在數(shù)字化發(fā)展和個人信息保護(hù)之間找到平衡？

誰為信息泄露負(fù)責(zé)

記者聯(lián)系到販賣個人簡歷的網(wǎng)友，對方稱，“這些數(shù)據(jù)都是我們自己公司下載的簡歷，是精準(zhǔn)的數(shù)據(jù)，一手的沒有打過的數(shù)據(jù)。”對方自稱來自教育類公司，并極力推銷數(shù)據(jù)的可靠性。他們在幾家著名的求職網(wǎng)站收集簡歷，再進(jìn)行數(shù)據(jù)篩選。數(shù)據(jù)用途主要用于電話銷售，他手上也有三分錢一條的人臉數(shù)據(jù)信息，但是那種“不出效果、轉(zhuǎn)化率低”。

除了簡歷，還有人在售賣網(wǎng)絡(luò)交易數(shù)據(jù)、車主信息、外賣APP商家信息。上述售賣車主信息的人表示，數(shù)據(jù)來源是“內(nèi)部”。“價格是0.4元/條。可以測，測試按0.5/條提供50-100條。先支付，測試完畢后確定購買數(shù)量，測試的將作為免費贈送。”

經(jīng)濟(jì)觀察報記者獲取的部分?jǐn)?shù)據(jù)內(nèi)容顯示，信息包括車系、車型、車輛型號、客戶姓名、經(jīng)銷商等信息，非常具體詳細(xì)。

在個人信息中，金融信息尤其具有重要的屬性，不法分子對金融信息的倒賣也容易引發(fā)后續(xù)侵害財產(chǎn)等行為。從以往判決案例來看，經(jīng)常有銀行員工因為販賣客戶信息而觸犯刑法，并以“侵犯公民個人信息罪”獲刑的案例。

今年9月，裁判文書網(wǎng)公布的湖南省永州市冷水灘區(qū)人民法院刑事判決書顯示，建行一分行的外包人員利用職務(wù)之便盜用管理人員的操作碼，偷查3678筆個人征信報告，以10元一份拿出去倒賣給一家小額貸款公司，獲利3.6萬元，最終犯侵犯公民個人信息罪，被判3年，緩刑3年。

山東省鄒城市人民法院一份刑事判決書顯示，2018年5月份期間，浦發(fā)銀行電銷中心任業(yè)務(wù)主管楊某，利用工作便利獲取客戶個人信息20余萬條，非法提供給某公司用于電話營銷；同時，這家電商公司員工李某在對這些信息資料進(jìn)行加工整理后，又以每條0.3元的價格對外售賣給第三人李某洪，后者再將這些個人信息販賣給陳某實施電話詐騙。

值得關(guān)注的，圓通快遞員工泄露客戶信息事件再次引發(fā)關(guān)注，根據(jù)邯鄲警方消息，相關(guān)嫌疑人以每日500元的費用租用圓通公司內(nèi)部員工系統(tǒng)賬號，后登錄系統(tǒng)賬號進(jìn)入公司物流系統(tǒng)，導(dǎo)出快遞信息，把竊取的快遞信息進(jìn)行整理通過微信、QQ等方式賣到全國及東南亞等電信詐騙高發(fā)區(qū)。

上述案件中，相關(guān)嫌疑人將收集到的信息打包賣出，每條信息單價約為1元。此次被泄露的信息中包括發(fā)件人地址、姓名、電話以及收件人電話、姓名、地址，被泄露的信息數(shù)量實際超過40萬條，涉案金額為120余萬元。“泄露的是身份信息，里面包括姓名電話等信息，根據(jù)2017年6月1號最高人民法院、最高人民檢察院發(fā)布的侵害公民個人信息犯罪的司法解釋，這構(gòu)成了刑法中所說的敏感信息泄露，50條以上就要入刑。”中國政法大學(xué)傳播法研究中心副主任朱巍告訴記者。

對于數(shù)據(jù)泄露情況，朱巍分析稱，一般實踐中，有兩種情況，一種是有內(nèi)鬼，內(nèi)部員工泄露；還有一部分是通過黑客的相關(guān)技術(shù)。對于兩種情況平臺都有責(zé)任，內(nèi)鬼屬于雇員，一旦造成損失，平臺有監(jiān)管不力的責(zé)任；如果涉及到黑客攻擊的問題，在實踐中也出現(xiàn)過這種情況，平臺也要承擔(dān)責(zé)任，因為涉及到平臺有沒有升級防火墻、有沒有盡到安全保障義務(wù)。

中國銀行法學(xué)會理事肖颯對記者分析稱，在公司員工不法泄露用戶信息的事件中，最為直接的責(zé)任人自然是不法員工本身，根據(jù)我國刑法，第二百五十三條之一規(guī)定：“違反國家有關(guān)規(guī)定，向他人出售或者提供公民個人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金”。泄露用戶信息的直接行為人需要承擔(dān)相應(yīng)的責(zé)任，除構(gòu)成刑事犯罪外，還需承擔(dān)民事賠償責(zé)任。

同時，肖颯表示，在該類事件中最引人關(guān)注的應(yīng)當(dāng)是公司，公司是否需要為員工的不法行為負(fù)責(zé)？以一般生活經(jīng)驗判斷，責(zé)任都是個體性的，員工的違法犯罪行為不會與公司相關(guān)。但在個人信息保護(hù)領(lǐng)域，我們認(rèn)為公司是負(fù)有妥善收集、保管、使用用戶個人信息的義務(wù)的。因此，在這一事件中，公司也應(yīng)當(dāng)承擔(dān)一定的責(zé)任。

個人信息保護(hù)立法在途

10月21日，備受矚目的《個人信息保護(hù)法（草案）》（以下簡稱“草案”）在中國人大網(wǎng)公布，開始向社會征求意見。

“草案發(fā)布已經(jīng)引起了廣泛熱議，可見社會公眾對這部法律的殷切期待。”安永團(tuán)隊表示，個保法草案一方面彰顯了當(dāng)今網(wǎng)絡(luò)時代呼聲的核心——個人對自己的信息具有控制的權(quán)利；另一方面也在繼《網(wǎng)絡(luò)安全法》之后，進(jìn)一步規(guī)定了企業(yè)經(jīng)營者在促進(jìn)經(jīng)濟(jì)社會信息化健康發(fā)展、維護(hù)人民群眾基本權(quán)利方面的管理責(zé)任和義務(wù)。“草案發(fā)布后，對個人信息起到引領(lǐng)、規(guī)范、保護(hù)和救濟(jì)的作用。很好的起到制裁違法者、補(bǔ)償受害者、獎勵維權(quán)者、警示行業(yè)、教育社會和對公眾心理撫慰的功能。”劉俊海認(rèn)為。

劉俊海稱，同時由于行政處罰的充實、監(jiān)管措施的擴(kuò)充，也會激活監(jiān)管部們對消費者的行政保護(hù)功能。首先互聯(lián)網(wǎng)企業(yè)特別是互聯(lián)網(wǎng)平臺的責(zé)任進(jìn)一步壓實；第二，行政監(jiān)管部門的監(jiān)管力度和對個人信息保護(hù)的力度會進(jìn)一步加大；第三，人民法院和仲裁機(jī)構(gòu)對個人信息侵害產(chǎn)生的民事爭議案件的裁判會找到更多的法律依據(jù)。換言之，個人信息保護(hù)法的可訴性、可裁性、可執(zhí)行性值得期待。這使得整個從事互聯(lián)網(wǎng)產(chǎn)業(yè)的各個鏈條和環(huán)節(jié)，包括互聯(lián)網(wǎng)平臺、電商、社交媒體以及其它APP軟件開發(fā)商都會全面納入個人信息保護(hù)法的調(diào)整軌道，對互聯(lián)網(wǎng)經(jīng)濟(jì)發(fā)展和個人信息保護(hù)是好事，也是數(shù)字經(jīng)濟(jì)的可持續(xù)發(fā)展重要的“加油站”。

對于草案的公布，肖颯對記者分析稱，首先是在管轄上，我們的個人信息保護(hù)擁有了長臂，也就是所謂的域外效力，在技術(shù)革命的當(dāng)下，跨境侵犯個人信息的事件日益增多，個人信息保護(hù)法的跨境效力可以為個人信息提供用力武器。其次是與民法典銜接，明確個人信息的內(nèi)容，明確的權(quán)利與義務(wù)內(nèi)容是法律良好實施的前提。最后是在負(fù)責(zé)部門中，指明了國家網(wǎng)信部門負(fù)責(zé)個人信息保護(hù)工作的統(tǒng)籌協(xié)調(diào)、發(fā)揮統(tǒng)籌協(xié)調(diào)作用。這樣可以避免交叉執(zhí)法中的效率低下可能。

“個人信息保護(hù)法要更加精準(zhǔn)、更接地氣、更加堅持問題導(dǎo)向、目標(biāo)導(dǎo)向和結(jié)果導(dǎo)向。”劉俊海對記者表示，現(xiàn)在有很多平臺及企業(yè)主管部門引入電子政務(wù)的技術(shù)，但是對個人信息保護(hù)仍然存在漏洞和盲區(qū)。劉俊海對記者舉例稱，其個人在辦理工商登記驗證手續(xù)的過程中，也曾遭遇過電信電話騷擾。一般電子政務(wù)辦理過程中要確保本人辦理，驗證程序一般需要與第三方驗證單位進(jìn)行合作，但是第三方驗證的保護(hù)措施是否到位值得關(guān)注，要注重生物識別信息、個人身份信息的保護(hù)。

如何平衡數(shù)字化發(fā)展和個人信息保護(hù)

數(shù)字化給生活帶來便利的同時，信息泄露問題也層出不窮，從現(xiàn)有法律和監(jiān)管層面，有哪些措施可以防止和規(guī)范此類行為？

劉俊海表示，首先，希望接觸信息的互聯(lián)網(wǎng)平臺、電商、社交媒體以及其他APP軟件開發(fā)商等慎獨自律、見賢思齊擇善而從，打造信息友好型企業(yè)治理體系和內(nèi)控體系。要做大數(shù)據(jù)，大數(shù)據(jù)來自于消費者個人信息，必須堅持合法、正當(dāng)、必要、保密、安全的原則，未經(jīng)消費者同意不得隨意獲取個人信息。

第二，市場會失靈，監(jiān)管者不能失靈，希望個人信息保護(hù)法強(qiáng)化監(jiān)管措施，加重行政處罰力度，密切處理好行政處罰和行政責(zé)任的銜接機(jī)制，引進(jìn)協(xié)同共治機(jī)制。

第三，要完善消費者的投訴舉報機(jī)制，要暢通消費者維權(quán)通道，降低維權(quán)成本，確保維權(quán)收益高于維權(quán)成本，確保違法成本高于違法收益，把個人信息保護(hù)的籬笆墻越扎越牢。

隨著時代的前行，數(shù)字化是不可抗拒也無法抗拒的時代趨勢。關(guān)于防范個人信息泄露，肖颯認(rèn)為，可以從三個層面來說：首先是個人層面，民法典人格權(quán)編的出臺為公民個人權(quán)利意識的覺醒打下了基礎(chǔ)，在利用數(shù)字化便利個人生活的過程中，公民必須堅守權(quán)利意識，謹(jǐn)慎選擇，對自己的每一次點擊行為負(fù)責(zé)。

其次是各個市場主體，每一家企業(yè)在追求效益的同時，必須自覺承擔(dān)社會責(zé)任，明確保障公民個人信息的義務(wù)。一方面合理收集、使用公民信息，在創(chuàng)造經(jīng)濟(jì)價值的同時便利其他社會成員，形成雙贏，另一方面制定規(guī)范合理的行為章程，防止內(nèi)部出現(xiàn)為了利益而罔顧責(zé)任的個體。

最后是行政監(jiān)管層面，執(zhí)法機(jī)構(gòu)需要積極行使職權(quán)，在個人信息保護(hù)領(lǐng)域，最為可靠的后盾便是行政機(jī)構(gòu)，最后的避風(fēng)港也正是行政機(jī)關(guān)。必須由多部門，多角度，多層級共同建立維護(hù)個人行為，防范信息泄露的完整體系。

朱巍認(rèn)為，主要的措施包括立法和技術(shù)等方面：首先是立法，現(xiàn)在從“一法一決定”，到《個人信息保護(hù)法》（草案），再到《民法典》，再到刑事法律體系和國家網(wǎng)信辦出臺的這些年的新規(guī)，構(gòu)成了一個以往“一法一決定”和個人信息保護(hù)法為核心的個人信息保護(hù)法律體系；第二從技術(shù)角度創(chuàng)新，比如現(xiàn)在很多的地方使用了區(qū)塊鏈技術(shù)，無法篡改且使用有痕跡。第三，應(yīng)該加大懲罰力度，依法嚴(yán)懲，違法必究。除此之外，在侵犯個人信息方面，比如“人肉搜索”等行為，不管情節(jié)輕重，都應(yīng)該依法承擔(dān)相應(yīng)的責(zé)任。