信息泄露別慌，國家幫你打官司

2021-11-08 07:13

來源：澎湃新聞·澎湃號·湃客

原創張雪虎嗅APP

出品｜虎嗅科技組

作者｜張雪

封面｜CFP

11月1日，《個人信息保護法》開始正式實施，這是我國首部專門針對個人信息保護的系統性、綜合性法律，這部法律直面了大眾長期關注的個人信息收集、使用等問題，并明確：不得過度收集個人信息、濫用人臉識別技術、大數據殺熟等。

同時，也首次明確了個人信息是指以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，一般包括姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。

巧合的是，這部法律實施的第一天也是今年雙十一開始的日子，這是否意味著在法律保護下，消費者可以免去大數據殺熟、個人信息被販賣等困擾了？或許現在下結論還太早。

因為就在當天，我身邊的朋友還因為購物車里的東西漲價而向我吐槽，無獨有偶，隨后還有兩則同樣涉及個人隱私保護的新聞登上熱搜。

兩相對比，好不諷刺。

不過，從另一個角度來講，這樣的熱議程度也證明了《個人信息保護法》頒布后，普通消費者的個人信息保護意識在增強，走在了積極的方向。

查閱資料可以發現，《個人信息保護法》全文有9000多字，分為八章74條，框定了個人信息保護的法律邊界。而本文將主要聚焦與消費者最密切的條款以及大數據殺熟、人臉識別相關。

兩條關鍵

作為非法律專業人士，相信很多人跟我一樣，面對這么多的條款，并不能快速知道哪些是與自己密切相關。

正是如此，我們請教了上海申倫律師事務所的夏海龍律師，除了后續會詳談的大數據殺熟和人臉識別外，在他看來，還有兩條尤為值得關注。

個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產品或者服務；處理個人信息屬于提供產品或者服務所必需的除外。

根據這條規定，各類APP將不能以不向用戶提供相關服務的方式強制用戶提供個人信息。

這讓我想起兩年前，在做一個關于安全選題時，一位安全專家談到：“除了使用軟件必須獲取的基本信息，我通常會閱讀完所有的用戶須知，基本不會授權額外的內容，而且我手機上的APP很少”。

他可能是我目前為止遇到的用APP數最少，且最注重個人隱私的人，也因此讓我印象深刻。

不過，他也談到，即使在網絡生活中嚴謹如他，也會有被大數據殺熟，被打騷擾電話的困擾，不知道《個人信息保護法》實施后，能否讓他放下一些擔憂。

與此同時，我們看到一些主流的軟件對個人信息保護條款進行了更新，讓人驚訝的是，據21財經報道，20款社交資訊類APP：小紅書、QQ空間等10款無法應用內撤回同意，脈脈、世紀佳緣無法關閉個性化廣告。看來在個人信息獲取的管控上，仍然任重而道遠。

此外，夏海龍律師還談到了一個可能被大家忽視的條款。

第七十條個人信息處理者違反本法規定處理個人信息，侵害眾多個人的權益的，人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織可以依法向人民法院提起訴訟。

他進一步解釋稱：“這意味著遭遇個人信息被侵害的情況下，消費者個人也多了一種更強有力的維權方式——公益訴訟，通過公益訴訟制度，消費者的維權難度、成本都會大大降低?！?/p>

此前，一個資深的律師曾談到，“要想把個人信息保護真的落到實處，相關部門應該多組織公益訴訟，讓普通消費者敢于維權，現在這種訴訟案件真的太少了?！?/p>

我們知道，在《個人信息保護法》頒布之前，事關個人隱私的案件就時有發生，這兩年315晚會更是每年都有相關內容，比如2019年曝光的 “探針盒子”，它通過靠近手機而獲取用戶信息，再比如今年售賣簡歷的案例——“7元一份售賣求職者簡歷” ，此后售賣人臉信息，售賣快遞單信息的情況也屢次登上新聞。

相比于個人隱私侵權案例的高頻發生次數，能夠真正為自己維權的消費者卻是少之又少，一方面是由于相關法律的缺失，另一方面更重要的原因在于，個人維權成本太高，包括時間成本和金錢成本，所以大家除了輿論上的譴責外，基本會在法律維權上選擇沉默。

而公益訴訟制度，有望增強大家的維權意識，真正讓《個人信息保護法》落到實處。

尚不能根除“殺熟”舊疾

除了上述兩條，在《個人信息保護法》制定之初，大數據殺熟和人臉識別就與這部法律緊緊地綁在了一起，大眾對這兩項有著很高的期待。不過，北京公衡律師事務所安屹東律師告訴我們，我國《個人信息保護法》更多是制定了一個大框架，還有許多細節需要完善和豐富，消費者也要需要保持合理的期望。

第二十四條個人信息處理者利用個人信息進行自動化決策，應當保證決策的透明度和結果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。

據悉，該條即規制大數據殺熟的條款，用戶不僅有權拒絕各類自動推送，而且有權要求APP對相關推送規則、機制進行說明，享有更充分的知情權。也就是說用戶既可以要求相關企業公開算法、數據處理的規則和機制，也可以徹底拒絕此類自動推送服務。

眾所周知，在互聯網企業中，其算法機制可以稱得上是商業機密。所以很多企業在被質疑大數據殺熟時，經常把算法機制出錯拿來當背鍋的說辭。

雖然《個人信息保護法》實施后，我們也幾乎不能知道互聯網企業詳細的推送機制，但至少，企業推薦機制對我們來說，不再是一個看不見的黑盒。

正如文章開頭所說，大數據殺熟情況在現實中還在持續發生著，沒有任何一部法律會帶來立竿見影的效果，《個人信息保護法》也是如此。

人臉識別，誰在妥協

如果說個人信息的獲取和使用更大程度是與互聯網企業相關，那么單獨到人臉識別這方面，除了互聯網公司，又涉及到了很多技術公司，他們同樣是需要積極配合《個人信息保護法》執行的關鍵一環。

近年來，作為人工智能最先落地的技術之一，計算機視覺有不少創業公司，據IT桔子不完全統計，現存的計算機視覺創業公司多達759家，其中也誕生了多家獨角獸公司，其中商湯、曠視、云從和依圖還被并稱為“CV（計算機視覺）四小龍”。

夏海龍律師告訴我們，《個人信息保護法》中第二十六條以及第二十八條至第三十二條都是與人臉識別相關的內容，其中：

第28條第1款對“敏感個人信息”的內涵作出界定，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等，我們熟知的人臉信息就屬于生物識別信息。

綜合這些規定，公共場合采集人臉信息應當設置顯著的提示標識，且原則上只能用于維護公共安全目的。

關于《個人信息保護法》，我們也問了“CV四小龍”的看法，但他們似乎都避之不及，還有公司擺出冷臉說，自己并不采集人臉信息。

不過，商湯在招股書中明確提到了對數據隱私和個人信息保護的相關內容，涉及到了數據的授權存取及使用，獨立數據庫及安全服務器系統，全面的數據及個人資料安全及管理政策和定期審核及應急計劃等方面。

那么《個人信息保護法》對企業究竟有何影響？

中關村科金AI安全攻防實驗室總監馮月認為，《個人信息保護法》的出臺對于AI生物識別技術而言，是一把達摩克利斯之劍，一方面部分企業或采取一刀切的取消相關技術使用以避免違規，另一方面部分企業或繼續使用相關技術。這其中差異就在于不同企業對AI技術的綜合運用能力不同，而綜合運用能力中最核心的就是保護生物信息的防偽識別能力和防篡改防泄露能力。

此外，一位計算機視覺相關從業者告訴我們，政務市場客戶一般是要等保驗收的，無需擔心，另外一些大企業客戶，在個人信息保護技術方面也很舍得花錢，所以，作為消費者真正需要擔心的是，自己在家里或者在小區或者一些小商店被獲取的人臉信息，因為這些一般存在公有云上，有一定的風險。

而這讓我聯想到，最近在看附近的一些新樓盤時，還有人在把“人臉識別”進小區當做是一個賣點，而他們宣傳欄里是完全不知名的供應商，這不免讓人擔憂在讓自己更安全的同時，也將自己的信息置入了更危險的境地，孰輕孰重？于是，我轉身就出了售樓處。

或許，在這部法律的推進下，這種擔憂會越來越少了。不可否認，《個人信息保護法》為我們的信息安全罩了一個保護罩，但真正能保護的有幾分，我們還需合理期待，且行且看。