2019年2月11日，針對去年10月的抽查與約談情況，上海市互聯(lián)網(wǎng)信息辦公室對1號店、拼多多等23個上海本地最常用移動互聯(lián)網(wǎng)應(yīng)用程序（App）用戶權(quán)限的整改情況做了復(fù)測與公示。結(jié)果顯示，截至1月中旬，相關(guān)App共整改158個不合理權(quán)限和98個“合理但存在風(fēng)險”的權(quán)限。
2017年6月1日，《中華人民共和國網(wǎng)絡(luò)安全法》正式實施；2017年末，《個人信息安全規(guī)范》國家標準正式發(fā)布。業(yè)界稱2018年為中國“數(shù)據(jù)合規(guī)元年”。2019年1月25日，中央網(wǎng)信辦、工信部、公安部、市場監(jiān)管總局四部門聯(lián)合發(fā)布《關(guān)于開展App違法違規(guī)收集使用個人信息專項治理的公告》，決定自2019年1月至12月，在全國范圍組織開展App違法違規(guī)收集使用個人信息專項治理。App運營者收集使用個人信息時，不得收集與所提供服務(wù)無關(guān)的個人信息，不得以默認、捆綁、停止安裝使用等手段變相強迫用戶授權(quán)。
接受證券時報記者采訪的專家認為，此次四部門專項治理行動，可以稱作是針對我國網(wǎng)絡(luò)安全問題“涉及范圍最廣、措施最嚴厲”的一次專項行動，效果值得期待。在這一過程中，還需進一步確定一個國家機關(guān)來專門負責(zé)“自然人信息保護”工作，同時也需要對《行政處罰法》《網(wǎng)絡(luò)安全法》等再做相應(yīng)具體修改，有專家還建議單獨制定一部《自然人信息保護法》。
2018年全國兩會期間，三六零(22.600, 0.00, 0.00%)安全科技股份有限公司董事長周鴻祎表示，用戶隱私保護可遵循三個原則，即數(shù)據(jù)所有權(quán)的歸屬、用戶應(yīng)有的知情權(quán)和選擇權(quán)、互聯(lián)網(wǎng)公司對用戶數(shù)據(jù)的保護。周鴻祎認為，在大數(shù)據(jù)時代，一定要平衡好互聯(lián)網(wǎng)的使用與個人信息的安全。
“數(shù)據(jù)合規(guī)”
仍需努力
2018年12月在深圳舉行的“騰訊隱私保護白皮書發(fā)布會”上，南都大數(shù)據(jù)研究院個人信息保護研究中心副主任蔣琳表示，在個人信息保護相關(guān)法規(guī)和標準相繼出臺、相關(guān)部委展開隱私政策專項評審工作的大環(huán)境下，國內(nèi)App的隱私政策透明度整體比2017年有所提升，但依然有逾七成App的隱私政策不合格。
2017年6月1日，《網(wǎng)絡(luò)安全法》正式實施，業(yè)界稱2018年為中國“數(shù)據(jù)合規(guī)元年”。但從相關(guān)統(tǒng)計來看，任務(wù)之艱巨不言而喻，“按下葫蘆浮起瓢”等現(xiàn)象仍較突出。
上海市網(wǎng)信辦相關(guān)抽查發(fā)現(xiàn)，樣本中約30%的App權(quán)限與所提供的服務(wù)沒有對應(yīng)關(guān)系，屬于不合理范圍。只有嚴格限制App向用戶索取不合理權(quán)限，才能從源頭上減少個人信息被泄露、被濫用的可能。抽查所指“風(fēng)險”，是指App權(quán)限被惡意利用后可能產(chǎn)生的風(fēng)險，有別于技術(shù)風(fēng)險。
對于App索取用戶權(quán)限的現(xiàn)象，有關(guān)部門早已有明文禁止。2016年8月起生效的《移動互聯(lián)網(wǎng)應(yīng)用程序信息服務(wù)管理規(guī)定》指出，未向用戶明示并經(jīng)用戶同意，不得開啟收集地理位置、讀取通訊錄、使用攝像頭、啟用錄音等功能，不得開啟與服務(wù)無關(guān)的功能，不得捆綁安裝無關(guān)應(yīng)用程序。
騰訊社會研究中心和DCCI互聯(lián)網(wǎng)數(shù)據(jù)研究中心2018年8月發(fā)布《網(wǎng)絡(luò)隱私安全及網(wǎng)絡(luò)欺詐行為研究分析報告》，統(tǒng)計了1144款手機App獲取用戶隱私權(quán)限的情況，結(jié)果顯示，獲取“打開攝像頭”權(quán)限的App比例達89.9%，獲取“使用話筒錄音”權(quán)限的App比例達86.2%，這兩個權(quán)限均涉及用戶最核心的隱私信息。
蔣琳對證券時報記者表示，對App過度獲取手機權(quán)限的現(xiàn)象，用戶可以在App的下載頁面仔細看一下權(quán)限列表，使用App的時候也要重點關(guān)注隱私政策中“個人信息收集和使用”相關(guān)條款，做到心里有數(shù)。對于敏感權(quán)限彈窗，不使用的功能就拒絕，需要時再開啟。
電子商務(wù)領(lǐng)域?qū)＜摇⒈本┙鹫\同達（上海）律師事務(wù)所合伙人王良認為，數(shù)據(jù)不單單是一種資產(chǎn)，它還涉及國家利益、商業(yè)秘密和個人隱私，并兼具財產(chǎn)權(quán)和人格權(quán)的雙重屬性。一旦遇到個人信息被侵害，有很多維權(quán)途徑可供選擇，例如：12377中央網(wǎng)信辦舉報中心，12321網(wǎng)絡(luò)不良與垃圾信息舉報受理中心，全國12315互聯(lián)網(wǎng)平臺等。當然，如遇被詐騙等網(wǎng)絡(luò)犯罪的情形，應(yīng)及時向公安部門報案。
網(wǎng)絡(luò)安全立法
“三步走”
中倫律師事務(wù)所《2018年網(wǎng)絡(luò)安全年度法律觀察》指出，全國人大常委會2017年“一法一決定”執(zhí)法檢查報告認為，《網(wǎng)絡(luò)安全法》執(zhí)法中“九龍治水”局面仍然存在。依照法律規(guī)定，國家網(wǎng)信部門負責(zé)統(tǒng)籌協(xié)調(diào)網(wǎng)絡(luò)安全工作和相關(guān)監(jiān)督管理工作，電信主管部門、公安部門和其他有關(guān)機關(guān)在各自職責(zé)范圍內(nèi)負責(zé)網(wǎng)絡(luò)安全保護和監(jiān)督管理工作。事實上，幾個行政執(zhí)法主體間存在著權(quán)責(zé)不清、交叉執(zhí)法等問題。不過根據(jù)已有案例統(tǒng)計，雖然三個主要執(zhí)法部門存在執(zhí)法重疊問題，但仍各有側(cè)重。
記者注意到，在十三屆全國人大常委會2018年9月公布的立法規(guī)劃中，將《個人信息保護法》和《數(shù)據(jù)安全法》列入第一類項目，即全國人大認為這兩部法律的立法條件比較成熟，在本屆任期內(nèi)擬提請審議。
知識產(chǎn)權(quán)領(lǐng)域?qū)＜?、中倫律師事?wù)所合伙人陳際紅律師表示，域外立法對中國企業(yè)的影響不容忽視。中國一直是經(jīng)濟全球化的踐行者和受益者，中國企業(yè)與域外的關(guān)聯(lián)因素已經(jīng)非常廣泛?？紤]到全球各國的數(shù)據(jù)立法此起彼伏，且很多具有域外管轄的長臂效果，中國企業(yè)在走出去的過程中，不得不密切關(guān)注域外數(shù)據(jù)立法對企業(yè)的影響。陳際紅介紹，這主要包括《歐盟數(shù)據(jù)保護通用條例》、美國《澄清境外數(shù)據(jù)的合法使用法案》及2018年8月特朗普總統(tǒng)簽署生效的《外國投資風(fēng)險審查現(xiàn)代化法案》等。
“考慮到我國的《網(wǎng)絡(luò)安全法》屬于框架性立法，很多法律要求并不十分明確，此類標準和指引對于企業(yè)合規(guī)和執(zhí)法管理的指引性和參照性作用十分明顯。”陳際紅表示。
同濟大學(xué)法學(xué)院院長助理劉春彥對證券時報記者說，作為民事基本法，2017年10月1日開始施行的《民法總則》并沒有規(guī)定自然人的信息權(quán)，而按照民法的理論，個人信息只作為一種法益保護，還沒有上升為民事權(quán)利。在《網(wǎng)絡(luò)安全法》基礎(chǔ)上，第二步可對《行政處罰法》甚至對《網(wǎng)絡(luò)安全法》作進一步的修改調(diào)整，明確與侵害自然人信息有關(guān)行為的處罰。
中倫法律觀察報告判斷，預(yù)計2019年中國的數(shù)據(jù)跨境監(jiān)管方案終將出臺；關(guān)鍵信息基礎(chǔ)設(shè)施安全保護配套法規(guī)將頒布生效，運營者網(wǎng)絡(luò)安全保護義務(wù)落實的執(zhí)法檢查會進一步加強；網(wǎng)絡(luò)安全等級保護2.0制度體系將落地實施，公安部門會進一步加強該工作的管理和實施檢查。
陳際紅認為，作為第三步，在一般性法律完善之后，各個行業(yè)主管部門將開展行業(yè)內(nèi)的網(wǎng)絡(luò)安全和數(shù)據(jù)保護實施細則的立法和執(zhí)法工作，尤其是金融、醫(yī)療健康、電子商務(wù)等數(shù)據(jù)敏感行業(yè)。屆時，數(shù)據(jù)合規(guī)將成為企業(yè)普遍接受的概念。
王良表示，我們的立法需要在個人信息和隱私保護與商業(yè)價值之間進行取舍和平衡。首先應(yīng)明確對個人信息和隱私保護的基礎(chǔ)不能動搖；其次應(yīng)在個人信息的收集、處理和利用中，逐步確立起收集限制、目的特定化等國際通行的做法與準則；最后還應(yīng)根據(jù)我國目前社會與經(jīng)濟發(fā)展水平，決定個人信息保護的水平和力度，不偏廢保護隱私與產(chǎn)業(yè)發(fā)展的任一方。?(記者 朱凱)
