高豔東：保護個人信息應強化企業管理責任

近日，工信部在重拳整治了APP違規調用通訊錄、位置信息以及彈窗騷擾用户等問題後，又調查了APP超範圍、高頻次索取權限，非服務場景必需時收集用户個人信息，欺騙誘導用户下載等違規問題，共發現“騰訊新聞”“QQ音樂”“小紅書”等38款APP存在問題。

在互聯網時代，個人信息是許多單位盈利的重要來源，“能收則收、多多益善”是多數APP的設計思路。客户資源、精準營銷、廣告推送甚至大數據殺熟，都需要依靠大量個人信息。將本單位掌握的個人信息提供給第三方以獲取利益，是很多行業的潛規則。在黑市，個人信息已有不菲的交易價值，並形成龐大的黑灰產業鏈。近年來，各地公安機關破獲了多起在“暗網”上交易公民個人信息的案件。

類似案件中的個人信息，多數是從銀行、醫院、通信公司、培訓機構、房產公司和互聯網企業泄露出去的。雖然許多案件在司法機關調查後發現，泄露原因是單位內鬼，或者系黑客利用單位系統漏洞而爬取所得，但是，單位對信息、人員、系統的管理過失也是重要原因。長期以來，單位管理過失是我國在公民個人信息保護上的頑疾。顯然，為了從源頭上遏制公民個人信息泄露問題，我們需要減少個人信息收集範圍、強化收集單位的管理責任。個人信息對企業而言不僅意味着數據資源，更意味着法律責任，法律要警示收集單位“多收集一條個人信息，多增加一份法律責任”。

一方面，單位收集個人信息應當嚴格遵守“最少收集”原則。在數字時代，“多收集多得利”是行業共識。2021年第三季度，相關機構在對全國APP進行抽樣檢測後發現，接近六成的APP“違規收集個人信息”。為了糾正這一亂象，2021年11月實施的《個人信息保護法》第6條規定：“收集個人信息，應當限於實現處理目的的最小範圍，不得過度收集個人信息。”該條確立的“最小範圍”對症下藥，可以有效解決我國個人信息泄露的亂象。前幾年，大量APP收集與服務無關的信息，如導航、讀書APP等要收集個人通訊錄等，其目的無非是想擴大用户數量、搶佔市場份額。為了獲得收集的正當性，在《個人信息保護法》出台前，各種APP競相採用冗長的“告知-同意”授權書，或者採用“不授權就無法使用”規避法律風險。

近年來，很多單位又熱衷於人臉識別，大量收集個人生物識別信息以提高商業利潤。2021年“3·15晚會”就曝光了多個門店抓取人臉數據，分析顧客到店頻次、性別、年齡乃至情緒好壞。在多數情況下，顧客對於被抓拍、分析並無感知，更不存在“告知-同意”的基本程序。這些人臉識別應用，基本上都缺乏必要性與正當性，西方國家正在逐漸限制濫用人臉識別。

無疑，《個人信息保護法》確立的“最少收集”比“必要性”“告知-同意”等原則的標準更高。顯然，即使相關單位有必要收集個人信息，但如果能夠採用其他驗證方式，也不能收集生物識別信息，而應“採取對個人權益影響最小的方式”處理個人信息。同樣，即使用户同意，也不意味着收集行為的正當性。按照“最少收集”原則，多數APP都需要整改，縮小收集範圍，而不能以用户同意為擋箭牌。

另一方面，應當對違規單位追究“最嚴責任”。我國《個人信息保護法》大幅度提高了違規單位的違法成本，確立了比史上最嚴的《歐盟的通用數據保護條例》還高的罰則：最高罰款為上一年度營業額的5%。立法者保護公民個人信息的決心顯而易見。但是，徒法不足以自行，商業機構多是利益導向型，只有落實嚴厲的罰則，才能夠敦促其做好個人信息保護工作。

在發達國家，保護個人信息的主要方式是強化單位管理責任。歐美監管機構對泄露信息企業的罰款動輒數億美元。例如，2020年初，美國互聯網巨頭推特與美國證券監管機構FTC就信息泄露問題達成50億美元的和解協議。高額罰款推動美國互聯網企業不斷加強個人信息保護力度，減少個人信息收集範圍，提高系統安全防護力度，向第三方提供用户信息時更加謹慎。

在我國，保護公民個人信息的主要方式是追究違法個人的刑事責任。近年來，我國司法機關通過“侵犯公民個人信息罪”，打擊了大量盜取、倒賣公民個人信息的個人，但很少追究單位的法律責任。一批又一批倒賣者被送進監獄，但個人信息泄露問題仍未得到有效治理。在犯罪學上，溯源治理才能標本兼治。相信《個人信息保護法》施行後，針對信息收集、處理單位的高額罰款，將有利於從源頭上堵住個人信息泄露的漏洞，從根本上剷除個人信息買賣的黑灰產業鏈條。

無個人信息則無人格尊嚴。在數字時代，網絡空間已經成為個人的第二生活空間，個人信息就是公民的數字化存在。個人信息泄露會侵犯個人隱私與尊嚴，侵犯個人財產權利，甚至會威脅個人生命健康權。只有奉行“最少收集、最嚴處罰”的原則，才能敦促收集單位既把個人信息當成盈利渠道，又當成風險來源，進而讓數字經濟成為人民羣眾滿意的安全產業。（作者是浙江大學數字法治研究院副院長）