近日，工信部在重拳整治了APP違規(guī)調(diào)用通訊錄、位置信息以及彈窗騷擾用戶等問題后，又調(diào)查了APP超范圍、高頻次索取權(quán)限，非服務(wù)場景必需時收集用戶個人信息，欺騙誘導(dǎo)用戶下載等違規(guī)問題，共發(fā)現(xiàn)“騰訊新聞”“QQ音樂”“小紅書”等38款A(yù)PP存在問題。

在互聯(lián)網(wǎng)時代，個人信息是許多單位盈利的重要來源，“能收則收、多多益善”是多數(shù)APP的設(shè)計思路?？蛻糍Y源、精準(zhǔn)營銷、廣告推送甚至大數(shù)據(jù)殺熟，都需要依靠大量個人信息。將本單位掌握的個人信息提供給第三方以獲取利益，是很多行業(yè)的潛規(guī)則。在黑市，個人信息已有不菲的交易價值，并形成龐大的黑灰產(chǎn)業(yè)鏈。近年來，各地公安機關(guān)破獲了多起在“暗網(wǎng)”上交易公民個人信息的案件。

類似案件中的個人信息，多數(shù)是從銀行、醫(yī)院、通信公司、培訓(xùn)機構(gòu)、房產(chǎn)公司和互聯(lián)網(wǎng)企業(yè)泄露出去的。雖然許多案件在司法機關(guān)調(diào)查后發(fā)現(xiàn)，泄露原因是單位內(nèi)鬼，或者系黑客利用單位系統(tǒng)漏洞而爬取所得，但是，單位對信息、人員、系統(tǒng)的管理過失也是重要原因。長期以來，單位管理過失是我國在公民個人信息保護上的頑疾。顯然，為了從源頭上遏制公民個人信息泄露問題，我們需要減少個人信息收集范圍、強化收集單位的管理責(zé)任。個人信息對企業(yè)而言不僅意味著數(shù)據(jù)資源，更意味著法律責(zé)任，法律要警示收集單位“多收集一條個人信息，多增加一份法律責(zé)任”。

一方面，單位收集個人信息應(yīng)當(dāng)嚴(yán)格遵守“最少收集”原則。在數(shù)字時代，“多收集多得利”是行業(yè)共識。2021年第三季度，相關(guān)機構(gòu)在對全國APP進行抽樣檢測后發(fā)現(xiàn)，接近六成的APP“違規(guī)收集個人信息”。為了糾正這一亂象，2021年11月實施的《個人信息保護法》第6條規(guī)定：“收集個人信息，應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息。”該條確立的“最小范圍”對癥下藥，可以有效解決我國個人信息泄露的亂象。前幾年，大量APP收集與服務(wù)無關(guān)的信息，如導(dǎo)航、讀書APP等要收集個人通訊錄等，其目的無非是想擴大用戶數(shù)量、搶占市場份額。為了獲得收集的正當(dāng)性，在《個人信息保護法》出臺前，各種APP競相采用冗長的“告知-同意”授權(quán)書，或者采用“不授權(quán)就無法使用”規(guī)避法律風(fēng)險。

近年來，很多單位又熱衷于人臉識別，大量收集個人生物識別信息以提高商業(yè)利潤。2021年“3·15晚會”就曝光了多個門店抓取人臉數(shù)據(jù)，分析顧客到店頻次、性別、年齡乃至情緒好壞。在多數(shù)情況下，顧客對于被抓拍、分析并無感知，更不存在“告知-同意”的基本程序。這些人臉識別應(yīng)用，基本上都缺乏必要性與正當(dāng)性，西方國家正在逐漸限制濫用人臉識別。

無疑，《個人信息保護法》確立的“最少收集”比“必要性”“告知-同意”等原則的標(biāo)準(zhǔn)更高。顯然，即使相關(guān)單位有必要收集個人信息，但如果能夠采用其他驗證方式，也不能收集生物識別信息，而應(yīng)“采取對個人權(quán)益影響最小的方式”處理個人信息。同樣，即使用戶同意，也不意味著收集行為的正當(dāng)性。按照“最少收集”原則，多數(shù)APP都需要整改，縮小收集范圍，而不能以用戶同意為擋箭牌。

另一方面，應(yīng)當(dāng)對違規(guī)單位追究“最嚴(yán)責(zé)任”。我國《個人信息保護法》大幅度提高了違規(guī)單位的違法成本，確立了比史上最嚴(yán)的《歐盟的通用數(shù)據(jù)保護條例》還高的罰則：最高罰款為上一年度營業(yè)額的5%。立法者保護公民個人信息的決心顯而易見。但是，徒法不足以自行，商業(yè)機構(gòu)多是利益導(dǎo)向型，只有落實嚴(yán)厲的罰則，才能夠敦促其做好個人信息保護工作。

在發(fā)達國家，保護個人信息的主要方式是強化單位管理責(zé)任。歐美監(jiān)管機構(gòu)對泄露信息企業(yè)的罰款動輒數(shù)億美元。例如，2020年初，美國互聯(lián)網(wǎng)巨頭推特與美國證券監(jiān)管機構(gòu)FTC就信息泄露問題達成50億美元的和解協(xié)議。高額罰款推動美國互聯(lián)網(wǎng)企業(yè)不斷加強個人信息保護力度，減少個人信息收集范圍，提高系統(tǒng)安全防護力度，向第三方提供用戶信息時更加謹(jǐn)慎。

在我國，保護公民個人信息的主要方式是追究違法個人的刑事責(zé)任。近年來，我國司法機關(guān)通過“侵犯公民個人信息罪”，打擊了大量盜取、倒賣公民個人信息的個人，但很少追究單位的法律責(zé)任。一批又一批倒賣者被送進監(jiān)獄，但個人信息泄露問題仍未得到有效治理。在犯罪學(xué)上，溯源治理才能標(biāo)本兼治。相信《個人信息保護法》施行后，針對信息收集、處理單位的高額罰款，將有利于從源頭上堵住個人信息泄露的漏洞，從根本上鏟除個人信息買賣的黑灰產(chǎn)業(yè)鏈條。

無個人信息則無人格尊嚴(yán)。在數(shù)字時代，網(wǎng)絡(luò)空間已經(jīng)成為個人的第二生活空間，個人信息就是公民的數(shù)字化存在。個人信息泄露會侵犯個人隱私與尊嚴(yán)，侵犯個人財產(chǎn)權(quán)利，甚至?xí){個人生命健康權(quán)。只有奉行“最少收集、最嚴(yán)處罰”的原則，才能敦促收集單位既把個人信息當(dāng)成盈利渠道，又當(dāng)成風(fēng)險來源，進而讓數(shù)字經(jīng)濟成為人民群眾滿意的安全產(chǎn)業(yè)。

關(guān)鍵詞： 個人信息保護 互聯(lián)網(wǎng)企業(yè) 違規(guī)行為 過度索權(quán)