筑牢信息共享安全边界

核心阅读

不少用户在跨平台使用智能设备应用程序时，经常有这样的困惑：在某个平台搜过的内容，为什么到了另一个平台也会被推送？储存在各类应用程序中的个人信息能否得到妥善保管？

11月1日，个人信息保护法正式实施，个人信息安全将得到全方位保护。筑牢信息使用的安全边界，需要监管体系、企业责任与用户意识等层面的共同推进。

还在浏览楼盘信息，就接到销售电话；注册完会员，推销短信就铺天盖地；搜索过一个物品，就频频收到类似产品广告……这些体验让许多用户很困惑：谁动了我的个人信息？为什么手机这么“懂”我？

个人信息须妥善保管

随着移动互联的飞速发展，各类手机APP、应用小程序，已经成为人们社交、日常生活、学习工作中必不可少的一部分。那么，海量的个人信息都被存储到了哪里？

绿盟科技集团副总裁李晨介绍，各类应用程序后端都会有一个数据存储环境，数据库中存储了海量的应用数据与个人信息。比如，人们使用各种社交APP，在上面发布的文字或者图片都会产生数据，经过处理和网络传输，最终存储到后端的数据库。数据库一般位于企业数据中心，或者云服务商提供的“云端”。数据库系统和里面的数据，由商家、应用程序的运营者来维护和保管。

个人信息是否会被“任性”使用？

李晨表示，企业收集的个人信息是否能得到有效保护，一定程度上取决于企业的数据安全管控水平。今年9月1日正式实施的数据安全法，还有国家及行业的相关标准要求，都要求企业提升数据安全管控能力。不过，技术的持续发展，对企业数据安全能力提出了更高要求。不同企业的数据安全建设水平参差不齐，导致部分用户的个人信息依然面临被非法获取、滥用、泄露等风险。

类似隐患还包括人脸等生物信息。根据APP专项治理工作组发布的《人脸识别应用公众调研报告》，64.39%的受访者认为人脸识别技术有被滥用的趋势，30.86%的受访者已经因为人脸信息被泄露、滥用等遭受损失或者隐私被侵犯。这类风险也从线上延伸到线下，此前，曾有媒体报道售楼处肆意收集、辨识人脸信息。不久前，最高人民法院发布司法解释，规范人脸识别应用。

信息收集不得超出范围

每次下载APP或者授权个人信息使用时，北京市民刘女士都会浏览隐私政策条款，不过，她发现，这些说明或十分冗长，或非常隐蔽，“对普通用户不是很友好”。

隐私政策被认为是网络服务提供者（企业）与用户之间的合同，用于声明企业如何收集、使用以及保护用户的个人信息。

北京云嘉律师事务所副主任赵占领表示，网络安全法规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则。收集个人信息的范围，应当跟提供的产品和服务有直接关联，不能超出这个必要的范围。同时，收集用户的敏感个人信息时，应当经过用户的明示同意，而不仅仅是简单的默认勾选用户协议这种一揽子方式。

目前，仍有一些应用程序存在超范围收集个人信息的问题，例如，收集过多个人信息、过度索取权限、强制用户使用定向推送功能、私自向第三方共享用户信息，以及无法注销账号等。

对于个人用户来说，一方面，无法确定企业在收集了自己的个人信息之后会如何使用、如何保护，是否被泄露或滥用。即便有所顾虑，在面对“不给权限不让用APP”“频繁申请权限”“过度索取权限”等问题时，也往往会选择妥协。同时，遇到个人信息侵权问题时，由于缺少保护意识，维权成本高、时间长、举证困难，一些人会选择放弃维权。

2019年以来，中央网信办等四部门持续在全国范围开展APP违法违规收集使用个人信息专项治理，已检测APP数万款，对问题较为严重的千余款APP采取了公开曝光、约谈、下架等处理处罚措施，发现并监督整改了一大批强制授权、过度索权、超范围收集个人信息问题的APP，治理卓有成效。

只共享必要的个人信息

在某购物APP中搜索了电视这一产品后，浙江杭州的王女士发现，随手打开的另一个APP中也出现了相关产品的推荐，“其他APP是怎么知道我搜索了电视的？”

海问律师事务所合伙人杨建媛分析，目前引发手机用户隐私泄露担忧的，主要是跨平台的广告推送、个性化内容推荐。“跨平台的广告推送或内容推荐，相当一部分发生在大型互联网平台的关联公司或授权合作伙伴之间。”杨建媛说，查阅一些大型互联网平台的隐私权政策，会发现其中有“与关联公司间共享”“与授权合作伙伴共享”等条款。从技术手段看，每台手机设备都有唯一的标识符，用户在同一台手机设备上使用不同的应用程序时，应用程序追踪获取到这个唯一的标识符，便有可能精准地进行跨平台广告推送和效果追踪；此外，用户在浏览网页时，浏览器的cookie技术也会记录使用足迹。

在精准营销的时代，跨平台广告推送和个性化内容推荐越来越频繁，用户是否需要为此担忧？杨建媛表示，个人信息保护法规定，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。《信息安全技术个人信息安全规范》指出，收集个人信息后个人信息处理者宜立即进行去标识化处理。不过，在大数据时代，如果数据存储不当或者访问、使用权限管理不严格，借助数据挖掘、关联匹配技术，经过去标识化处理的信息，仍然有暴露个人敏感身份信息的风险。为防范这些风险，应借助法律手段严格规范互联网公司收集、存储、共享、使用个人信息的行为，即便是关联公司之间也应只共享必要的个人信息。另外，用户也要加强隐私保护意识，安装和使用应用程序时注意阅读隐私权条款，比如，一些应用程序的个性化广告推荐选项是默认开启的，用户可以选择关闭。

我国目前已形成一套相对完善的个人信息保护法律体系，涵盖民法典、刑法、未成年人保护法、电商法、网络安全法、广告法、消费者权益保护法、数据安全法及个人信息保护法等。筑牢个人信息使用的安全边界，离不开监管要求、企业责任与用户意识等层面的共同推进。

李晨建议，监管机构应加大监管和处罚力度，并为用户提供便利的维权渠道；企业应承担起保护用户个人信息的责任与义务，遵守个人信息保护相关法律法规，谨守合规红线；用户则应提升自身个人信息保护意识，提升数字素养。