個人信息保護法創(chuàng)設(shè)了“守門人”制度，其中規(guī)定互聯(lián)網(wǎng)平臺需要成立主要由外部成員組成的獨立機構(gòu)對個人信息保護情況進行監(jiān)督，這就像是在個人隱私保護的“大門”內(nèi)再設(shè)一道“護欄”。然而，這道“護欄”建設(shè)的標(biāo)準(zhǔn)是什么?怎么建?行業(yè)內(nèi)仍處于“摸著石頭過河”的階段。
雖然相關(guān)部門、企業(yè)和老百姓的個人隱私保護意識不斷提高，但個人在互聯(lián)網(wǎng)“裸奔”的風(fēng)險似乎沒有明顯降低。3月15日，中國消費者協(xié)會發(fā)布了2023年消費維權(quán)年主題調(diào)查報告，其中，“個人信息泄露煩擾多”排在當(dāng)前消費環(huán)境存在的問題之首。
事實上，對于個人信息保護的監(jiān)管一直在“加碼”，尤其是加大了對掌握數(shù)據(jù)較多的互聯(lián)網(wǎng)平臺的監(jiān)管力度。2021年11月1日開始實施的個人信息保護法創(chuàng)設(shè)了“守門人”制度，其中規(guī)定互聯(lián)網(wǎng)平臺需要成立主要由外部成員組成的獨立機構(gòu)對個人信息保護情況進行監(jiān)督，以及定期發(fā)布個人信息保護社會責(zé)任報告，接受社會監(jiān)督。
“該規(guī)定的核心邏輯就是提高企業(yè)在個人信息處理以及管理上的透明度。”近日，螞蟻集團首席隱私官聶正軍在接受中青報·中青網(wǎng)記者采訪時表示，透明度是提升企業(yè)在這方面意識和能力最好的驅(qū)動力，“陽光是最好的消毒劑，當(dāng)一切在陽光之下時，健康的東西就會生長出來，不健康的東西就會滅亡”。
在“守門人”制度框架之下，借助外部獨立機構(gòu)與社會力量對平臺進行監(jiān)督，一定程度上像是在個人隱私保護的“大門”內(nèi)再設(shè)一道“護欄”，也是再上一道“保險”。然而，這道“護欄”建設(shè)的標(biāo)準(zhǔn)是什么?怎么建?行業(yè)內(nèi)仍處于“摸著石頭過河”的階段。
多家企業(yè)設(shè)立個人信息保護監(jiān)督委員會
當(dāng)前，行業(yè)內(nèi)已有一些互聯(lián)網(wǎng)平臺開始嘗試在個人信息保護“大門”內(nèi)再設(shè)“護欄”。
3月22日，在螞蟻集團個人信息保護監(jiān)督委員會(以下簡稱“監(jiān)委會”)2023年度首次會議上，監(jiān)委會委員、華東政法大學(xué)教授高富平表示，全社會的數(shù)字化轉(zhuǎn)型，本質(zhì)上是將數(shù)據(jù)作為資產(chǎn)轉(zhuǎn)型，在兼顧數(shù)據(jù)安全性的基礎(chǔ)上，進一步探索數(shù)據(jù)的價值。
“個人信息保護的背后反映的是信任問題，是關(guān)于企業(yè)和用戶、企業(yè)和監(jiān)管機構(gòu)之間的信任。”另一位監(jiān)委會委員、對外經(jīng)濟貿(mào)易大學(xué)法學(xué)院副教授許可認為，重建信任可以從兩個方面入手：一是提高算法的透明度;二是加強平臺內(nèi)經(jīng)營管理者的保護能力，平臺不僅自己要合規(guī)，更要重視平臺內(nèi)經(jīng)營者的合規(guī)。
據(jù)悉，該監(jiān)委會設(shè)立于2022年下半年，由螞蟻集團董事會、董事會隱私保護及數(shù)據(jù)安全委員會批準(zhǔn)設(shè)立，首批委員共5人，他們是來自法學(xué)領(lǐng)域和技術(shù)領(lǐng)域?qū)＜遥鳛楠毩C構(gòu)對公司個人信息保護情況進行監(jiān)督，進一步健全個人信息保護評價和監(jiān)督機制。
“隱私合規(guī)能力是數(shù)字化企業(yè)行穩(wěn)致遠的重要基石和核心競爭力。”聶正軍表示，設(shè)立該委員會，一是為了洞察社會對于平臺在數(shù)據(jù)安全和個人隱私保護方面的期待和關(guān)切;二是希望通過外部監(jiān)督力量督促企業(yè)提升數(shù)據(jù)安全和個人隱私保護水平。
此前，一些企業(yè)已在這方面進行了一些嘗試。2021年10月22日，騰訊公司副總裁謝呼曾在發(fā)言時透露，將成立個人信息保護外部監(jiān)督委員會，獨立評議騰訊公司及各產(chǎn)品隱私保護的相關(guān)工作，提出指導(dǎo)和修改意見等，提高騰訊公司個人信息保護工作的機制建設(shè)和透明度水平。
騰訊宣布這一消息后的第三天，攜程集團合規(guī)委員會就發(fā)布了一則《攜程“個人信息保護外部監(jiān)督專家團”招募公告》，招募9名專家，獨立監(jiān)督、評估攜程集團及旗下各產(chǎn)品的個人信息保護相關(guān)工作，并為攜程提出指導(dǎo)和修改建議等。
外部監(jiān)督如何保證獨立且有效
目前，關(guān)于如何建設(shè)外部監(jiān)督機構(gòu)，行業(yè)缺乏統(tǒng)一的標(biāo)準(zhǔn)。
行業(yè)亦有隱憂。比如，外部監(jiān)督機構(gòu)介入企業(yè)太深，可能會涉及企業(yè)商業(yè)秘密，甚至可能影響企業(yè)運營。如果企業(yè)披露信息不夠充分，可能無法保障監(jiān)督效果。那么，該如何保證外部監(jiān)督的獨立性以及有效性?
有人認為，在互聯(lián)網(wǎng)平臺，個人隱私保護與企業(yè)盈利存在沖突，因為流量即價值。聶正軍指出，支付寶在設(shè)置用戶保護中心的位置時，就曾遇到類似問題。該用戶保護中心包含了個人信息已收集清單以及個人信息共享清單等，消費者可以看到自己的哪些信息被收集了以及被共享到何處。
當(dāng)時討論將這個內(nèi)容放在更低的位置，然而，最終還是被放在了“第二欄”的高位，他們希望，用戶可以保護好自己。
當(dāng)外部監(jiān)督與企業(yè)業(yè)務(wù)發(fā)生沖突該怎么辦?聶正軍表示，一是監(jiān)委會提出的意見可以直接提交到螞蟻集團董事會隱私保護及數(shù)據(jù)安全委員會，從而保障和促進實施。二是社會責(zé)任報告最終由監(jiān)委會審閱通過，監(jiān)委會有“把關(guān)”的權(quán)力。
高富平認為，監(jiān)委會成員作為連接企業(yè)與社會的“橋梁”，對企業(yè)的個人隱私保護情況進行監(jiān)督的同時，應(yīng)盡可能更多地反映社會的聲音。并且，作為專業(yè)人士，在信息披露方面可以作出更專業(yè)的判斷，且對必要信息需要盡到保密責(zé)任。他坦言，外部監(jiān)督不是改變企業(yè)隱私合規(guī)文化最根本的路徑，“像我們這樣的人能夠發(fā)揮的作用還是有限”。他說，要做好這個“橋梁”需要下很多功夫。
數(shù)據(jù)安全與個人隱私保護最關(guān)鍵的是數(shù)據(jù)使用，這一環(huán)節(jié)鏈條長、涉及面廣、運行復(fù)雜。
高富平指出，個人信息保護的落實關(guān)鍵執(zhí)行者是平臺，平臺需要借助技術(shù)、法律以及管理，尤其是管理等手段，將個人隱私保護的意識貫穿于員工培養(yǎng)、產(chǎn)品設(shè)計、產(chǎn)品生產(chǎn)等各個環(huán)節(jié)。“最關(guān)鍵的是執(zhí)行。”他說。
讓監(jiān)督與發(fā)展兩條腿“走路”。作為業(yè)內(nèi)人士，高富平更希望，除了監(jiān)督，也可以為數(shù)據(jù)的開發(fā)利用找到“出路”。他認為，在數(shù)據(jù)利用與個人信息保護之間，匿名化或許是一種平衡的手段，因而如何實現(xiàn)數(shù)據(jù)匿名化制度的落地、落實，也是眾多科技企業(yè)可以探索的方向之一。
“把數(shù)據(jù)匿名化落到實處”
數(shù)字化浪潮是大勢所趨，未來，數(shù)據(jù)要素流動更多、更活躍，尤其是數(shù)據(jù)跨域流動，可能會產(chǎn)生新的風(fēng)險。如何進一步保障數(shù)據(jù)安全與個人信息是行業(yè)共同的考題。
當(dāng)前，大型互聯(lián)網(wǎng)平臺在不斷提升隱私合規(guī)的能力，更多的中小微企業(yè)數(shù)字化能力相對較弱，保護數(shù)據(jù)安全和個人信息安全的能力則更弱。
高富平指出，數(shù)字化轉(zhuǎn)型就是向“將數(shù)據(jù)作為資產(chǎn)”轉(zhuǎn)型，這個過程中，用戶信息的識別很重要，要區(qū)分哪些是正當(dāng)合法必須保護的，對用戶的信息要分級別，從而采用不同的處理方式，而非“一刀切”，這樣成本高，也不利于數(shù)據(jù)要素發(fā)展。
“沒有匿名化，數(shù)據(jù)可能流動不起來。”高富平談到，在個人數(shù)據(jù)保護和數(shù)據(jù)利用方面主要面臨兩個問題，一是個人ID保護問題：如何在匿名的前提下，繼續(xù)保留數(shù)據(jù)的價值，數(shù)據(jù)的價值不在ID，而在ID關(guān)聯(lián)的屬性和行為信息，這需要探討一個標(biāo)準(zhǔn)，做好身份信息的安全保護。“把數(shù)據(jù)匿名化落到實處。”
高富平說，數(shù)據(jù)安全風(fēng)險主要在數(shù)據(jù)的使用，而不在采集。高富平指出，對數(shù)據(jù)使用的控制，是一個隱私問題，也是一個安全問題，也是實現(xiàn)數(shù)據(jù)可流通利用的問題。這就需要構(gòu)建起安全體系和權(quán)益保護體系。
“數(shù)據(jù)安全保護還沒有從一個‘奢侈品’變成日用品。”螞蟻集團數(shù)據(jù)安全資深總監(jiān)郭亮表示，當(dāng)前，雖然監(jiān)管形勢逐漸清晰，但行業(yè)外部形勢依然嚴峻。
“網(wǎng)絡(luò)黑產(chǎn)趨于強對抗。”郭亮認為，當(dāng)前，網(wǎng)絡(luò)“黑產(chǎn)”呈現(xiàn)往專業(yè)發(fā)展趨勢，且產(chǎn)業(yè)鏈長、隱蔽性強，打擊難度隨之上升。他說，數(shù)據(jù)黑市愈加活躍，黑產(chǎn)公開售賣數(shù)據(jù)，數(shù)據(jù)還被欺詐等黑產(chǎn)利用。
在利益驅(qū)動下，數(shù)據(jù)源頭“內(nèi)鬼”風(fēng)險呈頻發(fā)態(tài)勢。郭亮介紹，全國范圍內(nèi)數(shù)據(jù)泄露事件頻發(fā)。另外，國內(nèi)數(shù)據(jù)企業(yè)數(shù)據(jù)安全意識弱，數(shù)據(jù)安全投入不足。安全公司加速數(shù)據(jù)安全領(lǐng)域布局，但能力和方案成熟度低。
聶正軍也擔(dān)心，在平臺內(nèi)數(shù)據(jù)安全可以得到保證，一旦數(shù)據(jù)走出平臺，這就很難說了。“孩子還在家里時，能夠給它一個安全的港灣，長大成人出去了，很難管住。”他說，“這也是我們最擔(dān)心，也最想要解決的問題。”
當(dāng)前，制約這些中小微企業(yè)提升數(shù)據(jù)安全能力的一個關(guān)鍵因素是成本太高。聶正軍指出，如果能夠把相關(guān)技術(shù)從“奢侈品包”變成“帆布包”，大家都可以用，整個行業(yè)在這方面的能力就都能夠得到加強。作為平臺企業(yè)，在提升自身的相關(guān)能力時，也需要提醒行業(yè)尤其是下游企業(yè)，并且用平臺技術(shù)去給它們賦能。
他觀察到，近一兩年，國內(nèi)已經(jīng)開始涌現(xiàn)出一批關(guān)于數(shù)據(jù)安全合規(guī)的創(chuàng)業(yè)公司，探索數(shù)據(jù)安全合規(guī)，這也是新賽道的商業(yè)機會。
聶正軍預(yù)測，未來4年，中國將涌現(xiàn)一批比較成熟、成體系的數(shù)據(jù)安全合規(guī)產(chǎn)品的供應(yīng)者。中國巨大的數(shù)據(jù)市場之下，隨著技術(shù)進步迅猛，這個時間可能會明顯縮短。(趙麗梅)
編輯：郭成
