原标题:安全锁定个人数据

   

       近日，国家互联网信息办公室发布了《数据安全管理办法(征求意见稿)》，不仅收集公众关注的个人敏感信息，准确推送广告，APP直接回应过度索权、账户注销困难等问题，还对网络运营商在数据收集、处理和使用、安全监督管理等方面提出要求，为个人数据安全增加了一把锁

   

       随便注册一个应用程序就需要身份证号码，推送的广告似乎会读心，大数据杀熟防不胜防，注销账号难上青天……个人数据保护中经常出现的这些问题有望迎刃而解。

   

       国家互联网信息办近日发布了《数据安全管理办法(征求意见稿)》(以下简称《办法》)，对网络运营商在数据收集、处理和使用、安全监督管理等方面提出了要求，为个人数据安全增加了一把锁。

   

       为什么要出台这些措施？这显然与日益严重的个人信息滥用和泄露密切相关。根据100个常用手机应用程序的官方统计数据，相当一部分手机应用程序强制超出范围索要权限，平均每个应用程序申请收集10个个人信息相关权限，但事实上，用户不同意打开APP不能安装或运行的权限平均只有3项。

   

       电子商务消费纠纷调解平台的大数据也显示，近年来，天猫、淘宝、京东、苏宁、唯品会等电子商务平台，以及公众评论、百度糯米、携程等生活服务平台，都发生了用户信息泄露事件。仅在2018年，就发生了许多用户个人信息泄露事件，如童渊、旧金山快递在黑暗网络上出售超过10亿条个人信息12306数百万乘客信息在线出售。

   

       数据保护有章可循

   

       在《办法》中，数据活动被定义为利用网络进行数据收集、存储、传输、处理、使用等活动。与已发布的《信息安全技术个人信息安全规范》和《互联网个人信息安全保护指南》相比，未来作为部门规章发布的《办法》可能会更有效，这不仅是大数据时代数据安全的刚性需求，也是5G上海汉盛律师事务所高级合伙人李敏表示，市场铺平了国内数据处理合规化道路。

   

       北京关涛中茂（上海）律师事务所合伙人王玉伟也认为，与《网络安全法》相比，草案更为详细，有望为未来个人信息保护法提供参考。

   

       《办法》中的亮点提法也使个人数据保护有规律可循。一方面，《办法》强调用户的选择权，如明确要求制定和披露个人信息收集和使用规则，并强调如果隐私政策中包含收集和使用规则，则应相对集中、明显提示，便于阅读，突出信息使用规则的重要性，使个人信息主体能够享有充分的选择权。此外，特别规定，对于网络产品核心业务功能运行的个人信息以外的信息，网络运营商不得因个人信息主体不同意收集而拒绝提供核心业务功能服务。换句话说，网络运营商不能在数据索取上要价过高。

   

       中国社会科学院信息化研究中心秘书长姜奇平表示，信息收集的主导权和选择权必须交给消费者，这是信息服务的原则性问题。

   

       另一方面，《办法》进一步强调了对用户隐私的保护。《办法》要求网络运营商以经营为目的收集重要数据或个人敏感信息的，应当向当地网络信息部门备案。根据《信息安全技术个人信息安全规范》，包括身份证信息、电话号码、邮箱地址、浏览记录、定位信息甚至个人指纹和声纹，都是个人敏感信息。通过国家强制限制隐私信息的收集和使用，隐私信息泄露时也有痕迹可循，实现个人隐私信息的数据安全。李敏说。

   

       中国信息安全研究院副院长左晓东表示，只有追溯隐私信息的收集者，才能从源头上保护个人数据安全。

   

       面对痛点的解决方案

   

       《办法》细化了近年来网络数据安全问题层出不穷，新的数据安全管理规定可以及时填补社会发展带来的法律漏洞，具有前瞻性。李敏说。

   

       根据《办法》的具体规定，很多一直困扰用户的痛点都被明确点名了。比如刚订了机票，各个应用马上就开始推荐目的地相关信息。这种利用用户浏览历史，通过定向推送获得广告收入的精准广告，让很多用户觉得没有隐私。对此，《办法》明确规定，用户数据和算法推送新闻信息和商业广告需要明显标注定向推送字样，并为用户拒绝接受定向推送信息提供选择权。用户选择停止接收定向推送信息时，应停止推送，并删除已收集的设备识别码等用户数据和个人信息。

   

       广告商收集用户信息的难度会增加，但这也是全球的大趋势。各大国家的相关法律法规也强调保护消费者的个人数据隐私。在线广告平台Marteker创始人冯祺说。

   

       再比如，针对账户注销难、账户注销后个人信息难以消除的问题，《办法》还特别提出要保护用户的被遗忘权。《办法》强调，收集和使用规则应突出个人信息主体的注销同意，以及查询、更正和删除个人信息的方式和方法，网络运营商在收到个人信息查询、更正、删除和用户注销账户请求时，应在合理的时间和成本范围内查询、更正、删除或注销账户。

   

       突出‘被遗忘权’保护也是方法的亮点。‘被遗忘是消费者的合理诉求。左晓栋说。

   

       北京亿达（上海）律师事务所律师董毅志认为，遗忘权仍需进一步细化。例如，用户注销账户后，网络运营商如何处理已发布的信息？用户是否有权要求网络运营商删除或负责已发布的信息？

   

       此外，包括网络爬虫访问收集流量不得超过网站平均日流量的三分之一，限制大数据杀死等歧视性推动行为，明确数据安全责任人的任职要求，要求提供数据安全责任人的姓名和联系方式，本办法的有关规定为个人数据保护中的一系列热点问题提供了解决方案。

   

       互联网行业龙头企业的自然主导导地位导致行业内缺乏竞争。基于用户对平台服务的信任而建立的粘性不能成为某些平台实施差异化定价和反复数据交易的信心。从这个角度来看，《办法》对同行业、跨行业企业共同利用用户信息的合规性提出了新的要求。董一智说。