📖 ZKIZ Archives

保護個人信息：“精準詐騙”需要“精準治理”

（向春/圖）

今天，數據正在成為隱私最大的載體。一個數據極其充沛的時代，也是一個隱私極其脆弱的時代。

人人都有免於恐懼的權利，這是信息社會最起碼的安全準則。中國社會要避免出現更多的基於個人信息的精準詐騙，就必須從基礎做起，從規則、法律和標準做起，做到精準治理、精準打擊。

從1946年第一臺電子計算機發明，到1989年萬維網誕生，再到近年來數據的爆炸，信息時代一路狂奔，還從來沒有像今天這麽沈重過。2016年8月19日，因為個人信息泄露而遭遇詐騙，準大學生徐玉玉病發死亡，此後各地不斷爆出信息詐騙導致的惡性案件；2016年8月29日，又傳出清華大學一名教師被騙1760萬元，案犯掌握信息之精準、騙局之精細，令人瞠目。

一條條信息的泄露，一道道防線的失守，一次比一次更嚴重的傷害，整個社會都在追問：是誰泄露了徐玉玉等人的隱私信息，讓騙子可以按圖索驥，實現精準詐騙？又是誰通過數據操縱篡改他人的人生，連知識精英都未能幸免？

我認為，這些案件表明，中國社會的個人信息保護體系還未成熟，要盡快面對和化解系統性的危險。

原因，是多方面的。

問題一：違法成本低

很多人驚詫，在中國，地下非法信息買賣就像買賣一根蔥一樣方便，是無法可依嗎？

實際上，雖然中國尚未出臺全國性、系統性的個人信息保護辦法，但立法層面的基本框架已經具備。據專業人士統計，中國有至少40項有關個人信息保護的法規。

在國家層面，泄露公民個人信息已經入刑。2015年8月通過的“刑法修正案”規定：“違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處三年以下有期徒刑或者拘役，並處或者單處罰金……”該條款常被指責處罰力度不夠，與當前電信詐騙的猖獗程度及其帶來的嚴重後果不匹配。

2015年3月，國家工商總局頒布了“侵害消費者權益行為處罰辦法”，此外還有“電信和互聯網用戶個人信息保護規定”“消費者權益保護法”“網絡安全法”等一系列法規都有相關規定。

在地方政府層面，也有諸多嘗試。如“杭州市網絡交易管理暫行辦法”“山西省公共信用信息管理辦法”都有涉及這個話題。

這些法律法規看起來很多，但散落在各個部門，不成體系。這說明，從中央到地方，都意識到這是一個問題，但如何增強立法修法系統性、科學性，進一步強化落實已是當務之急。

舉一個例子。2015年12月，安徽省就該省的“消費者權益保護條例”向社會公開征求意見。其中有條款規定：“經營者非法向他人提供消費者個人信息的，應當給予消費者經濟賠償”，賠償的額度為“非法提供個人信息獲取的收益”和“給消費者造成的實際損失”兩者中的較大者，“實際損失難以確定的，賠償額度不低於500元；造成嚴重精神損害的，賠償額度不低於3000元”。

我當時就為這“500元”和“3000元”的最低額度暗暗叫好，因為這明確地標明了違法者的風險和成本，大大降低了執法的難度和舉證的門檻，清晰明確，可操作性強。

但令人意外的是，2016年2月，安徽人大宣布該條例正式實施，在其最終的定稿中，“500元”和“3000元”的最低罰款額度等規定都被一一刪除了，僅僅提出了經濟賠償和精神損害賠償，到底多少，沒有明確。

可以想象，立法過程當中的猶豫、反複和最終的妥協。這反映了我們的立法對這種違法行為的“惡”認識不足、決心不夠大。

徐玉玉等人的遭遇表明，放任個人隱私數據泄露、倒賣，整個社會將付出慘重的代價。今天，我們每一個人都在源源不斷地產生數據，這些數據表征著我們的位置、狀態、習慣、喜好和需求，一旦這些個人數據落入詐騙者手里，人人都可能成為下一個“徐玉玉”。在精心構置的精準詐騙中，騙與被騙是一種獵與被獵、吃與被吃的關系。

總結起來說，法律規定不成體系，令出多門，一旦出現違法的問題，消費者不知道應該向誰投訴、無法鎖定責任、茫無頭緒，管理部門也莫衷一是、互相推諉。再加上法律條文概念化、處罰標準模糊、操作性不強，受害者就會面臨舉證困難，即使證據確鑿，對不法分子的處理也無關痛癢，犯罪分子就更加囂張。

相比較而言，也有不少國家要規範得多，他們正在不斷地拓展著個人隱私保護的外延。如歐盟即將推出一項強化個人隱私保護的政策，規定手機等電子設備可以記錄一個人曾經停留過的地理位置，相關企業將被禁止處理這些數據，除非經過匿名處理或得到用戶的明確允許。

此外，從文化傳統和個人權利意識上來說，大眾的隱私意識比較淡泊，最終導致分散、寬泛的法規成了擺設、硬不起來。數據表明，2015年全國電信詐騙發案近60萬起，破案率卻不到3%。大量的案件，消費者只能自認倒黴、不了了之。中國在個人信息保護上還處於比較初級的階段。

問題二：信息過度收集

除了立法的問題，數據的收集者也存在類似問題。當下中國社會的數據收集，是一種泛收集、過度收集，沒有科學規劃，也缺乏權利意識。

再以徐玉玉一案為例，其助學金申請表格包含了26個數據項，其中不僅包括姓名、身份證號、聯系方式、住址，還有個人照片、生日、銀行賬號、學號、家庭經濟情況、家庭成員信息等。這些數據不僅呈現了申請者自身的狀況，還反映了她的社會關系網。悲劇發生之後，各方討論，但鮮有人認真地問一句：申請助學金真的需要如此多的數據嗎？

過度收集的問題還在於，大部分的數據在收集後，都沒有加密保存。今天的信息技術，已經讓數據複制、轉移的成本非常低廉、過程非常簡單快捷。沒有加密的數據，基本上就是在“裸奔”。

簡而言之，數據被大量收集起來，又沒有加密保存，非但無用，一旦落入不法分子之手，還有副作用，甚至反作用。

因此，我們應該質疑、反思現行的數據收集體制和機制，重點是其合法性、正當性和科學性。

回到上文中提到的“侵害消費者權益行為處罰辦法”，其實對數據收集的問題也有規定:“經營者未經消費者同意收集、使用消費者個人信息的……或在消費者明確表示拒絕，仍向其發送商業性信息的，都將受到處罰”。但在現實生活中，這條法規得不到有效的實施：中國仍然存在大量未經個人同意就收集數據的，絕大部分人也不知道自己居然有拒絕的權利。

一個人一生填報的表格、提交的信息，其實非常可觀。1995年，美國聯邦政府做過統計，他們一年的信息收集任務需要65億個小時才能完成，這相當於320萬人一年的工作量。也就是說，除了填表格，這320萬人什麽都不用做，也需要一整年的時間才能完成美國聯邦政府下達的信息收集任務。到2009年，信息采集的時間已經上升到99億小時。

這其中有相當部分是重複采集，還有相當一部分，一經收集，可能只使用一次，便永遠沈睡在檔案庫中。

過度收集會造成多方面的問題。我認為這方面要借鑒發達國家的經驗。美國有專門的“紙面工作精簡法”規範政府的信息收集，其規定，任何一個部門如果要向社會收集數據，必須得到信息管制辦公室（OIRA）的批準。這個辦公室首先判斷該項數據在整個政府的範圍內是否屬於重複收集，如果不重複、又要求合理，將會授予該部門一個“信息收集許可號”。這個“號”是政府收集數據的通行證，並限定了本次數據收集的範圍。缺少這個號，公民有權拒絕填報。

對於和個人身份相關的數據項，在采集之後，無論是靜態存儲還是動態傳輸，都必須加密。除了加密，政府還應該設計完整的管理機制，例如，政府文件有絕密、機密、秘密、公開之分，相應級別的公務人員只有權力查看相應級別的文件。有關於公民隱私的個人數據也一樣，要有特定的權限才能接觸、查看。道理很簡單，如果一份申請表，需要層層遞交、審批，經手的人越多，數據泄露的風險也越高。

在加密手段尚未普及的情況下，應該盡量減少、避免“過度收集”。這將從源頭上減少信息泄露的風險，把個人數據的風險降至最低。中國應當盡快出臺相應的法規，明確統籌的部門，詳盡規定數據收集的目的、類型、流程和使用權限，抑制過度收集數據，這不僅可以提高數據收集的科學性，還可以減輕全社會的負擔、減少“信息擾民”。

問題三：數據監管有漏洞

關於立法者、數據收集者，主要是制度建設。接下來，我想談談數據的管理者，管理得好不好，直接決定了制度的剛度。

2016年9月9日，公安部公布了徐玉玉案信息泄露的原因：嫌犯杜某利用技術手段攻擊了“山東省2016高考網上報名信息系統”，並在網站植入木馬病毒，盜取了包括徐玉玉在內的大量考生報名信息。

高考關系到千萬學子，網上報名系統如此脆弱，這令人心驚。2015年，國內網絡安全界的翹楚“安恒公司”對2.6萬個教育行業網站進行了評估和監測，發現了19.3萬個漏洞，平均每個教育網站漏洞7.4個。其他公共服務網站也同樣不容樂觀，25萬個政務網站有漏洞841萬個，平均每個政府網站漏洞34個。

也就是說，徐玉玉之案源於“外盜”，網站的脆弱為“外盜”打開方便之門，外盜猖狂。

但除了外盜，還有“內盜”“監守自盜”，更加防不勝防。

這方面我有親身經歷。半年前，我離開阿里巴巴，在杭州註冊了自己的新公司。在走出當地工商局的第二天，騷擾電話就來了：請問是觀數的塗總嗎？需要開發票嗎？需要購買複印機嗎？需要財務服務嗎？需要律師服務嗎……

一開始，這些電話來自杭州本地，一兩個星期之後，寧波、臺州等周邊地區的電話接踵而至。再接下來，河北、內蒙古、廣東一個個跨省電話輪番轟炸。每接一個電話，我就知道，我的數據又被賣到了一個新的地方。在辦公室放下電話，望向遠方，我仿佛看到一條地下數據買賣的黑色鏈條在不斷地延伸。

我在自己的微信公眾號吐槽了這段經歷，引來了大量網友的共鳴：一名孕婦去醫院建卡，一回到家就接到月子中心的營銷電話；另一網友在人社廳報名參加一個資格考試，隨後就接到上百條買賣答案、修改成績的短信……林林總總，不一而足。

2016年8月，北京海澱法院就判處一起教育機構“內鬼”倒賣信息案，罪犯之一楊某先後在北京3家教育機構工作。其間，楊某私自拷貝複制公民個人信息兩百余萬條，將這些信息分批出售，平均每條信息賣半分錢，共獲利1萬余元。

相當一部分的個人數據泄露緣於公共機構工作人員的監守自盜。

立法分散、寬泛，執法不力、管理乏力，黑客橫行、家賊難防，它們最終將徐玉玉們推向了深淵。如果數據的巨人行走在流沙之上，崩塌怎麽避免？

問題四：運營責任不清

徐玉玉案暴露的另外一個重大問題，是關於電訊運營商的，作為電話、短信的平臺運營者，我認為，其在大眾輿論中的責任也一直有模糊不清之處。

據中國互聯網協會發布的《2016中國網民權益保護調查報告》，2016年上半年，中國網民平均每天接到3個騷擾電話、2.9條短信。不難計算，平均一天就是十幾億個電話、十幾億條短信，不妨追問，這些業務每個月、每一年為運營商增加了多少收入？

這令我聯想到另一個社會熱點：阿里巴巴打擊“假貨”。作為中國最大的電商平臺，阿里曾因平臺上有假貨流通和欺詐行為備受批評。有人為之辯稱說，阿里巴巴只負責平臺的建設，對平臺上流通什麽東西，阿里負不了責，也不用負責任。

這些論點站得住腳嗎？大家都看到了結果，從2015年下半年開始，受累於假貨，阿里的股票一跌再跌。

和阿里一樣，三大運營商也是一個平臺。電商平臺上流通的是實物，三大運營商平臺上流通的是虛擬信號。實話說，電商平臺上的實物商品千千萬萬，差異性很大，而三大運營商平臺上流通的虛擬信號相對單一，主要是短信和電話，要說打假的難度，遠小於阿里。

我在阿里任職期間，對此深有體會。為減少假貨，阿里成立了2500人的專職打假隊伍，1萬多名“小二”參與；搭建了上百個模型，根據關鍵詞、照片、語義等維度進行監控分析，一年間刪除了1.2億條涉假商品鏈接。阿里還繪制了一張展現了各地假貨活躍情況的“假貨地圖”，派人前往這些市場暗訪。

阿里打假的成果尚待時間檢驗，但其做法運營商應該借鑒。

電話詐騙看似虛無，同樣有其可控的源頭。在現有大數據手段下，根據頻繁撥打陌生號碼、通話時間長短、是否為改號號碼等特征，甄別哪些號碼每天撥打騷擾電話、群發詐騙短信並不難。

但三大運營商是否做出足夠努力呢？

綜觀當下電信欺詐泛濫的現實，我們不難發現，三大運營商不是管不好，而是管得不力，管得不到位。誠如工信部近日所言，“不排除個別基層電信企業為追求短期經濟效益而罔顧社會責任。”

建議：成立隱私保護局

幾千年來，中國社會的隱私意識向來薄弱。

今天，人類“隱私”的表現形式，正在經歷大的演變。從歷史上看，人類早期的隱私集中表現在以住宅為中心的物理空間上，意味著個人可以在這個空間內不受監督、不受幹涉地發展個性、決定自己的生活方式；隨著新技術的產生和發展，對隱私權的侵犯已經不需要物理的、強制性的侵入，即便在公共場所，個人也有隱私，隱私從以“住宅”為中心變遷到以“人”為中心；進入信息社會，隨著政府和商業機構大規模收集個人數據，隱私又逐漸從以“人”為中心轉變到以“數據”為中心。

今天，數據正在成為隱私最大的載體。一個數據極其充沛的時代，也是一個隱私極其脆弱的時代。

最近一兩年來，在歐美發達國家，Google、Facebook等互聯網巨頭登上新聞頭條，往往不是因為其技術創新，而是因為隱私糾紛。因為它們擁有了大量的用戶數據，時時可能侵犯個人隱私。美國的大部分互聯網公司，也因此設置了首席隱私官，但迄今為止，我還沒有看到中國有企業設置這個職位。

隱私保護，是一個全球的問題，我認為，未來幾十年，它將成為全世界大數據時代的頭號社會話題。

除了在大眾層面上普及隱私的觀念和意識，我們還需要調整監管措施、改進治理方法。我的建議，是建立個人信息保護的統一立法、明確標準和執法主體，成立專門的隱私保護部門，以期對信息泄露、電信詐騙等行為進行“精準打擊”

例如在政府的監管部門——工信部設立專門的部門。

據了解，工信部下設了三十多個司局，執行相關職能的，有“網絡安全管理局”和“信息通信管理局”，在網頁上，我看到它們的職責有：“電信網、互聯網網絡數據和用戶信息安全保護管理工作”“監督管理電信和互聯網市場競爭秩序、服務質量、互聯互通、用戶權益和個人信息保護”等相關職能。但我認為，當前網絡安全的範疇太大，任務很重，這兩大部門互有交叉、職責不清。

我建議工信部率先成立一個專門的“個人隱私保護局”。具體名稱可再商榷，但其職責就是制定相關隱私保護政策，打擊因為個人數據泄露導致的詐騙行為，保護公民的隱私權益，未來的各級政府，都應該有隱私保護的工作部門。

這是一個時代的要求。在諸多發達國家，除了正在完善相關隱私保護法律，還在著力調整行政職能、設立專門的隱私監管部門。美國的聯邦政府，下轄有七十多個部委直屬機構，其中絕大多數不僅設立了首席數據官，還設立了首席隱私官。

人人都有免於恐懼的權利，這是信息社會最起碼的安全準則。中國社會要避免出現更多的基於個人信息的精準詐騙，就必須從基礎做起，從規則、法律和標準做起，做到精準治理、精準打擊。

（作者為《數據之巔》作者，大數據專家）