關注個人信息保護：是誰“偷”走了我的臉？

為智能設備加道安全濾網(關注個人信息保護)

　　智能網聯汽車、智能家居、AI攝像頭等智能設備走進人們日常生活，在帶來便捷的同時，也造成信息安全隱患。促進智能產業健康發展，需要在數據利用和保護中找到平衡點，廓清信息收集邊界，增強用戶權益保護意識，營造良好數字生態。

　　打開某些智能音箱，在用戶不知情的狀態下，敏感信息被持續監聽；走進某些商鋪，智能攝像頭在未告知的情況下，悄悄采集人臉信息……近年來，智能設備日益普及，在方便人們日常生活的同時，信息安全問題也日益凸顯。

智能設備采集個人信息越來越普遍

　　前段時間，江蘇張家港市場監管局對轄區內商戶進行專項排查后，發現一些商家在未經消費者同意的情況下，擅自采集人臉信息用于營銷分析，帶來了個人信息泄露的新風險。依照《信息安全技術 個人信息安全規范》，人臉信息屬于個人生物識別信息，收集時應獲得個人信息主體的授權同意。最終，執法人員依法拔除人臉識別相機網絡數據傳輸接口線，設備立即停止使用。

　　不僅是智能攝像頭，近年來，智能設備遭遇入侵、用戶隱私數據泄露等事件出現，對智能產品的生態安全形成挑戰。中國信息通信研究院泰爾實驗室此前對多個智能音箱設備進行抽樣檢測和分析，結果顯示，部分產品可基于獲取的權限通過不同方式對用戶進行竊聽，存在安全風險。

　　“隨著移動互聯網的迅速發展，智能終端產品不斷升級。一些智能設備收集了包括位置、音頻等在內的大量用戶信息。”中國信息通信研究院泰爾實驗室主任寧華介紹，從近年來出現的情況看，主要存在以下安全風險：

　　一方面，在用戶不知情的情況下，過度收集和使用個人信息。“一些智能設備并未通過隱私政策或其他途徑明確告知用戶收集使用信息的目的、方式、范圍和頻次，也未向用戶提供明確的允許和拒絕的選項。”寧華說，這種累積性的權益侵害如果出現在日常生活中，將引發用戶擔憂。

　　另一方面，在收集處理個人信息時，規則較為模糊。寧華提出，一些智能終端可同時接入更多設備，當用戶和其中一款智能終端語音交互時，倘若在其隱私聲明中，沒有明示聲紋、指紋等敏感信息存儲、轉移和二次加工等方面的妥善處理方式，一旦數據泄露，會造成廣泛的惡劣影響。

信息處理行為應遵循知情同意和最小必要原則

　　寧華分析，智能設備與用戶緊密綁定，設備上的數據密切反映了用戶的行為特征，疊加與之配套的APP交叉驗證，呈現出較高的商業價值，不少商家鋌而走險、違規使用。

　　“一些違規收集個人信息的行為存在技術復雜、隱匿性強、感知性弱等問題，難以追根溯源，再加上很多人個人信息保護意識不夠，從而產生侵害用戶權益的問題。”中國人民大學公共管理學院教授馬亮說。

　　在馬亮看來，種種侵害用戶權益行為不僅使個人信息面臨過度采集、濫用等問題，增加了因信息泄露而危害人身財產安全的社會風險。從長遠看，還將影響消費者對移動互聯網等應用場景的信任，使數字經濟發展面臨挑戰。

　　應該看到，近年來隨著用戶權益保護意識不斷增強，對智能設備的治理網絡也在越織越密。

　　2013年4月，工信部印發《規范互聯網信息服務市場秩序若干規定》，明確提出生產企業不得在移動智能終端中預置未向用戶明示并經用戶同意，擅自收集、修改用戶個人信息的應用軟件；2016年12月，《移動智能終端應用軟件預置和分發管理暫行規定》出臺，再次明確未經明示且經用戶同意，不得實施收集使用用戶個人信息、開啟應用軟件等侵害用戶合法權益或危害網絡安全的行為。

　　今年5月以來，中央網信辦會同工信部、公安部、市場監管總局推進攝像頭偷窺等黑產集中治理工作，對非法利用攝像頭偷窺個人隱私畫面、交易隱私視頻、傳授偷窺偷拍技術等侵害公民個人隱私行為進行集中治理。

　　針對智能網聯汽車的網絡安全問題，前不久，國家網信辦、國家發改委、工信部等五部門發布《汽車數據安全管理若干規定(試行)》，明確提出利用互聯網等信息網絡開展汽車數據處理活動，應當落實網絡安全等級保護等制度，加強汽車數據保護，依法履行數據安全義務。

　　“一系列法律法規明晰了智能設備等終端生產企業和互聯網信息服務提供者的信息處理行為應遵循‘知情同意’和‘最小必要’兩項個人信息保護基本原則。”寧華說，與此同時，智能設備系列行業標準結合具體應用場景，細化了“知情同意”“最小必要”的認定標準，進一步廓清了信息收集正當與不正當、適當與過度之間的邊界。

既要利用好，也要保護好，促進智能產業健康發展

　　隨著人工智能、大數據等新一代信息技術的發展，聲音、人臉等生物特征信息相對唯一且不可變更，成為高度敏感的個人信息。如何在利用和保護中找到平衡點，成為促進智能產業可持續發展的關鍵。

　　“在使用人臉識別技術進行人臉驗證、辨識或分析過程中，要充分保障用戶的知情權。”寧華解釋，一方面，智能設備提供者要公開處理聲音、人臉信息的規則，明示處理的目的、方式、范圍，明示共享、轉讓的第三方；另一方面，對人臉等信息的處理，不能帶有任何強迫因素，不應以“與其他授權捆綁”“不點擊同意就不提供服務”等方式索取非服務所必需的生物信息。

　　“目前對相關企業的監管仍以事后懲戒為主，加強事前審批和事中監管，將更好推動企業合規運營，促進形成個人信息保護的社會氛圍。”馬亮說，要明確智能終端在采集數據時應盡的義務和需要承擔的法律責任。政府部門可以委托第三方機構對智能終端采集個人信息的資質和保護個人信息的能力進行評估和審查，設立進入門檻并定期評估，一旦違規就應禁止采集。同時，要求企業明確個人信息的使用去向和范圍，強化非必要不采集、最小化采集、采集即負責等基本原則，對濫用個人信息的企業進行重罰。

　　據了解，為切實保障消費者權益，工業和信息化部通過進網檢測、專項整治、抽測抽查等方式，已對接入公用電信網的智能設備開展事前、事中、事后的閉環監管，同時指導相關協會深入開展技術研究、標準制定和行業自律工作，為行業提供規范參考。專家表示，相較于手機APP，智能設備違規收集個人信息的現象更加復雜、更為隱蔽，在哪里是合理邊界、違規如何界定等方面都還需進一步探索，深入開展研究，形成行業共識。

工信部要求

建立個人信息保護“雙清單”(鏈接)

　　本報北京11月1日電 (記者韓鑫)工業和信息化部近日印發通知，部署開展信息通信服務感知提升行動，將聚焦影響用戶感知的信息通信服務環節，同時建立個人信息保護清單。

　　通知提出，在隱私政策和權限調用方面，互聯網企業應以簡潔、清晰、易懂的方式，向用戶提供APP產品隱私政策摘要；涉及調用用戶終端中相冊、通訊錄、位置等敏感權限的，還應當以適當方式告知用戶調用該權限的目的。

　　按照通知，即日起將建立個人信息保護“雙清單”。各相關企業應建立已收集個人信息清單和與第三方共享個人信息清單，并在APP二級菜單中展示，方便用戶查詢。與第三方共享個人信息清單應簡潔、清晰列出APP與第三方共享的用戶個人信息基本情況。

　　在個人信息保護法實施之際，中國互聯網協會向互聯網業界發出五項倡議。倡議提出，互聯網企業應嚴格遵守法律規定，貫徹落實法律要求。處理個人信息應堅持合法、正當、必要和誠信原則，遵循個人信息處理規則及個人信息跨境提供規則。其次，建立健全管理制度，承擔信息保護責任。制定處理個人信息的內部管理制度和操作規程，組織實施個人信息安全事件應急預案，保障個人信息安全，維護個人權利。

　　人民日報記者 韓 鑫