個人信息網絡侵權的形式及治理策略

基金項目：本文系南京大學研究生科研創新基金項目“電子商務環境下網絡隱私體系的可用性及隱私沖突協調機制研究”（項目編號：2013CW11），河南省科技廳軟科學研究項目“電子商務環境下隱私沖突協調機制研究”（項目編號：132400410794）研究成果之一。

作者簡介：趙靜（１９７８－），女，講師，在讀博士，研究方向：信息經濟學、電子商務。·理論探索·

〔摘要〕個人信息網絡侵權主要有個人信息的不當收集、個人信息的不當利用、個人信息的不當管理3種形式，可以通過“加強宣傳教育，提高個人信息保護意識，營造尊重個人隱私的社會氛圍”、“制定可操作性強的政策和法律，規范網絡業者的行為”、“開展標準制定和隱私認證，實施行業自律”、“實施多方監管，提高個人信息網絡侵權成本”及“積極運用技術手段，防個人信息網絡侵權于未然”等多維途徑進行治理。

〔關鍵詞〕個人信息；網絡侵權；侵權形式；治理策略

ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１００８－０８２１．２０１４．０３．００７

〔中圖分類號〕ＤＦ５〔文獻標識碼〕Ａ〔文章編號〕１００８－０８２１（２０１４）０３－００２９－０３

Online Infringement Forms and Government Strategies of Personal InformationZhao Jing１，２

（１．School of Information Management，Nanjing University，Nanjing 210093，China；

２．Zhengzhou Institute of Aeronautical Industry Management，Zhengzhou 450015，China）

〔Ａｂｓｔｒａｃｔ〕Online infringement of personal information mainly included three forms:improperly collecting personal information,improperly using personal information,and improperly managing personal information.You can govern online infringement of personal information through multi-dimensional approaches:enhancing the protection awareness of personal information and creating a social atmosphere of respecting for individual privacy by strengthening publicity and education,developing workable policies and laws to regulate the behaviors of the network industry,conducting standards and privacy certification to implement industry self-regulation,implementing multi-supervision to improve the online infringement cost of personal information,and actively using technical means to nip online infringement of personal information in the bud.

〔Ｋｅｙｗｏｒｄｓ〕personal information;online infringement;infringement form;government strategy

Internet的快速發展和普及極大便利了人們信息獲取和交流，電子商務的應用使得消費者足不出戶即可購買各種產品。網絡帶給人們便利的同時，個人信息網絡侵權現象卻愈演愈烈，強大的人肉搜索、頻發的網絡安全事件、網絡商家與消費者的沖突等使很多以往并不易為他人所知的各種個人信息通過網絡在本人不知情的情形下泄露出去，個人信息時刻面臨著被侵犯的危險。2011年12月，知名程序員網站CSDN的600余萬用戶數據庫被泄密；隨后，人人網、貓撲、天涯社區等網站的部分用戶數據庫也被傳到網上。個人信息網絡侵權已成為目前個人信息侵權最常見的方式，可能給權利人造成精神上或財產上的損失，甚至危害個人生命安全［１］。隨著互聯網的廣泛普及和信息通訊技術的飛速發展，個人信息網絡侵權的方式日趨復雜和多樣化。

個人信息網絡侵權事件的不斷涌現使得個人信息網絡侵權也逐漸引起了學術界的關注。在文獻調研中，陳癑［２］提出過度收集、錯誤收集、個人信息的傳輸和交易、二次開發利用4種方式，并主要從法律角度分析這些方式對個人信息權的危害。徐敬宏、文利民［３］將電子商務中的個人信息侵權劃分為信息被非法收集和非法利用兩種；又將非法收集分為未經許可而搜集、欺騙性地搜集和向有關機構或公司購買3種，非法利用細分為將其所收集的信息用于別的用途和非法轉讓或出售個人信息兩種。

由前述可知，與個人信息網絡侵權事件日漸增多、侵權方式多樣化和復雜化的趨勢相比，個人信息網絡侵權形式的研究明顯偏少。因此，本文擬系統梳理個人信息網絡侵權形式，并在此基礎上探尋個人信息網絡侵權的治理策略。

１個人信息網絡侵權的形式

個人信息主要有兩類：一是標識個人自然屬性的信息，如性別、肖像、指紋等；二是標識個人社會屬性的信息，這類信息又主要包括：①個人學習、工作和生活的信息，如學習成績、電話號碼、住址等，②個人資產及信用信息，如個人收入、信用記錄等，③與網絡有關的個人信息，如網上活動蹤跡、電子郵箱地址、網絡上的各種帳號密碼等［４］。個人信息網絡侵權主要涉及第二類標識個人社會屬性的信息，特別是與網絡有關的信息。

１１個人信息的不當收集

個人信息收集是網絡業者從儲存有個人信息的數據庫以及網絡中提取和收集有關個人信息的過程。個人信息的不當收集未必一定會對個人造成侵權后果，但它侵犯了網絡用戶對其個人信息的控制權和支配權，極易帶來安全隱患，是非法處理和利用個人信息的源頭。

１１１非授權訪問路徑跟蹤

非授權訪問路徑跟蹤是指，網絡業者未經過訪問者同意，通過追蹤軟件對訪問者IP、ID及訪問路徑等進行監控，跟蹤訪問者的網絡行為、消費習慣等。商家通過追蹤消費者的網上行為，可以了解其個人興趣及偏好，從而展開有針對性的廣告和營銷業務，如2012年谷歌繞過蘋果公司Safari瀏覽器的隱私設置而收集用戶的上網信息，利用Cookie文件，記錄Safari瀏覽器用戶的上網歷史和習慣，并據此展示針對性的廣告，該行為最終被美國聯邦貿易委員會處以2 250萬美元罰款。而一些非商業性的路徑跟蹤，也可以造成個人隱私的泄露，給個人帶來嚴重的精神上的壓力。

１１２惡意攻擊獲取信息

endprint

惡意攻擊獲取信息是指，網絡業者通過被動攻擊或主動攻擊有計劃地監聽、偷竊個人信息。被動攻擊在不影響網絡和計算機系統正常工作的情況下，監聽網絡傳遞的各種敏感信息并對之進行分析，在此基礎上確定具體攻擊目標及攻擊策略、展開主動攻擊獲取用戶信息。釣魚網站、特洛伊木馬、軟硬件供應商的后門等都是惡意攻擊者進行攻擊時常用的手段。中國反釣魚網站聯盟2013年的最新統計數據顯示，8月份共處理釣魚網站7 313個，截止8月份累計認定并處理釣魚網站136 194個。

１１３過度收集個人信息

過度收集個人信息是指，網絡業者超出其收集目的范圍，過量收集他人信息。在網絡環境下，受商業利益的驅使，很多網站在用戶進行注冊時，設置的必填項目超出其目的范圍，大量收集用戶信息。同時隨著移動互聯網應用的發展，許多基于GPS的個人位置信息被搜集；基于手機通訊錄的即時通訊軟件使得很多親朋好友的手機號碼等被收集。目前很多手機應用程序APP過度搜集用戶個人信息已是業內共知的秘密。

１２個人信息的不當利用

網絡業者通過合法途徑收集的個人信息是其市場競爭和盈利的重要資源，可以利用這些個人信息進行產品或服務的個性化，實施個性化推薦、定價和服務，增加客戶的忠誠度［５］。但是，這些個人信息一旦被不當利用，其后果輕則是信息主體經常受到推銷廣告的困擾，重則甚至會危及信息主體的個人財產甚至生命安全。

１２１個人信息的買賣和利益交換

在互聯網產生之前，個人信息買賣和利益交換現象已經存在；隨著互聯網的發展，個人的消費偏好、網絡行為記錄、電子郵箱地址等成為個人信息買賣和利益交換的重要對象，傳統的個人信息買賣和利益交換也借助互聯網愈發便利和隱匿，造成的侵害程度更深，影響范圍更廣。網絡環境下個人信息買賣的方式有：售賣郵件搜索引擎，以網絡論壇、即時通訊工具等為媒介發布個人信息買賣廣告，建立網站買賣個人信息網站；而個人信息利益交換最常見的方式是網絡業者與其他公司共享用戶信息。

１２２利用個人信息惡意騷擾或犯罪

這種情況主要出現在社交網站、購物網站及尋人網站中，一般情況下不涉及商業目的。社交網站上本應受到保護的個人注冊信息，在當事人無法預知、不受歡迎的范圍內傳播，如Facebook就發生了多起用戶被騷擾的情況，國內的社交網站上此類情況也經常發生；購物網站上，賣家掌握了大量的買家信息，如果買家給了賣家“差評”或“中評”，有的賣家就會利用掌握的買家個人信息威脅甚至實施騷擾行為，淘寶的“大便門”、“壽衣門”事件即是典型；尋人職能網站上留下的個人聯系方式也成為一些人進行騷擾、推銷、詐騙的重要信息來源。

１２３不正當的技術分析

不正當的技術分析主要表現為利用數據挖掘工具、人肉搜索等對個人信息的分析整合。用戶在網絡上零星的、分散的個人信息都可能被應用于數據挖掘，形成比較完整的個人信息，從而可能對用戶造成威脅［６］；盡管數據挖掘在作為商家營銷工具時這種工作未必是非法的。而備受爭議的人肉搜索不但侵犯個人信息，同時還存在許多其他的法律問題。它使得手機號碼、家庭住址、家庭成員狀況等大量私人信息被公布在網上，有的被搜索對象因此接到大量騷擾電話或被周圍人群鄙夷，學習工作生活受到極大干擾。曾鬧得沸沸揚揚的反人肉搜索第一案——“姜巖死亡博客案”最終以兩網站侵犯原告（姜巖的丈夫）隱私權和名譽權而告終。

１３個人信息的不當管理

網絡業者對通過正常途徑合法獲得的個人信息具有防止其泄露的管理責任。但有些網絡業者因為意識、技術或管理上的安全保護措施不善，沒有盡到應盡的個人信息保護義務而致使個人信息泄露。這既可導致網絡業者商業秘密的曝光，更重要的是侵犯了用戶個人信息或為侵犯用戶個人信息提供了便利。一些個人信息泄露均與網絡業者個人信息管理不當有關。例如，程序員網站CSDN的600萬注冊用戶信息泄露與該網站明文存儲賬號和密碼有密切關系，一些用人單位因缺乏個人信息保護意識，在網站上公布考試成績的同時公布考生身份證號碼，谷歌地圖街景服務因涉嫌侵犯無線網絡用戶的個人信息及披露街景中的個人信息，而在韓國、法國、意大利等多國當局對此展開調查，其中法國向谷歌開出了10萬歐元的罰單。

２個人信息網絡侵權的治理途徑

２１加強宣傳教育，提高個人信息保護意識，營造尊重個人隱私的社會氛圍網絡用戶個人信息保護意識不強、社會缺乏尊重個人隱私的氛圍是個人信息網絡侵權頻發的重要原因。可以通過電視、報紙、雜志、廣播、網絡等多種媒體手段，加大個人信息保護的宣傳力度，相關部門可以聯合學校、社區、企事業單位開展個人信息保護的教育和培訓，提高個人信息保護意識，營造尊重個人隱私的社會氛圍。網絡用戶在網上進行注冊、交友、購物等行為時應提高信息保護意識，仔細閱讀網站的隱私保護政策、留意網站的隱私保護設置，不隨意公開個人信息；網絡業者要提高道德素養和法律意識，避免不當收集、利用、披露個人信息。

315晚會作為億萬消費者信賴的輿論陣地，在2013年就曝光了網易等通過郵箱Cookie收集用戶隱私及包括高德地圖等在內的安卓系統手機軟件嚴重竊取用戶隱私的事件，在全國范圍內引起了包括移動網絡用戶在內的廣大網民的關注。

２２制定可操作性強的政策和法律，規范網絡業者的行為在有大量數據累積可形成很多個人文檔的網絡環境下，有效的個人信息政策和法律對防范和處理個人信息網絡侵犯是非常必要的［７］。歐盟是通過立法保護個人信息的典范，制定了完善的個人信息保護政策和法律。1995年歐盟制定了《數據保護指令》，2002年又公布了《隱私與電子通訊指令》，并于2012年提出對《數據保護指令》進行修改更新。

目前，我國對個人信息網絡侵權的政策和法律規范主要散見于憲法、刑法、民法、侵權責任法、行政法等，同時還有一些行政法規、部門規章及地方性的法規也適用于個人信息網絡侵權的處理，如《全國人大常務委員會關于維護互聯網安全的決定》、《互聯網醫療保健信息服務管理辦法》、《網絡商品交易及有關服務行為管理暫行辦法》、《上海市促進電子商務發展規定》等。我國還沒有專門的個人信息保護法，2003年起部署起草的《個人信息保護法》還沒有出臺。學者建議以民法典和單行法的二元立法模式來對個人信息進行保護［８］。

２３開展標準制定和隱私認證，實施行業自律

由于網絡環境的動態性和復雜性、個人信息網絡侵權的隱蔽性，個人信息網絡侵權主要依靠政策和法律規范有其局限性。在對個人信息網絡侵權利用法律政策進行規范的同時，應積極探索行業自律模式，設立獨立的非盈利性的認證機構，在行業內設立統一的個人信息保護原則，加強行業自律。網絡業者要嚴格自律，合理區分用戶的一般信息和敏感信息，恰當地收集、利用和披露個人信息，不斷開發和應用有效的信息安全技術，切實保護網絡用戶的個人信息。

行業自律可采用兩種模式：建議式指引和網絡隱私認證。美國是實施行業自律主導的典范，有許多個人信息保護組織發放隱私認證標志，最有名的是TRUSTe和BBBonline［９］，還有一些建議式的行業指引如美國在線隱私聯盟指引OPA；歐盟雖然在個人信息保護方面以法律為主導，但也在積極實施行業自律，如EuroPriSe的歐洲隱私標志（EPS）；還有日本的P-MARK認證也廣為熟知。在我國，2007年大連軟件行業協會最早推出了PIPA認證，2013年開始正式實施的國家標準《信息安全技術公共及商用服務信息系統個人信息保護指南》（GB/Z 28828-2012）作為建議式指引為網絡業者進行個人信息保護提供了指導。

endprint

２４實施多方監管，提高個人信息網絡侵權成本

行業自律可以通過行業內部的自我規范和自我約束來保護用戶個人信息，但是以行業利益為出發點的行業自律在實施中仍然存在諸多問題。一方面網絡業者進行隱私認證是自愿的，即便通過了隱私認證仍然出現大量侵犯用戶個人信息的案例；另一方面建議式指引的標準也只是指導性而非強制性的。因此，在加強行業自律的同時，政府、隱私認證組織、社會媒體及網絡用戶應監督網絡業者有關個人信息的行為，多管齊下，提高個人信息網絡侵權的成本。政府相關部門可以成立專門的個人信息保護組織，如歐盟的第29條數據保護工作組等，監管個人信息侵權事件，加大個人信息網絡侵權的懲罰力度；隱私認證組織在授予網絡業者張貼隱私認證標志后要對其進行持續深入監控，而不是走過場的簡單審核，發現違規情況及時調查處理，甚至撤銷張貼隱私認證標志；社會媒體對網絡業者的個人信息侵權行為要及時揭露、報道、評論或抨擊，發揮輿論監督的功能；網絡用戶發現個人信息侵權要及時與網絡業者溝通、與媒體交流甚至向政府舉報。

２５積極運用技術手段，防個人信息網絡侵權于未然信息技術發展為網絡用戶保護個人信息帶來了前所未有的技術手段。很多組織和研究者致力于網絡信息安全工作，開發出了許多技術工具保護網絡用戶的個人信息，防止用戶的個人信息被非授權的跟蹤和惡意攻擊獲取用戶信息。網絡用戶及網絡業者可以積極運用這些技術工具，將個人信息網絡侵權扼殺在搖籃之中。網絡用戶可以利用匿名軟件、Cookie抑制器、隱私偏好的設置、偽裝軟件等防止非授權的跟蹤，使用加密軟件、過濾軟件、殺毒軟件和防火墻等，并對其不斷升級更新防范惡意攻擊獲取用戶信息；網絡業者也可以利用入網訪問控制和身份鑒別技術、加密技術、殺毒軟件和防火墻、IP禁止等防止搜集到的個人信息被攻擊和偷竊。

總之，隨著包括移動互聯網在內的網絡應用的普及，個人信息在網絡上面臨的侵權風險越來越大。而個人信息網絡侵權的治理涉及到國家、社會、組織和網絡用戶等多個方面，應從多個維度加強對個人信息的保護，遏制個人信息網絡侵權事件的發生。

參考文獻

［１］王利明.論個人信息權的法律保護——以個人信息權與隱私權的界分為中心［Ｊ］.現代法學,2013,（4）:69-79.

［２］陳.網絡環境下個人信息隱私權的侵權方式及保護對策［Ｊ］.太原理工大學學報：社會科學版,2006,（2）:56-58.

［３］徐敬宏,文利民.論電子商務消費者個人信息及其保護［Ｊ］.圖書情報工作,2009,（8）:130-133.

［４］劉愛靜.我國個人信息侵權問題研究［Ｄ］.大連：大連理工大學，2008.

［５］Lee DJ.,Ahn JH.,Bang Y.Managing Consumer Privacy Concerns in Personalization:A Strategic Analysis of Privacy Protection［Ｊ］,2011,35（2）：423-442．

［６］Bhavani Thuraisingham.Data Mining,National Security,Privacy and Civil Liberties［Ｊ］.SIGKDD Exploration,2002,4（2）:1-5.

［７］Ciocchetti CA.E-Commerce and Information Privacy:Privacy Policies as Personal Information Protectors［Ｊ］.American Business Law Journal,2007,44（1）:55-126.

［８］石佳友.網絡環境下的個人信息保護立法［Ｊ］.蘇州大學學報：哲學社會科學版,2012,（6）:85-96.

［９］易斌,潘亞南.網絡個人信息隱私認證機制探討［Ｊ］.情報理論與實踐,2012,（5）:41-43,68.

（本文責任編輯：馬卓）

endprint