有限實名網絡環境中的個人信息保護

周偉良，李亞平，2

（1.安徽行政學院，安徽 合肥 230059；2.合肥工業大學 管理學院，安徽 合肥 230009）

有限實名網絡環境中的個人信息保護

周偉良1，李亞平1，2

（1.安徽行政學院，安徽 合肥 230059；2.合肥工業大學 管理學院，安徽 合肥 230009）

有限實名網絡作為重要的網絡發展形態，帶來了網絡環境治理的新途徑，同時也帶來了個人信息保護的新需求。個人信息保護雖然得到了越來越廣泛的重視，但在網絡環境快速發展、變化轉型的階段，仍然存在諸多局限性認識。文章從保護范圍、使用界限、交易隱蔽性、互聯網企業責任等角度分析了有限實名網絡中個人信息保護面臨的實際障礙，圍繞信用體系、行業自律、市場監管等提出了具體的建議。

有限實名網絡；網絡實名制；個人信息；監管

［DOI］10.3969/j.issn.1007-5097.2016.05.027

一、引　言

隨著網絡社交、電子商務的深度發展，信息的采集、存儲、傳遞、處理和使用愈加便利，并由此推動大數據時代的到來。與此同時，網絡環境中個人信息的累積成為一個不可逆轉的演進過程。在此背景下，網絡暴力、網絡謠言、個人信息販賣等網絡亂象屢見不鮮，并造成了愈加嚴重的后果［1］，個人信息的使用與保護成為網絡環境治理面臨的一個現實的矛盾。網絡實名制為網絡治理提供了一個可行的方案，但同時也面臨個人信息保護的現實風險［2］。

個人信息的內涵相當廣泛，其中主要包括6種類型：屬于個人、關于個人、個人發送、個人接收、個人體驗、有用于個人。針對網絡環境下的個人信息保護，國外的相關研究主要集中在特定領域個人信息泄露與保護模式、個人信息的安全需求層次、個人信息隱私顧問、個人隱私信息過濾等方面［3］。國內學者也對網絡環境中的網絡監管和個人信息安全進行了深入的研究［4-6］，部分文獻分別提出了網絡監管的分析機制、應急機制、預警機制、處理機制，在保護方案的設計方面，主要集中在網絡實名系統方案、基于“網絡身份證”的信息保護方案等。此外，也有一些研究關注了網絡實名的適用領域問題。網絡實名制環境中個人信息保護已經成為網絡環境治理研究的熱點問題。

傳統的個人信息保護研究更加關注從立法保護的角度研究如何保障個人隱私權。然而，個人信息保護是一個系統工程，涉及技術保護、行業自律、社會誠信、政府監督等各個方面。因此，還需要從不同的角度研究防范不同的風險來源。個人信息資源既具有傳統網絡資源的共性特征，也具有自身在存儲、傳播、使用方面的個性特征。隨著網絡環境的復雜化，個人信息不僅需要保護，同樣也需要合理的使用；既有得到廣泛認同的內容和形式，又缺乏明確的隱私權法律規定；既有外部竊取的風險，又面臨內部管理的風險。基于這些特征，研究個人信息保護，不僅需要從立法保護的角度、技術保護的角度，還需要從監管的角度、自律的角度進行更加系統的研究。據此，本文針對有限實名網絡中的個人信息保護問題，從有限實名網絡中的個人信息風險出發，結合具體問卷調查和企業調研，明確個人信息面臨的主要風險因素。在此基礎上，著重分析個人信息保護存在的關鍵問題及障礙。最后，以調研數據為基礎，篩選出改進個人信息安全的關鍵因素，并有針對性地提出個人信息保護的策略。

二、有限實名網絡的提出

在網絡實名制的實踐方面，國內外都進行了積極的探索。2007年，韓國頒布網絡實名制法案，并將其擴展到所有日訪問量超過10萬的網站，從而實現全面的網絡實名制管理［7］。日本主要通過IP地址備案和手機實名注冊等實現間接網絡實名。美國、英國則多以行業自律模式實施網絡信息監管。遺憾的是，因實名制推行，個人信息在網絡平臺集中存儲和不斷累積，從而導致嚴重的用戶資料外泄，并最終致使韓國于2012年8月宣布廢除網絡實名制法案。在國內的網絡實名制實踐方面，2004年，價值中國網成為中國首家全站實名制網站，2012年，新浪、騰訊等社交平臺率先實行微博注冊實名制。國內外的網絡實名實踐表明，政府管控意志與網絡匿名需求的矛盾影響著網絡個人信息保護的演進，個人信息保護已成為網絡環境管理的關鍵。

國內網絡實名制的研究可以追溯到2002年，李希光提出“中國人大應該禁止任何人網上匿名”［4］。此后，網絡實名制得到了廣泛的研究，并在各個領域得到了不同程度的推進。2006年，中科院院士胡啟恒提出從有限實名（即前臺匿名，后臺實名）的角度平衡個人隱私和公眾、國家利益，這為網絡實名制的推進提供了一個新的方向［8］。由于有限實名制在保障個人隱私方面較完全實名制有著顯著的優勢，有限實名網絡環境得到了快速的延伸和發展。與此同時，有限實名網絡同樣帶來個人信息在網絡平臺的累積，帶來了新的個人信息安全問題。因此，如何加強對有限實名網絡環境中個人實名信息的保護成為當前網絡監管的重要組成部分。

三、有限實名網絡中的個人信息風險

隨著網絡應用的不斷深入，尤其是隨著電子商務的發展，局部、有限的實名網絡已普遍存在，有限實名網絡也被賦予更多形式和內涵。同時，有限實名不可避免地帶來個人實名信息在網絡平臺的累積，這也導致更加嚴峻的個人信息安全形勢。

針對有限實名網絡中的個人信息風險，課題組對政府職能部門工作人員、網民個體進行了問卷調查。首先，對安徽省內政府職能部門的工作人員發放問卷180份，回收有效問卷171份，涉及的政府職能部門超過100個；其次，課題組對網民個體發放問卷1 400份，回收有效問卷1 344份。共計回收有效問卷1 515份。在問卷調查“您認為個人信息風險的最主要來源是”中，相關數據見表1所列。

表1　個人信息風險的來源

由表1可知，個人信息面臨的泄露風險、信用風險和法律風險得到了受訪者不同程度的認可。其中，更多的受訪者將技術風險作為個人信息泄露最主要的風險因素。其次，追責不力的風險、管理風險和立法滯后在個人信息風險因素中也具有顯著的重要性。此外，僅有2.7%的受訪者認為“未經授權的共享”是最主要的風險來源。現對調查中涉及的主要風險因素做簡要分析。

（一）個人信息面臨的泄露風險

互聯網企業及其網絡平臺獲取了大量的個人信息資源，這些個人信息資源面臨著技術竊取和內部人員泄露兩種主要風險［9］。首先是技術竊取的風險。隨著網絡技術突飛猛進，很多安全技術手段被用于個人信息的安全保護，同時新技術也使得對個人信息的獲取或是竊取更加便利。其次是管理風險。由于企業內部員工可以便利地接觸到企業所掌握的個人信息，內部員工對于個人信息的泄露同樣是重要的風險因素。因此，互聯網企業不僅需要為個人信息投入大量的技術保護措施，其完善內部安全管理制度同樣重要。

（二）個人信息面臨的信用風險

個人信息面臨信用風險［10］，不同于個人信息從互聯網企業內部的外泄，而是主要表現為企業本身源于商業利益而進行的信息濫用以及與其他企業進行的未經授權的共享。用戶在網絡平臺注冊個人信息，目的在于獲取某種個人所需的網絡服務。在用戶所需的業務之外，互聯網企業可以將這些用戶信息應用在用戶不需要的其他業務中，或是將個人信息與其他企業共享，用于其他企業的業務推廣中。未經授權的濫用，同樣是對個人利益的一種侵害，并為個人信息安全帶來更多的隱患。

（三）個人信息面臨的法律風險

個人信息面臨的法律風險主要表現為：由于法律法規的滯后，使得個人信息安全受到侵害時得不到必要的法律保障。目前，國內還沒有建立專門的個人信息保護法，對于個人信息保護的法律分散在不同類型法律法規中［11］。一方面，面對日益復雜的網絡環境，現有的法律法規存在很多不適應性，例如對于一些新技術導致的個人信息侵害行為難以進行界定；另一方面，對于個人信息受到侵害后的追責也有待進一步的完善。

四、個人信息保護存在的關鍵問題及障礙分析

（一）個人信息保護存在的關鍵問題

1.側重于個人身份信息保護的局限性

由于個人信息一直缺乏較為明確的邊界，網絡環境中的個人信息過度采集、共享和濫用同樣缺乏行之有效的監管依據，這給立法保護帶來了現實的困難［12］。傳統觀念在個人信息保護中更多地將個人信息理解為個人身份信息，從而缺乏對個人屬性信息、網絡行為信息保護的關注。在課題組的問卷調查中，關于“哪些個人實名信息曾經受到過侵害”，受訪者中表示“聯系方式”（電話、郵箱、QQ號等）受侵害比例達到93.9%，通訊類信息成為個人信息泄露中的重災區。基于大數據的環境背景，將網絡個體的在各個網絡平臺的數據、狀態、行為進行挖掘、整合成為可能，即個人網絡行為信息的采集、使用將成為十分現實的應用。因此，對未來網絡環境下更加廣義的個人信息進行界定和保護是必要的。

2.側重于打擊個人信息販賣的局限性

2014年，公安部、工信部等部門開展了較為密集的互聯網安全治理工作。在個人信息保護方面，無論是法律層面的禁止還是道德層面的約束，往往都會將個人信息販賣者作為最直接的對象。然而，由于利益的驅使，在個人信息非法采集、販賣、濫用整個利益鏈中，作為一個橋梁紐帶的信息販賣者面臨的風險與其可以預見利益相比是微不足道的。因此，過多地依靠對“橋梁”的打擊還是遠遠不夠的。由于這個橋梁低成本、低風險的自身特性使得這一手段更多地表現為事后補救且收效十分有限。

3.側重于依賴立法保護的局限性

在個人信息保護中，學者對加快個人信息保護的立法呼聲最高，本文同樣認為，個人信息保護的立法不僅是當前網絡治理的迫切需求，同樣也是其出臺的最佳時機。歐盟、美國等發達國家在個人信息保護方面的立法更為嚴格，同時相關法律也起到了十分積極的作用，然而，美國的《隱私權法》、《信息自由法》以及眾多行業內法規，也未能阻止“棱鏡門”事件以及2013年涉及萬事達等企業多達1 000萬信用卡用戶信息的泄露事件。立法是風險發生前的引導，也是風險發生后的救濟，加強個人信息保護立法是十分必要和迫切的，但立法并不能實現對風險過程的監管。在課題組的調研中，“當個人信息受到侵害時，會采用哪些方式維權”，56.8%受訪者選擇通過“舉報”的方式進行維權，有37%的受訪者愿意“訴諸法律”，選擇沉默的受訪者比例有29.6%，有11.8%的受訪者會“求助新聞媒體”。由此可見，僅僅依賴立法的完善還是遠遠不夠的。

（二）有限實名網絡中個人信息保護的現實障礙分析

1.個人信息保護范圍的界定有待完善

2012年12月全國人民代表大會常務委員會《關于加強網絡信息保護的決定》、2013年7月工信部頒布的《電信和互聯網用戶個人信息保護規定》以及2014年3月由第三方學術機構發布的我國首個《互聯網企業個人信息保護測評標準》對個人信息均有界定且有所不同［13］，更加側重于個人身份信息或屬性信息，尚缺乏對個人網絡行為信息保護的關注。隨著數據挖掘技術的不斷發展以及大數據環境的不斷延伸，有限實名網絡環境中的個人信息將不僅僅局限于個人身份信息，狀態信息、行為信息以及由此經過挖掘整合衍生的相應信息都會成為個人信息保護更加廣泛的范疇。

2.合理使用與非法使用的界限模糊

保護個人信息的前提在于明確什么樣的個人信息應該得到什么樣的保護。然而，由于個人隱私權界定和保護的模糊性［14］，使得在現有網絡環境中網絡個人信息合理使用與非法使用的界限同樣模糊。包括《關于加強網絡信息保護的決定》的各項法律法規在內，還很難對合理使用和非法使用設定可操作性的要求，從而使得個人信息監管、保護缺少應有的著力點，更多地針對那些社會影響、危害明顯且巨大的典型事件進行事后打擊，而對普遍存在的網絡個人信息非法使用的監管上始終存在諸多困難。因此，從信息主體的需求出發，在非明示同意的前提下，按照最小化原則將信息使用限定在個人主動或被動提供信息時的目的范圍內，將是有效和必要的。

3.個人信息非法獲取、交易的隱蔽性

網絡技術以及數據挖掘技術的不斷發展使得網絡個人信息幾近透明，然而卻又使得網絡個人信息的獲取、交易十分隱蔽。對這些極其隱蔽卻又普遍存在的行為進行發現、處理是不現實的。同時，實名網絡或有限實名網絡環境為個人信息非法獲取、隱蔽的交易提供了更加便利的條件和潛在的風險。因此，不僅需要制定、頒布相應的法律法規，還要使這些法律法規能夠落到實處。

4.互聯網企業的不作為

通過對眾多互聯網企業的調研發現，源于企業利益，很多互聯網企業會收集、處理、使用個人信息。部分企業在“免責條款”的掩蓋下，對發現或參與的個人信息交易行為存在縱容和不作為。同時，參照《互聯網企業個人信息保護測評標準》中關于初始方、關聯方和第三方的界定，互聯網企業不可避免地面臨與關聯方和第三方產生個人信息轉移的風險。因此，加大對核心互聯網企業的監管以及加強互聯網企業的自律尤為重要。

五、有限實名網絡中個人信息保護策略

（一）改進個人信息安全狀況的關鍵因素

針對上述分析中個人信息保護面臨的問題，課題組對政府職能部門、網民個體進行了問卷調查，對相關的互聯網企業進行實地調研，關于監管機構和政府作為的調研中，相關數據見表2和表3所列。

表2　個人信息保護中的監管機構

由表2可知，在監管方面，受訪的政府工作人員中，超過半數的受訪者認為“政府機構”更適合作為監管方，32.1%的受訪者選擇了“第三方”，選擇“行業協會”的僅占到12.9%。網民個體的受訪者中，選擇“政府機構”作為監管機構的比例為44.5%。由此可見，對于個人信息保護，政府的監管行為十分重要。

表3　個人信息保護中的政府作為

由表3可知，在保護個人信息安全的政府作為方面，無論是政府部門工作人員還是網民個體，都有超過六成的受訪者認為政府應做好“健全法律制度”的工作，半數左右的受訪者選擇了“健全信用體系”、“完善技術應用”。在網民個體受訪者中，有六成的網民選擇了“完善信息管理”。由此可見，在完善立法、加強技術保護之外，健全信用體系、完善信息管理同樣重要。

此外，在問卷調查基礎上，課題組針對互聯網環境下的個人信息保護，重點走訪了安徽省內多家互聯網企業。從調查情況看，相關企業采用了必要的防火墻、入侵檢測、加密等技術手段保障自身的數據安全。然而，與之相對應的是管理方面的漏洞相對明顯，缺少明確的安全管理制度、保密協議和人員培訓，企業內部管理還存在較大的安全隱患。因此，如何加強互聯網企業自律成為保障個人信息安全的關鍵環節。

對于改善個人信息安全狀況，完善立法和加強安全技術應用作為關鍵的影響因素得到了普遍的認同。綜合上述分析，在完善立法和安全技術應用之外，政府監管、信用體系建設以及互聯網企業自律等同樣是改進個人信息安全狀況的關鍵影響因素。

（二）個人信息保護策略

在個人信息保護中，健全法制和完善安全技術的應用已經得到了普遍的共識和重視。因此，本文結合調查結果，重點圍繞政府監管、信用體系建設、互聯網企業自律等關鍵影響因素，提出相應的個人信息保護策略。

1.以治理非法使用者為重點的政府監管

打擊和規范信息販賣的違法行為是個人信息保護的重要方式，但由于交易的隱蔽性和違規的低成本，打擊效果并不理想，尤其是對那些互聯網小企業和個人中廣泛存在的信息轉移行為更是缺乏有效的監管方式。我們建議通過重點治理非法使用者而非采集、販賣者來實現切斷個人信息黑色產業鏈的目的。因為，對于網民和監管者而言更多的是接觸到信息濫用者，而不是信息買賣的環節。同時，治理非法使用者具有明顯的優勢：一是更直接地符合網民的利益訴求；二是由于非法使用者缺乏隱蔽性，可以讓治理行為更簡單、更現實。以治理非法使用者為重點的市場監管與監管核心互聯網企業不同之處在于其主要目的不只在于打擊嚴重的個人信息方面的違法行為，還在于對中小企業的監督能夠得以常態化。

2.以信用評估和安全審查為切入點的有條件免責

將企業及其信息技術產品對個人信息的保護納入到企業信用體系建設和政府職能部門對互聯網企業的網絡安全審查制度中，并對其中符合信用等級條件的互聯網企業和通過網絡安全審查的信息產品在不可抗外力情形下出現的個人信息泄露適用免責條款，而對于未能切實履行個人信息保護責任的互聯網企業則需要承擔相應的責任。這既可以完善企業信用體系建設和信息安全保障，又可以抵御部分互聯網企業在個人信息保護方面的不作為。

3.以監管核心互聯網企業為關鍵的行業自律

在網絡個人信息保護中，政府的行政行為存在諸多困難。一些學者提出在各級政府建立新的網絡監管部門，這可能需要投入相對較大的管理成本。鑒于網絡個人信息累積、使用、保護等最為集中的環節在于大型的互聯網企業，因此，建議圍繞核心的互聯網企業建立覆蓋不同領域的行業自律委員會或類似的非政府機構，并結合國家層面的網絡安全審查制度構建行業內的網絡安全審查制度，承擔在該領域內互聯網企業個人信息保護的監管職責，從而使得政府部門的監管職權進一步下放，職能部門更多地管好行業自律委員會和核心互聯網企業，通過監管幾個“點”實現監管整個“面”，從而形成以監管核心互聯網企業為關鍵的行業自律體系。

六、結束語

針對有限實名網絡環境中個人信息面臨的安全風險，本文重點分析了個人信息保護存在的關鍵問題、障礙以及關鍵影響因素，由此提出相應的個人信息保護策略，這對于改進個人信息安全保護具有積極的意義。

個人信息保護作為網絡環境治理的重要內容，面臨著政府、企業、網民等多方面的利益需求，同樣面臨著立法、行業自律、技術管控等多種手段的影響。有限實名網絡作為網絡環境的重要形態，帶來了更為顯著的個人信息保護需求。有限實名網絡中的個人信息保護既需要科學的立法，也需要嚴厲的執法打擊，更需要圍繞信用體系、行業自律、市場監管等多措并舉的網絡監管行為。

［1］程少華，傅丁根.網絡監督：蓬勃中呼喚規范［J］.法制與社會，2009（5）：6-8.

［2］程琳，李明桂.網絡實名制的隱私保護研究［J］.信息安全與通信保密，2013（11）：84-88.

［3］Gross R，Acquisti A.Information revelation and privacy in online social networks［C］.NewYork：Proceedings of the 2005 ACM workshop on Privacy in the electronic society，2005：71-80.

［4］李欲曉.互聯網治理與信息社會法律的研究對象和目標［J］.北京郵電大學學報：社會科學版，2010，12（1）：7-11.

［5］周漢華.個人信息保護前沿問題研究［M］.北京：法律出版社，2006：25-36.

［6］蔡德聰劉素華.“網絡實名制”與網絡不良信息治理［J］.中國行政管理，2012（11）：68-71.

［7］柳圣愛.韓國網絡實名制的發展與式微［J］.行政管理改革，2013（4）：57-61.

［8］鄧的榮.胡啟恒有限實名鍛造負責任大國網民［J］.科學新聞，2007（1）：2-2.

［9］董楊慧，謝友寧.大數據視野下的數據泄露與安全管理——基于90個數據泄露事件的分析［J］.情報雜志，2014 （11）：154-158.

［10］李亞平，周偉良.有限實名網絡中的個人信息安全風險［J］.吉首大學學報：自然科學版，2015（6）：30-34.

［11］王紅一.個人信息保護政府規制立法探討［J］.電子政務，2015（2）：73-82.

［12］高志明.個人信息法的基本界定［J］.燕山大學學報：哲學社會科學版，2013，14（2）：45-50.

［13］中國科學技術法學會.互聯網企業個人信息保護測評標準［J］.網絡法律評論，2013，17（2）：4-9.

［14］段偉文，紀長霖.網絡與大數據時代的隱私權［J］.科學與社會，2014，4（2）：90-100.

［責任編輯：余志虎］

Personal Information Protection in the Context of Limited Real Identity Network

ZHOU Wei-liang1，LI Ya-ping1，2
（1.Anhui Administration Institute，Hefei 230059，China；2.School of Management，Hefei University of Technology，Hefei 230009，China）

Limited real identity network，as an important form of network development，brings a new way of network environment governance.Meanwhile，it also creates a new demand for personal information protection.Although individual information protection attracts more and more attention，there are still many limitations of understanding in the stage of rapid development and transformation of the network environment.This paper analyzes the practical obstacles to personal information protection in the limited real identity network from the perspectives of the scope of protection，the boundary of rational use，transaction concealment，Internet corporate responsibility，etc.Furthermore，the paper puts forth some specific recommendations in terms of credit system，industry self-regulation，market supervision and so on.

limited real identity network；Internet real identity policy；personal information；supervision

F490.6

A

1007-5097（2016）05-0174-05

2015-10-12

國家社會科學基金項目（13BTQ048），安徽省高校省級優秀青年人才基金重點項目（2013SQRW115ZD）

周偉良（1967-），男，湖南長沙人，教授，MBA導師，博士，研究方向：信息管理與信息系統；李亞平（1982-），男，安徽長豐人，副教授，博士研究生，研究方向：信息管理與信息系統。