針對個人信息被“過度采、強制要、誘導取、違規(guī)用”等問題，2023年6月，在國家網(wǎng)信辦網(wǎng)絡執(zhí)法與監(jiān)督局的指導下，上海市網(wǎng)信辦、上海市市場監(jiān)督管理局等聯(lián)合啟動“亮劍浦江·消費領域個人信息權益保護專項執(zhí)法行動”。個保法實施已進入第三年，“亮劍浦江·2024”繼續(xù)向縱深推進，聚焦掃碼點餐、停車掃碼、景點景區(qū)購票服務、人臉識別濫用、未成年人個人信息保護等重點場景。

去年，圍繞個人信息保護法實施以來個人信息權益保護執(zhí)法行動中的問題和成效，澎湃新聞曾對話華東政法大學教授、博士生導師，華東政法大學互聯(lián)網(wǎng)法治研究院院長高富平。今年，澎湃新聞再度對話高富平，聊聊我們該如何看待個人信息保護和社會化的關系；企業(yè)如何轉(zhuǎn)變觀念探索合規(guī)路徑；相關部門又該如何引導企業(yè)主動合規(guī)。

“保護個人信息本質(zhì)上也是員工教育和理念轉(zhuǎn)型問題，要形成尊重個人、保護個人信息的文化，做好信息保護是企業(yè)在數(shù)字時代從事經(jīng)營活動必須付出的成本。”高富平說。

以下是澎湃新聞與高富平的對話：

澎湃新聞：新技術的出現(xiàn)使得個人信息權益保護面臨更大的考驗和挑戰(zhàn)，2024年您有沒有發(fā)現(xiàn)一些新問題亟待解決？

高富平：數(shù)據(jù)要素市場的發(fā)展激發(fā)了大家對數(shù)據(jù)應用的熱情，個人信息作為社會治理、產(chǎn)品營銷、市場推送活動的必要要素，應用變得頻繁，需求也變得更大了。

在這種情況下，個保法的執(zhí)行也面臨著挑戰(zhàn)。例如，在個人信息提供方面，如果銀行貸款需要用戶運營商補強貸款人信用，按照個保法要求，運營商提供數(shù)據(jù)需獲得個人單獨同意，這在實務中就導致數(shù)據(jù)難以提供出去，因為合規(guī)部門認為必須按法律要求獲得用戶的單獨同意，而用戶一般不會同意運營商來詢問是否同意提供數(shù)據(jù)。信貸銀行可以獲得個人同意獲取特定運營商的數(shù)據(jù)，但在法律上往往不認為屬于符合“單獨同意”要求。個保法從保護個人信息角度制定，但社會化利用與數(shù)據(jù)要素社會化應用存在一定矛盾，目前需要通過一些制度機制如匿名化、合規(guī)共識等手段來解決。

澎湃新聞：整治濫用人臉識別是今年“亮劍浦江·2024”專項執(zhí)法行動重點之一，您對此如何看待？

高富平：人臉識別被認為是高效、快捷、真實的身份識別技術。從技術中立角度，應鼓勵驗證身份的人臉識別應用于門禁、交通、公共安全等場景，但人臉識別的危害在于二次使用。由于人臉信息不可篡改，一旦被不法分子利用風險很高，所以對于安全存儲的要求高。如果能確保安全且不做二次使用、不用于非法目的，人臉識別技術還是可以信賴的。

人臉信息除了安全存儲問題，還有商家通過攝像頭觀察消費者行為。不過，目前關于人臉識別普遍接受的共識是，在身份核驗的必要場景，允許人們自由選擇核驗方式，即選擇人臉識別方式或是其他身份核驗方式。這是個人對“人臉”自主決定。

比如，一些辦公樓為了提升核驗效率，內(nèi)部員工通道員工同意掃臉，走人臉核驗通道，而外來人員則驗證身份證或使用APP報備生成二維碼。又比如，坐高鐵時，為便捷可選擇掃身份證或掃臉。如果不愿意也可人工驗證身份，要根據(jù)具體使用場景判斷是否必要。

澎湃新聞：對平衡個人信息保護和個人信息社會化，我們有哪些思路？

高富平：收集平臺數(shù)據(jù)、形成用戶畫像，進而影響決策，這類基于用戶行為的個性化推送和互聯(lián)網(wǎng)信息傳播在大數(shù)據(jù)時代很普遍。減少這些行為對隱私和用戶自主決定權的影響，僅靠阻止信息流動是無法真正根治的。在數(shù)字化時代，我們不知道信息在哪里，這已超出個人的控制能力。

個人信息有三種常見類型，一類是有唯一性、能指向個人的身份信息，如姓名、電話、身份證等，這類信息被隨意披露、買賣會帶來安全風險，如欺詐騷擾等，所以對于直接關聯(lián)個人的信息，不允許隨意披露、買賣，這仍是個人信息保護的重中之重。另一類則是數(shù)字ID或設備ID，互聯(lián)網(wǎng)憑借其強大分析功能，通過關聯(lián)設備ID對網(wǎng)絡信息進行匹配分析。即便不知用戶真實身份，也可開展個性化分析，精準推送往往基于此技術實現(xiàn)。而大量的個人信息則屬于第三類，如大家在數(shù)字化環(huán)境留下的行為軌跡等。

澎湃新聞：在企業(yè)描述用戶畫像時，會不會用到個人身份信息？關聯(lián)身份的個人信息有沒有可能被社會化利用？

高富平：一般只有兩種情況會用到身份信息，一是比如寄快遞需要具體家庭地址、電話等信息，二是事件發(fā)生需要找責任人時，需要利用數(shù)據(jù)確定身份。正常商業(yè)交易中，如咖啡店打印外賣單披露姓名電話，如果沒有提供給不相關他人，在營業(yè)場所內(nèi)是可以接受的。從商家角度看，將外賣單交給快遞小哥本身沒錯，但風險在于商家或者快遞鏈條中可能存在的二次售賣信息。

需要指出的是，商家為獲客做精準推送，并不需要知道潛在客戶是誰（真實身份），只是通過數(shù)字ID推送。如果客戶因廣告推送與商家有接觸交易時，商家才能獲取身份信息并負有保密義務。

在正常的社會活動中，更合理的個人信息使用規(guī)則應該是這樣：當信息本身能夠指向個人（唯一關聯(lián)性）時，使用人應當遵循事先同意規(guī)則；而當信息并不具有唯一指向個人功能時，則應當適當放開限制，只需確保分析使用環(huán)節(jié)不能泄露個人信息。同時，我們還應當接受，遵守個人保護原則的商業(yè)推送，只要精準推送具有選退機制，那么這樣的商業(yè)推送行為仍然被認為是尊重個人選擇的行為。

當然，商家在給用戶畫像時，如果涉及私密信息則要做好保密，即使收集的信息不敏感，深度分析后仍有可能產(chǎn)生敏感信息，所以企業(yè)內(nèi)部要有評估、監(jiān)控和判斷，對信息的分類、標簽和保密要有敏感度。

澎湃新聞：企業(yè)在處理個人信息存在哪些難度？如何轉(zhuǎn)變企業(yè)觀念？降低數(shù)據(jù)合規(guī)成本的路徑有嗎？

高富平：其實只要管理好用戶身份信息，遵守法律法規(guī)，技術上的難度并不高。對于大企業(yè)來說，他們在全流程合規(guī)方面做的相對完善，但部分中小企業(yè)的個人信息保護觀念相對淡薄，個人信息的處理方案并不妥善。

我們建議監(jiān)管部門可以分類施策，根據(jù)企業(yè)規(guī)模、區(qū)分不同模式對企業(yè)作出不同要求。

在“亮劍浦江·2024”專項執(zhí)法行動中，相關部門推出了“體檢包”和“工具包”，“體檢包”可供企業(yè)進行自查，及時發(fā)現(xiàn)潛在問題；“工具包”則以操作手冊的形式為企業(yè)提供詳細的指導，明確各環(huán)節(jié)的具體操作規(guī)范。

其實，保護個人信息本質(zhì)上也是員工教育和理念轉(zhuǎn)型問題，要形成尊重個人、保護個人信息的文化，做好信息保護是企業(yè)在數(shù)字時代從事經(jīng)營活動應該付出的成本。

澎湃新聞：基于前述問題，在消費者個人信息保護和企業(yè)合規(guī)成本引領上，監(jiān)管部門有沒有具體的對策？

高富平：我們注意到，“亮劍浦江·2024”專項執(zhí)法行動不是為了處罰企業(yè)，而是幫助企業(yè)合規(guī)經(jīng)營，協(xié)助企業(yè)了解個人信息保護，完善企業(yè)相關制度。執(zhí)法行動發(fā)布“工具包”“體檢包”“服務包”“護身包”，通過釋法、指導、評估、保護四個層次，進一步豐富了個人信息保護的政策工具。監(jiān)管部門起到了引導企業(yè)從被動合規(guī)到主動合規(guī)，協(xié)助企業(yè)合法經(jīng)營的作用，是一種預防式執(zhí)法，最終目的是打造良好營商環(huán)境。