投中網丨銀昕“《認定方法》相較於之前的‘一法一決定’和《個人資訊保安規範》，算是特別詳細和落地了，但當前app收集使用者資訊的實際做法比《認定方法》列出的這幾十條更復雜，所以我覺得既詳細，卻也不夠詳細。”2020年元旦前後，國家網信辦等四部門聯合釋出了《App違法違規收集使用個人資訊行為認定方法》（下稱《認定方法》），中國政法大學傳播法研究中心副主任朱巍如此對投中網評價他對《認定方法》的看法。“相較於《網路安全法》和個人資訊保安規範來說，《認定方法》規定得太詳細了，如果我們沒做到，一旦有關部門找上門來，我們無話可說。”自稱小王的一位app行業從業者在看了《認定方法》後，自查了一下自己公司的app，發現其至少在“未公開使用收集規則”“未明示收集使用個人資訊的目的、方式和範圍”和“違反必要原則，收集與其提供的服務無關的個人資訊”這三個方面做的並不乾淨。最要命的是，他所在公司的app在“因使用者不同意收集非必要個人資訊或開啟非必要許可權，拒絕提供業務功能”這詳細條款上沒有達標。“做我們這行的人都明白，誰不希望更多更廣地收集使用者資訊，以求獲得更精準的使用者畫像，能懂使用者更多呢？”小王所處公司的尷尬之處在於，哪些是app所提供服務必須獲得授權加以使用的個人資訊，哪些屬於超出必要限度的個人資訊，目前行業中並無定論。“有些具體的劃分還需要更專業的機構來制定規則，畢竟使用者不都是技術出身，他們只能在對話方塊裡選yes或者no。”小王說。2019，資料治理元年從2019年9月初到9月下旬的這半個月的時間裡，先後有魔蠍科技、公信寶、天翼徵信、快錢支付、新顏科技等6家資料公司被公安部門調查，繼2017年15家大資料公司被查之後，資料行業的又一次震盪發生地更加劇烈。值得注意的是，2019年被查的資料公司中，大多數業務集中在金融領域，包括第三方徵信機構。“他們的主要問題是爬蟲，編寫惡意爬蟲盜取使用者個人隱私。”身處網際網路醫療行業的小廣關注到了這六家公司被執法的原因，他告訴投中網，之所以執法集中在網際網路金融領域，是因為該領域對催債一事十分重視，需要編寫惡意爬蟲盜取使用者個人資訊，以便在催債時能夠騷擾到拖欠者的親朋好友，“如果通訊錄中有與欠債者相同姓氏的，就可以試著打打這個電話，沒準是欠債者的直系親屬或旁系親屬。”小廣還透露，更為不堪的是，在一些網際網路金融app的隱私政策中，直接要求使用者將個人通訊錄資訊開放給app，從使用者開始使用app起，資料收集者就已經在為日後的暴力催債和對親屬的騷擾做好了準備。“整個行業都快被抓沒了。”這是彼時一些從業者的發出的感慨。以2019年9月被杭州市公安局西湖分局古蕩派出所查封的公信寶運營公司杭州存信資料科技有限公司為例，被查封后有訊息稱公信寶公司已經實質解散，還有公信寶的合作伙伴傳出訊息，稱公信寶專案對接群已被公信寶方面單方解散。充滿了黑色和灰色產業鏈，是個人資料行業當下的現狀。小廣告訴投中網，將患者個人姓名與手機號或身份證號繫結成一條資訊對外倒賣的方式看起來很low，但的確是存在的。“每條資訊從一毛錢到幾塊錢不等，主要還是看資訊的價值。有些公司透過技術手段盜取使用者資訊，並且知道了這個使用者看過哪些病，如果這種疾病處於暴利行業的型別，比如腫瘤、糖尿病等，這條資訊就值錢了。”小廣說，這些使用者資訊被買走後，通常的使用方式是根據使用者看過哪些病，推銷相應的醫療器械或者保健產品，主要以電話營銷的方式騷擾使用者。“一些使用者很好奇，對方怎麼知道我看過這個病呢？這對看過一些隱私性比較強的病人來說，在心理上更是一種嚴重騷擾。”“灰色產業鏈還有一種形式是‘掛羊頭賣狗肉’。”朱巍告訴投中網，以網際網路直播答題這種形式為例，直播平臺以每答對一道題就給使用者一塊錢或五毛錢的方式為“誘餌”，一旦使用者想要領獎，就要將一系列的個人資訊採集權授權給直播平臺，“在有些直播平臺的協議中，從身份證號到手機號，甚至銀行卡號都在平臺採集的範圍之內，使用者僅僅收了五毛或者一元錢就將這些資訊全交給平臺了，這明顯超出了直播平臺所需資料的必要範圍。”朱巍說，這是一個天大的陷阱，在當前的直播答題行業很常見。從“一法一決定”到《認定方法》的階梯式下沉個人資訊保安在我國法律上的最高層階界定，還要從2012年說起。2012年底，第十一屆全國人大常委會第三十次會議透過《全國人民代表大會常務委員會關於加強網路資訊保護的決定》（下稱《決定》），這份檔案與2017年實施的《中華人民共和國網路安全法》被法學界稱為所有資料治理行為的法律授權來源，也是所有司法解釋和其他行業法規的合法性來源，被稱為“一法一決定”。“一法一決定”雖是最高層面的法律，但對一些行為的約束較為抽象。比如，《決定》規定“任何組織和個人不得竊取或者以其他非法方式獲取公民電子資訊，不得出售或者非法向他人提供公民個人電子資訊。”同時也對網路服務提供者收集、使用公民個人電子資訊提出了合法、正當、必要的原則，要求明示收集、使用資訊的目的、方式和範圍，並經被收集者同意；2017年實施的《網路安全法》也做出了與上述內容類似的要求，但何為“正當性”“必要性”和“合法性”，“一法一決定”並沒有細緻解釋。某網路安全服務商高層曾對投中網表示，在保護個人資訊方面，《網路安全法》最大的問題是，雖然對個人資訊的收集和使用提出了要求，但卻並沒有寫明不當使用或採集個人資訊的主體必須面對的法律後果。值得注意的是，就在《網路安全法》生效的當天，2017年6月1日還有一部更為關鍵的司法解釋出臺了：《最高人民法院、最高人民檢察院關於辦理侵犯公民個人資訊刑事案件適用法律若干問題的解釋》，這個司法解釋包含了很多具體的場景和行為的界定。朱巍告訴投中網，司法解釋是對源頭法律的一種擴張，可以將“一法一決定”中的抽象概念進行擴充，落地到具體的場景中，“最高法和最高檢是執法機關，並不擁有立法權，但出臺司法解釋能幫助抽象的法律更好地落地。”在有關個人資訊保安的法律體系中，“一法一決定”位於最高階，司法解釋和2018年5月1日實施的《個人資訊保安規範》以及2020年元旦前後釋出的《認定方法》等一系列檔案的合法性都來源都是“一法一決定”，從執行層面來說，《認定方法》最具體，可落地。值得注意的是，2018年5月1日開始生效的《個人資訊保安規範》已經在技術上做了很多詳細的規定，比如將個人資訊分成兩類：識別資訊，即可直接定位到具體自然人的資訊，如身份證號，手機號以及家庭住址等；關聯資訊，無法直接定位到具體的自然人，但與具體自然人的網路行為密切相關，比如該上網者的行為記錄，通訊錄名單，黑名單以及關注的使用者名稱單等，可以透過這些資訊定位到某個自然人，但得不到該自然人的確切身份。彼時有業內人士指出，按照此《規範》，一些社交媒體只將識別資訊當做個人資訊加以保護，而將關聯資訊當做網路日誌進行處理的方式是不合規的。在技術上，《個人資訊保安規範》的詳細程度直逼2018年在歐盟國家範圍內實施的《通用資料保護條例》（GDPR）。但在法律效力上，《規範》的身份只是推薦性國家標準，不具有強制性。也就是說，按照《規範》的約束去做，鐵定符合《網路安全法》，但即便不按規範去做，也不一定違法。《認定方法》則不同，它對“未公開使用收集規則”“未明示收集使用個人資訊的目的、方式和範圍”“未經使用者同意收集使用個人資訊”“違反必要原則，收集與其提供的服務無關的個人資訊”“未經同意向他人提供個人資訊”“未按法律規定提供刪除或更正個人資訊功能”或“未公佈投訴、舉報方式等資訊”六種違規做法做了迄今為止最為具體的解釋。比如：進入App主介面後需多於4次點選等操作才能訪問到隱私政策；要求使用者一次性同意開啟多個可收集個人資訊的許可權；使用者不同意則無法使用等做法都屬違規。“業內人士千呼萬喚的《個人資訊保護法》據我所知已經寫完了，與《網路安全法》相比，這部法律直接針對個人資訊保護的問題。我瞭解到今年之內應該會有社會徵求意見稿出來，大家都很著急，等不了太長時間了。”朱巍告訴投中網，《認定方法》的出臺可以被理解為《個人資訊保護法》的前奏。小廣對投中網表示，與模糊的“一法一決定”相比，《認定方法》的出臺意味著有關部門要“玩兒真的”了。其實，有關部門較早時候就已經在“玩兒真的”，就在《認定方法》出臺前不久，工信部資訊通訊管理局釋出了《關於侵害使用者權益行為的APP（第一批）通報》，QQ、QQ閱讀、新浪體育、搜狐新聞、36氪等“有頭有臉”的app紛紛上榜，涉及的問題主要有“不給許可權不讓用”“賬號登出難”“私自共享給第三方”等。資料生意今後該怎麼做？市場上不乏有規避了，至少暫時規避了監管風險的資料公司。小李所在公司的主營業務其實也是大資料分析，但他們的上司出於對當下時局的考慮，將業務名稱改變為“精準營銷”，絕口不提“資料”云云。小李公司的業務模式並不複雜，他們與知名電商平臺（天貓、京東、噹噹等）和他們服務的廣告主（比如富士相機）簽訂三方協議：知名電商平臺向小李公司提供一個名單，名單上是所有瀏覽過廣告主的競品（比如尼康相機）頁面的知名平臺使用者，小李公司透過一系列資料分析手段，判斷出其中最有可能購買富士相機的一部分使用者，將第二份名單返還給知名平臺，由平臺向第二份名單上使用者推送富士相機廣告，以幫助富士從尼康手裡搶生意。“在這個過程中，三方之間的任何一方都沒有發生直接的使用者個人資訊提取和買賣，我們公司只需要一個使用者ID就可以了，根本不需要定位到具體的自然人。”小李說，這套做法至少從目前看是可行的。其實在法理上，國家工商行政管理總局在2016年實施的《網際網路廣告管理暫行辦法》第十三條已經明確對上述行為做了合法性界定：程式化購買廣告，即透過廣告需求方平臺、媒介方平臺以及廣告資訊交換平臺等所提供的資訊整合、資料分析等服務進行有針對性地釋出。同時也要求“廣告需求方平臺經營者應當清晰標明廣告來源”。2018年轟動一時的“朱燁訴百度案”終審判百度勝訴，也在判例上明確了“程式化購買廣告”的合法性。但值得注意的是，該案中百度所使用的是使用者在瀏覽過程中瀏覽器中自動儲存的歷史記錄（cookies），而小李所處公司使用的卻是知名平臺伺服器中的使用者資料，這一點有所不同，但法律條文上沒有明確限制。今後這一做法依舊是可行的。不過，朱巍告訴投中網，程式化購買廣告也有四個前置條件：使用者知情、使用者授權、保障使用者的刪除權和退出權、只能分析關聯資料而不能分析識別資料。“這四個條件中，也許刪除權這一項我們還沒有細化。”小李對投中網表示，現在是資訊互聯時代，使用者提出刪除訴求的情況他幾乎沒有遇到過，“但如果《認定方法》對刪除權有明確要求，我猜測我們公司也肯定會根據要求來調整的。”小李說。
投中網丨銀昕“《認定方法》相較於之前的‘一法一決定’和《個人資訊保安規範》，算是特別詳細和落地了，但當前app收集使用者資訊的實際做法比《認定方法》列出的這幾十條更復雜，所以我覺得既詳細，卻也不夠詳細。”2020年元旦前後，國家網信辦等四部門聯合釋出了《App違法違規收集使用個人資訊行為認定方法》（下稱《認定方法》），中國政法大學傳播法研究中心副主任朱巍如此對投中網評價他對《認定方法》的看法。“相較於《網路安全法》和個人資訊保安規範來說，《認定方法》規定得太詳細了，如果我們沒做到，一旦有關部門找上門來，我們無話可說。”自稱小王的一位app行業從業者在看了《認定方法》後，自查了一下自己公司的app，發現其至少在“未公開使用收集規則”“未明示收集使用個人資訊的目的、方式和範圍”和“違反必要原則，收集與其提供的服務無關的個人資訊”這三個方面做的並不乾淨。最要命的是，他所在公司的app在“因使用者不同意收集非必要個人資訊或開啟非必要許可權，拒絕提供業務功能”這詳細條款上沒有達標。“做我們這行的人都明白，誰不希望更多更廣地收集使用者資訊，以求獲得更精準的使用者畫像，能懂使用者更多呢？”小王所處公司的尷尬之處在於，哪些是app所提供服務必須獲得授權加以使用的個人資訊，哪些屬於超出必要限度的個人資訊，目前行業中並無定論。“有些具體的劃分還需要更專業的機構來制定規則，畢竟使用者不都是技術出身，他們只能在對話方塊裡選yes或者no。”小王說。2019，資料治理元年從2019年9月初到9月下旬的這半個月的時間裡，先後有魔蠍科技、公信寶、天翼徵信、快錢支付、新顏科技等6家資料公司被公安部門調查，繼2017年15家大資料公司被查之後，資料行業的又一次震盪發生地更加劇烈。值得注意的是，2019年被查的資料公司中，大多數業務集中在金融領域，包括第三方徵信機構。“他們的主要問題是爬蟲，編寫惡意爬蟲盜取使用者個人隱私。”身處網際網路醫療行業的小廣關注到了這六家公司被執法的原因，他告訴投中網，之所以執法集中在網際網路金融領域，是因為該領域對催債一事十分重視，需要編寫惡意爬蟲盜取使用者個人資訊，以便在催債時能夠騷擾到拖欠者的親朋好友，“如果通訊錄中有與欠債者相同姓氏的，就可以試著打打這個電話，沒準是欠債者的直系親屬或旁系親屬。”小廣還透露，更為不堪的是，在一些網際網路金融app的隱私政策中，直接要求使用者將個人通訊錄資訊開放給app，從使用者開始使用app起，資料收集者就已經在為日後的暴力催債和對親屬的騷擾做好了準備。“整個行業都快被抓沒了。”這是彼時一些從業者的發出的感慨。以2019年9月被杭州市公安局西湖分局古蕩派出所查封的公信寶運營公司杭州存信資料科技有限公司為例，被查封后有訊息稱公信寶公司已經實質解散，還有公信寶的合作伙伴傳出訊息，稱公信寶專案對接群已被公信寶方面單方解散。充滿了黑色和灰色產業鏈，是個人資料行業當下的現狀。小廣告訴投中網，將患者個人姓名與手機號或身份證號繫結成一條資訊對外倒賣的方式看起來很low，但的確是存在的。“每條資訊從一毛錢到幾塊錢不等，主要還是看資訊的價值。有些公司透過技術手段盜取使用者資訊，並且知道了這個使用者看過哪些病，如果這種疾病處於暴利行業的型別，比如腫瘤、糖尿病等，這條資訊就值錢了。”小廣說，這些使用者資訊被買走後，通常的使用方式是根據使用者看過哪些病，推銷相應的醫療器械或者保健產品，主要以電話營銷的方式騷擾使用者。“一些使用者很好奇，對方怎麼知道我看過這個病呢？這對看過一些隱私性比較強的病人來說，在心理上更是一種嚴重騷擾。”“灰色產業鏈還有一種形式是‘掛羊頭賣狗肉’。”朱巍告訴投中網，以網際網路直播答題這種形式為例，直播平臺以每答對一道題就給使用者一塊錢或五毛錢的方式為“誘餌”，一旦使用者想要領獎，就要將一系列的個人資訊採集權授權給直播平臺，“在有些直播平臺的協議中，從身份證號到手機號，甚至銀行卡號都在平臺採集的範圍之內，使用者僅僅收了五毛或者一元錢就將這些資訊全交給平臺了，這明顯超出了直播平臺所需資料的必要範圍。”朱巍說，這是一個天大的陷阱，在當前的直播答題行業很常見。從“一法一決定”到《認定方法》的階梯式下沉個人資訊保安在我國法律上的最高層階界定，還要從2012年說起。2012年底，第十一屆全國人大常委會第三十次會議透過《全國人民代表大會常務委員會關於加強網路資訊保護的決定》（下稱《決定》），這份檔案與2017年實施的《中華人民共和國網路安全法》被法學界稱為所有資料治理行為的法律授權來源，也是所有司法解釋和其他行業法規的合法性來源，被稱為“一法一決定”。“一法一決定”雖是最高層面的法律，但對一些行為的約束較為抽象。比如，《決定》規定“任何組織和個人不得竊取或者以其他非法方式獲取公民電子資訊，不得出售或者非法向他人提供公民個人電子資訊。”同時也對網路服務提供者收集、使用公民個人電子資訊提出了合法、正當、必要的原則，要求明示收集、使用資訊的目的、方式和範圍，並經被收集者同意；2017年實施的《網路安全法》也做出了與上述內容類似的要求，但何為“正當性”“必要性”和“合法性”，“一法一決定”並沒有細緻解釋。某網路安全服務商高層曾對投中網表示，在保護個人資訊方面，《網路安全法》最大的問題是，雖然對個人資訊的收集和使用提出了要求，但卻並沒有寫明不當使用或採集個人資訊的主體必須面對的法律後果。值得注意的是，就在《網路安全法》生效的當天，2017年6月1日還有一部更為關鍵的司法解釋出臺了：《最高人民法院、最高人民檢察院關於辦理侵犯公民個人資訊刑事案件適用法律若干問題的解釋》，這個司法解釋包含了很多具體的場景和行為的界定。朱巍告訴投中網，司法解釋是對源頭法律的一種擴張，可以將“一法一決定”中的抽象概念進行擴充，落地到具體的場景中，“最高法和最高檢是執法機關，並不擁有立法權，但出臺司法解釋能幫助抽象的法律更好地落地。”在有關個人資訊保安的法律體系中，“一法一決定”位於最高階，司法解釋和2018年5月1日實施的《個人資訊保安規範》以及2020年元旦前後釋出的《認定方法》等一系列檔案的合法性都來源都是“一法一決定”，從執行層面來說，《認定方法》最具體，可落地。值得注意的是，2018年5月1日開始生效的《個人資訊保安規範》已經在技術上做了很多詳細的規定，比如將個人資訊分成兩類：識別資訊，即可直接定位到具體自然人的資訊，如身份證號，手機號以及家庭住址等；關聯資訊，無法直接定位到具體的自然人，但與具體自然人的網路行為密切相關，比如該上網者的行為記錄，通訊錄名單，黑名單以及關注的使用者名稱單等，可以透過這些資訊定位到某個自然人，但得不到該自然人的確切身份。彼時有業內人士指出，按照此《規範》，一些社交媒體只將識別資訊當做個人資訊加以保護，而將關聯資訊當做網路日誌進行處理的方式是不合規的。在技術上，《個人資訊保安規範》的詳細程度直逼2018年在歐盟國家範圍內實施的《通用資料保護條例》（GDPR）。但在法律效力上，《規範》的身份只是推薦性國家標準，不具有強制性。也就是說，按照《規範》的約束去做，鐵定符合《網路安全法》，但即便不按規範去做，也不一定違法。《認定方法》則不同，它對“未公開使用收集規則”“未明示收集使用個人資訊的目的、方式和範圍”“未經使用者同意收集使用個人資訊”“違反必要原則，收集與其提供的服務無關的個人資訊”“未經同意向他人提供個人資訊”“未按法律規定提供刪除或更正個人資訊功能”或“未公佈投訴、舉報方式等資訊”六種違規做法做了迄今為止最為具體的解釋。比如：進入App主介面後需多於4次點選等操作才能訪問到隱私政策；要求使用者一次性同意開啟多個可收集個人資訊的許可權；使用者不同意則無法使用等做法都屬違規。“業內人士千呼萬喚的《個人資訊保護法》據我所知已經寫完了，與《網路安全法》相比，這部法律直接針對個人資訊保護的問題。我瞭解到今年之內應該會有社會徵求意見稿出來，大家都很著急，等不了太長時間了。”朱巍告訴投中網，《認定方法》的出臺可以被理解為《個人資訊保護法》的前奏。小廣對投中網表示，與模糊的“一法一決定”相比，《認定方法》的出臺意味著有關部門要“玩兒真的”了。其實，有關部門較早時候就已經在“玩兒真的”，就在《認定方法》出臺前不久，工信部資訊通訊管理局釋出了《關於侵害使用者權益行為的APP（第一批）通報》，QQ、QQ閱讀、新浪體育、搜狐新聞、36氪等“有頭有臉”的app紛紛上榜，涉及的問題主要有“不給許可權不讓用”“賬號登出難”“私自共享給第三方”等。資料生意今後該怎麼做？市場上不乏有規避了，至少暫時規避了監管風險的資料公司。小李所在公司的主營業務其實也是大資料分析，但他們的上司出於對當下時局的考慮，將業務名稱改變為“精準營銷”，絕口不提“資料”云云。小李公司的業務模式並不複雜，他們與知名電商平臺（天貓、京東、噹噹等）和他們服務的廣告主（比如富士相機）簽訂三方協議：知名電商平臺向小李公司提供一個名單，名單上是所有瀏覽過廣告主的競品（比如尼康相機）頁面的知名平臺使用者，小李公司透過一系列資料分析手段，判斷出其中最有可能購買富士相機的一部分使用者，將第二份名單返還給知名平臺，由平臺向第二份名單上使用者推送富士相機廣告，以幫助富士從尼康手裡搶生意。“在這個過程中，三方之間的任何一方都沒有發生直接的使用者個人資訊提取和買賣，我們公司只需要一個使用者ID就可以了，根本不需要定位到具體的自然人。”小李說，這套做法至少從目前看是可行的。其實在法理上，國家工商行政管理總局在2016年實施的《網際網路廣告管理暫行辦法》第十三條已經明確對上述行為做了合法性界定：程式化購買廣告，即透過廣告需求方平臺、媒介方平臺以及廣告資訊交換平臺等所提供的資訊整合、資料分析等服務進行有針對性地釋出。同時也要求“廣告需求方平臺經營者應當清晰標明廣告來源”。2018年轟動一時的“朱燁訴百度案”終審判百度勝訴，也在判例上明確了“程式化購買廣告”的合法性。但值得注意的是，該案中百度所使用的是使用者在瀏覽過程中瀏覽器中自動儲存的歷史記錄（cookies），而小李所處公司使用的卻是知名平臺伺服器中的使用者資料，這一點有所不同，但法律條文上沒有明確限制。今後這一做法依舊是可行的。不過，朱巍告訴投中網，程式化購買廣告也有四個前置條件：使用者知情、使用者授權、保障使用者的刪除權和退出權、只能分析關聯資料而不能分析識別資料。“這四個條件中，也許刪除權這一項我們還沒有細化。”小李對投中網表示，現在是資訊互聯時代，使用者提出刪除訴求的情況他幾乎沒有遇到過，“但如果《認定方法》對刪除權有明確要求，我猜測我們公司也肯定會根據要求來調整的。”小李說。
《認定方法》之後，資料生意還能怎麼做？
資訊抽取 常識
自然語言理解 資訊抽取 常識