保护个人信息：“精准诈骗”需要“精准治理”

今天，数据正在成为隐私最大的载体。一个数据极其充沛的时代，也是一个隐私极其脆弱的时代。

人人都有免于恐惧的权利，这是信息社会最起码的安全准则。中国社会要避免出现更多的基于个人信息的精准诈骗，就必须从基础做起，从规则、法律和标准做起，做到精准治理、精准打击。

涂子沛

从1946年第一台电子计算机发明，到1989年万维网诞生，再到近年来数据的爆炸，信息时代一路狂奔，还从来没有像今天这么沉重过。2016年8月19日，因为个人信息泄露而遭遇诈骗，准大学生徐玉玉病发死亡，此后各地不断爆出信息诈骗导致的恶性案件；2016年8月29日，又传出清华大学一名教师被骗1760万元，案犯掌握信息之精准、骗局之精细，令人瞠目。

一条条信息的泄露，一道道防线的失守，一次比一次更严重的伤害，整个社会都在追问：是谁泄露了徐玉玉等人的隐私信息，让骗子可以按图索骥，实现精准诈骗？又是谁通过数据操纵篡改他人的人生，连知识精英都未能幸免？

我认为，这些案件表明，中国社会的个人信息保护体系还未成熟，要尽快面对和化解系统性的危险。

原因，是多方面的。

问题一：违法成本低

很多人惊诧，在中国，地下非法信息买卖就像买卖一根葱一样方便，是无法可依吗？

实际上，虽然中国尚未出台全国性、系统性的个人信息保护办法，但立法层面的基本框架已经具备。据专业人士统计，中国有至少40项有关个人信息保护的法规。

在国家层面，泄露公民个人信息已经入刑。2015年8月通过的“刑法修正案”规定：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金……”该条款常被指责处罚力度不够，与当前电信诈骗的猖獗程度及其带来的严重后果不匹配。

2015年3月，国家工商总局颁布了“侵害消费者权益行为处罚办法”，此外还有“电信和互联网用户个人信息保护规定”“消费者权益保护法”“网络安全法”等一系列法规都有相关规定。

在地方政府层面，也有诸多尝试。如“杭州市网络交易管理暂行办法”“山西省公共信用信息管理办法”都有涉及这个话题。

这些法律法规看起来很多，但散落在各个部门，不成体系。这说明，从中央到地方，都意识到这是一个问题，但如何增强立法修法系统性、科学性，进一步强化落实已是当务之急。

举一个例子。2015年12月，安徽省就该省的“消费者权益保护条例”向社会公开征求意见。其中有条款规定：“经营者非法向他人提供消费者个人信息的，应当给予消费者经济赔偿”，赔偿的额度为“非法提供个人信息获取的收益”和“给消费者造成的实际损失”两者中的较大者，“实际损失难以确定的，赔偿额度不低于500元；造成严重精神损害的，赔偿额度不低于3000元”。

我当时就为这“500元”和“3000元”的最低额度暗暗叫好，因为这明确地标明了违法者的风险和成本，大大降低了执法的难度和举证的门槛，清晰明确，可操作性强。

但令人意外的是，2016年2月，安徽人大宣布该条例正式实施，在其最终的定稿中，“500元”和“3000元”的最低罚款额度等规定都被一一删除了，仅仅提出了经济赔偿和精神损害赔偿，到底多少，没有明确。

可以想象，立法过程当中的犹豫、反复和最终的妥协。这反映了我们的立法对这种违法行为的“恶”认识不足、决心不够大。

徐玉玉等人的遭遇表明，放任个人隐私数据泄露、倒卖，整个社会将付出惨重的代价。今天，我们每一个人都在源源不断地产生数据，这些数据表征着我们的位置、状态、习惯、喜好和需求，一旦这些个人数据落入诈骗者手里，人人都可能成为下一个“徐玉玉”。在精心构置的精准诈骗中，骗与被骗是一种猎与被猎、吃与被吃的关系。

总结起来说，法律规定不成体系，令出多门，一旦出现违法的问题，消费者不知道应该向谁投诉、无法锁定责任、茫无头绪，管理部门也莫衷一是、互相推诿。再加上法律条文概念化、处罚标准模糊、操作性不强，受害者就会面临举证困难，即使证据确凿，对不法分子的处理也无关痛痒，犯罪分子就更加嚣张。

相比较而言，也有不少国家要规范得多，他们正在不断地拓展着个人隐私保护的外延。如欧盟即将推出一项强化个人隐私保护的政策，规定手机等电子设备可以记录一个人曾经停留过的地理位置，相关企业将被禁止处理这些数据，除非经过匿名处理或得到用户的明确允许。

此外，从文化传统和个人权利意识上来说，大众的隐私意识比较淡泊，最终导致分散、宽泛的法规成了摆设、硬不起来。数据表明，2015年全国电信诈骗发案近60万起，破案率却不到3%。大量的案件，消费者只能自认倒霉、不了了之。中国在个人信息保护上还处于比较初级的阶段。

问题二：信息过度收集

除了立法的问题，数据的收集者也存在类似问题。当下中国社会的数据收集，是一种泛收集、过度收集，没有科学规划，也缺乏权利意识。

再以徐玉玉一案为例，其助学金申请表格包含了26个数据项，其中不仅包括姓名、身份证号、联系方式、住址，还有个人照片、生日、银行账号、学号、家庭经济情况、家庭成员信息等。这些数据不仅呈现了申请者自身的状况，还反映了她的社会关系网。悲剧发生之后，各方讨论，但鲜有人认真地问一句：申请助学金真的需要如此多的数据吗？

过度收集的问题还在于，大部分的数据在收集后，都没有加密保存。今天的信息技术，已经让数据复制、转移的成本非常低廉、过程非常简单快捷。没有加密的数据，基本上就是在“裸奔”。

简而言之，数据被大量收集起来，又没有加密保存，非但无用，一旦落入不法分子之手，还有副作用，甚至反作用。

因此，我们应该质疑、反思现行的数据收集体制和机制，重点是其合法性、正当性和科学性。

回到上文中提到的“侵害消费者权益行为处罚办法”，其实对数据收集的问题也有规定:“经营者未经消费者同意收集、使用消费者个人信息的……或在消费者明确表示拒绝，仍向其发送商业性信息的，都将受到处罚”。但在现实生活中，这条法规得不到有效的实施：中国仍然存在大量未经个人同意就收集数据的，绝大部分人也不知道自己居然有拒绝的权利。

一个人一生填报的表格、提交的信息，其实非常可观。1995年，美国联邦政府做过统计，他们一年的信息收集任务需要65亿个小时才能完成，这相当于320万人一年的工作量。也就是说，除了填表格，这320万人什么都不用做，也需要一整年的时间才能完成美国联邦政府下达的信息收集任务。到2009年，信息采集的时间已经上升到99亿小时。

这其中有相当部分是重复采集，还有相当一部分，一经收集，可能只使用一次，便永远沉睡在档案库中。

过度收集会造成多方面的问题。我认为这方面要借鉴发达国家的经验。美国有专门的“纸面工作精简法”规范政府的信息收集，其规定，任何一个部门如果要向社会收集数据，必须得到信息管制办公室（OIRA）的批准。这个办公室首先判断该项数据在整个政府的范围内是否属于重复收集，如果不重复、又要求合理，将会授予该部门一个“信息收集许可号”。这个“号”是政府收集数据的通行证，并限定了本次数据收集的范围。缺少这个号，公民有权拒绝填报。

对于和个人身份相关的数据项，在采集之后，无论是静态存储还是动态传输，都必须加密。除了加密，政府还应该设计完整的管理机制，例如，政府文件有绝密、机密、秘密、公开之分，相应级别的公务人员只有权力查看相应级别的文件。有关于公民隐私的个人数据也一样，要有特定的权限才能接触、查看。道理很简单，如果一份申请表，需要层层递交、审批，经手的人越多，数据泄露的风险也越高。

在加密手段尚未普及的情况下，应该尽量减少、避免“过度收集”。这将从源头上减少信息泄露的风险，把个人数据的风险降至最低。中国应当尽快出台相应的法规，明确统筹的部门，详尽规定数据收集的目的、类型、流程和使用权限，抑制过度收集数据，这不仅可以提高数据收集的科学性，还可以减轻全社会的负担、减少“信息扰民”。

问题三：数据监管有漏洞

关于立法者、数据收集者，主要是制度建设。接下来，我想谈谈数据的管理者，管理得好不好，直接决定了制度的刚度。

2016年9月9日，公安部公布了徐玉玉案信息泄露的原因：嫌犯杜某利用技术手段攻击了“山东省2016高考网上报名信息系统”，并在网站植入木马病毒，盗取了包括徐玉玉在内的大量考生报名信息。

高考关系到千万学子，网上报名系统如此脆弱，这令人心惊。2015年，国内网络安全界的翘楚“安恒公司”对2.6万个教育行业网站进行了评估和监测，发现了19.3万个漏洞，平均每个教育网站漏洞7.4个。其他公共服务网站也同样不容乐观，25万个政务网站有漏洞841万个，平均每个政府网站漏洞34个。

也就是说，徐玉玉之案源于“外盗”，网站的脆弱为“外盗”打开方便之门，外盗猖狂。

但除了外盗，还有“内盗”“监守自盗”，更加防不胜防。

这方面我有亲身经历。半年前，我离开阿里巴巴，在杭州注册了自己的新公司。在走出当地工商局的第二天，骚扰电话就来了：请问是观数的涂总吗？需要开发票吗？需要购买复印机吗？需要财务服务吗？需要律师服务吗……

一开始，这些电话来自杭州本地，一两个星期之后，宁波、台州等周边地区的电话接踵而至。再接下来，河北、内蒙古、广东一个个跨省电话轮番轰炸。每接一个电话，我就知道，我的数据又被卖到了一个新的地方。在办公室放下电话，望向远方，我仿佛看到一条地下数据买卖的黑色链条在不断地延伸。

我在自己的微信公众号吐槽了这段经历，引来了大量网友的共鸣：一名孕妇去医院建卡，一回到家就接到月子中心的营销电话；另一网友在人社厅报名参加一个资格考试，随后就接到上百条买卖答案、修改成绩的短信……林林总总，不一而足。

2016年8月，北京海淀法院就判处一起教育机构“内鬼”倒卖信息案，罪犯之一杨某先后在北京3家教育机构工作。其间，杨某私自拷贝复制公民个人信息两百余万条，将这些信息分批出售，平均每条信息卖半分钱，共获利1万余元。

相当一部分的个人数据泄露缘于公共机构工作人员的监守自盗。

立法分散、宽泛，执法不力、管理乏力，黑客横行、家贼难防，它们最终将徐玉玉们推向了深渊。如果数据的巨人行走在流沙之上，崩塌怎么避免？

问题四：运营责任不清

徐玉玉案暴露的另外一个重大问题，是关于电讯运营商的，作为电话、短信的平台运营者，我认为，其在大众舆论中的责任也一直有模糊不清之处。

据中国互联网协会发布的《2016中国网民权益保护调查报告》，2016年上半年，中国网民平均每天接到3个骚扰电话、2.9条短信。不难计算，平均一天就是十几亿个电话、十几亿条短信，不妨追问，这些业务每个月、每一年为运营商增加了多少收入？

这令我联想到另一个社会热点：阿里巴巴打击“假货”。作为中国最大的电商平台，阿里曾因平台上有假货流通和欺诈行为备受批评。有人为之辩称说，阿里巴巴只负责平台的建设，对平台上流通什么东西，阿里负不了责，也不用负责任。

这些论点站得住脚吗？大家都看到了结果，从2015年下半年开始，受累于假货，阿里的股票一跌再跌。

和阿里一样，三大运营商也是一个平台。电商平台上流通的是实物，三大运营商平台上流通的是虚拟信号。实话说，电商平台上的实物商品千千万万，差异性很大，而三大运营商平台上流通的虚拟信号相对单一，主要是短信和电话，要说打假的难度，远小于阿里。

我在阿里任职期间，对此深有体会。为减少假货，阿里成立了2500人的专职打假队伍，1万多名“小二”参与；搭建了上百个模型，根据关键词、照片、语义等维度进行监控分析，一年间删除了1.2亿条涉假商品链接。阿里还绘制了一张展现了各地假货活跃情况的“假货地图”，派人前往这些市场暗访。

阿里打假的成果尚待时间检验，但其做法运营商应该借鉴。

电话诈骗看似虚无，同样有其可控的源头。在现有大数据手段下，根据频繁拨打陌生号码、通话时间长短、是否为改号号码等特征，甄别哪些号码每天拨打骚扰电话、群发诈骗短信并不难。

但三大运营商是否做出足够努力呢？

综观当下电信欺诈泛滥的现实，我们不难发现，三大运营商不是管不好，而是管得不力，管得不到位。诚如工信部近日所言，“不排除个别基层电信企业为追求短期经济效益而罔顾社会责任。”

建议：成立隐私保护局

几千年来，中国社会的隐私意识向来薄弱。

今天，人类“隐私”的表现形式，正在经历大的演变。从历史上看，人类早期的隐私集中表现在以住宅为中心的物理空间上，意味着个人可以在这个空间内不受监督、不受干涉地发展个性、决定自己的生活方式；随着新技术的产生和发展，对隐私权的侵犯已经不需要物理的、强制性的侵入，即便在公共场所，个人也有隐私，隐私从以“住宅”为中心变迁到以“人”为中心；进入信息社会，随着政府和商业机构大规模收集个人数据，隐私又逐渐从以“人”为中心转变到以“数据”为中心。

今天，数据正在成为隐私最大的载体。一个数据极其充沛的时代，也是一个隐私极其脆弱的时代。

最近一两年来，在欧美发达国家，Google、Facebook等互联网巨头登上新闻头条，往往不是因为其技术创新，而是因为隐私纠纷。因为它们拥有了大量的用户数据，时时可能侵犯个人隐私。美国的大部分互联网公司，也因此设置了首席隐私官，但迄今为止，我还没有看到中国有企业设置这个职位。

隐私保护，是一个全球的问题，我认为，未来几十年，它将成为全世界大数据时代的头号社会话题。

除了在大众层面上普及隐私的观念和意识，我们还需要调整监管措施、改进治理方法。我的建议，是建立个人信息保护的统一立法、明确标准和执法主体，成立专门的隐私保护部门，以期对信息泄露、电信诈骗等行为进行“精准打击”

例如在政府的监管部门——工信部设立专门的部门。

据了解，工信部下设了三十多个司局，执行相关职能的，有“网络安全管理局”和“信息通信管理局”，在网页上，我看到它们的职责有：“电信网、互联网网络数据和用户信息安全保护管理工作”“监督管理电信和互联网市场竞争秩序、服务质量、互联互通、用户权益和个人信息保护”等相关职能。但我认为，当前网络安全的范畴太大，任务很重，这两大部门互有交叉、职责不清。

我建议工信部率先成立一个专门的“个人隐私保护局”。具体名称可再商榷，但其职责就是制定相关隐私保护政策，打击因为个人数据泄露导致的诈骗行为，保护公民的隐私权益，未来的各级政府，都应该有隐私保护的工作部门。

这是一个时代的要求。在诸多发达国家，除了正在完善相关隐私保护法律，还在着力调整行政职能、设立专门的隐私监管部门。美国的联邦政府，下辖有七十多个部委直属机构，其中绝大多数不仅设立了首席数据官，还设立了首席隐私官。

人人都有免于恐惧的权利，这是信息社会最起码的安全准则。中国社会要避免出现更多的基于个人信息的精准诈骗，就必须从基础做起，从规则、法律和标准做起，做到精准治理、精准打击。

（作者为《数据之巅》作者，大数据专家）