个人信息保护法对邮政业的影响与合规研究

杨春丽 邵妍妍 金旭彤 黄月琴 邵雪焱 许保光,4

1(国家邮政局邮政业安全中心信息安全处 北京 100091) 2(中国科学院大学应急管理科学与工程学院 北京 100049) 3(中国科学院科技战略咨询研究院 北京 100190) 4(中国科学院大学公共政策与管理学院 北京 100049)

随着数字经济的发展和数字中国战略的提出，数据已成为和土地、劳动力、资本、技术一样的生产要素.在数据的使用和处理过程中对个人信息的应用需求不断增加[1]，个人信息的地位愈发重要.邮政业作为现代服务业的关键产业已经进入高速发展期.2021年11月1日，《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)正式施行，作为个人信息保护领域的基本法，《个人信息保护法》全面规定了个人信息处理者的义务及责任，并提出明确的合规要求[2].《个人信息保护法》主要关注公民个人信息保护，仅侧重于保护个人信息，但相较于《中华人民共和国数据安全法》(以下简称《数据安全法》)，《个人信息保护法》提出了更多具体的场景，例如对个人信息、敏感信息应当基于全生命周期进行保护，对个人信息主体的权利和个人信息处理者如何应对信息主体提出的权利请求，以及针对应对不当所负相应的责任等都作出了规范.

此前，《中华人民共和国网络安全法》于2017年6月1日正式施行，是我国第一部全面规范网络空间安全管理的基础性法律[3]，侧重于网络安全，主要从网络安全监管角度，关注的数据主要是以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息[4]；《数据安全法》于2021年11月1日正式施行，是数据安全领域的基础法律.它对数据处理者提出相关的义务要求，并对监管数据进行全面的界定，其范围更广，包括个人信息与非个人信息.针对个人信息合理处理使用的问题，有关部门也曾先后出台《互联网个人信息保护指南》《个人信息安全标准》等规范性文件，并在《中华人民共和国民法典》(以下简称《民法典》)中也提出了保护个人信息的责任要求[5].这些关于个人信息保护等方面的法律法规文件能进一步细化为具体详细的、对企业有规范意义的标准.总体来说，我国基本已建立起个人信息安全保护的完整法律框架.

本文讨论了《个人信息保护法》的出台对邮政业数据安全的影响，介绍邮政业特点与数据安全问题.从《个人信息保护法》和邮政业信息保护法律文件要求出发，结合邮政业务中个人信息泄露案例，分析邮政业面临的信息安全问题.提出相关应对措施，对邮政业个人信息安全保护具有一定的参考作用.

1 邮政业业务流程及数据特点

1.1 邮政业业务流程特点

邮政业主要业务流程是指寄递承运方运用专用工具、设备和应用软件系统，将快件进行处理，在较短的时间内将特定的物品运达指定地点或目标客户手中的活动[6].邮政快递企业的生产运作流程具体可分为收件、验视、信息核对、装载、运输到某地某集散中心、安检、分拣、装载、再次运输、投递、用户收件等环节，整体环节可分为揽收、运输、派送等，如图1所示.

在揽收环节，首先由寄件人填写寄递详情单，包括姓名、地址与寄件人身份证号等个人信息，揽收人将相关信息录入系统，在寄递服务末端将物品集中发送下一级转运中心；物品运输至转运中心后，分拣员会依据寄递系统的指示，将物品按一定方式进行分类、集中，其中运输距离远且时间跨度大的物品进行干线运输；物品到达转运中心后继续进行盘驳运输，到达收件地网点后进入投递环节.寄递系统会指派快递员进行派件，同时通知收件人进行接收.具体交付方式按照用户与快递公司的约定进行交付，一般有直接送货上门和送货至云柜寄存2种方式.

根据邮政业的业务流程，其特点简单概括如下：

1) 服务群体的广泛性.邮政业的服务范围面向整个社会，服务群体广泛，服务对象不只是个人，还包括政府、企业等组织.

2) 生产过程和消费过程的同一性.邮政业的生产过程也是用户的使用过程，是为用户服务的全过程[7].

3) 寄递环节的信息技术主导性.在寄递的全过程中，使用现代信息技术主导寄递环节.利用条码技术、智能分拣系统、全球导航卫星系统、智能交通技术、无线射频技术等现代信息技术，为实现邮寄的全过程跟踪、监控、管理等提供技术支持.

1.2 邮政业用户数据

邮政业涉及的数据主要包括用户数据和企业运营数据.用户数据是指业务开展过程中涉及到的个人用户及企业用户相关数据，其中，个人用户数据指业务开展过程中涉及的个人寄递用户数据，企业用户数据指业务开展过程中涉及的企业客户数据、供应商数据等企业用户相关数据.企业运营数据是指经营活动中产生的各类业务经营相关的数据，包括但不限于寄递物品的费用信息、配送信息、签收信息、售后信息[8].用户数据具体包括地址信息、电话信息以及身份证信息等，涉及用户个人隐私，是邮政快递服务的核心数据，也是数据安全的关注焦点.

快递业务流程中蕴含的信息量极其丰富，且高度敏感.近年来，邮政业处于个人信息泄露的重灾区，相关个人信息泄露事件频发.由于涉及数据处理环节复杂，相关企业缺乏较高的自律意识，难以主动为此付出时间和费用的成本.面对行业内如此严峻的形势，出台数据安全相关法规、制定行之有效的监管办法将成为邮政业未来发展的重点.

2 邮政业个人信息保护要求和存在的问题

2.1 邮政业个人信息保护相关法律法规

为了加强用户个人信息安全保护，邮政业从个人信息合法处理原则、个人信息处理者相关责任义务、个人信息处理规则等方面制定了相关法律文件.

1) 《个人信息保护法》第9条规定：“个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全”.第10条规定：“任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动”[12].以上条款强调了个人信息处理者处理个人信息应遵循合法的处理原则，并采取正当的处理方式.邮政业针对“个人信息合法处理原则”制定了相关法律规定，如表1所示.

表1 针对“个人信息合法处理原则”的法律文件梳理

2) 《个人信息保护法》第5章明确了个人信息处理者的合规管理和保障个人信息安全等要求，强化了个人信息处理者在掌握个人信息过程的安全保障义务[9].邮政业针对“个人信息处理者相关责任义务”制定了相关法律规定，如表2所示.

表2 针对“个人信息处理者相关责任义务”的法律文件梳理

3) 《个人信息保护法》中对个人信息处理规则明确规定，个人信息处理者负有个人信息处理告知义务，将处理规则公开；并应遵循最小范围使用原则，对个人信息的保存期限应当为实现处理目的所必要的最短时间[9].在2021年2月发布的《快递物流服务数据安全指南》(征求意见稿)[8]中，同样要求服务运营者收集信息应遵守用户告知同意原则，在提供寄递服务时应提前获得用户明示同意；快递物流服务收集用户个人信息应遵守数据最小化原则，明确了个人信息收集范围界限.

2.2 邮政业个人信息问题分析

快递用户信息泄露事件层出不穷，邮政业面临的信息安全形势十分严峻.在寄递服务流程中，主要面临以下个人信息泄露问题：

1) 信息泄露风险节点较多.

近年来，电商企业让社会发生了巨大的变化，与此同时，邮政快递企业的发展也迎来新一波高潮.消费者的个人信息在业务全流程的中转节点较多，从电商平台下单到订单完成，中间涉及平台、卖家、快递订单系统和快递包装4个环节，有人会接触到消费者的订单信息，导致信息泄露的风险变大.如杭州某电商公司盗取6.5万余条快递信息的王某，佯装进入该电商公司进行应聘，只为在公司电脑上安装木马病毒，盗取大量用户信息.然而数据存储是数据安全的重中之重，《个人信息保护法》第5章也明确了个人信息处理者需要采取加密等安全措施，履行掌握个人信息过程的安全保障义务[9].在电商平台掌握消费者的个人信息后，有义务采取相应的安全措施，提高数据库和相关防护系统(如防火墙等)的安全能力，降低数据泄露风险.

2) 邮政快递企业信息系统管理中的问题.

随着快递业务规模的不断扩大，邮政快递企业积累了大量的寄递用户信息，个人信息泄露事件频发，如2020年国内某快递公司5名员工非法售卖和使用寄递用户信息事件更是引起社会对于信息泄露和个人信息保护的进一步重视.外部人员租用该快递公司内部员工系统账号，登录后进入内部寄递系统，导出寄递用户信息，将信息通过社交平台非法售卖到全国及东南亚等电信诈骗高发地区.《个人信息保护法》第51条要求个人信息处理者制定内部管理制度和操作规程，并组织实施制定个人信息安全应急预案[9]；《寄递服务用户个人信息安全管理规定》也提出邮政企业应当制定内部安全管理制度和操作流程，建立寄递用户信息安全应急处置机制[13]，履行企业信息安全保障的义务.对于邮政快递企业，需进一步落实相关法律法规要求，开展自查，从内部制度、人员分工、系统安全、风险管控等方面进行数据安全管理.

3) 个人信息脱敏加密中的问题.

每个快递包装上都印有一张快递面单，快递面单中包含着寄件人、收件人的联系方式、家庭住址等关键信息.在某社交平台的关于“快递”“快递面单”等社群中，大量出售和收购寄递用户快递面单的帖子不在少数.其中不乏实时快递面单，在用户下单仅数小时内，快递面单就被标价出售.《个人信息保护法》第51条要求个人信息处理者采取相应的加密、去标识化等安全技术措施[9]；《快递暂行条例》《邮政业寄递安全监督管理办法》《邮政快件包装管理办法》也提出，邮政企业应当建立寄递详情单及电子数据管理制度[12,14-15]，保护用户信息安全.京东、顺丰和菜鸟分别推出了“隐私面单”，采取数据脱敏加密的措施，在不同程度上隐去用户真实信息，实现信息保护.

4) 从业人员队伍建设中的问题.

近年来邮政业高速发展，其从业人员数量暴增且流动性大.快递公司内部人员以便利条件获取用户个人信息，导致公民个人信息泄露的事件层出不穷.如2016年以来，冯某利用其为河北某快递公司员工的便利条件，用自己和同事的工号登录公司系统查询公民个人信息，整理后，再通过电子邮件卖给外部人员，以获取非法利益.《个人信息保护法》第51条要求合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训[9].为避免内部员工未按规定使用设备产生信息泄露的问题，邮政快递企业应落实对相应职位员工个人的职业规范和道德培训的责任.

综上，邮政业积累了数量庞大的寄递用户个人信息，在《个人信息保护法》正式出台以前，针对存在的信息安全问题，邮政管理部门已出台多份法律文件，明确规定企业处理个人信息的原则和义务，并对业务全流程进行监管和公开；要求相关企业对使用的数据信息进行分类分级，对数据进行加密化处理；要求相关企业对个人信息使用权限及用户告知同意，保护寄递用户个人隐私权利.依据相关法律文件，邮政业需要针对行业内信息泄露的突出问题作出相关应对措施.

3 邮政业个人信息保护应对建议

3.1 确立完整的个人信息控制流程

邮政业为了发展需要与其他电商平台进行合作，其中用户个人信息安全保护程序必然变得复杂.在这种情况下快递企业需要和电商平台进行合作，把工作业务和工作程序公开，让用户了解其个人信息在收集、利用、处理全流程中的去向，这是对知情同意原则的遵守与维护[1].2018年国务院办公厅印发了《关于推进电子商务与快递物流协同发展的意见〔2018〕1号》(以下简称《意见》)[16]，其中也明确规定了相关部门应引导电子商务企业与快递物流业加强系统互联和业务联动，共同提高信息系统安全防护水平.目前来看落实不够，建议下一步相关部门按照《意见》相关内容要求进一步落地，促进邮政快递企业与电商平台关于数据安全的战略合作交流，推动上下游企业联合确立完整的个人信息控制流程，加强数据安全监管，保证在合作过程中的数据流动安全.

3.2 建立邮政业数据安全管理制度

《个人信息保护法》的正式出台加大了邮政业对保护寄递用户个人信息安全的重视.邮政业应基于时代发展与快递服务需要，出台关于邮政业数据安全的法律法规，加强对邮政数据安全的相关指导.在邮政业数据安全管理方面，运用安全审计、安全检查的监督手段，对数据安全的管理工作进行审计审查，查看企业数据安全管理工作的合法性与合规性.邮政管理部门应当尽快发布行业内关于敏感数据监管的文件规定，要求邮政企业对敏感数据进行分类分级，切实建立内部数据安全监督运行机制，运用系统管理的方法对数据安全实施管理，注重数据安全风险评估及事件安全应急预案.

3.3 推动邮政业新技术手段应用

为加强对电商及邮政业的监督和管理，规范邮政快递企业寄递快递包裹的行为，2015年11月快递实名收寄制度正式实行.在快递实名制实行之后，虽然社会不良安全事件显著减少，但是由于快递面单详细记录了寄递用户的姓名、电话号码和家庭住址等，将用户个人信息暴露在公共视野中，危险系数大大增加.为减少用户个人信息的直接泄露，邮政快递企业应对面单上敏感字段进行脱敏、去标识化处理，加大对隐私面单、电子身份二维码、虚拟号码等新技术的推广应用，保障寄递用户个人信息不被泄露和非法使用.

3.4 加强邮政业数据安全人才培养

邮政业的蓬勃发展需要大量拥有专业知识和职业操守的工作人员参与.在用户个人信息处理方面更是需要有良好的安全技术和道德素质的信息人员配合工作.邮政业应当注重对信息安全人才的培养，提高信息安全专职技术人员比例，不断提升从业人员信息保护的规范化水平.邮政快递企业可对相应职位的信息操作人员进行法律和技术培训，如《个人信息保护法》和信息安全技术的培训，并进行定期考核[1].此前行业相关文件已经作出规定，然而培训和考核必须是持久的.针对业务流程的不同场景进行培训与考核，具备个人信息处理资格的工作人员才可从事快递服务中的个人信息处理的工作.

除此之外，寄递用户作为寄递服务的主体对象，也应该不断提升信息安全保护意识，提高个人信息安全保护能力.在网络平台进行购物时，由于快递面单上包含了个人相关信息，对此，寄递用户在寄送和签收快递时可主动勾选、开启“隐私面单”服务.寄递用户在收取快件时应养成及时处理面单上的个人信息的习惯，确保敏感信息被遮挡以后再扔掉包裹或者将快递单进行销毁处理，主动规避信息泄露的风险.

4 结束语

新技术的发展是一把双刃剑，相伴而来的是信息安全风险日益严峻[17].《个人信息保护法》的出台对个人信息泄露频发的乱象提出了明确的法律责任要求.对此，邮政监管部门、邮政快递企业、寄递用户等多方主体须严格遵循法律要求，规范个人信息处理活动，切实保障寄递用户个人信息安全，邮政业将会拥有更广阔的发展空间、更高质量的快递服务.