电信和互联网用户个人信息保护白皮书.pdf
《电信和互联网用户个人信息保护白皮书.pdf》由会员分享,可在线阅读,更多相关《电信和互联网用户个人信息保护白皮书.pdf(41页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、 电信和互联网电信和互联网用户用户 个人信息保护个人信息保护白皮书白皮书 (2012018 8 年)年) 中国信息通信研究院中国信息通信研究院 2012018 8年年1 11 1月月 版权声明版权声明 本白皮书本白皮书版权属于版权属于中国信息通信研究院中国信息通信研究院,并受法律保,并受法律保护护。转载、摘编或利用其它方式使用转载、摘编或利用其它方式使用本白皮书文字或者观点本白皮书文字或者观点的,应的,应注明注明“来源:来源:中国信息通信研究院”中国信息通信研究院”。违反上述声明。违反上述声明者,本者,本院院将追究其相关法律责任。将追究其相关法律责任。 前前 言言 数字经济时代,大数据、人工智
2、能等技术创新及广泛应用,个人信息的数据资源价值凸显, 用户个人信息保护已成为用户权益保护的最主要、最热点领域之一。党的十九大报告提出“新时代中国特色社会主义思想,必须坚持以人民为中心的发展思想”,电信和互联网行业坚持这一基本思想,将用户利益摆在核心位置,高度重视用户个人信息保护工作。 近年来,全球范围内掀起了个人信息保护立法的浪潮,美国、欧盟、日本等先后制定或修订个人信息保护相关规定,确立了个人信息收集和使用的基本规则,逐步完善了个人信息保护制度。我国采取政府主导的监管模式, 法规标准、 企业自律、 用户监督等方面多管齐下,推动个人信息保护水平提升。 随着个人信息链条延长,侵犯个人信息行为纷繁
3、涌现,用户个人信息保护面临严峻态势, 主要体现在感知层面智能设备的普及和多样化放大了个人信息收集的安全风险;网络层面数据传输量巨大,传输安全存在隐患;应用层面新技术的涌现挑战个人信息流通安全;商业层面企业收集使用个人信息存在泄露风险。 如何在保护用户个人信息安全的同时努力做到合理、正当使用,成为了工作重点。 展望未来,持续开展用户个人信息保护工作,要平衡好个人信息安全和行业发展的双重需求,充分提高思想认识、把握关键原则、多种路径完善治理、探索新型技术应用,调动各方积极性,建立健全开放、协作、高效的多方参与的综合保护体系。目目 录录 一、用户个人信息保护的内涵 . 5 (一)个人信息的概念分析.
4、 5 (二)个人信息保护的内涵演变. 7 二、用户个人信息保护的国际形势 . 8 (一)用户个人信息保护面临严峻态势. 8 (二)欧盟、美国及日本形成三种典型保护模式. 9 (三)用户个人信息保护的国际间规则积极推进. 14 三、用户个人信息保护的国内现状. 16 (一)我国已初步建立个人信息保护体系. 16 (二)立法及标准相继出台. 17 (三)监管机构依法履职开展各类监管行动. 19 (四)企业从理念到操作提升个人信息保护能力. 21 (五)行业组织多管齐下开展工作. 22 (六)用户对个人信息保护需求强烈. 24 四、国内个人信息保护典型案例与特征. 25 (一)典型案例分析. 25
5、(二)典型应用分析. 28 (三)问题特征研究. 33 五、发展建议. 34 (一)提高个人信息保护的思想认识. 35 (二)把握个人信息保护的关键原则. 35 (三)多种路径完善个人信息保护体系. 37 (四)主动探索个人信息保护的新型技术. 38 中国信息通信研究院 电信和互联网用户个人信息保护白皮书(2018 年) 5 一、用户个人信息保护的内涵一、用户个人信息保护的内涵 (一)个人信息的概念分析(一)个人信息的概念分析 当前各国对个人信息的描述主要有个人信息、个人数据、个人隐私三类说法。日本、韩国等国家主要使用“个人信息”这一说法;美国、加拿大、澳大利亚等英美法系国家主要采用“个人隐私
6、”这一概念;欧盟及其成员国习惯采用“个人数据”的称谓。本白皮书对这三种概念不做刻意区分。 全球对用户个人信息并无统一界定, 可以是用来识别或反映特定个体的信息,如姓名、年龄、性别等;也可以是反映个体身份或行为有关的一套符号系统,如通信记录、信用历史等;还可以是与其他信息结合后能够识别到特定个体及其行为的信息。从立法态势而言,全球立法对个人信息的定义呈现趋同性, 一切与个人身份及行为有关的内容都相继纳入个人信息的范畴。例如,欧盟一般数据保护条例(简称 GDPR) 的定义是 “任何指向一个已识别或可识别的自然人 (数据主体)的信息;该可识别的自然人能够被直接或间接地识别,尤其是通过参照诸如姓名、身
7、份证号码、定位数据、在线身份识别这类标识,或者是通过参照针对该自然人一个或多个如物理、生理、遗传、心理、经济、文化或社会身份的要素”。美国加州消费者隐私保护法(简称 CCPA)的定义则包括“直接或间接地识别、关系到、描述、能够相关联或可合理地连结到特定消费者或家庭的信息”,将生电信和互联网用户个人信息保护白皮书(2018 年) 中国信息通信研究院 6 物信息、教育信息等纳入其中。 国内立法使用的是“个人信息”这一术语。网络安全法的定义是 “以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息, 包括但不限于自然人的姓名、 出生日期、身份证件号码、个人生物识别信息、住址
8、、电话号码等”;电信和互联网用户个人信息保护规定的定义是“电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、 地点等信息” ; 最高人民法院、 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释的定义是“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息, 包括姓名、 身份证件号码、 通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等”。 此外,2018 年正式实施的国家标准信息安全技
9、术 个人信息安全规范(GB/T 35273-2017)以资料附录的形式给出了个人信息和个人敏感信息的具体范围与类型,前者包括个人基本资料、个人身份信息、个人生物识别信息等;后者涵盖个人财产信息、健康生理信息等。 总的来看,用户个人信息的内涵基本稳定、外延愈发多元,伴随着技术的演进而不断扩展。 中国信息通信研究院 电信和互联网用户个人信息保护白皮书(2018 年) 7 (二)个人信息保护的内涵演变(二)个人信息保护的内涵演变 一些研究将全球的用户个人信息保护分为欧盟与美国两大模式,前者将个人信息视作基本人权加以保护,特点是重保护、轻应用;后者则建立在隐私权的基础上, 通过保护公民隐私权来实现安全
10、保护与行业发展之间的有效平衡。 尽管欧盟与美国在用户个人信息保护方面采用了不同的立法模式和监管手段, 但这种差异不能抹杀双方在该领域日益接近的事实, 其实质是用户个人信息保护理念的全球共识正逐步形成。 早期的个人信息保护更多是纯粹的隐私权保护, 哈佛大学的路易斯 D 布兰蒂斯和萨缪尔 D 沃伦在哈佛法学评论中将隐私权界定为“独处的不受干扰”的权利。随着经济社会发展及信息技术变革应用,个人信息既具有了人格权也具有了财产权的属性,既要安全可控也要合理使用。个人信息保护的内涵也逐渐发生变化。 上个世纪 70 年代初,美国提出了公平信息实践法则(简称FIPPs),所包括的透明度、个人参与、目的明确、使
11、用限制等成为个人信息保护制度的基石。 随后, 经济发展与合作组织 (简称 OECD)在1980年发布 保护隐私和个人数据跨境流动指导原则(简称OECD指南),其中提出的八项基本原则成为许多国家立法的依据。进入21 世纪后,亚太经合组织借鉴了上述两份文件,制定了APEC 隐私框架,包括通知、收集限制、用户选择、确保个人信息完整性及采取必要安全措施等原则。 个人信息既具有个人财产价值,也具有社会公共价值和商业价电信和互联网用户个人信息保护白皮书(2018 年) 中国信息通信研究院 8 值。推动用户个人信息保护工作,要考虑个人信息的多种属性,实现基于安全可控基础上的合理使用和恰当平衡。 这一点已经成
12、为全球各国的普遍共识,并且反映在立法中。加州消费者隐私保护法着力突出“所有权赋予、安全保护、个人控制”三点;欧盟一般数据保护条例体现了包容性监管思路,推动信息保护和促进数据资源的合理规范使用,为行业自律留下了空间。 二、二、用户个人信息保护用户个人信息保护的国际的国际形势形势 (一)用户个人信息保护面临严峻态势(一)用户个人信息保护面临严峻态势 随着信息通信技术的应用普及, 网络数据流转通道逐渐扩大, 网络上流通的个人信息愈加广泛,全球个人信息安全问题日益凸显,盗取数据资源谋求商业利益的行为日益增多, 形成了明显的黑色或灰色产业链。这类行为与用户权益联系紧密,轻则导致公民财产损失,重则危害行业
13、发展,挑战监管底线。美国电信运营商 Verizon 发布的2018 年数据泄露调查报告显示,网络犯罪所窃取的个人信息主要有支付细节、医疗记录、凭证等,这类事件主要集中在健康医疗、住宿和餐饮业、公共服务等领域。 近年来,众多全球知名企业发生个人信息泄露事件。2017 年,亚马逊公司 AWS 云存储库 47G 的医疗数据意外对公众开放, 导致 15万患者的姓名、住址、病例记录、检查结果等重要信息遭到泄露。同一年,征信企业 Equifax 遭遇黑客攻击,导致 1.43 亿用户的个人信息中国信息通信研究院 电信和互联网用户个人信息保护白皮书(2018 年) 9 被泄露,其中包括姓名、社会安全号、住址、
14、驾照号、社保号、信用卡号等重要内容。 2018 年 3 月, 美国著名运动装备品牌 Under Armour旗下一款食物和营养主题应用“My Fitness Pal”的 1.5亿用户数据被泄露,包括用户名、邮箱地址和加密的密码。2018 年初,Facebook将 5000 多万用户的信息提供给英国剑桥分析公司一事更是引发全球关注,上升到国际政治层面。多种原因导致了该类事件的频繁发生: 一是个人信息外延的扩大。一是个人信息外延的扩大。技术发展让个人信息的外延扩大,一切能识别、关联和反映到特定个人的信息都纳入个人信息范畴。海量数据的流转往往裹挟着大量的个人信息,使其边界日益模糊,增加了保护难度。
15、二是技术发展的负外部性。二是技术发展的负外部性。人工智能、云计算等新技术的发展在更加依赖于数据资源的同时,不可避免的带来了负外部性,加大了个人信息的安全风险、冲击了个人信息保护体系。例如,勒索软件和恶意代码通过电子邮件、入侵服务器、攻击供应链、挂马网页、系统漏洞传播等方式盗取个人信息。 三是三是监管模式的滞后。监管模式的滞后。产业链的延长、市场主体的增加让个人信息的多向流动成为常态,使得个人信息安全的监管牵扯到多个行业、多个领域,导致监管目标和监管任务难以区分,冲击了传统监管体系,提升了监管难度。 (二)欧盟(二)欧盟、美国美国及日本及日本形成形成三种三种典型典型保护保护模式模式 当前,欧盟和
16、美国代表了最具影响力的两种个人信息保护模式,电信和互联网用户个人信息保护白皮书(2018 年) 中国信息通信研究院 10 前者以政府主导下的严格立法和统一监管为主, 政府规制起到了核心作用;后者体现为行业驱动与规则塑造下的多方博弈,行业自律与政府有限干预相互结合。在亚太地区,日本的经验同样具有代表性。 1.欧盟模式:政府主导下的严格立法和统一监管 GDPR(一般数据保护条例)是欧盟个人信息保护的核心法律。 GDPR 具有强制实施效力, 构建了一套完善的个人信息保护体系,能够直接适用于欧盟全境。 在保护范围上, 个人信息的外延得到延展,医疗健康、生物标识等都成为保护对象。在用户权利上,GDPR
17、引入被遗忘权、可携带权、删除权等新型权利,与知情权、同意权、访问权、 反对权等共同构成用户享有的基本权利类型。 在隐私政策制定上,企业必须确保“隐私设计”(Privacy By Design)的原则贯穿到整个数据处理过程中, 在产品和服务的全业务周期流程中做到保护个人信息安全。在数据控制者的义务上,GDPR 设计了隐私影响评估、数据泄露预警和业务流程记录等要求,可以理解为数据控制者必须采取“足够的措施”来确保数据安全。总的来看,GDPR 赋予用户充分的个人信息自决权, 而企业及其他掌握数据资源的主体必须承担更多的义务。从产业链条的逻辑来看,整个数据链的上下游各利益主体都会被问责,实现全方位的保
18、护。 GDPR 设立“联盟-机构-国家”三级监管体系,通过统一监管、一致协调、 各自实施确保各个条款的具体落实, 有助于建立 “一站式”的争议解决和服务流程, 逐步消除各国个人信息水平不一致的碎片化现状。 在监管机构设置上, GDPR 设立欧盟数据保护委员会 (European 中国信息通信研究院 电信和互联网用户个人信息保护白皮书(2018 年) 11 Data Protection Board,简称 EDPB)来确保 GDPR 执法过程的统一性和连续性,该机构处于欧盟数据保护体系的中心位置,协调各国数据保护机构合作;在人员构成上,EDPB 由各国数据保护机构和欧盟数据保护监督员或其代表组成
19、, 欧盟委员会有权在不投票的前提下参与其会议,让各国做到充分沟通。具体任务上,EDPB 不仅制定 GDPR的指南性文件, 同时也作为最高裁决者对数据跨境处理等争议发布具有约束力的决定,避免 GDPR 执行过程中因各国司法体系的差异产生混淆。GDPR 还规定,欧盟各实体机构设立数据保护官员(Data Protection Officer,简称 DPO)来监管内部的个人数据处理活动是否合规;从职能来看,数据保护官员相当于机构内部的首席隐私官,其主要作用在于评估潜在的隐私风险并提出针对性建议, 目前已经有包括欧洲议会、 欧洲中央银行在内的数十个欧盟机构设立了数据保护官员。各成员国的数据保护机构将根据
20、 GDPR 的要求,对境内企业的个人信息处理活动进行监管;各国监管机构必须互通有无,如出现分歧将提交欧盟处理。 2.美国模式:行业驱动与规则塑造下的多方博弈 美国模式中,政府和企业呈现出充分合作、灵活博弈的关系。政府十分重视市场调节作用, 通过对行业组织赋权并支持其开展管理活动,发挥行业自律的作用。美国的个人信息保护主要有以下几点: 一是基于总体原则下的分散立法。一是基于总体原则下的分散立法。 美国并没有统一的个人信息保护法,而是通过在联邦层面为个人信息保护工作提供宏观依据,主要体现在公平信息实践法则隐私法等联邦法律中;同时在重点电信和互联网用户个人信息保护白皮书(2018 年) 中国信息通信
21、研究院 12 领域进行立法,如电子隐私通信法儿童在线隐私保护等联邦法律,以及加州消费者隐私保护法等地方法律。 二是高度重视行业自律。二是高度重视行业自律。行业自律的典型代表是行业认证,主要由民间组织、技术团体等私营机构主导,通过制定个人信息保护标准并开展认证和授权工作,主要包括法律授权、企业评估、行业认证、事后争议解决等,实现“政府搭台、企业唱戏”,带动用户个人信息保护水平提升。总部位于加州的个人隐私认证机构“TRUSTe”是这方面的代表。 三是两大三是两大委员会委员会是监管主角。是监管主角。 美国的电信和互联网用户个人信息保护监管主要由联邦通信委员会和联邦贸易委员会负责, 前者主要针对电信用
22、户,后者则聚焦于互联网用户。二者在监管触发机制和监管手段上较为相似,主要针对企业隐私政策、用户举报、数据泄露等,监管手段包括约谈、发函、调查、庭外和解、罚款等。 3.日本模式:政府主导+行业自律混合模式 日本的个人信息保护有其独特经验, 其个人信息保护立法主要参考欧盟,行业规范主要依据美国,通过“政府主导+行业自律”混合模式充分发挥地方公共组织和行业协会的作用。该国个人信息保护法也体现了充分的行业自律空间,兼具欧美所长。 一是立法的全面性。一是立法的全面性。个人信息保护法等“关联五法案”构成了个人信息保护的核心制度; 多数地方政府和大量公共团体制定了个人信息保护条例。 二是监管的独立性。二是监
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 电信 互联网 用户 个人信息 保护 白皮书
限制150内