侵犯個人資訊和“大資料”，不是一回事

近日，由中國青年政治學院等機構撰寫的《中國個人資訊安全和隐私保護報告》正式公布。經過對全國100多萬份調查問卷的分析，發現全國多達81%的人收到過對方知道自己姓名或機關等個人資訊的陌生來電；在購房、升學等個人資訊洩露後，受到營銷騷擾或詐騙的高達36%。

應該說這些資料“并不新鮮”，無非驗證了公衆的日常生活中被詐騙電話、推銷短信騷擾的現實。自今年8月“徐玉玉被騙身亡案”之後，全社會一片對侵害公民個人資訊的喊打之聲，前不久通過的《網絡安全法》也重點強化了保護個人資訊的措施。

這兩年随着“大資料”的方興未艾，一些倒賣公民個人資訊的違法行為，卻堂而皇之地冠上了“大資料”“資料驅動營銷”“使用者畫像”的高科技名頭。這是渾水摸魚，也篡改了“大資料”的本義。

其實，直接出售動辄幾十萬份包括了使用者具體的身份證号碼、手機号碼、住址、工作機關資訊的資料庫，營銷人員按照這個資料庫逐個打電話，進行營銷，甚至騙子拿來行騙，這并不是什麼“大資料營銷”，這就是洩露公民個人資訊。

首先，正規的“大資料分析”，必須以保護使用者隐私權為基礎，在進行“使用者畫像”等資料使用之前，必須要對原始資料進行“脫敏處理”：水印（對局部資訊的掩遮）、泛化（對資料進行更概括、更抽象的描述）、加密（應用密碼技術對資料進行封裝）、失真（采用添加噪聲等方法對原始資料進行擾動處置，但還要保持原有的資料統計方面的性質不變）、歸并等。是以“大資料技術”絕對不是賣原始資料，那是侵犯公民個人資訊權的。

其次，從資訊的程式保障來說，保證資料從采集開始直至輸出，任何資料的通路、使用，都必須經過特定的審批流程并保留相關記錄資訊，避免非必要的資訊接觸行為。這就必須規範資料企業内部的流程。

第三，采集、存儲、利用個人資訊應當符合“目的明确原則”和“合法必要原則”。采集公民的個人資訊，必須征得公民的同意，并且在采集之前就要向公民明示資訊的使用目的、使用範圍，而且所采集的資訊必須是“必要的”，否則就是在對公民進行“資訊勒索”。如果資訊的後續使用需求與初始授權不比對，必須有重新授權機制。例如，芝麻信用在對資料進行持續開發時，就會讓使用者直接與征信機構發生授權互動确認，以保障授權的有效性。

2015年9月，國務院印發了《促進大資料發展行動綱要》，“大資料”的應用絕對不是什麼洪水猛獸，公衆不能因為發生了“徐玉玉案”就因噎廢食。但也要看到，現實是“大資料”行業還處于野蠻生長期，泥沙俱下，甚至倒賣公民個人資訊者，也公然号稱自己在從事“大資料”行業。這也給行政、司法部門執法帶來了一些困擾。

在沒有國家具體法律規定的情況下，第一步是強化行業的自律，建立公認的行業标準和技術規範。比如，目前芝麻信用、華道征信等大資料企業對于資訊采集、脫敏各有一套自己的規範，下一步是如何形成行業标準，進而上升為國家法規。

我們期待的是“把大資料關到籠子裡”，為大資料行業立下規矩，讓洩露公民個人資訊的違法行為，在大資料行業沒有容身之地。

本文轉自d1net（轉載）