人臉照片三分錢一張應聘簡歷五毛一份誰來為個人資訊洩露負責

作者：由經濟觀察報發表于娛樂時間：2023-01-21

在資料交流群裡，有人賣簡歷、有人賣招聘網站的企業賬號、有人幫助認證人臉資訊。數字化便利了我們的生活的同時，稍有不慎，資訊洩露就會讓使用者變成網際網路上的“透明人”。誰來為資訊洩露負責？個人資訊保護立法正在啟動，人們該如何在數字化發展和個人資訊保護之間找到平衡？

作者：胡豔明封圖：圖蟲創意

導讀

壹 ||

肖颯表示，以一般生活經驗判斷，責任都是個體性的，員工的違法犯罪行為不會與公司相關。但在個人資訊保護領域，公司是負有妥善收集、保管、使用使用者個人資訊的義務的。

貳 ||

10月21日，備受矚目的《個人資訊保護法（草案）》在中國人大網公佈，開始向社會徵求意見。

叄 ||

數字化給生活帶來便利的同時，資訊洩露問題也層出不窮，從現有法律和監管層面，有哪些措施可以防止和規範此類行為？

“二手0。5元，一手1。5元。”抱著求職心態在招聘網站投出的簡歷，或許正被人暗中提取和交易；在網店的買賣交易資訊，有可能在某些隱秘的角落流轉……數字化便利了我們的生活的同時，稍有不慎，資訊洩露就會讓使用者變成網際網路上的“透明人”。

11月19日，經濟觀察報記者在某“資料交流群”裡發現，群中充斥著其它大量販賣個人資訊的訊息。“一手優質車主料，地區/購車時間均可，量大從優，閒人勿擾”、“出tb（淘寶）訂單一手二手資料……”

這似乎成為了一個“產業鏈”，在資料交流群裡，有人賣簡歷、有人賣招聘網站的企業賬號、有人幫助認證人臉資訊。

對於販賣個人資訊的行為，中國人民大學商法研究所所長、教授劉俊海對經濟觀察報表示，“這是一種嚴重的侵權行為，情節嚴重或構成犯罪，給消費者造成嚴重損害的依法追究刑事責任。民事責任、行政處罰和刑事責任並行不悖，並不是道歉或者賠償損失就可以免責，不構成犯罪要進行行政處罰，構成犯罪要追究刑事責任。”

那麼，誰來為資訊洩露負責？個人資訊保護立法正在啟動，人們該如何在數字化發展和個人資訊保護之間找到平衡？

誰為資訊洩露負責

記者聯絡到販賣個人簡歷的網友，對方稱，“這些資料都是我們自己公司下載的簡歷，是精準的資料，一手的沒有打過的資料。”對方自稱來自教育類公司，並極力推銷資料的可靠性。他們在幾家著名的求職網站收集簡歷，再進行資料篩選。資料用途主要用於電話銷售，他手上也有三分錢一條的人臉資料資訊，但是那種“不出效果、轉化率低”。

除了簡歷，還有人在售賣網路交易資料、車主資訊、外賣APP商家資訊。上述售賣車主資訊的人表示，資料來源是“內部”。“價格是0。4元/條。可以測，測試按0。5元/條提供50-100條。先支付，測試完畢後確定購買數量，測試的將作為免費贈送。”

經濟觀察報記者獲取的部分資料內容顯示，資訊包括車系、車型、車輛型號、客戶姓名、經銷商等資訊，非常具體詳細。

在個人資訊中，金融資訊尤其具有重要的屬性，不法分子對金融資訊的倒賣也容易引發後續侵害財產等行為。從以往判決案例來看，經常有銀行員工因為販賣客戶資訊而觸犯刑法，並以“侵犯公民個人資訊罪”獲刑的案例。

今年9月，裁判文書網公佈的湖南省永州市冷水灘區人民法院刑事判決書顯示，建行一分行的外包人員利用職務之便盜用管理人員的操作碼，偷查3678筆個人徵信報告，以10元一份拿出去倒賣給一家小額貸款公司，獲利3。6萬元，最終犯侵犯公民個人資訊罪，被判3年，緩刑3年。

山東省鄒城市人民法院一份刑事判決書顯示，2018年5月份期間，浦發銀行電銷中心任業務主管楊某，利用工作便利獲取客戶個人資訊20餘萬條，非法提供給某公司用於電話營銷；同時，這家電商公司員工李某在對這些資訊資料進行加工整理後，又以每條0。3元的價格對外售賣給第三人李某洪，後者再將這些個人資訊販賣給陳某實施電話詐騙。

值得關注的，圓通快遞員工洩露客戶資訊事件再次引發關注，根據邯鄲警方訊息，相關嫌疑人以每日500元的費用租用圓通公司內部員工系統賬號，後登入系統賬號進入公司物流系統，匯出快遞資訊，把竊取的快遞資訊進行整理透過微信、QQ等方式賣到全國及東南亞等電信詐騙高發區。

上述案件中，相關嫌疑人將收集到的資訊打包賣出，每條資訊單價約為1元。此次被洩露的資訊中包括髮件人地址、姓名、電話以及收件人電話、姓名、地址，被洩露的資訊數量實際超過40萬條，涉案金額為120餘萬元。“洩露的是身份資訊，裡面包括姓名電話等資訊，根據2017年6月1號最高人民法院、最高人民檢察院釋出的侵害公民個人資訊犯罪的司法解釋，這構成了刑法中所說的敏感資訊洩露，50條以上就要入刑。”中國政法大學傳播法研究中心副主任朱巍告訴記者。

對於資料洩露情況，朱巍分析稱，一般實踐中，有兩種情況，一種是有內鬼，內部員工洩露；還有一部分是透過駭客的相關技術。對於兩種情況平臺都有責任，內鬼屬於僱員，一旦造成損失，平臺有監管不力的責任；如果涉及到駭客攻擊的問題，在實踐中也出現過這種情況，平臺也要承擔責任，因為涉及到平臺有沒有升級防火牆、有沒有盡到安全保障義務。

中國銀行法學會理事肖颯對記者分析稱，在公司員工不法洩露使用者資訊的事件中，最為直接的責任人自然是不法員工本身，根據我國刑法，第二百五十三條之一規定：“違反國家有關規定，向他人出售或者提供公民個人資訊，情節嚴重的，處三年以下有期徒刑或者拘役，並處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，並處罰金”。洩露使用者資訊的直接行為人需要承擔相應的責任，除構成刑事犯罪外，還需承擔民事賠償責任。

同時，肖颯表示，在該類事件中最引人關注的應當是公司，公司是否需要為員工的不法行為負責？以一般生活經驗判斷，責任都是個體性的，員工的違法犯罪行為不會與公司相關。但在個人資訊保護領域，我們認為公司是負有妥善收集、保管、使用使用者個人資訊的義務的。因此，在這一事件中，公司也應當承擔一定的責任。

個人資訊保護立法在途

10月21日，備受矚目的《個人資訊保護法（草案）》（以下簡稱“草案”）在中國人大網公佈，開始向社會徵求意見。

“草案發布已經引起了廣泛熱議，可見社會公眾對這部法律的殷切期待。”安永團隊表示，個保法草案一方面彰顯了當今網路時代呼聲的核心——個人對自己的資訊具有控制的權利；另一方面也在繼《網路安全法》之後，進一步規定了企業經營者在促進經濟社會資訊化健康發展、維護人民群眾基本權利方面的管理責任和義務。“草案發布後，對個人資訊起到引領、規範、保護和救濟的作用。很好的起到制裁違法者、補償受害者、獎勵維權者、警示行業、教育社會和對公眾心理撫慰的功能。”劉俊海認為。

劉俊海稱，同時由於行政處罰的充實、監管措施的擴充，也會啟用監管部門對消費者的行政保護功能。首先網際網路企業特別是網際網路平臺的責任進一步壓實；第二，行政監管部門的監管力度和對個人資訊保護的力度會進一步加大；第三，人民法院和仲裁機構對個人資訊侵害產生的民事爭議案件的裁判會找到更多的法律依據。換言之，個人資訊保護法的可訴性、可裁性、可執行性值得期待。這使得整個從事網際網路產業的各個鏈條和環節，包括網際網路平臺、電商、社交媒體以及其它APP軟體開發商都會全面納入個人資訊保護法的調整軌道，對網際網路經濟發展和個人資訊保護是好事，也是數字經濟的可持續發展重要的“加油站”。

對於草案的公佈，肖颯對記者分析稱，首先是在管轄上，我們的個人資訊保護擁有了長臂，也就是所謂的域外效力，在技術革命的當下，跨境侵犯個人資訊的事件日益增多，個人資訊保護法的跨境效力可以為個人資訊提供用力武器。其次是與民法典銜接，明確個人資訊的內容，明確的權利與義務內容是法律良好實施的前提。最後是在負責部門中，指明瞭國家網信部門負責個人資訊保護工作的統籌協調、發揮統籌協調作用。這樣可以避免交叉執法中的效率低下可能。

“個人資訊保護法要更加精準、更接地氣、更加堅持問題導向、目標導向和結果導向。”劉俊海對記者表示，現在有很多平臺及企業主管部門引入電子政務的技術，但是對個人資訊保護仍然存在漏洞和盲區。劉俊海對記者舉例稱，其個人在辦理工商登記驗證手續的過程中，也曾遭遇過電信電話騷擾。一般電子政務辦理過程中要確保本人辦理，驗證程式一般需要與第三方驗證單位進行合作，但是第三方驗證的保護措施是否到位值得關注，要注重生物識別資訊、個人身份資訊的保護。

個人資訊保護立法在途

數字化給生活帶來便利的同時，資訊洩露問題也層出不窮，從現有法律和監管層面，有哪些措施可以防止和規範此類行為？

劉俊海表示，首先，希望接觸資訊的網際網路平臺、電商、社交媒體以及其他APP軟體開發商等慎獨自律、見賢思齊擇善而從，打造資訊友好型企業治理體系和內控體系。要做大資料，大資料來自於消費者個人資訊，必須堅持合法、正當、必要、保密、安全的原則，未經消費者同意不得隨意獲取個人資訊。

第二，市場會失靈，監管者不能失靈，希望個人資訊保護法強化監管措施，加重行政處罰力度，密切處理好行政處罰和行政責任的銜接機制，引進協同共治機制。

第三，要完善消費者的投訴舉報機制，要暢通消費者維權通道，降低維權成本，確保維權收益高於維權成本，確保違法成本高於違法收益，把個人資訊保護的籬笆牆越扎越牢。

隨著時代的前行，數字化是不可抗拒也無法抗拒的時代趨勢。關於防範個人資訊洩露，肖颯認為，可以從三個層面來說：首先是個人層面，民法典人格權編的出臺為公民個人權利意識的覺醒打下了基礎，在利用數字化便利個人生活的過程中，公民必須堅守權利意識，謹慎選擇，對自己的每一次點選行為負責。

其次是各個市場主體，每一家企業在追求效益的同時，必須自覺承擔社會責任，明確保障公民個人資訊的義務。一方面合理收集、使用公民資訊，在創造經濟價值的同時便利其他社會成員，形成雙贏，另一方面制定規範合理的行為章程，防止內部出現為了利益而罔顧責任的個體。

最後是行政監管層面，執法機構需要積極行使職權，在個人資訊保護領域，最為可靠的後盾便是行政機構，最後的避風港也正是行政機關。必須由多部門，多角度，多層級共同建立維護個人行為，防範資訊洩露的完整體系。

朱巍認為，主要的措施包括立法和技術等方面：首先是立法，現在從“一法一決定”，到《個人資訊保護法》（草案），再到《民法典》，再到刑事法律體系和國家網信辦出臺的這些年的新規，構成了一個以往“一法一決定”和個人資訊保護法為核心的個人資訊保護法律體系；第二從技術角度創新，比如現在很多的地方使用了區塊鏈技術，無法篡改且使用有痕跡。第三，應該加大懲罰力度，依法嚴懲，違法必究。除此之外，在侵犯個人資訊方面，比如“人肉搜尋”等行為，不管情節輕重，都應該依法承擔相應的責任。