记者 | 席小丹

编辑 | 翟瑞民

近日，国家网络安全审查办公室发布公告称，多个互联网企业因数据安全问题接受网络安全审查，由此再次引发公众对网络数据安全与个人信息保护的关注。

在大数据时代，个人信息具有极大的商业价格。万商天勤律师事务所合伙人张烽告诉界面新闻，凡是以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等，都属于个人信息的范畴。

什么样的行为会构成个人信息被违规使用？张烽介绍，“在未经用户同意、有时甚至是在用户不知情的情况下，扩大数据收集范围；收集用户公开的信息后未按公开时的用途使用；未采取相关的方式和时间期限存储，未按照法律规定和用户约定使用；将数据用于其他目的，未按照规定传输数据甚至将数据不当出境；未按照法律规定和约定对外提供和公开信息等行为，都属于违法违规使用个人信息。”

目前，部分互联网企业在收集、存储、处理、使用、传输、提供、公开用户个人信息方面存在诸多问题。张烽举例说，比如“智能推荐”，即手机用户在网站上浏览相关商品信息后，相关企业在另一个网站上继续推送该商品或相关商品的信息；比如“大数据杀熟”，某些旅游网站提取高净值用户的信息，使他们接收到的价格比新用户更高。此外，还包括售卖用户电话号码、身份证、甚至简历信息，导致用户收到骚扰电话、诈骗电话等，这些都属于互联网企业违规使用个人信息的行为。

为防止个人信息被违法违规使用，我国的网络安全法自2017年6月1日起施行，其中规定，网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意。

2021年4月27日，国家互联网信息办公室还联合12个部门发布《网络安全审查办法》，其中指出，网络安全审查重点评估采购网络产品和服务可能带来的国家安全风险，包括产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险等。这也是此次几家互联网企业被审查的法规依据。

2021年9月1日，数据安全法也将正式施行，其中规定，对影响或者可能影响国家安全的数据处理活动进行国家安全审查，任何组织、个人收集数据，应当采取合法、正当的方式；并应当在法律、行政法规规定的目的和范围内收集、使用数据。

此外，2021年4月，全国人大常委会对个人信息保护法草案进行了二次审议，并随后向社会公开征求意见。二次审议稿针对当前个人信息过度收集使用等突出问题，完善了个人信息处理应遵循的原则；完善、充实合法处理个人信息的情形、撤回同意、自动化决策、跨境提供个人信息等方面的规则等。

张烽认为，在网络安全和个人信息保护的已有法律框架下，个人信息保护法是针对个人权益的有益补充。他介绍，数据安全法的作用在于避免网络数据被滥用，从而影响国家安全；网络安全法则侧重维护网络空间主权，避免网络空间数据遭到泄露、毁坏、篡改等等。两部法律的意义在于营造安全、良好的网络环境。而个人信息保护法更像是“消费者权益保护法”，具有公法性质，“个人在面对互联网巨头的时候，维权是很困难的，一部专门保护个人信息的法律，可以平衡用户与商家之间地位，赋予消费者更多权利，方便维权。”张烽说。

我国正在加大对互联网企业收集使用个人信息的监管力度。不过，上海申伦律师事务所律师夏海龙告诉界面新闻，由于互联网企业收集和处理个人信息的行为仍缺少系统性法律约束，目前我国尚未建立常态化的监管执法机制，“当前主要是工信部门通过抽查，然后用企业约谈、APP下架等行政执法方式处理。”他说，“这会造成一种尴尬局面，即用户在意识到自己信息被违规使用，但又没有造成直接经济损失时，如果要求赔偿便会缺少直接法律依据。”

而根据个人信息保护法草案二审稿规定，违规处理个人信息的企业，拒不改正的, 将处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款；甚至可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。

个人信息保护法草案规定了如此严厉的处罚力度，将来施行后能否杜绝互联网企业违规收集、使用用户个人信息的行为？张烽认为，并不能完全杜绝，但可以形成约束效应，“网信办和国家其他部门还可以采取一系列配套措施来保护个人信息，让违规行为直接影响到企业的业务发展甚至生存，多管齐下才能取得更好效果。”

夏海龙认为，为用户的数据安全负责，企业是第一责任人，“企业一定要按照合同约定或法律规定的方式来使用存储用户信息，且要采取必要的措施保护好，如果没有保护好或故意泄露的话，就要承担法律责任。”

基于现有法律框架，用户怎样才能更好保护个人信息安全？张烽介绍，如果发现企业对自己的个人信息使用不合法不合规，第一可以取证起诉，第二可以向网信办和有关主管部门举报，第三，若构成刑事犯罪，则需要报案，“起诉和报案都需要充足证据，在难以取证的情况下，向具有约束力的主管机举报，是比较高效的方式。”

夏海龙认为，用户在同意使用条款前，首先应该认清哪些个人信息是履行合同所必须的，“即便你不同意让渡这部分个人信息，但只要你客观上使用了对方的服务，对方也没有侵犯你的个人信息。”这种情况表明，“法律抽象地规定了行为的底线，只要不违反这些原则性规定，就应该给予企业和用户双方一种契约自由，只要用户愿意，法律没有必要过多干涉。”夏海龙说。