法治日报-法人网 全媒体记者 赵青

2020年12月27日，法治日报社《法人》杂志举办了一场主题为“网贷平台个人信息保护”的沙龙活动。活动由法人智库秘书长伍洲奇主持，针对金融网贷APP行业侵犯个人隐私信息话题，华东政法大学教授陈岱松、北京京师律师事务所律师范辰、北京德润律师事务所律师刘家辉、北京大安律师事务所律师朱树明、北京地平线律师事务所律师黎家骏、创邑传媒执行董事谢良兵等业内专家展开了热烈讨论。

　　搜集个人信息权限应合法、正当、必要

伍洲奇：个人信息安全对公民非常重要。近二十年来，互联网发展迅猛、日新月异，互联网科技在发展过程中，侵犯个人信息的事件时有发生，我们该如何保护民众的个人信息安全?

范辰：中国民法、行政法、刑法等法律都有对个人信息保护的相关规定。今年通过的《中华人民共和国民法典》对个人信息保护做了更加具体规定，例如第1340条和第1034、第1035条、第1038条等，对个人信息保护作出了原则性规定。

但民法和刑法的规定还不够系统完整，最近《中华人民共和国个人信息保护法》草案也已经提请审议，大家可以对这部法律多提意见和建议。我认为，搜集个人信息的单位权限非常重要，应当满足三个原则：即合法、正当、必要。所谓合法，即必须要有法律授权给搜集单位;所谓正当，即搜集单位的用处是正当的。正当还包括程序正当，即一定要经过正当程序;所谓必要，这里面包括两方面要求，一是对个人搜集信息有必要，二是搜集内容限度有必要。

值得一提的是，政府部门应当在个人信息保护方面作出表率。

刘家辉：谈到金融网贷平台APP侵犯个人信息的话题，相信很多人都有类似遭遇。但问题是，很多公民并不知道是哪个平台侵犯了个人信息权，也不知道公民的个人信息是从哪里泄露出去的。目前，几乎所有互联网APP只要使用，首先需要注册、扫码、授权，要填姓名、联系方式等，否则就没法使用，因此公民没有抗拒的权利。

与此同时，普通公民因个人信息而去维权很困难，时间成本、经济成本也非常高。因此，公民的个人信息保护问题，交给行政主管部门和公安部门去统一处理比较合适。

黎家骏：我认为个人信息搜集单位应当要获得授权，要么是法律授权，要么是个人授权。目前，互联网APP搜集个人信息过于泛滥，例如消费者使用手机，APP在打开时，首先需要授权同意使用手机里的个人信息，否则这款APP没法用。但是一经同意，手机里最核心的个人信息内容包括通讯录和相册就外泄了，很难保证个人信息安全。

值得注意的是，搜集单位搜集个人信息的目的是什么?我认为需要设立一道前置审核程序，确定一个许可搜集个人信息的审核标准。这个程序和标准的执行，统一由行政主管部门来审批同意，审批通过的搜集单位才能在一定范围内搜集个人信息，这对于民众是一种保护，对商家也是一种保护。

伍洲奇：除了行政主管部门和公安机关这些公权力机关，可以对公民的个人信息安全进行保护。个人信息安全受侵害的当事人也就是我们公民自己，可以采取什么措施自我保护个人信息权利不被侵害?

朱树明：公民的个人征信是个人信息的重要组成部分，理应受到严格保护，非经授权不得查询。举一个例子，我前段时间因为家庭需要去查询了个人征信，却意外发现自己被京东白条查询过个人征信，我不知道何时、通过何种途径授权给京东查询了?

所以，什么叫“授权”是一个法律问题?公民在互联网APP上点击“同意”查询相关信息，是否就意味着授权查询个人征信了呢?显然不是，京东白条仅凭点击“统一”查询公民的个人征信属于侵权，所谓“授权”，应当取得公民的书面签字同意才属于有效“授权”。目前，我不排除通过一场公益性诉讼来叫停京东白条的行为，公益性诉讼是公民保护自身权益的有效途径之一。

谢良兵：公民个人信息安全受到侵害的形式较多。例如，每位公民只要一上网就会留下痕迹，互联网随后就会根据该公民的上网痕迹推送相应商品。如果该公民打开过京东APP，京东马上可以根据公民搜索过的信息，推送某款衣服或某款鞋子等商品。百度也可利用网络数据，计算出用户消费水平、个人喜好等，在什么位置应当匹配什么商家，这些都可以通过大数据分析出结论。总体来说，互联网平台在这方面的危害相对较小，但如果有必要，可以由行政主管部门来统一规范管理。

但在金融网贷平台个人信息保护层面，网贷、个贷发生侵犯个人信息的恶性事件偶有发生。据我了解，这里面更多的是一些小型公司引发，这些公司在发展过程中追求业绩急于求成，挖空心思寻找行政主管部门的监管漏洞，进而滥用个人信息实施一些骚扰和暴力催收之类的侵权。这类侵权，给公民个人带来的损害比较大、影响面也比较广，公民遭遇此类问题应当立即投诉或起诉。目前，公民在互联网上的投诉成本相对较低，效果也比较好，公民可以采取这类方法自我维权。

主管部门应建立机制限制商业搜集

伍洲奇：还有一些问题一直困扰着我们，例如借款人在向网贷平台借款时，私下把第三方个人通讯录复制给了网贷平台，网贷平台或委托催收公司可能会不断骚扰甚至威胁通讯录里的人，第三方的个人信息该如何保护?同时有些公司，一方面为央行等金融机构提供公民个人征信大数据服务，另一方面又将个人征信大数据交由旗下公司从事现金贷等业务，这种“既当裁判员又当运动员”的行为是否合适?

陈岱松：个人信息保护应当从多层面、立体性实现，单一层面保护的效果很难保障个人信息安全。很多场景下，例如公民在开设公司、婴儿出生、收寄快递时，难免要登记住址、电话等个人信息，往往随之而来的是铺天盖地的电话或短信轰炸，相信不少民众都碰到过这种情况，我呼吁公安机关要积极查处遏制此类行为。

对于金融网贷APP行业的个人信息保护，这个行业的行政主管部门应当健全管理机制，严格管理网贷平台搜集和使用人格信息。在个人信息保护法这样一个大法的基础上，行政主管部门可以建立“脱敏”机制、“遗忘”机制、防滥用机制等一系列机制，来保护公民的个人信息安全。例如，某用户已经不用这款APP，或者个人征信调整五年后，这些用户的个人信息就应当销毁。前面提到网贷平台未经同意就收集第三方个人信息，这应当被限制，更不用说去滥用骚扰第三方。而作为个人征信大数据供应商“既做裁判员又做运动员”的行为，显然不合法理。

对于个人信息安全保护，司法介入的力量是比较强大的，例如法院提供诉讼渠道，当然律师也可以行动起来。对于普通公民，投诉或起诉来处理个人信息安全问题，时间、精力成本都比较高，但拥有专业知识的律师们处理这些问题驾轻就熟。何况，律师积极帮助民众提起这类公益性诉讼很容易受到媒体关注，律师的知名度和美誉度也会因此得到提升，何乐而不为?

当然，媒体界更要加强个人信息保护的宣传报道，公益性诉讼报道非常值得关注。舆论导向呼吁公众提高自己的个人信息保护意识，能推动行政机关、司法机关、大数据企业等单位重视个人信息保护监管，引导整个社会向更良好、更健康的方向发展。

所以，从立法、行政、司法、行业治理、媒体监督等多个层面，形成个人信息全面保护体系，辅以“律师介入+媒体披露”公益性诉讼同盟，例如前面发言提到的京东白条“获取”授权涉嫌违法问题、征信大数据公司“既当裁判员又当运动员”问题和第三方个人信息被泄露滥用问题，都值得提起公益性诉讼，法院对此进行合法审查很有意义。

同时，根据企业投诉数量、诉讼数量、舆情指数等数据进行综合排名，进行行业内榜单排名，建立良好的市场导向，这也有助于加强对个人信息的有效保护。