量刑過輕震懾力有限

針對此次調查發現的問題,《報告》認為,盡管目前我國針對個人信息保護存在諸多法律規定,但基本都分散在效力層次不一的各種法律法規乃至規范性文件。因此建議,應盡快通過一部統一的個人信息保護法規,對相應法律進行系統化梳理和整合。

《報告》指出,盡管當前針對個人信息的非法獲取與利用的司法判決為數不少,但與個人信息泄露的普遍狀況相比,并不成比例。特別是個人信息泄露與電信詐騙等犯罪活動結合之后,造成了重大的損失和巨大的社會影響,亟需加大懲處力度,增加犯罪成本,以切實起到威懾作用。

“我們做了一個案例數據庫檢索,只找到相關的40多個案例的判決書。而在這其中,只有5個案例是判決侵犯個人信息的罪犯是超過一年,超過兩年的更是僅有兩個案例。這樣的比例也說明,我們刑法的量刑規定不是很高,在實踐中震懾力還比較有限。這同樣也印證了維權困難導致受侵害人維權意愿低下的觀點。”《報告》執筆人、中國青年政治學院互聯網法治研究中心執行主任劉曉春說。

中國青年政治學院副校長、互聯網法治研究中心主任,最高人民法院刑一庭副庭長林維認為,應建構統一的立法框架、加大司法打擊力度、確立順暢維權渠道。“把關注的焦點從事后的懲處轉移到事前的防范上來,從非法數據產業鏈的源頭堵住數據泄露的可能性,才有希望從根本上治愈這一頑疾,迎來個人信息保護的藍天。”

芝麻信用成實踐樣本

《報告》同時指出,實現健康市場秩序的具體模式,其構架可以通過建設“基礎法律規范、行業通用標準、企業最佳實踐”的架構來實現。

在此方面,劉曉春介紹,經過《報告》課題組專家調查研究,建議可根據芝麻信用等征信機構形成的實踐樣本,提高征信機構和數據信息行業的準入門檻,建立個人信息分類保護、全面落實用戶授權機制、嚴格規范內部管控流程、完善泄露危機應急預案,讓這個成為整個數據信息行業的通用標準。

例如,以手機app等軟件為例,芝麻信用等企業建立內部信息采集規范,只采集與評估用戶信用狀況有關的信息,而不采集用戶的聊天、通話等個人隱私信息,不得追蹤用戶在社交媒體上的言論信息。

同時,芝麻信用在合作伙伴的選擇上實行類似于“黑名單”制度,設立了外部輿情監測機制,一旦發現合作商戶存在信息泄露或違法違規采集/輸出用戶信息的情況時,會及時評估事件對用戶信息安全造成的風險或潛在威脅,甚至決定中止或終止與合作商戶的合作。

螞蟻金服副總裁、芝麻信用總經理胡滔在會上透露,芝麻信用已通過英國標準協會權威評估認證,成為國內首家獲得ISO27001:2013國際信息安全管理體系認證證書的征信機構。

“在信息安全管理方面,芝麻信用嚴格按照國際信息安全最佳實踐要求實施,即使投入成本,改變流程,也要盡最大努力保護用戶的個人信息和隱私安全,這也是我們對用戶的承諾。我們也希望,芝麻信用陽光公約的相關原則和做法,能成為更多同業的共識。”她說。