中国个人信息安全和隐私保护报告

Transcription

1 中国个人信息安全和隐私保护报告 Personal Information Security and Privacy Protection in China 中国青年政治学院互联网法治研究中心 CYU Internet Law Research Center 封面智库 Cover Institute 2016 年 11 月

2 1

3 目录 报告摘要 3 林维 : 个人信息治理应当注重事前防范胜于事后打击 4 傅蔚冈 : 以举证责任倒置破解个人信息保护难题 6 前言 8 一 侵犯公民个人信息犯罪及隐私侵害行为已成社会公害 9 二 百万数据调查 : 公民个人信息安全意识强, 但维权动力与能力有限 12 三 法律监管与维权现状 : 亟需统一立法, 加大司法惩处 21 四 用户信息安全相关行业标准和企业自律模式 以征信行业为例 29 五 结论 35 制作方简介 40 附录 41 2

4 报告摘要 我国信息化建设的推进和互联网应用的普及, 推动了社会大发展和新变革的同时, 也为个人信息安全带来了新挑战 侵犯公民个人信息犯罪以及因此滋生的电信 网络诈骗等下游违法犯罪行为已造成社会巨大损失, 严重影响社会安定, 成为社会公害 在执法部门投入大量社会资源进行的持续高压打击之下, 一系列大规模侵犯个人信息犯罪案件告破, 不法分子嚣张气焰得到遏制, 但仍呈现出屡打不绝的态势 要改变公民个人信息频遭泄露侵害的社会现实, 需要全方位建立个人信息安全的社会保障体系 : 对于公众, 需要进一步清晰个人信息泄露造成的危害 掌握有效防范技能并树立维权意识 ; 法制建设方面, 要改变现有个人信息保护法律法规过于分散的现实, 建议尽快制定统一 系统的 个人信息保护法, 为公民维权 打击犯罪提供便捷途径 ; 从司法实践来看, 应进一步强化打击的威慑力, 重点打击以侵害个人信息生利的黑色产业链 ; 从信息相关产业和市场的角度, 个人信息保护和合法使用, 需要通过市场机制 社会共治的模式, 充分发挥产业界技术优势和创新能力, 通过产业界的自律和他律, 促进健康有序的市场规范的形成, 通过包括市场手段在内的多种手段惩戒 共治违法违规者, 防止劣币驱逐良币的情况出现, 推动形成个人信息保护方面优胜劣汰的良性筛选机制 3

5 专家评述 个人信息治理应当注重事前防范胜于事后打击 林维中国青年政治学院副校长 互联网法治研究中心主任, 最高人民法院刑一庭副庭长 徐玉玉案 引发了全社会对个人信息泄露现状的高度关注和热议, 但是个人信息泄露和保护问题由来已久, 互联网的发展也使得个人信息的地下交易产业链更加隐蔽 难以追踪 目前, 针对个人信息泄露及其引发的电信诈骗等犯罪活动, 已经引起了公安部等部门的高度重视, 也投入了大量的金额和资源进行打击, 近期开展的打击整治网络侵犯公民个人信息犯罪专项行动也获得了明显的成效 但是, 事后的打击和惩处依然未能根除个人信息泄露和侵害现象, 民众对于自身个人信息泄露的感受依然普遍强烈, 并对维权途径所知甚少 维权效果信心不足 本次 中国个人信息安全和隐私保护报告 的撰写, 是基于 100 余万份问卷调查反馈的信息, 用大数据的方式展现了当下民众面对个人信息泄露现状的焦虑和无助 统计数据表明, 个人信息安全已成为社会普遍焦虑, 个人信息泄露引发的骚扰密度与社会经济和信息化发展程度成正比, 公民个人信息遭侵害程度触目惊心 而与这些相对应的, 是民众防范意识不强, 保护意识薄弱, 维权动力不足 对此, 立法 行政和司法机关的确应该当仁不让承担起治理乱象的重任 在梳理了立法 行政和司法实践现状之后, 报告建议建构统一立法框架 加大司法打击力度 确立顺畅维权渠道 法律制度上固然应当建立起一道坚实的保护壁垒, 但是, 鉴于个人信息泄露的复杂性和隐匿性, 把希望主要寄托在通过法律进行事后打击和治理, 恐怕并非治标之良策 个人信息侵害行为发现和查处难度明显大于传统犯罪, 导致事后惩 4

6 处无法产生足够的威慑力 因此, 应当把关注的焦点从事后的惩处转移到事前的防范上来, 从非法数据产业链的源头堵住数据泄露的可能性, 才有希望从根本上治愈这一顽疾, 迎来个人信息保护的蓝天 报告的后半部分主要关注产业界数据处理的规范构建, 正是这种事前防范思路的反映 在个人信息获取 存储 利用的合规化处理方面, 产业界相对于政府部门, 拥有更加专业化的技术能力, 也具有更强的规则体系建设的驱动力 报告创新性地提出建设 基础法律规范 行业通用标准 企业最佳实践 的治理构架, 并结合征信机构等行业企业的实践, 在符合法律法规最基本要求的基础上, 梳理并勾勒出丰富 细致 生动的产业实践, 呼吁设立行业标准, 确立企业最佳实践的模板, 推动企业以自律的方式承担起保护个人信息的社会责任, 在获取 存储 利用个人信息的各个环节, 都设立并贯彻严格的自律规范, 通过技术手段的提高和安全规则的完善, 截断非法泄露 滥用个人信息的源头, 从而建立起个人信息 合规利用的良性生态, 进而推动数据产业的健康 有序发展 Ω 5

7 专家评述 以举证责任倒置破解个人信息保护难题 傅蔚冈上海金融与法律研究院执行院长 个人信息安全已经成为当下中国社会最为关注的公共议题之一, 尤其是自今年震惊全国的 徐玉玉案 发生后 更让人惊讶的是公安部门在此事件之后发布的相关数据 2016 年 7 月 20 日, 公安部官网以 公安机关打击整治网络侵犯公民个人信息犯罪成效显著 为题报道了公安部门打击侵犯公民个人信息犯罪的努力 内容显示, 自 2012 年起, 公安部就多次部署全国各地公安机关开展集中打击侵犯公民个人信息犯罪行动且收获颇丰 最近一次是自今年 4 月起 为期半年的打击整治网络侵犯公民个人信息犯罪专项行动, 截至 7 月, 全国公安机关即累计查破刑事案件 750 余起, 抓获犯罪嫌疑人 1900 余名, 缴获信息 230 余亿条, 清理违法有害信息 35.2 万余条, 关停网站 栏目 610 余个 230 余亿条的信息固然让人惊讶, 但是也与公众的印象相差不远 被垃圾短信骚扰或者陌生电话推广, 几乎已经成了我们生活的日常 如何破解个人身份信息泄露的难题? 中国个人信息安全和隐私保护报告 系统梳理了当下中国个人信息安全问题, 并且提出了非常有针对性的建议, 并且从个人 市场与社会 ; 立法 执法和司法等多层次探讨了今后该努力的方向 毫无疑问, 这些建议非常有针对性 如果能得到落实, 那么个人信息安全将会大幅度得以改善 不过即便如此, 短期内个人身份信息泄露的状况要大幅度改善, 可能还是会有很大的难度 难度来自于举证责任 众所周知, 绝大多数的个人身份信息泄露并不属于刑事责任, 因此公安部门无法派遣大量的人力和资源来查办此类案件 事实上也 6

8 并不经济 在民事纠纷中, 要求让泄露个人信息的机构或这个人承担民事责任也是难于上青天, 因为它们会陷于法律上的举证责任难题, 因此到目前为止有关的诉讼大都以原告的败诉收场 正是由于刑事上无法立案, 民事上输于举证责任, 因此才酿就了 徐玉玉 的悲剧 可以想象, 这必定不是最后因为个人身份信息泄露的受害者 如何解决这个困境? 一个可行的举措是改变民事诉讼中的举证责任, 将目前的 谁主张谁举证 改为 举证责任倒置, 即不是由原告提供证据来证明被告以不恰当的方式获得了个人身份信息 ; 而是原告只要提供了被告联系其这一事实即可以被告非法获得身份信息为由提起民事诉讼, 被告需要承担提供其合法获得原告身份信息的证明 这样一来, 就会对哪些非法获得身份信息的机构和个人形成强烈的威慑效果 正如 中国个人信息安全和隐私保护报告 所言 : 由于个人信息获取 存储和利用的环节众多, 线下和线上传播具有隐蔽性和复杂性, 追本溯源成本很高, 发现 查处难度大, 处罚 赔偿力度小, 同时获利空间巨大, 执法现状为灰色产业链提供了巨大的投机空间 扭转这个乱象的关键之举就是举证责任倒置 因为现在个人身份信息的存储无处不在, 个人没有能力来约束那些获得其身份信息的机构和个人, 就必须通过举证责任倒置的方式, 让那些有能力获得他人身份信息的主体妥善保管他人信息, 也可以最大限度让所有的机构和个人只使用来自合法渠道获得的个人信息 不仅非法获取个人身份信息要承担责任, 使用非法获取的个人身份信息也要承担民事责任, 这样一来, 就可以在源头上切断非法个人信 息 Ω 7

9 前言 近年来, 侵犯公民个人信息及其所滋生的侵害事件不断发生, 扰乱了社会秩序, 给群众人身财产安全造成巨大威胁, 严重影响社会安定 震惊全国的 徐玉玉案 等一系列案件发生后, 个人信息安全已成为全社会的重大关切 为充分了解及评估全社会对于个人信息保护的关注点 关注程度和自身保护的能力, 中国青年政治学院互联网法治研究中心与封面智库于 2016 年 10 月联合发起 你的隐私泄露了吗? 个人信息保护情况调研 问卷调查, 共回收问卷 1,048,575 份 问卷回执样本分析显示, 个人信息安全所遭受的威胁已经引起了公众普遍重视, 但由于个人信息保护能力与常识 经验的缺乏, 不法之徒对公民的个人信息侵害行为仍有机可乘, 且因群众维权意识和动力不足, 维权能力有限, 个人信息保护仍处于危机时刻 本报告将对个人信息保护现状进行综合介绍, 对造成个人信息安全危机的原因和国家政策 法律法规层面的现行应对进行梳理, 并通过对 104 万 8575 份调查问卷回执样本的详细分析, 显示群众对个人信息安全的关切点和社会个体在应对信息泄露时的意识和行为模式, 并指出其将造成的结果和需要关注的重点方向 本报告还将从立法和司法实践角度阐述个人信息安全的法律监管和维权现状 由于个人信息是大数据产业的重要核心, 通过市场机制 社会共治实现个人信息安全 提升群众安全感也切实可行, 本报告将以征信行业和代表性企业为例, 详细说明行业和企业在个人信息保护中的先进模式和具体实践 8

10 一 侵犯公民个人信息犯罪及隐私侵害行为已成社会公害 我国信息化建设和大数据等信息产业的不断推进和发展, 带动了各项社会服务日趋高效 便捷, 群众生活水平持续提升, 幸福感和获得感不断增强 但与此同时, 信息的广泛应用以及人们对个人信息安全防范意识的薄弱, 也给犯罪分子实施犯罪提供了便利条件 目前, 我国刑法将出售 非法提供 非法获取公民个人信息的行为认定为侵犯个人信息犯罪行为 按照公安部发布的信息, 侵害公民个人信息犯罪引发的下游犯罪案件包括且不限于绑架拘禁 敲诈勒索 暴力追债 电信诈骗 网络诈骗 网络盗窃 非法调查等, 甚至有不法分子利用非法掌握的个人信息以胁迫手段介入婚姻纠纷 财产继承 债务纠纷等民事诉讼 由于公民个人信息泄露导致的骚扰电话和垃圾短信更是为群众所深恶痛绝 近年来, 侵犯公民个人信息犯罪持续高发, 其中以 徐玉玉被诈骗案 为代表的由于侵犯公民个人信息滋生的电信网络诈骗犯罪已给群众财产造成重大损失, 严重影响社会安定 在今年 8 月 19 日召开的打击跨国电信网络诈骗案件通报会上, 公安部刑侦局有关负责人介绍,2015 年我国电信诈骗发案 59.9 万起, 造成经济损失约 200 亿元 ; 仅 2016 年上半年, 电信诈骗发案就达 28.7 万起, 造成损失 80 余亿元 1 执法机关面对侵犯公民个人信息犯罪行为从未手软 实际上, 自 2012 年起, 公安部就多次部署全国各地公安机关开展集中打击侵犯公民个人信息犯罪行动且收获颇丰 最近一次是自今年 4 月起 为期半年的打击整治网络侵犯公民个人信息犯罪专项行动, 截至 7 月, 全国公安机即关累计查破刑事案件 750 余起, 1 公安部官网, 人民日报: 电信诈骗既要能打, 也要能防, 2016 年 9 月 21 日 9

11 抓获犯罪嫌疑人 1900 余名, 缴获信息 230 余亿条, 清理违法有害信息 35.2 万 余条, 关停网站 栏目 610 余个 2 但当前, 侵犯公民个人信息犯罪呈现了屡打不绝且日趋专业化 团伙化 产 业化的态势 在近日由公安部统一组织 25 省区市公安机关破获的一起特大侵犯 公民个人信息案中, 公安机关在一案中即抓获犯罪嫌疑人 201 名, 铲除信息泄 露源头 42 个, 摧毁 9 个涉案地域广 涉案人员多 信息数量 种类及涉案金额 大的侵犯公民个人信息犯罪团伙 侵害个人信息犯罪行为的猖獗, 引起了中央和国家的高度重视 近日, 公安 部 中央综治办 国家发展改革委 工信部等八部门联合发布 关于规范居民身 份证使用管理的公告, 要求国家机关或有关单位应当建立健全公民个人信息安 全管理制度, 对在履行职责或者提供服务过程中获得的居民身份证记载的公民个 人信息严格保密 对单位内部建立的公民个人信息存储系统, 要严格设定查询权 限, 严格控制知悉范围 ; 要强化技术防护措施, 严防信息泄露或被窃取 年 10 月 10 日至 11 日召开的全国社会治安综合治理创新工作会议上, 更是明确要求结合制定 个人信息保护条例, 加大信息源头保护力度, 完善公 安 教育 医疗 金融等重点行业信息安全保护体系 4 为进一步加强个人信息安全法律体系的建设, 于 11 月 1 日提请全国人大常 委会进行二次审议的民法总则草案中, 增加规定 : 自然人的个人信息受法律保 护 任何组织和个人不得非法收集 利用 加工 传输个人信息, 不得非法提供 公开或者出售个人信息 草案力图在对个人信息应用的源头和上游给予公民法 2 公安部官网, 公安机关打击整治网络侵犯公民个人信息犯罪成效显著,2016 年 7 月 20 日 3 人民公安报,2016 年 10 月 14 日 4 法制日报 2016 年 10 月 14 日 10

12 律保护 2016 年 11 月 7 日全国人大常委会通过的 网络安全法 在个人信息方面确立了重要的原则和规定, 从法律层面为更加完善而系统化的个人信息保护立法奠定了良好的基础 舆论认为, 要遏制侵犯个人信息犯罪行为, 务必须要国家法律体系的日趋缜密和执法力量的持续高压, 同时, 针对公民个体的普法教育和使公民切实提升个人信息安全防范意识也不可或缺 11

13 二 百万数据调查 : 公民个人信息安全意识强, 但维权动力与能力有限 为充分了解及评估公民对于个人信息保护的关注点 关注程度和自身保护的能力, 中国青年政治学院互联网法治研究中心与封面智库于 2016 年 10 月 24 日联合发起 你的隐私泄露了吗? 个人信息保护情况调研 问卷调查 覆盖全国各省 区 市, 共回收问卷 104 万 8575 份 通过对调研问卷回执的样本数据分析, 本报告认为, 当前人们对个人信息保护的社会现状安全感不高, 超七成参与调研者认为个人信息泄露安全问题严重 ; 民众遭受个人信息侵害程度高 ; 个人信息安全防范意识不强为侵害行为提供可乘之机, 半数参与调研者对于因证件复印和快递单造成的个人信息泄露无察觉, 超六成参与调研者在更换手机和手机号时存在信息泄露隐患 ; 个人信息侵害维权观念不强 常识不够 动力不足, 仅有 20% 的参与调研者在发现个人信息遭受侵犯时, 采取投诉 举报和报警等积极应对措施, 六成参与调研者不知如何维权, 近半数参与调研者认为维权困难 ( 一 ) 个人信息安全已成为社会普遍焦虑在全部问卷回执中, 针对 你觉得个人信息泄露问题严重吗 问题, 有 28% 的参与调研者认为 没有感觉,43% 的参与调研者认为 严重, 认为 非常严重 的参与调研者占比达 29%( 见图 1) 12

14 图 1: 参与调查人群对个人信息泄露问题的整体感受 图 2: 不同年龄段人群对于个人信息泄露问题的整体感受 在参与调研者的性别和年龄比例中, 对于上述问题的看法没有明显偏差 ( 见图 1 2), 这也可以说明, 对于个人信息安全的焦虑并非特定群体的主观性偏差, 具有社会普遍性 ( 二 ) 个人信息泄露引发的骚扰密度与社会经济和信息化发展程度成正比垃圾短信和骚扰电话是个人信息泄露所引发的电信骚扰及诈骗行为 参与调研者中,26% 每天收到 2 个以上的垃圾短信,20% 近一个月来每天收到 2 个以 上骚扰电话 ( 见图 3) 13

15 图 3: 参与调查人群对电信骚扰的反馈情况 图 4: 电信骚扰地区排行 在全国分布角度, 来自西藏 宁夏 新疆 青海 甘肃等省区的参与调研者收到垃圾短信最少, 来自上海 北京 重庆 江苏 天津等省市的参与调研者收到垃圾短信最多 ; 在骚扰电话方面, 最少的省区是黑龙江 新疆 西藏 吉林 宁夏, 最多的省市是上海 北京 江苏 安徽 浙江 ( 见图 4) 总体上看, 越是经济发达 社会网络化 信息化程度高的地区, 电信骚扰密度越高 ( 三 ) 公民个人信息遭侵害程度触目惊心本次调研所显示出的公民个人信息遭侵害程度令人触目惊心 问卷分析显示, 在遭遇个人信息侵害时, 多达 81% 的参与调研者经历过知道自己的姓名或单位等个人信息的陌生来电, 因网页搜索和浏览时泄露个人信息 的参与调研者占 53%, 经历邮箱 即时通讯 微博等网络账号密码被盗的参与 14

16 调研者占 40%, 因房屋租买 购车 考试和升学等信息泄露, 和因在网站留下个人电话和注册网络金融服务而遭遇各类骚扰和诈骗的参与调研者都在 30% 以上, 遭遇针对银行卡 信用卡和网络交易诈骗以及被 短信炮 拨死你 电信骚扰的参与调研者比例在 20% 以上, 被冒充公检法 税务机关的不法分子诈骗 恐吓的参与调研者比例达 19%, 明确知道个人和家庭信息被贩卖 泄露的参与调研者比例达 18%, 最少的数据比例即 个人隐私信息被网站公布 购买机票后收到航班异常的电话或短信诈骗信息 也达 9%( 见图 5) 图 5: 个人信息 隐私受侵害行为类型调查 ( 三 ) 民众防范意识不强为侵害行为提供可乘之机在日常生活中, 证件复印件 快递单和手机是泄露个人信息的重要载体 问卷调研显示, 由于对个人信息泄露渠道的不了解, 虽然大多数人意识到个人信息泄露的严重程度, 但相当高比例的人群并不知道如何防范个人信息侵害, 在使用个人信息的载体时疏忽大意或不知如何采取防范行动 15

17 图 6: 个人信息泄露隐患之线下渠道调查 调研中,55% 的参与调研者从不将证件复印件标明用途 ;47% 的参与调研 者经常将写有个人信息的快递单直接扔掉而不加处理 ( 图 6) 图 7: 个人信息泄露隐患之移动端渠道调查 在通过手机使用 Wi-Fi 时,34% 的参与调研者只希望确保手机在线, 而不会对免费 Wi-Fi 鉴别使用 ; 在收到陌生号码发来的短信时,26% 的参与调研者会点击短信中的可能产生侵害行为的网络链接 ( 图 7) 16

18 图 8: 个人信息泄露隐患行为调查之手机硬件方向 图 9: 个人信息泄露隐患行为调查之手机号码方向 在更换手机时, 更能确保个人信息安全的方法是将手机恢复出厂设置或格式化后, 再用无关内容将手机存储空间占满后再予处理, 但仅有 34% 的参与调研者选择了这一选项, 有 17% 的参与调研者选择将手机直接送人 ; 在手机换号时, 超过 27% 的参与调研者选择直接使用新号码, 而不对旧号码采取任何措施 ( 见图 9) ( 四 ) 个人信息侵害维权观念不强, 动力不足 17

19 调研显示, 在明确自身遭遇个人信息泄露并面临侵害时, 相当一部分人群抱有侥幸心态, 大部分人选择了较为被动的处理方式, 仅有少部分人采取了积极对抗行动 在解释未能维权的原因时, 半数以上的参与调研者因不知如何维权和没有发现经济损失而选择了沉默 图 10: 个人信息及隐私被侵犯时的对应手段 在被问到发现个人信息泄露会采取什么行动的问题时,71% 的参与调研者选择了掐断电话或不予理睬, 选择拉黑及拒接的比例为 63%; 仅有 20% 左右的参与调研者选择了举报 投诉 报警等积极应对措施 ( 图 10) 图 11: 个人信息及隐私被侵犯后未能维权原因 被问及被侵犯时没有维权的原因时,60% 的参与调研者表示不知道怎么维 权,56% 的参与调研者是因资金等个人利益未受损而放弃维权, 值得重视的是, 18

20 参与调研者中有高达 44% 的比例选择了因维权程序太复杂 成本太高而放弃维权, 另有 34% 的人是因缺少维权证据而无奈放弃 最为消极的是 维权成功也没有好处 选项, 也有 14% 的选择比例 ( 图 11) 值得关注的是, 当被问及是否 愿意提供个人信息以获得更便利的服务享受 时, 更多的人选择了 愿意 ( 图 12) 这也充分说明, 信息共享带来的便利是客观存在的, 多数人并不赞同为保护隐私而过分限制信息流动 19 图 12: 更多人选择为获得便利服务而提供个人信息 问卷调研的结果已可以清楚显示出当前公民个体对于个人信息保护的观念 行动及能力的基本面貌 : 尽管人们对于个人信息安全普遍焦虑, 遭受信息泄露侵害程度较高, 但由于对于个人信息保护的常识不足, 为不法分子留存了极大的侵害漏洞, 而公民对于个人信息维权观念的缺乏和动力的不足, 又客观上降低了不法分子违法犯罪行为的成本, 加剧了侵犯公民个人信息犯罪的可能性 值得关注的是, 国家在政策与法规层面不断强化 在司法层面不断加大对侵犯公民个人信息犯罪的打击力度, 但相当一部分社会个体在面对侵害时却保持了漠视甚至麻木的消极对应方式, 而并未操起法律的武器与涉及自身的违法犯罪行

21 为进行抗争 这一方面说明, 针对个人信息安全的普法力度仍需加大, 尤其是要 使公民清晰掌握维权技能 ; 另一方面也能够反映出个人信息安全维权的技术难度 与不成正比的维权收益, 使公民个体在维权中步履艰难 20

22 三 法律监管与维权现状 : 亟需统一立法, 加大司法惩处 ( 一 ) 立法述评 1. 个人信息保护尚无统一立法, 现有规定内容分散我国目前针对个人信息保护尚未形成统一的综合法律规范, 而是具体地规定在法律 行政法规 部门规章 地方性法规和规章 各类规范性文件等多层次 多领域的规范当中, 形成了一个内容分散 体系庞杂的个人信息保护模式 2. 网络安全法关于个人信息的规定 2016 年 11 月 7 日全国人大常委会通过的 网络安全法 在个人信息方面确立了重要的原则和规定, 从法律层面为更加完善而系统化的个人信息保护立法奠定了良好的基础 其中第七十六条规定 : 个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息, 包括但不限于自然人的姓名 出生日期 身份证号码 个人生物识别信息 住址 电话号码等 这是首次在法律层面上确立了一般意义上 个人信息 的概念, 为个人信息保护的体系化制度建设提供了起点 网络安全法 针对网络运营商收集 使用个人信息, 规定了应当遵循合法 正当 必要的原则, 公开收集 使用规则 ; 明示收集 使用信息的目的 方式和范围, 并规定公民对自己的个人信息在被使用过程中, 享有知情权 删除权 更正权 另一方面, 从促进产业发展的角度, 该法明确了禁止向他人提供个人信息的例外情形, 即如果是经过处理无法识别特定个人, 并且不能复原的信息可以合理使用, 这也是对国家鼓励和推动大数据产业发展政策的回应, 这一规定将进一步推动数据产业的发展 21

23 此外, 网络安全法 规定, 在我国境内运营中收集和产生的个人信息和重要数据应当在我国境内存储的原则, 并首次在法律层面明确了违反个人信息保护规则的行政责任 这些规定都体现了社会的最新诉求和行业的前沿实践, 对构建更加完整的我国个人信息保护制度具有非常重要的意义 3. 针对个人电子信息保护的综合规定全国人大常委会于 2012 年 12 月 28 日通过的 关于加强网络信息保护的决定, 针对 个人电子信息 的保护作出了较为系统的规定, 明确 个人电子信息 为 能够识别公民个人身份和涉及公民个人隐私的电子信息, 并对收集 使用 保存个人电子信息作出了系统性规范, 还规定了违反义务的主体需要承担相应的民事 行政和刑事责任 这个法律性质的文件为个人电子信息的保护确立了相对全面的保护, 也为其他领域的法律法规提供了可供参照的样板, 被认为是目前最为重要的个人信息保护规范之一 工业与信息化部的部门规章 电信和互联网用户个人信息保护规定, 专门针对电信业务经营者 互联网信息服务提供者规定了较为全面而系统的个人信息收集和使用规范 安全保障措施以及相应的法律责任, 也是一部重要的个人信息保护的专门规范 4. 经营者的个人信息保护责任 消费者权益保护法 第 29 条规定了经营者收集 使用消费者个人信息时需要遵循的原则和承担的义务, 即 应当遵循合法 正当 必要的原则, 明示收集 使用信息的目的 方式和范围, 并经消费者同意 经营者收集 使用消费者个人信息, 应当公开其收集 使用规则, 不得违反法律 法规的规定和双方的约定收集 使用信息 经营者违反这些义务, 需要承担民事责任和行政责任 这 22

24 些规定与 关于加强网络信息保护的决定 中确立的原则和规则保持一致, 对于消费者个人信息的保护及于线上和线下, 适用范围亦十分广泛 除了 消费者权益保护法 对消费者个人信息提供一般的保护之外, 特定行业的法律法规规章也对其经营者提出了保护个人信息的要求, 比如, 旅游法 规定, 旅游经营者对其在经营活动中知悉的旅游者个人信息, 应当予以保密 ; 征信业管理条例 系统而全面地规定了征信机构采集 整理 保存 加工个人信息的相应规范 ; 地图管理条例 规定了互联网地图服务单位在收集 使用 保存用户个人信息时需要承担的义务 ; 人民银行关于银行业金融机构做好个人信息保护工作的通知 针对金融机构的个人信息保护责任提出了系统化的要求 ; 在金融 大数据 电子商务 电信 交通 教育 医疗等众多领域, 都有相应的法规和规章来规定个人信息保护的内容 5. 行政机关及其工作人员的个人信息保护责任除了作为经营者的商家有可能获得消费者的个人信息之外, 个人在与政府机构打交道过程中也会涉及到大量个人信息 因此, 有多个法律法规针对行政机关及其工作人员规定了其保护个人信息的责任 居民身份证法 规定, 公安机关及其人民警察对因制作 发放 查验 扣押居民身份证而知悉的公民的个人信息, 应当予以保密 ; 国家机关的工作人员泄露在履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息, 需要承担民事 行政乃至刑事责任 护照法 对护照签发机关及其工作人员 出入境管理法 对履行出境入境管理职责的工作人员 社会保险法 对社会保险行政部门和其他有关行政部门 社会保险经办机构 社会保险费征收机构及其工作人员 统计法 对统计机构和统计人员, 都规定了类似的责任 23

25 6. 民事 行政 刑事责任根据目前的立法体系, 公民对其个人信息的保护, 虽然尚未在民法基础法律文件中明确其私权的地位, 但是已经在事实上作为 个人信息权 得到保护了, 任何人侵害个人信息的行为, 都会产生民事责任, 即被侵害方可以要求停止侵害 恢复名誉 消除影响 赔礼道歉, 并赔偿损失 ( 消费者权益保护法 第 50 条 ) 此外, 任何人侵害个人信息的行为, 还会面临行政责任 比如, 对网络服务提供者违反规定的, 依法给予警告 罚款 没收违法所得 吊销许可证或者取消备案 关闭网站 禁止有关责任人员从事网络服务业务等处罚, 记入社会信用档案并予以公布 ( 关于加强网络信息保护的决定 第 11 条 ) 侵害个人信息严重的, 有可能触犯刑法, 构成 侵犯个人信息罪 根据刑法第 253 条规定, 违反国家有关规定, 窃取或者以其他方法非法获取 向他人出售或者提供公民个人信息, 情节严重的, 处三年以下有期徒刑或者拘役, 并处或者单处罚金 ; 情节特别严重的, 处三年以上七年以下有期徒刑, 并处罚金 而违反国家有关规定, 将在履行职责或者提供服务过程中获得的公民个人信息, 出售或者提供给他人的, 从重处罚 7. 立法现状总结与建议尽管我国目前并没有统一的个人信息保护法, 但是并不能认为个人信息保护方面的法律法规有所欠缺, 恰恰相反, 通过一般性规范和具体规定相结合, 社会生活中包括线上和线下的绝大部分领域, 都已经有了个人信息保护的法律规范, 侵害个人信息需要承担民事 行政乃至刑事责任 只是这些规范在形式上过于分散, 对于普通民众和商家来说, 都难以形成直观的认知, 尽快通过一部统一的个人信息保护法, 对其进行系统化梳理和整合, 无论是从立法资源的节省 立法技 24

26 术的提高 规则体系的优化, 还是向民众普及个人信息法律保护的常识和意识来看, 都存在必要性和合理性 具体来说, 通过制定个人信息保护法, 在法律层面明确线上线下及跨境数据传输过程中的各类个人信息采集及使用的方式 范围及标准, 并严格规范各类数据采集及使用主体在信息处理方面的细则, 完善个人信息安全方面的保障要求与信息披露义务, 以及针对个人信息权层面的相关权益保障要求, 充分保障用户在信息层面的知情权 选择权 救济权 受尊重权及信息安全权在内的各项基础性权利 ( 二 ) 司法惩处力度仍须加大针对个人信息的非法获取与利用的司法判决为数不少, 但与个人信息泄露的普遍状况相比, 并不成比例 由于个人信息获取 存储和利用的环节众多, 线下和线上传播具有隐蔽性和复杂性, 追本溯源成本很高, 发现 查处难度大, 处罚 赔偿力度小, 同时获利空间巨大, 执法现状为灰色产业链提供了巨大的投机空间 特别是个人信息泄露与电信诈骗等犯罪活动结合之后, 造成了重大的损失和巨大的社会影响, 亟需加大惩处力度, 增加犯罪成本, 以切实起到威慑作用 1. 电信诈骗 : 个人信息泄露的恶果 2016 年 8 月山东考生徐玉玉被电信诈骗导致不幸离世的新闻事件, 使得社会对于电信诈骗以及相关的个人信息泄露问题的关注达到顶峰 徐玉玉轻信电话内容并进行汇款的主要原因之一, 就在于其申请助学金贷款的信息被流入骗子之手, 使其有机会进行 精准营销 实际上, 个人信息贩卖已成地下产业链, 从源头的个人信息非法采集 黑客侵入, 到非法出售 购买 转售, 再到非法利用, 个人信息获取 存储 利用的 25

27 各个环节, 都可能出现非法侵害的情况, 直接或间接地成为电信诈骗等恶性犯罪的温床, 都应当成为法律关注和惩处的对象 2. 侵犯个人信息罪案例 : 缺乏有效打击在司法实践中, 除了通过诈骗罪对电信诈骗人绳之以法之外, 针对单纯的非法获取或出售个人信息行为追究刑事责任的案例也不在少数 常见的非法获取途径绝大部分是通过互联网获取 购买, 内容包括电话号码 通话记录 交易订单 定位信息 身份证户籍资料 家庭地址等 但是, 针对非法出售个人信息的判决却并不多见, 由于刑法第 253 条之一规定非法出售或提供个人信息的主体限于 国家机关或者金融 电信 交通 教育 医疗等单位的工作人员, 实践中此类人员被定罪并不多见 有法院将出售小区业主个人信息房地产公司的工作人员也列为犯罪主体 5 单纯的侵犯个人信息罪的定罪量刑也较为轻微, 大多为一年以下有期徒刑或拘役并处罚金, 通常适用缓期执行 值得关注的是, 针对个人信息贩卖整个产业链展开的执法行动, 通常能够实现切实效果 例如今年五月公安部督办的 5 26 侵犯公民个人信息案, 打击了完整的黑色产业链, 由 号主 团伙 中间商 团伙 出单渠道 团伙 非法软件制作团伙 四层架构组成, 其中 号主 团伙源头来自银行内部人员 与引起巨大社会危害性的个人信息违法泄露和利用现状相比, 立法上看刑法针对侵犯个人信息罪的处罚较低, 执法上看, 从源头堵截个人信息泄露的行动已有展开, 但尚存不足, 对于已形成产业链的个人信息地下产业, 缺乏全面有效的打击和惩处措施 3. 个人维权困难 5 陈某某出卖其从业过程中掌握的公民信息构成出售公民个人信息罪案, 案号 :(2013) 吴江刑初字第 0670 号 26

28 我国个人信息保护立法体系中规定了侵害个人信息的民事 行政和刑事责任 与刑事案件相比, 民事案件的原告通常以侵害 隐私权 作为诉由, 但能成功胜诉并获得赔偿者寥寥无几 例如, 在消费者起诉移动通讯公司 机票预订平台等泄露个人信息的民事案件中, 法院认为, 被告并非掌握原告个人信息的唯一主体, 无法确认被告实施了泄露原告隐私信息的侵权行为, 亦即原告无法举证证明被告的泄露个人信息行为 6 除此之外, 即使在原告胜诉的案例中, 由于无法证明经济损失或仅能证明极少的经济损失, 原告可获得的赔偿金额很低 个人维权还有一种途径是通过向行政机关举报, 由工商行政管理部门等行政机关来进行查处 但是同样限于证据提供困难和个案的局限性, 行政处罚对于贩卖个人信息形成的黑色产业链也是收效甚微 凡此种种, 一方面无法对侵害人产生足够的遏制效果, 另一方面, 对于被侵害的个人信息持有者来说, 也很难有动力去投入大量的精力和成本进行维权 4. 司法实践现状总结与建议鉴于个人信息非法泄露与利用的普遍状况和严重危害性, 目前司法实践中, 无论是刑事处罚, 还是民事追责, 都存在着不成比例 无法匹配的现状 这与个人信息泄露本身的特殊性息息相关 从刑事打击上看, 一方面立法应当加重量刑, 增加威慑力 ; 另一方面, 执法行为应当向打击整个产业链倾斜, 从针对某些具体个人的个别获取行为, 转向对非法出售 提供 黑客侵入 贩售 软件设计等整个产业链的破获和打击, 才能起到治标治本的效果 从民事案件来看, 根据现有的举证责任难度, 对于技术复杂 环节众多的个人信息侵害行为, 个人维权往往只能望洋兴叹 而个体案件中如果没有造成严重 6 朱迎光等诉中国联合网络通信有限公司连云港分公司隐私权纠纷案, 案号 :(2014) 连民终字第 0006 号 ; 庞某诉趣拿公司 东方航空侵犯隐私权案, 案号 :(2015) 海民初字第 号 27

29 的损害, 个人也往往没有动力去展开成本颇高的个人维权行动 因此, 对于个人而言, 通过事后个案维权保护个人信息的机制, 成本过高而收效极低, 更为重要的是尽可能采取预防措施, 实现防患于未然 产业和社会也有责任向个人提供预防性 保护性技术措施, 在获取个人信息的源头尽可能支持个人获得保护自己个人信息的能力和知识 28

30 四 用户信息安全相关行业标准和企业自律模式 以征信行业为例 在大数据产业迅猛发展的浪潮中, 个人信息作为数据信息的核心内容, 面临着采集 存储 加工 使用各环节的规范化问题 这一命题是整个产业的问题, 也同样是全社会面临的问题 司法 行政部门的执法 监管, 应当作为个人信息保护的最后一道屏障而存在, 如若期望公权力全面彻底治理这一社会化的大问题, 并不合理, 亦不现实 个人信息保护和利用的问题, 需要通过市场机制 社会共治的模式, 通过产业界的自律和他律, 促进健康有序的市场规范的形成, 通过包括市场手段在内的多种手段惩戒 共治违法违规者, 防止劣币驱逐良币的情况出现, 推动形成个人信息保护方面优胜劣汰的良性筛选机制 市场上涉及个人信息处理的行业众多, 其中征信行业是以机构和个人信息作为其主营业务内容的机构 经过对于市场实践运作的调研和考察, 可以观察到目前征信行业在个人信息保护方面的法规相对完善, 明确规定了个人信息采集 处理 输出等方面的要求, 并构建了比较全面的用户权益保障措施 而规范化经营的征信机构在个人信息保护方面的实践也走在各行业的前沿, 具有很强的典型性和代表性 鉴于征信行业在个人信息处理和保护方面的典型意义和借鉴价值, 本报告选取征信机构为模板来考察个人信息保护机制, 对征信行业的多家机构进行了调研和访谈 其中, 征信指的是 对企业 事业单位等组织的信用信息和个人的信用信息进行采集 整理 保存 加工, 并向信息使用者提供的活动 征信机构是 依法设立的, 主要经营征信业务的机构 实现健康市场秩序的具体模式, 其构架可以通过建设 基础法律规范 行业通用标准 企业最佳实践 的架构来实现 接下来选取征信行业的实践为例, 进行具体展开 29

31 ( 一 ) 建立个人信息分类保护个人信息涉及到与识别个人身份相关各个方面的信息, 采集 存储 利用个人信息应当符合 目的明确原则 和 合法必要原则, 即范围应当仅及于业务所需之必要信息 以征信行业为例, 征信业管理条例 对于征信机构采集的个人信息, 设有禁止性和限制性两类 : 第一类禁止采集的包括 : 个人的宗教信仰 基因 指纹 血型 疾病和病史信息以及法律 行政法规规定禁止采集的其他个人信息 ; 第二类必须明确告知信息主体不良后果并取得其书面同意的信息包括 : 个人的收入 存款 有价证券 商业保险 不动产的信息和纳税数额信息 作为基础法律规范的规定, 征信机构都有必要严格执行, 建立技术上和管理上可行的机制, 不采集禁止性信息, 对于限制性信息应当自觉履行相应告知和同意获取程序 在此基础上可以发展出相应的行业标准, 约束征信机构的行为 实践中, 芝麻信用 华道征信等机构都遵照法律规定, 对禁止性信息和限制性信息分别建立内部制度规范, 使法律规则得以落地 此外, 在这两类敏感信息之外, 征信机构针对用户其他个人信息, 亦可基于其实践状况发展出其他自律规范, 形成企业最佳实践 例如以手机 app 等软件为例, 芝麻信用等企业建立内部信息采集规范, 只采集与评估用户信用状况有关的信息, 而不采集用户的聊天 通话等个人隐私信息, 不得追踪用户在社交媒体上的言论信息 ( 二 ) 全面落实用户授权机制包括 征信业管理条例 在内的众多法律法规都要求采集和利用个人信息需要经过信息主体的授权 但实践中由于存在个人信息利用的众多环节, 初始采集时的授权往往不能匹配后续各种利用环节, 因此法规中的原则性规定, 需要有细 30

32 化的行业标准和企业自律规范来加以落实 在征信数据利用过程中, 可能涉及到信息采集者 提供者 ( 其中包括采集者 ) 整理加工者 存储者以及查询者 使用者 授权通常发生在信息初始采集时, 但当后续使用需求与初始授权不匹配时, 需要使用者启用相应的核实授权机制重新授权 例如, 芝麻信用通过技术手段的持续开发, 让用户直接与征信机构发生授权交互确认, 保障授权的有效性 征信机构在与上下游行业展开合作时, 也可以通过建立相应的机制来确保授权的全面有效性 例如, 芝麻信用对于上游的信息提供者进行资质审核, 包括对其数据安全保护能力等方面进行评估, 只选择接入符合特定条件的信息提供机构 ; 华道征信在各项业务中对信息提供者进行合法性审查, 与个人信息提供者签署的合作协议中明确约定其信息采集 使用规则和义务, 如信息使用者必须对个人征信授权书中的重点内容进行了加黑 加粗处理, 以起到显著性提示的作用 对于下游的信息使用者, 征信机构也可以对商户在用户信息安全保障机制及能力等各方面情况进行尽职调查, 以评估是否与其合作, 从而尽可能确保用户信息输出到合作商户后的用户信息安全 企业在实践中还探索建立了各具特色的对于合作商户的监控和筛选机制 如芝麻信用在合作伙伴的选择上实行类似于 黑名单 制度, 设立了外部舆情监测机制, 一旦发现合作商户存在信息泄露或违法违规采集 / 输出用户信息的情况时, 会及时评估事件对用户信息安全造成的风险或潜在威胁, 甚至决定中止或终止与合作商户的合作 华道征信的同业征信服务系统建立了后台监测系统, 实时监测信息使用客户的查询行为, 对于疑似存在异常查询行为的客户及时进行重点监控, 要求该客户提交若干笔查询所对应的信息主体授权书, 必要时会安排现场调查 31

33 ( 三 ) 严格规范内部管控流程征信机构在存储和加工个人信息过程中, 承担着建立严格内部制度保障信息安全的法定义务 征信业管理条例 规定, 征信机构应当建立健全和严格执行保障信息安全的规章制度, 并采取有效技术措施保障信息安全 ; 应当对其工作人员查询个人信息的权限和程序作出明确规定, 对工作人员查询个人信息的情况进行登记, 如实记载查询工作人员的姓名, 查询的时间 内容及用途 工作人员不得违反规定的权限和程序查询信息, 不得泄露工作中获取的信息 法律的规定同样需要建立行业标准和企业内部管控制度, 来落到实处 在实践中, 芝麻信用 华道征信等机构建立了关于信息采集 加工 存储及使用等全数据生命周期的内部流程管控制度 芝麻信用内部流程管控制度及配套的权限管理系统包括根据信息的敏感程度不同进行相应的分级管理等 保证数据从采集开始直至输出, 任何数据的访问使用都有必须经过特定的审批流程并保留相关记录信息, 避免非必要的用户信息接触行为 此外, 机构持续根据业务实际情况, 不断对上述制度及技术实现进行优化完善, 以保证制度及流程的可执行性, 避免实际操作与信息安全保障要求相脱节的情况发生 华道征信成立了内部信息安全委员会, 制定了相关制度及规范, 细化了安全检查与审计管理制度 信息系统人员安全管理规定 信息安全培训和考核管理规定 信息系统安全事件报告和处置管理制度 应急预案管理流程等一系列安全管理制度等一系列信息安全管理制度, 明确了有关部门信息安全管理工作职能, 并对系统管理员 网络管理员 安全管理员 数据管理员等关键岗位制定了明确的职责分工 业务权限 操作规程, 对工作人员查询个人信息的情况进行登记, 确 32

34 保各项制度流程有效实施 实践中, 将个人信息进行匿名化处理, 是保护个人信息特定主体的重要手段 在征信机构的实践中, 出现了避免输出原始可识别身份信息的策略, 例如, 即使在用户授权的前提下向合作商户输出信息, 芝麻信用通常情况下不会直接输出用户的原始或明细信息, 或者传统信用报告, 而是经过加工后的信用标签或变量信息 这样的信息输出策略, 尽可能避免了输出用户明细或原始信息可能给用户造成的风险, 以及合作商户端万一发生信息泄露情况下, 尽量降低可能对用户信息安全造成的影响, 是值得称道和推广的业内重要实践 ( 四 ) 完善泄露危机应急预案尽管法律法规并没有对危机应对作出具体规定, 但是出于企业社会责任的需要, 征信机构在数据泄露应急处理方面亦有可为之处 实践中, 芝麻信用等机构建立了信息泄露应急处置预案, 并不定期进行应急演练, 从而保证在极端情况下发生信息泄露时, 可能顺序定位到信息泄露的原因及问题所在, 并在最短时间内进行处置与控制信息安全风险, 以争取将信息泄露风险控制在最低程度 通过信息泄露的应急演练, 征信机构可以不断就自己在信息安全保障方面存在潜在风险点进行不断识别 优化完善, 从而提高自身信息泄露风险防御能力及水平 华道征信通过网站综合监控管理平台实时监控外部攻击和风险, 定期开展漏洞扫描 挂马扫描 篡改扫描等安全监测工作 每年都邀请第三方安全机构进行专业风险评估, 对于发现的漏洞和风险问题在第一时间进行修补和解决, 有效降低受到外部攻击所导致的各种风险 从征信机构的行业实践来看, 在 基础法律规范 行业通用标准 企业最佳实践 的架构下, 尽管基础法律规范仅仅作出原则性和目标性的规定, 但是在环 33

35 节繁多 技术复杂的征信行业中, 要想真正将法律规范落到实处, 还需要建立全面 细致 依赖先进技术手段的行业标准和企业自律规范 通过行业主体的自律行为, 建构良好的个人信息处理规范, 并建立快速 准确的信息披露和评价机制, 使得违规者无处遁形, 避免劣币驱逐良币现象, 建设个人信息保护领域优胜劣汰的良性竞争环境 34

36 五 结论 互联网的发展带来社会变革的同时, 也为个人信息保护带来了巨大的挑战 本报告整理并总结了一百余万份调查问卷反馈数据, 并针对现有的立法体系 司法现状进行了梳理和总结, 探讨了个人信息保护存在的主要难点和障碍 最后, 本报告把关注的焦点投向以征信行业为代表的产业实践, 通过评估和总结具有代表性的企业自律规范, 提出通过 基础法律规范 行业通用标准 企业最佳实践 的治理架构, 来实现线上和线下的全方位 各环节共治, 针对个人信息保护问题实现既治标又治本的理想目标 ( 一 ) 个人信息泄露严重 侵害程度触目惊心根据一百余万份调查问卷的反馈数据, 目前个人信息侵害体现出明显的范围广 危害大的特征, 大部分受访人群都认为存在个人信息泄露的情况, 而由个人信息泄露导致的恶性犯罪行为亦在舆论中不绝于耳, 使得个人信息侵害成为一个普遍性的严重社会问题, 近年来的泄漏事件, 危害范围之广, 程度之深, 令人触目惊心, 而且存在愈演愈烈的发展趋势 ( 二 ) 自我保护意识缺乏 维权能力动力不足与个人信息泄露和侵害范围和危害程度恰成反比的, 是普通民众的自我保护认知 维权意识和维权能力都严重偏低, 对于自身个人信息的泄露途径 方式等缺乏基本知识, 在日常生活 消费中无意间为个人信息泄露大开方便之门 在个人信息受到侵害或者可能受到侵害时, 对维权行为意识淡薄, 动力不足, 能力低下 其中维权渠道缺乏 成本过高 难度过大 收益过小构成主要原因 因此, 一方面应当针对普通民众进行大规模的个人信息保护观念 知识宣传, 帮助其提高自我保护意识和能力, 从源头上对个人信息泄露进行防范 ; 另一方面, 对个人 35

37 信息侵害问题的治理, 很难主要依靠受侵害者通过个人维权的途径得到妥善解决, 而应当进行更加行之有效的制度和规则建设 ( 三 ) 采取统一立法模式 系统确立原则规则通过对于我国目前立法现状和司法实践的考察, 目前的法律框架和司法打击力度都存在改善的空间 从立法模式来看, 针对个人信息保护存在诸多法律规定, 但基本都分散在效力层次不一的各种法律法规乃至规范性文件 本报告认为, 应尽快通过一部统一的个人信息保护法规, 对相应法律进行系统化梳理和整合, 这无论是从立法资源的节省 立法技术的提高 规则体系的优化, 还是向民众普及个人信息法律保护的常识和意识来看, 都存在必要性和合理性 ( 四 ) 加大司法惩处力度 重点打击黑色产业针对个人信息侵害的司法打击尽管已经投入大量资源, 但是现有的司法投入仍然不能对个人信息侵害造成足够的威慑, 尤其是专门规定个人信息侵害行为的刑法条文量刑偏轻, 而单纯针对局部环节的个人信息侵害行为进行处罚, 仅能治标而无法触及根本 从源头堵截个人信息泄露的行动已有展开, 但尚存不足, 对于打着 大数据 之名而行非法数据利用之实的个人信息黑色产业链, 缺乏全面有效的打击和惩处措施 从民事诉讼来看, 由于个人信息侵害在技术上存在高度复杂性, 而且环节众多, 被侵害人在实践中极少有可能举证证明侵害行为究竟在哪个环节发生, 以及准确的侵害主体, 因此通过侵权诉讼来主张权利难度极大 这也同样印证了第一个结论中维权困难导致受侵害人维权意愿低下的观点 本报告建议, 在刑事打击领域, 一方面立法应当加重量刑, 增加威慑力 ; 另一方面, 执法行为应当向打击整个产业链倾斜, 从针对某些具体个人的个别获取行为, 转向对非法出售 提供 黑客侵入 贩售 软件设计等整个产业链的破获 36

38 和打击, 才能起到治标治本的效果 ( 五 ) 实现线上线下共治 促进合规产业发展个人信息侵害与保护, 作为一个影响宽泛的社会问题, 法律上的治理和打击应当作为最后一道屏障, 如果希望司法和行政机关来解决全部问题, 并不现实 对于个人信息侵害的治理, 更加根本的方法应当是采取防御性为主的模式, 通过线上和线下各环节的规范来堵住个人信息泄露的源头, 防患于未然 尽管互联网成为个人信息非法传播的主要途径之一, 但是个人信息泄露的某些重要环节并不一定全部在互联网上完成 从问卷反馈和实践调研数据看, 相当比例的个人信息采集源头是存在于现实生活中, 比如刑法条文中规制的金融 电信 交通 教育 医疗等单位, 以及线下物流快递等等渠道 因此, 个人信息侵害问题的治理, 并非单纯互联网问题, 而是需要线上与线下各个环节共同治理 对于采集 存储 处理 使用个人信息的企业而言, 应当首当其冲承担保护个人信息的社会责任, 在规范自身个人信息使用行为的同时, 也要尽可能向个人提供预防性 保护性技术措施, 在获取个人信息的源头尽可能支持个人获得保护自己个人信息的能力和知识 对于打着 大数据 旗号而行个人信息侵害之实的黑色产业链, 应当不遗余力予以打击, 但是与此同时, 对于获得了合法经营资格 严格守法自律的数据处理企业, 应当进行充分的肯定和鼓励, 并使普通民众和消费者对此获得充分了解 不能因为存在违法的数据黑色产业链就对数据行业 谈虎色变, 应当建立完善的市场信息和信誉机制, 为合法合规 严于自律的企业和机构确立正面声誉, 解决信息不对称问题, 将其与黑色产业链明确区隔开来, 从而避免劣币驱逐良币的恶性竞争, 促进数据产业的健康 良性 有序发展 37

39 ( 六 ) 确立行业通用标准 倡导最佳企业实践个人信息侵害治理面临着技术上 操作上 制度上的众多难题, 需要通过社会共同治理方能治标治本 在理想的社会共治体系中, 起到核心作用的还应当是从事个人信息处理的行业实践 考虑到个人信息发生泄漏后的涉及面较广, 产生的危害具有持续性等特点, 除建立相应的内外部管理规范外, 相应企业还应当不断强化技术安全防护能力, 以最新的技术手段筑造保护个人信息的铜墙铁壁 与此同时, 也建议具体的行业监管部门结合企业实践, 尽快出台相应行业部门规章, 细化规范信息采集 处理 及披露的具体标准, 推动行业标准的形成, 并鼓励形成并推广企业最佳实践模板 只有涉及到个人信息采集 存储 加工 使用等行为的企业真正洁身自好, 严格自律, 建设完整而细致的内部和外部管理规范, 才能真正破除个人信息侵害乱象, 净化个人信息保护空间 本报告以征信行业为例, 深入考察了征信行业保护个人信息的企业实践与典范, 倡导建立 基础法律规范 行业通用标准 企业最佳实践 的治理架构, 根据芝麻信用等征信机构形成的实践样本, 建立个人信息分类保护 全面落实用户授权机制 严格规范内部管控流程 完善泄露危机应急预案, 建议根据行业实践推动确立行业通用标准, 并推广企业最佳实践 本报告期望, 通过市场机制 社会共治的模式, 通过产业界的自律和他律, 促进健康有序的市场规范的形成, 通过包括市场手段 法律手段在内的多种方式惩戒 共治违法违规者, 防止劣币驱逐良币的情况出现, 推动形成个人信息保护方面优胜劣汰的良性筛选机制, 最终实现从根本上 源头上遏制个人信息侵害的治理目标 Ω 38

40 本报告由中国青年政治学院互联网法治研究中心执行主任刘晓春 封面智库首席研究员李萌执笔, 在撰写过程中得到了中国青年政治学院副校长 互联网法治研究中心主任林维, 上海金融与法律研究院执行院长傅蔚冈等专家协助, 在此一并致谢 39

41 中国个人信息安全和隐私保护报告 制作方简介 中国青年政治学院互联网法治研究中心 (CIL) 隶属于中国青年政治学院法学院, 致力于互联网法律和政策相关的前沿问题和基础理论研究, 研究团队涵盖互联网知识产权 平台责任 刑法 竞争法 行政法 电子证据等专业领域, 通过课题研究 产业调研 系列沙龙 开放论坛等方式与互联网理论与实务界展开合作, 为立法司法 政府决策 产业发展提供研究支撑, 立足于为互联网领域搭建沟通交流的平台, 促进产业界 理论界以及从事政策制定 执行 司法裁判的相关机构形成持续对话 良性互动和共同研究的长期机制 封面智库是封面传媒成立的思想库 封面智库立足北京, 是以 一带一路 和长江经济带战略发展为主题的综合研究平台, 是新媒体时态下的创新经济研究 服务平台, 集聚全球权威学者 政府官员的智库网络 封面智库依托封面新闻的舆论影响力和大数据资产积累, 致力于通过封面系列论坛打造高端品牌和政商影响力, 发布 一带一路投资指数报告 企业 走出去 舆情报告 互联网 + 及 工业 4.0 行业报告等综合性年度报告, 旗下拥有封面系列研究报告 封面系列论坛 封面思享 + 沙龙 智库专访 封面大讲堂 等品牌产品 40

42 附录 附录一 : 个人隐私信息泄露问卷数据分析图表附录二 : 个人信息安全和隐私保护相关法律法规附录三 : 侵犯公民个人信息刑事案件汇总 ( ) 附录四 : 侵犯公民个人信息民事案件汇总 ( ) 41

43 附录一 : 个人隐私信息泄露问卷数据分析图表 数据总样本量 :1,048,575 份 42

44 43

45 44

46 附录二 : 个人信息安全和隐私保护相关法律法规一 法律 1. 中华人民共和国网络安全法 (2016 年 11 月 7 日第十二届全国人民代表大会常务委员会第二十四次会议通过 ) 第一章总则第一条为了保障网络安全, 维护网络空间主权和国家安全 社会公共利益, 保护公民 法人和其他组织的合法权益, 促进经济社会信息化健康发展, 制定本法 第二条在中华人民共和国境内建设 运营 维护和使用网络, 以及网络安全的监督管理, 适用本法 第三条国家坚持网络安全与信息化发展并重, 遵循积极利用 科学发展 依法管理 确保安全的方针, 推进网络基础设施建设和互联互通, 鼓励网络技术创新和应用, 支持培养网络安全人才, 建立健全网络安全保障体系, 提高网络安全保护能力 第四条国家制定并不断完善网络安全战略, 明确保障网络安全的基本要求和主要目标, 提出重点领域的网络安全政策 工作任务和措施 第五条国家采取措施, 监测 防御 处置来源于中华人民共和国境内外的网络安全风险和威胁, 保护关键信息基础设施免受攻击 侵入 干扰和破坏, 依法惩治网络违法犯罪活动, 维护网络空间安全和秩序 第六条国家倡导诚实守信 健康文明的网络行为, 推动传播社会主义核心价值观, 采取措施提高全社会的网络安全意识和水平, 形成全社会共同参与促进网络安全的良好环境 第七条国家积极开展网络空间治理 网络技术研发和标准制定 打击网络违法犯罪等方面的国际交流与合作, 推动构建和平 安全 开放 合作的网络空间, 建立多边 民主 透明的网络治理体系 第八条国家网信部门负责统筹协调网络安全工作和相关监督管理工作 国务院电信主管部门 公安部门和其他有关机关依照本法和有关法律 行政法规的规定, 在各自职责范围内负责网络安全保护和监督管理工作 县级以上地方人民政府有关部门的网络安全保护和监督管理职责, 按照国家有关规定确定 第九条网络运营者开展经营和服务活动, 必须遵守法律 行政法规, 尊重社会公德, 遵守商业道德, 诚实信用, 履行网络安全保护义务, 接受政府和社会的监督, 承担社会责任 第十条建设 运营网络或者通过网络提供服务, 应当依照法律 行政法规的规定和国家标准的强制性要求, 采取技术措施和其他必要措施, 保障网络安全 稳定运行, 有效应对网络安全事件, 防范网络违法犯罪活动, 维护网络数据的完整性 保密性和可用性 第十一条网络相关行业组织按照章程, 加强行业自律, 制定网络安全行为规范, 指导会员加强网络安全保护, 提高网络安全保护水平, 促进行业健康发展 第十二条国家保护公民 法人和其他组织依法使用网络的权利, 促进网络接入普及, 提升网络服务水平, 为社会提供安全 便利的网络服务, 保障网络信息依法有序自由流动 任何个人和组织使用网络应当遵守宪法法律, 遵守公共秩序, 尊重社会公德, 不得危害网络安全, 不得利用网络从事危害国家安全 荣誉和利益, 煽动颠覆国家政权 推翻社 45

47 会主义制度, 煽动分裂国家 破坏国家统一, 宣扬恐怖主义 极端主义, 宣扬民族仇恨 民族歧视, 传播暴力 淫秽色情信息, 编造 传播虚假信息扰乱经济秩序和社会秩序, 以及侵害他人名誉 隐私 知识产权和其他合法权益等活动 第十三条国家支持研究开发有利于未成年人健康成长的网络产品和服务, 依法惩治利用网络从事危害未成年人身心健康的活动, 为未成年人提供安全 健康的网络环境 第十四条任何个人和组织有权对危害网络安全的行为向网信 电信 公安等部门举报 收到举报的部门应当及时依法作出处理 ; 不属于本部门职责的, 应当及时移送有权处理的部门 有关部门应当对举报人的相关信息予以保密, 保护举报人的合法权益 第二章网络安全支持与促进第十五条国家建立和完善网络安全标准体系 国务院标准化行政主管部门和国务院其他有关部门根据各自的职责, 组织制定并适时修订有关网络安全管理以及网络产品 服务和运行安全的国家标准 行业标准 国家支持企业 研究机构 高等学校 网络相关行业组织参与网络安全国家标准 行业标准的制定 第十六条国务院和省 自治区 直辖市人民政府应当统筹规划, 加大投入, 扶持重点网络安全技术产业和项目, 支持网络安全技术的研究开发和应用, 推广安全可信的网络产品和服务, 保护网络技术知识产权, 支持企业 研究机构和高等学校等参与国家网络安全技术创新项目 第十七条国家推进网络安全社会化服务体系建设, 鼓励有关企业 机构开展网络安全认证 检测和风险评估等安全服务 第十八条国家鼓励开发网络数据安全保护和利用技术, 促进公共数据资源开放, 推动技术创新和经济社会发展 国家支持创新网络安全管理方式, 运用网络新技术, 提升网络安全保护水平 第十九条各级人民政府及其有关部门应当组织开展经常性的网络安全宣传教育, 并指导 督促有关单位做好网络安全宣传教育工作 大众传播媒介应当有针对性地面向社会进行网络安全宣传教育 第二十条国家支持企业和高等学校 职业学校等教育培训机构开展网络安全相关教育与培训, 采取多种方式培养网络安全人才, 促进网络安全人才交流 第三章网络运行安全第一节一般规定第二十一条国家实行网络安全等级保护制度 网络运营者应当按照网络安全等级保护制度的要求, 履行下列安全保护义务, 保障网络免受干扰 破坏或者未经授权的访问, 防止网络数据泄露或者被窃取 篡改 : ( 一 ) 制定内部安全管理制度和操作规程, 确定网络安全负责人, 落实网络安全保护责任 ; ( 二 ) 采取防范计算机病毒和网络攻击 网络侵入等危害网络安全行为的技术措施 ; ( 三 ) 采取监测 记录网络运行状态 网络安全事件的技术措施, 并按照规定留存相关的网络日志不少于六个月 ; ( 四 ) 采取数据分类 重要数据备份和加密等措施 ; ( 五 ) 法律 行政法规规定的其他义务 第二十二条网络产品 服务应当符合相关国家标准的强制性要求 网络产品 服务 46

48 的提供者不得设置恶意程序 ; 发现其网络产品 服务存在安全缺陷 漏洞等风险时, 应当立即采取补救措施, 按照规定及时告知用户并向有关主管部门报告 网络产品 服务的提供者应当为其产品 服务持续提供安全维护 ; 在规定或者当事人约定的期限内, 不得终止提供安全维护 网络产品 服务具有收集用户信息功能的, 其提供者应当向用户明示并取得同意 ; 涉及用户个人信息的, 还应当遵守本法和有关法律 行政法规关于个人信息保护的规定 第二十三条网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求, 由具备资格的机构安全认证合格或者安全检测符合要求后, 方可销售或者提供 国家网信部门会同国务院有关部门制定 公布网络关键设备和网络安全专用产品目录, 并推动安全认证和安全检测结果互认, 避免重复认证 检测 第二十四条网络运营者为用户办理网络接入 域名注册服务, 办理固定电话 移动电话等入网手续, 或者为用户提供信息发布 即时通讯等服务, 在与用户签订协议或者确认提供服务时, 应当要求用户提供真实身份信息 用户不提供真实身份信息的, 网络运营者不得为其提供相关服务 国家实施网络可信身份战略, 支持研究开发安全 方便的电子身份认证技术, 推动不同电子身份认证之间的互认 第二十五条网络运营者应当制定网络安全事件应急预案, 及时处置系统漏洞 计算机病毒 网络攻击 网络侵入等安全风险 ; 在发生危害网络安全的事件时, 立即启动应急预案, 采取相应的补救措施, 并按照规定向有关主管部门报告 第二十六条开展网络安全认证 检测 风险评估等活动, 向社会发布系统漏洞 计算机病毒 网络攻击 网络侵入等网络安全信息, 应当遵守国家有关规定 第二十七条任何个人和组织不得从事非法侵入他人网络 干扰他人网络正常功能 窃取网络数据等危害网络安全的活动 ; 不得提供专门用于从事侵入网络 干扰网络正常功能及防护措施 窃取网络数据等危害网络安全活动的程序 工具 ; 明知他人从事危害网络安全的活动的, 不得为其提供技术支持 广告推广 支付结算等帮助 第二十八条网络运营者应当为公安机关 国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助 第二十九条国家支持网络运营者之间在网络安全信息收集 分析 通报和应急处置等方面进行合作, 提高网络运营者的安全保障能力 有关行业组织建立健全本行业的网络安全保护规范和协作机制, 加强对网络安全风险的分析评估, 定期向会员进行风险警示, 支持 协助会员应对网络安全风险 第三十条网信部门和有关部门在履行网络安全保护职责中获取的信息, 只能用于维护网络安全的需要, 不得用于其他用途 第二节关键信息基础设施的运行安全第三十一条国家对公共通信和信息服务 能源 交通 水利 金融 公共服务 电子政务等重要行业和领域, 以及其他一旦遭到破坏 丧失功能或者数据泄露, 可能严重危害国家安全 国计民生 公共利益的关键信息基础设施, 在网络安全等级保护制度的基础上, 实行重点保护 关键信息基础设施的具体范围和安全保护办法由国务院制定 国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系 第三十二条按照国务院规定的职责分工, 负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业 本领域的关键信息基础设施安全规划, 指导和监督关键信息基础设施运行安全保护工作 第三十三条建设关键信息基础设施应当确保其具有支持业务稳定 持续运行的性能, 并保证安全技术措施同步规划 同步建设 同步使用 47

49 第三十四条除本法第二十一条的规定外, 关键信息基础设施的运营者还应当履行下列安全保护义务 : ( 一 ) 设置专门安全管理机构和安全管理负责人, 并对该负责人和关键岗位的人员进行安全背景审查 ; ( 二 ) 定期对从业人员进行网络安全教育 技术培训和技能考核 ; ( 三 ) 对重要系统和数据库进行容灾备份 ; ( 四 ) 制定网络安全事件应急预案, 并定期进行演练 ; ( 五 ) 法律 行政法规规定的其他义务 第三十五条关键信息基础设施的运营者采购网络产品和服务, 可能影响国家安全的, 应当通过国家网信部门会同国务院有关部门组织的国家安全审查 第三十六条关键信息基础设施的运营者采购网络产品和服务, 应当按照规定与提供者签订安全保密协议, 明确安全和保密义务与责任 第三十七条关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储 因业务需要, 确需向境外提供的, 应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估 ; 法律 行政法规另有规定的, 依照其规定 第三十八条关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估, 并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门 第三十九条国家网信部门应当统筹协调有关部门对关键信息基础设施的安全保护采取下列措施 : ( 一 ) 对关键信息基础设施的安全风险进行抽查检测, 提出改进措施, 必要时可以委托网络安全服务机构对网络存在的安全风险进行检测评估 ; ( 二 ) 定期组织关键信息基础设施的运营者进行网络安全应急演练, 提高应对网络安全事件的水平和协同配合能力 ; ( 三 ) 促进有关部门 关键信息基础设施的运营者以及有关研究机构 网络安全服务机构等之间的网络安全信息共享 ; ( 四 ) 对网络安全事件的应急处置与网络功能的恢复等, 提供技术支持和协助 第四章网络信息安全第四十条网络运营者应当对其收集的用户信息严格保密, 并建立健全用户信息保护制度 第四十一条网络运营者收集 使用个人信息, 应当遵循合法 正当 必要的原则, 公开收集 使用规则, 明示收集 使用信息的目的 方式和范围, 并经被收集者同意 网络运营者不得收集与其提供的服务无关的个人信息, 不得违反法律 行政法规的规定和双方的约定收集 使用个人信息, 并应当依照法律 行政法规的规定和与用户的约定, 处理其保存的个人信息 第四十二条网络运营者不得泄露 篡改 毁损其收集的个人信息 ; 未经被收集者同意, 不得向他人提供个人信息 但是, 经过处理无法识别特定个人且不能复原的除外 网络运营者应当采取技术措施和其他必要措施, 确保其收集的个人信息安全, 防止信息泄露 毁损 丢失 在发生或者可能发生个人信息泄露 毁损 丢失的情况时, 应当立即采取补救措施, 按照规定及时告知用户并向有关主管部门报告 第四十三条个人发现网络运营者违反法律 行政法规的规定或者双方的约定收集 使用其个人信息的, 有权要求网络运营者删除其个人信息 ; 发现网络运营者收集 存储的 48

50 其个人信息有错误的, 有权要求网络运营者予以更正 网络运营者应当采取措施予以删除或者更正 第四十四条任何个人和组织不得窃取或者以其他非法方式获取个人信息, 不得非法出售或者非法向他人提供个人信息 第四十五条依法负有网络安全监督管理职责的部门及其工作人员, 必须对在履行职责中知悉的个人信息 隐私和商业秘密严格保密, 不得泄露 出售或者非法向他人提供 第四十六条任何个人和组织应当对其使用网络的行为负责, 不得设立用于实施诈骗, 传授犯罪方法, 制作或者销售违禁物品 管制物品等违法犯罪活动的网站 通讯群组, 不得利用网络发布涉及实施诈骗, 制作或者销售违禁物品 管制物品以及其他违法犯罪活动的信息 第四十七条网络运营者应当加强对其用户发布的信息的管理, 发现法律 行政法规禁止发布或者传输的信息的, 应当立即停止传输该信息, 采取消除等处置措施, 防止信息扩散, 保存有关记录, 并向有关主管部门报告 第四十八条任何个人和组织发送的电子信息 提供的应用软件, 不得设置恶意程序, 不得含有法律 行政法规禁止发布或者传输的信息 电子信息发送服务提供者和应用软件下载服务提供者, 应当履行安全管理义务, 知道其用户有前款规定行为的, 应当停止提供服务, 采取消除等处置措施, 保存有关记录, 并向有关主管部门报告 第四十九条网络运营者应当建立网络信息安全投诉 举报制度, 公布投诉 举报方式等信息, 及时受理并处理有关网络信息安全的投诉和举报 网络运营者对网信部门和有关部门依法实施的监督检查, 应当予以配合 第五十条国家网信部门和有关部门依法履行网络信息安全监督管理职责, 发现法律 行政法规禁止发布或者传输的信息的, 应当要求网络运营者停止传输, 采取消除等处置措施, 保存有关记录 ; 对来源于中华人民共和国境外的上述信息, 应当通知有关机构采取技术措施和其他必要措施阻断传播 第五章监测预警与应急处置第五十一条国家建立网络安全监测预警和信息通报制度 国家网信部门应当统筹协调有关部门加强网络安全信息收集 分析和通报工作, 按照规定统一发布网络安全监测预警信息 第五十二条负责关键信息基础设施安全保护工作的部门, 应当建立健全本行业 本领域的网络安全监测预警和信息通报制度, 并按照规定报送网络安全监测预警信息 第五十三条国家网信部门协调有关部门建立健全网络安全风险评估和应急工作机制, 制定网络安全事件应急预案, 并定期组织演练 负责关键信息基础设施安全保护工作的部门应当制定本行业 本领域的网络安全事件应急预案, 并定期组织演练 网络安全事件应急预案应当按照事件发生后的危害程度 影响范围等因素对网络安全事件进行分级, 并规定相应的应急处置措施 第五十四条网络安全事件发生的风险增大时, 省级以上人民政府有关部门应当按照规定的权限和程序, 并根据网络安全风险的特点和可能造成的危害, 采取下列措施 : ( 一 ) 要求有关部门 机构和人员及时收集 报告有关信息, 加强对网络安全风险的监测 ; ( 二 ) 组织有关部门 机构和专业人员, 对网络安全风险信息进行分析评估, 预测事件发生的可能性 影响范围和危害程度 ; 49

51 ( 三 ) 向社会发布网络安全风险预警, 发布避免 减轻危害的措施 第五十五条发生网络安全事件, 应当立即启动网络安全事件应急预案, 对网络安全事件进行调查和评估, 要求网络运营者采取技术措施和其他必要措施, 消除安全隐患, 防止危害扩大, 并及时向社会发布与公众有关的警示信息 第五十六条省级以上人民政府有关部门在履行网络安全监督管理职责中, 发现网络存在较大安全风险或者发生安全事件的, 可以按照规定的权限和程序对该网络的运营者的法定代表人或者主要负责人进行约谈 网络运营者应当按照要求采取措施, 进行整改, 消除隐患 第五十七条因网络安全事件, 发生突发事件或者生产安全事故的, 应当依照 中华人民共和国突发事件应对法 中华人民共和国安全生产法 等有关法律 行政法规的规定处置 第五十八条因维护国家安全和社会公共秩序, 处置重大突发社会安全事件的需要, 经国务院决定或者批准, 可以在特定区域对网络通信采取限制等临时措施 第六章法律责任第五十九条网络运营者不履行本法第二十一条 第二十五条规定的网络安全保护义务的, 由有关主管部门责令改正, 给予警告 ; 拒不改正或者导致危害网络安全等后果的, 处一万元以上十万元以下罚款, 对直接负责的主管人员处五千元以上五万元以下罚款 关键信息基础设施的运营者不履行本法第三十三条 第三十四条 第三十六条 第三十八条规定的网络安全保护义务的, 由有关主管部门责令改正, 给予警告 ; 拒不改正或者导致危害网络安全等后果的, 处十万元以上一百万元以下罚款, 对直接负责的主管人员处一万元以上十万元以下罚款 第六十条违反本法第二十二条第一款 第二款和第四十八条第一款规定, 有下列行为之一的, 由有关主管部门责令改正, 给予警告 ; 拒不改正或者导致危害网络安全等后果的, 处五万元以上五十万元以下罚款, 对直接负责的主管人员处一万元以上十万元以下罚款 : ( 一 ) 设置恶意程序的 ; ( 二 ) 对其产品 服务存在的安全缺陷 漏洞等风险未立即采取补救措施, 或者未按照规定及时告知用户并向有关主管部门报告的 ; ( 三 ) 擅自终止为其产品 服务提供安全维护的 第六十一条网络运营者违反本法第二十四条第一款规定, 未要求用户提供真实身份信息, 或者对不提供真实身份信息的用户提供相关服务的, 由有关主管部门责令改正 ; 拒不改正或者情节严重的, 处五万元以上五十万元以下罚款, 并可以由有关主管部门责令暂停相关业务 停业整顿 关闭网站 吊销相关业务许可证或者吊销营业执照, 对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款 第六十二条违反本法第二十六条规定, 开展网络安全认证 检测 风险评估等活动, 或者向社会发布系统漏洞 计算机病毒 网络攻击 网络侵入等网络安全信息的, 由有关主管部门责令改正, 给予警告 ; 拒不改正或者情节严重的, 处一万元以上十万元以下罚款, 并可以由有关主管部门责令暂停相关业务 停业整顿 关闭网站 吊销相关业务许可证或者吊销营业执照, 对直接负责的主管人员和其他直接责任人员处五千元以上五万元以下罚款 第六十三条违反本法第二十七条规定, 从事危害网络安全的活动, 或者提供专门用于从事危害网络安全活动的程序 工具, 或者为他人从事危害网络安全的活动提供技术支持 广告推广 支付结算等帮助, 尚不构成犯罪的, 由公安机关没收违法所得, 处五日以 50

52 下拘留, 可以并处五万元以上五十万元以下罚款 ; 情节较重的, 处五日以上十五日以下拘留, 可以并处十万元以上一百万元以下罚款 单位有前款行为的, 由公安机关没收违法所得, 处十万元以上一百万元以下罚款, 并对直接负责的主管人员和其他直接责任人员依照前款规定处罚 违反本法第二十七条规定, 受到治安管理处罚的人员, 五年内不得从事网络安全管理和网络运营关键岗位的工作 ; 受到刑事处罚的人员, 终身不得从事网络安全管理和网络运营关键岗位的工作 第六十四条网络运营者 网络产品或者服务的提供者违反本法第二十二条第三款 第四十一条至第四十三条规定, 侵害个人信息依法得到保护的权利的, 由有关主管部门责令改正, 可以根据情节单处或者并处警告 没收违法所得 处违法所得一倍以上十倍以下罚款, 没有违法所得的, 处一百万元以下罚款, 对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款 ; 情节严重的, 并可以责令暂停相关业务 停业整顿 关闭网站 吊销相关业务许可证或者吊销营业执照 违反本法第四十四条规定, 窃取或者以其他非法方式获取 非法出售或者非法向他人提供个人信息, 尚不构成犯罪的, 由公安机关没收违法所得, 并处违法所得一倍以上十倍以下罚款, 没有违法所得的, 处一百万元以下罚款 第六十五条关键信息基础设施的运营者违反本法第三十五条规定, 使用未经安全审查或者安全审查未通过的网络产品或者服务的, 由有关主管部门责令停止使用, 处采购金额一倍以上十倍以下罚款 ; 对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款 第六十六条关键信息基础设施的运营者违反本法第三十七条规定, 在境外存储网络数据, 或者向境外提供网络数据的, 由有关主管部门责令改正, 给予警告, 没收违法所得, 处五万元以上五十万元以下罚款, 并可以责令暂停相关业务 停业整顿 关闭网站 吊销相关业务许可证或者吊销营业执照 ; 对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款 第六十七条违反本法第四十六条规定, 设立用于实施违法犯罪活动的网站 通讯群组, 或者利用网络发布涉及实施违法犯罪活动的信息, 尚不构成犯罪的, 由公安机关处五日以下拘留, 可以并处一万元以上十万元以下罚款 ; 情节较重的, 处五日以上十五日以下拘留, 可以并处五万元以上五十万元以下罚款 关闭用于实施违法犯罪活动的网站 通讯群组 单位有前款行为的, 由公安机关处十万元以上五十万元以下罚款, 并对直接负责的主管人员和其他直接责任人员依照前款规定处罚 第六十八条网络运营者违反本法第四十七条规定, 对法律 行政法规禁止发布或者传输的信息未停止传输 采取消除等处置措施 保存有关记录的, 由有关主管部门责令改正, 给予警告, 没收违法所得 ; 拒不改正或者情节严重的, 处十万元以上五十万元以下罚款, 并可以责令暂停相关业务 停业整顿 关闭网站 吊销相关业务许可证或者吊销营业执照, 对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款 电子信息发送服务提供者 应用软件下载服务提供者, 不履行本法第四十八条第二款规定的安全管理义务的, 依照前款规定处罚 第六十九条网络运营者违反本法规定, 有下列行为之一的, 由有关主管部门责令改正 ; 拒不改正或者情节严重的, 处五万元以上五十万元以下罚款, 对直接负责的主管人员和其他直接责任人员, 处一万元以上十万元以下罚款 : ( 一 ) 不按照有关部门的要求对法律 行政法规禁止发布或者传输的信息, 采取停止传输 消除等处置措施的 ; 51

53 ( 二 ) 拒绝 阻碍有关部门依法实施的监督检查的 ; ( 三 ) 拒不向公安机关 国家安全机关提供技术支持和协助的 第七十条发布或者传输本法第十二条第二款和其他法律 行政法规禁止发布或者传输的信息的, 依照有关法律 行政法规的规定处罚 第七十一条有本法规定的违法行为的, 依照有关法律 行政法规的规定记入信用档案, 并予以公示 第七十二条国家机关政务网络的运营者不履行本法规定的网络安全保护义务的, 由其上级机关或者有关机关责令改正 ; 对直接负责的主管人员和其他直接责任人员依法给予处分 第七十三条网信部门和有关部门违反本法第三十条规定, 将在履行网络安全保护职责中获取的信息用于其他用途的, 对直接负责的主管人员和其他直接责任人员依法给予处分 网信部门和有关部门的工作人员玩忽职守 滥用职权 徇私舞弊, 尚不构成犯罪的, 依法给予处分 第七十四条违反本法规定, 给他人造成损害的, 依法承担民事责任 违反本法规定, 构成违反治安管理行为的, 依法给予治安管理处罚 ; 构成犯罪的, 依法追究刑事责任 第七十五条境外的机构 组织 个人从事攻击 侵入 干扰 破坏等危害中华人民共和国的关键信息基础设施的活动, 造成严重后果的, 依法追究法律责任 ; 国务院公安部门和有关部门并可以决定对该机构 组织 个人采取冻结财产或者其他必要的制裁措施 第七章附则第七十六条本法下列用语的含义 : ( 一 ) 网络, 是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集 存储 传输 交换 处理的系统 ( 二 ) 网络安全, 是指通过采取必要措施, 防范对网络的攻击 侵入 干扰 破坏和非法使用以及意外事故, 使网络处于稳定可靠运行的状态, 以及保障网络数据的完整性 保密性 可用性的能力 ( 三 ) 网络运营者, 是指网络的所有者 管理者和网络服务提供者 ( 四 ) 网络数据, 是指通过网络收集 存储 传输 处理和产生的各种电子数据 ( 五 ) 个人信息, 是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息, 包括但不限于自然人的姓名 出生日期 身份证件号码 个人生物识别信息 住址 电话号码等 第七十七条存储 处理涉及国家秘密信息的网络的运行安全保护, 除应当遵守本法外, 还应当遵守保密法律 行政法规的规定 第七十八条军事网络的安全保护, 由中央军事委员会另行规定 第七十九条本法自 2017 年 6 月 1 日起施行 2. 全国人大常委会关于加强网络信息保护的决定 (2012 年 12 月 28 日第十一届全国人民代表大会常务委员会第三十次会议通过 ) 为了保护网络信息安全, 保障公民 法人和其他组织的合法权益, 维护国家安全和社 会公共利益, 特作如下决定 : 52

54 一 国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息 任何组织和个人不得窃取或者以其他非法方式获取公民个人电子信息, 不得出售或者非法向他人提供公民个人电子信息 二 网络服务提供者和其他企业事业单位在业务活动中收集 使用公民个人电子信息, 应当遵循合法 正当 必要的原则, 明示收集 使用信息的目的 方式和范围, 并经被收集者同意, 不得违反法律 法规的规定和双方的约定收集 使用信息 网络服务提供者和其他企业事业单位收集 使用公民个人电子信息, 应当公开其收集 使用规则 三 网络服务提供者和其他企业事业单位及其工作人员对在业务活动中收集的公民个人电子信息必须严格保密, 不得泄露 篡改 毁损, 不得出售或者非法向他人提供 四 网络服务提供者和其他企业事业单位应当采取技术措施和其他必要措施, 确保信息安全, 防止在业务活动中收集的公民个人电子信息泄露 毁损 丢失 在发生或者可能发生信息泄露 毁损 丢失的情况时, 应当立即采取补救措施 五 网络服务提供者应当加强对其用户发布的信息的管理, 发现法律 法规禁止发布或者传输的信息的, 应当立即停止传输该信息, 采取消除等处置措施, 保存有关记录, 并向有关主管部门报告 六 网络服务提供者为用户办理网站接入服务, 办理固定电话 移动电话等入网手续, 或者为用户提供信息发布服务, 应当在与用户签订协议或者确认提供服务时, 要求用户提供真实身份信息 七 任何组织和个人未经电子信息接收者同意或者请求, 或者电子信息接收者明确表示拒绝的, 不得向其固定电话 移动电话或者个人电子邮箱发送商业性电子信息 八 公民发现泄露个人身份 散布个人隐私等侵害其合法权益的网络信息, 或者受到商业性电子信息侵扰的, 有权要求网络服务提供者删除有关信息或者采取其他必要措施予以制止 九 任何组织和个人对窃取或者以其他非法方式获取 出售或者非法向他人提供公民个人电子信息的违法犯罪行为以及其他网络信息违法犯罪行为, 有权向有关主管部门举报 控告 ; 接到举报 控告的部门应当依法及时处理 被侵权人可以依法提起诉讼 十 有关主管部门应当在各自职权范围内依法履行职责, 采取技术措施和其他必要措施, 防范 制止和查处窃取或者以其他非法方式获取 出售或者非法向他人提供公民个人电子信息的违法犯罪行为以及其他网络信息违法犯罪行为 有关主管部门依法履行职责时, 网络服务提供者应当予以配合, 提供技术支持 国家机关及其工作人员对在履行职责中知悉的公民个人电子信息应当予以保密, 不得泄露 篡改 毁损, 不得出售或者非法向他人提供 十一 对有违反本决定行为的, 依法给予警告 罚款 没收违法所得 吊销许可证或者取消备案 关闭网站 禁止有关责任人员从事网络服务业务等处罚, 记入社会信用档案并予以公布 ; 构成违反治安管理行为的, 依法给予治安管理处罚 构成犯罪的, 依法追究刑事责任 侵害他人民事权益的, 依法承担民事责任 十二 本决定自公布之日起施行 3. 民法通则 第一百二十条公民的姓名权 肖像权 名誉权 荣誉权受到侵害的, 有权要求停止损 害 恢复名誉 消除影响 赔礼道歉 并可以要求赔偿损失 53

55 4. 侵权责任法 第二条侵害民事权益, 应当依照本法承担侵权责任 本法所称民事权益, 包括生命权 健康权 姓名权 名誉权 荣誉权 肖像权 隐私权 婚姻自主权 监护权 所有权 用益物权 担保物权 著作权 专利权 商标专用权 发现权 股权 继承权等人身 财产权益 第二十条侵害他人人身权益造成财产损失的, 按照被侵权人因此受到的损失赔偿 ; 被侵权人的损失难以确定, 侵权人因此获得利益的, 按照其获得的利益赔偿 ; 侵权人因此获得的利益难以确定, 被侵权人和侵权人就赔偿数额协商不一致, 向人民法院提起诉讼的, 由人民法院根据实际情况确定赔偿数额 第二十二条侵害他人人身权益, 造成他人严重精神损害的, 被侵权人可以请求精神损害赔偿 第三十六条网络用户 网络服务提供者利用网络侵害他人民事权益的, 应当承担侵权责任 网络用户利用网络服务实施侵权行为的, 被侵权人有权通知网络服务提供者采取删除 屏蔽 断开链接等必要措施 网络服务提供者接到通知后未及时采取必要措施的, 对损害的扩大部分与该网络用户承担连带责任 网络服务提供者知道网络用户利用其网络服务侵害他人民事权益, 未采取必要措施的, 与该网络用户承担连带责任 5. 治安管理处罚法 第四十二条有下列行为之一的, 处五日以下拘留或者五百元以下罚款 ; 情节较重的, 处五日以上十日以下拘留, 可以并处五百元以下罚款 : ( 五 ) 多次发送淫秽 侮辱 恐吓或其他信息, 干扰他人正常生活的 ; ( 六 ) 偷窥 偷拍 窃取 散布他人隐私的 6. 消费者权益保护法 第十四条消费者在购买 使用商品和接受服务时, 享有人格尊严 民族风俗习惯得到尊重的权利, 享有个人信息依法得到保护的权利 第二十九条经营者收集 使用消费者个人信息, 应当遵循合法 正当 必要的原则, 明示收集 使用信息的目的 方式和范围, 并经消费者同意 经营者收集 使用消费者个人信息, 应当公开其收集 使用规则, 不得违反法律 法规的规定和双方的约定收集 使用信息 经营者及其工作人员对收集的消费者个人信息必须严格保密, 不得泄露 出售或者非法向他人提供 经营者应当采取技术措施和其他必要措施, 确保信息安全, 防止消费者个人信息泄露 丢失 在发生或者可能发生信息泄露 丢失的情况时, 应当立即采取补救措施 经营者未经消费者同意或者请求, 或者消费者明确表示拒绝的, 不得向其发送商业性信息 第五十条经营者侵害消费者的人格尊严 侵犯消费者人身自由或者侵害消费者个人信 54

56 息依法得到保护的权利的, 应当停止侵害 恢复名誉 消除影响 赔礼道歉, 并赔偿损失 第四十四条消费者通过网络交易平台购买商品或者接受服务, 其合法权益受到侵害的, 可以向销售者或者服务者要求赔偿 网络交易平台提供者不能提供销售者或服务者的真实名称 地址和有效联系方式的, 消费者也可以向网络交易平台提供者要求赔偿 ; 网络交易平台提供者作出更有利于消费者的承诺的, 应当履行承诺 网络交易平台经营者赔偿后, 有权向销售者或者服务者追偿 网络交易平台提供者明知或者应知销售者或者服务者利用其平台侵害消费者合法权益, 未采取必要措施的, 依法与该销售者或者服务者承担连带责任 第五十六条经营者有下列情形之一, 除承担相应的民事责任外, 其他有关法律 法规对处罚机关和处罚方式有规定的, 依照法律 法规的规定执行 ; 法律 法规未作规定的, 由工商行政管理部门或者其他有关行政部门责令改正, 可以根据情节单处或并处警告 没收违法所得 处以违法所得一倍以上十倍以下的罚款, 没有违法所得, 处以五十万元以下的罚款 ; 情节严重的, 责令停业整顿 吊销营业执照 : ( 九 ) 侵害消费者人格尊严 侵犯消费者人身自由或者侵害消费者个人信息依法得到保护的权利的 7. 旅游法 第五十二条旅游经营者对其在经营活动中知悉的旅游者个人信息, 应当予以保密 第八十六条第二款监督检查人员对在监督检查中知悉的被检查单位的商业秘密和个人 信息应当依法保密 8. 出入境管理法 第八十五条履行出境入境管理职责的工作人员, 有下列行为之一的, 依法给予处分 : ( 三 ) 泄露在出境入境管理工作中知悉的个人信息, 侵害当事人合法权益的 ; 9. 居民身份证法 第六条第三款公安机关及其人民警察对因制作 发放 查验 扣押居民身份证而知悉的公民的个人信息, 应当予以保密 第十三条第二款有关单位及其工作人员对履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息, 应当予以保密 第十九条国家机关或者金融 电信 交通 教育 医疗等单位的工作人员泄露在履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息, 构成犯罪的, 依法追究刑事责任 ; 尚不构成犯罪的, 由公安机关处十日以上十五日以下拘留, 并处五千元罚款, 有违法所得的, 没收违法所得 单位有前款行为, 构成犯罪的, 依法追究刑事责任 ; 尚不构成犯罪的, 由公安机关对其直接负责的主管人员和其他直接责任人员, 处十日以上十五日以下拘留, 并处十万元以上五十万元以下罚款, 有违法所得的, 没收违法所得 55

57 有前两款行为, 对他人造成损害的, 依法承担民事责任 第二十条人民警察有下列行为之一的, 根据情节轻重, 依法给予行政处分 ; 构成犯罪的, 依法追究刑事责任 : ( 五 ) 泄露因制作 发放 查验 扣押居民身份证而知悉的公民个人信息, 侵害公民合法权益的 10. 护照法 第十二条第三款护照签发机关及其工作人员对因制作 签发护照而知悉的公民个人信息, 应当予以保密 第二十条护照签发机关工作人员在办理护照过程中有下列行为之一的, 依法给予行政处分 ; 构成犯罪的, 依法追究刑事责任 : ( 五 ) 泄露因制作 签发护照而知悉的公民个人信息, 侵害公民合法权益的 ; 11. 社会保险法 第九十二条社会保险行政部门和其他有关行政部门 社会保险经办机构 社会保险费 征收机构及其工作人员泄露用人单位和个人信息的, 对直接负责的主管人员和其他直接责 任人员依法给予处分 ; 给用人单位或者个人造成损失的, 应当承担赔偿责任 12. 统计法 第九条统计机构和统计人员对在统计工作中知悉的国家秘密 商业秘密和个人信息, 应当予以保密 第三十九条县级以上人民政府统计机构或者有关部门有下列行为之一的, 对直接负责的主管人员和其他直接责任人员由任免机关或者监察机关依法给予处分 : ( 二 ) 泄露统计调查对象的商业秘密 个人信息或者提供 泄露在统计调查中获得的能够识别或者推断单个统计调查对象身份的资料的 ; 13. 刑法 第二百五十三条 侵犯公民个人信息罪 违反国家有关规定, 向他人出售或者提供公民个人信息, 情节严重的, 处三年以下有期徒刑或者拘役, 并处或者单处罚金 ; 情节特别严重的, 处三年以上七年以下有期徒刑, 并处罚金 违反国家有关规定, 将在履行职责或者提供服务过程中获得的公民个人信息, 出售或者提供给他人的, 依照前款规定从重处罚 窃取或者以其他方法非法获取公民个人信息的, 依照第一款的规定处罚 56

58 单位犯前三款罪的, 对单位判处罚金, 并对其直接负责的主管人员和其他直接责任人员, 依照各该款的规定处罚 第二百八十七条 帮助网络犯罪活动罪 明知他人利用信息网络实施犯罪, 为其犯罪提供互联网接入 服务器托管 网络存储 通讯传输等技术支持, 或者提供广告推广 支付结算等帮助, 情节严重的, 处三年以下有期徒刑或者拘役, 并处或者单处罚金 单位犯前款罪的, 对单位判处罚金, 并对其直接负责的主管人员和其他直接责任人员, 依照第一款的规定处罚 有前两款行为, 同时构成其他犯罪的, 依照处罚较重的规定定罪处罚 二 行政法规 征信业管理条例 第十五条征信机构应当依法收集个人 法人及其他组织的信息, 不得通过欺诈 窃取 贿赂 利诱 胁迫或其他不正当手段收集信息 第十六条除下列信息外, 征信机构收集 保存 加工个人信息应当直接取得信息主体的同意 : ( 一 ) 行政机关 司法机关以及法律 法规授权的具有管理公共事务职能的组织已经依法公开的信息 ; ( 二 ) 其他已经依法公开的个人信息 第十九条征信机构应当向信息主体本人或经其授权的个人 法人及其他组织提供信息主体的信用信息, 但法律规定可以不经同意提供个人信息, 法律 行政法规规定可以不经同意提供法人及其他组织信息的除外 第二十条金融机构基于模型开发 系统测试等目的使用或对外提供个人 法人及其他组织信息的, 可以不经信息主体的同意, 但所使用或提供的信息不得包含个人姓名 公民身份证号码 手机号码 住宅电话 企业名称 住址及其他可以识别信息主体身份的信息 第三十六条下列个人信息, 征信机构不得收集 : ( 一 ) 民族 家庭出身 宗教信仰 所属党派 ; ( 二 ) 身体形态 基因 指纹 血型 疾病和病史 ; ( 三 ) 收入数额 存款 有价证券 不动产 ; ( 四 ) 纳税数额 ; ( 五 ) 法律 行政法规禁止收集的其他信息 在明确告知信息主体提供该信息可能产生的不利后果, 并取得信息主体特别书面授权后, 征信机构可以收集第 ( 三 ) 项 第 ( 四 ) 项信息 第三十八条信息使用人获得的信用信息不能用作与信息主体或征信机构约定之外的其他用途, 不得未经授权向第三方提供 第六十条信用信息使用者违反本条例第三十八条的规定, 对信息主体造成损害的, 应承担赔偿责任 三 部门规章 57

59 1. 互联网电子公告服务管理规定 ( 原信产部 ) 第十二条电子公告服务提供者应当对上网用户的个人信息保密, 未经上网用户同意不 得向他人泄露, 但法律另有规定的除外 2. 电信和互联网用户个人信息保护规定 ( 工信部 ) 第一章总则第一条为了保护电信和互联网用户的合法权益, 维护网络信息安全, 根据 全国人民代表大会常务委员会关于加强网络信息保护的决定 中华人民共和国电信条例 和 互联网信息服务管理办法 等法律 行政法规, 制定本规定 第二条在中华人民共和国境内提供电信服务和互联网信息服务过程中收集 使用用户个人信息的活动, 适用本规定 第三条工业和信息化部和各省 自治区 直辖市通信管理局 ( 以下统称电信管理机构 ) 依法对电信和互联网用户个人信息保护工作实施监督管理 第四条本规定所称用户个人信息, 是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名 出生日期 身份证件号码 住址 电话号码 账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间 地点等信息 第五条电信业务经营者 互联网信息服务提供者在提供服务的过程中收集 使用用户个人信息, 应当遵循合法 正当 必要的原则 第六条电信业务经营者 互联网信息服务提供者对其在提供服务过程中收集 使用的用户个人信息的安全负责 第七条国家鼓励电信和互联网行业开展用户个人信息保护自律工作 第二章信息收集和使用规范第八条电信业务经营者 互联网信息服务提供者应当制定用户个人信息收集 使用规则, 并在其经营或者服务场所 网站等予以公布 第九条未经用户同意, 电信业务经营者 互联网信息服务提供者不得收集 使用用户个人信息 电信业务经营者 互联网信息服务提供者收集 使用用户个人信息的, 应当明确告知用户收集 使用信息的目的 方式和范围, 查询 更正信息的渠道以及拒绝提供信息的后果等事项 电信业务经营者 互联网信息服务提供者不得收集其提供服务所必需以外的用户个人信息或者将信息用于提供服务之外的目的, 不得以欺骗 误导或者强迫等方式或者违反法律 行政法规以及双方的约定收集 使用信息 电信业务经营者 互联网信息服务提供者在用户终止使用电信服务或者互联网信息服务后, 应当停止对用户个人信息的收集和使用, 并为用户提供注销号码或者账号的服务 法律 行政法规对本条第一款至第四款规定的情形另有规定的, 从其规定 第十条电信业务经营者 互联网信息服务提供者及其工作人员对在提供服务过程中收集 使用的用户个人信息应当严格保密, 不得泄露 篡改或者毁损, 不得出售或者非法向他人提供 58

60 第十一条电信业务经营者 互联网信息服务提供者委托他人代理市场销售和技术服务等直接面向用户的服务性工作, 涉及收集 使用用户个人信息的, 应当对代理人的用户个人信息保护工作进行监督和管理, 不得委托不符合本规定有关用户个人信息保护要求的代理人代办相关服务 第十二条电信业务经营者 互联网信息服务提供者应当建立用户投诉处理机制, 公布有效的联系方式, 接受与用户个人信息保护有关的投诉, 并自接到投诉之日起十五日内答复投诉人 第三章安全保障措施第十三条电信业务经营者 互联网信息服务提供者应当采取以下措施防止用户个人信息泄露 毁损 篡改或者丢失 : ( 一 ) 确定各部门 岗位和分支机构的用户个人信息安全管理责任 ; ( 二 ) 建立用户个人信息收集 使用及其相关活动的工作流程和安全管理制度 ; ( 三 ) 对工作人员及代理人实行权限管理, 对批量导出 复制 销毁信息实行审查, 并采取防泄密措施 ; ( 四 ) 妥善保管记录用户个人信息的纸介质 光介质 电磁介质等载体, 并采取相应的安全储存措施 ; ( 五 ) 对储存用户个人信息的信息系统实行接入审查, 并采取防入侵 防病毒等措施 ; ( 六 ) 记录对用户个人信息进行操作的人员 时间 地点 事项等信息 ; ( 七 ) 按照电信管理机构的规定开展通信网络安全防护工作 ; ( 八 ) 电信管理机构规定的其他必要措施 第十四条电信业务经营者 互联网信息服务提供者保管的用户个人信息发生或者可能发生泄露 毁损 丢失的, 应当立即采取补救措施 ; 造成或者可能造成严重后果的, 应当立即向准予其许可或者备案的电信管理机构报告, 配合相关部门进行的调查处理 电信管理机构应当对报告或者发现的可能违反本规定的行为的影响进行评估 ; 影响特别重大的, 相关省 自治区 直辖市通信管理局应当向工业和信息化部报告 电信管理机构在依据本规定作出处理决定前, 可以要求电信业务经营者和互联网信息服务提供者暂停有关行为, 电信业务经营者和互联网信息服务提供者应当执行 第十五条电信业务经营者 互联网信息服务提供者应当对其工作人员进行用户个人信息保护相关知识 技能和安全责任培训 第十六条电信业务经营者 互联网信息服务提供者应当对用户个人信息保护情况每年至少进行一次自查, 记录自查情况, 及时消除自查中发现的安全隐患 第四章监督检查第十七条电信管理机构应当对电信业务经营者 互联网信息服务提供者保护用户个人信息的情况实施监督检查 电信管理机构实施监督检查时, 可以要求电信业务经营者 互联网信息服务提供者提供相关材料, 进入其生产经营场所调查情况, 电信业务经营者 互联网信息服务提供者应当予以配合 电信管理机构实施监督检查, 应当记录监督检查的情况, 不得妨碍电信业务经营者 互联网信息服务提供者正常的经营或者服务活动, 不得收取任何费用 第十八条电信管理机构及其工作人员对在履行职责中知悉的用户个人信息应当予以 59

61 保密, 不得泄露 篡改或者毁损, 不得出售或者非法向他人提供 第十九条电信管理机构实施电信业务经营许可及经营许可证年检时, 应当对用户个人信息保护情况进行审查 第二十条电信管理机构应当将电信业务经营者 互联网信息服务提供者违反本规定的行为记入其社会信用档案并予以公布 第二十一条鼓励电信和互联网行业协会依法制定有关用户个人信息保护的自律性管理制度, 引导会员加强自律管理, 提高用户个人信息保护水平 第五章法律责任第二十二条电信业务经营者 互联网信息服务提供者违反本规定第八条 第十二条规定的, 由电信管理机构依据职权责令限期改正, 予以警告, 可以并处一万元以下的罚款 第二十三条电信业务经营者 互联网信息服务提供者违反本规定第九条至第十一条 第十三条至第十六条 第十七条第二款规定的, 由电信管理机构依据职权责令限期改正, 予以警告, 可以并处一万元以上三万元以下的罚款, 向社会公告 ; 构成犯罪的, 依法追究刑事责任 第二十四条电信管理机构工作人员在对用户个人信息保护工作实施监督管理的过程中玩忽职守 滥用职权 徇私舞弊的, 依法给予处理 ; 构成犯罪的, 依法追究刑事责任 第六章附则 第二十五条本规定自 2013 年 9 月 1 日起施行 3. 网络交易管理办法 ( 国家工商总局 ) 第十八条网络商品经营者 有关服务经营者在经营活动中收集 使用消费者或者经营者信息, 应当遵循合法 正当 必要的原则, 明示收集 使用信息的目的 方式和范围, 并经被收集者同意 网络商品经营者 有关服务经营者收集 使用消费者或者经营者信息, 应当公开其收集 使用规则, 不得违反法律 法规的规定和双方的约定收集 使用信息 网络商品经营者 有关服务经营者及其工作人员对收集的消费者个人信息或者经营者商业秘密的数据信息必须严格保密, 不得泄露 出售或者非法向他人提供 网络商品经营者 有关服务经营者应当采取技术措施和其他必要措施, 确保信息安全, 防止信息泄露 丢失 在发生或者可能发生信息泄露 丢失的情况时, 应当立即采取补救措施 网络商品经营者 有关服务经营者未经消费者同意或者请求, 或者消费者明确表示拒绝的, 不得向其发送商业性电子信息 4. 个人信用信息基础数据库管理暂行办法 ( 中国人民银行 ) 第一章总则第一条为维护金融稳定, 防范和降低商业银行的信用风险, 促进个人信贷业务的发展, 保障个人信用信息的安全和合法使用, 根据 中华人民共和国中国人民银行法 等有关法律规定, 制定本办法 第二条中国人民银行负责组织商业银行建立个人信用信息基础数据库 ( 以下简称个人 60

62 信用数据库 ), 并负责设立征信服务中心, 承担个人信用数据库的日常运行和管理 第三条个人信用数据库采集 整理 保存个人信用信息, 为商业银行和个人提供信用报告查询服务, 为货币政策制定 金融监管和法律 法规规定的其他用途提供有关信息服务 第四条本办法所称个人信用信息包括个人基本信息 个人信贷交易信息以及反映个人信用状况的其他信息 前款所称个人基本信息是指自然人身份识别信息 职业和居住地址等信息 ; 个人信贷交易信息是指商业银行提供的自然人在个人贷款 贷记卡 准贷记卡 担保等信用活动中形成的交易记录 ; 反映个人信用状况的其他信息是指除信贷交易信息之外的反映个人信用状况的相关信息 第五条中国人民银行 商业银行及其工作人员应当为在工作中知悉的个人信用信息保密 第二章报送和整理第六条商业银行应当遵守中国人民银行发布的个人信用数据库标准及其有关要求, 准确 完整 及时地向个人信用数据库报送个人信用信息 第七条商业银行不得向未经信贷征信主管部门批准建立或变相建立的个人信用信息基础数据库提供个人信用信息 第八条征信服务中心应当建立完善的规章制度和采取先进的技术手段确保个人信用信息安全 第九条征信服务中心根据生成信用报告的需要, 对商业银行报送的个人信用信息进行客观整理 保存, 不得擅自更改原始数据 第十条征信服务中心认为有关商业银行报送的信息可疑时, 应当按有关规定的程序及时向该商业银行发出复核通知 商业银行应当在收到复核通知之日起 5 个工作日内给予答复 第十一条商业银行发现其所报送的个人信用信息不准确时, 应当及时报告征信服务中心, 征信服务中心收到纠错报告应当立即进行更正 第三章查询第十二条商业银行办理下列业务, 可以向个人信用数据库查询个人信用报告 : ( 一 ) 审核个人贷款申请的 ; ( 二 ) 审核个人贷记卡 准贷记卡申请的 ; ( 三 ) 审核个人作为担保人的 ; ( 四 ) 对已发放的个人信贷进行贷后风险管理的 ; ( 五 ) 受理法人或其他组织的贷款申请或其作为担保人, 需要查询其法定代表人及出资人信用状况的 第十三条除本办法第十二条第 ( 四 ) 项规定之外, 商业银行查询个人信用报告时应当取得被查询人的书面授权 书面授权可以通过在贷款 贷记卡 准贷记卡以及担保申请书中增加相应条款取得 第十四条商业银行应当制定贷后风险管理查询个人信用报告的内部授权制度和查询管理程序 第十五条征信服务中心可以根据个人申请有偿提供其本人信用报告 征信服务中心应当制定相应的处理程序, 核实申请人身份 61

63 第四章异议处理第十六条个人认为本人信用报告中的信用信息存在错误 ( 以下简称异议信息 ) 时, 可以通过所在地中国人民银行征信管理部门或直接向征信服务中心提出书面异议申请 中国人民银行征信管理部门应当在收到异议申请的 2 个工作日内将异议申请转交征信服务中心 第十七条征信服务中心应当在接到异议申请的 2 个工作日内进行内部核查 征信服务中心发现异议信息是由于个人信用数据库信息处理过程造成的, 应当立即进行更正, 并检查个人信用数据库处理程序和操作规程存在的问题 第十八条征信服务中心内部核查未发现个人信用数据库处理过程存在问题的, 应当立即书面通知提供相关信息的商业银行进行核查 第十九条商业银行应当在接到核查通知的 10 个工作日内向征信服务中心作出核查情况的书面答复 异议信息确实有误的, 商业银行应当采取以下措施 : ( 一 ) 应当向征信服务中心报送更正信息 ; ( 二 ) 检查个人信用信息报送的程序 ; ( 三 ) 对后续报送的其他个人信用信息进行检查, 发现错误的, 应当重新报送 第二十条征信服务中心收到商业银行重新报送的更正信息后, 应当在 2 个工作日内对异议信息进行更正 异议信息确实有误, 但因技术原因暂时无法更正的, 征信服务中心应当对该异议信息作特殊标注, 以有别于其他异议信息 第二十一条经过核查, 无法确认异议信息存在错误的, 征信服务中心不得按照异议申请人要求更改相关个人信用信息 第二十二条征信服务中心应当在接受异议申请后 15 个工作日内, 向异议申请人或转交异议申请的中国人民银行征信管理部门提供书面答复 ; 异议信息得到更正的, 征信服务中心同时提供更正后的信用报告 异议信息确实有误, 但因技术原因暂时无法更正异议信息的, 征信服务中心应当在书面答复中予以说明, 待异议信息更正后, 提供更正后的信用报告 第二十三条转交异议申请的中国人民银行征信管理部门应当自接到征信服务中心书面答复和更正后的信用报告之日起 2 个工作日内, 向异议申请人转交 第二十四条对于无法核实的异议信息, 征信服务中心应当允许异议申请人对有关异议信息附注 100 字以内的个人声明 个人声明不得包含与异议信息无关的内容, 异议申请人应当对个人声明的真实性负责 征信服务中心应当妥善保存个人声明原始档案, 并将个人声明载入异议人信用报告 第二十五条征信服务中心应当对处于异议处理期的信息予以标注 第五章安全管理第二十六条商业银行应当根据中国人民银行的有关规定, 制定相关信用信息报送 查询 使用 异议处理 安全管理等方面的内部管理制度和操作规程, 并报中国人民银行备案 第二十七条商业银行应当建立用户管理制度, 明确管理员用户 数据上报用户和信息查询用户的职责及操作规程 商业银行管理员用户 数据上报用户和查询用户不得互相兼职 第二十八条商业银行管理员用户应当根据操作规程, 为得到相关授权的人员创建相应用户 管理员用户不得直接查询个人信用信息 62

64 管理员用户应当加强对同级查询用户 数据上报用户与下一级管理员用户的日常管理 查询用户工作人员调离, 该用户应当立即予以停用 第二十九条商业银行管理员用户 数据上报用户和查询用户须报中国人民银行征信管理部门和征信服务中心备案 前款用户工作人员发生变动, 商业银行应当在 2 个工作日内向中国人民银行征信管理部门和征信服务中心变更备案 第三十条商业银行应当制定管理员用户和查询用户的口令控制制度, 并定期检查口令控制执行情况 第三十一条商业银行应当建立保证个人信用信息安全的管理制度, 确保只有得到内部授权的人员才能接触个人信用报告, 不得将个人信用报告用于本办法第十二条规定以外的其它用 第三十二条征信服务中心应当制定信用信息采集 整理 保存 查询 异议处理 用户管理 安全管理等方面的管理制度和操作规程, 明确岗位职责, 完善内控制度, 保障个人信用数据库的正常运行和个人信用信息的安全 第三十三条征信服务中心及其工作人员不得违反法律 法规及本办法的规定, 篡改 毁损 泄露或非法使用个人信用信息, 不得与自然人 法人 其它组织恶意串通, 提供虚假信用报告 第三十四条征信服务中心应当建立个人信用数据库内部运行和外部访问的监控制度, 监督个人信用数据库用户和商业银行用户的操作, 防范对个人信用数据库的非法入侵 第三十五条征信服务中心应当建立灾难备份系统, 采取必要的安全保障措施, 防止系统数据丢失 第三十六条征信服务中心应当对商业银行的所有查询进行记录, 并及时向商业银行反馈 第三十七条商业银行应当经常对个人信用数据库的查询情况进行检查, 确保所有查询符合本办法的规定, 并定期向中国人民银行及征信服务中心报告查询检查结果 征信服务中心应当定期核查商业银行对个人信用数据库的查询情况 第六章罚则第三十八条商业银行未按照本办法规定建立相应管理制度及操作规程的, 由中国人民银行责令改正, 逾期不改正的, 给予警告, 并处以三万元罚款 第三十九条商业银行有下列情形之一的, 由中国人民银行责令改正, 并处一万元以上三万元以下罚款 ; 涉嫌犯罪的, 依法移交司法机关处理 : ( 一 ) 违反本办法规定, 未准确 完整 及时报送个人信用信息的 ; ( 二 ) 违反本办法第七条规定的 ; ( 三 ) 越权查询个人信用数据库的 ; ( 四 ) 将查询结果用于本办法规定之外的其他目的的 ; ( 五 ) 违反异议处理规定的 ; ( 六 ) 违反本办法安全管理要求的 第四十条商业银行有本办法第三十八条至第三十九条规定情形的, 中国人民银行可以建议商业银行对直接负责的董事 高级管理人员和其他直接责任人员给予纪律处分 ; 涉嫌犯罪的, 依法移交司法机关处理 第四十一条征信服务中心工作人员有下列情形之一的, 由中国人民银行依法给予行政处分 ; 涉嫌犯罪的, 依法移交司法机关处理 : ( 一 ) 违反本办法规定, 篡改 毁损 泄露或非法使用个人信用信息的 ; 63

65 ( 二 ) 与自然人 法人 其它组织恶意串通, 提供虚假信用报告的 第四十二条中国人民银行其他工作人员有违反本办法规定的行为, 造成个人信用信息 被泄露的, 依法给予行政处分 ; 涉嫌犯罪的, 依法移交司法机关处理 第七章附则第四十三条本办法所称商业银行, 是指在中华人民共和国境内设立的商业银行 城市信用合作社 农村信用合作社以及经国务院银行业监督管理机构批准的专门从事信贷业务的其他金融机构 第四十四条本办法由中国人民银行负责解释 第四十五条本办法自 2005 年 10 月 1 日起施行 四 司法解释 1. 最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律 若干问题的规定 (2014 年 6 月 23 日最高人民法院审判委员会第 1621 次会议通过 ) 为正确审理利用信息网络侵害人身权益民事纠纷案件, 根据 中华人民共和国民法通 则 中华人民共和国侵权责任法 全国人民代表大会常务委员会关于加强网络信息保护 的决定 中华人民共和国民事诉讼法 等法律的规定, 结合审判实践, 制定本规定 第一条本规定所称的利用信息网络侵害人身权益民事纠纷案件, 是指利用信息网络侵害他人姓名权 名称权 名誉权 荣誉权 肖像权 隐私权等人身权益引起的纠纷案件 第二条利用信息网络侵害人身权益提起的诉讼, 由侵权行为地或者被告住所地人民法院管辖 侵权行为实施地包括实施被诉侵权行为的计算机等终端设备所在地, 侵权结果发生地包括被侵权人住所地 第三条原告依据侵权责任法第三十六条第二款 第三款的规定起诉网络用户或者网络服务提供者的, 人民法院应予受理 原告仅起诉网络用户, 网络用户请求追加涉嫌侵权的网络服务提供者为共同被告或者第三人的, 人民法院应予准许 原告仅起诉网络服务提供者, 网络服务提供者请求追加可以确定的网络用户为共同被告或者第三人的, 人民法院应予准许 第四条原告起诉网络服务提供者, 网络服务提供者以涉嫌侵权的信息系网络用户发布为由抗辩的, 人民法院可以根据原告的请求及案件的具体情况, 责令网络服务提供者向人民法院提供能够确定涉嫌侵权的网络用户的姓名 ( 名称 ) 联系方式 网络地址等信息 网络服务提供者无正当理由拒不提供的, 人民法院可以依据民事诉讼法第一百一十四条的规定对网络服务提供者采取处罚等措施 原告根据网络服务提供者提供的信息请求追加网络用户为被告的, 人民法院应予准许 第五条依据侵权责任法第三十六条第二款的规定, 被侵权人以书面形式或者网络服务 64

66 提供者公示的方式向网络服务提供者发出的通知, 包含下列内容的, 人民法院应当认定有效 : ( 一 ) 通知人的姓名 ( 名称 ) 和联系方式 ; ( 二 ) 要求采取必要措施的网络地址或者足以准确定位侵权内容的相关信息 ; ( 三 ) 通知人要求删除相关信息的理由 被侵权人发送的通知未满足上述条件, 网络服务提供者主张免除责任的, 人民法院应予支持 第六条人民法院适用侵权责任法第三十六条第二款的规定, 认定网络服务提供者采取的删除 屏蔽 断开链接等必要措施是否及时, 应当根据网络服务的性质 有效通知的形式和准确程度, 网络信息侵害权益的类型和程度等因素综合判断 第七条其发布的信息被采取删除 屏蔽 断开链接等措施的网络用户, 主张网络服务提供者承担违约责任或者侵权责任, 网络服务提供者以收到通知为由抗辩的, 人民法院应予支持 被采取删除 屏蔽 断开链接等措施的网络用户, 请求网络服务提供者提供通知内容的, 人民法院应予支持 第八条因通知人的通知导致网络服务提供者错误采取删除 屏蔽 断开链接等措施, 被采取措施的网络用户请求通知人承担侵权责任的, 人民法院应予支持 被错误采取措施的网络用户请求网络服务提供者采取相应恢复措施的, 人民法院应予支持, 但受技术条件限制无法恢复的除外 第九条人民法院依据侵权责任法第三十六条第三款认定网络服务提供者是否 知道, 应当综合考虑下列因素 : ( 一 ) 网络服务提供者是否以人工或者自动方式对侵权网络信息以推荐 排名 选择 编辑 整理 修改等方式作出处理 ; ( 二 ) 网络服务提供者应当具备的管理信息的能力, 以及所提供服务的性质 方式及其引发侵权的可能性大小 ; ( 三 ) 该网络信息侵害人身权益的类型及明显程度 ; ( 四 ) 该网络信息的社会影响程度或者一定时间内的浏览量 ; ( 五 ) 网络服务提供者采取预防侵权措施的技术可能性及其是否采取了相应的合理措施 ; ( 六 ) 网络服务提供者是否针对同一网络用户的重复侵权行为或者同一侵权信息采取了相应的合理措施 ; ( 七 ) 与本案相关的其他因素 第十条人民法院认定网络用户或者网络服务提供者转载网络信息行为的过错及其程度, 应当综合以下因素 : ( 一 ) 转载主体所承担的与其性质 影响范围相适应的注意义务 ; ( 二 ) 所转载信息侵害他人人身权益的明显程度 ; ( 三 ) 对所转载信息是否作出实质性修改, 是否添加或者修改文章标题, 导致其与内容严重不符以及误导公众的可能性 第十一条网络用户或者网络服务提供者采取诽谤 诋毁等手段, 损害公众对经营主体的信赖, 降低其产品或者服务的社会评价, 经营主体请求网络用户或者网络服务提供者承担侵权责任的, 人民法院应依法予以支持 第十二条网络用户或者网络服务提供者利用网络公开自然人基因信息 病历资料 健康检查资料 犯罪记录 家庭住址 私人活动等个人隐私和其他个人信息, 造成他人损害, 被侵权人请求其承担侵权责任的, 人民法院应予支持 但下列情形除外 : ( 一 ) 经自然人书面同意且在约定范围内公开 ; 65

67 ( 二 ) 为促进社会公共利益且在必要范围内 ; ( 三 ) 学校 科研机构等基于公共利益为学术研究或者统计的目的, 经自然人书面同意, 且公开的方式不足以识别特定自然人 ; ( 四 ) 自然人自行在网络上公开的信息或者其他已合法公开的个人信息 ; ( 五 ) 以合法渠道获取的个人信息 ; ( 六 ) 法律或者行政法规另有规定 网络用户或者网络服务提供者以违反社会公共利益 社会公德的方式公开前款第四项 第五项规定的个人信息, 或者公开该信息侵害权利人值得保护的重大利益, 权利人请求网络用户或者网络服务提供者承担侵权责任的, 人民法院应予支持 国家机关行使职权公开个人信息的, 不适用本条规定 第十三条网络用户或者网络服务提供者, 根据国家机关依职权制作的文书和公开实施的职权行为等信息来源所发布的信息, 有下列情形之一, 侵害他人人身权益, 被侵权人请求侵权人承担侵权责任的, 人民法院应予支持 : ( 一 ) 网络用户或者网络服务提供者发布的信息与前述信息来源内容不符 ; ( 二 ) 网络用户或者网络服务提供者以添加侮辱性内容 诽谤性信息 不当标题或者通过增删信息 调整结构 改变顺序等方式致人误解 ; ( 三 ) 前述信息来源已被公开更正, 但网络用户拒绝更正或者网络服务提供者不予更正 ; ( 四 ) 前述信息来源已被公开更正, 网络用户或者网络服务提供者仍然发布更正之前的信息 第十四条被侵权人与构成侵权的网络用户或者网络服务提供者达成一方支付报酬, 另一方提供删除 屏蔽 断开链接等服务的协议, 人民法院应认定为无效 擅自篡改 删除 屏蔽特定网络信息或者以断开链接的方式阻止他人获取网络信息, 发布该信息的网络用户或者网络服务提供者请求侵权人承担侵权责任的, 人民法院应予支持 接受他人委托实施该行为的, 委托人与受托人承担连带责任 第十五条雇佣 组织 教唆或者帮助他人发布 转发网络信息侵害他人人身权益, 被侵权人请求行为人承担连带责任的, 人民法院应予支持 第十六条人民法院判决侵权人承担赔礼道歉 消除影响或者恢复名誉等责任形式的, 应当与侵权的具体方式和所造成的影响范围相当 侵权人拒不履行的, 人民法院可以采取在网络上发布公告或者公布裁判文书等合理的方式执行, 由此产生的费用由侵权人承担 第十七条网络用户或者网络服务提供者侵害他人人身权益, 造成财产损失或者严重精神损害, 被侵权人依据侵权责任法第二十条和第二十二条的规定请求其承担赔偿责任的, 人民法院应予支持 第十八条被侵权人为制止侵权行为所支付的合理开支, 可以认定为侵权责任法第二十条规定的财产损失 合理开支包括被侵权人或者委托代理人对侵权行为进行调查 取证的合理费用 人民法院根据当事人的请求和具体案情, 可以将符合国家有关部门规定的律师费用计算在赔偿范围内 被侵权人因人身权益受侵害造成的财产损失或者侵权人因此获得的利益无法确定的, 人民法院可以根据具体案情在 50 万元以下的范围内确定赔偿数额 精神损害的赔偿数额, 依据 最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释 第十条的规定予以确定 第十九条本规定施行后人民法院正在审理的一审 二审案件适用本规定 本规定施行前已经终审, 本规定施行后当事人申请再审或者按照审判监督程序决定再审的案件, 不适用本规定 66

68 2. 最高人民法院关于人民法院在互联网公布裁判文书的规定 第十条人民法院在互联网公布裁判文书时, 应当删除下列信息 : ( 一 ) 自然人的家庭住址 通讯方式 身份证号码 银行账号 健康状况 车牌号码 动产或不动产权属证书编号等个人信息 ; ( 二 ) 法人以及其他组织的银行账号 车牌号码 动产或不动产权属证书编号等信息 ; ( 三 ) 涉及商业秘密的信息 ; ( 四 ) 家事 人格权益等纠纷中涉及个人隐私的信息 ; ( 五 ) 涉及技术侦查措施的信息 ; ( 六 ) 人民法院认为不宜公开的其他信息 第十一条人民法院在互联网公布裁判文书, 应当保留当事人 法定代理人 委托代理人 辩护人的下列信息 : ( 一 ) 除根据本规定第八条进行隐名处理的以外, 当事人及其法定代理人是自然人的, 保留姓名 出生日期 性别 住所地所属县 区 ; 当事人及其法定代理人是法人或其他组织的, 保留名称 住所地 组织机构代码, 以及法定代表人或主要负责人的姓名 职务 ; ( 二 ) 委托代理人 辩护人是律师或者基层法律服务工作者的, 保留姓名 执业证号和律师事务所 基层法律服务机构名称 ; 委托代理人 辩护人是其他人员的, 保留姓名 出生日期 性别 住所地所属县 区, 以及与当事人的关系 67

69 附录三 : 侵犯公民个人信息刑事案件汇总 ( ) 序 审 判 审判法院案件及案 违法行为和途径 判决结果 号 时间 号 上海市第 王甲等非 非法获取公民个人信 王甲犯非法获取公民个人 年 8 月 一中级人 法获取公 息 ; 被告人在网络中通 信息罪, 判处有期徒刑八个 17 日 民法院 民个人信 过 QQ 号购买公民信 月, 并处罚金二千元 ; 王某 息 案 息并储存于 U 盘之中 乙犯非法获取公民个人信 (2016) 沪 用于拨打电话为公司 息罪, 判处有期徒刑一年, 01 刑终 招揽生源, 信息涉及多 并处罚金五千元 1177 号 家中小学学生及其家 长, 包括姓名 性别 身份证号 家庭住址 等 上海市宝 高某某非 非法获取公民个人信 高某某犯侵犯公民个人信 年 5 月 山区人民 法获取公 息 ;2011 年 8 月高某 息罪, 判处有期徒刑七个 27 日 法院 民个人信 某以其持有的单位培 月, 缓刑一年, 并处罚金人 息 案 训资料作为交换, 从刘 民币五千元 (2016) 沪 庆猛处非法获取公民 0113 刑 个人信息 条, 初 942 号 2015 年 7 月上述信息 被上海港晋资产管理 有限公司负责人董某 某拷贝后用于电话营 销 福建省安 王某某等 被告人于 2014 年 3 被告人犯诈骗罪, 判处有期 年 4 月 溪县人民 诈骗 非 月至 8 月间, 向他人 徒刑六年三个月, 并处罚金 3 日 法院 法获取公 以购买的方式非法获 人民币六万元 ; 犯非法获取 民个人信 取公民个人信息资料 公民个人信息罪, 判处拘役 息 伪造 2005 条, 再利用手机 二个月, 并处罚金人民币一 居民身份 拨打前述资料中的人 千元 ; 犯伪造居民身份证 证 案 次, 冒充社保局 民政 罪, 判处拘役二个月 决定 (2015) 安 局 财政局工作人员, 执行有期徒刑六年三个月, 刑初字第 谎称对方有 丧葬补 并处罚金人民币六万一千 237 号 贴 农机补贴 等 元 可以领取, 诱骗被害人 等人持银行卡到 ATM 机按其指示进行操作, 68

70 将卡内的款项汇入到 其指定的银行账户内 福建省安 徐某某等 非法向他人购买公民 被告人犯诈骗罪, 判处有期 年 4 月 溪县人民 诈骗 非 个人信息资料 106 徒刑四年九个月, 并处罚金 1 日 法院 法获取公 180 条, 利用手机拨 人民币四万元 ; 犯非法获取 民个人信 打新生婴儿父母电话, 公民个人信息罪, 判处有期 息 案 谎称对方能领取新生 徒刑八个月, 并处罚金人民 (2015) 安 婴儿财政补贴, 诱骗被 币五千元 决定执行有期徒 刑初字第 害人到 ATM 机按其指 刑四年十个月, 并处罚金人 158 号 示进行操作 民币四万五千元 福建省安 胡某等诈 利用购买等方式非法 被告人胡某甲犯诈骗罪, 判 年 3 月 溪县人民 骗 非法 获取 577 条银行客户 处有期徒刑一年, 并处罚金 30 日 法院 获取公民 资料等公民个人信息, 人民币八千元 ; 犯非法获取 个人信息 并雇用被告人林某乙 公民个人信息罪, 判处拘役 案 (2015) 林某丙在福建省安溪 二个月, 并处罚金人民币一 安刑初字 县等地, 利用手机拨打 千元 决定执行有期徒刑一 第 218 号 上述银行客户手机号 年, 并处罚金人民币九千元 码, 谎称可以为对方提 ( 已缴纳 ) 被告人林某甲 升信用卡额度, 骗取对 犯诈骗罪, 判处有期徒刑一 方的信用卡号 验证码等信息, 再利用获取的信息在网上购买充值卡, 后将充值卡在网站上出售, 后将款项汇入其指定的银行账户 年, 并处罚金人民币八千元 ; 犯非法获取公民个人信息罪, 判处拘役二个月, 并处罚金人民币一千元 决定执行有期徒刑一年, 并处罚金人民币九千元 ( 已缴纳 ) 内 福建省安 王某某妨 被告人王某某伙同李 被告人王某某犯妨害信用 年 3 月 溪县人民 害信用卡 某甲于 2014 年 1 月 卡管理罪, 判处有期徒刑十 13 日 法院 管理 非 至 5 月间, 在其家中 个月, 并处罚金人民币一万 法获取公 冒充是支付宝卡单处 元 ; 犯非法获取公民个人信 民个人信 理中心的客服人员, 通 息罪, 判处拘役三个月, 并 息 案 过事先在网上购买淘 处罚金人民币一千元 决定 (2015) 安 宝买家资料, 使用手 执行有期徒刑十个月, 并处 刑初字第 机 QQ 等通讯方式联 罚金人民币一万一千元 182 号 系被害人, 以支付宝升 级维护需被害人在其 提供的网页进行链接 69