◎ 文 《法人》雜志全媒體記者 白馗 見(jiàn)習(xí)記者 姚瑤

身份證號(hào)、家庭住址、手機(jī)號(hào)碼等個(gè)人隱私信息被公開(kāi)······曾經(jīng)的“人肉搜索”如今變本加厲，疊加網(wǎng)絡(luò)暴力升級(jí)成為“人肉開(kāi)盒”。不過(guò)，這些非法獲取和交易個(gè)人信息的行為將會(huì)從源頭上被遏制。

▲CFP

近日，國(guó)家互聯(lián)網(wǎng)信息辦公室正式發(fā)布的《個(gè)人信息保護(hù)合規(guī)審計(jì)管理辦法》（以下簡(jiǎn)稱(chēng)“審計(jì)辦法”）及其附件《個(gè)人信息保護(hù)合規(guī)審計(jì)指引》 （以下簡(jiǎn)稱(chēng)“附件”），自5月1日起施行，標(biāo)志著《中華人民共和國(guó)個(gè)人信息保護(hù)法》（以下簡(jiǎn)稱(chēng)“個(gè)人信息保護(hù)法”）及《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》所設(shè)立的個(gè)人信息保護(hù)合規(guī)審計(jì)制度正式進(jìn)入落地實(shí)施階段。

敲響個(gè)人信息保護(hù)警鐘

近年來(lái)，網(wǎng)絡(luò)暴力蔓延至現(xiàn)實(shí)生活的現(xiàn)象時(shí)有發(fā)生。僅因?yàn)樵诰W(wǎng)絡(luò)發(fā)表了不同觀(guān)點(diǎn)，網(wǎng)民就有可能面臨被“人肉開(kāi)盒”的風(fēng)險(xiǎn)。

某群聊組里，包括虛擬主播在內(nèi)的多名公民個(gè)人信息被發(fā)布，這種像是“拆盒子”的行為其實(shí)已經(jīng)大大侵犯了個(gè)人權(quán)益。受害者綰綰（化名）對(duì)《法人》記者說(shuō)：“自己的個(gè)人信息居然是在一個(gè)境外網(wǎng)站的聊天群里泄露出去的?！?/p>

2023年11月起，中央網(wǎng)信辦曾多次在網(wǎng)絡(luò)“清朗行動(dòng)”中點(diǎn)名“人肉開(kāi)盒”行為。近日，中國(guó)企業(yè)財(cái)務(wù)管理協(xié)會(huì)數(shù)據(jù)資產(chǎn)特聘專(zhuān)家龐理鵬在接受記者采訪(fǎng)時(shí)表示，治理“開(kāi)盒”亂象，必須從源頭上遏制非法獲取和交易個(gè)人信息的行為。個(gè)人隱私一旦成為不法分子的牟利工具，任何人都可能成為被曝光的對(duì)象。因此，監(jiān)管部門(mén)應(yīng)加大執(zhí)法力度，依法嚴(yán)懲非法收集、販賣(mài)個(gè)人信息的行為，并加強(qiáng)對(duì)相關(guān)利益鏈條的追蹤和打擊，防止個(gè)人隱私在非法交易中流轉(zhuǎn)。

“人肉開(kāi)盒”指通過(guò)非法手段獲取、公開(kāi)他人隱私信息并疊加騷擾、攻擊等惡性行為。一旦被“人肉開(kāi)盒”，一系列的麻煩便找上門(mén)來(lái)，受害者及其家屬可能受到無(wú)盡的電話(huà)、短信騷擾，甚至被上門(mén)威脅······當(dāng)個(gè)人隱私成為被隨意攻擊和羞辱的“箭靶”，需要為個(gè)人信息保護(hù)再加把“鎖”。

山東德衡律師事務(wù)所高級(jí)權(quán)益合伙人姜保良向記者分析，“人肉開(kāi)盒”具體觸犯的法律法規(guī)可以根據(jù)行為的嚴(yán)重性從民事、行政、刑事三個(gè)層次依次展開(kāi)。首先在民事層面涉及民事侵權(quán)法律責(zé)任，《中華人民共和國(guó)民法典》明確規(guī)定自然人享有名譽(yù)權(quán)、隱私權(quán)，禁止實(shí)施非法刺探公開(kāi)他人隱私信息、貶損他人名譽(yù)的行為?！伴_(kāi)盒”行為可能同時(shí)侵犯他人的隱私權(quán)、名譽(yù)權(quán)，受害者可要求停止侵害、賠禮道歉、消除影響，并主張精神損害賠償。

如果“人肉開(kāi)盒”行為次數(shù)較多或較為嚴(yán)重，也可能觸犯《中華人民共和國(guó)治安管理處刑法》，面臨行政處罰。

“以‘人肉開(kāi)盒’侵犯公民個(gè)人信息，情節(jié)嚴(yán)重的，涉嫌侵犯公民個(gè)人信息罪，比如，非法獲取、提供行蹤軌跡、通信內(nèi)容、征信信息、財(cái)產(chǎn)信息50條以上或者非法獲取、提供住宿、通信、健康生理、交易信息等可能影響人身、財(cái)產(chǎn)安全的公民個(gè)人信息500條以上等或者違法所得5000元以上以及其他法律規(guī)定情形的，構(gòu)成侵犯公民個(gè)人信息罪，情節(jié)嚴(yán)重的，處三年以下有期徒刑或拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，將面臨三年以上七年以下有期徒刑?！苯Ａ颊f(shuō)。

網(wǎng)絡(luò)平臺(tái)作為信息傳播的重要渠道，也需切實(shí)履行管理責(zé)任。龐理鵬告訴記者，平臺(tái)應(yīng)當(dāng)完善內(nèi)容審核機(jī)制，建立高效的信息舉報(bào)和處理流程，確保涉及隱私泄露的內(nèi)容能夠被迅速刪除或屏蔽。同時(shí)，企業(yè)也應(yīng)提升數(shù)據(jù)安全管理水平，采取更嚴(yán)格的信息加密和訪(fǎng)問(wèn)控制措施，防止用戶(hù)隱私在存儲(chǔ)和流轉(zhuǎn)過(guò)程中被濫用或泄露，從根本上減少風(fēng)險(xiǎn)。監(jiān)管部門(mén)則應(yīng)加強(qiáng)對(duì)平臺(tái)的監(jiān)督，對(duì)未能有效管理違規(guī)信息的企業(yè)施以懲戒，以促使其完善隱私保護(hù)措施，形成更加完善的監(jiān)管體系。

記者了解到，個(gè)人信息被互聯(lián)網(wǎng)平臺(tái)廣泛收集早已不是個(gè)例，用戶(hù)在手機(jī)上隨意打開(kāi)一個(gè)APP，首先需要同意平臺(tái)對(duì)用戶(hù)的個(gè)人信息進(jìn)行處理，才能正常使用該軟件，甚至不少手機(jī)游戲軟件都需要用戶(hù)先進(jìn)行實(shí)名認(rèn)證，方能進(jìn)行體驗(yàn)。個(gè)人信息保護(hù)和個(gè)人信息利用的矛盾日益突出。雖然個(gè)人信息保護(hù)法和《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》已對(duì)個(gè)人信息處理者開(kāi)展合規(guī)審計(jì)作出規(guī)定，但從執(zhí)行層面來(lái)看，風(fēng)險(xiǎn)控制和監(jiān)督仍然缺少更為細(xì)化的規(guī)定。而審計(jì)辦法為個(gè)人信息處理者開(kāi)展個(gè)人信息保護(hù)合規(guī)審計(jì)提供了更為系統(tǒng)性的指引。

為合規(guī)審計(jì)要求“加碼”

近日，北京大成（廣州）律師事務(wù)所高級(jí)合伙人張偉偉對(duì)記者表示，審計(jì)辦法是規(guī)范個(gè)人信息保護(hù)合規(guī)審計(jì)活動(dòng)的里程碑式文件，明確了適用范圍、個(gè)人信息處理者的責(zé)任、合規(guī)審計(jì)的頻率和條件、專(zhuān)業(yè)機(jī)構(gòu)的要求、審計(jì)報(bào)告的提交、違規(guī)處理等內(nèi)容。

審計(jì)辦法第四條規(guī)定的“審計(jì)頻率”，要求處理超過(guò)1000萬(wàn)人個(gè)人信息的處理者，應(yīng)當(dāng)每?jī)赡曛辽匍_(kāi)展一次個(gè)人信息保護(hù)合規(guī)審計(jì)；審計(jì)辦法第七條規(guī)定的“專(zhuān)業(yè)機(jī)構(gòu)資質(zhì)”，要求專(zhuān)業(yè)機(jī)構(gòu)應(yīng)當(dāng)具備開(kāi)展個(gè)人信息保護(hù)合規(guī)審計(jì)的能力，有與服務(wù)相適應(yīng)的審計(jì)人員、場(chǎng)所、設(shè)施和資金等。

“以上可以看出，審計(jì)辦法對(duì)個(gè)人信息保護(hù)合規(guī)審計(jì)活動(dòng)的各個(gè)環(huán)節(jié)作出較為明確的指引?！睆垈?duì)記者表示，附件列出的合規(guī)審計(jì)指引，包括合法性基礎(chǔ)、處理規(guī)則、告知義務(wù)、共同處理、委托處理、敏感信息處理、未成年人信息處理、跨境傳輸、刪除權(quán)保障等多個(gè)方面的審計(jì)重點(diǎn)。

龐理鵬表示，還應(yīng)重點(diǎn)關(guān)注附件在如下場(chǎng)景的個(gè)人信息保護(hù)合規(guī)審計(jì)要求：第一，附件第十一條規(guī)定了公共場(chǎng)所安裝圖像收集、個(gè)人身份識(shí)別設(shè)備的個(gè)人信息保護(hù)合規(guī)審查內(nèi)容。這一場(chǎng)景中，應(yīng)同時(shí)結(jié)合《公共安全視頻圖像信息系統(tǒng)管理?xiàng)l例》（4月1日起施行）把握個(gè)人信息保護(hù)合規(guī)審計(jì)的重點(diǎn)審查事項(xiàng)。第二，附件第十五條涉及向境外提供個(gè)人信息的合規(guī)審計(jì)要求。這一場(chǎng)景中，應(yīng)當(dāng)區(qū)分關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者和非關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者進(jìn)行合規(guī)事項(xiàng)的重點(diǎn)審查。第三，附件第二十四條和第二十五條對(duì)個(gè)人信息安全事件應(yīng)急預(yù)案及響應(yīng)處理的合規(guī)審計(jì)要求提出明確規(guī)定。此場(chǎng)景中，審計(jì)應(yīng)重點(diǎn)檢查應(yīng)急預(yù)案的制定情況及其執(zhí)行效果，評(píng)估企業(yè)在突發(fā)信息安全事件的響應(yīng)能力和處置效果。第四，附件第二十六條強(qiáng)調(diào)了對(duì)提供重要互聯(lián)網(wǎng)平臺(tái)服務(wù)、用戶(hù)數(shù)量巨大、業(yè)務(wù)類(lèi)型復(fù)雜的個(gè)人信息處理者所制定的平臺(tái)規(guī)則的合規(guī)審計(jì)要求。審計(jì)應(yīng)重點(diǎn)關(guān)注運(yùn)營(yíng)規(guī)則是否與法律法規(guī)相抵觸、個(gè)人信息保護(hù)條款的有效性及平臺(tái)規(guī)則的執(zhí)行情況。

考驗(yàn)機(jī)構(gòu)合規(guī)審計(jì)能力

審計(jì)辦法明確，個(gè)人信息處理者自行開(kāi)展個(gè)人信息保護(hù)合規(guī)審計(jì)的，應(yīng)當(dāng)由個(gè)人信息處理者內(nèi)部機(jī)構(gòu)或者委托專(zhuān)業(yè)機(jī)構(gòu)定期對(duì)其處理個(gè)人信息遵守法律、行政法規(guī)的情況進(jìn)行合規(guī)審計(jì)。

然而記者發(fā)現(xiàn)，審計(jì)辦法并未對(duì)“專(zhuān)業(yè)機(jī)構(gòu)”具體類(lèi)型和性質(zhì)作出明確規(guī)定。對(duì)此，張偉偉分析，審計(jì)辦法第七條規(guī)定，“鼓勵(lì)相關(guān)專(zhuān)業(yè)機(jī)構(gòu)通過(guò)認(rèn)證。專(zhuān)業(yè)機(jī)構(gòu)的認(rèn)證按照《中華人民共和國(guó)認(rèn)證認(rèn)可條例》（以下簡(jiǎn)稱(chēng)“認(rèn)證認(rèn)可條例”）的有關(guān)規(guī)定執(zhí)行”。因此，專(zhuān)業(yè)機(jī)構(gòu)的要求可以參考認(rèn)證認(rèn)可條例的相關(guān)內(nèi)容。

關(guān)于專(zhuān)業(yè)機(jī)構(gòu)應(yīng)當(dāng)具備的條件。張偉偉認(rèn)為，專(zhuān)業(yè)機(jī)構(gòu)需要具備熟悉個(gè)人信息保護(hù)法律知識(shí)、審計(jì)技能的專(zhuān)業(yè)團(tuán)隊(duì)，同時(shí)具備開(kāi)展審計(jì)所需的場(chǎng)所、工具等，另外，還鼓勵(lì)審計(jì)機(jī)構(gòu)通過(guò)國(guó)家認(rèn)可的認(rèn)證（如依據(jù)認(rèn)證認(rèn)可條例的第三方認(rèn)證），以證明其專(zhuān)業(yè)性和合規(guī)性。

“關(guān)于個(gè)人信息保護(hù)合規(guī)審計(jì)對(duì)專(zhuān)業(yè)機(jī)構(gòu)的要求，專(zhuān)業(yè)機(jī)構(gòu)必須參照附件開(kāi)展審計(jì)，覆蓋合法性、透明性、安全措施等全流程。專(zhuān)業(yè)機(jī)構(gòu)出具的審計(jì)報(bào)告需由機(jī)構(gòu)主要負(fù)責(zé)人和合規(guī)審計(jì)負(fù)責(zé)人簽字并加蓋公章，確保責(zé)任可追溯。”張偉偉進(jìn)一步解讀，專(zhuān)業(yè)機(jī)構(gòu)不得將審計(jì)任務(wù)轉(zhuǎn)包給其他機(jī)構(gòu)，確保全程自主執(zhí)行。專(zhuān)業(yè)機(jī)構(gòu)應(yīng)當(dāng)注意保密義務(wù)，對(duì)審計(jì)中接觸的個(gè)人信息、商業(yè)秘密等嚴(yán)格保密，審計(jì)結(jié)束后及時(shí)刪除相關(guān)數(shù)據(jù)。

“個(gè)人信息保護(hù)合規(guī)審計(jì)是所有個(gè)人信息處理者的法定義務(wù)，只要構(gòu)成個(gè)人信息處理者即應(yīng)開(kāi)展個(gè)人信息保護(hù)合規(guī)審計(jì)?！饼嬂睐i表示，只要組織、個(gè)人對(duì)個(gè)人信息進(jìn)行了收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)、刪除等處理活動(dòng)，且該組織、個(gè)人在個(gè)人信息處理活動(dòng)中自主決定處理目的、處理方式，則該組織、個(gè)人即應(yīng)當(dāng)開(kāi)展個(gè)人信息保護(hù)合規(guī)審計(jì)。

增加“合規(guī)審計(jì)成本”

龐理鵬認(rèn)為，互聯(lián)網(wǎng)企業(yè)，特別是社交媒體、電商平臺(tái)、在線(xiàn)支付和搜索引擎等企業(yè)應(yīng)重點(diǎn)關(guān)注個(gè)人信息保護(hù)合規(guī)審計(jì)。“互聯(lián)網(wǎng)企業(yè)通常會(huì)收集大量用戶(hù)的個(gè)人信息，其不僅涉及敏感數(shù)據(jù)的存儲(chǔ)與處理，還面臨著數(shù)據(jù)共享和跨境傳輸?shù)膹?fù)雜問(wèn)題，因此合規(guī)審計(jì)尤為重要?！?/p>

張偉偉補(bǔ)充道，電商企業(yè)、社交媒體企業(yè)、出行平臺(tái)企業(yè)都掌握著海量的個(gè)人信息，因用戶(hù)量巨大的互聯(lián)網(wǎng)企業(yè)因復(fù)雜業(yè)務(wù)類(lèi)型以及龐大數(shù)據(jù)，容易發(fā)生大規(guī)模數(shù)據(jù)泄露或自動(dòng)化決策爭(zhēng)議。根據(jù)審計(jì)辦法第四條規(guī)定，處理超過(guò)1000萬(wàn)人個(gè)人信息的企業(yè)需每?jī)赡曛辽賹徲?jì)一次。此外，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)企業(yè)、處理敏感個(gè)人信息的企業(yè)、涉及未成年人信息處理的企業(yè)均應(yīng)重點(diǎn)關(guān)注個(gè)人信息保護(hù)合規(guī)審計(jì)。

姜保良認(rèn)為，審計(jì)辦法將對(duì)個(gè)人信息處理者產(chǎn)生深遠(yuǎn)影響。一是增加了合規(guī)成本。二是規(guī)范了個(gè)人信息處理者的處理活動(dòng)。三是強(qiáng)化了法律責(zé)任。

“審計(jì)辦法有利于保護(hù)個(gè)人信息權(quán)益，從源頭上規(guī)范個(gè)人信息處理活動(dòng)，降低個(gè)人信息被泄露、濫用等風(fēng)險(xiǎn)，更好地保護(hù)個(gè)人信息權(quán)益。同時(shí)也為數(shù)字經(jīng)濟(jì)持續(xù)健康發(fā)展提供保障，為個(gè)人數(shù)據(jù)的合規(guī)高效流通和價(jià)值釋放提供有力保障，有助于推動(dòng)數(shù)字經(jīng)濟(jì)高質(zhì)量發(fā)展，構(gòu)建信任社會(huì)。審計(jì)辦法完善了我國(guó)個(gè)人信息保護(hù)的法治體系，為個(gè)人信息處理者合規(guī)提供依據(jù)，也為監(jiān)管部門(mén)執(zhí)法提供了明確依據(jù)。”姜保良表示。