当前需尽快修补造成个人信息泄露的三大缺口

　　近年来，个人信息泄露的恶性案件时常发生，对群众生产生活造成不利影响。仅2024年6月，全国范围内公开通报的重大信息泄露事件就有超过10起，而每一起信息泄露案件所涉及的泄露数据量动辄数十万起。从暴露出来的案件看，当前个人信息案件泄露有三大关键漏洞需要堵住。

　　一、造成当前个人信息泄露的三大缺口

　　一是技术缺口造成数据外漏。一类是技术性管理失误招致黑客攻击，例如信息系统管理员使用了弱口令账户、未设置网络防火墙等行为。2023年7月，北京市网安部门检查发现，朝阳某教育公司将其系统中有信息读取权限的测试账号设为弱口令，且系统正式使用后未将测试账号进行清空删除处理，导致弱口令被黑客破解，12余万条信息被泄露到境外非法网站上。此类管理失误相对较多，在小型企业、相对不成熟的信息系统中极易发生且风险不可控。另一类是管控技术失误，指相关数据库在维护、使用、交接等工作流程中，由于未对数据的读取范围进行严格管控，导致信息在管控外的环节泄露。这一类失误也时常发生且危害性较大。例如，腾讯、新浪等公司发布的通过个人手机号查找个人绑定账户的功能，就被黑客广泛利用并制成他人信息查询网站，只需输入他人的QQ号等简单信息，就可以查询到绑定的手机号等隐私信息。而截至2023年6月底，多个此类非法网站仍可正常使用。

　　二是管理缺口造成内部泄露。从警方查处的案例看，信息管理部门相关人员借助职位便利，向外部群体非法兜售海量个人信息，是危害最大的信息泄露行为。2023年，相关部门曾公开相关数据，指出2020至2022年3年内，全国共抓获电信运营商、医院、保险公司、房地产、物业、快递公司等行业“内鬼”2300余名，内部泄露的严峻形势可见一斑。内部泄露的主要原因是内部管控不严，许多企业没有意识到用户信息安全的极端重要性，给不法人员可乘之机，导致海量信息泄露的悲剧。而泄露出去的信息，一方面会被卖给灰色产业，给个人造成营销滋扰，例如2024年6月，四川警方最新侦破的一起侵犯个人信息案中，相关犯罪活动就是滋生于初、高中应届生学籍信息内部泄露；另一方面，相关信息也可能流入境外，造成国家安全风险。2023年，相关部门即已通报指出，一些与美国情报机构合作密切的西方企业，正在大量组织人员，通过SDK等方式搜集我用户数据和个人信息，给国家安全造成严重隐患。同时，内部人员泄露信息给境外组织，也是窃密、间谍案件的典型表现。

　　三是法律缺口造成维权困难。一方面，是“告知同意”法律规则适用存在窘境。《个人信息保护法》《民法典》都规定，在收集个人信息时需告知并取得本人的同意。但很多网络平台想尽办法进行规避，有的网络平台将同意选项作为使用该平台的前置条件，不同意就无法注册使用；有的网络平台将告知同意事项隐藏在大篇幅的合同条文中，用户无法仔细核对。这些做法使“告知同意”规则成为摆设，难以起到应有的保护作用。另一方面，是信息泄露行为的司法救济机制不完善，个人对信息泄露行为提起民事公益诉讼难度较大。《个人信息保护法》规定，对于侵害众多个人权益的，人民检察院、法律规定的消费者组织等可以依法向人民法院提起民事公益诉讼。但被泄露隐私信息的用户群体，往往虽然人数众多，但非常分散且素不相识，难以联合起来收集证据、提起诉讼、追究责任。法律机制的不完善，抬高了群众合法维权成本，助长了侵害个人信息的不法行为。

　　二、修补信息泄露政策建议

　　一是要加强行业数据安全管理。建议从备案网络服务提供商入手，落实信息化技术审查制度，要求企业方所有信息系统应达到一定安全标准，并履行定期安全检查义务，包括定期更新安全协议、定期更换强密码策略、定期升级入侵检测系统等。应当完善行业安全管理教育，以行业协会和信息系统提供商为主导，对企业信息系统管理员和相关员工定期进行安全意识培训，尤其是要明确管理系统中具有信息读取权限的账户，应实行最小权限原则，确保每个账户只能访问其所需的数据，避免造成信息外泄。应当结合产业特点，提高对云服务器供给方服务商的技术安全要求，确保信息的硬件载体安全。

　　二是要溯源打击内部泄密行为。应当从信息泄露后的使用末端处罚，从恶意营销推广等行为出发开展打击活动，破除泄露信息的使用土壤。可以从侦破的侵犯个人信息末端案件出发，进一步摸清相关灰色产业链各环节特点，开展上溯源头、下追买家的全链条打击，并同步跟进“一案双查”，对互联网企业平台严管严查，压实企业主体责任。安全部门可以探索建立跨行业的信息涉密岗位管理制度，针对全部组织的关键涉密岗位、涉密责任人开展定岗定责，落实个人背景审查上岗制度，杜绝内部泄密事件的存在空间，坚决遏制侵犯公民个人信息违法犯罪蔓延趋势。

　　三是要调整完善法律保护体系。应进一步加强立法规制故意规避“告知同意”规则的行为，通过法律条文的修订，规定信息收集者必须将告知事项用显著的方式、清晰易懂的方式传达给被收集者，不能以默示或推定作为取得个人同意的方式，也不得因无法收集个人信息而拒绝提供服务。要完善司法救济机制，法院在受理信息泄露案件时，应当发出公告，主动知会同案其他信息泄露受害者，在公告期内向法院登记，弥补受害者分散的缺陷。同时建议对于涉嫌侵害个人信息的案件，实行举证责任倒置，由被告承担无过错举证责任，降低维权成本。

针对个人信息泄露问题，确实需尽快修补三大缺口。

一是技术缺口，包括技术性管理失误如弱口令、缺防火墙等，以及管控技术失误。二是制度缺口，部分企业信息安全管理制度不完善，员工保密意识淡薄。三是监管缺口，监管部门对一些违规行为处罚力度不够。

为保护个人信息安全，企业应加强技术管理，完善制度；监管部门要加大执法力度；个人也需提高防范意识。各方共同努力，堵住信息泄露缺口，营造安全网络环境。