互联网行业：“互联网+行业”个人信息保护研究报告(2020年)
“互联网+行业”个人信息保护综合提升建议
（一）建立健全个人信息保护综合治理体系
1.加快推动我国个人信息保护相关立法进程
一方面，个人信息保护专项立法有利于打击侵犯公民个人信息安全的违法行为，保障公民合法权益；有利于指导数据合规利用，与国际规则接轨，参与国际化贸易和全球化竞争。目前《个人信息保护法》
已列入十三届全国人大常委会立法规划，建议加快推动相关部门协同开展《个人信息保护法》法律草案制定，明确公民个人、企业主体、政府部门、司法机构等不同主体在个人信息保护中享有的权利、义务和职责，进一步规范个人信息收集使用、个人信息委托处理、个人信息出境安全等法律要求，指导政府监管和企业合规。
另一方面，建议积极推动数据安全相关立法制定。大数据作为驱动未来数字经济发展的核心引擎，数据合法合规应用和个人信息保护边界亟需明确，现有法律对于数据载体与信息内容的完整性、保密性、可用性方面已有较多的管理规定，建议开展《数据安全法》研制，制定数据安全监管体系、数据安全威胁预警与应对机制、重要数据管理、数据共享开放等法律规则。
2.完善个人信息保护标准体系建设
个人信息保护标准的制定将为企业建立完善机制和手段提供关键参考依据，能够有效支撑政府主管部门开展行业监督，减少用户个人信息“泄露”、“滥用”等行为发生。建议积极推进电信和互联网个人信息保护标准体系建设，针对“互联网+”各行业面临的问题和挑战，加快推进电子商务、医疗健康、智能家居、出行服务移动出行等“互联网+”服务的个人信息保护标准制定。例如在“互联网+”医疗健康领域，推进相关国家标准以及智能医疗设备、医疗AI、健康服务平台等细分领域个人信息保护行业规范的制定出台，将有效促进“互联网+”医疗健康领域的个人信息分级分类保护，指导企业将现有个人信息保护规范要求落到实处。
3.严厉打击个人信息违法违规行为
对个人信息违法违规行为进行有威慑力的处理是整治行业乱象、提升监管效果的关键。建议工信、网信、公安以及相关行业主管部门严格依据《网络安全法》等法律法规进一步强化管理，对违法违规收集使用公民个人财产、健康等敏感个人信息的依法依规严厉惩治；对个人信息网络灰黑产业坚决打击，切断灰黑产业的信息链条，严厉打击侵犯用户个人信息保护合法权益的违法违规行为。加强对网络运营者网络信息安全和数据安全的监督管理，督促网络运营者完善基础设施安全防护能力建设，防止数据泄露等网络安全事件发生；指导网络运营者建立完善的网络安全监测预警和应急处置机制，防控降低数据泄露等安全事件的影响和危害。探索违规处罚与经营许可挂钩等机制，对严重违法、违规的企业加大处罚力度，为监管工作提供更有效、更有威慑力的抓手。
强化对第三方软件服务商的监督管理，众多电商、医疗、出行等“互联网+”服务平台需要依托第三方软件服务商完善产品和业务功能，由于第三方软件服务商并不直接面对用户个人，且部分服务商数据保护意识和水平较弱，容易导致数据泄露等风险事件发生，需要建立监督检查机制，依托业务备案或监测检查机制等手段强化全环节个人信息保护监管。
4.建立“包容审慎”的监管机制
推动个人信息保护，既要回应大众对个人信息和隐私保护的热切关注，也要满足企业对数据资源的合理需求，建议在监管工作中同步做好产业引导，建立“规范产业合理需求，严堵违规违法行为”的监管策略，统筹好发展和安全、自主和开放、管理和服务的关系，在合法合规应用背景下，允许在满足“知情同意”、“最少够用”等原则下的信息合理应用，激发企业主动提升个人信息保护水平的内生动力。
鼓励第三方检测机构建立健全个人信息保护监测技术体系，对“互联网+行业”应用的用户个人信息和权益保护发展态势、重点问题、行为规范性进行监测，支撑政府行业监管，指导企业提升安全能力，及时发现问题和解决问题，引导产业健康发展。
5.灵活适用个人信息保护原则
“互联网+电子商务”、“互联网+医疗健康”等业务形态注定了用户在使用服务的过程中个人信息需要在多个主体间流转，难以确保在数据流转环节多、链条长的情况下全面保障用户对于个人信息收集使用的知情权和选择权。此外鉴于众多智能家居设备没有屏幕或语音功能，难以在用户个人信息收集、使用时征得用户的明示同意。在上述问题面前，应灵活适应个人信息保护的基础原则，考虑通过加强后台安全技术保障以及增强个人信息控制权等方式综合提升个人信息保护能力，避免形式化服从原则导致的保障措施难以落地。例如，可以通过去标识化和匿名化技术的使用，在数据流转环节多的情况下实现数据脱敏，仅需要在用户使用服务之初获取必要的同意授权即可在技术上保障个人信息全生命周期的安全保护。在政策上建议鼓励企业结合实际应用场景实施落地，采取与风险程度相适、与应用场景相符的个人信息保护方式。
6.适应全球立法趋势，加强个人信息保护国际合作
数字经济时代的全球化贸易离不开数据的广泛流通。众多国家和地区对个人信息保护的核心都在于为数据流动提供良好的法律环境或市场环境。应加强个人信息保护国际合作，积极融入数据流动国际治理体系，研究了解境外组织和国家数据跨境流动管理政策及其发展趋势，充分考虑本国管理框架和基本制度与国际规则的衔接，增强在数据出境流动领域的国际话语权。在我国的个人信息保护立法中，明确个人数据跨境转移的形式要件和豁免情形，并进一步通过指南、技术标准、示范合同等方式为个人数据跨境转移提供必要的指引。积极寻求与重要贸易伙伴国家建立数据出境认证等信任机制，借鉴国际多边机构跨境隐私规则，推动建立跨境数据传输认证机制，推动国内企业参与加入跨境传输规则体系。
（二）加强个人信息保护基础保障，鼓励隐私保护技术增强应用
1.强化企业个人信息保护制度和安全技术保障
有效的个人信息保护制度建立有利于企业解决人员违规、管理缺失、技术漏洞等导致的个人信息保护问题。现阶段众多互联网企业个人信息保护管理水平参差不齐，企业应高度重视并完善个人信息保护管理体系，基于法律政策要求和技术标准指引，建立企业内部个人信息分类分级制度、数据安全管理规范、数据安全开发规范来管理规范个人信息的存储和使用，建立数据安全监测预警与应急处置以预防数据泄露安全风险，完善人员培训管理、违规事件惩处等管理制度设计。
强化信息基础设施安全保障，为加强个人信息保护筑牢基础防线。
企业应高度重视系统、平台等信息基础设施的安全机制部署和安全配置管理，部署必要的准入控制、身份认证、秘钥管理、数据脱敏、防火墙和漏洞扫描、集中审计等安全措施，应用敏感数据识别、数据防泄漏、数据泄漏追踪等安全技术，提升信息基础设施的安全保障能力，防止数据泄露、毁损、丢失等安全事件发生。
2.提升产品服务的个人信息全生命周期保护
近年来隐私设计理论（Privacy by Design）获得国际组织、各国政府机构、企业以及专家学者的高度认同，被誉为响应未来个人信息保护诉求的关键举措。企业可以在系统设计阶段考虑用户个人信息保护问题，将个人信息保护的需求通过设计嵌入系统之中，制定产品服务和商业实践的前提规则。增强数据使用透明度、提升用户控制力、遵循数据最小化收集均是隐私设计理论的重要实践。
提升个人信息收集使用透明度，在用户使用某一产品和服务的时候，清楚地告知用户其将被收集的个人信息范围、该产品或服务使用其个人信息的目的和方式。例如在用户使用网上购物、网约车、互联网医疗等应用软件或者使用智能家居设备前，通过易于访问的《隐私政策》详细说明产品或服务收集的个人信息和目的、存储时长和存储位置、数据分享和披露给第三方的详情、用户行使个人信息权利的方式、用户控制个人信息收集/处理的措施等内容。
遵循最小化收集原则，避免产品和服务数据过度收集导致的个人信息滥用风险。在收集个人信息时，仅收集与业务功能相关的目的相符的最小范围的信息，如果确需由于优化服务需要收集更多的个人信息，则应当充分解释数据最小化与目的之间的关系，在遵守告知同意以及用户控制的前提下，再行收集个人信息。例如，在用户使用网购、医疗健康等应用软件过程中，在用户未使用位置、通讯录相关功能时，应用软件不应收集用户的位置和通讯录信息。
增强用户对于个人信息的控制，让用户可以自主授权和管理个人信息，在保障用户合法权益的同时亦能有效减轻用户对隐私保护的担忧。例如，应用软件和智能设备在收集用户个人信息前，需要征得用户的主动授权同意；允许用户访问、修正、删除用户使用产品和服务产生的个人信息；给予用户撤回同意产品和服务收集其个人信息的方式；对于内容个性化推荐和广告定向推送，用户可以自由开启或关闭。
建议“互联网+”相关产品和服务在设计之初加入隐私保护理念，在用户使用过程中定期开展个人信息和隐私保护风险评估，通过持续的监督和评估，及时调整产品和服务的漏洞和缺陷，提升用户个人信息收集、使用、转移、销毁等全生命周期的保护和管理。
3.鼓励个人信息和隐私保护技术创新应用
匿名化、差分隐私、同态加密、区块链等技术的创新应用能够有效帮助企业在大数据开发应用与个人信息与隐私保护两者间达到有效平衡。企业可以在客户端采集数据时进行差分隐私和同态加密等处理后再上传至云端服务器，能够有效保护用户的原始数据，即使遭遇数据窃取亦能够借助信息的加密属性抵御隐私泄露。匿名化等脱敏技术已在各类信息服务中得到广泛应用，众多主流互联网服务提供商正在积极开发应用同态加密、差分隐私等隐私保护技术。此外，区块链技术也在“互联网+医疗健康”等领域的数据流通和隐私保护方面得到突破应用。现阶段个人健康数据碎片化特征显著，难以有效串联打通，医院就诊记录多记载在各种文本病例载体或储存在医院内部信息系统，院外自我监测数据零散记录在各类健康应用或智能设备中，区块链技术能够改变传统用户医疗健康信息的存储方式，利用加密技术将个人就诊和健康记录储存在区块链上，在保障隐私的同时实现个人健康信息的完整记录，极大方便用户的诊疗诊治和健康保养。建议产学研协同推动隐私保护技术研发，在大数据、人工智能等技术不断突破应用的环境中同步推进隐私保护技术的增强应用，不断提升数字经济时代个人信息保护水平。
（三）促进个人信息保护协同自律，提升公民个人信息保护意识
推进各行业依托“互联网+”推动产业升级过程中协同开展行业自律。个人信息保护难以单纯依赖政府依法监管解决全部问题，需要政府、企业、行业和公民个人等主体协同强化个人信息保护水平，调动行业自律，发挥多元规则的作用，不断优化商业环境。2019 年，中国互联网协会在工业和信息化部信息通信管理局的指导下，联合业界专家共同制定《用户个人信息收集使用自律公约》，呼应了用户反映强烈的过度收集个人信息、收集信息告知不充分、不给权限就不让用、一揽子授权等问题，引导和督促互联网企业规范收集和使用用户个人信息行为，努力营造健康、诚信、安全的网络生态环境，得到了50 余家互联网企业的积极响应。应进一步推动“互联网+电子商务”、“互联网+医疗健康”“互联网+出行服务”、“互联网+智能家居”等领域个人信息保护行业自律环境形成，鼓励建立联盟等自律组织，达成制度规范和自律公约等行业共识，开展政策宣贯、标准推广、案例评优、可信评估认证等行业自律活动，协同推进自律环境形成，综合提升各行业个人信息保护整体水平。
多措并举提升公民个人信息自我保护意识。公民个人在“互联网+”服务过程中，亦需不断增强自我防范意识，警惕网络陷阱，自觉保护个人信息安全。目前用户个人大部分通过手机APP、医疗健康智能硬件，智能家居设备等使用“互联网+”服务，在使用相关软件和设备过程中，用户可以通过很多方式提升对于自我信息的保护水平。
例如：选择正规的应用分发渠道下载相关应用软件；在使用产品和服务前认真阅读隐私保护政策，充分了解个人信息收集、使用的目的、方式和范围；谨慎授予智能终端应用软件个人信息收集、使用相关权限，如仅在使用相关功能时授予位置、通讯录、相机、录音等敏感权限，加强对个人信息的自我控制。在遇到侵犯用户个人信息和权益保护情况时，及时联系产品和服务提供者以及行业主管部门进行投诉和申诉，必要时通过司法手段维护个人合法权益。
