監(jiān)管趨嚴(yán)，大熱共享單車背后的網(wǎng)絡(luò)安全數(shù)據(jù)合規(guī)問題探析

監(jiān)管共享單車網(wǎng)絡(luò)安全

吳丹君王渝偉 | 2017-07-10 13:59

【數(shù)據(jù)猿導(dǎo)讀】共享單車企業(yè)普遍應(yīng)用的LBS服務(wù)，是基于位置的服務(wù)，簡稱“定位服務(wù)”，也被廣泛應(yīng)用于社交、導(dǎo)航、網(wǎng)約車、團(tuán)購等各種社會(huì)生活中。海量個(gè)人地理信息被頻繁獲取，暗藏著日益突出的個(gè)人地理信息風(fēng)險(xiǎn)。此外，共享單車企業(yè)掌握大量的用戶姓名、身份證號(hào)碼、電話號(hào)碼、行蹤軌跡、支付賬戶等...

監(jiān)管趨嚴(yán)，大熱共享單車背后的網(wǎng)絡(luò)安全數(shù)據(jù)合規(guī)問題探析

來源：數(shù)據(jù)猿作者：吳丹君王渝偉

近年來，共享單車，即互聯(lián)網(wǎng)租賃自行車行業(yè)快速發(fā)展。據(jù)不完全統(tǒng)計(jì)，目前全國共有互聯(lián)網(wǎng)租賃自行車運(yùn)營企業(yè)30多家，累計(jì)投放車輛超過1000萬輛，注冊(cè)用戶超1億人次，累計(jì)服務(wù)超過10億人次。

共享單車企業(yè)普遍應(yīng)用的LBS服務(wù)，是基于位置的服務(wù)，簡稱“定位服務(wù)”，也被廣泛應(yīng)用于社交、導(dǎo)航、網(wǎng)約車、團(tuán)購等各種社會(huì)生活中。海量個(gè)人地理信息被頻繁獲取，暗藏著日益突出的個(gè)人地理信息風(fēng)險(xiǎn)。此外，共享單車企業(yè)掌握大量的用戶姓名、身份證號(hào)碼、電話號(hào)碼、行蹤軌跡、支付賬戶等個(gè)人信息，這些個(gè)人信息的收集、處理、使用都需要合乎網(wǎng)絡(luò)安全和數(shù)據(jù)信息的法律規(guī)定，否則，共享單車企業(yè)及背后追逐的資本都將面臨巨大法律風(fēng)險(xiǎn)及違法成本。

《關(guān)于鼓勵(lì)和規(guī)范互聯(lián)網(wǎng)租賃自行車發(fā)展的指導(dǎo)意見(征求意見稿)》出臺(tái)

有鑒于此，今年5月22日，交通運(yùn)輸部正式發(fā)布了《關(guān)于鼓勵(lì)和規(guī)范互聯(lián)網(wǎng)租賃自行車發(fā)展的指導(dǎo)意見(征求意見稿)》（以下稱“《指導(dǎo)意見》”），開始向社會(huì)各界公開征求意見。《指導(dǎo)意見》對(duì)社會(huì)比較關(guān)心的網(wǎng)絡(luò)信息安全保護(hù)提出了針對(duì)性措施，規(guī)定加強(qiáng)網(wǎng)絡(luò)和信息安全保護(hù)。要求互聯(lián)網(wǎng)租賃自行車運(yùn)營企業(yè)應(yīng)當(dāng)遵守國家網(wǎng)絡(luò)和信息安全有關(guān)規(guī)定，將服務(wù)器設(shè)在中國境內(nèi)，并落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，建立網(wǎng)絡(luò)安全管理制度，完善網(wǎng)絡(luò)安全防范措施，依法合規(guī)采集、使用和保護(hù)個(gè)人信息，強(qiáng)化系統(tǒng)數(shù)據(jù)安全保護(hù)。采取的信息不得侵害用戶合法權(quán)益和社會(huì)公共利益，不得超越提供互聯(lián)網(wǎng)租賃自行車服務(wù)所必需的范圍；采取的信息和生成的相關(guān)數(shù)據(jù)應(yīng)當(dāng)在國內(nèi)儲(chǔ)存和使用。

《指導(dǎo)意見》關(guān)于網(wǎng)絡(luò)安全以及數(shù)據(jù)信息的保護(hù)，涉及了網(wǎng)絡(luò)安全等級(jí)保護(hù)制度、數(shù)據(jù)跨境傳輸、個(gè)人信息保護(hù)，也是10月1日即將生效的《民法總則》和今年6月1日剛實(shí)施的《網(wǎng)絡(luò)安全法》（以下稱“《網(wǎng)安法》”）的要求。

《民法總則》第一百一十一條規(guī)定了自然人的個(gè)人信息受法律保護(hù)，任何組織和個(gè)人需要獲取他人個(gè)人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個(gè)人信息，不得非法買賣、提供或者公開他人個(gè)人信息，首次從民事基本法層面明確個(gè)人信息權(quán)，把個(gè)人信息作為一項(xiàng)重要的民事權(quán)利予以保護(hù)。

共享單車企業(yè)屬于《網(wǎng)安法》所規(guī)制的主體“網(wǎng)絡(luò)運(yùn)營者”

共享單車企業(yè)也屬于《網(wǎng)安法》所規(guī)制的主體“網(wǎng)絡(luò)運(yùn)營者”，其作為網(wǎng)絡(luò)運(yùn)營者，需要履行《網(wǎng)安法》及其配套法規(guī)規(guī)定的網(wǎng)絡(luò)安全保護(hù)義務(wù)，包括實(shí)施個(gè)人信息保護(hù)、網(wǎng)絡(luò)安全等級(jí)保護(hù)制度、數(shù)據(jù)跨境傳輸限制等。

關(guān)于個(gè)人信息保護(hù)，《網(wǎng)安法》規(guī)定網(wǎng)絡(luò)運(yùn)營者收集、使用個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)對(duì)其收集的用戶信息嚴(yán)格保密，并建立健全用戶信息保護(hù)制度。任何個(gè)人和組織不得竊取或者以其他非法方式獲取個(gè)人信息，不得非法出售或者非法向他人提供個(gè)人信息。這就要求共享單車企業(yè)收集個(gè)人信息需合法明示收集，嚴(yán)格保密，不得超越提供互聯(lián)網(wǎng)租賃自行車服務(wù)所必需的范圍收集和使用。

關(guān)于網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，《網(wǎng)安法》規(guī)定網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，履行相應(yīng)安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。安全保護(hù)義務(wù)包括（一）制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負(fù)責(zé)人，落實(shí)網(wǎng)絡(luò)安全保護(hù)責(zé)任；（二）采取防范計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技術(shù)措施；（三）采取監(jiān)測、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月；（四）采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施。由于目前相應(yīng)的網(wǎng)絡(luò)安全等級(jí)保護(hù)制度實(shí)施辦法尚未出臺(tái)，建議共享單車企業(yè)可以依據(jù)我國現(xiàn)行的信息安全等級(jí)保護(hù)制度建立相應(yīng)的企業(yè)網(wǎng)絡(luò)安全管理制度，完善網(wǎng)絡(luò)安全防范措施。

關(guān)于數(shù)據(jù)跨境傳輸限制，由于共享單車企業(yè)的數(shù)據(jù)信息涉及我國公民的個(gè)人信息和可能屬于國家秘密的地理信息等重要數(shù)據(jù)，數(shù)據(jù)跨境傳輸或引起安全問題不容忽視。因此《指導(dǎo)意見》強(qiáng)調(diào)共享單車企業(yè)應(yīng)當(dāng)將服務(wù)器設(shè)在中國境內(nèi)，采取的信息和生成的相關(guān)數(shù)據(jù)應(yīng)當(dāng)在國內(nèi)儲(chǔ)存和使用?！毒W(wǎng)安法》也第一次將數(shù)據(jù)出境安全作為一項(xiàng)核心內(nèi)容，納入國家網(wǎng)絡(luò)空間安全整體框架，通過國家法律形式予以規(guī)范。作為《網(wǎng)安法》的配套法規(guī)，正在制定中的《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法（征求意見稿）》并未將數(shù)據(jù)出境評(píng)估主體限定在關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者，其規(guī)定網(wǎng)絡(luò)運(yùn)營者在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的個(gè)人信息和重要數(shù)據(jù)，應(yīng)當(dāng)在境內(nèi)存儲(chǔ)。因業(yè)務(wù)需要，確需向境外提供的，應(yīng)當(dāng)按照該辦法進(jìn)行安全評(píng)估。含有或累計(jì)含有50萬人以上的個(gè)人信息及包含海洋環(huán)境、敏感地理信息數(shù)據(jù)出境的，網(wǎng)絡(luò)運(yùn)營者應(yīng)報(bào)請(qǐng)行業(yè)主管或監(jiān)管部門組織安全評(píng)估；個(gè)人信息出境未經(jīng)個(gè)人信息主體同意，或可能侵害個(gè)人利益以及數(shù)據(jù)出境給國家政治、經(jīng)濟(jì)、科技、國防等安全帶來風(fēng)險(xiǎn)，可能影響國家安全、損害社會(huì)公共利益的都絕對(duì)禁止出境。

刑法加持，“行蹤軌跡”納入刑法保護(hù)的“公民個(gè)人信息”范圍

此外，在5月9日發(fā)布的《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問題的解釋》中，針對(duì)司法實(shí)踐中爭議頗多的“公民個(gè)人信息”范圍，該解釋將“行蹤軌跡”納入刑法保護(hù)的“公民個(gè)人信息”范圍，并規(guī)定非法獲取、出售或者提供行蹤軌跡信息50條以上即可入罪，加強(qiáng)了對(duì)侵犯個(gè)人信息犯罪的打擊懲戒力度。

新《測繪法》生效，個(gè)人地理信息保護(hù)網(wǎng)日漸密集

另外，值得共享單車企業(yè)特別關(guān)注的是今年7月1日剛剛生效的新修訂的《中華人民共和國測繪法》（以下稱“《測繪法》”），其出臺(tái)的背景就包括了地理信息安全風(fēng)險(xiǎn)日益增大，泄密事件頻發(fā)?！稖y繪法》規(guī)定地理信息生產(chǎn)、保管、利用單位應(yīng)當(dāng)對(duì)屬于國家秘密的地理信息的獲取、持有、提供、利用情況進(jìn)行登記并長期保存，實(shí)行可追溯管理。地理信息生產(chǎn)、利用單位和互聯(lián)網(wǎng)地圖服務(wù)提供者收集、使用用戶個(gè)人信息的，應(yīng)當(dāng)遵守法律、行政法規(guī)關(guān)于個(gè)人信息保護(hù)的規(guī)定。《測繪法》強(qiáng)化了對(duì)測繪信息、個(gè)人地理信息的立法保護(hù)，與《網(wǎng)安法》及其配套法規(guī)銜接，構(gòu)建起日漸密集的數(shù)據(jù)信息保護(hù)網(wǎng)。

在逐漸趨嚴(yán)的數(shù)據(jù)信息保護(hù)立法下，共享單車企業(yè)需要嚴(yán)格規(guī)范公民個(gè)人信息的收集，遵循合法、正當(dāng)、必要的原則，在必要的范圍內(nèi)合規(guī)使用數(shù)據(jù)，落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，禁止數(shù)據(jù)非法出境，向他人提供數(shù)據(jù)時(shí)要注意數(shù)據(jù)脫敏清洗，尤其注意對(duì)涉及個(gè)人信息及國家秘密的地理信息的管理。

注：本文由 觀韜中茂（上海）律師事務(wù)所 投稿數(shù)據(jù)猿發(fā)布。

歡迎更多大數(shù)據(jù)企業(yè)、愛好者投稿數(shù)據(jù)猿，來稿請(qǐng)直接投遞至：tougao@datayuan.cn

來源：數(shù)據(jù)猿

收藏分享

聲明：數(shù)據(jù)猿尊重媒體行業(yè)規(guī)范，相關(guān)內(nèi)容都會(huì)注明來源與作者；轉(zhuǎn)載我們?cè)瓌?chuàng)內(nèi)容時(shí)，也請(qǐng)務(wù)必注明“來源：數(shù)據(jù)猿”與作者名稱，否則將會(huì)受到數(shù)據(jù)猿追責(zé)。