近日，“通信代理商販賣個人信息40余萬條”的新聞引發(fā)廣泛關(guān)注。在重慶市經(jīng)營一家電信社區(qū)門店的代理商平某利用工作權(quán)限有償替他人查詢個人電話號碼，半年內(nèi)非法查詢并販賣公民手機號信息40余萬條，共獲利八萬余元。

　　南都·隱私護衛(wèi)隊注意到，近年來，通訊運營企業(yè)的員工、加盟代理商等內(nèi)部人員利用工作權(quán)限查詢并對外出售公民個人信息的事件屢見不鮮，這些能接觸、掌握大量信息的“內(nèi)鬼”們已成為公民個人信息泄露的重要來源之一，竊取的信息則被廣泛用于電信詐騙、身份冒用等情況中。

　　為何代理商等內(nèi)部人員利用工作權(quán)限獲取、出售公民個人信息的事件頻繁發(fā)生發(fā)生？整治的難點在哪？又該如何解決？

　　有專家指出，“內(nèi)鬼”往往是企業(yè)外部黑產(chǎn)的重點圍獵對象，被“拉下水”的幾率更高，建議實現(xiàn)業(yè)務(wù)操作全流程的可追溯、可審計。還有專家認為，個人信息保護應(yīng)由組織承擔(dān)最終責(zé)任，而不僅是個人責(zé)任，只有打破目前有組織、不負責(zé)的狀態(tài)，才可能解決此類問題。

　　文 / 樊文揚

　　圖片

　　利用權(quán)限販賣個人信息40萬余條，類似事件頻發(fā)

　　據(jù)報道，江蘇無錫警方曾接到市民報警，稱其因個人信息被冒用而頻繁遭到催債，警方據(jù)此展開調(diào)查并挖出了一條非法販賣個人信息的交易鏈。

　　自2020年10月起，在重慶市經(jīng)營某電信社區(qū)門店的運營商平某伙同店長及數(shù)名員工利用注冊的公司工號登錄系統(tǒng)，有償替他人查詢身份證對應(yīng)的手機號碼。該團伙形成了較為明確的分工，由平某作為對接者從購買方處獲得需要查詢的名單，再由店長分派給員工分別查詢，隨后平某憑借查詢結(jié)果與對方進行交易。

　　其中，查詢的每條信息以0.3元左右的價格出售，參與員工每人可分得七分錢的“好處費”，而店長則每條提成一分錢。半年以來，該團伙六人共查詢并販賣公民個人信息40余萬條，獲利八萬余元。目前，涉案人員均已被警方逮捕，無錫市濱湖區(qū)檢察院以涉嫌侵犯公民個人信息罪向平某等六人提起公訴。

　　事實上，通訊運營企業(yè)的員工、加盟代理商等內(nèi)部人員利用工作權(quán)限查詢并對外出售公民個人信息的事件近年來早已屢見不鮮。然而，電信精準詐騙大都來源于準確的個人信息，因此從銀行卡、電話卡、手機號等源頭性軟硬件設(shè)備和服務(wù)阻斷網(wǎng)絡(luò)黑灰產(chǎn)，是打擊電信網(wǎng)絡(luò)詐騙的重要手段。

　　據(jù)悉，今年8月，江西省吉安市警方發(fā)現(xiàn)其轄區(qū)內(nèi)部分通訊店在幫客戶辦理業(yè)務(wù)的過程中，在客戶不知情的情況下，使用其新辦的手機卡非法接收驗證碼，再將驗證碼交給黑灰產(chǎn)人員完成各類App注冊。在抓獲的145名涉嫌侵犯公民個人信息類案件的嫌疑人中，有127人系通訊店業(yè)務(wù)代理人員。

　　去年11月，五位圓通快遞公司員工以每日500元的價格將自己的公司內(nèi)部賬號租借給不法分子進入物流系統(tǒng)盜取用戶信息，包括發(fā)件人地址、姓名、電話以及收件人電話、姓名、地址等。以上述六個維度的信息共同組成一條信息來計算，被泄露的信息數(shù)量超過40萬條，涉案金額達120余萬元。

　　圖片

　　專家：組織應(yīng)擔(dān)最終責(zé)任，建議實現(xiàn)業(yè)務(wù)流程可追溯

　　為何代理商、運營商等內(nèi)部人員利用工作權(quán)限獲取、出售公民個人信息的事件頻繁發(fā)生發(fā)生？該問題整治的難點在哪？又應(yīng)如何解決？

　　對此，北京師范大學(xué)網(wǎng)絡(luò)法治國際中心執(zhí)行主任、博導(dǎo)、中國互聯(lián)網(wǎng)協(xié)會研究中心副主任吳沈括總結(jié)了公民信息泄露事件中“內(nèi)鬼”頻發(fā)的三個原因。

　　第一，相比外部人員，他們和數(shù)據(jù)資產(chǎn)的距離更近，有業(yè)務(wù)方便，容易得手；第二，“內(nèi)鬼”往往是企業(yè)外部黑產(chǎn)的重點圍獵對象，被“拉下水”的幾率更高；第三，個別企業(yè)設(shè)定的不合理業(yè)績要求往往間接促使內(nèi)部人員為了滿足考核要求去鋌而走險。

　　他還指出，這類問題的應(yīng)對思路應(yīng)是多方共治的多策并舉。“首先，要推動企業(yè)內(nèi)部建立清晰有效的‘定崗定責(zé)定人’制度，實現(xiàn)業(yè)務(wù)操作全流程的可追溯、可審計，確保‘數(shù)據(jù)-業(yè)務(wù)-人員’的嚴格匹配。其次，應(yīng)鼓勵支持建立面向社會大眾的投訴舉報激勵機制，發(fā)揮社會力量的外部監(jiān)督作用。再者，強化典型監(jiān)管執(zhí)法案例和司法裁判案例，以案說法，為數(shù)據(jù)業(yè)務(wù)運營和民眾維權(quán)提供清晰的指引。”

　　對外經(jīng)貿(mào)大學(xué)數(shù)字經(jīng)濟與法律創(chuàng)新研究中心執(zhí)行主任許可指出，傳統(tǒng)的個人信息是由個人掌握，如今隨著大型組織機構(gòu)出現(xiàn)，個人信息被海量收集和匯聚的風(fēng)險增大，也意味著傳統(tǒng)的個人侵權(quán)轉(zhuǎn)向了組織侵權(quán)。因此，整治此類事件的難點在于，個人信息保護應(yīng)該是一種組織責(zé)任，而不是個人責(zé)任。

　　“就此事而言，代理商個人毫無疑問需要承擔(dān)相應(yīng)的民事或刑事責(zé)任，但同時，組織也要承擔(dān)責(zé)任，或者作為雇主，為雇員在工作過程中的過錯承擔(dān)雇主責(zé)任；或者作為委托方，在受托人失職的情形下，對外承擔(dān)自己責(zé)任。如果一個組織不負責(zé)，這種問題就不可能解決。”許可說。

　　事實上，在今年8月獲得通過的個人信息保護法中第五十一條中，就規(guī)定了個人信息處理者有制定內(nèi)部管理制度和操作規(guī)程，對個人信息實行分類管理，采取相應(yīng)的加密、去標識化等安全技術(shù)措施以及合理確定個人信息處理的操作權(quán)限并定期對從業(yè)人員進行安全教育和培訓(xùn)等責(zé)任義務(wù)。

　　為此，他建議對個人信息進行分類分級，實行數(shù)據(jù)接觸可追溯制和脫敏制，并定期進行合規(guī)審計。具體而言，企業(yè)內(nèi)部的個人信息查詢、授權(quán)和使用規(guī)范要嚴格，同時健全個人信息的脫敏機制。“更重要的是，要將個人信息保護由個人責(zé)任轉(zhuǎn)變?yōu)榻M織責(zé)任，打破有組織的、不負責(zé)任的狀態(tài)，讓組織承擔(dān)起最終責(zé)任。”

　　此外，浙江墾丁律師事務(wù)所聯(lián)合創(chuàng)始人麻策也直言，個人信息的泄露最難防的并不在外部，而是內(nèi)部泄露風(fēng)險。公司在運營中應(yīng)通過培訓(xùn)加強員工網(wǎng)絡(luò)安全意識，明確個人信息分級分類權(quán)限，特別對批量化的導(dǎo)出下載等敏感事件進行預(yù)警，避免公司“內(nèi)鬼”帶來風(fēng)險。