政府采購實踐中應(yīng)強化個人信息保護

政府采購實踐中應(yīng)強化個人信息保護

——寫在《中華人民共和國個人信息保護法》頒布之際

■ 張澤明

人工智能技術(shù)的發(fā)展與智能手機的普遍使用，使得個人信息被非法收集的“門檻”越來越低。看房被房企攝像頭非法搜集人臉信息，進小區(qū)必須通過人臉打卡……加之各類APP幾乎“無孔不入”，不遺余力鼓勵用戶上傳人臉信息進行識別，過度收集個人信息乃至濫用、泄露個人信息已不是個案。

日前，最高法出臺相關(guān)司法解釋，為人臉識別劃出紅線；《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）也于近日正式頒布……個人信息保護的“法網(wǎng)”越扎越緊，對政府采購相關(guān)執(zhí)行者也提出更高要求，采購人以往在涉及個人信息收集上的一些慣常做法亟待改變。

考勤、監(jiān)控系統(tǒng)需求管理調(diào)整勢在必行

公眾對個人信息保護的意識不斷提升，由此產(chǎn)生的糾紛也呈上升趨勢。民法典施行以來，截止到今年6月30日，各級人民法院以個人信息保護糾紛為由立案的一審案件已有192件。為加大個人信息保護力度，規(guī)范法律適用，《最高人民法院關(guān)于審理使用人臉識別技術(shù)處理個人信息相關(guān)民事案件適用法律若干問題的規(guī)定》已于8月1日正式生效。

根據(jù)該司法解釋，人臉信息的處理者（采購單位）還要承擔(dān)不泄露采集人臉信息的責(zé)任，如果未采取應(yīng)有的技術(shù)措施或者其他必要措施確保其收集、存儲的人臉信息安全，致使人臉信息泄露、篡改、丟失，采購單位將承擔(dān)侵權(quán)責(zé)任。

該司法解釋還規(guī)定了信息處理者需要承擔(dān)更多的舉證責(zé)任，當(dāng)采購單位與員工發(fā)生人臉采集糾紛時，采購單位必須自證收集人臉信息合法性。如果確認采購單位侵權(quán)，被侵權(quán)者的維權(quán)成本可作為財產(chǎn)損失請求賠償。

基于此司法解釋，采購單位在維護及采購使用考勤系統(tǒng)、監(jiān)控系統(tǒng)等涉及采集個人信息軟件時，至少要考慮如下幾個問題：

一是存量人臉考勤系統(tǒng)應(yīng)合法使用。單位使用人臉考勤系統(tǒng)必須征得員工的同意，且不得強迫或變相強迫員工同意，否則將侵害到員工的人格權(quán)。

二是要確保即將采購的考勤及監(jiān)控系統(tǒng)采購需求合法性。采購人應(yīng)在采購考勤等系統(tǒng)前斟酌是否需要使用人臉考勤，如不使用，則考勤系統(tǒng)預(yù)算將大為降低。如果仍然需要繼續(xù)使用人臉考勤，則應(yīng)在需求中明確供應(yīng)商提供的考勤系統(tǒng)應(yīng)具備防止信息泄露機制，比如系統(tǒng)的存儲要求、調(diào)看及導(dǎo)出信息權(quán)限設(shè)置、是否使用終端加密設(shè)施提高系統(tǒng)使用者權(quán)限等。

需全面、完整理解個人信息保護

從近期工信部通報整改“違規(guī)調(diào)用通信錄、位置信息以及開屏彈窗”的APP來看，微信、搜狐視頻、騰訊視頻、攜程旅行、愛奇藝等眾多知名APP無一幸免，均赫然在列。今后一段時間，國家對違法收集個人信息的打擊力度只會加強不會減弱。

《個人信息保護法》將于11月1日正式開始施行。該法是構(gòu)筑個人信息保護法律體系的里程碑，對個人信息保護提出了很多原則性要求。筆者認為，以下四點非常值得采購人關(guān)注，以便為采購可能遇到的問題做好準(zhǔn)備。

一是該法明確了個人信息及處理的定義。個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。這樣的定義，意味著采購人采購的諸如監(jiān)控系統(tǒng)、社保系統(tǒng)、戶籍系統(tǒng)、安保系統(tǒng)、人事管理系統(tǒng)、醫(yī)療系統(tǒng)、學(xué)籍系統(tǒng)、報考系統(tǒng)等，均要提前考慮個人信息保護問題。

二是該法明確了“個人同意”是信息處理者處理個人信息的一般先決條件。該法還規(guī)定，個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應(yīng)當(dāng)重新取得個人同意。在公共場所安裝圖像采集、個人身份識別設(shè)備，為維護公共安全所必需，應(yīng)設(shè)置顯著的提示標(biāo)識，采集的個人信息只能用于維護公共安全的目的。

三是該法將重要個人信息定義為敏感個人信息，并完善了保護措施。明確生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡，以及不滿十四周歲未成年人的個人信息等屬于敏感個人信息。采集敏感個人信息還應(yīng)履行向個人告知處理敏感個人信息的必要性以及對個人權(quán)益的影響的特別義務(wù)。同時，完善了個人信息保護投訴、舉報工作機制。

四是該法特別強調(diào)了國家機關(guān)履行法定職責(zé)收集個人信息時，應(yīng)承擔(dān)主動告知、信息境內(nèi)存儲、最低限度收集等義務(wù)。

采購人應(yīng)全流程、寬嚴(yán)適度做好個人信息保護

當(dāng)然，面對個人信息保護措施的全面升級，采購人也不必草木皆兵，既要提高信息保護意識，也要正確把握信息保護的尺度。

首先，要加大對信息系統(tǒng)類項目采購的事中事后管理。要在采購文件中加入個人信息保護條款，敦促供應(yīng)商加大對系統(tǒng)信息保護的技術(shù)投入力度，對諸如存儲設(shè)備、數(shù)據(jù)庫、操作系統(tǒng)等要確保安全可控。在系統(tǒng)采購到位后，還要健全涉及個人信息系統(tǒng)的內(nèi)部控制機制，對諸如社保系統(tǒng)、戶籍身份系統(tǒng)等制定最嚴(yán)格的權(quán)限驗證登錄機制，最大限度降低個人信息泄露風(fēng)險。

其次，要依法對個人信息數(shù)據(jù)進行分級保護、分級對待?！稊?shù)據(jù)安全法》將于今年9月1日開始施行，其中首次提出建立數(shù)據(jù)分類分級保護制度，并重點保護重要數(shù)據(jù)目錄和國家核心數(shù)據(jù)，明確各地區(qū)、各部門對本地區(qū)、本部門工作中收集和產(chǎn)生的數(shù)據(jù)及數(shù)據(jù)安全負責(zé)。采購人要根據(jù)工作推進情況，及時吃透信息保護政策精神，探索本單位的個人信息數(shù)據(jù)保護細則，及時關(guān)注隱私計算等市場上信息保護新產(chǎn)品的效果，將保護要求規(guī)范到采購工作中去。

最后，不能因數(shù)據(jù)保護而因噎廢食。除了要保護個人信息尤其是個人隱私數(shù)據(jù)外，也要保證政務(wù)信息及時公開、確保共享信息的合理流動，避免片面加重個人信息保護采購成本。

《個人信息保護法》規(guī)定，處理個人敏感信息應(yīng)事前進行個人信息保護影響評估，針對小型個人信息處理者、處理敏感個人信息以及人臉識別、人工智能等新技術(shù)、新應(yīng)用，制定專門的個人信息保護規(guī)則、標(biāo)準(zhǔn)。據(jù)此，個人隱私信息將比一般個人信息具備更高的保護標(biāo)準(zhǔn)。此外，民法典規(guī)定，當(dāng)某信息既涉及私密隱私，也涉及個人信息的時候，首先適用隱私的保護；不能適用隱私的，才適用個人信息的保護。

那么如何確定哪些信息屬于隱私，適用更高的保護規(guī)定呢？采購人不妨關(guān)注近期北京互聯(lián)網(wǎng)法院針對黃某訴微信讀書侵害隱私權(quán)、個人信息權(quán)的判決。在此判決中，法院認為個人信息可劃分為符合社會一般合理認知下的私密隱私、不具備私密性的一般信息和兼具防御性期待和積極利用期待的個人信息三類。

簡言之，判斷特定個人信息是否處于隱私，除了一般社會公認的私密信息外，其余信息還要結(jié)合信息內(nèi)容、涉及人格尊嚴(yán)與否等因素判斷是否侵害隱私權(quán)。如果尚未達到對用戶人格刻畫的程度，不涉及人格尊嚴(yán)的維護問題，就不構(gòu)成隱私。基于此，法院認為微信讀書自動讀取的微信好友關(guān)系、個人讀書的時長、閱讀內(nèi)容等，在微信讀書界進行展示時不算隱私信息，僅為一般個人信息。這也為采購人在履行個人信息保護時提供一定參考。

（作者單位：大連海關(guān)）

本報擁有此文版權(quán)，若需轉(zhuǎn)載或復(fù)制，請注明來源于中國政府采購報，標(biāo)注作者，并保持文章的完整性。否則，將追究法律責(zé)任。