■本报记者 任震宇

　　3月15日，中国消费者协会、中国网络空间安全协会、新华网联合发布了《个人信息超范围收集与泄露问题分析研究报告》（以下简称《报告》）。其中，个人和企业能力与信息不对称加剧信息滥用、企业技术防护不足导致泄露频发、海量数据汇集放大泄露后果这三大问题被点名。

聚焦三大突出问题

　　《报告》指出，个人信息超范围收集与泄露问题主要发生在互联网应用、金融、医疗、教育等重要领域，其中互联网应用领域问题尤为突出。《报告》结合已经处置的11个典型案例，梳理提出目前个人信息超范围收集与泄露的三大典型问题。

　　首先是个人与企业能力和信息不对称加剧信息滥用。此类问题的根源在于个人与企业之间能力和信息的高度不对称性，即企业或机构与个人在技术能力、知识储备和资源获取上的差距。具体表现为两种情形：一是技术能力差异导致信息收集失衡；二是知识储备差距引发信息认知偏差。2024年5月，某词典软件在不通知用户的前提下，其系统自动为客户默认勾选“已阅读并同意服务条款和隐私政策”的选项，若用户拒绝，系统将会自动闪退，无法正常使用。

　　其次是企业技术防护不足导致泄露频发。具体表现为3类情形：技术防护短板凸显、管理漏洞引发危机、责任逃避加重风险。2023年9月，某政务系统的承包商在测试数据时未履行安全义务，导致大量公民的个人身份信息和社保记录等敏感数据泄露。

　　第三是海量数据汇集放大泄露后果。一方面，海量数据集聚放大安全管理挑战，大量数据交互暴露安全防护薄弱环节，漏洞响应机制滞后加剧风险聚集传导；另一方面，泄露数据造成的个人信息失控风险往往具有不可逆性，即便漏洞被修复，泄露的数据仍可能被不法分子长期利用。

管理缺失个人选择权受阻

　　个人信息超范围收集和泄露，到底是什么原因造成的？《报告》对该问题进行了分析并提出，从企业层面来说，个人信息超范围收集与泄露存在合规制度缺位与安全管理缺失两大成因；从个人层面来说，则受到个人判断能力欠缺与寻求救济困难等因素影响。

　　在企业层面，存在企业合规缺位与安全管理缺失。企业合规的缺位表现在3个方面：个别企业合规制度不够完善，难以全面满足合规要求；个别企业合规制度浮于表面，事后审查流于形式；有些企业应急响应机制不健全，落实执行存在困难。企业安全管理缺失体现在4个方面：个别企业过度追求数据资产化利益；个别企业员工行为管理存在漏洞；个别企业与第三方合作缺少个人信息保护安全管理；个别企业数据全生命周期管理缺位。

　　在个人层面，存在判断能力欠缺与寻求救济困难。一是信息主体认知不足导致“同意”形式化困境，使得用户在面对复杂的个人信息处理规则时处于信息不对等的劣势地位，无法真正理解个人信息将被如何使用并作出合理决策；二是个别企业捆绑授权模式削弱用户选择权，大量平台与应用软件采用“全选同意”“一次性授权”的授权方式；三是技术复杂性与后果滞后性加剧安全风险，在此种认知偏差的驱使下，个人极有可能为了一时便利而将隐私问题抛诸脑后，对超范围收集行为放松警惕，从而为后续的信息安全埋下隐患；四是个人信息主体救济困难助长违法行为。

　　此外，在技术层面，个人信息保护与利用在技术上存在冲突也是个人信息超范围收集和泄露的一大原因。在数据收集技术方面，个别企业缺乏明确的技术规范和标准，导致收集行为随意性较大；个别企业数据收集技术过度应用，一些企业和机构为了获取更多个人信息，过度依赖数据收集技术，导致个人信息被超范围收集；个别企业存在技术漏洞导致个人信息收集失控。在数据存储技术方面，个别企业的存储技术存在安全性隐患；个别企业的存储设备和系统老化与维护不善；个别企业采用云存储带来安全风险。在数据使用技术方面，个别企业数据处理目的模糊造成数据滥用；个别企业数据使用操作不规范；个别数据分析技术存在局限性。

协同共治破解难题

　　为了破解个人信息超范围收集和泄露的难题，《报告》从企业合规、个人救济、技术保障3个方面提出对策建议，旨在推动形成个人信息保护的多方协同共治格局，破解个人信息超范围收集和泄露难题。

　　从企业层面，要规范管理落实主体责任。首先，完善个人信息保护合规体系，制定完善的个人信息处理规则，构建严格的内部合规审查流程，引入外部中立的合规监督力量。其次，强化个人信息处理员工管理，包括规范员工操作行为准则，开展全面深入的安全培训，加强员工职业道德教育。最后，健全落实应急处理安全机制，包括建立高效的信息泄露监测体系，制定详细的应急处理预案，进行全面的事后恢复与改进。

　　从个体救济层面，要倾斜保护化解救济困局。加强个人信息保护宣传教育，包括增强宣传教育培养保护意识、创新宣传模式共建网络生态。建立健全平台用户投诉机制，包括完善平台规则、明确投诉机制，设计便利的用户投诉方式。引入外部监督，提升投诉实效。

　　从技术保障层面，要用技术手段严守保护红线。赋予用户对个人信息的更多控制权，是个人信息保护的重要原则之一。开发用户自主控制工具，如“一键关闭权限”“个人信息可携带权”等功能，能够让用户更加便捷地管理个人信息，增强用户对个人信息保护的参与感和主动权。