泄露用户个人信息防不胜防 你的简历可能在＂裸奔＂
在肯定上述行为涉嫌违法的同时,中国传媒大学政法学院法律系副主任郑宁还提出了依据:刑法第285条规定,非法获取计算机信息系统数据、非法控制计算机信息系统罪是指违反国家规定,侵入国家事务、国防建设、尖端科学技术领域以外的计算机信息系统或者采用其他技术手段,获取该计算机信息系统中存储、处理或者传输的数据,情节严重的行为。刑法第285条第2款明确规定,犯本罪的,处三年以下有期徒刑或者拘役,并处或者单处罚金；情节特别严重的,处三年以上七年以下有期徒刑,并处罚金。
“上述公司非法爬取用户数据,可能构成此罪。”郑宁说,同时还涉嫌违反网络安全法,“员工在求职网站上登记信息时,同意公开的应该只是最终显示的信息,而新增、修改、删除的信息,以及简历被其他HR、猎头查看次数等信息并不在其列。未经用户明示同意收集、使用这些信息,并向第三方提供,违反了网络安全法的规定”。
2017年6月1日,《中华人民共和国网络安全法》开始施行。其中明确规定,网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。网络运营者不得收集与其提供的服务无关的个人信息,不得违反法律、行政法规的规定和双方的约定收集、使用个人信息,并应当依照法律、行政法规的规定和与用户的约定,处理其保存的个人信息。任何个人和组织不得窃取或者以其他非法方式获取个人信息,不得非法出售或者非法向他人提供个人信息。
针对上述法律法规,德勤风险咨询部门信息技术风险团队就曾对企业建议,应尽快盘点已搜集、使用、存储的信息类型,个人信息对应的容器和载体,内部访问、处理、分析、使用个人信息对应的人员岗位,存储这些信息的系统情况,以及这些个人信息是否会被内部人员或者系统后台接口的方式披露、传输给外部第三方等信息,并就此评估当时业务操作与系统操作的现状是否能满足网络安全法中的法规要求。
未经被收集者同意
用户信息不得公开
查阅相关资料,记者注意到“爱伙伴”相关负责人曾对媒体说,简历中不存在法理规定的个人隐私信息,并且相关软件只解析简历信息中个人教育经历和个人求职经历两部分,是属于个人可向公众开放并知悉的信息。对于简历中的照片、联系方式、身份证等不在获取范围,解析前已经做了脱敏处理。
面对这样的解释,不少求职者认为根本站不住脚,“简历中的种种信息已经涉及到公民个人信息事项”。
“这种解释是与实际不符的。”在赵占领看来,如果按照这种说法,完全做脱敏处理,就不会出现把求职者的信息发给其公司相关负责人的情况,所以这种说法肯定是与实际情况不符的。此外,简历里的一些信息是有其可被知悉的范围的。如用户的教育信息会在一定的范围内被特定的某些人所知悉,但这并不意味着这类信息就不是用户隐私。
“关于这种行为是否涉及网络安全法中的公民个人信息事项,首先要明晰隐私和信息的概念。”赵占领分析说,隐私和信息的概念是有重合的,一般来讲,个人信息的概念范围更大一些,用户不想让他人知悉的这部分个人信息是隐私,用户求职时向某些公司发送简历的行为属于隐私范围,但同时也是个人信息。
“未经用户同意将用户的个人信息,甚至是隐私提供给他人,是违反网络安全法和全国人大常委会关于加强网络信息保护的决定的。这两份法律里都涉及对个人信息的收集使用需要遵循基本规则和程序正确,也就是说你要经过用户的同意。”赵占领说。
对此,郑宁同样认为,“如果用户同意公开,或者经过处理无法识别到用户个人的才可以公开”,因为网络安全法第42条规定,网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意,不得向他人提供个人信息。但是,经过处理无法识别特定个人且不能复原的除外。
值得注意的是,越来越多的用户数据处于“裸奔”状态,隐私信息泄露已经成为让人担忧却又束手无策的顽疾。一般存在两种情况,包括从招聘平台内部泄露和第三方数据抓取。
今年1月,界面新闻曾经报道超过2亿求职者简历泄露,曝光时间接近一周。人力资源服务企业前程无忧和58同城可能是简历数据来源,58同城的新闻发言人当时回应称,“简历数据不是从58同城的平台上泄露的”,而是用户将简历设置为公开可见时,被第三方数据抓取。
那么,针对这样的简历大数据公司,求职者能否报警,还是只能忍气吞声?
赵占领认为可以通过两个方法解决:第一,可以向网信部门下的个人信息保护的主管部门举报,如各地的网信办,尤其是大数据公司注册地的网信办。第二,如果涉嫌犯罪的可以向公安机关报案。如果发现很多人都存在信息可能被泄露的情况,可以一起向公安机关报案。这可能涉嫌刑事犯罪,侵犯公民个人信息罪。
“根据法律规定,求职者可以拨打热线电话12377向当地网信主管部门投诉,请求对网站进行行政处罚,涉嫌犯罪的可以报警。”郑宁说。
责任编辑：baizhiying
