莫踩公民个人信息的“雷区”

□北京盈科（上海）律师事务所  康烨

根据最新的《个人信息保护法》，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

随着《个人信息保护法》的实施，对于个人信息权益的保护日益完善。

笔者曾在一起侵犯公民个人信息案件中担任被告人的辩护人。法庭上，我听到同案被告人在最后陈述环节，说了这么一段话：  “在我们这个行业，打听客户信息是比较常见的，我们也并不觉得有怎么不对，现在我触犯了法律，付出了失去自由的代价，我希望国家能尽早出台个人信息保护法，对个人信息范围进行规定，好让我们知道哪些是需要保护的。”

他的言下之意是：国家对于个人信息保护的规定并不明确，所以他不知道哪些信息可以利用，哪些则不可以。

我不禁感觉有点遗憾：这个被告人在其行业内本已颇有建树，却缺乏相应的法律意识，甚至走过了这么长的司法程序，付出了这么惨痛的代价，还是没有搞明白公民个人信息安全的“雷区”在哪里。

当时虽然《个人信息保护法》尚未制定，但早在2017年6月1日，  《网络安全法》就已经实施了，这部法律对于个人信息就已经有了明确的规定。

根据最新的《个人信息保护法》，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

从“入刑”的角度，主要涉及以下几个数字：0、50、500和5000。

0：出售或者提供行踪轨迹信息，被他人用于犯罪的；知道或者应当知道他人利用公民个人信息实施犯罪，向其出售或者提供；也就是说，只要发生上述两种情形，司法是零容忍的；

50：非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息50条以上；

500：非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息500条以上；

5000：非法获取、出售或者提供第三项、第四项规定以外的公民个人信息5000条以上。

由于办案的原因，我曾经研究过数十家网站的隐私保护条款。经过梳理，我发现其中过半平台涉及个人信息的条款与相关法律的合规要求还有一定距离，只有一家由于是跨境电商，考虑到了域内外法规的衔接，在设计条款时显然经法律专业人士把关。

企业的信息安全意识尚如此滞后，企业员工乃至管理者的风险意识就可见一斑了。正因为如此，如今企业及其员工涉嫌侵犯公民个人信息罪的案例并不鲜见。

如果企业管理者都不好好吃透法律的话，底下的员工就有可能在具体操作、施行时走了样、踩了雷。

SourcePh" style="display:none">