“互联网+行业”个人信息保护研究报告.pdf

《“互联网+行业”个人信息保护研究报告.pdf》由会员分享，可在线阅读，更多相关《“互联网+行业”个人信息保护研究报告.pdf（43页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、 “互联网互联网+ +行业行业”个人信息个人信息 保护保护研究报告研究报告 （20202020 年）年） 中中国信息通信研究院国信息通信研究院 20202020 年年 3 3 月月 版权声明版权声明 本白皮书版权属于中国信息通信研究院，并受法律保护。 转载、摘编或利用其它方式使用本白皮书文字或者观点的， 应注明“来源：中国信息通信研究院” 。违反上述声明者， 本院将追究其相关法律责任。 本白皮书版权属于中国信息通信研究院，并受法律保护。 转载、摘编或利用其它方式使用本白皮书文字或者观点的， 应注明“来源：中国信息通信研究院” 。违反上述声明者， 本院将追究其相关法律责任。 致致 谢谢 本报告由

2、中国信息通信研究院、阿里巴巴法律研究中心、深圳市 腾讯计算机系统有限公司、小米科技有限责任公司、北京三快在线科 技有限公司联合撰写发布，特此感谢！ 编制团队：于润东、汤立波、康陈、顾伟、孟春婷、黄晓林、朱 玲凤、田翔、李玲旭、邢冲、黄俊、张亚男、李玉娇、王芳。 前前 言言 2015 年，国务院印发关于积极推进“互联网+”行动的指导意 见 ，在“互联网+”新形势的推动下，互联网加速向传统产业渗透， 互联网与各行各业实现融合式发展， 给人们的工作和生活带来了极大 的便利。 形成了以互联网等新一代信息技术为基础设施和实现工具的 经济发展新形态。 截至 2019 年 6 月，我国网民规模达到 8.54

3、 亿，互联网普及率达 61.2%， 手机网民规模达 8.47 亿， 网民使用手机上网的比例高达 99.1%。 “互联网+电子商务” 、 “互联网+出行服务” 、“互联网+智能家居”、 “互联网+医疗健康”等新业态发展迅猛，老百姓凭借手机即能方便 快捷地体验“网上购物” 、 “网约车” 、 “在线挂号”等便民服务。 然而在各类“互联网+”便民服务不断创新发展过程中，用户个 人信息保护问题日益凸显，个人信息泄露事件频频发生，过度收集、 使用用户个人信息乱象严重， 愈加精准的个性化推荐持续引发用户担 忧，强化“互联网+”个人信息保护工作刻不容缓。 习近平总书记在 2019 年国家网络安全宣传周作出重

4、要指示强调， “国家网络安全工作要坚持网络安全为人民、网络安全靠人民，保障 个人信息安全，维护公民在网络空间的合法权益。 ”当前， “互联网+ 电子商务” 、“互联网+出行服务”的用户基础均超过上亿规模，个人 信息收集使用范围广、体量庞大；“互联网+医疗健康”依托 5G、人 工智能等技术应用加速普及， 其服务必要收集的生理健康等个人信息 敏感程度高、流转环节多； “互联网+智能家居”伴随多元连接、人机 交互等技术的成熟应用加快渗透， 服务场景与用户日常生活息息相关， 用户隐私保护需求高。 本报告重点针对上述四类人民群众广泛使用的 “互联网+”服务进行研究，回应广大人民群众对于保障个人信息安 全

5、和合法权益的时代诉求。 本报告联合行业头部企业深入研究“互联网+”服务收集、使用 个人信息的范围和特点， 梳理归纳当前国内个人信息保护法规和监管 现状，剖析当前面临的问题和挑战，并从立法完善、政府治理、企业 自治、行业自律等方面提出个人信息保护建议，期待引发社会对于个 人信息保护的更多关注，为政府、企业、行业、公民协同强化个人信 息保护提供参考。 目 录目 录 一、典型“互联网一、典型“互联网+”服务产业现状和个人信息保护特征分析服务产业现状和个人信息保护特征分析 . 1 （一）典型“互联网+”服务产业现状 . 1 （二）典型“互联网+”服务个人信息保护特征分析 . 4 二、我国个人信息保护政

6、策措施现状二、我国个人信息保护政策措施现状 . 11 （一）个人信息保护法律制度框架逐步形成 . 11 （二）各行业在“互联网+”创新发展中不断强化个人信息保护要求 . 14 （三）个人信息保护专项监督活动陆续开展 . 17 三、典型行业“互联网三、典型行业“互联网+”服务个人信息保护挑战服务个人信息保护挑战 . 18 （一）“互联网+电子商务”个人信息保护风险和挑战 . 18 （二）“互联网+医疗健康”个人信息保护风险和挑战 . 21 （三） “互联网+智能家居”个人信息保护风险和挑战 . 23 （四）“互联网+出行服务”个人信息保护风险和挑战 . 25 四、四、“互联网互联网+行业行业”个

7、人信息保护综合提升建议个人信息保护综合提升建议 . 27 （一）建立健全个人信息保护综合治理体系 . 27 （二）加强个人信息保护基础保障，鼓励隐私保护技术增强应用 . 31 （三）促进个人信息保护合规自律，提升公民个人信息保护意识 . 34 图表目录图表目录 表 1“互联网+医疗健康”收集使用个人信息梳理 . 6 表 2“网约车”服务收集、使用个人信息梳理 . 10 “互联网+行业”个人信息保护研究报告（2020 年） 1 一、 典型 “互联网+” 服务产业现状和个人信息保护特征 分析 （一）典型“互联网（一）典型“互联网+ +”服务产业现状”服务产业现状 1.“互联网+电子商务”线上线下融

8、合生态催生更加丰 富的服务类型 我国电子商务产业总体发展水平走在世界前列， 网络零售额已经 连续六年稳居世界第一。国家统计局数据显示，2019 年上半年全国 实现社会消费品零售总额 19.5 万亿元，同比增长 8.4%，其中实物商 品网上零售额同比增长 21.6%，占社零总额比重达 19.6%，互联网+ 电子商务的健康有序发展，在扩大国内消费、助力乡村振兴、带动创 新创业、促进经济转型升级等诸多方面发挥了重要作用。 目前，基于移动互联网的电子商务加快转型升级，以美团、饿了 么为代表的外卖类电子商务用户规模持续增长，盒马鲜生、超级物种 等新零售电子商务新业态加速落地， 闲鱼等专业二手闲置物品电商

9、交 易平台发展迅猛。4G 时代已日渐火热的淘宝直播、小红书等视频内 容电商必然会随着 5G 技术的发展引来交易规模进一步跃升。 实体零售业加速拥抱互联网， 线上线下联动的新零售业态加速落 地。新零售服务商大量涌现，新零售推动线下门店体验再升级，且借 助互联网门店的服务范围打破了地域限制，智能货架、无人门店等创 新不断。大数据、人工智能等数字技术推动新型消费需求涌现。通过 大数据技术，消费者对品牌、产品价值、交易场景的新变化、新需求 “互联网+行业”个人信息保护研究报告（2020 年） 2 得以不断被挖掘与满足。 2.“互联网+医疗健康”极大提升百姓就医和健康管理 服务体验 我国的互联网技术进步

10、和政策支持推动互联网医疗快速发展。 2017 年 10 月，党的十九大报告提出要推进实施健康中国战略，将人 民的健康保障上升为国家战略。 随后， 国务院陆续出台 关于促进“互 联网+医疗健康”发展的意见国务院关于实施健康中国行动的意见 等“互联网+医疗健康”相关领域指导性意见，旨在提升医疗卫生现 代化管理水平，优化资源配置，创新服务模式，提高服务效率，降低 服务成本，满足人民群众日益增长的医疗卫生健康需求。 据前瞻产业研究院发布的2018 年中国互联网+医疗行业市场前 瞻与商业模式创新分析报告显示，目前我国互联网+医疗的用户规 模已达到 2.53 亿人，渗透率为 32.7%。根据预测，2016

11、-2026 年我国 互联网医疗的年复合增长率将维持在 33.6%的水平，并于 2026 年达 到将近 2000 亿人民币的市场规模。 “互联网+医疗健康”具有多种具体应用场景，常见的有以下九 大类，即： （1）智能健康医疗设备； （2）健康管理应用； （3）医药电 商； （4）在线问诊及健康咨询（互联网医院） ； （5）院外看护； （6） 健康医疗资讯； （7）医疗人工智能； （8）医疗便民服务； （9）医院信 息化。 随着 5G、人工智能等新一代信息技术迅猛发展，5G 在医疗健康 领域能够支持实现远程会诊、远程超声、远程手术、应急救援、远程 “互联网+行业”个人信息保护研究报告（2020 年

12、） 3 示教、远程监护、智慧导诊、移动医护、智慧院区管理、AI 辅助诊 断等众多医疗应用。医疗人工智能为患者提供诊断/治疗、健康咨询 意见，或为医疗保险、药物研发等环节提供辅助，以提高医疗服务的 效率及专业水平、减少医疗成本。未来，在大数据、5G、物联网、人 工智能以及区块链技术的综合运用下， 医疗产业将表现出更强的数据 驱动性，成为数字经济发展最活跃的领域之一。 3.“互联网+出行服务”新业态不断丰富消费者出行选 择 伴随互联网技术驱动、大众消费升级以及产业政策引导，出行 市场正在发生深刻的变革，出行新业态不断出现，以专车、快车和顺 风车为代表的网约车市场蓬勃发展。 网约车服务提供者依托互联

13、网技 术构建服务平台，整合供需信息，使用符合规定的车辆和驾驶员，按 照约定的时间、地点，提供非巡游的预约出租汽车服务。网约车凭借 移动互联网、 移动支付、 方便、 快捷等特点迅速被广大消费者所接受， 并广泛融入到消费者日常出行中。 2016 年 7 月 28 日，我国关于深化改革推进出租汽车行业健康 发展的指导意见 、网络预约出租汽车经营服务管理暂行办法 出台， 是全球第一个部门规章层面的网约出租车监管法规， 标志着我国网约 出租车合法化。据 CNNIC 中国互联网络发展状况统计调查显示，截至 2019 年 6 月，我国网约出租车用户规模达 3.37 亿，较 2018 年底增 长670万， 占

14、网民整体的39.4%； 我国网约专车或快车用户规模达3.39 亿，较 2018 年底增长 633 万，占网民整体的 39.7%。2018 年网约出 “互联网+行业”个人信息保护研究报告（2020 年） 4 租车整体市场交易规模达 2943.33 亿元， 2019 年网约出租车政策全 面收紧，但预计年交易规模仍将突破 3000 亿元 4.“互联网+智能家居”日益丰富的产品逐渐走进消费 者居家生活 移动互联网、5G、边缘计算、人工智能等技术在智能家居市场逐 步成熟应用，从解放双手的扫地机器人，到省去随身携带钥匙的智能 门锁，再到可以在根据温湿度自动调整运转模式的智能加湿器，各品 类智能家居产品不断

15、涌现， 逐渐延伸覆盖消费者居家生活的方方面面。 智能家居平台也已经逐渐成为智能家居生态重要的一环， 已经有小米 米家、阿里云 Link、HUAWEI HiLink、海尔 U+智慧平台等数十家智能 家居平台的出现，提供智能家居设备控制、管理、互联的综合服务。 据艾瑞咨询2018 年中国智能家居行业研究报告统计显示，2017 年中国智能家居市场规模达到 3254.7 亿元，且预计未来三年内，智 能家居市场将保持 21.4%的年复合增长率，到 2020 年市场规模将达 到 5819.3 亿元 。 （二）典型“互联网（二）典型“互联网+ +”服务个人信息保护特征分析”服务个人信息保护特征分析 1.“互

16、联网+电子商务”收集使用的个人信息类型多样 且敏感度普遍较高 电子商务涉及的具体商品与服务种类丰富， 收集使用的个人信息 类型繁杂。以提供通用商品与服务交易的“淘宝”为例，其会收集用 户的会员信息、设备信息、服务日志信息、订单信息、支付信息、物 “互联网+行业”个人信息保护研究报告（2020 年） 5 流信息、客服信息，以及用户主动发布的评价、问答等内容信息。以 提供垂直领域类型商品与服务的“飞猪”为例，在“飞猪”为用户提 供机票预订、信息通知及后续退改签服务时，需要根据服务类型的特 殊性收集必要的用户信息， 即在用户预订国内机票 （不含港澳台） 时， 用户应至少提供乘机人姓名、证件类型、证件

17、号码以及联系人姓名、 手机号码和电子邮箱；在用户预订国际及港澳台机票时，用户应至少 提供乘机人姓名、性别、国籍、出生日期、证件类型、证件号码、证 件有效期、证件签发地、联系人姓名、手机号码、电子邮箱。 电子商务服务收集的用户个人信息敏感程度普遍较高。 无论是通 用的商品与服务，还是特别类型商品与服务，电子商务因为涉及交易 和物流等必要环节，均可能需要收集“用户账户资金、交易订单、身 份证件信息、家庭住址”等个人敏感信息。如前述涉及到航旅酒店度 假等旅游产品服务时， 基于法律规定和具体服务的必要可能会涉及用 户身份证件信息、财产信息乃至住宿信息、行踪信息等；涉及跨境电 子商务场景时， 因为相关法

18、律规定需要收集用户身份证件信息用于包 裹通关服务；部分新零售场景下，相关电子商务服务提供者因提供刷 脸入会、刷脸支付而收集存储会员用户的面部特征信息。 2.“互联网+医疗健康”个人信息分级分类差异化保护 需求显著 医疗健康个人信息主要是指与个人生命健康、 医疗诊断和治疗有 关的个人信息。具体而言,医疗健康信息具有以下几方面特征:第一, 人身依附性:无论医疗信息以何种方式产生,其均与特定个人主体紧 “互联网+行业”个人信息保护研究报告（2020 年） 6 密相连；第二,敏感性:医疗信息一旦泄露、非法提供或滥用,可能危 害人身和财产安全,极易导致个人名誉、身心健康受到损害或歧视性 待遇;第三,大数

19、据属性:虽然单个医疗信息的社会价值较为有限,但 如果将某一群体的医疗信息进行整合,将可能产生巨大的社会价值和 商业价值。 以目前“互联网+医疗健康”主要应用对医疗健康个人信息进行 梳理，常见类型及用途主要如下： 表 1“互联网+医疗健康”收集使用个人信息梳理 功能功能 个人信息个人信息 用途用途 登记和登记和 管理管理 姓名 常规登记事项 身份证号 用于身份核实以及医保等医疗服务 手机号码 用于医疗服务过程中的沟通联络 诊疗号码 便于医疗机构识别特定个人且不用泄露姓名 等隐私 既往病史 用于了解患者在接受医疗服务之前的身体状 况 身体检身体检 测数据测数据 器官组织形态数据 B 超、 CT、

20、核磁共振等对身体器官和组织形态 的分析 血液成分数据 用于检测个人的肝功能、肾功能、血糖、血 脂等健康状况 DNA 检测数据 用于检测基因遗传性疾病等 蛋白质含量数据 用于检测特定炎症、癌症风险等 唾液成分数据 用于检测艾滋病毒、酒精等检测 传感器传感器 心电图 用于反应患者实时心率，帮助诊断心律失常 “互联网+行业”个人信息保护研究报告（2020 年） 7 采集数采集数 据据 脑电图 用于检测精神分裂症、躁狂抑郁症、精神异常 等 睡眠数据 智能枕头收集数据，分析睡眠质量 步行计数 运动手环等智能设备记录步行数量 治疗性治疗性 数据数据 医嘱 反应医生的针对性诊疗方案 病历 反应患者基本情况、

21、治疗过程和效果 医保数据 反应医学诊断、药物报销等 数据来源：腾讯 “互联网+医疗健康”个人信息的定义和范围正在研究明确。全 国信息安全标准化技术委员会正在组织制定信息安全技术 健康医 疗信息安全指南 （征求意见稿）标准，使用了个人健康医疗信息的 概念，将其界定为“能够单独或者与其他信息结合识别特定自然人或 者反映特定自然人生理或心理健康相关信息，涉及个人过去、现在或 将来的身体或精神健康状况、 接受的医疗保健服务和支付的医疗保健 服务费用等” ，具体可能包括：1）提供健康医疗服务时登记的个人信 息；2）出于健康医疗目的，例如治疗、支付或保健护理等，分配给 个人的唯一标识号码或符号等；3）在向

22、个人提供健康医疗服务过程 中采集的有关个人的任何数据；4）来自身体部位或身体物质检查或 检验的结果数据；5）可穿戴设备采集的与个人健康相关的数据；6） 接受的健康医疗服务相关数据；7）为个人提供健康医疗服务的服务 者身份信息；8）关于个人的支付或医保相关数据等等。 去标识化的医疗个人信息使用规则仍需探索明确。 “去标识化” 在概念上是指通过对个人信息的技术处理， 使其在不借助额外信息的 情况下，无法识别个人信息主体的过程。 信息安全技术 健康医疗 “互联网+行业”个人信息保护研究报告（2020 年） 8 信息安全指南 （征求意见稿）使用了“受限制数据集（limited data set）”的概

23、念，规定经过去标识化处理的个人健康医疗信息可在未 经个人健康医疗信息主体授权的情形下用于研究或公共卫生等目的， 另外在临床研究场景中也以对信息“去标识化”为前提给出了获取 受试者知情同意的例外情形。然而信息安全技术 健康医疗信息安 全指南只是处于征求意见稿状态的推荐性国家标准，不具有强制约 束力，现有条款对知情同意的豁免也仅限于研究或公共卫生等目的， 关于去标识化医疗健康信息的合规收集和使用规则仍有待明确。 3.“互联网+智能家居”多样的产品形态使得个人信息 收集碎片化特征明显。 智能家居设备类型丰富，所收集使用的个人信息类型多样，数据 碎片化存储在各类设备中。以米家应用为例，智能家居设备目前

24、已有 十一个大类产品，包括摄像机、电源开关、照明、家居安防、厨房电 器、环境电器、传感器、娱乐影音、生活电器、运动健康等。智能家 居设备可以覆盖用户在所有房间的使用，例如厨房的烟灶机、洗手间 的感应灯、客厅的扫地机器人、卧室的空气净化器。这些丰富产品的 个人信息收集情况依据各自服务场景而有所不同。例如，扫地机器人 为了完成定时打扫的任务，会收集用户的定时信息、设定的路线；智 能灯具会收集用户的起居时间、明暗偏好等信息。如果智能家居设备 运用到了设备间联动场景， 则会收集用户多种设备的信息进行计算处 理，数据类型更丰富。例如，当用户设定条件为：进入家门则房间亮 彩色的灯且播放音乐。那么，为了实现

25、此联动，至少需要收集用户的 “互联网+行业”个人信息保护研究报告（2020 年） 9 指纹信息（门锁收集） 、开门的状态（门锁收集） ，以及灯和音箱的状 态。目前部分智能家居设备在实现产品功能时，收集个人敏感信息。 智能门锁以指纹作为开锁凭证时，需要收集个人的指纹信息。具备人 脸识别功能的摄像头，需要收集人脸信息。智能体重秤收集用户个人 的身高、体重、心率等，进而为用户提供健康提示。安防摄像头在实 现安防监测和预警时，会记录反映用户生活状态的视频信息。智能音 箱在提供语音助手服务过程中，会记录用户的语音对话信息。 手机客户端软件作为个人信息汇聚和传输的关键通道， 直接制约 “互联网+智能家居”

26、产品和服务的个人信息保护水平。用户在使用 智能家居产品中， 大多通过手机客户端软件实现产品和服务的设置和 控制，依托无线通信实现设备连接交互，通过互联网实现数据的上传 汇聚和智能分析。在此过程中，用户个人信息在手机客户端软件、数 据传输通道、后台服务器等关键环节流转，因此，隐私保护制度设计 和安全技术应用对于智能家居产品和服务的个人信息安全保障至关 重要。 4.“互联网+出行服务”收集“位置”等个人敏感信息 且信息收集实时性要求高 为满足运营网约车的基本要求， 网约车在提供服务过程中需要获 取个人身份以进行实名制认证和安全保护， 需要获取位置以提供叫车 服务，需要获取支付信息以完成订单支付。衍

27、生出的常去地点、轨迹 信息、出行偏好属于相对敏感的个人信息，且在用户使用服务过程中 需要持续获取“位置”等信息以提供必要的行程计费和安全保障等基 “互联网+行业”个人信息保护研究报告（2020 年） 10 础服务。根据目前用户使用网络预约出租车服务流程进行梳理，分析 网约车服务收集个人信息情况主要如下表 2。 表 2“网约车”服务收集、使用个人信息梳理 功能功能 个人信息个人信息 用途用途 注册注册 手机号 实名制要求，用于联系用户。 账号、密码 用于网络约车用户账号信息安全。 电子邮箱地址 用于收取电子发票进行报销。 发单发单 常用地址记录 方便用户输入目的地提升使用体验。 代人叫车代人叫车

28、 通讯录导入联系人 方便输入被代叫人的手机信息， 提升体验。 接驾接驾 IM 文字聊天记录 允许保存用户文字聊天记录作为服务判责 依据。 IM 语音内容 允许保存用户文字聊天记录作为服务判责 依据。 完成订单完成订单 用户发布信息 用于形成出行订单。 身份认证信息 监管要求。 订单日志 用于用户查询行程， 报销， 找回丢失物品等。 上网日志 监管要求。 行驶轨迹 用于用户查询行程， 报销， 找回丢失物品等。 约车交易信息 用于用户查询行程，报销，找回丢失物品 等。 录音录像 用于安全保障以及投诉处理的录音和视频 取证。 安全联系人 用户亲友电话信息，在发生特殊情况能够 紧急联系。 “互联网+行

29、业”个人信息保护研究报告（2020 年） 11 出发地 精准定位信息仅用于确定用户当前位置， 推荐周围上车点， 搜索显示附近车辆信息。 到达地 位置信息 支付支付 第三方支付方式 用于用户使用第三方支付方式对订单付 款、用户账户余额提现等。 客服客服 客服通话录音 用于监督客服服务质量。 风险控制风险控制 设备信息 用于用户身份识别、风险防控。 数据来源：美团出行 在车主端，还需要车主提供身份证、驾驶证、行驶证、车辆图片 等车主认证信息， 网约车资质认证信息以及用于确认车主身份的人脸 识别信息等。由于政策要求，车主端收集、使用个人信息类型更加多 样，且敏感程度更高，车主端个人信息保护需求相对更

30、高。 二、 我国个人信息保护政策措施现状 （一）个人信息保护法律制度框架逐步形成（一）个人信息保护法律制度框架逐步形成 我国的个人信息保护立法属于分散模式， 专门性的个人信息保护 法尚未出台。现有立法通过“人格尊严” 、 “个人隐私” 、 “个人秘密” 、 “保障信息安全”等范畴对个人信息实现直接或间接的保护。例如， 民法通则 、民法总则 、消费者权益保护法 、治安管理处罚法 、 侵权责任法 、 居民身份证法等法律、行政法规中都涉及到个人 信息保护的相关条款。 近年来，在法规中直接对“个人信息保护”进行规定的趋势日益 明显。2012 年底，全国人大常委会通过了关于加强网络信息保护 “互联网+行

31、业”个人信息保护研究报告（2020 年） 12 的决定 （以下简称人大决定 ） ，首次以法律的形式明确规定保护 公民个人及法人信息安全，建立网络身份管理制度，赋予政府主管部 门必要的监管手段， 对进一步促进我国互联网健康有序发展具有重要 意义。为落实人大决定的要求，2013 年 7 月，工业和信息化部 出台了电信和互联网用户个人信息保护规定 ，该规定进一步明确 了电信业务经营者、互联网信息服务提供者收集、使用用户个人信息 的规则和信息安全保障措施等。 2016 年 11 月 7 日，全国人大常委会通过了网络安全法 ，并 将个人信息保护纳入网络安全保护的范畴， 网络安全法 第四章 “网 络信息安

32、全”也被称为“个人信息保护专章” 。 网络安全法总结了 我国个人信息保护立法经验，针对实践中存在的突出问题，将近年来 一些成熟的做法作为制度确定下来。一是统一了“个人信息”的定义 和范围。 人大决定将其保护的信息界定为“公民个人电子信息” ； 而 2013 年工业和信息化部的 电信和互联网用户个人信息保护规定 （第 24 号令）则采用了“用户个人信息”的表述。 网络安全法中 统一采用了“个人信息”的表述，并将个人信息定义为“以电子或者 其他方式记录的能够单独或者与其他信息结合识别自然人个人身份 的各种信息， 包括但不限于自然人的姓名、 出生日期、 身份证件号码、 个人生物识别信息、住址、电话号

33、码等。 ”二是确立了个人信息收集 使用的基本原则。 网络安全法在人大决定和工信部第 24 号令 的基础上，充分吸收国际个人信息保护通行规则，确立了个人信息收 集使用的基本原则。具体体现在五个方面：1.合法正当原则，网络运 “互联网+行业”个人信息保护研究报告（2020 年） 13 营者收集使用个人信息必须出于正当目的，采用合法形式；2.知情同 意原则，要求网络运营者公开隐私规则，获得用户同意；3.目的限制 原则，网络运营者不得超范围收集、不得违法和违约收集；4.安全保 密原则，网络运营者不得泄露毁损个人信息，要采取预防措施、补救 措施防止个人信息事故；5.删除改正原则，网络运营者应当应个人要

34、求删除违法、违约信息、改正有误信息。三是规定了相关主体的个人 信息保护义务。对于网络运营者，要求其在收集使用个人信息的时候 遵守网络安全法规定的基本原则；未经被收集者同意，不得向他 人提供个人信息；应当建立网络信息安全投诉、举报制度，及时受理 并处理有关网络信息安全的投诉和举报； 并积极配合网信部门和有关 部门依法实施的监督检查。 对于依法负有网络安全监督管理职责的部 门及其工作人员，要求必须对在履行职责中知悉的个人信息、隐私和 商业秘密严格保密，不得泄露、出售或者非法向他人提供。此外，任 何个人和组织不得窃取或者以其他非法方式获取个人信息， 不得非法 出售或者非法向他人提供个人信息。 四是规

35、定了违反个人信息保护的 法律责任，弥补了人大决定中没有罚则的不足。 网络安全法 第六十四条赋予了主管部门根据违法情节采取责令改正、警告、没收 违法所得、罚款、责令暂停相关业务、停业整顿、关闭网站、吊销相 关业务许可证或者吊销营业执照等层次分明的行政处罚的措施。 同时， 第七十四条也规定了违反本法规定应当依法承担民事责任、 治安处罚 和刑事责任。通过建立完善的法律责任体系， 网络安全法为公民 个人信息保护提供了强有力的保障， 也为主管部门在个人信息数据管 “互联网+行业”个人信息保护研究报告（2020 年） 14 理执法提供了丰富的执法手段。 此外， 征信业管理条例 （2013 年） 、 刑法修

36、正案（九） （2015 年） ，以及司法解释最高人民法院关于审理利用信息网络侵害人身 权益民事纠纷案件适用法律若干问题的规定 （2014） 、 最高人民法 院、 最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若 干问题的解释 （2017） 、 最高人民法院、最高人民检察院关于办理 非法利用信息网络、 帮助信息网络犯罪活动等刑事案件适用法律若干 问题的解释 （2019）等也分别是行业监管立法、刑事立法、民事立 法等方面进一步补充健全了我国的个人信息保护法律体系。 （二）各行业在“互联网（二）各行业在“互联网+ +”创新发展中创新发展中不断强化个人信不断强化个人信 息保护要求息保护要求 网

37、络安全法等综合立法明确了各行业在“互联网+”应用下 的个人信息保护义务，众多行业主管部门出台的规章、规范性文件中 也对具体行业个人信息保护提出了要求。 在“互联网+电子商务”领域， 电子商务法明确要求电子商务 经营者收集、使用其用户的个人信息，应当遵守法律、行政法规有关 个人信息保护的规定。电子商务经营者应遵守网络安全法等法规 要求，在收集、使用个人信息过程中，应当遵循合法、正当、必要的 原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范 围，并经被收集者同意，不收集与其提供的服务无关的个人信息，不 违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应 当依照法律、行政法规的

38、规定和与用户的约定，处理其保存的个人信 “互联网+行业”个人信息保护研究报告（2020 年） 15 息。 在“互联网+医疗健康”领域，医疗个人信息和隐私保护的法律 规范分散于侵权责任法 、 精神卫生法 、 传染病防治法 、 网络 安全法等法律中。在产业政策和部门规章层面，2018 年国务院办 公厅印发 关于促进 “互联网+医疗健康”发展的意见 ， 明确提出 “研 究制定健康医疗大数据确权、开放、流通、交易和产权保护的法规。 严格执行信息安全和健康医疗数据保密规定， 建立完善个人隐私信息 保护制度， 严格管理患者信息、 用户资料、 基因数据等， 对非法买卖、 泄露信息行为依法依规予以惩处。 ”2

39、018 年国家卫生健康委员会、国 家中医药管理局印发的互联网医院管理办法（试行） 第二十八条 明确规定“互联网医院应当建立互联网医疗服务不良事件防范和处 置流程，落实个人隐私信息保护措施，加强互联网医院信息平台内容 审核管理，保证互联网医疗服务安全、有效、有序开展” 。此外，在 国家标准层面，2018 年 12 月，全国信息安全标准化技术委员会发布 信息安全技术 健康医疗信息安全指南 （征求意见稿） ，对于医疗 健康涉及的个人信息进行梳理归纳， 并尝试提出全生命周期的保护要 求。 在“互联网+智能家居”领域，全国信息安全标准化技术委员会 在 2019 年 6 月发布了信息安全技术 智能家居安全

40、通用技术要求 （征求意见稿） ，并向社会广泛征求意见。该标准规定了智能家居通 用安全技术要求，包括智能家居整体框架、智能家居安全模型以及智 能家居终端安全要求、智能家居网关安全要求、通信网络安全要求和 “互联网+行业”个人信息保护研究报告（2020 年） 16 应用服务平台安全要求。 该标准研制目标是为政府及企业等实体智能 家居安全能力建设及运维工作提供实施依据； 为智能家居设备研发厂 商、服务提供商在安全开发、安全防护及安全运营上提供指导要求； 为第三方机构针对大数据平台的安全测评工作提供参考依据。 在“互联网+出行服务”领域，2016 年交通运输部、工信部等七 部委出台的网络预约出租汽车经

41、营服务管理暂行办法对于司乘个 人信息保护提出相关规定。其中第二十六条明确提出“网约车平台公 司应当通过其服务平台以显著方式将驾驶员、 约车人和乘客等个人信 息的采集和使用的目的、方式和范围进行告知。未经信息主体明示同 意，网约车平台公司不得使用前述个人信息用于开展其他业务。网约 车平台公司采集驾驶员、约车人和乘客的个人信息，不得超越提供网 约车业务所必需的范围。 除配合国家机关依法行使监督检查权或者刑 事侦查权外，网约车平台公司不得向任何第三方提供驾驶员、约车人 和乘客的姓名、联系方式、家庭住址、银行账户或者支付账户、地理 位置、出行线路等个人信息，不得泄露地理坐标、地理标志物等涉及 国家安全

42、的敏感信息。发生信息泄露后，网约车平台公司应当及时向 相关主管部门报告，并采取及时有效的补救措施。 ”此外，交通行业 标准 JT/T 1068-2016 网络预约出租汽车运营服务规范在 4.4 章 规定了网约车信息安全规范要求，包括信息安全制度、收集、使用、 销毁等方面提出了规范要求。 此外，2019 年国家互联网信息办公室发布儿童个人信息网络 保护规定 ，各行业“互联网+”服务经营者还需要特别注意儿童个人 “互联网+行业”个人信息保护研究报告（2020 年） 17 信息保护问题，收集、使用、转移、披露儿童个人信息应当设置专门 的儿童个人信息保护规则和用户协议， 指定专人负责儿童个人信息保 护

43、。同时，确保以显著、清晰的方式告知儿童监护人收集、使用、转 移、披露儿童个人信息的情况，征得儿童监护人的同意。 （三）个人信息保护专项监督活动陆续开展（三）个人信息保护专项监督活动陆续开展 中央网信办等四部门开展 “App 违法违规收集使用个人信息专项 治理”。2019 年 1 月 25 日，中央网信办、工业和信息化部、公安部 和国家市场监管总局等四部门联合发布 关于开展 App 违法违规收集 使用个人信息专项治理的公告 ，决定自 2019 年 1 月至 12 月，在全 国范围组织开展 App 违法违规收集使用个人信息专项治理。 在 App 专 项治理行动中，四部门指导成立了 App 专项治理

44、工作组，研究制定了 App 违法违规收集使用个人信息行为认定办法等一系列个人信息 保护相关技术指导文件和政策文件。据中央网信办通报，截止 2019 年 9 月，已收到近 8000 条举报信息，其中实名举报占到近 1/3，将 400 余款下载量大、用户常用 App 纳入了评估，向 100 多家 App 运营 企业发送了整改建议函，评估发现的问题得到整改落实。 工业和信息化部开展 APP 侵害用户权益专项整治行动。 工信部于 2019 年 11 月 4 日发布关于开展 APP 侵害用户权益专项整治工作的 通知 ，就 APP 违规收集个人信息、过度索权、频繁骚扰用户等侵害 用户权益问题，开展信息通信

45、领域 APP 侵害用户权益专项整治。工信 部专项整治工作坚持问题导向， 聚焦人民群众反映强烈和社会高度关 注的侵犯用户权益行为， 面向 APP 服务提供者和 APP 分发服务提供者 “互联网+行业”个人信息保护研究报告（2020 年） 18 两类主体对象，重点整治违规收集用户个人信息、违规使用用户个人 信息、不合理索取用户权限、为用户账号注销设置障碍等四个方面的 8 类突出问题。专项整治行动针对存在问题的 APP，将依法依规予以 处理，具体措施包括责令整改、向社会公告、组织 APP 下架、停止 APP 接入服务，以及将受到行政处罚的违规主体纳入电信业务经营不 良名单或失信名单等手段，对于问题突出、严重违法违规、拒不整改 的 APP 主体，将从严处置。 三、典型行业“互联网+”服务个人信息保护挑战 （一） “互联网（一） “互联网+ +电子商务电子商务”个人信息保护风险和挑战个人信息保护风险和挑战 在网络购物环境整体向好的同时，当前互联网+电子商务环境下 的个人信息保护仍面临着诸多挑战， 例如网购信息泄露及相关电信诈 骗事件时有发生；消费者风险防范和自我保护意识不强；电子商务灰 黑产业链猖獗，严重危害网络购物环境。 1. 电子商务个人信息流转链条长，数据保护难度大 电子商务活动属于典型的多边市场，参与方除了平台之外，还包 括卖家、买家、从事灵活就业的“网约工” 、从事“