在类似案件中,法院作出判定的理由是“非法获取公民个人信息,并向他人出售”。实际上,目前不少相关法律法规对此都有规定。
网络安全法第四十二规定,未经被收集者同意,不得向他人提供个人信息;第四十四条规定,任何个人和组织不得窃取或者以其他非法方式获取个人信息,不得非法出售或者非法向他人提供个人信息。
根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》,违反国家有关规定,通过购买、收受、交换等方式获取公民个人信息,或者在履行职责、提供服务过程中收集公民个人信息的,都属于“非法获取公民个人信息”。
多名专家对南都记者表示,目前法律上对谁有资格提供身份信息核验服务的规定并不明确,但如果各级数据服务商都能做到合规,并不必然导致个人信息泄露。
问题出在“非法缓存”公民个人信息并以此牟利的行为上。
“这个接口本身实际上只是提供查询服务的一种方式,法律上没有禁止”,对外经济贸易大学数字经济与法律创新研究中心执行主任许可指出,“而且这些数据本身是用户提供的,公安部只是做了一个是或否的回复,不存在数据传输。”
他表示,数据服务商与终端用户之间没有直接关系,应该在按照委托人指定的目的做完身份核验之后就删除数据,无权长期存储这些数据或用于其他用途。如果导致个人信息泄露,应该由当事企业承担责任。
谈及数据接口服务商对于接入企业的监管责任,上海金融与法律研究院院长傅蔚冈认为,双方应该遵循网络安全法,签订严格的协议,确保数据不会大面积泄露;数据接口服务商还应该具备一定的安全技术,保证接口不被盗用。
查询接口层层转接,数据接口服务商资质参差不齐、非法缓存无人监管,都为公民个人信息泄露埋下了极大的隐患。如此混乱的身份信息核验市场该如何规范?
许可认为,身份信息属于公共数据,身份信息核验是国家提供的基础服务,不应交给第三方来运营,也不应该收费。在目前已经免费的基础上,公安部等一级渠道可以建立准入标准,允许有资质的企业接入,不再下设代理商。
接入企业的数量放开之后,考虑到可能需要针对不同应用场景产生开发成本,或者造成数据源端口的流量拥堵,也可以适当收费。这时多个企业或机构会相互竞争,不至于形成垄断,价格也会更加合理。
傅蔚冈也建议,可以从数据源头上开放多个渠道,把纵向的身份信息核验链条变为横向,让其他有