当大数据遇上个人隐私( 二 ) 去年12月

《个人信息保护法》还规定了处理个人信息时，要遵守个人权益影响最小原则。这也意味着，企业不能过度收集用户信息，收集的信息必须与业务直接相关。王伯铮举了一款输入法的例子，“这款输入法要求访问用户的手机通讯录，声称这样当用户输入熟人姓名的汉语拼音首字母或简称时，输入法就可以弹出相关人姓名的词条。”他说，但实际上，收集个人通讯录超出了输入法的必要信息收集范围，同时，被收集到App后台的联系人和电话号码也存在泄露的风险，因此，该款App已经被工信部公示处罚。
彻底叫停“大数据杀熟”
放进“笼子”里的自动化决策
今年7月，浙江一起针对“大数据杀熟”的判决在网上掀起了一场舆情。某旅游服务平台给其一名“钻石级VIP”用户提供的酒店价格，比普通用户贵一倍还多，这名用户以“大数据杀熟”为由将该平台告上法庭，最终法院判决该平台“退一赔三” 。
《个人信息保护法》第二十四条规定，个人信息处理者利用个人信息进行自动化决策时，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。安永网络安全与隐私保护团队高级经理梁卓毅指出：“如果大数据算法设计本身和训练数据集有偏差，就会导致带有歧视的算法。”这就意味着，企业在业务运营中，应当对大数据处理和自动化决策进行人工干预，并对自动化决策结果进行人工复核，把自动化决策放进“笼子”里。
不仅如此，梁卓毅介绍，对自动化决策应有一套完整的监管体系——在决策处理前，应由人工对该决策可能会对用户产生的影响程度进行评估，决定是否采用自动化决策。并且，在使用自动化决策的过程中，要定期或至少每年一次，进行自动化决策的影响评估。“此外，企业还要建立透明的反馈机制，为用户提供查询、咨询和投诉的便利渠道，并能提供停止自动化决策的服务方式。”梁卓毅表示。
“个保法”落地
拒绝“打补丁”式合规，企业要有合规治理体系
《个人信息保护法》出台后，企业亟须出台完整的数字合规治理体系。
安永网络安全与隐私保护咨询服务团队总监朱汉乐将互联网企业的发展分为三个时期： “蛮荒时代” “网络安全法时代”和“个人信息保护法时代” 。他解释道， “蛮荒时代”是指在网络安全法出台之前，缺少个人信息保护机制的时期，企业野蛮生长； “网络安全法时代” ，则代表着个人信息保护受法律保障，也出现了一些监管行为，企业的应对方式是开始关注个人隐私问题，并开始了打补丁式的合规补救；而在《个人信息保护法》出台之后，互联网进入了“个人信息保护法时代” ，这时，企业如果还想继续生存，就需要将个人信息保护融入企业的业务全流程之中，将个人信息保护视为企业竞争力之一，“也就是说，企业要建立和实施个人信息保护合规治理体系，系统全面保护信息安全。
“治理体系因企业自身发展情况而异， ”朱汉乐说，但一些关键治理元素是不变的，例如人员组织。他说，数据和隐私保护不是靠几个人就能完成的，它需要客户支持、法律、运营、IT等多个职能人员的跨职能协作，“明确的问责制也是必不可少的” 。同时，与其他风险管控一样，数字合规体系也需要建立起至少三道防线，他进一步解释说，第一道防线是在业务条线中，培训员工合规操作；第二道防线是公司的风险管理和内控制度，定期披露风险管理报告，并对正在执行的流程进行合规抽查和监控；最后的第三道防线，则包含问责制度和内审流程。