2023成都積分入學(xué)什么時候開始申請
2023-01-31
行程卡下架后應(yīng)刪除個人信息
更新時間：2022-12-14 00:06:45作者：智慧百科
個人信息處理者負(fù)有“證明自己履行了刪除義務(wù)的證明責(zé)任”。如果今后發(fā)現(xiàn)其并未刪除，無論是否泄露或者是否利用，都構(gòu)成非法處理個人信息，應(yīng)當(dāng)承擔(dān)法律責(zé)任
文｜樊瑞
編輯｜郭麗琴
隨著中國疫情防控政策的調(diào)整，已經(jīng)在普羅大眾生活中存在達(dá)兩年九個月之久的“通信大數(shù)據(jù)行程卡”（下稱“行程卡”），將于12月13日0時正式下線。
讓各方關(guān)注的是，應(yīng)當(dāng)如何妥善處理行程卡所涉的海量個人信息？其中行程卡中的行蹤軌跡、健康寶中的生物識別人臉信息，都屬于《個人信息保護(hù)法》規(guī)定的敏感個人信息，信息處理者應(yīng)當(dāng)承擔(dān)更嚴(yán)格的搜集和處理義務(wù)。
依據(jù)《個人信息保護(hù)法》，當(dāng)“處理目的已實(shí)現(xiàn)”和“個人信息處理者停止提供產(chǎn)品或者服務(wù)”的情況，個人信息處理者應(yīng)當(dāng)主動刪除個人信息。
財(cái)經(jīng)E法從了解行程卡運(yùn)行的知情人士處獲悉，行程卡只是一個查詢導(dǎo)流平臺，一邊鏈接有數(shù)據(jù)的運(yùn)營商，一邊負(fù)責(zé)接受用戶的查詢請求，并不存儲任何用戶信息。
隨后，財(cái)經(jīng)E法分別致電三家電信運(yùn)營商，詢問行程卡下架后，是否會在后臺刪除用戶個人數(shù)據(jù)。
中國電信的客服回復(fù)稱，下架是防疫部門的決定，下架后會自動刪除用戶數(shù)據(jù)；
中國聯(lián)通客服稱“應(yīng)該會刪除”。
中國移動客服則表示，“移動不會泄露包括用戶行程在內(nèi)的個人信息”，“目前還沒接到公司將刪除用戶行程數(shù)據(jù)的通知，可以繼續(xù)關(guān)注后續(xù)消息”。
12月12日晚21時許，中國聯(lián)通發(fā)布官方公告稱，“高度重視客戶個人信息保護(hù)，將按照《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護(hù)法》等有關(guān)法律規(guī)定，自12月13日0時‘通信行程卡’服務(wù)下線后，同步刪除用戶行程相關(guān)數(shù)據(jù)，依法保障個人信息安全”。雖然有媒體報(bào)道稱，三大運(yùn)營商先后發(fā)公告表示，將在 ‘通信行程卡’服務(wù)下線后，同步刪除用戶行程相關(guān)數(shù)據(jù)，依法保障個人信息安全。但截至發(fā)稿時，未在相關(guān)渠道發(fā)現(xiàn)中國移動和中國電信發(fā)布官方通告。
與此相關(guān)的問題是，其他在疫情特殊時期產(chǎn)生的，且類似于行程卡的數(shù)據(jù)平臺，如果確實(shí)存儲了大量個人信息，未來又該如何妥善處理這些信息？
累計(jì)接受查詢近600億次
行程卡最初設(shè)計(jì)的目的是疫情防控和復(fù)工復(fù)產(chǎn)，可通過行程“自證清白”。
它是由工信部指導(dǎo)，中國信通院、中國電信、中國移動、中國聯(lián)通、中國廣電共同推出的公益性的行程查詢服務(wù)，可以免費(fèi)為用戶提供本人過往7天內(nèi)到訪過的國家（地區(qū)）和連續(xù)停留滿4小時的國內(nèi)城市證明。
行程卡于2020年2月29日正式上線。在行程卡使用的早期，提供的是14天的行程記錄。2021年1月8日，對包含中高風(fēng)險(xiǎn)區(qū)域的地市名稱以“星號”標(biāo)記。
2022年6月29日，工信部宣布即日起取消通信行程卡“星號”標(biāo)記。
7月8日，工信部發(fā)布公告，根據(jù)《新型冠狀病毒肺炎防控方案（第九版）》，將行程卡查詢結(jié)果的覆蓋時間范圍由“14天”調(diào)整為“7天”。
12月7日，國務(wù)院聯(lián)防聯(lián)控機(jī)制召開新聞發(fā)布會，宣布跨地區(qū)流動人員，不再查驗(yàn)核酸檢測陰性證明，不查驗(yàn)健康碼和行程碼。
上述變動可以看到，對行程卡已成逐步解綁之勢，徹底下線也在意料之中。
工信部人士在2022年5月曾表示，通信大數(shù)據(jù)行程卡用戶查詢次數(shù)累計(jì)達(dá)到556億次以上，成為人人出行的“標(biāo)配”和各地防控疫情的重要支撐。
行程卡上的顯示信息包括：用戶加密手機(jī)號、行程信息更新時間、色卡、用戶過往7天內(nèi)所有到訪過的國家（地區(qū)）和連續(xù)停留超過4小時的國內(nèi)城市。
《個人信息保護(hù)法》中規(guī)定，個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。
清華大學(xué)法學(xué)院副院長程嘯指出，行程卡上的信息顯示，行程卡掌握個人的姓名、手機(jī)號、行程信息，這些都屬于個人信息，“尤其是行程信息，是《個人信息保護(hù)法》中規(guī)定的敏感個人信息類別下的行蹤軌跡，信息處理者應(yīng)當(dāng)承擔(dān)更嚴(yán)格的搜集和處理義務(wù)”。
知情人士：行程卡不存儲個人信息
根據(jù)“通信行程卡”官方公眾號消息，2022年12月13日0時起，正式下線“通信行程卡”服務(wù)?！巴ㄐ判谐炭ā倍绦拧⒕W(wǎng)頁、微信小程序、支付寶小程序、APP等查詢渠道將同步下線。
在疫情期間，行程卡常與健康碼配合，成為重要出行“伴侶”。在防疫政策的調(diào)整下，行程卡退場并不令人意外。
在即將下架之時，行程卡所步及的海量個人信息將會被如何處理？
《個人信息保護(hù)法》第47條規(guī)定，當(dāng)“處理目的已實(shí)現(xiàn)”和“個人信息處理者停止提供產(chǎn)品或者服務(wù)”的情況，個人信息處理者應(yīng)當(dāng)主動刪除個人信息；個人信息處理者未刪除的，個人有權(quán)請求刪除。
程嘯對財(cái)經(jīng)E法表示，行程卡本是為應(yīng)對突發(fā)公共衛(wèi)生事件產(chǎn)生而處理個人信息的平臺，按照《個人信息保護(hù)法》規(guī)定，在此特殊情況下，個人信息處理者可以不需要取得個人同意就處理個人信息。但現(xiàn)在此處理目的已經(jīng)實(shí)現(xiàn)，故不能再存儲個人信息?！鞍凑辗梢?guī)定，存儲個人信息的處理者要刪除相關(guān)的個人信息?！背虈[說。
但一位不愿具名的知情人士透露，行程卡本身并不存儲人個信息。
這位知情人士向財(cái)經(jīng)E法披露了行程卡的運(yùn)作邏輯，用戶通過手機(jī)號碼登錄行程卡，并發(fā)起查詢申請，三大運(yùn)營商可根據(jù)申請?zhí)峁┬谐?。中國信通院維護(hù)的行程卡端提供的是通道服務(wù)，一邊鏈接有數(shù)據(jù)的運(yùn)營商，一邊接受用戶的查詢，返回并展示這些數(shù)據(jù)。這位知情人強(qiáng)調(diào)，行程卡本身并不存儲數(shù)據(jù)。
另一位知情人士也向財(cái)經(jīng)E法確認(rèn)了上述信息，即中國信通院在行程卡提供服務(wù)中，承擔(dān)的是“查詢導(dǎo)流平臺”的作用，“不存儲任何用戶信息”。
事實(shí)上，行程卡官微也介紹，“服務(wù)使用收集信令數(shù)據(jù)和話單數(shù)據(jù)進(jìn)行分析，位置信息來源于基站，不會收集用戶的GPS定位信息?！?/p>
行程卡官微介紹
此外，《人民郵電報(bào)》在2020年3月4日的文章《一“掃”便知疫區(qū)行程，通信大數(shù)據(jù)行程卡服務(wù)來了》中，中國信通院回應(yīng)公眾對于隱私問題的擔(dān)憂，信通院表示該服務(wù)為免費(fèi)公益服務(wù)，無需填寫身份證號、家庭住址等信息，基于用戶授權(quán)并且經(jīng)過本人實(shí)時驗(yàn)證，能夠充分保障用戶隱私。
對此，受訪專家指出，在中國信通院不存儲相關(guān)個人信息的情況下，不管其是否構(gòu)成個人信息處理者，都不用承擔(dān)刪除個人信息的義務(wù)。
程嘯指出，這屬于個人信息共享的一種方式。程嘯認(rèn)為，中國信通院雖然沒有存儲個人信息，但是不等于其沒有使用個人信息，“按照《個人信息保護(hù)法》規(guī)定，決定個人信息處理目的和方式的就是個人信息處理者，如果是行程卡的處理目的和處理方式是由中國信通院決定，那中國信通院就構(gòu)成個人信息處理者，要遵守個人信息處理者的義務(wù)”。具體來說，作為處理者，有停止使用和刪掉個人信息的義務(wù)。
運(yùn)營商是行程卡涉及的另一大主體。程嘯認(rèn)為，在行程卡即將下架的情況下，運(yùn)營商應(yīng)當(dāng)刪除此前因防疫目的而收集的個人信息。這里應(yīng)當(dāng)對以下兩種情況進(jìn)行區(qū)分：情況一，在應(yīng)對突發(fā)公共衛(wèi)生事件所必需時，運(yùn)營商依法可以不經(jīng)用戶同意就收集、使用個人信息；情況二，具有合法性基礎(chǔ)可以繼續(xù)處理其他個人信息。對于前一種情況，當(dāng)突發(fā)公共衛(wèi)生事件結(jié)束時，運(yùn)營商就不能再以此為由來處理相關(guān)的個人信息了，其應(yīng)當(dāng)停止收集、使用個人信息，并主動予以刪除。
中國信通院數(shù)安智庫專家、清律律師事務(wù)所首席合伙人熊定中有不同看法，他認(rèn)為，如果中國信通院只是調(diào)用展示，并不存儲和用作其他用途，那其實(shí)不構(gòu)成信息處理者，相當(dāng)于是受用戶委托調(diào)用用戶的運(yùn)營商的數(shù)據(jù)來展示給用戶，不需要承擔(dān)刪除的責(zé)任。但如果做了留存以及其他非展示功能的處理，那就屬于個人信息處理者，要承擔(dān)刪除個人信息的責(zé)任。
類似平臺該如何處理？
雖然知情人士稱，行程卡不存儲個人信息。但其他在疫情特殊時期產(chǎn)生的，且類似于行程卡的平臺，未來應(yīng)當(dāng)如何妥善處理個人信息？
程嘯指出，依據(jù)《個人信息保護(hù)法》的規(guī)定，應(yīng)當(dāng)是由個人信息處理者主動刪除。所謂主動刪除的意思是指，個人信息處理者首先明確表明自己已經(jīng)履行了刪除義務(wù)的承諾。
中國科學(xué)技術(shù)大學(xué)公共事務(wù)學(xué)院、網(wǎng)絡(luò)空間安全學(xué)院教授左曉棟向財(cái)經(jīng)E法分析了刪除情況下存在的一些爭議情況。
其一，這是否屬于“法律、行政法規(guī)規(guī)定的保存期限未屆滿”的例外情況？他認(rèn)為，目前，法律法規(guī)對這類數(shù)據(jù)的保存未提出時限要求，這與網(wǎng)絡(luò)活動日志等有著本質(zhì)上的區(qū)別，所以不適用例外情況。
其二，涉及防疫的個人信息在收集時，其合法性基礎(chǔ)本來就不是個人同意（雖然在流程上確實(shí)設(shè)計(jì)了個人同意的界面），而是為了“應(yīng)對突發(fā)公共衛(wèi)生事件”，因此有特殊性?！皯?yīng)對突發(fā)公共衛(wèi)生事件”已經(jīng)結(jié)束，顯然沒有再處理個人信息的必要。左曉棟表示，不能以“將來可能有用”為由留存公民個人數(shù)據(jù)，除非法律對此類數(shù)據(jù)有明確要求。
那是否可以脫敏后使用這些信息？左曉棟表示，“嚴(yán)格而言，匿名化后可以使用，因?yàn)椴辉賹儆趥€人信息。”但左曉棟認(rèn)為，很多人現(xiàn)在自以為的脫敏技術(shù)并不能實(shí)現(xiàn)“匿名化”，只是“去標(biāo)識化”而已。所以，除非經(jīng)過嚴(yán)格論證，否則試圖對行程卡數(shù)據(jù)“匿名化處理”后再使用，并不現(xiàn)實(shí)。
雖然法律有明確要求，但個人信息是否真的被刪除，也是一個現(xiàn)實(shí)問題。
熊定中以其代理過的刪除權(quán)相關(guān)的案子為例指出，一般只能相信已經(jīng)被判令刪除的個人信息主體已經(jīng)刪除，要真的做到落地監(jiān)督執(zhí)行，可能只能依托于直接監(jiān)管機(jī)構(gòu)，比如網(wǎng)信辦、工信部、市場監(jiān)管總局等，或者有權(quán)的公益組織進(jìn)行監(jiān)督，例如消協(xié)或者檢察院。
個人在正常情況下可能無法知道自己信息有沒有被刪除，除非出現(xiàn)大規(guī)模數(shù)據(jù)泄露事件。熊定中指出，這些數(shù)據(jù)如果沒刪除，任何的處理行為都在進(jìn)一步加劇侵害，而且如果一旦泄露，那就是重大的數(shù)據(jù)安全事故。
程嘯則強(qiáng)調(diào)，個人信息處理者負(fù)有“證明自己履行了刪除義務(wù)的證明責(zé)任”。如果今后發(fā)現(xiàn)其并未刪除，無論是否泄露或者是否利用，都構(gòu)成非法處理個人信息，應(yīng)當(dāng)承擔(dān)法律責(zé)任，如《個人信息保護(hù)法》第六十六條規(guī)定的處罰。
《個人信息保護(hù)法》第六十六條規(guī)定，違反本法規(guī)定處理個人信息，或者處理個人信息未履行本法規(guī)定的個人信息保護(hù)義務(wù)的，將被責(zé)令改正，給予警告，沒收違法所得，對違法處理個人信息的應(yīng)用程序，責(zé)令暫?；蛘呓K止提供服務(wù)；拒不改正的，并處100萬元以下罰款；對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處1萬元以上10萬元以下罰款。
情節(jié)嚴(yán)重的，將被沒收違法所得，并處5000萬元以下或者上一年度營業(yè)額5%以下罰款，并可以責(zé)令暫停相關(guān)業(yè)務(wù)或者停業(yè)整頓、直至吊銷相關(guān)業(yè)務(wù)許可或者吊銷營業(yè)執(zhí)照。對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處10萬元以上100萬元以下罰款。