互联网用户数据泄露风险加大欧盟率先以GDPR立法阻击个人信息泄露

随着信息技术的飞速发展，信息安全也越来越重要。此前Facebook数据泄露事件爆发，更是引发世界震荡。

个人数据泄露触目惊心

Facebook数据泄露源于其在2007年为增强用户粘性推出的应用编程接口。通过这个接口，第三方软件开发者可以开发Facebook网站上运行的应用程序，而用户可通过这一平台在线使用相关应用程序并进行互动。英国数据分析公司剑桥咨询正是利用了当时Facebook的平台数据共享的漏洞，致使Facebook上5000万用户数据泄露。剑桥咨询在收集到上述数据后，分析出了用户的行为模式、性格特征、价值观取向、成长经历等，便针对特定用户推送竞选广告，这种行为足以影响大众取向。

数据泄露丑闻震惊世界，欧盟、英国纷纷做出强烈反应，要求对数据泄露事件进行调查。英国信息委员会于2018年7月10日做出决定，对Facebook处以66.4万美元处罚。他们认为Facebook缺乏强有力的隐私保护措施，而且忽视了有望阻止剑桥分析操纵舆论的重要信号，其中也包括2016年英国脱欧公投。

因受2018年3月发现的个人信息不正当使用丑闻和欧盟（EU）实施GDPR（一般数据保护规则）的影响，Facebook在欧洲的MAU（活跃用户数/月）比前期减少了100万户。

互联网用户数据泄露风险加大

无独有偶，在此前“Equifax”公司的黑客事件中，美国消费者有多达1.43亿个数据被泄露，成为美国企业历史上最严重的个人信息泄露事件。佛罗里达州的数据公司“Exactis”早已指明，在Exactis的服务器上有超过3.4亿条个人数据，任何人都可看到。安全专家Vinny Troia用一种名为“Shodan”的工具发现了这一事实。依据该公司网站的资料，Exactis是全球最大的营销公司，存储有35亿条数据，并从事公司和个人的信息聚合业务。根据Troia的说法，Exactis服务器上的个人信息不仅包括姓名和电话号码，还包括性别、有无儿童、有无宠物、吸不吸烟等各种内容，对有关信用卡信息和收入方面的记述等未说明，但这已是一个非常严重的个人信息泄露事件。

现在，随着广告技术的发展，可精确把握特定的消费层，个人信息泄露事件风险已经越来越大。例如，Google通过搜索、邮件和日历等免费服务，尽可能地吸收了个人信息。据说他们在完成“数据洗钱”之后，已经进入了用AI赚钱的阶段。

欧盟率先以GDPR立法阻击个人信息泄露

欧盟率先以立法形式制定了GDPR，以设法阻击个人信息泄露，这在互联网上具有里程碑意义，GDPR关键点如下。

GDPR的目标：关闭巨型公司的入口

GDPR自2016年颁布以来，就瞄准了巨型企业。当时，欧洲议会议长马丁·舒尔茨讲话中强调：“如果个人信息是21世纪最重要的商品，那么就应强化对个人数据所有权的保护。特别是要反制无需支付任何代价就把个人信息这个‘商品’弄到手的公司。他特别提到谷歌、苹果、亚马逊、Facebook、阿里巴巴等，这些公司不应该破坏个人隐私。GDPR将从源头上抑制个人信息泄露。

GDPR的历史背景

GDPR在欧洲历史上的作用已由数字监视社会到守护欧盟公民。欧盟并没有终结GDPR，而是为推进创建出以个人做主体的新信息基础设施的政策，这也是一个由美国主导的“下一代互联网”概念。欧盟已经准备提供总共800亿欧元的创新项目资助金，实施“展望2020”项目，它的目标是建设一个数字经济区，提供新的信息基础设施，可以在保护隐私的同时，广泛共享数据。在GDPR中，“AI的隐私”也将涵盖在内。例如，当机器人自动驾驶发生事故时，谁应负责？如果AI完全独立于人的指令，如果出事，应该不是AI本身，那么法律责任和法人是谁？欧盟认为应由法律进行规范。

欧盟推动数据可移植性权利发展

2018年5月生效的欧盟GDPR定义了“数据可移植性的权利”，在日本引起高度关注。

所谓“数据可移植性”就是某些服务收集和存储的特定用户数据，可以在其他服务中重用，被称为便携式（可移植性）。更具体地说，每个服务用户都可以行使自身的个人数据管理员功能。为了实现这个技术，要对多个服务之间共同可用的数据格式整合，并实现管理员之间数据发送/接收的通用化。如果数据可移植性的权力已经确立，管理员就可以行使这个权力，这将推动格式的标准化。

其实数据可移植性权利问题业界早有探索。例如，早在2017年2月，新西兰隐私委员会主席约翰·爱德华兹便提出在全国创建数据可移植性权利的提案；2017年11月，日本经济产业省和总务省共同举办了“数据可移植性权利研讨会”。

建立数据可移植权利的背景

由于谷歌和Facebook等美国平台事业者的垄断地位不断强化，这不利于市场竞争。推出数据可移植性权利就是为市场竞争创造出良好的市场环境。其实，欧盟委员会在2015年12月公布的数据保护规则中，就阐述了如何让创业公司和小企业访问数码巨头主导的数据市场，并能够通过隐私保护措施吸引更多的消费者。对于使用web服务的各个用户来说，服务选择的自由度增加了。这是它的最大优点。

另外，通过企业之间的竞争，用户直接获得经济利益的机会也扩大了。例如，在移动电话通信服务中，引进携号专网后，运营商为了用户转移到自己网中，纷纷推出优惠措施，从别的运营商中挖用户。此外，人们可以自己管理自己的个人数据，这可能会创造新的商业机会。这就是被称为“信息银行”的机制。日本2015年就创建了个人信息保护法的可行机制。

美国政府加大查处数据泄露力度

据外媒报道，美国证券交易委员会（SEC）、联邦贸易委员会（FTC）和联邦调查局（FBI）等政府机构纷纷加入了对Facebook和咨询公司Cambridge Analytica盗用数据指控的调查。

其中参与美国总统特朗普阵营大选的数字咨询公司Cambridge Analytica非法使用了Facebook多达8700万用户的个人信息，司法部开始进行调查。Facebook的首席执行官马克·扎克伯格在4月的两次美国国会听证会上，就此问题回答。

此外，2018年7月9日，众议院能源和商务委员会主席格雷格·瓦尔登和共和党3个议员致函苹果和谷歌，对其位置数据和智能手机的个人信息处理等问题，向苹果和谷歌的行政部门发了一份调查问卷。调查问卷中指出，“好谷歌（Okay Google）”和“海西里（Hey Siri）”等这些接听功能有可能从用户的交谈中收集呼叫以外的数据。需要指出的是，该数据在不通知用户的情况下会被使用，第三方应用程序也可以访问这些数据。此外谷歌的“Android”和苹果的“iPhone”在未经用户同意的情况下收集用户数据，是否存在影响公民隐私的商业行为？众议院委员会要求谷歌和苹果在2018年7月23日前回复调查问卷，并对委员会成员进行解释。在回答委员会的问题时，谷歌评论说“保护用户的隐私，这些对谷歌来说是最重要的”。目前，苹果公司发言人拒绝发表评论。

数据保护进展迅速

IPv6互联网和物联网时代即将来临，如果信息安全工作跟不上，其后果将是灾难性的。为此，业界纷纷出台措施保障信息安全。

据2018年6月27日日本媒体报道，日本Underworks公司与美国Ensighten公司在对应GDPR的隐私数据管理解决方案方面进行合作，并作为日本市场的总代理，开始进行Ensighten公司GDPR解决方案的销售和售后服务。Ensighten公司的“Privacy GDPR(个人隐私)”和“Privacy Enterprise - total website data governance(企业隐私- 全面的网站数据治理)”两项产品，可以对网站上收集到客户的所有Cookie数据实施集中管理，而且能够安全地收集和使用客户数据。欧洲已正式实施GDPR，要求使用Cookie数据时，必须取得用户同意，基于此进行数据管理，已刻不容缓。

Ensighten公司的GDPR解决方案作为网站上所有Cookie的“守门员”，能够实现在“客户同意之前阻止读取Cookie（零Cookie加载）”、在“客户拒绝使用Cookie时，还能够允许用户继续浏览网站”，这也可以通过使用白名单实现，以“防止通过第四方供应商，泄漏Cookie数据”。Ensighten的隐私数据管理解决方案已被全球25000多个网站使用。

日本媒体反复告诫本国公司，若涉及欧盟个人信息，一定要遵守GDPR规定。NTT数据公司于2018年7月26日发布了“全球安全趋势季度报告”，阐述了2018财年第一季度发生的事件的摘要，重点是虚拟货币问题和GDPR的滥用。网络罪犯很可能会利用GDPR的规则威胁到公司。具体来说，网络攻击者从公司窃取欧盟居民的个人信息，向公司进行讹诈。目前存在着网络钓鱼电子邮件攻击威胁，因此全球的公司都需要谨慎处理公司内部和外包的信息。此外，与GDPR有关的网络钓鱼欺诈和以GDPR为题材的企业电子邮件欺诈也值得关注。