朱昌俊：个人信息保护治理 深究行业“内鬼”

　　“我知道你们找我有什么事。”面对湖北荆州警方时，杜某心里咯噔了一下。警方初步查明，身为国内某快递公司河北公司的收件员，杜某涉嫌利用工作上的便利，买卖公民个人信息4万余条，获利四五万元。在警方破获的这起侵犯公民个人信息案件中，包括杜某，共抓获“内鬼”13人，他们与杜某同属一家公司，其中3人还是分公司中层干部。他们与中间商、非法使用者组成一条黑色产业链。

　　
　　这起案件的查获，为公众揭开了由个人信息泄露到被精准诈骗的全过程：先是快递员在收件过程中获得没有电话号码的客户信息，俗称“面单”，然后再与快递公司内部员工勾结，查询客户的完整单号信息，形成“成单”。而“成单”的信息，从客户的姓名、住址、电话，到购买了何种保健品，何种品牌的汽车，几乎无所不包。最后，“成单”便被放在网上兜售，并且根据信息的“新鲜”程度明码标价。这些信息的买家主要是形形色色的保健品公司、“收藏家协会”等精准诈骗实施主体。

　　这一信息泄露和诈骗生态，至少释放出三层信息：一、在公民个人信息的泄露过程中，各种行业“内鬼”确实扮演了关键角色，他们成了被骗对象与诈骗实施者之间的“信息中枢”；二、如果你再接到保健品推销、收藏品推荐等各式骚扰信息，那么几乎可以确定，你的个人信息一定是被泄露了；三、现实中那些看似神通广大的保健品推销员、房屋中介，能够对你精准“下手”，“比你自己更了解你”，其实没有多少诀窍，不过是建立在对大量个人信息违规占有的基础之上。

　　随着个人信息保护治理的推进，深究行业“内鬼”，已成为当前个人信息保护亟待补全的一块重要拼图。今年5月，最高人民法院、最高人民检察院出台了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》，其中对严打信息泄露和贩卖的“内鬼”作出了明确规定，即在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，数量或者数额达到司法解释规定的相关标准一半以上的，即可认定为刑法规定的“情节严重”，构成犯罪。换言之，像快递员这种利用个人职业便利，泄露和出售客户信息的行为，只要达到一定数量，就已经构成犯罪，而不是“拘留几天就完事了”。法律“定性”上的升格，与当前“内鬼”泄露个人信息的巨大风险，构成了一种呼应。

　　不过，法律规制的跟进，多着眼的是事后的惩戒，要根除行业“内鬼”，除了要形成惩戒保底的高压线，更需要预防端口的前移。在这起案例中，相关人员的“内鬼”行为得以暴露，一个重要原因，是由于某快递公司员工频繁登录公司客户信息系统，查询客户快递单号信息，从而引起了公司安保部门警惕。由此可获得某种治理启示，像快递这种搜集和存储了大量个人信息的行业，除了要从技术上规避系统性的信息泄露，对于内部员工，亦有必要设置“查询留痕”机制，即员工每次使用信息查询系统应该留下痕迹，做到事中可监控，事后可倒查。如此一来，对于短时间内频繁使用个人信息查询系统等异常情况，可及时进行干预。当然，为强化公司的信息保护责任，对于信息泄露行为，除了要追究“内鬼”个人的法律责任，公司也应该承担相应的责任，或受到监管部门的处罚。

　　对泄露和出售个人信息的行业“内鬼”进行查处，没想象中的难，但也没那么容易。像快递公司，对客户信息建有统一的查询系统，相对更容易寻找泄露的踪迹，但还有更多的行业，如房屋中介、开发商等，既可能是个人信息的非法购买方，也是收集方。并且因为信息存储更为分散和不规范，泄露更容易，但查处却存在取证难等诸多难题。这也要求，查处“内鬼”既要实现对所有行业的全覆盖，也要创新执法和监管方式，避免死角和盲区。