(電子商務(wù)研究中心訊) 一、事件背景
近期，黑市上出現(xiàn)一份數(shù)據(jù)，稱是"趣店學(xué)生用戶數(shù)據(jù)"。該數(shù)據(jù)維度極細(xì)，除姓名、電話、還款額、滯納金、逾期天數(shù)、學(xué)校、宿舍、畢業(yè)時(shí)間等詳細(xì)信息外，還包括學(xué)生父母電話、男女朋友電話、學(xué)信網(wǎng)賬號(hào)密碼等隱私信息。此份數(shù)據(jù)號(hào)稱有百萬學(xué)生信息，在黑市以10萬價(jià)格被叫賣。
多位趣店離職員工證實(shí)，該數(shù)據(jù)確實(shí)來自趣店，并稱早期趣店存在巨大安全隱患，"很多員工都可導(dǎo)出數(shù)據(jù)，這極可能是內(nèi)鬼外泄"。但趣店并未正面回應(yīng)此事，公關(guān)相關(guān)負(fù)責(zé)人稱："趣店一直高度重視用戶個(gè)人信息安全，不斷提高數(shù)據(jù)安全能力與信息加密強(qiáng)度。"
據(jù)中國電子商務(wù)研究中心日前發(fā)布的《2016趣分期用戶格式條款審查報(bào)告》(qjkhjx.com/zt/hgsc_qfq/)顯示，趣分期存豁免自身信息安全保障義務(wù)的問題，《趣店用戶注冊(cè)協(xié)議》9.5條款表述為"您應(yīng)對(duì)賬戶信息及密碼承擔(dān)保密責(zé)任，因您未能盡到信息安全和保密責(zé)任而致使您賬戶出現(xiàn)任何問題的，您應(yīng)承擔(dān)全部責(zé)任。"
從該條款可以看出用戶在條款設(shè)置上就對(duì)用戶信息安全責(zé)任做了規(guī)避，審查律師董毅智認(rèn)為，可信網(wǎng)絡(luò)交易環(huán)境的建設(shè)離不開強(qiáng)有力的網(wǎng)絡(luò)安全技術(shù)支撐，作為網(wǎng)絡(luò)運(yùn)營者，其有能力亦有法律義務(wù)對(duì)網(wǎng)絡(luò)運(yùn)營安全履行善良管理責(zé)任，而不能對(duì)網(wǎng)絡(luò)安全責(zé)任采取消極推諉的態(tài)度。
趣店集團(tuán)(原趣分期)包括介入大學(xué)生消費(fèi)市場的趣分期，以及切入互聯(lián)網(wǎng)金融分期消費(fèi)服務(wù)的來分期，后其稱退出校園貸市場。另據(jù)中國電子商務(wù)投訴與維權(quán)公共服務(wù)平臺(tái)接到的用戶維權(quán)案例庫顯示，趣分期與來分期商品質(zhì)量、發(fā)貨慢、身份信息被盜用、疑似售假、退貨難等問題突出。
二、相關(guān)法律/法規(guī)
全國人大《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》規(guī)定：任何組織和個(gè)人不得竊取或者以其他非法方式獲取公民個(gè)人電子信息，不得出售或者非法向他人提供公民個(gè)人電子信息。公民發(fā)現(xiàn)泄露個(gè)人身份、散布個(gè)人隱私等侵害其合法權(quán)益的網(wǎng)絡(luò)信息，或者受到商業(yè)性電子信息侵?jǐn)_的，有權(quán)要求網(wǎng)絡(luò)服務(wù)提供者刪除有關(guān)信息或者采取其他必要措施予以制止。網(wǎng)絡(luò)服務(wù)提供者和其他企業(yè)事業(yè)單位及其工作人員對(duì)在業(yè)務(wù)活動(dòng)中收集的公民個(gè)人電子信息必須嚴(yán)格保密，不得泄露、篡改、毀損，不得出售或者非法向他人提供。
《中華人民共和國網(wǎng)絡(luò)安全法》第四十二條：網(wǎng)絡(luò)運(yùn)營者不得泄露、篡改、毀損其收集的個(gè)人信息；未經(jīng)被收集者同意，不得向他人提供個(gè)人信息。但是，經(jīng)過處理無法識(shí)別特定個(gè)人且不能復(fù)原的除外。
網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集的個(gè)人信息安全，防止信息泄露、毀損、丟失。在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施，按照規(guī)定及時(shí)告知用戶并向有關(guān)主管部門報(bào)告。
第四十四條：任何個(gè)人和組織不得竊取或者以其他非法方式獲取個(gè)人信息，不得非法出售或者非法向他人提供個(gè)人信息。
國務(wù)院《網(wǎng)絡(luò)交易管理辦法》第十八條規(guī)定：網(wǎng)絡(luò)商品經(jīng)營者、有關(guān)服務(wù)經(jīng)營者在經(jīng)營活動(dòng)中收集、使用消費(fèi)者或者經(jīng)營者信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。網(wǎng)絡(luò)商品經(jīng)營者、有關(guān)服務(wù)經(jīng)營者收集、使用消費(fèi)者或者經(jīng)營者信息，應(yīng)當(dāng)公開其收集、使用規(guī)則，不得違反法律、法規(guī)的規(guī)定和雙方的約定收集、使用信息。網(wǎng)絡(luò)商品經(jīng)營者、有關(guān)服務(wù)經(jīng)營者及其工作人員對(duì)收集的消費(fèi)者個(gè)人信息或者經(jīng)營者商業(yè)秘密的數(shù)據(jù)信息必須嚴(yán)格保密，不得泄露、出售或者非法向他人提供。網(wǎng)絡(luò)商品經(jīng)營者、有關(guān)服務(wù)經(jīng)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保信息安全，防止信息泄露、丟失。在發(fā)生或者可能發(fā)生信息泄露、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施。
《中華人民共和國電子商務(wù)法(草案二次審議稿》第二十六條：電子商務(wù)平臺(tái)經(jīng)營者應(yīng)當(dāng)記錄、保存平臺(tái)上發(fā)布的商品和服務(wù)信息、交易信息，并確保信息的完整性、保密性、可用性。商品和服務(wù)信息、交易信息保存時(shí)間自交易完成之日起不少于三年。法律另有規(guī)定的，從其規(guī)定。電子商務(wù)平臺(tái)經(jīng)營者有下列行為之一的，責(zé)令限期改正；逾期不改正的，責(zé)令停業(yè)整頓，并處二萬元以上十萬元以下的罰款；情節(jié)嚴(yán)重的，并處十萬元以上五十萬元以下的罰款。
三、專家點(diǎn)評(píng)
針對(duì)趣店用戶信息泄露事件，長期跟蹤研究電商的"智庫"--網(wǎng)經(jīng)社發(fā)表本快評(píng)，供參考。
1、信息泄露的原因分析
網(wǎng)經(jīng)社特約研究員、遼寧亞太律師事務(wù)所董毅智律師認(rèn)為，趣店此次信息泄露暴露網(wǎng)貸平臺(tái)管理漏洞。網(wǎng)貸平臺(tái)在管理上，在用戶信息安全上存在重大問題，最新的《網(wǎng)絡(luò)安全法》規(guī)定，數(shù)據(jù)外泄，網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)對(duì)其收集的用戶信息嚴(yán)格保密，并建立健全用戶信息保護(hù)制度。而未盡保護(hù)義務(wù)的，將根據(jù)相關(guān)規(guī)定罰款警告，情節(jié)嚴(yán)重的則被責(zé)令暫停相關(guān)業(yè)務(wù)，停業(yè)整頓、關(guān)閉網(wǎng)站、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營銷執(zhí)照。
趣店不僅僅是網(wǎng)絡(luò)運(yùn)營者，更屬于類金融企業(yè)，不但有客戶的基本信息，更涉及到客戶很多深層次的信用信息，家庭成員信息。這種信息泄露，給客戶造成的傷害遠(yuǎn)遠(yuǎn)大于普通的平臺(tái)。
網(wǎng)經(jīng)社特約研究員、廣州金鵬律師事務(wù)所合伙人詹朝霞律師認(rèn)為，信息泄露屢屢出現(xiàn)的原因主要是違法成本低、監(jiān)管缺失。
(1)違法成本低是"泄密"事件再三出現(xiàn)的根源之一。從法律層面來看，各類服務(wù)提供商，基于提供服務(wù)所采集的用戶信息數(shù)據(jù)，具有嚴(yán)格保密的法律義務(wù)，類似的規(guī)定散見于國家工商總局發(fā)布的《網(wǎng)絡(luò)交易管理辦法》、《全國人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》等相關(guān)法律法規(guī)規(guī)章中，雖然規(guī)定不少，但相關(guān)規(guī)定中卻沒有設(shè)置任何對(duì)應(yīng)的處罰措施，違法成本極低。
(2)監(jiān)管缺失是"泄密"事件再三出現(xiàn)的根源之一。在日益繁雜多變的網(wǎng)絡(luò)交易中，服務(wù)商們忙于應(yīng)付各種生意，對(duì)于用戶信息保密僅僅是基于商業(yè)道德或品牌榮譽(yù)的角度，其實(shí)施力度可想而知。可以毫不夸張地說，法律監(jiān)管的缺失是類似事件一而再三爆發(fā)的根本。行政主管部門，比如工商局、銀監(jiān)會(huì)、證監(jiān)會(huì)、通管局等相關(guān)部門應(yīng)該形成聯(lián)動(dòng)機(jī)制，對(duì)泄露用戶信息的行為甚至是"出賣"用戶信息的行為進(jìn)行狠狠打擊，還消費(fèi)者以安全，還消費(fèi)者以放心。
2、信息泄露的責(zé)任鑒定
網(wǎng)經(jīng)社特約研究員、北京盈科(杭州)律師事務(wù)所方超強(qiáng)律師認(rèn)為，電商平臺(tái)在獲取個(gè)人信息的同時(shí)，就有保護(hù)個(gè)人信息的義務(wù)。信息泄露存在不同的情況，如果電商平臺(tái)提供了符合其規(guī)模的保護(hù)措施，但在這種情況之下還是被黑客入侵了系統(tǒng)，這種情況屬于不可抗力，電商不用承擔(dān)責(zé)任，但如果最終發(fā)現(xiàn)因平臺(tái)存在漏洞而導(dǎo)致信息泄露，那么平臺(tái)就要負(fù)責(zé)。
根據(jù)《網(wǎng)絡(luò)交易管理辦法》第25條第二款規(guī)定：第三方交易平臺(tái)經(jīng)營者應(yīng)當(dāng)采取必要的技術(shù)手段和管理措施保證平臺(tái)的正常運(yùn)行，提供必要、可靠的交易環(huán)境和交易服務(wù)，維護(hù)網(wǎng)絡(luò)交易秩序。
在現(xiàn)實(shí)中很難有一個(gè)標(biāo)準(zhǔn)去判斷什么叫做"平臺(tái)存在漏洞導(dǎo)致信息泄露"，若消費(fèi)者向法院投訴平臺(tái)，平臺(tái)只要舉證證明其盡到了安全責(zé)任保護(hù)義務(wù)，就很難對(duì)平臺(tái)進(jìn)行追責(zé)。同時(shí)，對(duì)于消費(fèi)者因?yàn)樵诓煌娚唐脚_(tái)使用相同的賬號(hào)密碼，以致遭到"撞庫"盜號(hào)，所有賬號(hào)密碼一同被盜，造成自身重大損失，此類情形，應(yīng)當(dāng)由誰承擔(dān)責(zé)任要視賬號(hào)泄密的不同情況分而論之。
今年6月1日正式施行的《網(wǎng)絡(luò)安全法》就明文規(guī)定了"網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集的個(gè)人信息安全，防止信息泄露、毀損、丟失"的義務(wù)。顯然，趣店平臺(tái)作為網(wǎng)絡(luò)運(yùn)營者，對(duì)于用戶的個(gè)人信息負(fù)有較高的安全保護(hù)義務(wù)，而這不單單體現(xiàn)在對(duì)于平臺(tái)計(jì)算機(jī)系統(tǒng)安全可靠性、防黑客入侵等方面的要求，也體現(xiàn)在平臺(tái)內(nèi)部管理上的安全可靠性要求。
若網(wǎng)絡(luò)消息披露的趣店信息泄露情況屬實(shí)，確實(shí)是從趣店內(nèi)部泄露的大量用戶個(gè)人信息，則該平臺(tái)在用戶信息保護(hù)上可謂根本沒有盡到保護(hù)義務(wù)。該平臺(tái)也需要為這種極不負(fù)責(zé)的行為和態(tài)度買單，根據(jù)《網(wǎng)絡(luò)安全法》第六十四條的規(guī)定，行政機(jī)關(guān)對(duì)于違反用戶個(gè)人信息保護(hù)義務(wù)的責(zé)任主體最高可以處于違法所得10倍或者100萬人民幣的處罰，情節(jié)嚴(yán)重的甚至可以要求停業(yè)整頓、吊銷業(yè)務(wù)許可證或者營業(yè)執(zhí)照。
需要值得注意的是，趣店雖然作為信息泄露源需要譴責(zé)并承擔(dān)責(zé)任，但并不意味著泄露之后的個(gè)人信息可以隨意買賣或者向他人提供；反而是有可能構(gòu)成刑事犯按最！《刑法》第二百五十三條明確規(guī)定了：違反國家有關(guān)規(guī)定，向他人出售或者提供公民個(gè)人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。
《最高人民法院最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問題的解釋》對(duì)于個(gè)人信息犯罪的入罪標(biāo)準(zhǔn)確定的很低，部分個(gè)人信息只要販賣50條或者違法收入只要達(dá)到5000即構(gòu)成犯罪。而從網(wǎng)絡(luò)販賣個(gè)人信息的數(shù)量和金額來看，幾乎每筆交易都是板上釘釘?shù)姆缸铩?/p>
董毅智律師也認(rèn)為，用戶信息泄露企業(yè)需承擔(dān)一定賠償責(zé)任。而按照現(xiàn)行法律，公司與用戶之間具備合同關(guān)系，有保障用戶信息安全的義務(wù)。如果本次事故是內(nèi)部人員所為，說明公司內(nèi)部存在管理問題，沒有盡到安全管理責(zé)任，應(yīng)承擔(dān)相應(yīng)的民事責(zé)任，賠償用戶損失。如果本次事故是外部攻擊造成，需要具體分析公司方面是否有采取基本的技術(shù)措施保障信息的安全，再來判定公司是否存在過錯(cuò)。
董毅智表示，企業(yè)行動(dòng)體現(xiàn)是否在事件中主動(dòng)盡責(zé)。其中一個(gè)重要的問題就是，當(dāng)企業(yè)發(fā)現(xiàn)數(shù)據(jù)泄露后做了什么，是否第一時(shí)間發(fā)出警報(bào)并采取措施直接體現(xiàn)當(dāng)事公司是否盡到了相關(guān)責(zé)任。在類似事件中，一些企業(yè)往往擔(dān)心自身名譽(yù)受損，對(duì)數(shù)據(jù)泄露抱著遮遮掩掩的態(tài)度，這種心態(tài)正是網(wǎng)絡(luò)攻擊者所期望的局面，也是攻擊者有恃無恐的原因之一。
網(wǎng)經(jīng)社特約研究員、浙江澤大律師事務(wù)所付勇勇律師認(rèn)為：因商家過失導(dǎo)致消費(fèi)者經(jīng)濟(jì)損失的理應(yīng)賠償?！断M(fèi)者權(quán)益保護(hù)法》的規(guī)定，經(jīng)營者及其工作人員對(duì)收集的消費(fèi)者個(gè)人信息必須嚴(yán)格保密，不得泄露、出售或者非法向他人提供。經(jīng)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保信息安全，防止消費(fèi)者個(gè)人信息泄露、丟失。
在發(fā)生或者可能發(fā)生信息泄露、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施?！毒W(wǎng)絡(luò)交易管理辦法》也有相同的規(guī)定。如果由于經(jīng)營者的過失，導(dǎo)致消費(fèi)者經(jīng)濟(jì)損失的，理應(yīng)承擔(dān)相應(yīng)的賠償責(zé)任。
3、遭遇信息泄露消費(fèi)者如何維權(quán)
董毅智律師認(rèn)為用戶信息被泄露維權(quán)成功率低。根據(jù)我國法律對(duì)用戶隱私的侵權(quán)行為約束力有限，用戶維權(quán)、尋求民事賠償勝訴率不大，對(duì)損失評(píng)估難以確定金額，所以想要對(duì)隱私泄露的責(zé)任人追究還是非常困難的。雖然大規(guī)模信息泄露、數(shù)據(jù)安全事件頻出，卻從未見到企業(yè)負(fù)責(zé)人被問責(zé)。
方超強(qiáng)律師認(rèn)為，行政處罰之外，信息遭受泄露的用戶也可以通過提起民事訴訟(侵權(quán)之訴或者違約之訴)的方式向趣店訴訟維權(quán)。
網(wǎng)經(jīng)社法律與權(quán)益部分析師姚建芳認(rèn)為，保護(hù)個(gè)人信息安全僅靠企業(yè)的技術(shù)手段遠(yuǎn)遠(yuǎn)不夠，目前很多互聯(lián)網(wǎng)用戶個(gè)人信息泄露事件都是一些企業(yè)內(nèi)部員工泄露導(dǎo)致的，因此企業(yè)加大對(duì)內(nèi)部員工的管理至關(guān)重要，還可以出臺(tái)"黑名單"機(jī)制，各電商、互聯(lián)網(wǎng)公司聯(lián)網(wǎng)，一次犯罪、各家平臺(tái)、乃至全行業(yè)永不錄用！
姚建芳建議，信息被泄露消費(fèi)者可從以下三方面進(jìn)行維權(quán)：
(1)主動(dòng)向信息泄露方進(jìn)行索賠。消費(fèi)者可依據(jù)《侵權(quán)責(zé)任法》、《網(wǎng)絡(luò)安全法》、《消費(fèi)者權(quán)益保護(hù)法》等相關(guān)法律，維護(hù)合法權(quán)益，要求泄露者賠禮道歉、賠償經(jīng)濟(jì)損失等。
(2)向互聯(lián)網(wǎng)管理部門、工商部門、消協(xié)、行業(yè)管理部門和相關(guān)機(jī)構(gòu)進(jìn)行投訴舉報(bào)。中國互聯(lián)網(wǎng)違法和不良信息舉報(bào)中心的舉報(bào)熱線為"12377"，網(wǎng)址為www.12377.cn。
(3)向公安部門報(bào)案。個(gè)人在被騙后應(yīng)及時(shí)到公安機(jī)關(guān)報(bào)警，尋求公安機(jī)關(guān)的幫助，以減少或挽回?fù)p失。（文/網(wǎng)經(jīng)社法律權(quán)益部分析師姚建芳）
相關(guān)閱讀：
趣店股價(jià)暴跌將受美國調(diào)查 未來或?qū)⑦M(jìn)一步走低
