【原】如何看待京东金融盗图事件？用户隐私保护刻不容缓

昵称72020678 2020-10-20

展开全文

关于这个事件，《看懂经济》邀请了众多大咖发表观点：

王新锐

北京安理律师事务所合伙人

1、这个事件中有很多技术细节还需要技术专家判断，但从京东金融排查后较为详尽的说明来看，应该和事实比较接近，否则很容易被证伪。

2、这个事件，京东金融在数据合规方面无疑还是犯了错误，让用户产生了一定疑虑。虽然京东金融解释说本次事件属于需求错误开发，其主观、客观上均不存在未经用户授权获取、私自上传用户图片的情况，但是这类问题在信息的获取和理解上具有不对称性，即具体行为对普通用户来说是比较直观的，但其技术原理则非常抽象，普通用户难以理解，因此，用户容易形成京东金融未经授权获取用户图片的感受。从京东金融的说明来看，其并没有未经用户授权收集截图的主观动机，也没有进行上传，如果是这样，性质并不算严重，但依然需要重视。

3、我相信这类问题在国内互联网公司中绝不是孤例，不管有没有技术因素。在我们以往的工作实践中，曾发现大量的App超范围获取用户个人信息甚至是敏感信息的行为。而安卓系统下的App比iOS下的更为普遍。

4、出现这类问题，我觉得不管是京东金融还是其他互联网公司，都应该尽快在内部开展全面、充分的个人信息安全问题排查和安全影响评估，尤其对于涉及获取、使用用户高度敏感个人信息或者涉及大量获取、使用用户个人信息的企业，更应该高度重视相关问题。在一些情况下，互联网公司的业务逻辑和用户的基本权利保障之间存在着矛盾，公司只有将保护用户基本权利作为高优先级的事项，并为此投入更多的资源，才能让用户产生长久的信任。2019年《个人信息安全规范》修改草案中新增的关于“不得强迫收集个人信息的要求”、“第三方接入管理”、关于个人信息保护负责人和个人信息保护工作机构的制度设计（具有独立性、直接对主要负责人汇报）以及保障个人信息主体选择同意权的方法等内容，也是企业一个重要的努力方向。

5、2019年1月25日中央网信办、工信部、公安部、市场监管总局正式发布《关于开展App违法违规收集使用个人信息专项治理的公告》（以下简称《公告》），并于2019年1月至12月期间依据《公告》在全国范围内开展专项治理。在监管日趋严格的背景下，广大互联网公司也需要尽快落实问题排查和整改，规范个人信息收集、使用的行为。

车宁

北京市网络法学研究会副秘书长

近期陆续有网友反映京东金融App未经授权私自抓取用户手机截图，并怀疑可能自动上传造成信息泄露。一石惊起千层浪，公众敏感神经顿时绷紧，信息安全再次成为热点话题。对于这起事件，应该从三个层面理解：

1、事实层面，这是一起技术失误。不仅是在设计上没有正确理解客户需求，没有把握好体验与安全的关系，更是在功能上部署粗放——不能及时中止功能，不能及时清空数据。

2、法律层面，目前没有证据直接显示京东金融有未经用户授权自动上传截图的行为和意愿，而且在其隐私政策中也向用户要求了访问相册，读取、修改及删除存储的权限。也就是说，基于现在的客户授权，京东金融的操作哪怕被认作技术失误，但还在合法范围内。

3、影响层面，法律上的辩护不能替代舆论上的被动，事件仍有继续发酵的可能，另外，考虑到手机安全环境，类似行为事实上构成了一种危险，不法软件可以借道其进行收集行为。

展望未来，本起事件最值得反思的是互联网金融赖以兴起的敏捷开发机制，这种“小步快跑，快速迭代”的机制在创业早期的确形成了对传统金融的比较优势，但在机构本身越来越具有系统重要性的今天却也逐渐走向负面，有必要从强化技术论证，提升决策层级，前置法律审查等方面入手予以优化。

肖飒

中国银行法学研究会理事

1、侵犯公民个人信息就是达摩克利斯之剑，再怎么强调都不为过，在目前法律条件下，侵犯公民个人信息绝对是“红线”。我们不反对科技变革金融，也期待化学反应，但是，如果在IT技术极度发达的情况下，自我控制就必须成为技术大鳄的必备素质。

2、公民个人信息是指：以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。我们认为，这里的“等”是查漏补缺之用，未来如果有新的标识，例如虹膜信息等，也可能划入公民个人信息之内，所以，万不要抱有侥幸心理，也不要片面理解“法无禁止即可为”。

3、有数据意识没有错，利用数据造福人群没有错，但我们必须有数据使用的“边界意识”。法律不是儿戏，是当下约束人们行为的准则，它没有感情，只有理智和逻辑。

王礼

看懂经济评论作家，《富国之本：全球标杆银行的得失之道》作者

金融机构如何在运用大数据为客户提供更好服务同时，又不逾越客户数据保护的雷池，摩根大通杰米·戴蒙在2016年曾写下一段话:

我们要求第三方机构进行自我约束，只提取他们为服务客户所需的信息，并让客户确切知道这些第三方支付机构使用了哪些信息。我们希望将来能够建立起一个系统，在这个系统里推送的信息都经过客户允许，而不是让第三方机构无限制的取得客户信息。

推送特定的信息还有另一个好处：客户不需要提供银行密码。当客户给第三方机构提供他们的银行密码，他们可能不会意识到，如果在支付页面上使用这个密码，那么第三方机构的“流氓”员工利用这个密码从客户的账户中窃取钱财，那么将是客户自己而不是银行承担责任。你可以放心，当银行造成损失时，客户将会得到全额赔偿。但是第三方机构则不一定能这么承诺。这样缺乏清晰度和透明度的行为是不公平的。

客户隐私是最重要的。我们需要保护我们的客户和他们的数据。