互联网时代，真的存在隐私安全吗？

上个月，我应邀参加了一档聚焦网络安全领域热门话题的对谈节目——《ISC夜谈》（互联网安全大会），与360集团董事长周鸿祎先生、“白帽黑客”古河先生，以及我的老同学兼主持人马丁，一起聊了聊数字数代的隐私安全、网络诈骗等话题。

我经常在小区电梯看到植发广告，也会怀疑隐私是不是遭到了泄露。相信大家生活中也有很多类似的经历和困惑，所以今天整理成文字与大家分享。

来源 | 罗翔说刑法

软件，真的能泄露我们的隐私吗？

马丁：各位好！欢迎来到ISC夜谈的现场，我是马丁。今天谈论的话题并不想涉及到特别专业的、大家听不懂的话题，我们聊的是普通的受众和网民感兴趣的，也能听懂的话题，所以我们要把这个话题普及化。所以，今天谈论的主题主要谈及个人隐私。罗老师，红了以后，隐私有没有被泄露？

罗翔：跟很多人都一样，刚刚买了车，马上就有人给你打电话，要不要上保险？刚刚买了房，就有装修公司说，要不要装修。刚在某个平台上买了一个东西，最后各个APP都给你推送，以至于我最近上电梯发现电梯里面有植发的广告，我都有点害怕，我说这是不是精准的推销。

马丁：这个涉及到一个很重要的话题，个人隐私，我想了解一下，真的就像罗翔刚才说到的，软件，真的能把我们的隐私泄露出去吗？如果不行，那怎么我们聊了聊装修，第二天电话就打过来了呢？老周怎么看？

周鸿祎：第一，我觉得现在缺乏一个严格的界定，就是把个人数据和个人隐私做一个很好的区分。比如你的手机号码，有的时候叫个人数据，但是被人不恰当的利用，你可能就是认为个人隐私被侵犯，这是第一点。

第二，我对保护个人数据持比较悲观的看法，就是现在所有的互联网服务，只要你用，你就不得不把你的个人数据交给提供服务的厂商，否则他没有办法提供服务。

比如说，你用搜索的时候，自然把你内心想问的问题，比如你最近要减肥，你在搜减肥药；比如你在聊天软件里聊天，我们俩聊天软件里的内容，哪怕涉及个人私密的内容，这个聊天的内容通过了通讯厂商的服务器，肯定被保存下来了。

所以，我觉得个人数据现在赋能给厂商已经是一个客观存在的事实。所以，在这个情况下，我认为再谈不允许他们手机收集数据，我认为是不可能的，现在只能退而求其次，就是对厂商要提出要求，比如你如何能够善待用户的数据，如何能够更好地处理用户数据，如果处理得好，我认为就保护了用户的隐私，大家皆大欢喜，老百姓的数据托管在你厂商的服务器上，老百姓也能得到各种免费的互联网服务，自己的数据也没有被泄露。

我们说的泄露隐私，不能只看他是不是收集了数据，而是看他收集数据的方式和使用你数据的方法。比如有一种情况我也遇见过，不指名字了，就是有的软件会打开你的摄像头，或者麦克风，我们在谈话的时候他会偷偷录音，从中找一些关键词，试图匹配我明天的兴趣爱好。我认为你可以录我的讲话，没问题，但是，你得告我一声，不能悄悄地打开麦克风。

马丁：怎么告诉你一声？老周，我要听你们的谈话了？你说行，没法告诉你呀。

周鸿祎：所以，我觉得这就是一个问题。所以，我们主张你在采集用户数据的时候，能不能做到真正的让用户有知情权和选择权。罗翔老师应该知道《消费者保护法》是一个大法，里面规定了很多消费者的权益，一个很重要的我认为是应该把选择权和知情权交给消费者。

还有从法理上来说，最近《民法典》通过了，这个对中国的法治建设意义非常大。《民法典》把很多东西要设定它的所有权，因为只有界定了所有权才谈得上第二步，在很多其他的法理上去进行这种研究。

我有一个观点，《民法典》上我提的建议，但是可能还没有被采纳。就是因为在使用互联网服务过程中，我们提供了被互联网公司收集的这些数据，或者叫个人数据，它的所有权应该明确的定义它应该属于用户自己所有，只是暂时委托厂商，存在厂商的服务器和数据库里，这样有两点就可以往前延展。

第一，当我以后决定，比如说，我的数据被你采集了，你知道我买房的记录，知道我买车的记录，也知道我的聊天记录，但是不用你服务的时候，能不能要求你把我的数据删掉，如果厂商说，这个数据是我收集的，我拥有的，我想干什么，消费者的权益就很难得到保护了。

第二，厂商如何保护数据呢？刚才罗老师谈到，一旦从采集个人数据变成他感觉隐私被侵犯是一个转变，是因为有的厂商拿了他的手机号之后，会把他的手机号和买房的情况，把这个数据再转卖给其他做装修的，做家具的。我认为用户的数据既然所有权属于用户，他只是临时的托管在厂商的服务器上，厂商是没有权利把这个数据转卖给其他厂商。

马丁：那现实状况，我怀疑，我也没证据。我怀疑就是被转卖了，不然怎么会来这些信息呢？

周鸿祎：这个咱们现在没有证据。但是，从很多消费者描述的情况来看，应该是被转卖了。各个厂商如果单独拿到数据，比如有人有你的购买记录，有的厂商有你的聊天记录、搜索记录、出行记录，这也就罢了，对他们来说都只是掌握片面的信息，最怕他们在一起交换数据，他们一综合，罗老师每天在哪儿开房。

马丁：你说的没错，他经常“开房”。

周鸿祎：对，他到全国讲课。在哪儿吃饭，在哪儿买的鲜花，这就是一个问题。

马丁：这个信息被泄露，哪一块涉及到犯罪，现在的《刑法》有没有明确的规定，怎么才算泄露个人信息，怎么情况下才能抓张三？这个有吗？

罗翔：其实个人隐私这个概念在我国还是比较晚进的改进，换言之，很多老百姓对这个概念并不是特别熟悉，所以有许许多多的个案促进了法律相关的变革。

我印象中中国第一例网络隐私的泄露案应该是2008年，叫“姜岩案”，写了一个死亡博客，记录她老公如何对她的不忠，（最后跳楼自杀）。于是网友发动了对他先生，他先生姓王，发动了人肉搜索，把他一系列信息公之于众，后来有人到他单位去闹。所以，后来单位把他开除了，甚至还把他爹妈也查出来了，有人到他爹妈门口去泼油漆。所以，后来这个王先生就把几家网站给告了，朝阳区判的，后来朝阳区法院认为有些网站就是侵犯权利了，当时还发了一个司法意见书。所以，这个案件是第一次把隐私权跟道德舆论监督两者的矛盾展现出来了。

至于我们今天说的信息隐私，2005年有一个非常经典的案件，我记得当时用“中国同学录5460”，很多信息在里面，后来有一个网站从5460里窃取了9000多条信息，任何人只要花一块钱就可以任意查询这些信息。

而事实上像类似的案件在当年都很难有相应的法律规定进行处理。因为信息隐私和个人的很多隐私，当时的法律保护是一个空白。所以，2010年我们就有一个《侵权责任法》，《侵权责任法》就把个人隐私规定在这个民事法律中，至于《刑法》就是在2009年，也就是我们刚才所说的人肉搜索案之后的第二年，《刑法》就规定了一个罪名，专门规定了一个出售提供公民信息罪以及非法获取公民个人信息罪。

但是，这个罪名限定的主体必须是特定主体，也就是银行、保险公司这种特定的单位，而且刑罚比较低，只有三年以下。

2015年这是一个关键性的年份，我们《刑法修正案（九）》把刚才那个罪名给改成了“侵犯公民个人信息罪”，就做了一个整合性的罪名，他的主体就从特定主体变成了一般主体，包括我们在座的所有人，如果你有窃取、提供、购买，或者其他方法的非法获取个人信息的行为，都可能以犯罪论处，最高刑可以判到七年有期徒刑。

2017年又出台了一部法律，叫《网络安全法》，明确规定了个人信息，个人信息的概念被规定了。随后，2017年还有一个《民法总则》的出台，把个人信息从隐私权中独立出来了，因为以前人们认为个人信息跟隐私是完全一样的，现在把个人信息从隐私中完全独立出来了。

2017年还有一个规范性文件，最高人民法院和最高人民检察院把2015年“侵犯公民个人信息罪”定罪量刑标准明确了，出台了一个《司法解释》。什么叫个人信息呢？个人信息就是跟自然人有关的，通过电子或者各种数据能够识别特定自然人的信息，以及活动情况。也就是说，如果你泄露的是他人的可识别性信息，或者活动情况，像身份证号码、电子邮箱、行踪轨迹、开房记录，这就可以构成犯罪，犯罪标准是什么？像最值钱的这种轨迹信息，或者通话内容，50条以上就可以构成犯罪。至于其他的信息，身体健康信息，开房信息，500条以上就可以构成犯罪，这是2017年的《司法解释》。

刚才周总所谈到的《民法典》，《民法典》就以非常明确的方法定义了什么叫隐私权，因为隐私权是没有一个法律定义的，现在把隐私权这个概念给定义了。什么叫隐私权？关于个人私人生活的安宁，以及这种个人不想让别人知道的私密活动、私密空间和私密信息，这些都叫隐私权。而且我了解到，2020年我们还准备通过一部法律，叫《个人信息保护法》，这部法律正在全国人大常委会进行审议。如果这个法律通过，整体上我国个人隐私和个人信息的法律体系就比较完备了。

但是，你会发现，当我们说法律的时候，我们所处理的一定是诸多价值的一个对立。因为像隐私这个问题本身就是隐私权跟知情权，或者说跟表达自由之间的一个冲突。人的本性都是什么？人的本性都是希望多知道别人的东西，希望窥探别人，但是不希望自己被窥探。比如，我特别想了解马丁老师很多东西，但是我自己的很多东西即便包括你知道的，我也不想让你说出来，这是人的本性。

所以，这就是为什么我们这个世界很多时候不是善恶的对决，是善和善的对决，都是一些美好的价值，隐私权、知情权都是很美好的价值，你是在这些价值中要寻找一个平衡，因为法律永远是在诸多对立价值中寻找平衡。

我们就会发现，如果这个隐私权跟个人生活密切相关，又跟公共利益没关系，那这个隐私权是不是就要高于知情权？但是，如果说隐私权跟公共利益有非常密切的关系。那么，在这种情况下，是不是知情权就会适当地高于隐私权？

比如说，一个人受过刑事处罚，这个犯罪记录能不能在网上查询，因为它跟公共利益是有关系的，尤其包括性犯罪人的犯罪记录等等。所以，这是一些非常复杂的问题。它涉及各种权利之间的平衡和对立。现在我们的法律体系，我觉得也在慢慢的形成，通过各种个案在推进法律体系走向健全。

马丁：鼓个小掌。

周鸿祎：确实名不虚传。我发现我以后可以跟其他罗老师辩论，跟这个罗老师没法辩论，他站在法律的高度讲的深入浅出。

马丁：行走的刑法典，听起来说的很随意，用词很明确。

周鸿祎：最关键他有详实的资料和非常好的数据，讲的非常清楚。所以，恰恰也证明了我的一个观点跟他比较接近，就是其实隐私在法律上界定的是比较狭义的，现在你说的是侵犯隐私，实际上是侵犯用户数据，个人信息。

个人信息我觉得我们的法律，可能有比较多的案例，我觉得我们法律的制定已经走在时代前面了。比如说，收集个人信息，因为你要采用服务，法律上是支持的。并不能因为说我这个软件收集了用户信息，我就是侵犯人隐私。但是，我怎么操纵这些信息，我操纵信息的方式决定了是不是违法，这一点很重要。

马丁：你们两个红衣往这儿一坐，让大家觉得一个是在安全方面的专家，一个是在刑法方面的专家。接下来我要让技术方面的专家多说两句。

我问你几个问题。是不是现在由于网络技术的进步，特别是专业技术工具的傻瓜化，窃取别人信息变得更容易了？

古河：总体上讲是这样的，因为现在其实有很多产业链，就是说可能它最上游的，甚至会有一些掌握了技术的黑客，他会制作一些这种工具。

马丁：分享给大家？

古河：分享也好，或者出售给中游、下游的这些人。这样就说明你真正想去窃取一些隐私，这些人获得这个技术的成本其实变低了，就是变得更加容易。

马丁：它不是一个个人行为，是这样吗？

古河：对，很大一部分，很多个人隐私泄露可能是大批量的这种，比如说，很多公司业务发展很快，收集了很多数据。但是，在安全上如果说它的投入可能没有那么多的情况下，他可能遭受了一些黑客组织。这些组织可能有很好的技术，但他去攻击某一个特定的个人，他可能就意义不大。当然，在座各位老板还是有攻击的价值。

马丁：老周和罗翔有价值，特别老周是有价值的。

古河：但是批量的攻击这些，大量的公司上面的数据可能对他们来讲收益更加高，所以就会产生有组织性的这样的一个黑客行为。

周鸿祎：给大家讲讲那个词叫“拖库”。

马丁：什么意思？

古河：“拖库”其实是这样，就是很多互联网你去注册，有用户名、密码都会存在公司的数据库里面。很多黑客组织攻击一家企业，会去把数据库给偷回来，我们就叫“拖库”。这个数据其实非常有用，就是像一些企业安全做的不好，可能都是明文存储密码，但是现在大部分会加密，但是加密其实也会有破解的方法，就是我们所谓的去撞库，去撞密码，甚至直接用非常巨大的算力把你经过加密的密码给还原出来，破解出来。

周鸿祎：他还说了一个词叫“撞库”，比如很多人写密码，比如马丁老师家里的密码是多少？可以分享一下吗？

马丁：姓名+生日。

周鸿祎：所以，我们只要查到他和他老婆的生日，大概就能猜出来。还有很多人密码喜欢用ABCDE12345，或者键盘上第一排键，这种密码库黑客们都有，就用大量的密码库经过同样的加密算法去对，我们称为叫撞库。

马丁：如果自己的密码不是自己的生日和自己熟知的数字，容易忘。

周鸿祎：这就带来一个问题。因为我是个安全专家，我也上很多网站。很多网站都有密码，我试图给很多网站设上不同的密码，而且密码一般要8位以上，低于8位很容易被人撞。如果8位要有数字+符号+大小写英文混在一起，最后我很多网站再也上不去了。

所以，最后就会出现一个现象，你所有网站都用一个密码，就意味着为什么撞库很可怕，把你在一个论坛上的数据库拖走了，知道马丁的密码，把口令撞出来，拿这个用户名和口令再去其他的电商，去他的网站，基本上70%、60%的密码是可以拖完库、撞完库以后在其他网站可以试出来的，这意味着互联网不怕神一样的对手，就怕猪一样的队友。上很多网站，就算N个网站做的再好，万一有一个网站不重视安全，就意味着你在整个互联网就不安全了。

马丁：所以，接下来的问题一定要问，这怎么办？

周鸿祎：其实我觉得今天黑客攻击单个人的概率不是特别高，对我们很多普通消费者来说，确实可能黑客也不知道你是谁，当然除非你在网上老嘚瑟自己，炫富，可能是被攻击的对象。

但是，其中一个很重要的现在的一个问题，网民有觉得用户隐私跟我没关系，反正黑客跟我无关，这个想法是不对的。因为黑客会攻击很多网站，特别会攻击很多公司。原来我们只说互联网公司收集用户数据，随着中国整个商业的数字化、工业互联网、智慧城市，很多普通企业，像酒店业、旅行业、航空业、零售业，包括像出租车公司可能都会存储你的数据。

但是，他们在安全上如果不够专业，或者没有360这样重量的合作伙伴来帮助，他们在安全方面可能就会很脆弱，可能很容易黑客就把他的数据偷走了，而这个黑客在黑市里面，就是专门有人负责偷数据，有人负责买了数据之后，再根据数据做处理，他就可以去研究对个人做攻击了。

这里有一个著名的案例，山东有一个女生叫徐玉玉，她接到了一个诈骗团伙的诈骗短信，她之所以相信上当是因为诈骗团伙掌握了她的家庭住址、家里的收入情况，包括父母亲的很多信息，包括她刚刚参加完高考，她的很多个人信息。所以，后来她被诈骗了几千块钱。

罗翔：所有的学费。

周鸿祎：家里比较穷，生病了，就气死了，当时我们很痛心，很惋惜。这个案子刚出来，当时我在支持公安机关对网络诈骗，因为有欺诈短信，我们帮助公安机关在做调查的过程中，案子还没出来，我就下了一个断言，我说这里面应该还有一个案子，就是个人信息的窃取。后来果不其然，诈骗的案子破了，诈骗团伙供出来，他们是从另外一个数据偷窃的团伙买来的徐玉玉的个人数据，这个数据怎么来的呢？

后来公安又抓到了偷窃数据的黑客团伙，不好意思，以后我们叫白帽子黑客。这个团伙攻击了当地的一个网站，这个网站并不涉及钱，只是登记了很多扶贫贫困学生的个人资料。所以，你就会发现，一个看起来人畜无害的网站被人泄露了，这个数据被别有用心的黑客拿去，就能做出一个欺骗大案。

所以，这里我提醒一下，我们经常免费帮助很多网站找漏洞，有漏洞就意味着可能被“拖库”，有的地方说自己就是一个登记网站，也不涉及钱，信息被拿走也没有用。这个观点是错误的，信息被拿走，意味着很多个人信息不是暴露给公众，是暴露给犯罪团伙，犯罪团伙如果了解你的情况设计的攻击和不了解你的情况设计的攻击成功率能差100倍。

比如马丁老师你设想，今天不了解你的情况，给你发一个短信，你今天怎么样，快来交罚款，你可能一笑置之。但是，如果知道你的信息了，比如在一个生育网站知道你最近刚生了二胎，还在怀三胎，有两个孩子多大，有一个上了幼儿园，了解这些信息给你发一个短信说什么？马丁老师，我是你孩子的幼儿园老师，你的孩子最近成绩不太好，请点击这个链接查看一下他的作业情况。

或者说马丁老师，我是你太太的保健医生，听说她最近怀三胎了，可能要关注保健方面的知识，给你发来一个Word文档，你要不要打开看？你发现一旦掌握了你的个人信息，再有针对性的，我们叫社会工程学，网络攻击里有一种攻击方法，就是不需要任何技术，用人性的这种弱点可以骗到你的口令，可以引诱你点击链接安装一个软件，这种攻击率就要高很多。

所以，这里提醒两点，很多消费者可能老觉得黑客不打你的主意，但是如果你经常登录的网站，或者给你提供服务的商业公司泄露了你的个人信息，可能就会有危险。

马丁：这么一说，后背直发凉。

罗翔：这就是为什么2009年，在个人信息的定义都没出现的时候，《刑法》就抢先一步先规定了一个罪。

马丁：说白了，原来的骗人是上门骗你，后来变成电话骗你，再然后变成网上骗你，现在有可能是把你的情况摸的底掉，全方位大数据骗你。

伴侣偷看我手机，算不算侵犯隐私权？！

马丁：我们转换一下节奏，快问快答罗翔几个问题，来到ISC夜谈大会，360有很多程序员小哥哥听说你要来，准备了一个问题，非常严肃，问你一下，你给回答一下。

我好不容易有一个女朋友，但是她偷看我手机，算不算侵犯我的隐私权？

罗翔：这个问题会比较复杂。怎么说呢？首先要设计两种基本概念，一个是法律和道德，一个是权利和义务的问题。道德是一种自律，而法律是一种他律。换言之，道德上的权利和义务没有相应的法律后果，只有法律上的权利和义务才有相应的法律后果。单从法律的角度而言，因为男女朋友没有正式的法律名分，所以肯定是不能够侵犯别人的隐私权，不能够用道德上的这种忠诚权去对抗法律上的隐私权。

但问题在于，我刚才说道德是一种自律，因为爱情从来都具有独占性，一个恋爱的人肯定希望对方对我专一。如果女朋友偷看你的手机，你要把她告了吗？如果她只是偷看你的手机，你觉得不合适，是不是分手就可以了。

所以，我们现在要区分法律和道德，这是一个法律问题还是道德问题？也许是一个法律问题，但更多的是一种道德问题。就像法律人经常说权利和义务，是先有权利还是先有义务？

马丁：鸡和蛋。

罗翔：很多人认为是鸡和蛋的问题，但其实不是鸡和蛋的问题，一定是先有义务才有权利，如果没有人愿意主动去承担道德义务，一切权利都不可能产生。所以，义务一定是在前面的，在义务的基础上才承担了道德。现在咱俩恋爱了，虽然你在法律上没有权利看我的手机，但是如果我主动的愿意承担一种道德义务，一种对你忠诚的道德义务，这个时候才能慢慢地诞生出权利，甚至是法律权。

所以，像刚才女朋友这个问题是一个很复杂的问题，我觉得更多的是一种道德的问题。当然，这种道德的问题会涉及法律上的隐私权。也许这个回答非常模糊，因为法律本身就是处理对立的各种价值之间的一种平衡，但人最大的问题就喜欢在自己看中的问题上附着不加边际的价值，所有美好的情感都需要节制，爱情很美好，爱情的独占也是爱情的特点，但是这个情感可能也需要节制，很多时候也需要尊重对方的空间。

但是，从另外一个角度而言，当你和对方恋爱的时候，你的有些隐私可能也需要自愿的让渡，你要自觉地承担一定的道德义务，这大概是我的想法。

刑法中的“侵犯公民个人信息罪”

侵犯公民个人信息罪，是指违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的行为；窃取或者以其他方法非法获取公民个人信息的行为。一般处3年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处3年以上7年以下有期徒刑，并处罚金。
2017年6月1日实施的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《信息解释》）认为此处的“公民”可以解释为自然人，包括外国人和无国籍人，但不包括单位和死者。
“公民个人信息”不是单纯的隐私信息，而是与特定自然人相关联的可识别性信息。司法解释规定，包括身份识别信息和活动情况信息，即以电子或者其他方式记录的，能够单独或者与其他信息结合识别特定自然人身份，或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。
一个男同学拿着个高倍望远镜偷窥对面的女生宿舍，结果发现对面有个女同学也拿着高倍望远镜在看他。你正在看风景，看风景的也在看你。这侵犯了对方的隐私权，但这不属于可识别的信息，不构成侵犯公民个人信息罪。
向特定人提供公民个人信息的行为属于“提供”，而人肉搜索是通过信息网络或者其他途径发布信息，实际是向不特定多数人提供公民个人信息。基于“举轻以明重”的法理，人肉搜索更应当认定为“提供”。
对于“购买公民个人信息”是否属于“以其他方法非法获取公民个人信息”，以前存在不同认识。有意见认为，法条中所述的“其他方法”应当限于与“窃取”危害性相当的方式（如抢夺），不宜将“购买”包括在内。
但《信息解释》没有过分拘泥于逻辑，而采取了经验主义的做法，认为从实践来看，当前非法获取公民个人信息的方式主要表现为非法购买，如排除此种方式，则会大幅限缩侵犯公民个人信息罪的适用范围，而且不少侵犯公民个人信息犯罪案件，购买往往是后续出售、提供的前端环节，没有购买就没有后续的出售、提供。所以，司法解释认为购买公民个人信息，也可能构成此罪。

-END-

责任编辑 | 吴珊

审核人员 | 张文硕

▼往期精彩回顾▼

点击相应图片识别二维码

获取更多信息

北大法宝

北大法律信息网

法宝学堂

法宝智能

点击「在看」，就是鼓励