老金说丨关于用户隐私，你到底有多少法律盲区？

　　上个月，国家网信办会同公安部、国家安全部、自然资源部、交通运输部、税务总局、市场监管总局等部门联合进驻滴滴出行科技有限公司，开展网络安全审查。
　　滴滴一夜变天，摔进深渊！
　　无论有没有涉及坊间传闻的触碰国家数据主权的红线，滴滴过往一贯的行为一定存在过度获取公民个人信息的地方，就像那个上了热搜的提问＂怎么玩个游戏还要读取我的通讯录权限＂，类似于这样的行为实在是普遍之普遍的存在。
　　那为什么现在要如此警惕和防范过度获取公民个人信息的行为？很多人可能听过下面这个广泛流传的虚构段子：某必胜客店的电话铃响了，客服人员拿起电话。
　　客服：您好，这里是必胜客。请问有什么能帮到您?
　　顾客：你好！我想要一份……
　　客服：先生，请先把您的会员卡号告诉我，好吗？
　　顾客：16846146***。
　　客服：王先生，您好！您住在泉州路一号12楼1205室。您家电话是2646****，您公司电话是4666****，您的手机是1391234****。请问您想用哪一个电话付费？
　　顾客：你为什么知道我所有的电话号码？
　　客服：王先生，因为我们联机CRM系统。
　　顾客：我想要一个海鲜比萨……
　　客服：王先生，海鲜比萨不适合您。
　　顾客：为什么？
　　客服：根据您的医疗记录，你的血压和胆固醇都偏高。
　　顾客：那你有什么可以推荐的？
　　客服：您可以试试我们的低脂健康比萨。
　　顾客：你怎么知道我会喜欢这种的？
　　客服：您上个周一在国家图书馆借了一本《低脂健康食谱》。
　　顾客：好。那我要一个家庭大号比萨。
　　客服：王先生，大号的不够吃。
　　顾客：为什么？
　　客服：因为您家一共有六口人。来个特大号的，怎样？
　　顾客：要付多少钱？
　　客服：99元。这个足够您一家六口吃了。但您母亲应该少吃，她上个月刚刚做了心脏搭桥手术，还处在恢复期。
　　顾客：那可以刷卡吗？
　　客服：王先生，对不起。请您付现金。
　　顾客：你们不是可以刷卡的吗？
　　客服：一般是可以的。但是您的信用卡已经刷爆了，您现在还欠银行4807元，而且还不包括您的房贷利息。
　　顾客：那我先去附近的提款机提款。
　　客服：王先生，根据您的记录，您已经超过今日提款限额了。
　　顾客：算了，你们直接把比萨送我家吧，家里有现金。你们多久会送到？
　　客服：大约30分钟。如果您不想等，可以自己骑摩托车来取。
　　顾客：为什么？
　　客服：根据我们CRM全球定位系统车辆行驶自动跟踪记录显示，您登记的一辆车号为SB-748的摩托车，目前正在解放路东段华联商场右侧行驶，离我们店只有50米。
　　顾客：好吧（头开始晕）。
　　客服：王先生，建议您再带一小份海鲜比萨。
　　顾客：为什么？你不是说我不能吃吗？
　　客服：根据我们CRM通讯系统分析，今天您与一位女性通话频率高、时间长，今天又是2.14，我们分析应该是您的情人。而这位手机用户近来一直买的是海鲜比萨，她应该喜欢这种口味。
　　顾客：……
　　客服：您最好现在就送回家，否则您就不方便出来了。
　　顾客：为什么？
　　客服：根据我们定位系统，您的爱人大约30分钟后到家。
　　顾客：我为什么要出来？
　　客服：您已在汇峰酒店定了今晚的房间，估计您是与情人约会吧？
　　顾客：当即晕倒……
　　以上情节虽然有些夸张，却十分形象地描述出了大数据时代里一旦个人隐私被暴露时赤裸裸的极恐状态。那大家有没有想过，如果上面这通电话的主角不是人畜无害的必胜客客服人员，而是一个自称某国家机关或事业单位办事人员的电信诈骗分子，被这般的了如指掌之下，是不是有人会被骗倾家荡产，有人会遭万劫不复？
　　我相信阅读这篇文章的人里面，很多曾受到过电信诈骗或者骚扰电话的困扰。有接到电话说家人住院紧急抢救中让你赶紧打钱过去的，也有收到短信说快递存在智能云柜里面超出了免费保管期需要你支付费用的，不一而足，至于接到各种各类推销电话的更是密密麻麻多到无法形容。
　　再来看一组数据：2020年全国共破获电信网络诈骗案件32.2万起，每四千人就有一人遭遇电信网络诈骗。同期共止付冻结涉案资金2720余亿元，挽回经济损失1870余亿元，但仍因电信网络诈骗造成高达353.7亿元的财产损失，损失金额相当于A股上市公司2020年现金分红的三分之一，由此造成的家破人亡、妻离子散等悲剧个案，更是触目惊心、惨不忍睹。
　　可能你会爆几句国骂，CTM，CNM。但你有没有想过这两个＂为什么＂，为什么骚扰电话会那么多，为什么被电信诈骗犯了解的信息会那么多？
　　因为很多企业、很多人一直以来并不知道自己的行为，其实和电信诈骗的产业链相关。电子商务行业和大数据行业本质上是一体两面，电信诈骗的犯罪分子开展诈骗时所依据的被害人姓名、家庭构成、财产状况、联系电话、银行账号、职业职务、行踪轨迹、银行账单、购物记录、购房购车记录以及个人证件的照片或扫描件等等从哪里来？难道是犯罪分子瞎编乱造随便PS的吗，当然不是！别左看右看，说的就是你，犯罪分子手上的肥料都源自于国内混乱管理的数据相关行业。
　　外泄、买卖、收受、交换的个人信息，在经过大数据公司引以为傲的字段拼接、撞库验真、数据耦合等等＂先进做法＂加工，其信息量的丰富程度以及刻画维度的全面性就像上面那个段子显示的那么可怕。
　　＂达康书记＂今年有部热播剧《刑警之海外行动》，三个故事的第二个讲的就是工作组远赴菲律宾打击电信诈骗，其中有这样一幕工作组在广州抓获了给菲律宾台籍诈骗团队提供＂肥料＂的谢阿伦，这个谢阿伦就是大数据公司的内鬼，专门盗取公民个人数据，然后倒卖给电信诈骗公司。可以这么说，新闻上看到的各种惨绝人寰的电信诈骗案件被害者的尸体身上，其实也沾着这些大数据企业的血迹，因为他们非法获取的公民个人信息太多太多了。
　　而这才是滴滴，以及后面在排队的公司要被查的根本原因。
　　动摇人民群众对幸福生活的向往，动摇人民群众的生产和生命安全，就是动摇国之根本，我党自然虽远必诛。保护野生动物，讲究的是＂没有买卖就没有伤害＂，而保护公民个人信息，则是＂没有非法获取就没有非法侵害＂。
　　说完电子商务行业，说完大数据行业，再来说说我们自己行业。
　　习近平总书记2018年在民营企业座谈会上提出＂守法经营，这是任何企业都必须遵守的原则，也是长远发展之道＂，但汽车行业以及汽车咨询行业长期以来却对国家相关法律法规的学习极其不足、法律意识十分淡薄，严重的不知法、不学法，导致了＂侵害公民个人信息＂的情况较为普遍。
　　不要反驳，因为法盲真的遍地都是，就说如下：
　　其一，车辆销售后留档的车辆信息和车主信息是否属于车企的数据资产？
　　比如车企委托调研咨询公司进行车主访问类项目，包括满意度回访、广告效果反馈研究、新车型用户评价意见收集等项目时，经常做的动作是将车主名单提供给咨询公司用于电话访问或邀约至特定地点进行访问，以及车企查一查某个车卖去哪个省份有没有跨区、某个车过户给了谁有没有发生置换等等。大家都对这些行为习以为常，为什么，因为车企想当然地认为车主信息、车辆信息是车企的重要财产。
　　很可惜，法盲们错了！物权发生转移后，依附于物权的相应信息，无论是人的，还是车的，都属于转移后的物权所有人，而非转移前的物权所有人。
　　所以，按照《中华人民共和国刑法》、《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》以及《中华人民共和国个人信息保护法（草案）》，车企将车主名单提供给咨询公司或向咨询公司查实车主名单的行为触犯了＂侵害公民个人信息罪＂。
　　因为车主名单里面所包含的个人姓名、性别、名下车型、购车时间、保养时间和类型、联系电话、联系地址、个人证件号、车牌号等均属于公民个人信息，随着车辆物权的交割，上述信息的所有人，并不是车企，而是车主本人。若车企在未取得车主本人同意以及授权的前提之下，交付给调研公司，即车主本人对于其信息由车企提供给咨询公司的行为，不知情以及未授权，即被认为存在＂侵害公民个人信息罪＂情形。
　　其二，车企从大数据公司采购的＂撞库＂字段是否合法？
　　比如车企找大数据公司做的数据库营销项目中，包括私域营销、精准营销等，后者往往通过其自有或外采的电讯运营商数据、银行卡数据、电商数据、浏览记录等，通过特定ID的撞库，比如手机号、身份证号、手机设备号或MAC地址等，协助车企完善其CRM中的用户数据库字段，开展用户画像研究以及营销线索评级和营销接触、用户邀约。这也是绝大部分车企广泛开展的所谓＂新营销＂工作，法盲们还会反驳这么天经地义的事情会有什么问题呢。
　　很可惜，法盲们又错了。目前市面上＂撞库＂的电讯运营商数据、银行卡数据、电商数据、浏览记录等，一方面绝大多数是灰色或非法取得，另一方面都是通俗意义上的明码数据，即没有做任何匿名化处理，所以都不可以合法使用。
　　按照《中华人民共和国刑法》和《中华人民共和国数据安全法》，通过购买、收受、交换等方式获取公民个人信息的，属于刑法第二百五十三条之一第三款规定的＂以其他方法非法获取公民个人信息＂。
　　非法获取、出售或者提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上的，以及非法获取、出售或者提供住宿信息、通信记录、健康生理信息、交易信息等其他可能影响人身、财产安全的公民个人信息五百条以上的，以及非法获取、出售或者提供第三项、第四项规定以外的公民个人信息五千条以上的，应当认定为刑法第二百五十三条之一规定的＂情节严重＂。数量或者数额达到前款第三项至第八项规定标准十倍以上的，应当认定为刑法第二百五十三条之一第一款规定的＂情节特别严重＂。情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
　　其三，以公民个人信息为基础的各种营销平台还能用吗？
　　比如用户关系管理平台搭建的公司利用车企的自有数据为后者分析其用户画像以及聚类，包括了数据中台类项目以及DMP（Data Management Platform）、CDP（Customer Data Platform）、DSP（Demand Side Platform）、CRM（Customer Relationship Management）等。车企会说，我又没有应用于推销或者诈骗犯罪，哪里会有问题。
　　很可惜，法盲们再次错了。
　　车企的该行为触犯了＂侵害公民个人信息罪＂。因为即便车企自有数据库的用户，假若仅授权了车企对其个人信息的使用权，但并没有授权车企将其个人信息交由其他第三方的平台公司使用、存储等，即被认定为存在＂侵害公民个人信息罪＂情形。利用非法购买、收受的公民个人信息获利五万元以上的，应当认定为刑法第二百五十三条之一规定的＂情节严重＂。同时，向不同单位或者个人分别出售、提供同一公民个人信息的，公民个人信息的条数累计计算。
　　唉，真没想到这个行业，居然有这么多的法盲！
　　在国家强力打击电信诈骗犯罪过程中对公民个人信息和大数据行业进行了整顿和清理的大背景下，＂侵害公民个人信息罪＂的行为会让车企、车企员工和咨询公司、咨询公司员工都处于巨大的风险当中。要知道刑事案件追诉时效的最长期限一般为20年。但如果20年以后办案机关认为必须追诉的，报请最高人民检察院核准后，仍然可以追诉。
　　打击个人信息方面的犯罪，就是为了对电信诈骗做＂釜底抽薪＂的重击！这不只是共和国领导人的个人主张，更是上升到国家意志层面的战略部署。为了斩断电信诈骗的魔爪，国家对个人信息方面的犯罪，只会重拳出击，只会穷追猛打，只会除恶务尽。
　　所以，在国家对电信诈骗高举严打的新形势之下，被新势力压着风头的传统车企们要把握机会，带个好头！而汽车咨询公司们现在也不得不做出重大的调整、重设甚至放弃、退出，才能不将公司、公司股东、员工个人以及员工家属置于极度危险的境地。