网站疏于管理用户数据谁来问责

本篇文章1940字，读完约5分钟

“我们的团队决定无条件删除数据库，并且不打算在将来出售任何与acfun相关的数据和漏洞……”13日深夜，黑暗网络上的一条短信“关于不再出售acfun数据库”引起了互联网安全行业的广泛关注。在这一点上，二级发烧友青睐的“站甲”是一种解脱。在甲站遇袭后，网民的焦虑再次被点燃——我们网站上存储的个人信息和数据安全吗？谁能保护我们的“网络隐私”？

注意力

网站应该对甲站的数据泄露负责吗

最近，主要业务是提供二级视频内容的acfun发布了一份关于acfun黑客攻击导致用户数据泄露的公告，称其网站中近1000万条用户数据被泄露，包括用户id、用户昵称、加密密码和其他信息。

尽管一些自称为“攻击者”的黑客在黑网上发帖称，他们将删除相关数据信息，并停止传播通过贩卖获得的用户数据，但许多网民仍然认为，根据去年颁布的《网络安全法》，应该追究“攻击者”的责任，同时，对A站忽视用户数据管理的行为应该予以处罚。

"网站的责任是否应该追究，应该根据情况来判断."360企业安全研究院院长裴志勇认为，如果网站之前收到漏洞报告，但没有主动处理，缺乏日常的安全维护工作，或者在安全事件发生后没有通知用户，则需要承担相关的法律责任。

裴志勇指出，网站管理和维护人员缺乏安全意识是用户信息和数据泄露的重要原因之一。这可以从去年的软件大爆发中看出。2017年3月14日，微软发布了相关安全补丁，2017年5月12日，政府和企业组织的安全人员有58天时间完成部署工作。然而，从一些关键信息基础设施遭到破坏的结果来看，一些政府和企业组织的安全意识和能力显然与其掌握的信息数据量不相称。

裴志勇用“四个印象”概括了一些互联网企业和政府网站工作者的安全意识——病毒预警不关注、管理制度不遵守、应急预案不落实、风险预警不满足。“即使是一些网站也知道它们存在安全漏洞，但却不进行修复，这最终会导致大量用户数据泄漏的严重后果。”裴志勇说道。

现状

内部和外部因素交织在一起，为保护用户隐私“埋下了地雷”

除了因网络攻击网站而导致用户隐私信息泄露外，一些政府网站信息泄露不当，一些企业“纵容”用户提供敏感信息，少数机构“公然”与第三方共享用户数据，都为用户隐私保护埋下隐患。

部分政府网站信息披露不当。自去年下半年以来，安徽、江西等地的政府网站以信息公开为由，在其网站上发布了群众的私人信息。这些私人信息包括姓名、联系电话号码、家庭地址和慢性病信息。这一举动很容易引起犯罪分子的注意，并保存上述信息以达到“精确欺诈”的目的。

一些企业“引诱”用户提供敏感信息。今年春节前夕，一款信息阅读应用在其官方红包活动中，诱使用户授权他们和他们的合作伙伴在收回红包前查询敏感信息，如个人信用、商业交易记录和违法违规行为。尽管这位官员后来澄清说，授权相关信息是为了“反洗钱”，但这仍然导致许多法律专业人士质疑这一举措“既不合规也不合法”。许多用户甚至不知道他们在这次活动中“放弃”了查询敏感信息的权利，这也为大规模的用户隐私信息泄露“埋下了祸根”。

一些组织“公然”与第三方共享用户数据。在2018年1月1日生效的一家共享自行车公司的用户协议中，明确声明其“有权”向第三方提供用户信息，如用户注册数据。有趣的是，该条款生效的前提是“第三方同意承担与我们相同的保护用户隐私的责任。”在这样一个模糊且有约束力的前提下，一旦用户的注册信息被泄露，企业可能会以此条款向第三方“扔锅”，为用户的权利保护“故意制造”障碍。

分析

用户隐私保护需要向同一个方向努力

一些受访者告诉记者，随着国家加强对互联网行业信息和数据保护的监管，以及相关法律法规的完善，保护用户“互联网隐私权”，他们的隐私权保护意识明显提高。

今年5月1日，另一项保护用户私人数据的法律规范《信息安全技术个人信息安全规范》正式实施，这是空.加强网络公民个人信息保护的又一重大举措与已正式实施一年的《网络安全法》相比，该规范进一步细化，对用户隐私数据的类别做了更详细的说明。

作为该规范的主要起草者之一，中国信息安全研究院副院长左晓东认为，在过去的一年里，中国各大互联网公司在保护用户隐私方面取得了一些进步，但就整个行业而言，空空间仍有很大改进。

“无论是网络安全法还是个人信息安全规范，目前最大的作用就是唤醒用户对其隐私权的关注和重视。在一系列安全事件背后，用户对自身信息保护的权利保护意识增强。”左晓东表示，在这样一个大环境下，互联网企业在保护用户信息和数据方面应该与广大用户背道而驰，在信息收集、处理和使用以及信息存储方面应该符合法律法规的要求。

专家认为，任中保护互联网用户隐私任重道远，国家有关部门应尽快明确权利和责任归属，让用户在发现侵权时能够“合理辩解，有门可诉”。