多地公示信息简单粗暴 规制公权力是重点

　　近日，多省份高校官网泄露学生个人信息的情况引发社会关注。这些高校在公示学生信息时，未对身份证号码、银行卡号等个人信息作出必要处理。

　　11月21日，教育部对这些做法出示了“红牌”。教育部网站发布消息称:“个别省份和高校在公示受助学生信息时，含身份证号码、银行卡号等个人信息，这种做法是错误的。”

　　《法制日报》记者搜索发现，景德镇陶瓷大学、浙江广厦建设职业技术学院、池州学院等高校近几年公布“普通高等学校国家励志奖学金获奖学生初审名单”时，在网页或者网页的附件中，均披露了学生完整的身份证号码。而且，在教育部发出通知后，截至记者发稿时，这些高校发布的学生信息仍然挂在网上，只需使用几个关键词进行搜索，即可轻易找到。

　　中国政法大学民商经济法学院副教授、中国法学会民法学研究会副秘书长王雷注意到，不仅高校网站存在公开学生身份证号码、奖学金或助学金申请书等个人信息的现象，一些政府部门网站也常会公布参加帮扶支教、领取大学生创业补贴、领取低保、享受保障性住房等方面的详细个人信息。

　　全国政协委员、四川鼎立律师事务所主任施杰在接受《法制日报》记者采访时指出，看似无意的信息泄露，很有可能成为潜在的严重扰乱社会秩序，危害公民人身、财产安全犯罪的源头。

　　“为更好地实现对于个人信息权益的保护，解决各领域分散立规立法的现象，有必要从制度和机制的层面加快配套立法建设，完善审查、监督、自律机制，规范信息公开工作程序，限制公权力的恣意。”施杰呼吁，尽快出台公民个人信息保护法。

　　2013年10月11日，景德镇陶瓷大学(更名前为景德镇陶瓷学院)对2012-2013学年度国家奖学金初审名单进行公示，在网页附件中，除了公布学生姓名、院系、专业、学号、性别、民族、入学年月等信息之外，还披露了这些学生完整的身份证号码。

　　浙江广厦建设职业技术学院在发布“2015-2016学年普通高等学校国家励志奖学金获奖学生初审名单表”时，同样将学生的身份证号完整披露在了附件中。

　　而这些附件并未被施加任何防护措施，任何人都可以直接下载。

　　值得注意的是，池州学院在公布“2011-2012学年度国家励志奖学金获得者推荐人选”时，直接将420名学生的身份证号完整披露在网页上。

　　记者注意到，在公布国家奖学金获得者名单时，也有一些学校没有披露完整的学生身份证号码。

　　例如，河北师范大学在进行“2015-2016学年度国家奖学金、励志奖学金、国家助学金获奖学生初审名单公示”时，在其网页的附件中，并未显示学生的身份证号码。

　　池州学院于2017年10月9日的发布“2016-2017学年度池州学院国家奖学金获奖学生初审名单公示”中，对学生的身份证号码也作了处理，并未完整显示——这与该高校几年前的做法有所不同。

　　显然，完整公示身份证号码的做法，并非奖助学金的必然要求。近日，教育部也在通知中明确了这一点。

　　教育部在11月21日发布的消息中称，严禁公示“个人敏感信息”。严格遵循国家有关个人信息保护的相关法规制度，在奖助学金等评定环节，不能将学生身份证件号码、家庭住址、电话号码、出生日期等个人敏感信息进行公示。

　　“高校对依法收集到的学生身份证号码等个人信息应当确保信息安全，不得非法使用、任意公开相关个人信息。”王雷说。

　　教育部称，为保证国家学生资助政策落实落细，防止资助过程中泄露学生个人信息和隐私，全国学生资助管理中心向全体学生资助工作者发出预警:保护学生个人信息和隐私，资助工作者要“拧紧这根弦”。

　　施杰直言，如果不能拧紧保护个人信息和隐私的这根弦，很容易造成严重后果。

　　“个人信息关乎公民的基本生活。大数据时代，个人信息已由身份符号转变为具有重要市场价值的基础资源，与公民生活紧密相关的核心信息被泄露，将严重影响公民正常的日常生活，不少公民都有过饱受垃圾信息与诈骗电话困扰的不愉快经历。”施杰说。

　　与此同时，信息泄露还极易造成重大安全隐患。

　　施杰认为，公权力机关在推进知情权发展与政务公开的同时，若不对公民的关键身份信息予以重视与保护，极易导致别有用心的不法分子利用公民的一时疏忽、社会经验不丰富群体的单纯等特点实施类似“精准诈骗”式违法犯罪活动，尤其是未成年人这类社会特殊群体，其认识和控制能力较弱，个人信息权利极易受到侵害。

　　这样的警告，并非危言耸听。

　　“在网络信息时代，学校将学生个人信息在网站上任意公开的做法有很大潜在危害。例如，很可能像‘徐玉玉案’一样，为不法分子的精准诈骗提供可乘之机。”王雷说。

　　2016年8月19日，山东省临沂市罗庄区18岁的高考录取新生徐玉玉收到了大学录取通知书，随后遭遇电信诈骗被骗走9900元。案发后，徐玉玉与父亲到公安机关报案，回家途中徐玉玉心脏骤停，送医院抢救无效死亡。徐玉玉被骗的原因，正是接到了诈骗团伙发放助学金的电话。

　　“绝大多数电信诈骗案件背后，都涉及公民个人信息被泄露的行为。因此，有必要进一步完善相关法律法规，加大相应的惩治力度。”全国人大代表、重庆市公安局渝中区分局大阳沟派出所所长郑尚伦说。

　　专家指出，关于个人信息的保护，我国民法总则、网络安全法、刑法等法律法规中都作出了明确规定。

　　民法总则第一百一十一条规定，自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

　　网络安全法第四十五条规定，依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的个人信息、隐私和商业秘密严格保密，不得泄露、出售或者非法向他人提供。

　　政府信息公开条例规定，行政机关不得公开涉及国家秘密、商业秘密、个人隐私的政府信息。但是，经权利人同意公开或者行政机关认为不公开可能对公共利益造成重大影响的涉及商业秘密、个人隐私的政府信息，可以予以公开。

　　在施杰看来，尽管我国多部法律法规中对个人信息保护作出了明确规定，但这种各领域分散立法的现状，难以为个人信息保护提供切实有效的法律保障。

　　正如施杰所言，尽管我国法律对个人信息保护有了明确规定，但现实中个人信息被泄露的情形屡见不鲜——其中不乏一些政府部门的泄露。

　　记者注意到，海南省人力资源和社会保障厅在2013年8月14日发布的“2013年海南省高校毕业生‘三支一扶’计划岗位递补、调剂及拟招募人员公示等事项的公告”中，网页上的附件将拟招募人员的身份信息作了完整披露。

　　对此，王雷指出，行政机关或者其他公共部门收集、使用个人信息，应当遵循合法、正当、必要的原则，应当在保护个人信息和兼顾公众知情权、监督权之间作最大程度的平衡。

　　“需要社会公众广泛知晓或者参与时，行政机关或者其他公共部门才有必要通过网站或者报刊等其他方式向全社会公开，但不得公开涉及个人隐私的信息，除非相关隐私信息不公开可能对公共利益造成重大影响。信息公开的时间、公开的对象群体范围等也应该遵循比例原则，不宜对任何个人信息都简单采取向全社会永久公开的方式。”王雷说。

　　哪些信息应该公开?哪些信息不能公开?如何在保证公众知情权、监督权的同时保护个人隐私不被泄露?

　　施杰认为，对于这些问题，急需通过专门立法的方式予以回应。

　　“个人信息保护立法是一个多方面、复合性的法律问题。在传统法律框架内以民法原理为支撑，个人权利的保护、救济具有其正当性。但更重要的是，在信息化、网络化的大数据时代下需要通过立法确认、制度构建使行政机关、公共部门这类掌握关键个人信息的公权力机关强化义务主体意识，充分发挥其社会保障功能。”施杰说。

　　在施杰看来，如何在立法模式、制度设计、市场监管、责任问责方面对公权力行为进行规制，是急需探讨的重点与难点。

　　“公民个人信息保护的责任主体，主要包括掌握公民个人信息的行政职能部门(包含具有类似职能的事业单位)以及与之相关的企业及其工作人员，对于责任主体的规制是个人信息良好储存、使用的有力保障。”施杰说。

　　施杰认为，过去简单、粗暴地对个人信息过度公开，既有违社会伦理基本认同情感，亦是置公民基本权利于不顾的懒政之为。因此，有必要尽快出台公民个人信息保护法，明确公民个人信息保护义务主体，强化责任追究，从而防止“徐玉玉案”悲剧再次上演。