泄露用戶個人信息防不勝防

大數(shù)據(jù)公司爬取簡歷打小報告推送廣告等侵權(quán)現(xiàn)象頻發(fā)

一些簡歷大數(shù)據(jù)公司拼命發(fā)掘求職者簡歷上所有的秘密，并出現(xiàn)了監(jiān)測員工離職動向的工具軟件，它可以監(jiān)測到員工更新、投遞簡歷等行為，以及員工簡歷被HR、獵頭查看次數(shù)等信息

越來越多的用戶數(shù)據(jù)處于“裸奔”狀態(tài)，隱私信息泄露已經(jīng)成為讓人擔(dān)憂卻又束手無策的頑疾。一般存在兩種情況，包括從招聘平臺內(nèi)部泄露和第三方數(shù)據(jù)抓取

根據(jù)法律規(guī)定，求職者簡歷信息遭泄露后，可以向當(dāng)?shù)鼐W(wǎng)信主管部門投訴，請求對網(wǎng)站進(jìn)行行政處罰，涉嫌犯罪的可以報警

□　本報記者 　趙 麗

□　本報實習(xí)生 謝惠續(xù)

又到了高校畢業(yè)季，許多畢業(yè)生都在忙著投簡歷找工作——面對日益激烈的求職競爭，就業(yè)問題早已成為社會各界關(guān)心的熱門話題。然而，關(guān)于簡歷大數(shù)據(jù)公司爬蟲“偷”簡歷、“打小報告”、推送垃圾廣告等被曝光后，也讓包括應(yīng)聘者在內(nèi)的所有人都不得不擔(dān)心個人信息安全問題。

《法制日報》記者在調(diào)查中發(fā)現(xiàn)，一些簡歷大數(shù)據(jù)公司拼命發(fā)掘求職者簡歷上所有的秘密，讓HR看到簡歷上所有修改歷史。此外，還出現(xiàn)了監(jiān)測員工離職動向的工具軟件，它可以監(jiān)測到員工更新、投遞簡歷等行為，以及員工簡歷被HR、獵頭查看次數(shù)等信息。換言之，無論你是準(zhǔn)備跳槽還是被獵頭相中，都會被實時監(jiān)測并推送給現(xiàn)單位相關(guān)負(fù)責(zé)人。

網(wǎng)站販賣個人信息

監(jiān)測員工離職動向

前一陣子，老胡被裁員了。但他被裁的原因卻令人大跌眼鏡：因為其在某招聘平臺更新了簡歷。雖然已經(jīng)屏蔽了現(xiàn)公司，卻不知為何還是被公司HR知道了。

遞交解除勞動合同通知書時，面對老胡的追問，HR告訴他，“既然你已經(jīng)打算要走了，繼續(xù)在這里工作很可能會影響團(tuán)隊合作，所以很抱歉”。當(dāng)老胡正要解釋的時候，HR已經(jīng)端著水杯離開了。

這個故事來自于由互聯(lián)網(wǎng)安全從業(yè)者所設(shè)立的“一本黑”，其旨在將互聯(lián)網(wǎng)中的黑色產(chǎn)業(yè)等從幕后帶到臺前。

在講述中，被裁員后的老胡發(fā)出了三連問：“上個項目剛剛完結(jié)，我把它增加到簡歷中，這有什么不對嗎？求職意向一欄，明明還是不考慮新機(jī)會，怎么就說明我打算要走了？再說，我已經(jīng)屏蔽了公司，為什么HR還能看到我的簡歷更新情況？”

對此，一本黑用另一個真實案例作了回答：

去年年初，因為工作需要，老黑代管過公司招聘賬號3個月。有一天早上，老黑照例打開HR郵箱，想要尋找合適的候選人，突然一封郵件吸引了他的注意，標(biāo)題是“你公司有3人可能會跳槽，請及時查看”。

郵件內(nèi)容很簡單，只說“X先生等3人有跳槽可能，點擊這里查看詳情”。按捺不住好奇心的老黑跟隨指示，在微信上關(guān)注了一個名為“助××獵”的公眾號，然后綁定了公司。

第二天一早，老黑就收到一條消息推送，“監(jiān)測結(jié)果提醒：新發(fā)現(xiàn)1名員工要跳槽”。老黑經(jīng)過查詢發(fā)現(xiàn)，如果想查看所有預(yù)警的詳細(xì)信息，并實時收到平臺的監(jiān)測提醒，則需付費，限時折扣價為1350元/年。

其實這早已不是秘密。今年3月，號稱擁有全國最大簡歷庫的某招聘類數(shù)據(jù)公司被曝公司所有人員被警方帶走。

多位業(yè)內(nèi)人士和律師認(rèn)為，這家公司出事可能與其未經(jīng)授權(quán)獲取簡歷、“販賣”簡歷信息等涉嫌侵犯用戶隱私權(quán)的行為有關(guān)?！拔覀兊纳虡I(yè)模式概括起來也就8個字——獲取簡歷、數(shù)據(jù)變現(xiàn)?！碑a(chǎn)品合伙人劉博曾公開說道。

燃財經(jīng)曾拿到一份這家公司給客戶的商務(wù)合作BP(商業(yè)計劃書)。這份文件稱，公司旗下共有38個B端招聘產(chǎn)品，擁有超過170萬招聘者用戶，數(shù)據(jù)庫有2.2億自然人的簡歷，簡歷累計總數(shù)達(dá)37億份。

令人唏噓的是，這家公司獲取數(shù)據(jù)的手段是爬蟲。在其產(chǎn)品中，比如名為“簡歷時光機(jī)”的產(chǎn)品，根據(jù)一本黑的介紹，它能夠拼命發(fā)掘簡歷上所有的秘密，讓HR看到簡歷上所有修改歷史，無論你是新增、修改，亦或刪除，統(tǒng)統(tǒng)都逃不掉。

另一款產(chǎn)品“愛伙伴”則是一款可以監(jiān)測員工離職動向的工具軟件，它可以監(jiān)測到員工更新、投遞簡歷等動作，以及員工簡歷被HR、獵頭查看次數(shù)等信息。

用一本黑的話來說，無論你是準(zhǔn)備跳槽還是被獵頭相中，都會被實時監(jiān)測并推送給現(xiàn)單位相關(guān)負(fù)責(zé)人。

非法爬取用戶數(shù)據(jù)

涉嫌侵犯個人隱私

這樣的灰色利益到底有多大？一位業(yè)內(nèi)人士曾介紹，正常渠道獲取簡歷需要招聘方與招聘網(wǎng)站簽訂合同，報價通常為每份50元，優(yōu)惠后的價格也會在10元以上，但用爬蟲手段獲取簡歷省去了這一成本。

“用戶在招聘平臺上進(jìn)行的更新、投放簡歷等行為屬于用戶隱私范疇，也是用戶的個人信息?！敝袊ù髮W(xué)知識產(chǎn)權(quán)研究中心研究員趙占領(lǐng)認(rèn)為，招聘軟件或平臺有其產(chǎn)品本身的特點，必然會收集到用戶信息，本身并不違法，這是其業(yè)務(wù)特點決定的?！暗谑占赀@些信息之后，未經(jīng)用戶同意，把這些信息提供給第三方，比如說給其所在公司老板，讓老板知道他的雇員有什么樣的動態(tài)，這就侵犯了用戶的隱私權(quán)?！?/p>

在肯定上述行為涉嫌違法的同時，中國傳媒大學(xué)政法學(xué)院法律系副主任鄭寧還提出了依據(jù)：刑法第285條規(guī)定，非法獲取計算機(jī)信息系統(tǒng)數(shù)據(jù)、非法控制計算機(jī)信息系統(tǒng)罪是指違反國家規(guī)定，侵入國家事務(wù)、國防建設(shè)、尖端科學(xué)技術(shù)領(lǐng)域以外的計算機(jī)信息系統(tǒng)或者采用其他技術(shù)手段，獲取該計算機(jī)信息系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)，情節(jié)嚴(yán)重的行為。刑法第285條第2款明確規(guī)定，犯本罪的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。

“上述公司非法爬取用戶數(shù)據(jù)，可能構(gòu)成此罪。”鄭寧說，同時還涉嫌違反網(wǎng)絡(luò)安全法，“員工在求職網(wǎng)站上登記信息時，同意公開的應(yīng)該只是最終顯示的信息，而新增、修改、刪除的信息，以及簡歷被其他HR、獵頭查看次數(shù)等信息并不在其列。未經(jīng)用戶明示同意收集、使用這些信息，并向第三方提供，違反了網(wǎng)絡(luò)安全法的規(guī)定”。

2017年6月1日，《中華人民共和國網(wǎng)絡(luò)安全法》開始施行。其中明確規(guī)定，網(wǎng)絡(luò)運營者收集、使用個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。網(wǎng)絡(luò)運營者不得收集與其提供的服務(wù)無關(guān)的個人信息，不得違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用個人信息，并應(yīng)當(dāng)依照法律、行政法規(guī)的規(guī)定和與用戶的約定，處理其保存的個人信息。任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。

針對上述法律法規(guī)，德勤風(fēng)險咨詢部門信息技術(shù)風(fēng)險團(tuán)隊就曾對企業(yè)建議，應(yīng)盡快盤點已搜集、使用、存儲的信息類型，個人信息對應(yīng)的容器和載體，內(nèi)部訪問、處理、分析、使用個人信息對應(yīng)的人員崗位，存儲這些信息的系統(tǒng)情況，以及這些個人信息是否會被內(nèi)部人員或者系統(tǒng)后臺接口的方式披露、傳輸給外部第三方等信息，并就此評估當(dāng)時業(yè)務(wù)操作與系統(tǒng)操作的現(xiàn)狀是否能滿足網(wǎng)絡(luò)安全法中的法規(guī)要求。

未經(jīng)被收集者同意

用戶信息不得公開

查閱相關(guān)資料，記者注意到“愛伙伴”相關(guān)負(fù)責(zé)人曾對媒體說，簡歷中不存在法理規(guī)定的個人隱私信息，并且相關(guān)軟件只解析簡歷信息中個人教育經(jīng)歷和個人求職經(jīng)歷兩部分，是屬于個人可向公眾開放并知悉的信息。對于簡歷中的照片、聯(lián)系方式、身份證等不在獲取范圍，解析前已經(jīng)做了脫敏處理。

面對這樣的解釋，不少求職者認(rèn)為根本站不住腳，“簡歷中的種種信息已經(jīng)涉及到公民個人信息事項”。

“這種解釋是與實際不符的?！痹谮w占領(lǐng)看來，如果按照這種說法，完全做脫敏處理，就不會出現(xiàn)把求職者的信息發(fā)給其公司相關(guān)負(fù)責(zé)人的情況，所以這種說法肯定是與實際情況不符的。此外，簡歷里的一些信息是有其可被知悉的范圍的。如用戶的教育信息會在一定的范圍內(nèi)被特定的某些人所知悉，但這并不意味著這類信息就不是用戶隱私。

“關(guān)于這種行為是否涉及網(wǎng)絡(luò)安全法中的公民個人信息事項，首先要明晰隱私和信息的概念?！壁w占領(lǐng)分析說，隱私和信息的概念是有重合的，一般來講，個人信息的概念范圍更大一些，用戶不想讓他人知悉的這部分個人信息是隱私，用戶求職時向某些公司發(fā)送簡歷的行為屬于隱私范圍，但同時也是個人信息。

“未經(jīng)用戶同意將用戶的個人信息，甚至是隱私提供給他人，是違反網(wǎng)絡(luò)安全法和全國人大常委會關(guān)于加強網(wǎng)絡(luò)信息保護(hù)的決定的。這兩份法律里都涉及對個人信息的收集使用需要遵循基本規(guī)則和程序正確，也就是說你要經(jīng)過用戶的同意?！壁w占領(lǐng)說。

對此，鄭寧同樣認(rèn)為，“如果用戶同意公開，或者經(jīng)過處理無法識別到用戶個人的才可以公開”，因為網(wǎng)絡(luò)安全法第42條規(guī)定，網(wǎng)絡(luò)運營者不得泄露、篡改、毀損其收集的個人信息；未經(jīng)被收集者同意，不得向他人提供個人信息。但是，經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。

值得注意的是，越來越多的用戶數(shù)據(jù)處于“裸奔”狀態(tài)，隱私信息泄露已經(jīng)成為讓人擔(dān)憂卻又束手無策的頑疾。一般存在兩種情況，包括從招聘平臺內(nèi)部泄露和第三方數(shù)據(jù)抓取。

今年1月，界面新聞曾經(jīng)報道超過2億求職者簡歷泄露，曝光時間接近一周。人力資源服務(wù)企業(yè)前程無憂和58同城可能是簡歷數(shù)據(jù)來源，58同城的新聞發(fā)言人當(dāng)時回應(yīng)稱，“簡歷數(shù)據(jù)不是從58同城的平臺上泄露的”，而是用戶將簡歷設(shè)置為公開可見時，被第三方數(shù)據(jù)抓取。

那么，針對這樣的簡歷大數(shù)據(jù)公司，求職者能否報警，還是只能忍氣吞聲？

趙占領(lǐng)認(rèn)為可以通過兩個方法解決：第一，可以向網(wǎng)信部門下的個人信息保護(hù)的主管部門舉報，如各地的網(wǎng)信辦，尤其是大數(shù)據(jù)公司注冊地的網(wǎng)信辦。第二，如果涉嫌犯罪的可以向公安機(jī)關(guān)報案。如果發(fā)現(xiàn)很多人都存在信息可能被泄露的情況，可以一起向公安機(jī)關(guān)報案。這可能涉嫌刑事犯罪，侵犯公民個人信息罪。

“根據(jù)法律規(guī)定，求職者可以撥打熱線電話12377向當(dāng)?shù)鼐W(wǎng)信主管部門投訴，請求對網(wǎng)站進(jìn)行行政處罰，涉嫌犯罪的可以報警?！编崒幷f。