支付宝“授权”续集：获取用户隐私，怎样做才是正确的授权？

文  / 宁宇，作者微信公众号：尚儒客栈（CMCC-ningyu）

上周写了篇文章《下一次“授权”支付宝前，你也许需要再考虑下》，谈的是芝麻信用在采集客户信息时，可能给客户带来风险，并提醒客户关注个人隐私的安全保密。

没想到，引起了轩然大波。

文章刊出后，芝麻信用的人积极寻求沟通和解释，以及删帖但我的态度比较强硬，于是芝麻信用只好写了一份《关于芝麻信用采集用户话费账单信息报道的情况说明》（以下简称"情况说明"）。

这则情况说明,确实让我更加了解了芝麻信用的情况，以及他们对安全问题的理解；也更坚定了我写这篇"续集"的决心。

一、对情况说明的解读

【双方的分歧】

这份情况说明首先将我的文章定性为"不实报道"，说我传播的观点是"芝麻信用保存用户电信账户和密码，在用户不知情的情况下，登陆用户电信运营商账户采集用户信息。"

可事实上，我的文章通篇里没有一个地方说芝麻信用"保存客户密码"，我是在谈客服密码泄露的风险问题："通过客服密码可以进行业务查询和部分业务受理，客服密码泄露可能会印发客户隐私信息的泄露，甚至更大的风险。"

所以，我说的是获取客服密码之后，可以在用户不知情的情况下获取客户个人隐私信息；而芝麻信用的说法是：我们并没有在用户不知道的情况下查询客户个人信息。

双方的观点，并不矛盾。为啥芝麻信用觉得我的描述"不实"呢？

【信息采集的合法性】

情况说明里谈到：根据国务院印发的《促进大数据发展行动纲要》，要大力推动政府信息系统和公共数据互联开放共享，推进数据资源向社会开放。并且说"我们采集用户话费账单信息与国家推进的政府和公共数据开放共享的政策相符。"

我的乖乖，看起来是我的思想和行为与政府的政策和导向不一致了？

细一想，不对啊，行动纲要谈的是政府信息系统和公共数据，客户的话费账单什么时候成了公共数据了？

更何况，对于这种涉及广大民生的问题，即使是支持发展，也离不开必要的规范与监管。

徐玉玉事件发生后，社会各界就对个人隐私保护和信息安全方面有更多的关注和讨论。

本周，全国人大常委更会发布了《中华人民共和国网络安全法》，在第四章"网络信息安全"中，不仅强调网络运营商对其收集的用户信息严格保密，还定义了信息的收集、使用、管理等方面的权力、义务和责任。

虽然它要等到2017年6月1日起才开始执行，但国家对于信息安全进行严格管理的态度已经非常明确，相关企业必须规范自己的行为，维护客户和社会对于行业的信任。

【关于数立信息和芝麻信用】

按照情况说明所介绍，杭州数立信息技术有限公司（简称数立信息）是芝麻信用的信息采集服务提供商。

我搜了一下这家公司的网站介绍，看到了下图：

再看看芝麻信用"信用管理"里提示：添加个人信息，让芝麻信用为你更全面的评估，可补充的信息包括公积金、学历学籍、账单等，而这与数立信息的平台产品相似度非常高。

为了进一步了解情况，我在数立信息注册了账号，申请使用，提示信息说会和我联系。截止目前，没有人和我联系。

上周，芝麻信用的人还主动与我联系，解释他们在安全方面的情况，强调征信业务的管理机构在芝麻信用设点检查，还说芝麻信用对数立信息的管理也是非常严格的，甚至是每一行代码都要检查。越这样解释，我就越觉得有问题：监管机构管芝麻信用，芝麻信用管数立信息，是不是有哪儿不对劲？

既然用户的数据是数立信息采集的，为什么监管机构管理的对象只是芝麻信用而不含数立信息？芝麻信用里涉及信息采集的链接直接跳转到数立信息的平台，数立信息采集完信息之后又直接将数据传给芝麻信用，而且芝麻信用对数立信息的管理这么严格规范，两家公司的关系如此亲密无间，可为什么这是两家公司，而不是一家？

为避免更多的"不实报道"，我这里不做臆断，只把基本情况整理出来，大家自己评判。

二、如何正确地收集信息

上周文章发出后，也有不少读者对芝麻信用表示支持。

他们的核心观点是：如果芝麻信用作为第三方能够为客户提供信用担保和证明，这也是一种进步，毕竟现在我们相互之间太缺乏信任了。

其实，我也是征信等大数据业务的积极支持者和推动者。在我看来，只有合理合规合法地收集、使用信息，做好对客户隐私的保护和安全防范，从长远来看，才会推动大数据产业的健康良性发展。

那么，什么是规范的征信服务？恰好，本周我体验了一次。

我在建行办理某项业务，由于历史久远，我的原始凭证又有缺失，银行系统里没有相关信息，因此需要查询征信系统的数据。建行的客户经理让我填写一张授权协议，授权建行操作查询我的征信记录，查询的单据上明确写着查询方是建行，后面加密的一串字符代表查询者的具体ID。

这种查询模式，就是规范的。

我去建行办业务，授权给建设银行做查询，由建设银行查询征信中心数据，查询的操作者是建行。

那么，我们对照看一下芝麻信用的案例：客户在芝麻信用里补充自己的信息，然后芝麻信用授权给数立信息；然后数立信息以客户的身份向运营商提出查询请求，在运营商的系统里看起来，这是一次常规的客户访问，查询者是客户本人。

看出差别了吧。

我理解规范的流程，应该是这样的：芝麻信用得到客户的授权，向运营商提出查询相关信息的申请；运营商征询用户是否授权，在得到用户确认后，为芝麻信用提供信息查询服务。

这种方式下，运营商可以确认这次查询是芝麻信用发起，并且得到用户授权的，这才算是对用户的信息安全尽责。

用户的原始账单信息由运营商保管，运营商有义务为客户的信息安全负责，制定相关的规则和流程。因此，当看到有人以客户的身份和名义查询，运营商当然要核查处理。

否则，运营商也会违法。

要知道，《网络安全法》第四章第四十二条可是这样规定的：

"网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。"