网络安全专家：生物识别有风险，应对其进行完整的安全性测试 （2）

互联网企业有责任保护好用户数据

延续生物识别的话题，专家们又谈到个人隐私保护。

李新友认为，生物识别除了有关身份认证，也涉及身份管理范畴。用户在做身份认证时，会在互联网端留下很多个人隐私信息，这些信息一旦泄漏后果不堪设想，这也对当下的个人隐私保护提出更高要求。

与之对应的是，现在许多互联网企业，在为用户提供服务的过程中，收集了大量信息，如用户姓名、电话、身份证号码等等。

对此，赵波表示，企业收集用户信息目的有多种，比如完善产品功能或用作商业行为，这就牵涉到互联网企业应该收集什么样的信息、如何收集信息。

他还透露，今年6月1日正式实施的《网络安全法》已对个人信息的收集和保护提出明确要求，如公开、透明、规范等等。目前，有关部门正在网信办的组织下，对互联网企业收集用户信息的政策进行评估。

赵波坦言，现在很多人提供个人信息时，对互联网产品的隐私政策重视不够，几乎不看条款就直接同意。当然，这也和企业在制定用户隐私条款时，表述冗长、复杂有关。目前，有关部门正在要求互联网企业公开、透明地收集信息，并且有用户的“主动确认权”。

“什么叫 主动确认权 ？不是说用户点了 同意，所有信息就全部授权给企业了。有些敏感信息的使用，要单独再征求用户意见。”赵波说。

不过，很多人都会有这样的感受，尽管互联网企业提供了隐私条款，但对用户来说几乎没有选择，如果点击“不同意”，不愿提供相应的个人信息，就无法使用这款产品。

“我们肯定希望 我的信息我做主 ，但企业会觉得 我的产品我做主。”李新友认为，这是互联网行业存在的一种“奇怪现象”。

他坦言，在有些信息不得不提供的情况下，用户有两个重要权利需要保障，一是知情权，个人要清楚哪些互联网企业、平台掌握自己的信息。二是控制权，当一个人不再使用某应用系统，要允许他把自己的信息从该系统删除，这是当下很多互联网产品无法做到的。

魏昊则指出，从长远看，对于收集、掌握用户信息的互联网企业，我们应该有更严格的要求。这些企业有责任保护用户数据不被泄漏。这其中，既包括有意泄漏，不能让员工偷偷把数据拿出去出售；也包括无意泄漏，即确保数据库不被黑客攻击。

“我们将来要对企业的保护能力进行认定。” 魏昊认为，这些掌握用户数据的企业，有必要经历管理能力和技术能力的双重评估。