凭此身份游赛博-《国家网络身份认证公共服务管理办法（征求意见稿）》解读 -

1凭此身份游赛博——《国家网络身份认证公共服务管理办法（征求意见稿）》解读(征求意见稿)》(以下称《办法》),并向社会公开征求意见。《办法》首次提出了网号"和"网证"的概念,确定了国家网络身份认证公共服务的使用方式和场景,目标是建成国家网络身份认证公共服务平台 会公众统一签发网号网证"。同时,《办法》强调了数据安全和个人信息保护义务,并规定了相应的法律责任。《办法》出台后,将改变数字时代的自然人网络身份体系,调整实名登记的 2—、"网号"与"网证"的概念与性质根据《办法》,网号是指与自然人身份信息—一对应,由字母和数字组成不含明文身份信息的网络身份符号;网证是指承载网号及自然人非明文身份信息的网络身份认证凭证。网号与身份证号的性质近似,都属于身份符号",它能够与自然人的身份信息相映射。相较而言,身份证号码除了身份映射关系外,还包含了其他的一些个人的信息,如户籍地出生日期性别等,以明文的形式出现,且整合为一体,难以分割网证则与身份证件的性质类以,属于身份符号的载体。身份证号的载体是身份证,而网号的载体是网证。根据《居民身份证法》,居民身份证登记的项目包括:姓名性别民族出生日期常住户口所在地住址公民身份号码本人相片指纹信息证件的有效期和签发机关。这些信息多属于个人信息,以及敏感个人信息,并以明文形式载于身份证之上,同样整合为一体,难以分割。混同不可分割明文存储的特点,与个人信息保护最小必要的要求存在冲突。网号网证正是一种调和冲突的手段,如《关于起草<国家网络身份认证公共服务管理办法(征求意见稿)>的说明》(以下称《起草说明》)中所说,"可以最大限度减少互联网平台以落实:实名制9为由超范围采集、留存公民个人信息"。事实上,十一届人大期间就有全国人大代表提出关于修改《居民身份证法》的议案建议视读与机读信息适当分离,简略视读信息,以解决身份证信息泄露问题;今年也有全国人大代表建议建立身份证密码制度,以保护身份证上载有的相关敏感信息。不过,网号网证亦成为新的身份识别码,成为新型个人信息,对其性质应有认识和了解。第一,网号及网证属于个人信息。根据《办法》网号是一种身份符号,与自然人身份信息—一对应,符合《个人信息保护法》"已识别或者可识别的自然人有关的各种信息"的定义,因此可以是一种新的个人信息类型。网证作为网号的载体,与网号一体也应属于个人信息。第二,网号及网证不应必然属于敏感个人信息根据《信息安全技术个人信息安全规范》(GB/T35273-2020),身份证号属于个人敏感信息,即"一旦泄露非法提供或滥用可能危害人身和财产安全,极易导致个人名誉身心健康受到损害或歧视性待遇等的个人信息"。身份证号及身份证如前文所述,承载多种明文信息且不可分割,与自然人的金融社交医疗出行等活动直接关联及主要凭证,自然人在非特定场景下,不会轻易披露自己的身份证号,并对身份证号披露较为警惕,因此应纳入个人敏感信息范畴。相对而言,网号及网证明文信息有限(仅有字母和数字),主要用于互联网服务及有关部门行业管理服务中非明文登记核验自然人真实身份信息(《办法》第二条第二款),是否属于敏感个人信息仍需根据其使用场景做进一步判断,而如果能在立法中进一步明晰可能更为理想不过,需要注意的是,不满十四周岁的自然人的网号及网证,应当属于敏感个人信息,因为《个人信息保护法》已经将不满十四周岁的未成年人的个人信息全部视为敏感个人信息,网号网证作为新的个人信息类型,也应当相应纳入。第三,网号网证是否属于重要数据"有待观察根据《数据安全技术数据分类分级规则》(GB/T43697-2024)中有关重要数据的识别指南及参考标准,似无法直接将网号网证认定为重要数据。不过,《办法》规定,国家根据法定身份证件信息,依托国家统一建设的网络身份认证公共服务平台,为自然人提供申领网号、网证以及进行身份核验等服务。网络身份认证公共服务平台是否会被列入关键信息基础设施范围有待进一步确认,如果被列入的话,其所掌握的数据亦有可能被纳入重要数据范畴。但是,从《办法》条款来看,似乎更为强调公共服务平台的个人信息保护义务,而未实质性规定公共服务平台的数据安全义务,只是将《数据安全法》作为上位法依据之一,同时原则性规定了数据安全保护义务。公共服务平台在《数据安全法》下应当承担何种具体义务,也是下一步立法中有必要释明的部分。 3二、国家网络身份认证公共服务根据《办法》,网号网证的申领以及身份核验服务,由网络身份认证公共服务平台提供,公共服务平台由国家统一建设。服务的场景包括互联网服务以及有关部门行业管理服务,其功能为核验自然人真实身份信息。同时,根据《办法》第三条所列的有关部门,可以推定更为具体的应用场景包括民政旅游广播电视医疗铁路邮政等领域。不过,水陆路交通民航、金融等行业未被提及,尚不能准确揣摩立法意图,值得进一步观察研究根据《办法》第四条至第六条规定,申领网号网证以及在互联网服务和部门行业管理服务中使用网号网证登记核验真实身份信息(以下称网号网证的申领和使用"),都应当坚持自愿原则。这表明,网号网证的申领和使用并非强制性要求,而是探索性试验性的新型制度。从产业侧而言,自愿原则实际上对于个人信息保护期待值高的用户,具有强驱动性——因为其不必再额外提供明文身份信息。企业积极促进和支持用户使用网号网证,不仅是落实《办法》的相关要求,同时还具备合规分层"的实际效果区分网号用户"和"非网号用户"。对于网号用户而言,可能具有更高的个人信息保护期待,对个人信息保护水平要求比较高,对个人信息处理活动较为敏感,而非网号用户则反之。从合规的角度,企业并不应也不能对非网号用户降低个人信息保护水平,但是由于网号用户选择了使用网号,企业收集和使用的信息类型、数量等大为减少,所以可以实际上降低合规成本。根据《办法》,可以申领网号网证的主体为持有有效法定身份证件的自然人。所谓法定身份证件"根据《关于改进和规范公安派出所出具证明工作的意见》及其他相关规定,是指中华人民共和国居民户口簿居民身份证护照。而《办法》第十五条中对法定身份证件"的解释为居民身份证、定居国外的中国公民的护照、前往港澳通行证、港澳居民来往内地通行证、台湾居民来往大陆通行证、港澳居民居住证、台湾居民居住证、外国人永久居留身份证等身份证件这与现行相关规定有所出入,作为《办法》语境下的专门解释并无不妥但是需要在实践中予以注意。其中,不满十四周岁的自然人需要申领网号网证的,应当征得其父母或者其他监护人同意,并由其父母或者其他监护人代为申领;已满十四周岁未满十八周岁的自然人需要申领网号网证的,应当在其父母或者其他监护人的监护下申领这里可以理解为是与《个人信息保护法》《未成年人网络保护条例》《儿童个人信息网络保护规定》等法律规定的衔接对于未满十四周岁的儿童个人信息,属于敏感个人信息,需要未成年人的父母或者其他监护人的同意;对于已满十四周岁未满十八周岁的自然人,虽不是儿童,但仍是未成年人,未成年人个人信息的处理应有其监护人的同意。但是,"在其父母或者其他监护人的监护下申领"是否等同于同意"的意思表示,值得探讨如果视为同意,实际上对于已满十四周岁未满十八周岁的自然人并无差异化要求,只是由代为申领"变化为监护下申领",而"监护下申领"与"代为申领"在实践中如何区分,可能有操作上的困难。同时,根据《居民身份证法》第七条第一款规定,公民应当自年满十六周岁之日起三个月内,向常住户口所在地的公安机关申请领取居民身份证;第二款规定,未满十六周岁的公民,由监护人代为申请领取居民身份证也就是说,已满十六周岁的公民应当且可以自行申领居民身份证。那么,《办法》的申领限制与《居民身份证法》存在逻辑上的不自治,即已满十六周岁的公民(不满十八周岁),可以自行申领居民身份证,却不能自行申领网号网证。网号网证与自然人身份信息——对应,其通过非明文的方式进一步保护自然人的身份个人信息。从这个意义上来说,《办法》对已满十六周岁未满十八周岁的自然人而言,实际上减损了对其身份个人信息的保护效果。 4从更深层次而言,关于申领身份证件和个人信息处理两者之间的关系,在此条之中未予规定清晰,反而可能带出新的问题。按照个人信息处理的同意规则,《办法》第四条的规定并未不妥之处。但作为身份证件申领事项,涉及个人信息保护但不应以"同意"为基础,实则应使用为履行法定职责或者法定义务所必需"的合法性基础,即《个人信息保护法》第十三条第一款第三项之规定。否则,《居民身份证法》恐有被《个人信息保护法》架空之虞。网号网证的使用仅有两项,非明文登记和身份核验,途径上应通过接入公共服务平台来实现。《办法》规定,互联网平台按照自愿原则接入公共服务用户选择使用网号、网证登记、核验真实身份信息并通过验证的互联网平台不得要求用户另行提供明文身份信息(但法律行政法规另有规定或者用户同意提供的除外)。同时,互联网平台应当保障使用网号网证的用户与其他用户享有相同的服务换言之,网号、网证核验效果等同于真实身份信息登记效果三、个人信息保护《办法》按照《个人信息保护法》的规定,强调了收集个人(身份)信息的最小必要原则,其中对公共服务平台个人信息保护作出了详细规定。公共服务平台的功能仅为为自然人提供申领网号网证以及进行身份核验等服务",从而对其个人信息处理活动进行了限定。2.公共服务平台向自然人提供公共服务时应当依法履行告知义务并取得其同意单独同意或者书面同意从字面意义看,《办法》第九条第一款排除了《个人信息保护法》第十三条第一款规定的除"同意"以外的合法性基础,这是值得注意的。《办法》第十条规定了公共服务平台的告知义务,应当通过用户协议等书面形式,以显著方式、清晰易懂的语言真实、准确、完整地向用户告知相关事项(第十条第一款);处理敏感个人信息的,还应当向个人告知处理的必要性以及对个人权益的影响。《办法》第十一条规定了告知的豁免情形,即有法律、行政法规规定应当保密或者不需要告知的情形,或者紧急情况下为保护自然3.未经自然人单独同意,公共服务平台和互联网平台不得擅自处理或者对外提供相关数据信息,法律、行政法规另有规定的除外。根据《个人信息保护法》的要求处理敏感个人信息、向第三方提供、跨境传输都需要用户单独同意(基于同意的个人信息处理)。《办法》第八条第三款和第九条第二款实际上增加了合规义务——对外提供相关数据信息(如"相关数据信息都为个人信息),属据信息,根据《个人信息保护法》的规定,并不全部属于需要取得用户单独同意的情形。4.公共服务平台应当依照法律行政法规规定或者用户要求,及时删除用户个人信息。根据网号网证的性质判断,应该属于新型个人信息,且与自然人身份——对应"。如果用户向公共服务平台要求删除网号网证,在技术上是否能够实现或者是否有意义?符号,且应遵从与统一的编码规则。那么,用户向公共服务平台要求行使删除权,公共服务平台作为派发机构(同时也应当是编码机构)删除该用户的网号,在逻辑上似乎等同于在世公民要求公安机关注销其身份证号码。因此,如何理解《办法》第九条第三款所规定的及时删除用户个人信息中的个人信息,还有待进一步观察研究。 5四、法律责任《办法》对部分条款规定了法律责任,但并未直接设置法律责任,而是转至《网络安全法》《数据安全法》《个人信息保护法》,由国务院公安国家网信部门在各自职责范围内依法予以处罚根据上述三法的规定,可能面临的处罚是没收违法所得,五千万元以下或者上一年度营业额百分之五以下罚款,并可以责令暂停相关业务或者停业整顿,吊销相关业务许可或者吊销营业执照;同时,直接负责的主管人员和其他直接责任人员可能面临十万元以上一百万元以下罚款,以及相应的从业限制措施。规定了法律责任的条款有:互联网平台介入公共服务后,用户选择使用网号网证登记核验真实身份信息并通过验证的,互联网平台不得要求用户另行提供明文身份信息,法律行政法规另有规定或者用户同意提供的除外。互联网平台需要依法核验用户真实身份信息但无需留存用户法定身份证件信息的公共服务平台应当仅提供用户身份核验结果。根据法律行政法规规定,互联网平台确需获取留存用户法定身份证件信息的,经用户授权或者单独同意,公共服务平台应当按照最小化原则提供。未经自然人单独同意,互联网平台不得擅自处理或者对外提供相关数据信息,法律行政法规另有规定的除外。公共服务平台处理个人信息不得超出为自然人提供申领网号、网证以及进行身份核验等服务所必需的范围和限度,在向自然人提供公共服务时应当依法履行告知义务并取得其同意处理敏感个人信息的,应当取得个人的单独同意法律、行政法规规定应当取得书面同意的,从其规定。未经自然人单独同意公共服务平台不得擅自处理或者对外提供相关数据信息法律、行政法规另有规定的除外。公共服务平台应当依照法律行政法规规定或者用户要求,及时删除用户个人信息。公共服务平台在处理用户个人信息前,应当通过用户协议等书面形式,以显著方式清晰易懂的语言真实准确完整地向用户告知下列事项:(-)公共服务平台的名称和联系方式;(二)用户个人信息的处理目的、处理方式,处理的个人信息种类、保存期限;(三)用户依法行使其个人信息相关权利的方式和程序;(四)法律、行政法规规定应当告知的其他事项。处理敏感个人信息的,还应当向个人告知处理的必要性以及对个人权益的影响,法律行政法规另有规定的除外。公共服务平台应当加强数据安全和个人信息保护,依法建立并落实安全管理制度与技术防护措施。 6《办法》中包含一些鼓励性倡导性条款,不宜对其规定法律责任,但仍有部分条款,似乎应当设置法律责任为妥,具体如下:不满十四周岁的自然人需要申领网号、网证的,应当征得其父母或者其他监护人同意,并由其父母或者其他监护人代为申领。已满十四周岁未满十八周岁的自然人需要申领网号、网证的,应当在其父母或者其他监护人的监护下申领。互联网平台应当保障使用网号网证的用户与其他用户享有相同服务。紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的,公共服务平台应当在紧急情况消除后及时告知。五、关于数据要素的探讨国家数据局7月在全球数字经济大会上表示,今年将陆续推出8项制度文件,其中包括公共数据开发利用。公共数据开放及公共数据产品供给,本身也是数字经济发展中广为关注的话题。公共服务平台是国家统一建设的网络身份认证公共服务平台,为自然人提供申领网号、网证以及进行身份核验等服务。公共服务平台运营中将产生相关网号、网证的数据。虽然目前并无确定的c公共数据"属于履行法定职责其掌握的网号、网