揭秘首席隐私官：企业收集和对外输出你哪些个人信息都要他同意！

2012年，谭晓生被任命为360公司的首席隐私官(CPO)。当时他以为，过后会陆续有其他公司的隐私官出现。然而在过去5年里，在他目力所及的范围内，国内各大公司里，他依旧是仅有的一位。

直至今年7月，芝麻信用宣布由聂正军出任首席隐私官(CPO)，才打破了单一的局面。这让还未碰过面的两人，似乎都有了找到同行的感觉。

据隐私护卫队了解，自2000年IBM宣布任命全球首任首席隐私官后，目前国外已有上百家企业设立这样的职位，专门负责处理个人信息保护事务。

聂正军告诉隐私护卫队，隐私官是一份跟每个人息息相关的工作。未来对用户隐私保护的能力将成为一家公司的核心竞争力。

隐私官是“背锅”的？

三个月前，聂正军“升官”了。

7月18日，在杭州举行的首届“中国城市信用建设高峰论坛”上，蚂蚁金服旗下的芝麻信用宣布正式设立了首席隐私官职位，由法务总监出任。

图为芝麻信用CPO聂正军。

据聂正军介绍，今年年初，马云问了蚂蚁金服的管理层人员：“芝麻信用永远不能犯的错是什么？”当时有人提出是信息安全和隐私保护。马云表示认同，芝麻信用本身与信息和信任紧密相连，绝对不允许出现这方面的差错。蚂蚁金服董事长彭蕾也表示，隐私保护将成为信用体系的基石，并将成为各家机构的核心能力。

基于这样的考虑，聂正军被选中成为第一任首席隐私官。得知新任命时，聂正军有些兴奋，他开玩笑说：“毕竟没做过首席。”

消息发布后，聂正军特别留意了网上的评论，然而大多并不看好。有人直言这是一个摆设，还有人称隐私官就是用来“背锅”的。外界的评论反而让聂正军坚信，隐私保护工作重要且有价值，是建立用户和企业互信的重要内容。那么，隐私官到底是一个怎样的职位？

此前，聂正军是芝麻信用的法务总监，平时只需要处理法律合规的事务。而现在他不仅要去审视业务中数据采集、使用、储存的是否合法合规，还要从用户的角度考虑，是否给到用户隐私安全感，直接面对用户，了解他们的诉求。

不久前，有用户致电芝麻信用客服，称基于信息安全和隐私的考虑想要注销账号。对方表示，因为大量个人信息被企业掌握且对外提供。当所有的信息被拼凑到一块，个人隐私堪忧。

聂正军告诉隐私护卫队，这并非个案。“今天很多人对于隐私保护有焦虑，需要我们做得更透明，要让用户在隐私安全上有获得感。”他当面和这名客户解释，公司如何保护用户信息，会在什么场景下收集用户信息，以及如何平衡处理。

对于用户的焦虑，聂正军表示理解。近期，美国知名征信机构Equifax发生信息安全事件，1.43亿客户信息被泄露。雅虎数据泄露事件再升级，影响所有30亿用户，约为全球近半人口。这些案例，聂正军常在内部培训时提及，提升所有员工对用户隐私保护的意识，也是隐私官的工作之一。

上任三个月，在聂正军看来，说到底，隐私官的任务就是通过提升隐私保护的管理能力，让用户获得隐私安全感，赢取用户信任，从而保证公司业务稳妥和长远发展。

监督产品，隐私官要“扮黑脸”

就职隐私官五年的谭晓生，也奔着这样的目标在努力。

2009年，计算机出身的谭晓生加入360，担任公司副总裁。被问及为何会再兼任隐私官时，谭晓生告诉隐私护卫队，“是为了辟谣”。

谭晓生说，自证清白往往很难，所以公司特地设立首席隐私官，以表明对于用户隐私保护的重视。

图为360公司CPO谭晓生。

作为隐私官，谭晓生的工作核心是保护用户隐私。平时的工作内容包括对各个产品的用户使用条款、隐私协议进行审批。同时审核和监督每款产品在实际运营中对用户隐私保护情况。

在360里，首席隐私官直接对360集团创始人兼CEO周鸿祎负责。谭晓生说，这份工作隔一段时间就会冒出来一堆事情，而且“经常要扮黑脸”，和业务部门吵架，有同事开玩笑称他是“大魔头”。

谭晓生对隐私护卫队表示，对任何公司而言，用户的隐私数据都要格外注意保护，互联网的产品试图收集不必要的信息时，作为公司的隐私官就应当有权一票否决。在保护用户隐私的同时，也保护公司。

在就职前，聂正军特别搜索了哪些企业设立隐私官。当时国内仅有360一家。聂正军说，未来有机会想当面请教谭晓生。而对于谭晓生来说，他也有种告别孤独、找到同行的感觉。

尽管还未谋面和交流过，谭晓生和聂正军对于隐私官的工作感触却几乎一致———责任大压力不小，但同时也很有成就感。

谭晓生称，自己是“用户信息的看门人”，负责审核360产品的用户隐私保护等工作，“压力虽大，干的活不是特别讨喜，但很有荣誉感”。

聂正军告诉隐私护卫队，阿里巴巴的愿景是做一家活102年的企业，他现在的实践和思考，都可以为后来者提供经验。“在大数据时代，作为关注、探索、建立企业隐私保护能力的先行者，有一种特别的使命感。”

隐私官是数据仓库保管员

据隐私护卫队了解，自2000年IBM首次任命首席隐私官后，这份职业距今已有十余年历史，包括微软、花旗集团、美国运通、惠普、Facebook等超过100家知名企业都设立了首席隐私官。

北京玺泽律师事务所高级合伙人程贞告诉隐私护卫队，当时美国公司面临越来越多与个人信息保护相关的条例和法令监管，基于自身技术的发展需要和信息安全的重要性，IBM设立这样的职位来指导和监管隐私保护和贯彻情况。

在国外，首席隐私官通常有两类人选，大部分是具有法律专业背景的专家，另一类人群则是技术出身。据程贞介绍，首席隐私官在国际化企业内部是很重要的一个职位。他不仅要领导公司执行当地政府以及行业中各种有关保护个人信息的条例和法令，还要积极处理公司内外与个人信息保护问题的各种关系，比如和公司内IT部门、安全部门协调。

国内外隐私官的工作内容大体一样，不过也有明显不同。聂正军告诉隐私护卫队，外国同行的隐私保护工作偏宏观和运营，更多是制定政策和流程。而除此之外，他还要负责检查相关制度是否得到正确的执行，工作内容更细致。

在和国外隐私官交流时，谭晓生也发现，比起他们主要做合规性审核，自己被逼着处理了更多细节和技术问题。由于同时掌管内部的信息安全部和技术运营部，他在隐私保护方面的责任更大。

隐私护卫队发现，在谭晓生和聂正军的日常工作中，数据评审都占据了他们不少时间。用户是否知情，是不是敏感数据，收集后如何使用，一旦对外输出对方信息安全能力如何，授权期限等，都是隐私官作出决策的依据。聂正军把这一工作比喻成“数据仓库的保管员”，任何数据的收集和对外输出都需要经过他的审批。

隐私官要平衡利益与权利

对于隐私官的发展，聂正军表示未来会非常炙热。隐私保护不仅仅是为了应付法律的监管，而是为了赢得用户的信任。如果隐私保护做得好，企业将在市场竞争中获得更多回报。

5年前，在被任命为首席隐私官后，谭晓生以为马上会有其他公司也相继宣布设立。然而并没有。程贞向隐私护卫队分析，在国内除了个别拥有海量用户信息的“航母级”企业，基于全球性发展战略的要求会任命CPO外，大多数企业目前对此需求不大，也不太愿意投入精力和资金来支撑CPO。

程贞表示：“更重要的是长时间以来，人们对于个人信息保护并不在意，大家也不觉得隐私是需要特别保护的权利。”

谭晓生告诉隐私护卫队，隐私权是公民希望可以孤独地生活，能做到个人信息不被人知道的权利。但在万物互联，大数据时代里，隐私保护面临着很大挑战，个人隐私几乎无处遁形。

现在APP过度收集用户信息，非法使用和交易的情况严重，比如一款手电筒APP也会收集地址位置信息。而用户在面临更便利的服务时，往往选择主动出让个人信息。所以光靠技术手段保护用户隐私是不够的，谭晓生表示，这还需要有法律法规支持。

在程贞看来，“尽管我们说没有IT技术的支持，个人信息保护就是空谈，但说到底，个人信息保护并不是单纯的技术问题，而是一个管理问题。CPO的设置实际上就是帮助企业，能在权利主体对个人信息保护的需求和公司以合理手段使用个人信息的权利之间，建立最佳的平衡关系”。

采写：南都记者 李玲