【转载】专家解读：数字经济时代网络身份认证公共服务的意义

文 | 西南政法大学校长 林维

近期，公安部、国家互联网信息办公室等六部门发布《国家网络身份认证公共服务管理办法》，将于7月15日起施行。

所谓网号是指与自然人身份信息相对应，由字母和数字组成、不含明文身份信息的网络身份符号。网号在某种意义上就是自然人在网络空间中隐去个人身份信息的身份编码。基于网号及自然人非明文身份信息的网络身份认证凭证就是网证。通俗地说，网号和网证可以理解为在个人合法身份信息基础上生成的互联网身份证号和身份证。在网络社交、即时通讯等法定实名制领域以及其他需要验证身份的场景，无需向第三方平台输入自己现实的姓名和身份证号，只需要使用该平台直接验证即可，从而大大提升了数字生活和交易的安全性和便利性。

实施网络身份认证公共服务的主要目的就是为了保护公民身份信息安全，支撑数字经济健康有序发展。其最主要原因就在于：首先，在当下的网络生活中，公民个人信息具有使用的普遍性，但是在传统的身份认证过程中，平台从前段采集到后台存储的长链条和多环节，使得个人信息保障困难重重，公民个人信息的泄露渐成顽瘴痼疾，公民个人乃至整个社会由于个人信息的泄露而遭受的权利损害日趋严重。其次，在数字经济时代，实现网络交易、提供在线服务的前提是交易双方的互信，网络身份成为更为可靠的身份验证手段，对于提高网络诚信、增强数字交易的可信赖性好，并进而改善营商环境、加快数字经济发展具有基础性意义。显然，明确网络身份并且由国家统一提供身份认证服务，无论对于个人信息的保护，还是减少重复投入、提高认证权威都具有重要意义。

需要明确的是，实施网络身份认证、构建可信数字身份认证体系是当前数字经济发达国家不约而同的通行做法，而并非我国所独有。例如欧盟在21世纪之初就较早地开始积极推行电子身份标识计划，并在电子身份证中引入网络认证功能，即网络电子身份标识（electronic identity）。eID在欧盟成员国内部的电子政务、医疗健康服务和金融服务等领域得到大范围推广应用,以解决网络应用中身份鉴别、认证、电子签名、数据保护等问题。英国也将欧盟eIDAS法规纳入进来，并通过修订《电子识别和信任服务用于电子交易（修订等）条例而形成了英国eIDAS法规。新加坡政府技术局则于2003年就推出SingPass（新加坡个人访问）国家级数字身份验证系统，采用生物识别技术（如指纹、面部识别）或SMS双重身份验证（2FA）进行身份验证，旨在为新加坡公民和居民提供一个安全、便捷的数字身份认证工具。韩国实行I－PIN码和公认认证书制度，它们都起到了代替真实身份信息的作用，相较于网络实名制，I-PIN码能够改善网络用户隐私和安全，降低数据泄露和身份盗用的风险。2009年，印度政府则启动了Aadhaar项目，该项目收集超过10亿人口的姓名、性别、地址、手机号、指纹、相片和虹膜扫描等个人敏感信息，作为公民身份的唯一识别码（UIDAI），纳入政府中央数据库。美国在2011年开始执行《网络空间可信身份国家战略》(NSTIC),其目的就在于提高在线交易的安全性和隐私性，并减少身份盗用。历经十年建设，美国政府制定了《数字身份指南(NIST SP800-63-3)》等系列标准，推动政府与社会对网络身份的广泛应用。事实上，可信的数字身份及其认证体系的建设已经成为各国推动互联网产业和数字经济健康持续发展的重要基础设施。

必须指出的是，国家网络身份认证公共服务具有多个上位法的依据，其设立具有毋庸置疑的合法性。例如网络安全法第24条即规定，国家实施网络可信身份战略；个人信息保护法第62条则规定，支持研究开发和推广应用安全、方便的电子身份认证技术，推进网络身份认证公共服务建设；反电信网络诈骗法第33条规定了国家推广网络身份认证公共服务建设，支持个人、企业自愿使用，并进一步规定有关互联网提供者可以通过国家网络身份认证公共服务对用户身份重新进行核验，以此明确了这一服务在打击电信网络诈骗中的重要作用。这些部门法律的相关规定既为网络身份的认证工作提出了法律需求，也为网络身份认证公共服务提供了法律渊源。

网络身份的设立对于网络用户的隐私和个人信息保护具有重要意义。有研究表明，当前互联网平台平均要求用户提交7.3项个人信息，而在多数实名制场景下，验证身份主要是依靠输入姓名、身份证号、手机号验证及人脸识别等，而互联网平台超范围收集、违规留存使用用户个人身份信息的现象较为普遍，个人信息及数据泄露存在极大风险。使用网证、网号后，网证通过国密算法对身份证信息进行脱敏处理，生成不含明文信息的不可逆数据文件。在这一机制下，平台无需获取真实身份信息，只需要验证“是否为合法用户”， 除法律法规有特殊规定或者用户同意外，平台不得要求用户另行提供明文身份信息，避免了平台过度收集和滥用个人信息，从而在根本上切断了数据泄露链条。已经有试点数据显示，67个接入平台的信息采集量减少了89%，个人信息泄露风险将实质性降低。

网络身份认证在某些特定领域也会产生各种多元效益。例如，很多未成年人的身份难以核验，导致很多未成年人沉迷游戏或产生打赏纠纷，而家长为子女申领“网号”后可以实现快速认证。北京青少年网络行为监测报告显示，该机制使未成年人非理性消费投诉量下降68%，游戏防沉迷系统触发准确率提升至92%。

进一步而言，网络身份认证公共服务有利于降低企业隐私与个人信息保护合规的成本。为保障个人数据安全，《个人信息保护法》《数据安全法》《网络安全法》等法律对互联网平台提出了较高的合规要求，这对于平台而言则意味着高昂的合规成本。但各互联网企业的数据安全实施情况参差不齐，由于缺乏人力和技术投入，中小平台很难达到应有的保护水准。有了网证，平台无需储存那么多的敏感信息，也就自然不需要重复投入巨量的人力、物力。显然，网络身份认证的公共服务机制的创建和使用，可以在很大程度上减轻企业在合规建设方面的成本和风险，从而将促进数字经济得到进一步健康发展。

和其他身份认证服务相比，国家网络身份认证公共服务具有很大的便利性，但自愿性原则仍然是这一公共服务提供中极为重要的基础性原则。首先，自然人向公共服务平台申领网号、网证具有必须基于自愿原则，未成年人申领网号、网证的，则更需要根据是否年满14周岁，需要父母或者其他监护人同意并由其父母或者其他监护人代为申领，或者在其父母或者其他监护人的监护下申领。其次，自愿性原则还体现在主管部门、重点行业在推广应用网号、网证过程中，也必须遵循自愿原则，并且应当保留、提供现有的或者其他合法方式进行登记、核验真实身份。最后，互联网平台接入公共服务，用以支持用户使用网号、网证登记，也必须遵循自愿性原则，并且应当保障未使用网号、网证但通过其他方式登记、核验真实身份的用户与使用网号、网证的用户享有同等服务。上述自愿性原则排除了强制申领的可能性，平台用户完全不必产生如果不申领网号、网证就不能使用互联网服务的担忧。