大數據第一案,微博為什么贏了

本周數據安全領域發生了兩件事，一件大事一件小事，前者是支付寶密碼漏洞事件，知道的人很多，搞得滿城風雨。幸好支付寶處理漏洞的速度很快，迅速的就堵上了這個漏洞。后者是微博贏得了“脈脈非法抓取使用微博用戶信息”案件的勝利，這個案件雖然比不上支付寶那個熱度，但是對于從事數據分析行業的我來說確是足夠震撼。并且這個案件的判罰，不僅僅和微博相關，其實和每一個互聯網用戶都有很大的關系。

這兩個案例，第一個是系統的漏洞（Bug），修改程序堵上就行了。第二個卻揭開了大數據背景下數據安全，數據過度營銷的黑幕，它對社會的危害反而是最大的，需要企業、國家機構、甚至我們每個人一起來維護數據安全，所以微博和脈脈的案例反而是一個大事件。這是行業標桿性的一個判罰，在幾個方面都有突破，所以今天和大家好好聊聊這個案子。

微博、脈脈案件背景

相信很多人第一眼是將脈脈看成陌陌了，其實脈脈和陌陌一樣都是做人脈社交的應用，只不過陌陌是基于LBS（位置服務）的陌生人群社交應用，脈脈是基于工作關系的熟人社交應用。

之前脈脈和微博有過合作，脈脈通過微博的API接口打通了微博和脈脈的認證體系，用戶可以使用微博賬號注冊登錄脈脈，一旦用戶同意使用微博賬號注冊脈脈，脈脈就可以獲取該用戶的微博名、頭像、性別、職業、教育等信息（注意這個過程是用戶授權的，但很多人懶，以至于注冊時不會主動勾掉這些選項）。用戶可通過微博賬號和個人手機號注冊登錄脈脈，現在幾乎所有的應用都要求用戶提供手機號，用來接受驗證碼。但是為了人脈關系鏈條的需要，脈脈在用戶注冊時還要求用戶上傳個人手機通訊錄的聯系人信息（當然這個動作也是需要用戶授權的）。

本來說上傳手機通訊錄不關微博什么事情，問題是微博隨后來發現，脈脈用戶的“一度人脈”中，大量非脈脈用戶在人脈關系鏈中，直接顯示有他們的的頭像、名稱、職業、教育等信息。這是什么意思？就是脈脈利用手機號進行匹配微博賬號，非法的抓取了這些沒有授權的用戶信息，并且用于商業用途。

雖然通過合作網站注冊登錄已經是一種非常普遍的行為，微博、微信、QQ、支付寶都支持這種了注冊登錄方式，不過這次脈脈顯然有越位之嫌。

脈脈為什么輸了？

其實脈脈已經輸過一次了，2016年4月北京市海淀區人民法院審結該案，認定北京淘友天下技術有限公司和北京淘友天下科技發展有限公司（就是脈脈的營運方）非法抓取、使用新浪微博用戶信息等行為構成不正當競爭。但是脈脈不服，于是提起上訴，2016年12月30日北京知識產權法院做出終審判決，駁回上訴維持原判。

互聯網的本質是開放、平等、協作、分享，但開放并不是沒有底線，平等并不是沒有規則，協作和分享也一定是基于用戶意愿的基礎上。個人覺得脈脈其實是輸在了以下幾點：

1、非法獲取用戶信息，并用于商業化。

脈脈的職場社交做的就是熟人社交，而熟人社交中最重要的一個環節是關系鏈，關系鏈不能打通，不知道你是誰，這只是陌生人的社交。所以獲取關系鏈的數據就尤為重要，利用微博API接口，脈脈非法獲取了用戶沒有授權的信息，并且在“一度人脈”中進行了展示，其他人則能夠看到這些沒有被授權的信息。第三方公司抓取微博數據用于商業化，不僅僅侵犯了用戶的權利，也構成對微博的侵權，這當然是非法的，微博自然可以進行起訴。

2、脈脈的行為構成了不正當競爭

咱們國家的《反不當競爭法》明確規定：經營者不得采用以盜竊、利誘、脅迫或者其他不正當手段獲取權利人的商業秘密。也不可以未經允許披露、使用或者允許他人使用其所掌握的商業秘密。對微博來說，用戶信息的關系鏈就是它的商業秘密，法院當然會支持微博的這種訴求。

3、脈脈沒有起到保護用戶信息的作用

大數據時代，每個企業都有責任去保護用戶的個人信息，并且大家都有義務一起推動數據生態的繁榮。相反脈脈不但沒有去保護用戶的信息，反而是進行了商業應用，并把這些信息展示在自己的“一度人脈”中，讓更多的人看到。

這起案件的行業意義

雖然這個案件是按照不正當競爭來判決的，其實本質上是個人信息安全保護權的爭奪。這個案例，一審在北京市海淀區人民法院審結，終審判決在北京知識產權法院，兩級法院都支持了微博的訴求，也有一些實質性的突破，這對未來類似案件的審理提供了參考價值。

以往的類似重大訴訟，法院判決的處罰金額基本為幾十萬元，通常不超過50萬元，此案罰金大幅提高到200萬元。這個現象體現了司法部門對數據保護的重視程度，這也將促進大數據應用變得更加規范?，F在利用數據過度營銷的案例比比皆是，也有很多公司在打擦邊球，所以希望通過這個案例能逐步規范大數據的使用。企業如果再不規范自己和第三方數據的使用，就可能被告上法庭被處巨額罰金。

第二個突破是，用戶授權同意了的數據就可以安全的使用了嗎？答案是否定的。第三方使用時，不但需要用戶授權，還需要平臺授權才可以。北京知識產權法院提到第三方應用通過開放平臺例如Open API模式獲取用戶信息時應堅持“用戶授權”+“平臺授權”+“用戶授權”的三重授權原則。聽起來好麻煩，其實這正是數據安全性的多維保護，不但用戶需要保護自己的信息，平臺方也需要建立規則保護用戶數據。所以不要以為用戶同意了的數據就可以隨便使用了，別拿用戶說事兒。

數據是企業的一項競爭力，是可以獲利的商業資源，同樣也需要被保護。北京知識產權法院支持了這個觀點：互聯網絡中，用戶信息已經成為今后數據經濟中提升效率、支撐創新最重要的基本元素之一。因此，數據的獲取和使用，不僅能成為企業競爭優勢的來源，更能為企業創造更多的經濟效益，是經營者重要的競爭優勢與商業資源。因此，網絡平臺提供方可以就他人未經許可擅自使用其經過用戶同意收集并使用的用戶數據信息主張權利。

同時北京知識產權法院也提到，數據提供方不僅應將用戶數據信息作為競爭優勢來加以保護，還應將保護用戶數據信息作為企業的社會責任，采取相應的技術措施提升相應權限的控制，通過接口調用的檢測以及保存調用過程的控制，不斷完善Open API合作模式。

大數據時代，各平臺方都有責任和義務推動數據生態的繁榮，積極建立數據使用規則，對那些濫用數據，過度使用數據額行為進行制止。否則，就將是現代社會的一場悲劇。