蔚来用户数据被盗及个人信息保护

近日比特币的信息保护，有人在网上贴出价格标签，出售蔚来的后台数据。

卖家声称破解了大量蔚来数据，给了蔚来两次机会，但蔚来宁愿花千万请歌手，也不愿买断这部分数据，以保护车主和用户，所以决定收费曝光。

其出售的数据包括22800条蔚来内部员工信息，价格为0.15个比特币； 39.9万条车主用户ID数据，售价0.25个比特币，以及蔚来用户注册数据、订单和退款数据等。

如今，每个比特币的价格约为 16,800 美元，即 12 万元人民币。 也就是说，其出售的39.9万车主身份证数据售价为3万元人民币。

12月20日晚比特币的信息保护，蔚来在其官方社区发布的声明引发了蔚来用户的热议。 蔚来在一份声明中表示，确认2021年8月之前的部分用户基本信息和车辆销售信息被盗。

根据蔚来于2022年10月15日发布的最新版《蔚来汽车隐私政策》，用户可以使用自己的手机号注册，也可以使用第三方账号（微信、微博、苹果账号）登录并进行通讯跟他们。 NIO 账号绑定。 蔚来会收集用户姓名、有效身份证件号码、银行卡号码、手机号码、联系地址、车辆信息（车型、车架号、发动机号、车牌号）、保险信息等。

根据蔚来汽车电池系统助理副总裁曾仕哲在ECV上的“BMS与大数据系统相结合，提升电池性能与安全性”的讲座，蔚来BMS架构的算法也会收集用户的驾驶习惯。

数据合规和个人信息保护

在动态大数据、云计算、云存储时代，个人信息存在过度收集、使用和泄露的风险。 但是，一些企业、事业单位或个人缺乏相应的防护意识。 例如，笔者曾遇到过一家酒店，利用二代身份证阅读器读取的客人身份信息，结合门禁，让客人刷身份证开门； 这项技术甚至已经申请了实用新型专利。

事实上，我国从2013年就开始了相关立法。

2013年《电信和互联网用户个人信息保护规定》专门有一章对个人信息的收集和使用以及企业需要采取的安全措施进行了阐述。 其中确定的大部分原则一直沿用至今。

2017年，网络安全法正式实施。 同年，最高人民法院、最高人民检察院就侵犯公民个人信息罪发布了《关于审理侵犯公民个人信息刑事案件适用法律若干问题的解释》，细化了明确了本罪的一些概念和标准。

2018年，欧盟GDPR的出台在国际上引发热议的同时，也加快了我国数据立法和监管的步伐； 《关于开展APP违法违规收集使用个人信息行为专项整治的公告》启动专项整治行动，持续至今； APP违法违规收集、使用个人信息的行为被一一列举，成为监管执法的参考依据。

2020年10月1日，市场监管总局、国家标准委联合发布GB/T35273-2020《信息安全技术个人信息安全规范》，对整个数据处理过程的原则和安全要求做出了全面规定.

2021年1月1日实施的《民法典》从基本法的角度明确个人信息受法律保护。 2021年8月1日，最高人民法院《关于适用审理使用人脸识别技术处理个人信息相关民事案件若干问题的规定》成为首部针对特定个人信息保护的司法解释（脸）。

2021年9月1日，确立数据安全和治理基本框架的《数据安全法》正式实施。

根据工业和信息化部印发的《工业和信息化领域数据安全管理办法（试行）》，数据处理者在发生数据安全事件后，应第一时间向当地行业监管部门报告. 发生数据安全事件时，应当及时通知用户。 《办法》对通报时限没有强制规定。

此外，根据现行法律法规，涉及个人信息主体10万以上的个人信息均被视为重要数据。

蔚来被勒索10天后才公开，涉嫌违规。

此外，根据《个人信息保护法》第六十九条，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。 车企需要证明自己在此次泄密事件中没有过错，比如证明是不法分子盗窃造成的，在信息保护方面没有过错等，否则将承担责任赔偿。

据专业人士判断，此次泄露的数据为蔚来后台业务数据，获取数据的账号权限较高。 这批数据的访问权限要么是被黑客通过数据库凭证强行破解，要么是内部账户泄露。 这次泄露的数据是2021年8月之前的用户数据，比较奇怪。 除非蔚来将不同时间段的数据分开存储，否则不排除之前离职的员工账号没有及时退出或私自下载数据。 “幽灵”存在的可能性。