今年早些时候，联邦贸易委员会（FTC）与推特达成和解，起因是FTC认定推特对其网站的电子管理存在松懈。此案为隐私政策要求及所需的管理控制措施提供了重要参考。
推特遭黑客攻击
FTC针对2009年两名黑客接管推特管理流程、导致用户私人信息泄露并能冒用他人用户名发布推文的行为提起诉讼。（参见《纽约时报》关于此次漏洞的报道“Twitter Settles F.T.C. Privacy Case.”）。FTC指控推特在数据安全方面存在行政控制松懈问题。具体而言，黑客通过自动密码猜测工具破解了常见的字典单词作为管理密码，进而重置用户密码并访问个人账户；另一名黑客则获取了存储有管理密码的员工个人邮箱，从而非法访问推特的管理控制功能。
隐私政策中包含什么？
鉴于推特的隐私政策声明将采取行政、物理和电子措施保护信息免受未授权访问，FTC据此标准进行审查，并指控其未采取合理步骤：包括未要求使用强密码、未禁止员工将密码存储在个人邮箱、未在多次登录失败后禁用密码、未要求定期更改密码，以及未按需限制管理员权限仅限员工使用。
FTC最终认定，推特未采用标准的合理安全实践，且未能遵守其向用户承诺保障信息安全性的隐私政策。
保护企业的三个步骤
企业应如何防范FTC处罚及用户索赔风险？
研读隐私政策：许多网站所有者并不清楚隐私政策的具体合规要求，必须深入理解其内容及对自身的约束。
制定内部政策：建立全员遵循的内部行政管理规范，涵盖密码的存储、使用、类型及定期更换机制；同时明确个人信息的使用、访问权限及存储位置。
披露数据收集用途：在隐私政策中清晰说明数据使用计划，核心要点包括：
- 明确告知所收集的个人数据类型；
- 阐明数据的预期用途及使用对象；
- 描述防止未授权访问的安全措施；
- 说明用户查看、更正或质疑个人数据的渠道；
- 若涉及儿童个人信息，需提供获取父母授权的特定方式。
上述清单并非详尽无遗，制定政策时应充分考量“标准合理安全实践”。企业需定期审查审计程序，评估有效性，确保持续履行隐私承诺。此外，若与其他公司共享用户信息，应签署合同要求其至少按同等安全标准保护信息并限制使用范围。
结论
严格落实上述措施，当面临用户或FTC关于个人信息使用与保护的质询时，企业将有据可依并做好充分准备。虽然无法完全杜绝所有风险事件，但若已建立应对数据泄露的程序并一贯执行，便很可能满足FTC要求的合理性标准。