探索個人數(shù)據(jù)保護的中國方案

0引言2020年10月21日，《個人信息保護法(草案)》（以下簡稱草案）在中國人大網(wǎng)公布，公開征求社會公眾意見。這部法律關系到數(shù)字化時代每個個體的生活安寧，個人在享受數(shù)字服務帶來的生活便利的同時，其個人信息權益也要受到法律保護；同時，這部法律也關系到我國數(shù)字經(jīng)濟健康發(fā)展。當前，數(shù)據(jù)已經(jīng)成為新興的生產(chǎn)要素，個人信息中蘊藏著巨大的經(jīng)濟價值，需要通過立法建立權責明確、保護有效、利用規(guī)范的制度規(guī)則,在保障個人信息權益的基礎上，促進信息數(shù)據(jù)依法合理有效利用。草案的具體制度借鑒了國際上個人信息保護制度領域的一般做法。但結合我國實際國情和現(xiàn)有法律制度，為落實個人權利保護與促進數(shù)字經(jīng)濟發(fā)展，草案相關制度仍有深入討論和不斷完善的空間。1數(shù)據(jù)利用與個人信息保護并非二元對立當前，圍繞制定個人信息保護法的討論核心議題是平衡“兩種利益”：一是促進基于數(shù)據(jù)的創(chuàng)新應用，在此方面，我國已經(jīng)走到了世界前列，中央文件明確將數(shù)據(jù)上升為生產(chǎn)要素；二是個人利益保護，關注數(shù)字經(jīng)濟高速發(fā)展伴生的“負面陰霾”，包括數(shù)據(jù)泄露、濫用、自動化決策對個人基本權益的負面影響。

但討論似乎往往陷入“利益的二元對立”困境，比如向個人信息保護傾斜是否會損害創(chuàng)新發(fā)展？創(chuàng)造更為寬松法律制度時，伴隨的風險是否也會增大？在以政府為主導的數(shù)據(jù)處理中，如果賦予政府更多的數(shù)據(jù)處理權力，公民個人權利是否會沒有保障？顯然，個人信息保護制度設計并不是如此簡單的二元選擇，特別是當前圍繞數(shù)據(jù)政策討論的歷史背景正在發(fā)生巨大變化，從傳統(tǒng)單向的、靜止的“個人信息保護政策”向多維的、互動的“數(shù)據(jù)治理”政策框架轉變。換言之，未來將制定的個人信息保護法中的“利益平衡”，不是二元對立，而是共生共存，相互促進，并在互動的過程中形成了圍繞數(shù)據(jù)資產(chǎn)的隱私保護、創(chuàng)新競爭、安全主權等更復雜化、更多維的公共政策討論場。

這些復雜因素代表了從三種視角出發(fā)的利益訴求：第一，從個人視角出發(fā)的權利保護訴求；第二，從產(chǎn)業(yè)視角出發(fā)的創(chuàng)新、發(fā)展、競爭需求；第三，從國家視角出發(fā)的數(shù)字經(jīng)濟國際競爭力和數(shù)據(jù)主權安全需求。

以上三種視角并非孤立存在，而是彼此緊密聯(lián)系、互動影響。如果立法的目標是更好地保護用戶的權利，那么在市場中應當形成一種健康的良性機制，使得對隱私保護更友好的企業(yè)能夠在市場上被用戶更多地選擇，從而更好地發(fā)展。而如果離開了產(chǎn)業(yè)發(fā)展，國家的數(shù)字利益也無法得到根本保障。歐盟是一個鮮活的例證，再嚴厲的數(shù)據(jù)法律制度，如果沒有產(chǎn)業(yè)支撐，數(shù)據(jù)主權安全和數(shù)字競爭力幾乎是一場空談。2制定個人信息保護法對數(shù)字經(jīng)濟健康發(fā)展帶來充分利好如前所述，個人信息保護法制度討論的出發(fā)點并不是二元對立，從長遠發(fā)展來看，個人信息保護法的制定給數(shù)字經(jīng)濟產(chǎn)業(yè)的健康發(fā)展帶來充分利好。

2.1有利于通過法律制度保障，幫助數(shù)字產(chǎn)業(yè)建立消費者信任我們生活在一個由數(shù)據(jù)驅動的技術變革時代，數(shù)據(jù)的處理越來越深入。享受數(shù)字化技術便利的每位個體，也在為無所不在的數(shù)據(jù)處理感到深深不安。從移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、無人駕駛、面部識別，到可穿戴設備、智能家居、醫(yī)療監(jiān)測器械，數(shù)據(jù)驅動的創(chuàng)新背后，人們擔憂物聯(lián)網(wǎng)設備的秘密記錄，無意中健康信息的暴露，超出消費者授權的個人數(shù)據(jù)共享、信用卡欺詐、安全風險、名譽損害，以及對他們生活中的隱私細節(jié)的無端入侵。重建消費者的信心與安全信任，是數(shù)字時代的核心問題之一，而法律制度本身無疑是解決方案的重要組成部分，例如：以歐盟GDPR為代表的個人數(shù)據(jù)保護制度促進了合規(guī)與隱私文化的發(fā)展，在重塑數(shù)字信任方面發(fā)揮了重要作用。

2.2有利于在復雜的數(shù)據(jù)處理生態(tài)中，創(chuàng)建權責明確的數(shù)據(jù)保護秩序

伴隨數(shù)據(jù)處理場景的復雜化，數(shù)據(jù)在不同機構、平臺的流轉日益頻繁，形成復雜的處理生態(tài)。通過法律制度，明確在數(shù)據(jù)處理不同環(huán)節(jié)，不同主體的法律責任，有利于建立權責明確的數(shù)據(jù)保護秩序。在典型的云計算市場中，云計算服務提供者在絕大部分場景下，作為數(shù)據(jù)處理服務的提供方，其根據(jù)與客戶的數(shù)據(jù)處理協(xié)議，提供數(shù)據(jù)安全處理保障。而云服務的客戶則需要承擔更多的合法性義務，如確定數(shù)據(jù)處理的合法性理由，對接所服務的最終個體用戶的權利保障體系。例如《歐盟數(shù)據(jù)保護通用條例》（GDPR）中提出的“數(shù)據(jù)控制者”和“數(shù)據(jù)處理者”的合規(guī)主體二分法就是典型代表。權責明確的數(shù)據(jù)安全保障秩序，最終能夠促進整個生態(tài)的健康繁榮。

2.3有利于與國際規(guī)則接軌，提升國家與企業(yè)形象，助力企業(yè)走出去

建立個人數(shù)據(jù)保護基本制度是近年來國際社會完善數(shù)據(jù)治理制度體系的主要趨勢之一?！秱€人信息保護法（草案）》明確將國家機關納入規(guī)制范圍，規(guī)定國家機關處理個人信息同樣適用草案規(guī)定，此規(guī)定具有重要意義。

在2020年的“疫情”大考中，“健康碼”的應用，顯著提升了政府的數(shù)字治理水平，但這種以政府為主導的大規(guī)模數(shù)據(jù)處理活動，同樣需要制定一套法律制度來規(guī)范。在服務型政府以及智慧城市建設的背景下，政府將成為最主要的數(shù)據(jù)處據(jù)機構，更加凸顯了制定個人信息保護法的必要性。個人信息保護基本法律規(guī)則的建立，有利于我國與國際通行規(guī)則接軌，提升國家與企業(yè)形象，助力企業(yè)海外發(fā)展。3精細科學的政策平衡在探索個人信息保護以及更為廣泛的數(shù)據(jù)治理政策框架的道路上，并沒有萬能的標準答案。歐盟GDPR、美國加州CCPA，也是依據(jù)本地區(qū)的政治、文化、產(chǎn)業(yè)發(fā)展基礎，量身定制的制度方案。同樣，今天我們需要勾勒自己的“中國”方案。結合草案相關制度，以我國實際國情和現(xiàn)有法律制度基礎，為落實個人權利保護與促進數(shù)字經(jīng)濟發(fā)展，筆者提出如下建議：

3.1進一步完善個人信息的定義對于個人信息的稱謂，各國家和地區(qū)個人信息保護法規(guī)中有個人數(shù)據(jù)、個人隱私、個人信息等不同的表達。例如，我國臺灣地區(qū)采用“個人數(shù)據(jù)”，歐盟及其成員國使用“個人數(shù)據(jù)（PersonalData）”，日韓采用“個人信息（PersonalInformation）”，而美國多用“信息隱私（InformationPrivacy）”概念。個人信息的定義是個人信息保護法的核心，決定了未來個人信息保護法的保護范圍。對“個人信息”進行科學合理的界定對于法律的適用至關重要。過窄的范圍無法充分保護信息主體的合法利益，而過寬的范圍也將使得法律難以有效實施。從2012年的《關于加強網(wǎng)絡信息保護的決定》，到《網(wǎng)絡安全法》，再到近期出臺的《民法典》人格權編，我國現(xiàn)有法律對于個人信息的定義一直堅持著“識別”標準?！翱勺R別性”認定標準也是世界上許多國家個人信息保護立法所采取的標準?！翱勺R別性”與“身份關聯(lián)”是區(qū)分個人信息的兩個要素，這是整個制度邏輯的出發(fā)原點。

3.2明確和完善個人信息處理的合法性基礎草案適用的主體不僅包括企業(yè)，也包括決定和參與個人數(shù)據(jù)處理的任何個人、機構，涵蓋了政府部門、公共機構和私營實體。因此，考慮到數(shù)據(jù)處理的多種可能場景以及與其他正當利益的平衡，除了數(shù)據(jù)主體的同意之外，草案還規(guī)定了五類處理個人數(shù)據(jù)的合法基礎。結合實踐，可以進一步增補其他數(shù)據(jù)處理的正當場景，例如借鑒歐盟GDPR中基于數(shù)據(jù)處理者或者其他第三方的正當利益的情形，包括：以預防欺詐為目的，出于保障網(wǎng)絡信息安全而進行的數(shù)據(jù)處理活動，以及歷史統(tǒng)計、科學研究等數(shù)據(jù)處理活動，在不侵犯他人個人信息權益的基礎上，可以開展相應數(shù)據(jù)處理。

3.3區(qū)分“數(shù)據(jù)控制者”與“數(shù)據(jù)處理者”在受規(guī)制的法律主體方面，建議能夠區(qū)分“數(shù)據(jù)控制者”和“數(shù)據(jù)處理者”，并基于不同主體，建立相應的法律義務體系。目前，區(qū)分“個人信息控制者”和“個人信息處理者”主體概念已成國際通說。國外如歐盟等立法中也廣泛采用“個人信息控制者”“個人信息處理者”的概念。新加坡《個人信息保護法》雖然沒有直接采用前述兩個概念，但是也區(qū)分了組織（organization）和數(shù)據(jù)中介（dataintermediary），數(shù)據(jù)中介是代表組織處理個人信息的主體。香港《個人資料（隱私）條例》正在進行修訂，以進一步明確“在資料使用者直接控制下收集、持有、處理或使用有關的資料的主體”的法律地位和責任。國家標準《信息安全技術個人信息安全規(guī)范》等也明確使用“信息控制者”概念。明確區(qū)分法律主體和相應的法定義務，有利于建立起權責明確的數(shù)據(jù)保護秩序。

3.4細化對算法與自動化決策的規(guī)制算法支撐下的自動化技術，在越來越多的產(chǎn)業(yè)實踐中得到廣泛應用。例如在電子商務、廣告營銷、新聞資訊等各類服務中，絕大部分都實現(xiàn)了基于數(shù)據(jù)和算法的個性化服務，實現(xiàn)供需方的高效匹配，幫助消費者快速從海量商品信息中找到所需商品和信息，也有利于中小企業(yè)獲得更多的曝光展示機會并得以發(fā)展。因此，對于這一極具發(fā)展?jié)摿Φ男录夹g新業(yè)務應用，不宜在立法中通過一刀切的方式，強制回退到統(tǒng)一服務模式。歐盟GDPR將其所規(guī)制的自動化決策明確限定在對個人產(chǎn)生法律意義上的重大影響的算法領域，如信貸資格獲取、教育入學資格評價等，在這些領域賦予了用戶提出異議的權利，相關數(shù)據(jù)處理者應當對所應用的算法做出合理解釋。規(guī)制要求并沒有廣泛擴展到所有使用個性化算法的其他領域，例如對于商業(yè)營銷、信息推送等一般場景，并沒有做出特別的規(guī)范。

3.5進一步協(xié)調行政監(jiān)管體制草案建立了個人信息保護監(jiān)管體制。除了具有協(xié)調統(tǒng)籌職責的網(wǎng)信辦外，具有個人信息保護職責的各領域、各行業(yè)主管部門，如工信、公安、市場監(jiān)管總局，央行、教育部、交通部、衛(wèi)健委、文化與旅游部、國家郵政局、商務部