【個性化系統(tǒng)中個人信息保護的域外經驗綜述6800字】

個性化推薦中個人信息保護的域外經驗綜述目錄TOC\o"1-2"\h\u15726個性化推薦中個人信息保護的域外經驗綜述 146031.1對網絡行為信息性質的判斷 1193661.1.1歐盟——明確納入個人信息范疇 1239061.1.2美國——納入“潛在PII”范圍 2322351.2知情同意原則的保障措施 395441.2.1透明度原則的應用 3137471.2.2“請勿追蹤”隱私協(xié)議 5196101.3對用戶個人信息控制的保障 6236491.3.1確立“適當性使用”標準 6268211.3.2保障信息主體參與權利 81.1對網絡行為信息性質的判斷1.1.1歐盟——明確納入個人信息范疇歐盟對于個性化推薦中的網絡行為信息提供了較為明確的法律保護機制，具體表現如下：第一，歐盟相關立法中幾乎均以直接或間接的方式認可了網絡行為信息的身份識別性，并將其納入個人信息范疇。1995年出臺的《數據保護指令》（DPD）規(guī)定，個人信息指的是“任何己識別或可識別的主體相關的信息，包括直接或間接的識別，特別是通過諸如網絡標識信息、ID名稱或其它特定于該主體的身體、經濟狀況、文化程度社會身份的因素”[[]參見歐盟《數據保護指令》第二條第一款.]，可見，DPD明確以列舉方式將網絡標識信息、ID名稱兩類網絡行為信息納入了個人信息的范疇；2002年，歐盟頒布《隱私與電子通信指令》，其中指出，“網站服務提供商可能通過cookie技術訪問終端設備，并由此訪問用戶的敏感信息，因此，網站服務提供商在將信息存儲在本地cookie文件之前，必須獲得用戶的許可，并通知用戶將使用哪些數據。”該條款說明了通過cookie訪問的用戶網絡信息可能屬于個人敏感信息，故實則以間接方式承認了網絡行為信息的可識別性。2016年，GDPR出臺并取代DPD成為歐盟隱私與個人信息保護的法律框架。GDPR規(guī)定的個人信息的范圍比DPD更廣泛，在延續(xù)DPD對個人信息定義的前提下，GDPR又在個人信息范疇中納入了地址符等幾類常見的網絡行為信息；此外，GDPR首次在序言中直接明確規(guī)定了網絡行為信息的可識別性——序言規(guī)定，“自然人可以與他們的設備，應用程序等提供的在線標識符相關聯(lián)，例如互聯(lián)網協(xié)議地址，cookie標識符等。上述信息都可能被用于創(chuàng)建主題畫像并對自然人進行識別，特別是當其與唯一標識符和服務器接受的其他信息相結合時?！盵[[]參見歐盟《數據保護指令》第二條第一款.[]參見《通用數據保護條例》（GeneralDataProtectionRegulation）序言第30條.第二，歐盟的立法與司法實踐均未因網絡行為信息的匿名化特征而將其排斥在個人信息的范疇之外。早在GDPR出臺前，歐盟法院就曾經依據DPD明確做出解釋，指出匿名信息同樣可能會構成個人信息[[]參見以下歐盟法院判決：BodilLindqvist,CaseC-101/01;VolkerundMarkusScheckeandEifert,CaseC-92/09andC-93/09.]；此外，GDPR出臺后亦明確指出，“個人信息匿名化可降低有關當事人的風險，并有助于信息處理者履行其保護義務。但“匿名化”并不旨在排除任何其他信息保護措施。[[]https://gdpr-info.eu/recitals/no-28/.最后訪問時間：2021.3.10.]”。2017年9月11日，西班牙數據保護監(jiān)管部門（AEPD）對Facebook作出120萬歐元的行政處罰，理由是Facebook在未履行知情同意原則的情況下擅自對用戶個人信息進行收集并將之用于個性化推薦行為。本案中，Facebook認為其僅僅收集了用戶的點贊行為記錄，且其已對該信息作了匿名化處理，因此其并不屬于個人信息范疇；對此，AEPD認為：用戶對某些內容點贊的行為已經能顯示出其愛好、興趣、取向，已經充分具備了識別具體用戶的可能性，故屬于個人信息范疇[[]參見以下歐盟法院判決：BodilLindqvist,CaseC-101/01;VolkerundMarkusScheckeandEifert,CaseC-92/09andC-93/09.[]https://gdpr-info.eu/recitals/no-28/.最后訪問時間：2021.3.10.[]“違反數據保護法：Facebook被西班牙罰款120萬歐元”.新浪科技,/focus/detail/MTA0NDM%3D?module=cyber-security,最后訪問時間：20.1.2美國——納入“潛在PII”范圍在美國個人信息保護的法律語境中，一般使用PII(PersonallyIdentifiableInformation)概念指代“與個人相關或可關聯(lián)的任何信息”[[]參見NISTSP800-122.]，即具有可識別性的個人信息。因此，在美國的法律語境下，只有網絡行為信息落入PII范疇，才能進一步判定收集和使用此類信息進行個性化推薦的行為是否侵犯用戶的個人信息權益。然而，與歐盟不同的是，美國法律中并未對網絡行為信息進行明確規(guī)定，在早期的司法實踐中，法院也大多否定了網絡行為信息的可識別性。例如，2014年的“Locklear訴DowJones案”中，原告TerryLocklear聲稱被告DowJones公司旗下App“WSJ頻道”在未經用戶同意的情況下向廣告公司披露了其觀看視頻的記錄及用戶設備關聯(lián)的序列號，違反了《視頻隱私保護法案》中“禁止視頻服務提供商擅自公開用戶個人信息”的規(guī)定，因此起訴要求DowJones公司停止披露其個人信息。法院認為，視頻瀏覽記錄與設備序列號不足以識別到特定用戶身份，因此不屬于PII范疇；[[]文森特·R·約翰遜著.趙秀文等譯.美國侵權法[M].北京,中國人民大學出版社.2004,89-90.]此外，在2015年的“Eichenberger訴ESPN案”中，法院也表達了類似的觀點[[]ChadEichenbergerv.ESPNInc.,No.2:14-cv-00463,W.D.Wash.[]參見NISTSP800-122.[]文森特·R·約翰遜著.趙秀文等譯.美國侵權法[M].北京,中國人民大學出版社.2004,89-90.[]ChadEichenbergerv.ESPNInc.,No.2:14-cv-00463,W.D.Wash.[]張璐.個人網絡活動蹤跡信息保護研究——兼評中國cookie隱私權糾紛第一案[J].河北法學.2019年第1期.然而，近年來，隨著大數據時代下信息處理技術的發(fā)展與進步，美國對于網絡行為信息的態(tài)度已經開始發(fā)生轉變。數據挖掘、分析技術模糊了個人信息可識別性的界限，即便是之前不具有可識別性的匿名信息也開始產生間接識別用戶的可能性。在得克薩斯州大學的一項研究調查中，其通過在線電影租賃網站Netflix中50萬名用戶的匿名電影評級數據識別出了部分用戶，甚至推測出了這些用戶的政治立場等敏感信息[[]Narayanan,Arvind,andVitalyShmatikov.Robustde-anonymizationoflargesparsedatasets[J].SecurityandPrivacy,2008.[]Narayanan,Arvind,andVitalyShmatikov.Robustde-anonymizationoflargesparsedatasets[J].SecurityandPrivacy,2008.1.2知情同意原則的保障措施1.2.1透明度原則的應用為了保護信息主體對收集、利用信息的知情同意，美國與歐盟的個人信息相關立法中均創(chuàng)設了“透明度”原則，并根據該原則的指引確定了應用個性化推薦技術的信息處理者在收集、處理用戶時的具體義務。就美國而言，2009年，FTC針對個性化推薦中的個人信息保護問題專門制定并公布了《在線行為廣告自律原則》。其中，FTC根據透明度原則對網絡服務提供者的披露義務作出了具體的要求，規(guī)定網站在為定向廣告收集信息時應提供一個清晰的、簡潔的、用戶易懂的和突出的聲明，包括：（1）本網站正在進行關于消費者網上活動信息的收集，該信息將用于向消費者提供符合其興趣的產品和服務；（2）消費者可以選擇是否允許網站為此目的而進行的信息采集。同時，網站應當為消費者提供一個明確的、易于使用的、可行的方式幫助消費者行使此項選擇。透明度原則在FTC的多項調查活動中也有充分體現。2010年，FTC在調查EchoMetrix公司的過程中，查明EchoMetrix在一款App中對兒童瀏覽器中相關信息進行了秘密跟蹤，并將這些信息用于個性化推薦行為。FTC認為，EchoMetrix在沒有得到用戶明確同意的情形下擅自跟蹤、記錄兒童信息，已經違反了透明度原則的相關要求[[]參見[]參見FTC對EchoMetrix公司的調查意見：FTCv.EchoMetrix,Inc.No.CV10-5516(E.D.N.Y.Nov.30,2010).透明度原則在歐盟GDPR中也有明確體現。GDPR序言中規(guī)定，根據透明度原則的要求，處理個人信息的機構應當“使用明晰的語言，以簡潔易懂的方式提供與處理過程相關的各類信息”；同時，在其第三章“信息主體權利”部分也規(guī)定了“信息、交流與模式的透明性”，要求網絡服務提供者“以一種簡單、易于理解和容易獲取的形式”告知用戶信息處理的相關事項。根據上述規(guī)定的指引，實踐中應用個性化推薦技術的網絡服務提供者需要承擔以下幾方面的義務：首先，網絡服務提供者需要讓自然人充分了解個性化推薦過程中其個人信息處理的規(guī)則、保障與可主張的權利，以及如何行使這些權利；尤其重要的是，個人信息處理的目的應當明確、合法，并在個人信息收集之時就己確定；其次，在技術保障措施方面，GDPR要求網絡服務提供者實施符合信息保護的設計保護原則和默認保護原則的措施，包括盡量減少對個人信息的處理、保障個人信息處理功能的透明化、賦予信息主體監(jiān)測數據處理行為能力等。GDPR對透明度原則的細化規(guī)定為提供個性化推薦服務的廣告技術企業(yè)、網絡服務提供者帶來了巨大挑戰(zhàn)。據報道，GDPR生效當天，Facebook以及谷歌就相繼因濫用cookie技術侵犯隱私權被起訴；5月初，Facebook在記者會上宣布其隱私政策的重要變化：用戶可以對臉書網站搜集其瀏覽網頁信息并用于定向廣告的行為表示拒絕。此外，Apple公司也于同月修改了其隱私政策，新隱私政策中涵蓋了對個人信息的搜集、利用、共享等方式進行解釋的相關條款[[]“GDPR“快刀”威懾廣告服務商全[]“GDPR“快刀”威懾廣告服務商全球互聯(lián)網巨頭嚴陣以待”,中國證券網,/xwzx/201805/t20180529_5814441.html.最后訪問時間：2021.3.22.1.2.2“請勿追蹤”隱私協(xié)議“請勿追蹤”本質上是用戶與網站之間簽訂的一項隱私協(xié)議，用戶可以借此避免網站對其隱私或個人信息的跟蹤。其操作原理為：當用戶對具有“請勿追蹤”功能的瀏覽器提出請勿追蹤的請求時，瀏覽器會將該請求傳輸給用戶訪問網站的服務器[[]參見搜狗百科[]參見搜狗百科/item/請勿追蹤/22785327?fr=aladdin.“請勿追蹤”協(xié)議在美國由來已久。2009年，火狐瀏覽器在其開發(fā)的一款插件雛形中首次使用了“請勿追蹤”頭字段功能；隨后，微軟、Opera、Safari、谷歌等均陸續(xù)在其瀏覽器中提供了“請勿追蹤”的功能支持[[]“隱私之爭:關于DoNotTrack你所應該知道的”,果殼網./article/396923/?page=1.最后訪問時間：[]“隱私之爭:關于DoNotTrack你所應該知道的”,果殼網./article/396923/?page=1.最后訪問時間：2020.5.29.“請勿追蹤”協(xié)議最初開始實行時，確實在一定程度上保障了用戶對其個人信息被收集、利用的知情權、選擇權，然而好景不長，“請勿追蹤”功能的開發(fā)很快引起了廣告業(yè)的不滿：他們指出請勿追蹤功能不應由瀏覽器默認開啟，而是應當由網絡用戶自愿決定是否啟用。隨后，美國數字廣告聯(lián)盟（DAA）向美國政府公開表示，只有在“請勿追蹤”不被瀏覽器默認開啟的情況下，他們才會支持該系統(tǒng)。在廣告商的反對下，各網絡經營者對于“請勿追蹤”的執(zhí)行情況開始逐漸向消極化轉變，導致目前的“請勿追蹤”協(xié)議只能被稱為網站與用戶之間的一個“君子協(xié)定”。具體而言，“請勿追蹤”協(xié)議提供的只是一種選擇機制，網站完全可以忽略該機制，繼續(xù)收集用戶的個人信息。2012年9月，“請勿追蹤”的創(chuàng)始者之一羅伊·菲爾丁在HTTP服務器中加入補丁，忽略了由IE10用戶發(fā)送的“請勿追蹤”請求；同年10月，雅虎也聲明將忽略來自IE10瀏覽器用戶的“請勿追蹤”請求。2015年4月，微軟也宣布其瀏覽器將不會主動運行“請勿追蹤”功能[[]“微軟:下代瀏覽器將不會默認開啟"請勿追蹤"功能”,搜狐網.[]“微軟:下代瀏覽器將不會默認開啟"請勿追蹤"功能”,搜狐網./a/9429635_115640.最后訪問時間：2020.6.3.歐盟的立法實踐中也涉及到了“請勿追蹤”協(xié)議的相關內容。歐盟2009年修訂的《電子隱私指令》中，就規(guī)定各網站在追蹤用戶信息前應當得到授權。然而，與美國相同的問題是，歐盟境內對于該法律規(guī)范的實際執(zhí)行情況也不盡人意。實際上，能夠自覺遵守“請勿追蹤”協(xié)議要求的網站非常少，還有一些網站即使表面遵守“請勿追蹤”協(xié)議，但實際仍在私下對用戶行為進行追蹤。2020年6月2日，三名網絡用戶對谷歌提起訴訟，稱其使用GoogleChrome上網時，即使開啟了無痕模式，該瀏覽器仍會跟蹤并記錄用戶在網絡中留下的行為信息。通常情況下，谷歌的無痕模式為默認開啟，這意味著谷歌用于個性化推薦等目的的相關插件將無法從用戶那里收集、利用信息。但三名原告稱，盡管用戶開啟無痕模式，谷歌仍能對用戶的好友、個人偏好、購物習慣，甚至“令人尷尬的隱私信息”了如指掌[[]“因’無痕模式’泄露隱私，谷歌遭到50億高額索賠”,新浪科技./roll/2020-06-05/doc-iirczymk5337235.shtml.最后訪問時間：2020.6.7.]。由此可見，盡管“請勿追蹤”協(xié)議的開發(fā)展示出了各國法律對于加強個人信息保護的不懈努力，但“請勿追蹤”協(xié)議在實踐中的執(zhí)行情況并不理想，如果沒有網絡服務提供者的配合，這項協(xié)議[]“因’無痕模式’泄露隱私，谷歌遭到50億高額索賠”,新浪科技./roll/2020-06-05/doc-iirczymk5337235.shtml.最后訪問時間：20.3對用戶個人信息控制的保障1.3.1確立“適當性使用”標準在個性化推薦的運行過程中，當網絡服務提供者未完成對用戶信息的收集時，用戶是其個人信息的實際控制者；而一旦網絡服務提供者結束對用戶信息的收集、并開始進行信息整合與利用后，網絡服務提供者便加入了對用戶個人信息控制的爭奪[[]梁澤宇,.個人信息保護中目的限制原則的解釋與適用[J][]梁澤宇,.個人信息保護中目的限制原則的解釋與適用[J].比較法研究,2018年第5期.美國在其1974年的《隱私法案》中規(guī)定了“信息正當運用原則”，其中包括“信息處理者只能為收集信息時的目的而使用信息”的內容，體現了目的限制原則的意旨。然而，由于美國對個人信息保護采取行業(yè)自治模式，且更側重于保障信息流通價值，因此美國立法對于個人信息的再利用行為一般不予以禁止。例如1999年美國制定的《格雷姆·里奇·比利雷法案》中，就明確規(guī)定金融機構對個人信息的再利用是合法的[[]參見[]參見FTC官方網站：/tips-advice/business-center/privacy-and-security/gramm-leach-bliley-act.相對于美國而言，歐盟在個人信息使用限制方面的立法規(guī)定更為成熟，全面。1995年的《指令》曾指出，“個人信息必須基于指定的合法、具體目的進行處理，此外不得通過與上述目的不相容的途徑進行其他處理?！盙DPR出臺后，同樣保留了該規(guī)定。但從法條措辭中可見，歐盟的使用限制標準是具有彈性的——“不應與收集時確定之目的相違背”中，“不違背”不代表完全相同，也就是說，在網絡經營者對個人信息進行后續(xù)處理、利用時，歐盟認為信息處理者可以增加與初始目的不完全相同的其他目的。歐盟對于使用限制的擴張解釋背后，實則顯示了其對個人信息保護與信息流通的法益平衡，在大數據時代下，網絡技術與商業(yè)創(chuàng)新的發(fā)展是日新月異的，因此，無論是用戶還是網絡服務提供者可能都不會完全預知未來會有商業(yè)價值的其他目的，如果不允許額外目的的發(fā)生與應用，可能會導致用戶信息商業(yè)價值的浪費。然而，如何判斷額外目的是否與約定目的相容？針對這一問題，歐盟進一步提出了“適當性使用”標準——2014年，歐盟法院通過DigitalRightsIrelandandOthers的判決為這一標準的確立提供了重要支撐。該案中，法院對歐盟《2006/24號指令》作出判定，認為其如下規(guī)定侵犯了公民的個人信息權利，因而無效：“鑒于用戶的流量與位置信息對于刑事案件的相關調查具有重要意義，因此網絡服務提供者有必要對上述用戶信息進行一定期限的保留。[[]周杰.比例原則下電子通信數據留存之限度——《歐盟2006/24號指令》無效案[J].蘇州大學學報（法學版）2018年第5期.]”歐盟法院在判決中指出，“首先，《指令》中所收集和使用的個人信息是非常敏感的，因此處理這些信息很可能會窺探到個人的私生活內容，這將對信息主體的人格利益產生重大影響。因此，《指令》的合理性亟待嚴格審查；其次，雖然《指令》是出于公共利益目的而收集、利用信息，但是，它規(guī)定收集和存儲的個人信息范圍太廣。對于大部分信息主體而言，沒有證據表明其個人信息與惡性犯罪有關，其行為與犯罪之間存在的關聯(lián)也極其遙遠”。因此，法院認為《指令》對公民個人信息的保護已經形成了非法干涉[[[]周杰.比例原則下電子通信數據留存之限度——《歐盟2006/24號指令》無效案[J].蘇州大學學報（法學版）2018年第5期.[]參見歐盟法院判決：DigitalRightsIrelandandSeitlingerandOthers，CaseC-293/12,C594/保障信息主體參與權利信息主體對信息處理過程的參與是實現個性化推薦中個人信息保護的重要途徑。目前，多國立法都將個人參與原則明確列為個人信息保護的基本原則之一