大數(shù)據(jù)時(shí)代個(gè)人信息數(shù)據(jù)安全的新威脅及其保護(hù)

張茂月

(廈門大學(xué)，福建　廈門 　361000)

?

大數(shù)據(jù)時(shí)代個(gè)人信息數(shù)據(jù)安全的新威脅及其保護(hù)

張茂月

(廈門大學(xué)，福建廈門 361000)

摘要：在大數(shù)據(jù)時(shí)代，個(gè)人信息數(shù)據(jù)面臨不斷增加的知情權(quán)、安寧權(quán)、處分權(quán)和信息泄露的風(fēng)險(xiǎn)，單純的“隱私權(quán)”本身尚不足以有效應(yīng)對(duì)各類新狀況，必須加快構(gòu)建“綜合治理模式”。除了制定專門的個(gè)人信息保護(hù)規(guī)范性法律文件外，還需要確立“告知—同意原則”作為信息收集和利用活動(dòng)的基本原則，并強(qiáng)化技術(shù)化手段及打擊信息犯罪活動(dòng)，以應(yīng)對(duì)大數(shù)據(jù)時(shí)代個(gè)人信息安全面臨的威脅。

關(guān)鍵詞：大數(shù)據(jù)；個(gè)人信息數(shù)據(jù)；隱私權(quán)；告知同意原則

1大數(shù)據(jù)的特性及其引發(fā)的個(gè)體信息數(shù)據(jù)保護(hù)危機(jī)

大數(shù)據(jù)在本質(zhì)上還是電子數(shù)據(jù)的一種，但是也有其自身獨(dú)特的特性。第一，數(shù)量巨大。早在2012年全球每天產(chǎn)生的數(shù)據(jù)就已經(jīng)達(dá)到2.5EB，這個(gè)數(shù)字還以大約每4個(gè)月翻一番的速度迅速增長(zhǎng)[1]。第二，快速化。信息產(chǎn)生的速度常常比數(shù)量更加重要，MIT通過手機(jī)定位數(shù)據(jù)對(duì)“黑色星期五”當(dāng)天將車停在梅西停車場(chǎng)的消費(fèi)者的數(shù)量進(jìn)行推測(cè)，可以大致推斷出這一商家在當(dāng)天的營(yíng)業(yè)額。第三，多樣性。大數(shù)據(jù)的形態(tài)多樣，包括了結(jié)構(gòu)化、半結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)。此外，現(xiàn)代互聯(lián)網(wǎng)應(yīng)用呈現(xiàn)出非結(jié)構(gòu)化數(shù)據(jù)大幅增長(zhǎng)的特點(diǎn)，來源形式多種多樣，包括各種信息、應(yīng)用更新、社交網(wǎng)絡(luò)的圖片、傳感器讀取的信息、手機(jī)的定位等，而且不少信息來源的重要方式都是新近才出現(xiàn)的。

但是，伴隨大數(shù)據(jù)而來的還有個(gè)人信息數(shù)據(jù)安全風(fēng)險(xiǎn)的上升。與用戶相關(guān)的數(shù)據(jù)信息正在被逐步集中于少數(shù)幾個(gè)機(jī)構(gòu)，這些機(jī)構(gòu)能夠通過幾乎所有廣受歡迎的網(wǎng)站追蹤用戶的“網(wǎng)絡(luò)足跡”，而幾乎所有的防護(hù)技術(shù)都在突出問題的嚴(yán)重性和尋求替代性解決方法方面存在重大缺陷[2]。這些缺陷可能對(duì)公民個(gè)人信息數(shù)據(jù)造成強(qiáng)烈威脅，甚至那些看似無用瑣碎的信息通過不同方式的加工成為有用的信息。在數(shù)據(jù)安全的視角下，這一過程表現(xiàn)為大數(shù)據(jù)使得那些看似“安全”的數(shù)據(jù)碎片按照某種方式處理后，將重新拼接出完整的個(gè)人信息數(shù)據(jù)清單，甚至直接鎖定特定個(gè)體，從而對(duì)個(gè)人信息數(shù)據(jù)安全造成威脅。

2個(gè)人信息數(shù)據(jù)保護(hù)的傳統(tǒng)路徑及其存在的問題

2.1　大數(shù)據(jù)時(shí)代個(gè)人信息安全面臨的新狀況

大數(shù)據(jù)所引發(fā)的個(gè)人信息安全危機(jī)已經(jīng)引發(fā)學(xué)界的關(guān)注，但是對(duì)于如何應(yīng)對(duì)，學(xué)界有不同的意見。最為流行的觀點(diǎn)主張，繼續(xù)通過擴(kuò)張民法中“隱私權(quán)”的外延來保護(hù)個(gè)人數(shù)據(jù)，認(rèn)為根據(jù)不同的保護(hù)對(duì)象和內(nèi)容，對(duì)大數(shù)據(jù)的隱私保護(hù)還可以進(jìn)一步細(xì)分為位置隱私保護(hù)、標(biāo)識(shí)符匿名保護(hù)、連接關(guān)系匿名保護(hù)等[3]。大數(shù)據(jù)時(shí)代社會(huì)所面臨的局面遠(yuǎn)比隱私權(quán)提出的19世紀(jì)末期要復(fù)雜得多，整個(gè)社會(huì)關(guān)系的網(wǎng)絡(luò)化鏈接已經(jīng)無處不在，社會(huì)的聯(lián)網(wǎng)甚至已經(jīng)開啟由互聯(lián)網(wǎng)向物聯(lián)網(wǎng)邁進(jìn)的進(jìn)程，我們的信息安全受到不同于以往的安全威脅。

在以電話為代表的模擬數(shù)據(jù)時(shí)代，個(gè)人信息的暴露面是有限的，個(gè)人信息的傳遞方式也是單向和小范圍的，能夠大規(guī)模收集、儲(chǔ)存、調(diào)取公民個(gè)人數(shù)據(jù)的機(jī)構(gòu)也為數(shù)不多，主要是政府部門或者少數(shù)壟斷性的運(yùn)營(yíng)單位。在這樣的信息存續(xù)的形態(tài)下，“隱私權(quán)”制度足以提供個(gè)體所需的信息安全保護(hù)力度。

在大數(shù)據(jù)時(shí)代，先前基于信息壟斷獲取和保存機(jī)制形成的數(shù)據(jù)安全保障模式也逐漸失效。現(xiàn)代社會(huì)獲取信息變得異常便捷，只要個(gè)體接觸網(wǎng)絡(luò)，就必然將其個(gè)人信息數(shù)據(jù)以各種形式傳遞給服務(wù)提供商和其他網(wǎng)絡(luò)運(yùn)營(yíng)者，信息收集和控制不再局限于有限的組織體，而是向所有有意愿獲取和利用個(gè)人信息的機(jī)構(gòu)擴(kuò)散。更復(fù)雜的是，經(jīng)過多重交易和多個(gè)第三方渠道的介入，個(gè)人數(shù)據(jù)的權(quán)利邊界消失了，無法追蹤個(gè)人信息轉(zhuǎn)移的軌跡，也無法查明個(gè)人信息被侵犯的責(zé)任主體[4]。

2.2　隱私權(quán)與個(gè)人信息數(shù)據(jù)保護(hù)

首先，從權(quán)利屬性看，隱私權(quán)主要是一種精神性的人格權(quán)，并不過分強(qiáng)調(diào)其財(cái)產(chǎn)價(jià)值屬性，其救濟(jì)方式也是以精神損害賠償為主。而個(gè)人信息權(quán)集人格利益與財(cái)產(chǎn)利益于一體，既包括了精神價(jià)值，也包括了財(cái)產(chǎn)價(jià)值，而且主要是財(cái)產(chǎn)價(jià)值屬性[5]。大數(shù)據(jù)時(shí)代各網(wǎng)絡(luò)組織對(duì)個(gè)人信息數(shù)據(jù)的分析和利用也主要以獲取經(jīng)濟(jì)效益為目標(biāo)，而且大數(shù)據(jù)的特色在于，通過將閑散化的信息數(shù)據(jù)加工整合之后形成新的數(shù)據(jù)價(jià)值的方式使用個(gè)人信息，那些原本呈現(xiàn)“散狀分布”的碎片化信息本身很少涉及個(gè)人隱私，或者這些信息是在本人知曉并且允許的情況下提供，就不構(gòu)成“侵犯隱私”，所以難以通過隱私權(quán)的方式全面保護(hù)個(gè)人信息數(shù)據(jù)。

其次，大數(shù)據(jù)時(shí)代對(duì)個(gè)人信息數(shù)據(jù)的利用方式展現(xiàn)出新的趨向，超出了傳統(tǒng)隱私權(quán)的保護(hù)范圍。比如基于大數(shù)據(jù)對(duì)人們的行為進(jìn)行預(yù)測(cè)，并依據(jù)有關(guān)結(jié)果采取相應(yīng)行動(dòng)，這些活動(dòng)難以為隱私權(quán)所涵蓋。在美國(guó)有家名為“x+1”的公司，利用追蹤技術(shù)來收集用戶的網(wǎng)站瀏覽記錄并形成數(shù)據(jù)庫(kù)。雖然它不記錄人們的姓名，但會(huì)通過個(gè)人的其他各項(xiàng)數(shù)據(jù)進(jìn)行交叉比對(duì)和匯集，然后通過統(tǒng)計(jì)分析，推測(cè)上網(wǎng)者的個(gè)人喜好[6]。再如某在線音樂網(wǎng)站進(jìn)行數(shù)據(jù)挖掘，通過個(gè)體聽歌風(fēng)格的變化，來推斷其消費(fèi)行為的變化。常聽流行樂的男性突然開始聽新潮女生喜歡聽的流行歌，那就有較大概率表明此人在談戀愛。這個(gè)時(shí)候給他推薦美食、玫瑰和巧克力的廣告，效果好得驚人[7]。

最后，從保護(hù)措施來看，隱私的保護(hù)注重事后救濟(jì)，且主要采用精神損害賠償?shù)拿穹ūＷo(hù)方式加以救濟(jì)。個(gè)人信息的保護(hù)則以預(yù)防為主，且通過法律衡平信息主體和信息控制者之間的利益[5]。在大數(shù)據(jù)時(shí)代即使確知個(gè)人數(shù)據(jù)的隱私風(fēng)險(xiǎn)，也常常無法簡(jiǎn)單通過傳統(tǒng)的隱私權(quán)保護(hù)手段解決。在現(xiàn)代網(wǎng)絡(luò)社會(huì)，微博、微信、facebook等互聯(lián)網(wǎng)服務(wù)商既生產(chǎn)數(shù)據(jù)，又存儲(chǔ)、管理和使用數(shù)據(jù)，其服務(wù)的內(nèi)容和性質(zhì)決定了它們必然會(huì)接觸到用戶信息數(shù)據(jù)，無法簡(jiǎn)單通過技術(shù)或立法手段限制其接近和獲得用戶信息。

所以我們有理由相信，大數(shù)據(jù)時(shí)代個(gè)人信息數(shù)據(jù)難以通過單一的隱私權(quán)保護(hù)制度進(jìn)行規(guī)制，有必要采取新措施予以應(yīng)對(duì)。實(shí)際上問題不在于大數(shù)據(jù)是否增加了隱私被侵犯的危險(xiǎn)，因?yàn)檫@已經(jīng)是事實(shí)，而在于它是否已經(jīng)改變了風(fēng)險(xiǎn)的性質(zhì)。如果只是簡(jiǎn)單地增加了風(fēng)險(xiǎn)，現(xiàn)有的保護(hù)隱私的法律規(guī)范還能夠在大數(shù)據(jù)時(shí)代繼續(xù)發(fā)揮作用，但是如果問題已經(jīng)發(fā)生了質(zhì)的改變，則我們必須尋求新的解決辦法[8]。

3大數(shù)據(jù)時(shí)代個(gè)人信息數(shù)據(jù)風(fēng)險(xiǎn)的新樣態(tài)

大數(shù)據(jù)時(shí)代個(gè)人信息數(shù)據(jù)侵權(quán)行為作為“網(wǎng)絡(luò)侵權(quán)”的最新樣態(tài)，已經(jīng)不止于“簡(jiǎn)單地增加了風(fēng)險(xiǎn)”，而是已經(jīng)逐步開始“改變了風(fēng)險(xiǎn)的性質(zhì)”。

3.1　信息使用的知情權(quán)風(fēng)險(xiǎn)——在用戶不知情的狀況下收集和利用信息

收集信息只是第一步，收集的目的是為了分析和利用信息創(chuàng)造價(jià)值。傳統(tǒng)商業(yè)模式下，一些商業(yè)主體也通過各種方式收集和利用客戶的信息資料作為商業(yè)決策的參考，但是這往往需要掌握第一手資料，并且這其中大部分是在客戶知情的情況下提供的有限信息。比如商場(chǎng)通過吸收會(huì)員獲得消費(fèi)者的有限范圍個(gè)人數(shù)據(jù)，并判斷其購(gòu)物需要，向其發(fā)送促銷信息。然而在大數(shù)據(jù)時(shí)代，在電子信息技術(shù)的支持下，網(wǎng)絡(luò)技術(shù)公司已經(jīng)無需獲得“第一手”的新資料，而是能夠通過已經(jīng)獲取的碎片化的數(shù)據(jù)信息“反向定位”出消費(fèi)者的個(gè)人情況。在這一過程中消費(fèi)者獲得足夠的知情權(quán)，甚至部分信息的提供和披露是在其本人的授權(quán)和知情的情況下進(jìn)行的，但是對(duì)數(shù)據(jù)進(jìn)行進(jìn)一步的加工和拼接、形成新的數(shù)據(jù)，則是他們所無法預(yù)見的。然而，這一“再造”利用在大數(shù)據(jù)時(shí)代卻廣泛存在，個(gè)人信息使用的知情權(quán)未獲得足夠重視。

3.2　信息的“安寧權(quán)”風(fēng)險(xiǎn)——在未經(jīng)同意的情況下推送信息和服務(wù)

在網(wǎng)絡(luò)購(gòu)物時(shí)，當(dāng)我們通過某種平臺(tái)完成某項(xiàng)交易后，下次打開各類網(wǎng)頁(yè)時(shí)都會(huì)顯示和本次搜索相關(guān)的廣告，而且這些廣告還會(huì)隨著個(gè)人搜索興趣的轉(zhuǎn)變而轉(zhuǎn)變。可見當(dāng)消費(fèi)者表露過某項(xiàng)需求信息并被識(shí)別后，互聯(lián)網(wǎng)公司就可以通過技術(shù)手段分辨出消費(fèi)者的需求信息并向其精確推送廣告，即使消費(fèi)者本人并未授權(quán)類似推送行為，消費(fèi)者無法保障自身在網(wǎng)絡(luò)世界的信息安寧權(quán)益。對(duì)于具備高科技信息技術(shù)的互聯(lián)網(wǎng)公司來說，這在技術(shù)上并不困難。對(duì)業(yè)內(nèi)看來是一種廣告的精準(zhǔn)投放，但對(duì)消費(fèi)者來說這是“被享受”的“服務(wù)”，這種推送活動(dòng)在大數(shù)據(jù)的支持下更加隱蔽和精準(zhǔn)，能夠?qū)崿F(xiàn)“定制化服務(wù)”。

3.3　信息的“處分權(quán)”風(fēng)險(xiǎn)——個(gè)人數(shù)據(jù)信息被隨意共享和交易

在數(shù)據(jù)被秘密收集的同時(shí)，還有一項(xiàng)更為可怕的活動(dòng)是數(shù)據(jù)被秘密地共享甚至交易。在現(xiàn)實(shí)中大量個(gè)人信息數(shù)據(jù)被作為商品進(jìn)行交易，但是對(duì)這些行為涉及何種違法行為卻不無爭(zhēng)議。而且除了一些信息“二道販子”外，一些“正規(guī)的公司”也涉足其中，比如2009年爆出的山東移動(dòng)將用戶信息出售給“代理商”，并讓有發(fā)送垃圾短信需求的客戶通過該公司發(fā)送垃圾短信，嚴(yán)重?fù)p害了消費(fèi)者對(duì)個(gè)人信息的支配和處分的權(quán)利[9]。但是現(xiàn)行法律對(duì)于這些交易行為未有明確定性，理論界對(duì)于信息數(shù)據(jù)的性質(zhì)也存在不同認(rèn)識(shí)。比如信息數(shù)據(jù)是否享有民法意義上的“所有權(quán)”？何種數(shù)據(jù)違法行為能夠成立侵權(quán)？這些問題都沒有一個(gè)明確的結(jié)論。

相對(duì)于赤裸裸的交易行為而言，“共享”信息顯然是一種更加公開的活動(dòng)。數(shù)據(jù)庫(kù)維護(hù)者之間通過合作彼此共享信息，加大了個(gè)人信息數(shù)據(jù)的“暴露面”，信息所有者在這一過程中未被給予表達(dá)意見和做出決定的權(quán)利，他們對(duì)于自身信息數(shù)據(jù)的“處分權(quán)”未獲重視。2014年4月，阿里巴巴購(gòu)入新浪微博公司18%的股份后，雙方確認(rèn)將在用戶賬戶互通、數(shù)據(jù)交換、在線支付、網(wǎng)絡(luò)營(yíng)銷等領(lǐng)域進(jìn)行深入合作。阿里巴巴希望通過用戶和大數(shù)據(jù)的推動(dòng)，完善整個(gè)移動(dòng)互聯(lián)網(wǎng)鏈條[10]。通過這些交易，互聯(lián)網(wǎng)巨頭之間將在用戶信息和交易數(shù)據(jù)方面實(shí)現(xiàn)“共享”，但是這種共享本身就是具有交易性質(zhì)的行為，而且這種共享對(duì)于個(gè)人信息數(shù)據(jù)安全的侵害在大數(shù)據(jù)時(shí)代更加值得擔(dān)憂，因?yàn)檫@些交易活動(dòng)直接涉及大數(shù)據(jù)運(yùn)用后的“成果”的交易，對(duì)方所獲得的將會(huì)是“赤裸裸”的信息數(shù)據(jù)或者直接信息數(shù)據(jù)的通道。

3.4　個(gè)人信息數(shù)據(jù)的被動(dòng)風(fēng)險(xiǎn)——信息數(shù)據(jù)的泄露危機(jī)

互聯(lián)網(wǎng)上存儲(chǔ)的個(gè)人信息數(shù)據(jù)還面臨著來自外部侵入的風(fēng)險(xiǎn)，這種侵入常常使得原本隱秘的信息被廣泛泄露，這種風(fēng)險(xiǎn)在大數(shù)據(jù)時(shí)代將非常可怕，因?yàn)樾畔⒁坏┬孤稉p失將難以估計(jì)。黑客攻擊是最常見的數(shù)據(jù)泄露風(fēng)險(xiǎn)來源，黑客們通過后門程序、信息炸彈、網(wǎng)絡(luò)炸彈、D.O.S攻擊以及密碼破解等方式發(fā)動(dòng)攻擊。近些年來，個(gè)人信息泄露的事件不斷發(fā)生，2014年11月27日，媒體爆出130萬學(xué)生考研信息遭泄露，包括考研者姓名、手機(jī)號(hào)碼、身份證號(hào)、家庭住址、學(xué)校、報(bào)考專業(yè)等敏感信息，引發(fā)社會(huì)憂慮[11]。

更加值得注意的是，在用戶信息被泄露后，數(shù)據(jù)庫(kù)的運(yùn)營(yíng)者常常拒絕將相關(guān)情況向用戶通報(bào)，致使用戶無法及時(shí)采取措施減少損失，造成信息“二次傷害”。為了應(yīng)對(duì)這一情況，各國(guó)紛紛立法加強(qiáng)數(shù)據(jù)庫(kù)信息披露義務(wù)。在美國(guó)，多達(dá)40幾個(gè)州制定法律，要求告知本州居民其個(gè)人信息因?yàn)閿?shù)據(jù)庫(kù)安全缺口而被侵害的情況。歐盟的隱私權(quán)指令95/46/EC和加拿大的個(gè)人信息保護(hù)和電子文件法案(PIPEDA)均要求，基于意外泄露和電子攻擊造成的數(shù)據(jù)外泄必須予以披露，不得私下處理[12]。但是中國(guó)尚未做出類似規(guī)定，也使得消費(fèi)者面臨更加嚴(yán)峻的信息泄露風(fēng)險(xiǎn)。

4大數(shù)據(jù)時(shí)代個(gè)人信息數(shù)據(jù)危機(jī)的應(yīng)對(duì)

面對(duì)日益嚴(yán)峻的個(gè)人信息侵害風(fēng)險(xiǎn)，建立或升級(jí)一個(gè)已經(jīng)存在的數(shù)據(jù)管理框架，是解決大數(shù)據(jù)運(yùn)行問題的重要手段[13]。針對(duì)大數(shù)據(jù)時(shí)代下個(gè)人信息數(shù)據(jù)安全的新形勢(shì)，如何構(gòu)建一個(gè)全方位的綜合治理模式值得思考。綜合治理模式要求構(gòu)建一個(gè)包含數(shù)據(jù)形成、儲(chǔ)存、加工、使用和銷毀的全過程的監(jiān)控網(wǎng)絡(luò)，而完善個(gè)人信息保護(hù)法規(guī)，加強(qiáng)對(duì)違法犯罪行為的打擊，確立合理的指導(dǎo)原則，以及運(yùn)用技術(shù)化手段應(yīng)對(duì)危機(jī)是其中重要組成部分。

4.1　制定和完善個(gè)人信息保護(hù)法規(guī)

在個(gè)人信息安全日益受到威脅的當(dāng)下，強(qiáng)化立法保護(hù)是應(yīng)對(duì)這一威脅的有效手段。德國(guó)出臺(tái)統(tǒng)一的立法保護(hù)個(gè)人數(shù)據(jù)資料，于1977年制定了統(tǒng)一的“聯(lián)邦資料保護(hù)法”。美國(guó)雖然沒有類似的統(tǒng)一立法文件，但是也通過眾多分散的立法文件確立了以隱私權(quán)為基礎(chǔ)的個(gè)人資料保護(hù)法律制度，確立了資料隱私權(quán)和自決隱私權(quán)[14]。美國(guó)1974年隱私權(quán)法案要求政府部門向個(gè)人公布與其相關(guān)的信息記錄內(nèi)容，并限制政府部門與他人或其他部門共享個(gè)體信息數(shù)據(jù)的行為。法案同時(shí)要求，政府在收集和處理個(gè)人數(shù)據(jù)信息時(shí)遵循“公平信息處理?xiàng)l例”[12]。

完善的法律制度是法律保護(hù)的前提，中國(guó)目前還沒有專門的個(gè)人信息數(shù)據(jù)保護(hù)法律文件。《個(gè)人信息保護(hù)法》作為保護(hù)個(gè)人信息權(quán)的專門法律，2005年就已經(jīng)完成專家建議稿，但是至今尚未出臺(tái)。在現(xiàn)階段有關(guān)個(gè)人資料的保護(hù)規(guī)范，主要有全國(guó)人大常委會(huì)于2012年12月通過的《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》，該規(guī)定明確國(guó)家保護(hù)能夠識(shí)別公民個(gè)人身份和涉及公民個(gè)人隱私的電子信息。此外還散見于一些法規(guī)規(guī)章之中，例如《中華人民共和國(guó)電信條例》第66條,原則性地規(guī)定了電信用戶依法使用電信的自由和通信秘密受法律保護(hù)，除法律規(guī)定外，任何組織或者個(gè)人不得以任何理由對(duì)電信內(nèi)容進(jìn)行檢查。《計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)管理暫行規(guī)定實(shí)施辦法》、《計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)安全保護(hù)管理辦法》等也僅僅原則性地規(guī)定，有關(guān)互聯(lián)網(wǎng)服務(wù)提供單位需要“為用戶提供良好、安全的服務(wù)”，而用戶“不得擅自進(jìn)入未經(jīng)許可的計(jì)算機(jī)系統(tǒng)，篡改他人信息；不得在網(wǎng)絡(luò)上散發(fā)惡意信息，冒用他人名義發(fā)出信息，侵犯他人隱私；不得制造、傳播計(jì)算機(jī)病毒及從事其他侵犯網(wǎng)絡(luò)和他人合法權(quán)益的活動(dòng)”。這些原則性規(guī)定能夠?qū)σ恍┥婕熬W(wǎng)絡(luò)的“違法行為”進(jìn)行規(guī)則，但是卻無法應(yīng)對(duì)大數(shù)據(jù)時(shí)代一些涉網(wǎng)的“合法行為”對(duì)個(gè)人信息數(shù)據(jù)帶來的威脅。值得注意的是，2014年10月10日起施行的《最高人民法院關(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問題的規(guī)定》(下稱《規(guī)定》)第12條規(guī)定，“網(wǎng)絡(luò)用戶或者網(wǎng)絡(luò)服務(wù)提供者”公開“個(gè)人隱私和其他個(gè)人信息”的需要承擔(dān)侵權(quán)責(zé)任。同時(shí)，《規(guī)定》也確認(rèn)了以違反社會(huì)公共利益、社會(huì)公德的方式公開“自然人自行在網(wǎng)絡(luò)上公開的信息或者其他已合法公開的個(gè)人信息”和“以合法渠道獲取的個(gè)人信息”的侵權(quán)責(zé)任。但這一規(guī)定僅規(guī)定了將“公開”相關(guān)個(gè)人隱私和信息數(shù)據(jù)作為侵權(quán)行為進(jìn)行規(guī)制，仍無法滿足在大數(shù)據(jù)時(shí)代個(gè)人信息數(shù)據(jù)的保護(hù)需要。

為了應(yīng)對(duì)大數(shù)據(jù)時(shí)代的信息安全挑戰(zhàn)，必須加快推動(dòng)《個(gè)人信息保護(hù)法》的出臺(tái)。通過借鑒德國(guó)式的統(tǒng)一立法，提升數(shù)據(jù)立法保護(hù)，確立網(wǎng)絡(luò)服務(wù)提供者在信息數(shù)據(jù)泄露時(shí)的及時(shí)告知和信息披露的義務(wù)，增加個(gè)人信息侵權(quán)的預(yù)防和救濟(jì)措施，全方位保障個(gè)人信息安全。

4.2　確立“告知—同意原則”作為個(gè)人信息數(shù)據(jù)收集和使用的基本原則

“告知—同意原則”是國(guó)外信息安全立法和實(shí)踐領(lǐng)域通行的重要原則，是互聯(lián)網(wǎng)用戶知情權(quán)和選擇權(quán)的重要保障。現(xiàn)實(shí)中各類主體均通過各種途徑收集個(gè)人信息，但是卻很少主動(dòng)公開或者謀求社會(huì)公眾同意。美國(guó)《華盛頓郵報(bào)》于2014年11月20日發(fā)文稱，谷歌公司在人們使用其搜索引擎時(shí)，會(huì)偷窺其個(gè)人電子郵件、觀看網(wǎng)絡(luò)視頻等信息。文章舉例稱一名婦女使用谷歌搜索引擎一段時(shí)間之后，她的確切年齡、所用主要語言、涉及個(gè)人生活的電子郵件、個(gè)人喜好乃至所購(gòu)置的電腦型號(hào)都會(huì)被谷歌掌握。但是谷歌并未公布這些信息收集行為，外界只能猜測(cè)其掌握用戶“提交的所有數(shù)據(jù)”[15]。

一些西方國(guó)家已經(jīng)確認(rèn),“告知—同意原則”為個(gè)人信息數(shù)據(jù)保護(hù)的重要原則。美國(guó)在其1997年頒布的《全球電子商務(wù)政策框架》(下稱《框架》)中就規(guī)定了“告知—同意原則”，該《框架》要求數(shù)據(jù)收集者應(yīng)當(dāng)告知消費(fèi)者其收集的信息類型和使用方式，并提供限制使用和再利用個(gè)人信息的有效手段。“告知—同意原則”通過賦予用戶知情權(quán)，使其能夠更好地判斷個(gè)人隱私的安全狀況后決定是否參與。根據(jù)這一原則，消費(fèi)者在基于非正當(dāng)使用或披露個(gè)人信息而受到傷害時(shí)有權(quán)要求賠償[16]。德國(guó)憲法法院也于1983年通過判決的方式確立了“個(gè)人資料自決權(quán)”，并將個(gè)人對(duì)個(gè)人信息的權(quán)利確認(rèn)為憲法權(quán)利[14]。中國(guó)《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》也明確了網(wǎng)絡(luò)服務(wù)提供者和其他企業(yè)事業(yè)單位收集、使用公民個(gè)人電子信息，應(yīng)明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。此外，還規(guī)定信息收集者收集、使用公民個(gè)人電子信息，應(yīng)當(dāng)公開其收集、使用規(guī)則。這些規(guī)定在一定程度上確立了“告知—同意原則”的要求。

“告知—同意原則”也有需要進(jìn)一步明確的方面，比如信息收集者雖然也會(huì)提供類似“隱私保護(hù)須知”的項(xiàng)目供用戶閱讀，但是這類條款往往隱藏于選項(xiàng)卡的某個(gè)偏遠(yuǎn)角落，或者被設(shè)計(jì)成“長(zhǎng)篇大論”，導(dǎo)致沒人愿意看完整個(gè)內(nèi)容，無法起到“告知”作用，也無法獲得用戶真實(shí)的“同意”。再如，數(shù)據(jù)在初次收集時(shí)無法預(yù)見到最具創(chuàng)新性的二次利用時(shí)，互聯(lián)網(wǎng)公司應(yīng)當(dāng)如何進(jìn)行“告知”？在未事先告知的情形下，是否任何針對(duì)個(gè)人信息數(shù)據(jù)的分析活動(dòng)都必須回頭去獲取每一位用戶的許可？這些都是“告知—同意原則”需要回答的問題[8]。過于寬松的標(biāo)準(zhǔn)無法起到保護(hù)個(gè)人信息數(shù)據(jù)的作用，但過于嚴(yán)格的告知同意義務(wù)將會(huì)限制數(shù)據(jù)潛力的發(fā)揮。

4.3　運(yùn)用技術(shù)化手段應(yīng)對(duì)個(gè)人信息安全危機(jī)

運(yùn)用技術(shù)手段應(yīng)對(duì)科技帶來的調(diào)整，不僅必要而且有效。在數(shù)據(jù)安全防護(hù)方面，除了使用防火墻和殺毒軟件等傳統(tǒng)方式外，用大數(shù)據(jù)技術(shù)應(yīng)對(duì)大數(shù)據(jù)時(shí)代的信息安全挑戰(zhàn)是一項(xiàng)有益嘗試。比如，為了應(yīng)對(duì)騷擾電話和短信，一些互聯(lián)網(wǎng)科技公司推出了基于大數(shù)據(jù)庫(kù)基礎(chǔ)上的信息攔截服務(wù)軟件。這類軟件通過建立“來電黑名單”數(shù)據(jù)庫(kù)，有效遴選和識(shí)別惡意來電和垃圾信息并進(jìn)行攔截。微軟的新版IE9瀏覽器也開始允許用戶自行設(shè)置并開啟廣告攔截功能，來阻擋第三方廣告。類似的信息技術(shù)手段不僅能夠有效應(yīng)對(duì)新型數(shù)據(jù)安全威脅，更重要的是向我們展示了應(yīng)對(duì)信息安全威脅的新思路。

“匿名化”也是保護(hù)個(gè)人信息的有效手段。所謂匿名化就是將個(gè)人的身份信息從數(shù)據(jù)庫(kù)中抹去，這些個(gè)人身份信息包括姓名、地址、信用卡號(hào)碼、出生日期以及社保號(hào)碼等，剩余的數(shù)據(jù)才是可以被使用和分享的數(shù)據(jù)[8]。雖然這一措施也無法完全杜絕個(gè)人信息泄露的風(fēng)險(xiǎn)，但是它有助于維護(hù)個(gè)人信息數(shù)據(jù)安全，是現(xiàn)階段可行的防護(hù)措施。

4.4　打擊個(gè)人信息數(shù)據(jù)相關(guān)的違法犯罪活動(dòng)

中國(guó)對(duì)于個(gè)人信息安全的刑事立法并不十分完善，導(dǎo)致針對(duì)個(gè)人數(shù)據(jù)違法犯罪活動(dòng)十分猖獗。基于大數(shù)據(jù)時(shí)代信息數(shù)量的空前巨大和傳播速度的空前迅速，加強(qiáng)對(duì)這類犯罪活動(dòng)的打擊尤為重要。中國(guó)《刑法修正案(七)》第253條規(guī)定了針對(duì)公民個(gè)人信息數(shù)據(jù)犯罪行為的刑事責(zé)任，但是該條規(guī)定略顯簡(jiǎn)單，尚有不少需要明確之處。首先，該條規(guī)定并未對(duì)“公民個(gè)人信息”做具體的界定，現(xiàn)實(shí)中公民的個(gè)人信息內(nèi)容非常廣泛，是否都是刑法的保護(hù)范圍是有爭(zhēng)議的。其次，雖然該條規(guī)定的犯罪主體為一般主體，但是當(dāng)一般主體實(shí)施該項(xiàng)犯罪時(shí)要受到后半句中“上述規(guī)定”表述的限制。與前半段結(jié)合來理解，“上述規(guī)定”顯然應(yīng)當(dāng)指的是“國(guó)家機(jī)關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的工作人員在履行職責(zé)或者提供服務(wù)過程中獲得的公民個(gè)人信息”，其保護(hù)范圍有限，無法全面保障大數(shù)據(jù)時(shí)代個(gè)人信息數(shù)據(jù)的安全。再者，修正案規(guī)定了“情節(jié)嚴(yán)重的”才作為犯罪行為予以處罰，但是何為情節(jié)嚴(yán)重卻沒有具體規(guī)定，容易引發(fā)爭(zhēng)議，尚需要明確的界定。

參考文獻(xiàn)：

[1]Andrew McAfee,Erik Brynjolfsson.Big Data:the Management Revolution.Harvard Business Review,2012,(59-69).

[2]Balachander Krishnamurthy，Craig E Wills.Privacy Diffusion on the Web:a Longitudinal Perspective.[14-09-05].http://www2009.eprints.org/55/.

[3]馮登國(guó),張敏,李昊.大數(shù)據(jù)安全與隱私保護(hù).計(jì)算機(jī)學(xué)報(bào),2014,(1).

[4]楊潔.大數(shù)據(jù)時(shí)代個(gè)人信息的司法保護(hù).上海法制報(bào),2014-08-27(B05).

[5]王利明.論個(gè)人信息權(quán)的法律保護(hù)——以個(gè)人信息權(quán)與隱私權(quán)的界分為中心.現(xiàn)代法學(xué),2013,(4):62-72.

[6]新華網(wǎng)：美國(guó)網(wǎng)民電腦被安裝64種追蹤技術(shù)隱私無處藏.[14-09-24].http://news.xinhuanet.com/zgjx/2010-09/06/c_13480127.htm.

[7]瑞星.大數(shù)據(jù)時(shí)代的個(gè)人安全風(fēng)險(xiǎn).[14-11-26].http://www.rising.com.cn/newsletter/news/2013-03-19/13371.html.

[8]Viktor Mayer-Schonberger，Kenneth Cukier.Big Data:a Revolution That Will Transform How We Live，Work and Think .New York:John Murray，2013:6.

[9]搜狐網(wǎng)：移動(dòng)公司出售用戶信息十分鐘發(fā)1.5萬垃圾短信.[14-11-28].http://it.sohu.com/20090315/n262804573.shtml.

[10]新華網(wǎng).阿里巴巴5.86億美元入股新浪微博.[14-09-11].http://news.xinhuanet.com/fortune/2013-04/29/c_124648382.htm.

[11]新浪網(wǎng).考研報(bào)名信息遭泄露 1萬5買130萬用戶數(shù)據(jù).[14-11-28].http://edu.sina.com.cn/kaoyan/2014-11-28/1258445592.shtml.

[12]]June Jamrich Parson,Dan Oja.New Perspectives on Computer Concepts(Fifteenth Edition) .Singapore:Cengage Learning Asia Pte.Ltd，2013:536-537.

[12]]The White House.Building an Effective Data Governance Framework.[14-09-11].http://searchdatamanagement.techtarget.com/essentialguide/Building-an-effective-data-governance-framework#guideSection1.

[14]張楚.電子商務(wù)法教程(第2版).北京:清華大學(xué)出版社,2011:220-223.

[15]央廣網(wǎng)：美媒細(xì)述谷歌如何收集用戶信息 偷窺用戶88%行為.[14-11-29].http://tech.cnr.cn/techgd/201411/t20141121_516821065.shtml.

[16]The White House.A Framework for Global Electronic Commerce.[14-09-13].http://www.technology.gov/digeconomy/framewk.wpd.

(責(zé)任編輯沈蓉)

The New Risks of Personal Data Security in the Era of Big Data and Its Protection

Zhang Maoyue

(Xiamen University,Xiamen 361000,China)

Abstract：In the age of big data，personal data is facing the growing risks of infringement of the right to know，the right without disturbing，the right of disposition and risks of leakage of information，but“privacy”is insufficient to regulate all the risks we are facing today.So an“comprehensive management project”is needed，besides the formulation of specific personal information protection act，we should confirm“Note and Consent”as the basic principle of personal information protection，and also through means of technology and cracking down on crimes to cope with the threat personal data violation in the big data era.

Key words:Big data；Personal data；Privacy；Note and consent

中圖分類號(hào):D913

文獻(xiàn)標(biāo)識(shí)碼:A

作者簡(jiǎn)介：張茂月(1988-)，男，浙江麗水人，廈門大學(xué)法學(xué)院博士生；研究方向：法學(xué)理論、電子商務(wù)法學(xué)。

收稿日期：2014-10-08