建立個人數據保護利用機制需要新思路

劉維

一、華為騰訊數據之爭所折射的法律問題

近日，據稱華為與騰訊之間就微信數據（下文“個人數據”和“個人信息”混用，不做細分）采集的行為產生爭議。華為正在通過其榮耀Magic智能手機收集用戶活動信息，以打造其人工智能，例如使手機能夠基于用戶的短信內容或微信聊天信息推薦餐廳等。騰訊認為，微信的所有者是騰訊公司，華為的上述做法實際上奪取了騰訊的數據，并侵犯了微信用戶的隱私。華為則表示，所有數據均屬于用戶，在榮耀Magic設備上處理數據之前經過了用戶授權。1

從上述披露的事實看，這個數據法律爭端存在三方主體：作為數據主體的用戶、作為數據處理者的華為、作為數據控制者的騰訊。從表面上看，解決這一爭端需要回答兩個問題：第一，數據權益的歸屬問題，即微信聊天信息的權益歸屬于上述三方主體中的哪一方？是如華為所稱“所有數據均屬于用戶”嗎？第二，數據處理者經過數據主體授權之后，其數據處理行為的合法性如何判斷？“用戶同意”是數據處理合規中的唯一手續或條件嗎？

仔細思考，上述兩個問題的解決又牽涉如下問題：第一，我國現行法律法規對數據保護及數據利用行為做出了何種規范？第二，數據權益的性質和歸屬究竟為何？是一種類似知識產權性質的權利嗎？第三，現行法律法規是否已經為數據保護利用提供了充足的法律供給？如果沒有，該如何建構數據保護利用的法律體系？下文將主要圍繞這些問題進行分析、表明個人立場。

二、現行數據法律規范的主要內容

所有這些問題的回答，都需要先檢視現行法的規范。大數據是信息社會的石油，隨著數據收集分析技術、精準廣告等技術和商業模式的創新發展，大數據無疑帶來了人類決策、分析、效率上的方便，但同時也帶來的隱私風險和數據安全挑戰。近年來，我國在數據保護利用的法律領域立法活動密集、頻繁，《民法總則》、《消費者權益保護法》、《全國人大常委會關于加強網絡信息保護的決定》、《網絡安全法》、《刑法修正案（七）（九）》等法律均規定了個人數據的保護和利用條款，《關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》、《關于辦理電信詐騙等刑事案件適用法律若干問題的意見》、《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》、《個人信息和重要數據出境安全評估辦法》【含《個人信息安全規范（未發布）》以及《信息安全技術數據出境安全評估指南（草案）》】、《信息安全技術公共及商用服務信息系統個人信息保護指南》等司法解釋、行政法規、部門規章、行業標準中的配套規范更是星羅棋布。

這些法律規范歸納起來具有如下幾方面的內容：第一，明確了個人信息的界定及與隱私之間的關系。不同于美國在隱私法框架中規范個人信息的保護，我國立法者區分個人信息與隱私，將兩者單獨規范，個人信息內涵的界定是個人信息法律規范的邏輯起點；第二，明確了個人信息的收集和利用原則。個人信息的收集和利用原則在數據保護利用法律體系中具有基礎地位，是創設具體權利和具體規范的源泉，《網絡安全法》及相關法律規范規定了數據合法原則、必要原則、公開原則、安全原則、質量原則、同意原則；第三，明確了數據主體的被遺忘權。《網絡安全法》第43條和第64條賦予數據主體就違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的行為，請求刪除其個人信息的權利；就收集、存儲的個人信息錯誤請求更正的權利。這被認為是我國被遺忘權立法的首次確認；第四，違法行為的行政和刑事責任條款。《網絡安全法》第64條針對違反上述規范的行為設定了行政處罰，《刑法修正案（七）、（九）》規定了侵犯公民個人信息罪和拒不履行網絡安全管理義務罪，提高了個人信息保護規范的震懾力。

三、現行數據法律規范的不足及可能對策

我國現行法律法規沒有明確個人數據權益的法律性質，更未詳細規范數據主體、數據控制者和數據處理者之間的法律關系，因而相關主體在數據利用和流通過程中應當遵循的規則及其限制例外均處于模糊狀態。在上述所有的問題中，個人數據權益的法律性質是分析數據處理相關方之間法律關系以及建構數據保護利用法律體系的邏輯起點，性質不明則關系不清，體系更無從搭建。無論英美法系國家還是大陸法系國家，個人信息的保護均旨在保護人格尊嚴和人格自由，同時承認個人信息的財產價值。囿于各國法律發展的歷史，美國、日本和我國臺灣地區在隱私權框架中發展出公開權對個人信息提供保護（隱私與個人信息的一元制保護模式），同時在司法判例中承認人格權商業化和財產價值，歐洲以及我國則在一般人格權的框架下創設個人信息保護權（隱私與個人信息的二元制保護模式），我國學界通說認為信息具有財產性。2從功能主義的比較法觀之，各國就個人信息保護的立法模式其實沒有實質性差異。

個人信息保護權提供自然人對自身可識別性數據的保護，其規則的建立需要在促進數據利用和保護個人權益之間尋求平衡。個人數據不是智力成果，不是由數據主體創設出來的，不能以知識財產規則的創設邏輯類推至個人數據的保護；個人數據是數據主體的行動記錄或自然結果，其作用僅在指示和描述特定個人，在這個意義上數據主體對個人數據的內容擁有某種利益，但并非支配利益。個人數據常常是由數據控制者創設或生成，在騰訊開發微信聊天工具之前，不存在微信聊天記錄——盡管存在以其他方式記錄的相同聊天內容，但正是技術創新的力量，使得以微信這種方式記錄、存儲個人數據成為可能，微信聊天記錄一旦毀滅，則其上的個人數據亦隨之滅失。可見，騰訊是聊天記錄的控制者，對以這種方式存在的個人數據享有某種利益。以這種方式存儲的個人數據正是大數據時代進行數據分析和利用的基本元素，這些數據分析和利用行為主體是數據處理者，數據處理者因其在數據分析和利用付出的技術、勞動和智慧而對數據處理的結果享有某種利益。上述三方主體，對個人數據或個人數據的處理結果分別享有“某種”利益，這些利益的性質、權屬分配以及調整平衡就構成了個人數據保護利用的規則。

全球數據立法源于上世紀八十年代，傳統思路是以數據主體為中心為賦予數據主體以控制權或個人信息權，對應著“數據同意”原則的無上地位以彰顯自然人對人格自由和人格尊嚴的自決。在這一權利框架下，個人數據的處理一定要經過數據主體的同意，這在全球最為重要的數據保護公約OECD（經濟合作發展組織1980《隱私保護和個人數據跨境流通指南》）中得到確立，3因而這項權利實質上是一項類似知識產權的控制權。我國《消費者權益保護法》第29條和《網絡安全法》第41條遵循了這一傳統立法思路。源于數據流通、數據處理的利益需求，這一經典的立法思路自本世紀以來面臨著很多質疑聲音。微軟工作組在對OECD提出修改建議的報告中4詳述了放棄或修正“同意原則”的四大理由，顯然也代表了數據保護立法思路正在從側重“保護”向傾向“利用或流通”轉變：數據控制者一般都有合法理由收集數據；傳感器和信息技術發展使未經同意的收集活動不斷增加；大數據時代產生收集之初未被預料的更多用途、冗長的格式條款導致數據保護責任被轉嫁給數據主體。以個人信息保護權為起點，代表全球最新立法趨勢的《歐洲統一數據保護條例》在這些利益的具體化設計上創設了訪問權和便攜權，以提升數據訪問作為建設歐洲數據經濟體之重點舉措的政策目標。“與數據訪問（data access）有關的制度設計，將成為建設歐洲數據經濟的關鍵”，5歐洲學者從矯正市場失靈的功能主義路徑出發論證了創設數據訪問權而非數據生產者權或數據支配權的正當性。6我國《民法總則》第111條改變自《網絡安全法》和《消費者權益保護法》相關條文的措辭，強調個人信息受到保護，是否意味著立法者對數據同意原則的刻意緩和，這令人回味。我國司法嚴苛審查“用戶同意書”的態度正表明也表明“數據同意原則”面臨現代化的問題：暫且不論該格式合同中對于取得用戶同意收集相關數據信息的方式是否適當，從該約定本身亦僅能解讀出用戶通過新浪微博賬號登錄脈脈應用時，其在新浪微博上填寫、登記、公布、記錄的信息將被脈脈所收集并使用，但并不能得出脈脈軟件可以直接收集并使用非脈脈用戶的微博信息。7endprint

在數據訪問權和便攜權的法律框架下，數據主體對其個人數據享有個人數據保護權，即有權請求保護其個人數據，其性質和內涵均與支配權無涉，數據主體享有知情權，有權知悉個人數據是否被處理、被處理的目的和被處理的方式等（所謂“參與權”），有權拒絕其個人數據的處理以及請求更正、刪除、限制，還享有獲得救濟權，即受到侵害時得請求救濟；數據控制者則在事實上控制個人數據，其不僅對個人數據享有事實上的控制利益，而且由于數據控制者是格式化數據的創造者和天然保存者，為了鼓勵數據控制者的創新付出，法律上賦予其特定的法律地位（如天然的、第一順位的數據處理者地位）；數據處理者是代表數據控制者處理個人數據的自然人、法人、公共權力機關、代理機構或其他機構，7可以是數據控制者，也可能是外包的、具有大數據分析能力和技術的獨立第三方。數據控制者和數據處理者的數據收集、利用或其他數據處理行為均無需經過數據主體的同意（盡管數據主體享有知情權），但法律對數據控制者和數據處理者均課以更沉重的合規義務，需事先開展數據處理風險評估并建立數據風險內控機制。

作為數據訪問權機制的關鍵一環，由于數據控制者在事實上控制著數據，并且常常在相關服務或技術市場處于市場支配地位，這非常容易導致競爭法上的壟斷問題，從而產生市場失靈的效果，目前大多數因數據利用行為在數據控制者和數據處理者之間的產生爭議，都涉及到數據控制者的壟斷問題。比如最近在美國發生的hiQ與領英之間的數據爭議，前者是一家為客戶提供雇員評估服務的公司，其服務基礎是對市場上公開獲取的數據進行統計分析，主要依托于職業社交網站領英的公開數據。2017年5月，領英要求hiQ停止非授權性抓取數據并通過技術手段阻止hiQ抓取相關數據。hiQ認為領英構成不正當商業行為并請求法院發布臨時禁令。法院在審查領英是否存在不可挽回的損害時（作為臨時禁令的四個條件之一），9認為現有證據表明領英正試圖進入數據分析市場，可以認定其濫用市場地位，不正當地將其在“職業社交網絡服務市場”的市場力量，傳導到“數據分析市場”，以獲得在數據分析市場上不正當的競爭優勢，而《謝爾曼法》正是要禁止企業通過傳導其壟斷力量的方式“封鎖競爭或獲得競爭優勢，或者摧毀競爭對手。”由于領英的用戶數據仍然向第三方開放，因此其關于為了保護用戶隱私的抗辯不能成立。10因此，為了鼓勵數據分析和數據利用行為，避免數據控制者利用其事實上控制數據的地位壟斷數據的利用從而造成數據利用市場失靈，數據訪問權制度授予數據處理者訪問某些類型數據的權利，訪問權應限于為有資格的主體進行數據分析之目的，而無論此分析是在有權人的公司內組織還是外包給獨立的數據分析服務供應商。11

四、現行法數據收集利用原則的豐富內涵

就華為與騰訊之間的數據爭端，筆者只能基于目前披露的事實進行分析，且因披露的事實相當有限，僅能就華為公司“已經取得數據主體的授權”這節事實進行分析，目的是為了展現數據處理者在收集、處理數據之前所面臨的復雜的合規要求以及需要解決的相應問題。顯然，這些問題的提出并非表明筆者對騰訊公司的支持，更不能解讀為對華為公司的質問，而僅僅是基于目前有限的事實、對當下輕易獲取相關主體的格式化“同意”聲明所展開的進一步思考。表面上看這些數據處理者的數據收集利用行為似乎已經滿足我國目前數據法規的合規性要求，但仔細思考至少還存在如下問題需要查清，表明我國現行法律框架下的數據原則的豐富內涵。

第一，就數據公開原則的遵守而言，《信息安全技術公共及商用服務信息系統個人信息保護指南》明確規定公開告知原則：對個人信息主體要盡到告知、說明和警示的義務。以明確、易懂和適宜的方式如實向個人信息主體告知處理個人信息的目的、個人信息的收集和使用范圍、個人信息保護措施等信息。那么，數據處理者收集數據之前是否已經明確公開了數據收集和利用的特定目的、收集方式和手段、具體內容和留存時間、保護措施、處理者的名稱地址聯系方式、數據主體提供數據后的可能風險、數據主體不提供數據的后果、數據主體的投訴渠道、轉移數據的轉移目的、轉移內容和范圍等？

第二，就數據必要原則的遵守而言，《信息安全技術公共及商用服務信息系統個人信息保護指南》（下稱《指南》）規定只處理與處理目的有關的最少信息，達到處理目的后，應在最短時間內刪除個人信息。只收集能夠達到已告知目的的最少信息，不違背收集階段已告知的使用目的，或超出告知范圍對個人信息進行加工，不違背收集階段告知的轉移目的，或超出告知的轉移范圍轉移個人信息，收集階段告知的個人信息使用目的達到后，應立即刪除個人信息；如需繼續處理，要消除其中能夠識別具體個人的內容；如需繼續處理個人敏感信息，要獲得個人信息主體的明示同意。那么，數據處理者是否收集了與其提供的服務無關的個人信息？是否僅僅處理與收集目的相關的最少信息并在實現目的之后的最短時間內刪除？

第三，就數據同意原則的遵守而言，《指南》規定處理個人信息前要征得個人信息主體的同意，并區分一般信息和敏感信息分別采取默示同意和明示同意的方式。那么，數據處理者是以何種方式取得數據主體的同意？明示還是默示？微信聊天信息和手機短信信息可能涉及特殊的敏感信息，處理者針對這些信息的收集利用是否已經征得數據主體的明示同意？其中可能還涉及未滿16周歲未成年人的微信聊天信息和短信信息，處理者原則上對此信息不得收集，確需收集時是否征得法定監護人的明示同意？

第四，就數據安全原則的遵守而言，《指南》規定：采取適當的、與個人信息遭受損害的可能性和嚴重性相適應的管理措施和技術手段，保護個人信息安全，防止未經個人信息管理者授權的檢索、披露及丟失、泄露、損毀和篡改個人信息。要采取相應的管理措施和技術手段，就需要事先對個人信息遭受損害的可能性和嚴重性進行評估。本案的數據處理者是否建立做了相應的內控機制？是否采取了相應的技術手段？

第五，就數據質量原則而言，《指南》規定：保證處理過程中的個人信息保密、完整、可用，并處于最新狀態。正是因為數據質量原則，數據主體享有數據處理的參與權，《指南》規定：發現其個人信息存在缺陷并要求修改時，個人信息管理者要根據個人信息主體的要求進行查驗核對，在保證個人信息完整性的前提下，修改或補充相關信息。《網絡安全法》還規定了數據主體的被遺忘權；endprint

第六，就數據處理者和數據控制者之間的關系而言，數據控制者在事實上控制數據，在我國缺乏訪問權或便攜權機制的背景下，數據處理者只能就受保護的個人數據處理行為向數據控制者取得授權，或者相互之間達成協議，不可能徑由數據處理者處理用戶數據，當然個案中也可能存在數據控制者利用其數據控制事實和即時通訊市場的支配地位，封鎖數據分析市場從而導致反壟斷問題，這些問題需要對案件的全部事實和證據進行審查而得出結論；

凡此種種的數據合規性問題必須由數據處理者開展事先的專項數據風險評估才能解決，而這種數據風險評估事項又依賴于內部數據風險控制機制的建立。實際上，這些合規要求早已在行業標準和自律規范中確立，《網絡安全法》只是將這些合規要求上升到了法律層面，比如該法第21條明確要求網絡運營者按照網絡安全等級保護制度的要求，制定內部安全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責任。

五、展望

將規范數據保護利用的思路仍然囿于與數據有關的知識產權、反不正當競爭或者反壟斷的視角甚至脫離數據保護利用的國際規則試圖“從零開始”打造全新的財產權或支配權體系，不僅已經落后于中國立法者的實際立法行動，更遠遠落后于全球數據立法的實踐，需要轉變思路跟上日新月異的技術和商業發展。有評論認為，華為騰訊之間的數據之爭打響了中國數據法律之爭的第一槍，盡管言過其實，但兩大公司的這一爭端確實為思考中國數據保護利用的法律規則和企業合規建設提供了絕佳的素材。企業在建立商業模型時，特別是向終端消費者提供傳感器設備產品的公司，必須考慮到數據保護利用的各種規則。12

我國《民法總則》和《網絡安全法》等法律法規為個人數據保護利用的法律規制已經邁出了重要一步，但還遠遠不夠，立法者存在過于重視個人數據保護的傾向，因而現行法律法規都圍繞個人數據保護權展開，個人數據保護的目的、個人數據權益性質等基本問題還有待澄清明確，個人數據保護原則面臨現代化難題，個人數據處理相關方之間的法律關系有待厘清（從而得以明確數據控制者和數據處理者的權利義務），個人數據收集、利用、本土化、跨境傳輸及例外規則等有待確立，個人數據權益受損的私法請求權基礎需要進一步廓清和體系化，個人數據保護的執法機構和執法機制也有待進一步理順等等。總之，數據保護和利用的法律供給是數字經濟發展以及釋放數據紅利的制度保障。數據保護利用的國際規則從上世紀八十年代制定以來，因數據保護利用的需求、技術和商業背景等發生重大改變而處于不斷修訂之中，全球學術界針對數據權益性質及其歸屬等基礎法律問題的研究還存在較大爭議。在國內外法律、技術和商業背景下，立足本土、面向全球、側重規范數據利用——至少數據保護和數據利用雙管齊下——的統一《個人數據保護法》的建立已經刻不容緩。endprint