構建公民信息數據利用與保護的動態平衡機制

繆文升

[摘 要]人工智能的基礎是大數據，收集數據和運用數據的過程必然會涉及對公民個人信息數據的收集、歸類和分析使用的合理性與適當性，并由此帶來對公民個人信息數據安全利用與保護平衡的問題，即在充分發揮人工智能功能時如何規范對公民個人信息數據的收集、儲存、利用，同時又能夠有效避免數據的泄露和濫用，并確保信息數據的安全。基于此，當下公民個人信息數據應以合理使用、公共福利和數據分級管理為原則，構建以信息數據狀態為中心的動態平衡機制，從而達致公民個人信息數據利用和保護并舉。

[關鍵詞]人工智能;公民信息數據;利用與保護;動態平衡

隨著計算機運算能力日趨成熟，人工智能的發展具備了數據基礎。①在此背景下的數據不僅成了智能機器人的“神經元細胞”，并以人類無法想象的速度成為個人、企業、國家據以預測和決策的基礎與依據。這些海量數據都被永久性地保存并匯集成大數據，當大數據的占有者對其深度挖掘，可以將各種信息片段進行交叉、重組、關聯操作，從而進一步加速了傳統的模糊化、匿名化保護公民個人隱私方式的失效。由此帶來了對公民個人信息數據安全利用與保護如何平衡的問題，即在充分發揮人工智能功能時如何規范對公民個人信息數據的收集、儲存、利用，有效避免數據的泄露和濫用，并確保信息數據的安全。基于此，本文在梳理當下公民個人信息數據面臨問題的基礎上，提出以合理使用、公共福利和數據分級管理為原則，構建以信息數據狀態為中心的動態平衡機制，從而達致公民個人信息數據利用和保護并舉。

一、人工智能時代公民信息數據現狀

從20世紀50年代，科學家就對人工智能進行探索，以麥卡錫、明斯基等為代表的一批年輕科學家提出了“人工智能”這一術語。當下，尤其是大數據的運用、云計算與深度學習已成為人工智能突飛猛進的關鍵推手。人工智能是一門擴展和延伸人類智能的理論、技術以及應用的新技術科學，其目的在于生產一種智能機器，是利用科學技術創造出來的“類人腦”或“超人腦”的智能機器、智能系統或智能軟件。人工智能的快速推進得益于其以歷史大數據為強大支撐，綜合運用機器學習、神經網絡、大數據、認知系統、演進算法，運用對人類智力根本無法理解的無結構數據的推理、計算、深度學習，從而按照預期目標完成對應行為的計算系統。

公民個人信息大數據最核心的技術特征就是超強的收集、存儲、及時、精確地處理數據的能力以及精準的預測能力，這些信息數據對個人、商家或者政府來說都是一個價值連城的寶藏。“人工智能技術與個人信息及隱私聯系密切：一方面體現在人工智能的研發階段，該階段需要大規模的數據儲備作為機器訓練與學習的基礎;另一方面體現在人工智能的運行階段，該階段針對不同用戶提供個性化服務的過程亦是一個收集用戶信息、生成新信息的過程。”②人工智能的基礎是大數據，收集數據和運用數據的過程，就必然會涉及對公民個人信息數據的收集、歸類和分析使用的合理性與適當性，其結果是要求相應公共管理部門必須對大數據、云平臺、物聯網進行等級分類，從數據的基礎設施和安全防范方面強化保護。公民信息數據既包括公開的個人信息，也包括隱秘的個人信息。公民信息數據可以分為三類：一是直接反映主體的自然情況和日常生活的數據，如姓名、長相、年齡、身份證號碼、受教育程度、身體健康狀況、婚姻狀況等;二是主體因為網絡行為所產生的活動軌跡，如網頁瀏覽記錄、社交網站聊天記錄等;三是網絡服務商通過對前兩類個人信息數據資料的收集與挖掘，處理與分析而得到的個人信息資料，如相關個人的瀏覽習慣、消費習慣、購物偏好等再生數據資料。③

數據是人工智能時代最重要的資源，人工智能能夠占用的公民個人信息數據越多，其功能的發揮效果越明顯。公民個人信息大數據是“指無法在一定時間內運用常規軟件對相關內容進行抓取、管理和處理的數據集合群，具有數據海量、種類繁多和更替迅速等特點”④。在實踐中，盡管通過人工智能對公民個人信息搜索沒有直接展現個人隱私內容，但在收集到海量數據后再利用人工智能對這些信息進行深度計算，必然會計算出特定主體的生活規律、個人偏好等帶有隱私特征的內容。因此，人工智能時代網絡搜索技術和大數據的深度運用顯著增加了對公民個人信息數據的安全風險。據牛津大學哲學家尼克·波斯特羅姆調查，最常受訪的前100位人工智能技術相關研究人員中超過半數的受訪者認為，人類層級的機器智能對人類的影響將是“不太好的影響”或是“極其壞的影響（事關存亡的人類大災難） ”，“75%的專家認為走向超級智能是必然的趨勢，且多數杰出的人工智能專家已經認識到人工智能具有威脅人類存續的可能性”⑤。因此，在人工智能時代，要始終關注如何處理好公共利益和公民個人權利動態平衡，兼顧好人工智能技術的發展與公民個人隱私的保護。

二、公民信息數據利用與保護動態平衡的原則

人工智能的運行是基于對公民個人信息數據的收集和利用，在此基礎上構建一個巨型體的數據庫。⑥這一龐大的公民個人信息數據庫給各方主體帶來了便利，但同時存在著如何規避其中潛在的安全風險問題，誠如“行人亂穿馬路的現象讓很多城市管理者頭疼，部分地方選擇利用面部識別定位、將路人信息公布于大屏幕的方式來應對，效果固然有了，但顯然是完全沒考慮個人的隱私權，更遑論保護了”⑦。針對個人信息數據具有共享的基本特點，而且社會組織和個體在使用個人信息數據后并沒有對信息造成損耗，我們認為個人信息數據的使用更應該秉持合理使用原則、公共福利原則和數據分級管理原則。

一是合理使用的原則。人工智能的根基是大數據，其健康發展必然要求對相關數據的權利與義務劃定明晰邊界，保護公民個人信息數據免受非法侵害和數據控制者的合法利益。因此，保護公民個人信息數據不等于禁止任何人在任何場合使用、開放和共享公民個人信息數據;同時，相關法律制度設計在應然地具備保護個人信息的目的之外，個人信息保護的目的還在于促進個人信息的合法流通和使用⑧，從而厘清公民個人信息數據保護與使用之間的關系，找到平衡兩者各種關系的方法和原則，實現公民個人信息數據的合理使用。公民個人信息數據的合理使用原則，要求使用者在法律明確規定的合理限度以內，依法對個人信息進行利用，不得對個人隱私造成侵犯，合理利用數據。如我國臺灣地區《個人資料保護法》明確規定將“促進個人資料之合理利用”作為與“避免人格權受侵害”并重的立法目的。⑨信息數據合理使用原則是出于合理的目的和用途，可以不經權利人許可使用其信息數據，是基于在信息數據權利人和未經授權的合理使用人之間尋求一個利益平衡，合理地消除公民個人、大數據控制者、數據使用者之間的沖突。以歐盟為例，歐盟在《一般數據保護條例》第6條中規定了除同意以外，可被認定為合理處理的其他情形，滿足任意一項即可。其一，個人數據的加工是作為合同一方的數據主體履行合同所必需的或是為了滿足數據主體訂立合同前或訂立合同時的要求;其二，數據控制者履行法律義務必須進行個人數據加工;其三，為了保障數據主體的重大利益而進行的個人數據加工;其四，在不侵犯數據主體更重要的基本權利及自由的前提下，控制者的合法利益需要通過保護個人數據而實現的，且數據控制者追求其合法權益是必要的，則所述加工行為可以被認定為合理。⑩故此，運用合理原則規制公民個人信息數據的使用大體包括信息使用主體獲取公民信息數據不是其最終目的，只是將個人信息數據作為大數據的元素;使用公民個人信息數據是法律明確授予的權力;使用公民個人信息數據以確保信息數據安全為前提，不得損害信息數據主體的合法權益等基本要素。

二是公共福利原則。公民個人信息數據有多樣化的應用場域，在各種情境下，沖突可能表現為不同的面向，如經濟發展與個人權利的沖突、科學進步與個人權利的沖突、公共利益與個人權利的沖突。將個人信息數據作為公共資源，那么個人信息數據使用根本目的在于提高其公共福利。個人信息數據是社會交往和社會運行的必要工具，“目前個人數據在定義上幾乎被視為公共領域的組成部分，是可以廣泛獲得和使用的。無論從實踐還是從法律目的上，個人數據均處于公共領域。”就具體的主體而言，主體向社會推介、展示自己，必然使用自己的可識數據，這就造成個人信息數據被公開、外泄，為社會不特定主體所掌握;就社會其他主體而言，包括政府、社會組織、網絡運營商等同樣需要利用具體主體提供的信息數據和可被收集到的個人信息數據來了解、判斷具體的主體。不管是信息主體的主動利用還是社會其他主體對數據的運用，這些數據或信息均是處于公共領域的公共素材或材料，這些素材或材料只是一種不同主體相互了解的媒介。因此，網絡、傳感器等記錄的具體主體瀏覽記錄，只是與特定主體產生了某些聯系，賦予該個人信息數據某種含義，而不足以使該主體對此記錄的個人信息數據擁有排他支配權，因為公民個人信息數據是其正常社會交往的基礎，離開了個人信息數據也就無法判斷和認知誰是甲誰是乙。因此，要將個人信息數據作為一種共享公共資源，確保社會成員可以在合理范圍內獲得、分享和使用這些個人信息數據，不能把個人信息數據歸屬于任何具體的單位或個人，任何具體的單位和個人也沒有權利去阻止其他公眾使用個人信息數據。這就要求在立法過程中明確將個人信息數據作為公共福利之一，并明確禁止任何社會組織和個體私自占有。

三是分級管理原則。公民個人信息數據只有充分流動、共享、交易，才能最大程度地發揮功能。關于個人信息數據分級管理的要求，一方面要區分信息的類型，并在保護態度、開發利用程度、侵權追責力度上有所不同。歐盟《通用數據保護條例》規定的敏感信息包括： 揭示種族或民族出身，政治觀點、宗教或哲學信仰，工會成員的個人數據，以及以唯一識別自然人為目的的基因數據、生物特征數據，健康、自然人的性生活或性取向的數據。《美國—歐盟隱私安全港原則》規定的敏感信息包括： 醫療與健康、人種與種族、政治觀點與宗教信仰、貿易組織的成員資格、個人性信息。我國臺灣地區《個人資料保護法》列舉的敏感信息有： 有關醫療、基因、性生活、健康檢查及犯罪前科的信息。參考這些規定，我們可以將個人信息數據大體分為禁止獲取使用的個人信息、限制獲取使用的個人信息和自由獲取使用的個人信息三類。其中，禁止獲取使用的個人信息主要是指涉及個人隱私的數據。從概念上來看，個人信息與隱私具有明顯區別，前者強調可識別性，后者強調私密性，但兩者同樣存在交叉。個人信息數據中包含私密信息，在對個人信息的規范中，多數國家在個人信息中區分出敏感個人信息，而敏感個人信息多具有私密性，歸入隱私范疇。如果可識別個人信息數據屬于隱私范疇，就必須遵循保護隱私的相關規范，不得泄露個人隱私。限制獲取使用的個人信息則強調對個人信息的收集和使用需要滿足國家法律、行政法規等規范性文件所規定的信息。如《俄聯邦個人數據法》則規定，數據加工人（經營者）收集、系統化、保管、利用和傳播信息時應提供取得個人數據主體同意的證據。另一方面，要區分信息數據開發與利用環節。收集和使用是公民個人信息數據發揮功能的兩個主要環節，與信息收集相比，信息非法使用是目前公民個人信息數據遭受侵害的高發環節，必須將信息數據使用環節作為重點規制領域，將關注重點從事前轉移到事中。

三、以信息數據狀態為中心動態平衡利用和保護的關系

公民個人信息數據始終處于實時高速流動之中，相應而言其安全也處于一個動態過程，其中涉及信息數據的收集、處理、存儲等各個環節的安全以及數據處理平臺的安全等。而公民個人信息數據又得借助于數據企業、國家等信息持有和管理者的行為而實現，這就必然要求對公民個人信息數據的關注點發生轉移。即從僅僅局限于私權保護向側重規范信息數據合理開發中個人利益和社會公共利益的平衡，從而更好地發揮公民信息數據的公共產品功能。但我國許多現行的個人信息法律規范又呈現出義務創設和責任安排的前置特征，更多強調可能出現的侵犯個人信息的行為進行提前預防，而對電商企業、“兩微一端”等大規模采集個人信息數據組織機構的約束力尚顯不足。為此，必須學習和借鑒有益經驗和做法，加強對公民個人信息數據的采集、存儲、使用全過程的監管。如美國于2016年頒布了《國家人工智能研究與發展戰略規劃》和《為人工智能的未來做好準備》兩個國家級政策框架。就具體的監管政策而言，《為人工智能的未來做好準備》提出了一般性的應對方法，強調基于風險評估和成本—收益考量的原則以決定是否對人工智能技術的研發與應用施以監管負擔。日本在2016年出臺了《第五期（2016——2020 年度）科學技術基本計劃》，提出了“超智能社會 5.0”的概念，強調通過推動數據標準化、建設社會服務平臺、協調發展多領域智能系統等各方面工作促進人工智能的發展和應用。

當前，借鑒相關國家的做法，必須形成一個行業自律和國家監管并重的全新信息安全生態監管體系。一方面，大數據時代個人信息數據利用的無序呼喚行業自律，通過行業自律引導行業隱私聲明與隱私風險評估銜接，促成個人信息數據保護的實現。“在政府引導下，規范行業內個人信息處理行為，協助實施行業自律，探索并實現既能促進信息產業發展又能有效保護個人隱私二者之間的平衡。”早在2010年奇虎360與騰訊網絡大戰爆發時，就引發了企業主動承擔保護個人信息隱私責任的爭議。2018年版《360用戶隱私保護白皮書3.0》發布，360提出“四不三必須”行為規范，且呼吁互聯網同業者加以補充和完善。在個人信息處理所處的具體場景中進行動態的風險控制，即變僵化的合規遵循為靈活的風險管理，促進個人信息的“合理使用”，重點規制個人信息的“不合理使用”行為。另一方面，我國在網絡運營領域還沒有充分完善的行業自律規則和相應的倫理道德，必然要求政府在有關個人數據信息的搜集、使用等關鍵環節上加以干預，通過事前的備案、審批、監督和事后的追責制度來規范個人數據信息的使用過程，“必須給予信息業者收集、處理和利用個人信息的較大自由;必須保證國家機關為了國家安全和社會管理之目的，收集，處理和利用個人信息的權力和能力”。此外，應該充分發揮第三方平臺更為客觀的監控功能。例如，從2016年始南都通過多篇調查報道，逐漸深入了個人信息安全領域的話題，正在嘗試以新聞報道與第三方評測監督的方式，促進業界對個人信息安全形成共識。

注釋：

①李學龍、龔海剛：《大數據系統綜述》，《中國科學：信息科學》2015年第1期。

②雷悅：《人工智能發展中的法律問題探析》，《北京郵電大學學報（社會科學版）》2018年第1期。

③陳奇偉、劉倩陽：《大數據時代的個人信息權及其法律保護》，《江西社會科學》2017年第9期。

④程士安：《以搜索引擎為導向的大數據時代網絡信息管理》，《廣告大觀》（綜合版）2012年第8期。

⑤[美]艾倫·達福，斯圖爾特·羅素：《人工智能的真正風險》，《中國經濟報告》2017年第2期。

⑥王秀哲：《大數據時代公共安全領域個人信息保護的政府責任》，《理論探討》2017年第4期。

⑦曹昆、王倩：《讓隱私保護跟上大數據時代》，《人民日報》2017年8月3日。

⑧齊愛民、盤佳：《數據權、數據主權的確立與大數據保護的基本原則》，《蘇州大學學報（哲學社會科學版）》2015年第1期。

⑨齊愛民：《拯救信息社會中的人格：個人信息保護法總論》，北京大學出版社，2009年版，第34-58頁。

⑩轉引自江波、張亞男：《大數據語境下的個人信息合理使用原則》，《交大法學》2018年第3期。

Corien Prins， Property and Privacy： European Perspectives and the Commodification of Our Identity，16 Information Law Series 223-257（2006）.

王玉林等：《信息服務與信息交易視野下的信息分類研究》，《情報理論與實踐》2015年第12期。

王利明：《論個人信息權在人格權法中的地位》，《蘇州大學學報》（法學版）2012年第6期。

王利明：《隱私權概念的再界定》，《法學家》2012年第1期。

肖秋慧：《俄羅斯信息政策和信息法律研究》，武漢大學出版社，2008年版。

Preparing for the Future of Artificial Intelligence.https： //obamawhitehouse.archives.gov/sites/default/files/whitehouse_files/microsites/ostp/NSTC/preparing_for_the_future_of_ai.pdf. 2017-8-14.

薛亮：“日本推動實現超智能社會‘社會5.0”，http： //www.istis.sh.cn/list/list.aspx？id=10535，2019年3月3日訪問。

高秦偉：《社會自我規制與行政法的任務》，《中國法學》2015年第5期。

王秀哲：《信息社會個人隱私權的公法保護研究》，中國民主法制出版社，2017年版，第242頁。

《360用戶隱私白皮書》，http：//www.360.cn/privacy/v3/bpsxy.html，2019年2月18日訪問。

范為：《數據時代個人信息保護的路徑重構》，《環球法律評論》2016年第5期。

張新寶：《從隱私到個人信息：利益再衡量的理論與制度安排》，《中國法學》2015年第3期。

南都報告：“1550家平臺隱私政策測評結果出爐超八成透明度低”，http：//news.163.com/17/1229/09/D6QJ2F8M000187VE.html，2019年2月18日訪問。

（作者系江蘇警官學院法律系教授）

（責任編輯 矯海霞）