大數據征信下“被遺忘權”問題初探

關鍵詞 大數據 征信 “被遺忘權” 個人信息保護

基金項目：本文系四川省高校人文社會科學重點研究基地基層司法能力研究中心JCSF2015-11成果之一。

作者簡介：李穎，桂林電子科技大學馬克思主義學院，法學博士。

中圖分類號：D920.4 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼：A ? ? ? ? ? ? ? ? ? ? ? ?DOI：10.19387/j.cnki.1009-0592.2020.06.249

征信系統的全社會覆蓋，是我國全面推動社會信用體系建設的必要舉措。近年來，隨著互聯網、云計算等技術的快速發展與逐漸成熟，催生了大數據與征信業務融合發展的新型征信業態。大數據征信在創造巨大數據紅利的同時也導致個人信息安全處于較為危險的境地，如何平衡數據紅利與信息安全以實現兼容，是亟待解決的問題。我們認為，在大數據征信下探索“被遺忘權”的實現，或許能為大數據征信的良性發展提供思路，進一步助力社會信用體系建設。目前“被遺忘權”并非我國法定權利，那么立足中國國情探討大數據征信下的“被遺忘權”問題實際上涉及到何以必要、何以可能、何以實現三方面的內容。

一、大數據征信下“被遺忘權”何以必要

近年來，大數據征信作為新興征信業態得到快速發展，雖然在理論界和征信業界對大數據征信模式和監管機制仍存在一定爭議，且中國人民銀行作為征信業管理機構尚未向征信機構頒發個人征信業務牌照，但阿里、騰訊、平安等互聯網企業或傳統金融機構紛紛涉足大數據征信行業則已是不爭的事實。大數據征信依托大數據技術，對海量的個人信息進行處理分析，不可避免地會對個人信息主體的信息保護產生較大沖擊。從法律規范的角度實現對個人信息數據的保護比單純運用技術手段保護個人信息更能解決數據紅利與信息保護之間的矛盾、更加符合大數據征信發展的需要。大數據征信下“被遺忘權”何以必要可以通過以下幾方面得以體現：

（一）大數據征信下個人信息保護面臨嚴峻挑戰

首先是信息主體的知情權、同意權無法保證。在大數據征信中，信息主體對自身信息的自主支配權遭到嚴重削弱。部分網站在用戶注冊時就設置允許網站使用用戶數據的強制性條款，若用戶不同意，就無法完成注冊。大數據征信的數據處理過程呈現出黑箱化，信息主體無法了解自身的信息是否被采集，以及采集后的用途，造成個人信息保護方面的權利弱化、虛化。其次是個人數據保護的邊界較為模糊。與傳統征信相比，大數據征信的數據采集范圍往往突破征信規定的要求，不僅會采集信息主體的金融數據、司法數據、行政處罰信息等，還大量采集個人的網上交易、社交網絡等非直接必要信息，且采集的信息之間呈現個人標識可識別分析的強關聯性，大數據征信機構很容易在不同信息間建立起個人身份之間的關聯，危害個人信息安全。最后是個人信息保護的救濟手段有限。由于大數據征信涉及征信機構、政府、企事業單位、個人等多種主體，同一個人的信息有可能被多家機構重復采集，經過多個不同的大數據征信機構的處理分析，形成征信信息使用者想要的結果，用戶在整個過程中很難掌握個人信息的流向，在個人信息保護方面缺乏有效救濟途徑和維權手段。

（二）我國對大數據下個人信息保護的立法尚不健全

從我國立法情況來看，涉及到大數據下個人信息保護問題的主要有《中華人民共和國網絡安全法》和《中華人民共和國侵權責任法》，為網絡侵權問題提供了法律依據。從具體的法條來看，實際上指向的是網絡行為中的隱私權侵權。我國法律明確規定了隱私權的存在，《中華人民共和國侵權責任法》第三十六條以及《中華人民共和國網絡安全法》第四章關于“網絡信息安全”的內容都體現了對網絡隱私權的保護。那就存在一個問題了：網絡隱私權的保護等同于大數據下的個人信息保護嗎？我們認為，兩者絕不能簡單地劃等號。從學界的研究來看，對于隱私權與個人信息權的劃分有多種方式，結合大數據征信的實際情況，我們較為認可王利明教授所提出的狹義隱私權之說，實際上隱私權與個人信息權是各自獨立的人格權利，兩者在個人生活秘密這部分存在一定的重合。按照這樣的劃分，網絡隱私權的保護并不等于完全的網絡個人信息保護，兩者存在一定的交叉，但并不完全相同。那么在當前的立法狀況下，就存在一些滯后于大數據征信現實需要的問題：首先是個人信息權尚未成為法定權利，只是學界廣泛探討的應然權利。個人信息權作為獨立的人格權利，在我國的立法中并未體現，有的學者認為隱私權可以做廣義解釋以包含個人信息權，我們認為并不合適。將個人信息權從應然權利轉變為實然權利，才有助于進一步規范大數據征信，促進社會信用體系的有序建設。其次是隱私權保護的重視與個人信息權保護的缺失形成強烈反差。在現有的法律規范條件下，對于隱私權的保護日益完善，這其中包含了在大數據征信下對隱私權的保護。然而大數據征信下的個人信息安全問題涉及到的既有隱私權也有個人信息權，不管是《中華人民共和國網絡安全法》還是《中華人民共和國侵權責任法》都是立足于隱私權的保護來展開的，這就使得大數據下的個人信息權的保護處于真空地帶，實際上形成了隱私權保護的重視與個人信息權保護的缺失之間的矛盾，使得大數據征信出現諸多無法用法律去規范的狀況。

（三）公眾對“被遺忘權”的認知很匱乏

“被遺忘權”實際上是個人信息權的下位權利，屬于個人信息權的一部分，被遺忘權是通過刪除數據以達到弱化他人記憶來實現的。在傳統社會中，物化的信息可以通過撕毀、毀滅等方式刪除以實現被遺忘，從而保障個人信息的安全。隨著大數據時代的來臨，傳統的數據刪除方式已不再適應個人信息保護的現實需要，媒體介質的作用使得個人信息安全存在很大風險，因此“被遺忘權”逐漸體現出其適應大數據需要的價值。然而，由于個人信息權和被遺忘權在我國并不是法定權利，只是學界探討的范疇，在實踐中公眾對被遺忘權的認知匱乏體現在：首先是認為隱私權等同于個人信息權，隱私權保護就等于個人信息保護，在大數據征信中重視隱私權的保護卻對個人信息保護的不力狀況產生迷茫。其次是將個人信息權與被遺忘權等同，忽視兩者的層級關系。最后是大多數人并不清楚“被遺忘權”意味著什么。學界對被遺忘權的探討頗多，但是從實踐層面，大多數公眾并沒有被遺忘權的概念，也不知道被遺忘權如何保護，公眾的認知匱乏在一定程度上也導致了大數據征信下的個人信息保護失控。

綜合以上因素，大數據征信下引入“被遺忘權”是必要的：大數據征信下隱私權與個人信息權并不一致;大數據征信中個人信息保護關注的不僅是信息主體的隱私，更需要關注信息主體的可識別性和對信息主體的信用狀況評判功能;“被遺忘權”是幫助信息主體改過自新的重要手段。

二、大數據征信下“被遺忘權”何以可能

在大數據征信下引入“被遺忘權”既然是必要的，那么從中國國情出發，在大數據征信中實現“被遺忘權”又是否可能，被遺忘權要從應然權利走向實然權利是否具備基礎條件？我們認為，國外“被遺忘權”的有益實踐對我國的啟示、我國網絡信息安全立法的不斷完善、國內學界對 “被遺忘權”的研究成果不斷豐富等，為大數據征信下“被遺忘權”的實現提供了有利條件。

（一）國外“被遺忘權”有益實踐的啟示

國外對于“被遺忘權”的探索要追溯到20世紀70年代，從法國“忘卻權”到歐盟“刪除權”再到大數據時代的“被遺忘權”，歐盟對于“被遺忘權”的探索是積極有益的，并且在對“谷歌訴岡薩雷斯被遺忘權案”的處理結果中體現了“被遺忘權”在法律實踐中的重要價值，引起廣泛關注。國外“被遺忘權”的有益實踐對我國的啟示有以下幾方面：首先是要劃定大數據征信“被遺忘權”的效力邊界。在互聯網、大數據環境中，個人信息數據分布在不同的節點中，即使大數據征信機構刪除在征信系統中的個人數據，也無法保證不會在下一次數據抓取中被重新采集。由于互聯網具有跨國界、開放性，即使一個國家內的征信機構和網絡運營者刪除或屏蔽了相關個人信息，但在國外的相關網站極有可能搜索到同一信息，在數據的采集中仍有可能被抓取，因此要劃定大數據征信“被遺忘權”的效力邊界。其次是要明確大數據征信“被遺忘權”的權利主體。由于大數據征信具有數據來源廣泛、涉及信息多樣、處理技術復雜以及應用渠道交織等特點，大數據征信中的個人信息數據所有權、控制權等權利尤為復雜。因此，要對不同類型信息主體的“被遺忘權”進行分類設置，以實現個人信息保護與大數據經濟效益的平衡。最后是要明確大數據征信下“被遺忘權”的義務主體。比如審查義務主體和通知義務主體，個人提出的大數據征信“被遺忘”申請需要相應的主體負責審查，確認是否屬于應刪除的范圍。出于全面保護個人信息權的目的，應在大數據征信系統外，對符合“被遺忘權”的個人信息進行整體刪除，因此對于確認“被遺忘權”申請的個人信息，應明確相關主體向提供原始數據的網絡運營者發出刪除通知，這都需要確認義務主體。

（二）我國網絡信息安全立法不斷完善

目前，我國大數據征信發展遠比國外發達國家活躍，為保護個人信息主體在大數據征信等互聯網上的隱私權，我國已制定出臺了一些個人信息保護的法律法規。如《中華人民共和國網絡安全法》第四章明確了網絡信息安全的權利義務。《中華人民共和國侵權責任法》也明確了網絡侵權需要承擔責任。我國《征信業管理條例》也明確禁止征信機構在沒有告知信息主體后果和取得書面同意的情況下擅自采集個人信息。中國人民銀行頒行的《征信機構信息安全規范》規定通過征信系統采集到的個人不良信息在超過法定期限后應當予以刪除或者去標識化處理，保證個人信息不能被識別。此外，我國《征信業管理條例》中規定“征信機構對個人不良信息的保存期限，自不良行為或者事件終止之日起為5年;超過5年的，應當予以刪除”，實際上就是征信領域“被遺忘權”的一種具體實現。上述法律法規表明，我國的法律和征信業相關法規都已對個人征信信息的刪除權等個人信息權利進行了規范，這為大數據征信下的“被遺忘權”的實現提供了必要的支撐。

（三）國內學界對“被遺忘權”的研究成果不斷豐富

隨著大數據時代的來臨，個人信息安全問題越來越受到公眾的廣泛重視，“被遺忘權”的研究開始受到國內學界的關注，從2012年至今5年左右的時間涌現了許多研究成果，圍繞著被遺忘權的概念、演化進程、構成要素等本體論以及被遺忘權的中國化問題、如何在大數據環境下實現“被遺忘權”進行了廣泛的探討。學界普遍認同的是：第一，被遺忘權不同于隱私權，兩者是不同的概念。第二，基于我國國情，被遺忘權有必要保障實現。第三，個人信息保護可以通過“被遺忘權”來實現。第四，大數據環境下“被遺忘權”是有現實價值的。第五，“被遺忘權”的保障實現要緊貼中國化、本土化實際。雖然學界對如何實現“被遺忘權”的途徑和方法眾說不一，但是對“被遺忘權”本體論的研究較為成熟，這為大數據征信下“被遺忘權”的實現提供了有利條件。

三、大數據征信下“被遺忘權”何以實現

實踐是檢驗真理的唯一標準，我們對大數據征信下“被遺忘權”的探討最終指向的是實踐，旨在為規范征信市場、加快建設社會信用體系提供動力。根據對“被遺忘權”的剖析，我們認為在大數據征信下要實現“被遺忘權”可以通過規則適用的方式來實踐。在規則適用上要體現三個理念：一是兼顧對大數據信息的合理利用和個人信息主體合法權益保護的平衡，尋求社會公共利益與個人經濟效益的最有效結合點;二是注重“被遺忘權”實現的技術可行性，需要將個人信息保護納入到大數據征信整體技術框架設計中，強化個人信息保護的可操作性;三是針對大數據征信的海量數據復雜計算處理特點，明確對自然型個人信息和合成型個人信息的差別化規則選擇，實現個人信息的穿透式保護。

在“卡-梅框架”和“凌式框架”的基礎上，結合中國當前大數據征信的實際情況，我們認為大數據征信下“被遺忘權”的實現應建立信息選擇菜單，對不同類型的數據適用不同的規則。大數據征信下的個人信息的數據法益應當歸屬于數據生產者，通過采取不同規則適用來規范和調整數據生產者的行為，進而構建完備的大數據征信的個人信息保護體系。我們可以通過以下表格來分析：

表1：法益歸屬于數據生產者的規則適用結果

（一）無為規則適用結果

在適用無為規則時，大數據征信對數據本身采取“不保護、不處罰”的態度，大數據征信機構可以自由地利用信息主體的個人信息進行獲利。適用無為規則雖然有利于在短期內促進大數據征信的快速發展，達到“放水養魚”的目的，但也會嚴重威脅個人隱私、財產利益、商業秘密甚至國家安全。從表1中可以看出，在無為規則適用中，數據安全最小化、數據紅利從經濟價值和社會治理方面體現出最大化。在大數據征信發展初期，由于相關法律法規的不完善、大數據征信機構主體身份不明晰、個人信息保護意識不強等客觀條件限制，無為規則適用無疑是客觀存在的。但從遠期看，為保證大數據征信的健康有序發展，無為規則必將被其他有為規則所替代。

（二）財產規則適用結果

在適用財產規則時，數據生產者在自愿決定交易價格的前提下，實現數據的自由流動。數據生產者出于個人隱私和信息保護的考慮，有可能采取三種形式的理性行為：對非常在意的個人信息，可直接拒絕其數據被采集;對完全不在意的個人信息，可允許數據采集者在支付交易對價的前提下采集、處理和應用;對一般在意的個人信息，則可以要求數據采集者達到一定的個人信息保護條件后方可使用。從表1中可以看出，在財產規則的適用中，數據安全和數據紅利均出現最大化。

（三）責任規則適用結果

在適用責任規則時，其法定價格除開數據本身的對價外，更多的是個人信息權和隱私權受到侵犯時的賠償價格。當大數據征信中個人信息的數據法益歸屬于數據生產者，且法定價格高于或等于數據利用所獲得的收益時，適用責任規則能夠對處于數據寡頭地位的大數據征信機構形成較有力的約束。從表1中可以看出，適用責任規則會帶來最小化的數據安全保護和最大化的數據紅利，實際上個人信息安全面臨很大的威脅。

（四）管制規則適用結果

管制規則是指在法律明確了法益歸屬的前提下，在嚴格限定法益轉移的法定條件下，允許法益轉移，且法定條件是國家或代表國家的機構制定的，其出發點是為了保護公共利益的社會價值。管制規則主要是通過對交易方式的法定，確保數據既能夠順利“流動”，又能夠保證數據的基本安全。從表1中可以看出，在管制規則的適用中，數據安全、體現經濟價值和社會治理的數據紅利均表現為適中。

（五）禁易規則適用結果

禁易規則是最嚴格的數據保護規則，在適用禁易規則時，數據生產者能夠自由支配自己產生的數據，但互相之間不能交易，則能夠最有效的保護個人信息安全，但卻容易形成數據孤島，限制大數據經濟的發展。我國的法律法規明確禁止包括大數據征信機構在內的各類征信機構采集、存儲、處理和使用個人的宗教信仰、基因、指紋、血型、疾病和病史信息以及法律、行政法規規定禁止采集的其他個人信息，實際上就是禁易規則的體現。從表1可以看出，適用禁易規則可以實現數據保護的最大化，但是卻出現數據紅利的最小化。

（六）結論

基于以上分析，我們認為立足于我國國情，在大數據征信下“被遺忘權”的實現方式：將數據法益歸屬于數據生產者且適用財產規則作為一般規定，在此基礎上對幾種特定類型的數據適用原則進行特殊規定。特殊規定主要體現在以下幾方面：第一，對于涉及國家安全和法律法規禁止采集的個人信息，應無條件適用禁易規則。第二，對大數據征信機構違規采集、存儲、處理、使用和交易的，數據生產者擁有“刪除權”，大數據征信機構都應立即刪除。第三，對于法律法規未禁止采集且數據生產者愿意交易的個人信息，應適用財產規則允許交易，但對于過期、非相關的個人數據，也應允許信息主體擁有“被遺忘權”。第四，對于法律法規規定需要采取管制規則的大數據征信數據，個人數據生產者也應擁有與適用禁易規則相似的“刪除權”，從而實現維護國家信息安全和個人信息隱私等目的。第五，對于侵犯信息主體隱私權的大數據征信數據，應當適用責任規則，由相關主體向數據生產者支付法定價格，但數據生產者不再擁有對相應數據的“被遺忘權”。

總的說來，大數據征信作為新興征信業態，是建設社會信用體系要面對的一個重要問題，如何實現大數據征信規范有序，關系著國家-社會-個人發展的協調統一。我們認為要解決當前大數據征信面臨的諸多問題，可以從引入“被遺忘權”著手，通過權利的實現來清除大數據征信發展的障礙，進一步加強個人信息保護，以實現社會和諧穩定發展。我們從大數據征信下“被遺忘權”何以必要、何以可能、何以實現三個方面闡述了對該問題的思考，以期拋磚引玉！

參考文獻：

[1]王利明.論個人信息權的法律保護——以個人信息權與隱私權的界分為中心[J].現代法學，2013（4）.

[2]王勇，王蒲生.大數據征信的隱私風險與應對策略[J].自然辯證法研究，2016（7）.

[3]王茜茹，相麗玲.被遺忘權的演化進程研究[J].現代情報，2015（9）.

[4]肖冬梅，文禹衡.法經濟視野下數據保護的規則適用與選擇[J].法律科學，2016（6）.