數據治理視角下的個人信息保護立法研究*

張曉新 沙玉萍

（1.四川外國語大學圖書館 重慶 400031）

（2.四川師范大學圖書館 四川成都 610101）

1 引言

隨著大數據、移動網絡的持續縱深發展，個人信息及重要數據保護面臨著新挑戰。用戶在利用網絡及移動終端進行信息查詢、資料下載、在線購物、線上繳費等過程中，容易產生個人數據泄露及隱私曝光等諸多問題，導致用戶的個人信息權益得不到切實的保障。目前，我國互聯網用戶對個人數據保護立法的呼聲日益高漲，根據我國首份《2018年網民網絡安全感滿意度調查報告》[1]顯示，網民對當前網絡個人信息保護狀況的滿意度較低，近五成網民認為不好，四分之一的網民認為非常不好。實際上，網絡安全問題一直以來都是我國政府相關部門重點關注的議題。早在2015年4月28日，國家互聯網信息辦公室就曾發布《互聯網新聞信息服務單位約談工作規定》（2015年6月1日起實施），嘗試約束互聯網企業服務規范。工業和信息化部也曾在2018年1月就手機應用軟件存在侵犯用戶個人隱私的問題，相繼約談了百度、螞蟻金服、今日頭條三家互聯網企業，在《網絡安全法》《電信和互聯網用戶個人信息保護規定》等有關規定的比照下，指出這3家企業均存在對用戶個人信息收集目的未明確告知、收集使用原則不明朗的情況，要求3家企業本著充分尊重用戶選擇權和知情權的原則，立即著手整改用戶信息使用，并進行了監測和監督查處[2]。2019年1月15日中央網信辦、工業和信息化部、公安部、市場監管總局四部門聯合發布《關于開展APP違法違規收集使用個人信息專項治理的公告》，對APP過度收集用戶個人信息的行為予以規范[3]。2019年7月，因違規收集個人信息，工業和信息化部約談了18家互聯網企業[4]。但現實中個人信息泄露問題仍有愈演愈烈之勢，習近平總書記在2019年國家網絡安全宣傳周所作的重要指示中，明確強調了要保障個人信息安全，切實維護廣大人民群眾的切身利益[5]，個人信息保護立法成為當前亟待解決的重要議題。

在數據治理能力越來越成為行業發展制約性因素的背景下，立法應順應當前需求，涵蓋個人信息及數據，形成立體化、多層級且高度兼容的法律保障體系。這個法律保障體系的核心機制在于從數據治理的角度，將個人信息及數據保護整合為一體，從而達到既能全面徹底地保障公眾的個人隱私，又能最大限度為公眾提供大數據時代的信息便利的目的。

2 開展個人信息保護的必要性

我國當前對個人信息及重要數據的立法保護研究，較多使用個人信息概念，多數法律條文沒有對個人信息與個人數據作區分，也鮮少提及個人重要數據的保護問題。2012年，我國第11屆全國人民代表大會常務委員會通過《關于加強網絡信息保護的決定》，明確表示了國家保護“能夠識別公民個人身份和涉及公民個人隱私的電子信息”，但對何種公民個人電子信息可納入保護范圍沒有詳細的規定，也沒有針對電子信息做解釋說明[6]。2013年，國家質量監督檢驗檢疫總局與國家標準化管理委員會發布的《信息安全技術公共及商用服務信息系統個人信息保護指南》（以下簡稱《個人信息保護指南》），是我國首個個人信息保護的國家標準，這個標準明確了個人信息分為個人敏感信息和個人一般信息，并列舉式地將“敏感信息”界定為“一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息”。這些信息包括身份證號碼、手機號碼、種族、政治觀點、宗教信仰、基因、指紋等，除了個人敏感信息以外的信息劃入個人一般信息的范疇[7]。同年由我國工業和信息化部公布的《電信和互聯網用戶個人信息保護規定》第4條，明確“個人信息是指電信業務經營者和互聯網信息服務提供者在提供服務的過程中收集的用戶姓名、出生日期、身份證件號碼、住址、電話號碼、賬號和密碼等能夠單獨或者與其他信息結合識別用戶的信息以及用戶使用服務的時間、地點等信息”[8]。我國2017年6月1日實施的《網絡安全法》定義個人信息為“以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等”[9]，還設置了諸多條款詳細規定了企業、網絡內容提供商、網絡服務商對個人信息的搜集和使用，但對個人信息的界定不夠具體，邊界過于模糊，除未區分個人信息與敏感信息外，對個人信息界定的概括式列舉方式，難以具備現實的指導意義。近期《個人信息保護法》（建議稿）第三條對個人信息的界定采用了與《網絡安全法》一致的定義[10]，但通覽全部法規，未出現對個人信息及數據的界定和說明，這意味著在我國個人信息保護的立法過程中，尚欠缺對具體個人重要數據保護措施的具體探索。實際上，對個人信息進行類型化區分對法律實踐具有重要意義，早年雖曾有學者提出個人信息保護法中不宜采用敏感個人信息概念[11]，但目前更為通行的觀點是認為我國未來個人信息保護法有必要對個人信息進行類型化區分，以實現信息保護與信息利用的更好平衡。有研究者就曾建議將健康信息、性生活和性取向、身份證件號碼、金融信息、政治意見、通訊信息、基因信息、生物特征信息和精確地理位置列為個人敏感信息[12]?？梢?，就當前我國針對個人信息的立法討論來看，由于個人信息法涵蓋面廣，且不限制于數字化、電子化的形式，明確區分個人信息的保護類型是大勢所趨，立法探索應將個人信息保護擴展到個人數據層面。

從數據治理視角探討個人信息保護的必要性體現在：①個人信息面臨卷入大數據分析流程的極高風險。無處不在的移動互聯網絡讓大眾已習慣于網上購物、匯款、資料存儲、信息查詢、在線娛樂等行為，在使用這些網絡服務的過程中，用戶有意或無意存留的個人信息，包括主動提交的個人隱私信息、瀏覽及觀看網頁時候的瀏覽數據等，都會被搜集、存儲在各電商平臺、網絡服務器上，數據從業人員通過對這些數據的分析、挖掘、整合，其結果可幫助企業提高營銷效果和市場預測的精準度。這種規模化的數據處理容易造成個人數據流轉的不可控風險，特別是包含個人隱私或重要價值的數據，如果不設置專門法加以保護，在當前的數據治理環境下，數據一旦傳播，其流轉和利用將不再受個人數據主體的控制，進而給個人帶來巨大的風險。②個人信息保護立法中涵蓋個人數據保護是維持數據開放共享及個人隱私保障的有效工具。數據具有潛力巨大的經濟文化價值，因此推動數據開放共享是社會發展的時代需求，對個人信息及數據保護過度，會有損社會公共利益。當前個人數據保護和數據開放之間的平衡，是通過數據清洗和脫敏處理來維持的，原則是抹去個人數據中代表個人身份及隱私的成分?！秱€人信息司法解釋》規定：“未經被收集者同意，將合法收集的公民個人信息向他人提供的，屬于《刑法》第二百五十三條之一規定的‘提供公民個人信息’，但是經過處理無法識別特定個人且不能復原的除外。”也即是說，可合理提供公民個人信息的方法有兩個：一是經過用戶同意，二是經過匿名化處理，即強調了匿名化過程之不可逆[13]。經過脫敏及匿名處理的數據，稱之為“衍生數據”，這部分數據屏蔽了個人數據中最為核心的個人隱私，可廣泛用于社會事務，如進行統計分析、科學研究、行業趨勢預判、風險評估、市場預測等用途。同時，從數據市場的實踐來看，“衍生數據”作為數據交易市場的交易對象，以及其本身的財產屬性，具備成為數據權利化客體的條件[14]，這就為個人信息及數據不應納入大數據處理流程提供了法理上的契機。如此，也給數據控制主體和數據利用主體預留了足夠的空間，從而有利于規范有序的數據市場形成。

3 數據治理背景下我國個人信息立法保護困境

3.1 立法前景尚不明朗

我國針對隱私權或個人數據/信息的立法進程緩慢，直到2001年《關于確定民事侵權精神損害賠償責任若干問題的解釋》中，才首次提出將公民隱私作為獨立保護對象，2017年出臺的《民法總則》第一百一十一條方宣告“個人信息受法律保護，任何組織和個人需依法獲取他人個人信息”[15]，但未制定具體規則措施，也未提及個人信息類型。

因此我國目前個人信息及數據立法的不確定性體現在：首先，缺乏有關可參照的上位法。高位階個人信息保護法的缺失，使得各部門、各類型的個人信息/數據保護立法難以系統性、全方位地設立。其次，大數據時代，個人信息保護領域存在隱私與敏感、信息與數據等諸多概念混用的情況，且這些概念的內涵和外延大都存在交叉重復，一定程度上也加深了個人信息及數據立法保護的難度。最后，由于立法探討應具有相當程度的前瞻性和預見性，且還應該具備一定的彈性空間和兜底條款，而飛速發展的信息科技革命，使得立法的滯后性更為凸顯，無疑為個人信息及數據立法增加了新難度。

3.2 法律條款在執行過程中難以完全落實到位

鑒于我國尚未出臺個人信息保護的專門法，當前涉及個人數據隱私安全等互聯網法律糾紛主要根據現行部門行政規章、《民法總則》以及《網絡安全法》等相關規定執行判決。但在實際執法過程中存在以下難題：（1）監管機構不明確，執法標準不一。遵照現有的個人信息保護體制，各類法律法規的發布主體就有商務部、信息部、電信部等各種政府機構部門，存在零散和碎片化的特點，造成執法過程中的混亂狀態。尤其網絡空間中，其主體治理模式是由多個執法部門參與的“分段監管”，網信部門、電信部門以及公安部門各自履行其獨立職責[16]，在具體的法律實務中，即使是針對同一個體的信息和數據，其涉及信息類型的差異都會導向不同的犯罪結果。例如，竊取用戶個人社交賬戶的內容，牽涉到公民個人隱私權；侵入用戶銀行賬戶信息并進行篡改等，則涉及到金融犯罪；若個人數據中有涉及到國家安全的商業機密、科研數據，更會觸及到國家信息安全防護層面。因此，合理有效地確保執法效果和效率，首要的問題在于明確執法主體，這是個人信息保護執法面臨的第一重困境。（2）公民個人舉證不力，訴訟困難。從個人信息保護實務來看，目前公民遭受個人信息侵權主要依賴公民自覺舉證為主，但受技術、經濟、身份權限等現實條件的限制，公民往往難以有效搜集證據，且網絡信息不同于難篡改、易鑒定的傳統證據，通過技術手段可將網絡信息隨意刪除、修改，從而給侵權認定帶來了困難[17]，這為執法效率的提高又添加了一重難度。

3.3 缺乏完善的個人信息及數據分類機制

歐盟《通用數據保護條例》通過設置“引發高風險的行為”等不同場景中的處理方式，將風險按大小分為高、中、低三個等級，為“可能引發高風險的行為”規定了額外的增強性義務，為風險低的數據處理行為豁免部分義務[18]。我國目前沒有個人信息及數據保護方面的法律條規區分各方主體的權利及義務，個人信息及數據的范圍和邊界也很模糊，缺乏具體的針對個人信息及數據的分層級風險評估，以及數據分類型保護措施。

4 關鍵問題

從數據治理角度開展個人信息保護立法，應著重考慮以下關鍵問題。

4.1 個人信息立法保護應拓展為個人信息及數據立法保護

個人信息內涵和外延均遠遠大于個人數據范圍。隨著大數據分析應用的普及，數據被開發、復用、流轉的概率增大，過于寬泛的個人信息保護法不足以適用數據環境下的個人信息及重要數據保護。從物理技術層面來說，網絡空間中的數據只是一種以二進制手段存儲的客觀字段，難以直接移植現有的法律進行制衡，數據的無形性、可復制性、不唯一性等特點造成了數據的權利化困境。網絡法學的奠基者萊格斯就探討了網絡法治的特殊性，提出在現有法律不能有所作為時，可依靠代碼規制網絡空間中的隱私保護問題[19]。但也需要注意，若脫離了現實民法的人格或個人信息保護這一目的，數據在民法上始終缺席，沒有正式進入民法的理論視野[20]。從立法的全面性和體系化角度，依賴于現有的法律體系不能有效保護網絡環境下的個人信息，而是需要從廣度和深度都加以著手，將個人信息與數據保護結合起來，兼顧一般與特殊。

4.2 重視個人信息及數據立法中的自然人特性

自然人是法學領域中與法人相對的重要概念，是指基于自然規律而出生和存在的個體，法律賦予自然人享受民事權利、承擔民事義務的資格。個人信息及重要數據保護的主體應有明確對象，我國《個人信息保護法》（學者建議稿）第一條立法目的表述為：“規范個人信息的收集、處理和利用，保護自然人個人信息權以及其他合法權益，促進個人信息的合理利用，規范個人信息跨境傳輸”[21]，強調了對個人信息保護的主體為自然人，不包括法人或法人組織，意味著個人信息法的賦權對象是針對具有民事權利的自然個體，具備廣泛性和平等性的特征。但個人信息保護領域仍然有以公民身份為標的的立法嘗試，如2012年第11屆全國人民代表大會常務委員會30次會議通過的《全國人民代表大會常務委員會關于加強網絡信息保護的決定》，就規定了“國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息”[22]，使用了不同于自然人的表述，意味著在當前的立法實踐中，還沒有確立下來以自然人為個人信息或數據主體的規范。

個人信息及數據立法保護，是自然狀態下的個體所擁有的民事權利的體現，將個人信息保護的主體界定為自然人，是保證自然人對自身信息處理權利的天然訴求。有學者論證了德國和我國臺灣地區的個人數據、個人資料保護法，歸納出個人數據權的人格權屬性已被廣泛認可[23]。我國個人信息及數據立法應明確規定自然人對其自身信息和數據擁有主體權利，因為，從“人”的個體性與多樣性來說，個人信息及數據的自主權是獨立自然人最為核心、最為隱私的安全需求，不應受個人所屬社區、團體、宗教等限制，法律所稱個人數據權利，應為每個自然人平等擁有。被稱為史上最嚴個人數據保護法的《通用數據保護條例》（General Data Protection Regulation，簡稱GDPR），也明確了“個人數據”指的是任何已識別或可識別的自然人（數據主體）相關的信息。我國現階段個人信息及數據立法，將個人數據主體限定在自然人范圍，既是推進個人信息立法的關鍵步驟，也是從法理上確認個人數據主體權利的必要前提。

4.3 個人信息及數據分級分類保護

個人信息及數據保護是明確構建個人數據權屬框架的核心基礎，可幫助確立數據治理過程中的多方數據主體身份。舉例來說，針對特定人群的個人信息及數據界定，可在產生數據權屬糾紛時，幫助法官判斷所調用數據是否適用于合理使用。不適用于合理使用的數據內容，根據特定人群的數據分級分類標準，可依法征求數據主體（當數據主體為未成年人時需要獲得其監護人的授權）的同意或許可，尤其在涉及到多元數據主體權屬糾紛時，明確的數據權屬機制可高效地裁定各方權利義務。

為了便于立法，建立清晰的法律體系，個人信息及數據類型可劃分為：（1）個人基本信息：屬于自然人擁有的可向社會公開的信息，包括國籍、姓名、職務、年齡等，這部分信息因個體的差異，與個人敏感信息之間存在一定的轉換關系，如從事特殊工種的群體，其職務可能需要保密，有的社會名人如流量明星可能不愿公開實際年齡等。（2）個人敏感信息，包括以下幾個大的類別：①人事身份的管理數據，包括身份證號碼、個人檔案、社交賬號、電話號碼、住址等；②疾病醫療的健康數據，包括個人的生物信息，如基因、血型、指紋、聲音特征等；③公民個體的商業金融交通旅游活動基本數據，如固定資產、銀行賬戶、債券交易等信息。（3）個人重要數據：①未披露的科研數據：包含未發表的科研數據、讀者個人借閱數據、未使用的科學實驗、調研分析及科研產生的數據、版權保護期內的學位論文數據等；②基于主管領導班子及其成員的民主評議數據、績效考核評價數據；③不適合公開的項目申請、版權申請、專利申請、商標注冊、科技成果轉化、技術轉讓、作價投資等智力成果專有數據；④不適宜披露的服務工作數據，包含高校學科競爭力對標分析數據、知識產權信息服務數據、委托性技術咨詢服務報告數據等。

不同類型的個人信息及數據采取不同的保護標準，一般而言，個人基本信息可視作個人愿意公開的信息，是個體參與社會生活的基本條件，對這部分信息設置一般保護標準即可。個人敏感信息涉及到公民極為重要的個人隱私部分，對這部分信息需要設置極高的保護標準，包括訪問權限控制以及個體主動進行修改訪問范圍的權限。在這樣的保護機制下，當第三方需要訪問個體敏感信息時，個人信息管理平臺需要審查第三方身份，同時將結果告知個人信息主體，由個人信息主體決定是否允許第三方訪問其個人敏感信息，達到切實保護個人敏感信息的目的。對個人重要數據的保護牽涉到多方主體利益，因此需要采用更為嚴格的信息保護手段，采取諸如水印隱藏及溯源相結合的技術來隱藏和追蹤個人重要數據[24]，進而對個人重要數據提供技術保護。構建完備而立體的個人信息及數據分級分類保護機制，才能有效應對當前錯綜復雜的個人信息保護需求。

4.4 個人信息及數據立法應警惕數據治理中的“算法陷阱”

大數據技術應用回歸、聚類、關聯等分析算法，從海量數據中挖掘出蘊含潛在價值的信息，用于決策支持、市場營銷、廣告投放等過程，是數據體現市場價值的常規手段。但現實中，如果過分依賴于大數據算法，容易陷入“算法陷阱”，從而造成個人數據孤島效應。

2019年9 月國家互聯網信息辦公室就《網絡生態治理規定（征求意見稿）》向社會公開征求意見，第15條就針對算法推薦的效應，規定了“網絡信息內容服務平臺采用個性化算法推薦技術推送信息的，應當建立體現主流價值導向的推薦模型，建立健全人工干預機制，建立用戶自主選擇機制”[25]。因此，在個人信息及數據立法實踐中，必須警惕隨著大數據效應而來的算法循環，特別在針對未成年人的服務中，如果任由大數據分析結果對未成年人采用既定的推送服務，將從根本上忽略了未成年人未來發展的不可預測性，進而為文明發展帶來不可估量的損失。

在個人信息及數據立法實踐中要做到合理規避“算法陷阱”，需要嚴格控制個人信息及數據中的敏感部分進入大數據分析流程，換言之，現時的個人信息及數據立法探討中，既要時刻準備轉型以迎接大數據時代的思維和運營模式，也要隨時警惕由此帶來的個人隱私邊界和倫理界定之爭，進而為公民的全面自由發展提供堅實的保障。

5 結語

在我國加速助推大數據產業、移動互聯網發展的時代大背景下，構建合理有效的個人信息及數據立法機制是推動社會健康發展的有效保障。從數據治理的角度來探討個人信息及數據立法，可避免引起技術對自然“人”這個權利主體的過度侵犯。大數據思維應該建立在以“人”為主體、“數據”為客體的基礎上[26]，數據只是個人信息的特殊載體形式，從數據治理的角度來探討個人信息保護，是大數據時代的特殊需求，也是現階段切實有效地構建個人信息保護機制的必要路徑。