合規科技在數據合規中的應用價值

傅晴晴

(中國人民公安大學 法學系,北京 100038)

數據作為信息時代的新興生產要素,被定義為人類經濟發展的引擎。數據之所以具有價值性,關鍵在于其作為信息源引發的可預測性。這種可預測功能誘使企業廣泛獲取個體信息以供精準營銷,助力政府以公眾信息為基進行國家治理。大數據的泛用必然觸發監管機制來維持數據交易市場過猛勢頭與數據主體權利保護、國家信息安全保障等多者之間的平衡。2021年7月,網絡安全審查辦公室對滴滴等企業啟動數據安全審查工作,將社會的關注點聚焦于數據安全合規的問題上。在數據強監管時代,數據合規是企業生存發展的必然選擇,要求企業以保障數據全生命周期安全為前提,進行合法數據處理活動,否則將承擔不利刑責。至此,數據合規就成為了數據主體選擇服務提供者的敏感點,也成為了政府監管企業經營的重要指標。政府在數據交互已為常態的現實場景下,為企業添賦數據合規的相關義務,突發的、硬性的合規義務給數據控制者制造了極大的經營壓力。傳統的數據處理模式和自身監管機制已經無法滿足高標準的合規要求,此時具有前沿技術屬性的合規技術就成為了解決數據合規困境的一劑良藥。數據合規科技作為數據安全保護中的“優位者”[1],助力企業達到數據合規要求。

一、數據合規中的困境

(一)主觀不愿合規

1.數據合規的非營利性

數據合規意識與企業營利性經營思路在合規前期存在根本上的南轅北轍。首先必須要明確的是,數據合規作為一項風險預防舉措,是一項本身不創造業績或是利潤的公司治理體系。根據國內代表性企業的數據合規操作模式可知,數據合規體系的整體搭建必然包括但不限于在資金、人力上做到極大投入,而這恰好與公司進行項目開發以獲取商業利益的經營行為產生了資源利用上的沖突。此外,企業戰略性收購或是并購已經成為迅速增強市場競爭力和提高市場份額的重要手段。在收購行為具有巨大收益前景的前提預設下,即使被收購方或被并購方存在數據違規行為,甚至該收購決策背后帶來的數據違規風險足以拖垮收購方本身,也不能直接撼動企業為牟利而作出收購決策的豪賭式野心。企業發展的最終目的是為了更好地利用資本實現最大化的自由現金流,為數據合規消耗大量資本或拒絕高利潤投機有悖于企業發展之根本追求,為傳統企業經營決策思維所排斥。

數據合規建設效果的不確定性是阻礙企業開展合規治理的關鍵因素。數據合規體系建設作為一項專業、系統、細致的治理工程,與企業生產經營必然存在磨合期,而處于建設過程中的數據合規體系不能保證對數據安全事故的絕對避免,甚至在與企業經營模式適配的過程中會催生數據安全事故的發生。以上種種不良后果都會使數據合規體系建設成效低于企業的心理預期或是超出預設風險而使推行數據合規方案的計劃夭折。一旦企業在開展數據合規初次嘗試時出現不可挽回的經濟損失、聲譽折損等負面影響,或是經營者認為數據合規體系建設極大地影響了企業正常的生產經營活動,企業決策者一般都會作出停止數據合規體系建設的決定,甚至取締已有建設結果。

2.聯盟式合規意識薄弱

數據合規是國家對企業提出的無差別、覆蓋式的硬性政策要求。企業之間互相借力,在數據合規領域內形成一種互助關系,實現共達數據合規的良性氛圍,應當是強數據監管形勢背景下的明智之舉。但在具體落實過程中,各企業實體對數據合規聯盟建設投入要素的比例劃分存在分歧、互為商業競爭關系的行業各方具有直接巨額利益沖突等因素,瓦解了企業間構建利益共同體的初心共識,繼而引發了數據合規聯盟的全線崩盤。企業間存在不同資本量級的劃分,各企業在數據合規治理體系建設中投入的財力、人力等資源必然不可能等同,那么如何讓各企業認定其在數據合規聯盟中的貢獻符合公平原則是建立和維持合作的核心。由于存在利益分歧,在沒有國家強制力強制要求企業進行數據合規聯盟的前提下,實現各企業間的自愿聯合可以說是天方夜譚。

數據合規標準的逐漸嚴苛要求企業間形成群體化的聯盟協作模式,但企業間將踩界作為優勝的競爭規則,抑制合作氛圍的形成。以最小的成本獲取最大的利益是理性經濟人所固有的本性,企業必然會按照立法設置的數據合規的最低標準進行數據處理活動,實現最低合規成本治理,這就是企業競相的踩界行為。在此種氛圍的影響下,整個地區企業的數據合規訴求基本上貼合或略高于法律最低要求這個檔位。隨著企業對數據價值進行另辟蹊徑式的、規避合規要求的不斷挖掘,全球范圍內對數據合規提出了更高、更嚴苛的要求。企業以這種低合規水位建立的管理流程或采取的合規措施無法滿足合規監管形勢發展的要求。

(二)客觀合規不能

1.數據合規企業資本缺失

眾所周知,日常性的數據合規管理體系搭建覆蓋事前、事中、事后全周期。從企業數據合規的硬性技術設備購置到企業數據合規文化制度建設,涉及范圍廣、投入成本高、工程耗時大,唯有極少數的企業具備支付數據合規體系建設費用的資本和能力。對于市場占比極大的中小企業而言,即便具有數據合規意向,自身軟硬件條件也無法支撐其實現預設合規目標。再加上傳統的、生硬呆板的數據安全風險識別制度無法對抗算法時代數據處理的黑箱手段,原有的純人工化的審查機制和模板化、一版式的組織架構也已不具備辨析數據違規行為的能力。可以說,現存的、未經合規治理改置的數據安全預防舉措對現今“面具化”的數據違規行為而言,是形同虛設。

企業傳統的數據安全把控意識區別于數據合規意識,前者傾向于識別風險目標再進行危機解決,而后者則強調前期配置完善的日常合規管理體系實現從源頭上掐斷數據違規行為發生。早期的數據安全把控方案存在以下弊端:第一,純人工式的數據違規操作識別準確性和時效性低。當數據處理違規行為僅憑數據審查員獲取的初步數據和經驗即可識別,那必然是該違規行為已經較大程度地脫離了數據處理的正常軌道甚至已大范圍超出了違規紅線,此時企業后續付出的糾正代價必然極大。第二,缺乏數據合規監管的針對性組織架構。《中華人民共和國公司法》在第二節“組織架構”中并沒有為數據合規建設預留空間,大多傳統公司在組織結構的設計中也極少出現獨立的數據合規垂直監管形式。有些公司辯稱已將合規職能并入履行監督職責的監事會或是執行企業意志的董事會,但如此附屬性、非獨立的合規管理模式是否能夠真正落實數據合規仍有待核實。唯有合規監管層具有足夠的決策獨立性和決斷力,才能恰當履行數據合規監管職能,并凸顯數據合規對企業經營行為的決定性影響。若企業未遵從高層承諾原則[2],即董事會和執行團隊未高度重視并參與合規管理之中,企業的數據合規就是一場空想。

2.數據處理規范標準不明

數據處理規范標準模糊將極大阻礙企業數據合規治理進程。隨著《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)、《中華人民共和國網絡安全法》(以下簡稱《網絡安全法》)、《中華人民共和國數據安全法》(以下簡稱《數據安全法》)的陸續出臺,我國形成了數據合規領域法律體系的大致框架,這將會成為企業進行數據合規的一個明確的規范標準。但是,上述規范的出臺并不意味著數據合規標準規范體系的完善,僅能代表我國數據合規建設有了初步的架設,但仍無法準確甄別處在灰色模糊地帶的數據處理行為。此外,當前立法給企業設定的是極原則性、籠統性的合規評判標準(1)以《個人信息保護法》第二十七條作為例證,法條明文使用的“合理范圍”是極模糊的立法表述,個人信息處理者對信息使用是否屬于合理范圍的劃分方法是什么,司法裁判者極具主觀色彩的評價標準是否符合立法目的等追問都屬于立法空白區。,缺失對具體數據處理行為的詳細判定思路或是具體的案例輔助說明,這導致企業在開展數據合規時欲進又退、躊躇不定。

域內法與域外法不銜接或沖突引發的法律適用困境也是數據合規治理開展的攔路虎。在生產要素全球化的時代背景下,數據跨境流轉是不可避免的商業行為。環視全球數據合規策略可知,《通用數據保護條例》(General Data Protection Regulation,簡稱GDPR)是風頭極盛的立法范例。其在個人信息保護板塊提出了七項數據處理基本原則,極大地引導數據控制者實現數據處理行為的合規化。但我國現有立法與GDPR存在概念出入(2)《數據安全法》中明文規定的“重要數據”在GDPR中未有規制,GDPR中使用的“數據控制者”和“數據處理者”的定義以及相應的歸責方式在我國立法中也未有可準確覆蓋的術語進行替換適用。、標準沖突(3)GDPR規定了數據控制者可以基于“正當利益”或“履行合同”,不需經數據主體的同意即可收集和處理其個人信息,而《個人信息保護法》采取的是要求處理個人信息應當在事先充分告知的前提下取得個人同意的嚴格標準。二者的沖突立法極易導致企業在作出數據處理行為時被立法寬松地區迷惑,而違反立法從嚴地區的數據處理規范,繼而被判定為數據違規。等現實問題,導致國內企業數據合規不能完全參照域外范例操作。我國企業在訂立有關數據處理行為的權責協議時無國內法適用意識,直接引用GDPR中的定義來列舉合同相關方的責任和義務,以致無法對應國內法律而陷入約定不明的境地。

二、合規科技融入數據合規的價值

為實現合規前提下的數據價值創造,“數據合規科技”的概念應運而生。其理念源于歐美立法者廣泛推崇的“通過設計保護隱私”,被學界和實務界統一解釋為一切在提供隱私保護前提下實現數據價值挖掘的應用手段。即在設計之初就將數據安全的需求嵌于其中,成為技術運作的前提,而不是出現問題之后,才將法律規則賦于其上。[3]數據合規科技的核心是利用技術實現對于監管數據的觸達、辨別和獲取[4],其底層邏輯是從數據處理源頭實現合規規制。

(一)實現信任合規

數據合規是一項多主體間的合規合作,信息技術的參與促使非信任主體間有序釋放數據合規價值。以區塊鏈技術為例進行舉證,區塊鏈中的密碼學原理、數據存儲結構、共識機制三大關鍵機制保障其“誠實”與“透明”,這也正是企業相互信任以投入合規的技術點。區塊鏈通過技術背書建立信任機制,以算法程序來表達規則,以共識協議為本,制定可編程化的智能合約來布局整個數據存儲系統,因此區塊鏈是被各節點主體認證了的技術性可信平臺。

“區塊鏈極大的去中心化、不可篡改性、不可否認性、公開透明性共同促成了區塊鏈作為信任基礎設施的可行性,解決了參與者之間的共識問題。”[5]區塊鏈之所以能夠促成“可信協作”,其根源在于以技術為名向其應用主體作出了載體可靠性的絕對保證。在龐大的數據庫中,區塊鏈能實現對各節點信息的快速復制和公開查詢,企業能夠實時掌握數據操作主體身份、操作軌跡和操作結果等。開源的技術基礎和跨時空的溯源功能可以隨時復原數據處理行為的各處細節,以此來作為后續追責的可信證據,這就打消了企業在數據合規進程中對他方以篡改、刪除、增補等手段來嫁禍數據違規之責的顧慮。數據合規是信息時代發展下,社會對企業提出的新興要求,也是企業要想持續存在必須跟從的經營主調。在政府對數據實行強監管的背景下,企業希望尋求的是一種互信的、共贏的合作關系,而非受到行業內其他主體的違規責任轉嫁。信息技術所具有的“不可篡改”特性能夠排除實施數據合規的主體間進行惡性謀劃和算計的可能,為參與數據價值挖掘的各方消除信任壁壘,從而搭建一個以和諧互助為基礎的數據合規平臺,助力非信任主體間數據合規項目的有序開展。

(二)實現自動化合規

數據合規作為動態性、持續性的企業治理方案,確需自動化的合規機制引導完成數據合規監管的全流程工作。信息應用場景的動態化是大數據背景下信息技術的生命力之所在,是信息革命的價值之所在。[6]因此,數據違規行為表現形式的多樣性和數據違規行為的常態化存在是數據違規行為的固有特征且無法避免。自動化數據合規審查機制保障的是對每一個數據處理行為進行監管的自主性。通過引入前沿數據合規技術賦能程序設計,實現經設計的法律保護。將數據合規審查設置為系統本能,類同于非條件放射的膝跳反應一樣自覺。

區塊鏈智能合約無需依賴任何第三方主觀意志的控制,即可自動執行經各方合意達成的承諾協議。智能合約通過嵌入數據合規場景的算法來實現自動化決策,算法輔助決策具有更充分的決策基礎、可容納更大的復雜性且效率更高[7],因此借助于區塊鏈實現的合規自動化審查的績效表現往往優于人類決策[8]。關于數據處理是否合規的自主性審查完全是基于企業前期對數據違規行為表征作出的經驗總結和結果預判。自動識別系統一旦發現符合預設特征的數據違規行為,即會進行一系列追蹤、攔截等機械反應,旨在第一時間鎖定目標并積極建立數據安全防線以減少損失。數據合規的自動化不僅要求在客觀物理環境安全下能夠進行預設的合規審查,更關注在突發情況下如何保持合規監管運行的問題。

能夠讓數據合規企業在區塊鏈智能合約中設計出正確或是具有針對性的、關于數據違規行為識別條件的前提是機器學習技術,尤其是深度學習。深度學習技術在獲取相當大量級的數據違規數據后,可自動提取項目特征,對數據處理行為進行建模并輸出識別結果。這種建立在給定大量數據違規場景信息以實現類人腦化分析的技術層級的信息技術,具有主動調整識別模型的優勢性能,也因此極好地彌補了人為設計特征造成的不完備性,較大可能地實現數據違規顯性特征和隱性特征的全覆蓋和全把握。

(三)實現數字孿生合規

數據合規是一項不容置疑的復雜性系統工程,這個系統工程的搭建僅僅依靠一個機制或是一種手段都無法形成有效閉環的合規安保。因此,集合各項前沿數據合規科技之智,發揮各項的突出優勢,形成一個相輔相成的合規技術環即稱為“數字孿生”[9]的綜合技術框架,是極佳的解決思路。信息技術如何在聯動模式下發揮數據合規價值呢?中國信通院發布的《隱私計算與區塊鏈技術融合研究報告》指出,隱私計算、區塊鏈等新興技術的結合,可為人們提供一種在數據本身不用交換的情況下實現數據價值共享的技術路徑和解決思路,在數據共享過程中實現價值挖掘與隱私保護之間的平衡。區塊鏈技術達成去中心化共識的目的是驗證數據的可信性,創造可信執行環境,并不是為了查看鏈上數據的原始內容;而隱私計算的目的正是在不暴露數據隱私的前提下對數據進行分析計算,二者可以說是緊密協作、完美配合的數字合規科技搭檔。區塊鏈與隱私計算相結合,可有效解決數據安全性不足的問題,使原始數據在無需出域與歸集的情況下,實現多節點間的協同計算和數據隱私保護。[10]此外,機器學習與區塊鏈技術的結合又助力創造數據合規領域最具準度的人工智能程序。去中心化的區塊鏈為機器學習開放更加廣闊的數據獲取市場,鏈上不存在丟失值、重復或噪聲的數據提高了機器學習模型的精度。從反作用來看,機器學習可以幫助區塊鏈捕捉試圖更改鏈上數據的節點并輔助其進行身份驗證。在獲取大量數據違規實例后,機器學習通過模型識別區塊鏈上存在的數據違規操作行為并對其進行警示,以保障區塊鏈技術的極高安全性。

隱私計算是基于隱私信息全生命周期保護的計算技術,區塊鏈是一個分布式的數據存儲系統,機器學習是人工智能技術核心。為什么區塊鏈、機器學習結合隱私計算技術將成為各行業數據流通的標配,其要點在于三者的相輔融合為數據要素市場化提供了數據流通下的隱私保護和合規保障。數據流轉的經濟利益追求直接影響主體對隱私的排他性控制和支配[11],隱私計算為數據收集、整合、建模提供隱私保障,區塊鏈解決隱私計算自身信任問題,機器學習總結數據違規事件特征識別違規風險并提供預警,三者共建起實現數據協作方身份互信、數據可信、風險把控的兼容模式,也因此形成了體系化、系統化的以信息技術集合為核心的數據合規監管機制。在政府鼓勵挖掘數據價值又強監管數據合規的復雜環境下,區塊鏈技術、隱私計算、機器學習等合規科技集合為數據要素的融合流通提供了一種可能的合規“技術解”,推動價值創造從數據向更高尖精的算法進行轉移和突破。

三、融入方案

隨著信息技術的不斷發展,將區塊鏈、機器學習、隱私計算等高水平科技手段引入數據合規中是創新的治理手段,也是應對政府數據合規強監管的必然選擇。不論合規技術設計初衷的主要指向領域是什么,它都代表了“自動化和精簡監管流程”的趨勢。明確將區塊鏈納入數據管理戰略為信息技術合規的第一步,以區塊鏈作為基礎技術鋪墊科技合規思路,繼而制定長期運行的多技術融入的數據合規路徑。形成自動化、智能化、體系化的數據合規體系模式是企業開展合規治理的核心目標,因此引入數據合規科技作為識別數據違規行為及其后續補救方案生成的工具是明智的商業決策。

(一)“區塊鏈”搭建合規框架

區塊鏈技術是現今數據產業的熱點,已發展成為一個內涵豐富的信息技術應用集合體[12],為數據作為生產要素市場化配置提供基礎設備[13]。區塊鏈技術賦能數據合規治理的可行性在于其自身集結的三大核心機制能使企業的數據處理行為始終處于合規的軌道內而不發生偏移。在數據安全存儲方面,企業借助區塊鏈技術去中心化的第三平臺特征和改進的加密算法,獲得可自主自助存儲的數據板塊。在區塊上,數據以鏈接存證或是隱私存證的形式得以展現,避免了區塊鏈數據的絕對公開透明。

區塊鏈存在私有鏈、公有鏈和聯盟鏈的區分,不同類型的區塊鏈根據功能劃分賦能不同的數據合規環節。在公有鏈上,任何人都可以查看所有上鏈的信息并且只需下載必要的軟件即可自由加入,此類區塊鏈就滿足了政府監管企業進行數據合規治理的需要。企業在區塊鏈上公開必要的合規治理思路及相應的具體實踐,政府得以直觀把握特定企業的數據合規進程和所處水平并及時提供理論指導和技術支持。在聯盟鏈上,可由數據合規企業合意推選出來的行業合規委員作為代表享有數據驗證權,合規委員按照預設門檻誠實行事,維持數據合規聯盟鏈上的生態穩定。以產業或行業為劃分標準建立聯盟鏈,讓同一行業或是同一產業的參與方在共同的基礎設施上進行交易,彼此分享數據合規見解的同時相互監督,從而促進整個行業或產業整體數據合規水平的提高。相較公有鏈和聯盟鏈,私有鏈則具有發揮其數據機密性保障的突出優勢。私有區塊鏈建立了準入規則,即規定了誰可以在經許可的環境下查看和寫入區塊鏈。私有鏈禁止了外部網絡訪問獲取信息的行為,這將是企業內部進行數據合規建設信息存儲的極佳選擇。在私有鏈上,企業是區塊鏈集中管理者,企業邀請員工作為節點加入私有鏈網絡以管理員工在數據處理過程中的一系列操作,一方面進行實時監管,一方面用來責任溯源,將數據違規行為的責任落實到特定個人或是特定部門。

區塊鏈在數據合規治理領域極具價值的機制莫過于其智能合約功能組件,它實現了預先設定的場景條款的自動化、高效、準確執行。只需在區塊鏈上設定一段計算機代碼,在一定條件觸發下就可以獲得無人為干預的、低成本的算法操作,以助力企業審查數據處理行為的合規性或進行數據合規操作,例如對超過法定存儲期限的個人信息進行自主清洗、刪除、去痕等。在數據泄漏追責場景中,依據區塊鏈所記錄的相關數據處理方式及相關信息運行痕跡,可以客觀準確地還原數據泄漏事故經過。結合相關主體各司其職過程中存在的過錯程度,充分考慮數據處理者在主觀上的惡性程度和是否屬于過失疏忽,公平公正地判定各相關主體的具體責任。區塊鏈在基于雜湊算法的塊鏈式結構基礎上,采用Merkle樹(4)Merkle樹是一種哈希二叉樹,由一個根節點、一組中間節點和一組葉節點組成。Merkle樹是區塊鏈技術的基本組成部分,是由不同數據塊的散列組成的數學數據結構,用作塊中所有交易的摘要。它允許對大量數據中的內容進行有效和安全的驗證,因此此結構有助于驗證數據的一致性和內容的完整性。結構存儲數據交易日志、權限變更、訪問記錄等信息,并加蓋可信時間戳,有效解決了數據泄漏事后追溯難題。區塊鏈的可追溯性不僅為企業內部數據泄漏調查提供信息來源,也為行政機關、司法機關行使職權和民事主體向責任方進行違約或侵權訴訟提供了具有極高證明力的證據支撐。

(二)“人工智能”+“機器學習”=數據安全警察

機器學習在獲得大量違規實例數據灌輸后,得以形成數據違規預測模型,代替傳統的符號推理等方式,能夠較高精度地識別數據違規處理行為。機器學習模型遵循算法邏輯,從大數據的具體樣例中“溫故而知新”出足以指導實踐的普遍規則。[14]數據合規治理體系中構建的數據違規識別器就是機器學習程序,企業向其提供訓練實例,給定屬于違規處理數據的例子和普通合規處理數據的例子,由其進行自主學習并總結違規數據處理行為特征,繼而導出相應的識別經驗或是方法。挖掘出純人工所難以發現的數據違規行為存在的關聯性或是發展演化過程中的新趨勢,從而更深刻地理解數據合規目標問題。

在機器學習技術的賦能下,數據合規治理體系得以建立起較為成熟的風險管理模式。其具備極強的大體量數據分析能力和精準的預測警報能力實現了從數據違規實例輸入到特定行為合規性審查結果輸出的跨度轉變。機器學習之所以在數據合規中占據有不可忽視的一席之地,關鍵在于深度學習能夠自動提取違規實例中體現的共性特征并導出以具有復雜感知和理解能力的合規方案,不斷實現模型優化以形成成熟模型并最終找到最優解。[15]基于機器學習技術的數據違規行為過濾器具有相當的能動性,具體體現為能夠在違規數據處理行為發生升級進化而改變原有特征時,不需人工進行干預就靈活地調整前期識別經驗,即可針對變化的違規目標對象總結新的識別規則。機器學習系統可以適應新的數據,在波動的環境中適應性地搭建任務思路,其對海量數據和合規復雜問題的洞察力絲毫不遜色于人類自身。在數據合規應用中,機器學習的行為邏輯已經完全達到了類人類思維的程度,且效率更高、精度更準。

基于機器學習技術的數據違規風險匹配機制助力企業經營滿足數據權利保障合規的基礎需求。企業開展經營活動而訪問用戶數據時需保障用戶知情權,因此向其通告實施數據處理行為的具體內容是必要前置程序,包括該業務所需收集的隱私數據范圍、使用方式、保存方式和期限及后續的數據刪除程度等細節。根據現實經驗,用戶對晦澀技術語言存在理解鴻溝,機器語言的表達無法保障用戶理解相關隱私風險的后果。為了平衡數據應用機器語言式表達與用戶平實文字理解力之間的差距,簡化用戶理解成本且規避企業被誤判為數據違規的裁判風險,企業采用機器學習技術對須經數據訪問通告的信息進行自動化分類(5)例如對關于隱私數據采集范圍的表述采用列舉式表達,充分舉例說明會收集的數據類型;對獲取數據的保存期的解釋采用公式化表達,清晰呈現截止日期的計算方式等等。。利用用戶體現和人機交互技術,對用戶理解力進行測評或記錄相關數據。由機器學習吸收評測數據并作出相應模型,對差異化的數據訪問內容進行分類,從而形成符合用戶理解水平的數據訪問通告,規避數據處理違規行為。

(三)隱私計算賦能數據安全流動

隱私計算技術與區塊鏈密碼學原理相結合,形成牢靠的數據機密保護層,雙重保障企業數據的保密性。在數據本身底層價值井噴的現實背景下,數據開放、共享是其被高效利用以創造價值的必經之路,但保護數據隱私性是企業落實數據合規所必須達到的標準。為了迎合國家對數據的嚴監管要求,隱私計算作為“硬PET(privacy-enhancing technologies,隱私增強技術)”[16]的典型,將公平信息實踐原則直接嵌入信息技術的設立和運行中,利用技術代碼的力量來保護隱私。其以復雜技術降低錯誤信任第三方的風險,背負著成為當下數據流通合規化的技術使命。隱私計算之所以在數據合規中占有一席之地,在于其作為隱私增強技術所兼有的商業價值和合規價值,在為企業節約保護數據成本和增強用戶信任的同時,減少承擔法律責任的風險。

隱私計算實現的是數據的“可用不可見”和“相見不相識”,以同態加密為核心技術創設算法模型,算法模型為原始數據搭建起了數字加密橋梁,輸入的原始數據在不可逆算法模型的加工下輸出加密結果。在上述工作邏輯上,隱私計算在有效解決數據孤島效應的同時創造了數據安全時代的新藍海,主要體現在以下三個方面:第一,隱私計算下的數據屬于在密碼學原理加持下的不可逆向推導的密文,通過算法模型計算后導出的數據屬于已折損的信息,極大地保障了原始數據的機密性。第二,數據的“可用不可見”能夠有效防止數據濫用。只要保證決定可信執行環境的代碼是按照最小必要原則進行設計的,那么基于可信執行環境的數據使用方案也是可控的。加上唯有獲得授權方可進行數據使用的合意約定,數據共享將會順其自然地符合《個人信息保護法》關于數據合規的原則要求。第三,隱私計算在一定程度上規避了數據需經告知并獲授權同意使用的合規風險點。告知同意原則是指信息業者在收集個人信息之時,應當對信息主體就有關個人信息被收集、處理和利用的情況進行充分告知,并征得信息主體明確同意的原則。[17]該原則源于人的信息自決權[18],即立法者承認每個人具有決定自己個人信息使用方式的權利。但需注意的是,此處的個人信息所指的,應當是可以明確指向特定人的可識別信息,而排除了匿名化處理后的信息。那是否可以理解為,被隱私計算加密過的密文已經擺脫原始數據所具有個人信息屬性而不需經數據主體同意授權即可使用。因此,數據處理者在收集、整合、分析被隱私計算經手過的數據時可以適當性地省略獲授權的環節。隱私計算之所以能夠彌合數據價值和隱私安全存在的二元對立,是因為其能夠在保證不泄露原始數據的前提下支持對數據分析計算的行為,這種實現數據“可用不可見”的新興技術手段達成了數據安全性與價值閉環。

(四)監管合規技術良善性

正確認識數據合規科技的正負面形象是善良運用的前提,只有深入把握其本身固有風險才能在適用過程中注意預防。信息技術在便利人類生產生活的同時,也形成了“獨立于人類的異化力量”[19]。區塊鏈、機器學習、隱私計算等前沿合規科技不可避免地存在客觀短板或是人為主觀植入的技術缺憾,且該缺陷在特定條件觸發下極易產生負面價值。數據合規技術具備顛覆性重構算法應用流程的潛力,且風險不容小覷。

算法是決定數據合規科技運行邏輯的內置本源,規范算法使之符合解釋權和透明性原則以實現算法合規,是引導數據合規科技良善的關鍵所在。在算法社會中,算法解釋權是保障和尊重個體自治性的首道屏障,是機器學習和數據科學領域倫理規范的核心要素,被視為算法時代對抗數據個體的主體性和自治性淪陷和喪失的“內在之善”。[20]算法透明經常被視為解決算法黑箱問題最直接、有效的方式[21],其核心在于要求算法控制者披露源代碼或者披露算法從輸入到輸出的基本邏輯。算法不予公開、不接受質詢、不提供解釋、不進行救濟,難免會有演化為“算法霸權”的風險。算法黑箱,特別是那些深度學習算法以及模塊化算法[22],在表象上呈現為算法共謀帶來的壟斷[23]、算法歧視導致的侵權[24]等,但在根本上很難讓人洞悉其背后的利益機制。算法黑箱的存在為運營者提供了規避法律和監管的便利,所以會出現利用算法掩蓋傳統商業行為的情況[25],算法黑箱在極大程度上加劇了算法輔助決策的風險。算法輔助決策風險攀升的本質是人越來越不可能掌握決策的依據信息和邏輯方法,也越來越不可能有足夠的精力參與到決策過程中去。規制算法黑箱的關鍵,是保持算法運作封閉性同時促成其與法律系統的相互溝通。政府作為進行數據合規強監管的主導者,應當領頭建立數據合規科技的專門性合規標準,以算法標準出發,從算法解釋性和算法透明兩個角度出發,有效結合價值層面與技術層面的要求,為數據合規科技的算法設計提供指引。[26]

數據合規科技善良與否的決定權很大程度保有在使用者手中,其在大多數場景下僅僅處于工具的角色定位,是企業等主體作為表達數據合規意志的介質。數據合規科技通常是按照一個使用者制定的基本假設來完成所有預設工作的,確保企業做數據合規治理應當為的行為。然而誰來決定企業應該怎樣落實數據合規具體標準呢,是企業自身還是政府?答案是,一個是由企業文化決定的,也即為企業決策層的基調,另一個就是由行政部門或政府機構強加給企業的法定義務決定的,且這些義務是由不斷變化、存在地區差異的法律法規決定的。[27]數據合規不是公司同意的經營策略,而是被政府和立法要求的經營方針。[28]基于理性經濟人的觀點,獲利才是企業開展經營的真實目的。數據合規科技在后續的發展過程中將會實現從賦能企業達成數據合規的善性工具向規避政府合規監管的惡性手段轉變。我們必須承認,數據合規科技的演化趨勢就是尋求自動計算精確的資本配置,以通過政府監管測試,同時實現回報最大化。[29]在這種被動合規的主觀狀態下,企業必須要建立道德文化來夯實數據合規意志,從道德自控層面來禁止實施數據處理違規行為。這一點在《美國量刑指南》中也得到邏輯論證,該準則規定“為了開展有效合規且道德的項目,企業應該推動形成一個鼓勵道德行為和承諾遵守法律的企業文化”。

四、結語

算法是數據合規科技發揮效能的核心語言,如何實現算法的可信控制,既是技術社群試圖從技術理性的角度解決的現實任務[30],也是法律人需要從制度理性的角度回應的時代命題。參考區塊鏈“以鏈治鏈”[31]的規制邏輯,嘗試“以技治技”。從數據合規技術本身出發,對算法進行倫理規制和定性測評,形成規制其發展的整體思路,實現信息技術內部閉環合規糾正。在法治層面,如何構建反制“反合規技術”的法律框架也是數據合規領域的熱點課題,有待學者進行進一步探究解惑。但就像“風險社會是現代性的自反性后果”這一經典命題所揭示,用以防控科技風險的法律有時恰恰是風險生產的誘因,因此尋找數據合規科技的技術與法治并行的規制路徑才是正確之道。增強數據合規技術本身的可靠性、穩定性等績效表現[32],并通過法律、行業規范、技術倫理等制度創建可信的治理環境,形成可信數據合規科技。