法治：大数据时代 个人隐私何处藏？

　　不仅是中国，如何调和数字经济发展与安全的矛盾是全球各国共同面临的难题。据统计，目前全球共有126个国家和地区制定了专门的个人信息保护法，内容包含建立专门的个人信息保护机构、强化数据权利主体的控制力和探索建立安全的数据自由流动规则等。

　　文|《小康》˙中国小康网记者 周叠瑶

　　毋庸置疑，数字经济时代已经来临。据统计，截至2018年底，中国数字经济规模达31万亿元，占GDP的三分之一。然而，正如任何新事物的发展都充满各种矛盾一样，数字经济发展的背后也充斥着各方主体对权力和利益的争夺。其中，最突出的一对矛盾就是企业对数据的收集、分析、存储和利用的权利扩张与个人数据隐私保护之间的博弈。

　　大数据领域立法进入“深水区”

　　2018年3月，百度公司董事长兼CEO李彦宏在中国高层发展论坛上说过这样一番话：“中国人对隐私问题的态度更加开放，相对来说也没那么敏感。如果他们可以用隐私换取便利、安全或者效率，在很多情况下他们就愿意这么做。”一石激起千层浪，李彦宏“用隐私换服务”的观点马上引来了不少人的口诛笔伐。虽然这句话颇具争议，但也从另一个侧面揭示了当下个人用户参与互联网经济的矛盾心理与尴尬处境：既想享受免费而便捷的服务，同时又不愿意让渡自己一部分隐私权利。

　　利益冲突需要解决，而法律存在的意义就恰恰在于解决人类生活中的各种矛盾。近年来，针对这一矛盾，国内大数据领域立法动作频频。从《民法总则》第111条关于个人信息保护的原则规定，到《消费者权益保护法》第29条明确规定经营者有义务维护消费者信息安全，到2015年《刑法修正案（九）》对非法获取公民个人信息罪进行了更加细致的规定并加大打击范围与力度，到2016年《网络安全法》首次明确“个人信息”的概念，再到《信息安全技术个人信息安全规范》中对个人信息保护的规范化，个人信息保护在法律上从原则性的规定逐渐落到实处，细化成可操作的规范。

　　“纵向来看，个人信息保护经历了从间接保护到直接保护的历史沿革。早期立法主要通过‘隐私权’等对个人信息进行较为间接的保护。近年来，立法中针对个人信息进行直接保护的趋势日趋明显。”中国信息通信研究院互联网法律研究中心主任方禹给出这样的评价。

　　2019年5月28日，国家互联网信息办公室正式发布《数据安全管理办法（征求意见稿）》（下称《管理办法》），并向全社会公开征求意见，这意味着大数据领域又一重磅法规发布，大数据领域立法已进入“深水区”。《管理办法》的重要地位毋庸置疑，北京市中伦律师事务所合伙人陈际红曾撰文表示，在2018年9月公布的“十三届全国人大常委会立法规划”中，《数据安全法》被列为“条件比较成熟、任期内拟提请审议的法律草案”。在《数据安全法》颁布之前，不妨将此办法视为一个“小数据安全法”。

　　本次面向社会征求意见的《管理办法》分为总则、数据收集、数据处理使用、数据安全监督管理和附则五个章节，共计40个条文。在北京金诚同达律师事务所律师、高级合伙人周俊武看来，一方面，《管理办法》赋予了用户更多权利，如用户有权向网络运营者查询、更正、删除个人信息；企业因业务需要确需扩大个人信息使用范围的，应当征得个人信息主体同意等。另一方面，《管理办法》也要求企业承担更多义务。如要求企业在通过网站、应用程序等产品收集使用个人信息时，应当分别制定并公开收集使用规则，且收集规则应当明确具体、简单通俗、易于访问。

　　此外，《管理办法》第23条也引起了法学界的广泛关注。该条款规定：网络运营者利用用户数据和算法推送新闻信息、商业广告等，应当以明显方式标明“定推”字样，为用户提供停止接收定向推送信息的功能；用户选择停止接收定向推送信息时，应当停止推送，并删除已经收集的设备识别码等用户数据和个人信息。陈际红认为，该条款保证了个人信息主体对于定向推送的自主选择，避免形成信息孤岛。

　　两难的抉择

　　数字经济的快速发展不仅催生了大量矛盾，也给立法者带来了挑战。方禹表示，互联网是现实社会的映射，适用传统的法律体系，但在部分环节和部分领域改变了传统法律关系要素的内容。在主体方面，互联网法律关系中增加了新的主体，原有主体的权利范围也发生了变化。在客体方面，增加了新的物、新的行为和新的智力成果。如刑事犯罪中针对互联网的犯罪，互联网本身即作为法律关系中的客体而存在，而电子合同、网络作品的出现则构成了新的行为和新的智力成果。在内容方面，互联网改变了现实社会相关活动当事人权利义务的平衡，如隐私权在网络时代更容易被侵犯且影响范围更大。

　　不仅是中国，如何调和数字经济发展与安全的矛盾是全球各国共同面临的难题。据统计，目前全球共有126个国家和地区制定了专门的个人信息保护法，内容包含建立专门的个人信息保护机构、强化数据权利主体的控制力和探索建立安全的数据自由流动规则等。

　　以美国和欧盟为例，二者在个人数据隐私保护领域就采取了迥异的立法模式。美国法模式的特点是分散立法而非制定统一的个人信息保护法，即在各个行业分别制定有关个人信息保护的法律规则、准则。不同于美国，欧盟选择了在政府主导下以立法手段规制个人信息领域问题的模式。2016年4月27日，欧盟通过了《一般数据保护条例》（General Data Protection Regulation）（以下简称“GDPR”）。GDPR经两年过渡期后取代1995年出台的《欧盟数据保护指令》（以下简称《指令》）并于2018年5月25日正式生效。这标志着欧盟建立了统一的个人数据保护法制。

　　GDPR的通过无疑是对个人信息保护领域做出的一次创新性尝试。根据GDPR第1条的表述，“本条例保护自然人的基本权利和自由，尤其是他们的个人数据保护权（their right to the protection of personal data）。”这意味着其突破了1995年《指令》将个人数据保护权归属于隐私权的权利属性，明确提出了个人数据保护权的概念，改变了以往该权利属性不明的状态。此外，GDPR还首次规定了删除权和数据便携性的权利。另外，GDPR对同意权的规定更为严格，数据主体的同意只能是具体的，不能被假设。

　　对美国和欧盟在个人信息保护领域立法的差异，方禹这样评价：“欧美两国在对该领域立法时，背后的逻辑截然不同。美国基于其自身信息通信产业优势地位，主张数据自由流动，所以立法更向数据收集者一方倾斜；而欧盟强调公民权利和自由，个人信息保护水平为全球最高。”

　　尽管美欧之间个人信息数据的保护程度存在差异，但跨境数据仍需要流动，这一问题已成为美欧间博弈的焦点。2000年，“安全港”的概念被首次使用，使美国公司的数据收集和处理行为能够达到相应的隐私权保护标准，从而消除了美国和欧盟间个人数据传送的障碍。然而，在2015年，也就是GDPR颁布的前一年，“安全港”协议被废除。尽管“安全港”协议被废除，但美欧之间仍存在价值2600亿美元的跨境数据贸易，2016年8月，“隐私盾”协议生效，代替了存续15年的“安全港”协议。方禹分析，这反映了欧盟对个人信息数据不断加强保护的倾向。

　　从2018年5月至今，GDPR已实施满一年。近日，美国智库信息技术和创新基金会（ITIF）下属的数据创新中心（Center for date innovation）发布了《GDPR实施一年以来的影响》报告。该报告指出，GDPR实施一年以来，有越来越多的证据表明该法律没有产生预期的效果，而且还可能导致很多意想不到的严重后果。此外，也有多个调研机构用数据证实了GDPR的弊端，比如：对欧盟经济产生负面影响、消耗公司资源、损害欧洲科技创业公司、降低数字广告行业的竞争力、未能增加用户的信任、未能在成员国之间统一实施等。

　　在数字经济时代下，企业和个人如同站在天平两端的两个主体，有合作也有冲突。究竟天平应向哪一边倾斜，每个国家都有自己的选择。然而，不管选择哪一方，矛盾都始终存在，无法彻底弥合。

责任编辑：霍琦