進入“無人區” 大數據法治要創“中國規則”

　　2018年的頭幾天，由個人隱私信息而起的數據安全問題，成為輿論焦點。

　　在朋友圈刷屏的“支付寶年度賬單”被質疑默認用戶同意《芝麻服務協議》，涉嫌誘導用戶同意讓渡個人數據權利。很快地，芝麻信用方面給出了語氣誠懇的道歉，自稱“方法愚蠢至極”，其兄弟公司支付寶也表示，要“一起承擔”責任。

　　隨著中國數字經濟蓬勃發展，數據的價值也日益凸顯，但個人信息保護與數據利用之間的矛盾始終是個難題。實際上，這次事件也是當前個人數據安全領域所面臨挑戰的一個縮影：個人用戶在網絡平臺上產生、使用的很多數據具有商業價值，往往會被網絡平臺經營者所收集、存儲，甚至分析、流通，而個人用戶卻常常處于不知情的被動狀態，保護措施則總是遲了一步。

　　剛剛過去的2017年下半年，多個監管部門聯合開展隱私條款專項工作之后，微信、微博、支付寶、京東等網絡平臺紛紛更新了用戶隱私協議，監管部門和企業單位對用戶隱私的保護正在強化。

　　發生在2018年頭幾天的這次事件既像是對過往類似事件的回顧，也像是對今后大數據時代個人生活的預測：面對個人信息保護與大數據流通利用之間的矛盾，我們真的做好準備了嗎？

　　知情同意是原則 但常被漠視

　　像以前一樣，元旦假期支付寶為每個用戶在2017年的消費制作了一份漂亮的賬單，還生成了“2018關鍵詞”，這份賬單也迅速刷屏朋友圈。

　　但此后有用戶質疑，查看“支付寶年度賬單”時疑似“被同意”了《芝麻服務協議》，且該協議的同意授權字體偏小、顏色不明顯。岳成律師事務所合伙人岳山發微博稱，該賬單的查看其實和《芝麻服務協議》沒有關聯性，所以用戶選擇“取消同意”，依然能夠看到年度賬單。但如果用戶沒注意到，就會直接同意這個協議，允許支付寶收集用戶的信息，包括在第三方保存的信息。

　　此后，“支付寶年度賬單”引發了網絡上的口誅筆伐。

　　華東政法大學數據法律研究中心主任高富平教授告訴中國青年報·中青在線記者，該事件最主要的問題是沒有以顯著方式提示用戶，瀏覽該年度賬單意味著同意芝麻信用的服務協議，以較為隱蔽方式且默認勾選，使用戶在不知情的情況下作出選擇，違反了個人信息收集的知情同意原則。

　　對于包括個人信息在內的網絡數據收集和使用，我國法律最基本的原則是“合法、正當、必要”，知情同意、“不得收集與其提供的服務無關的個人信息”也是其中的重要要求。

　　事實上，中國消費者在享受便利的網絡服務的同時，也經常面臨著個人數據權利“被同意”、被漠視的現實威脅。中國人民大學未來法治研究院等發布的《2017個人信息保護年度報告》(以下簡稱《報告》)對1500多個App與網站的隱私政策進行過測評，結果顯示，參評平臺普遍存在用戶權利條款缺失、文本雷同、更新緩慢、暗藏格式條款等通病。此外，應用商過度要求用戶授權，在未對用戶進行明示的情況下，大量獲取用戶個人信息現象十分嚴重，手機錄音、通話記錄、短信等關系個人隱私的部分經常被越權讀取。

　　《報告》在6個安卓應用市場以關鍵詞排名前后順序，選取了50款“王者榮耀”周邊應用作為研究樣本，結果發現，50個App覆蓋了28個隱私相關權限，其中有23個App的權限“越界”。

　　而用戶若想具體知道一款App獲取了哪些權限則十分困難。比如，某App在簡介中稱只會讀取用戶6項權限，但安裝時彈出的提示則列出了20項權限，技術檢測發現，其App安裝包中又至少向安卓系統申請了21項權限的許可。

　　雙刃劍：數據安全與流通之間的矛盾

　　雖然“知情同意”被視為網絡數據安全的基本原則之一，但在實際商業應用中，這一權利經常被網絡平臺經營者濫用。用戶點擊同意服務協議后，往往并不知道涉及個人信息的數據有可能被分享和流通給哪些第三方機構。流通出去的數據將被如何利用、有沒有使用年限、如何終止數據使用授權等細節問題，往往也沒有確切答案。

　　芝麻信用的《芝麻服務協議》中寫到，其可以直接向第三方提供用戶信息，且在用戶與第三方的業務關系尚未終結的情況下，用戶無權撤銷第三方的信息查詢授權。在當前的大數據產業中，“一次授權等于終身授權”早已是一種普遍做法，由此引發的網絡平臺之間的數據分享、流通如何才能合理合規的爭議屢見報端。

　　根據現行法律，網絡平臺經營者向第三方提供平臺用戶的數據，主要有兩種合法途徑：一是用戶的同意，二是個人信息“經過處理無法識別特定個人且不能復原”的情形下。

　　但這兩個合法途徑有許多解釋空間。“例如，用戶最初的概括式同意算不算數？什么是‘無法識別’‘不能復原’？這些并不清晰。”據高富平介紹，當前何謂“合法向第三方提供數據”并沒有明確的法律規定，沒有明確的規則指引擁有數據的人向他人合法提供數據。

　　芝麻信用《芝麻服務協議》要求用戶同意在服務終止后，芝麻信用仍可繼續保留和使用雙方服務期間形成的信息和數據，但芝麻信用不會再主動收集用戶的任何信息。

　　用戶終止使用網絡平臺的服務后，數據該繼續保留和利用，還是刪除？上述《報告》指出，在網絡創業風潮中衰亡的企業，遺留了大量的用戶數據，對這些用戶數據該如何處理，目前行業還沒有達成共識，政府的監管也仍然處于模糊地帶。如果這些數據被濫用，不亞于一顆潛藏的“定時炸彈”。

　　從征信業的監管要求來看，繼續保留是合規的，但也有特定條件。《征信業管理條例》第十六條規定：征信機構對個人不良信息的保存期限，自不良行為或者事件終止之日起為5年；超過5年的，應當予以刪除。

　　觀韜中茂(上海)律師事務所合伙人、律師王渝偉表示，在除征信業以外的大多數行業，用戶終止使用網絡服務后，平臺都應該及時刪除數據，但在現實情況中，這一要求往往難以落實。網絡平臺到底有沒有數據備份和恢復？外界有沒有足夠的能力和人員去監督？這些問題并沒有確切答案。

　　法治要跟上大數據的腳步

　　王渝偉認為，造成“有規定但難落實”情況的主要原因還在于，大數據產業出現的種種新問題，相應的法律規定總是難以跟上，諸如服務終止后數據是否應刪除這類細節問題并沒有相應的規定，而且執法機構也不見得具備相應的執法和審查能力。

　　在高富平看來，如何獲取個人數據和信息一直是困擾包括芝麻信用在內的許多公司的難題。“該事件說明，規范個人數據流通行為，為個人數據流通使用提供清晰的規則已迫在眉睫了。”

　　事實上，中國在數據流通利用與個人信息保護之間已有了制度安排。2017年6月1日，《網絡安全法》和最高人民法院、最高人民檢察院發布的司法解釋同日實施，首次對侵犯公民個人信息的行為和適用法律進行了進一步的明晰，對網絡運營者的網絡安全管理義務做了詳細規定，同時也設立了個人信息和重要數據本地化存儲和跨境傳輸安全評估制度。

　　但在業內看來，目前的制度安排仍有不足。在具體實踐中，許多平臺的違規行為不易判斷、缺乏證據，個人用戶很難維權，因此公益訴訟成了當前為數不多的應對辦法。

　　2017年12月11日，江蘇省消費者權益保護委員會對北京百度網訊科技有限公司涉嫌違法獲取消費者個人信息及相關問題提起消費民事公益訴訟。2018年1月2日，南京市中級人民法院立案。

　　此前，江蘇省消保委對27家手機App開發企業的調查發現，普遍存在侵犯消費者個人信息安全的問題，并向其發送約談函，百度也在被約談之列。約談后，江蘇省消保委認為“手機百度”“百度瀏覽器”兩款手機App中“監聽電話”“讀取短彩信”“讀取聯系人”等涉及消費者個人信息安全的相關權限拒不整改，因而，其向百度提起公益訴訟。

　　制度安排的不健全是維權難的原因之一。北京師范大學法學院教授劉德良認為，當前關于數據法治的制度安排太過重視事前的授權同意，對事中事后的監督不夠重視。

　　“如果商家收集、交易的個人數據不能識別用戶個人隱私信息，這其實是可以允許的，否則法律應該打擊，事后的處理其實更急迫。”劉德良建議，關于數據合規流通和個人信息保護的制度安排應該轉變思路，在事后的個人信息違法濫用上發力。“電話號碼、銀行賬號被泄露出去其實不要緊，要緊的是不能被濫用，對個人形成騷擾。”

　　重慶大學國家網絡空間安全與大數據法治戰略研究院院長齊愛民表示，在個人信息保護方面，定罪量刑中“個人信息的數量”如何界定是司法實務界面臨的難題；在數據合規流通方面，關于個人信息保護的法律規范雖然很多，但還存在效力層級低、分散保護等問題。

　　我國的數據法規制度學習的是歐盟模式，強調保護個人信息，但這類模式也存在一定爭議。劉德良認為，這種立法和理論模式將個人信息、個人隱私和個人數據的概念混同，看似很注重保護用戶利益，但由于缺乏可操作性而在客觀上不利于用戶利益，也不利于大數據產業的發展。

　　作為長期關注大數據行業的律師，王渝偉注意到，近年來數據流通和個人信息保護之間的沖突案例越來越多，而其中有很多是歐盟模式或美國模式所難以涵蓋的。在他看來，我國大數據領域的法規建設和技術開發一樣，一定程度上都進入了“無人區”，“很多問題不見得國外就有很好的借鑒案例，還需要我們自己探索”。

　　高富平也表示，國際社會有關個人信息保護的規則大致形成于30年前的前互聯網時代，當時大數據尚未流行。而在個人數據的使用場景、使用方式均發現巨大變化的今天，制度安排需要改變。“我們不需要移植過時的保護規則，而是需要適應大數據時代的特點和社會需要，創制中國的規則。”（見習記者 王林）