|
本周阅读书目为《大数据时代》，本书中有提及旧的个人信息保护规则已经不再适应当前个人信息保护的需求，联想到上学期梅夏英教授来法学院做的《民法典与信息数据保护》讲座中有关个人信息的内容，二者呼应之下，呼唤适应大数据时代个人信息保护需求的规则便成应有之义。我查阅了一些文献，列个人思考如下。 我国似乎并无针对个人信息保护的专项立法，欧盟2018年实施的《一般数据保护法案》（GDPR）为我们提供了一个可以研究的样本。该法案涵盖范围广泛，包括民族、生理心理性征、姓名身份等各种自然人的个人信息。这与本书中大数据的特点直接印证，表明种类繁多的信息确实应被纳入个人信息保护的范畴，否则难以应对大数据对于“信息匿名化”的冲击。 从内容上来看，该法案可以分为三大部分。首先是数据主体的权利。该法案规定了七大类数据主体权利，如访问、纠正、禁止处理、可取得、反对等，其中我认为和本书直接相关的是被遗忘权和自动个人决策制度。本书作者认为企业在利用大数据的同时应当履行在时间限制内删除的义务，从而避免数据主体在互联网上的使用痕迹对数据主体产生不必要的影响甚至损害，法案中关于被遗忘权的规定显然体现了本书作者的长远预见。关于自动个人决策，坦白讲我应该去搜索该词语的正确翻译（automatedividual decision making），原因在于其字面翻译似乎并不能表达其含义。该制度意指仅仅基于自动化处理数据而产生的结果，便对数据主体进行有可能对其产生重大影响的评估，或者直接在其身上施加影响其权利的决定，是不具有约束力的。本书中，作者曾提及要避免数据独裁之下，纯粹的逻辑推演产生的误判以及大数据对于自由意志的干预所产生的负面影响。显然，作者、欧盟立法机关都认识到了大数据不能解决所有问题，正如作者所言，大数据在因果关系上无能为力。因此，对滥用大数据的行为的限制便成为应有之义。 该法案的第二大部分可以概括为数据控制者、使用者的义务。本书作者曾提及，对个人信息的保护应当由数据主体许可制度向数据收集、使用者承担责任的制度转变；对数据进行模糊化处理；强调职业算法师的参与等。而该法案对于数据控制着、使用者的义务设定，显然也体现了本书作者的思考。一方面，数据控制着和使用者需要合规获得、使用数据，如告知信息、获得同意、合法处理、采取必要的保护措施等等；另一方面，对于已经发生的数据危险，应当及时进行通知，对于未发生的潜在危险，需要进行提前的评估、设立数据保护官专人监督。可见，该法案对数据控制着、使用者施加了从数据获取到数据处理再到数据保护多重方面的义务，体现了作者所言之信息保护主体的迁移。 该法案的第三部分可以称之为法律责任，即数据控制者、使用者实施了违法行为后应当承担的责任，包括民事赔偿责任和公共政策上的行政处罚等，违法行为将面临以其全球总营业额之百分比计算的高昂处罚。综上所述，通过分析欧盟现行数据保护制度可知本书作者准确的预见与判断，也应从此分析我国个人信息保护应当汲取的经验。 首先，诚如作者所言，大数据时代已经成为现实。数据主体“公开”个人信息可以被视为牺牲这部分信息的隐私性来换取高效便捷的生活条件。换言之，如果否认这种现状，对个人信息进行越界的保护，如将其认定为隐私权，便会对社会经济运行产生不可低估的抑制作用。梅夏英老师认为，个人信息不应当被视作人格利益，而是可以被财产化的客体，因而无关个人尊严，其被使用的目标和价值决定了对个人信息的使用是否会有损信息主体的安全。可见，对于个人信息的态度，应当是有条件的保护而非无条件的限制。本书作者和欧盟给出的赋予个人信息控制者、使用者更高义务要求的方案，值得借鉴。一方面，随着技术的发展，普通人难以对个人信息经过大数据处理后对自己产生的影响有清晰的认知，另一方面，大数据时代对个人信息的使用又极易产生对数据主体不良的影响。因此，适当地让渡自由意志，改变基于自由意志的“知情同意规则”，强调对于信息使用者、控制着的法律义务和责任，似乎是未来我国个人信息保护的应有之义。 其次，欧盟这部法案和作者的论述也提醒我们，大数据时代的个人信息保护仅仅套用传统民法领域的制度似乎已有力有不逮之趋势，出台针对个人信息保护的部门法，响应时代立法需求也应当尽快提上日程。对于个人信息的定义、范围、信息主体的权利、信息使用者、控制者的义务等规则，特别是涉及用户对于自身数据感知的透明度、参与度等方面的规定，将弥补我国立法在这些方面的缺失。而对于各方承担的责任的规定，将是中国个人信息保护制度的最终保障。 最后，大数据本身应当是工具而非目的，要警惕麦克纳姆拉式的数据崇拜，令个人信息、大数据为人服务，将其置于人类道德、法律的语境下使用，从而尽可能在保护与利用之间找到相对的平衡点。
| 
发表于 2021-3-28 22:57:14