摘要：在大數(shù)據(jù)時代，信息控制者對于個人信息有很強的利用激勵而缺乏同等程度的保護激勵。如果法律規(guī)則只是簡單施加各種禁止性或者強制性規(guī)定，勢必因為激勵不相容影響有效實施。盡管立法模式不同，不論歐盟還是美國，近年來都在探索建立激勵相容的個人數(shù)據(jù)治理體系。我國目前的個人信息保護相關(guān)立法存在法律要求與信息控制者內(nèi)部治理機制脫節(jié)、刑法制裁與其他法律手段脫節(jié)、責(zé)任規(guī)范與行為規(guī)范脫節(jié)等問題。個人信息保護法應(yīng)以培育信息控制者內(nèi)部治理機制為目標，以構(gòu)筑有效的外部執(zhí)法威懾為保障，促使信息控制者積極履行法律責(zé)任，并對違法行為予以制裁。個人信息保護法應(yīng)確認信息主體在公法上的個人信息控制權(quán)，不能也不應(yīng)該回避基本權(quán)利話語。個人信息保護法的實施，需要先從信息安全風(fēng)險管理角度切入，由易到難，循序漸進，推動激勵相容機制實現(xiàn)。
關(guān)鍵詞：激勵相容；個人信息保護法；個人信息控制權(quán)；信息安全風(fēng)險；大數(shù)據(jù)時代
一以激勵相容為制度設(shè)計的核心
國內(nèi)外學(xué)術(shù)界對于中國改革開放基本經(jīng)驗的主流總結(jié)，無外乎中央與地方關(guān)系上的縱向分權(quán)改革和政府與市場關(guān)系上放松管制的市場化改革。“我國經(jīng)濟體制改革最核心的內(nèi)容就是實現(xiàn)由傳統(tǒng)的計劃經(jīng)濟向社會主義市場經(jīng)濟體制的轉(zhuǎn)軌”，國家通過分權(quán)與市場化改革，調(diào)動地方政府與市場主體的積極性與創(chuàng)造性，形成推動經(jīng)濟發(fā)展的巨大合力。不同的理論解釋，內(nèi)在邏輯均是強調(diào)通過激勵機制調(diào)整來調(diào)動各級政府或者市場主體的積極性與創(chuàng)造性，走出一條中國的大國發(fā)展道路。與經(jīng)濟發(fā)展相適應(yīng)，中國社會治理變遷的主要方向，也是“從一元治理到多元治理、從集權(quán)到分權(quán)、從人治到法治、從管制政府到服務(wù)政府、從黨內(nèi)民主到社會民主”。從管理到治理的轉(zhuǎn)變，蘊含的是多元主體的互動、協(xié)商與合作，而不再僅僅依靠過去自上而下單方面的控制與命令。
中國發(fā)展道路選擇不僅符合本國國情，也與近年來國際上政府改革的普遍經(jīng)驗契合。20世紀70年代末以來，全球范圍掀起了洶涌澎湃的行政改革浪潮，被稱為新公共管理運動，其基本特征包括公民為本、市場化、結(jié)果導(dǎo)向、分權(quán)協(xié)作、民主參與、多中心自主治理等。新公共管理運動的實質(zhì)是基于激勵約束機制，構(gòu)建多方合作治理的有效格局。學(xué)術(shù)界認識到，“與高度復(fù)雜性和高度不確定性的時代相適應(yīng)的社會治理模式應(yīng)當是一種合作行動模式，只有多元社會治理主體在合作的意愿下共同開展社會治理活動，才能解決已出現(xiàn)的各種各樣的社會問題，才能在社會治理方面取得優(yōu)異的業(yè)績”。
傳統(tǒng)法律理論認為，法律是主權(quán)者的命令，是必須遵守的規(guī)范，令行禁止是其基本特征。因此，傳統(tǒng)立法規(guī)制方式通常是命令控制方式，表現(xiàn)為禁止性規(guī)范或者義務(wù)性規(guī)范，要求被管理對象不得或者必須為某些特定行為。這種規(guī)制方式有很多弊端，包括：要求很強的執(zhí)法能力，否則命令會被普遍漠視;由于信息不對稱，這種命令可能與市場規(guī)律脫節(jié)，遏制市場主體創(chuàng)新能力與守法誘因;執(zhí)法部門權(quán)力過大，可能會導(dǎo)致選擇性執(zhí)法或者“執(zhí)法捕獲”等問題。在全球行政改革浪潮中，傳統(tǒng)的命令控制式規(guī)制受到廣泛批評，激勵性監(jiān)管得到重視，人們發(fā)現(xiàn)規(guī)則如果能夠與被管理者激勵相容，會極大降低執(zhí)法成本，提高合規(guī)動力。因此，法律規(guī)則除了命令、禁止以外，還可以發(fā)揮引導(dǎo)作用，調(diào)動被管理者的守法誘因。如何設(shè)計這種激勵相容機制，是規(guī)范實施的成敗關(guān)鍵。
理論研究與國內(nèi)外實踐發(fā)展均表明，政策或者立法如果激勵不相容，會形成“管理型”立法，而不是“治理型”立法。這樣制定出來的政策或者法律，實踐中難以得到執(zhí)行，還可能導(dǎo)致執(zhí)行成本高、規(guī)制對象抵觸、執(zhí)行效果差、執(zhí)行權(quán)威受損、運動式執(zhí)法、選擇性執(zhí)法甚至執(zhí)行部門造假等連鎖問題。在我們“所制定的法律、法規(guī)中，絕大多數(shù)事實上沒有被當作法看待，沒有起到法所應(yīng)起的作用”，首要根源在于“立法違背科學(xué)，或立法技術(shù)存在問題，使法不能實行或難以實行”。
我國制定個人信息保護法，不能脫離大的制度背景，有必要從中國改革開放的基本經(jīng)驗和全球行政改革的大趨勢中吸取養(yǎng)分，避免或者少走彎路。在大數(shù)據(jù)時代，由于數(shù)據(jù)本身的特性，信息控制者有很強的利用激勵而缺乏同等程度的保護激勵。如果法律規(guī)則不能因勢利導(dǎo)，只是簡單施加各種禁止性或者強制性規(guī)定，勢必因為激勵不相容影響有效實施。
隨著信息技術(shù)發(fā)展，數(shù)據(jù)傳輸、儲存、計算成本快速下降，數(shù)據(jù)開始成為資源。大數(shù)據(jù)不僅具有容量大、類型多、存取速度快等特點，還可以通過分析技術(shù)“使數(shù)字信息成為知識，支持智能決策”，產(chǎn)生新價值。這樣，大數(shù)據(jù)不僅給信息控制者帶來巨大經(jīng)濟收益，也給消費者(包括信息主體)帶來免費使用、高品質(zhì)服務(wù)、快速迭代創(chuàng)新等各種便利。凱文·凱利在對未來20年商業(yè)科技發(fā)展預(yù)測的一次講演中提出，在大數(shù)據(jù)時代，“所有生意都是數(shù)據(jù)生意”，“個人數(shù)據(jù)才是大未來”。舍恩伯格更明確指出，“大數(shù)據(jù)的核心就是預(yù)測”。在大數(shù)據(jù)時代，數(shù)據(jù)對于信息控制者而言，就是生產(chǎn)要素和行動指引。信息控制者必然會充分利用大數(shù)據(jù)揭示的相關(guān)性，提前預(yù)測信息主體和社會的各種需要，提供精準的定制化產(chǎn)品或服務(wù)。對于國家而言，數(shù)據(jù)早已成為各國基礎(chǔ)性戰(zhàn)略資源，大數(shù)據(jù)發(fā)展成為國家戰(zhàn)略的一部分。
大數(shù)據(jù)由人、機器或者傳感器產(chǎn)生。其中，最基本、最有價值的是個人信息，由用戶活動產(chǎn)生，“收集和整理個人信息都是獲取權(quán)力的方式，通常以信息主體為代價”，因此需要在個人信息保護與大數(shù)據(jù)發(fā)展之間實現(xiàn)平衡。不同于其他生產(chǎn)要素，數(shù)據(jù)具有公共產(chǎn)品才具有的非排他性、非獨占性特點，可以反復(fù)使用、共享，這使信息控制者對個人數(shù)據(jù)保護遠不如對其他私有財產(chǎn)保護重視，容易產(chǎn)生各種疏忽現(xiàn)象。在網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)具有隨時產(chǎn)生、多點存儲、多次開發(fā)、跨場景應(yīng)用、多人經(jīng)手、跨國界傳輸、收集與處理分離、生命周期短、孤立數(shù)據(jù)本身并不產(chǎn)生價值、需要技術(shù)解決方案等特點，若全部都加以保護，技術(shù)、經(jīng)濟上有很大難度，會產(chǎn)生很高的保護成本。并且，隱私與隱私之間也需要權(quán)衡，在一端加強對隱私的保護，會在另一端產(chǎn)生弱化對其保護的結(jié)果。數(shù)據(jù)發(fā)生泄露的情形非常復(fù)雜，個人數(shù)據(jù)濫用的受害者是信息主體，不是信息控制者。信息控制者很難有充分的激勵與能力保護個人數(shù)據(jù)，只是被動應(yīng)付法律要求。
在信息控制者利用激勵與保護激勵明顯失衡的結(jié)構(gòu)下，如果缺乏外部干預(yù)與政府監(jiān)管，勢必產(chǎn)生“叢林法則”和對個人信息的肆意濫用，這是各國普遍重視個人信息保護、個人信息保護法成為全球性立法趨勢的根本理由。我國近年來也明顯加強了立法與制度建設(shè)的步伐，從多方面加強對個人信息的保護力度。但是，在信息控制者激勵失衡的背景下，如果立法缺乏科學(xué)性，只是簡單施加各種強制性外部要求，忽視信息控制者內(nèi)在激勵機制設(shè)計，并不能消除失衡根源。從概率角度看，利用與保護之間失衡的可能性仍然很大，占四分之三的比例：外部監(jiān)管過于嚴格，抑制大數(shù)據(jù)開發(fā)利用;缺乏監(jiān)管或者監(jiān)管要求普遍不被遵守，大數(shù)據(jù)利用以犧牲個人信息保護為代價;監(jiān)管游移不定，忽左忽右，陷入既沒有大數(shù)據(jù)利用也難以保護個人信息的雙輸格局。只有外部要求與內(nèi)生激勵相容，才能夠?qū)崿F(xiàn)大數(shù)據(jù)利用與個人信息保護協(xié)調(diào)發(fā)展，其概率只有四分之一。
在大數(shù)據(jù)時代來臨之前，個人數(shù)據(jù)實際處于未被利用的沉睡狀態(tài)，激勵失衡問題并未被激活。至大數(shù)據(jù)時代，隨著數(shù)據(jù)價值逐步被認識，信息控制者利用數(shù)據(jù)的激勵越來越強烈，激勵失衡現(xiàn)象會愈發(fā)突出，法律實施遇到的挑戰(zhàn)也會越來越大。因此，大數(shù)據(jù)時代的個人信息保護，絕不僅僅是制定個人信息保護法那么簡單。真正的挑戰(zhàn)在于，如何通過科學(xué)的立法與制度設(shè)計，理順立法要求與信息控制者內(nèi)在激勵之間的關(guān)系，使個人信息保護成為信息控制者的內(nèi)在需要。這是個人信息保護法制度設(shè)計的目標和最終評價標準。
二準確理解歐美個人信息保護法的新發(fā)展
歐盟與美國個人信息保護法律路徑不同，兩種模式的差異是客觀的，也是明顯的。但是，國內(nèi)過去比較歐美個人信息保護法律，普遍缺乏對兩種模式實際運行狀況以及共性的研究，存在簡單的揚美抑歐現(xiàn)象。不少人認為歐盟國家不重視大數(shù)據(jù)發(fā)展、美國不保護個人隱私，并將制定個人信息保護法與阻礙創(chuàng)新(歐盟模式)畫上等號，將不保護隱私與更有利于創(chuàng)新(美國模式)畫上等號，人為制造了隱私保護與創(chuàng)新不可兼得的兩難局面。這種貼標簽式的研究方法，既限制了比較研究的深度和廣度，與現(xiàn)實情況存在很大出入，更改變不了美國經(jīng)驗無法學(xué)、歐盟引發(fā)的國際立法趨勢無法逆轉(zhuǎn)的大格局。其實，大數(shù)據(jù)發(fā)展與個人信息保護的平衡作為這個時代的最大挑戰(zhàn)之一，歐盟與美國分別面臨各自的問題，都難言找到了完美的解決方案，對后發(fā)國家最重要的是要從歐美的經(jīng)驗與教訓(xùn)中探索個人數(shù)據(jù)治理的成功之道。
隨著大數(shù)據(jù)時代來臨，從實證出發(fā)，探討個人信息保護的有效實施機制，而不僅僅是關(guān)注法律規(guī)定的差別，已經(jīng)成為近幾年國際上、尤其是美國隱私法律研究的新熱點。不論名稱叫新治理、合作規(guī)制、合作治理還是叫回應(yīng)性規(guī)制、激勵規(guī)制等，其背后的機理均在于發(fā)現(xiàn)有效的激勵機制，調(diào)動被管理對象參與治理的積極性，提高執(zhí)法效果。最新國際實證比較研究成果表明，歐美兩種模式實際上存在某些共同規(guī)律可循，而歐盟不同國家之間的差別也比過去想象的要大得多;不管哪種模式，不論法律多么嚴格，只有激勵相容才會取得預(yù)期保護成效，不相容則難以得到執(zhí)行，甚至?xí)䦟?dǎo)致既阻礙創(chuàng)新又保護不了個人信息的雙輸結(jié)果。因此，成敗的關(guān)鍵不在于法律規(guī)定的模式差別，而在于個人數(shù)據(jù)治理的制度設(shè)計是否科學(xué)。探索中國個人數(shù)據(jù)治理之道，必須超越歐美兩種模式的簡單法規(guī)范對比，既要看到兩種模式的差別，更要從兩種模式中吸取有益的經(jīng)驗。只有這樣，才能博采眾長，走出一條符合我國國情的個人信息保護法治道路。
2010年，兩位美國學(xué)者發(fā)表《書本上與實踐中的隱私》一文，通過對行業(yè)公認的首席隱私官的大量訪談，對美國企業(yè)過去15年間隱私政策的執(zhí)行狀況首次進行實證研究。隨后，他們擴大研究范圍，對四個歐盟國家(德國、法國、英國、西班牙)的企業(yè)隱私實踐進行研究，大量訪談企業(yè)隱私官員、政府官員與學(xué)者，并于2015年出版《實踐中的隱私——推動美歐企業(yè)行為》，其中很多發(fā)現(xiàn)讓人耳目一新，獲得各界廣泛關(guān)注與好評。他們的重要結(jié)論包括：(1)美國與英國企業(yè)的隱私官員一般從避免給消費者預(yù)期造成損害的風(fēng)險管理角度看待隱私保護，其他三個歐洲大陸國家企業(yè)的隱私官員基本從人權(quán)角度看待隱私，回避采用風(fēng)險和消費者損害話語。(2)盡管在基本觀念、實體法律以及執(zhí)法機構(gòu)等方面存在很大差異，美國與德國的企業(yè)基本以相同的方式對待隱私管理。兩國隱私官員都將隱私保護當作戰(zhàn)略問題，需要考慮的遠遠超出單純遵守特定的法律規(guī)則;都將隱私當作不斷演變、面向未來和依賴語境變化的社會價值，而不僅僅是個人同意與控制;都有有權(quán)并且相對自主的職業(yè)隱私官員，能夠接觸企業(yè)高級管理層，參與企業(yè)重要決策，并與外部利益相關(guān)者密切互動;活動很多都涉及戰(zhàn)略性議題而不純粹是操作層面的議題，職能遠超“合規(guī)”要求，因而使企業(yè)內(nèi)部的隱私?jīng)Q策能夠與企業(yè)的戰(zhàn)略決策、核心價值相互整合;作為企業(yè)高級雇員，隱私官員既能夠自上而下指揮，也能夠直接與董事會溝通;企業(yè)內(nèi)部都通過分布式網(wǎng)絡(luò)進行隱私管理，由職業(yè)隱私官員和業(yè)務(wù)單位中經(jīng)過專門培訓(xùn)的雇員組成執(zhí)行網(wǎng)絡(luò)，從產(chǎn)品設(shè)計、業(yè)務(wù)開發(fā)的早期階段就將隱私保護與業(yè)務(wù)開發(fā)緊密相聯(lián)，實現(xiàn)雙向溝通。(3)美國與德國企業(yè)的做法截然不同于法國、西班牙與英國企業(yè)的做法。西班牙與法國的企業(yè)很大程度上將隱私職能作為遵守確定的法律命令，哪怕自己懷疑做不到也要嚴格執(zhí)行。英國企業(yè)也同樣重視法律，但對于執(zhí)行前景更為樂觀。英國的首席隱私官在企業(yè)中的地位比美國、德國的同行要低好幾個級別，能夠得到的資源和參與高層決策的機會都少得多，無法在企業(yè)內(nèi)部構(gòu)建有效的分布式執(zhí)行網(wǎng)絡(luò)。西班牙、法國企業(yè)的隱私官員大部分都單線歸屬于合規(guī)或者法務(wù)部門，主要工作是滿足數(shù)據(jù)登記、使用和報告等要求，隱私保護與產(chǎn)品、業(yè)務(wù)開發(fā)相互脫節(jié)，也缺乏執(zhí)行隱私保護的分布式網(wǎng)絡(luò)結(jié)構(gòu)。(4)從法律規(guī)則實施有效性方面評價，規(guī)則越原則，企業(yè)的隱私管理實踐越有效，德國與美國屬于此類;規(guī)則要求越具體，執(zhí)行權(quán)越集中，企業(yè)就越容易只是遵守合規(guī)要求，而不是將隱私保護內(nèi)化為行動，法國、西班牙屬于此類。(5)在變化的環(huán)境下，法律規(guī)則要促進企業(yè)承擔(dān)更多責(zé)任，需要原則性立法和開放式監(jiān)管，并輔之以能動的監(jiān)管者和有效的外部利益相關(guān)方監(jiān)督;搭建跨界、包容的隱私保護共同體，使政府、企業(yè)和社會的隱私專業(yè)人員能夠密切互動，反過來鞏固企業(yè)隱私官員在公司的地位;充分曝光隱私保護失敗事例，包括數(shù)據(jù)泄露通知，加強媒體、非政府組織和公眾監(jiān)督，促使企業(yè)加大對隱私保護的重視和投入。兩位學(xué)者的上述發(fā)現(xiàn)與研究結(jié)論不僅在一定意義上打破了通常的美國與歐盟兩大模式的刻板劃分，也深化了對企業(yè)內(nèi)部隱私保護實施機制與個人信息保護法作用機理的認識。
另一項同樣基于大量訪談的實證研究發(fā)現(xiàn)，荷蘭作為歐盟國家，其二十多年的隱私法律實施并不是通常理解的單純政府監(jiān)管，而是體現(xiàn)了政府部門與業(yè)界的合作治理精神。荷蘭制定隱私保護法律以后，其實施都是先由各個行業(yè)協(xié)會提出企業(yè)行為規(guī)范，先后有銀行、保險、直接營銷等二十多個行業(yè)提出了本行業(yè)的企業(yè)行為規(guī)范，以避免政府直接監(jiān)管導(dǎo)致的信息不對稱問題;然后，各個企業(yè)行為規(guī)范需要經(jīng)政府批準后才能實施，以避免純粹的行業(yè)自律機制可能導(dǎo)致的力度不夠、運動員與裁判員不分現(xiàn)象。荷蘭實踐中的這些做法，正好是美國政府致力于推進隱私法律制度改革的方向，美國有大量的改革計劃都與荷蘭的經(jīng)驗相似。這樣，通常理解的美國、歐盟兩大模式劃分，其實掩蓋了各國對于合作治理方式的共同探討。更值得關(guān)注的是，美國致力于學(xué)習(xí)的荷蘭經(jīng)驗，在歐盟《一般數(shù)據(jù)保護條例》(下稱《條例》)中得到了重視，規(guī)定了“經(jīng)批準的行為規(guī)范”具有證明跨境個人信息傳輸合法性的法律效力，這是歐盟《關(guān)于個人數(shù)據(jù)處理及其自由流動的個人保護第95/46/EC號指令》(下稱《個人數(shù)據(jù)保護指令》或《指令》)所缺乏的內(nèi)容，也是歐盟在推進合作治理方面的一個重大進步。
有學(xué)者通過對愛爾蘭、美國兩個國家行政執(zhí)法部門2011年對Facebook的執(zhí)法調(diào)查案例比較研究發(fā)現(xiàn)，盡管兩個國家個人信息保護法律規(guī)定差別很大，但由于執(zhí)法部門都采用了更為有效的回應(yīng)性規(guī)制方法，通過執(zhí)法協(xié)議要求企業(yè)持續(xù)改進其隱私保護實踐，而未采用常規(guī)的對抗式處罰方式，因此“使大洋兩岸之間的明顯差別難以區(qū)分”。這樣的友好型處理既能更靈活地適應(yīng)技術(shù)變化帶來的規(guī)制挑戰(zhàn)，符合成本有效原則，也有利于提升真實世界的數(shù)據(jù)保護實踐。
還有學(xué)者通過對德國、法國、意大利、英國四個歐盟成員國的隱私保護實證研究，發(fā)現(xiàn)四個國家隱私規(guī)制的共同趨勢是將嚴格的政府執(zhí)法、公共壓力之下的行業(yè)自律和低水平的訴訟機制相結(jié)合，稱之為“合作法治主義”模式。這雖然不同于美國以訴訟為主的模式，但其中明顯有很多相似的機制，尤其是通過執(zhí)法威懾和公共壓力機制促使企業(yè)更多行業(yè)自律，實現(xiàn)他律與自律的結(jié)合。即使法國、意大利這樣的對于業(yè)界參與決策過程一直持敵視態(tài)度的國家，也在政策制定過程中納入更多自律機制。
如果說美國一直在探討如何構(gòu)建有效的個人信息保護法律體系，歐盟則已經(jīng)將制度建設(shè)付諸實施。從《個人數(shù)據(jù)保護指令》制定到《一般數(shù)據(jù)保護條例》出臺，體現(xiàn)了既保護個人信息決定權(quán)利又促進個人信息自由流動的雙重價值。這種雙重價值追求，既體現(xiàn)在《指令》《條例》的名稱中，也體現(xiàn)在立法結(jié)構(gòu)的整體安排上，更體現(xiàn)在《指令》《條例》的前言、基本原則與具體規(guī)定之中。當然，鑒于《指令》制定之時移動互聯(lián)網(wǎng)與大數(shù)據(jù)尚未發(fā)展，其側(cè)重點更多偏向個人信息保護;而《條例》的制定就必須同步考慮大數(shù)據(jù)發(fā)展的實際，為大數(shù)據(jù)發(fā)展提供法律依據(jù)，為歐盟數(shù)字經(jīng)濟發(fā)展留下空間。國內(nèi)解讀歐盟個人信息保護法律制度，往往只強調(diào)其權(quán)利保護的一面，看到嚴格執(zhí)行的各種要求，忽略了其促進發(fā)展的一面和制度設(shè)計中的各種平衡追求。
從第三方獨立觀察的角度解讀，尤其與《個人數(shù)據(jù)保護指令》比較，《一般數(shù)據(jù)保護條例》在構(gòu)建多元主體參與合作治理、推動大數(shù)據(jù)發(fā)展方面的考慮，至少體現(xiàn)在如下三個方面：
首先，在加強對個人信息保護的同時，適應(yīng)大數(shù)據(jù)時代的現(xiàn)實，在個人信息使用目的限制、數(shù)據(jù)留存期限等方面，盡量為大數(shù)據(jù)開發(fā)利用開辟可能的路徑。比如，使用目的限制是歐盟法律的一項核心要求，《一般數(shù)據(jù)保護條例》也規(guī)定得非常嚴格，不允許信息控制者一攬子獲得一般性同意。但是，對《條例》進行詳細的分析可以發(fā)現(xiàn)，立法者還是故意給數(shù)據(jù)用于新的目的留下了途徑。對于數(shù)據(jù)留存，《個人數(shù)據(jù)保護指令》只規(guī)定了兩種方式：一是基于原始收集目的留存;二是完全匿名之后可以留存�！稐l例》增加了一種新的方式，允許基于統(tǒng)計目的，并在符合成員國各自制定的保障措施的條件下留存數(shù)據(jù)。另外，《條例》廢止了過去很多情況下數(shù)據(jù)處理者需要向數(shù)據(jù)保護局“事先通知”數(shù)據(jù)處理的要求，而這一要求是《指令》構(gòu)筑的核心制度。兩位權(quán)威歐洲學(xué)者在比較了《條例》與《指令》在促進大數(shù)據(jù)發(fā)展方面的差別后得出結(jié)論說，“《條例》雖然并未與過去決裂，但清楚地描繪了可以用更適應(yīng)大數(shù)據(jù)環(huán)境的基于使用機制來替代傳統(tǒng)數(shù)據(jù)保護核心機制的未來路徑”。
其次，相較于《個人數(shù)據(jù)保護指令》，《一般數(shù)據(jù)保護條例》更突出強調(diào)責(zé)任原則、透明原則的地位和作用，強化信息控制者內(nèi)部治理機制，調(diào)動信息控制者參與數(shù)據(jù)治理的積極性。根據(jù)《條例》要求，信息控制者需要建立有效的技術(shù)與管理措施，包括經(jīng)常進行審計、貫徹“設(shè)計即隱私”理念、執(zhí)行隱私影響評估、任命數(shù)據(jù)保護官、采取與風(fēng)險相適應(yīng)的安全防范技術(shù)措施，事先與數(shù)據(jù)管理局咨商等，并根據(jù)環(huán)境變化及時更新，不斷完善內(nèi)部數(shù)據(jù)治理體系。《條例》很多新的要求都是《指令》所缺乏的，體現(xiàn)了立法觀念上的明顯進步。比如，《指令》第18條第2款并沒有強制要求信息控制者設(shè)置數(shù)據(jù)保護官一職，只是倡導(dǎo)性規(guī)定，盡管德國、法國在實踐中已經(jīng)采用了這種制度�！稐l例》修改引入了數(shù)據(jù)保護官要求，并以充分的篇幅對其地位、職能等做了較為完備的規(guī)定，被歐盟專家普遍認為是完善信息控制者內(nèi)部治理機制的核心�！吨噶睢凡⑽匆�(guī)定筆名化概念或者措施，《條例》引入了筆名化制度，并對筆名化和匿名化兩種安全措施進行了明確區(qū)分，對筆名化提出了明確的要求，規(guī)定《條例》不適用于匿名化信息， 目的是為了從源頭降低信息主體的安全風(fēng)險，幫助信息控制者滿足法律要求， 促進大數(shù)據(jù)發(fā)展。另外，《指令》未規(guī)定加密概念或措施，而《條例》明確將加密作為一項安全措施加以規(guī)定，這體現(xiàn)的也是“設(shè)計即隱私”的源頭治理思路，鼓勵企業(yè)從源頭采取防范措施，有利于推動云計算發(fā)展。
《一般數(shù)據(jù)保護條例》構(gòu)筑合作治理最為典型的領(lǐng)域，當屬在跨境信息傳輸機制上的創(chuàng)新�！秱�人數(shù)據(jù)保護指令》第25條規(guī)定向歐盟之外的第三國傳輸個人數(shù)據(jù)需要滿足充分性要求(由歐盟委員會認定)，否則不得傳輸。除此之外，《指令》第26條第2款還設(shè)計了變通性質(zhì)的“合適合同條款” 機制。一個國家雖然沒有得到歐盟委員會的充分性認定，但該國之內(nèi)的企業(yè)只要能簽署符合歐盟要求的模范合同條款，承諾遵守保護個人數(shù)據(jù)，就可以進行跨境信息傳輸。實踐中，企業(yè)集團或者關(guān)聯(lián)企業(yè)內(nèi)部跨境傳輸個人信息只要滿足自我約束規(guī)則的要求，歐盟也認為符合充分性條件。對于美國企業(yè)，歐盟還有單獨的《安全港協(xié)議》機制，美國企業(yè)只要承諾遵守相應(yīng)規(guī)定， 即可獲得從歐盟傳輸個人數(shù)據(jù)的資格。這些機制設(shè)計，既彌補了一般充分性認定機制的不足，避免了《指令》實施可能導(dǎo)致的數(shù)據(jù)無法跨境傳輸窘境，也使不同企業(yè)都能找到符合自己情況的政策工具，調(diào)動其保護個人數(shù)據(jù)的積極性，帶有典型的合作治理色彩。《條例》在上述幾種機制之外，又增加了經(jīng)批準的行為規(guī)范和第三方認證具有證明跨境信息傳輸合法性的效力，進一步豐富了合作治理的形式，屬于典型的自律與規(guī)制結(jié)合的激勵性監(jiān)管方式，可以更為充分地調(diào)動信息控制者主動參與的積極性。
再次，通過設(shè)計強有力的外部執(zhí)法威懾機制，促使信息控制者主動承擔(dān)法律責(zé)任�！秱�人數(shù)據(jù)保護指令》過去體現(xiàn)的是以事前登記、信息主體決定權(quán)為核心的控制思路，缺乏有效的事后威懾手段。比如，《指令》沒有明確執(zhí)法協(xié)調(diào)機制，導(dǎo)致實踐中執(zhí)法標準不統(tǒng)一、執(zhí)法管轄權(quán)模糊，增加了信息控制者的守法難度;缺乏罰款標準，將規(guī)則制定權(quán)交由各國行使，各國執(zhí)行起來差別很大，普遍力度不夠;沒有規(guī)定個人數(shù)據(jù)泄露的通知要求，難以通過公開與社會監(jiān)督機制形成有效壓力。正因為如此，《指令》雖然事前要求很多，但一旦信息控制者違反規(guī)定，后果可能并不嚴重甚至流于形式，這影響了《指令》的權(quán)威性和有效性。針對威懾不強這一突出問題，《一般數(shù)據(jù)保護條例》進行了全面改進，其主要措施包括：確立牽頭數(shù)據(jù)管理局，加強各國執(zhí)法合作，避免不同國家多頭執(zhí)法導(dǎo)致的執(zhí)法標準不統(tǒng)一;統(tǒng)一設(shè)立最高罰款上限為2000萬歐元或者信息控制者上一年度全球營業(yè)額4%的罰款標準，大幅提高罰款的幅度;增加個人信息泄露后分別通知數(shù)據(jù)管理局和信息主體的義務(wù)，建立有效外部威懾機制。《條例》的這些新措施，明顯與美國的很多執(zhí)法威懾機制類似，既消弭了歐美過去的很多制度設(shè)計差異，也有利于通過強有力的外部威懾機制促使信息控制者更好承擔(dān)數(shù)據(jù)治理責(zé)任。
相較于《個人數(shù)據(jù)保護指令》，《一般數(shù)據(jù)保護條例》的整體制度設(shè)計思路更清晰、規(guī)定更翔實，充分體現(xiàn)了通過更有效的內(nèi)部治理、更強的外部威懾，促使信息控制者主動承擔(dān)更多責(zé)任的立法意圖，符合激勵監(jiān)管的基本原理。如果說法律規(guī)定是外在的表現(xiàn)形式，那么追求法律的有效實施機制就是內(nèi)在動力，兩者之間是器與道、形與神的關(guān)系。后發(fā)國家如果只看到美歐法律規(guī)定的表面差別，看不到背后的作用機理，就很難從其經(jīng)驗與教訓(xùn)中獲得任何有益的啟示。
三培育信息控制者的內(nèi)部治理機制
發(fā)展中國家不同于歐美發(fā)達國家，不論是基本權(quán)利保護還是消費者預(yù)期保護，在信息控制者的行為序列中可能都還難以達到同樣的高度。制定個人信息保護法，首先要找到信息控制者最基本的激勵，并圍繞核心激勵設(shè)計相關(guān)的制度。對于所有信息控制者而言，最基本的需求肯定都是發(fā)展與安全。發(fā)展是目標，安全是實現(xiàn)目標的保障;缺乏安全保障，不可能有發(fā)展。由于技術(shù)水平的差距，發(fā)展中國家面臨的安全挑戰(zhàn)比發(fā)達國家要大得多。從安全防范角度切入，在發(fā)展中國家應(yīng)該是最容易為信息控制者接受的解決方案。
安永第19屆《全球信息安全調(diào)查報告》采訪了1735名首席管理人員、信息安全與IT高管或經(jīng)理，他們代表了眾多全球規(guī)模最大且最知名的企業(yè)。2017年9月發(fā)布的調(diào)查報告顯示，在過去兩年中，87%的公司董事會成員和企業(yè)高管都表示對其公司層面的網(wǎng)絡(luò)安全缺乏信心;44%的企業(yè)沒有安全運營中心，64%的企業(yè)沒有或只有非正規(guī)的威脅情報計劃，55%的企業(yè)沒有或只有非正規(guī)的漏洞識別能力;62%的企業(yè)在經(jīng)歷了看似無害的安全事件后，并不會增加其網(wǎng)絡(luò)安全支出;部分企業(yè)懷疑自身是否有能力繼續(xù)識別網(wǎng)絡(luò)中的可疑流量(49%)、追蹤數(shù)據(jù)的訪問者(44%)或發(fā)現(xiàn)潛藏的未知“零日漏洞 攻擊(40%);89%的企業(yè)不去評估每次重大事件所帶來的財務(wù)影響，而在2016年遭受過網(wǎng)絡(luò)安全事件的企業(yè)中，有近半數(shù)(49%)對該網(wǎng)絡(luò)事件造成或可能帶來的經(jīng)濟損失并不了解。據(jù)針對13個國家與地區(qū)419家公司的調(diào)研，2017年每家公司數(shù)據(jù)泄露的平均成本為362萬美元，每人次個人數(shù)據(jù)泄露的平均成本為141美元;諸如南非、印度等發(fā)展中國家，在未來24個月內(nèi)最有可能發(fā)生人次超過1萬以上的實質(zhì)性數(shù)據(jù)泄露事件，而德國、加拿大發(fā)生這種事件的概率最低。
從國內(nèi)外近年來屢屢發(fā)生的各種數(shù)據(jù)泄露案例來看，信息控制者面臨的安全挑戰(zhàn)壓力是現(xiàn)實的，也是巨大的。個人數(shù)據(jù)泄露會造成聲譽、法律責(zé)任承擔(dān)與客戶流失等影響，而隨著競爭加劇，“隱私成為品牌”，有效保護個人信息會成為市場主體的核心競爭力，價值會逐步外溢，成為無形資產(chǎn)。
對于信息控制者而言，從信息安全角度來保護個人信息，本應(yīng)該是順理成章的事，個別行業(yè)領(lǐng)先企業(yè)也已經(jīng)自發(fā)在進行相關(guān)的內(nèi)部治理機制探索。但是，過去對信息安全約定俗成的理解，并不包括個人信息安全或者隱私保護�；谶@種背景，1994年制定的《計算機信息系統(tǒng)安全保護條例》，目的是為了保護計算機信息系統(tǒng)的安全，保障計算機及其相關(guān)的和配套的設(shè)備、設(shè)施(含網(wǎng)絡(luò))及其運行環(huán)境的安全，保障信息的安全，保障計算機功能的正常發(fā)揮，以維護計算機信息系統(tǒng)的安全運行。2004年公安部、國家保密局、國家密碼管理委員會辦公室、國務(wù)院信息化工作辦公室印發(fā)《關(guān)于信息安全等級保護工作的實施意見》，2007年四部門又印發(fā)《信息安全等級保護管理辦法》，完整建立了我國的信息安全等級保護制度。隨后，國家通過陸續(xù)制定統(tǒng)一的信息安全等級保護管理規(guī)范和技術(shù)標準，對信息系統(tǒng)分等級實行安全保護。在信息安全等級保護制度中，保護的對象主要是重要信息和信息系統(tǒng)，在上述文件和《信息安全技術(shù)·信息系統(tǒng)安全等級保護基本要求》(GB/T22239-2008)以及該國家標準所指引的“共同構(gòu)成了信息系統(tǒng)安全等級保護的相關(guān)配套標準”中，均缺乏關(guān)于個人信息保護的規(guī)定，使個人信息保護一直游離于信息安全等級保護制度之外。這樣，在傳統(tǒng)的信息安全觀念下，信息控制者長期考慮的只是計算機系統(tǒng)安全或者運行安全，力圖通過權(quán)限管理、病毒查殺、設(shè)立防火墻、VPN、入侵檢測等管理與技術(shù)措施，防止系統(tǒng)被攻擊和癱瘓，未能將個人信息保護納入安全框架內(nèi)一并予以考慮，導(dǎo)致信息安全管理與個人信息保護存在長期的相互脫節(jié)現(xiàn)象。
近年來國家明顯加大了個人信息保護的立法進程，2009年侵權(quán)責(zé)任法首次在法律中確立了隱私權(quán)的法律地位。同年，刑法修正案(七)設(shè)立了出售、非法提供公民個人信息罪與非法獲取公民個人信息罪兩個罪名。2012年《全國人民代表大會常務(wù)委員會關(guān)于加強網(wǎng)絡(luò)信息保護的決定》，第一次從法律上界定了個人信息的內(nèi)涵和范圍，也是我國法律第一次對個人信息保護實體內(nèi)容進行較為系統(tǒng)的規(guī)定。2013年修訂的消費者權(quán)益保護法，明確將個人信息得到保護的權(quán)利列為消費者的一項基本權(quán)利，全面突出強調(diào)了消費者個人信息保護方面的內(nèi)容。2015年刑法修正案(九)對刑法修正案(七)的規(guī)定予以進一步完善，將兩個罪名合并為侵犯公民個人信息罪一個罪名，還增設(shè)了拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪。2016年制定的網(wǎng)絡(luò)安全法是迄今為止對個人信息保護規(guī)定最為全面的立法，它明確要求網(wǎng)絡(luò)運營者建立健全用戶信息保護制度。2017年民法總則第111條規(guī)定，自然人的個人信息受法律保護。
由于缺乏專門的個人信息保護法，我國個人信息保護相關(guān)立法目前普遍存在兩個突出問題：一是規(guī)定過于原則，往往只是一個概念或者一個具體要求，通常是禁止性要求，缺乏系統(tǒng)的整體制度設(shè)計，即使網(wǎng)絡(luò)安全法對于個人信息保護也都只是一些非常原則性的規(guī)定;二是普遍重責(zé)任追究，尤其是刑事責(zé)任追究，輕過程規(guī)范，輕綜合治理。只要發(fā)生不利結(jié)果，就責(zé)任很重，甚至可以直接刑罰制裁，而信息控制者究竟應(yīng)該履行哪些法律義務(wù)則缺乏規(guī)定。比如，按照《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，對于侵犯公民個人信息罪“情節(jié)嚴重”采用了十種不同的判定標準，符合標準之一就可以定罪。這樣，幾乎所有侵犯公民個人信息行為都可能直接觸發(fā)刑事責(zé)任，完全可以替代任何行政執(zhí)法機制，更不需要內(nèi)部治理機制配合。結(jié)果，近年來的密集立法不但未能解決信息控制者內(nèi)部信息安全與個人信息保護脫節(jié)問題，還導(dǎo)致外部法律要求與信息控制者內(nèi)部治理機制脫節(jié)、刑法制裁與其他法律手段脫節(jié)、責(zé)任規(guī)范與行為規(guī)范脫節(jié)等現(xiàn)象，呈現(xiàn)典型的命令控制式立法特點。刑事責(zé)任規(guī)定雖然看似嚴格，實際效果卻非常有限。隨著大數(shù)據(jù)發(fā)展，一些市場主體已經(jīng)意識到個人信息保護的重要性，并進行相關(guān)的主動探索，但囿于內(nèi)部體制分割，加之法律規(guī)定導(dǎo)致的各種脫節(jié)現(xiàn)象，始終無法破解“兩張皮”“多張皮”問題癥結(jié)。
個人信息保護法要做的，就是針對上述各種脫節(jié)現(xiàn)象，借鑒近年來國際社會的實踐經(jīng)驗與國內(nèi)行業(yè)領(lǐng)先企業(yè)的有益探索，以培育信息控制者內(nèi)部治理機制為目標，將個人信息保護要求嵌入整體信息安全防范體系中，明確各個環(huán)節(jié)的相關(guān)法律義務(wù)和組織要求，完善多元參與與互動機制，實現(xiàn)法律規(guī)范的外在要求與信息控制者的內(nèi)在需要激勵相容，達到既保護個人信息安全又強化信息控制者的安全防范能力的雙贏結(jié)果。這就涉及觀念更新、組織與流程再造、行為方式調(diào)整等各個方面，是一項系統(tǒng)工程，需要進行全面的制度設(shè)計。
首先，需要更新信息安全觀念，走出傳統(tǒng)的運行安全、系統(tǒng)安全的純技術(shù)路徑依賴，適應(yīng)大數(shù)據(jù)時代的特點，確立數(shù)據(jù)安全觀念，把數(shù)據(jù)當做核心資產(chǎn)，確立用戶個人信息至上的基本價值觀，培育保護個人信息就是維護核心競爭力的意識，積極主動承擔(dān)個人信息保護責(zé)任。盡管觀念更新僅僅依靠立法不可能完全解決，但通過個人信息保護法明確相應(yīng)的法律義務(wù)與要求，加大違法行為的責(zé)任承擔(dān)，一定有助于改變長期積重難返的各種認識模糊問題。
其次，結(jié)構(gòu)決定功能，觀念明確以后，有效的組織結(jié)構(gòu)就是基礎(chǔ)。如果能夠從結(jié)構(gòu)上構(gòu)筑信息控制者積極主動作為的組織體系，就完全有可能改變其行為方式，使個人信息保護成為其內(nèi)生機制的一部分。個人信息保護法應(yīng)明確要求信息控制者指定或者設(shè)立專門機構(gòu)或具有相應(yīng)資質(zhì)的專門人員(數(shù)據(jù)保護官)，負責(zé)本單位個人信息保護日常工作，包括參與涉及個人信息保護所有重大決策的個人信息影響風(fēng)險評估、負責(zé)擬定個人信息保護政策、與相關(guān)個人信息保護主管部門或行業(yè)自律組織聯(lián)絡(luò)、組織個人信息保護安全培訓(xùn)、接受信息主體的投訴等。數(shù)據(jù)保護官應(yīng)獨立履行職責(zé)，享有任職保障，并直接向本單位最高管理層負責(zé)，使最高決策層能夠直接過問個人信息保護問題。要破解前面提到的各種脫節(jié)現(xiàn)象，務(wù)必從組織體系上實現(xiàn)個人信息保護與信息安全管理、安全管理與業(yè)務(wù)發(fā)展相互融合。安全管理一定要能夠分布式延伸到每一條業(yè)務(wù)線，與業(yè)務(wù)團隊實現(xiàn)無縫對接，既實現(xiàn)安全管理政策的有效觸達，又全方位為業(yè)務(wù)發(fā)展保駕護航，有效解決“兩張皮”“多張皮”現(xiàn)象。從國內(nèi)行業(yè)領(lǐng)先企業(yè)的探索實踐看，尤其在制度建設(shè)的過渡階段，由于安全部門的地位更受重視，與業(yè)務(wù)線融合更好，由安全部門從企業(yè)數(shù)據(jù)安全角度負責(zé)個人信息保護，可能比法務(wù)部門從合規(guī)角度負責(zé)個人信息保護更為有效，更有利于迅速推進各種融合。當然，由于不同信息控制者的實際情況不一樣，個人信息保護法不宜“一刀切”地介入信息控制者內(nèi)部職能劃分，但推進融合的大方向顯然是非常明確的。不同的信息控制者應(yīng)該根據(jù)本身實際情況，采取最有效的推進融合的組織形式。
再次，改變過去合規(guī)與業(yè)務(wù)流程設(shè)計相互分離、就合規(guī)談合規(guī)的傳統(tǒng)做法，從業(yè)務(wù)流程設(shè)計開始就將個人信息保護要求嵌入產(chǎn)品與服務(wù)之中，體現(xiàn)“設(shè)計即隱私”理念，實現(xiàn)個人信息保護全流程覆蓋、全業(yè)務(wù)貫通的行為方式轉(zhuǎn)變。在大數(shù)據(jù)環(huán)境下，不從源頭設(shè)計個人信息保護，無法真正防范信息安全風(fēng)險，這是推進組織融合的出發(fā)點和目的，也是行為方式轉(zhuǎn)變的核心。為此，個人信息保護法需要設(shè)計一些重要的制度，主要包括：(1)在網(wǎng)絡(luò)安全法確立的合法、正當、必要原則之外，明確將責(zé)任原則也確立為個人信息保護的一項基本原則，促使信息控制者積極履行責(zé)任，防范風(fēng)險發(fā)生。(2)信息控制者在采用涉及處理個人信息的新措施、新技術(shù)、新應(yīng)用之前，應(yīng)進行個人信息影響風(fēng)險評估，并采取相應(yīng)的安全措施，預(yù)防風(fēng)險發(fā)生。評估可能存在高風(fēng)險，技術(shù)上或者經(jīng)濟上無法有效化解這種風(fēng)險的，應(yīng)事先咨詢個人信息保護主管部門的意見，建立有效的咨詢協(xié)商機制，共同解決問題。(3)應(yīng)鼓勵個人信息控制者采用筆名化、加密保護、匿名化等方式處理個人信息，從源頭防范個人信息泄露、被濫用等風(fēng)險，并明確規(guī)定經(jīng)匿名化處理的信息不適用個人信息保護法。這樣，既可以彌補網(wǎng)絡(luò)安全法第42條對于脫敏信息的規(guī)定法律效果不明確的弊端，有利于推動大數(shù)據(jù)開發(fā)利用，也與歐盟及其他國家對于匿名化信息的規(guī)定保持一致。(4)應(yīng)要求信息控制者定期主動對信息系統(tǒng)個人信息安全進行檢測評估，提高風(fēng)險防范能力和安全事件應(yīng)急處置能力。(5)應(yīng)平衡個人信息保護與大數(shù)據(jù)開發(fā)利用以及其他社會公共利益的關(guān)系，明確將為統(tǒng)計分析、檔案管理與新聞報道、學(xué)術(shù)研究、藝術(shù)表達、文學(xué)創(chuàng)作等目的處理個人信息的活動，根據(jù)具體情況豁免或者克減適用個人信息保護法的某些規(guī)定，具體辦法由國務(wù)院個人信息保護主管部門會同相關(guān)部門制定，為信息控制者推動大數(shù)據(jù)開發(fā)利用提供法律接口。(6)對于跨境個人信息傳輸，除設(shè)計類似于歐盟的“充分性”認定機制，以國家為對象采取對等措施以外，還應(yīng)設(shè)計多元的補充認定機制，包括經(jīng)核準的標準個人信息保護合同條款、企業(yè)自我約束規(guī)則、行為規(guī)范，以及獲得合法備案的個人信息保護可信標志或認證標志等。以信息控制者為適用對象，分別適用于不同的場景，解決不同的實際問題。只有這樣，才能調(diào)動信息控制者參與個人信息保護的積極性，促進正常國際經(jīng)貿(mào)往來。
近年來國內(nèi)外發(fā)生的各種個人信息安全事件，如CSDN遭受攻擊、12306網(wǎng)站信息泄露、徐玉玉被詐騙致死案、支付寶年度賬單事件、Yahoo郵箱泄露案、Equifax征信信息竊取案等，根源大多是信息控制者內(nèi)部安全防范環(huán)節(jié)出現(xiàn)了問題，尤其是疏于防范、遭黑客攻擊、內(nèi)部人非法提供、新業(yè)務(wù)開發(fā)與安全保護脫節(jié)等。只要能夠構(gòu)建有效運轉(zhuǎn)的內(nèi)部治理機制，將個人數(shù)據(jù)安全納入整體安全防范體系，絕大部分類似事件都應(yīng)該能預(yù)防、避免。
四構(gòu)筑有效的外部執(zhí)法威懾
發(fā)育激勵相容的內(nèi)生機制，核心在信息控制者的自律。但是，在利用與保護個人數(shù)據(jù)激勵失衡的大背景下，不論是合作規(guī)制理論還是各國個人信息保護實踐均證明，完全依靠自律機制并不能形成有效的激勵約束。只要個人數(shù)據(jù)能夠帶來利益，這種現(xiàn)象就難以改變。制定個人信息保護法的國家，一項重要的立法任務(wù)就是構(gòu)建有效的外部執(zhí)法威懾，促使信息控制者積極履行法律責(zé)任，并對違法處理個人信息的行為予以制裁。美國雖然沒有制定統(tǒng)一的個人信息保護法，但有著其他國家無法比擬的強大的外部執(zhí)法威懾機制，能夠約束信息控制者的行為。美國憲法、聯(lián)邦法律、州法對于個人信息都有相應(yīng)的保護規(guī)定，只是聯(lián)邦層面缺乏一部統(tǒng)一的適用于市場主體的個人信息保護法。美國聯(lián)邦貿(mào)易委員會、各州總檢察長、民事(集團)訴訟、國會監(jiān)督與媒體監(jiān)督及社會監(jiān)督等機制絲毫不亞于歐盟國家個人信息管理局的執(zhí)法力度。對于某些特殊領(lǐng)域個人信息的保護，如征信信息、未成年人信息、金融信息、健康信息、電子通訊等，美國還有專門聯(lián)邦立法及相應(yīng)的執(zhí)法機制，保護力度更大。以美國經(jīng)驗說明后發(fā)國家不需要制定個人信息保護法，沒有任何說服力。
由于缺少統(tǒng)一的個人信息保護法，我國在外部執(zhí)法威懾機制構(gòu)建方面除了前述的刑法機制替代其他執(zhí)法機制、信息控制者實體行為規(guī)范缺位以外，實踐中還導(dǎo)致國家網(wǎng)絡(luò)安全保護與個人信息保護錯位現(xiàn)象，進一步加劇規(guī)則適用的紊亂和系統(tǒng)性失靈。
在國家信息網(wǎng)絡(luò)專項立法規(guī)劃中，信息網(wǎng)絡(luò)立法是分層規(guī)劃、分層設(shè)計的，網(wǎng)絡(luò)安全法與個人信息保護法是兩部獨立的立法，各自有其立法目的、原則、任務(wù)與制度。網(wǎng)絡(luò)安全是國家安全的重要組成部分，事關(guān)國家根本利益，不容半點妥協(xié)，沒有網(wǎng)絡(luò)安全就沒有國家安全。個人信息權(quán)是個人權(quán)利的組成部分，權(quán)利有相對性，需要依法行使，同時承擔(dān)義務(wù)，權(quán)利與權(quán)利之間出現(xiàn)沖突需要協(xié)調(diào)，為了國家安全與公共利益可能還需要對權(quán)利進行必要的限制或克減。正因為國家安全與個人權(quán)利的這種性質(zhì)與位階差別，在各國立法與國際條約中，如《公民權(quán)利和政治權(quán)利國際公約》第4條、《歐洲人權(quán)公約》第15條等，均明確國家安全是更高價值，予以最高等級的保護;而個人信息權(quán)利的行使不但要以法律的規(guī)定為前提，還要受到國家安全與公共利益的限制。
由于網(wǎng)絡(luò)安全法制定的時候，個人信息保護法尚未被納入國家正式立法計劃，因此該法自然承擔(dān)了部分個人信息保護法的立法任務(wù)，集中反映在第四章的相關(guān)規(guī)定中。用立法工作部門的話來說，該法“進一步完善了個人信息保護規(guī)范，這些規(guī)范與國際通行規(guī)則是基本一致的”。也就是說，網(wǎng)絡(luò)安全法同時承擔(dān)了雙重任務(wù)：一是保護國家網(wǎng)絡(luò)安全，這是該法的主要任務(wù);二是保護個人信息安全，這是該法的附帶任務(wù)。如果能夠把握法律關(guān)系的本質(zhì)，分別適用不同的判斷標準與制度，本來應(yīng)該不會出現(xiàn)不同任務(wù)之間的錯位問題。
但是，由于個人信息保護法缺位，加之其他各種復(fù)雜的原因，實踐中已經(jīng)出現(xiàn)的問題是，執(zhí)法部門有時候會將雙重任務(wù)混合，就高不就低，將保護國家網(wǎng)絡(luò)安全的標準適用到個人信息保護領(lǐng)域，導(dǎo)致法律關(guān)系出現(xiàn)錯位和紊亂。最為典型的事例當屬數(shù)據(jù)本地化要求。在網(wǎng)絡(luò)安全法中，由于關(guān)鍵信息基礎(chǔ)設(shè)施的特殊地位，運營者掌握的個人信息和重要數(shù)據(jù)直接事關(guān)國家安全，必須以本地化為原則，確需出境的，依法進行國家安全評估后才能出境。相反，對于一般網(wǎng)絡(luò)運營者或者信息控制者而言，其個人信息出境只涉及個人權(quán)利保護，數(shù)據(jù)出境可以有多種制度安排，如基于信息主體的同意、第三國滿足充分性認定要求、維護第三人的重要利益、滿足其他替代認定機制等。一個非常重要的差別是，國家安全評估的對象是相關(guān)個人信息和重要數(shù)據(jù)是否涉及國家安全、是否適合出境，而跨境個人信息傳輸?shù)脑u估對象是接受個人信息的第三方是否能夠有效保護個人信息，評估的對象與標準都截然不同。如果將國家網(wǎng)絡(luò)安全標準適用于個人信息保護，勢必混淆評估對象和法律關(guān)系，抬高保護門檻，不利于正常的國際經(jīng)貿(mào)交流。已經(jīng)發(fā)布的《信息安全技術(shù)·個人信息安全規(guī)范》(GB/T35273-2017)8.7(個人信息跨境傳輸要求)規(guī)定，“在中華人民共和國境內(nèi)運營中收集和產(chǎn)生的個人信息向境外提供的，個人信息控制者應(yīng)當按照國家網(wǎng)信部門會同國務(wù)院有關(guān)部門制定的辦法和相關(guān)標準進行安全評估，并符合其要求”。這一規(guī)定是典型的以國家安全評估代替?zhèn)�人信息跨境傳輸保護水平評估，混淆了兩項根本不同的制度，強制推行會導(dǎo)致各種意想不到的嚴重后果，也不利于真正保護國家網(wǎng)絡(luò)安全。
可見，加快出臺個人信息保護法，科學(xué)厘清不同制度的邊界，不僅能解決刑法規(guī)范替代其他執(zhí)法機制、信息控制者行為規(guī)范缺失等問題，也能理順個人信息保護法與網(wǎng)絡(luò)安全法的關(guān)系，解決好外部執(zhí)法威懾機制越位、缺位與錯位并存的三大現(xiàn)實問題，形成有效的立法結(jié)構(gòu)，推動大數(shù)據(jù)利用與個人信息保護的協(xié)調(diào)發(fā)展。
構(gòu)筑有效的外部執(zhí)法威懾，并不是為了執(zhí)法而執(zhí)法，更不是為了增加信息控制者的負擔(dān)，而是為了推動信息控制者形成有效的內(nèi)生治理機制。為此，個人信息保護法應(yīng)從明確行為規(guī)范、加大違法成本、增強信息披露、提高違法行為被發(fā)現(xiàn)的可能性、完善行政處罰與刑事責(zé)任的銜接、推進合作治理等多角度，構(gòu)筑有效威懾機制，構(gòu)筑“胡蘿卜+大棒”的激勵約束格局，促使個人信息保護要求能夠真正被信息控制者嚴格執(zhí)行。如下幾個方面的制度設(shè)計不可或缺：
首先，與培育內(nèi)部治理機制相銜接，擴大責(zé)任原則的邊界，通過行業(yè)領(lǐng)先者的標桿作用提升行業(yè)整體保護水平。個人信息保護法需要明確規(guī)定，信息控制者依法向第三方提供、轉(zhuǎn)移、共享或者跨境傳輸其合法控制的個人信息的，應(yīng)保證第三方能夠履行同等個人信息保護法律義務(wù)，確保個人信息全流程安全，保證責(zé)任原則的全面實現(xiàn)。這將有利于提升行業(yè)整體保護水平，避免木桶效應(yīng)，改變違法成本低、守法成本高的逆向選擇問題。
其次，確立并貫徹落實透明原則，以公開透明促內(nèi)部治理結(jié)構(gòu)發(fā)揮作用。個人信息處理過程公開透明，是信息控制者形成內(nèi)生機制的重要外部條件和運行保障，能有效彌補合法、正當、必要等原則的不足。個人信息保護法應(yīng)明確規(guī)定，發(fā)生個人信息泄露的，信息控制者應(yīng)當在知情后及時——最遲不超過72小時——向個人信息保護主管部門報告，除非泄露不會對信息主體的合法權(quán)利產(chǎn)生風(fēng)險。不能在72小時內(nèi)報告的，應(yīng)說明理由。第三方發(fā)生個人信息泄露的，除向個人信息保護主管部門報告外，還應(yīng)同時通知信息控制者。個人信息泄露可能對信息主體權(quán)利產(chǎn)生高風(fēng)險的，信息控制者應(yīng)以清晰、簡潔的語言，盡快通知信息主體。
再次，明確信息控制者行為底線，完善行政執(zhí)法手段和合作治理機制，及時發(fā)現(xiàn)違法行為。個人信息保護法應(yīng)明確規(guī)定：信息控制者不得以不公平條件或者“一攬子協(xié)議”方式，強制或者變相強制信息主體授權(quán)對個人信息的收集;對于特殊類型個人信息(如基因、生物、健康、種族、信仰、征信等)，實行特殊保護，禁止或者限制信息控制者采集，構(gòu)筑個人信息安全防控底線;信息控制者采用預(yù)測性識別技術(shù)，應(yīng)采用公平的數(shù)學(xué)或統(tǒng)計學(xué)方法，禁止基于種族、民族、政治觀點、宗教或者信仰、基因或者健康狀態(tài)等差別對信息主體進行歧視;處理基因數(shù)據(jù)、生物數(shù)據(jù)、健康狀況數(shù)據(jù)等敏感數(shù)據(jù)，以個人信息處理為主要業(yè)務(wù)，處理個人征信數(shù)據(jù)或者處理刑事裁判數(shù)據(jù)等，須經(jīng)政府個人信息保護主管部門行政許可。個人信息保護法應(yīng)推動形成內(nèi)外互動的職業(yè)共同體和多方交流平臺，包括制定行業(yè)行為規(guī)范等，不斷將外部壓力傳導(dǎo)到信息控制者內(nèi)部。個人信息保護法應(yīng)著力完善行政執(zhí)法手段，規(guī)定個人信息保護主管部門可以約談信息控制者的高級管理人員，要求就個人信息保護重大事項作出說明，提示個人信息保護面臨的風(fēng)險，要求及時進行相應(yīng)整改，加強過程監(jiān)管和協(xié)商治理。信息控制者違法進行個人信息處理的，政府個人信息保護主管部門應(yīng)當有多種方式的管理手段，包括責(zé)令限期改正，責(zé)令暫停個人信息處理，責(zé)令消除影響、賠禮道歉，責(zé)令停止使用個人信息文件、個人信息系統(tǒng)，責(zé)令提供個人信息，責(zé)令更正、停止使用、限制處理或者刪除個人信息，責(zé)令銷毀個人信息文件、個人信息系統(tǒng)，責(zé)令停止跨境信息傳輸，警告并發(fā)布風(fēng)險提示，罰款，吊銷個人信息處理登記證或許可證等。對于嚴重違法行為，個人信息保護法應(yīng)提高行政處罰標準，引入累犯加罰，按照違法處理個人信息條數(shù)處以罰款等。
最后，借鑒消費者權(quán)益保護法修改經(jīng)驗，加大民事責(zé)任追究力度，解決個人信息被濫用后民事維權(quán)成本高、收益低問題，調(diào)動信息主體依法維權(quán)的積極性。個人信息保護法應(yīng)規(guī)定：信息主體認為信息控制者的個人信息處理行為違反法律的規(guī)定，侵犯其合法權(quán)益導(dǎo)致其人身、財產(chǎn)或者精神損害的，可以依法直接向人民法院提起民事訴訟，要求停止侵害，消除影響，賠償損失，包括精神損害賠償;具備條件的社會組織，就損害信息主體合法權(quán)益的行為，支持受損害的信息主體提起訴訟或者依法提起訴訟;信息控制者的信息處理行為違反法律的規(guī)定，給信息主體的人身、財產(chǎn)或者精神合法權(quán)益造成損害的，應(yīng)依法承擔(dān)賠償責(zé)任;賠償?shù)慕痤~不足500元的，為500元;法律另有規(guī)定的，依照其規(guī)定。
五把握循序漸進的推進節(jié)奏
培育信息控制者內(nèi)部治理機制與構(gòu)筑有效的外部執(zhí)法威懾，只是信息控制者與管理者兩個主體之間的單維度關(guān)系，屬于監(jiān)管范疇的制度構(gòu)建。要實現(xiàn)大數(shù)據(jù)利用與個人信息保護之間的協(xié)調(diào)發(fā)展，肯定不能遺漏信息主體及其權(quán)利行使，這就涉及信息主體、信息控制者、管理者三者之間的多維治理結(jié)構(gòu)。缺乏信息主體參與，缺乏完整的治理結(jié)構(gòu)支撐，不可能出現(xiàn)激勵相容的結(jié)果，大數(shù)據(jù)發(fā)展與個人信息保護不可能實現(xiàn)持久平衡。當然，一旦引入多維視角，問題就會復(fù)雜得多。美歐兩種模式之間的真正差別，其實在于究竟是在多維還是在單維中考慮個人信息保護。歐盟從一開始就需要處理好基本權(quán)利保護與信息自由流動不同價值之間的關(guān)系，注定了要在多維視角中解決問題，因此一直面臨很大的平衡壓力。但在長期努力之下，其基本理念與制度已經(jīng)被其他國家普遍接納。美國一直回避基本權(quán)利話語，僅從消費者風(fēng)險防范單維度考慮個人信息安全，處理起來更為簡單。美國在國際上能夠特立獨行，一是因為美國商界對于創(chuàng)新的重視和對政府監(jiān)管的懷疑;二是國內(nèi)強有力的執(zhí)法機制，能夠有效規(guī)范市場主體的行為;三是在國際上具有霸權(quán)地位，可以靠實力推行自己的一套價值觀。美國所具有的這些條件其他國家大多難以完全具備，其做法也難以為其他國家所照搬。但是，隨著大數(shù)據(jù)帶來的個人信息安全關(guān)切日益上升，美國也一直面臨越來越大的國內(nèi)外壓力，要求更重視消費者權(quán)利，讓消費者有權(quán)控制自己的信息。奧巴馬政府2012年首次發(fā)布消費者隱私權(quán)利法案白皮書，2015年直接以法案形式提出完整的立法建議，都是希望以消費者控制為核心理念來完善制度，賦予消費者控制哪些個人信息可以被收集以及這些信息如何使用的權(quán)利。盡管這些建議尚未能付諸實踐，但已經(jīng)反映了制度構(gòu)建上多維視角的重要性，歐盟長期面臨的雙重價值平衡問題遲早也會在美國出現(xiàn)。
我國制定個人信息保護法，不能夠也不應(yīng)該回避權(quán)利話語。這主要是因為：首先，要繼續(xù)參與國際經(jīng)貿(mào)交往，我們只能構(gòu)建國際通行的多維話語體系與個人信息保護法律制度，否則很有可能被排斥在國際規(guī)則體系之外。其次，近年來的國內(nèi)相關(guān)立法已經(jīng)在個人信息權(quán)利保護上邁出重要的步伐，包括民法總則第111條在民事權(quán)利部分明確規(guī)定保護個人信息，2013年消費者權(quán)益保護法修改后納入了后悔權(quán)和個人信息權(quán)等新類型權(quán)利，《征信業(yè)管理條例》系統(tǒng)構(gòu)建了信息主體對于個人征信信息的控制制度，網(wǎng)絡(luò)安全法在回避使用權(quán)利概念的同時實際上部分確立了包括被遺忘權(quán)在內(nèi)的新型權(quán)利的法律地位。隨著社會的發(fā)展，不論是私法性質(zhì)還是公法性質(zhì)的權(quán)利，權(quán)利的種類、范圍等都在不斷擴大之中，個人信息保護法要順應(yīng)大數(shù)據(jù)發(fā)展歷史潮流，承擔(dān)推進個人信息保護的歷史責(zé)任。最后，其實也是最重要的理由在于，隨著大數(shù)據(jù)廣泛使用，個人信息面臨的威脅也同步加大，公眾對于個人信息安全的需求和意識會越來越強烈，法律必須予以回應(yīng)。
2014年，中國消費者協(xié)會的個人信息保護狀況調(diào)查發(fā)現(xiàn)，約三分之二受訪者在過去一年內(nèi)個人信息曾被泄露或竊取。受訪者中，認為“服務(wù)商未經(jīng)本人同意，暗自收集個人信息”是消費者個人信息泄露的最主要途徑，占比達64.08%。中國信息通信研究院的一項實證調(diào)查也發(fā)現(xiàn)，近80%的用戶認為隱私泄露嚴重，防不勝防;并且，用戶維權(quán)意識提升，認為企業(yè)“不告知收集”和“非法買賣個人信息”是突出問題。另一項權(quán)威數(shù)據(jù)顯示，2016年遭遇過網(wǎng)絡(luò)安全事件的用戶占比達到整體網(wǎng)民的70.5%，其中網(wǎng)上詐騙是網(wǎng)民遇到的首要網(wǎng)絡(luò)安全問題，39.1%的網(wǎng)民曾遇到過這類安全事件。公安部刑偵局有關(guān)負責(zé)人幾年前就表示，侵害公民個人信息犯罪是多種下游犯罪的源頭，社會危害巨大，除引發(fā)電信、網(wǎng)絡(luò)詐騙等各種新型犯罪外，還與綁架、敲詐勒索、暴力追債等黑惡犯罪合流。2016年底徐玉玉案之后，公民個人信息泄露導(dǎo)致的生命財產(chǎn)威脅引起社會各界廣泛關(guān)注。在個人信息面臨各種嚴峻挑戰(zhàn)、公眾信息安全意識逐步提升的大背景下，個人信息保護法如果不確立公眾維護自己權(quán)利的制度，不能滿足公眾的最基本安全需求，公眾一定會用實際行動(包括用腳投票)來維護自己的信息安全，動搖大數(shù)據(jù)發(fā)展的基石，結(jié)果只會導(dǎo)致信息控制者、管理者、信息主體的雙輸或者多輸結(jié)果。
因此，個人信息保護法應(yīng)該在近幾年各項立法的基礎(chǔ)上，借鑒國際社會成功經(jīng)驗，包括美國與歐盟的經(jīng)驗，以全面構(gòu)建個人數(shù)據(jù)治理體系為原則，以防范個人信息安全風(fēng)險為目標，明確引入公法意義上的個人信息控制權(quán)概念，并在收集、使用、轉(zhuǎn)移、存儲、跨境傳輸、銷毀、查詢、更正等個人信息處理的全過程，明確信息主體的知情權(quán)、同意權(quán)、選擇權(quán)、變更權(quán)、刪除權(quán)、撤回權(quán)等各權(quán)項，使信息主體能夠真正參與到個人信息保護之中。
大數(shù)據(jù)時代的個人信息保護是一個嶄新的領(lǐng)域，個人信息權(quán)屬于一項新的權(quán)利，權(quán)利的性質(zhì)與邊界都還不清晰，不宜簡單用傳統(tǒng)權(quán)利觀念剪裁。簡單照搬傳統(tǒng)權(quán)利理論，可能會陷入無休止的理論爭論之中，耗費大量精力。缺乏系統(tǒng)制度支撐的法律規(guī)定，口號再響亮，規(guī)范意義也會非常模糊，在實踐中更不可能產(chǎn)生影響。各國實踐已經(jīng)證明，即使立法技術(shù)科學(xué)，權(quán)利體系設(shè)計嚴密，僅僅依靠個人同意權(quán)等傳統(tǒng)隱私權(quán)保護機制，無法應(yīng)對大數(shù)據(jù)快速發(fā)展背景下的個人信息保護問題，告知同意機制完全可能流于形式，信息主體只能選擇同意。正因為如此，才有歐盟、美國對激勵相容機制的共同探索。
這就表明，個人信息保護法在設(shè)計治理結(jié)構(gòu)的同時，必須考慮實施環(huán)節(jié)的激勵相容機制實現(xiàn)問題，使實施部門對立法目的和基本制度構(gòu)造有非常清晰的整體認識，并處理好不同維度之間的關(guān)系。個人信息保護法的實施需要循序漸進、突出重點、把握主線，以風(fēng)險管理與防控為共同切入點，尋求法律實施的最大公約數(shù)，梯度遞進。首先要通過立法在內(nèi)的外部機制助推信息控制者組織架構(gòu)變革，發(fā)育有效內(nèi)生機制，形成內(nèi)外互動合力，以有效預(yù)防絕大部分個人信息安全風(fēng)險。在此基礎(chǔ)上，根據(jù)國情、信息控制者接受度和公眾偏好等因素，逐步探索提高價值定位，如合規(guī)、權(quán)利實現(xiàn)等。這種實施策略，既可以形成激勵相容合力，調(diào)動信息控制者維護信息安全的積極性，降低規(guī)制成本，迅速實現(xiàn)基本安全目標，也有利于監(jiān)管部門集中執(zhí)法力量，聚焦核心環(huán)節(jié)，避免執(zhí)法力量過于分散。比如，對于信息控制者的不合規(guī)行為，在既有協(xié)商執(zhí)行的余地又有強制手段的情況下，先協(xié)商執(zhí)行效果可能要比簡單強制好，更有利于調(diào)動信息控制者持續(xù)改進的積極性，而不是一罰了事。再如，個人信息從最內(nèi)核的隱私信息到通常理解的敏感信息再到最外圍的大數(shù)據(jù)意義上的非敏感個人信息，呈現(xiàn)一個放射狀扇形結(jié)構(gòu)。對于不同的個人信息，執(zhí)行機制就要進行區(qū)分，采用不同強度的保護標準，界定信息控制者不同的責(zé)任。又如，信息主體權(quán)利的實現(xiàn)是一個過程，個人信息保護法中規(guī)定的不同權(quán)項不可能一步同時到位，執(zhí)行中必然也需要有所區(qū)分，根據(jù)不同場景設(shè)計不同制度。也就是說，個人信息保護法的制定只是完成了一半任務(wù)，另一半任務(wù)在于實施中的策略選擇和具體部署，如何實施法律決定了最初立法目標能否真正實現(xiàn)。
如果打破上述次序，不是先從信息安全風(fēng)險管理角度切入，由易到難，而是反其道而行之，一下子全部鋪開，勢必加大內(nèi)生機制的形成難度，相互牽制、抵消，欲速則不達，事與愿違。中國四十年成功的漸進改革經(jīng)驗對個人信息保護法的實施路徑選擇有很強的參考意義，需要時時借鑒。實際上，激勵相容的制度設(shè)計，通過外部威懾促使信息控制者內(nèi)生機制發(fā)揮作用，而不是“一刀切”式的命令控制立法，正是為了在實施環(huán)節(jié)推動形成多元互動的良好治理格局，以實現(xiàn)立法目標。