圖書館保護用戶數據隱私權的策略

秦俊英

1立法保護

1．1間接立法，間接立法是指不是專門針對圖書館保護用戶數據的立法，比如瑞典的《數據法》、法國的《數據處理、檔案與自由法》、英國的《數據保護法》、美國的《電子通訊隱私法》、日本的《個人信息保護法》、韓國的《隱私法》等。我國至今沒有對隱私權的專門立法，隱私權尚未取得作為一項獨立人格權的法律地位，而是把隱私權涵蓋于名譽權當中來對待，具體內容包含在《憲法》、《民法通則》、《銀行管理暫行條例》、《商業銀行法》、《執業醫師法》、《刑法》、《人民檢察院刑事訴訟規則》等法規之中。用戶數據隱私在圖書館受到侵害時，只能依靠這些間接規定來主張權利。

1．2直接立法。直接立法是指專門針對圖書館保護用戶隱私制定專門法律。1978年，在美國圖書館協會和其他幾個專業協會的推動下，美國第一部州立法《圖書館記錄機密法》在佛羅里達州通過。到目前為止，在美國除夏威夷州和肯塔基州外，其他48個州和哥倫比亞特區都有專門的圖書館記錄保密法。這類法律有兩種形式：一種是明確保護圖書館用戶的隱私：另一種是豁免圖書館公開數據或不適用于信息自由法。按照法律規定，用戶利用公共圖書館所產生的注冊和流通記錄信息是機密。除非滿足法定條款，否則圖書館不能向任何要求檢查的機構或個人公開。

2自律保護

2．1行業指南。美國圖書館學會在專業倫理守則中規定：“保護每位讀者的隱私權，對其查尋或獲取的信息，咨詢、借閱、征集及傳遞的資源均應予以保密”：英國圖書館學會在專業行為守則規定：“不得泄露或默許他人泄露任何委托的保密資料、信息或行政檔案給第三者：同時也不可超越用戶最初使用授權范圍，將信息運用于其他方面”，還制定了對違反此守則的當事人的處分條款：日本圖書館學會在圖書館倫理綱領指出：“圖書館不得泄露利用者的秘密”，VRD2003年版的網上參考咨詢服務質量文件中關于隱私權的保護規定：用戶和專家間的通信必須處于完全隱私的環境中。《中國圖書館員職業道德準則》也規定：“維護讀者權益，保守讀者秘密。”

2．2制定政策。圖書館要制定完善的用戶數據隱私權保護政策，并通過一定方式公之于眾，使社會廣為了解。主要內容包括：其一，收集數據的內容和目的。對敏感數據不予收集，并限于具體、合法的目的，收集和使用個人信息必須征得本人同意。其二，收集個人數據的方法，明確告知用戶收集其個人數據的技術手段及其特點，使用戶能理解和配合，并主動采取防范措施。其三，用戶的拒絕權和選擇權。用戶的選擇權應該是主動的，應該是在用戶向圖書館網站提供個人數據之時或圖書館網站向用戶收集個人數據時行使的。其四，用戶個人數據共享。未經用戶明確同意，圖書館不能向第三方提供用戶數據，更不能以商業目的與其他人或組織共享用戶個人數據。其五，用戶數據的變更。圖書館對用戶要求修改其數據的申請應及時處理，對于不能按用戶要求修改的，要將不能修改的決定及其理由通知用戶個人，并告知用戶享有進一步反映問題的權利和相關途徑。其六，免責條款。

2．3開展認證。數據隱私認證是類似于商標的網上隱私標志，它使得用戶更易于識別那些遵守了個人數據收集和利用行為的圖書館，同時便于對圖書館就個人數據隱私權的保護狀況作出評估。認證合格的圖書館將會受頒一種標志，即隱私權保護標志，這個標志可以張貼在自己網站的主頁上。認證和取消認證是對應的，如果監督管理機構在評估中發現某圖書館違反了個人數據收集和利用的相關規定或遭到用戶的投訴，將被警告，或被取消認證。

2．4完善管理。對用戶數據的保護，圖書館要有健全和完善的管理制度與監督機制。比如，控制用戶數的傳播范圍，使數量有限的圖書館員在工作之必要范圍內接觸和使用。又比如，以敏感性為標準對用戶數據進行類型上的劃分，確定密級和使用規則。

2．5技術防范。近年來保護數據安全的技術有了較大發展，圖書館可以靈活選用。其一，控制接觸用戶數據的技術，比如，口令技術和問題化技術。其二，控制使用用戶數據的技術，這類技術能夠防止對用戶數據的打印、傳播等。其三，保護用戶數據完整性的技術，使數據不被修改或篡改。現在，一些專門針對數據隱私保護的技術已得到實用。比如，P3P是一種網絡隱私權保護平臺，可以有效提高圖書館對用戶數據的控制力。

2．6用戶教育。保護數據隱私最有效的辦法就是提高用戶本人的隱私權意識和自我保護技能，這對圖書館的相關工作也會有促進作用。在美國，正是由于用戶有較高的保護隱私權的素質和向立法機關不斷表達訴求，才導致了國家以及地區層面的立法，并推動了一系列圖書館行業保護隱私權政策的制訂和圖書館管理制度的完善。