誰來守護公民個人信息安全

聶靜虹

有效的個人信息保護，離不開政府的有效規制和監管，然而，個人信息保護條例的有效執行，更離不開作為信息主體的公民個體與作為數據控制方的企業和組織。

作為互聯網用戶的公民個體，在使用數據時，自身產生的數據也成為大數據的組成部分。例如，社交網站能夠廣泛收集用戶的敏感數據。“非知情同意”（non-informed consent）這個概念建立在“知情同意”（informed consent）法規基礎上，指雖然服務商在收集用戶信息前被要求讓用戶閱讀相關隱私政策，達到告之目的，但是用戶卻因為時間和閱讀能力等原因省略這一步驟，導致“非知情”的結果。

在大數據技術下，要求雙方針對復雜多變的隱私利益進行一對一的談判和定價，來確定對隱私利益的使用范圍、程度和方式，這在交易成本上來看幾乎是不可能的事情。“通知與同意”的方式是實踐中應用平臺、程序或者網站服務要求個人明確同意對其數據信息搜集使用的做法。但只有在極少數的情況下，用戶才真正閱讀這些通知的內容并在表明同意之前真正理解其含義。因此，“通知和同意”在服務者和用戶之間形成了一個不平等的有關隱私的談判平臺。國外學者的研究認為，終有一天，有趣或有用的新技術的吸引力最終將壓過用戶的懷疑與擔憂，并讓他們心甘情愿放棄隱私，這被稱為“隱私悖論”。也就是說，用戶并非“不知道”自己的數據會被收集，而是承認隱私很重要的情況下，在真實的情況里卻由于某些原因懶得采取相應行動。未來隱私權法律的制定如何克服“非知情同意”現狀，解決“隱私悖論”，仍需要大量有益探索。

根據歐盟國家的做法，政府身為宏觀管理者提供了保障性的框架，人們有權決定如何管理他們的數據，并權衡自己使用信息的成本和收益情況。但在現代社會，事情不斷變得更加復雜。監管視角下的互聯網用戶個體如何加強個人的隱私管理，可從“認識—結構”框架進行分析。

首先，自我隱私管理的認知性問題。個人數據信息具有內容方面的瑣細性、模糊性等特點，使得數據信息擁有者難于及時精確評估每次數據被收集或使用的風險。人們被迫做出超出他們能力的決定，同時他們無法了解所有可能泄露個人隱私的事情，因而做決定時難以全面考慮到后續可能影響。此外，還有可能產生決策偏差問題。

其次，自我隱私管理的結構性問題?，F實中，就規模而言，有太多收集公民個人信息的企業；就信息整合而言，單次的個人數據披露可能并不構成問題，但當將所有的個人數據整合起來分析時，可能就會構成問題；談及隱私法和政策時，政策制定者傾向于個體層面，強調自我隱私管理的重要性，未能將隱私的成本和效益作為一個累積整體而進行更專業的評估。

因此，政府需針對自我隱私管理的認知和結構性問題，對個人隱私進行更為有效和量體裁衣的管理。一方面是政府機構督促企業將客戶數據的收集和使用原則寫入條款之中，形成“知情同意”的基礎；另一方面，政府需要更加主動地培育公民的個人信息安全意識，防止公民落入“非知情同意”的怪圈。

對于企業而言，數據所有者應當有權撤回自己授予企業或組織使用的個人數據，而相關企業或組織有義務無條件立即刪除其所有個人數據。但數據刪除并不易做到，以新浪微博賬號為例，盡管微博賬號已刪，但其他搜索引擎上存有的數據并不會自動消除。

在網絡隱私監管政策背景下，企業不但應該正確解讀和遵守隱私政策，同時應當從用戶的利益出發，建立與用戶雙向溝通的隱私保護策略。企業設計的隱私政策要具有可讀性，以促進與用戶的溝通。企業在設計關于用戶隱私的文件時，要告訴用戶收集數據的目的和途徑是什么，這不僅是信息共享，而且也是企業面對隱私訴訟時保護自身的工具。但實踐中，為規避風險，很多國際企業考慮的不是如何增加數據政策的可讀性，而是會運用一些模糊化、轉移焦點等“文字游戲”來掩飾數據采集和使用的背后目的。例如，80%的金融機構的隱私政策文件閱讀要求超過大學教育水平，導致近三分之一的美國成年人不太可能理解這些文件，因為它們含有復雜的單詞和句子結構。

總之，政府監管下的企業自利行為、數據和信息擁有者所處的環境及自我隱私管理存在的盲點，為互聯網信息安全的監管效果增添了一些不確定性。

（作者為中山大學傳播與設計學院教授）

責編/張寒 美編/李祥峰