把“數據饕餮”關進籠子

李云蝶

在數據保護這件事情上，“不能完全依賴于企業的承諾，他們的很多說法是靠不住的。”

“凝視手機過久，手機亦將回以凝視。”小小數英寸屏幕背后，虎視眈眈的互聯網公司尤其是幾大巨頭，可能正在成長為“數據饕餮”，渴望窺探你的一切信息，電話、聯系人、相冊、瀏覽記錄，甚至，聽到你的聲音，觸摸你的指紋，掌管你的“鑰匙”……

對這種無限度吞噬的擔憂和質疑，在今年1月份集中爆發了。中國互聯網行業最有實力的幾家巨頭，無一幸免。

元旦當天，吉利董事長李書福在某新年論壇上質疑微信的隱私保護和信息安全，稱“馬化騰肯定天天在看我們的微信”。

隨后，1月3日，有律師發現，“支付寶年度賬單有‘鬼，在不起眼位置附帶《芝麻服務協議》。”有網友聲討，“附帶的協議會允許支付寶收集你的信息，包括在第三方保存的信息。”

之后，有網友反映稱，“和朋友聊天討論西餐廳，今日頭條馬上給你推送西餐相關的廣告和資訊，今日頭條可能在用麥克風竊用戶隱私。”

再之后，1月5日，江蘇省消費者權益保護委員會召開新聞發布會，表示針對“百度涉嫌違法獲取消費者個人信息及相關問題”已提起消費民事公益訴訟。這是全國首例關于手機APP的信息侵權公益訴訟。

雖然各家巨頭在第一時間或回應、或認錯、或辟謠，但仍然阻止不了一輪關于互聯網公司數據獲取沒有邊界和規則的聲討。

看起來，是時候該將一只只“數據饕餮”關進籠子里了。

“不能”還是“不愿”

多方矛盾下，一面是越發集中的個人信息安全事件推動普通用戶的安全意識不斷提升，另一方面是飛速發展的數字環境和越發激烈的商業競爭促使互聯網公司數據收集手段和范圍不斷擴大，二者沖突在所難免。

值得注意的是，盡管各家公司都在第一時間作出回應，但除了試圖撇清誤會辟除謠言以外，多家公司將“技術不足”作為沒有竊取用戶隱私的理由之一。

今日頭條在“致廣大用戶”的說明中否認“用麥克風竊取用戶隱私”時提到，“從技術上看，目前聲音信息的處理，也遠達不到通過麥克風去獲取個人隱私的水平”。

百度在江蘇省消保委將其告上法庭一案作出的回應中，對于消保委所質疑“‘手機百度和‘百度瀏覽器在未取得用戶同意的情況下，獲取諸如‘監聽電話、定位、讀取短彩信、讀取聯系人、修改系統設置等各種權限”中的“監聽電話”一項，百度回應，旗下手機應用“沒有能力、也從來不會”申請這一權限。

有網友調侃稱，這大概是互聯網巨頭們第一次公開承認自己“能力不夠”。

用“我不行”來證明“我沒做”，難免有些邏輯上混淆視聽的嫌疑。大數據專家、WPP數字化分析經理李軍對《財經國家周刊》記者說，“他們首先應該明確一點：數據的所有者一定是用戶，這是不容置疑的，該拿不該拿，實際上就是基于用戶有沒有給你數據的授權。”

但他同時提醒，即便公司有“授權”這個動作，用戶仍要注意在實際執行過程中避免諸多陷阱。

其中的一種行為是“含糊告知”，舉個極端的例子，將協議條款無限拉長，實際協議條款達到一百多頁，這種情況下，基本沒有用戶會仔細從頭看到尾，經常選擇性忽略重要信息，其效果約等于沒有告知。

另一種情況下，盡管條款看似羅列清楚且數目合理，但背后卻夾雜了很多隱含的意義和模糊的表述，通過一些難以察覺的默認選項和條款陷阱，讓用戶同意并從中謀利。

北大法學院副院長薛軍對《財經國家周刊》記者直言，“不能完全依賴于企業的承諾，他們的很多說法是靠不住的。”

造好法律的籠子

數據作為數字經濟時代的核心資源，與工業社會的煤炭、石油、天然氣等能源同等重要，誰能拿到最多的數據，誰就是未來數字經濟的霸主。

如此形勢下，期待“數據饕餮”們自我監督是不現實的，還需要有更多的硬性約束。

一個普遍的共識是，法律正是最有效用和效力的硬性約束。

一直以來，我國立法層面始終十分重視“個人信息保護”和“數據安全”，相關的法律表述不在少數。

早在2012年底，在第十一屆全國人大常委會第三十次會議上，就通過了《全國人民代表大會常務委員會關于加強網絡信息保護的決定》，其中對“公民個人電子信息”的權限使用作出諸多要求。

最近的規范是2017年6月1日開始施行的《中華人民共和國網絡安全法》，在第四章中，專門針對個人信息規定了嚴密的保護體系。

而幾乎同一時間，最高人民法院與最高人民檢察院也聯合發布了《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，對侵犯公民個人信息犯罪的定罪量刑標準和有關法律適用問題作了全面、系統的規定。

更多的表述還分散在各處，在2017年11月審議通過的《電子商務法》草案二審稿第20條中，明確對電子商務經營者收集、使用其用戶的個人信息加以限制；在10月1日正式施行的《民法總則》第127條，也明確將“數據”作為一種受到法律保護的財產形態作出規定，讓“數據資產”這一說法具有了法律文本基礎。

不過，薛軍認為，盡管國家立法層面比較重視，也有諸多條款，但最大的問題是關于個人信息保護的立法比較分散，沒有一個專門的法律將其統一起來。

在他看來，一個統一的法規，能夠綜合、全面、完整地規定關于個人信息保護的制度框架，可以把違反規定的民事責任、行政責任、刑事責任統一規定起來。

以歐盟今年5月即將正式生效的《一般數據保護條例》（簡稱“GDPR”）為例，李軍認為，其中一個直觀表現就是，違規最高罰金可達公司全球總收益的4%，對于一個千億級收入的公司來說，這相當于幾十億、甚至上百億的罰款。

甚至，其中還有類似“數據遺忘權”的規定，規定信息主體有權要求信息控制者在所有服務器上刪除與其有關的資料信息，這對于數據獲取來說，無疑將帶來巨大的成本，將數據保護落實到了具體的行動措施上。endprint

薛軍告訴《財經國家周刊》記者，“我們國家也有計劃制定一個單行的《個人信息保護法》，全國人大很有可能會列入立法規劃，這對個人信息保護會有一定的促進作用。”

要原則也要有細則

當然，擺在立法者面前的，還有一個更加的現實問題：數字時代的一大特征就是，技術發展迭代飛速，而新法律的確立和實施需要通過一定的程序，勢必出現時間差，那么，在法律的空窗期，要怎么解決不斷產生的問題？

薛軍給出了一個辦法，他認為，“治理不一定要全部通過國家的立法，也可以通過軟法補充。”

所謂“軟法”，是指那些不能運用國家強制力保證實施的規范，由一些高校、學者、第三方機構主導的行業標準都可以算作軟法，它更像是一種“公約”。

這些規范雖然沒有嚴格的法律效應，但十分靈活，既可以一定程度上規范企業的行為，填補法律空窗期產生的問題，也有一定調理機制，可以隨時修改。薛軍稱之為“多中心治理、多元共治的方式”。

事實上，在個人信息安全領域，目前已經有一些行業標準正在制定完善過程中，在薛軍發給《財經國家周刊》記者的一份《信息安全技術個人信息安全規范》國家標準報批稿中，長達30多頁的文件，涵蓋了從個人信息收集、處理、到安全事件處置的各種細則，起草單位的成員也涵蓋了從研究院到學校、企業等多種主體。

李軍也說：“光講原則是沒有用的，一定要有細則，要有明確的邊界和相應的懲罰措施，才能夠真正起到約束和管理的作用。”

他將如今的個人信息安全風險與十幾年前的“安然事件”作類比，認為有必要從企業的管理流程上進行更加堅決、直接、具體的規范。

2001年12月，美國最大的能源公司——安然公司突然申請破產保護后引發了一系列丑聞，其中最臭名昭著的，是2002年6月的世界通信會計事件，它徹底打擊了美國投資者對資本市場的信心，也讓美國國會和政府下定決心加速通過《薩班斯—奧克斯利法案》，該法案的另一個名稱是“公眾公司會計改革與投資者保護法案”，對在美國上市的公司提供了合規性要求，使上市公司不得不考慮控制IT風險在內的各種風險。

李軍認為，在數據保護方面，可以仿照《薩班斯—奧克斯利法案》的處理方式，制定一套完整的數據保護規范，按照它去重新設計、完善整個數據操作、數據管理的流程系統組織架構，監管機構可以隨時抽查，哪怕數據沒有泄露，只要不按照標準規范去重新定義公司的整個數據管理框架，都要受到懲罰。

并且，隨著企業不斷發展，同樣有必要加入新型管理者，而數據管理的職責，可以落實到“首席數據官”（Chief Data Officer，CDO）的身上，就像薩班斯法案最終落到了“首席財務官”（Chief Financial Officer，CFO）的身上一樣。

在更遠的未來，隨著數據跨境流動的越發頻繁，薛軍預測，我們不僅要考慮到數據對個人的威脅，還要考慮到對國家安全是否會產生威脅，全球政府應該合作，形成類似國際公約的個人信息保護最低標準，不要形成監管洼地。endprint