數(shù)據(jù)保護的重要意義

劉卓軍

大數(shù)據(jù)的概念早已深入人心并被全社會廣泛接受。然而，大數(shù)據(jù)發(fā)展面對的考驗卻一直沒有停息，而且還將受到更大的錘煉。2018年5月25日將要全面實施的歐盟《全面數(shù)據(jù)保護條例，GDPR：General Data Protection Regulation》毫無懸念地將對相關(guān)企業(yè)、行業(yè)和機構(gòu)產(chǎn)生重大影響。

GDPR的目的是增強和一致化對于歐盟所有個人、所有公民的數(shù)據(jù)保護，2016年由歐洲議會、歐盟理事會和歐洲委員會制定，并于當(dāng)年4月27日開始采用。從法律文件系統(tǒng)的延續(xù)性上看，它是1995年歐盟《數(shù)據(jù)保護指令，DPD： Data Protection Directive》的升級版。一般說來，歐盟通過的指令（Directive）要在歐盟成員國內(nèi)成為有約束力的文件還需要在愿意實施的國家內(nèi)走法律程序，而歐盟條例（Regulation）一經(jīng)歐盟通過就自動在所有成員國內(nèi)具有約束力。由于2016-GDPR是1995-DPD的替代文件，所以它的實施還設(shè)定了兩年的過渡期，過渡期結(jié)束后，從今年的5月開始GDPR要在全歐洲強制執(zhí)行。

尊重隱私、保護隱私是許多工業(yè)化國家逐漸培育起來的觀念。隨著民眾日益增長的對數(shù)據(jù)敏感性的理解，更加認識到各類品牌產(chǎn)品都在盡可能利用公民的個人數(shù)據(jù)進行銷售和占據(jù)市場；更加意識到公民自身對個人數(shù)據(jù)擁有的第一權(quán)力；更加憂慮網(wǎng)絡(luò)數(shù)據(jù)被盜所形成的嚴重威脅。

GDPR的內(nèi)容由11章共99條組成，為歐盟公民帶來了一套新的“數(shù)字權(quán)利”，但對該條例理解不深、認識不足的相關(guān)企業(yè)將面臨可能要付出最高可達兩千萬歐元或其上一年度全球營業(yè)額4%的嚴厲處罰。在世界經(jīng)濟高度融合及我國企業(yè)“走出去”勢頭強勁的當(dāng)下，高度重視數(shù)據(jù)保護及GDPR的實施迫在眉睫。從長遠來看，認真理解和消化GDPR的內(nèi)容對于規(guī)范我國數(shù)字化經(jīng)濟和相關(guān)產(chǎn)品和服務(wù)的市場之健康發(fā)展也具有加強內(nèi)功和提升能力的價值。不難想象，這對于有心的和有遠見的企業(yè)將提供新的發(fā)展機會。例如，國際著名公司IBM 正致力于為客戶和合作伙伴提供創(chuàng)新的數(shù)據(jù)隱私、安全和治理解決方案，以便對能更好地認識和遵從GDPR提供幫助。

總體上說，GDPR重點保護的是公民個人的數(shù)據(jù)，約束的是企業(yè)。GDPR不僅適用于位于歐盟內(nèi)部的企業(yè)，也適用于歐盟以外的企業(yè)，如果這些企業(yè)向歐盟提供商品或服務(wù)，或監(jiān)控歐盟數(shù)據(jù)對象的行為。換句話，所有公司只要處理和持有居住在歐盟的數(shù)據(jù)主體的個人數(shù)據(jù)，不管公司的位置在不在歐盟，都要遵從GDPR。其中涉及到的任何與自然人或“數(shù)據(jù)主體”有關(guān)的數(shù)據(jù)，是指借助它們可以直接或間接地識別到居住在歐盟的個人的相關(guān)信息。這些數(shù)據(jù)和資料可以是任何東西，一個名片，一張照片，一個電子郵件地址，銀行的詳細信息，在社交網(wǎng)站上的帖子，醫(yī)療信息，或者一個計算機的IP地址。由此，足可以看出GDPR正在帶來的巨大影響。

GDPR要求企業(yè)必須以合法、公正、透明的方式處理公民個人數(shù)據(jù)。而民眾個人也總是希望，在自己的數(shù)據(jù)被采集時要有知情權(quán)；采集的數(shù)據(jù)只能用于所述目的，不得用作它途；沒有自己的同意，數(shù)據(jù)不得被公開；收集到的數(shù)據(jù)要保證安全并做到保密，不得出現(xiàn)任何潛在的濫用；自己有權(quán)訪問自己已被采集的數(shù)據(jù)并對任何不準(zhǔn)確的數(shù)據(jù)進行糾正等。

任何一項技術(shù)或一部法規(guī)的作用都有不同的方面，不排除GDPR被出于市場保護目的而不當(dāng)使用的情況。但每每想到由于個人數(shù)據(jù)被濫用而造成的各類傷害的情景，也就理解了實施保護弱者（個人）約束強者（企業(yè)）的相關(guān)舉措。

現(xiàn)實中，Google和Facebook在開展數(shù)據(jù)服務(wù)的業(yè)務(wù)方面均已在歐洲市場遇到了嚴峻的挑戰(zhàn)。他們或者交付罰金、改造產(chǎn)品、改進技術(shù)，或者失去歐洲市場。在大數(shù)據(jù)時代，企業(yè)獲取信息的能力必須取得公眾的認可和信任，而真正做到保護（公民的）隱私則是獲取信任的根本，這也正是遵從GDPR的本質(zhì)所在。包括中國企業(yè)（走出去）和中國市場在內(nèi)，社會需要從數(shù)據(jù)和信息的隱私需求和安全（保密）需求兩個維度，來認識和正視GDPR及其實施，需要比對GDPR條文對隱私狀態(tài)和安全狀態(tài)作出評估，以此為基礎(chǔ)聚焦問題、完善設(shè)計、做出改進。這不是痛苦，而是一次機遇。