大數據時代個人信息保護的執法困境與選擇

梁成意，齊彩文

（華東交通大學人文學院，江西 南昌 330000）

引言

2017年6月，《網絡安全法》正式實施，標志著我國關于互聯網方面的基礎性法律首次介入到公眾網絡生活領域，其對人們的權利義務以及應當遵守的綱領性原則做出了明確規定。這同時也意味著互聯網的迅速發展已成為不可小覷的社會問題。中國互聯網絡信息中心最新發布的數據顯示，截至2018年6月30日，我國網絡用戶數量突破8.02億，互聯網在國民間的普及應用率為57.5%，人們普遍利用網絡進行醫療、金融、社交、娛樂、交通、政務等各方面活動。在這個過程中，互聯網公司通過運營持續生成、累積關于用戶的行為數據，這些規模龐大的數據即是大數據信息的資料來源。從我國大數據發展的現狀來看，網絡在帶來方便快捷、高收益的同時，也逐漸顯現出背后的管理紕漏和高風險性，許多社交網站和購物軟件都需要用戶提供精準的能夠識別的個人信息（個人數據），然而信息最終流向何方卻難以掌控；從全球大數據主權競爭來看，各國對于數據占有、使用和保護的爭奪愈加激烈，歐盟在2016年通過了《歐盟一般個人信息保護條例》，美國近年來也在鼓勵自律自治的前提下，采取了政府適當介入的模式，以更好地保障個人信息數據主權不受侵犯。如何對呈指數級增長的數據提供保護，是大數據時代的一個重要挑戰[1]，必須采取更加強有力的執行措施對其進行規制和監控。

一、個人信息保護的執法挑戰

（一）大數據背景下的個人信息內涵

當前關于個人信息的概念界定，大多是從學術方面予以論述，或在法律條文的規定中剖玄析微，歸納總結各種定義的特征與異同。在學術上，一般認為個人信息是指與特定自然人相關聯的、反映個體特征的、具有可識別性的符號系統，包括個人身份、工作、家庭、財產、健康等各方面信息[2]。在法律規定上，首個個人信息保護國家標準的文件是2013年國家質檢總局與國家標準委員會發布的《信息安全技術公共及商用服務信息系統個人信息保護指南》，其科學界定了個人信息的概念，即可為信息系統所處理、與特定自然人相關、能夠單獨或通過其他信息結合識別該特定自然人的計算機數據。近期《個人信息保護法》（草案）也劃定了個人信息的范圍：包括姓名、體重、年齡、身高、檔案、醫療記錄、收入及消費和購買習慣、教育背景、婚姻狀況、家庭住址與電話號碼等在內的能夠識別特定個人的一切信息。以上定義基本采取概括加列舉的模式，通過對個人信息的特征描述界定其內涵。然而信息的性質是動態的，無法脫離相應場景做抽象判斷[3]。只有將其內涵置入特定情境下，方能判斷該個人信息是否屬于法律干涉與保護的范圍。大數據背景下，互聯網技術迅速發展，人們每分每秒都在對海量數據進行挖掘和運用，因此，將關注重點從刻板信息定義轉移到具體信息利用階段，評估具體場景中使用個人信息所造成的隱私風險，更加符合大數據時代信息數據的爆炸性生成、累積與變更的特性。當隱私風險較低或在相應場景中可以視作合理存在時，即使屬于以上個人信息定義中所列舉的某項信息，法律或執法機關也僅需給予一般程度的保護和關注。從這個角度對其內涵進行理解，不僅可以減輕執法機關負擔、提高工作效率和個人信息保護水平，更能夠合理利用個人信息，充分發揮信息的潛在價值。

（二）個人信息保護的執法困境

隨著《網絡安全法》的正式實施，個人信息保護得到部分回應，同時，在我國大數據行業蓬勃發展的過程中，政府構建了各級各類數據庫并已投入使用。但是，關于數據的保護方式及法律定位仍然沒有做出全面說明，行政機關在履行相關職責、維護公共安全中存在的個人數據利用程序不當、信息整合無序、數據庫安全保障措施不到位等問題也未得到解答。由于缺乏一部完備的個人信息保護法，目前關于個人信息數據保護還未形成明晰的執法體系和執行程序。

1.執法機構不明。

我國個人信息數據保護，在法律文本層面處于碎片化、動態化、零散化狀態[4]。這些法律條文散布在《中華人民共和國電子簽名法》、《全國人大常委會關于加強網絡信息保護的決定》、《網絡安全法》、《電信和互聯網用戶個人信息保護規定》等270部文件中。然而這些法律卻未明確規定當個人信息受到侵害時，該由何種機關采取何種程序與措施及時止損。由此造成執法機構不明的局面。從形式上來說，法律條文的分散性意味著在監督管理體制內，網絡空間主體治理模式是由多個執法部門參與的“分段監管”，網信部門、電信部門以及公安部門各自履行其獨立職責。這種執法方式極易導致監督及執行主體的責任不夠明確，彼此職責間存在重合或空白區域，網絡空間瞬息萬變，一旦出現個人信息權被侵害的情況，當事人難以在短時間獲得高效的幫助，由于各機關間缺乏協調統一機制，最終極易演變成“多頭混治”，不利于高效維護個人信息安全。

2.執法標準無強制性。

我國已經正式實施的個人信息保護國家標準《信息安全技術公共及商用服務信息系統個人信息保護指南》在效力層面上屬于指導性技術文件，不直接產生法律效果，沒有強制約束力[5]，行業主體根據自身發展狀況自主決定是否配合遵守該規定，因此難以在個人信息保護的具體執行方面起到實質性作用。目前我國尚缺乏獨立、專門、權威的執行標準，導致執法力度在一定程度上未能適應大數據時代個人信息保護的需要。

3.執法措施未完善。

現有法律規定對個人信息的保護多從原則性與框架性的基點出發，缺乏頂層設計與基本制度的建構。在行政法領域，一般的監管規則只涉及信息的收集、占有、處理、使用、利用、保密及利益分享等方面[6]。然而在大數據時代背景下，即使是看似毫無關聯的數據，經過網絡的二次利用和開放，也能夠還原出大量的敏感個人信息。這些來自不同渠道的信息數據聚集匯總，當達到一定數量時，便可輕易刻畫出個人形象及生活習慣。因此，傳統的信息監管執法模式基于告知與許可原則對個人信息進行保護顯然不能夠適應大數據技術的發展需要。如何規定細致的執法措施，使數據資源得到充分利用的情況下對個人信息進行有效保護，是目前執法的最大難點。

二、執法機構設置模式的域外借鑒

（一）歐盟執法模式：層級式的監管機構

歐盟實現對個人信息的保護主要通過建立專門的行政監管機構，每個成員國都建立一個或多個公共機構，負責個人信息保護協調和行政管理、執法工作[7]，每個監管機構成員在執行任務、行使監督權力時不受任何其他機關干涉或他人影響。2018年5月歐盟出臺的《一般數據保護條例》特別設立歐洲數據保護委員會，將其作為歐盟的一個機構，并賦予其法人身份。歐洲數據保護委員會的成員包括各成員國內每個行政監管機構的首長、歐盟數據保護監督局首長，或者他們的代表；它的秘書處由歐洲數據保護局擔任。歐洲數據保護委員會的責任是統籌全局，發布個人信息的保護意見或指南，并具體協調一站式管理機制等工作。歐洲數據保護委員會的設立，同時也提高了歐洲信息保護局的地位和權力，它是歐盟開啟大數據時代個人信息保護的跨越式改革，意味著歐盟對個人信息保護及監管達到了前所未有的高度，歐洲信息保護局通過向委員會報告《條例》的實施情況，確保成員國統一執行適用該規定，同時順利完成保護局與委員會機構間的協調聯絡與銜接。

（二）日本執法模式：委員會咨詢制度

日本針對個人信息保護采取的模式是較為中立的咨詢評判制度，其1988年設置的個人信息保護審查會即是作為咨詢機關開展相關工作，并盡可能減少對信息使用企業自主權利的限制。2005年，日本《個人信息保護法》生效，該審查會更名為信息公開與個人信息保護審查會[8]。審查會成員由內閣總理大臣任命，一般任期為3年，可以連任。隨著2015年《個人信息保護法》修正案的頒布，日本在2016年1月正式設立了個人信息保護委員會，由內閣總理大臣直屬管轄，獨立行使職權；委員在任期內不得參加政治運動及從事盈利性活動，以樹立中立、客觀的公正形象。該委員會是在考慮個人信息有用性的同時，確保妥善處理個人信息而設立的具有高度獨立性的機關。其主要業務包括：1.監督特定個人信息，對行政機關或其他個人信息處理者進行必要的指導、建議，在違反法令的情況下進行命令或勸告。2.處理投訴等相關事項，設立投訴處理咨詢窗口，對特定個人信息處理相關申請事項進行解答，對《個人信息保護法》進行解釋和說明。3.評價特定個人信息保護等相關事項，根據行政機關對自身利用個人號碼風險的綜合性評價，制定其內容或程序的指導性方針。4.進一步制定《關于個人信息保護的基本方針》等規范性文件，推進官方及民間個人信息保護政策與章程的建立和實施。5.國際合作。6.宣傳和啟發。7.其他事項[9]。

（三）印度執法模式：強權信息監督

印度在2005年頒布的《信息權利法案》中建立了信息委員會，并設立了公共信息官員。信息委員會官員由總理、下議院反對黨領導人以及內閣大臣推薦，總理負責任命；為了確保信息專員獨立行使指導、管理和監督的權力，保證公共利益不受其他權力機關與個人的干涉，議會成員、立法機關成員或政黨相關人員不得擔任該職務[10]。中央及州信息委員會每年需向中央及州政府提交年度報告，匯報關于實施《法案》條款的具體情況；同時公共機構也需將其在信息處理、使用環節所采取的行動以及委員會對其相關指示與請求加以匯總形成文案。報告與文案最終都需提交至議會，并由信息委員會根據具體政策執行情況對此進行反饋和評估，以改進工作任務和工作目標。信息委員會所做決定具有一定的強制性，具有和法律機關同等的效力，在執行相關任務時可以將其作為民事法庭看待。當公共機構違反法律規定，做出侵害公民個人信息的行為時，委員會可以對該機構進行約束，并要求其做出賠償；當各級信息官員無正當理由拒絕配合工作時，則可以處以罰金并進行訓導。

（四）德國執法模式：雙重監管檢查

德國聯邦政府依據《聯邦數據保護法》設立了聯邦數據保護與信息自由保護委員會，其成員為聯邦數據保護專員，由內務部為專員提供人力、物力組建辦事機構[11]。當選的數據保護專員年齡應在35周歲以上，經聯邦政府提議，聯邦議會法定人數過半數通過選舉，總統對當選專員進行任命，任期5年，可連任兩屆。聯邦數據專員負責監督聯邦公共機構對相關數據保護法律的執行。專員獨立于公共部門及私營機構，不可在職務之外參加有償或盈利性活動，也不可在聯邦各州政府或立法機關擔任職務，只服從于法律，具有公法官員的地位，這意味著監督的有效性和公正性得到了一定的保證。此外，凡是能夠自動收集、處理和使用個人數據的公共機關和私法機構必須書面任命一名具備相關專業知識的數據保護官。數據保護官負責監督個人數據的處理和使用，在機構內部保障法律的遵守和執行。由于該職位是基于機構委托而形成[12]，因此，官員須對其所在公共機關或私法機構的領導負責。雖然數據保護官不是獨立的監督主體，但在數據保護領域運用專業知識履行職責時，法律確保其不受任何干涉。

三、我國執法機構模式的現實選擇

大數據背景下信息管理和個人信息保護已成為迫切的時代需要，多數國家及我國的香港、澳門地區都建立了專門的信息保護執法機構，以保障國家和公民權利不受來自各個方面風險的侵害。由于各個地區和國家的社會背景、人文因素存在差異，所設置的信息保護機構也各具特色。從執法機構權力強弱的層面來看，可以將其分為三種模式：

第一種模式是具有獨立行政強制權力的信息保護機構。如印度、澳大利亞以及我國的香港、澳門地區等。屬于這類模式的信息保護機構一般負責行政管理及執法工作；自身具有較高的獨立性，能夠制訂某些行動方針或計劃來執行法律的規定；日常負責加強各界對相關法律的理解和認識，并隨時監督檢查是否存在違背法律規定的情況；如果存在違反規定的現象或有信息資料當事人進行投訴，則負責對具體事項進行調查，并對可能影響個人信息安全的規定與不完善的工作機制進行審核及研究，保障行政執法的順利進行。

第二種模式是無強制力的中立咨詢機構。如日本、加拿大、法國等。這種模式下的信息保護機構執法力度較弱，盡管同樣負責受理并調查個人信息侵權投訴、審查政府機關或私營機構的個人信息保護措施，但是當出現侵犯個人信息的不當行為時，信息或隱私專員僅能進行投訴、披露以及提出建議，不能對其實施具有法律約束力的強制性措施。中立咨詢機構更多致力于向政府機構及私營主體解答個人信息保護過程中出現的問題，對個人信息保護政策進行研究，并向議會及時報告個人信息保護的具體情況。

第三種是強制性行政權機構與服務咨詢機構并存的模式。典型的代表國家是德國。歐盟層級式管理的歐洲信息保護委員會及歐洲信息保護監督局的設置也有異曲同工之處。一方面，國家擁有獨立運作的具備行政職能的個人信息保護機構。該機構享有執法權力，能夠監察、協調和管理對相關信息保護法的遵守和執行，接受并調查個人信息處理的申請、投訴或舉報，對具體事項進行審批和登記等。另一方面，在具備統籌協調機關的同時，還需要具備負責監督、指導具體規則實施的機構或個人。對于收集、處理和使用個人數據的公共機構或私營主體給予法律上的指導和幫助，使數據處理人員熟悉信息法律、相關條款以及特殊要求。

近年來，我國也已在個人信息保護的立法中邁出了步伐，由于我國目前還沒有出臺獨立的個人信息保護法，面對信息科技高速發展、地域交流愈加便捷頻繁、全球網絡一體化趨勢凸顯的社會環境，進一步提高政府行政執行水平、合理創設執行條件尤為重要。結合中國行政管理發展的現實情況，筆者認為，第三種模式更加符合國情和社會需求，可以為行政執法提供有益參照。

其一，執法機構更加健全。從中央機構建設的角度來說，設立具有統籌管理職能的個人信息保護機關，能夠科學配置各部門及內設機構的權力，明確相關職責。一個具備協調、監管職能的執法機關，不僅能防止部門間相互“打架”、權責分離嚴重的情況，更能集中力量，實現部門間協作辦公，便于公民權利的保障和實現。從地方機構具體實施的角度來說，我國地方執法機關或具體收集、使用、處理個人信息的公共機構及私營主體，人力資源缺乏、信息溝通互動不及時，層疊繁多的政府部門使信息使用者缺乏壓力和動力，難以及時高效地執行相關法律和政策。因此，有必要在公共機構及相關信息行業的企事業單位設置專業信息保護人員，宣傳和解釋信息制度與規定，通過定期對具體執行情況進行測評，促進企事業單位及公共機構自覺遵守法律，妥善使用、保管個人信息，避免出現泄露和濫用個人信息的情況。

其二，目前，許多國家諸如德國、歐盟、美國、日本、加拿大、印度、澳大利亞都具備相關的信息保護法。同樣，完善法律規定、設置強制性執法標準有利于提升我國個人信息保護管理效能。強制性是法律得到遵守和執行的前提，在一定程度上約束相關主體的行為，不僅能夠彌補行業自律自身存在的缺陷，更能夠建立穩定的信息保護秩序，有利于平衡社會生活中各方主體的不同需求。可以將現有《信息安全技術公共及商用服務信息系統個人信息保護指南》升級為具備法律強制力的管理標準，進一步規范侵害個人信息的不法行為。

其三，第三種模式機構劃分較為細致，相對應的具體執法措施與程序也較為詳細。德國《聯邦數據保護法》規定了信息保護專員及機構的職責、數據主體的權利及救濟和賠償手段。詳實的執行、管理及保護方案能夠填補原則性規定的空白，規范信息收集者和使用者的權利范圍，保障被使用者的合法權利不受侵犯。我國應進一步規定處罰規則和救濟程序，從各具體信息使用機構入手，加強監管力度、設立違法行為公示制度，將違規違法單位列入黑名單，從源頭遏止個人信息侵犯行為。

四、結語

隨著網絡技術的迅速發展，數據的收集、分析、整合、處理已逐步產業化。2015年國家出臺的《促進大數據發展行動綱要》更是將大數據產業化提升到了戰略層面[13]。我國能否在個人信息數據保護方面形成具備社會主義特色、符合國情、高效合理的規范性機制，關乎公民的國家信任、社會和諧穩定及數據產業的長足發展。當前世界各國共同處于大數據發展、信息保護改革轉型的重要時期，歐美國家已然開始為擺脫傳統信息保護的發展困境提出了應對措施，在這種情況下，我國更應該清醒地認識到目前執法乃至立法方面存在的不足之處，抓住大數據時代的寶貴機遇，吸取其他地區的優勢和經驗，積極發展與新技術、新環境相適應的個人信息保護模式，建設適合我國國情和社會發展的執法機構，以嚴格的執行力保障個人信息數據的安全與自由。●