大數據時代個人隱私及隱私權保護

當今世界，數據無處不在。數據在改變人們的生活、給人們帶來了極大便利的同時，也給人們的隱私造成極大破壞。本文指出，隱私保護是綜合性的問題，需要用戶、運營商和監管部門共同協作，從國家法律法規、技術、行業和用戶等各個層面來應對大數據環境中出現的安全問題。

當今世界，數據無處不在，并且幾乎到了無處不用的地步。數據已經成為我們日常生活的重要組成部分。我們每個人每天都在生產著諸多數據，同時我們的很多數據也在被利用。數據在改變著我們的生活，數據也在改善著我們的生活水平，給我們帶來了極大的便利。數據已經是名副其實的資產，是重要的生產要素，與資本、勞動力、土地、技術等一并列為重要的生存要素。但另一方面，數據在給我們帶來極大便利的同時，也給我們的隱私造成極大破壞，高度信息化使得個人私密信息泄露風險增加，精準詐騙、廣告騷擾等現象屢見不鮮。在當前的大數據時代，個人隱私及隱私權保護非常重要，必須得到足夠重視。

隱私保護的復雜性

隱私保護極其復雜，尤其是在大數據時代，隱私的泄露很容易通過數據的泄露或者泄密來實現。數據本身又具有多樣性，譬如數據的種類和類型。在大數據時代，數據的概念已經發生了很大變化，定義變得非常廣泛，不再是早年的數據定義范疇。在傳統范疇中，我們平常所說的數據是指通過科學實驗、科學檢驗和統計方法處理所獲得，以及那些可以用于科學研究、技術設計、查證和決策等的數值，這是非常古老的數據定義，也是我們原來一直接受的數據定義。但隨著計算機的發展和進步，在計算機科學中，數據又有了新的定義，數據通常被定義為所有能夠被輸入計算機并且能夠被計算機程序處理的符號和所有介質的總稱。這個定義和今天我們生活中所指的數據比較一致。通俗來講，數據就是能夠被人或者機器識別并且有意義的符號，表現形式包括所有的語音、文字、流媒體和各種有意義的符號等。所以，數據種類繁多、形式多樣。但在今天的數據科學中，數據的三性卻是非常清晰的，即數據的及時性、完整性和準確性。這三性在隱私保護中都必須充分考慮。

在明確數據的定義和性質之后，還要對什么是隱私以及哪些是需要保護的隱私有一個清晰的定義。在此之后，我們需要面對的就是如何保護隱私的問題，這里就要涉及法律法規和技術。這里首先要解決的問題是如何界定隱私破壞的問題，破壞的程度和嚴重性由誰來界定和如何界定等問題。在有了清晰的定義之后，由于隱私保護在法律方面也會涉及比較廣泛，因此要有界定清晰的法律法規。除此之外，就是隱私保護的技術路線和實現方法問題。也就是說，我們要用怎樣的技術手段和方法去發現和防范對隱私的侵犯。

什么是個人隱私和個人隱私權

首先，什么是個人隱私？個人隱私有各種不同的定義，但普遍是指公民個人生活中不愿為他人（是指在一定的時間和范圍以外的人）公開或知悉的秘密，且這一秘密與其他人及社會利益無關。這個定義里有兩點非常重要的內涵：一是個人秘密，即不愿意讓別人知道的秘密;二是這個秘密與其他人和社會利益無關。如果和社會利益有關，那就不一定算作個人隱私或者說需要保護的個人隱私。判斷個人信息是否屬于個人隱私的關鍵在于其本人是否愿意該信息被他人知曉，以及該信息是否與他人及社會利益相關。

其次，什么是個人隱私權？個人隱私權一般來講是指自然人享有的對其個人且與公共利益無關的個人信息、私人活動和私有領域進行支配的一種人格權，通常可以涵蓋人身隱私、通信隱私、場所隱私、信息隱私四個方面的內容。關鍵是支配的人格權，也就是說，隱私者所擁有的一種權利，他人原則上不能侵犯。

個人隱私權被侵犯的現狀

目前，隱私權被侵犯的現象實際上是非常嚴重的。我們經常會收到各種各樣的騷擾電話，這是由于我們很多本應該被保護的信息被泄露、被出賣或者被交易所致。有些是因為數據安全的問題被泄露，收集了他人數據的機構由于管理漏洞或者管理不當，數據被別人竊取;有些是數據被收集后，收集者缺乏管理和保護數據的意識，導致數據的流失或者被濫用;還有的是數據收集者為了謀取不法利益而出賣了他們收集的數據給第三方。凡此種種，各種案例都極為普遍。

除了上述非常普遍的通過電話、短信、微信和電郵等騷擾之外，侵犯隱私權的行為還包括：未經公民許可，公開其姓名、肖像、住址和電話號碼;非法侵入、搜查他人住宅;非法跟蹤他人，私拍他人私生活;非法刺探他人財產狀況;私拆他人信件;調查、刺探他人社會關系并非法公之于眾;泄露公民的個人材料或公諸于眾或擴大公開范圍;收集公民不愿向社會公開的純屬個人的情況等等侵權行為。這些都屬于侵犯他人隱私權利的行為。

對隱私權的侵犯往往和數據泄露相關。近幾年來，國內外數據泄露的事件非常多，也非常嚴重。例如，2020年6月，廣東省偵破了一宗特大公民個人信息泄露案件，此案涉及10億條個人信息遭泄露;2020年5月，泰國最大的移動運營商泄露了83億條用戶數據記錄;2020年2月，雅詩蘭黛因不安全服務器泄露了4.4億用戶敏感信息;2019年12月，美國短信服務商TrueDialog數據庫暴露10億條數據遭泄露，以及全球最著名的信息泄露事件——臉書（Facebook）5000萬用戶的信息泄露事件。這些事件已經引起全世界認識到數據保護的重要性，進而也清楚地認識到隱私的重要性和對于隱私保護的重視，因為數據一旦泄密，隱私就無從談起。

那么，哪些場合和場景最容易泄露我們的個人隱私？常見的場景包括中介機構、社交媒體軟件、黑客竊取、淘汰的舊手機、舊電腦、快遞單和包裹皮、不靠譜的購物網站、有獎活動等，都會導致我們的個人隱私信息的泄露。在防止好機構對于我們隱私信息的泄露之外，我們每個人都必須有保護好個人隱私的意識和理念，同時要有很好的保護好自己隱私的行動。要把保護隱私的意識和行動植入我們日常生活的細小環境中，不給利用和破壞隱私者太多的機會。所以，從這個角度上講，隱私保護不但要做好立法工作，教育和宣傳同樣非常重要。要防止別人竊取我們的隱私，同時我們也要保護好自己的數據和信息，不給偷竊者任何可乘之機。

在大數據和現代科技時代下，生物信息一樣非常重要。目前，指紋、面部以及虹膜識別等個人生物信息，在商業應用、社會治理以及國家安全等領域具有廣闊前景。但是，公民個人生物信息具有唯一性和不可變更的特質，一旦泄露就是終身泄露，其敏感程度和利用價值遠高于一般信息，存在特殊風險。要完善這些工作和做好隱私的保護工作，目前主要面臨三大難點：一是個人隱私信息范圍的快速擴展和其多樣性使得法律法規問題十分復雜。如何針對紛繁復雜的身份信息、生物信息、活動信息等個人私密信息進行保護，在不同行業領域“對癥下藥”予以類型化規制，如何在類型化的基礎上明確采集主體資格、數據使用范圍等，還有待于進一步研究。二是大數據時代下侵害隱私權的行為，多呈現出輕微、分散、隱蔽的特征，受害人自身維權動力和能力不足，無法對侵害人形成有效的制約。三是高新技術行業領域執法專業難度大、取證難度高，在各類行業標準不完善的情況下，執法的主動性和有效性必然受阻。

大數據時代隱私保護的特點及面臨的問題

大數據時代，人們習慣在線解決很多問題，信息的收集、存儲、傳輸、開發使用和傳播的表現形式都發生了翻天覆地的變化，互聯網強大的記憶和存儲功能讓一切在線行為可以被快速捕捉。今天公民隱私的數字化加劇了隱私的無形化，隱私在不經意之間即被侵犯。大數據時代隱私保護呈現出三大特點：一是數據隱私泄露更常見;二是侵犯隱私手段更隱蔽;三是侵犯隱私后果更嚴重。

當前，大量數據被收集與分析，很多對個人數據信息的利用行為都伴隨著侵犯隱私的風險。一方面，一些信息服務運營商的缺乏自律導致個人隱私泄露;另一方面，碎片化的個人信息被整合后侵犯個人隱私。此外，與公共事件無關的他人隱私受到侵犯。

在大數據時代，個人隱私保護面臨各種嚴峻的問題，總體而言可以分為三大類：

第一，個人隱私權存在被循環利用的風險。數據模式及內容出現了新變化，有些數據在收集時用途并不明顯，但是最終能產生新的創新性用途。通過對數據的分析及挖掘，每位用戶的行為可能被掌握，這將全面刺激對數據的收集、分析以及循環利用，給個人隱私造成很大威脅。

第二，現有隱私權保護機制不夠完善。大數據時代的快速發展，勢必出現新的政策和管理需求發展的滯后性，如許可、告知以及匿名性等相關的隱私權保護策略，將不能很好發揮應有效用。

第三，個人隱私行為可預測性。大數據時代所使用的大數據技術，通過數學算法能全面運用大量數據對可能發生的事件進行預測，使日常生活變成可量化的維度，線上與線下的生活極易被預測與跟蹤。數據挖掘技術就是專門針對未來預測的方法和技巧，數據挖掘是對基于數據本身簡單分析所不能獲取信息的延伸，尤其是在對未來的預測方面。傳統獲取數據中信息的方法主要是通過對已經收集到的數據進行簡單的查詢，再經過統計分析或者報表展示，由數據庫和大數據技術進行多維分析，這些方法都是基于數據本身信息的直觀解釋。但是，如果要通過數據中的規律對未來進行預估，那就必須用到數據挖掘技術。數據挖掘技術的推廣和應用至今已有超過25年的歷史， 數據挖掘中的很多算法早已存在而且被應用于商業決策中，真正形成完整的數據挖掘概念和工具（IBM的Intelligent Miner 是最早的商業化數據挖掘工具）開始商業化應用應該在1995年左右，已經非常成熟。通過數據挖掘技術，對未來可以進行很好的預測，這方面的應用也要給予足夠的重視和關注。

大數據環境下保護隱私的應對策略

大數據時代的隱私保護，已受到世界各國的高度重視。一方面，隨著網絡實體和網絡應用的爆炸式增長，由于缺少網絡可信身份導致的網絡詐騙呈逐年上升趨勢，中國、歐盟、美國、印度、澳大利亞、新加坡、韓國等都已實施網絡可信身份相關的戰略，來保護隱私，提高身份信息的安全性。另一方面，美國、歐盟、中國等都出臺了各種法律和法規來加強個人隱私數據的保護。

在美國，2019年5月，美國內華達州發布《內華達州數據隱私法》，該法案涉及互聯網隱私，要求互聯網網站和在線服務的運營商遵循消費者的指示，不得出售其個人數據。2018年6月，美國加州發布《加州消費者隱私保護法案》，該法案規定企業必須公開與個人信息原定使用場景和用戶預期不一致的使用行為，用戶有權撤銷第三方對個人信息的使用。

在歐盟，2018年5月25日正式實施《通用數據保護條例》（General Data Protection Regulation，簡稱GDPR）。GDPR被稱為“史上最嚴格的數據保護法”，要求從事個人數據處理的所有自然人和法人都必須遵守其規定，潛在的不合規行為可能導致高額罰金，并導致法院訴訟和名譽損害的后果。根據Enforcement Tracker這一網站的統計，2018年7月至2020年6月期間，可以公開查到的GDPR罰款共有264筆，罰款的數量和規模呈指數型增長。其中大多數罰單都與違反GDPR的合法性原則、有效同意、敏感數據保護和數據泄露有關，英國實施的罰款總額最高，超過3.15億歐元。

在中國，2020年7月2日發布《中華人民共和國數據安全法（草案）》，面向社會公眾征求意見，其主要內容包括：確立數據分級分類管理以及風險評估、監測預警和應急處置等安全管理基本制度;明確開展數據活動的組織、個人承擔數據安全保護義務，落實數據安全保護責任;堅持安全與發展并重，規定支持促進數據安全與發展的措施;建立保障政務數據安全和推動政務數據開放的制度措施等。2020年3月6日，國家標準GB/T35273-2020《信息安全技術 個人信息安全規范》正式發布。2019年5月28日，國家互聯網信息辦公室發布關于《數據安全管理辦法（征求意見稿）》，明確了個人信息和重要數據的收集、數據處理使用和安全監督管理的相關標準。所有這些法律法規的公布和出現，都是由于今天大數據的應用已經非常普遍，個人隱私破壞的現象屢見不鮮，保護個人隱私的任務已經刻不容緩。 如前所述，保護隱私需要有相應的法律法規，需要有技術手段和方法，需要全社會對于隱私保護重要性的認知與認可。這些法律法規的公布，為隱私保護的執行奠定了一定的法理依據，但要形成一套完整的法律體系依然任重道遠。

目前，現行法律體系滯后表現在采集主體資格無法定、數據權屬不清晰、數據使用無邊界、行業標準不完善、管理責任不明確、執法監管不到位等多個方面。保護用戶個人信息安全是大數據時代可持續發展的重要需求之一，賬戶被盜、資料丟失、隱私被敲詐等等問題，讓我們意識到隱私保護是一個綜合性的問題，需要用戶、運營商和監管部門共同協作，從國家法律法規、技術、行業和用戶等各個層面來應對大數據環境中出現的安全問題。

第一，從法律政策上加強信息保護和管理。在大數據時代，用法律維護公民個人私密信息安全是妥善保護個人隱私的關鍵所在，須不斷出臺個人信息保護方面的各種法律法規，對大數據時代如何合理利用個人信息給予界定，以指導和規范利用信息系統處理個人信息的活動。

第二，從技術上保護基礎設施和網絡安全。大數據時代下的社交網絡數據的存儲需要大規模基礎設施的支撐，由于大量的數據匯集在一起，敏感數據集中起來會帶來攻擊效益的提高，極易成為黑客們攻擊的目標，基礎設施被攻擊的風險顯著提高，因而托管數據的云的安全非常重要。除此之外，還要開發相應的反數據挖掘技術手段。

第三，從管理上加強運營公司的監控力度。社交網絡運營商應該杜絕公司內部人員對用戶數據的非正當訪問，對外限制第三方公司對平臺內數據的訪問及相應的授權公司能夠訪問的數據對象范圍，來加強數據的可控性。

第四，從認識上提高用戶的隱私保護意識。要讓大眾數據有價值，并能意識到數據管理不善可能帶來的危害，提高自身的數據保護意識。

第五，從政務數據開放上加強數據安全核心能力建設。可以依據數據分發體系的搭建、數據安全技術應用、法律協議保障以及服務對象信息安全能力測評四個方面進行。

一是依據開放對象搭建分類分級的數據分發體系。政務及公共數據開放的對象比較廣泛，既有上級單位，也有同級政府及企事業單位，甚至可能面向個人，這些對象擁有的權限、需求及數據保密能力差異較大。考慮到政務數據開放大部分單向開放的情況，可以根據不同類型對象的權限及保密能力等要素進行分類，進而搭建面向不同對象服務的數據分級分發體系。在原始數據平臺向各級對象數據服務平臺分發數據時，根據既定規則進行數據脫敏的處理，確保特定分發對象只能訪問到特定的分發平臺數據，從而建立一個以原始數據源為核心的樹狀數據服務平臺。

二是采用加密及脫敏等數據安全技術。依賴上述分級分類的數據分發平臺，根據需要配置既定的加密及脫敏規則，在數據從原始數據源分發到前端數據服務平臺的過程中，對數據庫關鍵字段或文檔中關鍵敏感信息（例如身份證及銀行卡號等）進行自動識別并加密或脫敏處理，確保個人隱私信息或涉密信息不會被濫用。

三是通過法律協議明確服務對象的數據安全保護義務。數據開放單位，必須邀請專業法律顧問單位，結合數據的情況，針對不同的服務對象簽訂明確的數據保密義務協議，一方面提升數據服務對象的安全保密意識，另一方面也明確雙方權責。

四是對服務對象數據安全防護能力進行測評。政務或公共數據開放單位，要通過第三方測評機構，建立針對服務對象的數據安全防護能力測評機制，對于沒有達到相應防護能力的機構，應該要求其進行整改，從而降低數據被濫用或隱私泄密的風險。

我的數據我做主，未來可期

做好隱私保護是一項非常艱巨的任務，任重而道遠。相信隨著信息技術的發展，相關法律法規的不斷完善，在監管部門、運營商等共同協作和堅持不懈的努力下，不久的將來我們的隱私可以得到充分的保護，在數據的收集和應用方面，真正能夠做到“我的數據我做主”。

“我的數據我做主”是一個理想狀態，包括從數據的收集、數據的存儲、數據的傳輸，到數據的使用和數據的銷毀等，都有數據相關者的參與和法律法規的保護。除此之外，在數據的使用過程中，如果有了收益，數據的產生者也應該有分享數據所帶來的紅利或者效益分成的權利。這個在很大程度上就改變了今天數據使用過程中利益的分配方式和路徑。當前，數據所產生的效益往往都被數據收集者和數據整理者所擁有。數據收集者或者數據整理者并不一定擁有數據的所有權。未來，數據相關者應該得到部分的經濟補償，從數據的收集過程到數據的使用過程，以及在數據使用后的利益分配中，數據相關者都有權利參與，這才是真正的“我的數據我做主”。

（劉世平為吉貝克信息技術（北京）有限公司董事長、中國科學院大學金融科技研究中心主任。本文編輯/謝松燕）