大數據偵查中個人信息法律保護的不足與完善

許 志 許璐曦

（西北政法大學公安學院 陜西西安 710063）

隨著大數據技術的飛速發展，人們的生活觸角延申至網絡空間，網絡信息生活成為人們的基本生活方式之一，網絡犯罪也成為現代社會的主要犯罪類型之一。大數據時代對偵查工作提出了新的要求，但傳統的偵查措施卻無力應對。在此背景下，大數據偵查進入了偵查人員的視野內。大數據在偵查領域的應用能夠有效實現數據采集、趨勢研判、輔助偵查決策等，為偵查工作帶來了極大的便利，提高了打擊犯罪的效能。然而任何事物都具有兩面性。由于大數據技術本身具有海量、關聯性和數據挖掘的特點，且目前偵查機關在使用大數據技術時，收集時間多在犯罪結果發生之前，收集對象是不特定的多數，因此偵查機關在大數據偵查的過程中，極易侵犯公民的個人信息權益。但我國現行法律對此卻缺乏具體規定，現實中的問題更是屢見不鮮。本文從法律保護的角度出發，試圖構建大數據偵查中個人信息保護的法律體系，為大數據時代偵查工作中個人信息的保護尋求切實可行的法律保障。

大數據偵查中個人信息法律保護的必要性

人權保障的必然要求。人權保障是現代法治國家所要達到的目標之一。大數據偵查作為偵查措施之一，其價值追求必然包含了保障人權。當前，天網工程、金盾工程及雪亮工程等大數據設施已在全國范圍內鋪設完畢,偵查人員可以利用這些大數據技術更加快速地查清案件事實、追蹤犯罪嫌疑人和獲取相關線索，大數據偵查有助于偵查人員在辦案過程中“不冤枉一個好人，也不放過一個壞人”。從某種程度上來說，大數據偵查有利于保障受害者和無辜公民的人權。同時，大數據偵查也改變了傳統的偵查方式，拓寬了偵查人員的辦案思路，為“口供為中心”向“實物證據為中心”的轉變提供了技術支持，更好地維護了相關人員的基本人權。但需要注意的是，相較于傳統的偵查措施，大數據偵查因其形式的多變性和應用的隱秘性，對公民個人信息的侵害力度也比傳統的偵查措施的侵害力度更大。大數據偵查擴張了侵犯個人信息的主體，加重了個人信息泄露的風險，更增強了信息泄露結果的危害性。[1]例如，天網作為一個監控系統，拍攝的內容必然包含無關人員的行動軌跡和隱私行為。為了打擊犯罪，偵查人員當然可以使用天網收集的數據，但在偵查過程中，偵查人員應當如何處理相關人員與案件無關的個人信息，乃至無關人員的個人信息；在使用相關數據時應當遵守怎樣的法律程序等等這些問題都必須通過具體法律進行規制，才能切實有效地為大數據偵查中公民的基本人權提供法律保護。

社會主義法治國家建設的應有之義。建成社會主義法治國家的基本前提與必要條件之一就是法律完備。要想做到法律完備，就必須使社會各方面需要法律規制的地方都能“有法可依”。大數據偵查作為一項新興偵查措施，已在偵查工作中得到了廣泛應用，但由于法律的滯后性，一直未被納入《刑事訴訟法》的規制范圍，填補相關法律規范的空白已然成為建設社會主義法治國家的重要任務。現代法治理論認為，為了更好地保護自身的權利，公民會讓渡一部分私權利給國家，因此在一些特殊場合，私權利和公權力往往處于一種常態化的不平衡狀態。為了打擊犯罪，維護公共安全，公民需犧牲一部分個人信息權益，允許大數據偵查的存在。但在社會主義法治國家，偵查機關在行使偵查權時必須在法律授權范圍內進行，大數據偵查中涉及到個人信息的部分必須由法律法規嚴格規制，偵查機關在大數據偵查的過程中必須嚴格遵守相關法律。

社會主義法律體系建設的迫切需要。建設中國特色社會主義法律體系，必須與時俱進。2015年10月，黨的十八屆五中全會提出要實施國家大數據戰略，大數據成為中國社會發展的主要驅動力。[2]在現代社會生活中，人們所產生的個人信息幾乎都已被數據化。作為公權力機關的偵查機關在收集、存儲、利用公民個人信息時無疑擁有巨大的權限。因此大數據時代的偵查機關侵犯公民個人信息的概率極大，侵害程度極為深刻。盡管大數據偵查已經在偵查領域得到了廣泛應用，且大數據偵查對公民的個人信息極易造成損害，我國關于大數據偵查及個人信息保護的法律法規卻不完備，難以適應信息化快速發展的現實情況。為及時應對大數據時代提出的挑戰，全面落實依法治國方略，應當將大數據偵查中的個人信息納入法律保護范疇，為建設社會主義法律體系添磚加瓦。

我國大數據偵查中個人信息法律保護的不足

《刑事訴訟法》中沒有對大數據偵查做出具體規制。缺乏大數據偵查法律屬性的界定。大數據偵查作為偵查權運行的新形式，我國的《刑事訴訟法》目前還未將其納入。學界對于大數據偵查的法律屬性這一問題，也是眾說紛紜。偵查學者普遍將大數據偵查作為一種偵查模式進行討論以期涵蓋偵查措施、偵查行為、偵查策略等多種要素，便于開放式探討復雜的現實問題。而法學學者則傾向于從偵查措施或偵查行為等法學范疇出發探討偵查的程序與構造。更有觀點認為，大數據偵查本身的系統性決定了其法律地位的跨層次性，難以將其規定為單一的法律范疇。無論將大數據偵查界定為偵查模式還是偵查措施都不妨礙對其相關法律問題的探討，因此該觀點認為大數據偵查具有多義性。[3]學界觀點的不統一以及法律規范的空白，導致大數據偵查的法律屬性處于模糊狀態，從而導致了大數據偵查具體規則的缺失。

缺乏大數據偵查的具體規則。《刑事訴訟法》雖然未對大數據偵查的法律屬性做出明確規定，但也并非一片空白。例如：2012年《刑事訴訟法》賦予“電子證據”新的法定證據形式，但并未對其具體規則做出規定，實踐中大數據偵查仍缺乏權威的法律規制。此外，也不能將大數據偵查片面歸入勘驗、檢查、搜查、技術偵查等偵查措施。大數據偵查作為一個新生事物，現有的偵查措施無法完全涵蓋大數據偵查的表現形式，因此不能將現有偵查措施的具體規定直接嫁接到大數據偵查上。比如勘驗、檢查雖有線上模式，但無法解釋數據挖掘、數據監控等行為；傳統的搜查主要指人身搜查和場所搜查，哪怕將搜查拓展至網絡空間，也僅能解釋大數據偵查的部分行為，對于其他行為仍然無法解釋。總之，在已有的法律框架內只有部分大數據偵查行為能夠得到解釋，法律文本嚴重滯后于偵查措施的實際發展，難以形成有效的解釋與規制。

《個人信息保護法》中相關規定有待完善。在《個人信息保護法》出臺之前，我國關于個人信息保護的條款散見于各個部門法當中，較為分散且不全面。為了加強對個人信息的保護，第十三屆全國人大常委會先后對《個人信息保護法》進行了三次審議。2021年8月20日第十三屆全國人大常委會第三十次會議通過了《個人信息保護法》。相較于《個人信息保護法（草案二次審議稿）》（以下簡稱《二次審議稿》），《個人信息保護法》對于大眾關切的一些問題均有回應。例如針對個人信息泄露的隱患，《個人信息保護法》在第10條將“任何組織、個人不得違反法律、行政法規的規定處理個人信息”修改為“任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息”，進一步解釋了處理個人信息的范疇，同時也為偵查機關在大數據偵查中處理個人信息的行為確立了合法性原則。《個人信息保護法》在第62條“國家網信部門統籌協調有關部門推進個人信息保護工作”中增加了“完善個人信息保護投訴、舉報工作機制”的內容，顯示出對個人信息保護救濟途徑的重視。此外，《個人信息保護法》在第二章第三節對國家機關處理個人信息的行為進行了特別規定，但仍舊存在一些不足，比如“識別＋關聯”為核心的個人信息定義指向不明；國家機關處理個人信息的特別規定含混不清等等。

我國大數據偵查中個人信息法律保護的完善

在《刑事訴訟法》中對大數據偵查作出明確規定

大數據偵查屬于偵查措施。大數據偵查作為一種新型偵查手法，需要討論的已不是技術上能不能執行的問題，而是法律上是否準許及法律如何規制的問題。[4]換句話說，大數據偵查的法律屬性決定了《刑事訴訟法》如何設計其具體的規則內容。無論大數據的技術和手段如何發展，只要侵犯了公民的基本權利，都應當受到《刑事訴訟法》的限制。大數據偵查涉及到公民的隱私權、通信自由和通信秘密的權利等基本權利，應當在《刑事訴訟法》中進行明文規定。大數據偵查是一種新興事物，其運行機制與我國現行《刑事訴訟法》中規定的各類傳統偵查措施均存在本質差異，無法歸類于現有的偵查措施。[5]172綜上，大數據偵查應當作為一項獨立的偵查措施在《刑事訴訟法》中詳細規定。

大數據偵查的實體規則。在厘清大數據偵查的法律屬性后，我們還應當注意其規則的具體內容。在大數據偵查的實體規則方面，筆者擬對其適用的人員范圍、適用時間、適用案件范圍等方面提出建議。在適用人員范圍上，由于大數據偵查可能會嚴重損害公民的基本權利，原則上其適用對象應當僅限于犯罪嫌疑人、被告人和與犯罪活動直接相關的人，不得隨意擴大適用對象的范圍。在適用時間上，需區分預測型偵查和回溯型偵查。在預測型偵查中，犯罪事實尚未發生，偵查人員只能使用任意性偵查措施進行預測和示警，不得侵犯相對人的合法權益，利用的數據須限定在已知案（事）件、警情、被告人、犯罪嫌疑人等數據或從合法途徑獲取的數據范圍內。在回溯型偵查中，任意性偵查措施和強制性偵查措施都可以適用，大數據偵查亦不需進行額外的限制。鑒于大數據偵查可能對犯罪嫌疑人、被告人，乃至無關人員的個人信息造成嚴重侵害，在適用的案件范圍上應當堅持重罪原則，即只適用于危害國家安全犯罪、恐怖活動犯罪、黑社會性質的組織犯罪、重大毒品犯罪或者其他可能判處七年以上有期徒刑的案件。另外，由于大數據偵查對公民的個人信息權益的侵害程度大大超過了傳統偵查措施的侵害程度，大數據偵查在適用時還應當堅持最后手段原則，在窮盡詢問、訊問、勘驗、檢查、鑒定等常規偵查措施之前，不得適用大數據偵查。

大數據偵查的程序規則。在大數據偵查的程序規則方面，筆者將嘗試從啟動程序、告知程序和監督程序三方面進行構建。在啟動程序上，啟動大數據偵查的實質條件是具有初步的犯罪嫌疑。需有確定的事實材料證明適用對象具有確定的犯罪嫌疑，且符合前文所述的實體條件時，才能適用大數據偵查。在告知程序上，大數據偵查應當進行事前告知，但可以因案件的特殊情況設置特殊規定。比如可以參照技術偵查措施的規定，根據偵查犯罪的需要，在特定的案件范圍內，設置事后告知程序。在法律明文規定的法定事由的范圍內，可以推遲對信息主體的告知。[6]在涉及到大量告知對象，逐一告知的難度較大時，可以探索建立事后社會公示、定期向專門機關報告等告知制度。在監督程序上，盡管域外多采用法官令狀制度，但這顯然不符合我國國情。大數據偵查之所以容易被濫用，最主要的原因就是偵查權的封閉運行機制。因此，監督程序最重要的一環就在于打破大數據偵查的封閉運行機制，實行以檢察官審批為主、緊急情況下偵查機關先行自我審批為輔的監督機制，同時應當考慮建立大數據偵查中各類數據的使用監督機制，以此來限制大數據偵查的恣意啟動和隨意擴張。[5]174

在《個人信息保護法》中完善相關規定

以“場景和風險評估”為導向，確定個人信息動態保護范圍。《個人信息保護法》第4條規定“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息。”對于個人信息的定義，《個人信息保護法》延續了我國法律法規和標準規范的傳統，采用了“識別＋關聯”標準，但這種標準是否合理有待商榷。“識別＋關聯”作為個人信息的定義標準早已得到普遍承認，但大數據技術帶來了此種標準的操作困境。一方面，在數字社會，新技術、新商業、新模式不斷呈現，個人信息的形式也越來越多樣化，“識別＋關聯”標準無法完全界定個人信息范圍。另一方面，個人信息受侵犯卻不以“識別＋關聯”標準為限，“大數據殺熟”就是一個典型例子。為此，我們可以參考美國《消費者隱私權利法案（草案）》中的場景和風險評估機制。場景和風險評估機制的核心在于評估個人信息處理行為是否合理，評估標準在于公民是否接受處理行為所引發的后果，引發的后果是否符合公民的合理期待。影響其合理期待的各種因素就統稱為“場景”，影響其是否接受引發后果的核心衡量標準則被稱為“隱私風險”，讓隱私風險盡可能地在公民的接受范圍內就是個人信息保護的最終目的。[7]相較于傳統的“識別＋關聯”標準，場景和風險評估機制更適應大數據時代社會經濟發展的現實需要，確立個人信息動態保護范圍也更有利于構建個人信息保護制度。

完善國家機關處理個人信息的特別規定。《個人信息保護法》雖對國家機關處理個人信息作出了專門規定，但未能充分反映國家機關在個人信息保護方面的特殊性，對此可以從三方面進行完善。首先，應當在《個人信息保護法》中對國家機關處理個人信息，尤其是對偵查機關處理個人信息的行為進行明確授權。其次，應當在《個人信息保護法》中對國家機關享有的工具性權利進行特別規定，以區分公權主體和私權主體作為不同的信息主體時的不同。[8]公權主體作為信息主體時因其公權屬性，應當在處理公民個人信息進行時享有特殊的權限。《個人信息保護法》雖在第33條規定了“國家機關處理個人信息的活動適用本法，除非有特別規定”。但遍尋法條，卻沒有關于國家機關處理個人信息的特殊規定。最后，應當在《個人信息保護法》中對國家機關處理個人信息的行為違法侵權時所應承擔的法律責任作出特殊規定。《個人信息保護法》第七章規定了個人信息處理活動違法侵權時應當承擔的法律責任，但其中大部分內容只適用于公司企業等私權主體，僅有第68條針對公權主體處理個人信息活動違法侵權的行為規定了責令整改和處分的法律責任，除此之外，再無其他規定。責令整改和處分都屬于行政系統內部行為，沒有打破權力運行的封閉閉環，缺乏監督。因此，應當在《個人信息保護法》中設立行政復議、司法訴訟和國家賠償等一系列措施，健全個人信息保護的監督救濟機制。

大數據偵查和個人信息保護隨著大數據技術的發展劇烈變動，而作為二者的交叉地帶，大數據偵查中的個人信息保護問題更是面臨著嚴峻考驗。大數據偵查中的個人信息保護不僅涉及到大數據偵查方面，更與個人信息保護息息相關。但遺憾的是，我國嚴重缺失大數據偵查的相關法律規范。而個人信息法律保護方面，雖然《個人信息保護法》已于2021年8月20日通過，但也仍存在一些不足。建立健全相關法律制度是解決大數據偵查中的個人信息保護問題的首要前提。我們應當用變化的眼光看待問題，從系統的角度設計法律，從而構建起以《刑事訴訟法》為主體、《個人信息保護法》為重點的大數據偵查中個人信息法律保護制度。