美國個人信息安全保護

美國個人信息安全保護的法權淵源

美國個人信息保護制度源自對公民個人隱私權的保護，歷史悠久。不過，迄今為止美國還沒有聯邦層面的、統一的綜合性個人信息保護法。由此造成的現狀是“個人信息”（Personal Information）定義在美國各個州及其相關法規中并不統一。對此，美國學者戲稱美國個人信息法為“變色龍”。

美國隱私權的法權淵源如美國憲法規范，源自1791年憲法第四修正案的表述：“人民的人身、住宅、文件和財產不受無理搜查和扣押的權利，不得侵犯。”不過，此時隱私權長期處于“睡美人”的法權狀態，僅為法學研究的范疇。自1890年塞繆爾·瓦倫教授在《哈佛法學評論》發表了《隱私的權利》以來，歷經威廉·普羅瑟等學者延伸闡釋，隱私權就此深刻影響著美國法律人群體思維。根據普通法傳統，基于墮胎權爭議的幾次激烈辯論的“格里斯沃爾德訴康涅狄格州案”（Griswold v. Connecticut，1965）和“羅訴韋德案”（Roe v. Wade，1973），聯邦最高法院最終確定了隱私權為美國憲法所保障的基本權利。受此影響，美國國會先后于1970年制定了《公平信用報告法》、1974年制定了《隱私權法》（典型）、1986年制定了《電子通信隱私法》等法律，確認和保護了公民的隱私權。以此為基礎，美國許多州制定了保護個人隱私權的法律。

美國個人信息安全保護的立法框架

美國個人信息安全保護的立法，主要包括聯邦、州兩個層面，涉及對象包括限制政府機關、非政府組織和個人。聯邦層面首當其沖的是美國聯邦憲法，這是抵御美國國家機關侵害個人信息安全的“定海神針”，諸如國土安全部等國家機關使用個人信息的行為必須符合憲法的規定。另外，聯邦層面相關法律主要包括一般隱私法和特別隱私法。（1）一般隱私法包括：1970年的《公平信用報告法》（FCRA，15美國法典US Code 第1681-1681u條）、1974年的《家庭教育權利和隱私法》（FERPA，20美國法典 第 1232g 條）、1974年的《聯邦隱私法》（5美國法典第552a條）、1977年的《公平債務催收實踐法》（15美國法典 第1692-1692p條）、1986年的《電子通信隱私法案》（18美國法典 第2510-2522、2701-2711、3121、1367條）、1988年的《視頻隱私保護法》（1988-18美國法典 第2710條）、1994年的《駕駛員隱私保護法》（18美國法典 第2721條）、1999年的《金融服務現代化法案》（Gramm-Leach-Bliley，GLB，隱私規則- 15美國法典 第6801-6809條）等。（2）特別隱私法包括：1996年的《健康保險流通和責任法案》（HIPAA，45 CFR第160和164條）、1998年的《聯邦身份盜竊和假設威懾法案》（1998-18 美國法典 第1028條）、1984年的《計算機欺詐和濫用法案》（1984-18美國法典第1030條）、1988年《計算機匹配和隱私保護法》【5美國法典 第552a （a）（8）-（13）、（e）（12）、（o）、（p）、（q）、（r）， &（u） 條】、1998年的《兒童在線隱私保護法》（COPPA，15美國法典 第6501條及以下）、2003年的《控制未經請求的色情和營銷攻擊法案》（CAN-SPAM，15美國法典 第7701-7713條）。（3）其他涵蓋個人信息-隱私保護的法律，主要是指1966年的《信息自由法》、1970年的《公平信用報告法》、2012年的《聯邦信息安全管理法案》（FISMA）等。值得一提的是，美國聯邦貿易委員會等2010年發布的《個人身份信息指南》（PII）對個人信息的定義采取了開放式例舉模式，強調“任何可以識別個人或提供識別個人線索的信息”，這成為當前美國法律實務界的重要參考性概念。

州層面個人信息安全保護的立法，總體上與聯邦層面保持一致，只不過內容更加豐富，并且不同的州的具體規定也有些差異。加利福尼亞州的個人信息安全保護的立法有口皆碑。2018年的《加州消費者隱私法》（CCPA）和2020年加州再次通過的《加州隱私權法》（CPRA）構建了加州隱私保護的法律制度框架，并成為美國目前最具有典型意義的州隱私立法。加州隱私法也區分為一般隱私法和特別隱私法，并且法權淵源主要是來自加州民法典，極少數如身份盜竊類的淵源來自加州刑法典。另外，弗吉尼亞州議會于2021年3月通過了《消費者數據保護法》（CDPA），與該州的民法典和刑法典等合圍，弗州由此成為美國第二個擁有全面隱私法的州。不過，該法2023年1月1日才正式生效。

美國個人信息安全保護的執法概況

美國侵害個人信息安全的形勢不容樂觀。以身份盜竊為例，當前美國身份盜竊受害者甚多。身份竊賊以受害者的名義做了很多事情，如開設新的信用賬戶、獲取汽車貸款、享受醫療服務（并進行保險索賠），甚至犯罪并產生犯罪記錄。據加州司法廳網站提供的信息顯示，2014年美國成人的4%即1270萬成為身份盜竊受害者（包括加州的150萬人），平均每2.5秒就有一名受害者。與此同時，因身份盜用造成的損失也非常大，2014年，受害的個人和企業直接損失就達到1600萬美元。美國個人信息安全保護機制，主要有兩種方式，一是聯邦和州縣層面的執法機構利用行政或刑事權力加以規制;二是通過民事訴訟保護自身權益。不過，與美國沒有統一的個人信息保護法相對應，其執法機構也不統一，主要的執法機構包括美國聯邦貿易委員會（FTC）、聯邦通信委員會、證券交易委員會、消費者金融保護局、衛生與公共服務部、教育部以及司法系統等。

案例一：“藍色泄露”（Blue Leaks）暴露數百個警察部門的文件

2020年6月，一個名為“分散式拒絕秘密”（Distributed Denial of Secrets）的組織在網絡上公開了美國200多個警察部門的數十萬份執法機密數據。這些被泄露的數據被稱為“藍色泄露”。這是由黑客從美國聯邦調查局（FBI）、國家融合中心協會（NFCA）及其他執法培訓機構等的網站竊取后以索引的方式公開發布的。事后NFCA發布警報指出，這些數據容量達269GB，時長跨度達24年（從1996年8月到2020年6月19日），其數據轉儲包含電子郵件和相關附件，內容包括姓名、電子郵件地址、電話號碼、PDF 文檔、圖像和大量文本、視頻、CSV 和 ZIP 文件。據NFCA的分析顯示，其中一些文件確實包含高度敏感的信息，如一些警力資源分布或臥底警察名單等機密信息。為此，各種犯罪勢力將利用這些暴露的數據，進行針對NFCA和相關執法機構及其執法人員的各種網絡攻擊和違法犯罪活動。另外，由于發布這些數據的日期是6月19日，該日也稱為“Juneteenth”（六月節），這是美國歷史最悠久的結束奴隸制的全國性紀念活動。2020年5月因為喬治·弗洛伊德被明尼阿波利斯警察跪殺后引起了針對警察暴行的廣泛抗議，導致該年這一紀念日引起了公眾的高度關注，并由此擔憂執法警察個人的安全以及這些警察家人的安全。EAA4A85F-DB63-4DE5-8A1C-E58D72807926

案例二：生育應用程序暴露女性個人和醫療信息的風險

加利福尼亞州輝光公司（Glow， Inc.）是一家運營生育追蹤移動應用程序的技術公司，主營業務是運營存儲女性生育等個人敏感信息和醫療信息。據加利福尼亞州司法廳警員的多次調查，該公司應用程序存在一系列嚴重隱私和基本安全問題，如未能充分保護女性的健康信息，未經用戶同意就允許訪問女性私密信息，并且該應用程序的密碼更改功能存在其他安全問題，第三方可能會在未經用戶同意的情況下重置用戶賬戶密碼并訪問這些賬戶中的信息。這些問題使女性高度敏感的個人和醫療信息處于危險之中。對此，加州總檢察長澤維爾·貝塞拉代表加州對輝光公司提出了訴訟，最后雙方和解。和解協議包括輝光公司繳納25萬美元的民事罰款，并遵守州消費者保護和隱私法的禁令條款，防范隱私安全漏洞，確保女性私密信息不被泄露。事后貝塞拉稱：“輝光公司收集敏感醫療信息，它應該知道，它必須確保顧客的隱私和安全。今天的和解也為每一個處理敏感私人數據的應用程序制造商敲響了警鐘。”

案例三：谷歌因YouTube違反兒童隱私法受到處罰

多年來，隱私維權組織一直抱怨谷歌旗下的YouTube在其平臺上不恰當地針對兒童投放廣告，谷歌由此以定向廣告推送的形式從這些信息中獲利。他們認為YouTube在未經父母同意的情況下非法收集兒童的個人信息，違反了《兒童在線隱私保護法》。總部位于華盛頓特區的美國聯邦貿易委員會接到投訴后，聯合紐約總檢察長辦公室對此展開調查。聯邦貿易專員麗貝卡·斯勞特（Rebecca Slaughter）指出，YouTube“使用童謠、卡通和其他內容來誘騙兒童，在頻道上出現誘導兒童的內容”。紐約總檢察長萊蒂蒂亞·詹姆斯（Letitia James）在一份聲明中說：“谷歌和YouTube故意和非法地監控、跟蹤和向幼兒投放有針對性的廣告，只是為了保持廣告收入……這些公司將兒童置于危險之中并濫用他們的權力。”2019年9月4日，聯邦貿易委員會在華盛頓特區召開新聞發布會，通報谷歌旗下YouTube視頻共享服務中非法收集來自未經父母同意的兒童隱私違法情況。通報稿顯示，谷歌對此已同意支付1.7億美元罰款，這成為有史以來涉及《兒童在線隱私保護法》違法的最嚴厲處罰。

案例四：個人信息被盜用作情感欺詐犯罪

情感欺詐（Romance Scams）犯罪是指詐騙者以戀愛的名義在約會網站和應用程序上創建虛假個人資料，或通過流行社交媒體網站聯系被害人，一天會交談或聊天數次，在取得信任后，他們編造一個故事并榨取錢財。聯邦貿易委員會網站信息顯示，當前，數以百萬計的人轉向在線約會應用程序或社交網站來認識某人，但是，許多人沒有找到浪漫，而是發現騙子試圖誘騙他們匯款。情感欺詐犯罪主要由聯邦調查局刑事案件處理部門偵辦金融欺詐案的特工負責。據負責偵辦浪漫詐騙的聯邦調查局休斯頓分局特工貝寧等介紹，情感騙子通常使用從網絡上竊取的有吸引力的照片，創建自己虛假的在線個人資料，通過包裝，吸引潛在的受害者，然后聯系受害者，在網上分享信息，并假裝有共同的興趣以套取感情，同時他們又經常找一些合理的借口避免見面，例如許多詐騙分子聲稱自己在海外軍隊服役或在海上石油鉆井平臺工作。據聯邦貿易委員會統計，截至2021年的前五年中，人們因情感詐騙損失了13億美元。

美國個人信息安全保護的新挑戰

隨著互聯網時代向縱深發展，美國民眾認為個人信息安全受互聯網的威脅越來越大。2021年9月由美聯社等展開的一項民調顯示，約64%的美國人認為他們的社交媒體活動和物理位置信息在網上得不到保護，50%的美國人認為他們的網絡私人對話信息缺乏安全性。調查顯示， 77%的人不滿意聯邦政府處理隱私和個人數據方面的努力。對此，約71%的美國人認為，個人數據隱私應被視為國家安全問題加以重視。另外，根據加利福尼亞司法廳發布的《加州數據泄露報告（2016）》，2012-2015年，司法部長收到了657起數據泄露事件的報告，總共影響了超過4900萬條加州人的記錄，即近3/5的加州人處于危險之中。當前，美國個人信息安全面臨的新挑戰主要是“定向廣告”（Behavior Advertising）、“數據經濟”（Data Broker）、“人臉識別”（Facial Recognition）。這其中，人臉識別技術受到美國警方的青睞。佛羅里達州自2000年以來就使用和普及人臉識別技術并使之成為日常治安維持的一部分。近年來，人臉識別技術在美國發展迅猛并功能強大，如亞馬遜在2016年推出了人臉識別軟件Rekognition，谷歌、IBM、微軟等企業也都推出了自己的人臉識別應用產品。這些產品被美國警察等執法部門廣泛用來維持社會治安和打擊犯罪。佛羅里達州警察甚至稱，他們一個月要查詢這個系統4600次。不過，人臉識別技術在美國引起了巨大爭議，民眾認為它違背了美國憲法第四修正案，會引發隱私權侵害、種族歧視、民主程序違法等問題。面對巨大的輿論壓力，2020年6月亞馬遜宣布為期一年暫時禁止美國警方使用自己的人臉識別技術Rekognition。隨后，美國眾議院議員提出了一項警察改革法案，該法案將禁止聯邦執法部門使用實時面部識別。目前，美國很多州通過立法，限制甚至是禁止警察等執法部門使用人臉識別技術。2020年2月美國參議員在參議院提出了《道德使用人臉識別法案》，將在聯邦層面推進全美人臉識別技術的規范使用。這些法案無疑將極大推進和完善美國的個人信息安全保護體系。■

（本文為北京警察學院國別與區域警務研究中心重點課題“美國聯邦警察法研究”（2021KWTXJ01）的階段性成果。）

【作者簡介】黃悅波，博士，法學副教授，北京市公安交通管理局民警，首都法律法學人才庫專家、教育部國別研究備案中心“湘潭大學南亞研究中心”研究員。歷任北京警察學院“國別與區域警務研究中心”主任、公安部國際合作局“國別和區域研究專家”。研究方向為行政法、國別警務、希伯來法。出版專著編著6部，發表論文50余篇。

（責任編輯：古靜）EAA4A85F-DB63-4DE5-8A1C-E58D72807926