強人工智能時代個人信息的法律保護研究

袁 峰

桂林電子科技大學，廣西 桂林 541004

一、問題提出

隨著人工智能技術由弱人工智能向強人工智能轉變，網絡生活沒有了絕對的隱私，日常生活產生的信息和痕跡都暴露在網絡之中，智能機器人變得比我們自己還了解自己。個人信息被非法收集、泄露、濫用等侵權事件頻發：智能手機應用默認開啟手機錄音權限侵害用戶隱私，售樓處攝像頭收集人臉信息進行精準營銷、高價銷售，電商平臺過度收集偏好信息用來“大數據殺熟”，快遞信息被不法分子收集用來精準詐騙。其中有科技外部性的原因，有監管不到位的原因，有企業自身保管不當的原因，也有法律法規不夠健全的原因。盡管最近兩年個人信息保護法律法規陸續出臺，《網絡安全法》《數據安全法》《個人信息保護法》《兒童個人信息網絡保護規定》《APP違法違規收集使用個人信息行為認定方法》和最高人民法院發布的相關司法解釋，對于個人信息的保護，這些法律法規和司法解釋都有涉及，但在科技新興領域始終都“慢半拍”，實踐中法律法規的可操作性如何尚未可知。如何在強人工智能時代提高法律法規的協同治理效能，探索符合我國數字經濟產業健康發展、利于高新技術企業轉型升級、保護網絡消費者個人信息安全的法律保護措施，實現我國網絡領域治理體系治理能力的現代化具有重大意義。

二、強人工智能與個人信息概述

（一）強人工智能與個人信息的定義

人工智能作為計算機科學的一個分支，在互聯網上被定義為一門新的技術科學，即圍繞人的智能為核心進行研究和開發，并進行模擬、延伸、增強和擴展自然人智能的技術科學。劉憲權教授認為：“根據智能機器人是否可以脫離人類設計和編制的程序自主實施行為，又分為弱人工智能和強人工智能。”對強人工智能進行了比較科學的界定。智能機器人可以高效率、便捷化地處理以前需要人工重復做的事情，甚至做一些以前人工無法完成的事情。［1］最新的《個人信息保護法》對個人信息的概念進行了較為詳細的界定，其中第四條規定：所謂個人信息是指以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息，有學者根據個人信息的敏感程度，又將其分為一般信息和敏感信息。

（二）個人信息侵權主要類型

1．非法且過度收集。《個人信息保護法》第五條規定，應當遵循合法、正當、必要和誠信原則作為對個人信息的收集的基本原則，不得通過誤導、欺詐、脅迫等方式處理個人信息。另外，收集個人信息時也要遵循最小范圍原則，并經被收集者的同意。然而實踐中部分互聯網公司以收集個人信息作為使用其服務的前提，且通常用戶點擊“同意”即被收集幾乎所有信息，其中部分信息并非提供服務所必需的，要不然用戶只能選擇退出。而且，強人工智能還會在用戶不知道的情況下收集處理個人信息，對用戶進行人物畫像等，甚至根本不需要征求用戶的同意就可以完成，直接繞開了同意原則的規定。

2．過度利用。部分外賣軟件服務顧客的同時利用人工智能來收集用戶的信息，這些信息包括銀行卡信息、瀏覽記錄、位置信息，通過大數據分析個人消費習慣、行為習慣乃至經濟狀況，以此對用戶定向推薦廣告、發布信息并誘使消費。這一方面容易為實現公司利益最大化而損害消費者權益，例如只向消費者推薦價高的商品，另外也使消費者處于“信息繭房”之中，讓消費者看到商家想讓消費者看到的，極其容易誤導消費者。

3．不當泄露。近些年重大信息泄露案件頻發，例如F 公司3000 萬用戶信息泄露案、W 酒店3．27億住戶信息泄露案和近期的高校學生信息泄露案等，都是因為企業自身信息網絡安全防護不到位所導致的。科學技術就像一把雙刃劍，人臉識別的出現給公共管理帶好諸多好處，也極容易造成個人信息泄露，同時也讓大眾產生不安的心理，感覺時時刻刻都在被監視。同時，由于政府監管存在滯后性和企業自身個人信息數據合規建設不健全，給了不法商家通過販賣人臉照片等個人信息牟利的可乘之機。

三、人工智能應用中個人信息法律保護現狀

（一）個人信息范圍規定寬泛

隨著個人信息侵權事件頻發，嚴重影響民眾正常的生產生活秩序，基于更好保護公民個人信息，國家加強了相關法律法規的制定出臺。《個人信息保護法》規定了比《民法典》更為寬泛的個人信息范圍，包括以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息，對于形式和內容上的規定都相對寬松。優點是把更多的個人信息納入了保護范圍，可以提高保護的水平；缺點是企業需要遵守較為嚴格的個人信息保護規范，給信息數據正常交易使用造成較大障礙，加重了信息數據的利用成本，這在如今數據作為重要生產原料的時期，一定程度上會不利于企業開發更滿足消費者需求的智能軟件。［2］

（二）公民個人訴訟舉證難

在智能手機普及的當下社會，離不開手機廠商提供的軟件，離不開三大運營商提供的網絡，更離不開隨時隨地需要通過掃碼進行的各類服務，極易導致在用戶毫無防范的情況下個人信息被收集、獲取、提供、出售、購買、使用等等。一旦個人私密信息被公開，或是被用來詐騙，用戶隱私權、個人財產權非常容易遭受侵犯。這時候用戶對互聯網企業提起訴訟，往往面臨訴訟請求和證據舉證不能的難題。比如在張某某、上海P 銀行股份有限公司D 分行等隱私權糾紛一案中，張某某主張P 公司違法收集自己新辦理的電話號碼并泄露，給自己的生活帶來困擾，以此主張個人信息侵權。法院最終認為，張某某未能提交證據證明三被上訴人存在非法收集及超過約定用途使用其新辦理的電話號碼的行為，也未能提交證據證明其新辦理的電話號碼被非法收集或使用而造成相應的損害后果，其要承擔舉證不能的后果，未能支持張某某的訴求。

（三）侵權主體難以確定

強人工智能時代應用軟件的智能水平非常高，比如無人駕駛汽車集合了網絡運營商、軟件開發商、汽車制造企業等多方主體，做出的一個侵權行為往往是多個硬件和軟件協同的結果，而且其應用的智能算法具有超高復雜性和隱蔽性，當事人一方很難找到被告一方相關證據，當事人訴諸法庭面臨無主可訴的境地。另外，在個人信息侵權鏈條中，到底是信息收集方過錯導致損害結果，還是使用方導致的損害的結果，很難作出科學公正的裁判。在國家將“嚴厲打擊電信網絡犯罪，加強個人信息司法保護”作為最高檢重點督辦建議的背景下，一個案件涉嫌犯罪需要承擔刑事責任外，對于是否可以同時追究上下游違法處理信息的責任，追究他們按份責任還是連帶責任，都有待探討。

（四）企業數據合規體系不健全

強人工智能時代信息數據就像工業社會的石油，大量掌握客戶數據決定著企業是否在本領域擁有市場競爭力。信息數據從消費者留痕產生信息數據，到企業收集乃至到后續的使用、保存等全生命周期都會面臨安全風險。我國數據違規現象層出不窮，例如，軟件廣告和手機瀏覽器手機消費定向推送相關內容、打車軟件故意推送價格偏高的要約單、求職簡歷被非法買賣用來詐騙找工作的大學生、手機殺毒軟件惡意收集消費者信息等。部分企業由于存在病毒與非法入侵、系統漏洞、訪問控制和權限管理不善等方面的問題，造成大量客戶信息被泄露。另外，由于部分企業尚未建立科學完善的數據合規體系，也未對員工進行相關方面知識培訓，接觸敏感信息的雇員由于信息管理素質缺乏和希望獲取額外報酬等原因，都容易造成個人信息外泄，嚴重侵害用戶的權益。

四、人工智能應用中個人信息法律保護建議

（一）明確個人信息法律保護的范圍

針對軟件廠商利用同意原則排除消費者入場權的問題，首先，國家工信部門應當加強事前審查，要求其出示后臺密鑰供審核工作人員體驗，檢查核對是否有侵權行為；其次，按照信息數據對個人合法權益的影響和重要程度，將個人信息劃分為一般個人信息和敏感信息，一般信息和經過脫敏處理的信息數據能夠用于促進交易，應分別對兩種類型信息數據進行分級分類保護，要求互聯網企業規范信息數據的保護制度；最后，軟件上線后的監管也非常有必要，可以設立年報制度，要求軟件廠家定時報備消費者信息數據使用情況，加強對消費者權益的保護，以此防范個人信息侵權和信息數據泄露的風險。

（二）完善個人信息保護公益訴訟適用規則

《人民檢察院公益訴訟辦案規則》第九十八條規定了公益訴訟請求的一般事由，又特別規定食品藥品安全、生態環境保護等特殊領域的具體請求，但是并未就涉及公眾個人信息保護訴訟方面提起公益訴訟進行明確的規定。近年來，人工智能、大數據相關企業取得不錯成績的同時，信息數據侵權被訴諸法庭的案件越來越多。大型互聯網科技公司有著明顯強于個人的技術實力和經濟實力，個人由于取證難、經濟實力差異等原因難以與之抗衡，勝訴的概率非常低，實踐中即使勝訴也多數僅以賠禮道歉、刪除信息對企業加以懲罰，跟《民法典》要求的全面保護原則難以相符。由于互聯網公司涉及個人信息侵權對象數量眾多，侵權行為具有分散性，集聚之后信息安全風險不可小覷。所以建議通過完善個人信息保護公益訴訟的機制，當一定數量的個人投訴反饋之后，讓檢察院介入個人信息侵權相關案件，并發布相應典型案例，借助司法機關的力量更好地推動保護個人信息安全。

（三）探索個人信息侵權的懲罰性賠償

司法實踐中，互聯網企業涉個人信息侵權案件頻發，很大一部分原因是企業懲罰性賠償數額較小，這在一定程度上會放任企業非法使用公民個人信息。在提起的生態保護及食品藥品安全的檢察公益訴訟中，提出懲罰性賠償的訴訟請求，可以有效調整侵權企業與受損害用戶的利益失衡，但是個人信息侵權提起懲罰性賠償缺乏先例。在最高檢發布的李某某侵害消費者個人信息和權益民事公益訴訟案中，一大亮點是檢察機關提出3 倍賠償請求，實現從以前案件的填補損失向懲罰性賠償的轉變，意味著在法律未作出明文規定之時可以類案處理，有望實現對非法使用個人信息欺詐消費者行為的嚴厲打擊。另外，在個人信息侵權案件中檢察機關可以嘗試提出多樣性的訴訟請求，司法部門可以在企業違法行為、影響范圍、對被害者造成損害程度等方面進行綜合考慮，發布一批個人信息保護的典型案例。［3］

（四）立法為主、企業合規為輔協同治理

我國《網絡安全法》和《數據安全法》出臺之后，個人信息數據安全保護做到了有法可依。法律適用效果怎么樣，能不能規范互聯網企業信息數據處理行為，能不能保護用戶的信息安全，需要協調立法、執法、司法部門加強監督落實。由于人工智能技術發展一直走在法律制定的前面，光靠司法部門一方力量效果不佳，應推動企業自覺健全和完善自身數據規章制度，加強企業用戶個人信息和平臺數據專項合規體系的建設，提升企業在個人信息侵權涉訴方面的事前防御水平，避免因為員工失職或是外部病毒入侵導致信息管理危機。在實現數據采集合規后，要切實履行數據控制者的責任，根據法律要求建立完善的數據存儲與管理合規體系，全面降低數據泄露事件的發生概率，實現商業利益、用戶權益和法律責任的有機統一，以負責任的良好形象進行運營，贏得更多用戶的認同與支持，從而實現穩健長效發展。［4］

五、結語

人工智能時代，隨著信息處理技術的升級，對數據信息的挖掘和運用水平不斷提高，這不僅利于國家利用人工智能技術對傳統產業轉型升級，還利于企業更好地滿足顧客多樣化的需求，利于普通百姓日常生活智能化與便捷化。正確認識強人工智能時代下的個人信息安全問題，找到法律規制合理、企業合規使用信息數據、普通大眾安心的平衡點非常重要。隨著人工智能技術的不斷發展，個人信息法律保護措施必將不斷得到完善，本文指出了現今人工智能實踐中存在的幾個問題，提出通過明確個人信息法律保護的范圍、完善個人信息保護公益訴訟適用規則、探索個人信息侵權的懲罰性賠償、立法為主企業數據合規為輔協同治理幾個方面的信息保護路徑，從加強企業信息處理者自我約束意識與強化司法部門監督和裁判兩方面形成合力，以期為信息技術的發展保駕護航。［5］