第三方數據共享中企業的個人數據保護義務構建

摘 要：企業利用個人數據的技術不斷迭代引發第三方數據呈現公共性和共享性特點，個人數據相關的隱私與安全問題在第三方數據共享下面臨網絡空間乃至于國家主權的挑戰，國家需要創建數據管理機構統籌協調，應對數據安全問題。根據《個人信息保護法》第二十一條、第二十三條關于第三方數據共享制度的分類規定，提出中介服務與委托服務兩種類型，并將確保安全原則置于在國家安全、網絡安全、數據安全等三個方面全方位考量，拓展并完善企業安全保障義務制度。企業為回應國家數據管理的需求，不斷創新技術，以增強國家對高科技企業的信任。企業自我答責包括：增強透明義務、通知義務和風險管理義務等安保義務，通過技術確保數據保密的經濟、完整和可用。數據企業應當自我完善并形成以技術為基礎，以義務為導向的第三方數據共享的數據安全保障體系。

關鍵詞：第三方數據； 數據共享；個人信息保護法；企業義務

中圖分類號：DF 0-059 文獻標志碼：A 文章編號：2096?9783（2023）04?0032?11

一、問題的提出

2022年10月，美國聯邦貿易委員會提交了起訴狀，控告Uber旗下酒類配送公司Drizly出現嚴重安全故障，造成數據泄露。Drizly未能使用適當的信息安全措施來保護用戶的個人數據，使得黑客能夠訪問Drizly的用戶數據庫，并竊取與250萬用戶相關的信息[1]。根據該起訴狀的描述，Drizly的數據庫擁有250多萬用戶的個人數據（包括敏感數據），其中包含其作為第三方獲取的數據。以上第三方數據被數據庫共享后出現的安全問題成為一大焦點。盡管企業數據利用過程中在安全監管上的疏漏在所難免，然而為了防范巨大安全隱患，中國正在組建的國家數據局機構重置，改變九龍治水格局，新機構專門負責集中管控數據。一改多部門共同監管數據的結構，其中在新機構的三大職能中，有負責數據資源整合的職能，這可有效回應安全問題，并超越了美國聯邦貿易委員會的部分職能。新機構將調查數字領域的各種問題，比如識別網絡攻擊的數據安全漏洞。新機構不僅將中國本土公司納入在監管范圍之內，在華營業的跨國公司也被包括在監管之內。新機構和國家反壟斷局擁有類似地位，這就意味著數據安全問題已經愈發成為中國政府關注的要點。正如以上案例中的美國聯邦貿易委員會探索新的監管法規以加強網絡隱私保護一樣，中國也出臺了《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）、《中華人民共和國數據安全法》（以下簡稱《數據安全法》）等多項法規，監督互聯網公司的數據處理。數據共享的安全問題成為世界各國重點關注的不可避免的趨勢[2]。因為數據共享和個人信息的多方處理實際上帶來個人數據保護問題：一方面，第三方數據共享的隱蔽性增加了個人信息權益受侵害的風險；另一方面，第三方數據共享的間接性增加了個人數據被泄露的風險。

針對數據安全監管，《個人信息保護法》第五章專章規定個人信息處理者的義務，并在第五十一條第一款將義務的目的歸為：減小個人權益的影響和可能存在的安全風險。義務取決于角色，所以義務制度構建的前提是找準角色定位。《個人信息保護法》第二十條至二十三條將多方參與個人信息處理分為共同處理、委托處理、轉移處理、提供處理四種類型。共同處理為多方共同決定的數據處理，不存在獨立于雙方關系的第三方；而轉移處理是特殊原因下的數據被迫轉移。由此可見，涉及第三方數據共享的僅為第二十一條、第二十三條規定的委托處理和提供處理。但法律只給出概念，并未解釋。立法應厘清不同參與者在處理個人信息過程中所應履行的義務，保護個人信息權益少受或免受侵害、減小個人數據被泄露的風險。有必要揭示目前數據流通共享的真實樣貌，正本清源地辨析第三方數據共享下網絡服務場景及其義務問題。

二、第三方數據共享場景的數據安全保護困境及其成因分析

2022年12月2日，中共中央、國務院發布《關于構建數據基礎制度更好發揮數據要素作用的意見》（以下簡稱數據二十條），提出支持第三方機構、中介服務組織加強數據采集和質量評估標準制定，推動數據產品標準化，發展數據分析、數據服務等產業[3]。由此可以看出，第三方數據服務成為中國未來數字經濟發展的趨勢。而大數據利用與傳統的單主體權益行使不同，通常個人信息權益在自然人與數據相對方雙主體之間分配，在保持雙主體權利總量不變的條件下，自然人個人信息權益可以通過同意讓渡給相對方獲取財產性利益[4]。此時，若出現第三方，個人信息權益繼續分配。

《中華人民共和國民法典》（以下簡稱《民法典》）、《個人信息保護法》對第三方數據服務的場景具體化，《個人信息保護法》第二十一條、二十三條將第三方分為受托處理者與提供處理者，委托處理活動參照適用《民法典》中的委托合同民事法律關系；提供個人信息給他人處理時參照適用《民法典》中介合同的法律關系。即根據第三方在數據共享中扮演的角色，把第三方數據共享的場景分為：委托服務場景（一種直線關系，如圖1所示，第三方通常是數據的處理者）、中介服務場景（一種三角關系，如圖2所示，第三方通常只是數據的控制者）；以及中介服務與委托服務相結合的場景，如圖3所示。本文主要從委托服務場景與中介服務場景展開，由于第三種場景是前兩種場景的簡單累加，本文不再單獨贅述。

（一）委托服務型第三方數據共享中的數據安全保護困境及其成因分析

1. 第三方數據委托服務中的數據安全保護困境

第一階段，第三方所涉的利益鏈條催生新的數據安全問題。隨著各種智能終端技術的發展，各種應用程序越來越方便和豐富人們的日常生活，人們通過應用程序來完成生活中的方方面面。從用戶的角度來看，應用程序的使用只涉及該程序運營者與用戶之間的關系。然而，應用程序生態系統中的盈利動機和技術方法使得這一看似簡單的圖景變得復雜，企業經常使用第三方機構來實現其日常活動的一個或多個功能[5]。這是因為應用程序的盈利模式：要么是在應用程序中放置廣告給用戶查看，從廣告供應方處獲取廣告位費；要么是用戶在應用程序內直接對程序運營者支付，以便在使用應用程序的過程中獲得或改進一種功能。這兩種盈利模式都鼓勵程序運營者讓第三方通過第三方服務庫的形式參與到他們的程序中[6]。數據在第三方庫共享后逐利性地形成數據利益，第三方增加的數據利益鏈條使得黑客攻擊機會增多，黑客利用數據流通過程中的漏洞攻擊催生出新的數據安全問題。

第二階段，委托服務的確立伴生數據安全困境。兩種模式及其內部關系概括如下：（1）廣告盈利模式。該模式下，互聯網企業讓第三方服務庫收集有關用戶的信息，并通過數據分析，為最終用戶提供“定向廣告”。（2）直接支付模式。該模式下，互聯網企業需要進行衍生數據分析，即通過各種來源的大量數據以及強大的云計算能力和復雜的編程算法，實現收集、掃描和處理數據并識別行為模式，提供對未來的預測[5]72-87，即互聯網企業可以通過統計其已擁有的相關用戶的個人信息，以及收集相關用戶何時、何地，以及如何使用其應用程序的行為信息中獲益。由于上述兩種模式都需要信息收集，而且這些信息的收集很復雜，需要數據收集和存儲基礎設施。因此互聯網企業經常使用第三方數據分析服務庫來收集、存儲和分析用戶的信息，以實現盈利最大化。隨著社會進一步分工帶來的數據分化安全問題日漸突出，需要統籌數據整合共享和開發利用，創建國家數據局推動數字社會合作，促進數字經濟建設與數據安全保障的平衡，消弭第三方數據利用過程中出現的數據安全困境。

2. 第三方數據委托服務共享與個人數據保護困境的成因分析

首先，數據共享與保護之齟齬及其成因分析。《華爾街日報》進行的一項測試顯示，社交媒體巨頭Face?book在用戶進入許多熱門智能手機APP后幾秒鐘就會從這些APP中收集大量個人信息，即使用戶并沒有與Facebook 連接。測試顯示，這些APP 經常在沒有任何明顯或具體提示的情況下共享數據[7]。在中國，委托服務同樣是一種普遍的應用現象。比如，東芝在其隱私政策中表明：本業務中的某些模塊或功能由外部供應商提供[8]。通過使用應用程序我們可以了解到：應用程序對用戶個人信息的訪問權限，通常是用戶在智能終端的指導下同意或拒絕的。然而，由于第三方服務庫被直接合并到應用程序中，當前的智能終端架構不允許用戶區分并授予應用程序、庫或兩者一起的特定權限。于是，委托方（相對方）有什么權限，受托方（第三方）就有什么權限。即第三方可以直接訪問用戶的位置、瀏覽歷史記錄、相冊、聯系人列表等敏感信息。并且，用戶如果希望禁用第三方庫的一個權限，則用戶必須禁用整個應用程序的權限，同時將失去與該權限相關聯的任何應用程序功能，引發數據共享與保護之沖突。

其次，資本邏輯下的數據自治與數據共享困境及其成因分析。利用第三方分析用戶行為并投放廣告的服務是應用程序中無處不在，且不透明的方面。盡管許多人通過使用Cookie和類似技術對網絡跟蹤有點熟悉，但大多數人對應用程序領域中的第三方角色了解甚少[9]。并且更多的用戶不了解運營商與第三方服務庫的結果及其影響[10]。第三方服務庫對程序運營商來說通常也是復雜的、不透明的，因此，可能運營商會合并第三方服務庫，而不完全理解這意味著什么。從運營商的角度來看，由于其通過第三方服務庫而獲得利益，于是第三方獲取數據的權限越大，行為越隱蔽，對其資本追逐越有利。而從第三方的角度來看，有委托即代表有資金來源。于是，第三方也往往試圖進一步混淆或模糊第三方庫的行為。于是在司法實踐中，當用戶的個人信息權益受到侵犯時，被告通常會拋出其與第三方（用戶并不知情）之間存在合同或其他交易安排，來逃避自身的責任，使用戶的權益救濟陷入困難。即在委托服務場景中，這種運營商和第三方之間不鼓勵透明度的關系，形成資本邏輯下的自治困境。

（二）中介服務型第三方數據共享中的數據安全保護困境及其成因分析

1. 第三方數據中介服務中的數據安全保護困境

第一階段，共享經濟中大量的第三方數據引發數據安全保護困境。2015年的《中國網絡社會研究報告》表明，虛擬化、大數據推動個性化和批量化數據服務這兩個不同的方向在深度信息化的道路上可以同時到達[11]。隨著數字經濟時代的來臨，數字服務特別是以第三方服務為基礎的平臺經濟，第三方平臺如“滴滴”等平臺源于逐漸興起的“共享經濟”思維” [12]，第三方數據共享在數字經濟中發揮著越來越重要作用的同時，也存在數據安全保護的困境。在對第三方平臺進行為期兩年的整頓之后，新設國家數據局旨在更進一步彌合數據安全困境，并規劃第三方數據中心，努力解決政府對潛在數據泄露的擔憂。

第二階段，中介服務的獨立引發的數據安全保護困境。用戶與供應商分別將數據共享給第三方網絡平臺，使得數據高效流通以促進數字經濟的發展。于是，網絡平臺在自身的構造類型和服務定位等方面都出現很大的不同，由直接或間接參與到法律行為中，逐漸發展成為消費者與服務者之外的“中立”第三方主體，只在消費者和服務者之間充當媒介、發揮信息橋梁的作用（如“滴滴”網約車平臺只為有用車需求的用戶和乘車點周圍的私家車主提供交易信息，而并不參與到合同的履行中去） [13]。在此情況下，第三方平臺運營商即中介服務者的中介服務應運而生。在提供中介服務中存在數據安全隱患，2021年，滴滴事件中的數據安全風云中，中國政府就宣布對“滴滴出行”啟動網絡安全審查，為此，滴滴副總裁李敏發布微博，強調絕無可能將數據交給美國。美國政府和媒體懷疑美國影音社交平臺TikTok在北京的母公司將美國敏感數據和技術在北京本地共享，為消除美國懷疑，TikTok將美國用戶數據信息遷移到美國甲骨文公司（Oracle）的服務器上，努力解決美國監管機構對數據經中介服務外包影響數據合成的擔憂。

2. 第三方數據中介服務共享與個人數據保護困境的成因分析

首先，數據共享與保護之齟齬及其成因分析。在數字經濟時代，互聯網技術廣泛運用在人們日常生活中，第三方網絡平臺扮演著日益重要的角色，各類第三方網絡平臺作為信息處理者每天接觸到大量個人數據。理論界認為，第三方網絡平臺具有較傳統中介機構更強的信息收集、信息整理、信息發散和信息風險分攤能力，能夠通過大數據信息系統、互聯網和云計算等技術，實現支付清算和信息收集等領域內的信息對稱、降低數據泄露風險等目標。但實際上是，第三方網絡平臺又因為其底層技術的網狀結構和多節點，以及數字化快速交易，整個互聯網系統成為信息的發散地，在提高信息擴散能力的同時，也形成了新的風險傳播源[14]，引發個人數據保護難題。

其次，隔絕邏輯下的數據自治與數據共享困境及其成因分析。第三方網絡平臺通過互聯網和移動互聯網將諸多分散的計算機、移動電子終端設備連接起來，形成相互隔絕又相互連接的網絡，以及遠距離、多節點和非接觸性交易模式。其雖然以網絡為載體能增加信息傳送能力，但是也出現如下問題：一方面，因為第三方網絡平臺的虛擬性、不透明性、非接觸性特征而增加個人數據收集的信息不對稱風險；另一方面，在第三方網絡平臺模式下，網絡的虛擬性使得各參與者相交卻不相識，第三方無須承擔“熟人社會”場景下的道德責任或信用責任，激勵了個人數據收集不披露或不恰當披露的積極性，助長個人數據收集的不透明。事實上，第三方網絡平臺未執行網絡安全領域運作，他們因其優勢地位和追逐利益屢屢冒險觸碰法律法規的紅線。而且考慮網絡空間本身的虛擬性、數據資源的豐富性、多樣性以及網絡受眾群體的廣泛性，一旦第三方網絡平臺自身存在技術漏洞，抑或是其工作人員出現操作上的疏忽、監管上的紕漏，極易導致用戶的合法權益遭受侵害[13]4-16。即在中介服務場景中，這種用戶和第三方之間虛擬化、不透明的關系，形成隔絕邏輯下的自治困境。

三、第三方數據共享中企業的透明義務適配

由于《民法典》總則編沒有確立個人信息權的概念，現行的 《個人信息保護法》調轉權利保護模式，采取的是“法益+特定義務結合”模式[15]。“數據二十條”進一步指出，鼓勵企業積極參與數據要素市場建設，圍繞數據來源、數據產權、數據質量、數據使用等，推行面向數據商及第三方專業服務機構的數據流通交易聲明和承諾制[16]。為釋放數字經濟創新促進效應，推動數字經濟高質量發展，要建立平衡的數據隱私保護制度，構建有利于創新的商業環境和透明、可預期的政策環境[17]。法律和政策背后的治理邏輯均是壓實企業的數據治理責任與義務。盡管《個人信息保護法》專章規定了個人信息處理規則及其處理者的義務，但對透明義務的規定較為概括，需要法律加以明確和解釋。

（一）委托服務場景下互聯網企業的透明義務增強

1. 運營者對第三方服務的披露義務的法律規范邏輯

首先，從互聯網技術事實到立法規范的轉化邏輯上來看，一種技術行為被規制，另一種類似的技術行為也跟著被規制。《個人信息保護法》第四條第一款將該種可識別自然人的信息定義為個人信息，于是使用Cookie識別自然人個人信息的數據利用行為會受到《個人信息保護法》透明原則條款的約束。第三方庫廣告或分析的數據利用行為與網站使用Cookie跟蹤用戶的數據利用行為具有極大的類似性，使用Cookie-可識別自然人信息權益保護的法律規范跟著也與運營者第三方服務提供數據權益保護義務規范具有類似性。從技術事實來看，Cookie的使用，使跟蹤、分析和識別個人信息成為可能[18]，各國監管機構均認為，網站需要在其隱私政策中披露Cookie的使用情況，包括第三方Cookie。Cookie為了辨別用戶身份進行Ses?sion跟蹤而儲存在用戶本地終端上的數據（通常經過加密），為確保網站正常運轉、為用戶獲得更輕松的訪問體驗、向用戶推薦其可能感興趣的內容，瀏覽器會在用戶的計算機或移動設備上存儲名為Cookie的小數據文件。用戶的瀏覽器一旦啟用Cookie，Cookie將根據用戶所有的后續請求，將數據與Web服務器關聯，Cookie跟蹤用戶各種請求的技術活動是數據利用行為的基礎。根據互聯網技術事實的類似性轉化到法律規范上也具有類似性的學理依據，從Cookie識別自然人個人信息的數據利用行為的透明義務可以推出運營者對第三方服務的披露義務。

其次，從第三方數據共享行業應用場景的泛在化來看，為數據安全緣故，運營者對第三方服務的披露義務具有法律的可解釋性。《個人信息保護法》第七十三條①對個人信息處理者進行了定義，即對信息處理有完全自主權的主體才是本法所言的個人信息處理者。在委托服務場景下，受托人系根據委托人的要求處理個人信息，那么仿佛受托人就不屬于《個人信息保護法》中的“個人信息處理者”，就不負有告知與取得單獨同意的義務，委托方也就不具有對外披露合作方的義務[19]。但在數字經濟時代，數據共享變得尤為普遍的泛在化第三方數據條件下，需要將運營者納入個人信息處理者監管范疇，加之我國個人信息處理者是一個非常寬泛的概念，我國《個人信息保護法》并未區分控制者和處理者[20]。事實上，應用程序在隱私政策中聲明應用程序不會收集某一類的個人信息，但第三方可能會收集；在一些情況下，平臺提供了指向第三方的隱私政策鏈接。該委托場景下，第三方數據共享行為大大增加了個人信息權益受侵害的風險，出于事前降低風險與風險發生后追責的考慮，運營者有義務在他們自己的隱私政策范圍內披露第三方的數據收集。

2. 第三方獨立而增強的透明義務

按照功能主義解釋，不僅可給第三方委托數據共享以一般透明義務，還要課以獨立而增強的透明義務。對于不同的第三方服務，互聯網企業對用戶應負有適配的透明義務，且這些義務的適用應考慮具體場景中互聯網企業的功能地位。在委托服務場景下，即使提高了運營者的披露義務，第三方的作用也給強調個人同意和支配的隱私保護法律和理論帶來相當大的沖擊。即使互聯網企業披露了第三方的數據收集，個人用戶仍然難以理解這些不同選擇的系統影響。

第三方委托服務的隱蔽性決定其需要一個面對面的透明機制，來解決超越雙方主體的直線共享問題。例如，一個消費者的手機上可能有三個應用程序，而且它們都可能使用相同的廣告服務庫[6]156。即使目標廣告的數據收集（第三方的數據收集）被披露給用戶，并且它同意了每個應用程序的數據收集，它也不一定知道這三個應用程序都使用了同一個廣告庫。而作為這個廣告庫的第三方將能夠在三個不同的應用程序上跟蹤她的活動，獲取附加信息進而可能對該自然人進行可識別的了解[21]，以便針對性發布廣告。在此情況下，第三方活動的全部影響對用戶來說就是不透明的。出于個人數據保護并實現全面問責制的考慮，需要課以第三方一個獨立而增強的透明義務，即第三方應負有披露其所有服務對象的義務。

（二）中介服務場景下互聯網企業的透明義務

透明義務是算法公平的主要內容，美國人工智能法案的《公平法》《問責法》等單行法中紛紛表明對算法透明度的義務要求和責任形態。我國《個人信息保護法》第二十三條②明確規定對外提供個人信息時，應當經過個人信息主體“單獨同意”。即在中介服務場景下，現行法已經規定了個人信息處理者需履行披露合作方存在的義務。但透明義務的邏輯是：“力量越不平衡，信息越不對稱，對用戶的控制程度越高，用戶的地位越不利，則對透明義務的要求程度越高” [22]。

網絡平臺運營商作為第三方并不直接參與雙方的交易，但由于其功能又不得不掌握大量的用戶數據，不得不對其透明義務提出更高的要求。

更高的透明義務需要有更高位的價值引導，將規范的透明義務提升到價值的透明義務，包括信義義務、信賴利益保護等。用戶往往把第三方網絡平臺當做一個“無價值取向”的中立平臺，其實不然。數據共享技術是“無價值取向”的，而第三方網絡平臺的“價值取向有無”取決于其“誠信”程度，與信義義務配搭。第三方網絡平臺作為一個誠信平臺，消費者出于對這個第三方網絡平臺的信賴而參與其中，并向第三方網絡平臺提供信息數據。第三方互聯網企業必須履行義務讓消費者信賴，正如一個社會團體中的家長、政府以及企業管理者必須善待其會員一般，否則信任體系將會遭到摧毀[23]，即互聯網企業的適配透明義務是用戶信任產生的基石。事實上，決定處理個人信息是否合理的主體是第三方網絡平臺而不是用戶，為了《個人信息保護法》第五條規定的處理個人信息必要原則能夠受到信息主體的監督與追責，據此提出第三方網絡平臺的必要信息公開透明義務。

四、第三方數據共享中企業的安全保障義務歸一

早在2016年，Uber公司數據信息泄露導致約萬名Uber司機的信息遭泄露。而在2022年10月，得克薩斯州總檢察長宣布目前已完成對42 000名個人數據泄露的Uber德州司機的賠償[24]，這也標志著Uber平臺數據泄露一事終于得到切實解決。《個人信息保護法》第五十九條③規定，委托處理個人信息的受托人應當采取必要措施保障所處理的個人信息的安全，其引出了委托場景下第三方的安全保障義務。由于第三方是獨立于雙方關系的個體，其獲取個人數據的間接性，導致這些第三方的網絡安全措施往往很薄弱，繼續成為攻擊的目標。鑒于此，無論哪種第三方數據服務場景，互聯網企業均負有保障個人數據安全的義務，應當通過立法將保障措施施加于互聯網企業。這些保障措施應以有效的方式設計之，應考慮第三方數據共享的特點及可能規避的風險，并遵循比例原則和尊重相關企業與第三方的基本權利，可從以下方面進行義務構建的完善。

（一）第三方數據共享下互聯網企業的通知義務

數據生態系統中這些日益復雜的關系需要超出個人同意范圍的數據安全保障，僅僅從各方內部關系的角度進行規制是不夠的，還需構建恰當的通知義務。為了這些第三方服務能夠更好、更完善、更安全地進行，增加共享個人數據的信任，可以參考歐盟的做法：2022年5月16日，歐盟理事會批準了《數據治理法案》（the Data Governance Act，簡稱DGA），其創立了一種新的通知制度，要求數據服務商均應向所在地方的主管部門提交通知。并將數據中介服務提供者可提供的服務分為三大類④（需要履行通知義務）。

這表明任何計劃在提供上述數據服務的數據服務提供者，均需向數據服務主管機關報送通知，以方便每個成員國對其轄區內的數據服務提供商進行監管。但歐盟DGA規定的通知義務太過于繁重，如果將該制度硬搬進中國，將無端增加企業的負擔，不利于中國初生互聯網企業的發展，不完全符合中國的國情，應對該制度取其精華，并依據中國的實踐、結合中國現有法律制度以設計之。據此構建出第三方數據共享下互聯網企業的通知義務應具體包含以下內容：

其一，應通知第三方網絡服務提供商的名稱與主要辦事機構所在地或者注冊地或者登記地。《中華人民共和國民事訴訟法》（以下簡稱《民事訴訟法》）第一百一十九條規定原告起訴中須有明確的被告，最高人民法院關于適用《民事訴訟法》的解釋第二百零九條進一步明確所謂“明確的被告”的具體要求，其中強調被告的姓名或者名稱，住所等。而在現實中，由于第三方數據共享的間接性、隱蔽性，用戶個人權益受侵害后難以根據上述規定明確被告，此為權利救濟的一大困境。該義務的構建基于事實備案的方法，忠于用戶救濟優先保障的原則，在用戶的個人數據受侵害時，用戶可以直接在數據主管機關獲取第三方網絡服務提供商的“明確被告信息”，即突破了用戶與第三方的信息壁壘從而實現第三方數據共享與個人權益保障的平衡之治。

其二，應通知第三方網絡服務提供商提供服務的描述以及預計開展活動的日期。理由有三點：（1）由于第三方數據共享的間接性、隱蔽性，用戶個人權益受侵害后，原告的舉證責任是用戶權利保障的又一大困境。原告往往捕捉不到第三方數據共享的痕跡，而該義務的履行能夠將第三方數據共享的行為事實記錄留存。在信息不對稱的條件下，對該內容的通知備案將是用戶承擔舉證責任的保障。（2）由于數據共享本身存在技術復雜性，即使侵害發生后公開了數據共享的庫、程序等內容，非專業人員仍然無法理解個人數據共享的過程。而將該內容通知到第三方專業主管機構有利于解決技術鴻溝引起的不透明，且這也符合法律的效率原則。（3）第三方網絡服務提供商提供服務的描述往往涉及企業的商業秘密、知識產權保護。在用戶未受侵害的情況下，將該內容通知到國家主管機構保管而不對外公開（即一種對主管機構透明、對公眾不透明的模式），有利于平衡數據共享和商業秘密、知識產權保護。

（二）第三方數據共享下互聯網企業的風險管理義務

當今，數據的潛在價值正在持續地被挖掘和兌現，數據驅動經濟已經成為一種全新的商業模式。數字經濟的發展和擴張需求讓數據充分涌動，形成規模化力量，而個體擁有的數據規模的有限性決定了與第三方數據共享的必要性。規模化數據共享到第三方，于此產生的挑戰便是個人數據的安全問題[25]，進而需要構建互聯網企業的風險管理義務以應對之。

1. 個人數據影響評估

根據《個人信息保護法》第五十五條⑤規定，特殊情形下的個人信息處理者設定了個人信息保護影響評估義務，而該條的第三款進一步明確指出：委托處理個人信息、向其他個人信息處理者提供個人信息屬于該情形，即現行法律已經規定第三方數據共享下互聯網企業負有個人信息保護影響評估的義務。數據安全保障需要落實個人數據保護影響評估，而影響評估則需要明確其基本內容與程序。《個人信息保護法》第五十六條⑥進一步對個人信息保護影響評估的內容進行了規定，該條第三款提出個人信息保護影響評估應當包括對個人權益的影響及安全風險。但其尚未規定“該影響究竟是哪些”，在第三方數據共享的背景下已不足以保障公民的合法權益，亟須填補法律空白。

個人數據處理者可以把“影響”綜合對象與形態進行類型化：（1）有形個人影響，一般指對個人有形的或是經濟影響，主要包括身體受傷、個人經濟損失等；（2）無形個人影響，一般指對個人無形或是非經濟影響，主要包括名譽損害、個人恐懼或者焦慮、歧視、污名化等；（3）社會影響，一般指對社會的系統性影響，主要包括社會信用的喪失、社會營商環境惡化等。處理信息數據的相對方、第三方應當基于上述“影響”類型，事前擬制數據分級、分類目錄，并根據服務的現實需求和個人數據處理的目的、范圍、方式等，對不同類型服務中需要處理的個人數據實施安全風險評估。通過對不同類別服務中個人數據安全風險情況的評估，能夠預先了解該類個人數據可能存在的安全風險隱患，進而預先避免對個人數據主體帶來的影響[26]。這也是作為數據處理者的相對方、第三方依照《數據安全法》《個人信息保護法》的要求從事數據處理活動的完美詮釋。

2. 設立獨立監督機構

《個人信息保護法》第五十八條要求“按照國家規定建立健全個人信息保護合規制度體系”，不過其義務承擔者主要限于“提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的個人信息處理者” [27]。在第三方數據共享下，由于互聯網企業獲取個人數據的廣泛性與間接性，其應有建立健全個人數據保護合規制度體系的義務。而個人數據保護合規是一個復雜的、長期的、專業化的項目，第三方數據共享下的互聯網企業需要設立獨立的機構來對個人數據保護情況進行監督，并提供相應的人力、物力。

該獨立監督機構應主要由外部成員組成，其緣由是該獨立機構要對互聯網企業和數據用戶之間的數據共享保持中立，以增加各主體之間對數據共享的信任。要使監督“中立”，需要體現監督機構的“專業性”以及被監督機構的“被動性”，這意味著被監督主體不主動干涉提交或存儲的信息，以防止企業內部包庇。該義務致力于構建對監督機構的信任，通過制度設計使監督機構始終處于一種可信任的中立狀態，以促進用戶與企業之間自愿的數據共享，加強數據共享機制，促進數據的高效流通[28]。

（三）第三方數據共享下互聯網企業的技術保障義務

各個行業依賴第三方服務的過程中的安全漏洞和攻擊環節正在增多。在美國聯邦貿易委員會訴Uber旗下的Drizly案件中，經過哈希轉換為新值的密碼被加密破壞后出現了安全漏洞，需要更新技術迭代保障數據安全。以人工智能技術為例，ChatGPT可以增強逆向工程過程，賦能反惡意軟件工作可通過ChatGPT用自然語言告訴程序員應用程序在做什么。

更重要的是，ChatGPT可以大規模地完成分析數十萬個二進制樣本，并向分析師證明洞察力。ChatGPT還可以幫助反擊常見的貓捉老鼠技術。例如，惡意軟件通常包含反逆向工程技術；可嵌套循環使逆向工程師更難跟蹤正在發生的事情和最終狀態。ChatGPT不僅可以比人類更快地解決這個問題，還可以分析惡意軟件的遺傳密碼，并查看可能存在代碼重用的地方，以更快識別作者的指紋，為數據安全提供技術支持。將ChatGPT技術與區塊鏈中加密算法、 共識機制、去中心化存儲等要素結合，能夠有效化解當前個人數據保護面臨的困境，為隱私保護、數據安全、數據共享帶來全新可能[29]。《個人信息保護法》第五十一條⑦具體列舉了保護個人信息應當采取的安全技術措施，并對個人信息的技術治理作出了框架性規定[30]，為企業在個人數據保護政策實施中運用區塊鏈技術提供了規范依據。區塊鏈技術應該作為一個數據處理者的技術保障義務來實施，因為該技術為數據安全的保障提供了無數便利：

1. 運用加密技術確保個人數據的保密性

當前各國的數據保衛戰硝煙四起，各種規制主義的規制成本和規制效益之間的失衡，使得通過技術確保個人數據保密性成為不二選擇。當加密方法和訪問控制與區塊鏈結合時，可以確保數據的保密性[31]。保障路徑可描述為兩步：（1）加密方法與區塊鏈結合：雖然區塊鏈不能隨意操控修改網絡數據（僅私有區塊鏈可以修改），但是可以將交易各方的私有信息進行加密。若一主體不擁有加密密鑰，就不能訪問該信息，從而確保數據被限制在授權的人員手中。（2）訪問控制與區塊鏈結合：通過設計一個私有區塊鏈來實現訪問控制，訪問控制可以確定誰可以讀取數據以及誰可以修改數據。密碼驗證過程甚至可以分散在多臺計算機之間，每一方只能訪問部分信息，這類似于的分布式存儲——區塊鏈每個節點都按照塊鏈式結構存儲完整的數據，其中區塊鏈每個節點存儲都是獨立的、地位等同的，依靠共識機制保證存儲的一致性。

2. 運用技術確保個人數據的完整性

國家數據保護主義采取區塊鏈鏈式存儲和不可篡改的特性，使得鏈上記錄了從創世區塊開始的所有信息[32]。個人數據訪問、交互的所有行動均被記錄，且不可篡改、刪除與偽造[33]。加密驗證機制、共識機制和去中心化的性質使得任何一方篡改存儲在區塊鏈上的數據都非常具有挑戰性。區塊鏈的該技術屬性決定了其非常適合多方參與，且互相缺乏信任的應用場景。只有在大多數節點同意添加數據時，才能在區塊鏈上添加數據。這確保一旦信息在區塊鏈上，它將會變得相對安全，避免主觀人為的數據變更。值得注意的是，如果黑客能夠訪問區塊鏈網絡上的大部分計算機，他們就有可能篡改數據。但是，黑客成功地控制大多數電腦并不能保證成功。此外，黑客控制整個計算機分布式網絡比控制集中的網絡要困難得多，這通常是當今網絡安全領域的模式[34]。區塊鏈確保數據難以篡改的能力對網絡安全尤其重要，因此將區塊鏈作為公司的綜合網絡安全計劃，可以比其他方法更好地確保數據的完整性。

3. 通過技術確保個人數據的可用性

數據庫中心化趨勢的隱憂的主要原因是可能產生數據寡頭的統治，而通過技術可以確保數據庫中的每一個數據都具有可用性和有效性。區塊鏈分布式賬本的數據架構能夠避免中心化的個人數據存儲帶來的弊端，個人可以通過節點掌握個人數據的使用，從而獲得對自己數字信息和在線身份的控制權[35]。

即去中心化和安全性確保了存儲在區塊鏈和系統本身上的數據在面對攻擊時將保持可用。區塊鏈的去中心化性質決定了不存在單一節點失敗。這意味著，如果一個節點被關閉，數據仍然可以通過其他節點訪問，因為所有這些節點都是維護數據的完整副本——除非設置了訪問控制來限制某個節點的訪問。即使網絡的一部分被破壞，也能保證區塊鏈網絡將通過其余節點運行。盡管網絡入侵的風險仍然存在，但這種風險隨著節點分布的增加而成比例地降低[34]1244。適當的訪問控制應該作為數據安全計劃的一部分來實施，以確保區塊鏈可用性的潛力能夠實現。

2019 年 10 月 24 日，習近平總書記在中央政治局第十八次集體學習時就明確提出，“把區塊鏈作為核心技術自主創新重要突破口”，“探索利用區塊鏈數據共享模式”。區塊鏈去中心化的信任機制以及加密算法的運用可以實現不需要第三方機構信任背書的個人信息安全共享[36]，企業也越來越多地考慮使用此技術。歐盟網絡和信息安全局的執行董事已經同意：“網絡安全應該是區塊鏈部署中的核心要素。”這項技術已經在愛沙尼亞得到部署，以保護婚姻登記、健康記錄和其他個人數據的保密性、完整性和可用性。世界各地的數十家央行也在試驗區塊鏈技術，目的是解決網絡安全等問題。一個公司缺乏安全的數據存儲，卻有足夠的手段從許多人那里收集個人數據，這顯然是不合理的。區塊鏈這種數據難以篡改的狀態與當前的網絡不安全狀態形成對比，即便是在ChatGPT生成式人工智能條件下，也可以在ChatGPT模型上通過區塊鏈技術確保數據安全，保障數據可用。該技術將給用戶提供網絡安全方面的信任及便利，降低網絡安全風險和法律風險，因此，這項技術成為解決第三方數據泄露問題的一個無與倫比的解決方案。處理個人數據的相對方、第三方應該從信任開始，將區塊鏈技術作為其全面網絡安全計劃的一部分。

五、結語

數字在“給人類帶來無限福祉的同時，也打破了許多思想家關于人類社會規律的結論和關于未來社會的想象，深刻改變了人類社會文明的發展方向和道路，給人類社會帶來許多不確定的因素，導致人類社會風險疊加，人類社會面臨著秩序重構、文明重建、治理體系大變革的挑戰” [37]。在此情況下，數字經濟時代下對數據共享永無止境的需求，給中國個人數據保護帶來更加嚴峻的挑戰。平衡用戶個人數據保護與數據共享背后各方的利益，在堅持用戶個人數據保護底線不動搖的前提下促進數據共享與利用，是為人類社會共同體謀福祉的應有之義。中國需要加強在個人數據保護領域中的國際化合作，結合中國實際經驗和學習國外先進、成熟經驗，加快構建第三方數據共享下互聯網企業的義務制度。同時，結合數字法治的理論與實踐，探究第三方數據共享下互聯網企業的義務構建，也是實現數字經濟時代個人數據保護的應然邏輯。

參考文獻：

[1] 魏昊銘. 優步（UBER. US）子公司Drizly因2020年數據泄露問題遭FTC 處罰[EB/OL]. （2022-11-06）[2022-10-25].https： //www.zhitongcaijing.com/content/detail/811395. htm.

[2] 王利明. 數據共享與個人信息保護[J]. 現代法學， 2019（1）： 45-57.

[3] 中共中央國務院關于構建數據基礎制度 更好發揮數據要素作用的意見[N]. 人民日報， 2022-12-20（001）.

[4] 許娟. 企業衍生數據的法律保護路徑[J]. 法學家， 2022（3）： 72-87.

[5] 曹明德. 委托處理個人信息的私法規制[J]. 重慶大學學報（社會科學版）， 2022（4）： 204-213.

[6] DAVID L， LISA M A， PETER Y P S， et al. Automatingaccountability？ privacy policies， data transparency， andthe third party problem[J]. University of Toronto LawJournal， 2022（1）： 156-188.

[7] SAM S， MARK S. You give apps sensitive personal infor?mation. Then they tell facebook[N]. Wall Street Journal，2019-02-22.

[8] 東芝（中國）有限公司. 個人信息收集、使用同意書[EB/OL]. （2023-03-10） [2021-02-17]. http：//www. toshiba.com. cn/service/personal_home/agreement. html.

[9] CHRIS H， JENNIFER K， SU L， et al. How different areyoung adults from older adults when it comes to informa?tion privacy attitudes and policies？[J]. Young Adults andPrivacy， 2020， 16（4）： 3-20.

[10] GEOFFREY F. In the middle of the night， your iPhoneis busy sharing your personal data[N]. Washington Post，2019-05-29.

[11] 謝玉進， 陳士平. 中國網絡社會研究報告[M]. 北京： 經濟科學出版社， 2015： 50-51.

[12] 董成惠. 共享經濟： 理論與現實[J]. 廣東財經大學學報， 2016（5）： 4-15.

[13] 金澤剛. 第三方網絡平臺的類型演變與犯罪危機預防[J]. 東方法學， 2020（1）： 4-16.

[14] 巫文勇. 互聯網平臺金融的信息披露規則與法律責任重敘[J]. 法律科學（西北政法大學學報）， 2022（5）：50-63.

[15] 王利明. 論個人信息權的法律保護——以個人信息權與隱私權的界分為中心[J]. 現代法學， 2013（4）： 62-72.

[16] 申佳平. 構建數據基礎制度體系《數據20條》來了[N].企業家日報， 2022-12-21（001）.

[17] 唐要家， 王鈺， 唐春暉. 數字經濟、市場結構與創新績效[J]. 中國工業經濟， 2022（10）： 62-80.

[18] CHRIS H， ASHKAN S， NATHANIEL G， et al. Behav?ioral advertising： the offer you cannot refuse[J]. HarvardLaw amp; Policy Review， 2012， 22（6）： 273-285.

[19] 阮神裕. 個人信息委托處理中受托人的地位、義務與責任[J]. 當代法學， 2022（5）： 110-119.

[20] 程嘯.《 個人信息保護法》理解與適用[M]. 北京： 中國法制出版社2021： 542.

[21] 王敏. 歐盟《通用數據保護條例》及其合規指南[M]. 武漢： 武漢大學出版社， 2021： 63-67 .

[22] 尼克·斯爾尼塞克. 平臺資本主義[M]. 程水英， 譯. 廣州： 廣東人民出版社， 2018： 121-124.

[23] 吳偉光. 平臺組織內網絡企業對個人信息保護的信義義務[J]. 中國法學， 2021（6）： 45-60.

[24] CyberRisk賽伯瑞斯克微信公眾號. 得克薩斯州優步司機在個人數據泄露的6年之后開始領取賠償金[EB/OL]. （2022-11-09） [2022-10-27]. https： //mp. weixin.qq. com/s？ src=11amp;timestamp=1667981832amp;ver=4155amp;signature=Pynaj9*wDgM6daSkR9J8meZLlbAbWy8q44yQS8fpNnGaxZyTQ5t59cD*mwKNZVNSiIi2IAeWv8vAEC1NXK5P7CmgsFJ58Zz3CEH8XUoKxGvb3VEY2R9Fy5lj9Dl4paE1amp;new=1.

[25] 薛春輝. 第三方數據共享下金融消費者隱私權保護的法律問題研究[D]. 上海： 華東政法大學， 2018.

[26] 張素華， 王年. 在線訴訟中的數據安全問題及法律規制[J]. 科技與法律（中英文）， 2022（4）： 46-53.

[27] 張勇. 敏感個人信息的公私法一體化保護[J]. 東方法學， 2022（1）： 66-78.

[28] 倪楠. 歐盟模式下個人數據共享的建構與借鑒——以數據中介機構為視角[J]. 法治研究， 2023（2）： 110-117.

[29] 王祿生， 王爽. 困境溯源與模式創新： 基于區塊鏈的個人信息合作治理研究[J]. 中國行政管理， 2020 （12）：56-61.

[30] 許娟， 黎浩田. 在線平臺企業個人信息保護的智能合約機制構建[J]. 中南大學學報（社會科學版）， 2022（6）：42-52.

[31] HASSAN O， CHUL-SOO K， NAM-YONG L， et al．Pri?vacy－aware Blockchain for personal data sharing andtracking[J]. Open Computer Science， 2019（9）： 80-91．

[32] 王祿生. 區塊鏈與個人信息保護法律規范的內生沖突及其調和[J]. 法學論壇， 2022（3）： 81-95.

[33] MICHELE F. Blockchain regulation and governance in Europe[M]. Cambridge： Cambridge University Press，2019： 142-152.

[34] PHILLIP S. Start with trust： utilizing blockchain to re?solve the third-party data breach problem[J]. U.C.L.A.Law Review， 2019（1）： 1244-1288.

[35] CLARE S， ERIC B. E-residency and blockchain[J]. Com?puter Law＆Security Review， 2017， 33（4）： 460-475.

[36] SHRADDHA K. Building-blocks of a data protectionrevolution： The uneasy case for blockchain technologyto secure privacy and identity[M]. Baden： Nomos Ver?lagsgesellschaft， 2018（6）： 31-34．

[37] 何邦武. 數字法學視野下的網絡空間治理[J]. 中國法學， 2022（4）： 74-91.