返回上一页 文章阅读 登录

刘泽刚:大数据隐私的身份悖谬及其法律对策

更新时间:2019-12-24 23:01:13
作者: 刘泽刚  

   摘要:  大数据运营在收集使用大量身份信息的同时却无法赋予用户网络主体身份。这种身份悖谬是由互联网结构、大数据模式以及法律规范不足共同导致的,也意味着数据自决和意思自治难以实现,政府监管和法律保护才是当前信息隐私保护可行的主导机制。欧盟统一立法创设数据主体,并影响了印度、巴西等人口大国的数据保护立法。但硬性拔高隐私身份定位付出的法律和经济代价也是沉重的。美国依托消费者身份利用现有机制加强信息隐私监管的实用主义路径与其普通法传统契合且成本较低。我国信息隐私主体的现有法律定位模糊。未来立法宜正视互联网发展的现实,兼采欧美之长,适度提高信息隐私身份定位,但应避免设置副作用明显的权利。宜在加强对企业监管的同时,综合利用消费者权益保护等机制提升大数据隐私的保护质效。

   关键词:  个人信息 信息隐私 隐私保护 数据主体 消费者隐私

  

   一、大数据隐私身份悖谬及原因分析

   在大数据条件下隐私和身份间存在着明显的悖谬关系:用户在不断提供各种身份信息的同时却处于没有独立身份的被动地位。“身份”亦作“身分”,在现代汉语中有“出身和社会地位”“身价”等涵义。自然人在传统空间拥有单一的主体身份,并据此从事各种活动、获得财产、建立人际关系,进而发展自身个性和人格。这种看似天经地义的事情在互联网中却难以实现。自然人在互联网中最常见的身份就是“用户”。但用户却并非单一和持久的网络身份。用户身份并不以注册为前提,只要享受了某种服务或使用了某种应用就可成为用户。成为用户最重要的前提是“用”,而使用的前提则是提供一些与身份相关的数据。以谷歌公司为例,其用户分为三类。“注册用户”、 “非注册用户”、 “被动用户”[1]。不难发现,三类用户的共同点在于通过某种方式提供了某种程度的身份信息。严格来讲,用户并不实际拥有其在网络上的各种身份。这些身份就是某些特定数据,但用户无法决定这些数据如何使用,且在停止某种服务注销相关账户后也不能带走这些身份数据。事实上,自然人在现有互联网条件下基本不具有独立性,且对其数据收集、存储、处理也没有自主性。在大数据条件下,自然人更像是被动服从于互联网统治的,而非真正的主体。比较理想的状况是自然人在互联网上应该有单一的数字身份,并且包括了个人进行各种网络活动产生的大量数据。自然人应该能自由调取这些数据,决定是否以及提供哪些数据给相应的服务平台或企业,而且有权在终止服务后彻底销毁因享受服务产生的相关数据。但这种理想的网络主体身份却难获得现实支撑。这种身份悖谬严重制约了隐私保护的效果。隐私是高度人格性的利益。在互联网基本架构稳定的前提下,身份是个人信息构成和保护的关键要素,在隐私保护领域,只有能识别出身份的信息才是个人信息。[2]但用户在大数据模式中的身份却是卑微和被动的。这种身份悖谬限制了隐私保护的主动性和实效性,则更需在法律上对信息隐私进行准确身份定位,才有可能保护隐私。而产生这种身份悖谬的原因十分复杂,主要基于以下几个方面:

   (一)互联网结构原因:身份即数据

   大数据隐私的身份悖谬首先是由现有互联网的结构决定的。对互联网来说用户的身份就是一系列数据。原因是互联网是一个协议分层系统,不管上层应用有多么丰富多样,其底层却由数据和协议主导,身份问题并不重要。互联网的分层架构是一个数据移动、处理、呈现的过程,这一分层系统至少包括底部的“实体层”(Physical Layer)和顶部的“应用层”(Application Layer),还有夹在二者之间的“链接层”(Link Layer)、“网络层”(Network Layer)和“传输层”(Transport Layer)。越底部的层级越靠近硬件;越上面的层越靠近用户。每一层都是为了完成一种功能。为实现这些功能,就需要遵守共同的规则,也就是“协议”(Protocol)。互联网的每一层都定义了很多协议,这些协议总称为互联网协议(Internet Protocol Suite)。归根结底,协议和数据才是互联网的核心要素。在顶层的用户是靠提供数据才能进入这个系统并享受服务。在最初的互联网协议中并没有纳入普通用户或自然人的身份。互联网领域的身份至少有三个层次:身份(Identity)、身份验证(Authentication)和授权(Authorization)。“身份”与社会档案具有一致性。“身份验证”是指获准进入某渠道的资格验证。“授权”则是指获准进行某些操作的授权。用户须提供一系列数据并经过以上三个层次的身份确认才能获得某种网络应用或服务。尽管很多国家采取了“前台自愿,后台实名”的做法,然后台本质上是一种身份信息的一致性验证和备份。实名信息并没有赋予用户在互联网的独立身份。相反,针对不同的服务和平台,用户每次都需要进行注册和验证。这是因为用户与互联网之间并没有独立的安全协议,其信息安全与隐私都由应用层决定。自然人在互联网上的用户身份是碎片式的,而非单一的网络身份。

   只要互联网的基本架构不变就很难确立自然人的单一网络身份。即便是被寄予厚望的区块链(Blockchain)恐怕也无能为力。区块链从本质上来说是一项通用技术(General Purpose Technology),可以提供去中心化的信任机制,无需像现有互联网反复对个人进行身份验证。而且通过区块链技术创建的互联网身份具有难以篡改的优点,拥有区块链身份的主体能够有效管理自己的身份数据,只需选择必要的身份数据片段而不必一并提交给应用等优势。 [3]单从技术角度看,区块链具有确立自然人网络主体身份的潜力,更利于保护隐私。但任何寄望于单一技术改变现有制度的想法都是幼稚的。互联网发展至今,已形成强大的利益格局和制度惯性,任何结构性的改变都需要付出高昂代价。目前尚未出现任何改变互联网基本架构的趋势。

   (二)大数据模式原因:身份即资源

   数据是大数据时代的基本资源,与身份相关的数据价值更高。大数据运营模式以高度集中达到“大”的数据进行集中、流动和占有为前提。这些特征增加了隐私保护的难度。首先,大数据以数据的集中使用为前提。从全球范围来看,大部分用户的数据被锁定在诸如谷歌、脸书、雅虎等大应用运营商的集约式的“数据筒仓”(Data Silos)中。而集中则意味着攻击目标明确和系统性的危险。[4]2013年雅虎10亿用户个人信息被盗。其后公司加强了安全防护,但2017年又发生了雅虎30亿用户个人信息被盗。此类事件频发充分证明了数据高度集中的危害。其次,数据只有在流动中才能实现价值。但大数据处理环节众多且复杂,强调数据主体的控制会削弱数据流动的价值。数据挖掘却是以牺牲人格利益的方式进行的。数据挖掘的目标和方式都不太明确,所以在数据处理前往往无法预先询问相关权利人并获得许可。企业通过数据挖掘发现有价值的模式,从而产生经济价值。而普通用户对数据如何运用却毫不知情,也无法干预。在大数据模式下,数据与个人的联系是动态的,而且其变化难以预测。个人信息与客观数据间的界限更加模糊,信息隐私的保护也更加困难。最后,在大数据条件下用户提供的数据和其活动形成的新的数据并不归其所有,也不由其支配。这些数据是大数据经济的基本资源。在各种数据中,与身份相关的数据无疑是最有价值的。用户如果想终止服务,在绝大多数情况下都无法带走或删除其在享受服务期间产生的数据。当然,在GDPR正式实施后,数据携带已经成为一种权利。一些企业也开始采取积极措施促进不同平台间数据的顺利转移。2017年谷歌、Facebook、微软和Twitter联合发起一项名为“数据迁移”(Data Transfer Project,简称DTS)的开源项目,旨在为用户提供在参与该项目的服务提供商之间直接无缝地移动数据。这无疑是一大进步。但这个项目依然是以数据结构为基础的,包括数据模式、适配器、任务管理库三个组成部分。其中尽管有“验证适配器”的模块,但其重点并非身份的构建,而是数据的转移。主导权仍然在企业或者服务提供商手中。享受DTS的依然是“用户”。[5]更重要的是,数据主体能够携带的数据只是由其提供的个人数据。但必须强调的是GDPR的数据携带权并不包括对数据主体个人行为进行事后分析而获得派生或推测数据。这意味着个人即便销户也无法带走和删除与其相关的大量数据。

   (三)规范不足原因:身份即问题

   互联网发展早期弥漫着乐观主义情绪。参与构建互联网的技术精英以及富于前瞻性的观察家都将互联网视为自由人的自由联合。甚至认为此种联合势必突破旧制度框架,为人类提供更自由的规范体系。然而,事情并未按此逻辑发展。互联网此后被牟利和控制逻辑主导。待出现种种失范,进而引发规范难题时,法律界才从旁观和跟随中猛醒并发现法律并未做好充分准备。尤其是在互联网中自然人隐私保护缺乏恰当的身份保障。

   尽管从直觉出发,信息隐私保护应该首先确定数据或信息的所有权或者归属权问题,即谁拥有数据这个基本问题,并在数据所有权(者)清晰的前提下确定信息隐私保护相关的权利和义务。但事实却并没有循此路线发展。即便是欧盟也只是采取了“数据主体”,而非“数据所有者”的概念作为其个人数据保护的规范基础。尽管有人乐于宣称企业并不拥有个人数据,用户才拥有数据。但此类宣示除了引来叫好外,既不能改变现实,更不能改变规范。实际上,法学界从多个角度力求证明个人对数据的所有权。[6]但无论基于财产权、所有权、知识产权等传统法律路径中的任何一条都难以证明自然人对其数据的拥有。[7]自然人与其数据间到底应该是何种法律联系?这个问题恐怕一时间难于做出实质性的解决。但大数据隐私保护却日渐紧迫。法律有两个选择:一是通过立法改变互联网的结构或者至少改变其运作的部分规则。二是不干预互联网自身发展,从既有法律规范中选取相应机制进行规范。对此欧盟和美国分别选择了不同的路径。

  

   二、欧美信息隐私身份的法律定位分析

   欧美大数据隐私法呈现“地方性”特征,分野非常明显。欧盟秉持理想主义创设“数据主体”身份,并赋予其一系列权利,试图提升自然人对其个人数据的控制。美国则采取实用主义立场,充分利用既有法律身份和监管机制进行隐私保护,尤其倚重消费者权益保护机制。总体来说,美国做法更加务实和有效。欧盟做法具有明显的理想性和前瞻性。但从运行实效看,数据主体在大数据条件下难以行使控制权,因而仍是虚悬的主体身份,且过于强调权利也易造成较大的经济和法律成本。

   (一)欧盟理想主义的“数据主体”模式

   欧盟通过统一立法建构个人数据保护的“精细规制”框架,并且拟制了一个振奋人心的法律主体身份:数据主体。但这并没有解决大数据隐私保护的身份难题。尽管1995年《数据保护指令》(以下简称1995年指令)和GDPR都使用了“数据主体”术语,但分析其规范结构却不难看出这一法律身份充满不确定性。

首先,数据主体具有概念上的不确定性。GDPR第4条(1)项的“数据主体”界定为“已被识别”“任何一个的自然人”,或“可识别”的“控制者或自然人”。为的是区分与自然人的人格紧密相关的个人数据和仅与自然人相关的客观数据。客观数据当然有可能与自然人有关,但只要其关联程度并非足以影响人格,就不必作为个人数据进行法律保护。正因为如此,GDPR将个人资料界定为“任何与数据主体有关的信息”。但这里存在规范层面的不确定性。毕竟“可识别”更多是一个技术和事实层面的问题,很难从规范上对其进行预先确认。大数据条件下的数据处理流程和信息流动过程并没有对应的信息区分机制。相反,在互联网高速发展的情况下,信息的可识别性是高度依赖于技术和营商模式的,(点击此处阅读下一页)

本文责编:陈冬冬
发信站:爱思想(http://m.aisixiang.com)
本文链接:http://m.aisixiang.com/data/119583.html
收藏