大数据时代的数据主体权利及其未决问题——以欧盟《一般数据保护条例》为分析对象

田广兰

人类的生活世界在计算机、互联网、人工智能等新技术的合力驱动下进入了大数据时代。大数据给所有的个体和共同体带来了新的福祉、自由和价值，释放出前所未有的经济价值与社会效应，人类的价值和权利列表上也增加了“数据主体权利”和“信息自由”等新的条目。但自“剑桥分析”事件之后，人们深刻地体验到大数据技术已经对个体的隐私、自主性以及社会公正等权利和能力构成威胁。在如何保护数据主体权利问题上，欧盟走在世界的最前沿，2018年5月25日生效的《一般数据保护条例》(General Data Protection Regulation，以下简称GDPR)就是致力于保护数据主体权利和规制内部统一市场。本文以欧盟的GDPR为研究对象，阐释大数据时代的数据主体应享有的数据权利，分析GDPR在数据权利主张中存在的一些未决问题，以期为中国的数据治理提供一定的学理基础。

一、数据主体与数据主体权利

(一)什么是数据主体？

大数据技术赋予人类个体一个新的身份——数据主体。所谓数据就是以数字的方式对事物、现象或事件的记录和描述，这些记录和描述大多是关于对象的客观、真实的反映，也可能存在一些偏差和错误。在互联网、云计算、算法和人工智能等技术的支持下，世界万物都快速实现了数据化，这些数据被收集、存储、挖掘和分析，可以转化为有价值的信息和资源，为个体或组织的决策与行动提供坚实可靠的依据。本文所讨论的数据主体是指“一个可识别的自然人”，即“一个能够被直接或间接识别的个体，特别是通过诸如姓名、身份编号、地址数据、网上标识或者自然人所特有的一项或多项的身体性、生理性、遗传性、精神性、经济性、文化性或社会性身份而识别的个体”(1)《一般数据保护条例》，参见http://wenku.baidu.com/view/cccdb 04615791711cc7931b765ce05087732 757e.html,2018-09-14。。每一个直接或间接与智能终端连接的自然人都是一个数据主体，数据记录着他们的所言、所思和所行，记录了他们的过去和现在，这些数据经过算法分析可以对数据主体进行分类并贴上相应的标签，形成对数据主体的性格、偏好、能力等各种特质的认知判断，为数据控制者的个性化、差异化数据服务提供依据。

数据主体既生活在实体的物理世界中，也生活在虚拟的数据世界中，物理世界中经历的事件都可以转化为数据，数据世界中的信息又可以转化为物理世界中的决策和行动，数据主体在两个世界中穿梭往返成为大数据时代的特有图景。显然，数据主体享有大数据带来的便利、自由与福祉，生活的世界和视野突破了原先狭窄的时空范围，拥有了更多、更快、更合理的选择与机会。但是，与此同时，数据主体也感受到了随之而来的风险和问题：(1)数据的永久记忆(储存)替代遗忘成为常态；(2)数据的滥用将数据主体从目的性存在降格为资本增值的工具；(3)数据的泄露、盗取或其他不正当的获取方式对数据主体的利益、隐私、自由、尊严等可能造成伤害；(4)大数据技术使得数据画像成为可能，一个可能与实体自我相分离的数据自我成了个体隐私的最大威胁；(5)个性化算法中的偏见和歧视会造成某些数据主体遭遇不公正的对待。因此，在数据主体拥抱大数据、创造新价值的同时，如何保护数据主体的隐私、自主、尊严和平等等基本权利是大数据时代提出的新课题。

(二)数据主体权利

在世界范围内，抵御和破解大数据风险的方式大致有三种：行业自律、法律规制和技术赋权(2)赵康：《数据泄露折射隐私保护问题》，载《中国社会科学报》，2018-11-08。，欧盟的GDPR是法律规制的典型代表。GDPR第一章第1条就明确规定了制定本条例的目的——保护自然人的基本权利与自由，特别是自然人享有的个人数据保护的权利，以及促进欧盟内部个人数据的自由流动。GDPR旨在诉诸数据主体权利来尽可能保护每一个数据主体的利益(如隐私、自决等)不受伤害。

GDPR所指称的数据主体权利是大数据时代每一个直接或间接与互联网连接的自然人为了保护自己的正当利益而对控制和处理其数据的机构或个人所主张的一种法律权利。这是人类权利清单上的新条目，主要是源自数据技术的发展对人的利益和权利的侵蚀与破坏，这种侵蚀和破坏可能会导致数据主体的身体和心灵的伤害、自主能力的弱化以及受到不公正的对待等。该权利的载体是欧盟范围内所有的数据主体，该权利的应答者或责任者是所有为欧盟公民提供数据服务的机构和个人，包括数据的控制者、处理者、接受者和第三方。该权利主张的目的是保护数据主体的正当利益，保护的方式是刚性的法律保障，任何机构或个人若违反了GDPR的规定将面临处罚。作为一种新的权利条目，GDPR框架内的数据主体权利有以下几个方面的特征：

首先，数据主体权利是一种基本的人权。GDPR规定数据主体权利包含知情权、访问权、更正权、被遗忘权、反对权、限制处理权和数据可携带权，这些细分的权利条目主要是针对大数据的可能风险而做出的相应规定。所有这些权利都指向尊重数据主体的自主性和隐私权，或者说数据主体享有的诸权利是自主性和隐私权的具体化。对数据主体的自主和隐私的尊重则意味着对其尊严的承诺。尊严是一项基本的人权，这就诠释了GDPR第一条——“本条例保护自然人的基本权利与自由”——所宣称的宗旨。欧盟委员会前副主席芮丁(Viviane Reding)指出：“个人数据保护对于欧洲人而言是一项基本权利，欧洲一直将‘隐私视为一种建立在基本人权之上的政治要求。’”(3)转引自丁晓东：《什么是数据权利?——从欧洲〈一般数据保护条例〉看数据隐私的保护》，载《华东政法大学学报》，2018(4)。

其次，数据主体权利是一种普遍性的权利。数据主体权利并非囿于特定群体或个人基于特定理由而享有的权利，而是在大数据技术背景下生成的一种具有普遍性的基本权利。首先，大数据技术使得绝大部分人类个体都程度不同地与数据世界直接或间接相连，都是一个数据源，他(她)所有的日常生活都可以转换成数据，通过智能终端与大数据连接而汇入数据的海洋。其次，更重要的是，个体作为数据主体并不以特别的能力和资源为条件，个体的存在、言说、交往、行动、经历的事件甚至情绪等所有日常的生活状态都可以自动转化为数据被记录下来。这两个因素使得数据主体权利成为一种普遍性的权利，与生命权、自由权和财产权具有一定的相似性。

再次，数据主体权利是一种非绝对性的权利。在GDPR的框架中，数据主体权利只是相对于数据控制者、处理者或者第三方的利益有相对的价值优先性。在具体的情境中，该权利的行使会受到来自他人的自然权利、信息自由、欧盟和各成员国的法律、公共利益等因素的约束，这集中体现在有关被遗忘权和反对权的规定中。另外，在美国和日本等国家，政府将保护和促进大数据技术发展和信息的自由流动放在优先的地位，数据主体的权利(如隐私权)的维护主要是依靠行业自律或事后的法律救济。所以，数据主体权利是一种可协商的非绝对性权利。

最后，数据主体权利是一种可扩展性的权利。现代技术最大的特征就是不确定性。当下的数据主体权利只是基于当下的大数据技术与自然人的相关性所设定，然而技术的本质及其自主性决定了大数据技术正指向一个无限的、不确定的未来，未来会发生什么，未来的大数据与自然人之间会发生什么关系，产生哪些新的风险，对于现时代的我们而言是一个未知的“X”。这就决定了GDPR的法律条款会在时间流中不断扩展和变化，会随着大数据技术环境的变迁与开发利用的需求，不断产生新的个人对其数据的处置与分配权利。

欧盟用法律规制的方式保护数据主体权利为其他区域和国家制定相关的法律提供了范例，同时激发了人们深入思考大数据的内在矛盾与可能风险，也让技术精英与科技公司明白了一个道理：“能够不等于可以”，在大数据技术的开发应用中应该“有所为有所不为”。技术在服膺于自身的逻辑和资本的驱使之前，首先必须接受“伦理审计”，在利用数据获利的同时必须要顾及数据主体的权利。

二、数据主体拥有哪些权利？

日常生活的可数据化、数据的可还原性创造了难以估量的经济价值和商业机会，数据成为价值和意义之源。断开与数据世界的连接，个体的生命似乎就失去了意义。但是，人类个体的这种新的存在方式意味着个体失去了控制自身数据的能力和可能，意味着个体生活在数据技术的“凝视”甚至操控之下，个体的隐私、自由甚至尊严等我们所珍视的价值处在危险之中，直接造成人的“被工具化”。GDPR就是欧盟为了平衡数据自由和数据主体权利之间的冲突而设计的法律条例。

(一)GDPR框架内的数据主体权利

GDPR的第三章第13至第22条详细规定了数据主体所拥有的权利，即知情权、访问权、更正和删除权(被遗忘权)、限制处理权、反对权、数据可携带权。各项数据主体的权利所对应的条款如下表所示：

数据主体权利GDPR的条款知情权第12、13、14条访问权第15条更正、删除权(“被遗忘权”)第16、17、19条限制处理权第18、19条反对权第21、23条数据可携带权第20条

具体的规定如下：

(1)知情权。GDPR第12、13、14条规定了数据主体对于关涉自我的数据被收集、处理、存储或转移等相关操作的知情权。第12条要求数据控制者应该以一种简洁、透明、易懂和容易获取的形式，以清晰、平白的语言向数据主体提供他(她)需要知悉的所有信息。第13条规定数据主体在数据采集时必须被告知数据控制者的详细身份信息和联系方式、数据采集的目的、存储期限、数据处理的法律基础和可能后果以及数据主体的所有权利。第14条则要求控制者在收集数据前要告知数据主体第13条所规定的所有信息。GDPR首先确保数据主体能够知晓和理解关涉自身的数据是被谁收集、用于何种目的、是否合法、可能的后果、存储多久等信息，然后再决定自己的数据是否允许被收集以换取来自数据控制者提供的服务。可以说知情权最大限度地尊重了数据主体的自主意志，支持数据主体经由自主的权衡、判断、选择，然后根据自己的意愿自由地做出决定。

(2)访问权。数据主体应当有权从控制者那里得知，关于其个人数据是否正在被处理，如果正在被处理的话，其应当有权访问个人数据和获知与他的数据处理相关的所有信息。若数据主体有要求，控制者必须给他(她)免费提供一个备份。

(3)更正权和删除权。GDPR认为，当数据主体的个人数据不准确时，有权要求控制者纠正这些数据，数据控制者不得拖延。考虑到处理的目的，数据主体还有权要求使其不完整的个人数据变得完整化。

删除权也被称为“被遗忘权”，数据主体有权要求数据控制者删除他们的个人数据，停止数据的进一步传播，并有权利要求控制者通知第三方机构停止处理数据，删除其个人数据。GDPR规定了删除权行使的六种情形，如数据的目的不再必要、数据主体撤回先前的同意或行使反对权、数据被非法处理、为了遵守欧盟或成员国的法律而需要删除等。GDPR同时也规定了限制这一权利的五种情形：为了信息自由或言论自由；为了遵守欧盟或成员国的法律；为了公共利益或被委托行使公权力时；为了公共卫生领域的公共利益；出于公共利益的存档目的、科学或历史研究目的或统计目的。若删除数据会导致这些目的无法实现或阻碍它们的实现，删除权就会被限制或取消。

(4)限制处理权。GDPR规定了数据主体有权要求控制者对数据处理进行限制的四种情形，即数据主体对数据的准确性有疑义、非法的处理但数据主体不要求删除、目的不再需要但为了数据主体的合法权利、在确认控制者的数据处理行为是否有优先于数据主体的正当理由前。当数据处理受到限制时，除存储之外不能再进行其他的处理行为，除非数据主体同意，或为设立、行使或捍卫合法权利，或为保护其他自然人或法人的权利，或为了维护联盟或成员国规定的重要公共利益而被处理。当数据处理的限制被取消时，控制者应当通知数据主体。

(5)反对权。数据主体随时有权反对关乎其自身数据的处理，包括根据这些条款而进行的“用户画像”(4)GDPR指称的“用户画像”，是指为了评估自然人的某些条件而对个人数据进行的任何自动化处理，特别是为了评估自然人的工作表现、经济状况、健康、个人偏好、兴趣、可靠性、行为方式、位置或行踪而进行的处理。。当数据主体行使反对权时，控制者须立即停止针对这部分个人数据的处理行为，除非控制者证明，相比数据主体的利益、权利和自由，具有压倒性的正当理由需要进行处理。

(6)数据可携带权。这是欧盟赋予数据主体的一项新的权利，指的是在特定情形下，数据主体有权获得其提供给控制者的相关个人数据，且其获得的个人数据应当是经过整理的、普遍使用的和机器可读的，数据主体有权无障碍地将此类数据从一个控制者传输给另一个控制者，条件是这样做不会伤害公共利益或对其他人的权利和自由产生负面影响。数据可携带权在一定程度上支持了两种自由：数据主体的自由权利和数据的自由流动。

在数据价值和数据主体权利之间，GDPR倾向于后者，选择了有条件地优先保护数据主体的权利。从GDPR对数据权利的规定及其相关约束条款中可以看出：首先，欧盟用法律的形式明确了数据主体拥有自我数据的控制权和所有权，这是对数据主体的自主性和自决权的尊重，或者说是在大数据时代将被技术褫夺的权利归还给数据主体。其次，尽可能尊重数据主体的隐私。大数据对数据主体的隐私构成威胁，但数据本身潜在地具有巨大的价值。在隐私和价值之间，GDPR选择了用法律去尽可能地保护个体的隐私。其中被遗忘权、反对权、反对用户画像和禁止处理敏感数据等规定都是保护个体隐私的条款，这些条款是大数据时代个体隐私的外壳，可以相对有效地阻抑个体的数据在互联网上被任意传播和任性挖掘，赋予个体一定的权利去阻止自己被异化为资本逐利的工具和他者围观的对象。再次，坚持公共利益优先。在GDPR所列举的可以超越数据主体权利的限制条件中，公共利益是一个重要的考量因素。公共利益可以在设置了恰当保护措施的前提下对数据主体的删除权、反对权、可携带权、限制处理权等进行克减和限制。GDPR第89条明确规定：“对于为了实现公共利益、科学或历史研究或统计目的处理，成员国的法律可以按照本条第1段所规定的情形与防护措施(匿名化——作者注)对第15、16、18、21条所规定的权利进行克减——如果此类权利可能彻底阻碍或严重阻碍实现上述目的，而此类克减对于实现上述目的是必要的。”(5)《一般数据保护条例》，参见http://wenku.baidu.com/view/cccdb 04615791711cc7931b765ce05087732 757e.html,2018-09-14。可见，GDPR主张合理的公共利益是数据主体权利的边界。

(二)GDPR之外的其他主张

GDPR对欧盟的公民和为欧盟公民提供数据服务的公司具有有效性和约束力，但大数据的风险是一个世界性的问题，其他国家和地区对于这一问题也有较为清晰的认知和系统的研究，并试着应用技术、法律和行业自律等方法来保护数据主体的权利。然而，在数据价值和数据风险的关系问题上，以美国、日本、中国为代表的其他国家在价值立场上与欧盟存在一定的差异。

作为世界上大数据技术最先进的美国，2014年5月，总统执行办公室发布了2014年全球大数据白皮书——《大数据：把握机遇，守护价值》(Big Data：Seizing Opportunities,Preserving Values，以下简称《白皮书》)，这份报告是美国官方对大数据价值与大数据风险之间关系价值取向的一个全景呈现。美国作为掌握引领大数据技术的发达国家，深谙大数据的价值，同时也敏锐地意识到大数据对公民的隐私、自决和公正等基本价值构成威胁。一方面，《白皮书》指出：“大数据技术能够将大量的数据集以从前不可能的方式分析出有价值的东西。”(6)Big Data: Seizing Opportunities,Preserving Values，https://wenku.baidu.com/view/28e5cd60453610661fd9f413.html,2020-10-20.“若使用得当，大数据分析能够提高经济生产率，改善客户与政府服务体验、挫败恐怖分子并且拯救生命。”(7)Big Data: Seizing Opportunities,Preserving Values，https://wenku.baidu.com/view/28e5cd60453610661fd9f413.html,2020-10-20.另一方面，《白皮书》也详细分析了大数据可能带来的问题：“从技术角度讲，这(采集尽可能多的数据——作者注)促使数据具有功能性上的永恒性和普及性，使我们留下的数字痕迹被采集、分析、组合，揭示出关乎我们自身与生活的数量惊人的事物。这些发展挑战了人们长期以来的隐私观念。”(8)Big Data: Seizing Opportunities,Preserving Values，https://wenku.baidu.com/view/28e5cd60453610661fd9f413.html,2020-10-20.不仅如此，“大数据技术能够从意识形态或文化上把人隔离开来，就像泡沫过滤器一样，有效地防止他们接触到一些对他们的偏见与假设构成挑战的信息”(9)Big Data:Seizing Opportunities,Preserving Values，https://wenku.baidu.com/view/28e5cd60453610661fd9f413.html,2020-10-20.。同时指出，即使在并非有意歧视的情况下，大数据的使用仍然可能导致有失公正的结果。在数据的价值与风险之间，美国政府更为看重大数据为经济社会发展所带来的创新动力，对于可能与隐私权或其他权利产生的冲突，则以解决问题的态度来处理。法律上诉诸《宪法第四修正案》《隐私法》《消费者隐私权法案》《公平信息实务法则》(10)《公平信息实务法则》规定个人有权知道他人收集了哪些关于他的信息以及这些信息是如何被使用的。进一步说，个人有权拒绝某些信息使用并更正不准确的信息，信息收集者有义务保证信息的可靠性并保护信息安全。，技术上诉诸个人身份信息的“模糊化”(de-identity)、“请勿追踪”的隐私设置以及行业认证等对侵权行为进行预防和处理。但是，《白皮书》明确指出，“无论大数据所带来的问题是多么严重与重要，政府依然会支持相关电子经济的发展并提供免费的数据流来激发大数据的创造力”(11)Big Data:Seizing Opportunities,Preserving Values，https://wenku.baidu.com/view/28e5cd60453610661fd9f413.html,2020-10-20.，即旨在寻求“如何将风险最小化的同时，实现数据价值的最大化”(12)Big Data:Seizing Opportunities,Preserving Values，https://wenku.baidu.com/view/28e5cd60453610661fd9f413.html,2020-10-20.。总之，和欧盟不同，美国在数据价值和数据权利之间更偏向于前者。

日本和中国都选择了主要应用法律规制来保护数据主体权益的方式。日本于2005年4月正式施行了《个人信息保护法》，随着信息社会的高速发展，2015年进行了修订，2017年5月30日，《个人信息保护法》的修订稿全面实施。该法律一方面要规范个人数据的适当处理和有效利用，促进新兴数据产业的发展，另一方面尽可能充分保护个人的合法权益，致力于实现数据的自由流动和数据主体的合法权益之间的平衡。和欧盟的GDPR不同的是，日本虽严格界定了个人数据保护的主体、范围、责任、规则等，但并未赋予数据主体排他性的数据权利，而是侧重于国家、地方公共团体和个人信息处理业者对个人信息的保护义务。

我国关于保护数据主体权益的《个人信息保护法(草案)》(以下简称《草案》)也已起草完成，第十三届全国人大常委会第二十二次会议对《草案》进行了审议，于2020年10月21日进入了公开征求意见阶段。《草案》以保护个人信息、维护网络空间良好生态和促进数字经济健康发展为目的，在个人信息保护方面，采纳了GDPR为数据主体“赋权”的方式。《草案》第四章明确规定除法律、行政法规另有规定外，个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理(第44条)，另外个体还享有对个人信息的查阅、复制的权利(第45条)、更正、补充的权利(第46条)、删除和限制处理的权利(第47条)。但是，对违法行为的处罚并没有GDPR那么严厉。《草案》后续的完善、颁布和实施将切实规范我国个人信息的处理和利用，数据主体的利益、隐私、自主性和尊严将获得明确的法律保护和支持。

和其他国家的相关法律法规相比，GDPR被称为“史上最严的数据保护条例”，对大数据技术的研究和应用给定了明确的法律边界和价值立场。该条例生效后，世界各国为欧盟各成员国提供数据服务的科技公司积极调整他们的数据政策，英、法等国等对各科技公司开出的巨额罚单，都证明了GDPR的可操作性和欧盟保护数据主体权利的决心。即便如此，也不意味着GDPR成功化解了大数据的风险，仍然存在不少未决问题等待人们去进一步思考和研究。

三、数据主体权利的未决问题

GDPR在推进数据主体权利保护的立法方面卓有成效，它的高额罚款设定促使所有为欧盟各国公民提供数据服务的公司或者关闭服务，或者转变数据收集和处理的方式。然而，这种运用法律规制大数据技术的方法在很多技术精英看来很可能是无效的举措，或者即使有效也是微乎其微，因为笨拙和滞后的法律条文根本无法跟上并前瞻性地规制快如闪电的技术迭代。大数据专家维克托·迈尔-舍恩伯格认为，为保障个人的信息安全而建立的庞大的规则体系都是无用的马其诺防线而已。(13)维克托·迈尔·舍恩伯格：《大数据时代》，21页，杭州，浙江人民出版社，2013。《智能时代》的作者吴军说：“既然我们不能指望我们的隐私靠一些公司的善意来保护，那么是否有希望通过立法的手段来解决保护隐私的问题，答案基本上是否定的。”(14)吴军：《 智能时代》，334页，北京，中信出版集团，2016。尤瓦尔·赫拉利也认为：“等到笨重的政府终于下定决心进行网络监管，互联网早已又演进了10次。政府这只乌龟，永远追不上科技这只野兔，就这样被数据压得无法动弹。”(15)尤瓦尔·赫拉利：《未来简史》，339、346-347页，北京，中信出版集团，2017。也许这些表述有些过分低估了政府和法律的效用，但明确传递出的信号就是通过法律规制来保护大数据时代的数据主体的权利可能是不充分的，对GDPR的未决问题的探究将会有益于法律的完善和权利的保护。

(一)数据权利还是信息自由？

GDPR第17条关于数据主体的删除权(被遗忘权)规定，数据主体有要求控制者删除关于其个人数据的权利。如果控制者已经公开个人数据，他应该告知其他正在处理个人数据的控制者们，数据主体已经要求他们擦除那些和个人数据相关的链接、备份或复制。被遗忘权是GDPR新增的数据权利，体现了对数据主体的自主性和隐私的充分尊重。但是，被遗忘权并非绝对权利，有些特定情形能够限制该权利的行使，第17条第3款(a)——“为了行使表达自由和信息自由的权利”就是一个重要的限制因素。在欧洲，个体隐私和信息自由是两项同等重要的权利，在具体的诉讼案件中，它们可以视具体情形互相反对，而并非简单地后者压倒前者。因此，GDPR的第一个未决问题就是如何处理数据权利和信息自由的关系。

《欧洲联盟基本权利宪章》第11条诠释了表达与信息自由，主张人人享有自由表达的权利。此项权利包括持有意见的自由、接受和传播信息与思想的自由，而不受公共权力机构和地域的限制。信息自由是公民自由权的一个重要组成部分，欧盟规定该权利包括表达的自由、接受信息的自由和传播信息的自由，只有当该权利的行使可能会危害到公共的安全、利益、健康、道德、司法公正或者他人的名誉与权利时才会受到限制。信息自由和数据主体的权利(特别是被遗忘权)之间的冲突在大数据的技术背景下开始突显出来。一方面，如果没有信息自由，大数据技术、人工智能等现代技术根本不可能发展起来，公民的自由权利也会受到伤害。甚至在数据主义者看来，“信息自由就是最高的善”，“一切的善(包括经济增长)都来自信息自由……如果想要创造一个更美好的世界，关键就是要释放数据，给它们自由”(16)尤瓦尔·赫拉利：《未来简史》，339、346-347页，北京，中信出版集团，2017。。另一方面，如果不尊重和保护数据主体的被遗忘权，信息的滥用则可能会对数据主体的名誉、身体、心灵和生活构成持久的伤害，甚至会左右社会的政治、经济和舆论的方向。

GDPR对数据权利和信息自由之间的紧张关系的处理原则较为简单，只是表明信息自由是数据主体权利的一个制约因素，对于当二者发生冲突时究竟应该如何抉择，并没有给出可操作性的意见。实际上，欧洲法院在审理这类相关案件时，遵循的是具体案例具体分析(case-by-case)的原则。该原则在2012年的德国斯普林格(Springer)案(17)在汉堡高院2006年审理的(Sachen Springer Verlag)案件中，某位在电视剧中饰演警局局长的演员，在慕尼黑啤酒节上被拍到吸食和携带可卡因，媒体对其指名道姓地进行了图文报道，称其曾有携带麻醉品之违法行为的前科，并报道其受审情况，汉堡法院以涉及人格权侵权为由禁止该期报纸出版。此案最终提交到欧洲人权法院，后者于2012年2月7日对此案做出判决，判定该禁令不应适用，因为在该演员的拘捕和审判一事上存在公众的信息利益，媒体获取信息的方式与渠道完全合法。和2014年的冈萨雷斯诉西班牙Google案(18)2010年2月，西班牙公民冈萨雷斯(González)向西班牙数据保护局(Spanish Data Protection Agency)提出对西班牙报纸发行商La Vanguardia以及谷歌公司及其西班牙分支机构(Google Spain SL)的申诉。申请人的房产因进入追缴社保欠费的扣押程序曾被公告要强制拍卖，该公告刊载于1998年1月和3月发行商发行的报纸上，且因此为谷歌搜索引擎所收录。申请人认为上述扣押程序早在很多年前已被彻底解决，要求发行商删除该处或修改有关页面，使与他有关的个人资料不再出现，或者使用任何可能改变搜索结果的办法以保护其隐私，并要求谷歌公司及谷歌西班牙删除或屏蔽与之有关的个人信息，以便这些资料不再出现在搜索结果之中。2014年5月13日，欧洲法院做出裁决，确认数据主体享有被遗忘权，互联网搜索服务提供商有义务删除过时的、不相关的信息。中得到了体现。前者欧洲人权法院支持了新闻报道的信息自由权和公众的知情权，后者欧洲法院则支持了冈萨雷斯的被遗忘权和隐私权。这两个案子若想要在GDPR中寻找答案可能是徒劳的，但这一问题是大数据时代会频繁遭遇的难题，也是GDPR在数据主体权利方面的第一个未决问题。

(二)永久性删除抑或是技术性隔离？

数据技术彻底改变了人类记忆与遗忘的曲线。曾经遗忘是人性的缺陷，为了对抗遗忘，“人类不断尝试用本能、语言、绘画、文本、媒体、介质来记住我们的知识。千百年以来，遗忘始终比记忆更简单，成本也更低”(19)维克托·迈尔-舍恩伯格：《 删除——大数据取舍之道》，23、9页，杭州，浙江人民出版社，2013。。但是，大数据技术使得巨量数据的永久记忆成为可能，遗忘成了例外。人与智能终端共在的在线生活模式决定了几乎所有的生活内容都可以用0和1的数字方式进行记录与还原。“数字技术已经让社会丧失了遗忘的能力，取而代之的则是完善的记忆。”(20)维克托·迈尔-舍恩伯格：《 删除——大数据取舍之道》，23、9页，杭州，浙江人民出版社，2013。然而，对于人而言，有些过去他希望永久被记忆，而有些过去则希望尽快被遗忘，这些希望尽快为他人和社会所遗忘的记忆是那些令他不愉快、痛苦、愤怒、尴尬、羞愧甚至屈辱的事件或任何可能会对当下和未来的生活造成困扰的事件。但是，数字技术无差别地记录和存储着你的信息，人们想记住的和想遗忘的信息都被完整记录、永久保存和经常被处理。记忆的常态化和遗忘成为例外的数据时代彻底颠覆了记忆与遗忘的自然特征。没有人能够预测哪些数据可能会给未来生活投下阴影或成为障碍。在永久记忆成为可能的当下，遗忘从缺陷变成了美德。

GDPR第17条赋予数据主体的删除权(被遗忘权)，就是为了保障个体的数据可以根据数据主体的愿望被保留或删除，该权利将删除数据的主动权赋予数据主体，数据主体可以根据自己的愿望要求数据控制者删除自己想要删除的关涉自身的数据，只要不违背GDPR第17条第3款的规定就可以。这一规定确实在一定程度上尊重了数据主体的自决权和自主性，保护了数据主体的权利。但是，数据的删除意味着破坏了数据的完整性。随着数据主体权利意识的觉醒，若出现大量删除数据的要求则会导致数据的残缺和不完整。大数据的特征是“全样本”，残缺的数据可能造成计算结果的偏差，依赖大数据进行决策的主体则可能做出错误的判断与选择，造成不可预测的行动后果。大数据时代人们的行动对算法和数据的依赖决定了数据的不完整有着不可预知的风险。

更重要的是，数据的价值并不仅仅限于特定的用途，它可以为了同一目的而被多次使用，也可以用于其他目的。舍恩伯格说：“数据就像一个神奇的钻石矿，当它的首要价值被发掘后仍能不断给予，它的真实价值就像漂浮在海洋中的冰山，第一眼只能看到冰山的一角，而绝大部分都隐藏在表面之下。”(21)维克托·迈尔-舍恩伯格：《 大数据时代》，127页，杭州，浙江人民出版社，2013。如谷歌公司就曾在2008年利用检索的词条获得了甲型H1NI流感爆发的非常有价值的数据信息。若大量的数据被删除，数据的价值就会打折扣。GDPR第17条第1款(a)规定，若个人数据对于实现其被收集和处理的相关目的不再必要，控制者有责任及时删除个人数据。这意味着GDPR只允许将被收集的个人数据用于特定目的，目的实现就必须删除，这必然会阻碍数据其他潜在价值的实现。被收集的数据可以在哪些方面有价值，数据的相关性信息并不会向拥有者全部打开，而是一个逐步“敞现”的过程，数据的删除则会阻抑其价值的“敞现”。

被遗忘权的实践首先在具体操作上比较困难，其次也不符合大数据可再利用和价值多维的特征。美国、日本等国所主张的对数据进行“匿名化”“模糊化”的技术处理以限制数据的用户识别是一个可以考虑的替代性策略。但是，《白皮书》告诉我们：“对数据进行加密、删除独特标识符、打乱数据使其无法识别个人，或者在其个人资料的控制上给予使用者更多的权限，是目前采用的几种技术解决方案。但是，有目的的模糊化处理可能使数据丧失其实用性与确保其出处及相应责任的能力。”(22)Big Data: Seizing Opportunities,Preserving Values，https://wenku.baidu.com/view/28e5cd60453610661fd9f413.html,2020-10-20.实际上，数据整合技术仍然可以把经过模糊化处理的碎片化的链接复原，并重新确定相应的个人或设备信息。所以，模糊化或匿名化对于数据主体权利也只是一种有限的保护。采用技术性隔离以祛除数据的可获得性，同时保持数据的完整性，也许是另一条可以考虑的路径。一旦数据被技术性隔离，则无法在互联网上被直接获取，祛除了其公共性。当公共利益、科学研究或者法律要求等需要使用且使用具有正当性和必要性时，数据控制者或第三方可以通过申请、评估且经由数据主体同意后可重新利用，这样，既可以保护数据主体的信息不被轻易地公开获取，有效保护了数据主体的隐私权，又不会妨碍数据的完整性和重复利用。这是GDPR在数据主体权利方面第二个需要进一步考虑的未决问题。

(三)原生数据的保护与衍生数据的无为

GDPR所指称的“个人数据”，是指“任何已识别或可识别的与自然人(数据主体)相关的信息”，这些信息包括姓名、身份、地址、网上标识或者自然人所特有的一项或多项的身体性、生理性、遗传性、精神性、经济性、文化性或社会性身份等。数据控制者和处理者可以利用这些数据根据特定目的进行运算和挖掘，然后输出结果。我们将处理前的数据称为原生数据，将运算和处理后的数据称为衍生数据。GDPR所保护的显然是原生数据，数据主体对原生数据和相关的处理拥有知情权、访问权、反对权、限制处理权、删除权等权利。但我们不能简单地认为掌握了原生数据也就控制了衍生数据。虽然原生数据的保护确实会影响衍生数据的生成，但这种影响是有限的。GDPR第13条第2款(c)点规定：当处理是根据第6(1)条或第9(2)条的(a)点而进行的，数据主体拥有可以随时撤回——这种撤回不会影响撤回之前根据同意而进行处理的合法性——同意的权利。(23)《一般数据保护条例》，参见http://wenku.baidu.com/view/cccdb04615791711cc7931b765ce05087732 757e.html,2018-09-14.这意味着GDPR并不干预撤回之前基于个体数据的处理而生成的衍生数据。即使数据主体删除了原生数据，但衍生数据依然保留在数据系统中，前述的“再识别技术”可以进行数据还原而重新确定相应的数据主体，为其推送个性化的数据服务或为其他个体和组织所利用。GDPR在衍生数据方面并没有做出具体的规定。

个体要获得大数据服务的便利和好处，一般都需要以自身的数据去交换，个体自身的数据为数据的个性化服务提供了标签或索引。智能算法会根据个体数据的特征和类别为其进行信息推送，这种类型化、个性化的信息推送(如广告、新闻、音乐、视频、文章等)会窄化和固化个体的信息接收，强化个体在某一个方面或某一个视角的认知。“如果所谓‘事实’就是满足了‘恰当证据’的事务，而恰当证据的标准又是视角所创立的，那么‘没有独立于视角的真实世界’意味着‘事实’，在一定意义上是视角所制造的。”(24)刘擎：《共享视角的瓦解与后真相政治的困境》，载《探索与争鸣》，2017(04)。信息的个性化服务实际上为数据主体创设了一个特定的个性化视角，虽然满足了个体不为大量无用信息干扰的需求，但事实上限制了个体的信息完整性，形成了衍生信息的“茧房效应”。同类型的信息铺满个体的生命时间和生活空间，若个体没有意识到这一点，则很难突破信息的包裹。但是，如果你主动转换了所关注的信息主题，智能算法又即刻用同类相关信息重新包围你。最终大数据时代的个体生活要么沉溺在一个信息茧房中，要么在不同的信息茧房中辗转，永远不能突围。

可以看出，数据世界的开放性与个体信息获取相对的封闭性之间并不矛盾。数据技术使得每一个体都被包裹在一个信息场中，这决定了个体可能将偏差性的观点当成真理，最终的后果是人与人之间的疏离和孤立，从而撕裂和分离我们共同的生活世界。2016年的美国大选和英国退欧公投就是明证。GDPR虽然规定了数据处理的原则，但并未涉及衍生数据的治理，这些由原生数据派生的数据可能会对主体的自主性和自决权构成伤害。因此，GDPR对数据权利的保护是有限的，并不能充分抵御大数据对人的生活世界的重新建构和对人的道德权利的侵蚀。这是GDPR在数据主体权利方面面临的第三个未决问题。

(四)算法歧视的阴影与公正权利的诉求

大数据的核心价值是预测功能，其具体的工作原理为：“首先使用历史数据(或称训练集)归纳出某个类别(或称之为特征，不管是用分类还是聚类的方法)，然后针对一个新来的对象，按照已知的数据特征，将其归属于‘最像’它的那个类中，如果这个类还有其他已知的特征，那么就预测这个对象也具有这种特征，这样就完成了预测功能。”(25)张玉宏、秦志光、肖乐：《大数据算法的歧视本质》，载《自然辩证法研究》，2017(5)。大数据的本质是人类生活的镜像，归根到底是对人类过往的认知、判断和价值立场的数字化呈现，并将之分析归类，进而从原先离散的数据中抽离出共同的规律，应用于新对象的预测和判断，以之作为对该对象采取进一步行动的依据。“凡是过去，皆为序曲。”大数据会如实再现过去人类在相关问题上的价值立场，公正性的或歧视性的、公正的或偏见的。因此，大数据算法是否能够公正平等地对待数据主体就成为一个必须考虑的问题。

数据和算法所包含的歧视或偏见可能来自两个方面：一是隐藏在数据中的人类自身的歧视或偏见；二是算法程序设计者的初始偏见。数据是对世界的表达与再现，二者之间是异质同构的关系，在人类过去和当下的生活世界中，这样或那样的偏见和歧视一直在场，数据算法会进一步延续和固化这些偏见和歧视。亚马孙的人工智能程序通过学习10年来公司筛选简历的模式来审查应聘者，并给求职者打分，结果导致了“性别歧视”，若求职者被标识为女性，就会被自动降级。Google将年薪20万美元以上的工作岗位推荐给男性的次数是推荐给女性的数倍。2016年微软在Twitter上测试聊天机器人Tay，然后仅不到24小时，这个聊天机器人就开始发布一些严重的“种族歧视”言论。大数据算法是从历史数据中训练而获得数据的特征，一旦整个社会对特定人群存在结构性的歧视或偏见，那么这一倾向就会反映到数据上，算法会“如实”地归纳出这些有偏性。不仅如此，每一个算法程序设计师都是一个拥有特定视角和立场的个体，他们在设计算法程序的时候会自觉或不自觉地将自己的偏好和立场嵌入算法程序中，或者将市场、资本或权力的逻辑置放其中，从而选择性地过滤数据，抑或赋予特定数据更大或更小的权重，这样也会导致偏差性结果。大数据技术的复杂性已经超出了我们的认知理解能力，大数据的预测、运算和数据库正在演变为无法打开的黑箱，人类的决策和行动又越来越依赖大数据，面对结果的偏差，人类个体的调节能力在逐渐弱化，这都进一步加剧或固化了算法歧视。

然而，这些歧视和偏见并非数据主体应得的。罗尔斯在批判功利主义时指出：“每个人都拥有一种基于正义的不可侵犯性，这种不可侵犯性即使以社会整体利益之名也不能逾越。”(26)约翰·罗尔斯：《正义论》，1页，北京，中国社会科学出版社，2001。德沃金说：“自由主义平等概念支配下的每一位公民都有一种受到平等关心和尊重的权利，这一抽象的权利可以包括两种不同的权利。第一种权利是受到平等对待的权利……第二种权利是作为平等的人受到对待的权利。”(27)罗纳德·德沃金：《认真对待权利》，357-358页，北京，中国大百科全书出版社，1998。公正和平等是个体的德性，更是个体的权利。过去，个体遭遇的不公正和不平等主要来自处于优势或强势地位的人或组织，进入大数据时代，数据和算法则可能会成为新的不公正和不平等之源，这是对数据主体的基本价值和权利的现实挑战。然而，GDPR并没有针对这一问题的具体条款，对该问题进行有效的预警、阻抑和规约，数据主体的公正权利已经并将还会持续遭遇算法歧视或偏见的威胁。这是GDPR在数据主体权利方面的第四个未决问题。

欧盟的数据立法确实在保护数据主体的隐私、尊严和自主等方面进行了有益的探索，在数据主体权利与大数据价值之间明确承诺前者的价值优先性，并且设计了较为可行和完备的措施来保护和尊重数据主体的权利。但大数据的问题和风险是如此复杂和深远，还有待从法律、技术和哲学等多维视角做进一步的研究和探索。

GDPR基于人本主义的立场，在大数据背景下通过法律条例保护数据主体的权利，保护人的尊严、平等与自主等根本性的价值诉求，是数据治理的法律规制路径的典范，为其他国家的数据立法提供了先例和借鉴。但是，GDPR的未决问题也清晰地昭示了这一路径的有限性，它告诉我们，只有进一步完善法律规定，并寻求其他的治理方法与之配合，数据主体的权利才可能得到尊重与保护。中国是互联网大国，在线的网民人数世界第一，数据技术的更新迭代与世界同步甚至在某些领域遥遥领先，欧盟在数据治理方面面临的问题也是中国的问题，对GDPR的研究不能仅限于中国互联网企业如何应对欧盟的新规，更要兴利除弊，以发展出适合中国国情的数据治理模式。