大数据时代个人隐私及隐私权保护

当今世界，数据无处不在。数据在改变人们的生活、给人们带来了极大便利的同时，也给人们的隐私造成极大破坏。本文指出，隐私保护是综合性的问题，需要用户、运营商和监管部门共同协作，从国家法律法规、技术、行业和用户等各个层面来应对大数据环境中出现的安全问题。

当今世界，数据无处不在，并且几乎到了无处不用的地步。数据已经成为我们日常生活的重要组成部分。我们每个人每天都在生产着诸多数据，同时我们的很多数据也在被利用。数据在改变着我们的生活，数据也在改善着我们的生活水平，给我们带来了极大的便利。数据已经是名副其实的资产，是重要的生产要素，与资本、劳动力、土地、技术等一并列为重要的生存要素。但另一方面，数据在给我们带来极大便利的同时，也给我们的隐私造成极大破坏，高度信息化使得个人私密信息泄露风险增加，精准诈骗、广告骚扰等现象屡见不鲜。在当前的大数据时代，个人隐私及隐私权保护非常重要，必须得到足够重视。

隐私保护的复杂性

隐私保护极其复杂，尤其是在大数据时代，隐私的泄露很容易通过数据的泄露或者泄密来实现。数据本身又具有多样性，譬如数据的种类和类型。在大数据时代，数据的概念已经发生了很大变化，定义变得非常广泛，不再是早年的数据定义范畴。在传统范畴中，我们平常所说的数据是指通过科学实验、科学检验和统计方法处理所获得，以及那些可以用于科学研究、技术设计、查证和决策等的数值，这是非常古老的数据定义，也是我们原来一直接受的数据定义。但随着计算机的发展和进步，在计算机科学中，数据又有了新的定义，数据通常被定义为所有能够被输入计算机并且能够被计算机程序处理的符号和所有介质的总称。这个定义和今天我们生活中所指的数据比较一致。通俗来讲，数据就是能够被人或者机器识别并且有意义的符号，表现形式包括所有的语音、文字、流媒体和各种有意义的符号等。所以，数据种类繁多、形式多样。但在今天的数据科学中，数据的三性却是非常清晰的，即数据的及时性、完整性和准确性。这三性在隐私保护中都必须充分考虑。

在明确数据的定义和性质之后，还要对什么是隐私以及哪些是需要保护的隐私有一个清晰的定义。在此之后，我们需要面对的就是如何保护隐私的问题，这里就要涉及法律法规和技术。这里首先要解决的问题是如何界定隐私破坏的问题，破坏的程度和严重性由谁来界定和如何界定等问题。在有了清晰的定义之后，由于隐私保护在法律方面也会涉及比较广泛，因此要有界定清晰的法律法规。除此之外，就是隐私保护的技术路线和实现方法问题。也就是说，我们要用怎样的技术手段和方法去发现和防范对隐私的侵犯。

什么是个人隐私和个人隐私权

首先，什么是个人隐私？个人隐私有各种不同的定义，但普遍是指公民个人生活中不愿为他人（是指在一定的时间和范围以外的人）公开或知悉的秘密，且这一秘密与其他人及社会利益无关。这个定义里有两点非常重要的内涵：一是个人秘密，即不愿意让别人知道的秘密;二是这个秘密与其他人和社会利益无关。如果和社会利益有关，那就不一定算作个人隐私或者说需要保护的个人隐私。判断个人信息是否属于个人隐私的关键在于其本人是否愿意该信息被他人知晓，以及该信息是否与他人及社会利益相关。

其次，什么是个人隐私权？个人隐私权一般来讲是指自然人享有的对其个人且与公共利益无关的个人信息、私人活动和私有领域进行支配的一种人格权，通常可以涵盖人身隐私、通信隐私、场所隐私、信息隐私四个方面的内容。关键是支配的人格权，也就是说，隐私者所拥有的一种权利，他人原则上不能侵犯。

个人隐私权被侵犯的现状

目前，隐私权被侵犯的现象实际上是非常严重的。我们经常会收到各种各样的骚扰电话，这是由于我们很多本应该被保护的信息被泄露、被出賣或者被交易所致。有些是因为数据安全的问题被泄露，收集了他人数据的机构由于管理漏洞或者管理不当，数据被别人窃取;有些是数据被收集后，收集者缺乏管理和保护数据的意识，导致数据的流失或者被滥用;还有的是数据收集者为了谋取不法利益而出卖了他们收集的数据给第三方。凡此种种，各种案例都极为普遍。

除了上述非常普遍的通过电话、短信、微信和电邮等骚扰之外，侵犯隐私权的行为还包括：未经公民许可，公开其姓名、肖像、住址和电话号码;非法侵入、搜查他人住宅;非法跟踪他人，私拍他人私生活;非法刺探他人财产状况;私拆他人信件;调查、刺探他人社会关系并非法公之于众;泄露公民的个人材料或公诸于众或扩大公开范围;收集公民不愿向社会公开的纯属个人的情况等等侵权行为。这些都属于侵犯他人隐私权利的行为。

对隐私权的侵犯往往和数据泄露相关。近几年来，国内外数据泄露的事件非常多，也非常严重。例如，2020年6月，广东省侦破了一宗特大公民个人信息泄露案件，此案涉及10亿条个人信息遭泄露;2020年5月，泰国最大的移动运营商泄露了83亿条用户数据记录;2020年2月，雅诗兰黛因不安全服务器泄露了4.4亿用户敏感信息;2019年12月，美国短信服务商TrueDialog数据库暴露10亿条数据遭泄露，以及全球最著名的信息泄露事件——脸书（Facebook）5000万用户的信息泄露事件。这些事件已经引起全世界认识到数据保护的重要性，进而也清楚地认识到隐私的重要性和对于隐私保护的重视，因为数据一旦泄密，隐私就无从谈起。

那么，哪些场合和场景最容易泄露我们的个人隐私？常见的场景包括中介机构、社交媒体软件、黑客窃取、淘汰的旧手机、旧电脑、快递单和包裹皮、不靠谱的购物网站、有奖活动等，都会导致我们的个人隐私信息的泄露。在防止好机构对于我们隐私信息的泄露之外，我们每个人都必须有保护好个人隐私的意识和理念，同时要有很好的保护好自己隐私的行动。要把保护隐私的意识和行动植入我们日常生活的细小环境中，不给利用和破坏隐私者太多的机会。所以，从这个角度上讲，隐私保护不但要做好立法工作，教育和宣传同样非常重要。要防止别人窃取我们的隐私，同时我们也要保护好自己的数据和信息，不给偷窃者任何可乘之机。

在大数据和现代科技时代下，生物信息一样非常重要。目前，指纹、面部以及虹膜识别等个人生物信息，在商业应用、社会治理以及国家安全等领域具有广阔前景。但是，公民个人生物信息具有唯一性和不可变更的特质，一旦泄露就是终身泄露，其敏感程度和利用价值远高于一般信息，存在特殊风险。要完善这些工作和做好隐私的保护工作，目前主要面临三大难点：一是个人隐私信息范围的快速扩展和其多样性使得法律法规问题十分复杂。如何针对纷繁复杂的身份信息、生物信息、活动信息等个人私密信息进行保护，在不同行业领域“对症下药”予以类型化规制，如何在类型化的基础上明确采集主体资格、数据使用范围等，还有待于进一步研究。二是大数据时代下侵害隐私权的行为，多呈现出轻微、分散、隐蔽的特征，受害人自身维权动力和能力不足，无法对侵害人形成有效的制约。三是高新技术行业领域执法专业难度大、取证难度高，在各类行业标准不完善的情况下，执法的主动性和有效性必然受阻。

大数据时代隐私保护的特点及面临的问题

大数据时代，人们习惯在线解决很多问题，信息的收集、存储、传输、开发使用和传播的表现形式都发生了翻天覆地的变化，互联网强大的记忆和存储功能让一切在线行为可以被快速捕捉。今天公民隐私的数字化加剧了隐私的无形化，隐私在不经意之间即被侵犯。大数据时代隐私保护呈现出三大特点：一是数据隐私泄露更常见;二是侵犯隐私手段更隐蔽;三是侵犯隐私后果更严重。

当前，大量数据被收集与分析，很多对个人数据信息的利用行为都伴随着侵犯隐私的风险。一方面，一些信息服务运营商的缺乏自律导致个人隐私泄露;另一方面，碎片化的个人信息被整合后侵犯个人隐私。此外，与公共事件无关的他人隐私受到侵犯。

在大数据时代，个人隐私保护面临各种严峻的问题，总体而言可以分为三大类：

第一，个人隐私权存在被循环利用的风险。数据模式及内容出现了新变化，有些数据在收集时用途并不明显，但是最终能产生新的创新性用途。通过对数据的分析及挖掘，每位用户的行为可能被掌握，这将全面刺激对数据的收集、分析以及循环利用，给个人隐私造成很大威胁。

第二，现有隐私权保护机制不够完善。大数据时代的快速发展，势必出现新的政策和管理需求发展的滞后性，如许可、告知以及匿名性等相关的隐私权保护策略，将不能很好发挥应有效用。

第三，个人隐私行为可预测性。大数据时代所使用的大数据技术，通过数学算法能全面运用大量数据对可能发生的事件进行预测，使日常生活变成可量化的维度，线上与线下的生活极易被预测与跟踪。数据挖掘技术就是专门针对未来预测的方法和技巧，数据挖掘是对基于数据本身简单分析所不能获取信息的延伸，尤其是在对未来的预测方面。传统获取数据中信息的方法主要是通过对已经收集到的数据进行简单的查询，再经过统计分析或者报表展示，由数据库和大数据技术进行多维分析，这些方法都是基于数据本身信息的直观解释。但是，如果要通过数据中的规律对未来进行预估，那就必须用到数据挖掘技术。数据挖掘技术的推广和应用至今已有超过25年的历史， 数据挖掘中的很多算法早已存在而且被应用于商业决策中，真正形成完整的数据挖掘概念和工具（IBM的Intelligent Miner 是最早的商业化数据挖掘工具）开始商业化应用应该在1995年左右，已经非常成熟。通过数据挖掘技术，对未来可以进行很好的预测，这方面的应用也要给予足够的重视和关注。

大数据环境下保护隐私的应对策略

大数据时代的隐私保护，已受到世界各国的高度重视。一方面，随着网络实体和网络应用的爆炸式增长，由于缺少网络可信身份导致的网络诈骗呈逐年上升趋势，中国、欧盟、美国、印度、澳大利亚、新加坡、韩国等都已实施网络可信身份相关的战略，来保护隐私，提高身份信息的安全性。另一方面，美国、欧盟、中国等都出臺了各种法律和法规来加强个人隐私数据的保护。

在美国，2019年5月，美国内华达州发布《内华达州数据隐私法》，该法案涉及互联网隐私，要求互联网网站和在线服务的运营商遵循消费者的指示，不得出售其个人数据。2018年6月，美国加州发布《加州消费者隐私保护法案》，该法案规定企业必须公开与个人信息原定使用场景和用户预期不一致的使用行为，用户有权撤销第三方对个人信息的使用。

在欧盟，2018年5月25日正式实施《通用数据保护条例》（General Data Protection Regulation，简称GDPR）。GDPR被称为“史上最严格的数据保护法”，要求从事个人数据处理的所有自然人和法人都必须遵守其规定，潜在的不合规行为可能导致高额罚金，并导致法院诉讼和名誉损害的后果。根据Enforcement Tracker这一网站的统计，2018年7月至2020年6月期间，可以公开查到的GDPR罚款共有264笔，罚款的数量和规模呈指数型增长。其中大多数罚单都与违反GDPR的合法性原则、有效同意、敏感数据保护和数据泄露有关，英国实施的罚款总额最高，超过3.15亿欧元。

在中国，2020年7月2日发布《中华人民共和国数据安全法（草案）》，面向社会公众征求意见，其主要内容包括：确立数据分级分类管理以及风险评估、监测预警和应急处置等安全管理基本制度;明确开展数据活动的组织、个人承担数据安全保护义务，落实数据安全保护责任;坚持安全与发展并重，规定支持促进数据安全与发展的措施;建立保障政务数据安全和推动政务数据开放的制度措施等。2020年3月6日，国家标准GB/T35273-2020《信息安全技术 个人信息安全规范》正式发布。2019年5月28日，国家互联网信息办公室发布关于《数据安全管理办法（征求意见稿）》，明确了个人信息和重要数据的收集、数据处理使用和安全监督管理的相关标准。所有这些法律法规的公布和出现，都是由于今天大数据的应用已经非常普遍，个人隐私破坏的现象屡见不鲜，保护个人隐私的任务已经刻不容缓。 如前所述，保护隐私需要有相应的法律法规，需要有技术手段和方法，需要全社会对于隐私保护重要性的认知与认可。这些法律法规的公布，为隐私保护的执行奠定了一定的法理依据，但要形成一套完整的法律体系依然任重道远。

目前，现行法律体系滞后表现在采集主体资格无法定、数据权属不清晰、数据使用无边界、行业标准不完善、管理责任不明确、执法监管不到位等多个方面。保护用户个人信息安全是大数据时代可持续发展的重要需求之一，账户被盗、资料丢失、隐私被敲诈等等问题，让我们意识到隐私保护是一个综合性的问题，需要用户、运营商和监管部门共同协作，从国家法律法规、技术、行业和用户等各个层面来应对大数据环境中出现的安全问题。

第一，从法律政策上加强信息保护和管理。在大数据时代，用法律维护公民个人私密信息安全是妥善保护个人隐私的关键所在，须不断出台个人信息保护方面的各种法律法规，对大数据时代如何合理利用个人信息给予界定，以指导和规范利用信息系统处理个人信息的活动。

第二，从技术上保护基础设施和网络安全。大数据时代下的社交网络数据的存储需要大规模基础设施的支撑，由于大量的数据汇集在一起，敏感数据集中起来会带来攻击效益的提高，极易成为黑客们攻击的目标，基础设施被攻击的风险显著提高，因而托管数据的云的安全非常重要。除此之外，还要开发相应的反数据挖掘技术手段。

第三，从管理上加强運营公司的监控力度。社交网络运营商应该杜绝公司内部人员对用户数据的非正当访问，对外限制第三方公司对平台内数据的访问及相应的授权公司能够访问的数据对象范围，来加强数据的可控性。

第四，从认识上提高用户的隐私保护意识。要让大众数据有价值，并能意识到数据管理不善可能带来的危害，提高自身的数据保护意识。

第五，从政务数据开放上加强数据安全核心能力建设。可以依据数据分发体系的搭建、数据安全技术应用、法律协议保障以及服务对象信息安全能力测评四个方面进行。

一是依据开放对象搭建分类分级的数据分发体系。政务及公共数据开放的对象比较广泛，既有上级单位，也有同级政府及企事业单位，甚至可能面向个人，这些对象拥有的权限、需求及数据保密能力差异较大。考虑到政务数据开放大部分单向开放的情况，可以根据不同类型对象的权限及保密能力等要素进行分类，进而搭建面向不同对象服务的数据分级分发体系。在原始数据平台向各级对象数据服务平台分发数据时，根据既定规则进行数据脱敏的处理，确保特定分发对象只能访问到特定的分发平台数据，从而建立一个以原始数据源为核心的树状数据服务平台。

二是采用加密及脱敏等数据安全技术。依赖上述分级分类的数据分发平台，根据需要配置既定的加密及脱敏规则，在数据从原始数据源分发到前端数据服务平台的过程中，对数据库关键字段或文档中关键敏感信息（例如身份证及银行卡号等）进行自动识别并加密或脱敏处理，确保个人隐私信息或涉密信息不会被滥用。

三是通过法律协议明确服务对象的数据安全保护义务。数据开放单位，必须邀请专业法律顾问单位，结合数据的情况，针对不同的服务对象签订明确的数据保密义务协议，一方面提升数据服务对象的安全保密意识，另一方面也明确双方权责。

四是对服务对象数据安全防护能力进行测评。政务或公共数据开放单位，要通过第三方测评机构，建立针对服务对象的数据安全防护能力测评机制，对于没有达到相应防护能力的机构，应该要求其进行整改，从而降低数据被滥用或隐私泄密的风险。

我的数据我做主，未来可期

做好隐私保护是一项非常艰巨的任务，任重而道远。相信随着信息技术的发展，相关法律法规的不断完善，在监管部门、运营商等共同协作和坚持不懈的努力下，不久的将来我们的隐私可以得到充分的保护，在数据的收集和应用方面，真正能够做到“我的数据我做主”。

“我的数据我做主”是一个理想状态，包括从数据的收集、数据的存储、数据的传输，到数据的使用和数据的销毁等，都有数据相关者的参与和法律法规的保护。除此之外，在数据的使用过程中，如果有了收益，数据的产生者也应该有分享数据所带来的红利或者效益分成的权利。这个在很大程度上就改变了今天数据使用过程中利益的分配方式和路径。当前，数据所产生的效益往往都被数据收集者和数据整理者所拥有。数据收集者或者数据整理者并不一定拥有数据的所有权。未来，数据相关者应该得到部分的经济补偿，从数据的收集过程到数据的使用过程，以及在数据使用后的利益分配中，数据相关者都有权利参与，这才是真正的“我的数据我做主”。

（刘世平为吉贝克信息技术（北京）有限公司董事长、中国科学院大学金融科技研究中心主任。本文编辑/谢松燕）