大数据时代，应如何保护个人信息？

    大数据对个人信息保护规则带来深远影响

　　云计算让个人信息远离个人终端，用户对于个人信息的控制能力大大降低，个人甚至并不清楚其个人数据的存储位置；移动互联网更让信息收集变得无处不在，且所收集的信息高度个人化，比如通讯录、照片、邮件、APP应用的使用信息等。如果说这两种应用只是从量的层面，加剧了个人信息保护的难度，那么大数据的出现则是从质的层面冲击了个人信息保护制度存在的基础，对个人信息保护规则带来深远影响。

　　大数据带来了“个人信息”的界定困境。个人信息是个人信息保护法中的核心概念。法律适用的最基本前提是所涉及的信息是否为个人信息。如果不是，则不会构成对个人权利的侵害，也无适用法律规范的必要。传统的个人信息保护法对于个人信息的界定，一般以“识别”为核心标准，个人信息是指与个人相关的，能够直接或间接识别特定自然人的信息。“可识别性”是个人信息最为重要的特征，包括直接的可识别以及间接的可识别。尽管这是一个开放式的法律界定，但从个人信息保护法诞生的上世纪70年代看，具有“身份识别性”的信息是较为有限的。比如个人的姓名、家庭住址、电话号码等。对于《95年个人数据保护指令》中提出的个人数据概念，欧盟也对其范围作出了必要的限制，一是强调了数据可识别的可能性（likelihood），二是强调了数据可识别的合理性（reasonableness），一个需要付出不成比例的费用，或者需要克服诸多困难才能识别的信息不构成个人信息保护法上的个人信息。如此界定正是为了避免个人信息保护范围不适当的扩大化。

　　然而互联网技术业务的快速发展，已经将个人信息保护法的适用环境彻底改造。大数据的出现更是进一步模糊了个人信息与非个人信息的边界。如果缺乏其他的数据源，很多信息将保持匿名的状态。但是，在今天的网络新世界，有无数可以利用的数据源。企业、甚至是普通个人都越来越容易获得有关个人的大量信息。此外，软件算法和分析学的发展使得大量数据更易被关联和聚合，大大增强了人们将非个人信息转化为个人信息的能力。获取信息、以及将信息恢复身份属性的成本已经不再像几十年前那样，是一个高不可攀的门槛，相反，随着大数据的蓬勃兴起，这种成本正在急速下降。对于已经去除掉身份特征的姓名，可以通过数据分析，重新恢复数据的身份属性。那么问题来了，如果个人信息保护法固守传统，仅适用于严格界定的“个人信息”，那么大数据环境下的数据利用的安全风险又如何被规制？如果个人信息保护法扩张个人信息的边界，那么又将扩张到何种程度，才能在法律上重新找到保护公民个人权利与促进技术发展之间的新的平衡点？

　　此外，大数据也大大刺激了企业收集信息的动机。大数据的出现使得信息成为战略级资源。今天收集的信息未必在当下就可以被利用，它所蕴含的价值还可以留待未来发掘。在大数据的刺激之下，个人信息保护法中的基本原则–收集信息的限制和必要原则在实践中不断被突破，企业不仅收集实现业务目的所必须的信息，也会收集无关的信息。这也是移动互联网中普遍存在APP超出业务目的、超出范围收集用户个人信息现象的重要原因。并且在云计算技术的支撑下，企业可以更为长久的保存这些信息，以待日后挖掘。这意味着大量的个人信息不仅可能在今天被滥用，在几年甚至几十年后仍然可能被滥用。为提供此类收集行为的合法性，互联网企业的隐私政策也越来越多的采取格式条款方式，对用户的各类信息进行“一揽子”打包，赋予企业进行读取、收集的权利。

　　个人信息保护制度面临变革

　　在各类新技术业务特别是大数据带来的巨大冲击面前，个人信息保护制度将无可避免的面临变革。激进的观点认为：在当前的网络环境下，隐私已经消亡，个人信息保护政策已到了退出历史舞台的时刻。从更远的未来而看，笔者并不否认这种论断的可能性。因为技术本身对于价值观念、法律制度的改造能力总是超乎人们的想象。就比如00后与80后在隐私观念上已经有了显著的变化，更年轻的一代更加积极主动的拥抱网络，将自己的生活状态甚至心情感悟等日常生活的点点滴滴都公布于网络，并从中获得分享乐趣。不可否认，新技术新业务正在以“春雨润物细无声”的方式，默默地影响甚至改造着人们的隐私观念。然而虽然这是一个变革的趋势，但并不意味着当下的我们就可以轻松的丢弃隐私保护这一基本价值。相反，在日益强大的技术能力面前，现实中更多的呼声是如何加强对个人信息的保护，如何对个人信息保护法加以改革，以适应技术变革带来的新挑战和问题。

　　新的思路

　　2014年5月，美国白宫发布了《大数据：抓住机遇，坚守价值》报告。这份报告指出：大数据分析所拥有的潜力，将逐步侵蚀我们长久以来在公民权利保护方面的形成的价值基石。但在挑战面前，人与数据的关系应当扩展，而不是压缩，以抓住这一历史性机遇。一方面，大数据技术能够提高政府的监控能力，提升企业的市场洞察力，但大数据本身也蕴藏着解决信任、隐私、公民权利保护问题等方面的潜力。如果运用得当，大数据将成为推动社会进步的历史性的助推器。如果说上述论断是一个“顶层设计”式的指导方针，那么在这一方针之下，我们还需要更为具体的制度应对策略：

　　提升数据处理活动的透明度。个人数据如何被企业收集、以及在企业之间共享应当对消费者提高透明度。开展大数据分析的企业应当在其网站，设置专门栏目列明参与数据收集和分享的公司名单，介绍其数据活动，并为消费者提供能够更好的控制其信息被收集和使用的方法，例如能够针对特定的市场营销活动选择退出。

　　设计更具有实际意义，更富有效率的用户个人信息保护机制。尽管“知情同意”制度在很多场合下仍然有效，但显然已不能满足大数据应用场景。个人信息保护机制应当朝向更为有意义，更可执行、更与个人相关的方向进行改革。比如要求企业以更加简洁易懂的方式告知用户个人数据利用带来的好处和弊端，而不是仅仅提供一个冗长复杂的隐私政策；要求企业遵循“隐私保护设计”原则，在产品的设计、研发、推广、使用、市场退出的每一个环节考虑用户隐私保护要求，为用户提供数据的全生命周期保护。

　　更加关注数据使用环节的安全风险。当前的个人信息保护法注重于用户在个人信息“收集”环节的控制力。然而在新的网络环境下，随着信息收集的日益普遍，以及信息收集与业务使用之间的紧密依赖关系，事前的控制力相对来说已经不再那么重要。更重要的是用户的信息在被使用的过程中，如何防止被滥用。比如针对大数据应用，企业要分析其相应的安全风险并提出与之匹配的保护措施。此外，“数据泄露通知”制度正在被更广泛的引入立法，也反映了个人信息保护从注重事前知情同意到事后安全保障转换的趋势。

　　加强问责。对于在大数据应用中获益的企业应当加强对其在个人信息保护方面的问责。这种问责不仅可以通过个人信息保护法律本身来追究，还可以通过合同机制进行传导，因为在大数据应用产业链上，收集、处理数据的企业主体会更加繁多，数据的市场化交易也更加频繁，更需要通过合同来约束相关方的数据处理行为。