近日,脸书(Facebook)泄露5000万用户信息的丑闻曝出之后,迅速霸占各大媒体头条。脸书数据泄露事件虽远在大洋彼岸,其实却影响着互联网时代我们每个人的切身利益。这其中关键词就是“个人信息保护”。

泄露的数据:个人信息是最有价值的商品

人类已经进入数据时代,人工智能、机器学习、分享经济、个性化定制或服务等技术和商业模式的创新无不建立在数据资源基础上。大数据正催生商业新模式“信誉经济”,个人信息数据成为比金钱价值更高的资产。一方面,个人信息成为企业最具价值商业资源,无法抓取、分析和最大化利用个人信息,就无法分得时代变革的利益蛋糕;另一方面,我们比以往任何时候都需要注意维护自身的数字信誉,个人信息被分析和预测,构成用人单位是否聘用、房主是否租房、银行是否贷款、保险公司是否作保的决定性因素。

此外,获得你的个人数据就能无声无息控制你的大脑,这似乎有些危言耸听,但当你足够多的数据被收集、合并、归纳之后,数据的确可以做到。国际网络安全专家施奈尔(Bruce Schneier)在《隐形帝国》中写道:“脸书只是根据按赞的动作,就可以推测一个人的种族、个性、性向、政治意识形态、感情状态和药物使用情形……通过数据,用户被画像”。而现代心理学研究发现,人们的行为多是基于情绪而不是理性思考,人的情绪可能被难以察觉的手段影响,进而影响其行为。英国脱欧公投和2016年美国大选就是最好的例子,选民的负面情绪被调动起来,直接驱动行为。

数据安全关乎你我:国内平台存隐患

虽然我们没有脸书,但我们有微博、微信等社交软件,有支付宝、淘宝、滴滴、美团等生活APP,第三方应用也可以轻易获取社交账号的用户名、头像等信息。此外,如今我们使用的智能硬件产品,从智能手表、网络摄像头到智能家居设备等等,都在无时无刻采集我们的个人信息数据。如手机号、性别、爱好,甚至身份证号、家庭地址等信息,组成用户大数据。

企业是如何保护用户信息的呢?收集的信息有没有超越法定范围?收集和处理用户信息经过用户授权了吗?事实上,国内平台也存在类似个人信息安全隐患。

个人与服务商之间的信息不对称。作为线上服务的使用者个人,即便有用户隐私条款的存在,多数的用户仍然并不了解自己被采集了什么样的信息,被追踪了哪些数据。用户隐私条款中冗长的文字、专业的术语,都会给普通用户的精准理解造成困难。用户条款中夹杂的“可能”“潜在”等词汇也模糊了许多概念。用户数据的使用状况、数据分析、挖掘目标和最终数据消费者,更是不得而知。即便一些用户较为谨慎,在选择应用服务的时候会考虑“数据泄露”带来的影响,但他们能够避开的可能只是一些声誉差的、已经发生过数据泄露的企业。通常情况下,规模较大的企业仍然能够获得多数人的信任和青睐。

事实上,过去几年中,大企业多次曝出大大小小的数据泄露事件。如互联网巨头雅虎(Yahoo)数据泄露:10亿账号的用户姓名、生日、邮箱、地址、密码、电话、安全问题和答案全被泄露;美国三大信贷之一艾克飞(Equifax)数据泄露:超过1.43亿的美国用户数据泄露,20.9万用户信用卡号,以及部分英国和加拿大用户信息泄露;移动出行Uber数据泄露:5700万乘客用户信息泄露,5万名司机信息泄露。

大数据技术的发展混淆隐私边界。如今企业数据挖掘技术的演进、机器学习和深度学习算法的发展,都让数据利用效率和程度显著提升。数据科学和信息技术的发展,使得隐私信息的界定正在变得不严格。如公开在社交网站及其他角落的相片不存在隐私问题,但对于人脸图像数据的分析、存储和使用,隐私权问题就面临了挑战。巨大的数据集之下,即便个人提供部分数据字段,也可能被运用技术对个人的情况进行推断、分类甚至“定价”和“特殊对待”。

数据分析机器可读,人工不可读。如果企业合法合理地利用这些大数据,可以不断优化产品与服务,给用户带来更加优质的产品体验与服务。但如果信息被盗窃,则可能给用户带来财产损失,甚至招来人身伤害等。那么,如何把握数据分析和用户隐私之间的平衡?如何去客观地理解用户隐私?可以说,用户隐私的红线是:用户的数据分析是机器可读但是人工不可读的。

例如,在做用户的垃圾邮件过滤时,需要对每封邮件抽取特征,其中包括发件人、发件时间以及对于邮件正文内容的结构化抽取,然后通过分类算法对邮件进行分类。但是要注意的是,这个过程,对“人”是不可见的。企业会对几千万的数据进行机器处理,处理的是宏观上的“大数据”;但如果是通过人扫描数据库,然后提取出邮件记录并且去做人眼识别,那么这一行为是侵犯用户隐私的。

再者,是否侵犯用户隐私的一个隐含区分点是“侵犯隐私”之后做了什么?例如企业对搜索记录进行数据分析后为用户推荐了更好的结果,我们说这并不是侵犯数据隐私;但是如果对搜索结果进行分析后,将用户的资料提供给了某医院,那么用户隐私就被侵犯了。一言结之,是否侵犯隐私一定程度上关联与后续的操作是否侵犯到了用户切身的利益。

最后,是否侵犯隐私的一个标准在于最终暴露的是用户的什么信息。数据管理平台行业提供应用程序编程接口使得数据处理可以进行更加精准的广告投放,但提供什么信息成为关键。如果提供的是用户的消费记录,就是侵犯隐私的,如果提供的是通过数据挖掘得到的收入水平,那么也许是不侵犯隐私的。

法律监管需完善,谁有权享有用户信息?

既要保持数据的自由流动性,又要维护每个主体在数据上的权益,这是一个空前的法律难题。因为无论以有形物为基础财产权,还是以无形物为基础财产权体系,均难以解决数据利用秩序问题。

传统有形物的财产所有权不适用于数据。数据使用具有非排他性,一个占有使用并不妨害他人占有使用。此外,数据使用具有非消耗性,数据使用不消耗本体,反而丰富数据,使数据具有新含义或增值。因而数据天然地不适合于所有权体系,设置数据排他支配权以及传统财产权并不适用于大数据。

以无形物为基础财产权体系也不适用数据。在《民法总则》制定过程中,数据信息曾被纳入知识产权的客体,试图设立类似知识产权的专有权,但最终出台的《民法总则》并没有将数据信息列为知识产权的客体。因为数据本身没有价值,只是事实记录,实现价值需要一系列筛选、分类、处理、合并,形成数据产品,通过交易或服务,实现数据价值。此外,知识产权也没有建立对创新成果(思想或信息)本身的支配权,而是将思想或信息置于公共领域,仅赋予权利人一定期间的商业化使用创新成果的专有权。也就是说,即使在知识产权体系下,仍坚持信息(思想)公开和自由原则,数据及其所承载的科学文化成果仍被认为是社会活动的公共要素,公开置于公共领域。数据赋权不应当赋予数据持有者对数据的所有权、支配权,不应当使信息私权化或成为私权客体。因为这样会妨碍科学文化进步,妨碍社会正常交往和运行。

可见,创制和维护数据法律秩序是当前各国急需解决的问题。近年来,我国已在用户信息保护方面推出了一系列的法律法规,包括全国人大常委会2012年通过的《关于加强网络信息保护的决定》,工信部2013年发布的《电信和互联网用户个人信息保护规定》,以及2017年6月实施的《网络安全法》。今年5月1日将实施的《信息安全技术个人信息安全规范》则进一步在个人信息收集、保存、使用、委托处理、共享、转让、公开披露、个人信息安全事件处置等方面提出了多条具体措施,并提供了用户明示同意和隐私政策的模板。虽然该规范仅为推荐性国家标准,不具有强制力,但仍值得相关企业认真参考和借鉴。

现行法律法规对于用户信息的保护制定了四大原则:经同意:收集用户信息应当向用户明示并取得用户同意;必要性:收集、使用用户个人信息,应当遵循合法、正当、必要的原则,不得收集与其服务无关的个人信息;披露:应当公开收集、使用规则,并明示收集、使用信息的目的、方式和范围;安全措施:应当采取必要措施,确保信息安全,防止信息泄露、丢失。

国内社交平台应从脸书事件中学会保护用户信息

脸书隐私泄露事件,不应该仅作为一个史册中的污点,更应该成为国内同类信息服务企业的“前车之鉴”。

首先,应与合作方合法“共享”用户个人信息。在本次事件中,用户个人信息在脸书平台上是被合法收集的,但是,第三方应用“这是你的数字化生活”(this is your digital life)并没有按照脸书的平台规则,合法使用用户个人信息,而是擅自窃取4000多万用户信息,并将用户个人信息数据提供给了剑桥咨询供研究。剑桥咨询则无疑是在未获得用户同意及关于转让授权的前提下,非法获取了该等用户个人信息数据。

在中国,用户个人信息数据也遵循“共享”规则,也就是中国法规体系下的“间接获取”用户个人数据信息。按照《信息安全技术个人信息安全规范》要求:作为“间接获取”用户个人数据信息的接收方,应当要求个人信息提供方说明个人信息来源,并对其个人信息来源的合法性进行确认;应了解个人信息提供方已获得的个人信息处理的授权同意范围,包括使用目的,个人信息主体是否授权同意转让、共享、公开披露等。如本组织开展业务需进行的个人信息处理活动超出该授权同意范围,应征得个人信息主体的明示同意。

数据接收方接收的数据是否合法,意味着其所接受的数据的价值究竟如何。如果数据来源未得到用户使用授权,则数据可利用价值将大打折扣甚至不得使用,企业因此付出的成本将付之东流,遭受的财产及声誉损失也会无可估量。

其次,应重视“数据画像”合法授权。在本次事件中,第三方应用“这是你的数字化生活”向剑桥咨询提供的用户个人信息数据可以分析出包括用户的行为模式、性格特征、价值观取向、成长经历等特征信息,形成对用户群体的“数据画像”。《欧盟一般数据保护条例》中规定,“数据画像”需要获得用户的同意,并向用户说明具体分析方式及技术手段等。

2018年5月我国即将实施的《个人信息安全规范》,初步明确了“数据画像”的合法授权。企业收集数据画像时,应当将收集、使用用户个人信息的情况写入《隐私政策》。使用时,除目的所必需外,使用个人信息时应消除明确身份指向性,避免精确定位到特定个人。此外,信息收集控制者应向个人信息主体提供申诉方法。

第三,应高度重视“敏感数据”的双重授权保护。本次事件中,剑桥咨询经过分析后的数据可以显示用户的政治倾向,政治倾向无论在哪个国家均属于“敏感信息”。在中国,敏感信息是指“一旦泄露、非法提供或滥用可能危害人身和财产安全,极易导致个人名誉、身心健康受到损害或歧视性待遇的个人信息”。敏感信息未经用户“明确许可”不得收集,且在收集前的告知责任也相当严格,应向个人信息主体告知所提供产品或服务的核心业务功能及所必需收集的个人敏感信息,并明确告知拒绝提供或拒绝同意将带来的影响。当个人信息主体拒绝时,不应以此为理由停止提供核心业务功能,并应保障相应的服务质量。如因加工处理而产生的个人信息属于个人敏感信息的,对按照敏感信息收集和使用的规则,重新获取用户的授权和同意。这是对敏感信息数据的额外保护,也是对企业而言较为严格的要求。而本次事件中,剑桥咨询经过分析后产生的用户敏感信息,既没有获得用户的重新授权,也没有向用户进行任何说明并保障用户的反对权,这种罔顾敏感信息法律地位的盲目做法,实为剑桥之难。

结语

大数据时代的便利已经渗透进了我们生活的每个角落,更低的商品价格、更符合实时需求的产品和社会沟通度,要使用这些服务就会创建个人数据,而通过数据信息就总有办法辨析出个人的身份。除非我们不使用网络,不使用智能化产品。如果用户确实关心自己的隐私状况,不希望泄漏信息还是有一些简单的措施可以采纳,如避免连接公共WiFi,及时在所有设备上进行安全更新;注意所有应用程序的权限设置;斟酌填写真实信息,适当选择备用方式;开启浏览器拒绝跟踪功能,及时清理cookie等。

(作者单位:北京市网信办网络新闻监管中心,编辑郝娟)