當(dāng)前，實現(xiàn)以企業(yè)數(shù)據(jù)合規(guī)、個人信息保護為重要內(nèi)容的數(shù)據(jù)法治建設(shè)，仍面臨著三個方面的問題與考驗。
技術(shù)層面的安全考驗
數(shù)字經(jīng)濟大放異彩，一方面使數(shù)據(jù)成為重要的戰(zhàn)略資產(chǎn)，另一方面，數(shù)據(jù)的共享開放和交叉使用又為數(shù)據(jù)安全埋下諸多隱患，數(shù)據(jù)非法泄露事件頻頻發(fā)生。從技術(shù)上看，數(shù)據(jù)合規(guī)和個人信息保護正面臨新的考驗?，F(xiàn)有的傳統(tǒng)數(shù)據(jù)安全防護手段逐漸失效，新一代數(shù)據(jù)安全技術(shù)，正在以數(shù)據(jù)為中心，通過身份權(quán)限的識別和行為控制等而展開新一輪技術(shù)創(chuàng)新，有望與現(xiàn)有的傳統(tǒng)數(shù)據(jù)安全市場形成有益互補。
在這一領(lǐng)域，區(qū)塊鏈技術(shù)客觀上適應(yīng)了數(shù)據(jù)合規(guī)與個人信息保護的新要求，在數(shù)據(jù)安全方面發(fā)揮出重要作用。作為互聯(lián)網(wǎng)數(shù)據(jù)記錄、傳播和存儲的一種新方式，它通過共識機制和加密技術(shù)形成了一個去中心化的分布式數(shù)據(jù)庫，并以獨立、可靠、開放、透明、安全、可追溯為其顯著特征，從而實現(xiàn)了互聯(lián)網(wǎng)從信息傳播向價值轉(zhuǎn)移的轉(zhuǎn)變以及多方信息的安全維護。由于區(qū)塊鏈的共識機制適用于不同的應(yīng)用場景，因此在效率和安全之間取得了必要平衡。
問題在于，當(dāng)前區(qū)塊鏈技術(shù)在大規(guī)模應(yīng)用層面仍面臨一些技術(shù)難題，既需要解決機構(gòu)或企業(yè)數(shù)據(jù)隱私安全與共享、驗證之間的矛盾，也需要保證數(shù)據(jù)全程加密情形下的系統(tǒng)高性能運行。雖然市場上的一些區(qū)塊鏈企業(yè)試圖通過哈希函數(shù)算哈希值的方式來保護隱私，但從效果看并不盡如人意，仍存在一定的技術(shù)缺陷。
另外，我國區(qū)塊鏈技術(shù)方面的復(fù)合型人才目前缺口仍然較大，對IT技術(shù)、密碼學(xué)、經(jīng)濟學(xué)、金融學(xué)等專業(yè)背景的綜合化要求越來越高。加快高層次、復(fù)合型區(qū)塊鏈技術(shù)人才的培養(yǎng)已成為當(dāng)務(wù)之急，這也是攻克數(shù)據(jù)合規(guī)和個人信息保護技術(shù)難題的長久之策。
賦權(quán)層面的證成考驗
數(shù)字經(jīng)濟背景下的數(shù)據(jù)價值日益凸顯，如何對數(shù)據(jù)進行合理賦權(quán)，在理論上仍存在不少爭議?，F(xiàn)有立法和理論研究中經(jīng)常將數(shù)據(jù)等同于信息，導(dǎo)致有關(guān)信息的財產(chǎn)權(quán)化討論相當(dāng)熱烈，相比之下，有關(guān)數(shù)據(jù)的權(quán)利屬性問題少有問津。問題是，數(shù)據(jù)并不等同于信息，對數(shù)據(jù)賦權(quán)正面臨諸多窘境，這進一步加劇了數(shù)據(jù)權(quán)的確認(rèn)難度。
通常認(rèn)為，數(shù)據(jù)只是一種信息傳播媒介，其本身沒有獨立的經(jīng)濟價值。數(shù)據(jù)價值實際體現(xiàn)為其所承載的信息所包含的使用價值以及信息流通所帶來的交換價值。數(shù)據(jù)持有人對數(shù)據(jù)的挖掘、整理和利用，可以服務(wù)于自身的商業(yè)決策和精準(zhǔn)投資，因此體現(xiàn)為數(shù)據(jù)持有人的“自用”價值;數(shù)據(jù)作為標(biāo)的物可以用于市場交易，進而實現(xiàn)數(shù)據(jù)的“他用”目的并體現(xiàn)其“他用”價值。對數(shù)據(jù)賦權(quán)的呼聲，說明數(shù)據(jù)已實際成為現(xiàn)實生活中重要的“財產(chǎn)”形態(tài)，需要得到法律的確認(rèn)和保護。
然而，數(shù)據(jù)究竟是不是財產(chǎn)、數(shù)據(jù)能不能成為民法上的客體，理論上仍缺乏足夠的基礎(chǔ)性研究，既有的網(wǎng)絡(luò)數(shù)據(jù)民事裁判實踐傾向于單獨將數(shù)據(jù)進行客體化和財產(chǎn)化處理。有學(xué)者指出，數(shù)據(jù)沒有特定性、獨立性，亦不屬于無形物，不能歸入民事權(quán)利的客體;數(shù)據(jù)無獨立經(jīng)濟價值，其交易性受制于信息的內(nèi)容，且其價值實現(xiàn)依賴于數(shù)據(jù)安全和自我控制保護，因此也不宜將其獨立視為財產(chǎn)。許多學(xué)者從數(shù)據(jù)利益出發(fā)，試圖論證數(shù)據(jù)財產(chǎn)權(quán)的正當(dāng)性，有的甚至已經(jīng)構(gòu)建起數(shù)據(jù)權(quán)譜，但數(shù)據(jù)能否權(quán)利化，需要對數(shù)據(jù)的法律屬性進行科學(xué)提煉和澄清，有待于審慎嚴(yán)密的邏輯證成。也有學(xué)者指出，無論是正向進行演繹論證，還是反向作出假設(shè)推演，數(shù)據(jù)權(quán)利化的證成進路實際上都障礙重重。盡管數(shù)據(jù)已成為現(xiàn)代社會重要的商業(yè)資源，通過互聯(lián)網(wǎng)商業(yè)模式創(chuàng)新能夠產(chǎn)生巨大的經(jīng)濟利益，將數(shù)據(jù)作為重要財產(chǎn)或資源看待有其合理性，但基于數(shù)據(jù)主體不確定、外部性問題以及壟斷性的缺乏，短期內(nèi)數(shù)據(jù)的權(quán)利化恐怕尚難實現(xiàn)，數(shù)據(jù)財產(chǎn)權(quán)問題仍值得斟酌。
當(dāng)然，數(shù)據(jù)的賦權(quán)及其證成困境并不妨礙對信息秩序建立與維護的立法跟進。研究數(shù)據(jù)本身的法律問題是研究互聯(lián)網(wǎng)技術(shù)背景下信息利用和保護問題的本源所在，對網(wǎng)絡(luò)信息的法律規(guī)制依賴于數(shù)據(jù)基礎(chǔ)秩序的建立和數(shù)據(jù)操作行為的規(guī)范，這顯然不能寄希望于網(wǎng)絡(luò)平臺或服務(wù)商的自行決定，需要國家立法對數(shù)據(jù)的采集、儲存、利用、流動等作出統(tǒng)一規(guī)定，以此獲得一個通行的數(shù)據(jù)使用和分享規(guī)則。
規(guī)制層面的執(zhí)法考驗
數(shù)據(jù)規(guī)制是數(shù)據(jù)合規(guī)和個人信息保護的應(yīng)有之義，與近年來不斷推進的數(shù)據(jù)立法密切聯(lián)系在一起。數(shù)據(jù)規(guī)制是實現(xiàn)數(shù)據(jù)安全的必由之路，既需要維護國內(nèi)外不同市場主體之間的數(shù)據(jù)競爭與合作，也需要在企業(yè)數(shù)據(jù)權(quán)益與個人信息保護之間實現(xiàn)必要的妥協(xié)與平衡。同時，依法保護企業(yè)與個人的數(shù)據(jù)權(quán)益，更需要嚴(yán)厲打擊不同類型違法犯罪行為。
在我國，數(shù)據(jù)立法目前已取得可喜進步。繼2000年通過實施《關(guān)于維護互聯(lián)網(wǎng)安全的決定》之后，2012年全國人大常委會再次通過并實施了《關(guān)于加強網(wǎng)絡(luò)信息保護的決定》，從而確立了個人信息收集、使用的基本規(guī)則及網(wǎng)絡(luò)服務(wù)提供者保護個人信息安全的義務(wù)等基本規(guī)范。2013年《消費者權(quán)益保護法》修改時，在第十四條中新增加了個人信息依法受到保護的權(quán)利，同時在第二十九條中明確了經(jīng)營者收集、使用消費者個人信息時的法定義務(wù)，明確了合法、正當(dāng)、必要原則，經(jīng)營者需要明示收集使用的目的、方式和范圍等，也強調(diào)了經(jīng)營者的保密義務(wù)。2016年《網(wǎng)絡(luò)安全法》的頒布，進一步充實完善了收集、使用個人信息的法律規(guī)則，細化了網(wǎng)絡(luò)運營者保護個人信息安全的義務(wù)與責(zé)任，專章規(guī)定了網(wǎng)絡(luò)運行安全、網(wǎng)絡(luò)信息安全以及網(wǎng)絡(luò)安全支持與促進等內(nèi)容。2017年頒行的《民法總則》，則在第一百一十一條中將個人信息受到法律保護作為一項重要民事權(quán)利予以規(guī)定，強調(diào)任何組織和個人需要獲取他人個人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。2018年《電子商務(wù)法》的頒布，再次將個人信息保護擺在重要位置，明確規(guī)定電子商務(wù)經(jīng)營者收集、使用其用戶的個人信息，應(yīng)當(dāng)遵守法律、行政法規(guī)有關(guān)個人信息保護的規(guī)定，并明示用戶信息查詢、更正、刪除以及用戶注銷的方式、程序，不得對用戶設(shè)置不合理條件。在刑法領(lǐng)域，2009年、2015年通過的刑法修正案(七)和修正案(九)，專門增加了出售或者非法提供、竊取或者非法獲取公民個人信息的犯罪及刑罰。
此外，其它數(shù)據(jù)立法成果還有不少，主要表現(xiàn)為行政法規(guī)、部門規(guī)章以及行業(yè)自律規(guī)定等形式。以2016年《數(shù)據(jù)流通行業(yè)自律公約》為例，由中國聯(lián)通、中國電信、阿里巴巴、京東等聯(lián)合發(fā)布的這一自律公約，重點從數(shù)據(jù)權(quán)益、數(shù)據(jù)流通和數(shù)據(jù)應(yīng)用三大板塊分別作出規(guī)定，其不但確認(rèn)企業(yè)對其合法、正當(dāng)途徑采集、獲取、生成的數(shù)據(jù)享有合法權(quán)益，而且強調(diào)依法保障用戶在其個人數(shù)據(jù)流通中享有的選擇、獲取、更正、退出、刪除等權(quán)利。
從國際層面看，數(shù)字經(jīng)濟的全球博弈引發(fā)了各國對數(shù)據(jù)立法競爭性與外溢性的普遍思考。就歐盟《通用數(shù)據(jù)保護條例》(General Data Protection Regulation)來說，其實施后所開出的巨額罰單，即在國內(nèi)引發(fā)不少熱議。在這些罰單名字里，除互聯(lián)網(wǎng)企業(yè)外，有關(guān)航空、酒店、醫(yī)療等行業(yè)也赫然在列。該條例確立了個人信息保護方面的一系列權(quán)利內(nèi)容，包括隨時撤回同意權(quán)、知情權(quán)、更正權(quán)、擦除權(quán)(也稱為被遺忘權(quán))、限制權(quán)、攜帶權(quán)、訪問權(quán)等。對此，歐盟還建立了一套嚴(yán)格的執(zhí)法機制，詳細規(guī)定了監(jiān)管機構(gòu)的調(diào)查權(quán)和處罰權(quán)。事實上，歐盟的數(shù)據(jù)保護執(zhí)法距離中國企業(yè)并不遙遠。由于該條例不再堅守屬地原則，而是采用了類似于美國長臂管轄的執(zhí)法模式，將執(zhí)法邊界延伸到了所有收集和處理歐盟個人信息的企業(yè)，因此對中國企業(yè)來說，無論是有意進軍歐洲市場還是與歐洲企業(yè)開展業(yè)務(wù)往來，都應(yīng)當(dāng)盡快開展數(shù)據(jù)合規(guī)工作，把企業(yè)數(shù)據(jù)合規(guī)業(yè)務(wù)與個人信息保護緊密銜接起來。
需要強調(diào)的是，在利益驅(qū)使下，當(dāng)前一些企業(yè)漠視法律，隨意收集、非法獲取、擅自使用甚至泄露、濫用個人信息的現(xiàn)象仍比較突出，嚴(yán)格監(jiān)管、嚴(yán)格執(zhí)法正被各類數(shù)據(jù)主體寄予厚望。這些年來我國已經(jīng)逐步建立起企業(yè)數(shù)據(jù)合規(guī)和個人信息保護的法律規(guī)則體系，其中不乏民法、經(jīng)濟法、行政法、刑法等部門法的深度介入，由此形成了一套具有可操作性的數(shù)據(jù)違法責(zé)任追究機制。
對于企業(yè)而言，數(shù)據(jù)合規(guī)業(yè)務(wù)仍處在探索階段，尚未形成行之有效的成熟的法律服務(wù)體系，但不斷出現(xiàn)的數(shù)據(jù)糾紛與司法判例無疑具有警示和促進作用。只有提高數(shù)據(jù)風(fēng)險防范意識，深刻認(rèn)識數(shù)據(jù)保護的國際立法趨勢，并采取切實有效的數(shù)據(jù)保護措施，平衡好企業(yè)數(shù)據(jù)權(quán)益與個人信息保護的關(guān)系，企業(yè)才能防患于未然，在國內(nèi)外數(shù)據(jù)市場避免陷入各類糾紛與麻煩。
從未來立法趨勢看，本屆全國人大常委會已將制定《個人信息保護法》和《數(shù)據(jù)安全法》列入了立法規(guī)劃的第一類項目，企業(yè)數(shù)據(jù)合規(guī)與個人信息保護仍然期待專門性立法的持續(xù)跟進，為數(shù)據(jù)主體提供更加全面而細致的保護標(biāo)準(zhǔn)，以適應(yīng)數(shù)字經(jīng)濟時代多樣化、批量化的跨境數(shù)據(jù)流動，為世界提供數(shù)據(jù)法治化的“中國智慧”。
