大数据与个人数据保护

中国社会科学院法学研究所研究员　周汉华

各位领导，各位来宾：

大家下午好！

很高兴有机会来参加这个论坛。我发现，阿里已经在很多地方有清晰的认识，而且已经在付出行动了，那么我就根据我对这个问题的认识进行阐述。

从政府管理创新的角度来说，之所以催生了大数据时代的到来，一是得益于数据的发展，使得大数据成为可能。从经济上说，其实是整个平台经济兴起使数据真正成为战略上的资源。在消费和生产两分的情况下，数据的重要性不像在平台之下，因为连接平台双方的基础全部是数据。就像陈大夫所讲的要是医疗，一端连接的是大夫这一端，另一端则是患者。淘宝的平台更是这样，连接的是大量的用户和另外一端1400万家的商家，而真正的连接基础就是数据。还有一个很重要的原因，就是政府监管制度的改变。这方面其实是有痛点的，传统的管理方式是不是适合现在新的平台经济的模式。因为有这个痛点，催生了这个时代的发展。这个可以追溯到撒切尔夫人和里根进行的公共管理的规制改革，通过改革使企业有了更大的自主权、更多创新的动力，从而促进新经济模式的产生。所以在这种技术、经济和政府管理三层因素的推动下，我们到了大数据的时代，如凯利·凯文所说，我们进入了一个大数据生意的时代。

大数据既可以由人的行为产生，也可以用机器、传感器来收集，但是其中最基本、最有价值的是个人的数据，是由我们每天产生的数据。包括刚才提到的医疗患者数据、淘宝天猫用户和商家产生的数据。个人数据的价值在于大数据，如分析流感、分析金融的走势、分析股市的变化、分析整个舆情的变化，这些信息全来自于大量的个体。

大数据的意义在国务院《促进大数据发展行动纲要》中讲得特别清楚，但可能更多涉及数据开放的问题。抛开数据开放我们直接谈大数据的意义，其实它推动着整个治理方式的变化，它在整个国家治理体系中处于一个节点的位置。有数据，对企业来说就有市场；对政府来说，有数据就可以实现管理的创新，能有效地进行监管。所以国务院在行动纲要里强调了大数据的重要性，可以说它是法治政府、创新政府、廉洁政府和服务政府这4个政府建设的基础，它不仅对企业经营模式的创新有影响，而且有利于促进整个社会的治理结构调整。

以上是我对大数据时代背景的简单认识。

第二个想和大家分享的内容是大数据面临哪些主要的法律挑战。大数据的发展面临的挑战非常多，各个方面都面临挑战。这些年我一直都在跟踪研究，通过自己的总结，我认为主要有四个方面比较现实的挑战：

一是数据封闭导致系统治理风险。克强总理在国务院常务会议上专门说过这事，比如说有用的信息80%在政府层面，但这80%的信息并不能流动起来。数据就像货币一样，货币只有让它流动起来，才能产生价值，流动越快，产生的价值越大，要是把它埋在地下，它是没有意义的，数据也是一样。所以数据封闭是现在大数据发展面临的最大问题。尤其是很多创业型公司，虽有一些新的主意想对数据进行一些开发利用，却发现没办法拿到数据，政府数据不开放，就导致大量的数据被闲置。这种闲置导致的负面后果是连锁的，对于企业来说是看到金矿不能去采，对于政府来说导致信息的封锁、信息孤岛，没法实现治理的有效性。举个例子，比如说北京市的汽车号牌摇号就实现了有效的治理。北京每两个月摇一次号，200多万人参与，每个人大概需要准备十多份材料。如果在传统的流程管理下进行摇号的话，得到相应的部门把资料打印出来，然后再报名参与摇号。可以想象一下，这得是一个怎样的状况。但北京用大数据很快就解决了这个问题，现在大家坐在电脑前就可以参加摇号了。所以我们可以设想，如果政府机关之间能够实现数据资源的互联互通和共享，整个政府的治理能力就完全不一样。那数据为什么会被封闭起来呢？因为缺乏法律依据，找谁要谁都不敢给你。

二是数据处理能力导致国家安全的风险。因为在大数据的环境下，数据处理能力的差异决定了数据的价值不同，数据处理能力强的，数据对你来说就非常有利，数据处理能力不强，那就是包袱。就像爱读书的人，家里搁很多书觉得是一件幸福的事，但对于不爱读书的人，要是家里搁了那么多书，他一定会特别的烦躁。在我们的数据处理能力距离发达国家还比较弱的情况下，必然会有安全的担忧。在发达国家数据处理能力比较强的情况下，一旦它通过数据能够预测出他国老百姓心里在想什么、他国宏观经济政策会怎么调整，对于被预测的国家来说就必然面临很大的风险。

所以我们现在讨论数据是不是一定要放在境内，包括讨论《反恐法》的时候有人说数据必须放在境内，虽然最后讨论的结果是去掉了这个限制，但这种对安全的担心，其实还是存在的。但是一旦这种安全观泛化，可能有的人就会说需要设立许可、设立认证，基本业务就变得很难处理。如果每一个业务都要经过安全的审查和认定，业务的创新会变得非常难。这个原因在于法律的基础不牢固，经济没有底。尽管我国现在制定了《反恐法》《网络安全法》《保守国家秘密法》，但是安全的担忧还是不能完全免除。如果这种担忧免除不了，那么大数据的应用将永远带着沉重的翅膀飞不起来。

三是数据鸿沟导致公平获取的风险。在大数据时代，对于企业、政府来说，消除数据鸿沟应该是很重要的目标。大数据时代应该是大家都拥有公平获得数据的机会。如果仔细观察，不光是个人层面有数据的弱势群体，在商业开发的层面上，也面临着数据获取的鸿沟不断加大的问题。就像我刚才说的，小公司就很难获得同等的机会取得数据。在这种情况下，可能会对整个竞争的秩序、对企业的创新产生负面的影响，客观上也会使整个市场产生不正当的竞争。而其实市场这一块是有规则的，但是在实施当中有时候会把规则搁到一边。但政府机关往往在最开始起步的时候，没有长远的眼光，当醒悟过来的时候，已经导致非常严重的负面影响，这就涉及法律怎样公平地执行，以保证市场公平竞争的问题。

第四点是今天的主题。我刚才说我准备的内容可能有点过时，刚才想着说数据保护的重要性，因为我们的数据保护跟国外相比确实有很大差距。比如在国内开会肯定会接到骚扰电话，还有很多的垃圾短信，但是到国外开会是不会这样的。这样会导致杜总刚才说的用户对我们没有信任，如果说用户对你没有信任，那一切新的商业模式开发到最后都是建立在沙滩的基础上。这个问题的核心在于我们缺少法律支撑，即便我们有《治安管理处罚法》等法律，但维权成本非常高，成本和收益严重不平衡，法律在实践中实施起来非常难，所以现在数据的滥用情况比较普遍。我们不能把一个大数据产业发展建立在沙滩上。这就是我说的现在大数据面临的主要挑战。

下面我想跟大家重点谈一下个人数据保护，个人数据保护是四个挑战里面其中的一个，也是现在最能直接感受到的痛点。

第一点，大数据产业发展和个人数据保护的关系。业界有一些朋友对这个问题的认识是不清晰的，有人总是把这两个对立起来。有人就问我说如果要搞个人数据保护法，那不就是我们产业发展违法了吗？建议我们能不能晚一点做，或者是最好别做，持有这种观点的人还很多。比如欧盟4月份刚刚通过的地方数据保护条例，有人自觉不自觉地就要讽刺挖苦几句，说欧盟跟美国怎么比，欧盟啥都没有。其实世界上生活质量最高的国家都在欧洲。所以当我们在评价欧洲和美国的时候，可能真的要特别小心，不能用站着说话不腰疼的态度。在这个问题上，还是需要有一个科学客观的认识。

为什么说个人数据保护是大数据发展的基石呢？首先从发展的角度来说，个人数据保护实际上是在培育用户的安全感和信心。没有安全肯定没有信任，没有信任肯定就不可能有交易。当然，信任的来源是值得讨论的，就是怎么会产生信任呢？信任的来源是多元的，市场机制可以形成信任。所以我在网上购物的时候，毫无疑问我会把我的数据给阿里巴巴，为什么呢？因为我认为阿里巴巴家大业大，肯定能够保护好我的个人数据。但是要来一个阿里东东，你说我会不会给呢？肯定不给，所以说要有市场机制。但是我们国家是市场机制不健全的国家，所以当我们在谈市场机制的时候，一定要考虑我们能跟美国去比市场机制吗？我们是一个什么样的市场机制，美国是一个什么样的市场机制？这就涉及法律发展的一些问题。当市场机制不健全的时候，法律起到的作用就会更加直接、更大。所以法律对于建立安全的信息有很重要的作用。

第二点，现在业界的有些朋友总喜欢把数据保护立法和产业发展这两个关系对立起来，其实这个缺乏实证支持。我在韩国有许多好朋友，这些年也和韩国进行了很多个人数据法律方面的合作。大家知道韩国信息化，包括在社交媒体方面、电子政务方面发展是非常领先的。韩国电子政务长期高居第一、第二，韩国的宽带速度非常快。反观日本，它在整个网络方面、互联网应用方面和韩国是存在差距的。有人说个人信息保护越强的产业发展越糟，但韩国却给了一个反例，韩国有个人信息保护委员会，有个人信息保护法，还有个人信息保护法学会。在中国找10个研究个人信息保护法的都不容易，但是韩国一抓一大把。日本刚刚设立个人信息保护机构，但是因为长期没有一个统一的执法机构，跟韩国的发展是没法比的。所以说日本在这个层面上难以说像当年它在电子厂那样独领风骚。

再看中国和美国。我们经常讲美国人不保护个人信息，这是只知其一，不知其二。美国在联邦政府层面是没有一部单一的个人信息保护法，你去跟美国教授聊的时候，他也会跟你说我们不如欧盟，因为我们信息滥用的情况比较多。但这是和欧盟比，你如果再了解一下美国各州的法律，有40来个州现在都制定了个人信息泄露通知的法律，要求非常严。一旦发生一起个人信息泄露事件，要求必须通知到数据主体，而且是写文件通知。所以当我们在讲美国人不保护这个的时候，说美国之所以发展就因为美国是冒险家的乐园，想干吗干吗的时候，真的得问一下，真的是这样吗？跟美国比，我们肯定更单一化，没有规则。我们有BAT，但我们看一下真正在互联网产业创新方面，美国现在在人工智能、虚拟现实、无人驾驶等这些领域的创新和发展，我们是无法比拟的。

再看印度。印度到今天都没有个人信息保护。你觉得印度发展了吗？所以阿里到印度去很厉害，小米去也很厉害。因为印度没有个人信息保护法，按我们的推理不是发展得很快吗？但其实不是那么回事，我们看一下欧盟你就知道，欧盟通过一般个人数据保护条例，其实是把这个条例本身当作推动整个产业发展、推动经济发展的抓手。它并没有说要通过这个史上最严格的条例来阻碍经济发展，就像克林顿当总统的时候说的一样：“其实所有的政治家都知道，只有经济是最重要的”。虽然推动个人信息保护节省的成本有不同的数字，但是到2020年，欧盟居民的个人数据的市场价值能达到1万亿欧元，这就是一个金矿，它建立这个规则不是要把这个富矿送给美国人的。而且大家如果注意到欧盟数据保护条例里很重要的一条，就是数据可携。原来我们是电话号码可携，号码可携是打破运营商垄断地位最有效的手段，当然经过试点后发现这个效果不太好，其中有各种原因。但是这个数据可携我们专门交流过，这个会是一个革命性的工作，就是在市场当中放一条鲶鱼进来，打破现在的整个结构。因为网络经济的外部性决定了新进入者很难撼动它的地位，数据可携进来之后，新的商业模式、新的技术，就能迅速地把这些相关的个人数据带走。你想想看，每个人在花了那么多钱建立起来的阿里信用，就是阿里最核心的资产。可是通过数据可携，一旦我把它转到京东去，或者“京西”去，这就是冲击，这就是竞争，这就是带来大数据发展的重大机会。

第三点，由于我们缺乏有效的法律保护，所以现在对于我们互联网公司来说失去了很多机会。为什么？我刚才讲了，大量的社会资源被闲置，导致我们数据的封闭和巨大的社会资源浪费。如果我们能把数据保护起来，让大家有信心，你能开发到的金矿就会比现在多得多。如果80%的政府数据能开放出来，你就能进行新的商业模式创新。

所以真正解决的方案是什么？我想就是迎接挑战，实现多赢。

一是要系统构建，全面规划。我们现在应该要在推进数据开放、个人数据保护、公平使用、国家安全等方面明确相关的规则，做到有法可依。

二是从事该行业的业界同事，更应该成为制定个人信息保护法的推动者、倡导者，否则以后会面临众多的立法碎片化的现象，每个部委、每个地方给你弄一个紧箍咒。只有这个规则确立之后，你才能避免在不同的行业、不同的领域、不同的地方，被反复地揉搓。

三是要调动地方的积极性，通过多种手段，形成一个竞争的格局。就是把底线确立好之后，推动地方竞争。BAT也好，其他新的市场进入者也好，都可以进行竞争，免除了后顾之忧，但是底线必须要守住。

四是企业其实应该实现数据处理过程透明，而且主动采取保护措施。多宣传，宣传之后老百姓对你有信心，有信心之后，你就得到永续发展的基因。

五是保证用户享有真正的知情权和选择权，给用户一个选择权。

六是通过技术手段实现个人数据保护。哪怕监控一万个环节，没有一个人看到，这就是技术手段，技术力量的强大，技术做得越好，法律的规制就越加柔性，避免过于一刀切导致的负面后果。

当然，最后搞法律的还得王婆卖瓜，法律的威信力和可执行性同样重要。得有威慑才会让企业主动采取第六个措施，另外一个方面还要保证这个法律有可执行性，避免机械的、一刀切的、没有可执行性的一些法律。因为法律没有执行性的话就保护不了数据，而且企业也没法发展，如果这样的话，就是最愚蠢的法律。这个风险其实也是存在的，我们国家其他领域有很多法律弄出来之后，既执行不了，效果又很差，结果还产生了各式各样的负面影响。所以在这个问题上需要凝聚各界的力量。

谢谢大家！