探索激励相容的个人数据治理之道个人信息保护法的立法方向Word格式.docx
- 文档编号:17153384
- 上传时间:2022-11-28
- 格式:DOCX
- 页数:14
- 大小:37.25KB
探索激励相容的个人数据治理之道个人信息保护法的立法方向Word格式.docx
《探索激励相容的个人数据治理之道个人信息保护法的立法方向Word格式.docx》由会员分享,可在线阅读,更多相关《探索激励相容的个人数据治理之道个人信息保护法的立法方向Word格式.docx(14页珍藏版)》请在冰豆网上搜索。
由于信息不对称,这种命令可能与市场规律脱节,遏制市场主体创新能力与守法诱因;
执法部门权力过大,可能会导致选择性执法或者“执法捕获”等问题。
在全球行政改革浪潮中,传统的命令控制式规制受到广泛批评,激励性监管得到重视,人们发现规则如果能够与被管理者激励相容,会极大降低执法成本,提高合规动力。
因此,法律规则除了命令、禁止以外,还可以发挥引导作用,调动被管理者的守法诱因。
如何设计这种激励相容机制,是规范实施的成败关键。
理论研究与国内外实践发展均表明,政策或者立法如果激励不相容,会形成“管理型”立法,而不是“治理型”立法。
这样制定出来的政策或者法律,实践中难以得到执行,还可能导致执行成本高、规制对象抵触、执行效果差、执行权威受损、运动式执法、选择性执法甚至执行部门造假等连锁问题。
在我们“所制定的法律、法规中,绝大多数事实上没有被当作法看待,没有起到法所应起的作用”,首要根源在于“立法违背科学,或立法技术存在问题,使法不能实行或难以实行”。
我国制定个人信息保护法,不能脱离大的制度背景,有必要从中国改革开放的基本经验和全球行政改革的大趋势中吸取养分,避免或者少走弯路。
在大数据时代,由于数据本身的特性,信息控制者有很强的利用激励而缺乏同等程度的保护激励。
如果法律规则不能因势利导,只是简单施加各种禁止性或者强制性规定,势必因为激励不相容影响有效实施。
随着信息技术发展,数据传输、储存、计算成本快速下降,数据开始成为资源。
大数据不仅具有容量大、类型多、存取速度快等特点,还可以通过分析技术“使数字信息成为知识,支持智能决策”,产生新价值。
这样,大数据不仅给信息控制者带来巨大经济收益,也给消费者(包括信息主体)带来免费使用、高品质服务、快速迭代创新等各种便利。
凯文·
凯利在对未来20年商业科技发展预测的一次讲演中提出,在大数据时代,“所有生意都是数据生意”,“个人数据才是大未来”。
舍恩伯格更明确指出,“大数据的核心就是预测”。
在大数据时代,数据对于信息控制者而言,就是生产要素和行动指引。
信息控制者必然会充分利用大数据揭示的相关性,提前预测信息主体和社会的各种需要,提供精准的定制化产品或服务。
对于国家而言,数据早已成为各国基础性战略资源,大数据发展成为国家战略的一部分。
大数据由人、机器或者传感器产生。
其中,最基本、最有价值的是个人信息,由用户活动产生,“收集和整理个人信息都是获取权力的方式,通常以信息主体为代价”,因此需要在个人信息保护与大数据发展之间实现平衡。
不同于其他生产要素,数据具有公共产品才具有的非排他性、非独占性特点,可以反复使用、共享,这使信息控制者对个人数据保护远不如对其他私有财产保护重视,容易产生各种疏忽现象。
在网络环境下,数据具有随时产生、多点存储、多次开发、跨场景应用、多人经手、跨国界传输、收集与处理分离、生命周期短、孤立数据本身并不产生价值、需要技术解决方案等特点,若全部都加以保护,技术、经济上有很大难度,会产生很高的保护成本。
并且,隐私与隐私之间也需要权衡,在一端加强对隐私的保护,会在另一端产生弱化对其保护的结果。
数据发生泄露的情形非常复杂,个人数据滥用的受害者是信息主体,不是信息控制者。
信息控制者很难有充分的激励与能力保护个人数据,只是被动应付法律要求。
在信息控制者利用激励与保护激励明显失衡的结构下,如果缺乏外部干预与政府监管,势必产生“丛林法则”和对个人信息的肆意滥用,这是各国普遍重视个人信息保护、个人信息保护法成为全球性立法趋势的根本理由。
我国近年来也明显加强了立法与制度建设的步伐,从多方面加强对个人信息的保护力度。
但是,在信息控制者激励失衡的背景下,如果立法缺乏科学性,只是简单施加各种强制性外部要求,忽视信息控制者内在激励机制设计,并不能消除失衡根源。
从概率角度看,利用与保护之间失衡的可能性仍然很大,占四分之三的比例:
外部监管过于严格,抑制大数据开发利用;
缺乏监管或者监管要求普遍不被遵守,大数据利用以牺牲个人信息保护为代价;
监管游移不定,忽左忽右,陷入既没有大数据利用也难以保护个人信息的双输格局。
只有外部要求与内生激励相容,才能够实现大数据利用与个人信息保护协调发展,其概率只有四分之一。
在大数据时代来临之前,个人数据实际处于未被利用的沉睡状态,激励失衡问题并未被激活。
至大数据时代,随着数据价值逐步被认识,信息控制者利用数据的激励越来越强烈,激励失衡现象会愈发突出,法律实施遇到的挑战也会越来越大。
因此,大数据时代的个人信息保护,绝不仅仅是制定个人信息保护法那么简单。
真正的挑战在于,如何通过科学的立法与制度设计,理顺立法要求与信息控制者内在激励之间的关系,使个人信息保护成为信息控制者的内在需要。
这是个人信息保护法制度设计的目标和最终评价标准。
2准确理解欧美个人信息保护法的新发展
欧盟与美国个人信息保护法律路径不同,两种模式的差异是客观的,也是明显的。
但是,国内过去比较欧美个人信息保护法律,普遍缺乏对两种模式实际运行状况以及共性的研究,存在简单的扬美抑欧现象。
不少人认为欧盟国家不重视大数据发展、美国不保护个人隐私,并将制定个人信息保护法与阻碍创新(欧盟模式)画上等号,将不保护隐私与更有利于创新(美国模式)画上等号,人为制造了隐私保护与创新不可兼得的两难局面。
这种贴标签式的研究方法,既限制了比较研究的深度和广度,与现实情况存在很大出入,更改变不了美国经验无法学、欧盟引发的国际立法趋势无法逆转的大格局。
其实,大数据发展与个人信息保护的平衡作为这个时代的最大挑战之一,欧盟与美国分别面临各自的问题,都难言找到了完美的解决方案,对后发国家最重要的是要从欧美的经验与教训中探索个人数据治理的成功之道。
随着大数据时代来临,从实证出发,探讨个人信息保护的有效实施机制,而不仅仅是关注法律规定的差别,已经成为近几年国际上、尤其是美国隐私法律研究的新热点。
不论名称叫新治理、合作规制、合作治理还是叫回应性规制、激励规制等,其背后的机理均在于发现有效的激励机制,调动被管理对象参与治理的积极性,提高执法效果。
最新国际实证比较研究成果表明,欧美两种模式实际上存在某些共同规律可循,而欧盟不同国家之间的差别也比过去想象的要大得多;
不管哪种模式,不论法律多么严格,只有激励相容才会取得预期保护成效,不相容则难以得到执行,甚至会导致既阻碍创新又保护不了个人信息的双输结果。
因此,成败的关键不在于法律规定的模式差别,而在于个人数据治理的制度设计是否科学。
探索中国个人数据治理之道,必须超越欧美两种模式的简单法规范对比,既要看到两种模式的差别,更要从两种模式中吸取有益的经验。
只有这样,才能博采众长,走出一条符合我国国情的个人信息保护法治道路。
2010年,两位美国学者发表《书本上与实践中的隐私》一文,通过对行业公认的首席隐私官的大量访谈,对美国企业过去15年间隐私政策的执行状况首次进行实证研究。
随后,他们扩大研究范围,对四个欧盟国家(德国、法国、英国、西班牙)的企业隐私实践进行研究,大量访谈企业隐私官员、政府官员与学者,并于2015年出版《实践中的隐私——推动美欧企业行为》,其中很多发现让人耳目一新,获得各界广泛关注与好评。
他们的重要结论包括:
(1)美国与英国企业的隐私官员一般从避免给消费者预期造成损害的风险管理角度看待隐私保护,其他三个欧洲大陆国家企业的隐私官员基本从人权角度看待隐私,回避采用风险和消费者损害话语。
(2)尽管在基本观念、实体法律以及执法机构等方面存在很大差异,美国与德国的企业基本以相同的方式对待隐私管理。
两国隐私官员都将隐私保护当作战略问题,需要考虑的远远超出单纯遵守特定的法律规则;
都将隐私当作不断演变、面向未来和依赖语境变化的社会价值,而不仅仅是个人同意与控制;
都有有权并且相对自主的职业隐私官员,能够接触企业高级管理层,参与企业重要决策,并与外部利益相关者密切互动;
活动很多都涉及战略性议题而不纯粹是操作层面的议题,职能远超“合规”要求,因而使企业内部的隐私决策能够与企业的战略决策、核心价值相互整合;
作为企业高级雇员,隐私官员既能够自上而下指挥,也能够直接与董事会沟通;
企业内部都通过分布式网络进行隐私管理,由职业隐私官员和业务单位中经过专门培训的雇员组成执行网络,从产品设计、业务开发的早期阶段就将隐私保护与业务开发紧密相联,实现双向沟通。
(3)美国与德国企业的做法截然不同于法国、西班牙与英国企业的做法。
西班牙与法国的企业很大程度上将隐私职能作为遵守确定的法律命令,哪怕自己怀疑做不到也要严格执行。
英国企业也同样重视法律,但对于执行前景更为乐观。
英国的首席隐私官在企业中的地位比美国、德国的同行要低好几个级别,能够得到的资源和参与高层决策的机会都少得多,无法在企业内部构建有效的分布式执行网络。
西班牙、法国企业的隐私官员大部分都单线归属于合规或者法务部门,主要工作是满足数据登记、使用和报告等要求,隐私保护与产品、业务开发相互脱节,也缺乏执行隐私保护的分布式网络结构。
(4)从法律规则实施有效性方面评价,规则越原则,企业的隐私管理实践越有效,德国与美国属于此类;
规则要求越具体,执行权越集中,企业就越容易只是遵守合规要求,而不是将隐私保护内化为行动,法国、西班牙属于此类。
(5)在变化的环境下,法律规则要促进企业承担更多责任,需要原则性立法和开放式监管,并辅之以能动的监管者和有效的外部利益相关方监督;
搭建跨界、包容的隐私保护共同体,使政府、企业和社会的隐私专业人员能够密切互动,反过来巩固企业隐私官员在公司的地位;
充分曝光隐私保护失败事例,包括数据泄露通知,加强媒体、非政府组织和公众监督,促使企业加大对隐私保护的重视和投入。
两位学者的上述发现与研究结论不仅在一定意义上打破了通常的美国与欧盟两大模式的刻板划分,也深化了对企业内部隐私保护实施机制与个人信息保护法作用机理的认识。
另一项同样基于大量访谈的实证研究发现,荷兰作为欧盟国家,其二十多年的隐私法律实施并不是通常理解的单纯政府监管,而是体现了政府部门与业界的合作治理精神。
荷兰制定隐私保护法律以后,其实施都是先由各个行业协会提出企业行为规范,先后有银行、保险、直接营销等二十多个行业提出了本行业的企业行为规范,以避免政府直接监管导致的信息不对称问题;
然后,各个企业行为规范需要经政府批准后才能实施,以避免纯粹的行业自律机制可能导致的力度不够、运动员与裁判员不分现象。
荷兰实践中的这些做法,正好是美国政府致力于推进隐私法律制度改革的方向,美国有大量的改革计划都与荷兰的经验相似。
这样,通常理解的美国、欧盟两大模式划分,其实掩盖了各国对于合作治理方式的共同探讨。
更值得关注的是,美国致力于学习的荷兰经验,在欧盟《一般数据保护条例》(下称《条例》)中得到了重视,规定了“经批准的行为规范”具有证明跨境个人信息传输合法性的法律效力,这是欧盟《关于个人数据处理及其自由流动的个人保护第95/46/EC号指令》(下称《个人数据保护指令》或《指令》)所缺乏的内容,也是欧盟在推进合作治理方面的一个重大进步。
有学者通过对爱尔兰、美国两个国家行政执法部门2011年对Facebook的执法调查案例比较研究发现,尽管两个国家个人信息保护法律规定差别很大,但由于执法部门都采用了更为有效的回应性规制方法,通过执法协议要求企业持续改进其隐私保护实践,而未采用常规的对抗式处罚方式,因此“使大洋两岸之间的明显差别难以区分”。
这样的友好型处理既能更灵活地适应技术变化带来的规制挑战,符合成本有效原则,也有利于提升真实世界的数据保护实践。
还有学者通过对德国、法国、意大利、英国四个欧盟成员国的隐私保护实证研究,发现四个国家隐私规制的共同趋势是将严格的政府执法、公共压力之下的行业自律和低水平的诉讼机制相结合,称之为“合作法治主义”模式。
这虽然不同于美国以诉讼为主的模式,但其中明显有很多相似的机制,尤其是通过执法威慑和公共压力机制促使企业更多行业自律,实现他律与自律的结合。
即使法国、意大利这样的对于业界参与决策过程一直持敌视态度的国家,也在政策制定过程中纳入更多自律机制。
如果说美国一直在探讨如何构建有效的个人信息保护法律体系,欧盟则已经将制度建设付诸实施。
从《个人数据保护指令》制定到《一般数据保护条例》出台,体现了既保护个人信息决定权利又促进个人信息自由流动的双重价值。
这种双重价值追求,既体现在《指令》《条例》的名称中,也体现在立法结构的整体安排上,更体现在《指令》《条例》的前言、基本原则与具体规定之中。
当然,鉴于《指令》制定之时移动互联网与大数据尚未发展,其侧重点更多偏向个人信息保护;
而《条例》的制定就必须同步考虑大数据发展的实际,为大数据发展提供法律依据,为欧盟数字经济发展留下空间。
国内解读欧盟个人信息保护法律制度,往往只强调其权利保护的一面,看到严格执行的各种要求,忽略了其促进发展的一面和制度设计中的各种平衡追求。
从第三方独立观察的角度解读,尤其与《个人数据保护指令》比较,《一般数据保护条例》在构建多元主体参与合作治理、推动大数据发展方面的考虑,至少体现在如下三个方面:
首先,在加强对个人信息保护的同时,适应大数据时代的现实,在个人信息使用目的限制、数据留存期限等方面,尽量为大数据开发利用开辟可能的路径。
比如,使用目的限制是欧盟法律的一项核心要求,《一般数据保护条例》也规定得非常严格,不允许信息控制者一揽子获得一般性同意。
但是,对《条例》进行详细的分析可以发现,立法者还是故意给数据用于新的目的留下了途径。
对于数据留存,《个人数据保护指令》只规定了两种方式:
一是基于原始收集目的留存;
二是完全匿名之后可以留存。
《条例》增加了一种新的方式,允许基于统计目的,并在符合成员国各自制定的保障措施的条件下留存数据。
另外,《条例》废止了过去很多情况下数据处理者需要向数据保护局“事先通知”数据处理的要求,而这一要求是《指令》构筑的核心制度。
两位权威欧洲学者在比较了《条例》与《指令》在促进大数据发展方面的差别后得出结论说,“《条例》虽然并未与过去决裂,但清楚地描绘了可以用更适应大数据环境的基于使用机制来替代传统数据保护核心机制的未来路径”。
其次,相较于《个人数据保护指令》,《一般数据保护条例》更突出强调责任原则、透明原则的地位和作用,强化信息控制者内部治理机制,调动信息控制者参与数据治理的积极性。
根据《条例》要求,信息控制者需要建立有效的技术与管理措施,包括经常进行审计、贯彻“设计即隐私”理念、执行隐私影响评估、任命数据保护官、采取与风险相适应的安全防范技术措施,事先与数据管理局咨商等,并根据环境变化及时更新,不断完善内部数据治理体系。
《条例》很多新的要求都是《指令》所缺乏的,体现了立法观念上的明显进步。
比如,《指令》第18条第2款并没有强制要求信息控制者设置数据保护官一职,只是倡导性规定,尽管德国、法国在实践中已经采用了这种制度。
《条例》修改引入了数据保护官要求,并以充分的篇幅对其地位、职能等做了较为完备的规定,被欧盟专家普遍认为是完善信息控制者内部治理机制的核心。
《指令》并未规定笔名化概念或者措施,《条例》引入了笔名化制度,并对笔名化和匿名化两种安全措施进行了明确区分,对笔名化提出了明确的要求,规定《条例》不适用于匿名化信息,目的是为了从源头降低信息主体的安全风险,帮助信息控制者满足法律要求,促进大数据发展。
另外,《指令》未规定加密概念或措施,而《条例》明确将加密作为一项安全措施加以规定,这体现的也是“设计即隐私”的源头治理思路,鼓励企业从源头采取防范措施,有利于推动云计算发展。
《一般数据保护条例》构筑合作治理最为典型的领域,当属在跨境信息传输机制上的创新。
《个人数据保护指令》第25条规定向欧盟之外的第三国传输个人数据需要满足充分性要求(由欧盟委员会认定),否则不得传输。
除此之外,《指令》第26条第2款还设计了变通性质的“合适合同条款”机制。
一个国家虽然没有得到欧盟委员会的充分性认定,但该国之内的企业只要能签署符合欧盟要求的模范合同条款,承诺遵守保护个人数据,就可以进行跨境信息传输。
实践中,企业集团或者关联企业内部跨境传输个人信息只要满足自我约束规则的要求,欧盟也认为符合充分性条件。
对于美国企业,欧盟还有单独的《安全港协议》机制,美国企业只要承诺遵守相应规定,即可获得从欧盟传输个人数据的资格。
这些机制设计,既弥补了一般充分性认定机制的不足,避免了《指令》实施可能导致的数据无法跨境传输窘境,也使不同企业都能找到符合自己情况的政策工具,调动其保护个人数据的积极性,带有典型的合作治理色彩。
《条例》在上述几种机制之外,又增加了经批准的行为规范和第三方认证具有证明跨境信息传输合法性的效力,进一步丰富了合作治理的形式,属于典型的自律与规制结合的激励性监管方式,可以更为充分地调动信息控制者主动参与的积极性。
再次,通过设计强有力的外部执法威慑机制,促使信息控制者主动承担法律责任。
《个人数据保护指令》过去体现的是以事前登记、信息主体决定权为核心的控制思路,缺乏有效的事后威慑手段。
比如,《指令》没有明确执法协调机制,导致实践中执法标准不统一、执法管辖权模糊,增加了信息控制者的守法难度;
缺乏罚款标准,将规则制定权交由各国行使,各国执行起来差别很大,普遍力度不够;
没有规定个人数据泄露的通知要求,难以通过公开与社会监督机制形成有效压力。
正因为如此,《指令》虽然事前要求很多,但一旦信息控制者违反规定,后果可能并不严重甚至流于形式,这影响了《指令》的权威性和有效性。
针对威慑不强这一突出问题,《一般数据保护条例》进行了全面改进,其主要措施包括:
确立牵头数据管理局,加强各国执法合作,避免不同国家多头执法导致的执法标准不统一;
统一设立最高罚款上限为2000万欧元或者信息控制者上一年度全球营业额4%的罚款标准,大幅提高罚款的幅度;
增加个人信息泄露后分别通知数据管理局和信息主体的义务,建立有效外部威慑机制。
《条例》的这些新措施,明显与美国的很多执法威慑机制类似,既消弭了欧美过去的很多制度设计差异,也有利于通过强有力的外部威慑机制促使信息控制者更好承担数据治理责任。
相较于《个人数据保护指令》,《一般数据保护条例》的整体制度设计思路更清晰、规定更翔实,充分体现了通过更有效的内部治理、更强的外部威慑,促使信息控制者主动承担更多责任的立法意图,符合激励监管的基本原理。
如果说法律规定是外在的表现形式,那么追求法律的有效实施机制就是内在动力,两者之间是器与道、形与神的关系。
后发国家如果只看到美欧法律规定的表面差别,看不到背后的作用机理,就很难从其经验与教训中获得任何有益的启示。
3培育信息控制者的内部治理机制
发展中国家不同于欧美发达国家,不论是基本权利保护还是消费者预期保护,在信息控制者的行为序列中可能都还难以达到同样的高度。
制定个人信息保护法,首先要找到信息控制者最基本的激励,并围绕核心激励设计相关的制度。
对于所有信息控制者而言,最基本的需求肯定都是发展与安全。
发展是目标,安全是实现目标的保障;
缺乏安全保障,不可能有发展。
由于技术水平的差距,发展中国家面临的安全挑战比发达国家要大得多。
从安全防范角度切入,在发展中国家应该是最容易为信息控制者接受的解决方案。
安永第19届《全球信息安全调查报告》采访了1735名首席管理人员、信息安全与IT高管或经理,他们代表了众多全球规模最大且最知名的企业。
2017年9月发布的调查报告显示,在过去两年中,87%的公司董事会成员和企业高管都表示对其公司层面的网络安全缺乏信心;
44%的企业没有安全运营中心,64%的企业没有或只有非正规的威胁情报计划,55%的企业没有或只有非正规的漏洞识别能力;
62%的企业在经历了看似无害的安全事件后,并不会增加其网络安全支出;
部分企业怀疑自身是否有能力继续识别网络中的可疑流量(49%)、追踪数据的访问者(44%)或发现潜藏的未知“零日漏洞攻击(40%);
89%的企业不去评估每次重大事件所带来的财务影响,而在2016年遭受过网络安全事件的企业中,有近半数(49%)对该网络事件造成或可能带来的经济损失并不了解。
据针对13个国家与地区419家公司的调研,2017年每家公司数据泄露的平均成本为362万美元,每人次个人数据泄露的平均成本为141美元;
诸如南非、印度等发展中国家,在未来24个月内最有可能发生人次超过1万以上的实质性数据泄露事件,而德国、加拿大发生这种事件的概率最低。
从国内外近年来屡屡发生的各种数据泄露案例来看,信息控制者面临的安全挑战压力是现实的,也是巨大的。
个人数据泄露会造成声誉、法律责任承担与客户流失等影响,而随着竞争加剧,“隐私成为品牌”,有效保护个人信息会成为市场主体的核心竞争力,价值会逐步外溢,成为无形资产。
对于信息控制者而言,从信息安全角度来保护个人信息,本应该是顺理成章的事,个别行业领先企业也已经自发在进行相关的内部治理机制探索。
但是,过去对信息安全约定俗成的理解,并不包括个人信息安全或者隐私保护。
基于这种背景,1994年制定的《计算机信息系统安全保护条例》,目的是为了保护计算机信息系统的安全,保障计算机及其相关的和配套的设备、设施(含网络)及其运行环境的安全,保障信息的安全,保障计算机功能的正常发挥,以维护计算机信息系统的安全运行。
2004年公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室印发《关于信息安全等级保护工作的实施意见》,2007年四部门又印发《信息安全等级保护管理办法》,完整建立了我国的信息安全等级保护制度。
随后,国家通过陆续制定统一的信息安全等级保护管理规范和技术标准,对信息系统分等级实行安全保护。
在信息安全等级保护制度中,保护的对象主要是重要信息和信息系统,在上述文件和《信息安全技术·
信息系统安全等级保护基本要求》(GB/T22239-2008)以及该国家标准所指引的“共同构成了信息系统安全等级保护的相关配套标准”中,均缺乏关于个人信息保护的规定,使个人信息保护一直游离于信息安全等级保护制度之外。
这样,在传统的信息安全观念下,信息控制者长期考虑的只是计算机系统安全或者运行安全,力图通过权限管理、病毒查杀、设立防火墙、V
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 探索 激励 相容 个人 数据 治理 个人信息 护法 立法 方向
![提示](https://static.bdocx.com/images/bang_tan.gif)