近日，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)、中國(guó)消費(fèi)者協(xié)會(huì)等部門(mén)成立App專(zhuān)項(xiàng)治理工作組，對(duì)用戶數(shù)量大、與民眾生活密切相關(guān)的App隱私政策和個(gè)人信息收集使用情況進(jìn)行評(píng)估并通報(bào)。通報(bào)稱(chēng)，中國(guó)銀行手機(jī)銀行等10款A(yù)pp無(wú)隱私政策；趣店、探探等20款A(yù)pp強(qiáng)制用戶“一攬子”授權(quán)。

能否既玩消消樂(lè)又不讓你讀取我的通訊錄？如果不提供地理位置讀取授權(quán)，還能不能聽(tīng)首音樂(lè)……要么“信息裸奔”，要么“棄之不用”，面對(duì)App的默認(rèn)勾選，用戶如今依舊只能陷入被動(dòng)的困境。

進(jìn)入數(shù)字時(shí)代以來(lái)，數(shù)據(jù)的重要性早已深入人心，“數(shù)字時(shí)代的石油”成為大家對(duì)數(shù)據(jù)的共識(shí)?；ヂ?lián)網(wǎng)企業(yè)廣泛收集用戶各類(lèi)信息加以整理分析利用，從中攫取到巨大的經(jīng)濟(jì)效益。在這過(guò)程中，暴露出的個(gè)人數(shù)據(jù)安全、隱私保護(hù)等問(wèn)題卻被忽視。

隨著歐盟《一般數(shù)據(jù)保護(hù)條例》（GDPR）的生效，歐洲范圍內(nèi)建立起了一套在隱私管理、個(gè)人信息安全保護(hù)和數(shù)據(jù)流動(dòng)之間的復(fù)合機(jī)制。GDPR之后，越來(lái)越多的國(guó)家開(kāi)始聚焦自身隱私安全問(wèn)題，中國(guó)也不例外。

如今，GDPR已實(shí)施一年多，它的經(jīng)驗(yàn)得失被廣為討論、借鑒，一些隱私保護(hù)的原則與技術(shù)創(chuàng)新的沖突也不斷具像化。那么，隱私保護(hù)的“中國(guó)方案”該如何完善？

對(duì)GDPR的反思

GDPR正式實(shí)施后，想進(jìn)入歐洲市場(chǎng)的企業(yè)紛紛修改自身的隱私政策，并提升保護(hù)用戶個(gè)人數(shù)據(jù)的技術(shù)手段，來(lái)避免受到嚴(yán)厲的懲罰，這在有力地保護(hù)了用戶個(gè)人數(shù)據(jù)的同時(shí)，客觀上也加大了企業(yè)的成本支出。

在諸多對(duì)GDPR的“吐槽”中，最集中的一項(xiàng)便是企業(yè)在合規(guī)方面的支出多了，會(huì)加重企業(yè)的負(fù)擔(dān)。根據(jù)《福布斯》報(bào)告，GDPR讓美國(guó)財(cái)富500強(qiáng)企業(yè)多花費(fèi)了78億美元合規(guī)成本。普華永道給出更明確的合規(guī)成本估計(jì)：68%的公司預(yù)計(jì)將花費(fèi)100萬(wàn)到1000萬(wàn)美元。

在此環(huán)境下，企業(yè)面臨的生存壓力不小。此前，在“2019羅漢堂數(shù)字經(jīng)濟(jì)年會(huì)”上，多位專(zhuān)家對(duì)此議題展開(kāi)了討論。國(guó)際數(shù)據(jù)隱私實(shí)踐聯(lián)合主管，Bird&Bird合伙人阿里安娜·默勒說(shuō)，小型企業(yè)對(duì)于未來(lái)的發(fā)展充滿矛盾：一方面，他們需要通過(guò)遵守GDPR獲取客戶的信任；另一方面，遵守GDPR需要花費(fèi)大量的資金，但事實(shí)上，“它們沒(méi)有足夠的資本”。

這一困擾引發(fā)社會(huì)對(duì)初創(chuàng)企業(yè)健康成長(zhǎng)的擔(dān)憂，諾獎(jiǎng)學(xué)者、法國(guó)圖盧茲大學(xué)產(chǎn)業(yè)經(jīng)濟(jì)研究所科研所長(zhǎng)讓·梯若爾正在反思這一結(jié)果，“我們不能因噎廢食，個(gè)人隱私確實(shí)需要保護(hù)，但在保護(hù)個(gè)人隱私的同時(shí)，不能遏制科技的進(jìn)步和創(chuàng)新的發(fā)展。”

看上去似乎是個(gè)兩難的選擇，一面是企業(yè)的成長(zhǎng)和創(chuàng)新，一面是個(gè)人隱私的保護(hù)。有企業(yè)家進(jìn)一步提出，數(shù)字時(shí)代想抹掉已經(jīng)泄露的個(gè)人數(shù)據(jù)幾乎是不可能的，個(gè)人的信息一旦被發(fā)布在網(wǎng)上，就會(huì)被互聯(lián)網(wǎng)永遠(yuǎn)保留，那該如何按下“刪除鍵”呢？

GDPR為此規(guī)定了“被遺忘權(quán)”，該項(xiàng)權(quán)利主張數(shù)據(jù)主體有權(quán)要求控制者刪除相關(guān)的個(gè)人數(shù)據(jù)。

但對(duì)于“被遺忘權(quán)”的具體執(zhí)行，仍存在許多問(wèn)題。阿里安娜·默勒表示，被遺忘權(quán)實(shí)際上規(guī)定的就是數(shù)據(jù)的持有時(shí)期——“個(gè)人數(shù)據(jù)在使用之后，能夠被合法地保留多久”。但對(duì)企業(yè)而言，執(zhí)行起來(lái)仍然很困難。

阿里安娜·默勒說(shuō)，企業(yè)要想合規(guī)，必須按照法律進(jìn)行技術(shù)設(shè)計(jì)。但現(xiàn)實(shí)情況卻是，法律規(guī)定自身就在不斷地變化，“雖然出臺(tái)這些法律規(guī)定的初衷是好的，但他們也要意識(shí)到，在不斷地修改法規(guī)，或者對(duì)自己的法律法規(guī)不斷給出解釋的時(shí)候，并沒(méi)有真正地幫到企業(yè)和個(gè)人?！?/p>

而在譯言聯(lián)合創(chuàng)始人趙嘉敏看來(lái)，人們當(dāng)前想要擁有“刪除鍵”的意識(shí)是基于隱私觀念。但現(xiàn)實(shí)情況是，隱私的概念本身就在不斷演化?？沙掷m(xù)性的解決方案也許不是去要求技術(shù)來(lái)遵從我們的傳統(tǒng)習(xí)慣，而是要去改變我們的傳統(tǒng)意識(shí)和社會(huì)規(guī)范，以更好地適應(yīng)技術(shù)的發(fā)展，并讓個(gè)體和群體都能從這種改變中受益。

完善“中國(guó)方案”

對(duì)于企業(yè)為合規(guī)而付出的高額成本，重慶大學(xué)國(guó)家網(wǎng)絡(luò)空間安全與大數(shù)據(jù)法治戰(zhàn)略研究院院長(zhǎng)齊愛(ài)民表示，企業(yè)在GDPR正式實(shí)施初期，不可避免地要修改自身的隱私政策，在此過(guò)程中，企業(yè)需要支出較大的成本來(lái)達(dá)成這一任務(wù)目標(biāo)。但是，只要企業(yè)的個(gè)人數(shù)據(jù)保護(hù)合規(guī)工作進(jìn)入正軌，那么之后的維護(hù)成本也將大大降低，并不會(huì)過(guò)多地影響企業(yè)的技術(shù)創(chuàng)新問(wèn)題。

“另外，由于GDPR的實(shí)施，提升了商業(yè)環(huán)境中對(duì)個(gè)人數(shù)據(jù)安全的保護(hù)，促成了針對(duì)隱私友好型創(chuàng)新的發(fā)展。換言之，隱私友好型的技術(shù)創(chuàng)新將成為下一個(gè)技術(shù)創(chuàng)新的基本模式?！饼R愛(ài)民說(shuō)。

法國(guó)國(guó)務(wù)顧問(wèn)、法國(guó)數(shù)據(jù)保護(hù)局(CNIL)前副主席伊莎貝爾·法爾克·皮爾羅廷甚至直接反駁了“高額成本”的說(shuō)法，“像法國(guó)數(shù)據(jù)保護(hù)局，他們就常開(kāi)展一些教育培訓(xùn)，專(zhuān)門(mén)來(lái)輔導(dǎo)和教育初創(chuàng)企業(yè)如何做到隱私保護(hù)合規(guī)，從產(chǎn)品早期設(shè)計(jì)開(kāi)始就考慮隱私的問(wèn)題，那根本就沒(méi)有多少成本?！?/p>

無(wú)論細(xì)節(jié)上有多少差異，保護(hù)隱私已是共識(shí)。北京安理律師事務(wù)所高級(jí)合伙人王新銳曾表示，很多大型公司在做完GDPR合規(guī)后，透明度明顯有提升，也給了用戶更多選擇。

事實(shí)上，我國(guó)正在快速推進(jìn)隱私保護(hù)工作。去年，推薦性國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù)個(gè)人信息安全規(guī)范》（以下簡(jiǎn)稱(chēng)《規(guī)范》）正式實(shí)施。這部由33位擁有政策制定、技術(shù)標(biāo)準(zhǔn)、企業(yè)實(shí)踐經(jīng)驗(yàn)的專(zhuān)家共同起草，歷經(jīng)兩年多博弈的《規(guī)范》對(duì)個(gè)人信息收集、保存、使用、流轉(zhuǎn)等環(huán)節(jié)提出要求，非常明確地把《網(wǎng)絡(luò)安全法》原則性的規(guī)定給落地了，填補(bǔ)了國(guó)內(nèi)個(gè)人信息保護(hù)在實(shí)踐標(biāo)準(zhǔn)上的空白。

但問(wèn)題也很明顯，《規(guī)范》是推薦性標(biāo)準(zhǔn)而非強(qiáng)制性標(biāo)準(zhǔn)，因此不具備法律強(qiáng)制力，在齊愛(ài)民看來(lái)，《規(guī)范》在對(duì)信息主體的個(gè)人信息保護(hù)力度上是遠(yuǎn)遠(yuǎn)不夠的?！半m然我國(guó)關(guān)于個(gè)人信息保護(hù)的相關(guān)法規(guī)散見(jiàn)于《民法總則》、《網(wǎng)絡(luò)安全法》、《電子商務(wù)法》和《消費(fèi)者權(quán)益保護(hù)法》等相關(guān)立法文件中，但是我國(guó)尚未出臺(tái)一部專(zhuān)門(mén)的《個(gè)人信息保護(hù)法》?！?/p>

王新銳說(shuō)，下一步應(yīng)該就是立法了，中國(guó)個(gè)人信息保護(hù)的立法者現(xiàn)在面臨的是一方面要“補(bǔ)課”，借鑒各國(guó)立法中被證明有效的部分，另一方面又要回答中國(guó)的獨(dú)特性問(wèn)題，尤其是移動(dòng)互聯(lián)網(wǎng)高速發(fā)展帶來(lái)的問(wèn)題。

“哪些可以借鑒國(guó)際規(guī)則，哪些必須要自己原創(chuàng)性的回答，這本身就是一個(gè)非常難的問(wèn)題?！蓖跣落J表示，現(xiàn)階段立法還是應(yīng)該以補(bǔ)課為主要目標(biāo)，適度留有口子，而對(duì)于新型問(wèn)題，可以先以位階較低的規(guī)則加以應(yīng)對(duì)，待成熟穩(wěn)定后再上升為立法。

復(fù)旦大學(xué)網(wǎng)絡(luò)空間治理研究中心主任沈逸也認(rèn)為，當(dāng)前我國(guó)可通過(guò)“小步快走”的方式逐步將法規(guī)上升為法律，“推出一些原則性的規(guī)定，然后迅速地把它細(xì)化，然后在細(xì)化和實(shí)踐的過(guò)程中，如果發(fā)現(xiàn)有些東西和實(shí)踐之間發(fā)生了比較大的沖突，再做及時(shí)的調(diào)整?！?/p>

在這方面，齊愛(ài)民認(rèn)為，GDPR的經(jīng)驗(yàn)可供借鑒。GDPR賦予信息主體強(qiáng)大的個(gè)人信息權(quán)利的同時(shí)，忽略了復(fù)雜多變的現(xiàn)實(shí)生活場(chǎng)景對(duì)個(gè)人信息的不同需求?！拔磥?lái)立法者可以考慮采用以《個(gè)人信息保護(hù)法》為主，授權(quán)相關(guān)主管部門(mén)制定該特定行業(yè)的個(gè)人信息保護(hù)配套規(guī)則的立法模式，更加靈活地處理不同場(chǎng)景對(duì)于個(gè)人信息的需求?！?/p>

除此之外，沈逸認(rèn)為，各國(guó)在治理互聯(lián)網(wǎng)隱私保護(hù)時(shí)，也應(yīng)考慮到互聯(lián)網(wǎng)跨國(guó)互通的這一屬性，實(shí)現(xiàn)聯(lián)合治理。

“把主權(quán)邊界機(jī)械化地延伸到網(wǎng)絡(luò)空間去，肯定是有問(wèn)題的?！鄙蛞菡f(shuō)，這極有可能將互聯(lián)網(wǎng)“切得七零八落”。所以，使數(shù)據(jù)能在全球范圍內(nèi)流動(dòng)和被管轄，制定一個(gè)既維護(hù)全球網(wǎng)絡(luò)空間的穩(wěn)定，又能讓數(shù)據(jù)流動(dòng)更有序的全球規(guī)范極為重要。

顯然，這還有很長(zhǎng)的路要走。正如羅漢堂秘書(shū)長(zhǎng)、湖畔大學(xué)執(zhí)行教育長(zhǎng)陳龍所言，“所有的人都同意，一定的隱私保護(hù)是應(yīng)該的，但當(dāng)信息的交流同時(shí)成為這個(gè)時(shí)代的動(dòng)力和種種擔(dān)憂的源頭，同時(shí)其中的取舍對(duì)每個(gè)人都不同的時(shí)候，應(yīng)該怎么做？”在這個(gè)話題上，沒(méi)有簡(jiǎn)單的理所當(dāng)然。