尊龙凯时

尊龙凯时动态

“小我私家信息”的界定、�；ず凸蚕�

  • 泉源：财新网


如已装置财新APP请点击：https://opinion.caixin.com/2021-05-17/101713576.html



“小我私家信息”的界定、�；ず凸蚕�

陈利浩

 《中华人民共和国小我私家信息�；しǎú莅福罚ㄒ韵录虺啤安莅浮保┨崆胩煜氯舜蟪Ｎ嵘笠�，标记着我国对小我私家信息的�；そ肓耸抵什僮鞯慕锥�。可是，其中对小我私家信息和非小我私家信息的区分，对“去标识化”、“匿名化”的界说，尚待进一步完善。试探讨如下。

一、“去标识化”、“匿名化”辨析。

 信息的“社会化”，条件是每个社会成员的信息都要成为社会“大数据”的一部分，供挪用、共享、剖析。可是，为了不袒露小我私家身份，要先对信息举行响应的手艺处置惩罚。让我们通过一个例子说明这种处置惩罚历程。

 若是有一个录音文件，其中包括了讲话人姓名、录音装备识别码、讲话内容的音频文件。现在，要把这个录音文件放到“大数据”中供剖析、使用，但又不可袒露、“识别”出详细的讲话人是谁，那就要举行手艺处置惩罚：

 首先一定要删除讲话人姓名、装备识别码，只剩下音频文件。这样，从音频文件自己已经不可直接“识别”出讲话人。

 但讲话人的声音特征（声纹）很可能已生涯在某些数据库里，通过比对声音特征（“声纹”）可以去“识别”讲话人，那就要把声纹“置换”掉。常用的要领是先从语音识别成文字，由另一小我私家（或机械）读一遍，录成另一个音频文件。这样，通过比对声音特征也“无法识别”讲话人了。

 但讲话人之前的讲话内容可能存放在“文本大数据”，通过比对“句序” 可以去“识别”讲话人，那就要把“句序”特征“置换”掉，如讲话人爱用倒装句，那就要把倒装句所有换成其他句型。这样，通过比对“句序”也“无法识别”讲话人了。

 但照旧可以通过在文本大数据中比对“高频词”去“识别”讲话人，那就要把“高频词”特征“置换”掉，如讲话人爱用“然后”这个词，那就要把“然后”所有换成其他词。这样，通过比对“高频词”也“无法识别”讲话人了。

 但照旧可以通过在文本大数据中比对“主题和内容” 去“识别”讲话人，那就要把“主题和内容”特征“置换”掉，如讲话人常对“网红”问题发声，那就要把和“网红”有关的文字都换掉。这样，通过比对“主题和内容”也“无法识别”讲话人了。

 上面每一步的目的是“匿名”，纵然得无法从数据“识别特定自然人”。手段是“去标识”，从去姓名和装备识别码标识，到去“声纹”标识，到去“句序”标识，到去“高频词”标识，到去“主题和内容”标识。但手段中的“置换”，在手艺上有时又作为“匿名处置惩罚手艺”的一种。

 以是，“去标识”是处置惩罚方法，“匿名”是处置惩罚目的、但有时又形貌手艺手段。“去标识”和“匿名”是手艺看法，并且不是并列的手艺看法，用来做执法看法，需要明辨异同。

 “草案”第七十二条对“去标识化”和“匿名化”做了形貌，其目的都是“经由处置惩罚无法识别特定自然人”。差别点在于：“去标识化”后，借助特殊信息可以重新识别特定自然人（文本表述是“在不借助特殊信息的情形下无法识别特定自然人”）；“匿名化”后，纵然借助特殊信息也不可重新识别特定自然人（文本表述是“无法识别特定自然人且不可回复”）。也就是说：区别这两个执法看法，主要的标准是：是否能够“重新识别”、即“能否回复”小我私家身份。

 而“能否回复”恰恰是一个无法确定的标准�；氐缴厦娴睦�。纵然我们接纳了那么多个办法去掉了姓名标识、装备识别码标识、“声纹”标识、“句序”标识、“高频词”标识、“主题和内容”标识，这样是不是就“不可回复”了呢？纷歧定�；箍赡艽游谋敬笫萃ü榷酝纺郧阆颉⒄翁取⒙壑ひ斓鹊�，去识别出讲话人，依然保存着“回复”的可能。

 若是把网络清静领域的病毒、黑客等比作“矛”，把清静�；な忠毡茸鳌岸堋�，矛和盾总是在“你追我赶”，总体上“势均力敌”。但若是把数据“去标识”、“匿名”手艺比作“盾”、把匿名识别手艺、数据回复手段比作“矛”，则似乎“矛”总比“盾”要厉害。事实上，所有“去标识”、“匿名”的手艺，都有被重新识别、被“回复”的案例。纵然在美国这样为了�；ぁ耙健薄⒍嘉薹ㄊ笛橥骋坏纳矸葜ぶ贫鹊墓�，研究职员也发明：只使用“邮编、性别、出生日期”这三个信息，就有81%的概率可以在“匿名”数据集里乐成地“重新识别”小我私家。他们判断：“使用15个生齿统计属性， 足以把99.98%的美国人从任何‘匿名化’的数据集里重新识别出来。”（Charlotte Jee， You’re very easy to track down， even when your data has                been anonymized， MIT Technology Review， July 23， 2019.）这是什么缘故原由呢？

 从原理上，数据剖析和使用从实质上是对小我私家的展示，数据匿名手艺则要把小我私家�；ず鸵仄鹄�，在一定水平上原来就是悖论。某人爆发的信息之以是具备剖析和使用价值，一定跟其身份、状态、偏好、履历等有某种关联。而完全的“不可回复”则要求切断所有的关联，但一旦切断了所有的关联，信息的剖析、使用价值也就基本消逝了。在上面的例子中，若是我们进一步把录音文件中的头脑倾向、政治态度、论证要领等标识也都举行“置换”，“重新识别”倒是更难了（也不是绝对“不可回复”），但这个录音尚有剖析、使用的价值吗？以是，完全的“不可回复”不但手艺上险些不可能实现，并且也意味着数据的基本不可用。

 照旧用“矛和盾”的比喻。“草案”对匿名化“不可回复”的要求，意味着要有一面这样的盾牌，用任何一种武器、用任何一种要领、借助于任何外力都无法攻破，这在现实上是不可能的。我们能遇到的通常是：经由一定的“去标识化”处置惩罚，不可直接识别小我私家身份，可是“借助特殊信息”即去所有的数据集比对，一定能水平差别地“重新识别”、“回复”的。这样的信息，切合的是“草案”中的“去标识化”标准。

 问题在于：凭证“草案”的划定，只有知足“匿名化”标准的才是“非小我私家信息”，切合“去标识化”标准的仍然属于小我私家信息，因此，实务中所有信息基本都是小我私家信息，都需要执法的严酷�；�。这既不切合现真相形，也背离了立法原意，更会严重影响对数据的使用、剖析、研究，阻碍数字经济、数字工业、数字科研、数字社会治理的生长。从数据处置惩罚者的态度，由于在数据处置惩罚前无法确定、在数据处置惩罚后也无法验证究竟是不是小我私家信息，而凭证“小我私家信息”处置惩罚则需随处征集允许、险些寸步难行，那就爽性都不凭证“小我私家信息”�；ち�。横竖你要求的绝对完善、万年不破的“盾牌”我做不出来，就爽性不必盾牌。以是，对小我私家信息的界定泛起偏颇或不确定，既倒运于使用、也倒运于�；�。

 执法、规范界说的“盾牌”，应该有事先的标准，明确见告：用什么质料制作、通过哪种工艺铸造、抵达几多厚度或强度的“盾牌”，就已经足以抵御面临的矛。


二、“去身份化”的思绪。

 思量到“去标识化”、“匿名化”已经在手艺和执法、手段和目的、初志和效果、国际和海内等种种场合、在差别意义和水平上被使用，因此，建议对小我私家信息的界定标准接纳一种新的命名，笔者建议接纳“去身份化”。其基本思绪照旧依据“草案”中的“不可识别特定自然人”。以下是“去身份化”的一种界定要领。

 先把小我私家信息分为两部分：

 一部分是“身份信息”，即可以直接或间接确定小我私家身份的信息，如姓名、身份证件和其他种种证件号码、地理住址、网络地址、联系方法（手机及牢靠电话号码、电子邮箱、社交媒体的注册名等）、账户号码（银行、证券、社保、包管等）、交通工具牌照号、生物特征（指纹、声纹、虹膜、人脸图像），等等。

 另一部分是“领域信息”，如医疗康健报告、行程纪录、购物清单、交通纪录等。

 然后，设想、枚举所有不可用于“识别特定自然人”的信息组合：

 例如，背面“身份信息”关联的“领域信息”。如：50岁以上的肺结核病例、今天从北京到通州的职员路径、本周内成交的分体式空调品牌等。显然都不可用来“识别特定自然人”。

 例如，手艺处置惩罚后的“身份信息”和“领域信息”的关联。如一个银行账户余额列表，包括账号、余额两列，但其中的账号已经举行了手艺处置惩罚，无法用来识别账户所有人。

 例如，手艺处置惩罚后的“身份信息”之间、“身份信息”和“领域信息”、其他信息之间的关联。如一个银行账户余额列表，包括姓名、账号、余额三列，其中的姓名、账号已经举行了更高强度的手艺处置惩罚，无法用来识别账户所有人。

 等等。

 穷举、归纳后可以发明：是否能“识别特定自然人”，取决于“有没有包括未经手艺处置惩罚的身份信息”。只要没有包括身份信息，或包括的身份信息已经作了响应强度的手艺处置惩罚（泛化、抑制、聚类、剖析、置换及滋扰等），这样的信息就已经不可在合理的资源、本钱内用于“识别特定自然人”，即可被以为是“非小我私家信息”。

  这样，数据处置惩罚者在处置惩罚数据前凭证内容就可以判断事实是不是“小我私家信息”，就可以设计差别的处置惩罚流程。需要判断的信息是完整、明确的，不需要比及事后的效果。


三、对《小我私家信息�；しǎú莅福返南晗感薷慕ㄒ�。

 1、删除第七十二条中对“匿名化”和“去标识化”的形貌内容。

 2、把第四条中“不包括匿名化处置惩罚后的信息”改为“不包括‘去身份化’后的信息”。

  3、把第五十一条中“接纳响应的加密、去标识化等清静手艺步伐”改为“接纳响应的加密等清静�；げ椒ァ�。这条规范的是对内的管理制度、而不是数据处置惩罚历程。若是管理的是原始的小我私家信息、原来就应该有身份标识，“去标识化”后信息系统就不可运行了。若是是对宣布、提供的信息的规范，应该放在第二章。

 4、增添以下划定：

 原始的小我私家信息可分为“身份信息”和“领域信息”。只要在供挪用、处置惩罚的数据中不泛起“身份信息”，或者泛起的“身份信息”经由响应强度的手艺处置惩罚、使之在合理的本钱和资源内不可重新识别，即可视为已完成“去身份化”。

  5、小我私家信息的处置惩罚险些所有经由盘算机信息系统，但《小我私家信息�；しǎú莅福肺炊孕畔⑾低匙魅魏涡蚊病⒒�，建议适当增添。如：

 在处置惩罚小我私家信息的盘算机系统中不得直接提供依据小我私家身份信息挪用其他身份信息或领域信息的功效。所有对这类信息的挪用，都要先转向信息爆发者小我私家、或爆发者的授权人、或执律例则划定情形的授权人，让他们充分相识挪用者的身份、涉及的信息种类、挪用目的、信息规模、时限、对权益的影响等，由他们作出允许与否的决议。盘算机系统还应提供允许后作废允许的功效。

  6、为了增强全社会的小我私家信息�；ず凸蚕硪馐�，建议增添划定：

 在爆发、形成小我私家信息的所有场合，都在有关位置（屏幕提醒、文件封面等）显示、印刷、打印以下内容：“（本历程爆发/本文件纪录）的内容均属于小我私家信息，对其的挪用、处置惩罚、共享必需取得自己或自己的授权人允许，或者依据国家执律例则的其他划定。任何单位和小我私家未经上述允许或划建都不可使用这些信息，也不可故障、阻止经由允许、切合划定的对这些信息的使用。”

 小我私家信息的共享、使用、处置惩罚，和小我私家信息的�；�，在理论上和实践中都是需要平衡的“两难”。一方面，数据的“社会化”，既极大利便了人民群众的生涯，又成为经济生长和社会前进的强盛动力，还空前地驱动着科学研究、科技立异，使得我国在数字经济、数字工业、数字科研上独树一帜。另一方面，未经允许网络和使用用户小我私家信息、窃取和出卖小我私家信息等征象日益严重，个体部分滥用小我私家信息的问题也时有爆发。最近的“清朗”系列网络整治专项行动八个重点中，算法滥用、流量造假等和小我私家信息有关的就占了一半。平衡好信息开发使用与�；ば∥宜郊倚畔⑶寰驳墓叵�，事关经济社会生长阵势，事关每个社会成员的清静和权益，这是对小我私家信息界定的主要意义所在。


(作者为九三学社中央促创工委副主任、广东省新的社会阶级人士团结会监事长)　


网站地图