云計算安全法律問題研究

焦曉菲

(華北科技學院，北京 東燕郊 101601)

1 云計算的法律定性

可大可小、飄來飄去的“云”是指存在于互聯(lián)網(wǎng)上的服務(wù)器集群上的軟、硬件資源的集合。云計算是指服務(wù)商通過分布式計算、并行計算、網(wǎng)格計算等技術(shù)組建超級數(shù)據(jù)中心等網(wǎng)絡(luò)服務(wù)器集群，以無償或付費租用方式向用戶提供數(shù)據(jù)存儲、分析以及科學計算，甚至在線軟件服務(wù)、硬件租借等方面的服務(wù)。

從法律的角度看，“云計算”服務(wù)提供商和“云計算”的使用者是一種典型的信息服務(wù)關(guān)系。析清其財產(chǎn)關(guān)系和服務(wù)內(nèi)容有助于界定出這種特別的信息服務(wù)關(guān)系的特征。第一，用戶在不擁有硬件設(shè)備和軟件的所有權(quán)的情況下，反而擁有對這些設(shè)備軟件的使用權(quán)。第二，用戶在使用“云服務(wù)”過程中衍生、存儲的信息數(shù)據(jù)也順延保存于“云服務(wù)”提供商的服務(wù)器，通過此環(huán)節(jié)，用戶即這些數(shù)據(jù)的所有者等于把數(shù)據(jù)的實際控制權(quán)讓渡于“云服務(wù)”提供商。這是分析云計算問題的邏輯基礎(chǔ)。

2 云計算涉及的法律問題

2.1 信息安全問題

信息安全宏觀上關(guān)乎國家安全，微觀上關(guān)乎企業(yè)商業(yè)秘密和個人隱私。云計算作為一種遠程信息服務(wù)本質(zhì)上是信息技術(shù)、網(wǎng)絡(luò)技術(shù)的應(yīng)用。技術(shù)的不斷升級使各種信息通過數(shù)字化的網(wǎng)絡(luò)傳輸暢通無阻，但也導致人們所擔心的深層的信息安全、網(wǎng)絡(luò)安全問題日趨復(fù)雜化。

第一，法律上的證據(jù)效力問題，即置放于云服務(wù)器集群中的電子數(shù)據(jù)記錄是否可以作為原始的、有效的訴訟證據(jù)，用來在法庭上向法官證明或還原過去曾經(jīng)發(fā)生的事實，如合同訂立的意思表示、合同修改的意思表示等 。

第二，隱私權(quán)問題。云計算對個人隱私侵權(quán)的風險也客觀存在。云計算給用戶提供的個性化服務(wù)失控時也會成為傷害用戶的利器。云服務(wù)在給終端用戶帶來某些便利，也帶來了隱私隨時可能泄露的風險。所謂云服務(wù)提供商的個性化服務(wù)，常常是通過對用戶的需求信息和服務(wù)信息的統(tǒng)計分析來獲知用戶的業(yè)余愛好、專業(yè)領(lǐng)域、特殊習慣、服務(wù)需求等個人隱私資料。萬一云服務(wù)提供商或其個別無良工作人員有意無意地泄露了這些個人信息，用戶的隱私權(quán)便將無保。

2.2 數(shù)據(jù)權(quán)利的內(nèi)容問題

在云服務(wù)提供商掌握著云服務(wù)數(shù)據(jù)的實際控制權(quán)的情況下，如何確保用戶對數(shù)據(jù)的支配權(quán)是云服務(wù)用戶關(guān)注的焦點。數(shù)據(jù)的完整性問題在數(shù)據(jù)存儲、數(shù)據(jù)隔離，還是在數(shù)據(jù)恢復(fù)、數(shù)據(jù)分析等環(huán)節(jié)始終存在。在信息傳輸過程中數(shù)據(jù)可能會被截取、被遺失等，存儲的電子信息也可能被刪除、被混淆、被攻擊、被破壞、被盜用。若服務(wù)提供商可以隨意處置用戶數(shù)據(jù)，那么用戶數(shù)據(jù)的安全岌岌可危。所以，云服務(wù)商只有全面保證用戶自主處分數(shù)據(jù)的權(quán)力，才能體現(xiàn)用戶對數(shù)據(jù)的絕對支配權(quán)，例如保證用戶增加、復(fù)制、變更、刪除數(shù)據(jù)的物理處分權(quán)力，保證用戶轉(zhuǎn)讓、出售數(shù)據(jù)的法律上的處分權(quán)，保證用戶云服務(wù)終止時完整地取回數(shù)據(jù)的權(quán)力，保證在云服務(wù)終止時，云服務(wù)商不再保留任何備份數(shù)據(jù)的權(quán)利。若云服務(wù)提供商無法踐行這些，就難以掃除用戶對云計算服務(wù)的安全顧慮，甘心將用戶的核心數(shù)據(jù)坦然交給云服務(wù)提供商。

2.3 統(tǒng)一安全技術(shù)標準問題

統(tǒng)一安全技術(shù)標準的空白是限制云計算發(fā)展的瓶頸。云計算開啟了信息化生活的新時代，但很多國內(nèi)外云計算中心對云計算的市場需求、云計算研發(fā)及服務(wù)的定位，或是對未來云計算的發(fā)展前景諸問題的研究和分析尚在探討過程中。云計算的研發(fā)機構(gòu)或企業(yè)對于云計算商業(yè)服務(wù)的評價領(lǐng)域、技術(shù)標準方面，尚未達成可行的共同認可的統(tǒng)一標準，仍處于各自為政的初級階段，甚至在信息安全標準密碼算法和協(xié)議等基本問題仍未塵埃落定，這直接加大了全球云服務(wù)商的技術(shù)兼容的難度，激化了云計算的安全風險。

2.4 知識產(chǎn)權(quán)問題

云計算服務(wù)的商業(yè)模式使用戶不必再購買軟、硬件，即可憑授權(quán)或憑付費使用軟件，軟件版權(quán)人與用戶之間僅是單純的有期限的服務(wù)合同關(guān)系。這種轉(zhuǎn)變使計算服務(wù)提供商、軟件開發(fā)者減少了因傳統(tǒng)的出賣軟件、復(fù)制軟件、移交軟件帶來的軟件被侵權(quán)的風險，對軟件版權(quán)保護是非常有利的。但其他知識產(chǎn)權(quán)問題仍然需要我們注意，例如，用戶與云服務(wù)商的服務(wù)關(guān)系是否包括軟件著作權(quán)人的許可? 如果云服務(wù)構(gòu)成侵權(quán)，云服務(wù)用戶是否要承擔連帶侵權(quán)責任?

若經(jīng)營性用戶把涉及商業(yè)秘密的數(shù)據(jù)提交云端的話，還涉及商業(yè)秘密的認定標準問題。權(quán)利人對特定具有商業(yè)價值的信息采取保密措施是認定商業(yè)秘密的前提條件，那么在云計算下，若企業(yè)技術(shù)信息與經(jīng)營信息存儲于云端，云端的安全措施是否也可以視為用戶為保護商業(yè)秘密主動采取的安全措施?如果云端的商業(yè)秘密被依法向政府有關(guān)部門提交，是否喪失秘密性?諸多問題都尚待法律明確規(guī)定。

2.5 司法管轄問題

采用云計算，數(shù)據(jù)通過互聯(lián)網(wǎng)進行存儲和交付，用戶數(shù)據(jù)有可能存放在世界各地任何角落的數(shù)據(jù)中心里，并進行跨越國界的即時全球性共享、傳送，數(shù)據(jù)的擁有者不能控制，甚至不知道數(shù)據(jù)的存儲位置。即使云計算服務(wù)提供商是本國企業(yè)，其使用的數(shù)據(jù)中心也有可能在國外。一旦發(fā)生糾紛涉訴，存放在他國的數(shù)據(jù)有不得不受存儲服務(wù)器所在國法院管轄，并適用該國法律進行審判，因為很多國家法律把網(wǎng)絡(luò)服務(wù)器、計算機終端等設(shè)備所在地作為侵權(quán)管轄的依據(jù)和法律適用的連接點。這樣就意味著在發(fā)生事故之后，受損失的用戶只能被自己事前一無所知的外國法院管轄，依據(jù)外國法律確定侵權(quán)的構(gòu)成、侵權(quán)的程度、侵權(quán)的賠償標準，而不能適用本國的法律，這對保密性要求很高的數(shù)據(jù)用戶是不可接受的。在云計算侵權(quán)或犯罪案件中，如果云服務(wù)用戶(數(shù)據(jù)資產(chǎn)所有者)、云計算應(yīng)用使用者(數(shù)據(jù)消費者)、云服務(wù)運營商、應(yīng)用系統(tǒng)、數(shù)據(jù)存儲地點、入侵者分別來自不同的國家，數(shù)據(jù)甚至存儲在多個國家，將會產(chǎn)生更為繁雜交錯的司法管轄權(quán)和法律適用問題，這都是云計算帶來的新課題。

3 云計算法律問題的法律解決方案

云計算技術(shù)的飛躍常常蘊含著新的經(jīng)濟增長點，所以盡管云計算蘊藏著不斷拉高的復(fù)雜的風險，仍難以阻擋我們對于防范云計算風險的努力的腳步。云計算信息安全風險不僅是個技術(shù)問題，而且受到法律制度等多種社會因素的影響。這也意味著云計算信息安全風險問題，不僅要從技術(shù)完善的角度尋找解決途徑，而且需要采取有效防范社會風險的法律措施?？梢?，積極構(gòu)建我國云計算信息安全風險防范法制非常迫切。

3.1 建立電子證據(jù)規(guī)則

電子證據(jù)規(guī)則的缺失是云計算最主要的法律障礙。1996年12月16日通過的《聯(lián)合國國際貿(mào)易法委員會電子商務(wù)示范法》對電子商務(wù)中貨物運輸中的電子運輸合同、運輸單據(jù)、電子提單的效力和證據(jù)效力等基本法律問題作了明確規(guī)定，明確了電子信息的原始性、完整性、可靠性的認定標準，并規(guī)定了在任何法律訴訟中數(shù)據(jù)電文作為證據(jù)的可接受性和證據(jù)力?！峨娮由虅?wù)示范法》規(guī)定在任何方面均不得僅以數(shù)據(jù)電文的形式之理由否定一項數(shù)據(jù)電文作為證據(jù)的可接受性、有效性、可執(zhí)行性，并規(guī)定在評估一項數(shù)據(jù)電文的證據(jù)力時，應(yīng)考慮到生成、儲存或傳遞該數(shù)據(jù)電文的辦法的可靠性，保持信息完整性的辦法的可靠性，用以鑒別電子數(shù)據(jù)發(fā)端人的辦法，以及任何其他相關(guān)因素?！峨娮由虅?wù)示范法》的上述規(guī)定體現(xiàn)了“功能等同原則”的精髓。我國的有關(guān)云計算立法應(yīng)吸收《電子商務(wù)示范法》中確立的“功能等同原則”，來確定云記錄在訴訟法上的證據(jù)效力問題。在云計算服務(wù)的復(fù)雜運行過程中，數(shù)據(jù)可能被多次復(fù)制、存儲、編輯和處理，導致其完整性、真實性、客觀性的判斷變得鑿實困難。只有嚴格按照“功能等同原則|”存儲、傳送、復(fù)制的云信息才可以作為有效的訴訟證據(jù)使用。有了明確的國際、國內(nèi)立法，才能規(guī)范云服務(wù)提供商和用戶安全地使用云服務(wù)。

3.2 國際統(tǒng)一數(shù)據(jù)技術(shù)標準的建立

云計算的功能等同原則的貫徹需要技術(shù)中立原則來支持一系列云計算的數(shù)據(jù)存儲、傳輸和復(fù)制技術(shù)標準和流程，以保證云計算的安全性和協(xié)同性，攻克云服務(wù)之間的相互聯(lián)通問題。如果每個國內(nèi)外服務(wù)提供商都遵循統(tǒng)一的國際技術(shù)標準、安全標準，云服務(wù)之間暢通無阻，云計算用戶就不必受限于某個云服務(wù)商的企業(yè)標準，從而減少因服務(wù)提供商分別采用不同標準給用戶造成的安全風險?？梢姡M織技術(shù)、商業(yè)、法律專家盡快制定云計算的國家標準很有必要，條件成熟時，通過國際知識產(chǎn)權(quán)組織制定相關(guān)普遍性的相關(guān)國際條約也應(yīng)提上日程。

3.3 保障終端用戶的知情權(quán)

反映人類活動信息的電子數(shù)據(jù)上實際上存在著人們各種各樣的權(quán)利，如隱私權(quán)、著作權(quán)、商業(yè)秘密權(quán)、自由選擇權(quán)。在云服務(wù)提供商掌握著對用戶的數(shù)據(jù)的實際控制權(quán)，并暗藏強烈的謀取商業(yè)利益沖動的情況下，如何確保用戶對數(shù)據(jù)權(quán)利的行使和實現(xiàn)？云計算用戶的各項權(quán)利中，知情權(quán)是關(guān)鍵之關(guān)鍵。若云服務(wù)用戶的知情權(quán)沒有保障，隱私權(quán)、自由選擇權(quán)等其他權(quán)利就是空中樓閣。保證用戶知情權(quán)的義務(wù)的核心就是要求云計算服務(wù)商向終端用戶全面、真實、客觀、及時地告知、解釋與云計算服務(wù)密切相關(guān)的信息，尤其是云計算的安全信息、隱私保護信息和兼容性信息，便于處于弱勢地位的終端用戶正確選擇適合自己的云計算服務(wù)商及云計算服務(wù)模式。惟有如此，才能實現(xiàn)對云計算服務(wù)商對用戶數(shù)據(jù)的控制權(quán)的約束，實現(xiàn)云計算終端用戶對于云計算服務(wù)的有效監(jiān)督，才能保證云計算服務(wù)不會偏離理性發(fā)展軌道。建議我國電子信息產(chǎn)業(yè)主管部門出臺相關(guān)行政管理條例，督促云計算服務(wù)商履行告知義務(wù)，并規(guī)定嚴格的罰則，對侵犯用戶知情權(quán)的云服務(wù)商進行行政處罰，并要求其承擔相應(yīng)的侵權(quán)責任。另外云計算行業(yè)組織出臺示范性云服務(wù)合同，強制嵌入云服務(wù)商的告知義務(wù)條款等，也有利于保障終端用戶知情權(quán)的實現(xiàn)。

3.4 明確云服務(wù)商的責任

對云計算產(chǎn)業(yè)的發(fā)展前景的崇高期望，使云計算服務(wù)商、云計算行業(yè)組織、政府、以至云計算終端用戶等眾多社會主體都想分享云計算的利益盛宴。加強云計算產(chǎn)業(yè)的法律監(jiān)管必須首先厘清各方利益主體的權(quán)利義務(wù)關(guān)系。政府的行政監(jiān)管、云計算行業(yè)組織的自律監(jiān)管、云服務(wù)商的自我監(jiān)督、終端用戶的外部監(jiān)管是否有效，關(guān)鍵在于必須明確云計算服務(wù)商的法律責任。任何信息服務(wù)均存在風險。除了自然災(zāi)害等不可抗力引外，云計算信息技術(shù)本身可能存在的問題也可能導致數(shù)據(jù)傳輸中斷、數(shù)據(jù)遺失等，那么由誰承擔責任?云服務(wù)提供商的賠償額度或責任范圍當然應(yīng)該以民法的過錯責任原則來確定。建議出臺有關(guān)法規(guī)，針對云計算可能出現(xiàn)的風險，從保護云用戶數(shù)據(jù)權(quán)利出發(fā)，建立云服務(wù)商的一攬子風險責任制度，云服務(wù)商也可與實際數(shù)據(jù)傳輸人、數(shù)據(jù)存儲人、數(shù)據(jù)加工人、數(shù)據(jù)利用人建立更具體的過錯責任制度，對數(shù)據(jù)的丟失、刪改、非法使用或傳播等違約行為，合同云服務(wù)商可以根據(jù)實際過錯比例和程度來進行責任追償，并規(guī)定嚴苛的罰則，才有可能使用戶掃除接受云服務(wù)的顧慮。另外，借鑒某些國家做法，建立我國計算機網(wǎng)絡(luò)的商業(yè)保險制度來進行風險預(yù)防和恢復(fù)也是非?？尚械?。

3.5 云服務(wù)格式合同的干預(yù)

關(guān)于云計算，現(xiàn)行專門的立法還存在眾多盲點，目前云計算風險問題常常由云計算服務(wù)供應(yīng)商利用自己的優(yōu)勢地位以格式合同的形式對相關(guān)風險進行規(guī)避性約定。處于弱勢地位的用戶對這種格式合同難以行使選擇權(quán)、修改權(quán)、拒絕權(quán)。盡管法院可以在事后對云計算格式合同進行糾正，但是相比較而言，訴訟糾紛前的事前政府干預(yù)更為理性。建議政府或行業(yè)協(xié)會出具標準化、指導性的云服務(wù)合同示范文本供服務(wù)提供商采用，或者對云服務(wù)合同作出規(guī)范，尤其要規(guī)范好云服務(wù)商的服務(wù)標準、質(zhì)量、數(shù)量和水平，用戶得到哪些基本服務(wù)內(nèi)容、擁有哪些基本權(quán)利。由于當前云計算產(chǎn)業(yè)尚處于發(fā)展階段，在強調(diào)政府監(jiān)管格式合同的同時，還應(yīng)提倡云計算行業(yè)協(xié)會對云計算服務(wù)商格式合同的自律監(jiān)管，從多方面來推進我國云計算產(chǎn)業(yè)監(jiān)管制度的構(gòu)建和完善。

3.6 司法管轄權(quán)國際合作

協(xié)調(diào)云計算民事糾紛的司法管轄權(quán)、防范云計算犯罪問題已不可能由任何一個國家單獨來完成，必須在有關(guān)國際組織的協(xié)調(diào)下，在達成國際公約、雙邊條約的基礎(chǔ)上，通過各國在司法領(lǐng)域的交流與合作才能解決。在協(xié)調(diào)云計算民事糾紛的管轄權(quán)方面，除了數(shù)據(jù)所在地的國際私法連接點外，建議以最密切聯(lián)系原則，允許法官或當事人以最密切聯(lián)系原則，選擇更為靈活、更有利于個案公平、正義價值實現(xiàn)的連接點，來慎重解決云計算糾紛的司法管轄和法律適用問題，實現(xiàn)司法資源的最合理投入與配置。在跨國云計算犯罪問題上，也應(yīng)鼓勵各國在平等、自愿的基礎(chǔ)上簽訂國際公約，將國際社會公認的極其嚴重的危害全球云計算安全的犯罪視為各國共同防范和打擊的對象，為云計算產(chǎn)業(yè)的發(fā)展創(chuàng)造更有利的國際環(huán)境。

4 結(jié)論

云計算模式的出現(xiàn)給互聯(lián)網(wǎng)時代人們的生活和工作帶來了巨大便捷，也帶來了信息安全、數(shù)據(jù)權(quán)利、知識產(chǎn)權(quán)等相關(guān)問題。只有理性權(quán)衡云計算技術(shù)風險，明確云計算數(shù)據(jù)的證據(jù)規(guī)則、保障用戶知情權(quán)、明確云服務(wù)商的過錯責任制度，從法律責任、技術(shù)、國際合作等多層面采取積極的預(yù)防和規(guī)范措施來解決云計算的安全問題，才能確保云計算產(chǎn)業(yè)的健康、可持續(xù)發(fā)展。

[1] 韓金華.云計算綜述[J]. 企業(yè)技術(shù)開發(fā)，2010，29(8)：13-14.

[2] 劉汝元.基于云計算的電子商務(wù)安全問題研究[J].中國商貿(mào)，2012,(2)：114-115.

[3] 張楚.網(wǎng)絡(luò)法學[M].北京：高等教育出版社,2003.

[4] 汪涌，史學清.網(wǎng)絡(luò)侵權(quán)案例研究[M].北京：中國民主法制出版社，2009.

[5] 于雪峰.網(wǎng)絡(luò)侵權(quán)法律應(yīng)用指南[M]. 北京：法律出版社，2010.

[6] 張新寶.互聯(lián)網(wǎng)上的侵權(quán)問題研究[M]. 北京：中國人民大學出版社，2003.

[7] 王利明，楊立新.中國侵權(quán)行為法[M]. 北京：法律出版社，1996.