數(shù)據(jù)合規(guī)2020年展望

朱玲鳳

數(shù)據(jù)合規(guī)行業(yè)在2019年取得了很大的進(jìn)展，影響頗大。

近年來(lái)飛速發(fā)展的數(shù)據(jù)產(chǎn)業(yè)使人們對(duì)數(shù)據(jù)價(jià)值的認(rèn)識(shí)越來(lái)越深刻，數(shù)據(jù)被譽(yù)為除算法和算力以外，大數(shù)據(jù)公司的第三種重要資產(chǎn)。但在產(chǎn)業(yè)持續(xù)擴(kuò)張的同時(shí)，與數(shù)據(jù)有關(guān)的負(fù)面新聞也大幅增加，特別是國(guó)內(nèi)連續(xù)發(fā)生多起以徐玉玉案為代表的精準(zhǔn)電信詐騙案，國(guó)外Google、Facebook等巨頭也接連被曝出數(shù)據(jù)泄露丑聞，人們對(duì)于數(shù)據(jù)和隱私安全的擔(dān)憂日益加深。為規(guī)范大數(shù)據(jù)應(yīng)用、確保數(shù)據(jù)和隱私安全，世界各國(guó)都在持續(xù)不斷的加強(qiáng)立法，歐盟和美國(guó)先后出臺(tái)了《通用數(shù)據(jù)保護(hù)條例》、《2018加州消費(fèi)者隱私法案》，我國(guó)的《網(wǎng)絡(luò)安全法》和《電子商務(wù)法》也已正式生效。同時(shí)，《個(gè)人信息保護(hù)法》也進(jìn)入了立法程序，數(shù)據(jù)合規(guī)將成為維護(hù)產(chǎn)業(yè)平穩(wěn)健康發(fā)展，保障公司商業(yè)利益和正常運(yùn)營(yíng)的重要基石。

圖1 元數(shù)據(jù)治理步驟

由于在司法實(shí)踐中，執(zhí)法機(jī)關(guān)傾向于對(duì)個(gè)人數(shù)據(jù)以及侵犯行為的類型進(jìn)行擴(kuò)大適用，所以即使已經(jīng)做了全面的盡職調(diào)查工作，作為數(shù)據(jù)接收方仍要在交易前認(rèn)真考量如果數(shù)據(jù)提供方被行政機(jī)關(guān)甚至司法機(jī)關(guān)判定為非法收集、使用或共享個(gè)人數(shù)據(jù)，是否能夠承擔(dān)相應(yīng)的法律后果。把好入口關(guān)，僅僅是企業(yè)數(shù)據(jù)合規(guī)的第一步。

從國(guó)際立法角度來(lái)看，歐盟統(tǒng)一數(shù)據(jù)保護(hù)條例（GDPR）生效一周年，各方反饋不一，負(fù)面評(píng)價(jià)稱GDPR嚴(yán)重影響了企業(yè)發(fā)展尤其是創(chuàng)新，而且一定程度上并未明顯提升對(duì)消費(fèi)者權(quán)益的保護(hù);正面評(píng)價(jià)稱GDPR從賦予用戶強(qiáng)大的權(quán)利以及要求數(shù)據(jù)控制者（和處理者）承擔(dān)相對(duì)嚴(yán)格的義務(wù)的角度來(lái)保障作為人身自由和權(quán)利一部分的用戶數(shù)據(jù)。在后GDPR時(shí)代，各國(guó)立法迅速啟動(dòng)，連秉持不同立法邏輯的美國(guó)都有較大的變化，號(hào)稱為GDPR2.0的CCPA草案在2019年歷經(jīng)幾次修訂，于2020年1月1日生效。

從國(guó)際執(zhí)法角度來(lái)看，GDPR生效后歐盟各數(shù)據(jù)保護(hù)機(jī)關(guān)執(zhí)法頻繁，有賠償金額過(guò)億的英國(guó)ICO處罰英航的案例，處罰類型上也較為全面，有涉及員工個(gè)人信息處理的普華永道案，有涉及人臉識(shí)別的瑞典學(xué)校案，有涉及個(gè)性化廣告處理的谷歌案等。轟動(dòng)全行業(yè)的劍橋分析案，美國(guó)FTC調(diào)查并與之達(dá)成和解，最終達(dá)成了50億美金的巨額和解金以及重構(gòu)董事會(huì)內(nèi)的隱私管理職責(zé)等。

從國(guó)內(nèi)視野來(lái)看，自2019年1月以來(lái)，網(wǎng)信辦、工信部、公安部和市場(chǎng)監(jiān)督管理總局聯(lián)合開(kāi)展APP專項(xiàng)治理工作。立法上，《兒童個(gè)人信息網(wǎng)絡(luò)保護(hù)規(guī)定》以及《APP違法違規(guī)手機(jī)使用個(gè)人信息行為認(rèn)定辦法》生效并實(shí)施，并有多部重要立法和國(guó)家標(biāo)準(zhǔn)征求意見(jiàn)稿出臺(tái)。執(zhí)法動(dòng)態(tài)上，通過(guò)用戶的舉報(bào)、主動(dòng)應(yīng)用商店排查等，四部委均作出了重要的舉措。比如工信部11月份開(kāi)展的《APP侵害用戶權(quán)益專項(xiàng)整治行動(dòng)》，2019年12月23日，App專項(xiàng)治理工作組通報(bào)61款A(yù)pp存在違規(guī)收集使用個(gè)人信息問(wèn)題。

此番舉措為數(shù)據(jù)合規(guī)逐步成為一個(gè)獨(dú)立的行業(yè)或?qū)I(yè)領(lǐng)域注入了強(qiáng)大的力量。在2019年結(jié)束之際，筆者從企業(yè)數(shù)據(jù)合規(guī)角度嘗試展望2020年的趨勢(shì)與變化。

數(shù)據(jù)合規(guī)行業(yè)的藍(lán)海

上述2019年數(shù)據(jù)合規(guī)的盤點(diǎn)，可以明顯看出數(shù)據(jù)合規(guī)立法逐步清晰，可謂成為單獨(dú)的法律領(lǐng)域，執(zhí)法節(jié)奏之緊密，后果之嚴(yán)重，給企業(yè)帶來(lái)了很大的合規(guī)風(fēng)險(xiǎn)，成為企業(yè)合規(guī)清單上重要的部分。所以，數(shù)據(jù)合規(guī)將必然成為一個(gè)獨(dú)立的行業(yè)或?qū)I(yè)領(lǐng)域。

反觀有著悠久歷史數(shù)據(jù)合規(guī)的歐盟，其在GDPR實(shí)施一周年報(bào)告中指出，歐盟已有50萬(wàn)公司設(shè)立了數(shù)據(jù)保護(hù)官。今年一年從行業(yè)的人才需求來(lái)看，大量的頭部企業(yè)均在尋找數(shù)據(jù)合規(guī)人才?？梢?jiàn)，數(shù)據(jù)合規(guī)行業(yè)的藍(lán)海已經(jīng)到來(lái)，數(shù)據(jù)合規(guī)崗可能成為一個(gè)中型以上公司的標(biāo)配。

數(shù)據(jù)合規(guī)立法和標(biāo)準(zhǔn)進(jìn)入井噴期

從國(guó)際視野來(lái)看，后GDPR時(shí)代各國(guó)都在仿照GDPR設(shè)計(jì)本國(guó)的隱私數(shù)據(jù)法律規(guī)定。比如印度2019年發(fā)布了印度數(shù)據(jù)保護(hù)法2019年草案，并經(jīng)過(guò)內(nèi)閣審議，有望在2020年生效。美國(guó)也在探討是否要在聯(lián)邦層面制定隱私數(shù)據(jù)保護(hù)的法律規(guī)定。

從國(guó)內(nèi)視野來(lái)看，將會(huì)有更大的變化，民法典草案《人格權(quán)編》已經(jīng)規(guī)定了隱私權(quán)和個(gè)人信息保護(hù)，2020年將公布《個(gè)人信息保護(hù)法》征求意見(jiàn)稿。同時(shí)《信息安全技術(shù) 個(gè)人信息安全規(guī)范（修訂）》將有望生效，在2019年征求意見(jiàn)的《信息安全技術(shù) 移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（app）收集個(gè)人信息基本規(guī)范》、《信息安全技術(shù) 個(gè)人信息安全工程指南》等均有所進(jìn)展。

數(shù)據(jù)保護(hù)尋求多方共治解決路徑

2019年執(zhí)法集中在app層面，在此期間進(jìn)一步拓展到了sdk。其實(shí)從業(yè)界角度來(lái)看，互聯(lián)網(wǎng)行業(yè)乃至于物聯(lián)網(wǎng)行業(yè)依托于各方，彼此依賴，相互影響。在2019年12月30日召開(kāi)的《App個(gè)人信息保護(hù)工作研討會(huì)》上，四部委領(lǐng)導(dǎo)在致辭中有提到“構(gòu)建社會(huì)各方積極參與的個(gè)人信息保護(hù)生態(tài)體系等方面，進(jìn)一步采取有效措施，形成工作合力，切實(shí)加強(qiáng)個(gè)人信息保護(hù)工作”，也有提出“行業(yè)自律等措施”，以及“繼續(xù)積極探索社會(huì)協(xié)同治理的新模式和新舉措”。

圖2 2016—2020 年中國(guó)人臉識(shí)別市場(chǎng)規(guī)模預(yù)測(cè)。來(lái)源：公開(kāi)資料整理

可見(jiàn)，2020年在加大執(zhí)法力度的同時(shí)也進(jìn)一步提出多方共治的模式，推進(jìn)個(gè)人信息保護(hù)的長(zhǎng)效機(jī)制進(jìn)一步發(fā)展。

從合規(guī)出發(fā)的數(shù)據(jù)治理

2019年工信部開(kāi)展《電信和互聯(lián)網(wǎng)行業(yè)提升發(fā)展網(wǎng)絡(luò)數(shù)據(jù)安全管理專項(xiàng)行動(dòng)》，在雙隨機(jī)一公開(kāi)工作中，指出了部分企業(yè)未采取有效數(shù)據(jù)分級(jí)、敏感信息加密等涉及數(shù)據(jù)治理領(lǐng)域的合規(guī)要求。（見(jiàn)表1）

表1 《電信和互聯(lián)網(wǎng)行業(yè)提升發(fā)展網(wǎng)絡(luò)數(shù)據(jù)安全管理專項(xiàng)行動(dòng)》部分不合規(guī)企業(yè)。來(lái)源：摘自《電信和互聯(lián)網(wǎng)行業(yè)提升發(fā)展網(wǎng)絡(luò)數(shù)據(jù)安全管理專項(xiàng)行動(dòng)》

2019年12月31日，安徽銀保監(jiān)局針對(duì)安徽鳳陽(yáng)農(nóng)商銀行作出了一項(xiàng)25萬(wàn)元的罰款，理由是未能有效開(kāi)展數(shù)據(jù)治理工作，數(shù)據(jù)治理存在嚴(yán)重缺陷。（見(jiàn)表2）

表2 安徽銀保監(jiān)局處罰案例

可見(jiàn)，執(zhí)法層面已經(jīng)開(kāi)始關(guān)注數(shù)據(jù)治理的問(wèn)題。個(gè)人信息保護(hù)從2019年集中處理app個(gè)人信息保護(hù)將深入到后端是否采取了數(shù)據(jù)分類分級(jí)以及相應(yīng)的數(shù)據(jù)治理規(guī)則。

此前，2018年被認(rèn)定為數(shù)據(jù)治理元年，大量的公司在強(qiáng)調(diào)數(shù)據(jù)中臺(tái)，真正實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型或者數(shù)據(jù)驅(qū)動(dòng)型。用戶數(shù)據(jù)在精準(zhǔn)化營(yíng)銷、定向推送、人工智能等領(lǐng)域有極強(qiáng)的作用，因此實(shí)現(xiàn)數(shù)據(jù)治理，讓數(shù)據(jù)可以用起來(lái)也是企業(yè)自身發(fā)展的訴求。

因此，2020年有望看到從合規(guī)出發(fā)的數(shù)據(jù)治理格局，在更多的公司進(jìn)一步推進(jìn)數(shù)據(jù)中臺(tái)。

人臉識(shí)別等AI前沿技術(shù)運(yùn)用的數(shù)據(jù)合規(guī)規(guī)制

2019年人臉識(shí)別技術(shù)大范圍地鋪開(kāi)使用，比如火車站、飛機(jī)的實(shí)名驗(yàn)證，支付領(lǐng)域的人臉支付快捷方式，刷臉執(zhí)法，人臉識(shí)別情緒被用于課堂監(jiān)控學(xué)生學(xué)習(xí)。

人臉識(shí)別技術(shù)確實(shí)對(duì)于人們的生活便利性有了很大提升，對(duì)于公共安全也有一定幫助，比如張學(xué)友演唱會(huì)通過(guò)人臉識(shí)別抓捕到幾十人的逃犯。然而，人臉識(shí)別技術(shù)如果被濫用，將會(huì)導(dǎo)致人身和財(cái)產(chǎn)有所損害，比如人臉數(shù)據(jù)庫(kù)泄漏、人臉識(shí)別技術(shù)被濫用于商業(yè)用途等。

各國(guó)正在對(duì)人臉識(shí)別技術(shù)做積極的法律探索，2019年美國(guó)多個(gè)州禁止市政部門使用人臉識(shí)別技術(shù)，法國(guó)CNIL出具了關(guān)于人臉識(shí)別的報(bào)告，中國(guó)人民銀行組織銀行卡檢測(cè)中心與銀聯(lián)、云從科技等算法廠商、終端廠商等單位共同編寫《人臉識(shí)別線下支付安全應(yīng)用技術(shù)規(guī)范（試行）》，以保障人臉識(shí)別技術(shù)在支付領(lǐng)域的安全應(yīng)用。人臉識(shí)別技術(shù)有望在2020年出臺(tái)明確清晰的規(guī)則指引。

隱私增強(qiáng)技術(shù)進(jìn)入落地期

阿里達(dá)摩院發(fā)布的十大科技趨勢(shì)中提到了“保護(hù)數(shù)據(jù)隱私的AI技術(shù)將加速落地”。在數(shù)字經(jīng)濟(jì)時(shí)代，數(shù)據(jù)是生產(chǎn)要素，需要發(fā)揮數(shù)據(jù)的潛能。然而另一方面，安全與隱私保護(hù)力度的日益強(qiáng)化，一定程度上會(huì)阻礙數(shù)據(jù)流動(dòng)和潛能發(fā)展。

因此，需要在隱私保護(hù)和數(shù)據(jù)可用性間實(shí)現(xiàn)平衡。一個(gè)公司內(nèi)的數(shù)據(jù)可以嘗試使用差分隱私技術(shù)等，在不泄漏個(gè)人隱私的前提下分析群體用戶的傾向。多個(gè)公司之間數(shù)據(jù)的流動(dòng)難度就更大，數(shù)據(jù)合規(guī)風(fēng)險(xiǎn)以及相互之間的不信任導(dǎo)致數(shù)據(jù)流動(dòng)存在障礙，所以探索隱私增強(qiáng)的AI技術(shù)訴求增強(qiáng)，可能會(huì)加速落地實(shí)際業(yè)務(wù)。

如上所述，隱私數(shù)據(jù)保護(hù)未來(lái)將變成常態(tài)，數(shù)據(jù)合規(guī)將成為獨(dú)立的專業(yè)或行業(yè)毋庸置疑。2020年立法持續(xù)井噴，數(shù)據(jù)合規(guī)人員的學(xué)習(xí)壓力增加。數(shù)據(jù)合規(guī)執(zhí)法將尋求多方共治，更具有體系性和長(zhǎng)效性，同時(shí)將合規(guī)領(lǐng)域拓展到后端的數(shù)據(jù)治理。新技術(shù)將會(huì)給隱私保護(hù)帶來(lái)問(wèn)題，也可能解決隱私保護(hù)與數(shù)據(jù)可用之間的矛盾。