如何打造大數(shù)據(jù)時代知情同意制度

今天，大數(shù)據(jù)已經(jīng)不再是新興事物，而成為我們生活中的日常。大數(shù)據(jù)技術(shù)正加速在政務(wù)、金融、交通、教育等行業(yè)落地，形成一個個新應(yīng)用，為整個社會的生產(chǎn)和人們的生活服務(wù)。伴隨著大數(shù)據(jù)的發(fā)展，個人信息保護(hù)問題的關(guān)注度日漸提升，建立大數(shù)據(jù)時代的知情同意制度正在全球范圍內(nèi)成為一股潮流。與此同時，如何培養(yǎng)滿足大數(shù)據(jù)發(fā)展需要的人才也成為熱點話題。

知情同意制度通常指收集和使用用戶個人信息應(yīng)當(dāng)將目的、范圍、方式和用途告知用戶并征得用戶同意。該項制度是用戶個人信息保護(hù)的基本規(guī)則和重要規(guī)范，也是一項核心制度，是用戶知情權(quán)、選擇權(quán)和公平交易權(quán)實現(xiàn)的前提和紅線。大數(shù)據(jù)時代，各類互聯(lián)網(wǎng)應(yīng)用對個人信息的收集更加頻繁和隱蔽，傳統(tǒng)的告知同意框架面臨著諸多挑戰(zhàn)。針對這一趨勢，美國和歐盟對知情同意制度進(jìn)行了改進(jìn)，力圖在促進(jìn)互聯(lián)網(wǎng)行業(yè)發(fā)展和用戶權(quán)益保護(hù)上取得平衡，這為我國建立適應(yīng)大數(shù)據(jù)時代需要的知情同意制度提供了參考。

挑戰(zhàn)：用戶知情權(quán)正在消解

大數(shù)據(jù)時代的到來，給知情同意制度帶來了新的挑戰(zhàn)，主要體現(xiàn)在以下三個方面。

一、對用戶知情權(quán)的消解。大數(shù)據(jù)時代的信息采集通常由各類智能終端在用戶不知情的情況下自動進(jìn)行。信息經(jīng)過反復(fù)共享、傳播流轉(zhuǎn)以后，用戶往往不知道個人信息在何處被何人如何使用，更無法判斷使用頻次，這超出了用戶被告知后的授權(quán)界限。

二、同意授權(quán)方式的模糊。用戶同意的本質(zhì)是一種授權(quán)行為，用戶在這個過程中應(yīng)當(dāng)作出真實的意思表示，沒有被強(qiáng)迫、誘惑或欺詐，且意思表示僅適用于用戶本人，隨時可以撤銷已經(jīng)給出的授權(quán)。大數(shù)據(jù)時代，用戶的個人信息可以在用戶不知情的情況下，實現(xiàn)兩次甚至多次利用，而用戶的同意授權(quán)往往只有一次，因而模糊了同意授權(quán)的界限。

三、缺乏合理場景下的靈活適度授權(quán)。知情同意制度對征得用戶同意的規(guī)定較為籠統(tǒng)，傳統(tǒng)意義上的知情同意以征得用戶同意作為使用用戶個人信息的基本前提，但缺乏對不同場景、不同程度的匿名化要求、不同敏感度分類下的差異化要求。實踐中，企業(yè)為了降低合規(guī)成本同時達(dá)到合規(guī)要求，往往采用征得用戶默示同意的方式，最典型地表現(xiàn)在用戶協(xié)議中納入一攬子同意選項，這種情形下用戶作出的選擇不能完全代表其真實的意思表示。一些企業(yè)則在執(zhí)行知情同意制度上過于機(jī)械，在企業(yè)內(nèi)部共享、匿名化等場景下沒有讓用戶作出默示同意的選項，導(dǎo)致執(zhí)行負(fù)擔(dān)過重、用戶感知欠佳。

國內(nèi)：三大措施亟待落地

結(jié)合國外實踐，我國針對大數(shù)據(jù)時代的需求，可從三個方面對國內(nèi)知情同意制度進(jìn)行完善。

一是細(xì)化現(xiàn)有制度。國內(nèi)現(xiàn)有制度對知情同意的規(guī)定采取了無差別的原則性導(dǎo)向。建議以相關(guān)規(guī)范性文件的修訂為契機(jī)，對當(dāng)前的知情同意制度進(jìn)行細(xì)化規(guī)定，根據(jù)敏感/非敏感信息、風(fēng)險大小、使用方式等因素建立風(fēng)險導(dǎo)向的監(jiān)管機(jī)制，使得知情同意制度更加適合于行業(yè)發(fā)展，如充分告知、合理場景下的適度授權(quán)、允許用戶采用事后退出的方式撤銷同意等。

二是鼓勵政企合作，推動行業(yè)自律。知情同意制度的落腳點是推動行業(yè)發(fā)展、保護(hù)用戶權(quán)益，其發(fā)展需要依托企業(yè)和用戶在實踐中的持續(xù)互動，因此在管理方式上，也需要更多地強(qiáng)調(diào)多方參與和聯(lián)動。在政府和企業(yè)的關(guān)系上，需要轉(zhuǎn)變政府直接、具體規(guī)范企業(yè)行為的傳統(tǒng)方式，而是尊重市場自發(fā)形成的實踐做法，政府可以對這些實踐做法或者規(guī)則進(jìn)行審查、認(rèn)可，還可以倡導(dǎo)、推廣標(biāo)準(zhǔn)合同、自律公約，實現(xiàn)“政府搭臺、企業(yè)唱戲”。

三是通過多種渠道提升用戶意識。用戶是個人信息的主體，用戶自身意識和關(guān)注度的提升涉及這一制度的落實和發(fā)展。企業(yè)要將知情同意條款置于隱私聲明和用戶協(xié)議中的顯著位置；鼓勵第三方機(jī)構(gòu)、行業(yè)組織、媒體聚焦用戶的聲音，倒逼企業(yè)重視用戶權(quán)益和用戶獲得感，逐漸轉(zhuǎn)變企業(yè)通過縮小或模糊字體、默認(rèn)勾選等方式防止用戶關(guān)注并閱讀提示的做法，逐漸強(qiáng)化用戶對自身知情權(quán)和同意權(quán)的關(guān)注。

國際：加快完善知情同意制度

目前，針對大數(shù)據(jù)時代知情同意制度面臨的挑戰(zhàn)，歐盟和美國等已經(jīng)就知情同意制度進(jìn)行了改進(jìn)，在促進(jìn)互聯(lián)網(wǎng)發(fā)展和用戶權(quán)益保護(hù)上尋求平衡。

為了完善知情同意制度，國外正在進(jìn)一步強(qiáng)化充分告知，細(xì)化告知內(nèi)容。告知是用戶授權(quán)的前提，其目的是讓用戶在充分了解風(fēng)險、成本和權(quán)益的基礎(chǔ)上作出是否授權(quán)使用個人信息的意思表示，滿足用戶的知情權(quán)、選擇權(quán)和使用權(quán)。充分告知包括兩方面，一是方式上的明確和合理，包括隱私政策、彈窗提示、短信提醒等；二是內(nèi)容上的更加細(xì)化，包括收集和使用個人信息的用途、規(guī)則等。

歐盟《一般數(shù)據(jù)保護(hù)條例》明確規(guī)定，收集和使用用戶個人信息之前必須明確告知收集的內(nèi)容和方式，與原授權(quán)范圍不一致時，應(yīng)當(dāng)再次告知用戶；美國聯(lián)邦通信委員會發(fā)布的《寬帶和其它電信服務(wù)中用戶隱私保護(hù)規(guī)則》（以下簡稱“FCC新規(guī)”）規(guī)定必須清楚、準(zhǔn)確地告知用戶收集個人信息的內(nèi)容、范圍和使用方式，分享個人信息的情形和目標(biāo)，隱私政策發(fā)生重大變更的具體計劃。

允許用戶撤銷同意，是國際上完善知情同意制度的一個舉措。用戶同意的本質(zhì)是授權(quán)對個人信息的采集和使用，那么同樣可以撤銷同意。美國《消費(fèi)者隱私權(quán)利法案》的“個人控制”部分就明確提到，消費(fèi)者有權(quán)對授權(quán)進(jìn)行撤銷，這種撤銷方式應(yīng)當(dāng)與授權(quán)方式具有相同的便捷性。為了實現(xiàn)這一目的、平衡企業(yè)經(jīng)營的便捷性和用戶權(quán)益，F(xiàn)CC新規(guī)允許寬帶接入商對部分敏感的個人信息采用選擇性退出（opt-out）機(jī)制，即除非用戶選擇事后退出，寬帶接入商就可以使用該信息。

使用匿名、假名等替代性解決方案也正在成為一個趨勢。為方便企業(yè)正常的數(shù)據(jù)活動，可以尋求匿名、假名等作為知情同意制度的替代性解決方案。美國《信息中介與透明度規(guī)范》、日本《個人信息保護(hù)法》等都允許企業(yè)對個人信息進(jìn)行脫敏或匿名化處理后進(jìn)行合理利用，且不必告知用戶并征得同意。目前，美國在線、Netflix等網(wǎng)站已經(jīng)有對用戶個人身份信息的匿名化和假名化處理案例。這種替代性解決方案在提升用戶感知、方便企業(yè)經(jīng)營的同時，也對具體的安全措施、業(yè)務(wù)流程、風(fēng)險識別提出了更高的要求。