李佳祺|运用技术加强个人信息保护的路径探究

运用技术加强个人信息保护的路径探究

李佳祺

首都经济贸易大学

摘要：随着互联网和数字技术的发展，个人信息保护问题受到我国社会与学界的广泛关注。本文通过研究发现，对个人信息权益法律理论的讨论、网络规制的特殊性以及商业竞争对个人数据的争夺，都阻碍了网络空间中个人信息的保护。对此，提出全过程加强个人信息保护、硬件安全架构保护个人敏感信息等解决路径，旨在为运用技术加强我国网络空间个人信息保护提供思路。

关键词：个人信息保护；网络空间；数字技术

一、引 言

随着互联网的发展，个人信息保护问题引起了社会与学界的广泛关注，许多国家都针对个人数据保护出台了相关法规。2021年11月1日，我国正式施行《中华人民共和国个人信息保护法》，表明了对个人信息保护的重视。然而，网络空间中个人信息保护仍存在许多待明确的问题，其面临的困境与解决路径有待研究。

二、我国对于个人信息的定义与相关法规

我国于2021年11月1日正式施行的《中华人民共和国民法典》，对个人信息的范围做出了明确界定，第一千零三十四条：个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。第一百一十一条：自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。该法条明确了自然人的个人信息受到法律保护。

另外，2021年11月1日起施行的《中华人民共和国个人信息保护法》，第一条明确指出，为了保护个人信息权益、规范个人信息处理活动，促进个人信息合理利用，根据宪法制定本法。其中，对于个人信息的收集、存储、使用、加工、传输、提供、公开、删除等行为做出了明确规定。在总则中，明确了个人信息处理应当遵循合法、正当、必要和诚信原则以及公开、透明原则，处理个人信息应当具有明确、合理的目的，不得过度收集，不得非法收集、买卖、公开个人信息，不得从事危害国家安全、公共利益的个人信息处理活动。在第六十九条中，明确侵害个人信息权益造成损害的，将承担侵权责任。高富平等学者认为，该法规在明确个人信息权益的同时，证明个人信息权益具备了民法上的意义。

三、个人信息权益保护面临的困境

（一）个人信息的法理之争

互联网中的所有信息都是以“Byte（字节）”为基本单位存储、传输与利用的，这当然也包括所有涉及某特定自然人的信息。因此，在互联网中，数据即信息，控制了数据就代表得到了信息。数据在硬件上需要依靠存储设备、网络传输设备、计算机等基础设施，在软件上需要借助计算机操作系统以及代码等软件环境才能得以储存和传输。因此，部分学者认为，以数据形式展现的个人信息不能作为民事客体看待。学者梅夏英认为，数据本身不具有独立的经济价值，它依赖于载体、代码和其他诸种要素才能发挥工具性作用；数据不具备民事客体的确定性、独立性，也不构成无形物，并且不契合实体权力表彰功能，因而数据有非客体性。

但是，在以数据形式存储的个人信息中，通常存在包含个人隐私的敏感信息，符合《中华人民共和国民法典》中对隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息的定义范围。对于这部分个人信息的不当使用，可能造成对他人隐私权的侵犯。从这个角度来看，至少数据形式存储的个人信息中的部分内容需要法律法规进行保护，并且要将其作为民事权利客体来看待。

另外，学界对于个人信息权的法律属性定义众说纷纭。学者叶名怡将个人信息权的学理之争总结为八种观点，除前文提到的个人信息权否定说之外，还包括基本权利与自由说、物权或所有权说、隐私权说、一般人格权说、人格权兼财产权说、框架权说以及具体人格权说。学者杨芳认为，个人信息保护法的前置法和预防法定位，其目的不是为了建立一种新的个人权益，而是保护个人既有的权利不遭受损失。可见，学界对个人信息权的归属尚未形成共识，对于个人信息权是否权利化、如何权力化尚未形成较统一的认识，有关个人信息的权益保护法律理论还需要更多研究和讨论。

（二）网络空间规制的技术底色

劳伦斯·莱斯格在其著作《代码2.0：网络空间中的法律》中提到：“在现实空间里，我们可以理解法律的规制机理——通过宪法、法律及其他规范性文件来规制。在网络空间中，我们必须理解代码的规制机理——那些造就网络空间的软件和硬件如何来规制该空间。正如威廉·米切尔所言，代码就是网络空间的‘法律’”。在信息法学研究中，“代码就是法律”这一概念最早由约耳·雷登伯格提出，他认为在网络空间中，代码像法律一样发挥规制互联网的作用，并且与社群规范、法律、市场一起构建了网民在网络空间中的生存环境。

互联网中的一切都是以二进制代码形式存在的，只有通过操作系统和软件代码才能将其转换为人们普遍理解的信息，代码在网络世界中拥有强大的力量。这意味着在网络空间中，任何规制行为都拥有较强的技术性，需要依赖技术来执行，具体到个人信息保护也不例外，相关法条、规定以及协议最终都需要通过代码来发挥作用。例如，欧盟发布的《通用数据保护条例》中明确了个人数据处理相关规定，要求企业和机构通过修改数据管理系统代码，以达到合规。互联网的技术性使得现实世界中常用的法律监督体制难以直接应用于互联网，如果要做到有效的个人信息保护，就需要监管部门、公检法系统和专业技术人员的协同配合。冯登国、张敏等学者认为，在大数据时代，只能通过技术与政策法规相结合，才能实现对于个人数据的保护。

（三）商业竞争对个人信息的争夺

佩德罗·多明戈斯在其著作《终极算法：机器学习和人工智能如何重塑世界》中，对数据和商业机构之间的关系做出了解释：“在当今世界中，谁有最佳的算法，数据最多，谁就能赢”。笔者将其扩展解释为，一切利用数据以及算法的商业体，在面对竞争时都选择优化自己的算法，因为更优秀的算法对用户和商品更准确地预测，意味着更低的成本和更高的效益。这充分体现商业体对于个人数据有广泛的需求，并且随着竞争的激烈，这种需求将会持续加强。除互联网公司外，传统行业也在进行数字化转型，各大企业已经将数据视为一种战略资源，他们的目标是在收集更多数据的同时避免被竞争者收集自己拥有的数据。这种竞争隐蔽且激烈，例如，近年发生的华为与腾讯的个人数据争端。在类似的商业竞争中，个人数据面临前所未有的、由商业利益与市场竞争压力驱动的隐私危机。

在这种竞争下，用于获取用户个人数据的技术发展迅速，例如，在诞生之初仅仅用于搜索引擎的网络爬虫技术，近年来已经被应用于收集用户个人数据。学者丁晓东在针对网络爬虫对个人数据抓取的研究中提出，网络爬虫对个人信息的抓取存在侵犯个人数据的风险，同时，个人数据的归属权也存在争议，学界尚未统一认定个人数据应该归属于个人、平台还是公共所有。商业竞争中，如何维持市场发展的活力与个人信息保护之间的平衡，需要我们进一步探索。

四、运用技术加强个人信息保护的路径

（一）全过程加强个人信息保护

数字时代，技术是保证个人信息安全的核心。要保证个人信息被安全、合理地使用，保护用户的个人信息权益，就要在信息收集、存储、使用、加工、传输、提供、公开、删除全过程加强个人信息保护。

１．收集。个人信息收集环节，首先，要保证信息收集的公开性，数据处理平台应明确个人信息收集的范围、使用渠道、留存期限、保密协议等，并在收集用户个人信息前及时、明确地告知用户，保证数据来源者的知情权，维护数据收集的合理性原则。其次，要在智能手机、个人电脑等设备的操作系统交互界面设置个人信息保护程序，在互联网服务提供者获取个人信息时给予用户决定权，并在后续使用中实时显示个人信息是否被采集。

２．存储与传输。网络传输阶段，尤其在传输涉及医疗、生物特征等敏感信息时，数据处理方应具备必要的加密措施，以应对可能发生的数据包窃取问题。数据存储则需要建立完善的网络防火墙，以保证数据安全。但是，近年来发生的多起数据库泄露事件中，不仅有外部黑客攻击，还有内部员工泄密。因此，在完善数据库软件防护体系的同时，还要建立完善的管理制度。《中华人民共和国个人信息保护法》第五十一条明确规定，个人信息处理者有采用相应的加密、去标识化等安全措施的义务。根据GoUpSec发布的《2023年数据泄露事件盘点》，2023年，数据泄露事件广泛发生于科技公司、数码产品生产商、汽车制造商、手机制造商、门户网站和航空服务商等行业。数据窃取已经形成非法产业链，各个行业和机构要进一步加强数据安全工作。

３．使用与加工。数据处理方应严格执行必要的去标识化和去匿名化程序，并在数据使用环节严格遵守合理性原则，采用对个人权益影响最小的方式，包括但不限于年龄验证时只提取需要的年龄信息、电子支付时只调用支付信息等。

４．提供、公开与删除。信息处理方应保证信息来源者拥有查阅个人信息的权力，并履行更改不实信息的义务；允许用户决定个人信息的公开范围与时间，并保证用户拥有删除自己已存储的个人信息的权力，即“被遗忘权”。何培育将“被遗忘权”定义为：“数据主体享有的数据被遗忘的权力，不仅是为数据主体所遗忘，也是为他人甚至整个社会而遗忘。”

综上所述，实现个人信息保护，要以法律保护为基础，以代码为规制手段，使个人信息处理的全过程符合《中华人民共和国个人信息保护法》中提及的基本原则，在保证被采集者知情权的基础上，将对被采集者的影响控制到最小，并以数字协议的方式保证个人信息权益。

（二）硬件安全架构保护个人敏感信息

《中华人民共和国个人信息保护法》中，将个人信息分为一般个人信息与敏感个人信息，第二十八条明确指出：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息，只有在具有特定的目的和充分必要性，并在采取严格措施保护的情形下，个人信息处理者方可处理敏感个人信息。

学者黄子芮综合国内外学者对于个人敏感信息的１研究，采用量化统计的方式得出我国个人敏感信息的主要类型为：1.个人健康信息、个人财产信息、个人信用评级、犯罪记录、受害人记录；2.个人生物识别信息；3.个人身份识别信息；4.私人文件、个人通讯资料；5.精确地理位置。

针对个人健康信息、个人财产信息、个人信用评级、犯罪记录以及受害人记录，即前文中提及的第一类敏感信息，由于涉及医疗系统、银行金融系统、公检法系统，并且不同区域不同单位之间需要查询共享，所以适合建立不接入互联网的局域网数据库，以内部网络系统的方式抵御信息泄露，以物理隔绝的方式保护个人敏感数据。对于以上信息的查询、修改等操作，应以内部日志的方式记录，以建立权责对应的管理制度。

针对个人生物识别信息，我国学者褚婧一提出，以“只识别＋直接识别”的标准来规定个人生物识别信息的类别，包括个人基因、声纹、掌纹、指纹、面部识别特征等。指纹、面部识别特征以及虹膜等个人生物识别信息，常作为设备解锁、支付和敏感信息查看等功能的验证手段，对于这些信息，要通过硬件安全模块和本地加密的方式进行存储和保护。以智能手机行业为例，华为利用TEE智能微内核，通过形式化方法，从硬件层次管控允许访问个人敏感信息的设备以及允许访问的数据量。

针对个人身份识别信息、个人文件以及通讯记录、精确地理位置信息，则要在收集时给予个人数据提供者实时提醒，在获得权限许可的情况下，明确使用的时间和范围。

五、结　语

《中华人民共和国民法典》以及《中华人民共和国个人信息保护法》中对自然人的个人信息权益及保护做出了完善的阐述，并明确了法律层面对于公民个人信息权益的保护。但是，由于网络规制中以代码作为执行手段的特殊性质，以及市场竞争驱使商业争夺用户数据等原因，网络空间中的个人信息权益保护仍然存在一些问题。为了平衡个人信息保护与信息流通便利性，还要依靠政府机关、商业平台、用户社群等相关方的共同努力。