变革中的个人数据保护原则

文 施佳倩

国家社科基金重大项目“信息服务与信息交易法律制度研究”课题组成员、华东政法大学民商法学硕士

（图片来自网络，侵删）

变革中的个人数据保护原则

（因篇幅所限，本文所有相关注释均已删除）

相对于OECD专家组出具的修订建议稿，其他官方组织与社会人士则认为在大数据时代，原先确立的八项基本原则已经显得过时了，要真正实现大数据的经济与社会价值并且同时保障数据主体的个人利益与自由，需要彻底改革基本原则的内容。这些异议声音中最具代表性的是由微软公司组建的工作组，该工作组提出了自己起草的较为完善的修订方案。

自2012年起，美国微软公司开始广泛号召全世界的专家学者关注数据保护问题，并进行学术探讨与立法考察。2012年9月，微软公司在其总部举行了一场全球隐私峰会，邀请了来自政府机构、工业领域、公益组织以及学术界的研究隐私与数据保护的70多位专家与会。在举行了多次活动之后，专家们认为以下几个方面的修订意见最受关注：

1

减少对数据收集、事先告知与同意要求的关注，更多地关注对数据使用中的效益与风险的实践评估。

2

限缩或逐渐削弱目的特定化原则和使用限制原则的作用，目的特定化原则要求收集个人数据时必须出于特定明确的目的，使用限制原则将数据使用限制在该特定目的范围内，两者相辅相成。

3

恢复OECD《指南》的初衷——隐私和信息自由流动之间的平衡，避免过分限制的或灵活的数据隐私法律制约科技创新。

4

增加数据使用者对其访问、储存并使用个人数据等行为的责任，使其对其损害数据主体的行为负责。

5

对因不合理使用个人数据而产生的“损害”做出更加广义的界定，落实好在实践体系和处理中识别、平衡、减少该损害的发生。

基于上述建议，微软公司最终邀请了牛津大学互联网研究院组建起一个由7位具有数据保护监管经验的高层领导组成的工作组，并由弗雷德·凯特（Fred H.Cate）和维克多·迈尔（Viktor Mayer-Schonberger）领导整个工作组来修订OECD《指南》的基本原则，并提出了其认为符合21世纪要求的具体修正意见以达到更新《指南》的目的。

微软工作组提出的修订意见稿主要针对的就是OECD确立的八项基本原则，意见稿对这些原则作出了基础性的变动。修正后的原则将数据保护责任从数据主体一方转移到了数据控制者一方，且其更加注重数据使用环节而非收集环节，修正案对适用于数据收集的原则和适用于数据使用或其他处理行为的原则作了非常明显的区别对待。修正后的原则删去了“目的特定化原则”，代之以“实施原则”。此外，修订意见稿从广义上定义“使用”一词，并扩充了使用原则（以前的使用限制原则）的内容，意见稿指出，决定某些数据用途是否应被许可应当权衡数据用途的危害与利益以及预防潜在危害发生的措施是否到位等因素。从效果上来说，修正后的原则认识到了大数据的价值，试图在大数据的背景下回归OECD最初的目标，即平衡“隐私保护与信息自由流通之间基础且对立的价值”。但是应当注意的是修正后的原则只能适用于未被“去身份化”的个人数据。修正后的原则中也有对告知与同意的规定，例如，收集原则要求数据控制者评估个人是否能够合理地预见到其数据将被收集，该评估决定收集时是否需要征得其同意。但是相较于OECD基本原则对“告知与同意”的高度依赖，专家组则认为这项事前机制已经逐渐失去了实质意义，不应当再对其投入过高的关注，事前的同意只能是作为保障机制的一种手段而不是数据行为合法性的所有依据。此外，修正后的原则将个人选择作为一种预防数据使用潜在危害发生的高度保护，但是这种选择应当是有意义、清晰且伴有与该选择相关且可理解的信息以及该选择的后果。

综上所述，不论是OECD自身对《指南》的修订，还是诸如微软工作组这样的非官方组织提出的观点，都在表达着整个世界的诉求。面临大数据的挑战，原有的个人数据保护与利用原则已经不再满足于现实的需要，在数据被大量制造、迅速流通与广泛利用的今天，每个国家都希望充分的利用互联网应用技术与大数据分析技术来带动国家实体经济、完善国家治理模式、优化社会公共服务，最终实现整个人类社会的发展。因此，OECD提出的基本原则不能停止其变革的脚步，这些原则需要不断吸收新的有益成果，不断丰富和完善自身的内涵，以服务于人类实践的需要。

责任编辑：唐文翰

【版权声明】未经作者同意，任何单位及个人不得以任何方式或理由对上述材料的任何部分进行使用、复制、修改等，转载请注明出处

本文为《个人数据保护和利用国际规则：源流与趋势》一书的内容，想要深入了解个人数据保护问题的相关研究成果，欢迎购买正版书籍阅读完整内容。