個(gè)人信息保護(hù)刑事合規(guī)的主要場(chǎng)景與完善建議
隨著數(shù)字經(jīng)濟(jì)不斷發(fā)展，涉及個(gè)人信息保護(hù)的違法犯罪數(shù)量快速增長(zhǎng)。面對(duì)嚴(yán)峻的形勢(shì)，我國(guó)立法機(jī)關(guān)和司法機(jī)關(guān)加大了對(duì)個(gè)人信息的保護(hù)力度。在2022年9月6日召開(kāi)的最高人民法院新聞發(fā)布會(huì)上，最高人民法院相關(guān)部門(mén)負(fù)責(zé)人介紹，“從司法實(shí)踐來(lái)看，一些企業(yè)、機(jī)構(gòu)存在違法獲取、過(guò)度使用、非法交易個(gè)人信息的問(wèn)題。人民法院要支持行業(yè)主管部門(mén)和有關(guān)單位采取切實(shí)有效措施，健全個(gè)人信息日常監(jiān)管和內(nèi)部管理機(jī)制，為行業(yè)有效監(jiān)管提供有力司法保障”。
個(gè)人信息保護(hù)的刑事合規(guī)是現(xiàn)代企業(yè)治理體系在數(shù)字經(jīng)濟(jì)時(shí)代的必然要求，企業(yè)應(yīng)積極防范個(gè)人信息刑事法律風(fēng)險(xiǎn)，用嚴(yán)密的管理與法律合規(guī)機(jī)制杜絕個(gè)人信息相關(guān)犯罪的發(fā)生。與個(gè)人信息保護(hù)相關(guān)的企業(yè)刑事合規(guī)主要涉及三個(gè)場(chǎng)景：網(wǎng)絡(luò)爬蟲(chóng)、數(shù)據(jù)采買(mǎi)和數(shù)據(jù)對(duì)外提供。
一、網(wǎng)絡(luò)爬蟲(chóng)場(chǎng)景中個(gè)人信息保護(hù)刑事合規(guī)風(fēng)險(xiǎn)與完善建議
1.網(wǎng)絡(luò)爬蟲(chóng)場(chǎng)景中個(gè)人信息保護(hù)刑事合規(guī)風(fēng)險(xiǎn)。通過(guò)網(wǎng)絡(luò)爬蟲(chóng)技術(shù)，企業(yè)可以根據(jù)實(shí)際需要經(jīng)由計(jì)算機(jī)自動(dòng)地抓取互聯(lián)網(wǎng)信息，從而實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)信息的高效讀取和收集。雖然對(duì)網(wǎng)絡(luò)爬蟲(chóng)技術(shù)的合理利用有利于工作效率的提高，但其利用是有合法邊界的。從爬蟲(chóng)的司法規(guī)制看，已有的司法判決主要關(guān)切兩方面的問(wèn)題：一方面是規(guī)范爬蟲(chóng)技術(shù)的使用規(guī)則，另一方面是對(duì)爬蟲(chóng)獲取對(duì)象的數(shù)據(jù)權(quán)益進(jìn)行確權(quán)。總體來(lái)看，法院在司法判決中一般以技術(shù)中立為原則，不否定爬蟲(chóng)技術(shù)的合法性，但為其使用設(shè)置嚴(yán)格的邊界或限定條件。
作為一種自動(dòng)化程序，網(wǎng)絡(luò)爬蟲(chóng)在運(yùn)行過(guò)程中較難直接獲得被收集個(gè)人信息主體的同意，可能會(huì)存在侵犯公民個(gè)人信息等刑事風(fēng)險(xiǎn)。例如，9人利用爬蟲(chóng)違規(guī)獲取企業(yè)注冊(cè)信息，因構(gòu)成侵犯公民個(gè)人信息罪而獲刑。又如，利用爬蟲(chóng)技術(shù)獲取2.1億條簡(jiǎn)歷數(shù)據(jù)，被法院以侵犯公民個(gè)人信息罪判刑七年、個(gè)人罰金1000萬(wàn)元。企業(yè)要結(jié)合網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法和個(gè)人信息保護(hù)法等法律規(guī)定，形成與自身業(yè)務(wù)規(guī)則相融合且行之有效的爬蟲(chóng)管控機(jī)制，將個(gè)人信息保護(hù)的合規(guī)義務(wù)納入內(nèi)部的審批和管理流程中，避免技術(shù)濫用。
2. 網(wǎng)絡(luò)爬蟲(chóng)場(chǎng)景下的刑事合規(guī)。網(wǎng)絡(luò)爬蟲(chóng)場(chǎng)景下個(gè)人信息保護(hù)的刑事合規(guī)，可以從是否遵守robots協(xié)議和是否設(shè)置抓取內(nèi)容的限制策略兩個(gè)方面分析。若網(wǎng)站設(shè)置有robots協(xié)議，則應(yīng)嚴(yán)格遵守。盡管目前違反此類(lèi)協(xié)議的抓取是否違法尚有一定爭(zhēng)議，但仍應(yīng)謹(jǐn)慎對(duì)待，不宜突破目標(biāo)網(wǎng)站的反爬技術(shù)措施。除遵守robots協(xié)議外，設(shè)置抓取內(nèi)容的限制策略也是必要的，并在抓取后對(duì)所獲內(nèi)容及時(shí)進(jìn)行審查。如發(fā)現(xiàn)數(shù)據(jù)屬于用戶的個(gè)人信息，則應(yīng)及時(shí)停止抓取，并完整刪除已經(jīng)爬取的數(shù)據(jù)。
值得注意的是，在與爬蟲(chóng)相關(guān)的個(gè)人信息保護(hù)刑事案件中，仍有一些問(wèn)題需要明確，并進(jìn)而統(tǒng)一類(lèi)案裁判標(biāo)準(zhǔn)。比如，如何界定“侵入計(jì)算機(jī)系統(tǒng)”，爬蟲(chóng)繞過(guò)口令、技術(shù)措施, 抑或違反網(wǎng)站上公開(kāi)的使用聲明，是否都屬于“侵入”？前述問(wèn)題的認(rèn)定，關(guān)系到爬蟲(chóng)使用的邊界以及具體場(chǎng)景下行為的合法性問(wèn)題，需要在司法實(shí)踐中予以明確或統(tǒng)一認(rèn)定標(biāo)準(zhǔn)。
二、數(shù)據(jù)采買(mǎi)場(chǎng)景中個(gè)人信息保護(hù)刑事合規(guī)風(fēng)險(xiǎn)與完善建議
1.數(shù)據(jù)采買(mǎi)場(chǎng)景中個(gè)人信息保護(hù)刑事合規(guī)風(fēng)險(xiǎn)。根據(jù)《關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》第四條的規(guī)定，違反國(guó)家有關(guān)規(guī)定，通過(guò)購(gòu)買(mǎi)、收受、交換等方式獲取公民個(gè)人信息，或者在履行職責(zé)、提供服務(wù)過(guò)程中收集公民個(gè)人信息的，屬于刑法第二百五十三條之一第三款規(guī)定的“以其他方法非法獲取公民個(gè)人信息”。這就要求企業(yè)在獲取數(shù)據(jù)階段，保證自行收集數(shù)據(jù)的合規(guī)以及從第三方獲取數(shù)據(jù)的合規(guī)。而且，企業(yè)還需要加強(qiáng)對(duì)自己之前獲得個(gè)人信息行為的自查，在涉及收集、使用個(gè)人信息的部門(mén)眾多、環(huán)節(jié)復(fù)雜時(shí)，尤其應(yīng)重視自查工作，如發(fā)現(xiàn)存在超過(guò)授權(quán)范圍或違反其他合法性基礎(chǔ)的行為，應(yīng)及時(shí)予以糾正。
基于同意處理個(gè)人信息時(shí)，應(yīng)遵循合法、正當(dāng)、必要原則。這就意味著，并不是獲取用戶的同意就可以任意處理用戶的個(gè)人信息，還需要對(duì)個(gè)人信息處理本身的合法性進(jìn)行審查，是否符合最小必要原則。但在具體個(gè)案中，數(shù)據(jù)采買(mǎi)場(chǎng)景下，如何理解最小必要，需要通過(guò)司法實(shí)踐的個(gè)案裁判予以回應(yīng)。
2.數(shù)據(jù)采買(mǎi)場(chǎng)景下的刑事合規(guī)?！胺欠ǐ@取”行為的核心特點(diǎn)之一是未經(jīng)信息主體“同意”且無(wú)其他合法依據(jù)，據(jù)此，企業(yè)通過(guò)第三方獲取數(shù)據(jù)時(shí)，有義務(wù)對(duì)第三方供應(yīng)商數(shù)據(jù)的合法性進(jìn)行審查并留存證據(jù)，避免因第三方數(shù)據(jù)來(lái)源的不合法而引發(fā)刑事法律風(fēng)險(xiǎn)。例如，企業(yè)要審查供應(yīng)商數(shù)據(jù)來(lái)源合法的證明文件，查明供應(yīng)商與用戶簽訂的協(xié)議是否明確授權(quán)，以及授權(quán)使用的范圍、用途等，要求供應(yīng)商提供并簽署數(shù)據(jù)未侵犯他人個(gè)人信息和其他合法權(quán)益的承諾書(shū)。
然而，目前對(duì)于數(shù)據(jù)接收方審查所要達(dá)到的程度，法律規(guī)定不夠具體、明確，造成了實(shí)踐中做法的不統(tǒng)一，甚至是沖突。因此，數(shù)據(jù)接收方對(duì)數(shù)據(jù)提供方獲得用戶授權(quán)的審查要達(dá)到何種程度，宜通過(guò)司法裁判予以明確：數(shù)據(jù)接收方對(duì)用戶授權(quán)承擔(dān)形式審查義務(wù)，還是承擔(dān)實(shí)質(zhì)審查義務(wù)、審查每條授權(quán)的實(shí)際情況，抑或是按比例抽查等其他方式？
三、數(shù)據(jù)對(duì)外提供場(chǎng)景中個(gè)人信息保護(hù)刑事合規(guī)風(fēng)險(xiǎn)與完善建議
1.數(shù)據(jù)對(duì)外提供場(chǎng)景中個(gè)人信息保護(hù)刑事合規(guī)風(fēng)險(xiǎn)。對(duì)數(shù)據(jù)密集型企業(yè)而言，數(shù)據(jù)是重要的生產(chǎn)資源，在技術(shù)研發(fā)、算法優(yōu)化、用戶拓展、產(chǎn)品或服務(wù)升級(jí)與營(yíng)銷(xiāo)推廣等方面有不可替代的作用。由于企業(yè)難以掌握生產(chǎn)經(jīng)營(yíng)各領(lǐng)域的全部數(shù)據(jù)，通常會(huì)選擇通過(guò)數(shù)據(jù)交易來(lái)獲取對(duì)其有價(jià)值的數(shù)據(jù)并將該數(shù)據(jù)投入運(yùn)用。在數(shù)據(jù)交易的過(guò)程中，必然涉及數(shù)據(jù)的對(duì)外提供，企業(yè)可能因此而承擔(dān)個(gè)人信息保護(hù)的刑事法律風(fēng)險(xiǎn)。
2.數(shù)據(jù)對(duì)外提供場(chǎng)景下的刑事合規(guī)。企業(yè)在對(duì)外提供個(gè)人信息的過(guò)程中，應(yīng)當(dāng)明確數(shù)據(jù)授權(quán)與使用的界限，使數(shù)據(jù)的使用具有合法性基礎(chǔ)。具體來(lái)看，企業(yè)應(yīng)做到以下三點(diǎn)：第一，對(duì)業(yè)務(wù)端在不同場(chǎng)景下對(duì)外提供個(gè)人信息進(jìn)行合規(guī)培訓(xùn)。第二，對(duì)外提供個(gè)人信息時(shí)應(yīng)取得用戶的充分授權(quán)，合法合規(guī)進(jìn)行，并與接收方約定處理目的、范圍、處理方式及數(shù)據(jù)安全保障措施，并通過(guò)簽訂合同明確雙方的數(shù)據(jù)安全義務(wù)與責(zé)任。同時(shí)，根據(jù)雙方簽署的合作協(xié)議，對(duì)數(shù)據(jù)接收方的處理活動(dòng)進(jìn)行監(jiān)督。第三，建立最小授權(quán)的訪問(wèn)控制策略，對(duì)個(gè)人信息的重要操作需設(shè)置內(nèi)部審批流程，對(duì)安全管理人員、數(shù)據(jù)操作人員、審計(jì)人員進(jìn)行角色分離，超越權(quán)限處理個(gè)人信息的，應(yīng)經(jīng)個(gè)人信息保護(hù)責(zé)任人或者個(gè)人信息保護(hù)工作機(jī)構(gòu)審批并記錄。
我國(guó)數(shù)字經(jīng)濟(jì)向前發(fā)展，必然涉及數(shù)據(jù)的使用與處理，以及立足大數(shù)據(jù)的算法訓(xùn)練。就司法審判實(shí)踐來(lái)說(shuō)，對(duì)個(gè)人信息進(jìn)行保護(hù)具有保護(hù)個(gè)人信息權(quán)益和促進(jìn)個(gè)人信息合理使用的雙重目的。如何在承認(rèn)商業(yè)用途中合理使用的合法性前提之下，進(jìn)一步完善相關(guān)權(quán)利義務(wù)的配置，構(gòu)建個(gè)人信息合理使用的外在制度限制，進(jìn)而協(xié)調(diào)個(gè)人信息保護(hù)與技術(shù)發(fā)展的關(guān)系，是對(duì)司法的一個(gè)挑戰(zhàn)。
目前，個(gè)人信息保護(hù)與數(shù)據(jù)安全方面的立法仍處于發(fā)展之中，企業(yè)一方面要遵守現(xiàn)行法律法規(guī)，另一方面亦應(yīng)加強(qiáng)對(duì)最新司法案例、行政執(zhí)法的研究、跟進(jìn)，防止出現(xiàn)因?qū)Ψ煞ㄒ?guī)理解不到位而引發(fā)合規(guī)風(fēng)險(xiǎn)的情況。構(gòu)建個(gè)人信息保護(hù)刑事合規(guī)體系是一個(gè)系統(tǒng)性的工程，行之有效的個(gè)人信息保護(hù)刑事合規(guī)體系要求企業(yè)結(jié)合自身現(xiàn)有和將要開(kāi)展的業(yè)務(wù)實(shí)際制定可行性方案，建立法定義務(wù)識(shí)別及個(gè)人信息保護(hù)的風(fēng)險(xiǎn)控制機(jī)制，并有計(jì)劃地開(kāi)展落地工作，實(shí)現(xiàn)頂層設(shè)計(jì)和落地執(zhí)行合一，從而確保個(gè)人信息保護(hù)制度發(fā)揮實(shí)效。此外，企業(yè)還需要對(duì)數(shù)據(jù)安全和個(gè)人信息保護(hù)情況定期進(jìn)行“合規(guī)審計(jì)”，并與相關(guān)主管部門(mén)、專(zhuān)業(yè)第三方組織建立穩(wěn)定、暢通的溝通、咨詢渠道，以加強(qiáng)外部監(jiān)督。
［張建肖作者系理想汽車(chē)法規(guī)研究院院長(zhǎng) 本文系最高人民法院2022年度司法研究重大課題“個(gè)人信息保護(hù)司法路徑研究”（ZGFYZDKT202212-02）的階段性成果］
編輯：張怡時(shí)
京公網(wǎng)安備 11010502000576號(hào)