以数据保护和隐私为本

作者：马丁-艾布拉姆斯

2015 年 12 月，欧洲数据保护监督员乔瓦尼-布塔雷利（Giovanni Buttarelli）发表了一份意见书，建议我们需要为大数据时代重塑数据保护，不是要在原则上妥协，而是要确保大数据被用于为人类服务。

隐私和数据保护一直以来都是不同的，但又因人类的共同需求而联系在一起。隐私是指一个人及其亲密圈子不受他人监视和评判的空间。这是关于物理隐私概念的延伸。

艾伦-威斯汀（Alan Westin）的开创性著作《隐私与自由》（Privacy and Freedom）指出，在每一种文化中，人们都需要一个空间，在这个空间里，他们可以做傻事，可以有不同的想法，可以表达不同于常规的行为。这种私人空间从来都不是完美的--偷窥者和流言蜚语者总是存在的。在欧洲法律中，这被转化为自主权和家庭生活的基本权利。

不过，数据保护始终是关于如何明智地使用转化为信息的数据，以满足个人和/或社区的需求。正如彼得-胡斯廷克斯（Peter Hustinx）在 2014 年的论文中解释的那样，数据保护超越了隐私，涵盖了受信息处理影响的所有基本权利。数据保护本质上是对组织在持有和处理数据时可能出现的不当权力的一种制约。

数据保护的需求始于历史记录的创造--古代苏美尔人发明了文字。信息收集、汇总和处理技术很快就被权势者所掌握。古苏美尔的文士为权贵工作。他们创造的数据被掌权者用来维持权力。

然而，随着时间的推移，技术对任何人都不会有利。技术可以震撼权贵。书写可以用来传播新思想和汇总利益。信息技术的使用可以用来创造新的市场，取代已有的市场。而这种经济创造和破坏的步伐已经加快。

现在，我们来看看隐私法的演变。

大宪章》是英语世界法律体系的基础，它界定了人们可以期待独处的空间。一个人的家就是他或她的城堡。一个人可以控制他或她的家，以及家中的文件。记录是这个空间的延伸。只有在屋主的邀请下，才能观察到在家中发生的行为。

一个人在公共场所与他人发生的行为是可以被观察到的。参与其中的其他人或公共场所的其他人都可以记录这些行为。在使用和分享这些观察结果方面，一直都有社会规范甚至法律。

第二次世界大战带来了计算机的发明。到了 20 世纪 60 年代，我们显然需要超越《大宪章》。六十年代的学术研究催生了七十年代的隐私和数据保护法，进而产生了《经合组织隐私准则》。

当时的关键概念是，数据来自于我，而数据从我向他人的转移应基于对数据相关规则的明确界定。使用的性质不是问题。与数据有关的控制权的转移才是问题。

然而，人们也认识到，数据的生成往往涉及不止一方。此外，还有公共记录，这种记录一直存在，但随着它从布满灰尘的地下室转移到大型计算机上，现在变得更加显而易见。因此，美国法律开始涉及数据的合理使用，如信用报告数据。这与其说是为了控制，不如说是为了让掌握权力的贷款人和雇主公平使用。适当使用的概念在欧洲法律中得到了体现，这也是处理的法律依据的起源。

现在，我们来看看技术的发展及其对隐私和数据保护的影响。从发明文字到印刷机，用了数千年的时间。从印刷机到布朗尼相机又用了几百年。接下来是卡片分拣机到大型计算机。20 世纪 70 年代出现了数据库技术。20 世纪 80 年代，分布式处理和针对大型、广泛数据集的统计分析技术加速发展。20 世纪 90 年代初，通信和处理成本下降，消费互联网随之出现，观测世界真正诞生。2000 年带来了通用模块处理技术（千年虫的产物）。处理和通信成本不断下降，为个人记事本和智能手机的出现创造了条件。大数据和万物互联随之出现。信息技术的发展日新月异，大变革之间的间隔从千年到数十年、数年，再到现在的几分钟。

不仅技术发生了变化，权力的性质也发生了变化。2000 年，国家情报与民族国家有关。2001 年，它变成了权力下放。威胁不再仅仅是间谍，而是在互联网上学习炸弹制造的人。

因此，隐私和数据保护都变得非常复杂。1972 年法律中包含的简单概念并不能应对 2016 年的所有治理挑战。

不变的是人类的一些基本需求：

• 我们需要隐私，以便有一个空间，让我们可以在不被他人看到、听到和/或知道的情况下展示自己的缺陷或完美。
• 我们需要确保利用数据进行思考是为了满足人们的需求，而不是为那些掌握权力的人赋权。
• 我们需要信息来保障我们的安全、提高市场竞争力、改善医疗保健、改善教育以及提供更多机会。
• 我们不希望因错误使用信息或傲慢的见解而受到伤害。
• 我们不希望我们的未来被预测所注定。

我们需要隐私，以便有做自己的空间，但技术却在不断扩大公共范围，使数据的使用变得更加容易。此外，利用数据和处理方法来满足我们的需求意味着发现新的见解，以改善医疗保健、教育、经济参与，甚至更好地购物。满足个人和社区的需求需要我们用数据来思考。用数据思考就是现代分析。

法律的大部分功能都依赖于数据的延伸，而数据是与我们的物理存在相类似的东西。然而，技术的发展已经将观察范围扩大到城堡保护之外。当我使用与智能手机相连的可穿戴设备时，即使在我的城堡里，我也没有城堡围墙的保护。

然而，走在创新的前面无异于试图用铁锹阻止雪崩。不过，引导创新的应用是为了确保文明。

那么，我们该如何按照 EDPS 的建议重塑数据保护呢？谁必须发挥积极作用？这些角色应该是什么？我们如何以跨文化的敏感性开展这项工作？重塑数据保护意味着重塑数据用户、监管者和普通人的角色。

从数据用户开始。从这里开始，责任的概念不断扩展。成为一个负责任、有责任感的保管人的目标不会改变，但成为一个负责任、有责任感的保管人所涉及的方面会变得更加全面。当数据的使用超出了理性人的预期时，情况尤其如此。

大数据就是一个很好的比喻。因此，就其本质而言，大数据是对数据的重新利用--即使大数据在隐私声明中被列为目的之一。

首先，我们需要将大数据分为两个阶段。保拉-布鲁宁（Paula Bruening）、梅格-莱塔-琼斯（Meg Leta Jones）和我在2013年撰写的一篇论文中探讨了大数据两阶段方法的概念。第二阶段是应用，涉及利用数据思考得出的知识采取行动。在这两个阶段，个人面临的风险是不同的。

一旦了解了自己是在思考还是在行动，就需要了解处理的原因。我们要解决的问题是什么？了解了问题，就可以开始理解与使用数据解决问题相关的挑战。

其次，我们需要了解处理所使用数据的机制。在许多方面，这与经合组织指南明确阐述的准确性问题不谋而合。数据集的规模和多样性并不能像某些人所说的那样解决准确性问题，它只会增加确定数据准确性是否会影响解决方案可信度的复杂性。数据的合法性和道德性也会发挥作用。有些数据是法律所禁止的，有些是合同或承诺所禁止的，有些则是不合适的。

第三，清楚地了解与收益和风险相关的线性代数。谁有收益，谁有风险？如果风险的承担者和利益的获得者不匹配，那么处理过程就不可能达到平衡。大数据的统一伦理框架"[2]探讨了这些问题。数据保护始终需要了解基本权利和自由所面临的各种风险，统一伦理框架探讨了如何平衡这些问题。最终，这将导致对数据处理是否合法、公平和公正的简单评估。如果不合法，就需要修改处理方式，使之合法。

第四，对数据用户的制衡很重要。控制者必须随时准备证明他们的评估是以诚信的方式进行的。随时准备证明，就能向监督人员证明程序的合理性。要真正建立制衡机制并确保个人参与，数据用户必须成为公众的教育者，让公众了解数据的使用超出了个人的期望。教育能为个人参与创造条件，是问责制的基本要素。

关于隐私执行者的角色，监管者需要新的技能组合。他们必须能够提出积极的问题，促进发现和应用是否符合合法、公平和公正的标准。这意味着监管机构应该愿意并能够区分这两者。为了有效发挥作用，监管机构需要有抽查处理过程的权力。

然后是人的作用。七十年代初，当数据和系统相同时，人们被期望通过自己的选择来发挥管理数据的积极作用。在这种情况下，阳光解决了许多问题。如今，光有阳光是不够的。在处理过程中，即使解释得再清楚，也可能超出人们的管理能力。然而，人们可以以一种我们从未见过的方式作为一个群体采取行动。如上所述，这在很大程度上取决于数据用户提供的解释材料的质量。我的同事彼得-卡伦（Peter Cullen）正在国际宇航联合会领导的整体治理项目中探索人的作用。

因此，最后我建议，作为从业者，我们需要了解隐私和数据保护之间的区别。法律和治理的两面都很重要，但区分它们能让我们更接近满足社会需求的有效解决方案。此外，我们不能再依赖于个人通过阅读通知和同意书来维持市场秩序。处理的本质已经变得非常复杂。然而，这个系统不能演变成一个由数据用户全权决定哪些处理是合适的，哪些是不合适的系统。数据用户作为父亲是家长作风，超出了公平和公正的范畴。这意味着，作为个人或群体，人们必须在制定超出预期的数据处理规范方面发挥有意义的作用。最后，监管者也必须区分与自主权相关的问题和与公平公正使用数据相关的问题，以促进对数据驱动解决方案的更多了解和更好应用。

[本博客根据 2016 年 2 月 3 日在信息与隐私专员办公室发表的演讲整理而成］

艾布拉姆斯是 信息责任基金会（The Information Accountability Foundation）的执行董事兼首席战略家 ，该基金会是一家研究和教育性质的非营利组织。

[1] 信息政策领导中心（2013 年），《大数据与分析：寻求有效隐私指导的基础》，www.hunton.com/files/Uploads/Documents/News_files/Big_Data_and_Analytics_February_2013.pdf。

[2] 信息责任基金会（2014 年），《大数据分析的统一道德框架》，http://informationaccountability.org/wp-content/uploads/IAF-Unified-Ethical-Frame.pdf。