2014年5月，美國總統執行辦公室（Executive Office of the President）發布2014年全球”大數據”白皮書–《大數據：把握機遇，守護價值》（BigData： Seize Opportunities,Preserving Values）（以下簡稱《白皮書》），對美國大數據應用與管理的現狀、政策框架和改進建議進行了集中闡述。從《白皮書》所代表的價值判斷來看，美國政府更為看重大數據為經濟社會發展所帶來的創新動力，對于可能與隱私權產生的沖突，則以解決問題的態度來處理。從具體措施來看，《白皮書》援引美國總統科學和技術顧問委員會（以下簡稱”PCAST”）獨立報告《大數據與個人隱私：一種技術的視角》一文提出，原有的”‘告知與同意’框架已經被大數據所帶來的正面效益打敗了”，應當根據大數據的時代特點予以調整。
一、《白皮書》出臺的背景
大數據技術發展與隱私權保護的價值爭議由來已久，在國際范圍內主要體現為美國與歐盟政策取向的差異。在歐盟，個人數據被認為更具保護價值，因此歐盟及其成員國有著嚴格的個人數據保護立法。個人數據保護的主要執行機構包括：歐洲法院，是包括數據保護法在內的歐盟法律的最終裁決者；歐盟數據保護專員（EDPS），監督歐盟機構遵守數據保護法，同時對于歐盟層面數據保護政策的制定有著重大影響；第29條工作組，《歐盟數據保護指令》第29條規定：建立一個”在個人數據處理中保護個人的工作組”，一般稱之為”第29條工作組”；第31條委員會，由歐盟成員國政府的代表組成；其他機構，如歐洲網絡與信息安全局（ENISA）。
歐盟對侵犯個人數據的行為處罰措施十分嚴格，包括禁令救濟，對公司工作場所和數據處理設施的稽查和調查，數額巨大的罰款，以及對于特大違法行為的刑事責任處罰等。除此之外，歐盟數據保護機構還會對侵犯個人數據的公司予以曝光，以增大懲戒力度。近年來，歐盟官方認為美國谷歌公司、蘋果公司等搜索引擎與移動設備服務供應商通過提供服務非法獲取、侵犯公民個人數據，曾多次表態要加強對有關企業的監管。而谷歌、蘋果等企業也在對歐盟立法機構開展游說公關，以減輕可能面臨的執法壓力。
與之相對的，美國政府在大數據技術與隱私權保護之間更傾向于利用大數據技術促進經濟社會發展，以保持美國在相關領域的領先地位。與此同時，美國政府希望以改良的政策框架與法律規則來解決隱私權保護的問題。由于大數據技術的發展運用將對隱私權保護構成嚴峻挑戰，因此，越是希望鼓勵大數據技術更廣泛更科學的運用，越是應該通過政策、法律與技術加強公民隱私權利保護。正如《白皮書》指出，”大數據正改變世界，但它并沒有改變美國人對于保護個人隱私、確保公平或是防止歧視的堅定信仰。”在此背景下，美國政府出臺了《白皮書》及其他系列文件，系統闡述了美國政府大數據戰略，并以政策與相關法案構建了其隱私權保護的基本框架。
二、”大數據時代”
對于”大數據”，《白皮書》并沒有給出嚴格定義，而是指出其內涵將隨著技術和產業的創新而不斷發生變化。作為參考，其他定義都反映了不斷增長的捕捉、聚合與處理數據的技術能力，而這個數據集也在數量、速率與種類上持續擴大。大數據的數據集是”龐大的、多樣化的、復雜的、縱深的和/或分布式的，由各類儀器設備、傳感器、網上交易、電子郵件、視頻、點擊流，以及現在與未來所有可以利用的數字化信號源產生”的數據合集。根據PCAST獨立報告的研究，”大數據”真正的新穎與不同，在于”4V”–數據量（Volume）、時效性（Velocity）、多變性（Variety）、可疑性（Veracity），與傳統數據采集分析模式不同，”大數據”采集是基于新型傳感器等全新數據采集技術進行的。從網絡應用、可穿戴技術到監測生命體征等特質的檢測儀器，低成本高效率的數據采集帶來數據體量的爆炸。數據格式也越發多樣，對于所謂”天生模擬”的信號也可以被轉化為數字格式（所謂”天生模擬”，即天生以模擬信號形式存在的信息。模擬信號主要是與離散的數字信號相對的連續信號。模擬信號分布于自然界的各個角落,如每天溫度的變化）。信息傳遞技術與超強的計算機系統使得數據高速分析成為可能。”大數據”為金融業、醫療保健業等社會各行業，以及國家安全、社會干預等各個方面帶來巨大改變，使數據資源的價值成倍放大。
“大數據”產生的最大問題，即數據能否可用以及運用的限度問題。具體表現為：數據收集變得無處不在，行為人難以察覺，收集主體告知義務難以有效監測；數據處理專業化、多樣化增強，行為人難以控制自己的數據應用情境；原有數據儲存方式受到挑戰，數據泄露風險增大；大數據資源公開與共享訴求與隱私權相矛盾等等。對此，美國在原有隱私權政策與法律基礎上，通過出臺、修改立法，提出政策主張，發揮行業自律作用，構建起較為完善且獨具特色的大數據環境下的隱私保護體系。
三、”隱私權”的挑戰
美國隱私權在憲法層面體現為第四修正案，憲法保護”人民的人身、住宅、文件和財產不受無理搜查和扣押的權利”。正如PCAST獨立報告第一部分指出，”隱私權”的法律概念在美國歷史上經歷了發現與演變的過程。從法律角度來看，美國法上的隱私權主要包括：
（1）公民個人保有秘密或者尋求隱匿的權利。該權利最初由布蘭代斯（Brandeis）大法官在1928年Olmsteadv.UnitedStates案中提出。在本案中，Olmstead因私自釀酒被捕，指控其犯罪的證據中有竊聽得來的證據，最高法院最終認定這種收集證據的手段沒有第四和第五憲法修正案，可以合法使用。但持反對意見的布蘭迪大法官認為，公民有”不受打擾的權利”，成為對隱私權的經典論斷。該案件引起美國社會的廣泛討論，產生深遠影響。1967年，在與上述案件案情相似的Katzv.UnitedStates案中，最高法院認定竊聽手段獲得的證據侵犯了公民的隱私權，予以撤銷。公民個人保有秘密或尋求隱匿的權利不僅獲得了確認，而且其保護空間也從住宅擴大到了所有的私人談話與通訊過程。
（2）公民個人的匿名表達權，特別在政治意見領域。在Mclntyrev.OhioElectionCommission案中，美國聯邦最高法院推翻了俄亥俄州有關禁止匿名分發競選刊物的法規，并指出：匿名表達權對美國憲法的制定至關重要，它作為美國的重要傳統而融入到美國歷史之中。
（3）在私人信息脫離本人排他所有權之后，控制他人接觸到這些信息的能力。例如在聯邦貿易委員會”公平貿易實踐原則”所呈現的，具體內容見下文第四部分所述。
（4）制止某些運用公民私人信息的消極結果。例如，以DNA信息為基礎的就業歧視在2008年的《基因信息非歧視法案》中被禁止。
（5）個人做出私人決定而不受政府干涉的權利。主要包括個人健康領域，生育領域與性生活領域。
PCAST獨立報告指出，在上述五個領域，隱私權與大數據應用之間都發生了沖突，并且這種沖突會持續發生。這種沖突的原因，在于大數據的數據收集技術使得公民個人失去對私人信息的有效控制，權利保障被極大削弱；原本并不涉及個人信息的數據可以通過大數據分析技術得出事關私人事務的信息，從而使公民個人難以察覺，更難以作出有效回應。
值得注意的是，自2010年起，奧巴馬政府著手提出”我的大數據”計劃措施，使美國人能夠更好地獲取利用自己的個人數據。主要包括：”蘭紐扣”計劃，允許消費者獲取其健康信息，并與信息提供者進行交換；”創建副本”計劃，允許納稅人獲得自己的完整納稅記錄及其他信息數據；”我的學生數據”，授權消費者查詢自己的助學金等財務信息數據。通過該計劃，奧巴馬政府倡導公共數據的公開透明，并使公民能夠獲得自身數據。盡管這能夠方便公眾生活，改善政府治理，但在大數據技術環境下可能導致更大范圍的信息泄露與非法利用。
此外，報告還分析了大數據的主要參與主體：政府、企業和公民。政府享有權力壟斷并且缺乏競爭者，因此缺乏改進技術來保護公民隱私權的動力。在某些情況下，政府的執法需要甚至有可能成為侵犯公民隱私權的原因。企業可以從大數據中獲得經濟效益，盡管可能面臨侵權受罰的風險，但這在目前來看是微不足道的，因此企業具有侵犯公民隱私權的動力。有足夠動力保護隱私權的僅有公民一方。《白皮書》指出，大數據的發展本身就是非對稱的過程，公民由于受到技術條件與有限知識水平約束，并不具備足夠的保護自身數據隱私的能力。在這個非對稱的時代中，公民的隱私權保護力量與市場主體的侵犯動力之間相差懸殊，”隱私權”的定義與保護方式都受到挑戰。
四、原有數據應用下的隱私保護體系
美國保護隱私利益的法律框架，覆蓋了憲法、聯邦、各州等層面。最初，美國隱私權保護主要針對的是公權力對公民隱私權的侵犯，1934年《侵權法重述》則將無正當理由嚴重侵犯個人隱私確定為民事訴訟的訴因。計算機技術發展帶來的數據隱私問題在1973年首次進入公眾視野。美國衛生、教育與福利部發布了一份題為《錄音、計算機與公民權利》（Records，Computers，andtheRightsofCitizens）的報告，分析了”自動化個人數據系統可能導致的不良后果”，并提出了廣為人知的”公平信息實踐法則”（FairInformationPracticePrinciples，簡稱為FIPPS），成為數據保護制度的基石。該法則規定個人有權知道他人收集了哪些關于他的信息，以及這些信息是如何被使用的；個人有權拒絕某些信息使用并更正不準確的信息；信息收集組織有義務保證信息的可靠性并保護信息安全。這些內容成為1974年《隱私法案》的基礎，并被其他國家和國際組織所接受。
20世紀80年代，美國根據行業特點，專門制定了行業隱私法律，為以侵權行為為基礎的習慣法提供了補充：
（1）金融領域：《金融隱私權法案》（TheRighttoFinancialPrivacyAct，RFPA），對銀行雇員披露金融記錄及聯邦立法機構獲得個人金融記錄的方式進行限制；《金融服務現代化法案》（FinancialServicesModernizationActof1999）要求金融機構尊重客戶隱私并保護客戶非公共信息的安全與機密；
（2）保險領域：《健康保險隱私及責任法案》（TheHealthInsurancePortabilityandAccountabilityActof1996，HIPAA），規定個人健康信息只能被特定的、法案中明確的主體使用并披露，個人可以控制了解其本人的健康信息，但要遵循一定程序標準；
（3）電視領域：《有線通訊隱私權法案》（CableCommunicationPolicyAct），禁止閉路電視經營者在未獲得用戶事先同意情況下利用有線系統收集用戶的個人信息；《電視隱私保護法案》（CableTVPrivacyActof1984），將隱私權保護范圍擴展到錄像帶銷售或租賃公司的顧客；
（4）電信領域：1996年《電訊法》（TelecommunicationAct），規定電訊經營者有保守客戶財產信息秘密的義務；
（5）消費者信用領域：《公平信用報告法》（TheFairCreditReportingAct），該法屬于消費者保護法系列，規定了消費者個人對信用調查報告的權利，規范了消費者信用調查/報告機構對于報告的制作、傳播、對違約記錄的處理等事項，明確了消費者信用調查機構的經營方式；
（6）兒童隱私保護領域：《兒童在線隱私權保護法案》（TheChildren’sOnlinePrivacyProtectionAct，COPPA），規定了網站經營者必須向其父母提供隱私權保護政策的通知，以及網站對13歲以下兒童個人信息的收集和處理原則與方式等。
總括來看，傳統的信息保護方案主要遵循”公平信息實踐法則”，基本安排是”告知與同意”框架，并按照行業領域進行細分。但在大數據時代，原有的保護方案具有較大局限性：第一，數據收集技術的發展，使得數據可以不再以顯性方式進行收集，數據行為人難以察覺；第二，數據服務企業的興起，許多數據服務企業并不在原有法律規則監管范圍內；第三，行業數據之間界限的模糊，一項購物習慣數據可能同時顯示出行為人的金融行為數據；第四，第三方數據儲存與云計算被廣泛運用，而這些第三方機構并不與消費者直接接觸，信息的儲存與責任承擔成為潛在問題；第五，傳統信息保護方案與奧巴馬政府回應大數據公開訴求的相關政策存在潛在沖突。
因此，大數據時代的美國隱私保護政策與法律，重點關注的是更具普遍適用意義的、更符合大數據運作特點的、不會限制大數據技術和應用發展的、更具可操作性的方案。
五、”大數據時代”的隱私保護
針對大數據的特點，美國政府提出了在不阻礙大數據發展的情況下，解決隱私權保護問題的基本方案，涉及政策調整、法律制定與技術革新等多個方面。
（一）隱私保護政策框架
在《白皮書》中，美國政府認為”告知與同意”框架已經不能滿足隱私權保護的需要。《白皮書》提出，對于現在絕大多數用戶與企業進行的普通信息交互來說，”告知與同意”框架充分保護了隱私，但美國總統科學和技術顧問委員會表示，技術軌跡正在轉向采集、使用和儲存對消費者和個人沒有直接聯系的數據上來，假如”告知與同意”框架更容易被違背，則我們需要重新關注數據的使用一端，而不是原來的采集一端。美國政府認為，大數據時代的隱私保護應當關注于使用責任制，使數據的采集者和使用者對數據的管理及其可能產生的危害負責，而不是狹隘的將其責任定義為是否通過正常途徑采集數據。
《白皮書》補充認為，更多的關注責任并不意味著忽視收集的環境。對數據負責的一個方面就是要尊重原始數據的采集。也就是說，原有的”告知與同意”框架仍然應當得到最大程度的遵守，并隨著技術的發展進行調整，從而能夠應對大數據帶來的一些挑戰。
此外，美國政府對隱私保護政策框架持較為開放的態度，認為應當關注的是如何在大數據所帶來的效益，與隱私權等由于大數據采集信息而不可避免遭受損失的價值之間，做到合理的平衡。與此同時美國政府在白皮書中也重申，”盡管我們生活在一個能夠比過去更自由的共享個人信息的世界，但我們必須堅決否認隱私價值已經過時。隱私從一開始就一直是我們民主制度的心臟，而現在，我們比以往任何時候更需要它”。
（二）隱私保護的立法建議
2012年2月23日，美國總統奧巴馬簽署美國白宮發布的工作報告《網絡環境下消費者數據的隱私保護–在全球數字經濟背景下保護隱私和促進創新的政策框架》（ConsumerDataPrivacyinANetworkedWorld：AFrameworkforProtectingPrivacyandPromotingInnovationintheGlobalDigitalEconomy）（以下簡稱《消費者隱私保護報告》）。該報告正式提出《消費者隱私權利法案》（ConsumerPrivacyBillofRights），向社會公眾公布并提請國會進行審議。報告對《消費者隱私權利法案》的立法理念和主要內容進行了介紹，集中體現了美國政府應對大數據時代隱私保護問題的做法。目前，《消費者隱私權利法案》尚未獲得國會通過，因此在《白皮書》中美國政府也呼吁國會盡快通過《消費者隱私權利法案》，以確定隱私保護的法治框架。
總體而言，《消費者隱私權利法案》的基礎仍然是”公平信息實踐法則”，主要規定了以下三大方面的內容：
1、”告知與同意”框架的強化
（1）個人控制（IndividualControl）：消費者有權控制企業對個人信息的收集和使用。第一個方面，法案要求在任何情況下，企業都應當賦予消費者選擇權，使其有權控制企業收集的任何個人數據。對于不與消費者直接接觸的第三方，只要數據的用途會對消費者的權益造成重大影響，也要賦予消費者選擇權。收集數據的企業也應當對第三方進行盡職調查，調查第三方企業將如何使用消費者數據以及是否賦予消費者適當的選擇權。此外，消費者應當有權對授權進行撤銷，而這種撤銷的方式應當與授權方式的便捷性相同。第二個方面，法案要求消費者在個人數據使用時，尤其是在個人數據分享公開時應當評估選擇可能造成的后果并為此承擔責任。
（2）透明度（Transparency）：消費者有權無障礙地理解和獲取有關隱私及其安全保障的信息。在最有利于消費者理解隱私風險和實施個人控制的時間和地點，企業應當清楚地說明如下信息：收集個人數據的種類；收集個人數據的原因；所收集的個人數據的用途；在何種條件下刪除數據或者刪除數據中消費者的身份信息；是否與第三方分享個人數據以及分享的目的等。法案重點要求企業公開與個人數據原定使用情境不一致的行為，公開與消費者的預期不一致的個人數據使用行為。企業所采取的通知形式，應當使消費者能夠在獲取企業服務的同時在所使用的設備上進行閱讀。不與消費者接觸的企業，應當詳細告知消費者收集、使用以及公開個人數據的情況。
（3）情境一致（RespectforContext）：消費者有權期望企業收集、利用和公開個人信息的方式與其提供信息時的情境協調一致。企業使用、公開個人數據應當具有特定目的，并且該目的應當和他們向消費者公開說明與消費者合理預期的目的相符，并以實現這些目的為限使用、公開數據。如果不相符，企業應當以消費者容易作出反應的方式，進行突出說明。此外，法案特別要求對從兒童和青年處獲得的數據應該給予比成人更大的保護。
2、數據保存與處理的安全責任
（1）安全（Security）：消費者有權要求自己的數據得到安全和負責任的處理。企業應當結合自身在個人數據領域的實踐，評估隱私和安全風險，同時必須采取合理的安全措施以防范可能出現的風險，如數據丟失，數據非法獲取、使用、損壞或修改，數據的不適當公開等。
（2）接入權與準確性（AccessandAccuracy）：個人數據有誤時，在與數據敏感性，以及與數據錯誤可能對消費者帶來不利影響的風險性相適應的情況下，消費者有權獲取進而更正以可用格式存在的個人數據。企業應當采取合理措施確保其保存的是準確的個人數據。
（3）收集控制（FocusedCollection）：消費者有權合理限制企業對個人信息的收集和保存。企業應當根據其實現特定目的的需要確定收集數據的范圍，在不需要個人數據后應當以安全方式刪除個人數據或者清除個人數據中的身份信息。
3、事后問責制
問責制（Accountability）：消費者有權將個人信息交予會對信息采取適當措施的企業進行處理，以確保企業遵守法案的有關規則。企業應當對其雇員進行培訓以使其在合規情況下利用個人數據，并定期據此進行績效評估。企業還應當進行全面的內控監督，以確保數據使用在合理范圍內。除法律另有規定，企業如將個人數據向第三方公開，至少應當確保接收這些數據的企業承擔遵守法案原則的合同義務。問責制下，不僅公司內部需要控制和問責機制，更要對消費者和執法機構承擔外部責任。可以看出，《消費者隱私權利法案》提出了十分詳細具體的問責事由，涵蓋企業員工行為控制、內部數據使用監督、向第三方公開數據等方面，使事后問責更為明確具體。
在《消費者隱私保護報告》中，美國政府認為消費者個人數據保護是當前大數據環境下最普遍存在的問題。報告呼吁，鑒于《消費者隱私權利法案》吸納了世所公認的隱私權保護原則，國會應當通過制定相關立法，將法案中的相關內容應用于隱私法未能涉及的商業領域。可見，《消費者隱私權利法案》的做法–強化”告知與同意”框架，注重企業自律，強調事后責任–代表了美國政府解決大數據時代隱私保護問題的一般思路。
（三）推進隱私保護執法與國際合作
除政策與立法之外，美國政府還主張加大隱私保護執法力度，推進隱私保護的國際合作。《消費者隱私保護報告》主張，應當支持并授予聯邦貿易委員會職權，使其能夠為執行行為準則的企業提供更為確定的預期。第一，聯邦貿易委員會應當有權就企業行為準則是否違反《消費者隱私權利法案》進行審查，并且引導多方主體參與制定聯邦貿易委員會的執法準則，以便其能正確做出審查判斷。第二，授予聯邦貿易委員會為遵守許可的行為準則的企業提供”安全港”的權力，即給予相關企業免予執行《消費者隱私權利法案》立法文本的豁免。此外，報告還呼吁國會授予更多政府部門以保護隱私權利的職能。
在推進國際合作方面，各國應當做到：（1）相互承認。各國應當在隱私權與個人數據保護的基本價值取得一致意見的基礎上，以有效的執法和企業問責制為條件，承認彼此的隱私保護框架。（2）多方參與程序和行為準則制定。大數據的運行是全球化的，多方主體參與程序和行為準則制定，較之傳統的政府規制具有一定的優越性。（3）執法合作。美國聯邦貿易委員會與其他國家的類似機構進行合作，創建”國際隱私執法網絡”，顯著提升各國各法域的數據隱私法律規則的運作效率。
六、結語
從大數據對隱私保護參與主體的影響來看，普通公民作為數據的提供方，其地位與其他主體不對等程度逐漸加大。大數據技術對公民隱私權的侵犯在大多數情況下也防不勝防。從美國政府的應對策略來看，除非依靠法律規則下的企業自律，公民只能等待在權利受到侵犯時依靠事后救濟來保護自身利益，而這無疑是消極被動的。暫不考慮技術因素，究其原因在于，美國政府將保護和促進大數據技術發展，以求維持美國的領先地位放在更為重要的位置上。大數據技術并非已經是一個時代的既有產物，而是正蓬勃發展，方興未艾。可以預見的是，未來技術進步將為隱私保護法律帶來更多的挑戰，大數據時代的隱私保護，將是長期存在并有待解決的難題。
京公網安備 11010502049343號