陳湉 中國信息通信研究院安全所 烏文全 中國聯通內蒙古分公司
隨著大數據時代的到來，大數據技術在為經濟社會發展帶來創新動力的同時，對個人信息保護也帶來了前所未有的挑戰。縱觀美國隱私保護行業自律發展歷程，大數據時代，美國隱私保護行業自律模式反而衰落，為我國加強個人信息保護提供了前車之鑒。
美國隱私保護行業自律的興衰史
美國隱私保護行業自律始于1997年。1997年至2007年是美國隱私保護行業自律發展的黃金十年。這一時期，各行業明顯感受到聯邦層面加強隱私保護的立法趨勢，為了避免受到強制性監管，隱私保護行業自律模式迅速鋪開，涌現了大量行業自律組織與認證機構。
2000年前后是個人隱私保護行業自律發展的頂峰，產生了大批具有代表性的行業自律組織，包括：個人參考服務組織 、隱私領導倡議 、在線隱私聯盟 、網絡廣告倡議 、BBBonline隱私計劃等?？陀^上來說，這一時期有限的政府資源，很難有效覆蓋各行業，政府不得不依靠行業自律組織。同時，各隱私保護自律組織確實制定出臺了較為完善正規的隱私保護原則、規則、標準，建立了較為健全的成員企業準入和年審機制，定期發布隱私保護審查報告，并籌措到了組織運轉必要的資金支持，滿足了當時的隱私保護現實需求?？傊?，這一時期的行業自律組織無論是在質量上還是數量上，都代表了美國隱私保護行業自律發展的最高水平，行業自律的繁榮客觀上彌補了政府監管能力的不足，在一定程度上降低了政府投入。
然而，2003年以后，隨著聯邦貿易委員會對隱私保護監管興趣的衰退以及相關立法政策環境變化，隱私保護行業自律開始走“下坡路”。根據美國世界隱私論壇發布的公告，截止到2011年，多數行業自律組織已經停止工作或銷聲匿跡。以網絡廣告倡議為例，到2003年成員企業只剩兩家，監督和審計工作全部停滯；2008年后，聯邦貿易委員會重拾隱私保護監管興趣，但網絡廣告倡議組織并未因此而復興。1999年通過的《金融服務現代化法案》使得金融行業的隱私保護行業自律失去意義，個人參考服務組織（IRSG）成員企業不再需要付出昂貴成本履行隱私保護自律原則和規則，IRSG成員最少時僅存兩名，并于2001年宣告終止。
美國隱私保護行業自律衰落原因分析
回顧美國隱私保護行業自律組織的興起與衰落，不難發現與政府監管意愿存在著千絲萬縷的聯系。2008年之后，隨著云計算、大數據等信息技術創新發展，隱私保護面臨的挑戰日趨嚴峻，政府部門監管意愿日趨強烈，但美國隱私保護行業自律組織并沒有重演2000年的繁榮復蘇。分析其中原因，主要包括三個方面。
企業從經濟利益考量缺乏加入行業自律組織的動力。大數據時代，數據越來越成為企業發展的重要創新動力，個人數據被賦予了經濟價值。越來越多的企業通過個人數據獲得經濟利益，遵循隱私保護行業自律規則直接影響到企業的收入與利潤。
行業自律組織缺乏對成員企業的有效約束手段。行業自律本身的自發組織性決定了其更多地依靠企業自覺履行責任和義務，行業自律組織制定的準入和年審機制也難以同政府監管手段媲美，持續性發揮作用。以TRUSTe為例，美國聯邦貿易委員會（FTC）在2014年的《隱私和數據安全年終報告》中指責TRSUTe未按照其發布的認證章程履行年檢責任。自2006年到2013年，超過1000家網站沒有經過TRSUTe的年度復核，卻依然張貼TRSUTe的認證標志。
政府強化隱私保護監管使得行業自律失去意義。美國雖然尚未設立統一的數據保護監管部門，但近年來，聯邦貿易委員會、聯邦通信委員會等政府部門從自身職責出發，不斷強化隱私保護監管政策，加大監督執法力度。僅2015年，美國聯邦貿易委員會就處理了14起涉及侵害消費者隱私或威脅個人數據安全的案件，對涉事企業處以高額罰款并向社會公示。從現實來看，美國已經逐漸意識到單純依靠行業自律已經無法滿足大數據時代下民眾對隱私保護的期待，政府監管執法逐步替代行業自律成為保護體系的核心。
大數據時代加強個人信息保護的建議
當前，我國個人信息保護問題日趨嚴重，個人信息非法買賣黑色產業鏈日益猖獗，已成為社會關注焦點，上述美國隱私保護行業自律模式的探索經驗對我國構建完善大數據時代下的個人信息保護體系有著借鑒意義。
一是立足大數據技術與業務發展現狀，盡快完善個人信息保護規定?！峨娦藕突ヂ摼W用戶個人信息保護規定》發布于2012年，其中內容相對原則，需要進一步細化完善，方能有效應對當前大數據應用引發的個人信息安全風險。考慮到當前個人信息保護形勢嚴峻，應從嚴制定相關具體規定或條款，劃定安全“紅線”。
二是抓住數據利用和共享合作等關鍵環節，加強個人信息保護監管。美國前期主要依賴行業自律的做法不足以約束和規范企業收集、使用個人信息的行為，需要依法加強行政監管，才能切實督促企業落實個人信息保護責任和義務。在實際監管過程中，可以借鑒美國應對大數據時代下用戶隱私挑戰的先進做法，將數據利用和共享作為監管重點，對企業的個人信息開發利用、數據外包服務的使用、數據共享合作加強安全監管。
三是加強對企業違法違規行為執法調查和處罰力度。加大對個人信息泄露等安全事件的執法調查，依法對涉事企業的違法違規行為進行處罰，并向社會公示處罰結果。綜合運用通報約談、信用體系等柔性監管手段強化個人信息保護監督和處罰力度，增加企業違法違規成本，督促企業落實個人信息保護的責任和義務。
京公網安備 11010502049343號