数据泄露与个人信息保护

对于一个企业来说有这样的觉醒和措施并不够，还必须形成具体的法律条文，以及违法后的重罚，让全社会都遵循法律办事，才能有效保护个人隐私和权利。

■ 张田勘

脸书（Facebook）和剑桥分析公司（Cambridge Analytica）数据泄露事件后，脸书CEO马克·扎克伯格（Mark Zuckerberg）在英美主要的9家报刊上刊登了整版广告，为“辜负信任”再次向民众道歉。同时，英国调查人员已经进入剑桥分析的伦敦办公处进行搜查，以查证该公司非法从脸书获取个人数据的证据。

此前，脸书CEO马克·扎克伯格已在脸书的网页上发表声明称，“我们有责任保护您的数据安全，如果我们做不到，我们就不配给您提供服务。”

仅就脸书的表态和致歉来说，态度也许是诚恳的，但是，能否解决信息时代以及未来的个人隐私保护，需要付出更多的行动。

在大数据时代，个人数据的使用和保护一直是一个矛盾的复合体。一方面，如果个人数据不能得到有效利用，就失去了价值；另一方面，如果个人数据被不当获取和利用，又会侵犯个人隐私，并造成社会动荡和灾难。只有让数据合理、公正、合法地获取和使用，才既能发挥大数据的作用，也能有效保护个人隐私。

为了让美国公民能够安全地获取其个人数据，并鼓励能够使用和分析这些数据的私人部门发展，从2010年起，美国的奥巴马政府启动了“我的数据”（My Data）行动，这个行动并非只是让商业公司获益，而是更希望能为全体公民提供应用和服务，让人们更好地管理自己的工作和生活、高效获取社会福利等。

然而，在获取个人数据和利用上，公众始终处于信息不对称的弱势一方，有能力收集和利用公民数据的互联网公司以及各种商业和政府机构毫无疑问处于强势地位，因为公民个人一般都会因技术条件和知识水平的限制难以掌控自己的数据，个人的数据非常容易受到政府和企业的侵犯，也就需要法律来管理和制约。

在具体立法上，欧盟是通过制定专门法律保护个人数据，美国则采取分散式立法，分别管理。对公共部门通过制定《信息自由法》和《隐私法案》限制公权力侵犯个人信息权利；在商业和民事范畴，则在金融、电信、医疗等行业领域的市场管理规则中针对不同情况嵌入个人信息保护条款。

目前，欧盟对个人信息保护的法律《统一数据保护条例》（GDRR，将于5月25日生效）被视为最严格，但也只是对数据采集方式和目的进行限制。其中，目前的计算机深度学习算法被该条款禁止，因为在使用目的上不能获得合理解释。

限制商业公司对个人数据的扩大和无限制地获取和利用是今天信息时代保护个人隐私的重要砝码。扎克伯格的声明和措施中已经体现了这个理念。脸书现在提出的主要措施是，调查访问脸书数据的所有应用，要求对存在“可疑行为”的应用进行审计；对数据访问权限进行进一步限制，确保类似数据滥用事件不会再次发生；推出一款针对“信息流”的工具，向用户显示哪些应用（程序）在访问他们的数据，从而使他们能决定是否取消该访问权限。

这几项主要措施中的前两项同样是在数据采集方式和目的方面进行限制，只有后一项才是赋予了个人用户真正的权利，即让个人用户随时得知有哪些机构和应用程序在获取和利用他们的个人数据，并且如果个人用户得知后可以随时取消任何对其个人数据的访问权，也就可以中止个人数据被滥用。

然而，对于一个企业来说，有这样的觉醒和措施并不够，还必须形成具体的法律条文，以及违法后的重罚，让全社会都遵循法律办事，才能有效保护个人隐私和权利。就像这次有人分析要让脸书赔偿2万亿美元一样。