产业与政策丨隐私计算技术：数据流动与数据安全的协同保护规则构建

∗基金项目：国家社会科学基金重大项目（No.16ZDA075）、国家重点研发计划项目（No.2018YFC0830301）资助

隐私计算技术：数据流动与数据安全的协同保护规则构建*

赵精武  周瑞珏

（北京航空航天大学法学院，北京 102206）  

摘要：在推进数据生产要素市场化配置的政策导向下，隐私计算技术凭借异地处理原始数据、量化隐私保护水平等技术优势有效满足了国家现代化治理过程中对于数据安全保障和数据有效使用的双重需求。在该技术尚不成熟的当下，如何为该项技术提供良性发展的制度环境成为亟需解决的法律议题。在明确该技术促进数据安全保障义务转型的法律属性和“服务使用方-服务提供商-数据提供方”的法律关系后，不难发现该技术的监管定位应当是技术标准与法律规则的聚合，即将该项技术以数据协作机制组成部分、技术模式分类监管和再识别风险预防等路径嵌入至现行数据安全立法体系。

关键词：隐私计算；数据安全；隐私信息；数据安全保障义务

中图分类号：TP309.7      文献标识码：A

引用格式：赵精武, 周瑞珏. 隐私计算技术：数据流动与数据安全的协同保护规则构建[J]. 信息通信技术与政策, 2021,47(7):53-58.

doi：10.12267/j.issn.2096-5931.2021.07.008

0  引言

在国家治理体系中，数据治理能力已经成为衡量治理能力现代化的重要标准。数据经济需要充足且可用的数据资源解放潜在的社会生产力，数据资源的商业价值远超于以往任何一个时代，用户行为习惯分析、产品服务精准推送和投放等新型商业模式极其依赖海量的用户数据集合，现代商业竞争实际上也可以理解为商业数据资源的争夺。在市场与日俱增的数据流通需求背后，则是监管者和社会公众对数据安全的担忧。依托数据挖掘和清洗技术所形成的“一键式服务”和“推送式服务”看似提供了更为优质的便利化服务，殊不知这些服务优化的基础乃是对用户行为和私密空间的“窥视”。个人数据过度收集、非法收集以及违法买卖等问题推动我国数据安全保护立法活动进程，《网络安全法》《个人信息保护法（草案）》 《数据安全法（草案）》等专项立法构建了我国数据安全保护体系的雏形。然而，“一刀切”式的监管方式无助于解决数据流动与数据安全之间的内在冲突，诸如动态监管理论、分类化数据处理规则、全生命周期监管等学说主张试图提供具体可行的解决方案，但或多或少都存在以减损数据流动为代表实现数据安全的倾向。

面对用户数据、隐私信息在流动中难以定量描述和准确定位的治理困局，隐私计算（Privacy Preserving Computing）的概念应运而生，通过对各方主体个人数据处理行为的中和和计算，量化隐私的安全状态，避免大数据关联分析和深度挖掘过程中可能导致的隐私泄露问题，以技术流程平衡确保数据流动与数据安全的同向性^[1]。这种兼具隐私保护和数据融合双重功能的新兴技术在金融风险评估、智能医疗问诊和政府数据开放等领域具备广泛的应用前景，但隐私计算带来技术红利的同时也为数据治理提出新的问题：现有法律规范如何评价该项技术应用方式的法律特征? 差异化技术路径和多类型主体参与形成了何种法律关系? 该项技术如何嵌入现有的数据保护规则体系之中?

1  隐私计算技术的功能定位与法律属性

1.1  隐私计算的功能定位与应用场景

在现有的研究成果中，各学科领域有关隐私概念范畴和保护方式的讨论非常常见，但大部分研究成果多是针对隐私保护存在的风险和问题提出定性式的解决方案，鲜有学者对隐私保护的具体方式进行定量研究。国外学者提出过隐私演算理论（Privacy Calculus），该理论依托于假设个人将会考虑其行为对应的未来结果的“行为演算”学说，在经济学层面，当个人选择公开其个人信息时将会权衡相关的成本（风险）和收益。隐私演算理论通常与效用最大化理论、动机期望理论和期望价值理论相结合，本质上是考察隐私信息披露的实际效果^[2]。

鉴于现有研究视角的不足和量化研究的实践需求,我国国内学者提出了“面向隐私信息全生命周期保护的计算理论和方法”的隐私计算概念^[3]。该项技术依循隐私信息产生、隐私感知、隐私保护、隐私发布/存储/交换、隐私分析、隐私接受者以及隐私销毁等隐私信息全生命周期，整合了所有参与这些活动的行为主体及其具体处理行为，“对隐私信息的所有权、管理权和使用分离时隐私的描述、度量、保护等内容”构建可计算的评估模型。在商业实践领域,隐私计算技术应用模式主要是以量化隐私信息或个人数据处理行为的商业效益和合规评价为核心^[4]。一方面，以底层技术架构的形式打破“数据孤岛”的僵局，在加密和保护隐私信息的同时融合不同数据方的数据资源，提升数据要素的使用效率；另一方面，借助区块链技术的可验证性和存储内容不易更改性等技术优势，隐私计算过程可以确保隐私信息全生命周期在存证环节的可回溯，增加数据处理行为的合规性。故而该项技术在医疗、金融、政务、广告营销等领域存在广泛的应用空间，如微众银行FATE平台以名为“联邦学习”的加密分布式及其学习技术为架构，能够在保持参与数据融合处理的法律主体之间相互独立，在同步实现数据隔离和数据无损处理的功能基础上，建立小微企业信贷风控模型，有效控制小微企业的不良贷款率^[5]。

1.2  隐私计算的法律属性：数据安全保障义务的转型

现阶段的隐私计算技术仍然存在技术本身尚不成熟、缺乏可靠技术标准以及多方协同数据融合处理需求不明晰等实践问题，需要从技术标准和法律规则两个层面进行预先引导和规划。2021年4月公布的《个人信息保护法（草案二审稿）》 明确规定最小化处理、个人信息无损处理、知情同意等个人信息处理规则，但如何认定信息处理者已经充分合理履行了相关法律义务成为立法过程中争论不止的焦点问题，而隐私计算的出现则为数据安全保障义务的履行提供可操作的监管标准。结合现有应用实例和技术路径来看，隐私计算技术对现行数据安全立法体系最大的冲击表现为数据安全保障义务履行认定标准的量化以及创设方向的转型。所谓的认定标准量化是指信息处理者的义务履行认定不再是监管机构和司法机关逐一根据个案特殊情况进行定性分析，而是借助隐私计算与区块链技术相互结合的技术方案，能够对所有参与主体的数据处理行为进行回溯和存证。此外，为了确保最小化处理规则具备足够的可操作性和可预见性，监管机构先后颁布《常见类型移动互联网应用程序必要个人信息范围规定》《APP违法违规收集使用个人信息行为认定方法》等规范性文件，细化个人信息处理活动的“合法、必要且正当”的抽象标准，以信息服务类型和个人数据类型等要素引导信息处理者调整适当的数据收集范围。隐私计算则能够填补最小化处理规则和必要原则在数量层面的标准缺失，在有效记录隐私信息处理的数据数量、类型、来源、范畴等内容的同时，通过预设的隐私安全评估算法评估每项数据处理行为是否属于“满足业务需要的最小数量”。所谓的义务创设方向转型则是指在数据安全保障义务体系的框架内，隐私计算在技术层面为立法者提供有关数据安全原则的诸多解释可能性。以往的数据脱敏、匿名化处理、差分隐私和同态加密等数据保护技术手段往往因为技术的不成熟性而被质疑是否能够真正做到融合处理数据的同时完全祛除“可识别性”，而隐私计算则完全抛弃这些以直接抹除个人数据中身份信息内容的技术逻辑，而是在数据流动和共享过程中记录所有数据处理流程，预防和遏制相关隐私信息的泄露。

2  隐私计算技术背后的法律关系与监管方向

2.1  隐私计算应用场景下的基础法律关系：服务使用方、服务提供商与数据提供方

在商业实践中，隐私计算主流的技术路径主要包括联邦学习、多方安全计算、可信计算3种，并且具体应用场景也并不是完全以隐私计算作为单一的底层技术，还包括人工智能、区块链等辅助技术^[6]。不过，隐私计算以隐私信息处理的全生命周期为优化对象，无论在讨论何种技术路径下的法律关系必然会涉及三类法律主体，一是使用数据的客户，如金融机构、政府部门、医疗机构等需要数据服务来优化和调整实体业务；二是提供隐私计算服务的服务提供商，所有数据处理活动均在其架设的独立系统中进行；三是数据提供方，即持有海量数据的征信机构、保险协会、互联网企业等。典型的隐私计算应用场景可以总结为数据提供方在原始数据不流动的前提下，在服务提供商构建的系统平台处理数据提供方加密处理发送的私密信息，之后再通过系统平台预设的算法向客户提供满足其业务需求的数据处理结果。现阶段的隐私计算技术尚未达到完全成熟的程度，服务提供商所能提供的系统平台同样未曾达到该项技术架构所预期的安全水平。因此，在三方法律关系中，服务提供商并非以第三方平台的身份为客户和数据提供方提供平台化信息服务，而是承担高于一般网络平台的数据安全保障义务。对于数据提供方而言，在数据本地化处理的前提下将加密且无再识别可能性的用户数据上传至隐私计算平台，其法律责任承担的起点是以这些上传数据是否确实采取合理、正当且必要的技术措施，而无需对隐私计算平台内数据泄露或大数据关联分析再次析出用户数据承担法律责任。当然，绝大多数“客户”属于现行立法所规定的“信息处理者”或“网络运营者”，其法律责任的承担范围还需要根据信息处理者的身份进行分类讨论：如果信息控制者（隐私计算服务的客户）是互联网企业等非国家机关或承担行政职能的法定机构时，则根据《民法典》第1038条规定，信息控制者可以在未经自然人同意的情况下，直接向他人提供“经过加工无法识别特定个人且不能复原”的用户数据。此时，倘若信息控制者未尽合理注意义务选择不恰当的隐私计算服务提供商而导致用户个人数据泄露或被再识别，则用户数据显然没有达到“无法识别”和“不可复原”之要求，信息控制者则需要与隐私服务提供商共同向用户承担连带责任。如果信息控制者是国家机关或承担行政职能的法定机构，结合《民法典》第1039条规定的保密义务来看,在选择隐私计算服务时，其承担的注意义务远高于前一类主体，原因在于其获得个人数据或隐私信息的渠道依托国家公权力，相较于平台与用户之间的主动式提供用户数据，自然人实为“被动式”地提供个人数据和隐私信息。

2.2  隐私计算技术的监管方向定位：技术标准与法律规则的耦合

法律对新兴信息技术的回应方式主要包括两类，一是在既有法律规则框架下明确该技术应用场景下的法律关系及其法律责任；二是关注技术本身的发展趋势，在监管层面创设新型法律规则调整技术创新可能产生的新生风险。诚如前述，隐私计算背后的法律关系主要内容是围绕加密后的用户数据权益归属以及法律义务予以展开，基于信息控制者和隐私计算服务客户的双重身份属性，其选择服务提供商仍然受到“平台-用户”这一基础法律关系的影响。事实上，个人数据权益具体内容和行使范围对隐私计算的商业模式和技术路径具有“塑形” 作用。数据作为全新的法律客体，打破了“一物一权”式的主客体对应关系，同一个数据之上往往承载数个法律主体的数据权益主张，如企业的数据竞争权益、个人的数据安全权益等。尽管三类法律主体之间的权利义务关系可以依托信息服务合同关系予以解释，但无助于解决“个人数据-加密用户数据-隐私计算处理后数据结果”这三类数据的权益归属。首先，个人数据权益归属于自然人，隐私计算的应用始终应当是以不公开个人数据为优先事项，且数据提供方所提供的用户数据应当删去身份信息的部分；其次，加密用户数据是个人数据技术处理后的形式，本质上不再属于为个人数据范畴，数据提供方可以自由处理；最后，隐私计算处理后数据结果的“收益权”成为难题，在数据提供方与服务使用方不是同一主体时，两类主体是否对数据享有同等水平的数据权益难以定论。最关键的是，能否真正做到匿名化处理一直饱受质疑，加密数据究竟能否完全杜绝再次识别特定自然人的可能性关系到隐私计算技术的应用模式选择。单纯通过创设专项新条款对隐私计算技术所涉及的数据处理活动进行义务限定并不能圆满解释这些义务的正当性基础，因而需要相对灵活的技术标准对隐私计算各阶段的数据处理活动进行技术层面的“监管”。在“知情同意”和“目的性”的个人数据保护规则要求下，数据处理目的或将成为法律规则与技术标准的交汇点（见图1）。一方面，法律规则需要明确隐私计算各阶段所涉及的数据建模行为是否属于“最初的处理目的”以及隐私计算的商业目的正当性边界两个基础问题；另一方面，技术标准则需要明确“匿名化”过程所需要满足的技术要求，保障数据处理目的在技术层面的正当性，即已经采取合理技术手段预防大数据关联分析可能导致的“再识别”风险。

本文刊于《信息通信技术与政策》2021年 第7期

主办：中国信息通信研究院