我們一直在和應用軟體進行“交易”。用導航和打車軟體要交出地理座標，在餐廳掃碼點菜要先輸入手機號，開通免密支付要進行人臉驗證，下載剪輯軟體要先開啟麥克風使用許可權。我們喜歡吃的餐廳，日常的行動軌跡，甚至對電影和音樂的品味，也都被應用軟體“記錄在案”，永不忘卻。
被“殺熟”的麻煩隨之出現：兩個好朋友訂同一家酒店，價格有高有低；不同的人在淘寶上搜索同一件物品，推薦參差不齊；剛冒出想買一件東西的念頭，它就突然出現在“猜你喜歡”的推薦裡……
我們對於私人生活底線的堅守在網際網路時代節節敗退，大資料之下人人透明，人人軟弱。
如何在網際網路時代保護個人資訊？這個問題餘盛峰已經研究多年。在清華大學拿到博士學位後，餘盛峰開始在北京航空航天大學任教，主要研究法律全球化和網路資訊法。
餘盛峰發現，近十年裡，個人資訊的邊界發生了巨大的變化，傳統的隱私觀念已經不再適用於網際網路時代：
“利用去匿名化的技術，大資料可以把看似沒有直接關係的資訊定位到個人。你透露的微不足道的日常生活，將以你最想像不到的方式被利用。”
我們的數字生活急需法律保護。2021年8月20日，《個人資訊保護法》被正式表決透過，並將於2021年11日1日開始施行。
《個人資訊保護法》明確禁止了“大資料殺熟”（透過自動化決策方式向個人進行資訊推送、商業營銷，應提供不針對其個人特徵的選項或提供便捷的拒絕方式），濫用人臉識別（處理生物識別、醫療健康、金融賬戶、行蹤軌跡等敏感個人資訊，應取得個人的單獨同意），強制輸入身份證號手機號等行為，對違法處理個人資訊的應用程式，則依法責令暫停或者終止提供服務。
在餘盛峰看來，《個人資訊保護法》是重要的起點，但也僅僅只是起點，“後續是一定是網際網路公司與法條博弈的過程”。
《個人資訊保護法》的出臺雖然為治理個人資訊侵權行為提供了法律依據，但也留下了很多未解釋的空白。
《個人資訊保護法》將在哪些方面改變我們的生活？其他國家如何應對隱私洩漏的問題？舊的法律正規化又如何迴應新的技術和商業模式？餘盛峰將以一個法理學家的眼光，重新審視《個人資訊保護法》。
在一個週日的下午，我們相約在北航，進行了一次談話。
對話 ×
餘盛峰
北京航空航天大學
高研院/法學院副教授
文 | 白石
你付出了比錢更重要的東西
Q：《個人資訊保護法》的必要性是什麼？網際網路收集個人資訊，這是難以避免的事嗎？
餘盛峰
：有一個很簡單的問題：為什麼APP基本都是免費的？為什麼我們使用了網際網路公司的產品卻不用付錢？
面對大多數時候以免費面目示人的網際網路，我們很容易忽略一個基本的事實：
免費從來就不是一種商業模式，如果你沒有付錢，那真相只有一個，就是你付出了比錢更重要的東西，你的隱私，你的注意力，你的時間。
在實際生活裡，我們往往不像自己以為的那樣在意隱私。面對網際網路的便利性，大多數人都會用腳投票，從更私密的傳統通訊方式倒戈向社交網路。另一方面，網際網路利用資料資訊盈利的商業模式使得我們作為個體網民很難去抗衡，去抵制，去有效表達反對。大多數時候為了獲得眼前的便利，或者說因為找不到某種有效的對抗途徑，往往只能接受這樣的現實。
但這恰恰說明，我們急需尋找新的路徑和方法來保護我們在資訊時代的隱私權。
Q：餘老師遇到過個人資訊洩漏，或者隱私被侵犯的事情嗎？您在生活中會如何避免這種事？
餘盛峰
：遇到過。我在百度上搜索自己的名字時發現，自己很久之前發的文章，說過的話，留下的個人資訊都還顯示在搜尋記錄裡。這有時給人感覺很奇怪，其中一些是自己早就忘記、甚至不想再被別人看到的資訊，但是沒有辦法刪掉。
這樣的事情現在很難避免。我會比一般人更敏感，更注意一些細節，比如儘量不用手機註冊新賬號，儘量不開啟人臉驗證。但是我們生活在這樣一個大資料時代，更多的時候防不勝防。
很多APP服務本身就基於我們提供的大量資訊，比如外賣軟體，如果不挖掘大資料，外賣的價格不可能那麼便宜。所以在某種程度上，
我們作為網際網路的消費者從一開始就和這些網際網路企業做了一筆交易，而且是一次性的交易——把自己的大量資訊一次性地授權給了它們，從而享受它們的服務。
對於這個問題，《個人資訊保護法》也做了相應規定，使用者不授權個人資訊，APP或者相應的網際網路提供商也不能拒絕服務。這一點我相信在未來會有所改善。
Q：今年11月《個人資訊保護法》實施之後，對普通人生活會有哪些影響？像我們這種普通大眾能直觀感受到嗎？
餘盛峰
：會有直觀的感受。
最明顯的是，現在隨處可見的人臉識別會消失一大部分，很多販賣敏感資訊（比如人臉資料庫）的黑產都會受到整頓。根據《個人資訊保護法》第二章第二節，生物識別資訊被劃分為敏感個人資訊，只有在具有特定的目的和充分的必要性、並採取嚴格保護措施的情形下，個人資訊處理者（也就是網際網路公司）才能收集。
第二，公共場所的監控裝置會出現明顯標識。因為我們現在大量的監控攝像頭都是沒有標識的，我們不知道哪裡有監控哪裡沒有，有時候不注意就看不到，接下來肯定會有一個普遍的合規化運動。
第三，大資料殺熟現象會被制裁，網際網路公司必須依法對自己的演算法自動化決策給出解釋說明，而不能再是完全黑箱化的做法。
粗暴的、短平快的吃資料紅利的時代已經慢慢過去了
Q：聽起來，這一塊，現在面臨最大壓力的是網際網路公司，那您覺得《個人資訊保護法》對它們的影響是什麼？
餘盛峰
：
大的網際網路平臺公司會努力迎合更高的行業標準，而做不到合規的小網際網路公司會被淘汰。
11月《個人資訊保護法》正式施行之後，可能會出現系列的公益訴訟。人民檢察院，特別是最高檢應該會主動地提起一些典型性的案件。
比如說大資料殺熟，接下來可能會有案例針對滴滴、美團等平臺的雙標定價問題。也可能會有與濫用使用者資訊相關的案例。比如某音樂平臺，收集資料本來是為了推薦更符合使用者口味的音樂，結果轉手就把資訊賣給廣告商，這屬於違反了目的明確性和目的限定性的侵權行為。還會有資料儲存期限過長的侵權問題。原來你把我的資訊收集走，可能只能儲存一年，但是我現在透過一些手段發現，我的賬號已經過期或登出了，但平臺還儲存著我的資料，這方面也可能有新鮮的案例出來。
此外，《個人資訊保護法》還明確了糾正的權利。比如說你五年前把我資訊收集走，但這五年間我的個人資訊早就發生了變化，但是你一直不更正，給我帶來了潛在的危害，這個權利也應該被啟用。還有刪除資訊的權利，比如有些不願意讓他人看到的隱私資訊，十年過去了還是一搜就能搜出來，現在我有權要求刪除。再比如資料攜帶權，假設我現在要登出抖音賬號，把所有個人資訊遷移到快手，抖音就需要為我提供技術支援。
在以上這些方面，都可能會有經典案例推出。
Q：那國內的網際網路公司下一步能做什麼？
餘盛峰
：其實國內很多大網際網路公司的業務早就不侷限在國內了，在和歐洲或美國打交道過程中，他們就已經在隱私政策和資料保護方面做了相應的合規預案，只是我們不知道、也用不到而已。
2018年GDPR（歐盟《通用資料保護條例》）推出之後，在歐盟有相關業務的中國網際網路公司都必須按照GDPR的要求進行大量的合規工作。
但是在這個過程中，網際網路公司也會採取一些法律規避手段。它們可以根據《個人資訊保護法》的例外條款來做文章。比如根據第13條的七個條款，比如說聲稱資訊是為公共利益用於新聞報道、輿論監督，比如說是為訂立、履行合同所必需，用這些條款在解釋上的漏洞，讓使用者稀裡糊塗地“同意使用資訊”。
在一些方面，網際網路公司甚至會比立法走得更超前。短期內，《個人資訊保護法》雖然會給運營帶來更高成本，但他們會逐漸意識到過去那種粗暴的、短平快的吃資料紅利的時代已經慢慢過去了，逐漸擺脫對資料粗暴採取挖掘的依賴，找到既能合規，但是又保持核心商業競爭力的創新模式才是生存之道。
在美國我們也可以看到。Facebook一直以來在使用者隱私保護上是比較糟糕的，或者說它的商業模式就是建立在隱私剝削基礎上的，但蘋果公司採取了另一種策略，它往往會標榜自己是隱私保護領域的龍頭企業。有趣的是，這並不意味著蘋果的隱私保護水平就真的特別高，而是能看出它重新去掌握未來商業戰略高地的野心，要把隱私保護作為未來行業標準制定權的一個抓手。
因為它站到了那個道德高地，而且如果為隱私保護找到一個新的技術和商業標準，它就很有可能成為新一輪商業模式變革過程中的規範制定者和主導者。
為什麼保護個人資訊迫在眉睫
Q：其實2003年，國信辦就已經開始著手部署個人資訊保護法立法研究工作，是什麼原因讓這部法律醞釀了這麼久？
餘盛峰
：《個人資訊保護法》第一次被提出應該是在零三年，但其實那時候，國內的網際網路產業還沒有發展成足夠規模，基本上只有幾個比較大的入口網站而已。沒有發達的網購和電子商務，後來對個人隱私造成很大威脅的演算法技術也還沒有真正誕生，可以說是一個比較靜態的網際網路1。0時代。
那時，我們討論立法主要是看到國外正在進行相關的立法。
1995年，歐盟制定了《一般資料保護指令》。歐盟在立法上經常扮演先鋒者的角色，他們已預先觀察到數字經濟發展的趨勢，產生了加強保護資料主體的想法。但那時國內的整個網際網路產業還沒有發展起來，主要是一些學者在推動相關的研究。在社會層面，無論是公眾還是國家，都還沒有強烈的推動立法的衝動。立法者可能也沒有想到，在接下來的十幾年裡網際網路的發展會大大超出人們的想象，而個人資訊保護會變成一個非常棘手的問題。
比如說現在常見的大資料殺熟、智慧資訊流推送、定向投放廣告，這些基於個性化的資訊蒐集產生的侵權模式，其實都是在人工智慧深度學習和大資料技術成熟之後，才慢慢發展出來的。也就是這五六年的時間，立法保護個人資訊突然就成了迫在眉睫的事情。
Q：我們現在所談到的個人資訊指的是什麼？為什麼保護個人資訊迫在眉睫？
餘盛峰
：對，在大資料時代個人資訊的定義確實是個很大的問題。
我們現在的《個人資訊保護法》對個人資訊的定義其實是借鑑GDPR：已識別、或者說可以識別到個人的資訊就叫做個人資訊，即PII概念（Personal Identifiable Information）。比如，馬上就能夠關聯到你個人身份的叫個人資訊，雖然不能馬上定位到你，但是可以間接識別到你的資訊，也可以界定為個人資訊。
但是現在的數字技術，根本不需要非常詳細的資訊也可以觸及（access）到你。
一些似乎跟你本人沒關聯的資訊，但是透過各種演算法、大資料探勘、去匿名化技術，又可以透過意想不到的方式影響到你的利益。
比如說，你是一個35歲的程式設計師，你去貸款買房，發現自己的貸款額度比別人低很多，原因是大資料發現35歲以上的程式設計師失業風險非常高，自動為你降低了額度。
你說這算不算個人資訊洩露？不算。但是否對人造成了真實的影響？是的。
Q：那麼《個人資訊保護法》保護的，是哪一方面的個人資訊？
餘盛峰
：我們做一個總結的話，就是說傳統的隱私保護法，它有幾個基本正規化的假設。
第一個假設，就是隻保護個人資訊，非個人資訊不保護，如果是你個人主動公開的資訊，或者說非個人的資訊，我法律不保護，因為那樣保護起來會漫無邊際，所以只保護可識別，或已識別的個人資訊，這是第一個正規化假設。
第二個假設是匿名化正規化。如果平臺已經透過技術手段，把你的資訊匿名化了，那麼OK沒關係，這些資訊就不再是個人資訊，就都可以使用、可以傳播，因為我已經透過匿名化把你這個人相當於隱藏起來了，追溯不到具體的個人，那麼這個時候資訊就可以公開使用，自由使用。
第三個正規化就是經常會在各種隱私政策中看到的知情同意原則，OK我可以用你的資訊，只要得到你的授權同意，那麼接下來我就可以自由使用，也可以轉讓給第三方，因為你已經同意了，你已經自主做出了這樣一個授權，這是第三個正規化假設。
過去包括現在，主要是透過這三個正規化假設來解決個人資訊保護，和資訊公開的這樣一個存在內在衝突的問題。但是，這三種正規化現在都已經受到挑戰。
Q：您覺得《個人資訊保護法》在實施時會遇到哪些可能的困難？
餘盛峰
：GDPR也好，《個人資訊保護法》也好，都是表面上給予資料主體很多的權利授予，但其中也有很多可以被規避的條款。
比如說第一條核心原則，知情同意。知情同意原則是說，只要這些網際網路平臺在它的隱私政策裡說羅列了一系列權利和義務，然後你在使用APP之前，你點選了同意選項，那就相當於把你的個人資料授權出去了，這時候你的個人資訊權利相當於已經在這個過程中隱形地放棄掉了。你一攬子把自己的資料授權出去，之後就難以維權，因為網際網路平臺可以說你在當時已經閱讀了隱私政策條款，你已經點選了同意按鈕。
但問題是，網際網路公司會把一些關鍵資訊隱藏在冗長的條款裡，普通使用者根本沒有可能讀完。之前美國的學者做過一個研究，發現使用者每年要把所有的登陸的網站和APP的隱私政策都讀完，得花幾千個小時，不可能有人做到這一點。
這種情況下就無法達到知情同意，只能說是知情放棄。
但是《個人資訊保護法》的推出，也是一個積極的訊號。以前如果遇到了個人資訊侵權的情況，不管是起訴還是追責都很困難，一來沒有明確的投訴機構，二來沒有專門的法律規定，但現在立法都做出了相應的規定。遇到問題可以依法向網信部門舉報投訴，你個人也可以向法院提起司法訴訟，人民檢察院、法律規定的消費者組織和由國家網信部門確定的組織也可以依法提起訴訟。
未來的個人資訊和隱私保護會變成真金白銀的生意
Q：我們在個人資訊保護方面遇到了很多問題，那其他國家又是怎麼解決問題的呢？
餘盛峰
：歐盟的一系列關於個人資訊保護的法律，是從上世紀60年代到70年代開始發展出來的。二戰之後，歐洲要戰後重建，要建立福利國家，政府就引入了大量電子資料庫系統，開始蒐集和儲存大量的公民個人資訊。但是，那時候的電子資料庫主要還只是比較靜態的大型計算機，只是把資訊儲存在本地，和現在的數字化技術差距很大。
但是在1970年代之後，人們開始警惕和思考大型電子資料庫造成的危險，以《1984》為代表的一系列小說引發了人們對國家監控機器的思考，政府因此開始推動起草新法律。這一輪討論的結果就是開始提出了FIPP即公平資訊實踐原則，這個原則的核心，就是賦予每個資料主體個人資訊的控制權。依據FIPP原則，政府必須告知公民哪些資訊被收集，公民反過來也擁有各類糾正資訊、刪除資料、獲得通知的權利。
而FIPP權利一直髮展出後來的GDPR規則。
美國的隱私保護更為獨特，它的隱私保護主要不是由國家統一立法，而是把這個權力下放到了網際網路企業，所謂自我治理。從1990年代之後，美國的網際網路企業開始在FTC（聯邦貿易委員會）的管理下，形成一種公私合作治理，由FTC監督合規，網際網路企業則透過各種技術手段或者隱私條款來加強使用者的隱私保護。如果FTC發現網際網路企業以欺詐或不公平的方式制定隱私政策，就會按規定予以重罰。FTC扮演了重要的隱私立法者的角色。
Q：可以預測一下未來的隱私保護會怎麼發展嗎？
餘盛峰
：我覺得可以做一個類比。在工業擴張時代，各種工廠野蠻生長，完全可以不管不顧地汙染環境，但是在工業發展趨於飽和、產業高度成熟的今天，節能減排開始成為每個工廠頭上高懸的劍，那些粗放生產的企業是第一批被淘汰的。
而資訊時代的隱私保護問題，我覺得和工業擴張時代的汙染問題很像，只不過工業時代的汙染是透過石化煤炭的方式，而我們現在的汙染是透過資料處理的方式。只是汙染的形式、造成傷害的性質、範圍和手段不一樣而已。
從工業時代發展到資訊時代，雖然問題好像是一個新問題，但是它背後的邏輯是一樣的，都是經濟發展模式從原始粗暴擴張積累，到向新文明標準轉化的問題。從汙染轉向環保，這個轉化在工業時代經歷了差不多一兩百年的時間，從19世紀到20世紀，而我們資訊時代的技術迭代速度更快了，所以它不需要100年，可能只要二三十年，甚至更短時間。產業的轉變，可能會以網際網路巨頭沒有辦法預料的迭代速度往前推進，很有可能5年到10年就會發生一個巨大的變化。
我們現在所說的碳中和就是工業時代轉變的產物。碳中和這個概念出來之後，整個全球產業，包括金融產業的遊戲規則都發生了重大改變，產生了規模龐大的新的經濟蛋糕。
而未來的個人資訊和隱私保護，一定也會作為新的貿易標準和投資標準，它也會變成真金白銀的一個生意。
類比碳中和，未來也很有可能會有“隱私中和”的概念出現。碳中和的概念是什麼？你排放碳的同時，透過不管是植樹造林還是再生能源，把排放的碳中和掉，碳吸收的總量和碳排放的總量要相抵消。那麼同樣，未來可能網際網路公司也要發展出新的技術，消除透過蒐集和挖掘使用者個人資訊造成的不良影響，發展出能夠吸收和抵消隱私侵犯的技術和商業模式。
