個人信息保護(hù)刑事合規(guī)的主要場景與完善建議
隨著數(shù)字經(jīng)濟(jì)不斷發(fā)展，涉及個人信息保護(hù)的違法犯罪數(shù)量快速增長。面對嚴(yán)峻的形勢，我國立法機(jī)關(guān)和司法機(jī)關(guān)加大了對個人信息的保護(hù)力度。在2022年9月6日召開的最高人民法院新聞發(fā)布會上，最高人民法院相關(guān)部門負(fù)責(zé)人介紹，“從司法實踐來看，一些企業(yè)、機(jī)構(gòu)存在違法獲取、過度使用、非法交易個人信息的問題。人民法院要支持行業(yè)主管部門和有關(guān)單位采取切實有效措施，健全個人信息日常監(jiān)管和內(nèi)部管理機(jī)制，為行業(yè)有效監(jiān)管提供有力司法保障”。
個人信息保護(hù)的刑事合規(guī)是現(xiàn)代企業(yè)治理體系在數(shù)字經(jīng)濟(jì)時代的必然要求，企業(yè)應(yīng)積極防范個人信息刑事法律風(fēng)險，用嚴(yán)密的管理與法律合規(guī)機(jī)制杜絕個人信息相關(guān)犯罪的發(fā)生。與個人信息保護(hù)相關(guān)的企業(yè)刑事合規(guī)主要涉及三個場景：網(wǎng)絡(luò)爬蟲、數(shù)據(jù)采買和數(shù)據(jù)對外提供。
一、網(wǎng)絡(luò)爬蟲場景中個人信息保護(hù)刑事合規(guī)風(fēng)險與完善建議
1.網(wǎng)絡(luò)爬蟲場景中個人信息保護(hù)刑事合規(guī)風(fēng)險。通過網(wǎng)絡(luò)爬蟲技術(shù)，企業(yè)可以根據(jù)實際需要經(jīng)由計算機(jī)自動地抓取互聯(lián)網(wǎng)信息，從而實現(xiàn)對網(wǎng)絡(luò)信息的高效讀取和收集。雖然對網(wǎng)絡(luò)爬蟲技術(shù)的合理利用有利于工作效率的提高，但其利用是有合法邊界的。從爬蟲的司法規(guī)制看，已有的司法判決主要關(guān)切兩方面的問題：一方面是規(guī)范爬蟲技術(shù)的使用規(guī)則，另一方面是對爬蟲獲取對象的數(shù)據(jù)權(quán)益進(jìn)行確權(quán)。總體來看，法院在司法判決中一般以技術(shù)中立為原則，不否定爬蟲技術(shù)的合法性，但為其使用設(shè)置嚴(yán)格的邊界或限定條件。
作為一種自動化程序，網(wǎng)絡(luò)爬蟲在運(yùn)行過程中較難直接獲得被收集個人信息主體的同意，可能會存在侵犯公民個人信息等刑事風(fēng)險。例如，9人利用爬蟲違規(guī)獲取企業(yè)注冊信息，因構(gòu)成侵犯公民個人信息罪而獲刑。又如，利用爬蟲技術(shù)獲取2.1億條簡歷數(shù)據(jù)，被法院以侵犯公民個人信息罪判刑七年、個人罰金1000萬元。企業(yè)要結(jié)合網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法和個人信息保護(hù)法等法律規(guī)定，形成與自身業(yè)務(wù)規(guī)則相融合且行之有效的爬蟲管控機(jī)制，將個人信息保護(hù)的合規(guī)義務(wù)納入內(nèi)部的審批和管理流程中，避免技術(shù)濫用。
2. 網(wǎng)絡(luò)爬蟲場景下的刑事合規(guī)。網(wǎng)絡(luò)爬蟲場景下個人信息保護(hù)的刑事合規(guī)，可以從是否遵守robots協(xié)議和是否設(shè)置抓取內(nèi)容的限制策略兩個方面分析。若網(wǎng)站設(shè)置有robots協(xié)議，則應(yīng)嚴(yán)格遵守。盡管目前違反此類協(xié)議的抓取是否違法尚有一定爭議，但仍應(yīng)謹(jǐn)慎對待，不宜突破目標(biāo)網(wǎng)站的反爬技術(shù)措施。除遵守robots協(xié)議外，設(shè)置抓取內(nèi)容的限制策略也是必要的，并在抓取后對所獲內(nèi)容及時進(jìn)行審查。如發(fā)現(xiàn)數(shù)據(jù)屬于用戶的個人信息，則應(yīng)及時停止抓取，并完整刪除已經(jīng)爬取的數(shù)據(jù)。
值得注意的是，在與爬蟲相關(guān)的個人信息保護(hù)刑事案件中，仍有一些問題需要明確，并進(jìn)而統(tǒng)一類案裁判標(biāo)準(zhǔn)。比如，如何界定“侵入計算機(jī)系統(tǒng)”，爬蟲繞過口令、技術(shù)措施, 抑或違反網(wǎng)站上公開的使用聲明，是否都屬于“侵入”？前述問題的認(rèn)定，關(guān)系到爬蟲使用的邊界以及具體場景下行為的合法性問題，需要在司法實踐中予以明確或統(tǒng)一認(rèn)定標(biāo)準(zhǔn)。
二、數(shù)據(jù)采買場景中個人信息保護(hù)刑事合規(guī)風(fēng)險與完善建議
1.數(shù)據(jù)采買場景中個人信息保護(hù)刑事合規(guī)風(fēng)險。根據(jù)《關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第四條的規(guī)定，違反國家有關(guān)規(guī)定，通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責(zé)、提供服務(wù)過程中收集公民個人信息的，屬于刑法第二百五十三條之一第三款規(guī)定的“以其他方法非法獲取公民個人信息”。這就要求企業(yè)在獲取數(shù)據(jù)階段，保證自行收集數(shù)據(jù)的合規(guī)以及從第三方獲取數(shù)據(jù)的合規(guī)。而且，企業(yè)還需要加強(qiáng)對自己之前獲得個人信息行為的自查，在涉及收集、使用個人信息的部門眾多、環(huán)節(jié)復(fù)雜時，尤其應(yīng)重視自查工作，如發(fā)現(xiàn)存在超過授權(quán)范圍或違反其他合法性基礎(chǔ)的行為，應(yīng)及時予以糾正。
基于同意處理個人信息時，應(yīng)遵循合法、正當(dāng)、必要原則。這就意味著，并不是獲取用戶的同意就可以任意處理用戶的個人信息，還需要對個人信息處理本身的合法性進(jìn)行審查，是否符合最小必要原則。但在具體個案中，數(shù)據(jù)采買場景下，如何理解最小必要，需要通過司法實踐的個案裁判予以回應(yīng)。
2.數(shù)據(jù)采買場景下的刑事合規(guī)。“非法獲取”行為的核心特點之一是未經(jīng)信息主體“同意”且無其他合法依據(jù)，據(jù)此，企業(yè)通過第三方獲取數(shù)據(jù)時，有義務(wù)對第三方供應(yīng)商數(shù)據(jù)的合法性進(jìn)行審查并留存證據(jù)，避免因第三方數(shù)據(jù)來源的不合法而引發(fā)刑事法律風(fēng)險。例如，企業(yè)要審查供應(yīng)商數(shù)據(jù)來源合法的證明文件，查明供應(yīng)商與用戶簽訂的協(xié)議是否明確授權(quán)，以及授權(quán)使用的范圍、用途等，要求供應(yīng)商提供并簽署數(shù)據(jù)未侵犯他人個人信息和其他合法權(quán)益的承諾書。
然而，目前對于數(shù)據(jù)接收方審查所要達(dá)到的程度，法律規(guī)定不夠具體、明確，造成了實踐中做法的不統(tǒng)一，甚至是沖突。因此，數(shù)據(jù)接收方對數(shù)據(jù)提供方獲得用戶授權(quán)的審查要達(dá)到何種程度，宜通過司法裁判予以明確：數(shù)據(jù)接收方對用戶授權(quán)承擔(dān)形式審查義務(wù)，還是承擔(dān)實質(zhì)審查義務(wù)、審查每條授權(quán)的實際情況，抑或是按比例抽查等其他方式？
三、數(shù)據(jù)對外提供場景中個人信息保護(hù)刑事合規(guī)風(fēng)險與完善建議
1.數(shù)據(jù)對外提供場景中個人信息保護(hù)刑事合規(guī)風(fēng)險。對數(shù)據(jù)密集型企業(yè)而言，數(shù)據(jù)是重要的生產(chǎn)資源，在技術(shù)研發(fā)、算法優(yōu)化、用戶拓展、產(chǎn)品或服務(wù)升級與營銷推廣等方面有不可替代的作用。由于企業(yè)難以掌握生產(chǎn)經(jīng)營各領(lǐng)域的全部數(shù)據(jù)，通常會選擇通過數(shù)據(jù)交易來獲取對其有價值的數(shù)據(jù)并將該數(shù)據(jù)投入運(yùn)用。在數(shù)據(jù)交易的過程中，必然涉及數(shù)據(jù)的對外提供，企業(yè)可能因此而承擔(dān)個人信息保護(hù)的刑事法律風(fēng)險。
2.數(shù)據(jù)對外提供場景下的刑事合規(guī)。企業(yè)在對外提供個人信息的過程中，應(yīng)當(dāng)明確數(shù)據(jù)授權(quán)與使用的界限，使數(shù)據(jù)的使用具有合法性基礎(chǔ)。具體來看，企業(yè)應(yīng)做到以下三點：第一，對業(yè)務(wù)端在不同場景下對外提供個人信息進(jìn)行合規(guī)培訓(xùn)。第二，對外提供個人信息時應(yīng)取得用戶的充分授權(quán)，合法合規(guī)進(jìn)行，并與接收方約定處理目的、范圍、處理方式及數(shù)據(jù)安全保障措施，并通過簽訂合同明確雙方的數(shù)據(jù)安全義務(wù)與責(zé)任。同時，根據(jù)雙方簽署的合作協(xié)議，對數(shù)據(jù)接收方的處理活動進(jìn)行監(jiān)督。第三，建立最小授權(quán)的訪問控制策略，對個人信息的重要操作需設(shè)置內(nèi)部審批流程，對安全管理人員、數(shù)據(jù)操作人員、審計人員進(jìn)行角色分離，超越權(quán)限處理個人信息的，應(yīng)經(jīng)個人信息保護(hù)責(zé)任人或者個人信息保護(hù)工作機(jī)構(gòu)審批并記錄。
我國數(shù)字經(jīng)濟(jì)向前發(fā)展，必然涉及數(shù)據(jù)的使用與處理，以及立足大數(shù)據(jù)的算法訓(xùn)練。就司法審判實踐來說，對個人信息進(jìn)行保護(hù)具有保護(hù)個人信息權(quán)益和促進(jìn)個人信息合理使用的雙重目的。如何在承認(rèn)商業(yè)用途中合理使用的合法性前提之下，進(jìn)一步完善相關(guān)權(quán)利義務(wù)的配置，構(gòu)建個人信息合理使用的外在制度限制，進(jìn)而協(xié)調(diào)個人信息保護(hù)與技術(shù)發(fā)展的關(guān)系，是對司法的一個挑戰(zhàn)。
目前，個人信息保護(hù)與數(shù)據(jù)安全方面的立法仍處于發(fā)展之中，企業(yè)一方面要遵守現(xiàn)行法律法規(guī)，另一方面亦應(yīng)加強(qiáng)對最新司法案例、行政執(zhí)法的研究、跟進(jìn)，防止出現(xiàn)因?qū)Ψ煞ㄒ?guī)理解不到位而引發(fā)合規(guī)風(fēng)險的情況。構(gòu)建個人信息保護(hù)刑事合規(guī)體系是一個系統(tǒng)性的工程，行之有效的個人信息保護(hù)刑事合規(guī)體系要求企業(yè)結(jié)合自身現(xiàn)有和將要開展的業(yè)務(wù)實際制定可行性方案，建立法定義務(wù)識別及個人信息保護(hù)的風(fēng)險控制機(jī)制，并有計劃地開展落地工作，實現(xiàn)頂層設(shè)計和落地執(zhí)行合一，從而確保個人信息保護(hù)制度發(fā)揮實效。此外，企業(yè)還需要對數(shù)據(jù)安全和個人信息保護(hù)情況定期進(jìn)行“合規(guī)審計”，并與相關(guān)主管部門、專業(yè)第三方組織建立穩(wěn)定、暢通的溝通、咨詢渠道，以加強(qiáng)外部監(jiān)督。
［張建肖作者系理想汽車法規(guī)研究院院長 本文系最高人民法院2022年度司法研究重大課題“個人信息保護(hù)司法路徑研究”（ZGFYZDKT202212-02）的階段性成果］
編輯：張怡時
京公網(wǎng)安備 11010502000576號