《中国金融》|隐私技术与个人信息保护

时间:2021-10-26来源:栏目:互联网

为了保护个人信息和促进金融数据资源的振兴,导读:应采取适当的商业合规措施,并在通过隐私技术匿名化数据时进行必要的评估。作者中国银联隐私技术法律研究课题组「课题组成员:郑...

为了保护个人信息和促进金融数据资源的振兴,导读:应采取适当的商业合规措施,并在通过隐私技术匿名化数据时进行必要的评估。

作者中国银联隐私技术法律研究课题组「课题组成员:郑晓琴 杨燕明 吕伊蒙 欧阳琛 何东杰 郑建宾 刘红宝 金灵」

文章 《中国金融》 2021年第20期

所谓隐私技术,就是在不泄露原始数据的情况下,对数据进行分析计算的信息技术。它可以保证数据在流通和整合过程中“可用、不可见”,从而为数据流通和整合业务提供了新的发展路径。我国颁布《个人信息保护法》,从特别法角度完善个人信息保护框架,明确将金融账户信息列为敏感个人信息,提出更严格的处理要求,并结合现有个人金融信息细化监管要求,强化金融领域信息保护合规要求。本文旨在以《个人信息保护法》为视角,厘清隐私技术的应用与个人信息保护、金融数据资源振兴的关系,并结合隐私技术的国际立法和实践提出相关建议。

个人信息保护与数据利用面临的突出问题

2015年9月个人信息保护与金融数据资源盘活尚未很好协调。国务院颁布的《促进大数据发展行动纲要》指出,大数据是一种容量大、类型多、访问速度快、应用价值高的数据集合,大数据技术的应用是对数量巨大、来源分散、格式多样的数据进行收集、存储和关联。数字经济时代,以人工智能为代表的新科技的发展很大程度上依赖于数据、算法和计算能力的支撑。只有通过海量数据训练算法,利用人工智能对海量数据进行采集和处理,形成高价值密度的衍生数据,才能形成数据价值链。因为大数据的性质不同于一般数据,所以适用于大数据的处理规则也应该不同于一般的数据处理规则,而隐私技术正好契合了大数据的特点,有助于挖掘和发挥大数据的价值。目前,我国通过《民法典》010《个人信息保护法》等法律法规,建立了一般数据中个人信息的保护规则体系和个人信息主体权利体系。同时,确立了基于知情同意和最低限度必要性的个人信息处理基本原则,旨在确保用户充分行使个人信息权。但如果按照上述规则处理个人信息,目前合规中能够收集到隐私计算等大数据分析应用中的个人信息极其有限,由于需要逐一取得个人同意等因素,收集相关个人信息的合规成本会变得非常高,客观上给隐私技术等必要的大数据处理带来合规麻烦。

为了解决个人信息匿名化的法律界定相对模糊。, 《网络安全法》中未经用户授权处理个人信息的问题,在规则层面提供了一定的例外路径,比如未经个人信息主体同意处理匿名信息。同时,《数据安全法》还强调匿名信息应具有绝对匿名的特征,即如果任何主体采用了可能的技术,使得匿名化的信息与其他任何数据结合后都可以被认定为个人信息的主体,那么该信息就不是匿名的。

但实际上,在技术层面很难做到绝对匿名。如果给具有足够特征值样本的被试提供匿名数据,且识别技术、成本等判断维度不受限制,理论上总是可以通过特征值匹配追溯到特定个体。因此,匿名虽然最大化了信息的安全程度,但也剥离了信息本身的使用价值,导致了数据的合理使用与个人信息保护之间的冲突。因此,确定匿名限制对于隐私技术的合规应用尤为关键。

个人信息权益受影响程度不一致。《个人信息保护法》明确规定,处理个人信息应当符合最低限度必要性原则,并有法律依据。在立法层面,制定限制个人信息处理的规则,目的在于保障用户对其个人信息的自主控制,从而避免侵犯用户的合法权益。至于用户能否感知到个人信息的处理,相关的个人信息处理行为可能会对用户的权益产生不同的影响。对于可感知的情况,如直接将数据分析结果转化为对用户的个性化推送,无论对个人的影响如何,都会直接影响《个人信息保护法》所保护的个人人格权等。所以信息处理要严格依据个人信息保护的相关规则。对于不易察觉的情况,如以数据分析结果作为群体情况的代表,不会直接影响相关个人,实质上不会直接侵害前述个人信息保护的主体合法权益,也不会影响特定用户的和平权、隐私权等人格权;然而,如果对可感知和不可感知的情况都采用相同的信息处理规则,可能会阻碍一些金融数据资源的振兴和数据孤岛的解决。因此,在充分保护个人信息主体权益的基础上,区别对待数据处理活动具有重要意义。例如,对于不易察觉的情况,重要的是考虑事后给用户缓解的方法。

根据个人信息授权机制缺乏灵活性。,隐私技术的各种形式,该技术在其运行过程中可能涉及对用户ID、用户标签、计算梯度和其他类型信息的处理。根据《个人信息保护法》的规定,上述信息和其他信息通常都属于个人信息的范畴,因此在使用隐私技术过程中对前述必要信息的处理需要告知用户收集和处理其个人信息的具体情况,并取得用户同意。

同时,根据现有的监管要求,在授权机制下,收集个人信息的环节至少应告知用户其个人信息后续处理的目的、方式和类型。但在隐私技术的应用场景中,很难预测在个人信息收集阶段会对特定个人的信息处理应用哪些技术措施,使得隐私技术的应用很难提前获得用户授权。一旦进入隐私技术处理环节,可能会涉及个人信息处理。

方式的变更而需要另行获取授权。此外,在个人信息进入算法模型后,普通人对于其个人信息在算法模型中的处理原理、逻辑、技术路径不可能完全理解,如此作出的授权并不能代表信息主体的真实意志且无法保证数据利用不会对授权主体权益造成不当侵害。

个人信息保护和隐私技术应用监管的国际实践

2021年,欧盟网络安全局(ENISA)发布《据保护和隐私方面的网络安全措施的技术分析》,在第三章讨论了“安全的多方计算和秘密共享计划”,将多方安全计算确定为复杂数据共享场景的高级技术解决方案。同时,欧盟细化了匿名化判断标准,要求在判断是否达到匿名化效果时,考量破解该技术所需的成本、时间以及彼时的处理技术和科技发展水平等客观因素。

美国参议院在2021年审议的《促进数字隐私技术法案(S.224)》中,要求在保持公平性、准确性和效率的同时,对集中的个人数据进行去身份化、假名化、匿名化或模糊化的技术处理;在处理数据时使用保护个人隐私的算法和其他类似的数学工具;要求商业机构和政府部门在数据应用中实现加密隐私增强技术的标准化。

日本在2017年颁布的《个人信息保护法》修正案规定了匿名信息处理者的法定责任,要求在信息处理过程中进行匿名化。同年,日本个人信息保护委员会细化出台了《匿名处理信息报告》,明确了日本匿名化效果的判断因素,即不要求匿名化的结果始终无法被破解,只需要匿名化的结果在使用了业界普遍认可的技术后,也无法再识别到具体个人或恢复成原有信息形态。匿名化本身并非为了阻止信息利用,而是希望通过匿名化来平衡数据的可用性与用户信息的安全性。

相关建议

当前,隐私技术正处于快速更迭阶段。在促进金融领域数据流通、融合的过程中,该技术在一定程度上能够降低数据泄露的安全风险,有效保护个人信息安全。但依据我国现有监管要求,隐私技术尚不能完全解决数据合规问题,仍需从监管规制和使用者合规等方面加以完善。

完善匿名化技术合规标准要求。我国暂无匿名化技术的具体判断标准,导致其在适用性方面存在困惑,有必要通过制定相应监管规则加以指导。同时,由于匿名化技术的应用还需符合具体行业的要求,如金融领域的信息敏感度高,个人信息保护尤为重要,可根据行业特殊要求对匿名化技术标准进一步细化。

完善业务合规措施。鉴于个人信息保护规则要求结合具体业务情况落实相应的信息保护义务,在具体业务场景下使用隐私技术进行个人信息处理时,需确保业务场景的真实性,按要求获取用户授权,完善证据留存(包括留存真实场景的证明材料、授权签署文件及相关操作日志信息等)。

完善评估制度。鉴于整个隐私计算运行过程中会涉及利用技术及算法对个人信息进行处理,因此有必要完善相关的评估流程,并对整体算法及处理过程的安全、合规程度加以佐证。一是根据《互联网信息服务算法推荐管理规定(征求意见稿)》等相关规定,对算法逻辑加以公开,并就算法机制机理、模型、数据和应用结果等的公德伦理和安全性能进行定期评估。二是在数据融合、交互阶段对数据处理的必要性、安全性、字段泄露风险等进行评估。三是在相关算法使用后,对用户可能产生的权益影响情况进行综合评估,从而保证对算法本身、数据处理及结果应用等环节进行持续监测,以降低可能产生的合规风险。

完善算法规范体系。近年来,监管部门对算法规制日益重视。国家网信办等九部委于2021年9月发布的《关于加强互联网信息服务算法综合治理的指导意见》提出,要利用三年左右时间,逐步建立治理机制健全、监管体系完善、算法生态规范的算法安全综合治理格局。但总体而言,现有法规更多地聚焦在用户有感知的个推场景,对目前普遍存在的用户无感知的算法应用,尚无监管文件对其进行界定与规范。对此,可考虑从对个人的影响程度对不同算法类型进行区分,并进一步就不直接影响用户权利的算法规则进行区分规范,为其豁免适用个人信息保护相关规则提供规范依据。此外,在对用户产生影响的算法应用场景中,使用模型算法的信息处理者应当结合监管动向适时开展内部合规审查、评估及适当公示,不断强化算法的公平性、透明性及公德伦理性。

针对金融领域大数据处理活动与现有个人信息处理规则之间可能存在的冲突,未来需从规则和金融应用领域探索新的路径加以平衡。在不侵害用户个体权益的前提下,通过隐私技术对数据进行匿名化处理,应依法采取充分的业务合规措施并进行必要风险评估,从而兼顾个人信息保护与促进金融数据资源盘活的关系。■

(责任编辑 张林)

1.本站部分来源于互联网用户自主整合上传,如有侵权,请联系我们删除;

2.文章内容并不代表本站的观点或立场,如有关于文章内容,版权或其它问题请联系删除;

3.本文地址:https://jiatu888.com/hlw/84842.html

最新文章

网站介绍

本站部分内容收集于互联网,如有侵犯贵司(个人)版权,请联系本站删除。

Copyright@2018-2021 www.jiatu888.com 嘉图网 All Rights Reserved 粤ICP备20051635号 网站地图 tag列表

嘉图网