說到個人信息保護，你是不是有很多問號？

裝修公司為什么知道你剛買了房子？電商平臺為什么知道你在其他網站搜索的內容？聽了節網課為什么培訓機構的銷售電話就開始狂轟亂炸？據統計，中國網民人均使用56款App，它們獲取了多少關于你的信息？又用在了哪里？有沒有偷偷拿去交易？當個人信息受到侵害，應該如何維權？個人信息到底放在哪里才足夠安全？

10月13日，《個人信息保護法（草案）》（以下簡稱“草案”）首次提請全國人大常委會審議。有消息指出，草案規定侵害個人信息權益的違法行為，情節嚴重的，沒收違法所得，并處5000萬元以下或者上一年度營業額5%以下罰款，5%的額度甚至超過了號稱“史上最嚴”的歐盟GDPR（《通用數據保護條例》）。但指望嚴刑峻法能夠馬上懾止關于個人信息的違法行為，恐怕過于樂觀。

面對萬物互聯的數字經濟時代，我們談個人信息保護，很大程度就是在講個人數據保護。

對此，先表明幾個觀點：

1）個人數據法最核心的問題只有一個，就是數據確權；

2）隨著個人數據量的膨脹，指望公民自己管好自己的數據，幾乎是不可能的事；

3）按照當前比較混亂的個人數據流通局面，要全面落實個人數據保護要求，政府需承擔天量的監管任務，并且困難重重；

4）個人數據壟斷、割據，最終會傷害企業利益；

5）建立以“個人數據銀行”為核心的個人數據流通體系，可以成為個人、企業、政府三方得利的好事情。

一、數權法的關注點在哪里

公民對隱私保護的關切和數字化便利的向往，企業對數字經濟紅利的渴望，政府對善政善治的追求，三種力量分別從不同角度對個人數據提出了權利主張。但個人數據不同于一般性財產，權屬關系比較復雜，除了所有權以外，還有使用權、監督權、管理權等一系列衍生權利。

如果一味強調保護，而犧牲個人數據的應用價值，則難免陷入盧德主義（對新技術和新事物的一種盲目沖動反抗），成為經濟社會發展的阻礙。

歐盟GDPR雖然更多傾向于保護自然人，但也同時明確了“個人數據在歐盟境內的自由流通不得因為在個人數據處理過程中保護自然人而被限制或禁止”，給個人數據流通留下了余地。因此，個人數據確權關鍵是處理好隱私和便利的關系，也即數權保護與數據流通性的平衡。

而確權的前提，是對個人數據的范疇有非常明確的界定。從披露信息看，草案明確：“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。”相較《民法典》“識別特定自然人的各種信息”的表述，“自然人有關的各種信息”顯然擴大了個人信息保護的范圍。

但“不包括匿名化處理后的信息”這一限定，仍值得商榷。首先，不論是否匿名，都不能改變數據來源的事實。其次，“匿名化處理”屬于比較寬泛的概念，比如：經過區塊鏈技術處理實現匿名化的個人數據，仍應屬于被保護的個人數據。不包括匿名化的限定顯然有利于促進數據流通性，但在執行層面可能造成標準不一，難以落地。

因此，個人數據應該是來源于自然人的一切數據，自然人應該對自己全部的個人數據享有權利。在此基礎上，建立統一、完備的個人數據結構化模型（數字孿生體），根據不同的數據形式和數據價值進行分級確權。由此引申出個人數據標準化的問題，似乎是難以回避，需要在制度和技術層面盡快突破并細化完善。

當然，有必要在履行個人數據保護義務的前提下，保證緊急狀態下政府的數據動員權利，除了“突發公共衛生事件，或者緊急情況下保護自然人的生命健康”，還應包括其他比較嚴重的公共安全情形。

二、管好自己的數據到底有多難

作為一個自然人，你有多少數據？要搞清這個問題，可能需要查詢公安、民政、衛健、醫保、住建、交通、稅務等幾十個政府部門，水、電、氣、網等市政服務單位，銀行、保險、證券等各類金融機構，外加各大互聯網平臺的個人賬戶信息，即使這樣也不能完整包括你實際擁有的數據量。

要憑個人的力量妥善管理好這些數據，幾乎是不可能完成的任務。因為個人數據不能一直鎖在抽屜或保險柜里，一旦拿出來使用，就會有泄露的風險，況且其中很大一部分早已經散落在大大小小的服務器里。我們如何確保這些原本屬于個人的數據不被濫用？雖然草案明確了以“告知——同意”為核心的個人信息處理規則，面對巨大的技術和時間成本，具體執行落地卻很可能面臨各種各樣的障礙。

試想，有多少用戶會為了安裝一款App，看上半個小時的說明文檔？在紛繁眾多的互聯網應用中間，用戶又能否清晰記住自己向哪些平臺或機構提供了哪些數據？既然個人數據屬于個人財產，我們能否從中取得自己應有的收益？即便意識到個人數據受到侵害，維權取證也會非常困難，而且成本高昂。面對手握資本和技術槍炮的“數據海盜”，個體的抗爭顯然十分無力，而法律制度也不能完全充當“防火墻”的角色，政府面對天量的維權和申訴，也將耗費巨大的行政資源。面對這樣一場非對稱攻防戰，我們似乎難有勝算。

既然如此，你是否考慮過，干脆把個人數據封裝打包，全權交給專門的“個人數據銀行”托管，甚至在確保隱私和數據安全的前提下，為你創造額外的價值？你也可以通過手機銀行查看個人數據資產報告，隨時掌握個人數據資產及其使用、收益情況。當然，前提必須是“個人數據銀行”具有足夠強大的技術能力，能夠確保數據安全，并恪守隱私保護的基本原則。

三、數據壟斷、數據割據對企業并非好事

社會上普遍存在一種認識誤區，使用個人數據的企業似乎是亂象叢生的數據市場唯一的獲利方。

事實上，對需要直接使用個人數據的企業來說，當前的個人數據領域就像一片蠻荒之地，跑馬圈地，先到先得，管他能不能用，好不好用，先拿過來再說。而由此造成的數據壟斷、數據割據，可謂比比皆是。但這些數據大多都不能完全滿足企業應用的需要，否則就不能解釋，為什么平臺推送的商品經常會令人啼笑皆非。

此外，企業還要付出巨大的數據治理成本，并承擔難以估量的法律風險。對于企業來說，理想的狀態應該是，高質量、結構化的個人數據，能夠充分自由地流通，通過市場化的定價機制，以合理的費用，合法購買到自己需要的部分。尤其是初創企業，誰不渴望能夠獲得與行業大佬平等的數據使用權利？“個人數據銀行”一半是為此而生，從C端（自然人用戶）購買上載的標準化個人數據包，經過相應的封裝處理——對批量數據進行匿名化打包，對單個數據進行零知識加密，再向B端（企業用戶）供給數據產品，獲取相應的收益，根據約定的利益分配機制，向C端支付數據使用費，并不斷豐富和更新C端數據包內容。

四、政府監管及個人數據收回

有了“個人數據銀行”，政府的監管難題幾乎可以迎刃而解。

如果所有的個人數據交易都以“個人數據銀行”為核心，監管要做的就是按照既定規則，實時監控“個人數據銀行”的行為，確保百分之百合規。當然，與企業一樣，政府也應享有從“個人數據銀行”購買和使用數據產品的權利，以實現治理體系和治理能力現代化。

作為普通人，我們當然應該關心個人數據上載之后如何收回的問題。只要用加密技術為每個自然人提供一個可以裝載個人數據的“數據黑盒”，在你決定從“個人數據銀行”收回或部分收回數據的時候，將個人數據包下載到“數據黑盒”即可，“個人數據銀行”將按照約定時限刪除你要求收回的數據，并確保使用你數據的其他主體也這么做，同時停止向你支付相應的數據使用費。當然，“數據黑盒”可以是一個虛擬的云端保險箱，“個人數據銀行”在你提交停止數據流通的需求后，把你指定的數據從產品中抽回，單獨封存不再使用即可。

“個人數據銀行”的概念多年前就已出現，隨著區塊鏈等加密技術不斷進步和數據立法的加快，條件已日趨成熟，既然數據要素化、資產化漸成共識，建立以“個人數據銀行”為核心的個人數據流通體系應該盡快提上日程，并在數據立法過程中充分給予考量，配套進行相應的制度設計。

（作者陶輝為無錫市大數據管理局公務員）