黄丽勤 宋骏男：未成年人数据权的二元保护研究 | 青少年犯罪问题202004
内容提要：大数据时代，未成年人数据遭侵害形势严峻，亟需进行有效保护。然而，传统监护人同意机制难当此重任，在网络数据社会丧失可操作性。基于传统刑法所建构的“数据—信息”双轨保护模式无法涵盖逐渐扩张的数据概念，难以有效遏制不断高发的侵害未成年人数据的违法犯罪行为。应当立足于风险社会的抽象危险观，准确定位未成年人数据权的独立法益地位，以现有数据保护法为基点，从行政法领域实现对未成年人数据的特殊监管，从刑法领域实现对未成年人数据的提前保护和动态保护，从而构建未成年人数据权的行政和刑事二元保护体系。
关键词：未成年人数据权；监护人同意机制；数据被害；二元保护
一未成年人数据权被侵害形势严峻
近年来，随着信息网络的快速普及，未成年人在网络空间学习知识、休闲娱乐、网络社交成为常态。截至2019年6月底，我国网民规模达到8.54亿，其中19岁以下网民占比20.9%，总数近1.785亿。信息时代，关于公民活动、行为方式、兴趣爱好、与他人的关系等能够识别公民个体社会属性的数据的总量每18个月就会翻一倍。大数据时代，数据就是金钱，数据就是权力，在企业的商业模式和国家的社会治理模式以数据为核心发生转变的同时，违法犯罪行为也以数据为核心发生转变。作为特定的弱势群体，未成年人的数据权具有一定的特殊性，未成年人的认知能力、心态发展、消费观念尚未完全成熟，对个人数据的保护意识和保护能力比较脆弱，海量的未成年人电子数据暴露于网络空间，必然成为违法犯罪分子侵害的对象。如何为未成年人营造安全的网络环境已经成为全球性的问题。
（一）未成年人数据权的特殊性
与成年人数据权相比，未成年人的数据权具有以下特征：第一，权利认识能力较弱，未成年人无法像成年人那样认识到自身数据可能被过度收集、使用。第二，权利保护意识较弱，未成年人由于自身知识维度、经验阅历匮乏，无法像成年人一样具有较强的自我保护意识。第三，权利时间更长，由于数据权利刚刚兴起，总的来看最近几代未成年人将会比成年人拥有更长的权利时间。第四，权利被害后危害更大，未成年人的年龄较小导致心理较为脆弱，同样的数据被害可能对其产生更大的衍生危害。如未成年人徐玉玉被数据诈骗之后伤心过度死亡。随着对大数据的需求和使用不断增长，以及收集和分析技术的迅速发展，最近几代未成年人将比以往未成年人被收集更多的数据，而数据的应用及其对生活的影响在很大程度上不可预测。所以，在大数据时代，未成年人比成年人受到数据侵害的概率更高，时间更长，范围更广，被害形势十分严峻。
儿童的风险意识薄弱，对于个人数据处理带来的后果、权益及其保障均缺乏足够的认识。对此，需要立法特别保护儿童的个人数据。《宪法》《未成年人保护法》等相关立法明确规定了未成年人享有生存权、发展权、受保护权、参与权等权利，未成年人的合法权益在不妨碍其合理使用的范围之内理应受到优先保护。2017年初，国家互联网信息办公室出台了《未成年人网络保护条例（送审稿）》，第16条明确提出，收集使用未成年人个人信息应经未成年人或其监护人同意，此行政法规便体现了对于未成年人数据权予以特殊保护的立法思路，除此之外，我国应尽快制定关于未成年人数据特殊保护的刑事立法。紧紧围绕被监控的对象——个人数据，探究、确认、保障个人的数据权利，以数据权利保护制衡数据滥用和规范技术治理扩张。
（二）未成年人数据权被害呈现类型化
当前，未成年人数据权利被侵害主要表现为以下四种类型。
1.数据控制主体过失泄露未成年人电子数据。2015年11月，玩具制造商VTECH发布的报告称有超过630万名儿童的信息被过失泄露。2018年5月，TeenSafe家长监管应用软件由于未对数据服务器设置特殊保护，导致至少上万条账户信息被泄漏，其中一台服务器保存的是未成年人的AppleID邮箱地址和密码。无独有偶，国内也存在诸多未成年类APP软件由于缺乏数据泄露保护措施而被责令下架的情形。
2.数据犯罪主体非法买卖未成年人电子数据。为了实施下游犯罪，数据犯罪分子必然会非法买卖未成年人电子数据。2019年初，“暗网”上出现未成年人数据贩卖，这些数据来自一个医疗机构。通常，这些孩子的家庭条件比较好，此类数据对诈骗犯有致命的吸引力。与此相似，美国目前存在一种新型税务诈骗，数据犯罪主体将非法购买的数个未成年人数据“拼凑”成一个完整的数据，这一数据不仅包括身份数据，还包括地址数据等，其中最重要的是假用未使用的儿童社会安全号码。据报道称，2016年美国仅合成身份税务欺诈就已经达到60亿美元，其中超过100万名儿童成为身份诈骗的受害者。
3.数据处理主体越权获取、分析未成年人电子数据。由于未成年人数据背后蕴含一定的经济价值，国内外都存在数据处理主体超越数据获取权限非法获取未成年人电子数据的情形。例如通过非法收集获取未成年人的上网数据、购物喜好数据以及游戏下载数据等，通过大数据分析，从而实现对其精准营销。由于认知能力、心态发展、消费观念尚未完全成熟，未成年人尤其是儿童易受精准营销的影响，在网络游戏中，通过对未成年用户画像，精准定位更有可能为游戏花钱的玩家，并向其提供更多个性化的广告。由于孩子的年龄和成熟度会影响他们对于销售背后所含动机的理解能力，国内未成年人在家长不知情的情况之下进行高额打赏或高额消费的案例比比皆是。
4.收集、处理数据过程产生的对未成年人不利歧视。未成年人的数据风险不仅仅是“犯罪者”主动攻击、侵害该数据所带来的风险，大数据的收集和处理也会引起对未成年人不利的歧视。目前，网络空间会为未成年人打造出一个网络自我，它是在多个在线平台上通过一系列社交媒体工具构成的身份的混合物。这种通过网络数据所得出的未成年人模型往往是有偏差的、不准确的，但是此种虚拟的、不准确的身份又成为未成年人的“网络身份”，因此会对未成年人产生歧视。例如，在某些情况下，为了使特定未成年人的网络画像和其他未成年人有显著差别，软件所使用的算法会特别的定义特定弱势群体。同时，由于未成年人网络身份模型的出现，违法犯罪人可以对其进行精准的恶意推广或者进行诈骗等刑事犯罪。
从上述不同的未成年人数据被害类型可以看出，目前未成年人数据被害深入到数据收集、处理、使用的各个环节，侵害数据的主体呈现多元化，过失泄露、非法买卖、越权处理和恶意使用等侵害手段日益复杂化和专业化。数据社会所形成的虚拟空间和现实社会正在形成一种一一映射的关系，网络数据安全往往直接触及未成年人现实生活信息安全的领域，导致未成年个人与其识别信息错位状态，或者导致公民私密信息的泄露以及由此产生的其他侵害。侵害未成年人数据不仅导致未成年人权利遭受侵害，未成年人家庭成员的切身权益也受到威胁，同时也成为电信诈骗、网络诈骗等信息犯罪的根源。违法犯罪行为人处理的信息量大，波及面广泛，违法犯罪行为呈现高发并日趋蔓延的态势，社会管理难度升级，治理形势十分严峻。
由于未成年人数据本身具有特殊价值，加上未成年人心智尚未成熟难以准确判断其电子数据被侵害风险，导致侵害未成年人数据权利的违法犯罪呈现高发态势。从现有的立法体系来看，无论是行政法还是刑法都无法与时俱进地对这类违法犯罪行为进行有效规制，侵害未成年人数据权的违法犯罪行为难以受到应有的惩罚。
（一）“一体四面”行政立法思路失灵
行政法关于未成年人数据保护可以概括为“一体四面”立法思路：一体即监护人与未成年人一体化；四面即事前告知、明确获取、非程序化同意以及“数据被遗忘权”，通过此种保护模式防止未成年人数据被滥用。《儿童个人信息网络保护规定》第7条、第9条都体现了这种立法思路。在《未成年人网络安全保护条例（送审稿）》（以下简称《送审稿》）中也体现了此种立法动态。此种立法模式通过对未成年人数据的收集、处理主体设置特殊的行政法义务，从而降低数据收集、处理主体侵害未成年人数据的可能性。但是，这种立法模式在当前大数据背景下的操作可能性和保护功能基本难以实现。无论是专门性法律依据和行政监管机制创新，还是企业平台责任落实及典型案件司法处遇，均未将未成年人的特殊性保护从成年人的一般性保护中分隔和凸显出来。
以《送审稿》第16条为例，事前告知是“监护人同意机制”中最容易实现的一个环节，数据收集主体在收集界面以显著、合理方式告知监护人即可，但是明确获取和非程序化同意在实践中往往难以操作，原因如下：其一，监护人是否会去阅读晦涩、专业的数据收集告知书存在很大的不确定性；其二，监护人自身是否能够理解数据收集的潜在危险性是不确定的，因为监护人不是专业从事数据开发业务的人士，很难对潜在危险具备有效分析认知能力，从而导致未成年人数据存在被滥用、被侵害的风险；其三，很多数据收集作为使用软件或者服务的前置化必备程序，如果监护人拒绝该数据收集请求，就会导致软件或者服务无法使用，数据收集将变成霸王条款。一方面，监护人无法准确把握数据收集的风险而同意数据使用，甚至是不得不允许数据主体收集、处理数据；另一方面，数据的收集、处理主体只要按照行政法的要求实施了事前告知，便属于“行为合规而不受处罚”。而海量未成年人数据继续涌入数据收集、处理主体的数据库中，数据收集主体未经有效甄别、筛选就使用、处理数据，大大提升了未成年人数据受侵害的风险。行政保护形同虚设是导致未成年人数据被侵害行为肆虐的主要原因之一。
“非程序化的同意”亦是难以实质化验证的一个环节。部分APP软件采取监护人身份证信息验证或者手机短信验证等即时验证方式。问题是此种验证方式完全可以在监护人不知情的情况下由未成年人自己操作，这种“虚假的家长同意”难以实现立法的初衷。如果采用“即时视频+身份信息”验证方式，确实可以最大程度起到验证效果，但其周期较长，企业承担的成本较大，会阻碍未成年人数据应用的发展，甚至反向导致新生APP企业普遍违法收集未成年人数据。
此外，现有的行政立法仅是针对数据被泄露的结果进行行政处罚，缺乏事前对数据收集、处理行为的监管。《儿童个人信息网络保护规定》第6条也只笼统规定“鼓励互联网行业组织指导推动网络运营者制定儿童个人信息保护的行业规范、行为准则等，加强行业自律，履行社会责任”，没有针对从事未成年人数据收集、处理主体的资格做出相应的细化规定，这也是导致未成年人数据受侵害的主要原因之一。
（二）“数据—信息”刑法保护模式制裁失衡
我国1997年《刑法》开始规制计算机犯罪，经过《刑法修正案（七）》和《刑法修正案（九）》的修订，我国信息网络犯罪立法体系逐步完善。随着互联网进程快速发展，2011年“两高”出台《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（下文简称《危害计算机解释》），在网络时代初期基本能够满足打击计算机数据犯罪的需要。但近年来，数据量级呈现出海量化特征，数据类型繁多，数据价值高、密度低，大数据数量层级的转变使得数据实现了质的飞跃，数据违法犯罪行为也呈现复杂化、专业化和链条化特征。为了应对这种犯罪形势，2015年《刑法修正案（九）》17条规定惩罚向他人出售或者提供公民个人信息的行为。随后，“两高”2017年5月《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下文简称《侵犯公民个人信息解释》）中确定了个人信息的判断标准——“可识别性”，这可以用于未成年人数据的判断。可见，我国刑法对数据保护基本遵循“数据—信息”双管齐下的思路：一是对于元数据予以保护，保护其储存、处理；二是对再生的有价值的数据信息予以保护。这种保护模式存在以下问题。
1.“数据—信息”模式对侵害未成年人数据行为制裁乏力。当前，我国刑法没有对未成年人数据权设立单独罪名进行特殊保护。但是在大数据发生质变的时代，现有的处罚方式往往只能对可识别性数据予以保护，对于侵犯其他电子数据的行为难以有效制裁。其原因在于以下几个方面。
首先，法益保护还是以“信息系统安全”为核心法益，未认识到未成年人电子数据的特殊法益地位。从现有立法和司法解释来看，构成非法获取计算机信息系统数据、非法控制计算机信息系统罪等数据犯罪需要达到“情节严重”的定罪标准，《危害计算机解释》第1条将“情节严重”解释为获取支付结算、证券交易、期货交易等网络金融服务身份认证信息十组以上，或者获取其他身份认证信息五百组以上，表明其对非法侵入普通计算机信息系统的犯罪还是以结果犯为导向，其初衷似乎不是为了保护其中的数据，而是为了维护国家对计算机信息系统的管理秩序、保护计算能力不受侵害，主要目的在于保护计算机信息系统的安全。这种立法与大数据保护明显脱节。
其次，计算机数据的外延难以界定。在大数据时代，最重要的就是厘清哪些未成年人数据可以被认定为刑法中的“数据”，从而使其成为刑法保护的对象。大数据时代所获得的未成年人数据是以万兆为单位计算的，但是大数据具有价值密度小、体量大等特征，同时其中更多的是一些用户浏览记录等非识别性信息，在我国目前的网络犯罪体系下很难规制。在非法获取计算机信息系统数据罪之下，《危害计算机解释》明确了数据的范围和方向，即身份认证类信息才是此罪中重点保护的数据，如司法实践中所保护的数据类型主要是用户存储在计算机信息系统内部的权限性账号、密码、口令、数字证书等，侵犯网银身份认证信息10组、其他身份认证信息500组以上即可入罪。侵犯网页COOKIE数据、购物记录、观点言论等其他类型的数据很难入罪，但恰恰是这些数据才是大数据背景下犯罪分子所越权获取、分析的核心数据，也是影响未成年人健康成长的数据信息。即使有“其他情节严重的情形”作为认定犯罪的兜底条款，由于未成年人数据体量庞大，尚未经过有效处理和分析，并且同一大数据的价值会随着各应用商分析数据的能力及目标分析的趋势不同而呈现出巨大差异，故侵害数据的情节是否严重在司法实践中很难查明，这必然导致此类越权获取、分析未成年人数据的行为难以得到有效处罚。
最后，个人信息的概念无法准确涵盖未成年人电子数据。《侵犯公民个人信息解释》第1条将“公民个人信息”规定为以电子等方式记录的、能单独或与其他信息相结合以识别特定自然人的身份或活动情况的各种信息。但是，COOKIES数据是某些网站为了辨别用户身份而储存在用户本地终端（Client Side）上的数据，体现的是区分功能而不是身份识别功能，主要记录用户的浏览习惯、行为偏好等。诸如此类的数据不宜认定为“个人信息”。同理，未成年人的购物记录、观点言论等其他类型的数据，也很难入罪。
2.对侵害未成年人数据行为予以特殊制裁的立法思维阙如。加入联合国《儿童权利公约》后，我国已经建立起了多层次的未成年人法律保障体系，但是刑事特殊保护的规定还只存在于某些犯罪之中，范围远远窄于《儿童权利公约》。伴随大数据时代的到来，未成年人数据频频受到侵害，但目前我国刑事立法尚未关注未成年人在大数据中所处的独特地位，没有认识到最近几代未成年人面临前所未有的数据风险，他们无法判断数据泄露、数据滥用会对他们以后的生活造成什么影响，他们需要面对不成熟的决定所可能带来的不利影响，所以未成年人数据刑法特殊保护的重要性已经不亚于传统犯罪中特殊保护的重要性，未成年人数据在刑法领域特殊保护中的缺失逐渐显露出来。
3.由于缺乏数据保护的安全刑法观念，进一步造成未成年人数据的保护不足。数据时代背景之下，网络从“犯罪对象”发展为“犯罪手段”再成为“犯罪空间”，在网络空间所实施的犯罪行为具有巨大的现实危险性，甚至违法行为也呈现出前置化危害特征，网络技术侵害风险已经上升至风险社会的头号风险。网络数据安全直接关系公共安全和公共秩序，数据安全、信息风险直接影响每一个人的网络安全感，网络安全法益正在日益加速渗透并取代传统法益的主导地位。德国学者乌尔斯·金德霍伊泽尔提出安全刑法理念，认为安全刑法作为全新理念，是基于保证风险社会稳定的前提条件而提出的。但是目前我国关于未成年人数据权利保护并没有与现实协同转变：其一，未厘清法益保护的孰轻孰重，我国目前计算机系统犯罪的法益保护还是以“信息安全”为核心法益，忽略数据法益的特殊地位，导致在解决某些未成年人数据被害问题时显示乏力之态；其二，针对未成年人数据缺乏风险预防性立法思维，法条所体现的还是以实害结果为处罚原则、结果犯为主要立法技术的导向，忽略数据犯罪的特有思维；其三，未成年人数据控制者的义务过轻，在大数据时代下，数据的重要价值依托于数据分析平台的处理，使得获取数据成为至关重要的环节，传统数据保护思路重视“静态数据”保护，强调对于数据本身或者具备价值的数据的保护，忽视数据获取过程，进一步导致未成年人数据控制者在数据泄露过程中承担的责任过轻。
（一）“被遗忘权”保护模式呈现疲态
被遗忘权起源于“独处权”，美国COPPA法案（《儿童在线隐私保护法》）、加州568法案中均规定了被遗忘权，通过被遗忘权立法，在隐私权的概念下使未成年人电子数据受到保护。如COPPA中所规定的，网络服务者必须按照未成年人监护人的要求删除关于该未成年人的网络数据。但其规定的范围相对比较狭窄，没有规定网络环境下普遍的被遗忘权，而只保护不满13周岁的未成年人，并且，未对删除的具体内容、删除的方法、哪些信息可以被删除、拒不履行删除义务的刑事责任等作出规定。加州568法案进一步就“被遗忘权”进行规定，其中第2258节主要规制网站或其他在线服务商针对未成年人的广告推送行为；第22581节赋予加州未成年人享有永久删除其在网站或其他在线服务的个人数据的权利。该法案虽然规定了更为具体的被遗忘权，并将保护的对象扩大到18周岁，但是该法案不具备联邦区域效力，并且仍未明确规定哪些信息可以被删除，导致美国司法实践普遍认为未成年人在行使该权利时只能要求删除由自己所发布或者上传的文本或者信息，对于第三人所转发的、上传的信息则不能要求删除。
对于美国被遗忘权的规定，学界认为存在三个严重的缺陷：第一，保护对象的年龄范围过于狭小；第二，删除权范围、行使方式处于模糊状态；第三，缺乏在未成年人数据权利被侵害时如何与刑法实现行、刑交接的处罚机制。究其原因，在于美国根植于自身的历史文化传统，以言论自由立国，在一定程度上阻碍了美国未成年人数据特殊保护的进程。而我国更强调对权利的综合保护，针对不同位阶的权利实施不同的保护策略，我国《宪法》38条明确规定了公民的言论自由权，即规定公民在网络中获取信息权和表达权；我国《宪法》46条也规定了国家需要培养青少年、儿童全面发展的义务，即规定了未成年人有权享受更多的保护，奠定了我国对未成年人数据进行全面保护的基础。未成年人之所以需要国家特殊保护，或者需要国家对其部分权利进行干预，则源于他们的脆弱性、对成年人的依赖以及对其身心护理和养育的需要。按照儿童最大利益原则，在政策、法律制定之时，应以儿童利益为出发点，考虑儿童的特点和发展趋势，为了儿童更大利益做出限制，扩大保护范围，防止其做出可能对自己造成伤害的决定。
（二）增加未成年人数据服务商的义务
随着信息技术和数据挖掘技术的快速发展，数据服务商的数据控制能力、分析能力逐渐增强，传统数据保护制度对于数据服务商的义务分配、责任承担以及处罚措施的相关规定无法妥善地保护未成年人的数据权利，于是欧盟出台《通用数据保护条例》（GDPR），其中部分规定旨在重新调整未成年人数据服务商的义务责任分配。其一，增加关于未成年人数据服务、数据使用特别保护的规定。其二，增加关于数据控制者、处理者相应义务的规定。数据控制者、处理者的义务主要围绕高危数据评估、数据泄露报告、泄露影响评估三个方面展开，数据服务商需要对部分可能严重影响数据安全的数据处理进行事先评估，在数据泄露之后应该及时向数据监管机构报告，同时需要对数据泄露的影响做出评估。其三，进一步具体化规定了关于数据分类和同意分类的内容。
GDPR对数据的保护体现出提前化预防的导向，要求在收集环节取得用户的知情同意，区分了明示同意与无争议同意两种同意条款，彰显出以数据主体的基本权利为基础的态度：第一，数据服务者在数据收集过程中需要明确注意数据的不同，对于敏感数据要谨慎收集处理；第二，开始将数据保护的主要任务转移到数据服务商身上，通过数据服务商对于数据的同意差异化，对数据服务商提出了更高的要求，要求其厘清不同数据的敏感程度并设计不同的同意验证模式。
GDPR相关条款增加了数据服务者的义务，要求其对高危数据进行事前评估，否则可能成为事后追责的基础；如果数据服务商在数据处理、分析环节违背关于数据泄露报告、数据泄露补救措施相应的规定，也会面临最高全球营业金额百分之四的金钱处罚，从而加大了未成年人数据服务者的数据保护义务，这可以为我国未成年人数据保护所借鉴，提醒我国在风险社会语境下应更侧重对未成年人数据的刑事预防保护。
（三）对未成年人数据权予以特殊刑事立法保护
目前，我国刑法尚未对未成年人数据权提供特殊保护，国外也是立足于行政保护，这与未成年人数据权被侵害的现实和趋势是不相适应的。社会转型会带来犯罪率升高，主要是因为旧的规范失效了，但新的规范尚未充分建构起来，由此导致“失范”现象。基于以下理由，应当将侵犯未成年人数据权的行为犯罪化。
首先，违规收集数据、侵入数据库获取数据等行为是下游诈骗犯罪的必备预备行为，在整个犯罪链条中起到关键作用。虽然为了精准营销而恶意分析未成年人数据的行为不属于下游犯罪的预备行为，但这些行为会使未成年人承受包括被歧视、被诈骗、被网络刻画等不能预测的风险。这种风险会影响未成年人的发展和健康成长。而且大数据时代的数据具有聚集性，未成年人数据被害往往不是单一发生，而是集体被泄露被侵害，聚合性的集体法益特点提升了刑法上的“恶”的程度。因此以上行为具有严重的社会危害性。
其次，网络数据控制者、处理者不履行数据收集的管理义务，不按规定制定防止未成年人数据被侵害、泄露的相关保护措施，是未成年人数据受到侵害的主要原因。在数据违法犯罪中，网络数据服务者的故意或者过失行为放大了未成年人数据被害的危险。作为处于数据控制者地位的数据服务者收集储存了大量未成年人数据，对数据具有优先控制权利，也对数据被侵害具有一定控制防范能力。因此要求其承担作为义务是权利、能力和义务相一致的必然结果，也是《刑法》286条之一拒不履行信息网络安全管理义务罪的立法根据之一。
最后，随着信息化社会的快速发展，未成年人数据所蕴含的信息越来越多，通过对未成年人COOKIES数据进行大数据分析可以得出未成年人的人物画像，背后巨大的利益磁石吸引着众多犯罪者铤而走险，仅仅通过一系列行政法规性质的立法难以彻底解决此类问题。例如，美国对于未成年人数据泄露的处罚几乎“天价”，最近著名社交巨头FACEBOOK被罚罚款数千万美元，但是针对未成年人数据的犯罪仍然愈演愈烈，说明经济处罚难以替代刑罚对此类犯罪实行有效管制。而我国目前对此类行为的行政处罚力度根本达不到这种程度，无论是数据控制者违规收集、处理未成年人数据，还是其他黑客违规获取未成年人的非识别性COOKIES数据，都具有大量经济利益和背后灰色链条利益，行政处罚完全不能遏制这种行为，对此不增设刑罚手段就等于没有处罚措施，最终将导致社会失序。
个人数据保护的宗旨是平衡个人与政府、企业在数据流转过程中的力量不均及其在信息使用上的利益冲突，维护个人的自由、自主、自治和自我发展的天赋权利。为了维护未成年人在大数据时代的数据权利，同时兼顾未成年人所享有的宪法所规定的信息权和自由权，应该将未成年人数据的被害预防前置化，将未成年人数据权作为独立法益，借鉴欧盟在数据保护方面的行政监管制度，为未成年人数据被害提供妥善的预防与保护，实现行政和刑事并用的二元保护体系。
（一）完善未成年人数据的行政许可与监管
在个人信息海洋中，个人的控制力非常无力和渺小，个人的同意越来越被证明不能控制个人信息的流向和生命周期，不能实现对个人权益的保护。由于监护人同意机制已经失衡，将预防数据被侵犯的义务过多放在监护人身上不利于实现对未成年人数据的保护、不利于打击侵犯未成年人数据的行为。在此背景之下，应注重政府对于数据收集者的评测、管理与规制，降低数据被害风险，通过行政保护模式限制企业对于未成年人数据的收集与管理，强化对于未成年人数据的先行保护，确立以数据收集、处理者为规制对象的责任模式，提前过滤可能存在的侵犯未成年人数据的行为，将重心放在确认数据处理者对其数据处理行为所应承担的法律责任，实现从监护人到政府、数据服务者的责任转移。
1.建立未成年人数据保护专属监管机构。鉴于未成年人数据保护的缺失，目前我国应立足于未成年人数据特殊保护的立法理念，构建一个专门的、特有的未成年人数据行政保护机构，负责未成年人数据处理的事先审查、事后监督等管理工作。
首先，设置针对未成年人的数据行政保护机构，采取严格的监管措施。对于专门、附带从事未成年人数据收集工作的企业予以监管，将未成年人数据保护的主要责任从监护人转移到政府以及相关企业，弱化监护人同意机制的先天劣势，努力形成即使存在虚假的父母同意，但是数据服务商完善的数据保护机制、专属行政机构严格的监管措施也可以最大程度保护未成年人数据。同时互联网企业需向主管部门提交未成年人数据安全保障报告，包括如何获得同意、隐私政策、信息公开范围等。
其次，数据保护机构应该进一步细化上位的行政法规范，在《儿童个人信息网络保护规定》下，对涉及未成年人数据收集、处理的企业规定义务。重点在于细化未成年人数据泄露保护机制的设计标准以避免数据泄露，如对未成年人的元数据进行模糊化处理或者加密处理，使得数据入侵者无法还原或者解读原始元数据，细化数据删除的具体内容，明确未成年人既可以删除自己上传的关于自己的数据，也可以删除别人上传的关于自己的数据，还可删除自己所储存在服务器或者浏览器内部的COOKIES数据。
2.设置未成年人数据收集行政许可制度。在管理层面上，应该在适度事前审批的模式下，对部分未成年人敏感数据的收集以及收集主体资格设置行政许可。首先，确立未成年人数据收集主体过滤机制，其必须具备相应的资质，未成年数据收集或者处理主体必须具备完善的收集制度、处理制度、保护制度以及遗忘制度，只有这些要求同时达标才可以从事相关业务活动，未成年人数据专属行政保护机构应该对此类主体不定期抽查。此外应该对未成年人数据处理主体施行实名备案制度，在数据泄露发生时便于快速落实责任承担。
其次，确立敏感数据的行政许可模式。在通过主体资格的过滤机制之后，对部分敏感数据实行行政许可。例如对于未成年人的位置、健康、身份等敏感数据要求事前审批，只有审批通过的主体才可以进行下一步的收集处理工作。同时在收集环节，敏感数据必须获得未成年人监护人的明示同意，至少应该让其在选择框内同意或者可以自由表达声明性同意。
（二）实现刑法的提前保护和动态保护
在大数据时代寻求解决未成年人数据保护的良方，必须以“数据—信息”双层制数据保护为支撑点，实现电子数据的前置保护，使其更加符合目前的刑事政策和大数据时代的立法方向，在普通数据保护的基础之上对未成年人数据提供特殊保护和预防。在个人数据法益层面实现大数据风险刑法的规范构造，以明确的法律规定保证司法适用中的疑难问题得以妥善解决。
1.建立风险刑法为主导的未成年人数据保护观念。大数据作为风险社会的一种技术表现形式，也给人们的生活带来了新的风险，对于面临的更大风险，人们大声呼吁改进犯罪预防、加强国家制度和法律机制。甚至在刑法领域，人们开始强调更多的仍然是预防性规制与干预，而不是镇压性控制。面对此种危险各国刑事立法和刑法理论所采取的对策主要是法益保护的早期化，主要表现在将部分一旦既遂后果便不堪设想的未遂犯规定为既遂犯。甚至将预备行为规定为独立的犯罪，或者增加危险犯的规定，从而使危险消除在危险状态阶段，更好地保护法益。大数据时代应以安全刑法理念为导向，构建安全数据刑法，实现从报应刑法理念向预防刑法理念的转变，以在网络风险社会秩序价值优先的前提下实现对未成年人数据权利的提前保护，扬弃传统犯罪结果犯的立法偏好，实现在数据犯罪中行为犯的主导地位，特定时代的多元价值观造成非正式的社会统制力减弱，不可避免地产生通过扩大刑罚处罚范围以保护法益的倾向；刑法应当由“限定的处罚”转向“妥当的处罚”，针对某种可能造成危险的行为设置罪刑规范，从重视法益实害转向重视法益的抽象危险。
2.建立侵犯未成年人数据的一般预防体系。未成年人数据虽然具有其独特的属性，但是依然属于普通数据的下位概念，不可脱离数据本身的保护模式空谈对于未成年人数据的保护，应该首先对普通数据保护模式予以变革，建立良好的未成年人数据一般预防保护体系，以此为未成年人数据特殊刑事保护铺垫坚实的实定法基础。
首先，应该实现从传统法益到网络数据法益的改造。第一，数据法益改造迫在眉睫，形成“计算机系统法益、财产法益、信息法益”三元认定模式。源于法益观念的错位，忽视大数据的海量化、潜在价值可能性，使得数据的刑法保护呈现出从属性的特征以及重信息网络、弱数据安全的乱序保护模式，在此种分析路径下，数据似乎没有独立的法益支撑，未成年人数据也便缺乏独立地位，所以实现数据本身的法益保护改造、形成网络数据法益的独立地位是重中之重。第二，网络数据具备独立法益的基础，大数据时代下数据量级呈现出海量化特征，此外数据类型繁多，数据的价值高且密度低，大数据数量层级的转变使得数据实现了质的飞跃，虽然大数据中的子数据可能没有价值，但是数量的聚集化使得数据的整体价值相对稳定，也使得其区别于信息的价值（单独信息价值也具有稳定性），同时大数据具有广泛的应用价值，具备分析能力既可以使用其内在的价值，大数据已然成为一种新型生产资料，成为现代社会发展的重要一环，其自身的蕴含价值性、自生性，成为网络社会的经济来源和发展动力。对于大数据的侵害将会影响个人的财产权、人身权，乃至发展至国家安全的影响。所以网络数据内在的技术优势、应用空间与功能范围、经济效应和财富价值是网络数据可以作为新型独立法益的基础。
其次，对传统法律术语或技术术语进行改造。目前刑事立法体系已经难以合理、有效、及时地对数据侵害行为予以规制，刑法应该立足新的独立法益观念和风险刑法立法观念，在结合实际的基础上对关键法律术语或技术术语予以改造。第一，在立法层面对相关罪名予以修改、废除。将《刑法》285条第2款非法获取计算机信息系统数据罪、非法控制计算机信息系统罪改为非法获取电子数据罪、非法控制电子数据系统罪，在罪名内部去除计算机信息系统等概念，强调电子数据的独立法益价值。将《刑法》286条改为破坏电子数据系统罪，从传统的计算机内部存储的数据扩展至网络云端电子数据系统中的数据。第二，在司法解释层面突破传统计算机犯罪体系对数据的解释惯性。明确电子数据系统的内涵，只要可以实现电子数据自动化处理、半自动化处理功能或者承载起收集、传输数据的功能，都应该认定为刑法中的电子数据系统。第三，明确凡是储存、运输、处理在电子数据系统中的数据即为电子数据，使COOKIES等非识别性未成年人电子数据可以在新的电子数据刑法保护体系下纳入数据外延之中，也没有导致个人信息的过分扩张，既维护了法律的稳定性，又实现了电子数据外延的合理解释。
3.建立侵犯未成年人数据的特殊预防体系。要想实现对于未成年人数据的完全保护，首先必须要实现从行政规制到刑法制裁的妥善衔接，以风险刑法为理念，设置相关的行政犯。在未成年人数据领域，数据收集或者数据处理机构起到举足轻重的作用，他们最直接接触到数据，也掌握着大量的未成年人数据，一旦云平台、数据处理器等设备出现数据被侵害或者是数据泄露情况，将会产生十分严重的后果，故对于此类主体的刑法规制尤为重要。因此，行政法规应要求相关企业必须设置未成年人数据泄露保护机制、设置数据泄露之后的报告机制，违反行政法规的要求将受到相应的行政处罚，这可以降低未成年人数据被害的可能性和减轻被害之后的损失，最大限度地保护未成年人的数据安全。刑法应将此种违反行政法规范可能引起严重后果的行为入刑，在修改后的普通电子数据犯罪法条（《刑法》285条）的基础上，新增一款“违反国家有关规定，导致电子数据泄露，依照前款的规定处罚”。
“大数据本身并不是一个静态的概念，它是非常动态的，以数据流为中心的一个系统”。未成年人数据刑事保护也应当从静态到动态转变。刑法应关注未成年人数据的获取权限和数据的使用权限，并以数据法益是否受侵害来确立实行行为，从而建立起对大数据时代下数据犯罪规制的刑法立法体系。也就是说，不管行为人获取数据的目的或者处理数据的目的是什么，只要其违反数据收集、处理权限进行未成年人数据的收集与处理就已构成犯罪成立。因为其侵犯了未成年人数据的抽象数据利益和潜在安全法益，将产生难以估量的风险。
这种动态保护的抽象危险犯立法思维将会有助于实现一般预防的目的，因为这要求数据收集、处理者不仅仅要避免危害结果的出现，也要避免以抽象危险犯所禁止的方式去收集、处理未成年人数据；这降低了侵犯未成年人数据犯罪中具体危险的证明程度，有利于实现对未成年人数据权利的特殊保护。因此，应在修改后的普通电子数据犯罪法条（《刑法》285条）的基础上，再新增加一个条款“违反未成年人数据收集权限、处理权限进行未成年人数据的收集、处理未成年人数据的，依照前款的规定处罚。”
《青少年犯罪问题》2020年第4期目录
4.社会工作参与未成年被害人救助服务模式研究席小华；李涵（33）5.论校外培训机构的教育定位与治理朱益明；李茂菊；徐影（44）6.规制理论视域下校外线上培训治理的困境与转型孙伯龙（53）7.未成年人数据权的二元保护研究黄丽勤；宋骏男（64）8.家庭背景下青少年自主权的影响因素研究宫秀丽（74）9.全球比较视野下少年司法与社会工作的互动杨旭（83）10.罪错未成年人工读教育制度的反思与重构陈颖；徐亚奇（97）【实践探索】
11.非典型未成年人犯罪累犯除外规定的适用龙敏（107）【会议综述】12.“四大检察”全面协调充分发展背景下的未成年人检察监督研讨会综述单旭丹；刘昊；樊志美（114）
《青少年犯罪问题》是中国大陆唯一以研究和报道青少年犯罪、少年司法和青少年保护问题为核心内容的公开发行刊物，由华东政法学院主办，中华人民共和国司法部和上海市教育委员会主管，是全国法学类核心刊物、青少年法律保护和法制教育的指导读物。《青少年犯罪问题》致力于及时反映国内外有关青少年犯罪、少年司法和青少年保护方面出现的新理论、新动向、新观点、新经验和新问题，注重文章的新颖性、应用性和生动性。
-END-
责任编辑 | 李妍靓
审核人员 | 张文硕
▼往期精彩回顾▼百万法律人都在用的北大法宝详细介绍！增强未成年权益法律保护力度，他们有最新解读
劳东燕：个人数据的刑法保护模式
未成年人保护法大修，66个要点全梳理
钱继磊：个人信息权作为新兴权利之法理反思与证成
点击相应图片识别二维码
获取更多信息
北大法宝
北大法律信息网
法宝学堂
法宝智能