大数据时代的个人信息保护悖论与法律挑战（一）

单磊，中国移动通信集团公司法律事务部综合制度处副经理。本文是作者于2014年12月22日在上海交通大学凯原法学院举办的“大数据时代的互联网金融”研讨会上的发言，上海交通大学凯原法学院硕士生高振翔同学根据发言录音整理形成书面稿，后经作者审阅。作者在此特向高振翔同学表示感谢。

中国已经进入了真正意义上的移动互联网时代，移动终端的便携性决定了移动互联网和PC时代互联网本质的不同。手机、平板电脑、可穿戴设备等便携智能终端与人寸步不离，随着人的移动而移动，网络因而变得无处不在。移动互联网时代改变了人们的生活习惯和行为模式——今天，人们已经习惯在移动终端上看新闻、聊微信和逛淘宝。

目前，手机在中国的普及率已经超过了100%，平均每人拥有一部以上的手机。如果再加上平板电脑、可穿戴设备、笔记本电脑，全国范围内可以登录移动互联网的设备数量将是一个天文数字。

同时，OTT（Over the Top）的兴起使得互联网业务如雨后春笋层出不穷。这些业务除了获取用户的身份、位置、银行账号等个人信息以外，本身还会产生大量个人信息，如使用服务的日志信息和内容信息。

一、背后无处不在的眼睛：大数据时代的个人信息保护困境

（一）移动互联网的负外部性：谁都可以获取你的个人信息

移动互联网的无处不在，使收集和利用个人信息的行为无处不在。海量的智能终端设备和应用业务，则进一步增加了个人信息保护的难度。在移动互联网时代，个人信息的保护正遭受着严峻的挑战。

电信运营商和互联网服务提供者为了向用户提供通信和各种各样的互联网服务，每时每刻都要获取海量的来自终端和用户的信息。

比如，电信运营商需要实时采集每一台接入网络的智能终端的使用行为，包括设备的识别编码、此时此刻的位置和移动轨迹、正在进行的通话或者正在使用的互联网服务、使用的IP地址和浏览网站的IP地址、发生的数据流量，等等。不采集这些信息，用户就无法使用通信服务。如果对这些实时数据和历史数据进行适当的分析，便不难发现用户规律性的行动轨迹、经常使用的APP种类、不同终端在位置和时间上的耦合关系等，进而对用户的工作单位、生活习惯、兴趣爱好、职业特点、消费偏好乃至身份关系，在一定程度上作出推断。例如，一个用户经常使用同花顺软件，他有很大概率是一个股民。

相较电信运营商，互联网服务提供者获取用户信息的途径更加多样化，获取的信息内容也更加丰富。比如，支付宝等第三方支付应用可以获取用户的银行账号和密码，并掌握通过该软件发生的每一笔账务往来信息；一款地图导航软件甚至在用户不使用导航服务时也可以持续获取用户的位置信息，只要用户曾经使用过它并且没有取消提供位置信息的许可。越来越多的软件要求绑定手机号码、银行账户、身份证号码等个人信息。尽管工信部出台的《电信和互联网服务用户个人信息保护规定》里要求获取用户信息必须以“提供服务所必需”为限，但互联网服务的可拓展性使“必需”的标准变得动态而宽泛。实践中，大量软件都通过征得用户同意来合法获取为提供当前服务所不必要的用户个人信息。比如，一个阅读软件也会要求获取用户的位置信息，部分软件甚至还将用户是否提供不必要的个人信息作为能否使用服务的前提条件。

实际上，移动互联网时代能够获取用户个人信息的主体远不止电信运营商和互联网服务提供者。随着人们生活方式和社会组织运行方式的互联网化，通过互联网获取个人信息的主体也越来越多样化。比如，手机的操作系统会将很多信息实时或者定期地提供给它的制造商或者操作系统开发者。又如，在一个简单的网购行为中，除了电信运营商和网购平台之外，能获取个人信息的至少还包括卖家、物流公司，甚至包括保险公司。能获取用户个人信息的主体从行业来看，包括电信和互联网、商贸流通、物流配送、金融保险；从企业性质来看，可能包括国企、外企、民企甚至个体工商户。

上面的例子有一个共同点，就是这些个人信息都是采集方合法获取、经过用户同意的。其中，大部分都是服务所必需的，不获取这些信息将无法为用户提供服务。然而，在巨大的商业利益诱惑面前，通过第三方插件、恶意程序、非法后门、商业购买等手段非法获取个人信息的情况比比皆是、屡禁不止。

可见，在移动互联网时代，个人信息安全保护形势异常严峻，移动互联网时代的生活便利是以个人隐私和财产的安全风险为代价。这是移动互联网发展带来的负外部性，不以人的意志为转移。

（二）“去身份化”？面对大数据也许只是徒劳

应对这种情况，我们首先想到的会是信息的“去身份化”，很多国家的法律也是主要从“去身份化”入手来规范个人信息利用的。但实践中，“去身份化”的努力正在政策、业务和技术三个层面受到冲击，其中尤以大数据时代的技术冲击最为深刻、猛烈。

首先在政策上，手机和部分互联网业务的实名制使得终端和业务与个人身份绑定的基础越来越牢固。其次在业务上，第三方支付等应用的兴起绑定了越来越多的银行账号，存款实名制20多年的实施成果和人们对财产利益的关注，使电信和互联网业务由形式实名迅速转向实质实名。最后也是最重要的，大数据时代的海量数据和高度发达的数据分析技术，使得“去身份化”的信息经过不同分析、对比、组合能够重新恢复“身份化”，并识别出更多的内容。

这三个方面的变化不仅冲击着“去身份化”的努力，也从整体上对大数据时代的个人信息保护法律构成了挑战。

二、谁都无法拒绝的宝藏：信息技术产业革命中的大数据应用场景和趋势

（一）未知大于已知：从理论走向实践的大数据

大数据时代造成了严峻的个人信息保护形势，使每个人的饮食起居、勤懒好恶甚至痴缠情债等个人隐私都可能随时曝光在镁光灯下。但这个时代的来临不可逆转，谁也无法拒绝。不仅是因为大数据里蕴含着无限的商机，更因为大数据改变了、改变着并将更加深刻地改变人们的生活。这种改变不只使生活更加便捷，关键是在商业、政务、学习、生产等各个方面重构着组织结构、运行模式和资源配置方式。

最早开展大数据实践的当然是企业。正是商业利益的驱动，使越来越多的企业对大数据趋之若鹜。IBM公司2013年的调查数据显示，目前已经有28%的企业开始涉足大数据实践，还有40%的企业计划开始这种实践；在涉足大数据业务的企业中，有49%的企业希望通过大数据技术发现用户需求。目前，企业应用的场景主要包括运营决策支持、策略制定和客户服务，都还是基于用户需求发现而形成的应用场景。大数据的商业应用场景还在不断拓展，已经有投资人开始通过大数据寻找、筛选有潜力的投资项目。

很多机构和学者都试图概括大数据的特点，但应用场景的包罗万象，使得这些概括要么“挂一漏万”，要么“隔靴搔痒”。这不仅是因为大数据方兴未艾，更因为它是正在发生的这场信息技术产业革命中的一部分，与移动互联网、物联网、云计算、工业4.0等新事物相辅相成、密不可分，依托并转而推动通信、传感、芯片、精益制造等技术的发展。

从上述因素来看，对大数据特点的概括应当是和对整个信息技术产业革命的描述一并完成的，是一个基于整体视野的论断。大数据既是一个部分，也是一个角度。而且，这场革命正在发生着，因此既要概括过往、当下，也要涵盖未来。

中国移动的董事长奚国华先生经常引用一句话来形容这场技术产业革命——“未知大于已知”。这是一个很有哲学意味的概括。它是模糊的，但恰恰因为模糊才是准确的。这个概括适应了大数据和这场技术产业革命在内涵上的丰富性和外延上的可拓展性，最准确、最客观地反映了它在未来无限广阔的应用场景。

从认识论角度出发，人们所认知的世界与客观世界并不是等同的。人们的认知伴随着社会实践的发展，总处在一个不断修正、深化和拓展的过程中。客观世界包括过去、现在和未来，包括“已知”和“未知”。这里面既存在已知的“已知”、已知的“未知”，也存在未知的“未知”。在很多现象和趋势露出苗头之前，人们甚至没办法意识到自己并不了解它，这就是未知的“未知”。

未知的“未知”范围远大于已知的“已知”和已知的“未知”。明白了这一点，我们才能在客观世界——特别是未来——面前保持敬畏，才能不断地创新和探索。今天没有人能够预测包括大数据在内的这场技术产业革命的广度和深度，就像30年前没有人能够预测互联网会如此深刻地改变人们的生活一样。

正因为已知的“未知”和未知的“未知”的存在，包括大数据在内的信息技术产业革命给人们带来了无限的遐想。

就我们已知的范围而言，包括大数据在内的信息技术应用场景已经非常广泛，包括舆情收集、金融服务、医疗诊断、通信信息等。比如，当前困扰社会的食品安全问题，就可以通过动植物产品信息溯源系统加以缓解。实践中的做法是，在一头羊的身上植入一枚芯片，可以记载这只羊从出生到屠宰、配送、销售的全部信息，包括出生、血统、原产地、饲料、免疫、产崽、屠宰、加工、配送、销售，等等。用户购买羊肉的时候只要扫描一下二维码就可以读取全部信息，完成对羊肉的溯源，实现羊肉加工的过程监控。

大数据有无限的应用前景，信息不对称使掌握较多信息的行业有条件在大数据应用上先行一步。目前，大数据的商业实践还停留在精准营销和发现用户需求上。

（二）大数据：可以预测的市场规模，无法估量的商业价值

图1全球大数据市场规模预测图

图2中国大数据市场趋势预测图

图1是Wikibon对全球大数据市场规模的预测，统计的是全球个人和机构每年应用大数据设备、软件系统所产生的产值，即服务器、软件系统和数据分析服务的销售产值。

图2柱状图预计，中国大数据应用的市场规模增长每年达30%以上，至2018年大数据的市场规模将达181亿元；扇形图显示了各行业的大数据规模，其中政府和互联网应用大数据的市场规模各占14.9%。两份图表都是对中国未来大数据应用直接市场规模的预测，都说明大数据在中国有着乐观的市场前景。

需要指出的是，上面两张图远远不能概括大数据的商业价值和市场规模。前面已经提到，大数据是信息技术产业革命的一部分，是各行各业的一种工具，是整个社会的基础设施，它会改变很多行业的面貌、效率和运行方式。本身的工具性和应用的无限性，没有人能准确估计它对整个经济和社会带来的影响。它的应用价值也难以量化，就像高速公路、高铁和互联网。

图3 TMT行业大数据利用的发展历程图

在大数据的应用实践中，TMT即Technology，Media，Telecom，科技、媒体和通信。行业居于领先地位，对其他行业可能有一定示范或预言意义。图3主要反映了这个问题——从总体情况来看，互联网业领先于电信行业，国外企业领先于国内企业。第一阵营是国外的互联网企业，如Google、亚马逊或Facebook；第二阵营是国内互联网运营商，如阿里巴巴和腾讯；第三阵营是国外运营商；第四阵营是国内运营商。

目前，在TMT行业中，主要的应用场景还是通过大数据实现内部管理和产品服务的持续跟踪、外部收益和客户需求的发现，进而为开展客户服务、实施精准营销提供便利。这种分析除了自身应用外，还可以开发成产品对外提供。比如，通过大数据挖掘客户的作息规律，在客户休息时进行营销，精准营销成功的概率就会增大。

（三）数据洞察：互联网应用的发展趋势

从互联网应用的发展现状看，互联网应用主要可以分成两类：一类是基于交互的应用，如facebook、微信这样的社交软件。另一类是基于记录的应用，比较有代表意义的是汇集信息的电商平台。比如，用户曾经在淘宝上购买或者搜索过某种商品，下次登录时网站就会基于记录给用户推送类似的产品。

从趋势上来看，这两类应用正在走向融合，进而产生数据洞察的应用。所谓“洞察”就是将我们可以认知的用户需求从“相似性”推及“相关性”，增加智能化的联想和洞察，甚至可以在用户意识到自己的需求前发现、引导用户的需求，将用户的潜在需求现实化、模糊需求明确化。

比如，一个用户曾经在电商网站上买过口罩，可能说明他的呼吸系统比较敏感。如果他在社交网络上签到来了北京，而北京的天气预报又显示有持续性的雾霾天气，当他在电商网站上购买跑步鞋时，商家就可以合理预想到客户可能需要空气净化器和跑步机，从而实现启发需求、精确营销。这就可以理解为一个基于洞察的应用。

根据我们的观察，无论是擅长社交的腾讯还是擅长电商的阿里，其实都从各自的原点出发，向融合的方向前进。这很大程度上体现了对数据洞察的重视。因为电商都意识到单纯的交互和记录对信息资源简直都是“暴殄天物”，不能提供更好的用户体验，由“记录”和“交互”融合为“洞察”是大势所趋。腾讯和京东的合作、阿里先后开发的“来往”和“钉钉”，都体现了这种努力。

我们习惯用冰山来形容用户的真实需求。对一座冰山而言，浮在水面上的部分只有1/10，还有9/10是肉眼看不到的，用户需求也是如此。如何通过有限的用户行为，分析出隐藏在水面下的用户需求呢？答案是海量的数据采集和分析。通过大数据，人们能够透过现象看到本质，观察到水面以下的冰山，帮助企业实现客户关系管理和需求发现。

说明：

（1）本文在转载过程中删除了注释。本文全文下载地址为http://law.sjtu.edu.cn/Article150503.aspx；

（2）本文著作权归作者所有，转载请与《互联网金融法律评论》编辑部联系，并注明出处；

（3）《互联网金融法律评论》电子刊物下载地址为http://law.sjtu.edu.cn/Detail17176.aspx。

----------------

约稿启事：

得益于当下中国金融体系市场化发展态势的一日千里，以及网络科技大潮的来势迅猛，互联网金融近年来在中国异军突起。鉴于此，上海交通大学金融法律与政策研究中心决定于2014年12月起创办《互联网金融法律评论》（Journal of Internet Finance and Law）（以下简称《评论》），构建一个全新的观点交流平台，以此容纳来自不同领域关于互联网金融蓬勃发展过程中法律问题的真知灼见。上海交通大学凯原法学院教授、金融法律与政策研究中心执行主任许多奇担任《评论》主编，编辑部设于上海交通大学凯原法学院。

《评论》希望在社会各界的支持下，扮演互联网金融法律问题领域的观念引领者和冷静思考者的角色，在确保学术品质的前提下，尽最大可能为来自金融和法律实务界、“一行三会”及金融办等监管部门、公检法等司法部门以及学术共同体的广大读者提供最独到的信息和观点，且将每季度举行一场互联网金融与法律的专题论坛或研讨会。

《评论》为双月刊，主要以网络传播（http：//www.financiallaw.sjtu.edu.cn/Pages/Article.aspx?lm=0107&pg=0）和内部交流的形式与读者分享，并选择部分优秀文章于年底公开结集出版。《评论》对所刊登的文章秉持“言之有物、言简意赅”的原则，不主张冗长赘述。所有稿件一经刊登，编辑部即支付润笔若干，并采取“优稿优酬”之原则。

《评论》拟设“本期专论”、“观点争鸣”、“热点透视”、“案例分析”、“业界连线”等栏目，热忱欢迎来自学术界、实务界、监管部门、司法部门以及其他各界对互联网金融法律问题感兴趣的人士来稿并参会。

来稿请以电子邮件的方式惠寄至[e-mail]。审稿周期为60天内；60天未收到修改意见或录稿通知，可自行处理。

投稿地址：上海市徐汇区华山路1954号法学院318室，《互联网金融法律评论》编辑部；邮编：200030；电话：[phone]。