【数据法学】苏奎：不大安全的“最安全出行”：如何保护我们的专车出行数据隐私？
B D A I L C
欢 迎 关 注
2009年诞生于硅谷的Uber，以及随后在世界各地出现的Uber跟随者们搅动了全世界的城市客运市场。专车平台甫一面世，新旧行业即严重对立，争议也相当激烈。
以美国为例，争议主要集中于新模式下的行业监管方式、劳工问题和信息保护。而在中国，在对专车讨论的各种声音当中，对专车乘客信息安全和个人隐私保护的深入讨论却是寥寥。
在美国，专车平台信息安全监管受到社会广泛关注。2015年，在专车诞生地美国加州，启动了专车个人信息立法的尝试，也有联邦议员在为此努力。尽管仍没有达致共识，但立法思路仍然值得借鉴。
Jeremy Mann
不大安全的“最安全出行”：
如何保护我们的专车出行数据隐私？
文 / 广州市交通运输委员会 苏奎
2月12日，Uber就其营销宣传中声称为“最安全的道路出行”的涉嫌消费欺诈集体诉讼案，与被告达成和解，和解金额高达2850万美元，并承诺不再宣称其服务为“最安全的道路出行”、“行业领先”和“黄金标准”。
这个“最安全出行”没有了，笔者认为，这除了是对车辆和司机标准质疑的回应外，还应该包括乘客信息安全的问题。近几年，Uber在乘客信息安全方面的表现，确实让人感到不那么安全。
1月6日，纽约州总检查长施奈德曼宣布，与Uber就加强乘客信息（隐私）保护达成和解，从而结束了2014年11月启动的针对Ｕber所谓“上帝之眼”功能与乘客隐私保护的司法调查。按照和解协议，Uber为2014年9月司机信息泄露延迟报告（迟至2015年2月才向总检查长报告）而支付罚款２万美元，更重要的是，Uber向检查长承诺了６条关于加强乘客隐私（信息）的措施。
２万美元的罚款对Ｕber确实算不了什么，但司法部门重视乘客信息保护的信号更令人注意。而Uber、Lyft等美国专车平台过往记录确实不太让人放心。
2014年11月初美国新闻网站Buzzfeed 记者约翰娜的遭遇可说是反映了公司高层对乘客隐私的轻视。约翰娜与Uber纽约总经理乔希约定在长岛总部碰头访谈，然而当约翰娜到达长岛总部门口时，发现乔希已在门口等她，并公然拿出手机向她炫耀，我正（用“上帝之眼”）跟踪你。这不是愚蠢地炫耀，而是赤裸裸的威胁。
不过与Uber高级副总裁埃米尔的“宏伟计划”相比，乔希的举动简直是小儿科。
2014年11月14日，Uber高级副总裁埃米尔参加了公共公司在纽约韦弗利酒店组织的一场名人聚会，他在聚会上提出了一项惊人的“宏伟计划”，拿出100万美元，雇请4名顶级数据研究人员和4名记者成立媒体应对小组，帮助Uber反击（批评）媒体，这个小组可以调查（批评Uber的）记者的个人生活和家庭情况。埃米尔特别点了网络媒体——Pando日报记者莎拉·莱西女士的名。并建议，成立这个小组后，要特别暴光莎拉的私生活。
如此骇人的计划，这位埃米尔先生，可说是丧失基本的职业操守！
乔希与埃米尔的言行见光后，Uber公司迫于社会压力，称对其采取了内部纪律措施，具体措施为何不便公开，反正两人职务并未受影响。
如果说上面这两位高管的言行还可辩称为违反公司规定的“个人行为”，2012年3月26日公司网站公开贴出的一个“大数据分析”，并美其名曰“光荣之旅（RoG，Ride of Glory）”。所谓光荣之旅指晚10点至第二天凌晨4点间搭乘Uber专车在同一地点附近的出行，这种出行被认为可能是一夜情，出行者则被称光荣之旅者。
这个分析先比较了不同城市光荣之旅的比例，波士顿以1%名列第一，纽约则仅为波士顿比例的2成，排到第六。按周来看，周五、六发生率最高，周末是危险期。接着又分析了一年的发生规律，发现4月15日这个退税日是一年最高峰——果然是有钱就变坏，而情人节则是一年的最低谷，情人节属于老婆（公）而不是情人。
报告还分析了各城市不同区域发生光荣之旅的机率，以旧金山为例，中国城名列前茅，华人开放程度甚于西人，结果有些令人吃惊（可能与中国城周边娱乐设施较多有关）。分析还发现，区域男女比例失调程度与光荣之旅发生机率正相关。
然而，这个分析发布后，舆论哗然，一些媒体形容其令人毛骨悚然，Uber也很快撤下了报告。“最安全出行”看来并不安全。
2015年，中国本土专车公司发布的加班最多的科技公司，甚至某敏感国家机关加班情况等中国版的光荣出行“大数据分析”，将出行地理分析尺度细化到建筑物（按美国联邦贸易委员会的标准，地理分析的颗粒度以街道级别作为是否涉及个人隐私），与Uber也就五十步与百步之别，除了彰显其所谓大数据分析能力的虚荣心外，也折射出专车平台对个人信息的极端轻视。
经历了多个有关信息安全的公共危机后，Uber也开始真正重视起来。2014年11月18日，Uber正式发布其隐私政策，并聘请了华盛顿著名霍根路伟律师事务所及数据隐私专家哈里特·皮尔森，对公司的信息安全与个人隐私保护进行独立审查。2015年1月30日，由哈里特领衔第一次发布了Uber 个人隐私保护报告。笔者认为企业主动以第三方审查的方式发布隐私保护报告，是行业的一次创新，是行业隐私保护的一次重大进步。
5月27日，Uber根据审查报告的建议，升级了其隐私政策，特别是在条款的可读性、数据收集的公开性等方面做出了调整。不过这次调整也开诚布公地告诉乘客，在他们不使用APP的时候，系统也会在后台收集位置等数据——换句话说，乘客将有可能被全天候监控。
信息之于信息社会如同石油（等大宗商品）之于工业社会。不同时代，都为保护重要财产建立了相应制度：农业社会，建立了不动产保护制度；工业社会建立了有形之动产与无形之知识产权保护制度；到了信息社会，又该建立什么保护制度呢？
信息确实具备与以往所谓“财产”不同的特征。这些特征令人困惑。个人信息究竟应该纳入人格权范畴，还是进行财产权保护，甚至是否应该建立个人信息的所有权制度？各方都没有统一意见。
以专车平台信息为例，这些信息至少可分为3类：
第一类可明确为个人所有信息，如姓名、电话、支付帐号等，这些信息为建立帐号和正常使用专车所必需的静态信息，且这些信息均为个人主动提供给平台的；
第二类为服务过程中产生的信息，如乘车时间、费用、地点与途径路线等地理信息，这些信息因服务而产生，并由平台予以自动记录，这类信息既是有关个人的信息，同时也是系统功能的组成部分，但这些信息确实是乘客个人（出行、生活甚至性格等）人格特征的外显，甚至可称其为“数字肖像”，其归属关系比较复杂；
第三类信息是平台自动收集，但并非服务所必需信息，如手机型号、操作系统、浏览器、通信录、短信、非服务期间的位置信息等，这些信息大部分为平台在用户并不真正了解或擅自单向收集，应该说其归属关系也是清晰的。
主要的争议是第二类信息。其产生于供求双方的共同作用，而实际受到平台的掌控。单个用户数据并不能产生商业价值，大量用户数据又能为平台优化提供支持、提高系统效率，每个用户又都是受益者。但是，这些数据终究来自乘客的个人行为（出行）。信息的意义源于人的行为，人权先于产权，这些数据从所有权上也应归属于个人，但个人使用平台提供的服务，平台也是数据共同生产者，应有当然的合目的使用权。
但实际上，由于信息的无形（个人难以进行物理上的占有和支配）、使用的无限制（使用后难以被测知或举证）、平台实际控制、集合价值（单一数据难以体现商业价值，或者说缺乏独立价值）、侵权损害难以度量等特征，在实践上，个人名义所有权难以有效实施，单纯所有权制度的建立，并不能有效保护个人利益。
信息所有权主要体现在对他人非法收集、利用和传播的禁止和排除，而不是传统意义的所有权的内涵。从这个意义上说，笔者认为，建立个人信息的管理和使用制度可能比界定产权更能保护个人权益。
加州作为全世界第一个对专车立法监管的地区，其监管手法受人关注。2015年2月26日，华裔民主党众议员周本立在加州消费者联合会等的支持下提出有关加强专车个人信息监管的法案。法案重点是关注个人可识别信息，并提出了与欧盟个人信息保护之“被遗忘权”有异曲同工之妙的新思路，笔者以为是一大创新。其第一版本主要内容包括：
1、平台公司收集个人可识别信息，应以能实现功能之必要为原则，不得扩大收集范围。
2、平台不得向第三方个人或组织提供个人可识别信息，按约定为实现服务功能而必须提供（如向支付银行）的，或按法律法规要求需要提供的除外。
3、当乘客要求取消帐户时，平台应该以安全的方式删除个人可识别信息。
这项法案的影响当然不止于专车平台，而是可能波及整个互联网行业。特别是美国社会本身对欧盟“被遗忘权”仍有巨大争议（主要是“被遗忘权”与言论自由的矛盾）的情况下，再加上硅谷强力游说下，法案难以推进。周议员又提出了第二个版本，二版侧重于个人信息获取的知情权。主要内容为：
1、禁止平台向仼何第三方提供仼何个人可识别信息，除非获得乘客以肯定的方式通过选择同意授权或法律要求外；
2、乘客同意向第三方提供数据的肯定性同意选择必须是独立而明晰的方式，不得与其它交易服务等合并授权；
3、这种同意授权不能作为建立服务帐号或接受服务或下载软件等的前提条件。
尽管第二版内容已明显让步，但与共和党仍难以达成共识，2016年1月11日，周议员被迫搁置法案。不过，他声言不会放弃，今年会继续努力。
在联邦层面，民主党参议员，参议院隐私、技术与法律委员会主席阿尔·弗兰肯，可说是最为关注个人信息保护的国会议员。2014年11月，在Uber闹出一系列信息泄露丑闻后，他即亲自写信要求Uber、Lyft公司澄清其信息保护政策。当然，立法更是其不懈努力的目标。他早前还提出了《地理位置信息隐私保护法》，而地理位置信息的收集正是专车平台收集的涉及个人的主要信息。
2015年11月18日，交通运输部《网约车管理办法》征求意见刚刚结束一周，工信部《移动智能终端应用软件（APP）预置和分发管理暂行规定》也开始公开向社会征求意见。不过，相比专车管理讨论的热闹，工信部这个涉及个人信息保护的规章讨论，可说显得相当寂寥，鲜有专家发表评论文章。
社会参与不足将影响立法质量。笔者以为，这种关注度的反差不仅表明个人信息保护在中国还需要更多参与和重视，其规定征求意见稿文本也显示出中国个人信息保护的理论研究比较薄弱。
在信息保护方面，专车平台与其它行业移动互联网应用的差异并不那么大。如果有完善的个人信息保护立法，专车行业确实并不需要多少专门规定。但中国个人信息保护既有立法方面相当弱，既然全社会都对专车如此重视，专车涉及个人信息也相当有代表性，笔者以为，不妨就以专车个人信息保护作为互联网时代个人信息保护立法的突破口，以专车个人信息保护引领互联网个人信息保护。
透明是个人信息保护的基础。在信息收集、使用、转移、事故后报告等方面都应该实现透明，建立全过程的积极保护制度。
首先，平台应对其收集信息的具体内容向用户逐一明示，实现所有信息的善意取得，收集信息应按照最小够用原则和比例原则，对收集非功能实现的必要数据（第三类数据）应该获得用户明确而独立的肯定性授权。对于数据的使用，平台同样应该向用户明示用途，对于目的外使用或提供给第三方使用，也应该获得用户明确而独立的肯定性专门授权。在发生信息泄漏或不合法使用后，应及时向受害人及监管机构报告，建立及时的报告制度既有利于受影响者采取措施，也是对平台的监督和约束
去个人化是个人信息保护的核心。个人信息保护之所以重要，就在于其涉及个人。德国作为大陆法的代表国家，个人信息保护以个人信息自决权为宪法基础，人格权作为其民法基础，可见其之重要。信息一旦去个人化，信息将成为一般事实，而无涉隐私。
笔者以为，对于专车出行数据，在企业内部应该建立数据分析人员使用数据的去个人化（重点是第二类的出行数据）的防火墙制度，防止使用范围扩大导致信息泄漏风险。在数据产生一定时间周期后（如3个月），也应将数据进行去个人化处理。对于用户申请注销帐号的，应按其申请要求对其全部数据去个人化，且这种去个人化是不可逆的，建立与“被遗忘权”类似的用户信息控制权。当然，也可以由用户选择，平台可以不同的价格策略由用户决定是否行使该项权利，用户有权在知情后放弃其所有的权利，但这种放弃应是一种对价，也是其产权属性的体现。
行业自律与政府监管并行。考虑当前专车立法仍聚焦于监管方式，行业领先企业应主动担当社会责任，先以行业自律的方式，摸索经验。如向社会公开及更新其个人信息管理政策，接受社会监督，监管部门（或消费者保护组织、用户）对于企业违反其公布的个人信息管理政策的行为，应予以曝光及按涉嫌消费欺诈依法处理，建立类似美国“行业自律、政府监督”的制度；建立完善的企业内部个人信息管理制度，接受第三方审计，发布企业年度个人信息报告等。在行业摸索的同时，凝聚社会共识，同时尽快建立具有强制力的监管法规。
在移动互联网和物联网时代，人生而在网中。在互联网平台公司看来，或许人就是数据的总和。保护个人信息，就是保护基本人权，不是“何不食肉糜”，是眉睫之间的现实。对于以数据为生的平台企业而言，应该记住的是，一个伟大的品牌始于信任，终于信任。保护个人信息正是建立与用户的信任关系的重要内容。
原文载于2016年3月18日虎嗅网
本文仅作学习交流之用
Jeremy Mann
往期荐读
编辑：钟柳依
欢迎点击“阅读原文”