個人信息保護刑事合規(guī)的主要場景與完善建議
隨著數(shù)字經濟不斷發(fā)展，涉及個人信息保護的違法犯罪數(shù)量快速增長。面對嚴峻的形勢，我國立法機關和司法機關加大了對個人信息的保護力度。在2022年9月6日召開的最高人民法院新聞發(fā)布會上，最高人民法院相關部門負責人介紹，“從司法實踐來看，一些企業(yè)、機構存在違法獲取、過度使用、非法交易個人信息的問題。人民法院要支持行業(yè)主管部門和有關單位采取切實有效措施，健全個人信息日常監(jiān)管和內部管理機制，為行業(yè)有效監(jiān)管提供有力司法保障”。
個人信息保護的刑事合規(guī)是現(xiàn)代企業(yè)治理體系在數(shù)字經濟時代的必然要求，企業(yè)應積極防范個人信息刑事法律風險，用嚴密的管理與法律合規(guī)機制杜絕個人信息相關犯罪的發(fā)生。與個人信息保護相關的企業(yè)刑事合規(guī)主要涉及三個場景：網絡爬蟲、數(shù)據(jù)采買和數(shù)據(jù)對外提供。
一、網絡爬蟲場景中個人信息保護刑事合規(guī)風險與完善建議
1.網絡爬蟲場景中個人信息保護刑事合規(guī)風險。通過網絡爬蟲技術，企業(yè)可以根據(jù)實際需要經由計算機自動地抓取互聯(lián)網信息，從而實現(xiàn)對網絡信息的高效讀取和收集。雖然對網絡爬蟲技術的合理利用有利于工作效率的提高，但其利用是有合法邊界的。從爬蟲的司法規(guī)制看，已有的司法判決主要關切兩方面的問題：一方面是規(guī)范爬蟲技術的使用規(guī)則，另一方面是對爬蟲獲取對象的數(shù)據(jù)權益進行確權?？傮w來看，法院在司法判決中一般以技術中立為原則，不否定爬蟲技術的合法性，但為其使用設置嚴格的邊界或限定條件。
作為一種自動化程序，網絡爬蟲在運行過程中較難直接獲得被收集個人信息主體的同意，可能會存在侵犯公民個人信息等刑事風險。例如，9人利用爬蟲違規(guī)獲取企業(yè)注冊信息，因構成侵犯公民個人信息罪而獲刑。又如，利用爬蟲技術獲取2.1億條簡歷數(shù)據(jù)，被法院以侵犯公民個人信息罪判刑七年、個人罰金1000萬元。企業(yè)要結合網絡安全法、數(shù)據(jù)安全法和個人信息保護法等法律規(guī)定，形成與自身業(yè)務規(guī)則相融合且行之有效的爬蟲管控機制，將個人信息保護的合規(guī)義務納入內部的審批和管理流程中，避免技術濫用。
2. 網絡爬蟲場景下的刑事合規(guī)。網絡爬蟲場景下個人信息保護的刑事合規(guī)，可以從是否遵守robots協(xié)議和是否設置抓取內容的限制策略兩個方面分析。若網站設置有robots協(xié)議，則應嚴格遵守。盡管目前違反此類協(xié)議的抓取是否違法尚有一定爭議，但仍應謹慎對待，不宜突破目標網站的反爬技術措施。除遵守robots協(xié)議外，設置抓取內容的限制策略也是必要的，并在抓取后對所獲內容及時進行審查。如發(fā)現(xiàn)數(shù)據(jù)屬于用戶的個人信息，則應及時停止抓取，并完整刪除已經爬取的數(shù)據(jù)。
值得注意的是，在與爬蟲相關的個人信息保護刑事案件中，仍有一些問題需要明確，并進而統(tǒng)一類案裁判標準。比如，如何界定“侵入計算機系統(tǒng)”，爬蟲繞過口令、技術措施, 抑或違反網站上公開的使用聲明，是否都屬于“侵入”？前述問題的認定，關系到爬蟲使用的邊界以及具體場景下行為的合法性問題，需要在司法實踐中予以明確或統(tǒng)一認定標準。
二、數(shù)據(jù)采買場景中個人信息保護刑事合規(guī)風險與完善建議
1.數(shù)據(jù)采買場景中個人信息保護刑事合規(guī)風險。根據(jù)《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第四條的規(guī)定，違反國家有關規(guī)定，通過購買、收受、交換等方式獲取公民個人信息，或者在履行職責、提供服務過程中收集公民個人信息的，屬于刑法第二百五十三條之一第三款規(guī)定的“以其他方法非法獲取公民個人信息”。這就要求企業(yè)在獲取數(shù)據(jù)階段，保證自行收集數(shù)據(jù)的合規(guī)以及從第三方獲取數(shù)據(jù)的合規(guī)。而且，企業(yè)還需要加強對自己之前獲得個人信息行為的自查，在涉及收集、使用個人信息的部門眾多、環(huán)節(jié)復雜時，尤其應重視自查工作，如發(fā)現(xiàn)存在超過授權范圍或違反其他合法性基礎的行為，應及時予以糾正。
基于同意處理個人信息時，應遵循合法、正當、必要原則。這就意味著，并不是獲取用戶的同意就可以任意處理用戶的個人信息，還需要對個人信息處理本身的合法性進行審查，是否符合最小必要原則。但在具體個案中，數(shù)據(jù)采買場景下，如何理解最小必要，需要通過司法實踐的個案裁判予以回應。
2.數(shù)據(jù)采買場景下的刑事合規(guī)?！胺欠ǐ@取”行為的核心特點之一是未經信息主體“同意”且無其他合法依據(jù)，據(jù)此，企業(yè)通過第三方獲取數(shù)據(jù)時，有義務對第三方供應商數(shù)據(jù)的合法性進行審查并留存證據(jù)，避免因第三方數(shù)據(jù)來源的不合法而引發(fā)刑事法律風險。例如，企業(yè)要審查供應商數(shù)據(jù)來源合法的證明文件，查明供應商與用戶簽訂的協(xié)議是否明確授權，以及授權使用的范圍、用途等，要求供應商提供并簽署數(shù)據(jù)未侵犯他人個人信息和其他合法權益的承諾書。
然而，目前對于數(shù)據(jù)接收方審查所要達到的程度，法律規(guī)定不夠具體、明確，造成了實踐中做法的不統(tǒng)一，甚至是沖突。因此，數(shù)據(jù)接收方對數(shù)據(jù)提供方獲得用戶授權的審查要達到何種程度，宜通過司法裁判予以明確：數(shù)據(jù)接收方對用戶授權承擔形式審查義務，還是承擔實質審查義務、審查每條授權的實際情況，抑或是按比例抽查等其他方式？
三、數(shù)據(jù)對外提供場景中個人信息保護刑事合規(guī)風險與完善建議
1.數(shù)據(jù)對外提供場景中個人信息保護刑事合規(guī)風險。對數(shù)據(jù)密集型企業(yè)而言，數(shù)據(jù)是重要的生產資源，在技術研發(fā)、算法優(yōu)化、用戶拓展、產品或服務升級與營銷推廣等方面有不可替代的作用。由于企業(yè)難以掌握生產經營各領域的全部數(shù)據(jù)，通常會選擇通過數(shù)據(jù)交易來獲取對其有價值的數(shù)據(jù)并將該數(shù)據(jù)投入運用。在數(shù)據(jù)交易的過程中，必然涉及數(shù)據(jù)的對外提供，企業(yè)可能因此而承擔個人信息保護的刑事法律風險。
2.數(shù)據(jù)對外提供場景下的刑事合規(guī)。企業(yè)在對外提供個人信息的過程中，應當明確數(shù)據(jù)授權與使用的界限，使數(shù)據(jù)的使用具有合法性基礎。具體來看，企業(yè)應做到以下三點：第一，對業(yè)務端在不同場景下對外提供個人信息進行合規(guī)培訓。第二，對外提供個人信息時應取得用戶的充分授權，合法合規(guī)進行，并與接收方約定處理目的、范圍、處理方式及數(shù)據(jù)安全保障措施，并通過簽訂合同明確雙方的數(shù)據(jù)安全義務與責任。同時，根據(jù)雙方簽署的合作協(xié)議，對數(shù)據(jù)接收方的處理活動進行監(jiān)督。第三，建立最小授權的訪問控制策略，對個人信息的重要操作需設置內部審批流程，對安全管理人員、數(shù)據(jù)操作人員、審計人員進行角色分離，超越權限處理個人信息的，應經個人信息保護責任人或者個人信息保護工作機構審批并記錄。
我國數(shù)字經濟向前發(fā)展，必然涉及數(shù)據(jù)的使用與處理，以及立足大數(shù)據(jù)的算法訓練。就司法審判實踐來說，對個人信息進行保護具有保護個人信息權益和促進個人信息合理使用的雙重目的。如何在承認商業(yè)用途中合理使用的合法性前提之下，進一步完善相關權利義務的配置，構建個人信息合理使用的外在制度限制，進而協(xié)調個人信息保護與技術發(fā)展的關系，是對司法的一個挑戰(zhàn)。
目前，個人信息保護與數(shù)據(jù)安全方面的立法仍處于發(fā)展之中，企業(yè)一方面要遵守現(xiàn)行法律法規(guī)，另一方面亦應加強對最新司法案例、行政執(zhí)法的研究、跟進，防止出現(xiàn)因對法律法規(guī)理解不到位而引發(fā)合規(guī)風險的情況。構建個人信息保護刑事合規(guī)體系是一個系統(tǒng)性的工程，行之有效的個人信息保護刑事合規(guī)體系要求企業(yè)結合自身現(xiàn)有和將要開展的業(yè)務實際制定可行性方案，建立法定義務識別及個人信息保護的風險控制機制，并有計劃地開展落地工作，實現(xiàn)頂層設計和落地執(zhí)行合一，從而確保個人信息保護制度發(fā)揮實效。此外，企業(yè)還需要對數(shù)據(jù)安全和個人信息保護情況定期進行“合規(guī)審計”，并與相關主管部門、專業(yè)第三方組織建立穩(wěn)定、暢通的溝通、咨詢渠道，以加強外部監(jiān)督。
［張建肖作者系理想汽車法規(guī)研究院院長 本文系最高人民法院2022年度司法研究重大課題“個人信息保護司法路徑研究”（ZGFYZDKT202212-02）的階段性成果］
編輯：張怡時
京公網安備 11010502000576號