媒体法规案例

刘海明

【案例】

王俊秀 | 数字社会中的隐私重塑——以“人脸识别”为例

王俊秀 中国社会科学院社会学研究所研究员
本文将载于《探索与争鸣》2020年第2期，内容以正刊为准


数字社会中的个人隐私


“智能社会”“智慧城市”已经成为当今世界最新潮的表述，也被认为是未来社会治理的新趋势。这些趋势表现为社会治理手段的智能化、数字化水平不断提高，网络通讯、大数据和人工智能技术的应用领域和场景不断扩展，逐渐深入寻常百姓生活，为人们的生活带来了快速的改善和极大的便利。学者们开始讨论这样一种新的治理模式—数字治理(digital governance)，这一产生于电子商务和电子政务之后的概念，被视为数字时代全新的、先进的治理模式。这一以信息化、数字化、智能化为核心的数字治理过程已深入到公共生活的各个领域：打开购物网站，后台根据用户的搜索记录精准推送商品；注册电子会员，节假日都会收到祝福和问候。但是，这种便利是以个人信息为代价的，电商、社交软件过度收集个人信息正成为新的社会问题。在这种新情势下，隐私的内涵也被改造，何以重新界定隐私成为学界研究的重要范式，最近这一问题突出体现在围绕人脸识别与隐私保护冲突的一系列事件中。

“郭兵起诉杭州野生动物世界案”被称为“中国人脸识别第一案”，引起全社会的广泛关注。事情缘起于郭兵收到来自杭州野生动物世界发来的一条短信，“园区年卡系统已升级为人脸识别入园，原指纹识别已取消，未注册人脸识别的用户将无法正常入园”，郭兵是2019年4月在该园录入指纹后办理的年卡。郭兵认为面部特征等个人生物识别信息属于个人敏感信息，一旦泄露，容易被滥用，会危害到自己的人身和财产安全，郭兵不愿意接受人脸识别要求退卡退费，但遭到该园的拒绝。于是郭兵向杭州市富阳区人民法院提起了诉讼。有人认为这一事件代表了中国用户数据隐私权意识的觉醒，这是由于以往商家和机构一贯大量收集用户信息而管理又不规范导致的必然结果，认为这一案件与之前发生的一些公司将大量用户个人信息泄露和倒卖事件有着直接的关系。据中央电视台报道，2019年11月19日江苏淮安警方侦破7 家公司侵犯个人信息犯罪的特大案件，涉及非法侵占个人信息1亿多条，涉案的考拉征信服务有限公司和北京黑格公司的法定代表人、董事长、销售人员、技术人员等20余名涉案人员被抓获。这样的案件呈高发态势，近期公安部针对此类案件进行整治，共立案涉嫌侵犯公民个人信息案件29起，抓获犯罪嫌疑人288人，缴获公民个人信息4.68亿余条，涉案金额达到9400余万元。2019年11月29日央视新闻客户端又报道称记者发现有人在以10元的价格在网上兜售5000多张人脸照片。

个人信息泄露已经成为现代网络社会每个人都有感受的事情，许多人都收到过电信诈骗电话或指名道姓的广告推销电话，这些亲身经历以及媒体非法使用个人信息案件的大量报道，使得人们使用个人信息的安全感下降，越来越多的人对此感到焦虑和担心。近期清华大学劳东燕教授的一篇微信公号文章“人脸识别技术运用中的法律隐忧”在朋友圈热传，作者撰写该文章的动因是北京地铁2号线阜成门站开始试点测试人脸识别安检，作者在文中质问，“进出大学校园要出示证件，邮寄东西要核查身份证，住个宾馆要人脸识别，坐地铁人物同检尚嫌不够，还要进一步运用所谓的新技术，来继续提升安保级别。我想问一句，还有完没完？接下去，是不是要在所有的马路上，所有的公共场所，全面安装人脸识别的机器，以便随时将行人拦截下来盘问与搜身，将那些被认为危及安全的人进行拘押呢？”劳东燕教授的发声，得到了在数字社会中个人隐私受到侵犯的民众的认同。

但也有人认为对人脸识别没必要“谈虎色变”，他们认为人脸识别是人工智能浪潮中最具代表性的技术，在“数字中国”的发展中，人脸识别正在深度融入社会管理、公务服务、安全保障等领域，人脸识别的发展势头已不可阻挡。只是太多的信息泄露案件不断放大着人们对人脸识别的恐惧。但技术本身是中立的，对于技术应用中出现的问题应该通过实践中不断完善制度来解决，这种声音代表了支持数字治理过程中人脸识别的典型立场。商业管理和公共管理中人脸识别技术的应用确实有很大优势，因此这一技术在很短时间内快速增长。咨询公司IHS Markit 2019年的报告称，2006年全球视频监控设备出货量大概是1千万套，到2016年已经增长到了1亿套，而到2019年将达到1亿8千万套。在视频监控中云计算、视频分析和深度学习技术的运用成为发展趋势，2017年具有视频分析功能的摄像头的比例为23%，到2022年这一比例将达到45%。

“中国人脸识别第一案”最终的结果还未可知，但个人在面对杭州野生动物园所代表的组织性、强制性措施下往往只能退让。正是这样，一方面人脸识别技术不断被质疑，另一方面人脸识别技术不断被用于社会各个领域，深入人们生活的各个方面。


信息隐私化与隐私信息化


英国学者Patrick Dunleavy在“数字时代的治理理论”中指出，数字治理产生于新公共管理的式微和信息社会的发展，并从信息社会的特征、信息技术手段、数字治理的目标三个方面探讨数字治理问题。但是，数字治理并不仅仅是管理和科学技术层面的问题，因信息时代数字治理一定程度是围绕着个人行为和伴生的个人信息展开的，个人信息和隐私就成为核心矛盾，因此，数字治理不仅涉及到伦理问题，还涉及到社会心理问题。数字治理与隐私冲突的核心问题是由个人信息的性质决定的，这里包含两个过程。一方面，个人的隐私在信息时代的典型表现是信息，也就是存在一个隐私信息化的过程。另一方面，随着时代的变迁，信息时代的隐私可能不同于传统社会，在信息的收集、储存、加工和使用中产生了性质的改变，一些原本不属于隐私的个人信息成为了隐私，还有一些传统上不属于隐私的信息在新的环境下成为隐私。随着人们隐私观念的改变，一些信息是否为隐私也存在一个再认定的问题，传统隐私的边界需要重新进行厘定，这其中包含了个体主观的心理因素，这就是信息的隐私化过程。数字治理不能回避如何理解这两个过程的问题，要实现数字“善治”就必须在充分在这两个过程中重新界定隐私。

（一） 信息隐私化

隐私虽然是一个老生常谈的概念，但对于什么是隐私却存在很大争议，人们对于隐私的理解存在差异，这种差异源自不同的文化，也随时代而变化。隐私是一个多学科研究的概念，哲学、法学、伦理学、社会学、社会心理学等学科都有关于隐私的论述和研究，但这些研究在隐私概念的界定上存在较大的差异，也使得研究结论差异巨大，甚至对立。目前的隐私研究基本上是在法学范畴内讨论，并不在意对隐私概念的界定，而直接去讨论隐私权的问题，对隐私的讨论常常难以到位。因此，隐私的概念非常重要，从隐私（privacy）的词源上看，英文中的privacy来自拉丁文privatus，具有“孤立”“受限制”“个人的”和“独特的”等含义。从这个意义上，个体有意避开公众查看，不使公众获得其不愿公开的信息都属于隐私。就人脸识别来说，这项技术是基于摄影和录像技术的，摄影技术产生已经很久，录像技术也有着不短的历史，而人脸识别却是近年来才出现的新技术。从技术上来说，人脸识别是利用分析比较的计算机技术来识别人脸，也就是让计算机认识人，人脸识别技术是基于人工智能技术对人脸这一生物特征的识别。以往人的隐私是基于个人私密部位的，除极少数文化背景下，一般社会环境下的人脸都是公开示人的，本不属于隐私范畴，但人脸识别技术使得原本公开的信息成为隐私信息，也就是信息隐私化使得传统隐私的边界得以扩展。

国内媒体曾经报道，嘉兴市某学校的学生用一张打印的照片代替真人骗过了小区里的人脸识别丰巢智能柜，取出了家长们的快递货物。美国《财富》杂志2019年12月12日报道，美国圣地亚哥的一家人工智能公司用高清3D面具和照片，在世界多地成功欺骗了人脸识别系统，其中包括中国的微信和支付宝，完成了购物支付程序。这样，由于人脸识别技术的漏洞，个人人脸照片或视频就存在被非法利用的风险，信息隐私化的过程一方面重构了隐私，另一方面由于技术不完善，数字社会的个人隐私也存在被侵犯的风险。更为极端的恶意使用他人人脸信息的例子是“换脸”。2017年，一位名叫“deepfakes”的外国网友利用人工智能技术，将电影《神奇女侠》《哈利·波特》中明星的脸“ 移花接木”到了不雅视频的女主角身上，一度掀起轩然大波。为什么会出现信息的隐私化，这是由于数字社会信息具有了一定的商业价值，当“人脸”等原本社会公开的信息可用于流通牟利，隐私的范围也需重新考虑。

随着社会的变迁，人们对于隐私的理解也必须随之发生变化，同时，信息性质的变化也使得信息时代的隐私观念发生变化。许多学者认为“隐私是不受他人干扰的权利”，这种观点的影响很大，有众多的支持者，国内的学者也受到这种观点的影响。但是，这样的隐私观念在数字社会已显得过于狭隘，无法有效保护个人隐私，如当被隐藏的高性能摄录设备拍摄和监视的时候，个体虽然很难察觉到，但并不表示此时他的隐私没有被侵犯。另外，还有一种隐私观点强调个体在与他人交流时在时间上、方式上和程度上对自己信息控制的自主性，这种控制是隐私得以实现的关键。正如万维网发明人伯纳斯所担心的，我们缺乏对个人数据的控制，一些互联网服务并未向我们收费，但当我们读过他们的政策细则，就会意识到我们实则在付费——不是用钱，而是用我们的个人信息。也正是由于信息时代个人信息的公开可能产生个人无法控制的后果，才使得信息隐私化得以发生。人脸识别中个人肖像因为公开而使个体失去了对它的控制，信息可能被非法使用，个人信息安全和隐私就受到侵犯。

（二）隐私信息化

信息时代下人们日常行为越来越趋于数字化，每个人每天都会产生大量的信息，其中的许多信息是不便于向社会公开的，属于隐私信息，人们的这些隐私信息时时刻刻都在累积之中。隐私信息化的过程包含很多类型，有的是新的科学和技术手段带来的，有的是由于个体的隐私风险意识不强，在无意间产生的，有的是在各种利益和动机下主动的隐私交换，也有的是信息监管不力所产生的。大众风险意识不强是隐私信息化的重要原因，面对商家的“小恩小惠”许多人都没有防范意识，轻易选择了个人信息的奉送，如许多人在公共厕所使用人脸识别装置来得到一段卫生纸。也有一些人缺乏个人信息保护观念，使得不法商家和个人有机可乘，在法律监管缺位的情况下出现隐私信息化。

隐私信息化的途径很多，最常见的在于通过各类手机App采取“征询—同意”的模式，但这种“征询”往往是强制的，这使得原本不该产生的大量隐私信息被获取。网络大数据时代商家认识到了数据的商业价值，利用各种途径获取个人信息，超使用范围获取个人隐私信息，一个简单的App就要开通20多项权限，几乎掌控了用户的手机与全部隐私。比如，北京地铁2号线阜成门站开始试点人脸识别安检，需要乘客在现场扫描二维码下载“智慧安检”App，可直接带包进入安检门为了这一小的便利，乘客要同意北京地铁和亿通行的公司的众多条款，同意被它收集大量个人信息，而且，除了已经明示的信息之外，还有多处“不限于”，也就是信息收集成了“无限”的。收集的个人信息包括:（1）身份识别信息, 包括但不限于姓名、身份证明、联系地址、电话号码、生物特征信息;（2）所处的地理位置及目的地信息;（3）平台操作信息, 包括但不限于IP 地址、设备型号、设备标识符、操作系统版本信息;（4）行程信息, 包括但不限于出发地、到达地、路线、途经地点及里程数信息;（5）支付信息, 包括但不限于支付时间、支付金额、支付工具、银行账户及支付账户信息;（6）个人信用信息, 包括但不限于任何信用状况、信用分、信用报告信息;（7）其他根据具体产品及服务的需要而收集的的个人信息, 包括但不限于对产品或服务的意见、建议、曾经使用或经常使用的移动应用软件以及使用场景和使用习惯等信息。

经过记者实测发现，用户必须一揽子授权地理位置信息、支付信息、个人信用信息及应用使用习惯信息，才能使用“智慧安检服务”。如果这样的安检全面实行，乘地铁出行的乘客将产生大量的隐私信息，而这众多与安检措施无关的信息将如何储存、处理和使用都未得到充分透明和公开。隐私信息化和信息隐私化是难以截然分开的，当一些个人信息是孤立的状态可能不构成隐私，如一个人曾经出现在某位置的地理信息。但是，当一个人大量的公开信息被追踪和整合后，其性质已经发生了质的变化。特别是在大数据、人工智能背景下，信息加工处理能力强、速度快，这种信息隐私化过程就成为个人隐私的最大威胁。因此，像北京地铁这样无界限全面收集个人信息，而在没有全面的防范措施下就试点实施，信息安全风险极大。


数字社会中应如何保护隐私


数字社会必须处理好个人隐私保护的问题，这也是数字治理本身的内容。有学者从信息隐私权角度分析隐私的益处和坏处，在数据成为生产要素的今天，过度限制信息使用会影响人们通过信息分享造福社会的互联网精神，而个人信息被滥用、个人隐私被侵犯也会使得社会环境恶化，保持数字社会良性运行就要找到个人信息使用和隐私的边界。无论面对的问题简单还是复杂，围绕着个人信息的数字治理不外乎是三个过程，一是信息的收集，二是信息的储存，三是信息的加工和处理，四是信息的使用，每一个过程都可能涉及到信息的隐私化和隐私的信息化，关系到是否侵犯个人隐私。隐私信息化的过程相对简单，容易引起人们的注意，但信息隐私化因其过程复杂，信息处在动态过程不容易把握而经常被忽视，因此更应该重视。

数字社会下的个人信息保护是一个难题，全世界都在试图解决这一问题。2018年欧盟的《通用数据保护法案》（GDPR）开始实施，2019年11月，欧盟基本权利局又发布了《面部识别技术：执法中的基本权利考虑》报告，提出人脸识别技术应用前必须有清晰、详细的法律框架来监管人脸识别技术的部署和使用。但是，由于人脸识别技术应用场景的多样性和复杂性，清晰、详细法律的制订是一件非常困难的事情，这一过程需要多学科、多领域学术性和应用性的深入研究和探索。多年来欧盟以及其它一些发达国家一直在探索这个问题，欧盟2018年推出《通用数据保护法案》之前，早在1995年就出台了《数据保护指南》，2020年1月1日《加利福尼亚州消费者隐私法案》（CCPA）也开始生效了，因此，国内的相关法律也应该尽快出台。但可以预料，即使是出台全面的数据保护法律，也不一定能够应对所有的现实问题，信息社会和智能社会下新的问题还会不断涌现，数据治理与隐私保护的矛盾将会长期存在，但不管面多的问题如何改变，都应该遵循一些基本原则：

第一个原则是最低限度原则。任何组织和个人在面对个人信息时都要遵守这一原则，能不收集的信息就不收集，能少收集就少收集；第二个原则是高门槛准入原则。对于涉及个人信息收集的业务开展必须有严格的准入制度，对于个人信息的储存、数据安全和业务必要性进行严格审核；第三个原则是相关利益者知情原则。当事者要把收集个人信息的目的、信息收集的方法、信息储存、信息加工、信息使用的权限和边界，信息使用的时间，信息销毁等做明确的公示，确保利益相关者的知情权；第四个原则是社会许可原则。涉及公共服务的项目要在社会成员广泛参与和讨论下，在民众充分知情和多数成员同意下才能实行；第五个原则是事后补救原则。在信息收集、储存、处理和应用过程中对于可能的风险是否有补救措施，无补救措施则不可实行；第六个原则是目的和结果一致性原则。个人信息的收集、使用的目的和结果必须一致，不能随意改变；第七个原则是明确的责任承担原则。信息收集方要明确收集信息的储存、保护和使用的风险，明确这一过程要承担的全部责任，无法承担责任则不可以实施；第八个原则是时限原则。对于所收集的信息严格设定使用和保存时限，在收集信息之前就要有信息销毁的约定。

当然，仅有这些原则是不够的，应该根据数据治理和隐私保护实践做必要的调整，应该通过法治化途径使一些原则程序化，形成可操作的严格的规程。只有在重新认识数字社会隐私概念的基础上，通过建立产权清晰的制度框架，企业才能合法收集、利用数据，个人的信息保护诉求才具备治理基础。当下要杜绝个人信息被滥用和个人信息的无界限收集，严格厘清信息使用和加工的边界，严禁针对个人信息的过度整合，营造良好的信息使用环境，提高民众隐私安全感，让社会大众可以放心使用信息资源，融入数字社会。

原文链接：https://mp.weixin.qq.com/s/AJyLpvn-OnOPqlSXPKfOVg

编辑：张凉

刘海明

【案例】

美国《人脸识别道德使用法案》全文翻译与评价

【法案背景】

本次在参议院提出的《人脸识别道德使用法案（草案）》是继的《2019商业人脸识别法案》（2019年3月14日向参议院提交），以及《2019人脸识别技术法案》（2019年11月14日向参议院提交），美国在关于人脸识别技术使用与限制的立法进程中的又一法案。

旧金山一直是美国犯罪率较高城市之一，却成为美国第一个禁用人脸识别信息技术的城市。旧金山城市监督委员会于2019年通过颁布《反监控条例》（Anti-surveillance Ordinance），其中关于禁用新技术监控的条例，明确禁止了政府及执法部门使用人脸识别技术，且其他机构买同类型监控也要取得监督委员会许可。

在中国，人脸识别技术已经被应用于城市治理和消费生活各种场景，但为何“刷脸”技术却会被美国人立法抵制呢？

我们再往前看多一眼，在2019年3月，美国颁布了一项法令，明确禁止企业在没有征得消费者的同意下使用并共享消费者的数据。又例如，美国的部分州，如伊利诺伊州在2008年颁布《生物信息隐私法案》规定了，在没有经过公民同意的情况下，政府部门不得使用和采集公民生物信息。

美国重视对人脸识别技术的限制使用，或许有多方面的原因。一方面，他们认为不恰当地使用人脸识别技术而带来的各种潜在不利影响，或可能会使不同的群体受到不公正的待遇，或会使人们不断的生活在政府、企业的监视中，影响并侵犯公民的隐私权和言论自由，另一方面，由于人脸识别技术对于非裔美国人、有色人种等群体的识别率不高，可能会产生各类种族歧视与冲突的问题（例如，麻省理工和多伦多大学的一项研究表明曾指出，亚马逊的人脸识别系统将深色皮肤的女性错认为男性，这种错误率高达31%。而浅色皮肤的女性被认错的概率只有7%）。

同时在美国，人脸识别数据库多为白人男性训练，有色人种、妇女、年轻人识别率较低，识别准确率与光线、角度、环境等也有关系，再一个随着人们年龄变化，人脸识别的精准度也有待提升，这会给照片和视频诈骗留下控件。因此在美国人脸识别技术的广泛许可不应该是一揽子许可，应立法监管使技术与法律道德能尽快咬合，这也是本法案的立法目的。

【法案的重点内容概述】

前面提及的2019年提交的《商业人脸识别隐私法案》，其主要的内容是关于对商业实体在人脸识别技术使用上的一些限制要求。例如，在没有获得用户的明确积极的同意下（非默认同意），商业实体禁止通过人脸识别技术对终端用户进行技术辨认以及跟踪，也禁止通过人脸识别技术对终端用户进行不合法的区别对待等。

而本次《人脸识别道德使用法案》主要是对政府等执法机构的限制要求。明确要求政府机构在委员为颁布人脸识别技术使用指南之前，禁止安装任何与人脸识别相关的设备，禁止通过人脸识别技术获得个人信息，禁止执法机构在没有获得逮捕令的情况下，使用人脸识别技术来对特定个人进行识别（主要在第四节进行体现）。

第五节，主要是关于当个人认为政府机构违反相关规定使用人脸识别技术而受到权利侵害时候的具体救济措施，以及联邦拨款的限制要求。第六节则是关于成立国会委员会的相关规定。

【部分人脸识别案例与突出问题速览】

【欧盟】：瑞典数据保护局（DPA）就瑞典北部一所学校使用监控人脸识别技术，从而援引欧盟GDPR进行了处罚，原因主要学校就考勤问题完全有更保守的选择，其次因为数据的采集者和保管者信息不对称，有造成外发和泄露可能。


【美国】：对比国外最早应用人脸识别技术的巨头之一facebook曾为此遭受用户状告侵犯个人隐私，facebook抗辩过程中表示，他们一直披露他们的人脸识别技术，而且用户可以随时选择关闭，因此用户是没有遭受过具体侵权损害，但美国法院仍然认为，根据最高法院精神，该种伤害虽然是看不到，但是仍然存在。根据美国某人脸识别技术开发公司表示，人脸识别的数据均保存于本地服务器，本地服务器难以保证数据安全性，使用机构无法保证与执法机构及政府部门不共享人脸识别数据库数据，例如美国某安装人脸识别信息的学校会与治安官签订《谅解备忘录》，使得治安官随时可以进出数据库，这已超出识别的范畴，造成严重的隐私侵犯。


【中国】：人脸识别近年主要在国内集中于安防，例如海康威视和大华，他们本身已拥有全套安防软硬件产业供应链，人脸识别技术加持了的安防产业，从而增加了他们本来的优势，在智慧城市建设的不同场景之中可以派上用场，但人脸数据管理者则为数据存储器管理者，国内为三大运营商等，作为国企，与监管部门共享数据信息是惯例，但也发生运营商内部员工数据泄露等问题。

【从法案中引发的一些思考】

人脸识别一直是一个非常有趣且值得深入研究的问题。目前在我们国家关于人脸识别的法律规定可能仍然比较分散，包括政府等执法机构在使用人脸识别技术方面的规定与限制也是不够明确的。

一些常见的问题可能包括：

怎样确保人脸识别数据的采集方式合法合规，例如采集的时间、场合，以及限制？
2019年2月，国家信息安全标准化技术委员会面向全社会公开征求《信息安全技术个人信息安全规范（草案）》意见，全国信息安全标准化技术委员会也于2020年01月20日向全社会公开征求包含《信息安全技术移动互联网应用（App）收集个人信息基本规范》在内多项规范意见，可见人脸识别等智能信息应用发展正当时，这或许为彼此的相互促进提供了有益参考与借鉴。而企业在人脸识别技术开发使用中，企业对人脸数据处理如何影响最小化？
数据的管理者、管理企业对于允许数据挺停留的节点，时间是否作出底线规范？
对于采集后的数据使用用什么保障不被滥用，以及滥用后有哪些适当的补救措施？以及证据的留存，跟刑法、民法及相关诉讼法规该如何衔接等等的问题，都值得我们继续深入研究与思考。

【特别鸣谢】：

再次衷心感谢出海互联网法律观察公益翻译组的每位成员的辛勤劳动——（按照姓名拼音，排名不分先后）

林 鑫  网络数据中心公司法律顾问 系统集成网络、数据中心、大数据与人工智能等通信研究法律合规方向

廖 嘉  浙江理工大学法政学院人脸识别第一案研究项目组成员 人脸识别应用中的个人信息保护方向

王 捷  浙江垦丁律师事务所个人信息与数据安全合规/资深出海法律顾问（广州）

曾 晨  西安交通大学信息安全法律研究中心 网络安全与个人信息安全方向

朱 莎  浙江垦丁律师事务所金融数据安全/资本市场跨境投资法律顾问

原文链接：

https://mp.weixin.qq.com/s/HWSeYasfz7Nh3UOxFQaEsg

编辑：张凉

刘海明

【案例】

2016年《南非新闻法》相关内容

鉴于该国的近代历史，《南非新闻法》（2016年）不仅明确规定了新闻媒体的权利和责任，而且还明确规定新闻媒体努力将新闻自由和言论自由的宪法价值观“托付给国家公民”，并受同样的权利和义务的约束“作为个人的责任”以及重要的是，“每个人都有责任捍卫和促进这些权利，承认创造这些权利的斗争：媒体、公众和政府，他们都是民主国家的组成部分”（南非新闻法典，2016年）。

编辑：冯梦玉

刘海明

【案例】

美国《国家安全和个人数据保护法》草案中译本

引言



2019年11月18日，美国参议员JoshHawley提议制定《国家安全和个人数据保护法》，以打击美国人的敏感个人数据流向威胁美国国家安全的国家。该法案涉及美国科技行业与中国的关系，一些美国专家认为，苹果在中国存储iCloud加密密钥以及TikTok与中国政府的关系事实上构成了对美国国家安全的威胁。



在数字经济时代，数据就是石油，数据也自然成为了世界各国争夺的对象，这不仅涉及财富，而且也涉及国家主权及国家安全。



而美国参议员Josh Hawley提议制定《国家安全和个人数据保护法》，虽然短期内不可能获得通过，但仍然值得我们充分关注，该草案在适用对象中赤裸裸地针对中国和俄罗斯等所谓的威胁美国国家安全的国家，其立法目的“司马昭之心，路人皆知”，就是要抢夺可能流入中国的数据资源。



对于中国而言，我们必须站在“国家利益至上”的角度和“国家主权”的高度来建构我国的“数据跨境法律制度”！我们要对美国“知己知彼”，在全面了解美国相关立法动向的基础上，强调用“法律的手段”反制美国，实现“以其人之道，反治其人之身”。



基于此，DataLaw成立本译组，专门对美国《国家安全和个人数据保护法》草案进行全文翻译，以期为数据法实务界及理论界的各位同仁提供参考。



借此机会向所有译校者的无私奉献致敬，他们分别是：组长—洪玮；译校人员—洪玮、刘玲麟、陶慧汝等全体成员。感谢他们的无私奉献！

以下是美国《国家安全和个人数据保护法》草案全文：

来源：数据法盟

作者：何渊

链接：https://mp.weixin.qq.com/s/3-v1k2lAqnym7pP5K0uHfw

编辑：冯梦玉

刘海明

【案例】

欧盟委员会副主席：面部识别技术违反GDPR | DataLaws

欧盟委员会执行副主席，主管数字业务和反垄断事务的Margrethe Vestager称，根据欧盟数据保护机制，通过面部识别技术自动识别身份违法。



在上月13号接受记者采访时，Vestager称就目前的情况而言，面部识别技术因无法获得权利主体同意而违反GDPR。



GDPR第六条列明了个人信息可以被合法获取的条件，其中之一是需要获得数据主体的明确同意。本条规定的例外是维护公共安全所需，在这种情况下面部识别自动标明身份合法。



Vestager告诉记者，委员会将需要一些时间来决定如何针对面部识别进行立法，但不会阻止各国倡议根据现有规则使用该技术。



面部识别功能在手机和机场过关时已经得到使用。但是，在人工智能的推广中，远程使用它（包括由公共机构使用）正日益成为一个有争议的问题。



委员会本考虑在其AI白皮书中发布长达五年的远程面部识别技术使用禁令，但在最新的草案中删除了这部分内容。



Vestager补充说委员会在这一阶段不会采取任何措施，但会研究如何在欧盟这一级别规制面部识别技术。“因此，在白皮书中，我们将使用一种非常谨慎的语言说，让我们暂停一下，找出是否存在任何“情况”，以及在什么情况下应该授权进行远程面部识别。”委员会官员补充说，在这个暂停期内不会阻止各国政府依据现有规则使用面部识别技术。



Vestager认为面部识别技术突破了需要数据主体同意的规定，法国数据监管机构CNIL也发出了同样的警告。



但欧盟官员希望与成员国，企业和其他组织探讨是否应增加新的例外。



Vestager说，鉴于某些类型的人工智能可能“对基本价值和人格产生非常不利的影响”，委员会打算采用基于风险的方法在某些领域引入新规则。该范围将覆盖那些敏感部门，包括卫生、能源、运输、公共部门。在每个部门内，解决可能需要监督的有风险的适用。尽管有丹麦数据保护官预计未来将有必要制定新规则，但仍需注意可能对小企业造成的影响，因此欧盟的方案应该不会太过严苛。



尽管欧洲投入人工智能的资源仅为美国和中国的一小部分，但Vestager相信白皮书和随后出台的新规则将为面部识别的技术运用铺平道路。她说：“中国有数据，美国有钱，我们有目标。”她指的是欧盟实现“卓越”使用人工智能的目标。她认为欧洲不应放弃其“保护基本价值观的意愿”。“我认为这是最好的做法，欧洲路径带领我们走到了现在，使得使我们成为了地球上最有吸引力的生活地之一。中国走中国的路，我们并不擅长那样做。对我们而言，坚持我们的信念会更好。”



（来源：https://www.euractiv.com

作者：Jorge Valero

日期：2020年2月17日

翻译：魏雪颖，上海交大法学院本科生）

来源：数据法盟

作者：魏雪颖

链接：https://mp.weixin.qq.com/s/yvifEIDRZf9BIq078uNX_A

编辑：冯梦玉

刘海明

【案例】

网络信息内容生态治理规定

国家互联网信息办公室令

第5号

《网络信息内容生态治理规定》已经国家互联网信息办公室室务会议审议通过，现予公布，自2020年3月1日起施行。

主任庄荣文

2019年12月15日

网络信息内容生态治理规定

第一章总则

第一条

　为了营造良好网络生态，保障公民、法人和其他组织的合法权益，维护国家安全和公共利益，根据《中华人民共和国国家安全法》《中华人民共和国网络安全法》《互联网信息服务管理办法》等法律、行政法规，制定本规定。

第二条

　中华人民共和国境内的网络信息内容生态治理活动，适用本规定。

本规定所称网络信息内容生态治理，是指政府、企业、社会、网民等主体，以培育和践行社会主义核心价值观为根本，以网络信息内容为主要治理对象，以建立健全网络综合治理体系、营造清朗的网络空间、建设良好的网络生态为目标，开展的弘扬正能量、处置违法和不良信息等相关活动。

第三条

　国家网信部门负责统筹协调全国网络信息内容生态治理和相关监督管理工作，各有关主管部门依据各自职责做好网络信息内容生态治理工作。

地方网信部门负责统筹协调本行政区域内网络信息内容生态治理和相关监督管理工作，地方各有关主管部门依据各自职责做好本行政区域内网络信息内容生态治理工作。

第二章网络信息内容生产者

第四条

　网络信息内容生产者应当遵守法律法规，遵循公序良俗，不得损害国家利益、公共利益和他人合法权益。

第五条

　鼓励网络信息内容生产者制作、复制、发布含有下列内容的信息：

(一)宣传习近平新时代中国特色社会主义思想，全面准确生动解读中国特色社会主义道路、理论、制度、文化的；

(二)宣传党的理论路线方针政策和中央重大决策部署的；

(三)展示经济社会发展亮点，反映人民群众伟大奋斗和火热生活的；

(四)弘扬社会主义核心价值观，宣传优秀道德文化和时代精神，充分展现中华民族昂扬向上精神风貌的；

(五)有效回应社会关切，解疑释惑，析事明理，有助于引导群众形成共识的；

(六)有助于提高中华文化国际影响力，向世界展现真实立体全面的中国的；

(七)其他讲品味讲格调讲责任、讴歌真善美、促进团结稳定等的内容。

第六条

　网络信息内容生产者不得制作、复制、发布含有下列内容的违法信息：

(一)反对宪法所确定的基本原则的；

(二)危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；

(三)损害国家荣誉和利益的；

(四)歪曲、丑化、亵渎、否定英雄烈士事迹和精神，以侮辱、诽谤或者其他方式侵害英雄烈士的姓名、肖像、名誉、荣誉的；

(五)宣扬恐怖主义、极端主义或者煽动实施恐怖活动、极端主义活动的；

(六)煽动民族仇恨、民族歧视，破坏民族团结的；

(七)破坏国家宗教政策，宣扬邪教和封建迷信的；

(八)散布谣言，扰乱经济秩序和社会秩序的；

(九)散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；

(十)侮辱或者诽谤他人，侵害他人名誉、隐私和其他合法权益的；

(十一)法律、行政法规禁止的其他内容。

第七条

　网络信息内容生产者应当采取措施，防范和抵制制作、复制、发布含有下列内容的不良信息：

(一)使用夸张标题，内容与标题严重不符的；

(二)炒作绯闻、丑闻、劣迹等的；

(三)不当评述自然灾害、重大事故等灾难的；

(四)带有性暗示、性挑逗等易使人产生性联想的；

(五)展现血腥、惊悚、残忍等致人身心不适的；

(六)煽动人群歧视、地域歧视等的；

(七)宣扬低俗、庸俗、媚俗内容的；

(八)可能引发未成年人模仿不安全行为和违反社会公德行为、诱导未成年人不良嗜好等的；

(九)其他对网络生态造成不良影响的内容。

第三章网络信息内容服务平台

第八条

　网络信息内容服务平台应当履行信息内容管理主体责任，加强本平台网络信息内容生态治理，培育积极健康、向上向善的网络文化。

第九条

　网络信息内容服务平台应当建立网络信息内容生态治理机制，制定本平台网络信息内容生态治理细则，健全用户注册、账号管理、信息发布审核、跟帖评论审核、版面页面生态管理、实时巡查、应急处置和网络谣言、黑色产业链信息处置等制度。

网络信息内容服务平台应当设立网络信息内容生态治理负责人，配备与业务范围和服务规模相适应的专业人员，加强培训考核，提升从业人员素质。

第十条

　网络信息内容服务平台不得传播本规定第六条规定的信息，应当防范和抵制传播本规定第七条规定的信息。

网络信息内容服务平台应当加强信息内容的管理，发现本规定第六条、第七条规定的信息的，应当依法立即采取处置措施，保存有关记录，并向有关主管部门报告。

第十一条

　鼓励网络信息内容服务平台坚持主流价值导向，优化信息推荐机制，加强版面页面生态管理，在下列重点环节(包括服务类型、位置版块等)积极呈现本规定第五条规定的信息：

(一)互联网新闻信息服务首页首屏、弹窗和重要新闻信息内容页面等；

(二)互联网用户公众账号信息服务精选、热搜等；

(三)博客、微博客信息服务热门推荐、榜单类、弹窗及基于地理位置的信息服务版块等；

(四)互联网信息搜索服务热搜词、热搜图及默认搜索等；

(五)互联网论坛社区服务首页首屏、榜单类、弹窗等；

(六)互联网音视频服务首页首屏、发现、精选、榜单类、弹窗等；

(七)互联网网址导航服务、浏览器服务、输入法服务首页首屏、榜单类、皮肤、联想词、弹窗等；

(八)数字阅读、网络游戏、网络动漫服务首页首屏、精选、榜单类、弹窗等；

(九)生活服务、知识服务平台首页首屏、热门推荐、弹窗等；

(十)电子商务平台首页首屏、推荐区等；

(十一)移动应用商店、移动智能终端预置应用软件和内置信息内容服务首屏、推荐区等；

(十二)专门以未成年人为服务对象的网络信息内容专栏、专区和产品等；

(十三)其他处于产品或者服务醒目位置、易引起网络信息内容服务使用者关注的重点环节。

网络信息内容服务平台不得在以上重点环节呈现本规定第七条规定的信息。

第十二条

　网络信息内容服务平台采用个性化算法推荐技术推送信息的，应当设置符合本规定第十条、第十一条规定要求的推荐模型，建立健全人工干预和用户自主选择机制。

第十三条

　鼓励网络信息内容服务平台开发适合未成年人使用的模式，提供适合未成年人使用的网络产品和服务，便利未成年人获取有益身心健康的信息。

第十四条

　网络信息内容服务平台应当加强对本平台设置的广告位和在本平台展示的广告内容的审核巡查，对发布违法广告的，应当依法予以处理。

第十五条

　网络信息内容服务平台应当制定并公开管理规则和平台公约，完善用户协议，明确用户相关权利义务，并依法依约履行相应管理职责。

网络信息内容服务平台应当建立用户账号信用管理制度，根据用户账号的信用情况提供相应服务。

第十六条

　网络信息内容服务平台应当在显著位置设置便捷的投诉举报入口，公布投诉举报方式，及时受理处置公众投诉举报并反馈处理结果。

第十七条

　网络信息内容服务平台应当编制网络信息内容生态治理工作年度报告，年度报告应当包括网络信息内容生态治理工作情况、网络信息内容生态治理负责人履职情况、社会评价情况等内容。

第四章网络信息内容服务使用者

第十八条

　网络信息内容服务使用者应当文明健康使用网络，按照法律法规的要求和用户协议约定，切实履行相应义务，在以发帖、回复、留言、弹幕等形式参与网络活动时，文明互动，理性表达，不得发布本规定第六条规定的信息，防范和抵制本规定第七条规定的信息。

第十九条

　网络群组、论坛社区版块建立者和管理者应当履行群组、版块管理责任，依据法律法规、用户协议和平台公约等，规范群组、版块内信息发布等行为。

第二十条

　鼓励网络信息内容服务使用者积极参与网络信息内容生态治理，通过投诉、举报等方式对网上违法和不良信息进行监督，共同维护良好网络生态。

第二十一条

　网络信息内容服务使用者和网络信息内容生产者、网络信息内容服务平台不得利用网络和相关信息技术实施侮辱、诽谤、威胁、散布谣言以及侵犯他人隐私等违法行为，损害他人合法权益。

第二十二条

　网络信息内容服务使用者和网络信息内容生产者、网络信息内容服务平台不得通过发布、删除信息以及其他干预信息呈现的手段侵害他人合法权益或者谋取非法利益。

第二十三条

　网络信息内容服务使用者和网络信息内容生产者、网络信息内容服务平台不得利用深度学习、虚拟现实等新技术新应用从事法律、行政法规禁止的活动。

第二十四条

　网络信息内容服务使用者和网络信息内容生产者、网络信息内容服务平台不得通过人工方式或者技术手段实施流量造假、流量劫持以及虚假注册账号、非法交易账号、操纵用户账号等行为，破坏网络生态秩序。

第二十五条

　网络信息内容服务使用者和网络信息内容生产者、网络信息内容服务平台不得利用党旗、党徽、国旗、国徽、国歌等代表党和国家形象的标识及内容，或者借国家重大活动、重大纪念日和国家机关及其工作人员名义等，违法违规开展网络商业营销活动。

第五章网络行业组织

第二十六条

　鼓励行业组织发挥服务指导和桥梁纽带作用，引导会员单位增强社会责任感，唱响主旋律，弘扬正能量，反对违法信息，防范和抵制不良信息。

第二十七条

　鼓励行业组织建立完善行业自律机制，制定网络信息内容生态治理行业规范和自律公约，建立内容审核标准细则，指导会员单位建立健全服务规范、依法提供网络信息内容服务、接受社会监督。

第二十八条

　鼓励行业组织开展网络信息内容生态治理教育培训和宣传引导工作，提升会员单位、从业人员治理能力，增强全社会共同参与网络信息内容生态治理意识。

第二十九条

　鼓励行业组织推动行业信用评价体系建设，依据章程建立行业评议等评价奖惩机制，加大对会员单位的激励和惩戒力度，强化会员单位的守信意识。

第六章监督管理

第三十条

　各级网信部门会同有关主管部门，建立健全信息共享、会商通报、联合执法、案件督办、信息公开等工作机制，协同开展网络信息内容生态治理工作。

第三十一条

　各级网信部门对网络信息内容服务平台履行信息内容管理主体责任情况开展监督检查，对存在问题的平台开展专项督查。

网络信息内容服务平台对网信部门和有关主管部门依法实施的监督检查，应当予以配合。

第三十二条

　各级网信部门建立网络信息内容服务平台违法违规行为台账管理制度，并依法依规进行相应处理。

第三十三条

　各级网信部门建立政府、企业、社会、网民等主体共同参与的监督评价机制，定期对本行政区域内网络信息内容服务平台生态治理情况进行评估。

第七章法律责任

第三十四条

　网络信息内容生产者违反本规定第六条规定的，网络信息内容服务平台应当依法依约采取警示整改、限制功能、暂停更新、关闭账号等处置措施，及时消除违法信息内容，保存记录并向有关主管部门报告。

第三十五条

　网络信息内容服务平台违反本规定第十条、第三十一条第二款规定的，由网信等有关主管部门依据职责，按照《中华人民共和国网络安全法》《互联网信息服务管理办法》等法律、行政法规的规定予以处理。

第三十六条

　网络信息内容服务平台违反本规定第十一条第二款规定的，由设区的市级以上网信部门依据职责进行约谈，给予警告，责令限期改正；拒不改正或者情节严重的，责令暂停信息更新，按照有关法律、行政法规的规定予以处理。

第三十七条

　网络信息内容服务平台违反本规定第九条、第十二条、第十五条、第十六条、第十七条规定的，由设区的市级以上网信部门依据职责进行约谈，给予警告，责令限期改正；拒不改正或者情节严重的，责令暂停信息更新，按照有关法律、行政法规的规定予以处理。

第三十八条

　违反本规定第十四条、第十八条、第十九条、第二十一条、第二十二条、第二十三条、第二十四条、第二十五条规定的，由网信等有关主管部门依据职责，按照有关法律、行政法规的规定予以处理。

第三十九条

　网信部门根据法律、行政法规和国家有关规定，会同有关主管部门建立健全网络信息内容服务严重失信联合惩戒机制，对严重违反本规定的网络信息内容服务平台、网络信息内容生产者和网络信息内容使用者依法依规实施限制从事网络信息服务、网上行为限制、行业禁入等惩戒措施。

第四十条

　违反本规定，给他人造成损害的，依法承担民事责任；构成犯罪的，依法追究刑事责任；尚不构成犯罪的，由有关主管部门依照有关法律、行政法规的规定予以处罚。

第八章附则

第四十一条

　本规定所称网络信息内容生产者，是指制作、复制、发布网络信息内容的组织或者个人。

本规定所称网络信息内容服务平台，是指提供网络信息内容传播服务的网络信息服务提供者。

本规定所称网络信息内容服务使用者，是指使用网络信息内容服务的组织或者个人。

第四十二条

　本规定自2020年3月1日起施行。

来源：中华网

链接：https://3g.china.com/act/news/13000776/20191220/37559042.html

编辑：宋婷

刘海明

【案例】

陈新宇：论训诫

2020年2月6日晚在虎扑上看到一位医生去世的消息，确认后心中郁郁。7日在准备新学期《法律基础》一课的过程中，若有所思，找来有关信息研读，并和董彦斌学兄和助教学棣们展开学术攻错，分析讨论。不知不觉，一日已过，不吐不快，一吐为快，遂有此文。

小文的事实材料取自网络，共有两个：一个是武汉市公安局武昌分局中南路街派出所对这位医生的训诫书，一个是该医生接受财新记者的采访报道。

陈新宇：论训诫

我们发现《训诫书》有三点不当之处：

一、“训诫”出自已经失效的《治安管理处罚条例》

这份编号“武（公）中字（20200103）”的文件为出现“训诫”字样共2处，一处是文件名为“训诫书”，一处是正文中出现“现在依法对你在互联网上发表不属实的言论的问题提出警示与训诫”。

从公法的理念上看，“法无授权不可为”，国家机关的行为应该有法律的授权。作为一种法律规定的由公安机关行使的对于违法者的处置措施，无论是现行有效的《治安管理处罚法》，还是《行政处罚法》，皆没有“训诫”一词。从行政法角度看，该措施实际上出自2005年已经失效的《治安管理处罚条例》第9条，而且该条只适用于不满十四岁的未成年人。该条规定，“已满十四岁不满十八岁的人违反治安管理的，从轻处罚；不满十四岁的人违反治安管理的，免予处罚，但是可以予以训诫，并责令其监护人严加管教。”

因此严格从字眼上讲，训诫作为武汉市公安局武昌分局中南路街派出所对这位医生的行政性处置措施，是没有《立法法》第7条所规定的法律（全国人大和全国人大常委会制定和修改）依据的。

二、“训诫”是由人民法院行使的处置措施

在现行法律体系中，无论是实体法还是程序法，训诫皆是一种由人民法院行使的处置措施。

《刑法》第37条：对于犯罪情节轻微不需要判处刑罚的，可以免予刑事处罚，但是可以根据案件的不同情况，予以训诫或者责令具结悔过、赔礼道歉、赔偿损失，或者由主管部门予以行政处罚或者行政处分。

《刑事诉讼法》第193条第2款：证人没有正当理由拒绝出庭或者出庭后拒绝作证的，予以训诫，情节严重的，经院长批准，处以十日以下的拘留……:

《民事诉讼法》第65条第2款：人民法院根据当事人的主张和案件审理情况，确定当事人应当提供的证据及其期限……当事人逾期提供证据的，人民法院应当责令其说明理由；拒不说明理由或者理由不成立的，人民法院根据不同情形可以不予采纳该证据，或者采纳该证据但予以训诫、罚款。

《民事诉讼法》第110条第2款：人民法院对违反法庭规则的人，可以予以训诫，责令退出法庭或者予以罚款、拘留。

《行政诉讼法》第59条：诉讼参与人或者其他人有下列行为之一的，人民法院可以根据情节轻重，予以训诫、责令具结悔过或者处一万元以下的罚款、十五日以下的拘留；构成犯罪的，依法追究刑事责任……

可见，无论是刑法对于情节轻微的犯罪分子，还是三大诉讼法对于有违反法庭秩序等行为的人，行使训诫的机构皆是人民法院。

关于“训诫”，《现代汉语词典》的解释清晰准确，指“一种处分措施，人民法院对犯罪情节轻微或有错误的人进行公开的批评教育。”（第5版，商务印书馆2005年版，第1554页。该词的另一含义是做动词用，“教导和告诫”）

三、所谓“违反了《中华人民共和国治安管理处罚法》的有关规定”语焉不详

训诫书对这位医生的法律评价是，“你的行为严重扰乱了社会秩序，你的行为已超出了法律所允许的范围，违反了《中华人民共和国治安管理处罚法》的有关规定，是一种违法行为”，这里存在着援引法条不明确、语焉不详的问题。只有笼统的“有关规定”，没有具体的法律条文，颇与“有关部门”一样神秘莫测，行政行为的合法性原则在这里没有得到落实。

何谓“有关规定”，即便将训诫解释为批评教育，认为可以适用《治安管理处罚法》第5条第3款“办理治安案件应当坚持教育与处罚相结合的原则”，但从该条和第10条（治安管理处罚的种类：警告、罚款、行政拘留、吊销许可证）来看，教育不是一种治安处罚的方式。而依据第19条“违反治安管理有下列情形之一的，减轻处罚或者不予处罚：（一）情节特别轻微的；（二）主动消除或者减轻违法后果，并取得被侵害人谅解的；（三）出于他人胁迫或者诱骗的；（四）主动投案，向公安机关如实陈述自己的违法行为的；（五）有立功表现的”，对这位医生没有予以治安处罚，很可能符合第一种情形，但显然“情节特别轻微”也与训诫书中所谓“严重扰乱了社会秩序”形成矛盾。

以史为鉴，中国的古典法律最迟在唐律中已经可以看到“断罪具引律令格式”的条款，该条规定“诸断罪皆须具引律、令、格、式正文，违者笞三十”，其立法旨趣在于监督官吏，要求其遵守法律，在断案时需要明确地引用所适用的法条，否则要受笞三十的刑罚。其为历代法典所沿袭，成为中华法系颇具代表性的条款，是传统法文化的宝贵遗产。

综上可见，训诫书的表述不严谨，其既不符合现代法理，也没有借鉴古典法意，却有着某种“刑不可知则威不可测”的秘密法色彩。而结合这位医生面对训诫“能”和“明白”的回答，彰显的是教谕式“父母官型的法”之特质。

我想，这位医生的事件之所以引起舆论的广泛关注，主要在于社会民众的同理心。他是个善良的人，因此选择在同学群里发出警告；他是个普通的人，有着当代社会的人情之常，畏惧公权力，怕惹祸（在接受财新采访中他谈到“司法途径恐怕很麻烦，我不想跟公安局找麻烦，我很怕麻烦”），担心医院处罚会影响工作晋升；他是个负责的医生，病前病后，念兹在兹的是本职工作。他符合一个当代社会好人、常人、敬业者的标准，民众的情绪正是感同身受的反应。从这个角度上讲，格式化的训诫书或许微不足道，我们对它的分析仅仅是一种法律专业上的较真，但这份法律文书作为整个事件的青萍之末，我们需要警惕，“勿以恶小而为之”。

“公无渡河，公竟渡河”，谨以此文缅怀DoctorLI，并向此时奋斗在一线的医疗工作者们致敬。

来源：狄城普法驿站

作者：陈新宇（清华大学法学院副教授、博士生导师）

链接：http://t.cn/A6hyPSBg

编辑：宋婷

刘海明

【案例】

从李文亮医师到吹哨者保护法

新型冠状病毒肺炎疫情“吹哨人”之一李文亮医师于2020年2月7日凌晨2点58分不幸去世，年仅34岁。

2019年12月30日，李文亮在微信群里发布消息称：华南市场确诊了7例SARS！然后他补充道，是“冠状病毒感染确定了，正在进行病毒分型”。2020年1月1日，他成为武汉警方传唤的8名造谣者之一，1月3日，他被警方训诫。2020年1月10日中午开始，李文亮医师在接诊过程中出现了咳嗽、发烧等症状，2月1日被确诊为新型冠状病毒肺炎，直至2月7日去世。

1月28日，最高人民法院为武汉8位“吹哨人”平反，最高院表示：只要信息基本属实，发布者、传播者主观上并无恶意，行为客观上并未造成严重的危害，我们对这样的“虚假信息”理应保持宽容态度。

所谓的whistleblower最早源自英国，是指警察在发现有案件发生时，吹响哨子以引起他人的注意。关于whistleblower的翻译有很多，包括正面的“吹哨人”、中性的“举报者”、负面的“告密者”等等。现在，whistleblower指代对组织内部的腐败、欺诈等非法或有害行为进行揭发的组织成员。英美法系国家几乎都有关于保护“吹哨人”的法律，日本也有《公益通报者保护法》等。本文以美国的《吹哨者保护法》（whistleblower protection act）为例，对该制度进行说明。同时，我也在想，如果中国有类似的法律，我们是不是就能够防止现在在武汉蔓延的疫情，李文亮医师是不是可以依然以普通人的身份过着普通人的生活。

美国历来就有保护“吹哨者”的传统，其法律渊源可以上溯至1778年通过的一项联邦法律。该法律是为了回应1777年的一桩案件，该案中有10名水手提交了一份请愿书，声称他们在政治上有联系的海军上将折磨了英国囚犯。美国宪法第一修正案的言论自由条款也为保护“吹哨者”提供了法律基础。1989年制定的《吹哨者保护法》旨在保护雇员免于因自愿披露有关组织中发生的不诚实或非法活动的信息而被报复。该雇员可以是在各级政府（但不包括军队、CIA、FBI等）或各种私人部门工作的人员，其雇主的范围较广。

根据《吹哨者保护法》，雇员可以向特别法律顾问办公室（OSC）报告不当行为。该法案认为的不当行为包括：

• 违反法律、法规或规章；
• 严重的管理不善；
• 严重的资金浪费；
• 滥用职权；以及
• 对公共健康或安全的重大和特定威胁。
  
  

OSC不会自行调查该报告；而只是进行形式审查，以确定发生不当行为的可能性。如果OSC认为存在可能性，则会将报告移交给相应的监管机构进行进一步的调查。负责调查的机构必须进行调查并在60天内向OSC报告。该法案还规定，以吹哨者身份进行披露然后受到报复行为的雇员可以向OSC报告涉嫌报复的行为。

将目光返回我国，李文亮医师于12月30日在微信群发布信息是一名医生对于扩散中的传染病进行的评论、预警，由医生来讨论疾病，这是再正当不过的行为。但这一行为却被压制。在采访中，李文亮医师透露“1月3日，他们打电话叫我去派出所签《训诫书》，以前也没和警察打过交道，我当时也很担心，不签的话怕不能脱身，……当时压力比较大，担心医院处罚，影响以后工作晋升之类的。”

现在回头看，在8名“吹哨人”被警方训诫，疫情消息被隐瞒后，是有很多人知道实情的。但是由于上级下达了统一的封口命令，如果有人违背命令将疫情信息向社会公开，一定也会有像李文亮医师那样的担心，并且还可能因为泄密等被刑事起诉。因此，在国家利益与上级命令冲突时，类似《吹哨者保护法》的法律可以鼓励人们揭发不当行为，并为揭发者提供法律保护。

我国目前也有一些零散的、未上升到法律层面的规定，例如《关于保护、奖励职务犯罪举报人的若干规定》，但这些规定的目的与保护吹哨者不完全一致。如何防止李文亮医师的悲剧再次发生，是我们在悲痛和愤怒之后需要理性思考的问题。

当然，因为其带来的伦理问题，“吹哨人”制度也存在一定的争议。爱德华斯诺登向全世界公开了美国政府的很多机密情报，使得全世界了解到美国政府的内部运作，这一行为的正面和负面效应仍然在被广泛讨论。

作者：邓超律师（tmtlvshi）

原文链接：https://mp.weixin.qq.com/s/ID1zL85fw4oYqd97ffi9iQ

编辑：董莉

刘海明

【案例】

根据《保守国家秘密法》《卫生工作国家秘密目录》和《政府信息公开条例》，传染病信息不仅不属于国家秘密，相反还应由政府主动公开。从逻辑上讲，对中央和省级两级卫生部门的授权，并不等于对非官方言论的禁止。可资佐证的是，全国人大常委会在对《突发事件应对法》草案进行二次审议时，就删除了其中惩罚媒体“违规擅自发布”突发事件信息的禁令，只规定不得编造或传播虚假信息。

编辑：董莉

刘海明

【案例】

重磅中译本  ITIF《关于美国数据隐私立法的最佳方案》报告发布

如需ITIF《关于美国数据隐私立法的最佳方案》中译本全文PDF版，请在本公号后台回复“数据法盟009”免费下载！

2019年初，美国权威科技创新智库信息技术与创新基金会[1]发布了《关于美国数据隐私立法的最佳方案（A Grand Bargain On DataPrivacy Legislation For America）》[2]（以下简称《报告》），介绍了美国现行的隐私保护架构，梳理了前期美国立法、行政部门内部及州层面关于隐私立法的相关提案，分析了隐私保护对消费者、企业、数字经济以及技术创新可能产生的影响。

《报告》提出的立法思路：

基于与对政策干预隐私保护的必要性、可行性的研究，《报告》呼吁建立一个创新型的隐私框架，通过一部统一的联邦层面的隐私立法，取代现有的、分散的隐私保护法律框架，扩展和简化消费者数据隐私权，降低现有州和联邦法规的合规成本，报告建议提高透明度和执法力度，建立明确的、基于数据和敏感性的美国隐私权，同时为更多数据驱动的创新铺平道路。

《报告》提出十项立法原则：

联邦隐私立法应当保护和促进创新；

保障不同州的消费者享有同等水平的保护；

为不同类型的数据创建一套统一的联邦保护措施，废除重复冲突的规则；

根据数据类型和收集数据的实体类型创建不同的数据保护规则；

提高商业实践透明度，使消费者就如何分享个人数据做出更明智的决策；

联邦隐私立法应当创设明确的消费者权利，包括“部分”知情同意权、拒绝权、获得权、可携带权等；

注重解决身份盗窃、歧视以及信用卡欺诈等具体危害，而非预设的危害；

尽量降低企业的合规成本；

加强执法，明确FTC为主要隐私执法机构，提供其更多资源和执法权；

促进国际互操作性，而非简单接受其他国家或地区的要求。

《报告》提出的具体立法建议：

《报告》进一步总结了各国现有立法、监管框架和政策提案中通常包含的30个隐私保护要点，同时比较了世界各国不同的法律和框架如何解决上述问题，在分析在美国背景的具体影响的基础上，针对每个要点提出立法建议如下：

要点

建议

范围

规则适用于所有类型的数据。

冲突规则

制定全面的联邦数据隐私法，限制州和地方政府通过可能会增加或减少这些规则的立法。

一致性

取消现有的联邦数据隐私法框架，并创建统一的联邦保护措施；确保特定部门的监管机构在现有水平之上应对这些变化并继续执行。

个人数据的定义

区分敏感和非敏感的个人数据。

去识别数据

豁免去识别数据。

公开数据

豁免公开数据。

涵盖实体的定义

将被覆盖实体提供的服务子集指定为“关键服务”，这些服务受更高标准和要求的约束，不再根据规模豁免组织。

同意方法

要求通知非关键服务中使用的非敏感个人数据。当组织提供收集非敏感个人数据的关键服务或收集敏感个人数据的非关键服务时，允许选择退出数据收集。当组织提供收集敏感个人数据的关键服务时，需要选择加入标准。

非基于同意的数据

为敏感和非敏感个人信息的收集、处理和使用创建特定的、非同意的例外。

透明度

包括透明度要求，并向消费者提供有关哪些类型的组织可以访问个人数据及其使用方式的信息。

访问权

包括考虑成本的有限访问权限。

数据可携带性

包括考虑成本的有限可携带权限。

更正权

包括对关键服务收集的敏感数据进行更正的有限权利。

删除权和被遗忘权

不包括删除权或被遗忘权。

数据留存

不包括数据留存限制。

跨境数据流通

不限制跨境数据流通。

隐私规则设计

不包括隐私设计规定。

隐私专员要求

不包括人员要求。

数据安全要求

不指定受保护实体如何保护信息，而是要求他们披露有关其安全实践的相关详细信息。

数据泄露通知

为所有消费者创建单一数据泄露通知标准，同时通过管辖州的冲突法来简化合规性。

数据最小化

不包括数据最小化条款。

目的规范

不包括目的规范条款。

管辖权

在域外扩大保护范围。

损害结果

重点关注实质性的消费者危害，而不是假设的危害。

监管

赋予FTC对隐私执法的管辖权，监管应权衡执行的成本。  

规则制定机构

规则制定机构为FTC提供有限的数据隐私规则制定权限。

处罚

扩大FTC对违反法律的公司的执法权威，采取审慎的方法。

隐私投诉

明确FTC作为负责接收和处理隐私投诉的联邦机构，并为其提供处理这些投诉所需的资源。

私人诉权

不包括私人诉权。

解析

在数字经济高度发达的今天，歧视、信息泄露、身份盗用及电信诈骗等问题频发，隐私保护的重要性已逐渐成为各国共识，同样达成共识的还有隐私保护与数据利用、技术创新之间的潜在矛盾。出于对数字经济发展的不同路径选择以及相关现实情况，各国对于隐私保护的方法和力度存在较大差异。

从近年来的立法趋势看，如何找到应用与保护、成本与信任之间的最佳平衡，成为各国政策制定者关注的焦点。《通用数据保护条例》（简称GDPR）生效后，欧盟先后发布《非个人隐私数据自由流通条例》（及近期的配套指南）《欧洲数据经济中的私营部门数据共享指南》等文件，反映其在隐私保护基础上鼓励数据流通、共享的政策导向；而出于对愈演愈烈的大规模数据泄露、滥用事件的应对，一向倡导采取分散立法的美国，国内对于出台隐私保护立法的声音也络绎不绝，继2月27日参议院提出《数据隐私法案》（DigitalAccountability and Transparency to Advance Privacy Act or theDATA Privacy Act）提案，4月11日又接连提出《隐私权利法案》（PrivacyBill of Rights Act）提案，此外部分州议会也纷纷针对人脸识别、秘密监听、泄露通知等隐私保护的关键对象、关键环节进行立法规制。

在此背景下，《报告》提出了一套极具“美国特色”的联邦隐私保护立法框架：

强调对创新和发展的保护，注重企业合规成本的控制

《报告》多次提及欧盟严格的隐私保护规则对在线新闻、互联网广告、云计算等产业发展的负面影响，强调当前互联网生态依赖广告收入进而需要利用部分消费者信息的现状，同时承袭了作者前期报告[3]的观点，认为过严的隐私政策并不会对消费者提供更高水平的保护。

提出一套更加灵活的数据利用规则

在上述原则的指引下，为更好的平衡数据利用和隐私保护，《报告》提出了一套新的基于数据类型和应用场景的“知情同意”规则，即将信息分为敏感、非敏感个人信息，同时将应用场景分为提供关键服务所需和非提供关键服务所需，对于不同场景下的数据利用采取不同程度的消费者授权要求，分别为事前知情同意、事后一键退出以及通知。

“同意规则”

提供关键服务所需

非提供关键服务所需

敏感个人信息

OPT-IN

OPT-OUT

非敏感个人信息

OPT-OUT

NOTICE

此外，建议稿摒弃了数据最小化和目的限制原则、不对数据的跨境流动作出限制，鼓励企业间的数据共享，同时否定了CCPA中禁止根据消费者授权向其提供不同质量的服务的做法，这无疑是为数据的流通和充分利用创造了更加自由的环境。

通过统一立法解决分散立法的弊病

事实上，美国特殊的国体和政体使得隐私规则在制定和执行方面困难重重，这种不确定性在一定程度上也阻碍了数字经济的发展。在这个层面，颁布统一的联邦隐私保护法的优势是显而易见的：能够为消费者提供公平的保护、提升政策透明度、降低企业合规成本。

为此，《报告》提出限制各州和地方政府制定额外的隐私立法，确保联邦立法的优先权，同时梳理当前的《公平信用报告法案》《健康保险流通与责任法案》《金融服务现代化法案》《儿童在线隐私保护法案》等相关立法，删除重复和冲突的规定，对于许多州已经颁布的数据泄露等相关规定，通过单一立法进行统一规定并优先适用。

明确执法机关，增加执法力度

最后，为应对当前此起彼伏的隐私侵权案件，规范市场正常的竞争秩序，《报告》提出应针对现存的身份盗用、欺诈、信用卡诈骗等对消费者造成实质性危害的问题进行严厉打击，具体措施包括进一步明确FTC为主要执法主体，进一步赋予其财政经费、执法权限等资源，同时授予其优先的政策制定权，作为单一机构处理隐私相关投诉。但在执法时仍需注意被执法主体成本的可控，体现了其对于执法效率和成本的优先考虑。

总体来看，《报告》总体承袭了美国长期的隐私保护框架，将产业发展和创新置于首要位置，赋予消费者较为有限的隐私权限，致力于为企业提供更加清晰、单一、透明的规则框架，保留消费者和企业在数据利用、隐私架构搭建方面的自主权，降低企业在隐私方面的强制性投入和成本，同时通过有力执法打击不当的数据滥用，以求通过最高效的方式助力美国数字经济的发展。

《报告》对于读者了解美国隐私保护体系及一种立法方向具有一定的参考价值，特附全文翻译。                                                                                

[1]2006年成立于华盛顿的非营利性研究机构，专注于制造业、信息通信业技术创新与公共政策。

[2]作者为ITIF高级政策分析师ALANMCQUINN及ITIF数据创新中心主任DANIEL CASTRO。

[3]两位作者曾发布《过度的隐私监管政策将影响隐私保护》报告。

作者简介：李雅文，中国信息通信研究院互联网法律研究中心研究员

原文链接: https://mp.weixin.qq.com/s/xEO9ERKJ9NrKzSkw-M0VCg

编辑：陈茗