【專訪】歐盟祭出最嚴數據保護法 對中國有什麼啟示？
歐盟旗幟。圖片來源：視覺中國
人工智慧產業發展依靠數據，而數據作為一種新型“產權”也給法律提出了挑戰。
5月25日，歐盟《數據保護通用條例》（General Data Protection Regulation，GDPR）將正式生效。這項被部分學者譽為數據保護領域“哥白尼革命”的立法，不僅詳細規定了數據控制者（data controller）收集和處理個人信息時的法律義務，更在智能化時代給數據所有者（data subject）創造了新的法律權利，如數據訪問權、被遺忘權、數據可攜帶權、不接受自動化決策權等，這些都會在學界和業內產生重大影響。
一方面，歐盟希望通過GDPR加強對個人數據權的保護，捍衛以人為本的價值觀；另一方面，歐盟並不甘心將機會拱手讓人。例如，在GDPR有關跨境數據轉移的內容上可以看到，歐盟提供了各種創新機制來提高數據流動的靈活性，以促進歐盟人工智慧等行業發展。
近日，界面新聞記者分別採訪了上海交通大學法學院副教授何淵、騰訊研究院高級研究員曹建峰和美國保爾森基金會智庫研究員Matt Sheehan，他們就GDPR對中國的影響、GDPR扼制還是促進創新，以及中國在數據保護立法方面的現狀等問題表達了自己的看法。
界面：GDPR有什麼重大意義？它對中國的數據保護有哪些啟示？
曹建峰：GDPR作為歐盟各方長達四年談判和妥協和結果，徹底革新了1995年出台的《數據保護指令》，是歐盟數字單一市場一系列舉措的核心組成部分。GDPR一方面加強個人對其個人數據的控制，另一方面在歐盟內部市場營造一個自由、公平的競爭環境，推動歐盟互聯網企業發展壯大。隨著機器學習成為一項通用技術，數據成為一項核心資產，大企業與中小企業的數據壁壘日益突出，促進數據流動和共享於是成為包括歐盟GDPR（通過數據可攜帶權）及促進非個人數據自由流動條例等在內的相關法案的核心目的。
對於中國企業而言，由於GDPR的域外管轄效力，中國互聯網企業向歐盟民眾提供商品或服務，或者追蹤歐盟民眾的網路行為的，需要受其約束，不論是否在歐盟設立分公司。
何淵：GDPR是全球第一部以正式法典形式出現的個人數據保護條例。其強化了數據主體的權利，明確了數據控制者和處理者的義務，簡化了跨國公司的合規程序。多年來歐盟一直致力於建立“行業行為準則+法律強制性規範”的雙重規範體系，及“數據控制者自律+政府數據監管機構的監督管理”的雙重管理體系。同時，歐盟注重“個人數據權利保護”與“個人數據自由流通”之間的平衡，特彆強調個人數據的自由流通不得因為在個人數據處理過程中保護自然人權利而被限制或禁止。最新公布的《歐盟企業間數據共享報告》顯示，嚴格的數據權利保護並沒有實質性影響規模化和商業化的數據共享，我認為歐盟在用柔性策略平衡數據共享中的價值衝突。
我認為GDPR對中國有以下幾點啟示：
首先，單一的數據保護立法有利於統一市場的建設。差異化和不協調的數據保護方案和執法機制不僅影響到公民基本數據權利的保護效果，也會阻礙數據的自由流通，而且使得企業在開拓市場時面臨著很大的法律不確定性，增加企業的守法成本和合規風險。
其次，從基本權利和自由的角度來規範數據控制者的數據處理行為並保護個人權益，這是世界上普遍性接受的規則。而在人工智慧時代，有必要實現從個人隱私保護到個人數據保護的轉變。隱私保護主要在於防範他人或公權力干預個人的私生活，保障生活的安寧；但由於大數據的爆炸性增長和雲計算能力的指數級進步，每個人都變成了“透明人”，並深陷於一個巨大的“黑箱社會”之中。隱私的概念在人工智慧時代面臨著迭代更新，強調數據主體有效控制權的“個人數據”概念應運而生。
最後，強調公法救濟機制的重要性。該條例強制要求歐盟各國建立獨立的數據監管機構以及數據主體向監管機構投訴、受理及處理的一整套完備行政救濟制度框架。對於人工智慧時代的數據保護，並非依賴私法權利體系及個人的司法救濟來實現。
界面：今年3月，歐盟委員會內部智庫——歐盟政治戰略中心（European Political Strategy Centre）發布了一份關於歐盟人工智慧發展戰略的報告。 報告稱，與很多業內公司所認為的不同，GDPR可以促進人工智慧領域的創新，而不是扼制創新。您怎麼看？
Matt Sheehan: 如果全球互聯網用戶對自己的隱私更加關注，或者使用技術的程度和相關數據法規的嚴格程度成正比的話，那麼GDPR對創新是有促進作用的。但是目前證據顯示用戶不會因為對隱私的擔憂而改變他們的行為。即使是在Facebook被劍橋分析醜聞重創的時候，它的收入和用戶也還在攀升。也許在將來GDPR會對這些（在隱私保護方面有重大缺陷的）公司造成更大的影響——或對遵守法規的公司發揮積極作用——但是到目前為止我們還沒有看到有證據證明這一點。當然不是說GDPR是件壞事——從倫理角度看它可能是一件極好的事情。但是如果用戶信息和活動是創新根源的話，那現在可能還不能得出GDPR促進創新的結論。
曹建峰：對於GDPR究竟是促進創新和競爭還是抑制創新，人們分歧很大。有人認為，GDPR有助於在美國矽谷科技企業和歐盟本土企業之間營造公平競爭的環境，尤其是數據可攜帶權有助於彌合大企業（主要是矽谷巨頭）和中小企業（主要是歐盟本土企業）之間的數據鴻溝，所以能夠促進創新。也有人認為，GDPR創設的較高合規門檻無形中製造了市場障礙，反倒給美國企業帶來了競爭優勢。
當然，如果我們考察矽谷互聯網創新的成功，可以發現法律制度在其中起了重大作用，適度的網路版權保護、平台責任以及隱私保護等法律制度選擇給矽谷創新和崛起提供了絕好的土壤。GDPR的目的是從人權角度保護個人數據權利，但其對競爭和創新所可能產生的效果值得深入研究。畢竟技術創新才是推動人類社會進步的核心力量。
界面：關於中國數據保護的現狀，國際上有很多不同聲音。歐盟政治戰略中心在今年3月的報告中稱：“收集和處理數據越容易，公司發展AI的成本就越低，但是中國模式既不理想，也不可取。因為長遠來看成功的科技進步根本上都是以個人權利增長為中心的。長期來看，不關心科技給公民福祉帶來影響的國家就不可能獲得數字繁榮。”您怎麼看？
Matt Sheehan：在美國和歐洲關於中國數據和人工智慧的討論經常聚焦於數據使用的法律框架，但是這樣的關注遺漏了一個重點：即比起相對寬鬆的法律環境來說，中國主要的數據優勢是數據本身的豐富性。和美國人比起來，中國人更傾向於在日常生活中使用手機應用做各種事情：在商店付款，騎共享單車，直播，叫外賣，預約醫生等。當然對於怎樣使用收集來的這些數據，法律限制確實很重要。但是即使中國的騰訊和美國的Facebook處在一樣的限制條件下，騰訊還是有比較明顯的優勢的，因為用戶使用騰訊應用所進行活動的多樣性明顯高於Facebook。
何淵: 歐盟報告對中國模式的總結是錯誤的。事實上，中國的數據保護模式跟歐美並沒有本質區別，只是發展階段和實現機制有所不同。中國的數據相關立法也是建構在個人基本權利和自由的基礎上，而強調科技給公民的福祉以及突出公共利益的實現，本身就是新時代社會主義立法的特色和優勢之所在。
全國人大早在2003年就提出了制定“個人數據保護法”；2009年刑法修正案增設了“侵犯公民個人信息罪”；2013年的《消費者權益保護法》增加了對消費者個人信息保護的內容；而2016年的《網路安全法》則明確了數據控制者和處理者的法定義務，以保障網路安全以及保護數據主體的合法權益；最高檢和最高法出台的司法解釋《關於侵犯公民個人信息刑事案件解釋》更是明確了“個人信息”、“違反國家有關規定”、“提供公民個人信息”及“情節嚴重”等不確定概念；而2017年的推薦性國家標準《個人信息安全規範》更是從信息權利保護的角度全面規定了個人信息的收集、保存、使用以及委託處理、共享、轉讓及公開披露等內容。
由此看來，中國模式注重個人數據權益的保護。與歐盟相比，中國的路徑有兩個特色：
其一，提倡試驗性治理模式，“摸著石頭過河”。由於人工智慧時代的不確定性和變動性，中國希望構建一種試驗主義的治理模式，建立的是臨時性的數據保護框架，並且根據不同環境下執行效果的遞歸評估而不斷對這些框架加以深化並修正。這也是中國為何遲遲不出台強制性硬法《個人信息保護法》，而僅僅制定軟法性質的指導性國家標準《個人信息安全規範》的主要原因。
其二，強調數據權利等個人利益與數據流通、共享及利用等公共利益的平衡，具體體現為平台企業的自律性規制與國家的強制性規制相結合的合作治理。未來的中國模式必然是一個以多元、開放、分享為基本特徵的整體性體系，市場、社會及國家這三種治理機制循環往複，時而正向運動，時而反向運動，同時還包括國家內部的立法與行政、中央與地方之間的雙向自循環系統，共同形成一個整體的四重雙向治理生態。
