算法技术反噬治理的域外经验

——以算法推荐为例

　　算法推荐推动信息定制消费。例如，抖音、今日头条等通过算法精准匹配，实现信息个性化推荐。与此同时，使用时，用户的年龄、性别、地理位置等个人信息，被算法平台所收集。用户对算法公开访问同意，随之被算法全方位监视。因此，算法推荐除有商业价值外，也存在技术反噬风险。

　　算法推荐实现信息的智能传递，也出现反噬风险。个人信息被技术权力过度财产化时，容易造成自然人权益与技术权力之间的持续不平等。即一方面是算法全天候的监控，另一方面是个人信息可能被滥用。

　　算法技术反噬的法律应对

　　随着科学技术的迅速发展，计算机处理数据优势日益明显。与此同时，民众担心数据的大量使用可能出现风险，如个人信息滥用可能导致公民权利受侵蚀。

　　近年来，随着个人数据大规模跨境流通，亟须法律协调隐私保护与数据流通。1995年，欧盟通过《数据保护指令》规定，除非经欧盟委员会的标准测试，否则不得将个人数据传输到第三国。2001年，韩国制定的《网络利用和数据保护法》明确政府要制定政策以促进企业采取措施保护个人数据。2003年，日本颁布《个人信息保护法》明确了企业收集、使用、披露个人数据的标准。2010年，土耳其修改宪法，赋予个人保护其个人数据有关的权利，对个人数据的同意使用、使用限制、访问与更正等进行了规定。

　　大数据时代，通过网络联结固定或移动设备实现全球访问，改变了个人数据价值。通信媒体从模拟技术向数字技术转变，推动存储和共享个人数据（尤其是图片、声音、视频）能力提高。卫星、电缆和光纤的快速发展，让数据传输能力不断增强。因此，个人数据成为企业的核心资产，也影响着社会安全。

　　新技术带来了新商业模式。个人数据在人力资源、金融服务、电子商务、公共安全等领域，已成为电子数据流通不可或缺的部分。数据规模扩大与无限期的存储，让个人信息保护风险日益增长。个人数据经济价值不断增长，引起个人数据安全、日常全程监视等有关担忧。如何平衡个人信息保护与数据流通，是当今世界各国立法面对的一个挑战。为此，世界各国进行了不同探索。

　　比如在概念界定中，《欧盟通用数据保护条例》第四条规定，个人信息是指任何已识别或可识别自然人的相关信息。可识别是指可以直接或间接识别自然人，例如结合姓名、位置等或依据特定身份特征、生理特征、遗传特征等。日本《个人信息保护法》第二条以列举方式对个人信息保护范围进行了明确，即包含描述个人信息（例如姓名、出生日期或者其他描述）、个人识别代码、需要考虑的个人信息（如种族、病史、犯罪史等）、个人信息数据库等。可见，可识别是个人信息法律概念内涵的核心要素。

　　再比如在个人信息保护范围方面，《欧盟通用数据保护条例》第九条规定，可识别的个人信息包括自然人的基因数据或生物识别数据；健康数据或自然人性取向数据。同时，该条例规定例外情形，例如数据主体已明示同意或履行义务的、为保护数据主体或其他自然人切身利益的、在数据主体或法律上无法同意的情形等。日本《个人信息保护法》第三条明确，应在尊重个人原则下慎重处理个人信息。处理个人信息的运营商应遵守法定义务等。

　　算法技术反噬的治理

　　算法时代，算法信任至关重要。用户对算法技术的可靠性和安全性保持信任，组织（公共或私人部门）才能维持新技术带来的利益。当算法技术出现反噬效应时（如无法了解或控制某个组织使用个人数据），用户可能会重新考虑与该组织关系。因此，应构建长效机制以维持这种信任。

　　有的国家和地区注重通过内部治理来保护个人信息。如新西兰《隐私法》要求公共部门和私营部门应任命隐私官。美国要求联邦机构设置首席隐私官或隐私权高级保护专员。《欧盟通用数据保护条例》规定，个人数据控制者与处理者都应设专职数据保护官；个人数据的控制者与处理者，应确保数据保护官能及时介入与个人数据保护有关的所有问题，并支持其履行职能及不得因执行任务被解雇或处罚。日本《个人信息保护法》第五十一条、五十二条、五十三条规定了个人信息保护认证组织的职责，第五十四条规定，除提供认证服务外，个人信息保护认证组织不得将在认证过程中获取的信息用于其他目的。

　　有的国家和地区在法律上设定了一系列约束业务行为的规定。例如，日本《个人信息保护法》规定，个人信息业务经营者需明确说明利用个人信息的使用目的；不得以欺诈手段或其他不正当手段获取个人信息等。《欧盟通用数据保护条例》第五条规定了个人数据处理的原则以及司法救济条款，明确数据主体可以委托公益组织代其向法院请求赔偿权利。有的国家和地区还设立专门保护机构，负责监督数据处理行为。例如，日本政府成立个人信息保护委员会承担上述职责。

　　算法技术进步以及组织业务模式变化，单一个人信息传输变成个人数据流通。无论是组织的不当处理，还是新技术产生安全威胁，个人信息比以往都需要法律保护。数据跨境流通给法律管辖权与监管带来不确定风险。法律领域内，传统隐私保护制度面临新技术挑战；法律制度需同时考虑个人信息安全和数据经济增长可能受到的威胁。

　　（作者单位：华东政法大学法律学院）