本文為《草蛇灰線：從<個人信息保護法（草案）>看2021年幾個數據問題的發展和走向》第di二er篇pian。在zai上shang一yi篇pian，我wo們men分fen析xi了le數shu據ju跨kua境jing傳chuan輸shu和he新xin基ji建jian與yu數shu據ju安an全quan問wen題ti。本ben篇pian中zhong，我wo們men將jiang與yu您nin共gong同tong探tan討tao我wo國guo對dui人ren工gong智zhi能neng技ji術shu的de規gui製zhi體ti係xi以yi及ji個ge人ren信xin息xi保bao護hu的de行xing政zheng監jian管guan問wen題ti。

第二篇：人工智能與行政監管

一、 人工智能（AI）技術

1.   我國關於AI技術的法律規製體係

人工智能是2020年最熱門的話題之一。2020年新冠疫情的爆發催生了大量AI技術需求場景，而人臉識別技術更是借疫情防控的契機被廣泛應用。然而，正如我們曾在《發展與平衡：關於AI技術的觀察和思考》 一文中所表達的，由於涉及大量敏感乃至道德倫理問題，AI技術的發展和應用必然會帶來各種爭議甚至衝突
，而世界各國對於如何就此進行規製都仍在討論和探索中，尚未形成統一觀點。

我國對AI技術的研究和發展始終持鼓勵態度。早在1999年，《國務院關於下達<國家中長期科學技術發展綱領>的通知》（國發〔1992〕18號）中就提出，“要研究新一代計算機技術
，發展中文信息處理技術、人機界麵技術和人工智能技術。”2017年
，國務院發布《新一代人工智能發展規劃》（國發〔2017〕35號，“規劃”），將人工智能定位為“國際競爭的新焦點”、“引領未來的戰略性技術”
，提出“將人工智能發展放在國家戰略層麵係統布局、主動謀劃”
，“加快人工智能科技成果商業化應用”。規劃同時指出人工智能可能帶來“衝擊法律與社會倫理、侵犯個人隱私”等問題，“在大力發展人工智能的同時”，必須“加強人工智能相關法律、倫理和社會問題研究，建立保障人工智能健康發展的法律法規和倫理道德框架”，“確保人工智能安全

、可靠、可控發展”。根據規劃分三步走的戰略目標
，國家計劃在第二步，即到2025年，“初步建立人工智能法律法規
、倫理規範和政策體係，形成人工智能安全評估和管控能力”。

現實中，我國目前尚未製定專門針對AI技術的法律法規。基於目前現有相關法律法規、國家標準及其草案或征求意見稿，我國現階段及未來就AI技術涉及的數據問題，可能主要從四個維度予以規製
，即個人信息保護、知識產權、不正當競爭和反壟斷。本文僅從與數據相關的角度，就AI技術與個人信息保護、不正當競爭和反壟斷三個問題展開討論。

2. AI技術與個人信息保護

相較於具有強製力的法律
、行政法規
、部門規章等立法，我國更早在國家標準、技術規範層麵探討對AI技術應用的規製。例如
，《個人信息安全規範》《信息安全技術 個人信息安全影響評估指南（征求意見稿）》《信息安全技術 個人信息告知同意指南（征求意見稿）》等國家標準中都對此有所涉及。

在法律層麵，《民法典》首次嚐試對AI技術涉及的人格權問題進行規範，禁止利用深度偽造技術侵犯公民肖像權和聲音權[1]。

《個人信息保護法（草案）》未就AI技術對個人信息的影響做出係統化的專門規定，而主要就自動化決策和人臉識別技術涉及的個人信息保護事項做出規定。

對於自動化決策，《個人信息保護法（草案）》要求進行事前風險評估並對個人信息處理情況進行記錄；個人信息處理者應保證決策的透明度和處理結果的公平合理；個ge人ren認ren為wei自zi動dong化hua決jue策ce對dui其qi權quan益yi造zao成cheng重zhong大da影ying響xiang的de，有you權quan要yao求qiu個ge人ren信xin息xi處chu理li者zhe予yu以yi說shuo明ming


，並bing有you權quan拒ju絕jue個ge人ren信xin息xi處chu理li者zhe僅jin通tong過guo自zi動dong化hua決jue策ce的de方fang式shi作zuo出chu決jue定ding；通過自動化決策方式進行商業營銷
、信息推送，應當同時提供不針對其個人特征的選項[2]。上述規定基本上延續了《個人信息安全規範》關於自動決策所確立的原則。

關於人臉識別技術，2020年，因這一類AI技術引發的爭議事例頻發。南京售樓處使用人臉識別係統區分客源、東莞星級公廁“人臉識別”取廁紙等事件均引發社會熱議，有關地方主管部門也陸續采取措施，對相關事件展開調查並做出處理[3]；被稱為中國“人臉識別第一案”的郭兵訴杭州野生動物世界有限公司一案二審也於2020年12月在杭州市中級人民法院公開開庭審理[4]。

上述事件反映出目前關於人臉識別技術的爭議焦點主要集中在以下幾個方麵：其一是特定場景下收集人臉識別信息是否符合必要原則，個人信息處理者是否進行了事前的客觀評估和論證
；其二則是個人信息處理者對其處理人臉識別信息的規則是否向個人信息主體履行了充分告知義務
；其三
，對於處理人臉識別信息
，個人信息處理者是否取得個人信息主體的自願、明確同意，而不存在強製收集的情形。對於上述問題，盡管《個人信息安全規範》等國家標準曾提出相應要求，但由於其不具有強製執行力


，因此在實踐中對個人信息的保護力度有限。

《個人信息保護法（草案）》將人臉識別信息納入到敏感個人信息範疇中加以保護，對個人信息處理者的具體要求包括：僅當具有特定的目的和充分的必要性時，方可處理
；在處理前，應進行事前風險評估，向個人信息主體履行告知義務，包括處理敏感個人信息的必要性以及對個人的影響；基於個人同意處理人臉識別信息的
，應取得其單獨同意
；在處理過程中，還需對個人信息處理情況進行記錄
；此外，法律、行政法規規定應當取得相關行政許可或者作出更嚴格限製的，從其規定[5]。可以預見
，如果《個人信息保護法（草案）》的上述條款最終通過審議並實施，則較之《網絡安全法》《民法典》中zhong關guan於yu個ge人ren信xin息xi保bao護hu的de規gui定ding，個ge人ren信xin息xi處chu理li者zhe在zai處chu理li人ren臉lian識shi別bie信xin息xi時shi需xu要yao達da到dao的de標biao準zhun將jiang更geng為wei具ju化hua，相xiang關guan企qi業ye有you必bi要yao采cai取qu措cuo施shi落luo實shi法fa定ding義yi務wu。

此外
，2020年11月，全國信息安全標準化技術委員會還發布了《網絡安全標準實踐指南—人工智能倫理道德規範指引（征求意見稿v1.0-202011）》，針對可能產生的AI倫理道德問題
，給出了安全風險警示

，提出從失控性風險、社會性風險、侵權性風險、歧視性風險、責任性風險等五個角度對AI相關活動開展風險分析
，並提供了開展AI研究開發、設計製造
、部署應用等相關活動的規範指引，值得關注。

《個人信息保護法（草案）》關於人臉識別技術的另一條重要規定是第二十七條。該條款首次提出，在公共場所安裝圖像采集、個人身份識別設備，其目的應僅為維護公共安全所必需，所收集的個人圖像、個人身份特征信息隻能用於維護公共安全的目的，不得公開或者向他人提供；取得個人單獨同意或者法律、行政法規另有規定的除外。考慮到獲取個人單獨同意的可操作性有限
，這一規定可能會對零售業將人臉識別、個人身份識別設備用於識別客戶、統計客流、推廣營銷等用途造成較大影響
，並同時影響到從事相關技術、產品開發和服務的企業。

3. AI技術與不正當競爭

對於通過AI技術不當獲取或使用他人數據，目前在我國主要按不正當競爭行為處理。這裏所說的“數據”有別於上一節中討論的“個人信息”，主要指企業合法控製的數據，包括企業付出人力、物力、財力，經過長期經營積累而形成的數據資源以及在數據資源基礎上通過一定的算法形成的數據產品。

此類代表性案例包括“淘寶（中國）軟件有限公司訴安徽美景信息科技有限公司不正當競爭糾紛案”（2017~2019年）[6]和“深圳市騰訊計算機係統有限公司、騰訊科技（深圳）有限公司訴浙江搜道網絡技術有限公司、杭州聚客通科技有限公司不正當競爭糾紛案”（2019~2020年）[7]等。在上述案例中

，法院均對企業對於其合法開發的數據產品、積累聚集而形成的數據資源所享有的獨立的財產權益（主要為競爭權益）予以承認。但由於《反不正當競爭法》並未將此類行為列入具體的不正當競爭行為，因此目前法院通常僅能依據《反不正當競爭法》第二條的原則性規定對企業的數據財產權益加以保護。

我們注意到，在2020年10月9日發布的《上海市反不正當競爭條例（修訂草案）（征求意見稿）》中
，曾嚐試針對數據的競爭權益做出規定。該征求意見稿第二十一條規定：“經營者利用技術手段獲取其他經營者網絡數據的，不得違反相關法律法規和商業規則
、行業慣例。使用獲取的數據
，不得損害被獲取方的合法權益，不得擾亂公平競爭秩序。”根據其第三十八條
，違反該條例

，“不當獲取、使用其他經營者網絡數據，擾亂公平競爭秩序的”
，“監督檢查部門應當責令經營者停止違法行為，處十萬元以上五十萬元以下罰款；情節嚴重的，處五十萬元以上三百萬元以下罰款”。但在最終發布並於2021年1月1日生效的《上海市反不正當競爭條例》中，上述規定已被取消。對於利用技術手段不當獲取或使用他人數據的行為
，仍僅能依據總則部分的原則性規定進行規製。

此外，自2020年9月20日起，《最高人民法院關於審理侵犯商業秘密民事案件適用法律若幹問題的規定》正式實施。根據其第一條規定，與技術有關的算法、數據、計算機程序及其有關文檔等信息以及與經營活動有關的數據可認定為《反不正當競爭法》第九條第四款所稱的“技術信息”、“經營信息”，從而被納入商業秘密範疇。據此，企業對於其所控製的相關數據
，除可按照《反不正當競爭法》第二條的原則性規定主張競爭權益外，如果此類數據已被企業采取了相應保密措施、不為公眾所知悉且具有商業價值，則企業還可依據《反不正當競爭法》第九條關於商業秘密的規定維護自身權益。

4.  AI技術與反壟斷

隨著平台經濟的發展，平台經濟領域不斷出現“大數據殺熟”
、限定交易、拒絕交易等涉嫌壟斷行為

，已引起各國反壟斷執法機構高度關注。2020年，亞馬遜
、蘋果、臉書、穀歌等互聯網巨頭在全球多地頻遭反壟斷調查。

在國內，國家市場監督管理總局於2020年11月10日發布了《關於平台經濟領域的反壟斷指南（征求意見稿）》
，禁止具有競爭關係的平台經濟領域經營者利用數據和算法達成、實施壟斷協議
，或基於大數據和算法，對交易條件相同的交易相對人實施差別待遇，排除、限製市場競爭。

隨後
，國家市場監督管理總局於2020年12月24日對阿裏巴巴實施“二選一”等涉嫌壟斷行為立案調查；2021年1月對唯品會涉嫌“二選一”的不正當競爭行為立案調查，並於2月對唯品會作出行政處罰決定，處罰金額300萬元。2021年2月7日
，北京知識產權法院正式立案受理抖音訴騰訊壟斷糾紛案。同日，《國務院反壟斷委員會關於平台經濟領域的反壟斷指南》正式發布，上述征求意見稿中有關禁止壟斷協議、限定交易、“大數據殺熟”的規定開始實施，在《反不正當競爭法》《電子商務法》《消費者權益保護法》之外進一步加強對平台經濟的監管。

此外，根據全國人大常委會法工委2021年度立法工作計劃，全國人大常委會在2021年除將繼續審議《數據安全法》
、《個人信息保護法》外
，還將啟動修改《反壟斷法》。可以預見，互聯網平台企業在2021年將麵臨更加嚴格的監管和司法環境。

二
、 行政監管

1. 行政監管是最能有效監管、打擊涉個人信息違法行為的手段

隨著我國《民法典》出台，盡管個人信息並未如同隱私權被列為一種民事權利即人格權中的一種，但是《民法典》人格權編明確了個人信息權益受到保護
，並確立了信息處理者處理個人信息的基本原則（如告知處理個人信息的規則
、目的、方式等）
、個人信息主體所享有的權利以及信息處理者的義務。《民法典》係從民事角度給予個人信息權益方麵的保護
，但通常而言，個人難以感知信息技術處理個人信息是否存在違法性

，若非一些特定場合（比如個人信息泄漏、因個人信息泄漏導致欺詐事件），個人難以知曉自身個人信息權益受到了侵害，且個人提起民事訴訟耗費時間、精力成本以及麵臨的舉證難度較大。

因(yin)此(ci)，除(chu)了(le)達(da)到(dao)刑(xing)事(shi)犯(fan)罪(zui)程(cheng)度(du)由(you)國(guo)家(jia)公(gong)權(quan)力(li)機(ji)關(guan)提(ti)起(qi)控(kong)訴(su)外(wai)，個(ge)人(ren)訴(su)諸(zhu)行(xing)政(zheng)監(jian)管(guan)部(bu)門(men)調(tiao)查(zha)處(chu)罰(fa)信(xin)息(xi)處(chu)理(li)者(zhe)的(de)違(wei)法(fa)行(xing)為(wei)，以(yi)及(ji)行(xing)政(zheng)監(jian)管(guan)部(bu)門(men)依(yi)職(zhi)權(quan)主(zhu)動(dong)行(xing)使(shi)個(ge)人(ren)信(xin)息(xi)保(bao)護(hu)方(fang)麵(mian)的(de)監(jian)督(du)、管理和執法

，在實踐中成為打擊個人信息違法違規行為的最強有力手段之一。2020年，我國各有關主管行政機關仍繼續保持打擊涉個人信息違法行為的力度；有關個人信息保護的部門法立法活動活躍，有的行業領域如金融領域內的《中國人民銀行金融消費者權益保護實施辦法》係xi提ti升sheng原yuan來lai的de部bu門men規gui範fan效xiao力li層ceng級ji至zhi部bu門men規gui章zhang
，以yi此ci作zuo為wei主zhu管guan部bu門men實shi施shi行xing政zheng處chu罰fa的de法fa律lv依yi據ju，預yu示shi著zhe金jin融rong領ling域yu內nei包bao括kuo消xiao費fei者zhe個ge人ren信xin息xi權quan益yi在zai內nei的de消xiao費fei者zhe權quan益yi將jiang得de到dao更geng大da程cheng度du的de行xing政zheng執zhi法fa保bao護hu。

2.  《個人信息保護法（草案）》的規定如出台將可能大幅增加行政執法案件數量

《個人信息保護法（草案）》中就履行個人信息保護職責的部門專章作出規定
，規定了個人信息行政監管部門及其職責，規定任何組織

、個人有權對違法個人信息處理活動向履行個人信息保護職責的部門進行投訴、舉報。收到投訴、舉報的部門應當依法及時處理
，並將處理結果告知投訴
、舉報人[8]。如果該規定屆時出台，意味著行政監管部門除了主動執法外

，應個人投訴、舉報

，將更多地從事“被動”執法
，個人信息違法行為行政執法案件數量有可能呈上升趨勢。

3. 個人信息保護的多頭行政監管仍是未來的趨勢

作為網絡安全及信息保護的基本法
，《網絡安全法》第8條tiao奠dian定ding了le網wang絡luo安an全quan及ji個ge人ren信xin息xi保bao護hu方fang麵mian的de多duo頭tou監jian管guan製zhi度du，即ji國guo家jia網wang信xin部bu門men負fu責ze統tong籌chou協xie調tiao網wang絡luo安an全quan工gong作zuo和he相xiang關guan監jian督du管guan理li工gong作zuo，國guo務wu院yuan電dian信xin主zhu管guan部bu門men、公安部門和其他有關機關依照該法和有關法律
、行政法規的規定，在各自職責範圍內負責網絡安全保護和監督管理工作。

在2020年初《關於加強個人信息保護行政監管的提案》（以下稱“《行政監管提案》”
，詳情請參閱《天達共和數據合規資訊月報2020年第8期》 “熱點評述”）中
，我們就曾指出目前在數據監管領域因多頭監管導致出現交叉執法、空白執法現象
，不僅不利於保護公民權益，行政監管部門的公信力也因此受到負麵影響。《個人信息保護法（草案）》公布前，曾有消息稱《個人信息保護法》將確立統一負責個人信息保護、監督
、執法工作機構的原則。但從目前情況來看
，這一問題尚未在立法層麵得到解決：被業界稱為《網絡安全法》兩部支撐性法律之一的《個人信息保護法》，其草案延續了《網絡安全法》的多頭監管思路[9]；《網絡安全法》另一部支撐性法律即《數據安全法》的草案也規定了各有關部門在各自職責範圍內承擔數據安全的監管職責[10]。

因此
，目前立法狀態預示著我國未來在數據監管領域仍然是行政監管“九龍治水”格局。然而
，多頭監管之下，可能難免產生行政監管部門“打架”jingxiangxingshixingzhengjianguanguanxiaquandewenti。biru，mianxiangxiaofeizhexiaoshouchanpindeziyingdianshangpingtaiweifachulixiaofeizhegerenxinxi
，yingyoushichangjianduguanlijuhaishigongxinbuyuyichuli？jibian《個人信息保護法（草案）》的內容未來作為行政監管部門執法的法律依據，恐怕仍難以避免多個主管部門均享有行政監管職權、難以厘清誰有權實際行使處理個人信息違法行為的情況，因此
，如何設計不同行政監管部門的聯動機製，應為“和諧”處理個人信息違法行為的應有之義。

4. 《個人信息保護法（草案）》的執法機製

《個人信息保護法（草案）》就履行個人信息保護職責的部門履行其職責可采取的措施作出明確規定

，如詢問、調查/複製有關資料
、現場檢查，查封/扣押有關設備、物品等
；同tong時shi還hai規gui定ding了le約yue談tan機ji製zhi，即ji履lv行xing個ge人ren信xin息xi保bao護hu職zhi責ze的de部bu門men可ke依yi照zhao規gui定ding的de權quan限xian和he程cheng序xu對dui個ge人ren信xin息xi處chu理li者zhe的de法fa定ding代dai表biao人ren或huo主zhu要yao負fu責ze人ren進jin行xing約yue談tan[11]。

約談機製並非《個人信息保護法（草案）》所創新的一種機製

，我國有關行政監管部門已有開展約談的部門立法和執法實踐。《個人信息保護法（草案）》雖引入約談機製，但未明確約談的具體程序
、流(liu)程(cheng)和(he)要(yao)求(qiu)，對(dui)於(yu)無(wu)相(xiang)關(guan)部(bu)門(men)立(li)法(fa)的(de)履(lv)行(xing)個(ge)人(ren)信(xin)息(xi)保(bao)護(hu)職(zhi)責(ze)的(de)行(xing)政(zheng)監(jian)管(guan)部(bu)門(men)而(er)言(yan)，需(xu)要(yao)製(zhi)定(ding)相(xiang)應(ying)的(de)部(bu)門(men)規(gui)範(fan)性(xing)文(wen)件(jian)以(yi)確(que)保(bao)執(zhi)行(xing)。我(wo)們(men)不(bu)排(pai)除(chu)未(wei)來(lai)有(you)關(guan)行(xing)政(zheng)監(jian)管(guan)部(bu)門(men)可(ke)能(neng)修(xiu)改(gai)有(you)關(guan)部(bu)門(men)立(li)法(fa)以(yi)確(que)保(bao)與(yu)《個人信息保護法》相協調的情形。

針(zhen)對(dui)個(ge)人(ren)信(xin)息(xi)違(wei)法(fa)行(xing)為(wei)的(de)執(zhi)法(fa)機(ji)製(zhi)的(de)明(ming)確(que)和(he)未(wei)來(lai)的(de)進(jin)一(yi)步(bu)深(shen)化(hua)，使(shi)得(de)企(qi)業(ye)未(wei)來(lai)將(jiang)麵(mian)臨(lin)更(geng)加(jia)密(mi)集(ji)的(de)個(ge)人(ren)信(xin)息(xi)行(xing)政(zheng)監(jian)管(guan)，企(qi)業(ye)隻(zhi)有(you)確(que)保(bao)業(ye)務(wu)運(yun)營(ying)相(xiang)關(guan)的(de)個(ge)人(ren)信(xin)息(xi)處(chu)理(li)合(he)法(fa)合(he)規(gui)
，才(cai)能(neng)順(shun)暢(chang)地(di)開(kai)展(zhan)業(ye)務(wu)。

5. 個人信息行政監管的執法依據

根據《個人信息保護法（草案）》
，xianshanggerenxinxidebaohuyanshenzhixianxia，zuoweixingzhengjianguanbumendezhifayiju
，qijiangweigerenxinxibaohudexingzhengjianguan，baokuoxingzhengzhifa，dailaishenyuandeyingxiang，jijiangtianbugerenxinxibaohuxingzhengjianguanzhifayijucunzaimouxiequeshideqingkuang。

我國目前對於個人信息保護的行政監管執法主要依據為《網絡安全法》及《網絡安全法》實施之前及之後一些行業部門領域的行政法規或部門規章。《網絡安全法》主要規製網絡運營者處理個人信息的行為
，對於非網絡運營者等線下場景非法處理個人信息的情形
，有關主管部門無法援引《網絡安全法》而僅能援引其所在行業領域的部門法（行政法規或部門規章）
，而有些行業領域的行政法規、部門規章僅針對個人信息保護及行政監管作出原則性的規製



，對個人信息的保護規定不夠詳細具體。

未來《個人信息保護法》出台，其作為各行政監管部門執法的法律依據，線上線下的個人信息違法行為均可根據《個人信息保護法》納入監管
，對於線上和線下場景的違法行為執法活動將起到統一監管尺度的作用。

6. 個人信息違法成本大幅提高將促進企業合規意識增強

《個人信息保護法（草案）》jianggerenxinxiweifaxingweidexingzhengchufashangxiantishengdaoqiyewuqianwanyuanyixiahuozheshangyinianduyingyeebaifenzhiwuyixiafakuan
，zhijiefuzedezhuguanrenyuanheqitazhijiezerenrenyuanchuzuigaoyibaiwanyuanyixiafakuan。qie，weifangaifadeweifaxingwei，yizhaoyouguanfalv、行政法規的規定記入信用檔案，並予以公示[12]。

行政處罰力度的增強，將大大提高企業的違規違法成本。一旦行政監管機構開出“天價”罰單，嚴重的違規成本將大為增強企業開展個人信息保護方麵的合規意識
，企業將不得不從法律、合規、技術等層麵考慮如何提升
、加強對個人信息的保護。

******

下一篇我們將討論數據權利歸屬與公共數據相關問題
，敬請期待。

******

注釋：

[1] 《民法典》第一千零一十九條、第一千零二十三條

[2] 《個人信息保護法（草案）》第二十五條、第五十四條

[3] 詳見https://mp.weixin.qq.com/s/Txea80NCr1XUIAb1ei5dZQ、https://mp.weixin.qq.com/s/VlzWU-wZLVtbOa0BTbx0GA

[4] 詳見https://m.mp.oeeee.com/a/BAAFRD000020201229405908.html?layer=2&share=chat&isndappinstalled=0&wxuid=ogVRcdFbaIOVF0aYajIuvLEGBgIc&wxsalt=cd0607

[5] 《個人信息保護法（草案）》第二章第二節、第五十四條

[6] 本案一審判決詳見杭州鐵路運輸法院（2017）浙8601民初4034號《民事判決書》；二審判決詳見浙江省杭州市中級人民法院（2018）浙01民終7312號《民事判決書》；再審裁定詳見浙江省高級人民法院（2019）浙民申1209號《民事裁定書》。

[7] 本案一審判決詳見杭州鐵路運輸法院（2019）浙8601民初1987號《民事判決書》；二審裁定詳見浙江省杭州市中級人民法院（2020）浙01民終5889號《民事裁定書》。

[8] 《個人信息保護法（草案）》第六十一條

[9] 《個人信息保護法（草案）》第五十六條

[10] 《數據安全法（草案）》第六條、第七條

[11] 《個人信息保護法（草案）》第五十九條
、第六十條

[12] 《個人信息保護法（草案）》第六十二條、第六十三條