ARTICLES
专业文章
新基建主题系列——机器学习行业如何避免个人信息合规风险？
新基建主题系列——机器学习行业如何避免个人信息合规风险？
人工智能产业是新基建的重要领域之一。人工智能的三大要素是算法、算力和数据。数据可谓新基建的基础。没有数据，再多的算力和再好的算法，也不能让人工智能实现落地。海量数据的采集与标注，是训练人工智能的必要工具。在目前人工智能发展阶段，算力和算法发展水平趋同，而质与量兼得的AI数据却十分缺乏。由此，专注于高质量海量数据采集与标注的企业，便成为新基建破局的重要一环。笔者在为全球顶尖的数据采集与标注企业提供合规服务的同时，将部分心得写成文，抛砖引玉。
2020年是我国工信部发布的《促进新一代人工智能产业发展a三年行动计划（2018－2020年）》的最后一年。近年来，我国在智能网联汽车、智能服务机器人、智能无人机、医疗影像辅助诊断系统、视频图像身份识别系统、智能语音交互系统、智能翻译系统、智能家居产品领域持续发力突破。这些智能产品的研发，无不涉及到人工智能（AI）的深度学习，而这种学习离不开数据训练，包括海量个人信息的采集。此外，近年来，随着互联网技术与智能移动端的不断发展，数字新媒体（TMT）领域也出现了许多新兴业态，比如：短视频+直播等，而这些业态所产生的UGC也涉及海量的个人信息。
技术在日新月异地发展，而相对应的法律法规散乱滞后。好消息是，2019年12月20日,全国人大常委会法工委表示2020年会制定个人信息保护法、数据安全法等。2020年1月1日起实施的《网络音视频信息服务管理规定》首次将利用"深度学习（deep learning）"、"虚拟现实（virtual reality, VR）"等新技术制作、发布、传播新闻信息的行为纳入规范。2020年3月6日，国家市场监督管理总局、国家标准化管理委员会联合发布《GB/T35273-2020信息安全技术个人信息安全规范》国家标准（2020年10月1日实施，下称《2020版规范》），替代此之前GB/T35273-2017版。由此，已经可以预见2020年对于个人信息保护、数据安全的合规调整与进阶将是重要的一年。
在此背景下，笔者在本文探讨我国目前相关法律规定与监管趋势，并对AI和TMT领域的企业如何避免个人信息相关合规风险提出一些建议。
一、我国目前个人信息保护方面的主要规定与监管趋势
我国目前个人信息保护方面的法律法规，散见于各法律法规、规章及标准，已经明确对个人信息的保护提供了原则性、纲领性的规定。目前的主要规定及所涉的重点内容以表格形式简述如下：
|
法律法规 |
相关内容 |
备注 |
|
《刑法》及其修正案（九）（2015年11月1日实施） |
将"出售、非法提供公民个人信息罪"和"非法获取公民个人信息罪"整合为"侵犯公民个人信息罪"。 |
|
|
《民法总则》（2017年10月1日实施） |
从民事基本法层面明确规定了"自然人的个人信息受法律保护"的法律原则[1]。 |
|
|
《网络安全法》（2017年6月1日实施） |
|
|
|
《App违法违规收集使用个人信息行为认定方法》（2017年6月1日实施） |
对"未公开收集使用规则"、"未明示收集使用个人信息的目的、方式和范围"、"未经用户同意收集使用个人信息"、"违反必要原则，收集与其提供的服务无关的个人信息"、 "未经同意向他人提供个人信息"和"未按法律规定提供删除或更正个人信息功能"或"未公布投诉、举报方式等信息"的具体认定情形进行了列举。 |
虽然这个认定方法是针对App，但是，笔者认为实际上对于其他网络平台、其他任何涉及收集使用个人信息的企业都具有较大的参考意义 |
|
《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（2017年6月1日） |
|
|
|
《儿童个人信息网络保护规定》（2019年10月1日实施） |
|
|
|
以下为相关征求意见稿和国家标准 |
||
|
2017年8月《信息安全技术 数据出境安全评估指南》 |
虽然左边所列征求意见稿和国家标准不具有强制力，但是对于涉及收集、使用个人信息的企业而言，无疑是避免合规风险的重要参考依据；而且，如果发生争议进入司法程序，有理由相信国家标准会成为司法机构在个人信息方面的定案参考依据，因此，对于收集、使用个人信息的企业需要引起足够的重视。 |
|
|
《GB/T 35273-2017信息安全技术个人信息安全规范》（已被《2020版规范》替代） |
||
|
2017年8月《信息安全技术个人信息去标识化指南》（征求意见稿） |
||
|
2018年6月《信息安全技术个人信息安全影响评估指南》（征求意见稿） |
||
|
2019年4月《互联网个人信息安全保护指南》 |
||
|
2019年5月《数据安全管理办法（征求意见稿）》 |
||
|
2019年6月《信息安全技术个人信息安全工程指南》（征求意见稿） |
||
|
2019年6月《个人信息出境安全评估办法》（征求意见稿） |
||
|
2019年6月《网络安全实践指南——移动互联网应用基本业务功能必要信息规范》 |
||
|
2019年10月《信息安全技术 移动互联网应用程序（App）收集个人信息基本规范》（草案） |
||
|
2020年3月的《信息安全技术个人信息安全规范》（GB/T35273-2020，2020年10月1日实施） |
||
虽然在具体的、具有强制性的规范方面我国尚处于持续完善的过程中，但自2017年起，尤其是2019年以来，我国已经出台许多个人信息保护方面的征求意见稿和《信息安全技术个人信息安全规范》等系列国家标准。2019年，中共中央网络安全和信息化委员会办公室、工业和信息化部、公安部和国家市场监督管理总局还曾联合发文，之后将对强制授权、过度索权、超范围收集个人信息等违法违规使用个人信息的问题进行了专项治理。从上述各项规定的实施时间、征求意见时间和频率等来看，均反映出了我国对于个人信息保护的日趋重视和监管力度的逐步加强。
二、AI和TMT企业如何避免个人信息合规风险
由于《网络安全法》适用对象的扩大，AI和TMT领域的企业由于其行业服务的性质使然，都不可避免地涉及个人信息的收集与使用。比如，AI领域的数据服务类企业，有可能通过网络进行海量数据采集，并对所采集的数据进行标注，而后向其客户提供经过标注的海量数据，而这些数据很可能就包括了个人的性别、出生日期、身份证件号码、人脸图像、语音等个人信息。TMT领域诸如提供短视频、直播服务的平台企业，由于存在海量UGC，更是不可避免需要关注如何在收集与使用数据中保护用户个人信息。
个人信息的泄露可能给个人带来重大的困扰甚至人身、财产上的重大损失，如果企业无法做好个人信息保护，根据情节的严重程度，将会面临行政处罚、民事和刑事责任。
从目前的趋势来看，2020年后，我国对于个人信息保护的相关配套规定、实施细则等将会逐步加快出台。对于与个人信息密切相关的AI和TMT企业，结合笔者的实践经验，我们建议企业应当尽早完善个人信息保护的内部政策并采取落实相对应的措施，主要涉及以下几个方面：
|
|
政策与措施 |
具体建议与内容 |
|
1 |
优化企业所公示的隐私政策 |
|
|
2 |
获得个人的明确的、知情同意的授权 |
|
|
3
|
完善个人信息数据管理
|
|
|
4 |
个人信息的脱敏处理（尤其对于涉及个人信息提供业务的企业） |
|
|
|
个人生物识别信息（个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等）的特殊合规 |
|
|
6 |
个人敏感信息的特殊合规 |
|
AI技术和TMT新产业模式日新月异，这些技术研发与模式探索本身为社会生产和我们的生活带来了诸多显而易见的便利，但也伴随着个人信息泄露、买卖、伪造等情况的发生。这些情况都有待进一步的规范，不论是从技术上，还是法律上。因此，我们都期待我国的《个人信息保护法》，包括与AI和TMT领域的企业关系密切的关于数据安全、个人信息出境等的配套法律法规也能能够尽早出台，能将目前散落在各类法律、法规、部门规章中的涉及不同适用对象的相关规定体系化。
[注]
[1]《民法总则》第一百十一条规定："自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。"
[2]《网络安全法》第七十六条第（五）项："个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。"
[3]《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条：刑法第二百五十三条之一规定的"公民个人信息",是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。