我们一直在和应用软件进行“交易”。用导航和打车软件要交出地理坐标，在餐厅扫码点菜要先输入手机号，开通免密支付要进行人脸验证，下载剪辑软件要先开启麦克风使用权限。我们喜欢吃的餐厅，日常的行动轨迹，甚至对电影和音乐的品味，也都被应用软件“记录在案”，永不忘却。
被“杀熟”的麻烦随之出现：两个好朋友订同一家酒店，价格有高有低；不同的人在淘宝上搜索同一件物品，推荐参差不齐；刚冒出想买一件东西的念头，它就突然出现在“猜你喜欢”的推荐里……
我们对于私人生活底线的坚守在互联网时代节节败退，大数据之下人人透明，人人软弱。
如何在互联网时代保护个人信息？这个问题余盛峰已经研究多年。在清华大学拿到博士学位后，余盛峰开始在北京航空航天大学任教，主要研究法律全球化和网络信息法。
余盛峰发现，近十年里，个人信息的边界发生了巨大的变化，传统的隐私观念已经不再适用于互联网时代：
“利用去匿名化的技术，大数据可以把看似没有直接关系的信息定位到个人。你透露的微不足道的日常生活，将以你最想像不到的方式被利用。”
我们的数字生活急需法律保护。2021年8月20日，《个人信息保护法》被正式表决通过，并将于2021年11日1日开始施行。
《个人信息保护法》明确禁止了“大数据杀熟”（通过自动化决策方式向个人进行信息推送、商业营销，应提供不针对其个人特征的选项或提供便捷的拒绝方式），滥用人脸识别（处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，应取得个人的单独同意），强制输入身份证号手机号等行为，对违法处理个人信息的应用程序，则依法责令暂停或者终止提供服务。
在余盛峰看来，《个人信息保护法》是重要的起点，但也仅仅只是起点，“后续是一定是互联网公司与法条博弈的过程”。
《个人信息保护法》的出台虽然为治理个人信息侵权行为提供了法律依据，但也留下了很多未解释的空白。
《个人信息保护法》将在哪些方面改变我们的生活？其他国家如何应对隐私泄漏的问题？旧的法律范式又如何回应新的技术和商业模式？余盛峰将以一个法理学家的眼光，重新审视《个人信息保护法》。
在一个周日的下午，我们相约在北航，进行了一次谈话。
Q：《个人信息保护法》的必要性是什么？互联网收集个人信息，这是难以避免的事吗？
余盛峰
：有一个很简单的问题：为什么APP基本都是免费的？为什么我们使用了互联网公司的产品却不用付钱？
面对大多数时候以免费面目示人的互联网，我们很容易忽略一个基本的事实：
免费从来就不是一种商业模式，如果你没有付钱，那真相只有一个，就是你付出了比钱更重要的东西，你的隐私，你的注意力，你的时间。
在实际生活里，我们往往不像自己以为的那样在意隐私。面对互联网的便利性，大多数人都会用脚投票，从更私密的传统通讯方式倒戈向社交网络。另一方面，互联网利用数据信息盈利的商业模式使得我们作为个体网民很难去抗衡，去抵制，去有效表达反对。大多数时候为了获得眼前的便利，或者说因为找不到某种有效的对抗途径，往往只能接受这样的现实。
但这恰恰说明，我们急需寻找新的路径和方法来保护我们在信息时代的隐私权。
Q：余老师遇到过个人信息泄漏，或者隐私被侵犯的事情吗？您在生活中会如何避免这种事？
余盛峰
：遇到过。我在百度上搜索自己的名字时发现，自己很久之前发的文章，说过的话，留下的个人信息都还显示在搜索记录里。这有时给人感觉很奇怪，其中一些是自己早就忘记、甚至不想再被别人看到的信息，但是没有办法删掉。
这样的事情现在很难避免。我会比一般人更敏感，更注意一些细节，比如尽量不用手机注册新账号，尽量不开启人脸验证。但是我们生活在这样一个大数据时代，更多的时候防不胜防。
很多APP服务本身就基于我们提供的大量信息，比如外卖软件，如果不挖掘大数据，外卖的价格不可能那么便宜。所以在某种程度上，
我们作为互联网的消费者从一开始就和这些互联网企业做了一笔交易，而且是一次性的交易——把自己的大量信息一次性地授权给了它们，从而享受它们的服务。
对于这个问题，《个人信息保护法》也做了相应规定，用户不授权个人信息，APP或者相应的互联网提供商也不能拒绝服务。这一点我相信在未来会有所改善。
Q：今年11月《个人信息保护法》实施之后，对普通人生活会有哪些影响？像我们这种普通大众能直观感受到吗？
余盛峰
：会有直观的感受。
最明显的是，现在随处可见的人脸识别会消失一大部分，很多贩卖敏感信息（比如人脸数据库）的黑产都会受到整顿。根据《个人信息保护法》第二章第二节，生物识别信息被划分为敏感个人信息，只有在具有特定的目的和充分的必要性、并采取严格保护措施的情形下，个人信息处理者（也就是互联网公司）才能收集。
第二，公共场所的监控设备会出现明显标识。因为我们现在大量的监控摄像头都是没有标识的，我们不知道哪里有监控哪里没有，有时候不注意就看不到，接下来肯定会有一个普遍的合规化运动。
第三，大数据杀熟现象会被制裁，互联网公司必须依法对自己的算法自动化决策给出解释说明，而不能再是完全黑箱化的做法。
粗暴的、短平快的吃数据红利
的
时代已经慢慢过去了
Q：听起来，这一块，现在面临最大压力的是互联网公司，那您觉得《个人信息保护法》对它们的影响是什么？
余盛峰
：
大的互联网平台公司会努力迎合更高的行业标准，而做不到合规的小互联网公司会被淘汰。
11月《个人信息保护法》正式施行之后，可能会出现系列的公益诉讼。人民检察院，特别是最高检应该会主动地提起一些典型性的案件。
比如说大数据杀熟，接下来可能会有案例针对滴滴、美团等平台的双标定价问题。也可能会有与滥用用户信息相关的案例。比如某音乐平台，收集数据本来是为了推荐更符合用户口味的音乐，结果转手就把信息卖给广告商，这属于违反了目的明确性和目的限定性的侵权行为。还会有数据存储期限过长的侵权问题。原来你把我的信息收集走，可能只能存储一年，但是我现在通过一些手段发现，我的账号已经过期或注销了，但平台还保存着我的数据，这方面也可能有新鲜的案例出来。
此外，《个人信息保护法》还明确了纠正的权利。比如说你五年前把我信息收集走，但这五年间我的个人信息早就发生了变化，但是你一直不更正，给我带来了潜在的危害，这个权利也应该被激活。还有删除信息的权利，比如有些不愿意让他人看到的隐私信息，十年过去了还是一搜就能搜出来，现在我有权要求删除。再比如数据携带权，假设我现在要注销抖音账号，把所有个人信息迁移到快手，抖音就需要为我提供技术支持。
在以上这些方面，都可能会有经典案例推出。
Q：那国内的互联网公司下一步能做什么？
余盛峰
：其实国内很多大互联网公司的业务早就不局限在国内了，在和欧洲或美国打交道过程中，他们就已经在隐私政策和数据保护方面做了相应的合规预案，只是我们不知道、也用不到而已。
2018年GDPR（欧盟《通用数据保护条例》）推出之后，在欧盟有相关业务的中国互联网公司都必须按照GDPR的要求进行大量的合规工作。
但是在这个过程中，互联网公司也会采取一些法律规避手段。它们可以根据《个人信息保护法》的例外条款来做文章。比如根据第13条的七个条款，比如说声称信息是为公共利益用于新闻报道、舆论监督，比如说是为订立、履行合同所必需，用这些条款在解释上的漏洞，让用户稀里糊涂地“同意使用信息”。
在一些方面，互联网公司甚至会比立法走得更超前。短期内，《个人信息保护法》虽然会给运营带来更高成本，但他们会逐渐意识到过去那种粗暴的、短平快的吃数据红利的时代已经慢慢过去了，逐渐摆脱对数据粗暴采取挖掘的依赖，找到既能合规，但是又保持核心商业竞争力的创新模式才是生存之道。
在美国我们也可以看到。Facebook一直以来在用户隐私保护上是比较糟糕的，或者说它的商业模式就是建立在隐私剥削基础上的，但苹果公司采取了另一种策略，它往往会标榜自己是隐私保护领域的龙头企业。有趣的是，这并不意味着苹果的隐私保护水平就真的特别高，而是能看出它重新去掌握未来商业战略高地的野心，要把隐私保护作为未来行业标准制定权的一个抓手。
因为它站到了那个道德高地，而且如果为隐私保护找到一个新的技术和商业标准，它就很有可能成为新一轮商业模式变革过程中的规范制定者和主导者。
Q：其实2003年，国信办就已经开始着手部署个人信息保护法立法研究工作，是什么原因让这部法律酝酿了这么久？
余盛峰
：《个人信息保护法》第一次被提出应该是在零三年，但其实那时候，国内的互联网产业还没有发展成足够规模，基本上只有几个比较大的门户网站而已。没有发达的网购和电子商务，后来对个人隐私造成很大威胁的算法技术也还没有真正诞生，可以说是一个比较静态的互联网1.0时代。
那时，我们讨论立法主要是看到国外正在进行相关的立法。
1995年，欧盟制定了《一般数据保护指令》。欧盟在立法上经常扮演先锋者的角色，他们已预先观察到数字经济发展的趋势，产生了加强保护数据主体的想法。但那时国内的整个互联网产业还没有发展起来，主要是一些学者在推动相关的研究。在社会层面，无论是公众还是国家，都还没有强烈的推动立法的冲动。立法者可能也没有想到，在接下来的十几年里互联网的发展会大大超出人们的想象，而个人信息保护会变成一个非常棘手的问题。
比如说现在常见的大数据杀熟、智能信息流推送、定向投放广告，这些基于个性化的信息搜集产生的侵权模式，其实都是在人工智能深度学习和大数据技术成熟之后，才慢慢发展出来的。也就是这五六年的时间，立法保护个人信息突然就成了迫在眉睫的事情。
Q：我们现在所谈到的个人信息指的是什么？为什么保护个人信息迫在眉睫？
余盛峰
：对，在大数据时代个人信息的定义确实是个很大的问题。
我们现在的《个人信息保护法》对个人信息的定义其实是借鉴GDPR：已识别、或者说可以识别到个人的信息就叫做个人信息，即PII概念（Personal Identifiable Information）。比如，马上就能够关联到你个人身份的叫个人信息，虽然不能马上定位到你，但是可以间接识别到你的信息，也可以界定为个人信息。
但是现在的数字技术，根本不需要非常详细的信息也可以触及（access）到你。
一些似乎跟你本人没关联的信息，但是通过各种算法、大数据挖掘、去匿名化技术，又可以通过意想不到的方式影响到你的利益。
比如说，你是一个35岁的程序员，你去贷款买房，发现自己的贷款额度比别人低很多，原因是大数据发现35岁以上的程序员失业风险非常高，自动为你降低了额度。
你说这算不算个人信息泄露？不算。但是否对人造成了真实的影响？是的。
Q：那么《个人信息保护法》保护的，是哪一方面的个人信息？
余盛峰
：我们做一个总结的话，就是说传统的隐私保护法，它有几个基本范式的假设。
第一个假设，就是只保护个人信息，非个人信息不保护，如果是你个人主动公开的信息，或者说非个人的信息，我法律不保护，因为那样保护起来会漫无边际，所以只保护可识别，或已识别的个人信息，这是第一个范式假设。
第二个假设是匿名化范式。如果平台已经通过技术手段，把你的信息匿名化了，那么OK没关系，这些信息就不再是个人信息，就都可以使用、可以传播，因为我已经通过匿名化把你这个人相当于隐藏起来了，追溯不到具体的个人，那么这个时候信息就可以公开使用，自由使用。
第三个范式就是经常会在各种隐私政策中看到的知情同意原则，OK我可以用你的信息，只要得到你的授权同意，那么接下来我就可以自由使用，也可以转让给第三方，因为你已经同意了，你已经自主做出了这样一个授权，这是第三个范式假设。
过去包括现在，主要是通过这三个范式假设来解决个人信息保护，和信息公开的这样一个存在内在冲突的问题。但是，这三种范式现在都已经受到挑战。
Q：您觉得《个人信息保护法》在实施时会遇到哪些可能的困难？
余盛峰
：GDPR也好，《个人信息保护法》也好，都是表面上给予数据主体很多的权利授予，但其中也有很多可以被规避的条款。
比如说第一条核心原则，知情同意。知情同意原则是说，只要这些互联网平台在它的隐私政策里说罗列了一系列权利和义务，然后你在使用APP之前，你点击了同意选项，那就相当于把你的个人数据授权出去了，这时候你的个人信息权利相当于已经在这个过程中隐形地放弃掉了。你一揽子把自己的数据授权出去，之后就难以维权，因为互联网平台可以说你在当时已经阅读了隐私政策条款，你已经点击了同意按钮。
但问题是，互联网公司会把一些关键信息隐藏在冗长的条款里，普通用户根本没有可能读完。之前美国的学者做过一个研究，发现用户每年要把所有的登陆的网站和APP的隐私政策都读完，得花几千个小时，不可能有人做到这一点。
这种情况下就无法达到知情同意，只能说是知情放弃。
但是《个人信息保护法》的推出，也是一个积极的信号。以前如果遇到了个人信息侵权的情况，不管是起诉还是追责都很困难，一来没有明确的投诉机构，二来没有专门的法律规定，但现在立法都做出了相应的规定。遇到问题可以依法向网信部门举报投诉，你个人也可以向法院提起司法诉讼，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织也可以依法提起诉讼。
Q：我们在个人信息保护方面遇到了很多问题，那其他国家又是怎么解决问题的呢？
余盛峰
：欧盟的一系列关于个人信息保护的法律，是从上世纪60年代到70年代开始发展出来的。二战之后，欧洲要战后重建，要建立福利国家，政府就引入了大量电子数据库系统，开始搜集和存储大量的公民个人信息。但是，那时候的电子数据库主要还只是比较静态的大型计算机，只是把信息储存在本地，和现在的数字化技术差距很大。
但是在1970年代之后，人们开始警惕和思考大型电子数据库造成的危险，以《1984》为代表的一系列小说引发了人们对国家监控机器的思考，政府因此开始推动起草新法律。这一轮讨论的结果就是开始提出了FIPP即公平信息实践原则，这个原则的核心，就是赋予每个数据主体个人信息的控制权。依据FIPP原则，政府必须告知公民哪些信息被收集，公民反过来也拥有各类纠正信息、删除数据、获得通知的权利。
而FIPP权利一直发展出后来的GDPR规则。
美国的隐私保护更为独特，它的隐私保护主要不是由国家统一立法，而是把这个权力下放到了互联网企业，所谓自我治理。从1990年代之后，美国的互联网企业开始在FTC（联邦贸易委员会）的管理下，形成一种公私合作治理，由FTC监督合规，互联网企业则通过各种技术手段或者隐私条款来加强用户的隐私保护。如果FTC发现互联网企业以欺诈或不公平的方式制定隐私政策，就会按规定予以重罚。FTC扮演了重要的隐私立法者的角色。
Q：可以预测一下未来的隐私保护会怎么发展吗？
余盛峰
：我觉得可以做一个类比。在工业扩张时代，各种工厂野蛮生长，完全可以不管不顾地污染环境，但是在工业发展趋于饱和、产业高度成熟的今天，节能减排开始成为每个工厂头上高悬的剑，那些粗放生产的企业是第一批被淘汰的。
而信息时代的隐私保护问题，我觉得和工业扩张时代的污染问题很像，只不过工业时代的污染是通过石化煤炭的方式，而我们现在的污染是通过数据处理的方式。只是污染的形式、造成伤害的性质、范围和手段不一样而已。
从工业时代发展到信息时代，虽然问题好像是一个新问题，但是它背后的逻辑是一样的，都是经济发展模式从原始粗暴扩张积累，到向新文明标准转化的问题。从污染转向环保，这个转化在工业时代经历了差不多一两百年的时间，从19世纪到20世纪，而我们信息时代的技术迭代速度更快了，所以它不需要100年，可能只要二三十年，甚至更短时间。产业的转变，可能会以互联网巨头没有办法预料的迭代速度往前推进，很有可能5年到10年就会发生一个巨大的变化。
我们现在所说的碳中和就是工业时代转变的产物。碳中和这个概念出来之后，整个全球产业，包括金融产业的游戏规则都发生了重大改变，产生了规模庞大的新的经济蛋糕。
而未来的个人信息和隐私保护，一定也会作为新的贸易标准和投资标准，它也会变成真金白银的一个生意。
类比碳中和，未来也很有可能会有“隐私中和”的概念出现。碳中和的概念是什么？你排放碳的同时，通过不管是植树造林还是再生能源，把排放的碳中和掉，碳吸收的总量和碳排放的总量要相抵消。那么同样，未来可能互联网公司也要发展出新的技术，消除通过搜集和挖掘用户个人信息造成的不良影响，发展出能够吸收和抵消隐私侵犯的技术和商业模式。
文章同步：36氪 / 虎嗅 / 企鹅号 / 头条号 /
人民号 / 微博 / 知乎等10+渠道
欢迎加入"边码故事读者群"
后台回复“读者群”即可
