四川省社会科学院院长、研究员、博士生导师 侯水平

　　计算机网络、移动互联网、智能手机、智能终端等的飞速发展，使得大数据快速进入人们的生活，以至于还没有完全弄清楚大数据是怎么回事，就要面临大数据带给我们的许多问题。目前，人们更多地是看到大数据带来的好处，从技术层面思考和挖掘大数据的价值，发展大数据产业、大数据经济，而对大数据的法律规制却很少关心。这一方面是因为大数据仍在快速发展，而我们对大数据的体验认知还不够充分，特别是对与大数据相伴随的问题及其危害的感受还不够深切，更谈不上对如何解决这些问题积累了足够的实践经验。大数据快速发展而相应的法律规制滞后，这好比汽车跑得越来越快，而交通规则的建立和遵守还未引起重视，其结果必然影响国家大数据战略的健康发展。大数据发展及其利用法律规制的问题很多，也很复杂，限于时间，这里只探讨大数据形成的数据收集法律规制问题。这个问题很重要，在大数据法律问题中带有基础性意义。
　　关于数据收集的法律规制，我想用“三不是一加强”来谈一下个人的肤浅认识。
 　　一、不是谁想收集就收集
 　　我国目前有关数据收集的法律法规中提到的数据收集主体很多，有：网络运营者、国家机关政务网络的运营者、网络产品、服务的提供者、个人信息获得者、关键信息基础设施的运营者、电子信息发送服务提供者、应用软件下载服务提供者、电信业务经营者、互联网信息服务提供者、大数据企业、网信部门和有关部门，甚至还提到任何个人和组织等。也就是说，实际上很宽泛，具有开放性。由于法律没有对主体做概念界定，也没有明示范围和资格性等限制，感觉上似乎谁都可以收集数据。但认真分析有关规定，可以体会到还是暗含了一些资格条件规定的，例如《电信和互联网用户个人信息保护规定》第11条：“ 电信业务经营者、互联网信息服务提供者委托他人代理市场销售和技术服务等直接面向用户的服务性工作，涉及收集、使用用户个人信息的，应当对代理人的用户个人信息保护工作进行监督和管理，不得委托不符合本规定有关用户个人信息保护要求的代理人代办相关服务。”
　　 就现实生活中的实际情况看，数据收集的主体相当混乱。中央电视台2频道曾经报道，胡某自制软件，很容易地就获得公民个人信息60余万条，获利20余万元。为了规范数据的收集，应考虑对数据收集主体进行法律规范，根据所收集数据的性质、范围等，规定适当的条件，如必要的数据收集、保存、保密条件等。有些专门、敏感数据的收集，还需要取得相关部门的授权，数据收集人员应具备相应的专业资格。现在摄像头的使用越来越普遍，清晰度越来越高。安装摄像头的主体不仅有公安机关，企事业单位、商场、甚至私人都在安装。对安装者要规定一定的权利义务，防止侵入私人领域。
　　 二、不是想收集什么就收集什么
　　 大数据技术的发展，使得数据的收集变得十分容易，而大数据的“大”，暗含了其价值是与数据的巨量相联系的，这就使一些数据收集者拼命去获得越来越多的数据。虽然说法律对数据收集主体没有明确限制，但具体到不同的数据收集行为，其收集数据的对象、范围是不同的，是有相应限制的。
　　 数据收集的对象范围应遵守合法必要原则。如“电信业务经营者、互联网信息服务提供者不得收集其提供服务所必需以外的用户个人信息”。欧盟提出的判断是否必要的原则是“充分、相关以及以该个人数据处理目的之必要为限度（‘数据最小化’）”。
 　　现在一些软件开发商，强行捆绑某些功能，收集用户的个人信息。例如读取用户的短信、通讯记录以及地理位置等信息，而这些信息与该软件本来功能的发挥并没有关系。对这些行为，需要法律进行规制。
对数据收集者来说，不是想收集什么就收集什么；而对于数据的提供者个人、企业及政府部门等，也要保证所提供数据的真实、合法、准确、完整和可用。满足这些要求的数据才有价值。数据收集者要对所收集数据进行识别、把关。
　　 三、不是想怎么收集就怎么收集
　　 对收集数据的方式方法，法律也有规定。
　　 收集数据必须遵循以下原则（个人归纳）：
　　 1.合法正当：收集数据的行为要合法，符合政策，尊重社会公德，遵守商业道德，诚实信用。《民法总则》第151条：“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”其他法规等也有相应规定。例如，不得非法侵入他人网络等窃取网络数据，不得窃取或者以其他非法方式获取个人信息等。
 　　2.明示同意：公民个人数据关系生命健康、财产安全、名誉等。同传统意义上的财产一样，公民理应对自己的数据有一定的控制权。数据的收集者收集、使用公民个人数据，应当公开其收集、使用数据的目的、方式和范围，并经被收集者同意。特别是为商业目的收集数据，更应如此。未经用户同意，不得收集用户个人数据。不得以欺骗、误导或者强迫等方式或者违反法律、行政法规以及双方的约定收集数据。除非法律另有规定，用户等有权查询、更正个人数据，有权拒绝提供个人数据。欧盟还将“被遗忘权””写进了法律，规定“只要没有保留该数据的合法理由”，该数据就必须删除。明示同意是原则，作为例外，数据主体无明确反对的情况下，可认为其同意。什么情况下允许数据主体默许同意，需法律明确规定。数据主体通常与数据控制者之间的地位是不平衡的，如企业与员工、医院与病人、学校与学生等，很多时候，同意权的保障实际上比较难。
　　3.用途确定：数据收集者对于获取的数据，必须按照规定或约定的用途使用，不得用于其他用途。在数据收集时就要明确是为政用、商用、民用，还是为科研教学等，而且用途要具体。电信业务经营者、互联网信息服务提供者不得将收集的用户个人数据用于提供服务之外的目的。学校、医院等将在工作中获取的公民个人数据用于商业目的或其他目的，都是不被允许的。
 　　4.安全保密：数据收集者必须对收集的用户个人数据的安全负责，严格保密，防止信息泄露、毁损、丢失。不得篡改其收集的个人数据；未经数据主体同意，不得向他人提供个人数据。依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的个人数据、隐私和商业秘密严格保密，不得泄露、出售或者非法向他人提供。数据接触者及其行为要有记录，留痕。公民、企业的数据被泄露，收集者、控制者有义务及时通知数据主体。
 　　5.分工共享：数据收集是需要成本的，为了节约成本，提高效率，政府数据收集部门要进行分工，数据企业等之间可通过协商约定、或在政府部门、行业协会的协调下，或依照法律规定、行业规则建立数据收集分工关系，避免重复收集、多头收集，增加社会成本，公众负担。
 　　6.境内存储：收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应进行安全评估，并遵守法律规定。在大数据时代，做到这一点是比较困难的。
　　违反法律规定收集数据要承担相应的法律责任。
　　四、要加强数据收集的法律监管
　　目前数据收集领域违法现象十分严重。数据收集法律规范不完善，监管不力，造成了严重的社会问题：
　　一是数据的财产属性及其产权关系法律规定不明确，导致随意收集和数据的滥用等。有一些基础理论问题需要解决，如数据主体与数据收集者、控制者等的法律关系，公民如何更好地控制个人数据等。与一般物权不同，个人数据被收集者收集后，与数据所关联的个人的情况表面看似乎一点也没有改变，但数据的保管、使用却可能对其产生影响。在大数据领域，也存在产权明晰问题。
　　二是数据收集者的权利义务不明确，容易侵害公民和企业等的权利。公民个人在手机、社交媒体、银行网络和电子购物等方面的隐私权、企业的商业秘密和商业信誉等，常受到数据非法收集者的侵害。很多数据是用户根本不知情，或不知道用途的情况下被收集，有些是没有经用户同意的情况下被收集。在一些行业商，非法交易数据已经形成一些潜规则。在大数据时代，大家都是在裸奔，都是垃圾广告、推销甚至电讯诈骗的受害者。
　　三是数据收集和提供不规范，导致很多数据的质量不高。在数据收集主体不具备相应的资格，收集行为不规范，数据提供者权利义务不明确的情况下，数据的真实性、准确性、完整性得不到保证，甚至还可能出现假数据等。以这样的数据建立起来的大数据先天不足，大数据的利用可能影响数据产业的发展，甚至造成社会危害。
　　收集、运用数据，在大数据时代是法治政府建设的一个重要方面。政府作为数据的收集者和大数据的利用者，要带头守法，这是依法行政的应有之义。同时，规范数字资源管理，规范数据收集，保护公民法人的合法权益，促进数字产业发展，也是法治政府的责任。建议我省就大数据进行地方立法。更重要的是，要强化法律法规的实施，加强数据收集的法律监管，为大数据的发展利用创造安全的环境。
　　在大数据立法方面，贵州省走在了全国的前面。

（本文为侯水平研究员2017年7月8日在成都召开的“大数据与法治政府建设”座谈会上的发言。）