今年的“3·15晚會(huì)”播出，多家企業(yè)因存在侵犯消費(fèi)者權(quán)益行為被曝光，比如，曝光了多個(gè)知名品牌商采用人臉識(shí)別攝像頭、非法獲取消費(fèi)者個(gè)人信息的行為。

[[388233]]

區(qū)塊鏈技術(shù)的一些特征(如公私鑰機(jī)制、加密算法等)被認(rèn)為有利于個(gè)人信息保護(hù)，但在實(shí)踐中，區(qū)塊鏈分布式和弱中心化的特性，使得個(gè)人信息保護(hù)相關(guān)法律法規(guī)要求主體承擔(dān)的義務(wù)和責(zé)任很難落實(shí)。因此，我們需要對(duì)區(qū)塊鏈應(yīng)用于個(gè)人信息保護(hù)做進(jìn)一步的思考和探索。

1.區(qū)塊鏈技術(shù)和個(gè)人信息保護(hù)法律的基本概念

(一)區(qū)塊鏈技術(shù)

區(qū)塊鏈技術(shù)本質(zhì)上是多方實(shí)體(節(jié)點(diǎn))為共同目的(應(yīng)用場(chǎng)景)按照一致規(guī)則(共識(shí)機(jī)制和智能合約)在安全環(huán)境(非對(duì)稱加密)下由各節(jié)點(diǎn)(分布式賬本)對(duì)大量數(shù)據(jù)進(jìn)行實(shí)時(shí)自動(dòng)化處理(算法)的一種技術(shù)。

區(qū)塊鏈技術(shù)不需要中心化平臺(tái)信用背書或者作為信息處理中介就能完成交易，是一種去中心化的點(diǎn)對(duì)點(diǎn)的分布式信息集成技術(shù)，技術(shù)內(nèi)容包括網(wǎng)狀多節(jié)點(diǎn)達(dá)成一致的共識(shí)機(jī)制、將信息轉(zhuǎn)化為可機(jī)讀的數(shù)據(jù)的智能合約、防篡改的時(shí)間戳和非對(duì)稱加密技術(shù)等。

基于區(qū)塊鏈技術(shù)可以開發(fā)諸多應(yīng)用，例如最早期金融領(lǐng)域的比特幣等數(shù)字貨幣，除此之外，逐漸廣泛用于信息追溯、存證、物流、認(rèn)證、產(chǎn)權(quán)管理等領(lǐng)域，涉及網(wǎng)絡(luò)科技、醫(yī)療、能源、農(nóng)業(yè)、電商、旅游、服務(wù)等行業(yè)。

(二)個(gè)人信息保護(hù)法律

《個(gè)人信息保護(hù)法(草案)》首先對(duì)個(gè)人信息進(jìn)行了定義，并對(duì)敏感信息進(jìn)行專門規(guī)定，將匿名化信息排除在個(gè)人信息之外;其次圍繞“告知-同意”設(shè)定個(gè)人信息的處理規(guī)則，也包括目的明確、個(gè)人信息處理最小化等原則;再次規(guī)定了個(gè)人對(duì)被收集的信息享有的各種權(quán)益，例如查閱、復(fù)制、更正、補(bǔ)充、請(qǐng)求刪除等;最后與保障個(gè)人權(quán)利相對(duì)應(yīng)，規(guī)定了處理個(gè)人信息的公司、平臺(tái)等主體的義務(wù)，包括內(nèi)部技術(shù)和組織措施、敏感信息或者高風(fēng)險(xiǎn)處理行為的事前評(píng)估、跨境傳輸特殊規(guī)則等。

《個(gè)人信息保護(hù)法(草案)》的核心理念內(nèi)容與制度框架設(shè)計(jì)與歐盟的GDPR(《通用數(shù)據(jù)保護(hù)條例》)是一致的，GDPR以保護(hù)個(gè)人根本性權(quán)利為出發(fā)點(diǎn)，規(guī)定了數(shù)據(jù)控制者和數(shù)據(jù)處理者應(yīng)當(dāng)依照透明度等原則，在獲得數(shù)據(jù)主體同意等情形下和保障個(gè)人對(duì)數(shù)據(jù)的充分控制權(quán)的前提下，才可以合法處理個(gè)人數(shù)據(jù)。

(三)區(qū)塊鏈技術(shù)對(duì)個(gè)人信息保護(hù)法律的挑戰(zhàn)

區(qū)塊鏈技術(shù)的核心特征在于點(diǎn)對(duì)點(diǎn)的傳輸機(jī)制，并不依賴中心化平臺(tái)集中處理數(shù)據(jù)，因此個(gè)人信息保護(hù)法律要求公司、平臺(tái)等處理個(gè)人信息主體承擔(dān)的義務(wù)和責(zé)任將難以落實(shí)，因?yàn)閰^(qū)塊鏈技術(shù)中根本不存在這樣的集中處理個(gè)人信息的公司、平臺(tái)等主體。區(qū)塊鏈技術(shù)通過算法自動(dòng)進(jìn)行數(shù)據(jù)處理和完成交易，從技術(shù)實(shí)現(xiàn)來講人為干預(yù)越少越好，以提高效率和防止篡改，這和個(gè)人對(duì)個(gè)人信息享有的要求更正、撤回信息等決定和控制權(quán)相矛盾。

簡單來講，個(gè)人信息保護(hù)法律的規(guī)定應(yīng)用于區(qū)塊鏈技術(shù)時(shí)，可能會(huì)存在“由誰承擔(dān)義務(wù)”、“向誰主張權(quán)利”以及“所主張的權(quán)利難以實(shí)現(xiàn)”的問題。

(四)區(qū)塊鏈技術(shù)對(duì)個(gè)人信息保護(hù)法律的促進(jìn)

區(qū)塊鏈技術(shù)的一些特征有利于個(gè)人信息保護(hù)?！稊?shù)據(jù)安全法(草案)》明確要求建立數(shù)據(jù)溯源制度以追溯個(gè)人信息的直接或者間接來源，《網(wǎng)絡(luò)安全法》和《個(gè)人信息保護(hù)法(草案)》規(guī)定應(yīng)當(dāng)防止未經(jīng)授權(quán)訪問信息、加密、去標(biāo)識(shí)化、防止信息泄露。區(qū)塊鏈技術(shù)對(duì)節(jié)點(diǎn)信息創(chuàng)建和運(yùn)行進(jìn)行逐一記錄，通過時(shí)間戳和多方記賬等形式交叉驗(yàn)證保證信息準(zhǔn)確性，這些技術(shù)特征均有利于個(gè)人信息保護(hù)。此外，區(qū)塊鏈技術(shù)對(duì)信息的處理全程可追溯，可以增強(qiáng)個(gè)人對(duì)信息的控制。

2.區(qū)塊鏈技術(shù)適用個(gè)人信息保護(hù)法律的主要問題

(一)個(gè)人信息處理者角色定位與責(zé)任分配

可問責(zé)性和責(zé)任制是落實(shí)網(wǎng)絡(luò)安全和個(gè)人信息保護(hù)制度的核心?！秱€(gè)人信息保護(hù)法(草案)》將處理個(gè)人信息的主體分為個(gè)人信息處理者和接受委托進(jìn)行處理的受托方，前者指可以自主決定處理目的和方式的組織、個(gè)人，后者只能按照個(gè)人信息處理者的指示進(jìn)行處理，此外還涉及因合并、對(duì)外共享、嵌入SDK等第三方軟件等原因處理信息的第三方，各主體需要承擔(dān)的義務(wù)及責(zé)任分擔(dān)并不相同?！毒W(wǎng)絡(luò)安全法》將上述主體統(tǒng)一稱為網(wǎng)絡(luò)運(yùn)營者，設(shè)定了需要統(tǒng)一遵守的網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)義務(wù)。GDPR也將處理個(gè)人信息的主體區(qū)分為信息控制者和信息處理者，但是概念上規(guī)定由信息控制者決定處理的目的和方式，對(duì)信息控制者設(shè)定了較多義務(wù)，GDPR將接受委托處理數(shù)據(jù)一方稱為數(shù)據(jù)處理者，此外但凡接收數(shù)據(jù)的一方均被統(tǒng)一稱為數(shù)據(jù)接收者。

區(qū)塊鏈由提供分布式賬本的各節(jié)點(diǎn)組成，各節(jié)點(diǎn)通過密碼算法和分布式存儲(chǔ)等點(diǎn)對(duì)點(diǎn)處理數(shù)據(jù)，沒有中心化的數(shù)據(jù)處理者，從這個(gè)意義上講，每一個(gè)節(jié)點(diǎn)就是數(shù)據(jù)控制者或者數(shù)據(jù)處理者。區(qū)塊鏈對(duì)數(shù)據(jù)的處理方式高度自動(dòng)化，使得數(shù)據(jù)控制者和數(shù)據(jù)處理者之間的角色分工和界限模糊，同時(shí)由于不同節(jié)點(diǎn)需要實(shí)現(xiàn)不同功能(例如負(fù)責(zé)賬本數(shù)據(jù)一致性的共識(shí)節(jié)點(diǎn)和負(fù)責(zé)賬本數(shù)據(jù)完整性的記賬節(jié)點(diǎn))，如果要對(duì)區(qū)塊鏈中各節(jié)點(diǎn)的角色分工按照個(gè)人信息保護(hù)法律的規(guī)定，甄別決定處理目的和方式的節(jié)點(diǎn)，從而要求承擔(dān)相應(yīng)的責(zé)任和義務(wù)，是非常有難度的。

難以區(qū)分區(qū)塊鏈節(jié)點(diǎn)在信息處理中的角色分工會(huì)導(dǎo)致責(zé)任劃分不清。個(gè)人信息保護(hù)法律要求能夠共同決定信息處理目的和方式的主體承擔(dān)連帶責(zé)任，接受委托按照指示處理數(shù)據(jù)的受托方不能轉(zhuǎn)委托他人處理個(gè)人信息，均是建立在對(duì)責(zé)任主體明確區(qū)分的基礎(chǔ)上。此外，由于是分布式處理技術(shù)，每一個(gè)節(jié)點(diǎn)可能既是信息控制者或者處理者，又是信息的來源與提供者，使得個(gè)人信息保護(hù)法律中與控制者或者處理者相對(duì)應(yīng)的個(gè)人信息主體之間的概念模糊。無論是中國個(gè)人信息保護(hù)法律還是GDPR，其信息控制者和處理者既包括單位也包括個(gè)人，并未將個(gè)人排除在處理者或者控制者之外，因此法律保護(hù)的權(quán)利主體在區(qū)塊鏈技術(shù)下可能同時(shí)又是義務(wù)主體。更進(jìn)一步，區(qū)塊鏈技術(shù)通過算法實(shí)現(xiàn)，使得這種權(quán)利義務(wù)實(shí)時(shí)轉(zhuǎn)化且大量發(fā)生，而法律規(guī)則具有穩(wěn)定性，當(dāng)試圖系統(tǒng)性而不僅僅針對(duì)個(gè)案從法律角度進(jìn)行角色定位或者規(guī)制時(shí)，會(huì)遇到障礙。

導(dǎo)致這一困境的根本原因在于個(gè)人信息保護(hù)法律的制度設(shè)計(jì)是中心化的“傘狀”設(shè)計(jì)，而區(qū)塊鏈技術(shù)本質(zhì)上是去中心化的“網(wǎng)狀”設(shè)計(jì)，個(gè)人信息保護(hù)法律將責(zé)任歸于集中處理數(shù)據(jù)的頂端平臺(tái)，由平臺(tái)對(duì)個(gè)人信息主體承擔(dān)義務(wù)，個(gè)人信息主體享有權(quán)利。而在區(qū)塊鏈中不存在這樣的集中處理數(shù)據(jù)平臺(tái)，由鏈中節(jié)點(diǎn)借助算法，多方協(xié)同實(shí)現(xiàn)傳統(tǒng)中心化平臺(tái)對(duì)數(shù)據(jù)處理的功能。由于實(shí)現(xiàn)功能的方式不一樣，將個(gè)人信息保護(hù)法律設(shè)定的責(zé)任承擔(dān)機(jī)制平移到區(qū)塊鏈中就會(huì)遭到挑戰(zhàn)。

(二)個(gè)人信息處理的原則與合法事由規(guī)則

個(gè)人信息保護(hù)法律要求在最短時(shí)間內(nèi)為特定目的處理最少量的個(gè)人信息，且保證數(shù)據(jù)的真實(shí)、準(zhǔn)確與安全?！秱€(gè)人信息保護(hù)法(草案)》規(guī)定的處理個(gè)人信息的原則主要包括正當(dāng)、合法且目的明確，僅處理為實(shí)現(xiàn)目的所需要的最少信息，應(yīng)當(dāng)保障信息的準(zhǔn)確性和及時(shí)更新等。GDPR也專門集中規(guī)定了個(gè)人信息處理原則，包括合法、公平與透明、目的限制、數(shù)據(jù)處理最小化與準(zhǔn)確性、存儲(chǔ)期限限制和數(shù)據(jù)完整性與保密性。

基于以上原則，《個(gè)人信息保護(hù)法(草案)》規(guī)定僅在特定情況下才可以處理個(gè)人信息，包括取得個(gè)人同意、根據(jù)合同或者法律規(guī)定、應(yīng)對(duì)緊急情況和以公共利益為目的在特定范圍內(nèi)處理個(gè)人信息，對(duì)同意規(guī)則還進(jìn)行了細(xì)化規(guī)定，例如應(yīng)當(dāng)確保個(gè)人在充分知情的前提下自愿、明確地做出同意等。GDPR也是圍繞“告知-同意”設(shè)計(jì)處理規(guī)則，要求在被充分告知的前提下自由地對(duì)特定處理行為作出明確的同意。

就“告知-同意”規(guī)則和根據(jù)合同約定處理而言，區(qū)塊鏈技術(shù)依賴智能合約在不同的計(jì)算機(jī)之間達(dá)成協(xié)議，本質(zhì)上是一種可自動(dòng)執(zhí)行的計(jì)算機(jī)程序，如同APP通過個(gè)人信息保護(hù)政策和彈窗告知用戶并取得用戶同意，智能合約將交易的規(guī)則和條件從文字轉(zhuǎn)化為數(shù)據(jù)并且在計(jì)算機(jī)之間通話。智能合約還具有可擴(kuò)展性，可以根據(jù)規(guī)則創(chuàng)建、編譯等。區(qū)塊鏈共識(shí)機(jī)制主要是確保各節(jié)點(diǎn)之間的一致性，即各節(jié)點(diǎn)同意根據(jù)一致規(guī)則進(jìn)行數(shù)據(jù)處理，不僅需要同意對(duì)數(shù)據(jù)進(jìn)行處理，還需要同意一致的處理規(guī)則。可以看到，在區(qū)塊鏈技術(shù)中“告知-同意”規(guī)則和根據(jù)合同約定處理是同步的，但在個(gè)人信息保護(hù)法律中是不同的處理基礎(chǔ)，例如GDPR明確禁止事后選定合法處理的基礎(chǔ)，在這種情況下處理個(gè)人信息的合法性基礎(chǔ)邊界非常模糊。

(三)個(gè)人信息主體權(quán)利

個(gè)人信息保護(hù)法律最主要的立法目的為保障個(gè)人權(quán)益，同時(shí)促進(jìn)個(gè)人信息合法利用?！秱€(gè)人信息保護(hù)法(草案)》賦予個(gè)人撤回同意和限制、拒絕處理信息的權(quán)利，個(gè)人有權(quán)查閱、復(fù)制個(gè)人信息，有權(quán)更正和補(bǔ)充個(gè)人信息，有權(quán)請(qǐng)求刪除個(gè)人信息。GDPR的規(guī)定大致相同，但還包括數(shù)據(jù)可攜帶權(quán)的規(guī)定，可攜帶權(quán)與復(fù)制或者訪問個(gè)人信息權(quán)利不同之處在于，可攜帶權(quán)要求數(shù)據(jù)控制者將數(shù)據(jù)整理為機(jī)器可讀的機(jī)構(gòu)化形式，自動(dòng)傳輸給個(gè)人指定的其他數(shù)據(jù)接收方。

盡管區(qū)塊鏈技術(shù)對(duì)互操作性的要求有利于諸如可攜帶權(quán)、查詢復(fù)制權(quán)等的實(shí)現(xiàn)，但是整體來看個(gè)人信息保護(hù)法律賦予作為自然人的個(gè)人對(duì)信息的決定權(quán)和控制權(quán)會(huì)造成人為干擾。個(gè)人在信息收集、使用、消失的整個(gè)生命周期均可依法主張權(quán)利，而區(qū)塊鏈卻要實(shí)現(xiàn)對(duì)數(shù)據(jù)的高度自動(dòng)化處理并盡量減少人為干預(yù)以保障計(jì)算效率和準(zhǔn)確性。如果個(gè)人要求更正、補(bǔ)充、刪除個(gè)人信息，可能會(huì)導(dǎo)致信息的不準(zhǔn)確，且信息分散地存儲(chǔ)于各個(gè)節(jié)點(diǎn)，如何廣播通知所有節(jié)點(diǎn)、且保證各節(jié)點(diǎn)均采取一致行動(dòng)，如何確保節(jié)點(diǎn)執(zhí)行經(jīng)過機(jī)器轉(zhuǎn)化的內(nèi)容與個(gè)人主張的權(quán)利一致，各節(jié)點(diǎn)是否需要按照數(shù)據(jù)控制或者受托處理不同要求采取不同行動(dòng)。

(四)個(gè)人信息種類與匿名化

《個(gè)人信息保護(hù)法(草案)》規(guī)定，個(gè)人信息是以電子或者其他方式記錄的與已識(shí)別或者可識(shí)別的自然人有關(guān)的各種信息，個(gè)人信息中包含種族、民族、宗教信仰、個(gè)人生物特征、醫(yī)療健康、金融賬戶、個(gè)人行蹤等敏感信息。經(jīng)過匿名化處理后的信息不是個(gè)人信息。GDPR與此規(guī)定大致相同，例如均規(guī)定已識(shí)別或者可識(shí)別個(gè)人的才為個(gè)人信息，但也有不同，例如強(qiáng)調(diào)主要涉及自動(dòng)化方式處理的信息才適用GDPR的規(guī)定，GDPR原則上禁止處理敏感信息，將匿名化信息區(qū)分為假名化和匿名化等。

中國個(gè)人信息保護(hù)法律對(duì)個(gè)人信息的載體規(guī)定更加寬松，包括電子方式體現(xiàn)的個(gè)人信息，也包括其他非電子方式體現(xiàn)的個(gè)人信息。而區(qū)塊鏈中的個(gè)人信息均以電子方式體現(xiàn)，當(dāng)然適用個(gè)人信息保護(hù)法律。而鏈下存儲(chǔ)的信息有的以電子方式體現(xiàn)，有的可能以手寫記錄密碼等非電子方式體現(xiàn)，也需要適用個(gè)人信息保護(hù)法律的規(guī)定，而GDPR下如果非以自動(dòng)化方式處理數(shù)據(jù)又不形成文檔的話，是不需要適用GDPR規(guī)定的。

匿名性是區(qū)塊鏈技術(shù)產(chǎn)生的初衷和追求的目標(biāo)，加密是實(shí)現(xiàn)匿名化的一種技術(shù)，常用于區(qū)塊鏈的加密技術(shù)包括非對(duì)稱加密、同態(tài)加密和哈希函數(shù)，用于實(shí)現(xiàn)不同的識(shí)別和驗(yàn)證目的。例如數(shù)字貨幣發(fā)行、挖礦和交易中用公鑰加密、用私鑰解密即為非對(duì)稱加密的一種。在個(gè)人信息保護(hù)法律語境下，理論上只要實(shí)現(xiàn)匿名化即不為個(gè)人信息，不需要經(jīng)過同意等法定事由就可以進(jìn)行處理，但實(shí)踐中實(shí)現(xiàn)匿名化的技術(shù)除了加密外還有很多種，每種技術(shù)可實(shí)現(xiàn)的匿名化程度并不一樣，例如GDPR規(guī)定通過假名化技術(shù)對(duì)數(shù)據(jù)進(jìn)行處理后仍然可以識(shí)別到個(gè)人，因此不是完全的匿名化，仍然需要適用GDPR的規(guī)定。所以，區(qū)塊鏈所采用的加密等匿名化技術(shù)是否能夠滿足個(gè)人信息保護(hù)法律的規(guī)定是存疑的，例如加密后的信息是否可逆轉(zhuǎn)重識(shí)別個(gè)人。

區(qū)塊鏈技術(shù)的應(yīng)用涉及大量敏感信息，密碼本身就是廣義的敏感信息的一種，例如比特幣等數(shù)字貨幣的發(fā)行和交易就會(huì)涉及身份標(biāo)識(shí)、銀行賬戶信息、鑒別信息、電子簽名、密碼等。數(shù)字貨幣發(fā)行和交易本質(zhì)上就是機(jī)器對(duì)數(shù)據(jù)的處理過程。為確保真實(shí)性，需要廣播至各節(jié)點(diǎn)對(duì)同一筆交易進(jìn)行記錄并核驗(yàn)，在此過程中涉及個(gè)人財(cái)務(wù)信息的公開、個(gè)人匿名身份的標(biāo)識(shí)等，均需考慮到個(gè)人信息保護(hù)法律的要求而進(jìn)行特殊保護(hù)，例如防止公開特定交易細(xì)節(jié)或者防止識(shí)別用戶等。

同時(shí)，根據(jù)個(gè)人信息保護(hù)法律，為履行法定義務(wù)或者根據(jù)法律規(guī)定，不經(jīng)同意也可以或者依法必須處理個(gè)人信息。例如反洗錢法要求對(duì)用戶真實(shí)身份進(jìn)行驗(yàn)證，在中國利用區(qū)塊鏈提供信息服務(wù)需要滿足網(wǎng)絡(luò)實(shí)名制要求。

(五)個(gè)人信息處理的技術(shù)與組織措施

《個(gè)人信息保護(hù)法(草案)》和《網(wǎng)絡(luò)安全法》規(guī)定了個(gè)人信息處理者和網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)采取的個(gè)人信息安全和保護(hù)制度，例如分級(jí)分類、去標(biāo)識(shí)化、訪問控制、應(yīng)急預(yù)案等，GDPR的總體要求為通過制度設(shè)計(jì)保障在默認(rèn)的情形下個(gè)人權(quán)利得到保護(hù)。

根據(jù)個(gè)人信息保護(hù)法律的規(guī)定，對(duì)于高風(fēng)險(xiǎn)個(gè)人信息處理行為需要采取與風(fēng)險(xiǎn)程度相適應(yīng)的特殊保護(hù)措施，高風(fēng)險(xiǎn)個(gè)人信息處理行為包括通過對(duì)用戶打標(biāo)簽、畫像、進(jìn)行自動(dòng)化決策等，明確要求利用個(gè)人信息進(jìn)行自動(dòng)化決策前進(jìn)行風(fēng)險(xiǎn)評(píng)估并記錄。盡管從技術(shù)實(shí)現(xiàn)角度區(qū)塊鏈需要盡量保持處理的一致性、全自動(dòng)化和減少人為干預(yù)，但是從符合法律規(guī)定角度需要考慮合規(guī)性，例如中國個(gè)人信息保護(hù)法律明確要求，個(gè)人有權(quán)拒絕個(gè)人信息處理者僅通過自動(dòng)化決策的方式做出決定，通過自動(dòng)化決策方式進(jìn)行商業(yè)營銷、信息推送，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)。

個(gè)人信息的存留期限是個(gè)人信息保護(hù)法律重點(diǎn)規(guī)定的問題，其基本要求為僅在實(shí)現(xiàn)目的所需的必要期限內(nèi)存留信息，根據(jù)中國個(gè)人信息保護(hù)法律的規(guī)定，對(duì)存留期限的規(guī)定為6個(gè)月(例如網(wǎng)絡(luò)日志)至3年(電商商品服務(wù)信息、直播信息等)不等。從理論上講，雖然區(qū)塊鏈技術(shù)傾向于或者使得信息可以永久留存，但需要考慮法律關(guān)于信息存儲(chǔ)的規(guī)定;此外由于區(qū)塊鏈中信息分散存儲(chǔ)于各節(jié)點(diǎn)，如何通知?jiǎng)h除、實(shí)現(xiàn)徹底刪除也是在編寫智能合約設(shè)定交易條件時(shí)需要考慮的因素?！秱€(gè)人信息保護(hù)法(草案)》實(shí)際上為技術(shù)發(fā)展提供了冗余空間，例如規(guī)定技術(shù)上難以實(shí)現(xiàn)刪除的，可以采取停止處理個(gè)人信息的方式替代刪除。

(六)個(gè)人信息保護(hù)法律的適用范圍和跨境傳輸

雖然網(wǎng)絡(luò)空間使得物理地域范圍變得越來越無意義，但是在現(xiàn)行法律框架規(guī)則還是需要得到遵守?！秱€(gè)人信息保護(hù)法(草案)》拓展了法律的域外適用范圍，除了在中國境內(nèi)的個(gè)人信息處理行為需要遵守法律規(guī)定外，境外向境內(nèi)提供產(chǎn)品或者服務(wù)、分析評(píng)估境內(nèi)自然人行為，也需要遵守中國法律規(guī)定。GDPR規(guī)定類似，即只要在歐洲經(jīng)濟(jì)區(qū)內(nèi)設(shè)立機(jī)構(gòu)，或者向歐洲經(jīng)濟(jì)區(qū)內(nèi)個(gè)人提供產(chǎn)品或者服務(wù)或者監(jiān)控其行為，均適用GDPR的規(guī)定。

區(qū)塊鏈技術(shù)是超越國界的技術(shù)，例如數(shù)字貨幣等基于區(qū)塊鏈的應(yīng)用甚至超越國家發(fā)幣主權(quán)，實(shí)現(xiàn)數(shù)據(jù)點(diǎn)對(duì)點(diǎn)的傳輸，因此無論公司注冊(cè)于哪一個(gè)國家或者服務(wù)器位于哪一個(gè)國家，節(jié)點(diǎn)參與者來自于世界各國，均有可能被個(gè)人信息保護(hù)法律確認(rèn)為面向本國提供商品或者服務(wù)。此外，根據(jù)中國和歐盟個(gè)人信息保護(hù)法律的規(guī)定，在境外處理境內(nèi)個(gè)人信息，還需要在本國境內(nèi)設(shè)立代表機(jī)構(gòu)。因此，極端情形下，需要逐一考慮每個(gè)國家是否有在本地設(shè)立代表處的要求，所有國家法律均需要被考慮。

3.區(qū)塊鏈技術(shù)適用個(gè)人信息保護(hù)法律的合規(guī)建議

目前根據(jù)中國法律的規(guī)定通過備案的區(qū)塊鏈企業(yè)有近千家，包括利用區(qū)塊鏈技術(shù)的應(yīng)用和從事區(qū)塊鏈技術(shù)研發(fā)的企業(yè)。中國鼓勵(lì)區(qū)塊鏈技術(shù)發(fā)展，但是全面禁止數(shù)字貨幣發(fā)行融資。世界范圍內(nèi)區(qū)塊鏈企業(yè)包括軟件開發(fā)者、平臺(tái)提供者、各行業(yè)應(yīng)用者等等，例如以太坊等提供智能合約底層技術(shù)的平臺(tái)等。從事區(qū)塊鏈技術(shù)研發(fā)或者利用區(qū)塊鏈技術(shù)開發(fā)商品或者提供服務(wù)的企業(yè)或者平臺(tái)需要考慮的個(gè)人信息保護(hù)法律問題包括：

(一)頂層設(shè)計(jì)選擇合規(guī)風(fēng)險(xiǎn)小的區(qū)塊鏈部署方式

按照行業(yè)通行的分類，區(qū)塊鏈一般可以分為私有鏈、聯(lián)盟鏈和公有鏈，從是否需要許可加入節(jié)點(diǎn)出發(fā)，可分為經(jīng)許可的鏈和不用經(jīng)過許可的鏈。由于私有鏈和聯(lián)盟鏈限定了節(jié)點(diǎn)開放的規(guī)模和實(shí)體，與任何人均可參與的公有鏈相比，鏈上數(shù)據(jù)更有能在可控范圍內(nèi)進(jìn)行處理。如果配合許可機(jī)制，對(duì)節(jié)點(diǎn)進(jìn)行驗(yàn)證和登記，從個(gè)人信息保護(hù)和可追溯角度，合規(guī)符合性更高。

(二)有意識(shí)區(qū)分區(qū)塊鏈中多方主體角色和責(zé)任

區(qū)塊鏈中存在多方主體，例如軟件開發(fā)者、平臺(tái)提供者、記賬節(jié)點(diǎn)、驗(yàn)證節(jié)點(diǎn)、礦工等，如果按照個(gè)人信息保護(hù)法律的規(guī)定，需要一一對(duì)應(yīng)多主體是決定處理目的和方式的一方、接受委托處理數(shù)據(jù)的一方還是信息被收集或者被處理的用戶個(gè)人等，才能對(duì)權(quán)利義務(wù)分配和責(zé)任承擔(dān)形成符合法律規(guī)定的預(yù)設(shè)。雖然區(qū)塊鏈?zhǔn)峭ㄟ^去中心化方式進(jìn)行數(shù)據(jù)處理，開發(fā)者、平臺(tái)方等并不集中存儲(chǔ)、管理數(shù)據(jù)，且開發(fā)者、平臺(tái)方本身是否屬于信息控制者或者處理者仍然是需要考慮的因素，但無論如何均需要履行法律規(guī)定的信息安全和個(gè)人信息保護(hù)義務(wù)。

(三)考慮需要遵守的法律強(qiáng)制性規(guī)定

區(qū)塊鏈的技術(shù)創(chuàng)新包括匿名交易，匿名交易同時(shí)也將帶來隱患，例如利用數(shù)字貨幣洗錢。例如，基于區(qū)塊鏈技術(shù)的數(shù)字貨幣需要考慮“知道你的客戶”原則，根據(jù)反洗錢法律規(guī)定收集客戶信息，根據(jù)中國網(wǎng)絡(luò)實(shí)名制收集用戶手機(jī)號(hào)碼、身份證號(hào)碼等真實(shí)信息，根據(jù)中國網(wǎng)絡(luò)內(nèi)容生態(tài)審核要求對(duì)區(qū)塊鏈信息發(fā)布的內(nèi)容進(jìn)行審核。此外，中國法律通常會(huì)規(guī)定“法律、行政法規(guī)另規(guī)定的除外”，需要考慮各自行業(yè)的特殊規(guī)定避免或者必須處理特定信息。

(四)設(shè)立人工干預(yù)機(jī)制

理想狀態(tài)下的區(qū)塊鏈信息全部通過機(jī)器進(jìn)行計(jì)算和處理，但是為了滿足個(gè)人信息保護(hù)法律的規(guī)定，需要設(shè)置適當(dāng)?shù)娜藶楦深A(yù)機(jī)制，例如當(dāng)個(gè)人主張?jiān)L問、更正、刪除權(quán)時(shí)可以及時(shí)有效響應(yīng)，在自動(dòng)化決策中實(shí)現(xiàn)人工審核糾正機(jī)制。在編寫智能合約時(shí)需要提前考慮，如果鏈上信息打上時(shí)間戳后無法直接更正、刪除，需要通過增加代碼方式改寫信息，確保準(zhǔn)確性。

(五)采用適當(dāng)技術(shù)和組織措施

單一和孤立的技術(shù)措施或者組織措施無法實(shí)現(xiàn)個(gè)人信息保護(hù)，也滿足不了法律的要求。例如，通過非對(duì)稱加密匿名化技術(shù)對(duì)信息進(jìn)行加密后，如果不采取限定訪問控制、分開存儲(chǔ)信息等組織措施，其信息是可以再識(shí)別到個(gè)人的。再如，為了避免違反個(gè)人信息保護(hù)法律，可以對(duì)個(gè)人信息進(jìn)行分級(jí)分類，對(duì)于識(shí)別個(gè)人可能性大的信息或者敏感信息，僅在鏈下存儲(chǔ)。

4.區(qū)塊鏈技術(shù)和個(gè)人信息保護(hù)法律的總結(jié)展望

作為典型的顛覆性技術(shù)，區(qū)塊鏈技術(shù)實(shí)際上順應(yīng)了科技發(fā)展使得生產(chǎn)生活虛擬化的趨勢(shì)，并且進(jìn)一步弱化工業(yè)時(shí)代作為信用背書和信息中介平臺(tái)的功能，實(shí)現(xiàn)針對(duì)每一個(gè)節(jié)點(diǎn)的個(gè)性化和點(diǎn)對(duì)點(diǎn)定制化的信息處理。但是區(qū)塊鏈技術(shù)還在發(fā)展之中，許多應(yīng)用處于未知狀態(tài)。同時(shí)，網(wǎng)絡(luò)發(fā)展使得大量收集個(gè)人信息成為現(xiàn)實(shí)，利用個(gè)人信息可以深度發(fā)掘人的需求實(shí)現(xiàn)商業(yè)價(jià)值，才使得通過法律對(duì)個(gè)人信息進(jìn)行專門保護(hù)成為必要?？梢钥闯觯瑓^(qū)塊鏈技術(shù)和個(gè)人信息保護(hù)法律均處于發(fā)展的過程中，因此交界處的沖撞無法避免。區(qū)塊鏈技術(shù)以節(jié)點(diǎn)利用機(jī)器對(duì)數(shù)據(jù)進(jìn)行去中心化處理為特征，而個(gè)人信息保護(hù)法律以數(shù)據(jù)控制和處理者集中化對(duì)人的信息進(jìn)行處理為邏輯，個(gè)人信息保護(hù)法律是以人為中心設(shè)計(jì)的制度，而區(qū)塊鏈以機(jī)器、程序、算法為中心，現(xiàn)實(shí)生活中的人在網(wǎng)絡(luò)空間中抽象為節(jié)點(diǎn)。雖然區(qū)塊鏈技術(shù)和個(gè)人信息保護(hù)法律的相互影響還有待觀察，但是現(xiàn)行的區(qū)塊鏈技術(shù)發(fā)展仍然需要考慮和滿足個(gè)人信息保護(hù)法律的要求。