个人推论数据是如何被藏匿的.docx

摘要作为“互联网＋算法”运行的产物，推论数据相较于原始数据，正处于被遗忘之地通过分析经典判例YSM系列案以及Nowak案可知，推论数据由提供数据与分析数据构成，不仅可通过主体性、独特性、不变性的标准检验可识别性的存在，而且可通过马赛克理论验证数据主体对推论数据确应享有数据权利但实证研究显示，各数据收集者、数据控制者已将推论数据作为企业数据资产进行利用，不仅在数据收集环节存在提供数据被过度索取的现象，而且在数据处理环节存在分析数据上个人权利被忽视的现象究其根源，在于立法导向的价值偏差以及既有路径造成的错觉效果未来我国的个人信息保护立法应避免对欧盟立法的亦步亦趋，坚持“事前预防、多方合作”的数据治理文化，通过保障推论数据获取权以搭建个人数据主体与数据控制者之间的沟通机制，以落实对个人数据权利的全过程动态保护，以真正达到对数据安全与数据流动的兼顾PART-1问题的提出：推论数据的被藏匿推论数据是数据保护的盲区，也是数据处理的自留地所谓推论数据，是指在“互联网＋算法”运行过程中的自然产物数据收集者在获得数据主体授权后，或直接获得经由数据主体填写的提供数据，或间接获得经由传感器上传的分析数据，在通过算法将提供数据与分析数据进行分发、运算与整合后，数据处理者会获得大量关于数据主体所处环境、工作表现、经济状况、健康程度、信用评级、兴趣爱好、行为偏好的推论数据。

例如，在我们日常使用计步软件、睡眠监测软件、智能家居、手提电脑、移动的过程中，基于每日步数、睡眠时长、家居设备、浏览记录、社交频率等原始数据会产生对每一个数据主体地理位置、健康状况、家庭消费水平、消费偏好、社交倾向的推论数据但问题在于，展示给数据主体的，只会是“每日步数第一名”、“睡眠质量欠佳”等直观的数据处理结果，至于运算过程中的用户画像，诸如结合“日均步数高”、“睡眠质量差”、“几乎无消费”得到“该数据主体职业类型为蓝领，信用评级低”的推论数据，则只有数据控制者能够获得可见，数据保护原本旨在保障的数据主体对数据搜集、数据处理的各项权利内容在互联网、算法、人工智能技术的紧密结合下几乎形同虚设其中，最为引人瞩目的应属个人对推论数据获取权的被掩藏若将个人数据知情权与个人数据获取权相比较，可知：前者对应的数据类型是接收型数据，后者对应的数据类型是推论型数据；前者保障数据主体对数据处理开端与结果的了解，后者保障数据主体对数据处理过程与内容的查阅但十分耐人寻味的是，既有研究成果几乎都将重点放在了对接收型数据的保护上：或重点研究如何完善“知情—同意”机制；或重点设计App隐私保护政策中的“用户同意”条款，对于数据主体推论数据获取权的问题，似乎无意之间达成了噤声的默契。

但故作默契的视而不见无法消除问题本身：若放任数据控制者对推论数据的追求，不仅可能会产生数据收集最初用途的被虚置或被篡改，还可能会导致非敏感个人数据向敏感个人数据的转化，更有甚者，可能会导致假名化处理的无效目前国内的法学领域关于推论数据的研究几乎为空白，但围绕推论数据的关联概念倒是出现了不少有益成果，例如有学者从2017年便开始关注算法自动化决策可能产生的数据失控、结果歧视等算法妨害，并陆续对算法解释权这一新兴权利的内容及应用展开研究；其他学科领域则已出现直接相关的成果，例如新闻传播领域对数据侧写和用户画像的关注、信息安全领域对数据侧写技术的关注、计算机科学领域对观察数据因果关系的关注就国外而言，既有研究已经敏锐的发现了数据侧写、用户画像过程中会大量产生数据企业为了回避风险、调整行为、控制成本、迷惑竞争对手的推论数据，但未从实证的视角，对推论数据的法律属性及该类数据上的相关数据权利内容进行研究，本文的着力点正在于此，希望通过案例分析界定推论数据的内部构造、法律属性，通过实证研究分析推论数据保护的困境，通过对规范文本的分析挖掘推论数据被忽视的根源，并通过对既有立法的评论提出对未来立法的期待。

PART-2问题的核心：推论数据属于个人数据吗？若推论数据是个人数据，则数据主体应当对其享有各项数据权利，其中包括对推论数据的获取权、更正权、删除权等权利内容；若推论数据不是个人数据，则其应当落入数据控制者数据权利的范畴，数据主体无权涉足因此，讨论推论数据是否属于个人数据，是论证数据主体对其是否应当享有权利的逻辑前提以下将结合判决结果截然不同的两个经典判例，论证推论数据的内部构造及其法律属性一)讨论基础：经典判例案情概览1. YSM系列案2009年1月13日，YS以外国人的身份依照荷兰的庇护法提交了固定期限内在荷兰居留的申请申请提交后，荷兰移民局于2009年6月9日作出了驳回申请的决定2010年4月9日，该机构撤销了该决定；但是2010年7月6日，该机构再次作出了驳回申请的决定YS对移民局反复无常的决定感到困惑，于是在2010年9月10日向该机构提出了信息公开的申请，要求该机构向其披露在该决定作出过程中的全部推论数据，以证实该决定的公正性同年9月24日，荷兰移民局拒绝了YS关于信息披露的请求，仅向其发送了一份概要概要中的信息包括个人数据来源、个人数据的披露对象，但对于YS想要获取的推论数据，只字未提。

收到概要后，YS再次向荷兰移民局提出信息披露的申请，但该机构于2011年3月22日再次作出了拒绝披露的决定无奈之下，YS将荷兰移民局诉至米德尔堡地区法院，提出了披露推论数据的诉讼请求无独有偶，外国人M与S也经历了与YS类似的遭遇2009年10月28日，该二人向荷兰移民局提出固定期限内居留的申请，亦遭到拒绝在拒绝理由中，荷兰移民局提到“对M与S所主张的推论数据的披露会涉及到对其他数据主体合法权利的侵害”对于上述系列案件，法院持有如下观点：涉案推论数据属于分析过程产生的数据，是人类思维工作的结果，不属于个人数据2. Nowak案Nowak在参加会计师二级考试时，因为一门开卷考查的科目失利，未获得会计师资格证为调查该门科目失利的原因，Nowak于2009年9月向当地考试中心(CAI)提交了查阅答卷的申请；次年3月，考试中心驳回该申请于是，2010年5月，Nowak根据《爱尔兰数据保护法》相关规定，正式向考试中心提起申诉，要求考试中心对其披露所有与其相关的个人数据，包括答卷中考试官的批阅数据同年6月，考试中心向Nowak发送了17份含有其个人数据的文件，但是仍拒绝披露考试答卷内容在Nowak与考试中心数据保护官的多次沟通中，数据保护官多次强调其观点：考试答卷不属于考生个人数据；考生要求查阅答卷的权利不属于数据保护法赋予给数据主体的合法权利。

无奈之下，Nowak将该考试中心的数据保护官诉至法院，要求法院确认其答卷上的信息以及考试官对答卷做出的批阅数据均属于个人数据法院审理后认为：考卷上的考官批阅信息是与具体的自然人相联系的、具有可识别性的推论数据，属于个人数据二)讨论内容：推论数据内部构造上述两个判决结果截然不同的案例中，法官们的核心分歧点不在于具有明显个人特征的直接的提供数据是否属于个人数据，而在于通过机器或人类的计算或推理所得出的间接的分析数据是否属于个人数据1. 提供数据在YS案中，提供数据主要有体现申请人个人特征的客观数据，例如姓名、生日、国籍、性别、民族、宗教、语言、地址、申请理由、个人签名等数据在Nowak案中，提供数据主要有考试单上的姓名、考号，以及答卷中的考生作答信息要判断上述提供型数据是否属于个人数据，关键在于判断该类数据是否具有可识别性参考《欧盟数据保护一般规定》的第2条、第4条第1款、第5条，可知在对“可识别性”的解释上应当做扩大解释：明显能够将其与具体自然人相关联的数据具有可识别性(例如ID信息、地理位置、识别码、医疗信息)；对已经去标识化、已经做加密处理、已经做假名化处理的数据进行反向操作后仍能够指向具体自然人的数据也具有可识别性，也应当属于个人数据。

分析上文中两个案例中的提供数据，可知：其一，YS案中的提供数据具有直接的可识别性，无论是姓名、生日，还是居住地址、个人签名，均能够将其与具体的自然人直接关联；其二，Nowak案中的提供数据具有间接的可识别性，因为考试单封面上会有考生的姓名与考号，即便考官在阅卷过程中无法看到考生信息，无法将答卷信息与具体的自然人相关联，那也是为了保证考试公平而作的可逆的去标识化处理，在阅卷完毕之后，通过去标识化的反向处理，能够将答卷信息、答卷成绩与具体的自然人相关联2. 分析数据在YS案中，分析数据主要包括荷兰移民局对移民申请人综合情况的评估过程法院认为数据主体要求披露分析数据的出发点，在于希望能够核对分析数据是否准确，在于希望能够通过核对分析数据的准确性判断于己不利的推论结果做出的过程是否公平、公正因此，分析数据是否应当向数据主体进行披露的问题可以简化为数据主体是否有权核对分析数据准确性的问题，进而，该问题可以细化为数据主体是否有权要求核对分析过程准确性的问题法院由此认为：推论的过程属于思维方法的运用，是理性判断的过程；其中所蕴含的可识别性的指向对象不是申请人，而是荷兰移民当局因此，法院最终认为，该案中的分析数据不属于申请人的个人数据。

在Nowak案中，分析数据主要是指考官对于考生作答情况的批阅记录法院在论证考官的批阅记录是否属于个人数据时，紧扣“可识别性”展开逻辑推理首先，法院认为根据《爱尔兰数据保护法案》第四条第六款，如果任何类型的测试或考试是为了反映测试参与人的知识、智力、技能或能力，则数据主体享有要求披露考试结果的权利；其次，案涉考试答卷中的信息反映了考生对相关领域知识的掌握，是对其智力水平、判断能力、文字表述水平的检验；再者，载有姓名与考号的答卷与无记名问卷调查中的答卷不同，因为考官对答卷信息的评估将直接决定该考生的成功或失败，并将进一步对其未来的个人工作、个人生活产生影响因此，法院认为，考官对考生答卷的评阅信息当然属于具有可识别性的考生的个人数据，既是因为评阅数据的产生是基于该考生提供的原始数据，也是因为评阅的目的是为了对该考生的能力与知识进行评估三)讨论结果：推论数据属于个人数据1．推论数据具有可识别性所谓可识别性，是指通过个人数据直接或间接辨识具体自然人的可能性其中，后一类辨识方法较难建立统一的标准，因为不同的主体可能因生活阅历、知识积累、能力素质、技术手段、处理措施的各异而拥有不同的辨识能力因此，在对推论数据进行可识别性判断时，不应当单纯依数据形式或数据表面信息进行判断，也不应单纯以辨识方的主观意识或主观能力为据，而应当通过对该个人数据与数据主体之间相关性强弱来进行综合性判断。

以下的判断标准，或可供参考：主体性、独特性、不变性其中：主体性是从个人数据与数据主体的直接联系上进行判断，满足此特征的个人数据通常能够直接揭示数据主体的人格特征，例如姓名、肖像、声音等数据类型；独特性是从个人数据与数据主体的匹配程度上进行判断，满足此特征的个人数据与数据主体是一对一匹配的，例如社保号、身份证件号、学号、考号等数据类型；不变性是从个人数据与数据主体的分离程度上进行判断，满足此特征的个人数据通常不以数据主体的意思变化发生变动，例如声音、指纹、基因等数据类型若推论数据同时满足以上三个特征，则具有可识别性，属于个人数据2．数据主体对推论数据享有合理期待在确认推论数据具有可识别性之后，需要回答的问题是：数据主体对推论数据是否享有合理期待？所谓“合理期待”，是指数据主体对个人数据之上的权利享有期待法律保护的利益在回答“数据主体是否对推论数据享有合理期待”的问题上，或可运用“马赛克理论”来解答根据马赛克理论(Mosaic Theory)，当某类个人数据被暴露于公开场合或被置于他人可获取的场所时，该类数据背后的数据主体是“隐名”的，此时，数据主体对该类个人数据不应享有合理期待但当他人以有计划的方式针对某类个人数据进行处理(或通过技术手段直接处理的方式，或通过将该个人数。