科技创新与法律前沿系列文章之一:“数据碰撞”会引发法律风险吗?

2021-04-30 18:16:00    作者:周亮、张宇峰
在大数据时代,越来越多的科技公司参与到数据分析的队伍,挖掘数据的最大价值。近期,笔者团队在为多家科技公司提供法律服务的过程中,了解到该等科技公司都曾参与“数据碰撞”的业务。什么是“数据碰撞”?“数据碰撞”是否有法律风险?我们将在本文中详细解读,为相关公司提供参考。
 
我们认为,“数据碰撞”需要做好合规处理,否则容易带来法律风险。
 
一、 “数据碰撞”的业务模式
 
以笔者团队近期服务的某一数据公司(“A公司”)为例,A公司专门为市场各大主流APP及网站提供用户数据分析服务,并在服务过程中根据授权获取用户数据,形成数据库。
 
为加强数据分析和挖掘,A公司与第三方数据公司合作(“B公司”),允许B公司通过“数据碰撞”的方式访问A公司的数据库。B公司将其数据库和A公司的数据库进行碰撞比对,并对由此产生的重合数据、交叉数据进行深度分析。
 
由于A公司和B公司的数据可能有重合,即使A公司未向B公司提供用户的姓名,仅提供其他数据,B公司仍有可能在数据比对的过程中,发现重合的数据,并识别到特定个人。如A公司数据库中显示用户C使用华为手机,经常在每晚9-10点登录微博,查看化妆品相关信息。如这些数据与B公司数据库中的用户D吻合,B公司则可能识别出用户C即是B公司数据库中的用户D。
 
那么,这种“数据碰撞”是否有法律风险?如何规避法律风险?我们将从法律角度进行分析。
 
二、从法律角度如何看待“数据碰撞”?
 
(1) 如数据已匿名化,A公司处理用户数据无需遵守个人信息保护规定
 
根据《网络安全法》1、《个人信息安全规范》2和《个人信息保护法(草案二次审议稿)》相关规定,经匿名化(指数据无法识别到特定个人且无法复原)处理后的信息不属于个人信息。
 
因此,如A公司已将用户数据匿名化,该等用户数据已不属于个人信息。A公司与B公司合作开展“数据碰撞”业务,也无需遵守个人信息保护的相关规定。
 
(2) 如数据未匿名化,“数据碰撞”属于共享个人信息
 
如A公司未将用户数据匿名化,则该等用户数据仍属于个人信息。
 
在“数据碰撞”业务中,A公司允许B公司访问其数据库,并允许B公司获取数据库中的数据用于数据比对。上述行为等同于A公司向B公司提供数据库中的个人信息,且A公司和B公司均对该等个人信息有独立的控制权。因此,A公司的上述行为,属于共享个人信息3。
 
 
三、未经授权的“数据碰撞”是否存在法律风险?
 
在个人信息保护法律下,对个人信息采取不同的处理技术,将带来不一样的法律效果。因此,我们在讨论“数据碰撞”是否合法时,也应按照该等数据的处理程度而进行分类判断。
 
一般而言,对个人信息的处理程度如下所示(从左到右处理程度由低到高):
\

(1) 如数据未去标识化,未经授权的“数据碰撞”很可能存在法律风险
 
未去标识化的原始个人信息可以被识别到特定自然人,因此也需要法律最大力度的保护。对于这一类数据的信息共享,应取得个人信息主体的授权同意4。因此,如数据未去标识化,未经用户明确授权而开展“数据碰撞”业务不合法。
 
而在实践中,为了节约成本及开展业务的便利,科技公司通常不会就“数据碰撞”业务取得用户的授权同意。根据《网络安全法》和《个人信息保护法(草案二次审议稿)》的相关规定,该等行为可能会受到警告或罚款处罚,且可能需要承担相应的民事责任甚至刑事责任。
 
(2) 如数据已去标识化,未经授权的“数据碰撞”法律风险较低
 
根据《个人信息安全规范》5,如A公司已对数据去标识化,且确保B公司无法重新识别或者关联个人信息主体的,则未经用户授权同意的“数据碰撞”业务仍是合法的。
 
因此,对于A公司来说,确保B公司无法重新识别或者关联个人信息主体则尤为重要。A公司应在开展“数据碰撞”业务前,评估B公司的重识别技术能力,确定一个可接受的重识别风险阈值,最终拟定可行的去标识化方案,以确保去标识化后的数据,B公司无法重新识别或者关联个人信息主体,从而避免A公司的违规风险。
 
(3) 如数据已匿名化,未经授权的“数据碰撞”没有法律风险
 
如上所述,匿名化后的数据不可识别个人信息主体且无法复原,已不属于法律所保护的个人信息,使用该等数据无需遵守个人信息保护相关的规定。
 
因此,如数据已匿名化,未经授权的“数据碰撞”仍是合法的。
 
 
四、本期小结与下期预告
 
“数据碰撞”本质是通过数据共享、比对挖掘数据的内在价值,我们相信很多科技公司都曾参与过类似业务。而在实现数据价值的同时,公司也应处理好隐私保护和数据安全。
 
如公司在共享个人信息时,未采取去标识化、匿名化等技术手段,也未取得用户明确的授权同意,则会面临不合规的风险,不仅会受到警告或罚款处罚,甚至可能需要承担相应的民事责任和刑事责任。因此,科技公司应充分重视数据共享的法律风险。
 
下期文章我们将把视角转向个人信息主体的授权同意,分析什么样的授权同意才符合法律要求。

附录:

1.《中华人民共和国网络安全法》:“未经被收集者同意,不得向他人提供个人信息。但是,经过处理无法识别特定个人且不能复原的除外。”
2.《信息安全技术个人信息安全规范》(GB/T 35273-2020):“注:个人信息经匿名化处理后所得的信息不属于个人信息。”
3.《信息安全技术个人信息安全规范》(GB/T 35273-2020):“共享:个人信息控制者向其他控制者提供个人信息,且双方分别对个人信息拥有独立控制权的过程。”
4.《信息安全技术个人信息安全规范》(GB/T 35273-2020):“9.2个人信息共享、转让:b)向个人信息主体告知共享、转让个人信息的目的、数据接收方的类型以及可能产生的后果,并事先征得个人信息主体的授权同意。”
5.《信息安全技术个人信息安全规范》(GB/T 35273-2020):“9.2个人信息共享、转让:b)共享、转让经去标识化处理的个人信息,且确保数据接收方无法重新识别或者关联个人信息主体的除外;”
  • 地址: 广东省广州市天河区珠江新城珠江东路6号广州周大福金融中心14-15层
  • 电话: +86 20-85277000
  • 传真: +86 20-85277002

关注北京大成(广州)律师事务所

Copyright© 2017 北京大成(广州)律师事务所。北京大成律师事务所(“大成”)是一家独立的律师事务所,不是Dentons的成员或者关联律所。大成是根据中华人民共和国法律成立的合伙制律师事务所,以及Dentons在中国的优先合作律所,在中国各地设有40多家办公室。Dentons Group(瑞士联盟)(“Dentons”)是一家单独的国际律师事务所,其成员律所和关联律所分布在全世界160多个地方,包括中国香港特别行政区。需要了解更多信息,请访问dacheng.com/legal-notices或者dentons.com/legal-notices。