科技变革下的数据安全之路

◆文/徐懿科

西北农林科技大学学士，美国福特汉姆大学商学院硕士

随着数字化转型和科技革命带来的创新，社交媒体已经成为人们日常生活的一部分。近年来，社交网络平台的用户人数呈指数级的增长，这些平台提供了极具吸引力的沟通方式，人们也因此更倾向于在网络平台上获取和交换信息。但与此同时，人工智能使得数据痕迹可以被记录、监控、处理，并被广泛应用于社会、政治或商业等各种方面。因此，如何保护数据安全和隐私，维护用户的隐私安全，成为一个不容忽视的主题，引起了社会的广泛注意。

一.创新的商业模式为数据应用多样化提供平台

从商业应用的角度来看，数据本身没有价值，其价值是在使用过程中实现的。当下，网络平台主要聚焦于用户体验以及实现用户数据货币化，通过为用户提供服务，并不断收集用户数据来完善自己的产品，提高用户黏性。虽然用户使用的网络平台服务是免费或者低成本的，但在此过程中用户也在源源不断的向平台反馈数据。通过数据可以研究用户的行为，分析得到用户的偏好。一方面可以通过用户画像，直接向用户推送他们感兴趣的产品广告，即精准营销，并将用户数据出售给广告商直接获得收益，广告收益是Facebook的主要收入来源；另一方面则可以从用户数据中提取其支付意愿，从而对售卖的商品可以采用个人定价，这也就是，基于个人数据产生对于相同产品的价格差异，然而这对于某些客户可能是不利的，这也就是我们通常所说的“大数据杀熟”。

互联网平台尤其是有能力收集、保存大量数据的平台，在某种程度上来说，是数据价值的最大利用者，也是数据价值的最大获益者。以Google、Facebook、Amazon、Apple（统称GAFA）为代表的硅谷科技公司为例，他们在这方面有着得天独厚的优势：Apple和Google分别控制着移动操作系统iOS和Android；而Facebook控制着最大的社交网络平台，此外旗下还有聊天软件WhatsApp以及基于照片视频的社交软件Instagram。Amazon控制着最大的在线购物平台；Google Chrome浏览器也是收集数据的重要来源，收集包含用户访问网站和含有购买行为的cookie。Google和Facebook是当今吸引大多数互联网流量和用户数据的平台，也是在线广告行业最大的运营商。尽管他们的商业模式不尽相同，但他们却在全球范围内共同控制着个人数据最主要的来源。

二.数据泄露事件频发暴露出数据安全存在的隐患

众所周知，Facebook从用户中收集大量数据，包括用户内容、联系人列表、使用设备信息、位置数据以及来自第三方的信息。然而，Facebook的默认隐私设置漏洞给了恶意行为者可乘之机，他们可以将从所谓的“暗网”中获取的电子邮件地址和电话号码，与Facebook公开用户的个人资料相匹配，泄露用户的隐私信息。

但该漏洞带来的负面效应却不止于此— 数据泄露所带来的一系列连锁反应对政治选举也产生了重大影响:Cambridge Analytica公司在未经其知情或许可的情况下使用了大约8700万Facebook用户的个人信息，用于2016年特朗普美国大选的宣传工作。一个名为“this is your digital life”的测试App用5美元的金钱奖励诱使Facebook用户注册其App，在此过程中获得了用户的授权，基于该授权调取用户在Facebook上的相关数据（用户信息、朋友关系网和点赞过的内容）。对数据进行分析，进行关于用户个性和选举投票行为的研究。而上述事件的发生仅仅因为Facebook开放了数据调用接口。其后App开发者以80万美元的价格将这些数据卖给了Cambridge Analytica公司。Cambridge Analytica收集这些数据，作为特朗普选举活动的战略支持来源。除此之外，Cambridge Analytica还与Internet Research Agency合作，帮助俄罗斯确定目标群体（美国选民）并针对他们进行关于美国大选的宣传。此次宣传通过470个Facebook帐户发布虚假新闻，试图影响美国政治形势，大约有1.57亿美国人看到了相关内容。虽然在2015年Facebook就要求Cambridge Analytica删除他们获得的数据，并获得了Cambridge Analytica的肯定答复。但是此时数据已经脱离了Facebook的掌控，Facebook也很难对Cambridge Analytica的数据销毁工作进行检查。

Google在其社交媒体Google+平台也遭遇了两次数据泄露的打击：在系统安全审核期间发现的一个漏洞，会导致泄露大约50万用户的数据；在2018下半年再次发现了会损害信息安全的漏洞，则可能暴露超过5000万用户的私人姓名和电子邮件地址。与此同时，App Store的一些中国用户则成为了账单信息暴露的受害者。在某些情况下，第三方能够从包括支付宝在内的含有支付功能的应用程序中提取资金。

而作为零售平台的Amazon，也存在滥用数据的情况，Amazon是拥有许多自有商品的零售商，同时大量的第三方卖家也在Amazon上出售他们的商品。但Amazon曾被指收集第三方卖家的数据来提升其自有品牌的竞争力，以确保Amazon自有产品始终比第三方卖家的商品的品质更佳。不仅如此，Amazon还要求第三方卖家必须使用平台提供的数据支持，并向这些第三方卖家收取更多费用。

上述事件的共同点在于，它们不是由于个人疏忽导致的典型数据泄露事件，而是利用网络平台创建操纵用户信息的工具的结果。而此类事件也体现出，网络平台用户可能无法完全理解或理解其个人数据的收集、保护、传输、使用和滥用程度。

三.保护数据安全逐渐成为当今社会的共识

大数据时代，维护个人隐私权应当成为公民的一项基本权利，而数据安全也已成为科技公司生存和发展的关键。伴随着数据隐私在全球的监管趋势加强，科技巨头在数据安全领域加大投资力度，而各国的立法也在不断完善关于个人数据隐私方面的保护。

1. 《通用数据保护条例》

欧盟《通用数据保护条例》（即《GDPR》）于 2018年 5 月 25 日正式生效。它不仅取代了 1995 年的《数据保护指令》和欧盟成员国各自制定的相关法律法规，更率先在个人隐私保护方面迈出重要的一步。因为《GDPR》要求企业必须重点保护个人数据而非控制企业内部安全流程，而这打破了企业现有的安全和隐私程序。

《GDPR》的创新之处在于：它扩大了数据保护范围，此项法规不仅适用于欧盟内成立的企业，还对于任何位于欧盟外但向欧盟境内人士提供数据服务的企业做出了同样要求；对违规行为加重处罚力度，最高罚款额将大幅增加至企业全球营业额的4% ；对于发生的数据泄露事件，企业有向社会披露的义务，并且还要及时通知相关的欧洲数据保护官方机构，若事故属于高风险，企业还必须向受影响的个人发出通知；增加对数据隐私管治、数据配置及影响评估的要求；加强个人数据享有的权利：个人将有权要求其个人数据从系统中删除、免除自动数据分析，以及有权要求获取其个人数据之副本，企业必须决定个人行使上述权利的方式；加强对供应链的合规要求：企业必须选用能确保可实行并满足《GDPR》要求的安全措施的第三方为其处理个人数据。

2. 《加州消费者隐私法案》

2020 年 1 月 1 日，美国《加州消费者隐私法案》（即《CCPA》）正式生效。这部法律着重于在科技公司收集和使用数据时，能赋予人们更高的信息控制权。

该法律旨在提高加州居民对个人信息相关问题的关注，特别是企业对个人信息的收集和所收集的个人信息如何成为其他企业财产的问题，切实保护加州居民的隐私权。进一步来说，这部法律要求相关企业和机构公开透明地收集、共享和使用用户数据。加州居民将有权要求知悉企业收集了哪些个人数据、企业是否将这些数据出售给其他企业或与其他企业共享（若存在上述情况，要提供其中具体涉及哪些个人数据），并有权要求企业停止出售个人数据。总的来说，主要保障了用户的5个权利：用户有权要求企业公开其个人数据收集及出售情况，包括个人可识别信息的类型、来源、用途以及是否与第三方共享；用户有权要求企业提供过去12个月内收集的个人可识别信息之副本；用户有权要求企业删除所收集的个人身份信息；用户有权要求企业不得出售其个人数据；用户有权不受歧视地行使上述权利。

3.互联网企业的积极响应

在科技巨头们屡次成为数据泄露事件的受害者，收到相关机构开出的巨额罚单后，互联网企业也开始着力于维护数据安全。以GAFA公司为代表，为提升信息安全，围绕各自的产品，进行了不同程度的修改。比如Facebook修改其隐私政策，限制对各种API的数据访问权，并寄期望人工智能来提升网络平台的数据安全性；Google不仅关闭了涉嫌数据泄露的社交媒体平台Google+，还提升了用户对其Google帐户设置和权限的控制权，其中包括增加对试图访问Gmail等通信工具的应用程序的限制，并限制了应用程序访问安卓移动设备上的通话和短信记录的能力。Google还为高风险用户创建了高级保护计划，高风险用户包括“记者、商业领袖和政治竞选团队”。

Apple则将目光对准了企业级别的用户数据，致力于解决企业网络安全问题，2018年宣布与Cisco以及Aon，Allianz两家保险集团建立合作伙伴关系，协助更多的机构管理与保护自身免受第三方软件恶意攻击的网络风险。而Google的母公司Alphabet则创建了专门构建企业安全管理系统的子公司Chronicle，目标是开发更全面的网络安全保护产品。

但长久数据安全的建立和维护不应仅仅停留在技术层面，数据泄露的接连发生也在不断透支着社会各界对于网络平台的信任。在关于Facebook虚拟货币Libra的听证会上，几乎在场的所有议员都表示，Facebook为过去的失败承担责任，努力重新获得信任，才是Libra项目继续推进的重要前提。回应社会对数据隐私和安全性日益广泛的担忧，并恢复公众的信任是科技企业不可推卸的责任。当问题出现时，内部的算法、商业模式无法解释其责任，那么政府和社会必然会倾向于让平台承担更多的责任。因此，尊重消费者的选择是提升科技企业透明度与可信赖度的必经之路。

从欧盟、美国到中国，个人隐私保护已经成为大数据时代的重要命题。科技发展的不断变迁，使得数据所蕴藏的巨大价值进一步彰显，但数字化社会关于个人信息保护的探索仍然停留在初期，导致缺乏成熟的监管体系，侵犯用户隐私和买卖个人数据的事件也层出不穷。不过随着各国相关法律法规的不断健全，加强对网络数据的监管，科技企业对完善隐私保护系统的不断发掘，用户对个人隐私的愈发重视，一定能在合理利用数据和维护个人隐私空间之中找到平衡。