第三方数据共享中企业的个人数据保护义务构建.pdf

科技与法律（中英文）SCIENCE TECHNOLOGY AND LAW（CHINESE-ENGLISH VERSION）2023年 第4期 总第16期第三方数据共享中企业的个人数据保护义务构建许 娟a,b，罗熠琛a,b（南京信息工程大学 a.法政学院；b.大数据法治研究院，南京 210044）摘 要：企业利用个人数据的技术不断迭代引发第三方数据呈现公共性和共享性特点，个人数据相关的隐私与安全问题在第三方数据共享下面临网络空间乃至于国家主权的挑战，国家需要创建数据管理机构统筹协调，应对数据安全问题。根据个人信息保护法 第二十一条、第二十三条关于第三方数据共享制度的分类规定，提出中介服务与委托服务两种类型，并将确保安全原则置于在国家安全、网络安全、数据安全等三个方面全方位考量，拓展并完善企业安全保障义务制度。企业为回应国家数据管理的需求，不断创新技术，以增强国家对高科技企业的信任。企业自我答责包括：增强透明义务、通知义务和风险管理义务等安保义务，通过技术确保数据保密的经济、完整和可用。数据企业应当自我完善并形成以技术为基础，以义务为导向的第三方数据共享的数据安全保障体系。关键词：第三方数据；数据共享；个人信息保护法；企业义务中图分类号：DF 0-059 文献标志码：A 文章编号：20969783（2023）04003211一、问题的提出2022年10月，美国联邦贸易委员会提交了起诉状，控告Uber旗下酒类配送公司Drizly出现严重安全故障，造成数据泄露。Drizly未能使用适当的信息安全措施来保护用户的个人数据，使得黑客能够访问Drizly的用户数据库，并窃取与250万用户相关的信息1。根据该起诉状的描述，Drizly的数据库拥有250多万用户的个人数据（包括敏感数据），其中包含其作为第三方获取的数据。以上第三方数据被数据库共享后出现的安全问题成为一大焦点。尽管企业数据利用过程中在安全监管上的疏漏在所难免，然而为了防范巨大安全隐患，中国正在组建的国家数据局机构重置，改变九龙治水格局，新机构专门负责集中管控数据。一改多部门共同监管数据的结构，其中在新机构的三大职能中，有负责数据资源整合的职能，这可有效回应安全问题，并超越了美国联邦贸易委员会的部分职能。新机构将调查数字领域的各种问题，比如识别网络攻击的数据安全漏洞。新机构不仅将中国本土公司纳入在监管范围之内，在华营业的跨国公司也被包括在监管之内。新机构和国家反垄断局拥有类似地位，这就意味着数据安全问题已经愈发成为中国政府关注的要点。正如以上案例中的美国联邦贸易委员会探索新的监管法规以加强网络隐私保护一样，中国也出台了 中华人民共和国个人信息保护法（以下简称 个人信息保护法）、中华人民共和国数据安全法（以下简称 数据安全法）等多项法规，监督互联网公司的数据处理。数据共享的安全问题成为世界各国重点关注的不可避免的趋势2。因为数据共享和个人信息的多方处理实际上带来个人数据保护问题：一方面，第三方数据共享的隐蔽性增加了个人信息权益受侵害的风险；另一方面，第三方数据共享的间接性增加了个人数据被泄露的风险。针对数据安全监管，个人信息保护法 第五章专章规定个人信息处理者的义务，并在第五十一条第一款将义务的目的归为：减小个人权益的影响和可能存在的安全风险。义务取决于角色，所以义务制度构建基金项目：国家社会科学基金重大项目“构建人类命运共同体国际法治创新研究”(18ZDA153)；国家社会科学基金一般项目“个人信息权利行使的平衡机制研究”(19BFX127)作者简介：许 娟（1972），女，湖北仙桃人，教授，博士生导师，博士，研究方向：法律信息科技；罗熠琛（1999），男，湖南株洲人，硕士，大数据法治研究院研究员，通信作者，研究方向：数据法，经济法（）。许 娟 罗熠琛DOI:10.19685/112922/n.2023.04.004-32第三方数据共享中企业的个人数据保护义务构建许 娟 罗熠琛的前提是找准角色定位。个人信息保护法 第二十条至二十三条将多方参与个人信息处理分为共同处理、委托处理、转移处理、提供处理四种类型。共同处理为多方共同决定的数据处理，不存在独立于双方关系的第三方；而转移处理是特殊原因下的数据被迫转移。由此可见，涉及第三方数据共享的仅为第二十一条、第二十三条规定的委托处理和提供处理。但法律只给出概念，并未解释。立法应厘清不同参与者在处理个人信息过程中所应履行的义务，保护个人信息权益少受或免受侵害、减小个人数据被泄露的风险。有必要揭示目前数据流通共享的真实样貌，正本清源地辨析第三方数据共享下网络服务场景及其义务问题。二、第三方数据共享场景的数据安全保护困境及其成因分析2022年12月2日，中共中央、国务院发布 关于构建数据基础制度更好发挥数据要素作用的意见（以下简称数据二十条），提出支持第三方机构、中介服务组织加强数据采集和质量评估标准制定，推动数据产品标准化，发展数据分析、数据服务等产业3。由此可以看出，第三方数据服务成为中国未来数字经济发展的趋势。而大数据利用与传统的单主体权益行使不同，通常个人信息权益在自然人与数据相对方双主体之间分配，在保持双主体权利总量不变的条件下，自然人个人信息权益可以通过同意让渡给相对方获取财产性利益4。此时，若出现第三方，个人信息权益继续分配。中华人民共和国民法典(以下简称 民法典)、个人信息保护法 对第三方数据服务的场景具体化，个人信息保护法 第二十一条、二十三条将第三方分为受托处理者与提供处理者，委托处理活动参照适用民法典 中的委托合同民事法律关系；提供个人信息给他人处理时参照适用 民法典 中介合同的法律关系。即根据第三方在数据共享中扮演的角色，把第三方数据共享的场景分为：委托服务场景（一种直线关系，如图1所示，第三方通常是数据的处理者）、中介服务场景（一种三角关系，如图2所示，第三方通常只是数据的控制者）；以及中介服务与委托服务相结合的场景，如图3所示。本文主要从委托服务场景与中介服务场景展开，由于第三种场景是前两种场景的简单累加，本文不再单独赘述。图1 委托服务场景下的第三方数据共享图2 中介服务场景下的第三方数据共享图3 中介服务+委托服务场景下的第三方数据共享（一）委托服务型第三方数据共享中的数据安全保护困境及其成因分析1.第三方数据委托服务中的数据安全保护困境第一阶段，第三方所涉的利益链条催生新的数据安全问题。随着各种智能终端技术的发展，各种应用程序越来越方便和丰富人们的日常生活，人们通过应用程序来完成生活中的方方面面。从用户的角度来看，应用程序的使用只涉及该程序运营者与用户之间的关系。然而，应用程序生态系统中的盈利动机和技术方法使得这一看似简单的图景变得复杂，企业经常使用第三方机构来实现其日常活动的一个或多个功能5。这是因为应用程序的盈利模式：要么是在应用程序中放置广告给用户查看，从广告供应方处获取广告位费；要么是用户在应用程序内直接对程序运营者支付，以便在使用应用程序的过程中获得或改进一种功能。这两种盈利模式都鼓励程序运营者让第三方通过第三方服务库的形式参与到他们的程序中6。数据在第三方库共享后逐利性地形成数据利益，第三方增加的数据利益链条使得黑客攻击机会增多，黑客利用数据流通过程中的漏洞攻击催生出新的数据安-33科技与法律（中英文）SCIENCE TECHNOLOGY AND LAW（CHINESE-ENGLISH VERSION）2023年 第4期 总第16期全问题。第二阶段，委托服务的确立伴生数据安全困境。两种模式及其内部关系概括如下：（1）广告盈利模式。该模式下，互联网企业让第三方服务库收集有关用户的信息，并通过数据分析，为最终用户提供“定向广告”。（2）直接支付模式。该模式下，互联网企业需要进行衍生数据分析，即通过各种来源的大量数据以及强大的云计算能力和复杂的编程算法，实现收集、扫描和处理数据并识别行为模式，提供对未来的预测572-87，即互联网企业可以通过统计其已拥有的相关用户的个人信息，以及收集相关用户何时、何地，以及如何使用其应用程序的行为信息中获益。由于上述两种模式都需要信息收集，而且这些信息的收集很复杂，需要数据收集和存储基础设施。因此互联网企业经常使用第三方数据分析服务库来收集、存储和分析用户的信息，以实现盈利最大化。随着社会进一步分工带来的数据分化安全问题日渐突出，需要统筹数据整合共享和开发利用，创建国家数据局推动数字社会合作，促进数字经济建设与数据安全保障的平衡，消弭第三方数据利用过程中出现的数据安全困境。2.第三方数据委托服务共享与个人数据保护困境的成因分析首先，数据共享与保护之龃龉及其成因分析。华尔街日报 进行的一项测试显示，社交媒体巨头Facebook在用户进入许多热门智能手机APP后几秒钟就会从这些APP中收集大量个人信息，即使用户并没有与 Facebook 连接。测试显示，这些 APP经常在没有任何明显或具体提示的情况下共享数据7。在中国,委托服务同样是一种普遍的应用现象。比如，东芝在其隐私政策中表明：本业务中的某些模块或功能由外部供应商提供8。通过使用应用程序我们可以了解到：应用程序对用户个人信息的访问权限，通常是用户在智能终端的指导下同意或拒绝的。然而，由于第三方服务库被直接合并到应用程序中，当前的智能终端架构不允许用户区分并授予应用程序、库或两者一起的特定权限。于是，委托方（相对方）有什么权限，受托方（第三方）就有什么权限。即第三方可以直接访问用户的位置、浏览历史记录、相册、联系人列表等敏感信息。并且，用户如果希望禁用第三方库的一个权限，则用户必须禁用整个应用程序的权限，同时将失去与该权限相关联的任何应用程序功能，引发数据共享与保护之冲突。其次，资本逻辑下的数据自治与数据共享困境及其成因分析。利用第三方分析用户行为并投放广告的服务是应用程序中无处不在，且不透明的方面。尽管许多人通过使用Cookie和类似技术对网络跟踪有点熟悉，但大多数人对应用程序领域中的第三方角色了解甚少9。并且更多的用户不了解运营商与第三方服务库的结果及其影响10。第三方服务库对程序运营商来说通常也是复杂的、不透明的，因此，可能运营商会合并第三方服务库，而不完全理解这意味着什么。从运营商的角度来看，由于其通过第三方服务库而获得利益，于是第三方获取数据的权限越大，行为越隐蔽，对其资本追逐越有利。而从第三方的角度来看，有委托即代表有资金来源。于是，第三方也往往试图进一步混淆或模糊第三方库的行为。于是在司法实践中,当用户的个人信息权益受到侵犯时,被告通常会抛出其与第三方（用户并不知情）之间存在合同或其他交易安排,来逃避自身的责任，使用户的权益救济陷入困难。即在委托服务场景中，这种运营商和第三方之间不鼓励透明度的关系，形成资本逻辑下的自治困境。（二）中介服务型第三方数据共享中的数据安全保护困境及其成因分析1.第三方数据中介服务中的数据安全保护困境第一阶段，共享经济中大量的第三方数据引发数据安全保护困境。2015年的 中国网络社会研究报告 表明，虚拟化、大数据推动个性化和批量化数据服务这两个不同的方向在深度信息化的道路上可以同时到达11。随着数字经济时代的来临，数字服务特别是以第三方服务为基础的平台经济，第三方平台如“滴滴”等平台源于逐渐兴起的“共享经济”思维”12，第三方数据共享在数字经济中发挥着越来越重要作用的同时，也存在数据安全保护的困境。在对第三方平台进行为期两年的整顿之后，新设国家数据局旨在更进一步弥合数据安全困境，并规划第三方数据中心，努力解决政府对潜在数据泄露的担忧。第二阶段，中介服务的独立引发的数据安全保护困境。用户与供应商分别将数据共享给第三方网络平台，使得数据高效流通以促进数字经济的发展。于是，网络平台在自身的构造类型和服务定位等方面都-34第三方数据共享中企业的个人数据保护义务构建许 娟 罗熠琛出现很大的不同，由直接或间接参与到法律行为中，逐渐发展成为消费者与服务者之外的“中立”第三方主体，只在消费者和服务者之间充当媒介、发挥信息桥梁的作用（如“滴滴”网约车平台只为有用车需求的用户和乘车点周围的私家车主提供交易信息，而并不参与到合同的履行中去）13。在此情况下，第三方平台运营商即中介服务者的中介服务应运而生。在提供中介服务中存在数据安全隐患，2021年，滴滴事件中的数据安全风云中，中国政府就宣布对“滴滴出行”启动网络安全审查，为此，滴滴副总裁李敏发布微博，强调绝无可能将数据交给美国。美国政府和媒体怀疑美国影音社交平台TikTok在北京的母公司将美国敏感数据和技术在北京本地共享，为消除美国怀疑，TikTok将美国用户数据信息迁移到美国甲骨文公司（Oracle）的服务器上，努力解决美国监管机构对数据经中介服务外包影响数据合成的担忧。2.第三方数据中介服务共享与个人数据保护困境的成因分析首先，数据共享与保护之龃龉及其成因分析。在数字经济时代，互联网技术广泛运用在人们日常生活中，第三方网络平台扮演着日益重要的角色，各类第三方网络平台作为信息处理者每天接触到大量个人数据。理论界认为，第三方网络平台具有较传统中介机构更强的信息收集、信息整理、信息发散和信息风险分摊能力，能够通过大数据信息系统、互联网和云计算等技术，实现支付清算和信息收集等领域内的信息对称、降低数据泄露风险等目标。但实际上是，第三方网络平台又因为其底层技术的网状结构和多节点，以及数字化快速交易，整个互联网系统成为信息的发散地，在提高信息扩散能力的同时，也形成了新的风险传播源14，引发个人数据保护难题。其次，隔绝逻辑下的数据自治与数据共享困境及其成因分析。第三方网络平台通过互联网和移动互联网将诸多分散的计算机、移动电子终端设备连接起来，形成相互隔绝又相互连接的网络，以及远距离、多节点和非接触性交易模式。其虽然以网络为载体能增加信息传送能力，但是也出现如下问题：一方面，因为第三方网络平台的虚拟性、不透明性、非接触性特征而增加个人数据收集的信息不对称风险；另一方面，在第三方网络平台模式下，网络的虚拟性使得各参与者相交却不相识，第三方无须承担“熟人社会”场景下的道德责任或信用责任，激励了个人数据收集不披露或不恰当披露的积极性，助长个人数据收集的不透明。事实上，第三方网络平台未执行网络安全领域运作，他们因其优势地位和追逐利益屡屡冒险触碰法律法规的红线。而且考虑网络空间本身的虚拟性、数据资源的丰富性、多样性以及网络受众群体的广泛性，一旦第三方网络平台自身存在技术漏洞，抑或是其工作人员出现操作上的疏忽、监管上的纰漏，极易导致用户的合法权益遭受侵害134-16。即在中介服务场景中，这种用户和第三方之间虚拟化、不透明的关系，形成隔绝逻辑下的自治困境。三、第三方数据共享中企业的透明义务适配由于 民法典 总则编没有确立个人信息权的概念，现行的 个人信息保护法 调转权利保护模式，采取的是“法益+特定义务结合”模式15。“数据二十条”进一步指出，鼓励企业积极参与数据要素市场建设，围绕数据来源、数据产权、数据质量、数据使用等，推行面向数据商及第三方专业服务机构的数据流通交易声明和承诺制16。为释放数字经济创新促进效应，推动数字经济高质量发展，要建立平衡的数据隐私保护制度，构建有利于创新的商业环境和透明、可预期的政策环境17。法律和政策背后的治理逻辑均是压实企业的数据治理责任与义务。尽管 个人信息保护法 专章规定了个人信息处理规则及其处理者的义务，但对透明义务的规定较为概括，需要法律加以明确和解释。（一）委托服务场景下互联网企业的透明义务增强1.运营者对第三方服务的披露义务的法律规范逻辑首先，从互联网技术事实到立法规范的转化逻辑上来看，一种技术行为被规制，另一种类似的技术行为也跟着被规制。个人信息保护法 第四条第一款将该种可识别自然人的信息定义为个人信息，于是使用Cookie识别自然人个人信息的数据利用行为会受到个人信息保护法 透明原则条款的约束。第三方库广告或分析的数据利用行为与网站使用Cookie跟踪用户的数据利用行为具有极大的类似性，使用Cookie-35科技与法律（中英文）SCIENCE TECHNOLOGY AND LAW（CHINESE-ENGLISH VERSION）2023年 第4期 总第16期可识别自然人信息权益保护的法律规范跟着也与运营者第三方服务提供数据权益保护义务规范具有类似性。从技术事实来看，Cookie的使用，使跟踪、分析和识别个人信息成为可能18，各国监管机构均认为，网站需要在其隐私政策中披露Cookie的使用情况，包括第三方Cookie。Cookie为了辨别用户身份进行Session跟踪而储存在用户本地终端上的数据（通常经过加密），为确保网站正常运转、为用户获得更轻松的访问体验、向用户推荐其可能感兴趣的内容，浏览器会在用户的计算机或移动设备上存储名为Cookie的小数据文件。用户的浏览器一旦启用Cookie，Cookie将根据用户所有的后续请求，将数据与Web服务器关联，Cookie跟踪用户各种请求的技术活动是数据利用行为的基础。根据互联网技术事实的类似性转化到法律规范上也具有类似性的学理依据，从Cookie识别自然人个人信息的数据利用行为的透明义务可以推出运营者对第三方服务的披露义务。其次，从第三方数据共享行业应用场景的泛在化来看，为数据安全缘故，运营者对第三方服务的披露义务具有法律的可解释性。个人信息保护法 第七十三条对个人信息处理者进行了定义，即对信息处理有完全自主权的主体才是本法所言的个人信息处理者。在委托服务场景下，受托人系根据委托人的要求处理个人信息，那么仿佛受托人就不属于 个人信息保护法 中的“个人信息处理者”，就不负有告知与取得单独同意的义务，委托方也就不具有对外披露合作方的义务19。但在数字经济时代，数据共享变得尤为普遍的泛在化第三方数据条件下，需要将运营者纳入个人信息处理者监管范畴，加之我国个人信息处理者是一个非常宽泛的概念，我国 个人信息保护法 并未区分控制者和处理者20。事实上，应用程序在隐私政策中声明应用程序不会收集某一类的个人信息，但第三方可能会收集；在一些情况下，平台提供了指向第三方的隐私政策链接。该委托场景下，第三方数据共享行为大大增加了个人信息权益受侵害的风险，出于事前降低风险与风险发生后追责的考虑，运营者有义务在他们自己的隐私政策范围内披露第三方的数据收集。2.第三方独立而增强的透明义务按照功能主义解释，不仅可给第三方委托数据共享以一般透明义务，还要课以独立而增强的透明义务。对于不同的第三方服务，互联网企业对用户应负有适配的透明义务，且这些义务的适用应考虑具体场景中互联网企业的功能地位。在委托服务场景下，即使提高了运营者的披露义务，第三方的作用也给强调个人同意和支配的隐私保护法律和理论带来相当大的冲击。即使互联网企业披露了第三方的数据收集，个人用户仍然难以理解这些不同选择的系统影响。第三方委托服务的隐蔽性决定其需要一个面对面的透明机制，来解决超越双方主体的直线共享问题。例如，一个消费者的手机上可能有三个应用程序，而且它们都可能使用相同的广告服务库6156。即使目标广告的数据收集（第三方的数据收集）被披露给用户，并且它同意了每个应用程序的数据收集，它也不一定知道这三个应用程序都使用了同一个广告库。而作为这个广告库的第三方将能够在三个不同的应用程序上跟踪她的活动，获取附加信息进而可能对该自然人进行可识别的了解21，以便针对性发布广告。在此情况下，第三方活动的全部影响对用户来说就是不透明的。出于个人数据保护并实现全面问责制的考虑，需要课以第三方一个独立而增强的透明义务，即第三方应负有披露其所有服务对象的义务。（二）中介服务场景下互联网企业的透明义务透明义务是算法公平的主要内容，美国人工智能法案的 公平法 问责法 等单行法中纷纷表明对算法透明度的义务要求和责任形态。我国 个人信息保护法 第二十三条明确规定对外提供个人信息时，应当经过个人信息主体“单独同意”。即在中介服务场景下，现行法已经规定了个人信息处理者需履行披露合作方存在的义务。但透明义务的逻辑是：“力量越不平衡，信息越不对称，对用户的控制程度越高，用 个人信息保护法 第七十三条第一款规定：个人信息处理者是指在个人信息处理活动中自主决定处理目的、处理方式的组织或个人。个人信息保护法 第二十三条第一款规定：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。-36第三方数据共享中企业的个人数据保护义务构建许 娟 罗熠琛户的地位越不利，则对透明义务的要求程度越高”22。网络平台运营商作为第三方并不直接参与双方的交易，但由于其功能又不得不掌握大量的用户数据，不得不对其透明义务提出更高的要求。更高的透明义务需要有更高位的价值引导，将规范的透明义务提升到价值的透明义务，包括信义义务、信赖利益保护等。用户往往把第三方网络平台当做一个“无价值取向”的中立平台，其实不然。数据共享技术是“无价值取向”的，而第三方网络平台的“价值取向有无”取决于其“诚信”程度，与信义义务配搭。第三方网络平台作为一个诚信平台,消费者出于对这个第三方网络平台的信赖而参与其中,并向第三方网络平台提供信息数据。第三方互联网企业必须履行义务让消费者信赖，正如一个社会团体中的家长、政府以及企业管理者必须善待其会员一般，否则信任体系将会遭到摧毁23，即互联网企业的适配透明义务是用户信任产生的基石。事实上，决定处理个人信息是否合理的主体是第三方网络平台而不是用户，为了个人信息保护法 第五条规定的处理个人信息必要原则能够受到信息主体的监督与追责，据此提出第三方网络平台的必要信息公开透明义务。四、第三方数据共享中企业的安全保障义务归一早在2016年，Uber公司数据信息泄露导致约万名Uber司机的信息遭泄露。而在2022年10月，得克萨斯州总检察长宣布目前已完成对42 000名个人数据泄露的Uber德州司机的赔偿24，这也标志着Uber平台数据泄露一事终于得到切实解决。个人信息保护法 第五十九条规定，委托处理个人信息的受托人应当采取必要措施保障所处理的个人信息的安全，其引出了委托场景下第三方的安全保障义务。由于第三方是独立于双方关系的个体，其获取个人数据的间接性，导致这些第三方的网络安全措施往往很薄弱，继续成为攻击的目标。鉴于此，无论哪种第三方数据服务场景，互联网企业均负有保障个人数据安全的义务，应当通过立法将保障措施施加于互联网企业。这些保障措施应以有效的方式设计之，应考虑第三方数据共享的特点及可能规避的风险，并遵循比例原则和尊重相关企业与第三方的基本权利，可从以下方面进行义务构建的完善。（一）第三方数据共享下互联网企业的通知义务数据生态系统中这些日益复杂的关系需要超出个人同意范围的数据安全保障，仅仅从各方内部关系的角度进行规制是不够的，还需构建恰当的通知义务。为了这些第三方服务能够更好、更完善、更安全地进行，增加共享个人数据的信任，可以参考欧盟的做法：2022年5月16日，欧盟理事会批准了 数据治理法案（the Data Governance Act，简称 DGA），其创立了一种新的通知制度，要求数据服务商均应向所在地方的主管部门提交通知。并将数据中介服务提供者可提供的服务分为三大类（需要履行通知义务）。这表明任何计划在提供上述数据服务的数据服务提供者，均需向数据服务主管机关报送通知，以方便每个成员国对其辖区内的数据服务提供商进行监管。但欧盟DGA规定的通知义务太过于繁重，如果将该制度硬搬进中国，将无端增加企业的负担，不利于中国初生互联网企业的发展，不完全符合中国的国情，应对该制度取其精华，并依据中国的实践、结合中国现有法律制度以设计之。据此构建出第三方数据共享下互联网企业的通知义务应具体包含以下内容：其一，应通知第三方网络服务提供商的名称与主要办事机构所在地或者注册地或者登记地。中华人民共和国民事诉讼法（以下简称 民事诉讼法）第一百一十九条规定原告起诉中须有明确的被告，最高人民法院关于适用 民事诉讼法 的解释第二百零九条进一步明确所谓“明确的被告”的具体要求，其中强调被告的姓名或者名称，住所等。而在现实中，由于第三方数据共享的间接性、隐蔽性，用户个人权益受侵 个人信息保护法 第五十九条规定：接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务。欧盟 数据治理法案（the Data Governance Act，简称DGA）将数据中介服务提供者可提供的服务分为三大类：法人数据持有人与潜在数据用户之间的中介服务、寻求提供个人数据的数据主体与潜在数据用户之间的中介服务，以及数据合作社的服务。-37科技与法律（中英文）SCIENCE TECHNOLOGY AND LAW（CHINESE-ENGLISH VERSION）2023年 第4期 总第16期害后难以根据上述规定明确被告，此为权利救济的一大困境。该义务的构建基于事实备案的方法，忠于用户救济优先保障的原则，在用户的个人数据受侵害时，用户可以直接在数据主管机关获取第三方网络服务提供商的“明确被告信息”，即突破了用户与第三方的信息壁垒从而实现第三方数据共享与个人权益保障的平衡之治。其二，应通知第三方网络服务提供商提供服务的描述以及预计开展活动的日期。理由有三点：（1）由于第三方数据共享的间接性、隐蔽性，用户个人权益受侵害后，原告的举证责任是用户权利保障的又一大困境。原告往往捕捉不到第三方数据共享的痕迹，而该义务的履行能够将第三方数据共享的行为事实记录留存。在信息不对称的条件下，对该内容的通知备案将是用户承担举证责任的保障。（2）由于数据共享本身存在技术复杂性，即使侵害发生后公开了数据共享的库、程序等内容，非专业人员仍然无法理解个人数据共享的过程。而将该内容通知到第三方专业主管机构有利于解决技术鸿沟引起的不透明，且这也符合法律的效率原则。（3）第三方网络服务提供商提供服务的描述往往涉及企业的商业秘密、知识产权保护。在用户未受侵害的情况下，将该内容通知到国家主管机构保管而不对外公开（即一种对主管机构透明、对公众不透明的模式），有利于平衡数据共享和商业秘密、知识产权保护。（二）第三方数据共享下互联网企业的风险管理义务当今,数据的潜在价值正在持续地被挖掘和兑现，数据驱动经济已经成为一种全新的商业模式。数字经济的发展和扩张需求让数据充分涌动,形成规模化力量,而个体拥有的数据规模的有限性决定了与第三方数据共享的必要性。规模化数据共享到第三方，于此产生的挑战便是个人数据的安全问题25，进而需要构建互联网企业的风险管理义务以应对之。1.个人数据影响评估根据 个人信息保护法 第五十五条规定，特殊情形下的个人信息处理者设定了个人信息保护影响评估义务，而该条的第三款进一步明确指出：委托处理个人信息、向其他个人信息处理者提供个人信息属于该情形，即现行法律已经规定第三方数据共享下互联网企业负有个人信息保护影响评估的义务。数据安全保障需要落实个人数据保护影响评估，而影响评估则需要明确其基本内容与程序。个人信息保护法第五十六条进一步对个人信息保护影响评估的内容进行了规定，该条第三款提出个人信息保护影响评估应当包括对个人权益的影响及安全风险。但其尚未规定“该影响究竟是哪些”，在第三方数据共享的背景下已不足以保障公民的合法权益，亟须填补法律空白。个人数据处理者可以把“影响”综合对象与形态进行类型化：（1）有形个人影响，一般指对个人有形的或是经济影响,主要包括身体受伤、个人经济损失等；（2）无形个人影响，一般指对个人无形或是非经济影响，主要包括名誉损害、个人恐惧或者焦虑、歧视、污名化等；（3）社会影响，一般指对社会的系统性影响，主要包括社会信用的丧失、社会营商环境恶化等。处理信息数据的相对方、第三方应当基于上述“影响”类型，事前拟制数据分级、分类目录，并根据服务的现实 个人信息保护法 第五十五条规定：有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。个人信息保护法 第五十六条：个人信息保护影响评估应当包括下列内容：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。个人信息保护影响评估报告和处理情况记录应当至少保存三年。-38第三方数据共享中企业的个人数据保护义务构建许 娟 罗熠琛需求和个人数据处理的目的、范围、方式等，对不同类型服务中需要处理的个人数据实施安全风险评估。通过对不同类别服务中个人数据安全风险情况的评估，能够预先了解该类个人数据可能存在的安全风险隐患，进而预先避免对个人数据主体带来的影响26。这也是作为数据处理者的相对方、第三方依照 数据安全法 个人信息保护法 的要求从事数据处理活动的完美诠释。2.设立独立监督机构个人信息保护法 第五十八条要求“按照国家规定建立健全个人信息保护合规制度体系”，不过其义务承担者主要限于“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”27。在第三方数据共享下，由于互联网企业获取个人数据的广泛性与间接性，其应有建立健全个人数据保护合规制度体系的义务。而个人数据保护合规是一个复杂的、长期的、专业化的项目，第三方数据共享下的互联网企业需要设立独立的机构来对个人数据保护情况进行监督，并提供相应的人力、物力。该独立监督机构应主要由外部成员组成，其缘由是该独立机构要对互联网企业和数据用户之间的数据共享保持中立，以增加各主体之间对数据共享的信任。要使监督“中立”，需要体现监督机构的“专业性”以及被监督机构的“被动性”，这意味着被监督主体不主动干涉提交或存储的信息，以防止企业内部包庇。该义务致力于构建对监督机构的信任，通过制度设计使监督机构始终处于一种可信任的中立状态，以促进用户与企业之间自愿的数据共享，加强数据共享机制，促进数据的高效流通28。（三）第三方数据共享下互联网企业的技术保障义务各个行业依赖第三方服务的过程中的安全漏洞和攻击环节正在增多。在美国联邦贸易委员会诉Uber旗下的Drizly案件中，经过哈希转换为新值的密码被加密破坏后出现了安全漏洞，需要更新技术迭代保障数据安全。以人工智能技术为例，ChatGPT可以增强逆向工程过程，赋能反恶意软件工作可通过ChatGPT用自然语言告诉程序员应用程序在做什么。更重要的是，ChatGPT可以大规模地完成分析数十万个二进制样本，并向分析师证明洞察力。ChatGPT还可以帮助反击常见的猫捉老鼠技术。例如，恶意软件通常包含反逆向工程技术；可嵌套循环使逆向工程师更难跟踪正在发生的事情和最终状态。ChatGPT不仅可以比人类更快地解决这个问题，还可以分析恶意软件的遗传密码，并查看可能存在代码重用的地方，以更快识别作者的指纹，为数据安全提供技术支持。将 ChatGPT技术与区块链中加密算法、共识机制、去中心化存储等要素结合，能够有效化解当前个人数据保护面临的困境，为隐私保护、数据安全、数据共享带来全新可能29。个人信息保护法 第五十一条具体列举了保护个人信息应当采取的安全技术措施，并对个人信息的技术治理作出了框架性规定30，为企业在个人数据保护政策实施中运用区块链技术提供了规范依据。区块链技术应该作为一个数据处理者的技术保障义务来实施，因为该技术为数据安全的保障提供了无数便利：1.运用加密技术确保个人数据的保密性当前各国的数据保卫战硝烟四起，各种规制主义的规制成本和规制效益之间的失衡，使得通过技术确保个人数据保密性成为不二选择。当加密方法和访问控制与区块链结合时，可以确保数据的保密性31。保障路径可描述为两步：（1）加密方法与区块链结合：虽然区块链不能随意操控修改网络数据(仅私有区块链可以修改），但是可以将交易各方的私有信息进行 个人信息保护法 第五十一条规定：个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：（一）制定内部管理制度和操作规程；（二）对个人信息实行分类管理；（三）采取相应的加密、去标识化等安全技术措施；（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；（五）制定并组织实施个人信息安全事件应急预案；（六）法律、行政法规规定的其他措施。-39科技与法律（中英文）SCIENCE TECHNOLOGY AND LAW（CHINESE-ENGLISH VERSION）2023年 第4期 总第16期加密。若一主体不拥有加密密钥，就不能访问该信息，从而确保数据被限制在授权的人员手中。（2）访问控制与区块链结合：通过设计一个私有区块链来实现访问控制，访问控制可以确定谁可以读取数据以及谁可以修改数据。密码验证过程甚至可以分散在多台计算机之间，每一方只能访问部分信息，这类似于的分布式存储区块链每个节点都按照块链式结构存储完整的数据，其中区块链每个节点存储都是独立的、地位等同的，依靠共识机制保证存储的一致性。2.运用技术确保个人数据的完整性国家数据保护主义采取区块链链式存储和不可篡改的特性，使得链上记录了从创世区块开始的所有信息32。个人数据访问、交互的所有行动均被记录，且不可篡改、删除与伪造33。加密验证机制、共识机制和去中心化的性质使得任何一方篡改存储在区块链上的数据都非常具有挑战性。区块链的该技术属性决定了其非常适合多方参与，且互相缺乏信任的应用场景。只有在大多数节点同意添加数据时，才能在区块链上添加数据。这确保一旦信息在区块链上，它将会变得相对安全，避免主观人为的数据变更。值得注意的是，如果黑客能够访问区块链网络上的大部分计算机，他们就有可能篡改数据。但是，黑客成功地控制大多数电脑并不能保证成功。此外，黑客控制整个计算机分布式网络比控制集中的网络要困难得多，这通常是当今网络安全领域的模式34。区块链确保数据难以篡改的能力对网络安全尤其重要，因此将区块链作为公司的综合网络安全计划，可以比其他方法更好地确保数据的完整性。3.通过技术确保个人数据的可用性数据库中心化趋势的隐忧的主要原因是可能产生数据寡头的统治，而通过技术可以确保数据库中的每一个数据都具有可用性和有效性。区块链分布式账本的数据架构能够避免中心化的个人数据存储带来的弊端，个人可以通过节点掌握个人数据的使用，从而获得对自己数字信息和在线身份的控制权35。即去中心化和安全性确保了存储在区块链和系统本身上的数据在面对攻击时将保持可用。区块链的去中心化性质决定了不存在单一节点失败。这意味着，如果一个节点被关闭，数据仍然可以通过其他节点访问，因为所有这些节点都是维护数据的完整副本除非设置了访问控制来限制某个节点的访问。即使网络的一部分被破坏，也能保证区块链网络将通过其余节点运行。尽管网络入侵的风险仍然存在，但这种风险随着节点分布的增加而成比例地降低341244。适当的访问控制应该作为数据安全计划的一部分来实施，以确保区块链可用性的潜力能够实现。2019 年 10 月 24 日，习近平总书记在中央政治局第十八次集体学习时就明确提出，“把区块链作为核心技术自主创新重要突破口”，“探索利用区块链数据共享模式”。区块链去中心化的信任机制以及加密算法的运用可以实现不需要第三方机构信任背书的个人信息安全共享36，企业也越来越多地考虑使用此技术。欧盟网络和信息安全局的执行董事已经同意：“网络安全应该是区块链部署中的核心要素。”这项技术已经在爱沙尼亚得到部署，以保护婚姻登记、健康记录和其他个人数据的保密性、完整性和可用性。世界各地的数十家央行也在试验区块链技术，目的是解决网络安全等问题。一个公司缺乏安全的数据存储，却有足够的手段从许多人那里收集个人数据，这显然是不合理的。区块链这种数据难以篡改的状态与当前的网络不安全状态形成对比，即便是在ChatGPT生成式人