设计和默认下的数字人民币个人信息保护研究.pdf

2023 年第 3 期数字人民币是我国法定数字货币，其运营模式为双层运营模式，央行在保持技术中立的原则下，确保各个运营机构进行独立创新，避免了金融脱媒的现象。我国现有的监测流程可以拆分为：以金融机构为“起点”，结合自身所掌握的信息，甄别发现可疑资金交易，上报央行这个“根点”，央行经分析研究再下发其他相关金融机构“节点”进行数据整合和共同调查。但金融机构囿于各项内外部资源制约，无法掌握用户的真正全貌。数字人民币的资金交易监测模式，虽然依旧以商业银行和钱包服务商为起点，但央行通过其中心化地位，以其内部大数据中心掌握所有的数字人民币流通数据。其自身在分析建模时首次发现异常信息，即可下发相应的商业银行进行“多点”调查，商业银行接收到央行的指令后，对用户进行身份核查和大额交易、可疑交易的识别分析上报，因此来有效打破数据孤岛现象。总的来说，数字人民币的个人信息保护较原本的第三方支付和私人货币更加有效，但尽管如此，其仍然存在一些问题。本文将就此作一些探讨。一、问题的提出（一）“大额可控”的信息保护存疑依据“小额匿名、大额可控”的原则，通常情况下数字人民币的各项信息是匿名的，但在反洗钱、反恐怖融资视角下，因公共利益的需求仍可以进行个人信息的调取。那么，既然经特殊事由下可以调取用户的个人信息，说明用户的个人信息至少对于央行来说是完全透明的。而商业银行在办理用户的相关业务时，便由此可获得用户的面部画像、手机号码、身份证号码等敏感信息。在这种情况下，商业银行作为直接与用户对接的“代理商”，必然直接掌握用户的流水记录。在没有明确的信息隔离制度、行业标准以及相关处罚下，商业银行若不能确保行业自律，其信任度难免存疑。同时，作为数字人民币的第二层运营机构商业银行，也因数字人民币个人信息的金融特性，存在着内部行业自律以及外部技术攻击的风险。比如，2021 年上半年我国互联网网络安全监测数据分析报告中显示，境内目标发生过遭受峰值流量超过 1Gbps 的大流量攻击事件。1值得一提的是，去匿名化（deanonymization）的风险一直存在，这是因为伴随技术标准的不断发展，匿名化的标准也在不断变化。比如对于十年前认定的匿名 化 信 息，只 要 添 加 一 些 外 部 信 息（outsideinformation）便极有可能实现去匿名化的效果。加之大数据、算法技术对碎片数据恐怖的整合能力，“匿名”的定性、“匿名标准”的稳定性都值得质疑。可以说，随着加密解密技术的不断发展，“匿名标准”与“去标识化标准”本质趋同，即增加识别自然人身份和属性信息的难度越来越大，已没有绝对化的匿名信息。（二）货币数据化产生的系列问题实物化的人民币所产生的个人信息，具备绝对的匿名化，银行只能获取分散式点状信息。数字人民币是纸质货币的数字化形态，是金融科技创新产品，其可以搭载更大的信息量，比如货币的交易场景、货币的移转等等，人们通过技术整合分析便可以识别用户的身份、行程轨迹以及消费偏好等等。从底层技术来看，由于数字人民币在登记认证系统上利用了区块链的分布式账本技术，信息的不可篡设计和默认下的数字人民币个人信息保护研究 杨晶晶上海建桥学院学报2023 年 9 月No.3?Sep.2023第 3 期642023 年第 3 期设计和默认下的数字人民币个人信息保护研究改性具有的两面效应会突显出来，一旦上链进入，便可让人完整查询用户信息。对于区块链上的个人信息规制范式的选择，目前也存在争议，诸如自主规制、利益相关者共同规制及基于代码的规制，虽适用一种金融产品的不同时期，但各种规制都存在较大的弊端。从跨境的信息流通来看，不同国家央行数字货币的隐私信息标准不同，比如数字人民币（DCEP）遵循所谓的“可控匿名”，央行（PBOC）可以完全监督并接收其它央行数字货币的数据信息，这对于拥有严格隐私法的国家来说，必然存在合意问题。从金融数据泄露来看，数字人民币产生的数据属于个人信息，从银行及第三方机构来看，其又属于数据产品生产者/持有者的权利，即数据资产相关主体的权利。数据资产具有非竞争性、边际成本接近于零，用户的增多不影响数据资产本身的价值，银行即第三方机构对于其数字人民币的数据资产复制的物理成本极低，进行二次转售只会给分享者增加创收。2而且，金融数据具有更高的价值密度、精准性和敏感性，若原本数据爬虫等技术适用不当，产生风险的可能性仍然存在。二、设计和默认下的完美范例：数字人民币个人信息保护（一）何谓设计和默认的个人信息保护设计和默认的个人信息保护制度并非新理念，在国外，早就有相关法律法规指明以及实践应用。比如，GDPR 第 25 条就规定了信息控制者在信息处理的相关过程中需遵守“默认保护”与“设计保护”双重原则。又比如，美国苹果公司在手机产品中实行“App 跟踪透明度”功能，针对 App 运营者对用户手机设备的广告标识符（IDFA）的访问以提升广告质量的营销所涉及的用户隐私问题。在此功能下，手机终端默认用户关闭“允许 App 请求跟踪”。如果用户打开“允许 App 请求跟踪”，只有用户主动授权，App 才能进行跟踪。传统的个人信息保护制度，其核心原则为个人控制原则和行为控制原则，个人控制原则的落实需要以双方主体完全平等磋商和用户知情权的理性行使，行为控制原则行使的范式则要求法律的落实把握合适的“度”，3例如，GDPR采用了独特的“赋权”模式，其第 20 条以及第 17 条分 别 赋 予 了 用 户 数 据 可 携 权（Right to dataportability）和被遗忘权（Right to be forgotten）；美国 儿童在线隐私权保护法（COPPA）采用典型“义务设定型”监管模式明确网络服务者的义务。技术革新对于社会治理思维的影响愈发明显，数据应用从传统单一结构化数据浅层分析模式向以大体量结构化、半结构化数据的深度挖掘和非结构化数据的可识别提取并举的双重技术路线的转型，对数据源的真实性、溯源性产生了更深的依赖。4基于这两个原则的法律规范的固有治理模式已越发形式化，也正面临困境。个人信息权是自然人依法对其个人信息所享有的支配、控制并排除他人侵害的权利。5其兼具人格权与财产权，并且具有法定限制性。比如 德国数据保护法第 6 条第 1 项规定，当事人告诉与更正、消除与封锁的权利，不得以法律行为排除与限制。同时，其是一种积极性人格权，不同于传统的人格权保护（事后救济），必须采用事前救济与事后救济向结合的方式。并且，因用户因网络平台、软件 App的使用而产生的数据汇总成的数据库，信息处理者具有的数据财产权与公民的个人信息权利存在博弈，按照日本学者对人权的四种分类来看，6个人信息权为内在的精神自由权，理应优于属于经济自由权的数据库权利。但现实生活下搜索引擎等网络企业更会以自己的数据财产权利为第一位。从另一个角度来看，个人信息权不同于隐私权的价值保护取向，前者注重信息的流通及使用价值，后者注重人性尊严的保护。因此把握好个人信息自主控制，对于“最小必要原则”与信息价值的利用之间的张力有一定的缓解效果。但“自主”一直以来似乎是个伪命题，一方面，个人信息权是人格权，不得被任意处分，就算用户主体自愿同意，法律也不认可其意思表示的有效性；另一方面，意思表示普遍缺乏自由，网络隐私政策专业术语的晦涩难懂，用户难以熟知其冗长的内容及背后深层含义，同时，巨型网络服务商在数字经济时代下已成为人们日常生活必须的一部分，用户多愿一揽子接受条款换取日常便利，不可能合理期待消费者拒绝建立关系或反复拒绝其处理请求。7设计和默认的信息保护理论是贯通自然语言与机器语言的桥梁，即将自然语言所表述的个人信息保护法律法规转化为能够为系统识别的代码。8652023 年第 3 期设计和默认下的数字人民币个人信息保护研究国内学者的相关表述为，通过将法律规范翻译成计算机代码或解决标准，排除诸如隐私侵入技术企业存在的主观因素以及滥用信息冲动等风险，实现以技术规制技术的引导之手。简单来说，就是法律价值与规则灌输到代码中实现个人信息保护的事前预防，并对法律救济的事后预防起到更准确的标准落实以及执行的助推作用。探究该理论的正当必然性在于以下几点。首先，个人信息保护的信任模式经历了“人际信任”“制度信任”以及“技术信任”三个阶段的更替，9法律规范和行为准则难以维系大数据时代复杂社会的个人信息交互，而技术信任因算法歧视、行业自律等问题产生信任危机。本质上来看，其为“自律”与“他律”的争议问题，以技术自律下的自发秩序，必然存在内部规则以及负面影响，因此有必要进行外部规则的他律予以规制。其次，个人信息的保护灵活多变，往往需要置身于具体场景中来灵活应对，法律规范下的“义务责任制裁”行为规范逻辑在当前个人信息保护规范普遍为概括性授权的背景下难以实现真正的风险应对效果。追其源头数据权属的保护来看，从二元结构的划分来看，数据权属可以分为载体（数据的收集、转化、存储、修改等）与内容（知识产权、个人知情权、删除权等），设计和默认的个人信息保护就是从载体角度予以思考保护，技术引发的风险便是法律介入的逻辑起点。最后，从个人信息利用的二次保护来看，传统保护模式难以应对数据指数级的流转，只有经抽象的原则性法律价值灌输到技术代码中，不折不扣执行隐私合规，方能应对管辖权争议、行业自律等问题。（二）数字化货币的个人信息演变逻辑货币的历史发展源远流长，通常认为其发展形态经历了实物货币、金属货币、信用货币及电子货币四个阶段。10在实物货币阶段，货币作为一般等价物，其可以为牛羊等具有实在在价值的物品，主流经济学理论认为其为货币形态这一概念提供了载体。11在金属货币阶段，货币的实际价值与名义价值仍然近乎相同，其形态主要为贵金属（金银），在商品流通具有较大的局限性，适合区域范围内流通。随后货币的内在价值逐渐变小，为了满足市场流通的要求，贱金属货币诞生，比如铜币、铁币。但商业的繁荣对货币的需求进一步加大，金属货币已经无法满足其要求，因此产生了历史上唐宋的钱荒现象。这之后，信用货币逐渐诞生，货币的实际价值与名义价值彻底分离，在中国，从世界上最早发行的纸币北宋交子、元朝的单一纸币、民国政府的法币到 1948 年的人民币都是信用货币。随着互联网时代的来临，“地球村”的商业流通需求再次催生了货币的进一步转型，货币的数据化才能应对实体经济下不断发展的虚拟经济。私人数字货币开始诞生，从密码技术对数字货币公私钥的应用到区块链技术的应用，出现了诸如中本聪提出的比特币、可编程的以太币以及超主权的天秤币，但因其基于哈耶克的自由主义为思想基础，脱离国家金融体系且犯罪风险丛生，比如全球最大的加密货币矿池之一BTC 声称其遭受网络攻击，导致公司和用户价值约300 万美元的加密资产被盗。12无论是私人数字货币还是法定数字货币，都是由数据串所组成，实质价值近趋为零。而在这一过程中，第三方支付逐渐代替纸币成为人们的日常支付方式，但本质上其不同于数字货币，前者是一种工具平台，其背后以商业银行的信用为支撑，后者是实在的货币且法定数字货币以中央银行即国家信用为支撑。因此有学者提出，基于第三方支付的法定数字货币，可以形象理解为流通在“管道”的“石油”。13个人信息内涵随着技术革命而不断演化，经历了“静态的个人身份、动态的个人身份和个人信息”三个阶段。14早期个人信息被称为个人的身份，诞生于第一次工业革命末和第二次工业革命之初，15其与隐私的概念并没有较大区别，注重个人的静态身份保护。最初含义是公民在纸质文件上登记记载的姓名等各种信息，通过赋权的方式实现个人对身份标识的控制。随着第三次工业革命，技术架构基础设施出现在人们的生活中，纸质信息部分转变成数据串存储于计算机之中，但个体所展现的多面信息仅仅是点对点成线的方式分类平行储存，比如身份信息储存在政府的计算机中，电话信息储存在电话公司的计算机中，而这并不互联共享。不同行业计算机中的个人信息镜像了个体在现实生活中的单面状态，其与静态的身份标识不同，强调对个人在现实社会关系中的完整认知，强调他人评价与自我评价的身份认同，但仍然保护个人的身份特征。互联网、区块链以及大数据技术的综合运用之后，人662023 年第 3 期设计和默认下的数字人民币个人信息保护研究的“认识行为”不再是一个先后的过程，而呈现同步螺旋式状态，时间与空间相分离，其不同空间下的由各种信息构造的镜像代替其本体进行活动，不在场状态也可以实现社会互动。比如个体在不同网络社交平台建设不同的理想人设，不必同时在线。人的主要社会关系和信息依靠代码而建立，基于信息而展开。个人信息将人的生物性、社会性和道德性以数据化的形式表现在技术架构上。16这时的个人信息内涵不仅仅关注个人的现实生活的身份特征，更注重个人的身份建构过程，基于人格自由发展的需要，保护个人身份的自主性和完整性。此时的个人身份注重信息的正确流通，由私权与公权共同参与，单个平行式的个人镜像被链接，形成由各种个人信息组成的数字化身。三、设计和默认下的数字人民币个人信息保护传统法律一般是预设一定的场景（包括主体、行为、结果），并对这种场景予以法律评价。但对于数字经济下数字人民币的个人信息保护领域，只着重于事后应对和补救，并不能降低现实情况下仍持续存在的金融风险和信息泄露风险。并且，数字社会本身建立在计算机、数学、物理、材料以及机械工程等多学科知识的综合运用上。实体法的权利客体、交易模式以及程序法上的裁判形式及救济手段等各方面都已经发生了重大变化。对于数字人民币而言，也同样如此。以刑法为例，传统的货币犯罪规制方法对于数字人民币的治理显然捉襟见肘。而针对数字人民币的个人信息保护问题，就必须借助技术支撑的网络思维模式，以技术赋能法律的时代性。具体而言，法律技术化的过程中，以 GDPR 第 25条设计和默认的数据保护理念为基础，在第一次产品研发时设计以结果导向的问责机制，明晰数字人民币的个人信息保护多元问责主体、义务以及赔偿计价问题；在第二次产品适用时设计以实现行业自治的认证机制，透明数字人民币的个人信息匿名与加密的措施、可用性与保密性的实现情况。（一）第一次初设计条款构造：设计保护下的问责机制“问责机制”即以责任方式强制要求义务主体（数据控制者和处理者）必须履行其数据保护义务。而“设计保护”下的问责机制，可以理解为在 GDPR第 25 条要求的以“有效”方式判定设计保护数据原则是否贯彻的基础上，通过明晰数字人民币的个人信息保护主体，设定非过程性考察的结果性义务并建立一定的非司法对价赔偿机制。可以说，第一次产品研发投入的初设计阶段是最重要的事前预防阶段，也是整个设计和默认的数字人民币个人信息保护体系的前提和基础，其不仅限定了整个数字人民币技术与法律融合治理的框架方向，也是相对后续法律技术化治理完善下成本最低和最有效的设计阶段。首先，需要明确整个数字人民币个人信息保护的义务主体。从数字人民币的运营框架来看，数字人民币的个人信息保护义务主体包括中国人民银行以及指定的运营机构。根据 GDPR 序言第 78 条规定，设计和默认的数据保护义务主体不仅包括数据控制者，也延申至数据生产者、数据处理者。因此，除了第一层、第二层的运营主体具有强制性设计保护义务外，对于诸如中小银行、支付机构、手机厂商和各类服务商等起到连接运营机构和公众“桥梁”的 2.5 层产品服务和应用的生产者，是以“鼓励”方式履行非强制性义务的设计信息保护主体。值得一提的是，商业银行并非是当然的数字人民币义务主体。央行作为整个数字人民币体系的发行主体和大数据中心主体，是整个数字人民币个人信息的数据控制者，也是数据处理者。而商业银行虽然基于自身服务掌握部分数字人民币个人信息，但就“非经授权无法获取用户个人信息”这一原则来看，商业银行更多扮演的是数据处理者的身份，这也与其在整个数字人民币金融体系扮演“托管人”身份相呼应。其次，需要设定义务主体有效性结果的义务。第一次初设计条款并非只是针对数字人民币设计阶段的义务，相反，是对数字人民币个人信息处理全过程合规的大体框架制定。一方面，以隐私保护技术手段保护不同场景下的数字人民币个人信息合规是基础。比如，中国通信院 2018 年构建的“可信隐私计算评测”体系、北京银行隐私计算平台联邦学习功能建设项目等。通过解决“数据孤岛”“计算孤岛”问题，各义务主体利用隐私保护技术以解决其数据流通与安全的平衡问题。并且，参考网络平台对用户信息的保护原则，数字人民币个人信息因其金融性、人身性等多元性质，其双层运营框架内的义务主体当然具有给付型忠实义务，即有义务672023 年第 3 期设计和默认下的数字人民币个人信息保护研究为用户在媒介交易中可得利益最大化而行动。另一方面，需要充分考量金融系统的运行利益、商业银行自身利益与个人信息保护间的平衡。以 美国数据 隐 私 和 保 护 法（Amerivan Data Privacy andProtection Act，ADPPA）为例，其禁止企业拒绝提供、收取不同的价格或者以个人同意放弃隐私权为条件提供商品的服务。数字人民币用户在签订条款时，可以选择部分同意或部分拒绝的方式，而非“是”或“否”。而央行与商业银行履行相关信息披露义务时，也要对个人信息进行去标识化、不可逆化，具体的详细标准需要结合技术人员予以明确。同时，可以要求代理银行基于提升自身个性化服务的目的获取个人信息的成本增加。比如通过建立商业银行个人信息保证金制度，确保行业内部自律，并根据信息敏感程度的不同设定不同等级的保证金额。17这其中，央行可以承担认证失职、问责怠慢等连带责任，对受侵害的公民先行赔付。最后，有必要设立违背预期保护结果的对价赔偿机制。一方面，就责任分担来看，从发行层到应用层，多方义务主体针对损害结果，以结果为导向，并非执行相应的安全程序既可以免除赔偿责任。但这其中对于已经履行信息安全保障义务的主体，可以实行一定的责任程度减轻降低分担赔偿的损失。就赔偿内涵来看，结果为导向的义务是一种严格责任制度，在数字人民币个人信息赔偿对价的处理中，尤其是针对商业银行以及相关技术代理商而言，过高的责任要求不利于数字人民币起初的发展技术创新阶段，因此其赔偿客体以人格尊严、人身安全为主，排除财产利益和身份利益更为合理。18另一方面，就财产定价来看，在超出目的范围外的个人数据货币化类型中，要综合考量用户享受到的利益、获得的对价以及因此遭受的损害程度。就商业目的或法定目的下产生的个人信息侵害结果，则需要为了弥补主体优势差劣，可以高度盖然性判定财产损害的因果关系，而对财产损害的认定范围实行严格限制。（二）第二次再设计条款补足：默认保护下的认证机制根据 GDPR 第 25 条，“认证机制”要求义务主体对信息的匿名化加密措施处理、信息的完整性与可用性以及有效性测试与评估三个主要方面进行自我资质与义务履行证成。通过证明其符合信息保护的系列规定，个人可以快速评估数据控制者和数据处理者等相关义务主体的保护级别，也易于以行为范式为中心的法律治理的落实。并且，第一次初设计条款构造是基于现有的理论依据和经验，因此还需要第二次再设计条款的补足与完善，而认证机制便是有效了解现有数据处理技术以及操作模式的通道。就数据保护影响评估来看，参考希腊数据影响评估清单以及 GDPR 中第 35 条“数据保护影响评估（Data Protection Impact Assessment，DPIA），“在某种类型的数据处理可能对自然人的权利和自由造成高风险”时，数字人民币义务主体应当强制适用数据保护影响评估。其核心内涵是风险为本的通过技术化的法律规制技术的事前预防。具体而言，法律应当列明数据保护影响评估的清单辅以指导性示例，比如处理数字人民币个人信息的方式、处理的类型与目的、处理主体以及处理个人信息的类型。就信息保护完整性与可用性自证来看，可以参考 个人金融信息保护技术规范中关于生命周期技术要求的规定，就三中心的防火墙、信息隔离机制以及自身货币网信安全事件的应急相应处理方案等要素予以证明自身对数字人民币个人信息全过程的保护能力。比如，就信息隔离机制而言，非诸如涉及洗钱、恐怖融资等法定事由，不可查询、冻结以及扣划数字人民币钱包和相关信息。在信息存在高危泄露风险时，通过技术手段使信息不可使用查询，或采取非实质性删除的方式，以保护用户的个人信息权益。又比如，对于货币网信安全事件的应急处理方案，可以结合 国家网络安全时间应急预案等文件，周期性地开展预案演练，避免信息泄露连锁传导效应与系统性风险。19就信息的匿名化以及加密措施处理自证来看，义务主体需要就个人信息的匿名化标准、加密维度以及区块链下的智能合约隐私处理予以提供说明。数字人民基于联盟链的区块链技术建立分布式账本技术，其涉及的中央机构、交易发起人以及验证节点三类主体，因开放程度不同以及义务主体对于信息关键实质要素影响力不同，对于信息的匿名化具有不同标准的加密维度。与此同时，匿名化的标准要考量作为欧盟委员会重要咨询机构的第 条工作组（the Article 29 Working Party，WP29）明确的识别性、链接性以及推论性三要素，20以防数据废弃682023 年第 3 期而被技术分析导致的信息泄露。最为重要的是，义务主体需要明确，自身智能合约技术在出现技术漏洞时，是否会因其公开透明性、不可篡改性产生信任危机，以及有哪些应对措施。四、结语数字人民币的推行需要以其市场认可度作为基础，而数字人民币的个人信息保护则成为了关键。设计和默认的个人信息保护制度可以有效应对风险社会下各种突发不确定的侵害因素，并克服法律的滞后性，及时调节用户与央行、商业银行、第三方机构的社会关系，同时借助对技术治理进行法律的价值归化，及时解决大部分纠纷矛盾。就国家货币主权的维护而言，数字人民币的跨境数据流通是必然一步，提高对其个人信息保护是提升国际竞争力以及应对国外长臂管辖政策关键一步。这其中，因多国的标准、程序不同，利用法律预设的处理模式进行个人信息的保护会面临解决时间长、效果不理想等系列问题。因此，未来设计和默认的国际个人信息保护制度将是实现多国数据合作的基本制度之一。（作者系上海政法学院刑法学研究生）注释：GDPR 序言第 78 条规定，在开发、设计、选择和使用基于处理个人数据或以处理个人数据为功能的应用程序、服务和产品时，应当鼓励产品、服务和应用的生产者在实施开发和设计行为时考虑到个人数据保护的相关权利，并适当考虑到这些产品、服务和应用的技术发展现状，确保数据控制者和处理者能够履行其数据保护义务。个人金融信息保护技术规范中对于生命周期技术要求规定了收集、传输、存储、使用（信息展示、共享和转让、公开披露、委托处理、加工处理、汇聚融合、开发测试）、删除、销毁六个阶段详细予以说明。参考资料：1 CNCERT.2021 年上半年我国互联网网络安全监测数据分析报告 EB/OL.https:/ 一般数据保护条例的启示J.法学杂志，2021，42：87-97.5齐爱民.数据法原理M.北京：高等教育出版社，2022：172-173.6徐显明.人权的体系与分类J.中国社会科学，2000，43(6）：4-5.7武腾.最小必要原则在平台处理个人信息实践中的适用J.法学研究，2021，43（06）：71-89.8Weng-Y-H，Chen C-H，Sun C-T.Safety Intelligence and Legal Machine Language：Do We Need the Three Laws of Robot-ics?A.Takahashi Y.（eds）.Service Robot ApplicationsC.Intech Open，2008：207-208.9王从光.区块链技术应用于个人信息保护的法理解读与治理J.西北民族大学学报（哲学社会科学版），2021（06）：107-117.10王勇浩.货币形态演进的逻辑：一个假说J.经济问题，2021（11）：60-68.11刘川，张庆君，桂杨.货币演进视角下的法定数字货币再认识J.西南金融，2021（04）：75-84.12Sergiu Gatlan.BTC.com Lost$3 Million Worth of Cryptocurrency in CyberattackEB/OL.https：/ A.Anonymous Data v.Personal Data False Debate：An EU Perspective on Anonymization，Pseudonymization and Personal DataJ.Wisconsin International LawJournal，2016：284-322.设计和默认下的数字人民币个人信息保护研究69