朱莉欣,李元元
(西交蘇州信息安全法學(xué)所,江蘇 蘇州 215123)
元數(shù)據(jù)(Metadata)——關(guān)于數(shù)據(jù)的數(shù)據(jù)(Data about Data),主要是描述數(shù)據(jù)屬性的信息,用來(lái)支持如指示存儲(chǔ)位置、歷史數(shù)據(jù)、資源查找、文件記錄等功能。雖然元數(shù)據(jù)不直接包含主信息,并且與信息內(nèi)容的區(qū)別在幾十年前比較明顯,但隨著大數(shù)據(jù)時(shí)代的來(lái)臨,收集和分析數(shù)據(jù)技術(shù)的進(jìn)步和普及,通過(guò)數(shù)據(jù)匯聚,從元數(shù)據(jù)能夠推導(dǎo)出的信息越來(lái)越多。元數(shù)據(jù)和信息內(nèi)容之間的界限日益模糊,在某些情況下,元數(shù)據(jù)的記載比主信息內(nèi)容本身更真實(shí)。比如,一個(gè)人可以在信息內(nèi)容中描述自己的特征,但這個(gè)人的購(gòu)買數(shù)據(jù)、社交網(wǎng)絡(luò)和位置數(shù)據(jù)則可以暴露出他真正的喜好習(xí)慣,甚至揭示他想隱藏的內(nèi)容。如今,不包含信息主內(nèi)容的元數(shù)據(jù)安全問(wèn)題變得敏感起來(lái),對(duì)個(gè)人如此,對(duì)國(guó)家安全、執(zhí)法機(jī)構(gòu)和企業(yè)而言同樣也是如此。
2013年,愛德華·斯諾登泄露的情報(bào)披露了美國(guó)國(guó)家安全局(National Security Agency,NSA)和全球主要數(shù)字公司收集數(shù)據(jù)的規(guī)模和復(fù)雜程度,引發(fā)了對(duì)元數(shù)據(jù)的關(guān)注,也引發(fā)了安全與隱私、公開與封閉、問(wèn)責(zé)與保密之間平衡的大辯論。2015年10月,澳大利亞聯(lián)邦政府通過(guò)了一項(xiàng)有爭(zhēng)議的《強(qiáng)制保留元數(shù)據(jù)法》,要求電信公司在兩年內(nèi)保留客戶的元數(shù)據(jù),明顯將國(guó)家安全置于其他利益之上,雖然法案聲明元數(shù)據(jù)不包括通話及郵件內(nèi)容、網(wǎng)站記錄等任何個(gè)人隱私的內(nèi)容,但此舉仍引發(fā)不少爭(zhēng)議。此前許多國(guó)家也討論過(guò)相似法案,都因違憲而被拒絕,且大部分網(wǎng)絡(luò)運(yùn)營(yíng)商也表示,儲(chǔ)存元數(shù)據(jù)的成本很高,費(fèi)用最終仍會(huì)轉(zhuǎn)嫁到消費(fèi)者和納稅人身上[1]。這一系列的事件指出,在大數(shù)據(jù)時(shí)代,如何從宏觀上更好地開發(fā)利用數(shù)據(jù)資源的同時(shí),從微觀的元數(shù)據(jù)角度守護(hù)數(shù)據(jù)安全,正成為當(dāng)前新時(shí)代又一重要命題。
元數(shù)據(jù)是情報(bào)之源,元數(shù)據(jù)的使用也是雙刃劍。一方面,收集大規(guī)模元數(shù)據(jù),可以在海量的流量分析基礎(chǔ)上,推導(dǎo)出核心數(shù)據(jù)和有關(guān)國(guó)家秘密的信息,這給國(guó)家的保密制度帶來(lái)更多風(fēng)險(xiǎn)和挑戰(zhàn),如何規(guī)制對(duì)元數(shù)據(jù)的情報(bào)監(jiān)控從而平衡國(guó)家安全維護(hù)和公民基本權(quán)利保障成為數(shù)據(jù)時(shí)代當(dāng)前各個(gè)國(guó)家和地區(qū)亟待解決的問(wèn)題。另一方面,也可以用元數(shù)據(jù)構(gòu)建出分析對(duì)象的社交網(wǎng)絡(luò),制止危害國(guó)家安全的行為。例如,國(guó)家安全機(jī)關(guān)對(duì)元數(shù)據(jù)進(jìn)行情報(bào)監(jiān)控,分析元數(shù)據(jù)流量,能夠發(fā)現(xiàn)恐怖分子用來(lái)招募、計(jì)劃和執(zhí)行襲擊的社交網(wǎng)絡(luò),對(duì)危害國(guó)家安全的行為進(jìn)行打擊,是網(wǎng)絡(luò)時(shí)代國(guó)家安全保障、刑事調(diào)查和緊急情況應(yīng)對(duì)的現(xiàn)代化必要工具,是必要且不得已之偵查手段[2]。
從作戰(zhàn)角度看,對(duì)通信和交通的元數(shù)據(jù)分析還可以產(chǎn)生具有即時(shí)戰(zhàn)術(shù)價(jià)值的情報(bào)。美國(guó)國(guó)家安全局前局長(zhǎng)邁克爾·海登(Michael Hayden)曾嚴(yán)肅地說(shuō):“我們根據(jù)元數(shù)據(jù)殺人?!奔疵绹?guó)已經(jīng)在使用元數(shù)據(jù)和移動(dòng)跟蹤技術(shù)來(lái)選擇和確定無(wú)人機(jī)在世界各地的打擊目標(biāo)。在這種情況下,實(shí)時(shí)顯示地理位置的元數(shù)據(jù)相當(dāng)于提供攻擊者實(shí)施攻擊的目標(biāo)數(shù)據(jù)??紤]到現(xiàn)代戰(zhàn)爭(zhēng)的特點(diǎn),這種精準(zhǔn)打擊的戰(zhàn)術(shù)常常會(huì)對(duì)被打擊的國(guó)家?guī)?lái)極具威懾力的后果。
要體現(xiàn)和規(guī)范元數(shù)據(jù)的保護(hù)和分享價(jià)值,需要給執(zhí)法機(jī)構(gòu)以相應(yīng)的授權(quán),并對(duì)這種權(quán)力進(jìn)行規(guī)范。首先,海量的元數(shù)據(jù)收集、分析給執(zhí)法機(jī)構(gòu)提供了更多偵查犯罪行為的方法和手段,特別是對(duì)網(wǎng)絡(luò)犯罪而言。例如,在低風(fēng)險(xiǎn)和高回報(bào)的誘惑下,一些機(jī)構(gòu)和犯罪組織通過(guò)創(chuàng)建僵尸網(wǎng)絡(luò),利用它們竊取數(shù)據(jù)、勒索資金、發(fā)送垃圾郵件,并使未來(lái)的破壞成為可能。而僵尸網(wǎng)絡(luò)需要大規(guī)模的流量分析來(lái)完成檢測(cè)、映射和消除。這就要求保護(hù)大型網(wǎng)絡(luò)的國(guó)家執(zhí)法機(jī)構(gòu)必須大量收集元數(shù)據(jù),以發(fā)現(xiàn)、處理僵尸網(wǎng)絡(luò)。另外,發(fā)生了網(wǎng)絡(luò)事故的網(wǎng)絡(luò)運(yùn)營(yíng)者需要描述網(wǎng)絡(luò)安全事件,必須解釋記錄的元數(shù)據(jù)。網(wǎng)絡(luò)路由器、防火墻、網(wǎng)絡(luò)和電子郵件服務(wù)器、臺(tái)式電腦甚至手持設(shè)備都是記錄元數(shù)據(jù)的潛在來(lái)源。因此,在很多情況下,執(zhí)法機(jī)構(gòu)收集、使用元數(shù)據(jù)是必要的,這一權(quán)力應(yīng)該得到立法保障。
其次,元數(shù)據(jù)協(xié)助執(zhí)法制度將打破數(shù)據(jù)加密技術(shù)帶來(lái)的黑暗。新技術(shù)不斷沖破傳統(tǒng)的情報(bào)收集體制和格局,引起執(zhí)法能力被弱化的“黑暗時(shí)代”[3],執(zhí)法機(jī)構(gòu)運(yùn)用傳統(tǒng)的調(diào)查手段已經(jīng)很難對(duì)采取數(shù)據(jù)加密技術(shù)的犯罪證據(jù)進(jìn)行監(jiān)控,出于對(duì)個(gè)人信息保護(hù)的原則也不能隨意要求披露密鑰或者破解內(nèi)容數(shù)據(jù),而對(duì)不包含主數(shù)據(jù)內(nèi)容的元數(shù)據(jù)的相關(guān)執(zhí)法則變得容易得多。縱觀美歐等國(guó)關(guān)于元數(shù)據(jù)執(zhí)法的經(jīng)驗(yàn),建立協(xié)助執(zhí)法手段,以法定方式規(guī)定元數(shù)據(jù)范圍,既能隔離內(nèi)容數(shù)據(jù)以保護(hù)隱私,也可限定網(wǎng)絡(luò)服務(wù)商協(xié)助執(zhí)法的義務(wù)成本。基于元數(shù)據(jù)執(zhí)法價(jià)值考慮,設(shè)定兩年的留存期限最具合理性,由政府承擔(dān)部分元數(shù)據(jù)留存能力建設(shè)、規(guī)定技術(shù)供應(yīng)商義務(wù)協(xié)助執(zhí)法等,有助于破解因加密技術(shù)不斷發(fā)展給執(zhí)法機(jī)構(gòu)帶來(lái)的“黑暗”。
隨著大數(shù)據(jù)時(shí)代的來(lái)臨,通過(guò)對(duì)人們使用手機(jī)、電腦等設(shè)備或者電子郵件、社交網(wǎng)絡(luò)、搜索引擎等服務(wù)產(chǎn)生的海量元數(shù)據(jù)進(jìn)行匯聚分析,可以輕易地掌握使用者關(guān)于個(gè)人信仰、偏好及行為舉止等詳細(xì)信息。無(wú)論是出于國(guó)家安全目的的監(jiān)控,抑或商業(yè)目的的數(shù)據(jù)抓取,都涉及使用者的基本權(quán)利[4]。在我國(guó)法律體系中,元數(shù)據(jù)和個(gè)人的兩項(xiàng)權(quán)利有著密切的聯(lián)系。一是關(guān)于通信自由和通信秘密的權(quán)利?!稇椃ā返谒氖畻l規(guī)定,“中華人民共和國(guó)公民的通信自由和通信秘密受法律的保護(hù)。除因國(guó)家安全或者追查刑事犯罪的需要,由公安機(jī)關(guān)或者檢察機(jī)關(guān)依照法律規(guī)定的程序?qū)νㄐ胚M(jìn)行檢查外,任何組織或者個(gè)人不得以任何理由侵犯公民的通信自由和通信秘密。”雖然一般理解,元數(shù)據(jù)是內(nèi)容以外的數(shù)據(jù),但就通信而言,公民說(shuō)了些什么內(nèi)容,可能沒有這個(gè)人在什么時(shí)候、在什么地方、對(duì)誰(shuí)說(shuō)這些話所包含的信息更真實(shí)、重要。那么,對(duì)元數(shù)據(jù)的收集和分析涉及個(gè)人通信自由,也應(yīng)合法處理并予以保護(hù)。二是元數(shù)據(jù)還與個(gè)人信息權(quán)有著密切的聯(lián)系。例如,一個(gè)人的位置信息、購(gòu)買記錄和金融交易記錄等,這些信息和個(gè)人信息保護(hù)法律有關(guān)?!秱€(gè)人信息保護(hù)法》第二十八條規(guī)定,“敏感個(gè)人信息是一旦泄露或者非法使用,容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害的個(gè)人信息,包括生物識(shí)別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息,以及不滿十四周歲未成年人的個(gè)人信息”。而這里的如宗教信仰、特定身份、醫(yī)療健康、行蹤軌跡等,都可以通過(guò)元數(shù)據(jù)分析推導(dǎo)出來(lái)。
正是基于這樣的聯(lián)系,依據(jù)《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等相關(guān)法律,數(shù)據(jù)處理者對(duì)數(shù)據(jù)保護(hù)應(yīng)當(dāng)精細(xì)化,注重元數(shù)據(jù)的保護(hù)。而相應(yīng)的,執(zhí)法機(jī)構(gòu)對(duì)元數(shù)據(jù)的安全執(zhí)法也應(yīng)當(dāng)注意,不能侵犯通信自由、通信秘密和個(gè)人敏感信息。
元數(shù)據(jù)涉及國(guó)家安全和個(gè)人權(quán)益,它是數(shù)據(jù)安全風(fēng)險(xiǎn)管理中重要的一環(huán),其涉及的安全問(wèn)題不容忽視。對(duì)元數(shù)據(jù)的收集和利用也是“依法治網(wǎng)”中的重要問(wèn)題,執(zhí)法如果不規(guī)范會(huì)侵犯相關(guān)的合法權(quán)益,造成權(quán)力濫用。概括地說(shuō),缺乏元數(shù)據(jù)的法律規(guī)定,不僅會(huì)導(dǎo)致國(guó)家秘密、重要數(shù)據(jù)和個(gè)人通信自由及敏感信息得不到真正的保護(hù),也會(huì)使元數(shù)據(jù)暴露的大量敏感信息被濫用,從而危害國(guó)家、企業(yè)和個(gè)人的合法權(quán)益。因此,建議從以下幾個(gè)方面完善相關(guān)立法以有效應(yīng)對(duì)元數(shù)據(jù)的安全問(wèn)題。
如前所述,元數(shù)據(jù)在數(shù)字時(shí)代下可以成為情報(bào)之源,涉及國(guó)家秘密的元數(shù)據(jù)如果不予以保護(hù),那么就等于國(guó)家的保密制度中出現(xiàn)了一個(gè)漏洞。近年來(lái),一些地理數(shù)據(jù)、航空數(shù)據(jù)和水文數(shù)據(jù)被傳出國(guó)外,給國(guó)家安全帶來(lái)很大隱患,應(yīng)當(dāng)引起我們警醒。大數(shù)據(jù)時(shí)代,我國(guó)保守秘密法律制度的保密規(guī)范對(duì)象除人、密、涉密載體、涉密信息系統(tǒng)、涉密場(chǎng)所和活動(dòng)外,還應(yīng)該延續(xù)至涉密數(shù)據(jù),尤其是涉密元數(shù)據(jù),因此,立法上對(duì)涉及國(guó)家安全的元數(shù)據(jù)進(jìn)行監(jiān)控和保護(hù)勢(shì)在必行。
目前對(duì)于元數(shù)據(jù)監(jiān)控和保護(hù)的規(guī)則散存于《國(guó)家安全法》《國(guó)家情報(bào)法》《刑事訴訟法》《反恐法》、公安機(jī)關(guān)辦案規(guī)則,以及檢察機(jī)關(guān)辦案程序等效力層級(jí)不一的法律文件中,具有層級(jí)低、碎片化的特點(diǎn)[2]。比如,2016年由最高人民法院、最高人民檢察院、公安部印發(fā)的《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問(wèn)題的規(guī)定》以規(guī)范性文件的方式規(guī)定了對(duì)通信內(nèi)容和元數(shù)據(jù)進(jìn)行提取,但是這一法律文件既不屬于司法解釋,也不屬于行政規(guī)章,其正當(dāng)性存在爭(zhēng)議。當(dāng)前,我國(guó)并沒有就元數(shù)據(jù)網(wǎng)絡(luò)監(jiān)控出臺(tái)專門的法律規(guī)定,通過(guò)行政手段進(jìn)行規(guī)制本就與依法治網(wǎng)的原則相抵觸,在這方面可參考澳大利亞對(duì)元數(shù)據(jù)立法的元原則,將元數(shù)據(jù)與通信內(nèi)容區(qū)分開,根據(jù)隱私敏感度和執(zhí)法價(jià)值,對(duì)元數(shù)據(jù)監(jiān)控采用更加靈活的審批制度,在具體制度設(shè)計(jì)上借鑒歐美等國(guó)家相關(guān)經(jīng)驗(yàn),將保護(hù)涉密元數(shù)據(jù)的內(nèi)容更好體現(xiàn)在保密法制度中,進(jìn)一步完善相關(guān)的法律法規(guī)。
在元數(shù)據(jù)建設(shè)方面,美國(guó)走在了世界前列,其元數(shù)據(jù)建設(shè)呈現(xiàn)出以下特點(diǎn):一是政策保障,發(fā)表備忘錄《開放數(shù)據(jù)政策:將信息作為資產(chǎn)管理》,該備忘錄是美國(guó)政府?dāng)?shù)據(jù)資產(chǎn)管理的綱領(lǐng)性文件,其“元數(shù)據(jù)”方案廣泛適用于聯(lián)邦政府、地方政府和非政府組織。二是元數(shù)據(jù)標(biāo)準(zhǔn)化和規(guī)范化,建立通用核心元數(shù)據(jù)標(biāo)準(zhǔn)方案,規(guī)定元數(shù)據(jù)各元素的格式和類型。三是本土化,引進(jìn)只適用于美國(guó)聯(lián)邦政府的元數(shù)據(jù)元素并支持?jǐn)?shù)據(jù)標(biāo)準(zhǔn)的元素,對(duì)元素進(jìn)行嚴(yán)格分類。
我國(guó)近些年在數(shù)據(jù)建設(shè)上也已開始加快追趕世界各國(guó)的腳步,在2021年通過(guò)的《數(shù)據(jù)安全法》里提出了對(duì)數(shù)據(jù)全生命周期各環(huán)節(jié)的安全保護(hù)義務(wù),也構(gòu)建了數(shù)據(jù)分級(jí)分類保護(hù)的基本法律制度,《數(shù)據(jù)安全法》的落地,為元數(shù)據(jù)分類分級(jí)管理和保護(hù)提供了思路和解決方案。而在具體實(shí)施中,我們還應(yīng)該關(guān)注元數(shù)據(jù)在整個(gè)生命周期中的安全保護(hù),并且將元數(shù)據(jù)納入數(shù)據(jù)安全管理制度中,將元數(shù)據(jù)與通信內(nèi)容獨(dú)立開來(lái),根據(jù)隱私程度和數(shù)據(jù)價(jià)值,對(duì)元數(shù)據(jù)的儲(chǔ)存、保留、轉(zhuǎn)移做出靈活的審批制度,在加強(qiáng)數(shù)據(jù)管理的同時(shí),充分尊重市場(chǎng)主體的自由行為,充分保護(hù)國(guó)家安全、個(gè)人隱私和產(chǎn)業(yè)利益。事實(shí)上,元數(shù)據(jù)是企業(yè)等組織數(shù)據(jù)資源的應(yīng)用字典和操作指南,也是組織開展數(shù)據(jù)治理的一個(gè)基礎(chǔ),數(shù)據(jù)元數(shù)據(jù)管理有利于統(tǒng)一數(shù)據(jù)口徑、標(biāo)明數(shù)據(jù)方位、分析數(shù)據(jù)關(guān)系、管理數(shù)據(jù)變更,是實(shí)現(xiàn)數(shù)據(jù)自服務(wù)、推動(dòng)數(shù)據(jù)化運(yùn)營(yíng)的可行路線。開發(fā)數(shù)據(jù)資源離不開元數(shù)據(jù)管理,未來(lái)元數(shù)據(jù)的安全管理將會(huì)越來(lái)越重要,需要立法提早謀劃。在專門法律出臺(tái)前,也可先通過(guò)設(shè)立行業(yè)標(biāo)準(zhǔn)、應(yīng)用指南等形式對(duì)元數(shù)據(jù)保護(hù)做出指引,包括元數(shù)據(jù)的可攜帶權(quán)問(wèn)題,以積累立法經(jīng)驗(yàn)。
在我國(guó)的法律體系中,較長(zhǎng)一段時(shí)間對(duì)于執(zhí)法機(jī)關(guān)搜集情報(bào)與維護(hù)國(guó)家安全的監(jiān)控幾無(wú)法律規(guī)范,黨的十八大以來(lái),黨中央提出總體國(guó)家安全觀戰(zhàn)略,關(guān)于信息領(lǐng)域執(zhí)法的法治化程度開始受到越來(lái)越多的關(guān)注,信息領(lǐng)域中執(zhí)法機(jī)關(guān)搜集情報(bào)的監(jiān)控等也具備了一定的法律依據(jù)。比如,2015年公布的《國(guó)家安全法》列明了情報(bào)搜集的機(jī)關(guān),并對(duì)情報(bào)收集工作設(shè)定了合法性原則,此處的“依法”即主要是指2017年通過(guò)的《中華人民共和國(guó)國(guó)家情報(bào)法》。2015年通過(guò)的《中華人民共和國(guó)反恐怖主義法》第四十五條規(guī)定,“因反恐怖情報(bào)信息工作需要,經(jīng)過(guò)嚴(yán)格的批準(zhǔn)手續(xù),可以采取技術(shù)偵察措施”。2016年通過(guò)的《中華人民共和國(guó)網(wǎng)絡(luò)安全法》規(guī)定,“網(wǎng)絡(luò)運(yùn)營(yíng)者不低于六個(gè)月的留存用戶網(wǎng)絡(luò)日志的義務(wù)以及對(duì)公安機(jī)關(guān)、國(guó)家安全機(jī)關(guān)開展技術(shù)偵查與其他信息監(jiān)控工作提供技術(shù)支持與協(xié)助的義務(wù)”。這些法律都對(duì)信息領(lǐng)域的執(zhí)法問(wèn)題提供了法律依據(jù)。
值得進(jìn)一步研究的是,由于缺乏元數(shù)據(jù)的執(zhí)法規(guī)定,收集和利用元數(shù)據(jù)職權(quán)不明、程序不清,在現(xiàn)實(shí)中引發(fā)了很多疑問(wèn)。因此建議,在立法中不僅明確元數(shù)據(jù)的保護(hù)責(zé)任,同時(shí)也應(yīng)明確執(zhí)法人員對(duì)元數(shù)據(jù)的執(zhí)法權(quán)力和權(quán)限。我國(guó)《國(guó)家情報(bào)法》《密碼法》《國(guó)家安全法》和《網(wǎng)絡(luò)安全法》等法律對(duì)網(wǎng)絡(luò)服務(wù)者協(xié)助執(zhí)法義務(wù)做出了概括性規(guī)定,具有保守性和防御性特點(diǎn)[5],在可操作性和實(shí)施效率方面存在很大缺陷,既不利于執(zhí)法能力現(xiàn)代化,也無(wú)法對(duì)西方日益擴(kuò)張的主動(dòng)攻擊型情報(bào)政策進(jìn)行戰(zhàn)略對(duì)沖[6]。在現(xiàn)在缺乏具體立法依據(jù)的情況下,可以先根據(jù)《國(guó)家安全法》《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》和《個(gè)人信息保護(hù)法》等法律的相關(guān)規(guī)定,修訂完善《保守國(guó)家秘密法》,通過(guò)內(nèi)部規(guī)章、政策文件等形式,為執(zhí)法人員訪問(wèn)元數(shù)據(jù)提供規(guī)范工具和指導(dǎo),明確針對(duì)元數(shù)據(jù)的行政執(zhí)法程序、執(zhí)法權(quán)限,并對(duì)執(zhí)法行為予以適當(dāng)?shù)谋O(jiān)督。條件成熟時(shí)再上升為法律,以實(shí)現(xiàn)國(guó)家安全和個(gè)人信息安全的共同保護(hù)和數(shù)據(jù)共享。
隨著大數(shù)據(jù)時(shí)代的發(fā)展、信息化程度的進(jìn)一步深化,不包含主信息內(nèi)容的元數(shù)據(jù)的價(jià)值進(jìn)一步顯現(xiàn),元數(shù)據(jù)的安全問(wèn)題也逐漸受到關(guān)注,元數(shù)據(jù)保護(hù)的相關(guān)立法迫在眉睫。立法必須根據(jù)技術(shù)的發(fā)展而適時(shí)調(diào)整,在總體國(guó)家安全觀的前提下,應(yīng)盡快建立完善的元數(shù)據(jù)保護(hù)制度,設(shè)定執(zhí)法機(jī)關(guān)對(duì)元數(shù)據(jù)的限制和監(jiān)督,要求元數(shù)據(jù)保護(hù)立法必須符合比例原則,為數(shù)據(jù)產(chǎn)業(yè)安全發(fā)展提供充分的保障,在平衡好國(guó)家安全與公民權(quán)利的同時(shí),發(fā)揮好法律的規(guī)制和保障作用。