许志 许璐曦
（西北政法大学 公安学院  陕西西安  710063）
摘 要：大数据侦查中的个人信息应当受到法律保护，这不仅是人权保障的必然要求，社会主义法治国家建设的应有之义，也是社会主义法律体系建设的迫切需要。目前我国《刑事诉讼法》没有对大数据侦查做出具体规制，《个人信息保护法》中相关规定有待完善。因此，应当在《刑事诉讼法》中对大数据侦查做出具体规制，在《个人信息保护法》中完善相关规定。
关键词：大数据侦查；个人信息；法律保护；不足；完善
作者简介：许志（1966--）男，内蒙古赤峰人，西北政法大学公安学院教授，硕士研究生导师，法学博士，研究方向：侦查学。
许璐曦（1996--）女，汉族，河南三门峡人，西北政法大学公安学院2020级硕士研究生，研究方向：侦查学。
基金项目：本文为西安市社科基金重点项目“大数据侦查中公民个人信息保护问题研究”的阶段性成果，编号：FS127。

随着大数据技术的飞速发展，人们的生活触角延申至网络空间，网络信息生活成为人们的基本生活方式之一，网络犯罪也成为现代社会的主要犯罪类型之一。大数据时代对侦查工作提出了新的要求，但传统的侦查措施却无力应对。在此背景下，大数据侦查进入了侦查人员的视野内。大数据在侦查领域的应用能够有效实现数据采集、趋势研判、辅助侦查决策等，为侦查工作带来了极大的便利，提高了打击犯罪的效能。然而任何事物都具有两面性。由于大数据技术本身具有海量、关联性和数据挖掘的特点，且目前侦查机关在使用大数据技术时，收集时间多在犯罪结果发生之前，收集对象是不特定的多数，因此侦查机关在大数据侦查的过程中，极易侵犯公民的个人信息权益。但我国现行法律对此却缺乏具体规定，现实中的问题更是屡见不鲜。本文从法律保护的角度出发，试图构建大数据侦查中个人信息保护的法律体系，为大数据时代侦查工作中个人信息的保护寻求切实可行的法律保障。
一、大数据侦查中个人信息法律保护的必要性
1.人权保障的必然要求
人权保障是现代法治国家所要达到的目标之一。大数据侦查作为侦查措施之一，其价值追求必然包含了保障人权。当前，天网工程、金盾工程及雪亮工程等大数据设施已在全国范围内铺设完毕,侦查人员可以利用这些大数据技术更加快速地查清案件事实、追踪犯罪嫌疑人和获取相关线索，大数据侦查有助于侦查人员在办案过程中“不冤枉一个好人，也不放过一个坏人”。从某种程度上来说，大数据侦查有利于保障受害者和无辜公民的人权。同时，大数据侦查也改变了传统的侦查方式，拓宽了侦查人员的办案思路，为“口供为中心”向“实物证据为中心”的转变提供了技术支持，更好地维护了相关人员的基本人权。但需要注意的是，相较于传统的侦查措施，大数据侦查因其形式的多变性和应用的隐秘性，对公民个人信息的侵害力度也比传统的侦查措施的侵害力度更大。大数据侦查扩张了侵犯个人信息的主体，加重了个人信息泄露的风险，更增强了信息泄露结果的危害性。[1]例如，天网作为一个监控系统，拍摄的内容必然包含无关人员的行动轨迹和隐私行为。为了打击犯罪，侦查人员当然可以使用天网收集的数据，但在侦查过程中，侦查人员应当如何处理相关人员与案件无关的个人信息，乃至无关人员的个人信息；在使用相关数据时应当遵守怎样的法律程序等等这些问题都必须通过具体法律进行规制，才能切实有效地为大数据侦查中公民的基本人权提供法律保护。
2.社会主义法治国家建设的应有之义
建成社会主义法治国家的基本前提与必要条件之一就是法律完备。要想做到法律完备，就必须使社会各方面需要法律规制的地方都能“有法可依”。大数据侦查作为一项新兴侦查措施，已在侦查工作中得到了广泛应用，但由于法律的滞后性，一直未被纳入《刑事诉讼法》的规制范围，填补相关法律规范的空白已然成为建设社会主义法治国家的重要任务。现代法治理论认为，为了更好地保护自身的权利，公民会让渡一部分私权利给国家，因此在一些特殊场合，私权利和公权力往往处于一种常态化的不平衡状态。为了打击犯罪，维护公共安全，公民需牺牲一部分个人信息权益，允许大数据侦查的存在。但在社会主义法治国家，侦查机关在行使侦查权时必须在法律授权范围内进行，大数据侦查中涉及到个人信息的部分必须由法律法规严格规制，侦查机关在大数据侦查的过程中必须严格遵守相关法律。
3.社会主义法律体系建设的迫切需要
建设中国特色社会主义法律体系，必须与时俱进。2015年10月，党的十八届五中全会提出要实施国家大数据战略，大数据成为中国社会发展的主要驱动力。[2]在现代社会生活中，人们所产生的个人信息几乎都已被数据化。作为公权力机关的侦查机关在收集、存储、利用公民个人信息时无疑拥有巨大的权限。因此大数据时代的侦查机关侵犯公民个人信息的概率极大，侵害程度极为深刻。尽管大数据侦查已经在侦查领域得到了广泛应用，且大数据侦查对公民的个人信息极易造成损害，我国关于大数据侦查及个人信息保护的法律法规却不完备，难以适应信息化快速发展的现实情况。为及时应对大数据时代提出的挑战，全面落实依法治国方略，应当将大数据侦查中的个人信息纳入法律保护范畴，为建设社会主义法律体系添砖加瓦。
二、我国大数据侦查中个人信息法律保护的不足
1.《刑事诉讼法》中没有对大数据侦查做出具体规制
缺乏大数据侦查法律属性的界定。大数据侦查作为侦查权运行的新形式，我国的《刑事诉讼法》目前还未将其纳入。学界对于大数据侦查的法律属性这一问题，也是众说纷纭。侦查学者普遍将大数据侦查作为一种侦查模式进行讨论以期涵盖侦查措施、侦查行为、侦查策略等多种要素，便于开放式探讨复杂的现实问题。而法学学者则倾向于从侦查措施或侦查行为等法学范畴出发探讨侦查的程序与构造。更有观点认为，大数据侦查本身的系统性决定了其法律地位的跨层次性，难以将其规定为单一的法律范畴。无论将大数据侦查界定为侦查模式还是侦查措施都不妨碍对其相关法律问题的探讨，因此该观点认为大数据侦查具有多义性。[3]学界观点的不统一以及法律规范的空白，导致大数据侦查的法律属性处于模糊状态，从而导致了大数据侦查具体规则的缺失。
缺乏大数据侦查的具体规则。《刑事诉讼法》虽然未对大数据侦查的法律属性做出明确规定，但也并非一片空白。例如：2012年《刑事诉讼法》赋予“电子证据”新的法定证据形式，但并未对其具体规则做出规定，实践中大数据侦查仍缺乏权威的法律规制。此外，也不能将大数据侦查片面归入勘验、检查、搜查、技术侦查等侦查措施。大数据侦查作为一个新生事物，现有的侦查措施无法完全涵盖大数据侦查的表现形式，因此不能将现有侦查措施的具体规定直接嫁接到大数据侦查上。比如勘验、检查虽有线上模式，但无法解释数据挖掘、数据监控等行为；传统的搜查主要指人身搜查和场所搜查，哪怕将搜查拓展至网络空间，也仅能解释大数据侦查的部分行为，对于其他行为仍然无法解释。总之，在已有的法律框架内只有部分大数据侦查行为能够得到解释，法律文本严重滞后于侦查措施的实际发展，难以形成有效的解释与规制。
2.《个人信息保护法》中相关规定有待完善
在《个人信息保护法》出台之前，我国关于个人信息保护的条款散见于各个部门法当中，较为分散且不全面。为了加强对个人信息的保护，第十三届全国人大常委会先后对《个人信息保护法》进行了三次审议。2021年8月20日第十三届全国人大常委会第三十次会议通过了《个人信息保护法》。相较于《个人信息保护法（草案二次审议稿）》（以下简称《二次审议稿》），《个人信息保护法》对于大众关切的一些问题均有回应。例如针对个人信息泄露的隐患，《个人信息保护法》在第10条将“任何组织、个人不得违反法律、行政法规的规定处理个人信息”修改为“任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息”，进一步解释了处理个人信息的范畴，同时也为侦查机关在大数据侦查中处理个人信息的行为确立了合法性原则。《个人信息保护法》在第62条“国家网信部门统筹协调有关部门推进个人信息保护工作”中增加了“完善个人信息保护投诉、举报工作机制”的内容，显示出对个人信息保护救济途径的重视。此外，《个人信息保护法》在第二章第三节对国家机关处理个人信息的行为进行了特别规定，但仍旧存在一些不足，比如“识别＋关联”为核心的个人信息定义指向不明；国家机关处理个人信息的特别规定含混不清等等。
三、我国大数据侦查中个人信息法律保护的完善
1.在《刑事诉讼法》中对大数据侦查作出明确规定
大数据侦查属于侦查措施。大数据侦查作为一种新型侦查手法，需要讨论的已不是技术上能不能执行的问题，而是法律上是否准许及法律如何规制的问题。[4]换句话说，大数据侦查的法律属性决定了《刑事诉讼法》如何设计其具体的规则内容。无论大数据的技术和手段如何发展，只要侵犯了公民的基本权利，都应当受到《刑事诉讼法》的限制。大数据侦查涉及到公民的隐私权、通信自由和通信秘密的权利等基本权利，应当在《刑事诉讼法》中进行明文规定。大数据侦查是一种新兴事物，其运行机制与我国现行《刑事诉讼法》中规定的各类传统侦查措施均存在本质差异，无法归类于现有的侦查措施。[5]172综上，大数据侦查应当作为一项独立的侦查措施在《刑事诉讼法》中详细规定。
大数据侦查的实体规则。在厘清大数据侦查的法律属性后，我们还应当注意其规则的具体内容。在大数据侦查的实体规则方面，笔者拟对其适用的人员范围、适用时间、适用案件范围等方面提出建议。在适用人员范围上，由于大数据侦查可能会严重损害公民的基本权利，原则上其适用对象应当仅限于犯罪嫌疑人、被告人和与犯罪活动直接相关的人，不得随意扩大适用对象的范围。在适用时间上，需区分预测型侦查和回溯型侦查。在预测型侦查中，犯罪事实尚未发生，侦查人员只能使用任意性侦查措施进行预测和示警，不得侵犯相对人的合法权益，利用的数据须限定在已知案（事）件、警情、被告人、犯罪嫌疑人等数据或从合法途径获取的数据范围内。在回溯型侦查中，任意性侦查措施和强制性侦查措施都可以适用，大数据侦查亦不需进行额外的限制。鉴于大数据侦查可能对犯罪嫌疑人、被告人，乃至无关人员的个人信息造成严重侵害，在适用的案件范围上应当坚持重罪原则，即只适用于危害国家安全犯罪、恐怖活动犯罪、黑社会性质的组织犯罪、重大毒品犯罪或者其他可能判处七年以上有期徒刑的案件。另外，由于大数据侦查对公民的个人信息权益的侵害程度大大超过了传统侦查措施的侵害程度，大数据侦查在适用时还应当坚持最后手段原则，在穷尽询问、讯问、勘验、检查、鉴定等常规侦查措施之前，不得适用大数据侦查。
大数据侦查的程序规则。在大数据侦查的程序规则方面，笔者将尝试从启动程序、告知程序和监督程序三方面进行构建。在启动程序上，启动大数据侦查的实质条件是具有初步的犯罪嫌疑。需有确定的事实材料证明适用对象具有确定的犯罪嫌疑，且符合前文所述的实体条件时，才能适用大数据侦查。在告知程序上，大数据侦查应当进行事前告知，但可以因案件的特殊情况设置特殊规定。比如可以参照技术侦查措施的规定，根据侦查犯罪的需要，在特定的案件范围内，设置事后告知程序。在法律明文规定的法定事由的范围内，可以推迟对信息主体的告知。[6]在涉及到大量告知对象，逐一告知的难度较大时，可以探索建立事后社会公示、定期向专门机关报告等告知制度。在监督程序上，尽管域外多采用法官令状制度，但这显然不符合我国国情。大数据侦查之所以容易被滥用，最主要的原因就是侦查权的封闭运行机制。因此，监督程序最重要的一环就在于打破大数据侦查的封闭运行机制，实行以检察官审批为主、紧急情况下侦查机关先行自我审批为辅的监督机制，同时应当考虑建立大数据侦查中各类数据的使用监督机制，以此来限制大数据侦查的恣意启动和随意扩张。[5]174
2.在《个人信息保护法》中完善相关规定
以“场景和风险评估”为导向，确定个人信息动态保护范围。《个人信息保护法》第4条规定“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。”对于个人信息的定义，《个人信息保护法》延续了我国法律法规和标准规范的传统，采用了“识别＋关联”标准，但这种标准是否合理有待商榷。“识别＋关联”作为个人信息的定义标准早已得到普遍承认，但大数据技术带来了此种标准的操作困境。一方面，在数字社会，新技术、新商业、新模式不断呈现，个人信息的形式也越来越多样化，“识别＋关联”标准无法完全界定个人信息范围。另一方面，个人信息受侵犯却不以“识别＋关联”标准为限，“大数据杀熟”就是一个典型例子。为此，我们可以参考美国《消费者隐私权利法案（草案）》中的场景和风险评估机制。场景和风险评估机制的核心在于评估个人信息处理行为是否合理，评估标准在于公民是否接受处理行为所引发的后果，引发的后果是否符合公民的合理期待。影响其合理期待的各种因素就统称为“场景”，影响其是否接受引发后果的核心衡量标准则被称为“隐私风险”，让隐私风险尽可能地在公民的接受范围内就是个人信息保护的最终目的。[7]相较于传统的“识别＋关联”标准，场景和风险评估机制更适应大数据时代社会经济发展的现实需要，确立个人信息动态保护范围也更有利于构建个人信息保护制度。
完善国家机关处理个人信息的特别规定。《个人信息保护法》虽对国家机关处理个人信息作出了专门规定，但未能充分反映国家机关在个人信息保护方面的特殊性，对此可以从三方面进行完善。首先，应当在《个人信息保护法》中对国家机关处理个人信息，尤其是对侦查机关处理个人信息的行为进行明确授权。其次，应当在《个人信息保护法》中对国家机关享有的工具性权利进行特别规定，以区分公权主体和私权主体作为不同的信息主体时的不同。[8]公权主体作为信息主体时因其公权属性，应当在处理公民个人信息进行时享有特殊的权限。《个人信息保护法》虽在第33条规定了“国家机关处理个人信息的活动适用本法，除非有特别规定”。但遍寻法条，却没有关于国家机关处理个人信息的特殊规定。最后，应当在《个人信息保护法》中对国家机关处理个人信息的行为违法侵权时所应承担的法律责任作出特殊规定。《个人信息保护法》第七章规定了个人信息处理活动违法侵权时应当承担的法律责任，但其中大部分内容只适用于公司企业等私权主体，仅有第68条针对公权主体处理个人信息活动违法侵权的行为规定了责令整改和处分的法律责任，除此之外，再无其他规定。责令整改和处分都属于行政系统内部行为，没有打破权力运行的封闭闭环，缺乏监督。因此，应当在《个人信息保护法》中设立行政复议、司法诉讼和国家赔偿等一系列措施，健全个人信息保护的监督救济机制。
四、结语
大数据侦查和个人信息保护随着大数据技术的发展剧烈变动，而作为二者的交叉地带，大数据侦查中的个人信息保护问题更是面临着严峻考验。大数据侦查中的个人信息保护不仅涉及到大数据侦查方面，更与个人信息保护息息相关。但遗憾的是，我国严重缺失大数据侦查的相关法律规范。而个人信息法律保护方面，虽然《个人信息保护法》已于2021年8月20日通过，但也仍存在一些不足。建立健全相关法律制度是解决大数据侦查中的个人信息保护问题的首要前提。我们应当用变化的眼光看待问题，从系统的角度设计法律，从而构建起以《刑事诉讼法》为主体、《个人信息保护法》为重点的大数据侦查中个人信息法律保护制度。

参考文献：
[1]于阳、魏俊斌.冲突与弥合：大数据侦查监控模式下的个人信息保护[J].情报杂志，2018(12):151
[2]中国共产党第十八届中央委员会第五次全体会议公报.中国共产党第十八届中央委员会第五次全体会议文件汇编[M].北京:人民出版社，2015:7
[3]陈刚.解释与规制：程序法定主义下的大数据侦查[J].法学杂志，2020(12):3
[4]王士帆.网络之刑事追诉——科技与法律的较劲[J].政大法学评论，2015(3):343
[5]程雷.大数据侦查的法律控制[J].中国社会科学，2018(11)
[6]付黎明.大数据侦查中个人信息保护策略研究[J].警学研究，2019(4):109
[7]范为.大数据时代个人信息保护的路径重构[J].环球法律评论，2016(5):97-98
[8]王锡锌、彭錞.个人信息保护法律体系的宪法基础[J].清华法学，2021(3):18

编辑部投稿邮箱：tougao85@163.com  tougao58@163.com

编辑部投稿热线：029-87362792  13309215487

24小时查稿专线：13309215487（同微信）

编辑部投稿QQ：693891972   1071617352