大數據偵查之法律困境與應對

鐘明曦，陳淑珍

人類已邁入現(xiàn)實和虛擬并存的二元社會生活模式，虛擬社會的出現(xiàn)導致新的社會問題，在犯罪領域的表現(xiàn)尤其明顯。以電信網絡詐騙案件為例，2008年以來，其發(fā)案率不斷攀升，已主導全國刑事案件總體走勢。2020年以來，受新冠疫情影響，在線辦公、居家上課、網絡購物等成為重要的生活方式，詐騙分子趁機擴大用戶接觸面，更新升級詐騙手法、套路，該犯罪呈高發(fā)態(tài)勢。①詳見《新形勢下電信網絡詐騙犯罪治理研究報告（2020）》，中國信息通信研究院安全研究所2020年12月發(fā)布。為控制電信網絡詐騙犯罪，公安機關做了大量的努力，卻很難抑制其愈演愈烈之勢，該罪破案率低是當前公安工作的現(xiàn)狀，傳統(tǒng)警務運作模式和信息化水平只能實現(xiàn)傳統(tǒng)犯罪的治理，發(fā)生于虛擬空間的網絡犯罪具有無界、遠程、非接觸、大規(guī)模協(xié)作的特點，顯著區(qū)別于傳統(tǒng)犯罪，一般的偵查手段不敷應用。如何維護虛擬社會的秩序成為擺在公安機關面前的一個考驗。近幾年，公安機關已經利用大數據這一無形的資產為犯罪偵查方式和手段的革新尋找新的路徑并不斷推廣運用，大數據偵查已成為不可或缺的偵查方法。但是大數據偵查技術的深度應用也開始引發(fā)質疑。社會學家阿爾溫·托夫勒和海蒂·托夫勒指出：“第三次浪潮不僅僅是個技術和經濟學的問題，它涉及到道德、文化、觀念以及體制和政治結構，它意味著人類事務的一場真正的變革，”②[美]阿爾溫·托夫勒、海蒂·托夫勒著：《創(chuàng)造一個新的文明：第三次浪潮的政治》，陳峰譯，上海三聯(lián)出版社1996年版，前言第5～6頁。應當在法律層面深入思考科技應用的正當性和規(guī)范性問題。本文旨在分析大數據偵查的法律困境并提出立法上的應對之策。

一、大數據偵查之法律困境

大數據偵查是雙刃劍，它使公安機關的偵查方法和效果得到質的變化，同時也對公民權益造成了潛在的威脅，意味著公民個人信息利益和隱私權的讓渡與犧牲，當前立法及實踐尚未很好平衡“權力與權利”的沖突，由此引發(fā)了一系列具體的法律問題，大數據偵查主要面臨以下法律困境。

（一）數據收集之法律困境——越權收集

1.大數據偵查之數據來源

大數據偵查的基礎是公安大數據。歷經金盾工程以及2016年以來的公安大數據建設，各省已逐步形成較為科學的公安大數據資源體系。以J省為例，公安機關根據“全省統(tǒng)一建庫”的原則，統(tǒng)籌建設了全省一體化的公安數據云中心。數據云中心匯聚的數據包括：第一，公安業(yè)務數據。即公安機關在開展日常業(yè)務工作中形成的，涉及執(zhí)法辦案、旅館住宿、交通管理等各類公安基礎數據。近幾年，公安機關優(yōu)化基礎設施，開發(fā)智能采集設備，規(guī)范源頭信息的采集，提高了數據信息質量。第二，政府、企業(yè)動態(tài)數據，包括社保、衛(wèi)生、教育、水電氣等政府信息數據以及互聯(lián)網企業(yè)數據。J省公安機關通過穩(wěn)步開展與其他部門、機構、企業(yè)的信息資源共享，規(guī)范化、常態(tài)化社會數據采集類目和更新方式，不斷豐富社會資源種類和數據的鮮活度；第三，互聯(lián)網信息數據。例如在線發(fā)布的租賃及二手交易等各類實名信息，微博等社交媒體信息，虛擬身份信息等互聯(lián)網數據。上述基礎數據是技術系統(tǒng)的底層，可以為公安各業(yè)務系統(tǒng)服務，并可以實現(xiàn)全省范圍內信息資源的共享。公安機關對上述數據按照不同標準進行分類存儲，同時促進各類結構化、半結構化、非結構化數據之間的有效關聯(lián)，以實現(xiàn)現(xiàn)實人和物的基本信息、社會關系、活動軌跡與互聯(lián)網虛擬身份數據、虛擬軌跡的關聯(lián)融合。通過不斷整合，公安機關建立了一個集合海量數據，并且實現(xiàn)了數據之間關聯(lián)的公安大數據系統(tǒng)。

2.公安機關數據收集權限的立法梳理及評析

公安機關整合的上述數據大量涉及公民個人信息，根據《民法典》第1035條規(guī)定，處理①根據《個人信息保護法》第4條第2款的規(guī)定，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等。個人信息要“征得該自然人或者其監(jiān)護人同意，但是法律、行政法規(guī)另有規(guī)定的除外”。作為公權力機關，公安機關主要通過法律授權的方式收集數據。

梳理當前涉及公安機關收集公民個人信息的相關立法，可以分為二種情形，一是對公安業(yè)務數據收集的授權，如：《刑事訴訟法》第132條規(guī)定：為了確定被害人、犯罪嫌疑人的某些特征、傷害情況或者生理狀態(tài)，可以對人身進行檢查，可以提取指紋信息，采集血液、尿液等生物樣本。《居民身份證法》第3條規(guī)定：公民申請領取、換領、補領居民身份證，應當登記指紋信息。②有學者認為該授權有違“合目的性原則”和“比例原則”，詳見姚岳絨：《身份證取得時強制性采集指紋行為的憲法分析》，載《法學》2012年第5期，第31～41頁?！秱€人信息保護法》第26條授權公安機關為維護公共安全，可以依法在公共場所安裝圖像采集、個人身份識別設備。應當認為此類授權是廣泛的，凡是公安業(yè)務中涉及到登記事項的，均可視為是對公民個人信息收集的授權。二是對企業(yè)數據等非公安業(yè)務數據收集的授權，如《網絡安全法》第28條規(guī)定：網絡運營者應當為公安機關、國家安全機關依法維護國家安全和偵查犯罪的活動提供技術支持和協(xié)助?！斗纯植乐髁x法》第18條規(guī)定：電信業(yè)務經營者、互聯(lián)網服務提供者應當為公安機關、國家安全機關依法進行防范、調查恐怖活動提供技術接口和解密等技術支持和協(xié)助。

上述立法存在的主要問題是授權不夠明確，語焉不詳。例如，《網絡安全法》第28條并未明確授權公安機關取得淘寶、騰訊等網絡運營商的數據，因此一些互聯(lián)網服務企業(yè)對公安機關提供數據的要求持謹慎態(tài)度?！秱€人信息保護法》未特別規(guī)定數據企業(yè)與公權力機關的權利義務關系，其第23條關于“個人信息處理者向其他個人信息處理者提供個人信息，應當向個人告知并取得個人的單獨同意”的規(guī)定顯然與公安大數據運用格格不入，公民對于與自己相關的數據，比如人臉信息、銀行帳戶、淘寶用戶信息，甚至超市app的日常買菜信息等，被運用于刑事偵查中，多數情況下并不知情，更談不上“同意”。立法對公安機關收集以及存儲個人信息數據授權不足容易引發(fā)“侵權”質疑。

（二）大數據運用法律困境——大數據偵查無法可依

1.大數據偵查及立法情況

經多年探索和實踐，偵查機關已經形成大數據偵查理念和偵查模式，大數據偵查逐漸成為常規(guī)的偵查手段。梳理大數據偵查的相關立法，目前只有《公安機關執(zhí)法細則（第三版）》第二十九章“犯罪信息收集和網上偵查措施”，其中第29-02條規(guī)定可以利用有關信息數據庫“查詢、檢索、比對”有關數據?！豆矙C關執(zhí)法細則（第三版）》是公安機關內部指引規(guī)范，主要根據基層執(zhí)法實際需要，以指導實戰(zhàn)、保障執(zhí)法安全、滿足執(zhí)法便利為制定原則。雖然只有內部規(guī)定，但大數據偵查效率高、風險低、成本低，偵查機關基于實用主義的立場，仍然大力加強其建設和運用，實務中，是否使用大數據偵查手段主要取決于兩個方面的因素：一是案件條件，即該案件類型適用大數據偵查手段是否更為有效；二是偵查機關的條件，即偵查人員是否掌握大數據偵查技術及使用大數據平臺的權限。偵查機關對于大數據偵查的立法并不熱衷，無立法規(guī)制，可以更靈活高效地決定大數據偵查的適用。

2.大數據偵查授權不足之弊端

大數據偵查立法授權不足對理論和實務造成了比較大的困擾，主要表現(xiàn)在兩個方面：第一，大數據偵查的隱性應用，加深了對公民權的侵害。由于大數據偵查法律屬性不明，大數據分析結果只能做為辦案線索，偵查機關沒有將其作為訴訟證據放在卷宗里。但在個案中，有時讓檢察官調閱大數據分析報告，以使檢察機關相信指控事實的可靠性，增強其做出起訴決定的信心，或者利用大數據證據影響審判人員的心證。在大數據證據不提交法庭的情況下，辯方對大數據偵查手段合法與否、大數據證據是否真實有效進行質詢的機會被剝奪，損害了辯方的知悉權和辯護權，可以說，大數據偵查的“隱性運用”加劇了“權力與權利”的沖突；第二，缺乏立法授權導致大數據偵查不能完全發(fā)揮效用。大數據偵查只是“內部偵查手段”，大數據偵查手段獲得的材料僅用做指導案件偵查的線索而非指控犯罪的證據，在一些案件中已經成為阻礙成功追訴的重要原因。

（三）救濟之法律困境——權利受侵害救濟不足

大數據偵查干預的是公民的個人信息利益、隱私權等人格權，權利本身的無形性、抽象性令干預權利的偵查行為更難識別與感知進而導致權利的救濟困難。①程雷：《大數據偵查的法律規(guī)制》，載《中國社會科學》2018年第11期，第156～207頁。大數據偵查中的侵權可以分為二種情況：

一是對犯罪嫌疑人采取了大數據偵查措施，最后撤銷案件、不起訴或者宣告無罪，即沒有追究其刑事責任。公安大數據的收集其實已構成一種廣泛監(jiān)控，大數據偵查措施的采取極可能構成對隱私權的干預，以“防控區(qū)域城鄉(xiāng)覆蓋、防控時空無縫對接、防范技術融合應用”的“天網工程”為例，其重點監(jiān)控點全部采用高清紅外攝像頭，即使在夜間也能清晰捕捉人的面部特征和活動軌跡，①《2000萬攝像頭看著你的天網工程 侵犯隱私了嗎》，http://jingji.cctv.com/2017/09/29/ARTIXxhQXa7uHyQjP4SL2X8G170929.shtml；下載日期：2021年6月10日。一個人只要離開家門，進入公共領域，警方就可以追蹤其活動軌跡，這無疑對公民的隱私權構成很大的威脅。但對于這樣的“侵權”，被采取大數據偵查措施的相對人甚至不自知。

二是大數據偵查的信息泄露，導致人格權損害。近年來，公安機關不斷完善內部管理機制，按照促進應用發(fā)展與實現(xiàn)安全防護有機協(xié)同的目標，從物理安全、網絡安全、應用安全等層面，強化大數據安全防護體系建設。例如加強防火墻、防病毒、入侵檢測系統(tǒng)等安全管理設施和平臺建設，實現(xiàn)數據訪問操作日志的記錄、審計，以及網絡數據調取傳輸的實時監(jiān)測、自動預警等。但數據安全問題仍不同程度存在，民警泄露個人信息的案件時常見諸報端，以“高速摸胸門”事件為例，該事件令人擔擾一個由電子眼所催生的“監(jiān)控社會”正在形成，公共權力對社會生活控制得越來越深入、嚴密。②詳見，https://news.qq.com/a/20110908/001191.htm，下載日期：2021年6月19日。

上述侵權情形中，對第二種侵權情形，相關人員要承擔政務處分、民事賠償責任③《民法典》第1039條規(guī)定的“國家機關、承擔行政職能的法定機構及其工作人員對于履行職責過程中知悉的自然人的隱私和個人信息，應當予以保密，不得泄露或者向他人非法提供。”甚至刑事責任，但兩種侵權情形下受害人均難以獲得國家賠償救濟。大數據偵查通常應認定為職務行為，由此造成的損害應由國家承擔賠償責任，而現(xiàn)行《國家賠償法》規(guī)定只有公權力機關造成公民生命權、健康權、人身自由權、財產權等傳統(tǒng)利益損害的，才能要求損害賠償，而對個人信息利益、隱私權的損害尚未納入國家賠償范圍，因此在現(xiàn)行國家賠償制度下，大數據偵查侵害個人信息利益及隱私權的，公民難以獲得充分的賠償救濟。

二、規(guī)范大數據偵查的理論路徑

雖然大數據偵查面臨一系列法律困境，但其發(fā)生與發(fā)展順應歷史潮流，是形勢所需，大勢所趨，是打擊新型網絡犯罪的必要手段，其需要獲得理論解釋并且在該理論指導下構建符合我國國情的大數據偵查法律規(guī)制體系。

（一）公共利益豁免——大數據偵查的正當性證成

西方國家較早關注到政府大數據應用面臨的“權力與權利”的沖突，并基于本國國情提出不同的規(guī)范進路，主要有兩種學說：以美國為代表的“信息性隱私權理論”和以德國為代表的“信息自決權理論”。

美國在1972年Whalen v.Roe一案中承認憲法上的隱私權包括政府數據庫中信息的收集、儲存和散發(fā)。④[美]阿麗塔·L.艾倫、理查德·C.托克音頓著：《美國隱私法》，馮建妹等編譯，中國民主法制出版社2019年版，第37頁。1974年的《隱私法》是其第一個規(guī)范政府行政部門在收集和散播私人信息活動中如何保護個人隱私的綜合性聯(lián)邦立法。在1967年Katz v.United States案中隱私保護的標準被確定為“對隱私的合理期待”，該案法官認為，政府使用電子技術收聽并錄制原告說話的行為，侵犯了原告在使用電話亭時所合理期待的隱私，因而要受憲法第四修正案關于“搜查和扣押”的法律約束。⑤同上，第59、226頁。在1976年United States v.Miller案和1979年Smith v.Maryland案中，進一步確立了如下原則：如果信息是個人主動報露的，且接受方同意與他人（包括政府）共享信息，在法律上就沒有對其隱私進行保護的預期，個人信息不能受到憲法的保護，即數據的二次使用一般不被法律所禁止，只有存在特殊的法律規(guī)定或合同約定時才受到限制。因此，美國信息性隱私權保護的焦點是政府未經個人同意而獲取信息的搜查行為，而信息一旦被合法獲取，在法律和據以獲得信息的合同約定中沒有禁止性規(guī)定時，即使未經本人同意，信息的二次使用一般也被認為是合法的，①[美]阿麗塔·L.艾倫、理查德·C.托克音頓著：《美國隱私法》，馮建妹等編譯，中國民主法制出版社2019年版，第209～210頁。所以，美國數據挖掘式的政府大數據應用行為基本不受約束，其雖然主張尊重個人隱私、提倡數據保護，但并未因此犧牲信息技術所帶來的利益，這種利益包括信息產業(yè)的蓬勃發(fā)展，也包括政府利用大數據進行社會控制的利益。美國的信息隱私權在世界范圍內產生了深遠的影響，眾多國家的個人信息立法亦直接采取了“隱私”的稱謂，在學術研究中，信息性隱私權理論亦被各國學者廣泛使用。②韓旭至：《個人信息與個人隱私的區(qū)分》，載《網絡法律評論》2016年第2期，第88～111頁。

德國聯(lián)邦憲法法院在1983年的“人口普查法案”中，對于國家基于公益目的而廣泛搜集、儲存和利用個人資料的正當性問題作出宣示，提出“信息自決權”概念，認為“信息自決權”是要保護個人在現(xiàn)代資料處理的條件下，避免其個人資料遭到不受限制的調查、儲存、利用和傳遞；每個公民都必須能夠由自己來決定關于他的資料如何公開和利用。此種權利包含在《基本法》第2條第1款和第1條第1款③德國《基本法》第1條第1款規(guī)定：人之尊嚴不可侵犯，尊重及保護此項尊嚴為所有國家機關之義務。第2條第1款規(guī)定：在不侵害他人權利及不違反憲政秩序或道德規(guī)范下，人人有自由發(fā)展其人格之權利。之中，屬于一般人格權范疇，是公民的憲法性權利，其功能主要用以對抗國家的不當干預。同時聯(lián)邦憲法法院也申明“信息自決權并非毫無限制地受到保護。個人對于其信息并沒有一個絕對且不受限制的支配權?！薄霸谥卮蠊怖嫦拢瓌t上個人必須忍受對其信息自決權之限制?！边@個限制除了必須在其條件和范圍上具備一個合憲且滿足法治國之規(guī)范明確性要求的法律基礎之外，立法者對此還必須注意到比例原則。④陳戈、柳建龍主編：《德國聯(lián)邦憲法法院典型判例研究：基本權利篇》，法律出版社2015年版，第44～121頁?！靶畔⒆詻Q權”概念提出后，成為《德國聯(lián)邦數據保護法》的憲法基礎，該法首先規(guī)范和限制政府搜集和使用數據，其第二部分規(guī)定“公共機構對數據的處理”，第三部分才是“私法主體和參與競爭的公法企業(yè)對數據的處理”，而且公權力主體和私法主體在信息處理方面適用的規(guī)則也不盡相同，對公共機構的信息處理行為施加了比私法主體更為嚴格的管制。后來《德國聯(lián)邦數據保護法》歷經多次修訂，不斷豐富其個人信息自決權的內涵。在信息自決權理論指導下，應當認為政府大數據應用是對公民信息自決權與人格尊嚴的干預，要遵循干預基本權利的要求，設置嚴格而詳盡的法定程序。德國的信息自決權理論產生較廣泛的影響，目前全球已有近30個國家、地區(qū)和國際組織制定了個人信息保護方面的法律。

在我國，大數據技術的深度應用使個人信息保護立法成為一項迫切的任務，在吸收借鑒了其他國家、地區(qū)經驗的基礎上，在短短數年時間內，我國個人信息保護的理論和立法均取得較迅速的發(fā)展。從我國“隱私權“和“個人信息利益”的立法發(fā)展歷史以及《民法典》《網絡安全法》以及2021年8月20日通過的《個人信息保護法》的相關規(guī)定看，我國對公民個人信息的保護主要繼受與發(fā)展了德國的“信息自決權”理論，即將“知情同意原則”作為個人信息保護的首要機制，同時契合大數據時代的需求，將“公共利益或合法利益豁免”作為“知情同意”的例外。

“知情同意機制”是傳統(tǒng)個人信息保護制度的核心，構成了“信息自決權”的首要機制。我國《民法典》第1035條、《網絡安全法》第41條以及《個人信息保護法》第13條-17條均規(guī)定了處理個人信息要遵循“知情同意原則”，并規(guī)定了“告知—同意”的具體規(guī)則。按照“知情同意原則”的要求，除非法律、行政法規(guī)另有規(guī)定，政府機關同其他大數據企業(yè)一樣，收集個人信息應當取得信息主體的同意，而且同意是“個人在充分知情的前提下自愿、明確作出”?！秱€人信息保護法》第35條則進一步明確規(guī)定：國家機關為履行法定職責處理個人信息，應當依照本法規(guī)定履行告知義務。但是“知情同意原則”難以適應大數據時代的發(fā)展，“明確收集目的”的同意標準①《個人信息保護法》第17條第1款第二項。使數據收集主體不能夠通過列舉廣泛的收集目的來獲取數據主體同意，政府的信息處理更是面臨這一難題。大數據時代注重數據價值的二次利用和流轉，數據控制者不可能為了二次利用而追蹤回原數據主體并尋求他們的同意。所以，在復雜的數據收集處理情形下，“同意”不是最為合適的處理數據的合法依據，②謝琳：《大數據時代人個信息使用合法利益豁免》，載《政法論壇》2019年第1期，第74～84頁?！爸橥鈾C制”需要其他機制作為補充。因此，我國《民法典》第1036條規(guī)定，處理個人信息，有下列情形之一的，行為人不承擔民事責任：（1）在該自然人或者其監(jiān)護人同意的范圍內合理實施的行為；（2）合理處理該自然人自行公開的或者其他已經合法公開的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外；（3）為維護公共利益或者該自然人合法權益，合理實施的其他行為。其中第二項可視為數據主體“同意”，第三項則是同意之外處理個人信息的免責事由。由此可見，我國《民法典》對于個人信息處理確立了“公共利益或合法利益豁免機制”?！秱€人信息保護法》第13條則進一步細化了“公共利益或合法利益豁免”的具體情形。③根據《個人信息保護法》第13條的規(guī)定，處理個人信息不需取得個人同意的情形有：（1）為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需；（2）為履行法定職責或者法定義務所必需；（3）為應對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需；（4）為公共利益實施新聞報道、輿論監(jiān)督等行為，在合理的范圍內處理個人信息；（5）依照本法規(guī)定在合理的范圍內處理個人自行公開或者其他已經合法公開的個人信息；（6）法律、行政法規(guī)規(guī)定的其他情形。大數據偵查是“為實現(xiàn)公共利益”而開展的大數據運用行為，應當適用“公共利益豁免機制”，即為了“履行法定職責或法定義務”，實現(xiàn)維護社會秩序之公共利益，可以未經個人同意而處理個人信息，個人相應地須承擔偵查機關對其“信息自決權”進行限制的義務。

（二）“公共利益豁免機制”應當遵循“法律保留原則”“合目的性原則”“比例原則”

雖然《民法典》等法律規(guī)范確立了“公共利益豁免機制”，但是因“公共利益”處理個人信息免責的范圍有多大？根據《民法典》第1036條第三項的規(guī)定，即便是為了公共利益，也必須以“合理”的方式實施個人信息處理才可以免責，那么何謂“合理”又是一個需要考量的法律問題。《民法典》第1035條規(guī)定：處理個人信息，應當遵循“合法、正當、必要”原則，不得過度處理。從行政權行使的基本原則來看，公安機關基于公共利益，未經數據主體同意處理個人信息數據，應當遵循“法律保留原則”“合目的性原則”和“比例原則”，只有符合上述原則，國家公權力對個人信息利益的干預才具有正當性。

第一，法律保留原則。法律保留原則要求公權力行為必須有法律的依據，只有在法律有明確規(guī)定的情況下才能作出積極的行為，否則就構成違法。例如，《個人信息安全規(guī)范》（國家標準GB/T 35273-2020）5.6（d）規(guī)定：為刑事偵查、起訴、審判和判決執(zhí)行的需要而收集、使用個人信息不必征得個人信息主體的授權同意。但是《個人信息安全規(guī)范》僅是國家推薦標準，無法律效力，它顯然無法授權偵查機關開展大數據偵查工作。公安機關履行職責過程中處理的信息很多是涉及公民隱私權的敏感數據，更應當明確“只有法律有明文規(guī)定”才能處理。

第二，合目的性原則。合目的性原則包括“目的明確”和“受目的拘束兩個方面”。首先，在立法授權公權力機關搜集公民個人信息的情況下，必須明確規(guī)定搜集、使用公民信息之目的；其次，信息的后續(xù)使用要與原先的收集目的一致，不允許在法定目的之外使用信息?！秱€人信息保護法》第6條、第28條對此有明確規(guī)定。但是“合目的性原則”是傳統(tǒng)個人信息保護的基本原則，由于受到原先收集目的的限制，限制了數據的流轉和二次使用，顯然無法適應大數據的二次利用模式。因此，大數據時代對“合目的性原則”之內涵應予以發(fā)展，不必要求后續(xù)使用目的必須與原先目的具有關聯(lián)性，但應尊重用戶的合理預期①謝琳：《大數據時代人個信息使用合法利益豁免》，載《政法論壇》2019年第1期，第74～84頁。。當然，何謂“合理預期”應置于具體的使用場景中進行考量，例如，將公民按照《出境入境管理法》要求提交的“人臉數據信息”用于刑事案件的偵查，一般認為不會超出數據主體的“合理預期”；但是若將自來水公司的居民用水數據應用于刑事偵查則可以認為不符合“預期”，這種數據應用就應當明確告知數據主體或者通過立法授權偵查機關收集及使用。

第三，比例原則。任何公權力要進入私領域，都需要通過比例原則進行“正當性證成”。要在公法中合理保護個人信息利益，當然需要運用到比例原則以實現(xiàn)“數據保護與流轉”之平衡，并以其為依據判斷信息數據的使用是否合理合規(guī)。例如《個人信息保護法》第6條的規(guī)定，處理個人信息應當采取對個人權益影響最小的方式；收集個人信息，應當限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息；第19條規(guī)定，個人信息的保存期限應當為實現(xiàn)處理目的所必要的最短時間；第34條的規(guī)定，國家機關處理個人信息，不得超出履行法定職責所必需的范圍和限度。

三、“公共利益豁免機制”指導下的大數據偵查立法應對

（一）數據收集之立法完善

根據法律保留原則，公安機關主要以法律授權的方式獲得收集數據的權力。《民法典》第1035條規(guī)定，處理個人信息要“征得該自然人或者其監(jiān)護人同意，但是法律、行政法規(guī)另有規(guī)定的除外”?！秱€人信息保護法》第34條規(guī)定：國家機關處理個人信息，應當依照法律、行政法規(guī)規(guī)定的權限、程序進行。據此，對于公民個人信息的收集、存儲等處理，法律、行政法規(guī)可作出授權規(guī)定。

建議將《個人信息安全規(guī)范》5.6（d）項的規(guī)定②參見中華人民共和國國家標準（GB/T 35273-2020）《信息安全技術 個人信息安全規(guī)范》5.6征得授權同意的例外：以下情形中，個人信息控制者收集、使用個人信息不必征得個人信息主體的授權同意：（a）與個人信息控制者履行法律法規(guī)規(guī)定的義務相關的；（b）與國家安全、國防安全直接相關的；（c）與公共安全、公共衛(wèi)生、重大公共利益直接相關的；（d）與刑事偵查、起訴、審判和判決執(zhí)行等直接相關的；……（k）個人信息控制者為學術研究機構，出于公共利益開展統(tǒng)計或學術研究所必要，且其對外提供學術研究或描述的結果時，對結果中所包含的個人信息進行去標識化處理的。上升到法律層面，在《個人信息保護法》或《刑事訴訟法》中對偵查機關的數據收集進行概括授權，明確規(guī)定：為刑事偵查的需要收集、使用個人信息不必征得個人信息主體的同意；在具體內容上，尤其對于互聯(lián)網企業(yè)等外部數據的收集，立法應予明確授權?！兜聡?lián)邦數據保護法》“第三部分私法主體和參與競爭的公法企業(yè)對數據的處理”第28條規(guī)定：“在下列情形下，也可允許為其他目的傳輸或使用個人數據：（1）有利于保護第三方的合法利益，（2）有利于避免危及國家和公共安全的威脅和追訴犯罪；”第28條（5）進一步規(guī)定：“接受傳輸數據的第三方應按數據傳輸之目的處理或使用數據，對于公共機構，只有符合法律有明確規(guī)定或是為了追訴犯罪或行政違法或是為了避免對公共利益的重大危害或為了對重大公共利益的保護，才允許其因其他目的處理或使用數據。”上述立法可以作為參考。

（二）大數據偵查相關立法問題

積極推動大數據偵查立法，授權并規(guī)制正在迅猛發(fā)展的大數據偵查，既是保障公民權的需要，也有利于實現(xiàn)公安工作的科技轉化和運用。大數據偵查的立法也有利于減少適用強制措施、技術偵查等對公民權益的侵害更為深刻的偵查手段。當前，羈押性強制措施的適用條件越來越嚴格，“非法證據排除規(guī)則”日益嚴密，技術偵查等秘密偵查手段一直以來處于嚴控之下，偵查機關控制和懲罰犯罪的手段一定程度上受到削弱，“捆上警察的左手，就要同時放開警察的右手”①陳衛(wèi)東：《理性審視技術偵查立法》，載《法制日報》2011年9月21日，第009版。，大數據偵查的合法化可以替代傳統(tǒng)偵查手段，以平衡懲罰犯罪和保障人權之雙重任務。

首先，大數據技術在刑事偵查中的應用，不同于現(xiàn)行《刑事訴訟法》規(guī)定的任何一種偵查行為，應當在《刑事訴訟法》“偵查”一章將“大數據偵查”增補為一種新的偵查行為。②筆者團隊論述過這一問題，詳見鐘明曦、王錫章，黃云峰：《大數據偵查的實踐問題及對策研究》，載《福建警察學院學報》2018年第12期，第1～12頁。公安部在《公安機關執(zhí)法細則（第三版）》第29-02條中亦將“查詢、檢索、比對數據”單列為一項偵查措施。

其次，遵循比例原則，規(guī)定不同大數據偵查手段的適用條件與程序等內容，程序上涉及事前審批、事中控制以及事后監(jiān)督等環(huán)節(jié)。大數據技術的應用可以分為大數據搜索法、大數據碰撞法、網絡關系分析法、大數據畫像法等，各種大數據技術的運用對公民權干預的深度、廣度存在明顯的差異，在立法過程中應相應地采取不同的規(guī)范尺度。不具有強制性以及對公民權益的損害程度較小的大數據應用行為，可以不受法律保留原則的約束，即雖然法律沒有授權性規(guī)定，仍屬合法。反之，有些大數據應用行為，如大數據畫像、網絡關系分析等，深刻影響公民權益且具有強制性，應當成為法律規(guī)制的重點。對此，德國的立法例值得借鑒，《德國刑事訴訟法典》第98條a、b規(guī)定了計算機排查偵緝（使用刑事追訴機關外的其他部門之處保存的數據進行比對挖掘），第98條c規(guī)定了數據比對（使用刑事司法部門管理的數據庫進行比對）。其對計算機排查偵緝規(guī)定了嚴格的適用條件和程序：在案件范圍上遵循重罪原則，只有存在足夠的事實依據表明發(fā)生了法定的重大犯罪行為，才能進行計算機排查偵緝；在數據范圍上遵循最少夠用原則，數據保存機關只能向追訴機關傳輸對比所需數據；在審批程序上，遵循法官令狀原則，只能由法官命令，遲延就有危險時亦允許由檢察官命令；在事后措施上，遵循權利救濟原則和接受監(jiān)督原則，要求對比完畢后應當不延遲地歸還數據或者不遲延地刪除數據，排查偵緝結束后應當通知負責監(jiān)督各機關遵守數據保護規(guī)定情況的機關。相對而言，《德國刑事訴訟法》對數據比對的規(guī)范要少得多，其第98條c規(guī)定：為查明犯罪行為，或者為刑事程序目的而偵查被偵緝人員的所在地，允許將來自某刑事程序的涉及個人的數據與為追訴、執(zhí)行刑罰或防御危險而保存的其他數據，使用機器設備對比。③宗玉琨譯注：《德國刑事訴訟法典》，知識產權出版社2013年版，第53～55頁。由于這種大數據偵查行為比對的數據庫僅限于刑事司法部門的數據庫，所以在程序上沒有嚴格的要求。

再次，明確大數據偵查行為法律屬性的同時，立法應賦予大數據分析結果以訴訟證據地位。隨著大數據技術的成熟以及大數據分析結果在偵查中發(fā)揮日益重要的查明作用，應將其規(guī)定為新的證據種類。①鐘明曦：《論刑事訴訟大數據證據的效力》，載《鐵道警察學院學報》2018年第6期，第83～87頁。當然，實務部門有人認為大數據偵查作為一種新的偵查手段應當盡量不暴露，取得的證據盡量不使用，以保證偵查手段的有效性。筆者同意這樣的觀點。與技偵手段取得的證據一樣，大數據證據應當作為訴訟的最后手段，遵循“能不使用則不使用的原則”，在案的其他證據足以證明案件事實的情況下，在訴訟證明中盡量減少大數據證據的使用，大數據分析結果在案件材料中可以表現(xiàn)為“破案經過”“抓獲經過”或者請法官庭外質證，以平衡訴訟需求和偵查秘密之間的關系。

（三）推動國家賠償立法完善

應當充分認識到在大數據時代，個人信息利益、隱私權的重要意義，一個社會如果不能保障公民的隱私權、個人信息利益等人格權利，將破壞個人自治、私生活安寧等彌足珍貴的公民權利，如果公民擔擾他人（尤其是國家）知悉自己的秘密而產生“寒蟬效應”，從此謹小慎微、謹言慎行，這個社會將失去活力和創(chuàng)造力，因此，嚴重損害公民隱私權、個人信息利益的行為造成嚴重后果的，應當納入國家賠償的范圍，確保因大數據偵查導致個人信息利益、隱私權受到侵害的公民能夠得到合法救濟。

結語

國家“十三五”規(guī)劃提出的“國家大數據戰(zhàn)略”旨在全面推進我國大數據發(fā)展和應用，加快建設數據強國；2019年中國共產黨第十九屆中央委員會第四次全體會議通過的《中共中央關于堅持和完善中國特色社會主義制度推進國家治理體系和治理能力現(xiàn)代化若干重大問題的決定》進一步提出，要“建立健全運用互聯(lián)網、大數據、人工智能等技術手段進行行政管理的制度規(guī)則，推進數字政府建設?！睉斦J識到“智慧城市”“數字治理”不僅僅是科技層面建設，也應當是制度層面的建設。公安大數據偵查面臨的法律困境也是政府大數據運用的一個縮影。2021年8月20日《個人信息保護法》經第十三屆全國人大常委員三審通過，其審議過程凸顯各方利益平衡之難?！秱€人信息保護法》第二章第三節(jié)規(guī)定了“國家機關處理個人信息的特別規(guī)定”，從章節(jié)鋪排及具體內容來看，其未將政府對大數據應用的規(guī)制作為立法的重點，不能有效規(guī)范和指導公權力對數據的處理。因此，如何授權并規(guī)制政府大數據運用，使我們既享受信息社會的福利，又能科學平衡公權力與公民權的沖突，還有許多亟待探討的問題，期待未來學界有更全面、更有開拓性的研究。