李燕：GDPR將對金融科技核心技術的商用和創(chuàng)新產生溢出效應。金融科技企業(yè)在隱私權和信息安全上正面臨新的規(guī)制環(huán)境。

被稱為史上最嚴的個人信息保護法——歐盟《一般數據保護條例》(GDPR)已經開始正式實施。歐盟發(fā)布GDPR是出于什么樣的考慮?GDPR對積極在歐洲開展業(yè)務的中國科技企業(yè)有什么啟示?GDPR對算法和數據的要求，對極度依賴數據的新興產業(yè)造成什么影響?

金融科技以數據和技術為核心，是新興金融服務業(yè)的一大標志。自互聯網革命、移動互聯網革命以來，金融科技擴展至金融領域的一切創(chuàng)新技術，如大數據、人工智能、區(qū)塊鏈、云計算等。金融科技的適用群體也逐漸從金融行業(yè)拓展至各類企業(yè)乃至普羅大眾。據2017年安永發(fā)布的金融科技采納指數顯示，目前全球1/3的消費者正在使用兩種或更多的金融科技服務。金融科技在重塑金融業(yè)態(tài)和促進社會的包容性增長上功不可沒。與此同時，金融科技企業(yè)在隱私權和信息安全上正面臨新的規(guī)制環(huán)境。鑒于GDPR的效力范圍，其將對金融科技核心技術的商用和創(chuàng)新產生溢出效應。

GDPR對人工智能商用的合規(guī)影響

人工智能的三種主要技術均需要專有類型數據的支撐。例如，機器學習需要大量的標簽樣本數據，模式識別偏重于信號、圖像、語音、文字、指紋等非直觀數據，人機交互則需要積累大量的用戶數據。當下，人工智能正逐漸滲透至金融業(yè)KYC、貸款、風控、資產配置、保險等金融領域，需要符合GDPR要求。

(一)開展數字化投顧等自動化決策服務

數字化投顧(Digital Investment Advice)的業(yè)務邊界在各國實踐上有所不同，對其界定也無共識。概念源于2016年美國金融業(yè)監(jiān)管局發(fā)布的數字化投顧報告，從監(jiān)管者視線出發(fā)，無從也無必要對各類商事主體提供的人工智能技術予以度量，無論是機器人或是人工智能投資顧問，無論服務商采取何種方式實現商業(yè)模式的智能，其輸出形式均可統(tǒng)一認定為數字化投顧。有了大量數據輸入的人工智能，能夠根據消費者經濟情況判斷其風險承受能力，預測金融市場走向繼而給出個性化的理財規(guī)劃。市場對數字化投顧普遍看好，花旗銀行預測至2020年該市場AUM有望突破2.2萬億美元。

GDPR對基于大數據分析的自動化決策采取了審慎態(tài)度，對可能發(fā)生的算法歧視進行了立法預防。GDPR規(guī)定，控制者在獲取個人信息時，為確保處理過程的公正透明，應當向數據主體提供相關信息，說明是否存在自動決策機制，以及在存在自動化決策的情形下，提供邏輯程序以及此類處理對于數據主體的意義和預期影響相關信息。同時還規(guī)定，當自動化決策將對數據主體產生法律效力或造成重大影響時，數據控制者應實施適當措施保護數據主體的權利、自由和合法利益，保證數據主體對數據控制者的人為干預權表達觀點和異議。

因此，從事數字化投顧的企業(yè)應當為客戶提供自動化決策有關信息，并為客戶提供表達觀點和質疑的途徑。對于數字化投顧的算法公開問題，涉及商業(yè)秘密、知識產權保護等問題，能否以及向數據主體披露到何種程度，歐盟29條工作組就此問題發(fā)布的指南提出，對于自動決策，數據控制者并不必然要解釋完整的算法，面對用戶，用盡可能簡單的方法告知算法的基本邏輯或標準即可。

(二)生物識別技術應用于金融交易

生物識別技術是對個人生理及行為特征的測量及統(tǒng)計分析，正在被越來越多地應用于支付等金融服務中，用于識別或是輔助識別用戶的身份，并有望成為金融交易中采用的主要識別形式之一。生物識別相關的生理特征包括DNA、指紋、臉部、手部、視網膜、耳部特征以及氣味，行為特征包括手勢、聲音、打字的節(jié)奏以及步態(tài)等。生物識別技術的商用前景廣闊，可增強金融交易的安全性，并為用戶提供極佳的“無感式”身份識別體驗。

GDPR將涉及健康、基因數據、經處理可識別特定個人的生物識別數據定義為敏感數據。企業(yè)需慎重對待此類特殊數據，不僅要在獲取數據時需要征得數據主體的明示同意，作為數據控制者或處理者還需承擔對數據的安全保障義務，在技術和管理措施上采取必要措施，包括委派數據保護官(DPO)、在處理個人敏感數據時還需滿足相關成員國的條件，發(fā)生數據泄露事故時及時履行報告義務等。

GDPR對大數據技術商用的合規(guī)影響

大數據產業(yè)是以數據生產、采集、存儲、加工、分析和服務為主的經濟活動。大數據對金融領域的創(chuàng)新影響力強，數據維度越豐厚，用戶畫像越精細，企業(yè)所能觸達的業(yè)務會越多元。大數據技術應用于精準營銷、信用評估等業(yè)務均將受到GDPR影響。

(一)描摹數據畫像用于精準營銷和信用評估

數據畫像是對數據和個人信息匯總和分析，為特定個體或人群的特征刻畫標簽，并根據其需求和企業(yè)服務優(yōu)勢提供差異化服務，可提高產品推送的精準程度、增強用戶黏性。數據畫像主要應用于精準營銷和用戶信用評估等業(yè)務環(huán)節(jié)。

GDPR對數據畫像有明確的定義，是指對個人數據進行任何自動化處理，包括利用個人數據評估與自然人有關的特定方面，特別是針對與自然人的工作表現、經濟狀況、健康狀況、個人偏好、興趣、信譽、行為習慣、位置與行蹤相關的分析和預測。使用用戶畫像若涉及對數據主體產生法律影響或其他重大影響，需符合以下要求：或取得歐盟或其成員國明確授權;或是用戶畫像對數據主體與數據控制者簽訂或履行合同是必要的;或是基于數據主體的明確同意。

在大數據業(yè)務模式中，大多數情形下使用用戶畫像很難說對于數據主體與數據控制者的合同簽訂或合同履行是必要的，因此，在絕大多數情形下，需要取得數據主體對使用用戶畫像的明確同意。對此，企業(yè)應當告知數據主體提供用戶畫像的相關邏輯，包括對于數據主體產生預期后果的相關信息，并且告知數據主體享有對用戶畫像的反對權。此外，針對特殊類型個人數據，例如宗教信仰、政治觀點、性取向、性生活、基因或者健康數據等敏感數據，除非數據主體明確同意基于特定目的而授權處理其個人數據(但成員國仍然可就基因數據、生物特征數據或者健康相關的個人數據處理采取維持、限制或者其他措施)，否則基于特殊類型的個人數據處理將被禁止。

此外，盡管GDPR中未對數據畫像算法提出可解釋性要求，但是，社會對算法透明、算法向善的預期依然是數據畫像商用在倫理層面所面臨的挑戰(zhàn)。對此，企業(yè)應定期開展算法審計，以保證客戶不受歧視，并為客戶提供允許表達觀點和質疑商業(yè)決定的途徑。

(二)追蹤消費者網絡行為推薦定向廣告

網絡行為定向廣告是大數據技術應用于廣告行業(yè)的產物，主要是利用算法追蹤消費者的搜索、瀏覽、成交等網絡行為，繼而構建模型計算消費者的購買偏好，推出定制化廣告。

定向廣告倚賴對信息的搜集和分析，市場上部分網站通過cookie等技術對用戶的網絡行為進行記錄。移動互聯網技術出現后，還可能涉及對用戶實時地理位置(行蹤軌跡)的記錄。GDPR將個人數據定義為可用于識別自然人(數據主體)的任何信息。例如該自然人的姓名、電子郵件地址、IP地址、位置數據，或自然人所特有的遺傳性、精神性、經濟性、文化性或社會性身份因素。對于網絡設備、應用、工具、協議中留存的cookie痕跡，如果具有唯一指向性，這些cookie信息可生成個人檔案識別具體自然人，即具有身份識別性。GDPR第26條前注說明，當數據可被用來直接或間接識別自然人時，那么其就是個人數據/信息。這意味著不是所有但大部分被用來識別用戶的cookie信息要受GDPR規(guī)制，這就包括有關廣告、功能服務之類cookie信息。

企業(yè)收集cookie信息，需遵循GDPR對數據畫像的相應規(guī)定，上文已經論述。對于定向廣告運營商而言，收集用戶的cookie信息行為，僅身份安全驗證、防止交易欺詐等小部分信息可適用履行合同之必要的合法事由，搜集其他cookie信息時須征得用戶的明示同意，不能采取默認同意，此外還需給予用戶撤回同意等選擇權。

基于區(qū)塊鏈技術開展創(chuàng)新業(yè)務的合規(guī)沖突

區(qū)塊鏈作為金融產業(yè)的底層技術受到許多國家與機構的關注和測試。達沃斯論壇創(chuàng)始人克勞斯曾預言在2025年之前，全球GDP總量的10%將利用區(qū)塊鏈技術儲存，屆時貨幣形態(tài)、商業(yè)模式等將因區(qū)塊鏈技術的成熟改變內涵。

區(qū)塊鏈本質上是通過去中心讓所有人都擁有相同的賬本，區(qū)塊鏈尤其公有鏈的數據是透明的，任何一個參與者都可獲得完整的數據備份，可看到所有的交易信息，并且不可篡改，這是區(qū)塊鏈的優(yōu)勢，但是與GDPR中心化的規(guī)范方式，賦予個人數據的更正權、刪除權和被遺忘權的行使存在沖突。面對GDPR的合規(guī)要求，區(qū)塊鏈在金融科技的應用面臨挑戰(zhàn)。

GDPR規(guī)定，數據主體在相應理由下有權要求控制者及時刪除其個人數據。此外還規(guī)定，若數據主體已請求企業(yè)刪除相關個人數據的任何鏈接、副本或者復印件，但企業(yè)已將其個人數據公開，在考慮現有技術和實施成本后，企業(yè)應當采取合理步驟，通知處理此數據的其他數據控制者刪除此類信息。這就對應用區(qū)塊鏈技術的企業(yè)提出極高的合規(guī)要求。區(qū)塊鏈解決去中心化信任的關鍵功能就在于數據的不可篡改性。一旦信息經過驗證并添加至區(qū)塊鏈，就會永久存儲起來，除非能夠同時控制住系統(tǒng)中大多數節(jié)點，否則單個節(jié)點上對數據庫的修改是無效的，同時控制眾多節(jié)點幾乎是不可能的，企業(yè)保護刪除權也近乎西西弗斯推石頭。

GDPR對云計算的合規(guī)影響

云計算通過互聯自由流通使得超級計算能力成為可能，可解決海量異構信息處理和多樣化復雜應用的整合問題，成為眾多金融科技企業(yè)的選擇。越來越多的銀行、證券、保險、支付業(yè)類金融企業(yè)都在通過引入云計算來增強數據的安全性、加快信息共享速度、提高服務質量、降低運營成本，中國已成為全球第二大云服務市場。

在典型的云服務場景中，云服務商是數據處理者，云計算的客戶是數據控制者。GDPR對控制者、處理者在大多數情境下提出了相同的要求，例如，承擔數據安全保障義務，實施適當的技術和組織性措施、配合監(jiān)管機構執(zhí)行任務等。GDPR對云服務商(作為數據處理者)與云客戶(作為數據控制者)之間的權利義務也進行了規(guī)范，若未經控制者事先書面授權，數據處理者不能雇用另一個數據處理者。若為一般的書面授權，處理者應當通知控制者任何有關打算增加或替換其他處理者的更改，以使控制者有機會反對這樣的更改。此外，若處理者認為某項指令違反了GDPR或其他歐盟或成員國的數據保護規(guī)定，處理者應當立即通知控制者。為符合GDPR要求，市場上與云服務合同對轉售授權、安全保障措施(較之95指令，GDPR將安全保障措施從控制者擴展到處理者)、風險管理責任相關條款均需修訂。

GDPR對物聯網業(yè)務的合規(guī)影響

物聯網(IoT)擁有廣闊的發(fā)展前景，其通過可穿戴設備等智能終端搜集數據傳遞給云計算中心，從而改變數據交互的形式，目前已率先應用于車險、健康險等保險業(yè)務。

物聯網持續(xù)獲取人體的部分生理特征，勢必涉及到大量敏感數據，需要滿足GDPR對此類特殊數據的合規(guī)要求。在數據收集越來越方便的背景下，物聯網收集的數據具有二次開發(fā)的增值價值，能否將其用于和最初收集目的完全不同的領域，也需要進行合規(guī)評估。比如，在數據分享給第三方時，GDPR要求數據控制者應當提供其收集數據的目的等，須就此再次征得數據主體的明確同意。此外，可穿戴設備具有開放性等特征，使其容易受到非法用戶的攻擊，企業(yè)需要貫徹GDPR提出的技術性及組織性措施要求，定期測試、訪問和評估，以確保數據處理的安全性。

總之，鑒于GDPR的效力范圍，凡在歐盟有布局的企業(yè)，或是設立在歐盟境內作為數據的控制者或處理者，或是未設立在歐盟境內但其數據處理行為發(fā)生在向歐盟境內數據主體提供商品或服務過程中，或是涉及監(jiān)控歐盟境內數據主體的行為都將受該條例約束。為避免合規(guī)風險和聲譽受損，大型企業(yè)已火速展開合規(guī)行動。谷歌、臉書和推特等企業(yè)已面向GDPR進行合規(guī)布局，紛紛更新用戶隱私條款。在國內，阿里巴巴旗下的全球速賣通、騰訊旗下的微信海外版和京東旗下的全球購等企業(yè)，以及涉及歐洲業(yè)務的中國制造企業(yè)和航空企業(yè)等，都已在官方網站上更新用戶隱私條款。

未來，金融科技企業(yè)需要努力將隱私保護積極納入整個運營系統(tǒng)中。在此過程中，企業(yè)的安全文化或將面臨重大調適，并體現在戰(zhàn)略規(guī)劃、系統(tǒng)設計、數據治理、流程管理、內控審計等方方面面。主動尊重用戶的隱私權不是一件壞事，通過厘清內部數據的流向，提升用戶對其隱私信息的控制度、透明度和安全度，一方面將極大增強消費者對企業(yè)的信任度，有助于商業(yè)可持續(xù)開展，另一方面也將幫助企業(yè)拓展新的業(yè)務藍海。而率先實現數據有效治理的企業(yè)無疑將贏得關鍵業(yè)務領域的話語權和核心競爭力。

標簽： 安全 大數據 大數據產業(yè) 大數據分析 大數據技術 大數據技術應用 電子郵件 服務商 谷歌 互聯網 互聯網技術 基于大數據 金融 數據分析 數據庫 搜索 網絡 信

版權申明：本站文章部分自網絡，如有侵權，請聯系：west999com@outlook.com
特別注意：本站所有轉載文章言論不代表本站觀點！
本站所提供的圖片等素材，版權歸原作者所有，如需使用，請與原作者聯系。