编辑导语：伴随着互联网技术的发展，人们的生活与互联网、与数据都有了深层次的融合，然而，如何确保用户自身对数据拥有掌控权？近日通过的《中华人民共和国个人信息保护法》便推动这一掌控权回归至用户手中，在一定程度上，也为未来的互联网发展做了指引。

《黑镜》里有一集短剧，讲述的是一个失去新婚丈夫的女主，为了缓解自己的伤痛，使用了一家公司的AI算法服务。后者通过收集丈夫在线上留存的各种数据，重新还原丈夫的说话与反应习惯，并以此为原型，造出了跟丈夫相似度极高的机器人。

随着我们使用数字化场景越来越多元和深入，“数据”本身的意义越来越复杂。它不再是代表一次次孤立的使用行为，或者简单的业务数据记录。通过将围绕一个人的数据不断串联，“数据”这一资产，或许将逐渐演化为人类在社会存在中的“DNA”。

换言之，如果失去了对自己数据的掌控权，未来真正了解你的或许将不再是你自己，而是某些拥有巨大数据存量体系的互联网平台。这是在过去几年移动互联网彻底渗透人们生活，平台型企业逐渐变成庞然大物的过程中，越来越困扰普通人的问题。

如何避免这样的风险，世界各国都在加强监管手段。2021年8月20日，十三届全国人大常委会第三十次会议表决通过了《中华人民共和国个人信息保护法》（以下简称“《保护法》”），该法案将于2021年11月1日起执行。

《保护法》的第四条对这里提到的个人信息进行了定义：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

其实这里的个人信息在大众语境里，就是数据。

据新华社的总结，《保护法》明确了：

1. 通过自动化决策方式向个人进行信息推送、商业营销，应提供不针对其个人特征的选项或提供便捷的拒绝方式。
2. 处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，应取得个人的单独同意。
3. 对违法处理个人信息的应用程序，责令暂停或者终止提供服务。

也就是说，《保护法》从数据产生、收集、使用等各个维度，对互联网业务进行规范。而信息处理在大众语境里，更多就是指向算法。

由于数据收集的隐蔽性，人们对个人信息保护的诉求越来越多的体现在对算法带来的影响的反思上。

一个最常讨论的话题就是，“算法有原罪吗？”

把算法作为一项新技术来表达支持的人们认为，“算法”是一个典型的技术产物。从某种程度上而言，这种技术中立性达到了一种极致——在很多时候。即便是算法的设计者本身，也不能完全弄清楚这背后发生的机理。

而作为互联网的发展引擎，算法同时缔造了娱乐神话和商业神话，在互联网奇迹中功不可没。

但对算法充满警惕的人们则认为，算法背后有明显的目的性。如果没有定量的反馈结果，算法便无法工作。而正是这种目的本身，无论是增加用户的点击概率，还是延长用户在界面上的停留时间，甚至是臭名昭著的“大数据杀熟”，都是带有部分“原罪”的。

无论是支持者，还是反对者，没有谁是绝对正确或者错误。但问题在于，“算法”有一种与生俱来的裹挟能力：

一方面，算法以海量的数据为食。通过不断优化的正向反馈，“算法”像滚雪球一样放大自己在用户中的地位；另一方面，算法背后需要海量的数据验证，这也意味着“算法逻辑”天然是倾向于平台级巨头的。这些平台以及背后的商业体系，并不会让我们轻易拒绝这套高效率的运营工具。

而且，算法对人的追逐并不局限在单个应用或者平台，它们开始出现“合谋”。

最典型的案例，莫过于苹果在去年宣布调整臭名昭著的IDFA（Identifier For Advertising）规则修订。IDFA这类系统简单来讲，就是当你在不同平台跳转时，所有平台依然能知道你是谁，从而形成一种各个算法对同一个用户的“围猎”。

去年，IOS系统将IDFA从默认开启改为默认关闭。这套系统通过标记用户的行为，将用户与广告做高效率匹配。尽管拥有一定的条例授权，但大部分用户都并不知晓这种收集+匹配行为，因此被广泛认知为“灰色产业”。

条例出台之后，引发了大量的广告代理商反弹。Facebook据称可能因此损失旗下“广告联盟”一半的营收潜力。

仅一个IDFA调整，便可以引发行业剧震。隐私权归属问题在商业中的影响力，或许将远超我们想象。在国内外的流媒体和社交平台生态体系中，大量的用户数据获取行为，其实都是互联网商业变现效率的养料。

例如，某电商平台页面中，如果用户不登陆，便无法做商品搜索。

某社交平台中，用户关闭掉个性化广告功能后，6个月便会自动恢复。

在某视频流媒体中，用户的每一次点选，都会变成平台进一步分析用户喜好的工具，短视频流媒体的个人账号，可以成为新时代的“人品鉴定器”。

在某探交友平台上，用户的每一次点选与划掉，都在帮助平台记录使用者的喜好……

在购物与阅读软件的结束页，则都会留下一个游荡在互联网世界幽灵：“猜你喜欢”。在巨头提供的“便利服务”面前，用户往往是没有充分选择权的。大部分用户不能真正离开上述的那些带有垄断色彩的互联网平台。在当下即刻满足的便利，与副作用遥遥无期的隐私相比，大部分人只能捏着鼻子选择前者。

而这次的《保护法》就非常有针对性的对这些被诟病许久的行为做出约束。

比如其中的第十六条规定，“个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外”。

这就是针对老百姓总在抱怨的“不同意这些流氓条款，app你就用不了”的现象，强制要求平台方为用户提供选择权。

比如其中第二十四条要求，“个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。

通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。

通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。”

这是在法律的语境里的表述，而事实上指向的就是“大数据杀熟”，以及经常让用户感到被滥用的个性化推荐。在互联网企业带着用户的数据狂奔多年后，终于有了一部法律，让人们可以对这些习以为常但事实上问题重重的算法规制行为说不。

从《保护法》的草案，征求意见到最终的定稿发布，业内都将其严厉程度与欧盟的GDPR（《通用数据保护条例》）对标。在同意规则、数据保存期限、信息处理者的行为规范和义务以及如人脸数据等重要的具体类型数据的保护规定上，《保护法》都给出了明确和具体的指引与要求。

《保护法》配合的惩罚措施也十分严厉：

有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

而且，纵览整个法律文本，在举证等行为以及权利的认定和界定上，都能看出立法向普通用户们的倾斜。

这些都使得普通人对自我的数据保护有了前所未有的详细和明确的依据。

在《保护法》中另一个值得关注的地方是，它专门用一章来明确了个人信息跨境提供的规则，要求跨境提供信息者要接受国家网信部门组织的各类安全检查。这也呼应着最近多个企业数据出海中涉及到的安全隐患处置方法，这些跨境流动的数据也是普通用户需要被保护起来的重要数据的一部分。

《中华人民共和国个人信息保护法》注定是一部里程碑式的法律。它希望全方位为普通用户提供保护，同时也给这个互联网时代的企业们提供了一个指引。当它在11月正式生效后，任何掌握和处理着数据的企业，再以监管跟不上业务和技术进步为由来搪塞自己的平台责任，放任算法去逐利而忽视对用户权益的保护，就不仅不合时宜，而且要付出真金白银的代价了。

躲在“黑箱”里的算法，之后终于要拿出来溜一溜了。

作者：郭海惟；公众号：品玩

本文由 @品玩 原创发布于人人都是产品经理，未经许可，禁止转载。

题图来自Unsplash，基于CC0协议。