大数据与人工智能：风险与法律应对

大数据是人工智能技术的核心，当前许多行业已采用数据化信息采集方式。然而，不同行业间的数据汇集可能导致数据泄露、数据失真、非法应用等犯罪问题。不当的大数据采集不仅损害公司、企业管理秩序、金融管理秩序，还可能威胁公民的人身安全和民主权利，以及扰乱社会管理秩序。因此，如何准确界定非法采集大数据的行为，成为亟待解决的问题。

一、大数据采集行为的法律困境

非法采集大数据行为的刑事违法性判定包括对行为对象属性的认定和违法行为的评价，但刑法对此存在不同观点。

首先，大数据在刑法中可以视为财产、人身权益或社会秩序。随着人工智能技术的进步，大数据交易已成为一种蓬勃发展的产业。2008年，国际上出现了“数据市场”和“数据银行”，这表明数据具有财产价值。此外，侵犯公民个人信息罪中的个人信息具有明确的人身属性，如身份证号、家庭住址、消费习惯等，这些信息与个人的人格尊严和自由意志密切相关。非法搜集电子数据的行为，也可能引发公共秩序或国防军事秩序的混乱，从而危及个人的基本权益。因此，当大数据采集行为表现出抽象风险时，刑法应及时介入，以避免数据大规模传播对社会秩序或军事秩序造成危害。

其次，我国刑法虽不断增设打击网络犯罪的新罪名，但对大数据采集行为的规制仍显不足。刑法并未直接保护个人数据，而是通过保护个人信息、计算机信息系统、防止发布违法犯罪信息等方式来保护部分电子数据。非法采集个人教育、职业、消费习惯等大数据的行为并不受上述罪名的保护，这些分散的信息构成“个人画像”后容易成为电信诈骗、敲诈勒索的目标。此外，个人数据应用于公共服务领域时，其公共属性不可避免，此时大数据采集行为是否具备刑事违法性？例如，在疫情防控期间，公布确诊患者的行踪轨迹确实侵犯了个人隐私权，但这有助于消除公众的心理恐慌，避免群体事件的发生。然而，人肉搜索确诊患者个人信息的行为是否构成犯罪，仍然存在争议。

二、非法采集大数据行为侵犯个人法益的认定

非法采集大数据行为侵犯个人法益和集体法益。司法机关在认定犯罪时，应区分个人信息与个人数据的区别，以及数据的社会属性对集体法益损害的判断，避免扩大处罚范围。

首先，个人信息是个人数据的一部分，没有个人专属性和重要性的大数据难以构成侵犯公民个人信息罪。个人数据记录的内容可以是公开的社会交往信息，如姓名、职业等，并不属于侵犯公民个人信息罪的保护范围。最高人民法院和最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》明确要求个人信息的“识别性”，实际上是将其作为个人财产权和人身权的“侧防法益”加以保护。只有与特定主体相关联且可以直接或间接辨认身份的信息才受保护。因此，收集个人游戏装备、关键词搜索等大数据的行为可能构成电信诈骗、非法利用信息网络罪等罪名的预备行为，并不具备严重的法益损害性。

其次，非法侵入他人计算机系统盗窃虚拟货币的行为，有的司法判决认定为侵犯财产犯罪，有的则认定为破坏计算机信息系统罪。根据刑法第九十二条，私人财产包括依法归个人所有的股份、股票、债券等。虚拟货币作为电子数据的一种，也被视为私人财产。民法总则第一百二十七条将“数据”与“虚拟财产”并列，表明虚拟财产具有财产属性。然而，虚拟货币是否属于刑法上的财产仍存在争议。张明楷教授认为，虚拟财产仅是一种理想化的表述，只有在个案中行为人损害的虚拟财产具有管理可能性、转移可能性和价值性时，才被视为刑法上的财物。陈兴良教授则认为，我国刑法中的财物完全涵盖了虚拟财产；对于具有财产价值的虚拟财产应当按照财物予以刑事保护。实际上，刑法上的财产价值是指稳定的、客观的价值，而比特币的价格波动较大，不像其他财产性利益那样稳定，这也是我国司法判决并非一概将盗窃、出售虚拟货币的行为认定为财产犯罪的原因。因此，非法收集虚拟货币的行为不能一律认定为侵犯财产犯罪。

三、非法采集大数据行为侵犯集体法益的认定

非法采集大数据行为侵犯集体法益需要进行本质违法性认定，不能将人工智能技术范畴的职业行为认定为犯罪。首先，从技术角度看，自动采集数据是人工智能算法的重要特征，互联网行业的相应行为不具有刑事违法性。根据《国务院新一代人工智能发展规划》，国家支持、培育、促进人工智能技术研发、推广和应用，符合人工智能技术职业规范的大数据采集行为具有职业相当性。在判断大数据采集行为是否超过可允许风险时，应以“行为人所属阶层的普通人”为标准，即以人工智能职业一般从业者的标准进行判断。具体而言，大数据采集行为中的可允许风险应根据不同的职业领域特点进行职业相当性判断。例如，算法自动采集数据的行为应根据个人信息保护法（草案）审查采集者是否履行告知义务，以及个人信息处理者向第三方提供个人信息时是否进行了匿名化处理。如果大数据采集行为符合互联网行业的职业相当性要求，则排除刑事违法性。

其次，犯罪构成中“违反国家规定”需进行本质审查。“违反国家规定”通常出现在侵犯集体法益的罪名中，应根据刑法第九十六条确定其含义：“本法所称违反国家规定，是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决议和命令。”实践中，单个数据采集行为可能侵犯个人法益较小，但“海量行为×微量损失”样态的公共秩序损害情形，需从总体上判断“违反国家规定”的行为的本质违法性程度。例如，帮助信息网络犯罪活动罪的成立需要“情节严重”，“情节严重”的认定可以从行为人发布的违法信息的实际点击、阅读、分享次数等方面进行认定。

最后，通过法益衡量进行本质违法性判断。如果大数据采集行为虽然对社会法益造成损害，但在特定情况下是为了维护公共利益的必要行为，那么行为的本质违法性应根据比例原则进行法益衡量，即采取最小限制个人权益的方式以实现最大的公共利益。例如，在新冠肺炎疫情防控期间，使用隐蔽拍摄设备监控疑似病患的行踪轨迹的行为虽然符合非法使用窃照专用器材罪的构成要件，但该行为是为了维护公共安全和社会秩序，此时社会秩序应让位于公共利益，非法使用窃照行为排除刑事违法性而不构成犯罪。