行政程序控制方法与实现

《中华人民共和国数据安全法（草案）》明确了数据归口与管理问题，第7 条第1 款规定：“各地区、各部门对本地区、本部门工作中产生、汇总、加工的数据及数据安全负主体责任。”公安机关对因履行职责产生、汇总、加工的数据进行管理，而同时对职责所涉及的大量社会数据负有安全监管责任。公安机关的大数据业务依照法律法规进行管理，处于行政逻辑管控中；大数据侦查处于公安大数据业务的下游位置，属于“数据的收集、存储、加工、使用、管理”框架之内，行政逻辑的嵌入不可避免。大数据侦查本质上属于刑事司法活动的范畴。大数据侦查产生的数据证据和侦查结论，最终要转化为司法采纳的证据，方能实现其价值。大数据时代的公安机关兼具数据管理者和利用者的双重角色，行政逻辑下的程序控制包括三个方面：

首先，数据库的审查批准。一方面是建立数据库的审查批准。法律规定公安机关能够对职权范围内的数据加以收集和利用，但其职权涉及的数据较广，应由相关部门或者授权机关对该公安机关的运营管理能力和风险予以充分评估。另一方面是数据收集的审查批准。从侦查机关的角度出发，收集的公民信息数据越多则越有利于侦查工作；反之，越多的信息数据暴露在侦查机关手中，个人权利面临侵害的风险越大。《中华人民共和国数据安全法（草案）》第7 条第2 款规定，公安机关依照本法和有关法律、行政法规的规定，在各自职责范围内承担数据安全监管职责。公安机关既是大数据平台的建设者和使用者，又对职责范围内的社会数据安全承担监管职责。应在数据收集方式上严格审批，避免非法获取数据的现象。尤其，数据交易平台合法化后，经过清洗、建模和分析的数据可以进行市场化运作，即便底层数据的交易不被允许，但社会数据产品联通公安数据库后的收益与风险，仍需由相关部门或者授权机关评估审查后决定是否批准。

其次，大数据侦查措施的审查批准。从性质上讲，大数据侦查措施的性质与刑事司法活动中的侦查措施颇为相似，但审查批准的“节点”不同。立案是刑事诉讼的起点和先决程序，在正式立案之前的受案审查和初查不能称为刑事诉讼范畴内的侦查，所有强制性侦查措施必须经正式立案才能够实施。但大数据侦查措施则不同，它的侦查模式能够按照时间序列为标准能够分为回溯型侦查模式和预测性侦查模式。在回溯型侦查模式中，虽侦查活动多发生在立案之后，但数据碰撞和数据挖掘产生的线索，能够成为其他案件立案的依据；预测型侦查模式针对的是尚未发生的案件，或者是正在发生但较为隐蔽的案件，该模式下开展的侦查活动一般发生在立案之前。因此，立案不具备对大数据侦查进行阶段划分的“能力”，失去了对其控制的能力。^[16] 当前侦查机关还未形成标准化的大数据侦查措施，在刑事诉讼法、司法解释和部门规章中均未明确相关内容。大数据侦查措施的审批和监督依靠公安机关内部规范，以“授权”的形式进行。公安机关内部主管数据库平台的机关根据职责需要，通过为向平级或下级单位开通使用权限的形式分配部分启动大数据侦查措施的权力。值得注意的是，这种审批是一种形式审批而非实质审批，具有一定的滞后性。审批机关采取事后监督的方式，因而无法获悉侦查过程中采取大数据侦查措施的目的，一旦发生数据泄露或权力滥用，只能通过技术手段倒查采取措施的责任人。伴随着大数据侦查措施的进一步发展，基于审查批准的控制技术需要进一步提升。(www.xing528.com)

最后，告知以及陈述程序。利益主体参与程序并自主行使权利正是程序正义的灵魂所在。^[17] 在刑事诉讼过程中，知情权是当事人作为诉讼主体的一项基本权利。根据知情权的内涵，国家不能秘密地将大数据决策机制用于涉及公民人身自由权益的程序中。^[18] 如果当事人可能因大数据侦查措施的应用而被采取限制人身自由的强制措施时，侦查机关应当及时履行告知义务，在遵循严格保密原则的基础上，对信息数据采集、数据运用和大数据算法做一定程度的解释说明，同时听取当事人对所告知内容的陈述。两个层面的问题值得注意：一是这种告知相比于大数据侦查的启动具有滞后性。大数据侦查的决策机制建立在海量数据和核心模型算法的复杂系统之上，对所有被纳入运算过程的数据当事人进行告知不符合“保护大数据秘密”原则的要求，因而这种告知的时间应为确定犯罪嫌疑人之后而采取强制措施之前。二是公安机关的告知并不能取代第三方在收集当事人个人信息数据时的告知义务。当第三方收集公民个人信息数据时，出于保护公民个人信息权的目的，法律明确要求第三方应当经当事人同意，这是数据收集环节的许可；而侦查机关将信息数据用于案件侦查则属于数据应用的范畴，二者不能混为一谈，理应分别告知。