关注隐私保护——由CPO到P3P
几天前参加了一次会议，做了一场关于信息安全与隐私保护的报告，席间有记者问我一些报告中提到的CPO和P3P的问题，有感于国内对这方面的情况知道得太少，有关企业和个人还没有对此引起充分注意，所以我就在这里系统地把这两方面的概念和背景介绍一下，另外再借此机会对记者问过的几个有关热点问题做个展开。
我们大家已经熟知了CEO、COO、CTO、CIO、CFO等职务，这些职务分别代表了首席执行官、首席运营官、首席技术官、首席信息官以及首席财务官，身居这些职位的人士则构成了一个企业的最高管理阶层。而近几个月以来，他们之中又增加了新的一员：CPO——首席隐私官，全称为“Chief Privacy Officer"。
简言之，CPO负责处理企业中所有与隐私问题相关的事务。这在一般人的想象中似乎有些不可思议——如此高级别的职位居然是干这个工作的！但我们分析一下CPO出现的背景就一目了然了。
随着网络应用的普及，现代企业已经纷纷涉足电子商务，在网上开辟营销新空间，搜集消费者资料俨然成为了企业界的时髦，而如何使用这些客户资料以达到最大的营销效益，同时又不至于像美国的DoubleClick公司一样触犯众怒（该公司就是因为曾意欲结合网上与网下、匿名与具名的消费者资料，从而惹出了事端），成为企业的重要课题。CPO就是这个必须在客户权益与公司利益之间表演平衡特技，有时候也需要“游走法律边缘”的人物。很自然地，CPO的角色包含两种意义：面对民间团体时，他是捍卫消费者隐私权的企业内部的有力人士；面对立法单位时，他又成为反对隐私权立法严苛化的游说代表。需要强调的是，CPO的概念是近来才出现的，但CPO所承担的工作早就有人来做了，比如公司的法律顾问、隐私顾问等。只不过自从CPO出现后，才有了专职的隐私问题处理官员，由此可知，CPO的出现是一个历史过程，是互联网遇上强调专业与分工的现代企管概念所诞生的结晶，而不是一件偶然事物。
IBM在世界上第一个雇佣了CPO，这之后Providian、AT&T、柯达等公司也赶上了这股潮流。美国Bancorp公司在被控非法出售客户资料给电话营销业者一案达成和解之后，也赶紧雇进了一位CPO，免得再蹈覆辙。“全美商业企业和隐私集团”的主席Alan Westin估计，目前全美约有50个到75个CPO，“我在1998年时还不认识任何一个CPO，我想这个名词应该是从最近开始有的。”
Alan Westin表示，CPO候选人通常来自四种行业：公共事务、客户服务、法律机构、科技界。既然如此，不同背景的CPO对隐私权的立场不见得相同，于是对法律的解读就可能各有出入，例如说，微软的隐私政策主管Richard Purcell就认为，隐私权法应该专注在保护医疗纪录、财务状况、及儿童资料这几个方向就好，其他不妨放宽，“我们在隐私权这项议题上的定位为自我规范，毕竟，在决定法规限制之前，应该先充分了解产业及公司性质，才不会反而对科技的创新造成障碍。”
Angara 的CPO Laurel Jamtgaard也提出同样的意见，他并认为，目前的隐私权法仍处于未成熟阶段。Angara是一家拥有数百万个网络浏览者的个人资料、并以匿名的方式卖给网站的公司。
ExciteAtHome新上任的CPO Chris Kelly则持不同看法。他表示，立法能够让消费者安心，知道至少基本的隐私权还是受到法律保障。
各CPO们之间的争论同时也反映了首席隐私官的职责正在不断拓宽——CPO最早是由于浏览者及客户的个人信息保密问题所出现的，而现在他所处理的事务并不仅限于此。比如，CPO还要负责对公司员工的隐私意识培训，而政府隐私法的制定也离不开CPO的参与。
CPO弗一登台便出手不凡。ExciteAtHome公司的CPO Chris Kelly就帮助公司阻止了一项可能造成隐私权侵害的交易：在公司内部审查不严的情况下，该公司差一点把客户资料卖给一家网上黄页公司，在该交易达成前幸被CPO阻止，使公司避免了一场隐私诉讼。
CPO的出现具有伟大的意义，而不仅仅在于CPO本身。。“CPO”这个名词的创立，更清楚地说明了隐私权这项议题已经被纳入了企业发展蓝图之中，未来企业很可能会面对更多隐私权争议，企业处理这类争议的能力也必须加强，CPO这项职务也会因此而水涨船高。最终，这将对解决IT时代隐私争论提供莫大的帮助 但CPO的职位可不是那么好呆的，公众本身对CPO的作用也还持有怀疑态度。本文前面提到的DoubleClick在事发后赶紧找了一个CPO，但公众根本不买账：：“CPO只不过是DoubleClick的公关，意图堵住众人悠悠之口。”可见，CPO的协调功力如果不到家，很容易陷入里外不是人的处境。
另外，食人之禄，忠人之事，CPO肯定是要为企业服务的，因此由于受到企业利益的牵扯，CPO有可能做出违背道德或法律的事情，就如同有些律师一样，而且因为他们对隐私问题极为精通，他们要想搅混水的话，那负面作用可就不得了了。
所以说，如何规范CPO的活动，如何定位CPO与企业、公众以及政府的关系，都是CPO走上正轨之前所必须解决的问题。
除了CPO之外，另外一件引人注目的涉及隐私问题的事件就是P3P的问世。 P3P全称为“隐私偏好平台”—— Platform for Privacy Preferences，它是由万维网协会和隐私权提倡团体共同推广的软件，在经历了四年的开发期后，于去年6月份登台亮相。这之后微软立刻宣布将在Windows2000中提供对P3P技术的支持，最近几天它又宣布已经在IE6.0中嵌入了P3P，并公布了一些细节问题。
P3P的设计宗旨是让消费者掌握自己的网上隐私，它将帮助消费者理清多如鸿毛的“网站隐私权条款”，消费者可先自行决定愿意提供的个人资料范围，如果某个网站要求超出范围的资料，这个平台会“跳出”警告讯号，提醒消费者并“告知这些资料将被用于何种用途”。
消费者可以从预先装载的网络浏览器享受到这个新机制，或免费从网上下载软件。听起来似乎不错，不过这个平台本身就是“折衷方案”，加上网络广告商的接受度有限，消费者团体和舆论几乎一面倒地对其“信心不足”。
P3P的先天不足在于，仅仅被动地告知消费者某个网站要求不同的个人资料，和根本应不应该允许网站向消费者要这些资料，完全是两回事。P3P虽然帮助消费者过滤掉那些“想知道太多不该知道的内容”的网站，但却没有办法来抑止网站隐私权的侵犯事件。原因就在“隐私偏好平台”是妥协后的产物，当初商人们因隐私权议题搞得不可收拾，赔了形象，又折了股价，像前面提到的有16宗隐私权诉讼缠身的网络广告商Double Click即是一例，股价从去年年初150美元的高点，跌到后来40美元的水准，所以他们在设立CPO后，急着将这个平台推出门，以降低舆论的热度。
也就是说，P3P已经比以往只能选择“接受”或“拒绝”各网站隐私条款的方式好多了，不过，它还是无法让消费者减低隐私疑虑。一句话，这种东西治标不治本。
另外，P3能否成为标准也还犹如雾里看花。如果商家不愿配合放入这个软件，消费者还是没办法知道哪些个人资料超出了自己设定的范围。目前除了微软宣布支持P3P外，IBM、美国在线等公司也表现出了良好的欢迎姿态。但P3P自己也承认，没有办法确认商家是否遵守了标准的规定，也无法阻止网站搜集消费者的资料。
围绕着P3P，人们展开了一系列的争论，而某一媒体对此的评论最为透彻入理：“科技不应该为保护消费者的隐私负责，真正该负责的是使用科技和拿消费者资料赚钱的商家。”
这句话深刻阐明了一个道理，隐私保护早就远远超出了技术视野，P3P与其说是给了人们一种技术上的解决办法，不如说是又一次燃起了隐私保护迫在眉睫的警示信号。
现在，CPO登台了，P3P也登台了。我们姑且不论它们的出现究竟在多大程度上促进了隐私保护问题的解决，有一点值得我们欣慰的是，人们已经逐步地开始关注隐私保护，开始想方设法地寻求解决途径。如果非要指出一条解决隐私问题的明路的话，我们说，努力、努力、再努力，就是根本的办法。
我们不得不在此表示忧心，在国外，隐私问题处理的好坏，直接决定了一个公司、企业的成败，而且隐私问题已经成了官民雅俗皆关注的大问题。可我们国内呢？仍然对这一问题不冷不热，各企业似乎认为赚钱是第一位，隐私问题则可拖后；而研究机构关注更多的则是IT技术的发展，对其中出现的隐私问题视若边角料；立法机构呢，纵然有心也是无力——大环境没有形成，立法和执法机构也没办法去进一步做些什么。
有一位记者曾问我，我们国内何时会出现第一位CPO？我悲观地对她说，鉴于国内目前的情况，一两年是不会出现的（不包括有的企业为了赶时髦造新闻而摆上一个CPO当花瓶），但我希望我这么说是保守了——否则，电子商务的发展、信息化推进工作的进程都将受到影响。
从最近的报道得知，我国离入世已为期不远。很显然，中国加入WTO后，我们在很多领域都要经历阵痛，都要为跟进国际潮流而发生深刻变革，这也许能够成为我国的隐私保护工作迈上新台阶的一次契机。
