如何以法律规管网络起底？｜TECH

网络起底（doxxing）基本上是随着互联网而生的产物，早在上世纪90年代的美国，就有反堕胎人士收集堕胎服务提供者的个人资讯、写成打击名单，煽动他人去攻击相关人士。
今天，香港亦因《个人资料（私隐）条例》（下称“私隐条例”）的建议修订，而疑似引起Google、Facebook等网络巨企考虑退出香港。到底网络起底的规管应该如何进行？其他国家的例子又有何值得参考之处？

在传统的法律框架中，有至少两种与起底接近的行为其实早已被规管。一是侵犯私稳，二是骚扰他人。因此，在不少国家或地区，起底行为都被相关法例列入规管之中。

现行法律的不足

例如在香港，私隐条例第64条对未经资料使用者同意使用资料，而造成当事人蒙受心理伤害的规管，就成为了当局针对起底行为的法律工具。相关管控亦由私隐专员公署处理。

在英国、加拿大，起底行为则有可能违反与骚扰他人相关的法律。英国的《免受骚扰法》（Protection from Harassment Act）就禁止了相等于骚扰他人及知道或应该知道属相等于骚扰他人的行为。

而在美国，则有《跨州通讯法》（Interstate Communications Statute）禁止包含绑架或伤害个人的任何威胁的网络通讯，以及《跨州缠扰法》（Interstate Stalking Statute）禁止使用互动性电脑服务使某个人对死亡或严重身体伤害有合理恐惧。另外亦有法律禁止对于公职人员及其家人受管制资料的公开。

难题是，正如不少随着互联网而产生的行为一般，既有的法律并不能有效规管到起底行为。

首先，由于网络传讯迅速而能广泛散布，要寻找谁是原初的资料使用者，或者相关资料的公布有没有事先得到此资料使用者的同意，极为困难。跟某人的病历记录不同，一个人的电话、地址之类的原初资料使用者众多，且一经在网上传开已难追踪来源。

同时，不少起底行为只简单公开当事人的姓名、电话或地址等资讯，并没有对当事人提出明确的威胁或造成明确的骚扰，却让当事人有理由感到恐惧。此等行为虽然可被现行法律包括在内，但除了其司法成本高，而且难以提供迅捷和有效的救济外，传统法律也没有将“公布当事人识别性资料”这个特定类别的行为与“对当事人造成某种伤害”、“使当事人有合理恐惧”此等特定类别的结果连结在一样，使之难以直接用于起底行为之上。

更严重的是，起底行为基本上都是在各类网络平台发布，而最有效的救济就是由平台主动删除或禁止存取相关资讯，这就使起底行为的规管变成了网络平台如何设计及执行其“使用条款”的问题。如果没有适当的法律框架去定义平台的责任，这就等于把对起底行为的管制从政府交到私营平台手上。

新西兰、新加坡的案例

对于起底的流行，不少政府都开始立法处理，而即使在政府关注度不足的地方，特别是对于言论自由宪法保护程度极广的美国，亦有法律学者小心提议预计不会与宪法第一条（即保障言论自由条款）相抵触的条文。

例如在新西兰，该国政府在2015年通过了《有害数码通讯法》（Harmful Digital Communications Act），订出10项“数码通讯原则”，用以规管包括起底在内的网络行为，当中包括“不能披露有关某个人的敏感个人事实”、“不能用于骚扰某个人”、“不能煽动或鼓励任何人为了伤害某个人而对该人寄出讯息”等等。从这些内容可见，不少网络起底行为将被包括在内。

亚洲互联网联盟（AIC）网站现公开致私隐专员信函（仅供英文）

在执行层面，新西兰就成立了称为“NetSafe”的非牟利机构处理相关投诉。首先，如果数码平台在收到投诉后愿意在48小时内取缔相关内容，或通知作者相关投诉并由作者作出回应的话，即不必为该内容负上法律责任。但是如果事情未得解决，法院仍可作出取缔内容的判决。

同时，《有害数码通讯法》亦将同时满足以下3个条件的行为刑事化：一、发布数码讯息蓄意对受害人造成伤害；二、对任何处于受害人位置的普通理性人士而言，发布相关数码讯息将造成伤害；三、发布相关码数讯息对受害人造成伤害。而当中的“伤害”则被定义为“严重情绪伤害”。这种定义和标准其实与香港的修例建议类似，不过后者就没有上述第二点的客观合理性要求。

另外，新加坡政府也在2020年起落实了其对《免受骚扰法》（Protection from Harassment Act）的修订，将起底行为明确地刑事化。首先，此修订禁止任何人或实体，在有对他人造成骚扰、恐慌或困扰的意图下，公布任何有关目标人士及其相关人士的具识别性资料，而此公布的确造成骚扰、恐慌或困扰。

同时，此修订也禁止任何人或实体在知道或有合理理由相信公布具识别性资料会造成受害人相信非法暴力将会被使用，或有助此等暴力被使用的情况下，去公布此等具识别性资料。

除了犯者可面对刑期和罚款之外，法院也可以据此法禁止所谓的“互联网中介”（即网络平台）去中止对特定内容的存取，并提供匿名犯事者的具识别性资料。

类同的规管进路

上述例子有几个共通点。首先，各国政府都透过补充原有的法律以更明显的方法将起底行为包括在内，并将之置于刑事框架之下。

其次，在起底并未有明显法律定义的背景下，各国都试图以或宽或窄的方法去为此等行为作出刑罪定义。在新加坡的例子，即使公布具识别性资料的行为没有造成受害人的骚扰、恐慌或困扰，只要此行为会让受害人合理地相信会受暴力威胁，或者可被合理地相信会让暴力更容易发生，此行为已属违法。即是说，即使甲君在网络上公布乙君的个人资料并没有对乙君造成任何心理上或身体上的伤害，在此公布可被合理地相信会使非法暴力更容易发生的背景之下，甲君仍有可能违法。这可算是较为宽的定义。

相较之下，新西兰的定义则较为狭窄，不只要求起底行为要让人合理地相信其会造成伤害，还要求此行为真有造成心理伤害。此等较为狭窄的定义也与上述美国法律学者的提案类同。

但无论如何，这些刑罪定义都显示出不少政府都开始认识到对起底作出针对性新刑罪规管的必要性，特别是在将发布数码讯息或个人资料与造成伤害作出连结的层面上。

同时，无论是新西兰，还是新加坡，它们都理解到网络平台在规管起底行为中的重要角色，只是在具体的执行上面有所区别。新西兰的立法较强调网络平台作为一个中立平台的角色，只规定如果平台有在收到投诉后经过一套有时限的自愿性处理程序，即不必为有涉嫌违法内容负责，而将相关内容的法律责任置于其作者之上。不过，如果平台不配合此自愿性程序，则依然有可能要为内容负上法律责任。

相对而言，新加坡的立法则对法院可对网络平台作出的命令给予较多空间，变相使这些平台要对其装载的内容进行更多的管制，包括要求平台提供犯案者识别性资料等等。

从上述例子可见，修订相关现有法律、提出新刑罪定义，以及划定网络平台的角色，皆是多国规管网络起底行为的进路。虽然终点不必然一样，但这些无论如何也正正是香港政制及内地事务局提出私隐条例修订建议的路向。