李莎莎

（華僑大學法學院，福建泉州362021)

[關鍵字]同意規(guī)則；場景與風險；個人信息；民法典

一、引言

當前，中國經(jīng)濟正處于轉(zhuǎn)型升級的關鍵時期，數(shù)字經(jīng)濟的發(fā)展對中國實現(xiàn)創(chuàng)新增長、推動高質(zhì)量發(fā)展具有重要意義[1]。而大批量的個人信息被收集、處理、使用、共享等，個人生活被計算機進行虛擬自畫像勾勒，信息技術為企業(yè)創(chuàng)造巨大財富價值的同時，個人信息隱私也遭受巨大沖擊，信息泄露事件層出不窮。比起大數(shù)據(jù)紅利，目前民眾感受更深的似乎是隱私危機，因而要求確立個人信息保護制度的呼聲越來越高。

我國個人信息保護法律法規(guī)散見于不同部門發(fā)布的規(guī)范性文件，公法率先擔負起保護公民個人信息的法律職責，主要體現(xiàn)在《刑法修正案（九）》第十七條、《網(wǎng)絡安全法》第二十二、三十七條、第四十一至四十四條、第六十四條、《電子商務法（尚未生效）》第五、二十三、二十五、三十二、七十九、八十七條。相比之下，私法制度在個人信息法律保護領域的步伐則相對緩慢[2]，個人信息保護的私法請求權(quán)基礎見于《民法總則》第一百一十一條、《侵權(quán)責任法》第三十六條、《消費者權(quán)益保護法》第十四、二十九、五十、五十六條。在司法實務中，侵犯個人信息仍適用傳統(tǒng)的具體人格權(quán)救濟途徑。這一方面源于個人信息法律性質(zhì)的不確定，另一方面源于大批量個人信息泄露帶來的危險呈抽象狀態(tài)，只有危險具體化時個人才愿拿起法律武器，比如行為具體化為民事上的隱私侵權(quán)（不斷電話騷擾推銷），或者刑事上的詐騙、脅迫。因此，大數(shù)據(jù)時代下的個人信息安全保障的最佳途徑仍是公法保護，私法領域的個人信息保護應注重個人信息保護和利用的平衡。具體說來，公法領域改革重點在于統(tǒng)一保護法律規(guī)范的出臺，私法領域改革重在重塑同意規(guī)則，針對個人信息敏感程度的不同，將個人信息類型化區(qū)別保護。

二、個人信息保護基石——同意規(guī)則的困境

目前除了美國，世界各國的信息處理在立法上都堅持同意規(guī)則的適用，我國《消費者權(quán)益保護法》第二十九條、《網(wǎng)絡安全法》第四十一條均有“收集、使用個人信息應當遵循……并經(jīng)消費者同意”的規(guī)定，筆者將這種傳統(tǒng)個人信息保護路徑稱為“完全同意論”。值得注意的是，“完全同意論”是“小數(shù)據(jù)”時代的產(chǎn)物，在大數(shù)據(jù)時代已顯露出嚴重弊端。

（一）同意規(guī)則的理論基礎嬗變

從理論層面來看，同意規(guī)則之所以成為個人信息處理中的“帝王條款”乃基于個人信息自決理論。信息自決理論是指，人們有權(quán)自由決定他人如何獲取個人信息。同隱私權(quán)一樣，信息自決權(quán)應受社會限制。一方面表現(xiàn)在自決內(nèi)容的限制，即個人信息是人與社會的連接方式，應適當予以披露，這更是信譽經(jīng)濟時代的必然號召。另一方面，大數(shù)據(jù)時代下個人信息本身難以控制，數(shù)據(jù)化的個人信息已脫離本人，它不僅涉及數(shù)據(jù)主體的利益，也牽涉企業(yè)的智慧財富，個人信息與企業(yè)服務之間存在利益交換，因此也不宜片面強調(diào)個人信息自決。

（二）同意規(guī)則的實踐困境

首先，大數(shù)據(jù)時代的同意真實性難以保證。簡單說來，用戶協(xié)議冗長且晦澀，即使明白權(quán)利義務關系但為獲取服務也只能選擇同意。其次，同意規(guī)則的踐行需投入大量成本。數(shù)據(jù)企業(yè)需投入成本設計用戶協(xié)議，對初始授權(quán)之外的事項將承擔無休止的告知義務并另獲授權(quán)。還應注意的是，信息收集者和處理者并不一定重合，信息處理者如何獲得后續(xù)授權(quán)也是難題。對于個人來講，一方面成本支出最終要由用戶承擔，另一方面，保護個人信息是為保障個人“獨處的自由”和“精神上的安寧”，若信息處理所涉事項都需要主體同意將會為用戶帶來更多侵擾，這種無休止的“同意提示”可能比信息泄露本身帶來的侵擾更大[3]。但學者田野認為，成本和負擔的增加若有利于維護人格尊嚴則是必要且應當承受的，而同意規(guī)則的類型化可解決信息主體無休止的“同意”機械操作負擔[4]。最后，從司法實務來看，同意規(guī)則面臨必要性挑戰(zhàn)。學者任龍龍認為，大數(shù)據(jù)時代的隱私危機是一種潛在的擔憂，而非直接風險[5]。這正如筆者前述所言，個人信息的私法保護不需另辟蹊徑，適用人格權(quán)救濟即可解決，而大批量的個人信息泄露則需要公法規(guī)制以保障信息安全。而田野認為，對個人信息權(quán)益的損害不應作狹隘理解，除了隱私泄露、名譽損害、基因歧視等明顯損害，信息處理未經(jīng)本人同意就使人喪失自我決定的機會，這本身就是對人格尊嚴的損害[6]。這種反駁本身是抽象的，它從人類最高的善及核心價值出發(fā)，認定同意規(guī)則是個人人格完整的必要部分，這是在不加論證的情況下預先設定了一個至善至美的理想狀態(tài)，是在隱藏和回避問題，這并非解決問題之道[7]。大數(shù)據(jù)時代下不能始終堅持抽象原則上的價值共識，而應面對現(xiàn)實，承認分歧，并試圖理解產(chǎn)生該分歧的原因。

綜上，對于是否繼續(xù)適用同意規(guī)則，目前學術界有“同意規(guī)則拋棄論”和“同意規(guī)則修正論”兩種立場?！巴庖?guī)則拋棄論”強調(diào)同意不應是個人信息處理的正當性基礎，主張完全拋棄同意規(guī)則的適用[8]?！巴庖?guī)則修正論”認為同意原則在大數(shù)據(jù)時代已顯現(xiàn)其弊端，但并不能否認同意規(guī)則的正當性，同意規(guī)則的修正才是正確的個人信息保護思路。而“同意規(guī)則修正論”又細分為兩種觀點，一種觀點認為所有個人信息收集、處理均需同意，但同意的程度應類型化為明示、默示同意、有效同意等，另一種觀點主張應將個人信息類型化，有些個人信息應適用同意規(guī)則，有些則不予適用。面對兩種論點的博弈，作為個人信息保護的基石，目前同意規(guī)則是各國共識性認知并為各國立法普遍采納，要撼動其基礎性地位必須予以謹慎。再者，大數(shù)據(jù)、人工智能、生物技術不斷升溫的當下，有必要對科技發(fā)展作冷靜思考，尤其是近段時間的基因編輯事件，一場人倫與科技的沖撞使我們更加明確不能為迎合技術發(fā)展需求而輕易放棄法的基本價值操守?！巴庖?guī)則拋棄論”雖一陣見血地指出了同意規(guī)則面臨的困境，但同意規(guī)則廢除后的制度建構(gòu)可能面臨更多問題，以“寬進嚴出+刪除權(quán)”的個人信息保護策略為例[9]，同意規(guī)則不予適用情形下，大量個人信息被收集、處理，僅僅通過刪除權(quán)來保護個人信息顯然不合適。在沒有一套完善的體系化保護路徑之前，應走改良與革新之路而非直接推翻原有制度。在數(shù)據(jù)治理或個人信息保護過程中，我們應堅持以自主為核心價值，以個人信息保護和利用的平衡為指導理念，針對大數(shù)據(jù)時代的特殊性，對個人信息類型化區(qū)分適用同意規(guī)則。對此，與同意規(guī)則相對應的“場景與風險理念”值得借鑒。

三、場景與風險理念下的個人信息類型化保護

（一）類型化的前提：場景與風險理念的引入

美國聯(lián)邦貿(mào)易委員會于2012 年最早提出場景理念，其認為不符合場景的數(shù)據(jù)行為均應賦予消費者選擇權(quán)，而以下兩種情況必須取得明確同意：其一，數(shù)據(jù)的使用與數(shù)據(jù)收集時聲稱的方式有本質(zhì)上的區(qū)別；其二，敏感數(shù)據(jù)的收集[10]。而后《消費者隱私權(quán)利法案（草案）》對場景理念進行了細化，并將“尊重場景”（respect for context）視為原則之一。數(shù)據(jù)處理者以不符合場景的方式處理數(shù)據(jù)時，應對數(shù)據(jù)隱私風險進行評估并且向信息主體透明化處理過程、保證主體對信息的控制，比如以一種合理方式通知個人并且賦予其降低隱私風險的權(quán)利。場景由信息主體與控制者之間的交互關系具體判定，場景下的數(shù)據(jù)行為應當符合理性人的合理期待[11]。影響用戶接受程度或個人信息敏感程度的因素統(tǒng)稱為“信息場景”（data context)或“場景”（context)[12]，場景應具體判斷?？梢哉f，美國法上的場景與風險理念既避免了信息主體審閱用戶、隱私協(xié)議的困難，也降低了企業(yè)運營成本、提高企業(yè)的效率，有利于數(shù)據(jù)信息“石油”價值開發(fā)，但因場景風險分析極具模糊性而缺少對個人數(shù)據(jù)的保護，因此實踐中也多遭詬病。另外，美國數(shù)據(jù)行為不以同意為前提也源于其企業(yè)自身已形成系統(tǒng)行業(yè)規(guī)范，要在中國直接適用美國模式不具現(xiàn)實意義。我國個人信息立法與歐盟的價值取向相同，都強調(diào)信息主體的同意，但歐盟在同意規(guī)則適用之下引入了場景與風險理念。歐盟《一般數(shù)據(jù)保護條例》（簡稱GDPR）第二十五條第1 款規(guī)定“數(shù)據(jù)控制者在處理……應考慮發(fā)展現(xiàn)狀、執(zhí)行成本、處理的性質(zhì)、范圍、內(nèi)容和目的以及處理給個人的權(quán)利和自由造成的各種可能性與嚴重程度的風險”[13]，該款是場景與風險理念的典型應用。但其場景風險評估義務是在同意基礎上進行，更加嚴格設定同意的條件，加強同意規(guī)則的適用?？梢娫诜蓪嵤┻^程中，歐盟偏向個人數(shù)據(jù)保護，美國偏向數(shù)據(jù)的利用，都有其自身的問題。然而在探索應對傳統(tǒng)數(shù)據(jù)信息保護困境的新思路時，兩者都認同場景與風險理念。因此，在個人信息保護路徑選擇上，要實現(xiàn)數(shù)據(jù)紅利與個人信息安全的利益平衡，我國個人信息保護立法思路應當有所轉(zhuǎn)變，綜合運用同意規(guī)則與場景風險理念，限縮“同意規(guī)則”的適用范圍，對于影響個人核心利益的數(shù)據(jù)行為才適用同意規(guī)制，其他一般數(shù)據(jù)行為原則上不需要同意，而核心利益的認定應具體到個人信息的類型化上。

（二）場景與風險理念下的個人信息二元分類

我國《信息安全技術公共及商用服務信息系統(tǒng)個人信息保護指南》（簡稱《指南》）將個人信息類型化為一般個人信息和個人敏感信息，其雖不是具有強制性效力的法律法規(guī)，但因其首次類型化個人信息而受到學者們的贊賞。另在場景與風險理念指引下，歐盟GDPR 和美國《消費者隱私權(quán)利法案（草案）》均有對個人信息進行敏感性區(qū)分之意，GDPR對性質(zhì)上與基本權(quán)利和自由相關的極其敏感的個人數(shù)據(jù)采取更高層次的保護[14]，《消費者隱私權(quán)利法案（草案）》的敏感性體現(xiàn)在可能給個人帶來隱私風險的數(shù)據(jù)行為，而隱私風險指個人數(shù)據(jù)本身或與其他相關個人數(shù)據(jù)信息相關聯(lián)時，對個人造成情緒困擾或人身、財產(chǎn)、就業(yè)或其他傷害的可能性[15]?？梢娨话銈€人信息與敏感個人信息的區(qū)分已被廣泛接受，筆者也認同此種類型劃分，但在具體范圍界定上與《指南》的規(guī)定有所不同。

《指南》將“敏感信息”界定為“一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息”的規(guī)定失之過寬，任何個人信息的泄露都有可能對該信息主體造成影響。對此，有學者將個人敏感信息界定為“一旦泄露或濫用，極易危及人身、財產(chǎn)安全或?qū)е氯烁褡饑朗艿綋p害、歧視性待遇的個人信息”[16]。疑問在于可對敏感個人信息下定義，但很難斷定哪些個人信息一定屬于敏感個人信息的范疇。筆者認為大可不必惱于此，類比人格權(quán)發(fā)展史，個人信息權(quán)益內(nèi)容也應是不斷發(fā)展變化的，個人敏感信息的判定不宜進行概括列舉，誠如張新寶教授所言，“個人敏感隱私信息是一個動態(tài)范圍，還應結(jié)合當下科技發(fā)展水平、社會發(fā)展動態(tài)等靈活修正其列舉類型”[17]。在信息處理過程中的個人敏感信息判定適用“列舉+兜底規(guī)范”的方式約束，對于數(shù)據(jù)企業(yè)、司法裁判者而言，個人信息性質(zhì)的認定仍需結(jié)合場景具體分析風險。個人敏感信息包括但不限于可能引發(fā)歧視的健康信息、身份證號碼、基因信息、生物特征信息、性取向、性生活、金融信息（收入和財產(chǎn)狀況）、賬戶密碼信息、通訊信息、精確地理位置，若其他個人信息符合信息主體對敏感性的合理期待時仍應判定為敏感信息。一言以蔽之，一般個人信息指不具有敏感性的個人信息。

四、個人信息類型化保護在民法典中的規(guī)范建構(gòu)

（一）《人格權(quán)（編）草案》中個人信息保護制度檢視

《民法總則》第一百一十一條規(guī)定自然人享有個人信息受保護的權(quán)利，強調(diào)數(shù)據(jù)信息的依法取得并確保數(shù)據(jù)行為安全，但并未明確“信息主體同意為數(shù)據(jù)行為的前提”，未強調(diào)個人對數(shù)據(jù)的控制權(quán)、明確個人信息的性質(zhì)及具體保護方式，因此有必要在民法典中予以明確。但目前針對人格權(quán)是否獨立成編存在爭議?；谌烁駲?quán)的消極防御性，梁慧星教授反對人格權(quán)獨立成編，他認為人格權(quán)側(cè)重點在于保護和救濟，故在民事法律中，應側(cè)重侵權(quán)法的修繕而非權(quán)利的具體化[18]。王利明教授支持人格權(quán)獨立成編，他認為人格權(quán)在新時代下呈現(xiàn)消極防御和積極利用的雙重功能，要提高人格權(quán)保護水平不能僅通過“人格權(quán)列舉+侵權(quán)責任”的救濟途徑，還應詳細規(guī)定具體人格權(quán)的權(quán)能，明確具有權(quán)利的行使，而侵權(quán)法明顯不能囊括[19]。

盡管爭論頗多，全國人大常委會法工委最終仍起草并公布《人格權(quán)（編）草案》（簡稱《草案》）并征求意見。《草案》系統(tǒng)規(guī)定了人格權(quán)的行使及保護方法，并在第六章將隱私權(quán)和個人信息并列，在分別作概念區(qū)分下并未明確二者的界限，似乎有個人信息附庸于隱私權(quán)的嫌疑。其中第八百一十一條第2 款是對隱私權(quán)的界定，第八百一十二條第(四)項是侵犯隱私權(quán)的行為之一，但私人信息與個人信息曖昧不清，敏感個人信息在概念上可與隱私權(quán)內(nèi)容重合。也就是說，《草案》選擇隱私權(quán)與個人信息分別保護，但事實上徒增概念上的混亂。因此有學者建議在該編中單獨制定“個人信息權(quán)”一章，系統(tǒng)規(guī)定個人信息權(quán)的概念、基本原則、權(quán)利內(nèi)容與限制，這樣才能適應信息社會對個人信息權(quán)保護的基本需求[20]。確立“個人信息權(quán)”并非一定價值正確，縱觀各國立法也并未有“個人信息權(quán)”（personal information right 或personal date right）的表述，在未對數(shù)據(jù)信息治理進行系統(tǒng)審視前，我們并不能從民事法律規(guī)范中明確到底誰享有對信息或數(shù)據(jù)的權(quán)利，因此個人信息保護重要的不是賦權(quán)，而是在信息動態(tài)化處理中明確信息主體對其個人信息享有自決權(quán)和知情權(quán)，而隨信息時代的發(fā)展自決權(quán)應受到一定限制，這種限制建立在個人信息類型化上，一般個人信息應強調(diào)利用，敏感個人信息則仍應賦予個人自決權(quán)。

縱觀《草案》關于個人信息的規(guī)定，從第八百一十三條到八百一十七條共計5 條，而其中第八百一十三條第1 款“自然人的個人信息受法律保護”是對《民法總則》第一百一十一條的重述，第2 款對個人信息的概念界定照搬《網(wǎng)絡安全法》第七十六條第5項的規(guī)定；第八百一十四條與《網(wǎng)絡安全法》第二十二條第3 款、第四十一第1 款重合；第八百一十五條規(guī)定信息主體的查閱、抄錄、復制權(quán)、刪除權(quán)，其關于刪除權(quán)的規(guī)定與《網(wǎng)絡安全法》第四十三條重合，但在此基礎上細化了刪除權(quán)適用情形；第816 條新規(guī)定了個人信息的合理使用；第817 條是《網(wǎng)絡安全法》第42 條的重復。可見作為民事基本法性質(zhì)的《人格權(quán)（編）》對個人信息的規(guī)定基本都仿照具有公法性質(zhì)的《網(wǎng)絡安全法》，更多關注于個人信息安全、從公法的角度體現(xiàn)其管制功能，并未體現(xiàn)其私法平等主體之間的權(quán)利義務關系，規(guī)則設計并不嚴謹。民事基本法中對個人信息的規(guī)定應重在規(guī)范個人信息處理過程中信息主體與數(shù)據(jù)企業(yè)的權(quán)利與義務，應明確個人信息具有消極防御和積極利用權(quán)能，消極防御重在為信息主體設定義務，積極利用重在賦予雙方對等權(quán)利和義務，同時也應為數(shù)據(jù)的宏觀治理保留余地。

（二）類型化適用同意規(guī)則在民法典中的規(guī)范建構(gòu)

民事基本法的目的之一即是平衡平等主體之間的利益，通過個人信息類型化適用同意規(guī)則是民事基本法平衡數(shù)據(jù)企業(yè)與信息主體利益、兼顧信息利用與信息保護的可靠手段。個人敏感信息因涉及到個人核心利益，應強調(diào)個人信息自決權(quán)，個人信息的處理應事先取得信息主體的同意，而一般個人信息應側(cè)重于商業(yè)化利用，針對信息利用設定基本要件，而并不需事先同意。正如哈里?韋斯特曼所言，“至少在私法的領域中，法律的目的只在于：以賦予特定利益優(yōu)先地位，而他種利益相對必須作一定程度退讓的方式，來規(guī)整個人或社會團體之間可能發(fā)生，并且已經(jīng)被類型化的利益沖突”[21]。

針對個人信息類型化適用同意規(guī)則在民法典中的具體安排，應先將個人信息類型化為一般個人信息與敏感個人信息，敏感個人信息采用前述“列舉+兜底規(guī)范”模式界定，“個人敏感信息為一旦泄露或濫用，極易危及人身、財產(chǎn)安全或?qū)е氯烁褡饑朗艿綋p害、歧視性待遇的個人信息，包括但不限于健康信息、身份證號碼、基因信息、生物特征信息、性取向、性生活、金融信息（收入和財產(chǎn)狀況）、賬戶密碼信息、通訊信息、精確地理位置。其他個人信息如符合信息主體的合理期待的，仍應判定為敏感信息?！币话銈€人信息不需要定義，除個人敏感信息之外其他均為一般個人信息。對同意規(guī)制的類型化適用可通過修改《草案》第814 條第1 款，在“征得被收集者同意”后增加“不具敏感性的一般個人信息除外”。

五、結(jié)語

數(shù)字經(jīng)濟時代，大數(shù)據(jù)紅利與信息安全的利益平衡是現(xiàn)實需求，而同意規(guī)則的適用并非利益平衡的工具，它在限制信息商業(yè)化利用的同時并未起到保障信息安全的作用。在歐美場景與風險的理念引導下，個人信息類型化適用同意規(guī)則將有助于實現(xiàn)個人、企業(yè)、國家三者之間的利益平衡。但應當注意的是，無論是一般個人信息還是敏感個人信息，信息處理過中出現(xiàn)隱私風險等可能損害信息主體利益的情形時，數(shù)據(jù)企業(yè)應當保證信息主體的知情選擇權(quán)，由信息主體自主決定信息是否可繼續(xù)處理或采取何種防范措施。再者，大數(shù)據(jù)分析技術要求數(shù)據(jù)企業(yè)本身不斷提高風險分析能力，無論采用何種保護手段都需要數(shù)據(jù)企業(yè)主動參與進來，數(shù)據(jù)企業(yè)應建立風險評估系統(tǒng)，構(gòu)建激勵相容的數(shù)據(jù)治理之道。再者，無論對個人信息實行何種保護方式，都應在各個法律部門綜合框架下設定保護機制，試圖通過某個部門法實行對個人信息的全面保護并不現(xiàn)實，未來的個人信息保護制度應與數(shù)據(jù)治理相結(jié)合，在綜合數(shù)據(jù)治理中談論個人信息保護?！?/p>