《個(gè)人信息保護(hù)法》第13 條第1 款（個(gè)人信息處理的合法性基礎(chǔ)）評注

2023-02-07 01:10楊旭

中國應(yīng)用法學(xué) 2023年6期

關(guān)鍵詞：個(gè)人信息保護(hù)法信息處理保護(hù)法

楊旭

《中華人民共和國個(gè)人信息保護(hù)法》第13 條第1 款：符合下列情形之一的，個(gè)人信息處理者方可處理個(gè)人信息：

（一）取得個(gè)人的同意；

（二）為訂立、履行個(gè)人作為一方當(dāng)事人的合同所必需，或者按照依法制定的勞動(dòng)規(guī)章制度和依法簽訂的集體合同實(shí)施人力資源管理所必需；

（三）為履行法定職責(zé)或者法定義務(wù)所必需；

（四）為應(yīng)對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全所必需；

（五）為公共利益實(shí)施新聞報(bào)道、輿論監(jiān)督等行為，在合理的范圍內(nèi)處理個(gè)人信息；

（六）依照本法規(guī)定在合理的范圍內(nèi)處理個(gè)人自行公開或者其他已經(jīng)合法公開的個(gè)人信息；

（七）法律、行政法規(guī)規(guī)定的其他情形。

一、總述

本條規(guī)定了個(gè)人信息處理的合法性基礎(chǔ)，是《中華人民共和國個(gè)人信息保護(hù)法》（以下簡稱《個(gè)人信息保護(hù)法》）中最為重要的核心規(guī)范之一，“在整部法律中具有基石性作用”?！?〕江必新、郭鋒主編：《〈中華人民共和國個(gè)人信息保護(hù)法〉條文理解與適用》，人民法院出版社2021 年版，第121 頁。本款開宗明義地規(guī)定，“符合下列情形之一的，個(gè)人信息處理者方可處理個(gè)人信息……”其中的“方可”清楚表明，信息處理者要取得合法處理個(gè)人信息的法律地位必須具備合法性基礎(chǔ)，否則其處理行為即屬違法行為。由此，便在現(xiàn)行法上確立“原則禁止，例外允許”的基本立場。本款既含有我國個(gè)人信息保護(hù)立法的本土內(nèi)容，又明顯受歐盟《通用數(shù)據(jù)保護(hù)條例》（以下簡稱GDPR）第6 條第1 款影響。為準(zhǔn)確解釋和續(xù)造本款規(guī)定，有必要先行探究其規(guī)范目的。

（一）規(guī)范目的

個(gè)人信息保護(hù)立法的宗旨在于平衡“保護(hù)個(gè)人信息權(quán)益”與“促進(jìn)個(gè)人信息合理利用”（《個(gè)人信息保護(hù)法》第1 條）兩大目標(biāo)。假如說《個(gè)人信息保護(hù)法》的“基本立場、理念、精神”是在保護(hù)與利用之間求得平衡，〔2〕申衛(wèi)星：《論個(gè)人信息保護(hù)與利用的平衡》，載《中國法律評論》2021 年第5 期。那么合法性基礎(chǔ)便是達(dá)此平衡的重要制度工具。就此而言，本款之規(guī)范目的在于化解以信息自決為核心的多元價(jià)值及利益沖突。

之所以要“保護(hù)個(gè)人信息權(quán)益”，主要是基于信息自決這一核心價(jià)值理念。其要義在于“個(gè)人原則上有權(quán)決定其個(gè)人數(shù)據(jù)（信息）的公開與利用”，〔3〕BVerfGE 65, 1 ff.（33-34) - Volksz?hlung.相應(yīng)的規(guī)范依據(jù)為《中華人民共和國憲法》（以下簡稱《憲法》）第38 條〔4〕《全國人民代表大會(huì)憲法和法律委員會(huì)關(guān)于〈中華人民共和國個(gè)人信息保護(hù)法（草案）〉審議結(jié)果的報(bào)告》，載申衛(wèi)星主編：《個(gè)人信息保護(hù)法手冊》，中國政法大學(xué)出版社2022 年版，第335 頁。和《中華人民共和國民法典》（以下簡稱《民法典》）第109 條關(guān)于“人格尊嚴(yán)”的規(guī)定。作為對人格尊嚴(yán)的具體化，信息自決既包含人格發(fā)展的自由，在私法領(lǐng)域尤其體現(xiàn)為私人自治及合同自由，又蘊(yùn)含人之尊嚴(yán)?！?〕楊旭：《個(gè)人信息處理中履行合同必需規(guī)則的限制適用》，載《法學(xué)》2023 年第6 期。有些特殊種類的個(gè)人信息也可能承載多種價(jià)值及利益，例如，敏感個(gè)人信息涉及其他關(guān)乎人格尊嚴(yán)的利益和人身財(cái)產(chǎn)安全等，而電話號(hào)碼、手機(jī)通訊錄等個(gè)人信息還應(yīng)受到通信自由及通信秘密（《憲法》第40 條）的保護(hù)。〔6〕張新寶：《個(gè)人信息收集：告知同意原則適用的限制》，載《比較法研究》2019 年第6 期。此外，個(gè)人信息還可能承載“國家安全”和“公共利益”等。

至于“促進(jìn)個(gè)人信息合理利用”所涉價(jià)值及利益，則應(yīng)區(qū)分不同性質(zhì)的信息處理者。倘若是公權(quán)力承擔(dān)者處理個(gè)人信息，則旨在維護(hù)國家利益和社會(huì)公共利益。若是私人主體處理個(gè)人信息，則主要服務(wù)于私人利益，但也可能涉及第三人權(quán)益、社會(huì)公共利益和國家利益。其中，商業(yè)平臺(tái)等互聯(lián)網(wǎng)企業(yè)是最為典型且重要的私人處理者，其往往對個(gè)人信息進(jìn)行商業(yè)化利用，旨在實(shí)現(xiàn)個(gè)體性商業(yè)利益。此類利益之所以受法律保護(hù)，系基于從《憲法》第16 條第1 款、第17 條第1 款并連同第6 條第2 款、第11 條與第15 條第1 款等規(guī)定推導(dǎo)出的營業(yè)自由，而《民法典》第5 條關(guān)于私人自治的規(guī)定也能為此提供依據(jù)。

個(gè)人信息處理通常涉及雙方當(dāng)事人，此時(shí)主要在《個(gè)人信息保護(hù)法》所稱“個(gè)人”即信息主體的信息自決與信息處理者的營業(yè)自由之間發(fā)生沖突。而在涉及第三人的情形，其價(jià)值及利益既可能支持信息主體一方，又可能支持信息處理者一方。倘若該第三人為自然人，則其信息自決也可能參與其中。這些價(jià)值及利益均屬于“最佳化命令”，即“要求某事在事實(shí)上和法律上可能的范圍內(nèi)盡最大可能被實(shí)現(xiàn)”，并且“能以不同的程度被實(shí)現(xiàn)”?！?〕[德]羅伯特·阿列克西：《法：作為理性的制度化》，雷磊編譯，中國法制出版社2012 年版，第132 頁。所以必須盡可能實(shí)現(xiàn)其各自之要求，而不得偏廢于任何一端。

（二）體系脈絡(luò)

1.本款與“合法、正當(dāng)、必要”三原則的關(guān)系

對于“合法、正當(dāng)、必要”三原則，《個(gè)人信息保護(hù)法》第6 條和第7 條、《民法典》第1035條第1 款前段、《中華人民共和國網(wǎng)絡(luò)安全法》（以下簡稱《網(wǎng)絡(luò)安全法》）第41 條第1 款前段等均作有規(guī)定?！?〕對此所作深入研究，參見劉權(quán)：《論個(gè)人信息處理的合法、正當(dāng)、必要原則》，載《法學(xué)家》2021 年第5 期。但必須注意，此三原則不構(gòu)成獨(dú)立的合法性基礎(chǔ)，而只能在適用本款及相關(guān)規(guī)定時(shí)發(fā)揮輔助功能?！?〕楊旭：《正當(dāng)利益條款的中國法構(gòu)造》，載《法制與社會(huì)發(fā)展》2022 年第1 期。合法性原則為本款“原則禁止、例外允許”的基本立場提供了根據(jù)。正當(dāng)性原則主要是對處理目的之要求，即“處理個(gè)人信息應(yīng)當(dāng)具有明確、合理的目的”（《個(gè)人信息保護(hù)法》第6條第1 款前段），對理解合法性基礎(chǔ)規(guī)定中關(guān)于處理目的之內(nèi)容具有重要指引作用。必要性原則主要指向處理行為與處理目的之關(guān)系，即二者應(yīng)“直接相關(guān)”，并“采取對個(gè)人權(quán)益影響最小的方式”等（《個(gè)人信息保護(hù)法》第6 條第1 款后段、第2 款），尤其能夠被用于具體化本款及相關(guān)規(guī)定中的“為……所必需”“合理的范圍”等不確定概念。

2.本款與其他合法性基礎(chǔ)規(guī)定的關(guān)系

在“前民法典時(shí)代”的分散立法中，《中華人民共和國消費(fèi)者權(quán)益保護(hù)法》第29 條第1 款第1句后段、《網(wǎng)絡(luò)安全法》第41 條第1 款后段等均規(guī)定了個(gè)人信息處理的合法性基礎(chǔ)，但只有信息主體同意一種。這種“同意一元論”的做法太過封閉，難以充分顧及信息主體、處理者、第三人、社會(huì)、國家等各方主體之間的價(jià)值及利益沖突。所以在《民法典》及《個(gè)人信息保護(hù)法》頒行后，應(yīng)將此類規(guī)定納入合法性基礎(chǔ)的“多元化格局”，認(rèn)為其僅構(gòu)成特殊情形下對同意的提示性規(guī)定，而不當(dāng)然排除其他合法性基礎(chǔ)的適用。

在《民法典》中，第1035 條第1 款和第1036 條是關(guān)于私人領(lǐng)域處理個(gè)人信息合法性基礎(chǔ)的專門規(guī)定，而第998 條和第999 條關(guān)于人格權(quán)的一般規(guī)定也能為此提供依據(jù)。〔10〕程嘯：《論我國民法典中的個(gè)人信息合理使用制度》，載《中外法學(xué)》2020 年第4 期。其中，第1035 條第1 款第一項(xiàng)和第1036 條第一項(xiàng)規(guī)定了信息主體同意，對應(yīng)本款第一項(xiàng)；第1036 條第二項(xiàng)規(guī)定了處理已公開個(gè)人信息的情形，對應(yīng)本款第六項(xiàng)以及《個(gè)人信息保護(hù)法》第27 條；第1036 條第三項(xiàng)第一種情形規(guī)定了為公共利益處理個(gè)人信息的情形，其連同第999 條對應(yīng)本款第四項(xiàng)第一種情形和第五項(xiàng)；第1036 條第三項(xiàng)第二種情形規(guī)定了為信息主體利益處理個(gè)人信息的情形，對應(yīng)本款第四項(xiàng)第二種情形，但后者在保護(hù)范圍上還包括信息主體以外的第三人；第998 條關(guān)于侵害非物質(zhì)性人格權(quán)責(zé)任認(rèn)定的一般規(guī)定屬于本款第七項(xiàng)“法律、行政法規(guī)規(guī)定的其他情形”，其意義尤其在于為從現(xiàn)行法上確立正當(dāng)利益規(guī)則提供規(guī)范依據(jù)。

經(jīng)梳理不難發(fā)現(xiàn)，《民法典》及其他法律未規(guī)定履行合同必需規(guī)則、訂立合同必需規(guī)則、人力資源管理必需規(guī)則、〔11〕由于問題的復(fù)雜性，本文對人力資源管理必需規(guī)則（本款第二項(xiàng)后段）暫不作探討。法定職責(zé)必需規(guī)則、法定義務(wù)必需規(guī)則等其他合法性基礎(chǔ)，其依據(jù)應(yīng)為本款規(guī)定。此外，不同于《民法典》僅針對私人領(lǐng)域的個(gè)人信息處理，本款及《個(gè)人信息保護(hù)法》相關(guān)規(guī)定將私人領(lǐng)域和公共領(lǐng)域熔于一爐，有必要予以明確區(qū)分。

3.本款與法律責(zé)任規(guī)定的關(guān)系

倘若不具備合法性基礎(chǔ)，信息處理者便違反本款規(guī)定的禁令，因此應(yīng)承擔(dān)法律責(zé)任。具體而言，可能涉及的責(zé)任類別包括《個(gè)人信息保護(hù)法》第69 條規(guī)定的民事侵權(quán)責(zé)任、第66 條和第68條規(guī)定的行政責(zé)任以及《中華人民共和國刑法》第253 條之一等規(guī)定的刑事責(zé)任等。反過來，符合本款各項(xiàng)規(guī)定的處理行為，便因不具有違法性而不必承擔(dān)法律責(zé)任。

（三）基本分類

目前較為普遍的做法是區(qū)分信息主體同意和同意以外的其他合法性基礎(chǔ)?！?2〕前引〔1〕，江必新、郭鋒主編書，第124-129 頁；張新寶主編：《〈中華人民共和國個(gè)人信息保護(hù)法〉釋義》，人民出版社2021 年版，第110 頁；龍衛(wèi)球主編：《中華人民共和國個(gè)人信息保護(hù)法釋義》，中國法制出版社2021 年版，第57-63 頁；程嘯：《個(gè)人信息保護(hù)法理解與適用》，中國法制出版社2021 年版，第115 頁；周漢華主編：《個(gè)人信息保護(hù)法條文精解與適用指引》，法律出版社2022 年版，第100 頁。但這一劃分過于簡略，既忽視了公法與私法的重大差別，又未能凸顯各種合法性基礎(chǔ)的實(shí)質(zhì)。本文認(rèn)為，更加可取的分類方式是根據(jù)合法性的效力來源分三類，即自主決定型合法性基礎(chǔ)、引致條款型合法性基礎(chǔ)和法益權(quán)衡型合法性基礎(chǔ)。三者之間的核心區(qū)別在于，解決各種價(jià)值及利益沖突的權(quán)限究竟是交給信息主體，抑或立法機(jī)關(guān)，還是司法機(jī)關(guān)等。以此為基礎(chǔ)，便能進(jìn)一步考慮其各自在公私法領(lǐng)域的適用可能性，并合理界定相應(yīng)的適用范圍及主要場景。

二、自主決定型合法性基礎(chǔ)之一：信息主體同意

信息主體同意構(gòu)成最典型也是最為重要的自主決定型合法性基礎(chǔ)。長期以來，學(xué)說及實(shí)務(wù)上較多采取“告知—同意”或者“知情同意”的表述，但二者均存在不小的誤導(dǎo)性。因?yàn)橐环矫妫畔⑻幚碚叩母嬷x務(wù)（《個(gè)人信息保護(hù)法》第17 條）普遍適用于各種合法性基礎(chǔ)，而非專屬于信息主體同意。然而，“告知—同意”恰恰容易在此方面導(dǎo)致誤解，即認(rèn)為告知義務(wù)僅適用于以同意作為合法性基礎(chǔ)的情形。另一方面，所謂“知情”即《個(gè)人信息保護(hù)法》第14 條第1 款第1 句中“在充分知情的前提下”之簡稱，而這只是同意的若干成立或有效要件之一。所以“知情同意”有過度凸顯知情要件的地位之嫌，實(shí)無必要。歸根結(jié)底，此類表述之所以被廣泛使用，系源于對信息主體同意作為合法性基礎(chǔ)的正當(dāng)性之疑慮。

（一）正當(dāng)性根據(jù)

在我國個(gè)人信息保護(hù)立法前后，學(xué)說及實(shí)務(wù)上出現(xiàn)了許多對信息主體同意作為合法性基礎(chǔ)的批判與反思：少數(shù)學(xué)者從根本上否定同意的正當(dāng)性，〔13〕任龍龍：《論同意不是個(gè)人信息處理的正當(dāng)性基礎(chǔ)》，載《政治與法律》2016 年第1 期；范為：《大數(shù)據(jù)時(shí)代個(gè)人信息保護(hù)的路徑重構(gòu)》，載《環(huán)球法律評論》2016 年第5 期。更多學(xué)者著力探索化解同意之困境的可行路徑。〔14〕林洹民：《個(gè)人信息保護(hù)中知情同意原則的困境與出路》，載《北京航空大學(xué)學(xué)報(bào)（社會(huì)科學(xué)版）》2018 年第3 期；前引〔6〕，張新寶文；姚佳：《知情同意原則抑或信賴授權(quán)原則》，載《暨南學(xué)報(bào)》2020 年第2 期；韓旭至：《個(gè)人信息保護(hù)中告知同意的困境與出路》，載《經(jīng)貿(mào)法律評論》2021 年第1 期；呂炳斌：《個(gè)人信息保護(hù)的“同意”困境及其出路》，載《法商研究》2021 年第2 期。在此背景下，盡管本款第一項(xiàng)及《民法典》第1035 條第1 款第一項(xiàng)等已作有明確規(guī)定，但依然有必要探尋同意的正當(dāng)性根據(jù)及其在各種合法性基礎(chǔ)中所處地位。

首先必須看到，現(xiàn)行立法始終堅(jiān)持以信息主體同意作為合法性基礎(chǔ)，并不斷對整個(gè)合法性基礎(chǔ)的規(guī)范體系予以優(yōu)化。如前所述，“前民法典時(shí)代”之分散立法僅以同意作為唯一合法性基礎(chǔ)，難以充分顧及紛繁復(fù)雜的價(jià)值及利益沖突。但為此，立法者并未從根本上推翻同意的正當(dāng)性，而只是陸續(xù)增設(shè)其他合法性基礎(chǔ)：《民法典》人格權(quán)編一改此前將合法性基礎(chǔ)僅系于同意之一途的僵化模式，通過第1035 條第1 款第一項(xiàng)之但書和第1036 條第二項(xiàng)、第三項(xiàng)確立的其他免責(zé)事由相配合，為私人處理者合法處理個(gè)人信息提供了更多的可能選項(xiàng)；本款則以此為基礎(chǔ)作進(jìn)一步的補(bǔ)充、整合與完善，并將多元合法性基礎(chǔ)擴(kuò)展至公權(quán)力承擔(dān)者處理個(gè)人信息的情形。如此說來，信息主體同意在現(xiàn)行法上的正當(dāng)性已不容否認(rèn)。

之所以如此，是因?yàn)橹挥型獠拍芡暾麑?shí)現(xiàn)信息自決的價(jià)值理念。前已指出，信息自決具有雙重內(nèi)涵，即一方面包含人格發(fā)展自由，在私人領(lǐng)域尤其體現(xiàn)為私人自治及合同自由，另一方面又蘊(yùn)含人之尊嚴(yán)。而信息主體同意恰好與此若合符節(jié)。因?yàn)橐环矫?，作為以意思表示為核心的法律行為，?5〕Michael Funke, Dogmatik und Voraussetzungen der datenschutzrechtlichen Einwilligung im Zivilrecht, 2017, S.82-84;王洪亮、李依怡：《個(gè)人信息處理中“同意規(guī)則”的法教義學(xué)構(gòu)造》，載《江蘇社會(huì)科學(xué)》2022 年第3 期。同意能直接基于信息主體意愿創(chuàng)設(shè)合法處理個(gè)人信息的法律地位，從而充分彰顯存于個(gè)人信息之上的私人自治；另一方面，同意作為法律行為應(yīng)具有獨(dú)立性，即便在基于合同處理個(gè)人信息的情形也是如此，〔16〕劉召成：《人格權(quán)法上同意撤回權(quán)的規(guī)范表達(dá)》，載《法學(xué)》2022 年第3 期。以便為包括人之尊嚴(yán)在內(nèi)的整個(gè)信息自決區(qū)隔出相對獨(dú)立的效力空間，從而在與其他價(jià)值及利益的權(quán)衡中形成整個(gè)同意制度。但如后文所述，在適用其他合法性基礎(chǔ)的情形，要么只能部分地實(shí)現(xiàn)信息自決，要么就是讓整個(gè)信息自決向其他相對優(yōu)先的價(jià)值及利益作出退讓。

應(yīng)當(dāng)承認(rèn)的是，信息主體與信息處理者之間往往存在一種結(jié)構(gòu)性不平等關(guān)系，有學(xué)者稱其為“持續(xù)性不平等信息關(guān)系”?！?7〕丁曉東：《個(gè)人信息權(quán)利的反思與重塑》，載《中外法學(xué)》2020 年第2 期。在此關(guān)系中，對于信息處理者為履行告知義務(wù)而提出的《用戶協(xié)議》《隱私政策》等關(guān)鍵性文件，信息主體經(jīng)常處于“不會(huì)看，看了也不懂，懂了也不能改”的困境。然而，這并不足以否定信息主體同意的正當(dāng)性。為切實(shí)維護(hù)信息自決，《個(gè)人信息保護(hù)法》已確立較為完備的規(guī)則體系，如第14條第1款第1句針對同意的成立與有效性設(shè)定“充分知情”“自愿”“明確”等要求，第15 條賦予信息主體任意撤回同意的權(quán)利，第16 條確立禁止捆綁規(guī)則，第31 條第1 款規(guī)定未成年人的同意能力。其實(shí)，這些正是平等原則（如《民法典》第4 條）之實(shí)質(zhì)面向〔18〕易軍：《民法基本原則的意義脈絡(luò)》，載《法學(xué)研究》2018 年第6 期。的當(dāng)然之義。倘若能以信息自決為核心對這些規(guī)則予以妥當(dāng)解釋和續(xù)造，即便不能徹底根除同意所面臨之困境，也至少可以在很大程度上加以緩解。

退一步而言，信息主體同意即便并非最理想方案，但依然是現(xiàn)有的“最優(yōu)解”。因?yàn)槠鋵?shí)質(zhì)是一種“去中心化的利益平衡”（dezentraler Interessenausgleich）機(jī)制，〔19〕Benedikt Buchner, Informationelle Selbstbestimmung im Privatrecht, 2006, S.110.能夠更好地應(yīng)對紛繁復(fù)雜的價(jià)值及利益沖突。尤其在私人領(lǐng)域，要解決此類沖突不能寄希望于事前作出概括、抽象的終局決定，而只能取向于具體場景中各種因素的綜合權(quán)衡。這既使立法者難以擔(dān)此重任，又讓行政監(jiān)管機(jī)關(guān)和司法裁判者不堪重負(fù)。所以相較于同意而言，引致條款型合法性基礎(chǔ)和法益權(quán)衡型合法性基礎(chǔ)均存在顯著劣勢。故此，切實(shí)可行之路徑在于將是否允許處理個(gè)人信息的實(shí)質(zhì)問題交由個(gè)人判斷，而國家則為其自主決定提供程序保障并在必要時(shí)予以妥當(dāng)救濟(jì)。那么從國家對信息自決之干預(yù)程度而言，通過同意解決價(jià)值及利益沖突也明顯更加溫和。

（二）適用范圍及主要場景

基于上述分析，信息主體同意不但具有充分的正當(dāng)性，而且在各種合法性基礎(chǔ)中居于核心地位。這還可以獲得諸多權(quán)威理由的支持：不論是《民法典》第1036 條有關(guān)免責(zé)事由的逐一列舉，還是本款對各種合法性基礎(chǔ)的全面整合，同意均在其中居于首位。為避免重復(fù)進(jìn)而提升立法之簡明與體系性，本條第2 款統(tǒng)一規(guī)定，其他合法性基礎(chǔ)在后續(xù)條文僅規(guī)定同意之處均得適用。這種“只提同意、不寫其他”的立法安排彰顯了同意的顯赫地位。而立法說明也指出，《個(gè)人信息保護(hù)法》旨在“確立以‘告知—同意’為核心”的個(gè)人信息處理規(guī)則，并“考慮到經(jīng)濟(jì)社會(huì)生活的復(fù)雜性和個(gè)人信息處理的不同情況”對其他“合法處理個(gè)人信息的情形作了規(guī)定”。〔20〕劉俊臣：《關(guān)于〈中華人民共和國個(gè)人信息保護(hù)法（草案）〉的說明》，載前引〔4〕，申衛(wèi)星主編書，第322 頁。盡管如此，仍有必要對同意的適用范圍及主要場景作進(jìn)一步界定和澄清。

2.1發(fā)病概況2011~2016年大慶市細(xì)菌性痢疾累計(jì)報(bào)告病例4642例,年平均發(fā)病率為26.88/10萬。2011年發(fā)病率最高,為30.57/10萬;2014年發(fā)病率最低,為23.19/10萬。見圖1。

1.主要適用于私人領(lǐng)域，公共領(lǐng)域僅屬例外

所謂“同意的核心地位”應(yīng)主要就私人領(lǐng)域而言，在信息處理者為公權(quán)力承擔(dān)者的情形卻并非如此。適用于后者的最重要合法性基礎(chǔ)為本款第三項(xiàng)第一種情形，即“為履行法定職責(zé)……所必需”。倘若已符合該規(guī)定就“不能也難以以獲得個(gè)人同意為前提”，〔21〕楊合慶主編：《中華人民共和國個(gè)人信息保護(hù)法釋義》，法律出版社2022 年版，第48 頁。否則便會(huì)從根本上違背公權(quán)力的性質(zhì)及其行使邏輯，甚至嚴(yán)重阻礙公務(wù)的正常執(zhí)行。例如，很難想象公安機(jī)關(guān)依法發(fā)布通緝令，卻需要取得犯罪嫌疑人同意才能進(jìn)行?！?2〕彭錞：《論國家機(jī)關(guān)處理個(gè)人信息的合法性基礎(chǔ)》，載《比較法研究》2022 年第1 期。也正因?yàn)槿绱?，個(gè)人信息保護(hù)法“草案”及“二次審議稿”第35 條第1 分句均規(guī)定，“國家機(jī)關(guān)為履行法定職責(zé)處理個(gè)人信息，應(yīng)當(dāng)依照本法規(guī)定向個(gè)人告知并取得其同意”，但最終的《個(gè)人信息保護(hù)法》第35 條第1 分句已刪除其中關(guān)于“取得其同意”的內(nèi)容?！?3〕前引〔4〕，申衛(wèi)星主編書，第298 頁。何況，即便信息主體在此情形確已作出同意，也往往難以確保其同意之有效性。GDPR第43 段立法理由第1 句前段指出，“為確保同意系自愿作出，不應(yīng)在數(shù)據(jù)主體與控制者之間存在明顯不對等的特定情形由同意為處理個(gè)人數(shù)據(jù)提供有效合法性基礎(chǔ)，尤其在因控制者為公權(quán)力機(jī)關(guān)而導(dǎo)致同意在考慮該特定場景之所有情況下幾無可能自由作出的情形”。如此看來，信息主體同意與“履行法定職責(zé)”往往存在天然的矛盾。

但這也并非絕對。在極少數(shù)情形，盡管處理行為旨在履行法定職責(zé)，但未必符合必要性要求，此時(shí)若允許以同意作為合法性基礎(chǔ)，便能顯著提升公權(quán)力的運(yùn)行效率。例如，某塊土地的權(quán)利人需獲得其所在地兩級(jí)政府之許可，而兩級(jí)政府為發(fā)放許可要求相同信息，但并未彼此分享數(shù)據(jù)庫。所以為避免重復(fù)處理，兩級(jí)政府請求權(quán)利人同意將文件并庫，且承諾即便不同意也分別處理其許可申請?！?4〕EDPB, Guidlines 05/2020 on consent under Regulation 2016/679, Version 1.1, 4.5.2020, p.8.職是之故，公權(quán)力承擔(dān)者雖然很少基于同意處理個(gè)人信息，但仍應(yīng)為此留下必要的空間?！?5〕前引〔22〕，彭錞文。于此情形，信息主體所作同意必須符合自愿性等要求。

2.私人領(lǐng)域的具體場景，尤其是個(gè)人信息的商業(yè)化利用

在私人領(lǐng)域中，只要信息主體的信息自決及其他支持性價(jià)值及利益未被反對性價(jià)值及利益部分或者全部地壓倒，信息處理者便應(yīng)以同意作為合法性基礎(chǔ)。至于具體適用邊界，則需從反面予以劃定，即只要不能適用履行合同必需規(guī)則、訂立合同必需規(guī)則、法定義務(wù)必需規(guī)則、正當(dāng)利益規(guī)則等其他合法性基礎(chǔ)，便需訴諸信息主體同意。個(gè)人信息的商業(yè)化利用即為典型，因?yàn)樾畔⒅黧w作為人之尊嚴(yán)在此尤其容易遭受侵害，甚至?xí)捎陲@著的利益沖突而在很大程度上淪為被操控的客體。

所謂個(gè)人信息的商業(yè)化利用，是指商業(yè)平臺(tái)等以營利為目的之私人信息處理者為實(shí)現(xiàn)其自身的商業(yè)利益而處理個(gè)人信息，主要包括三種典型情形：〔26〕Marlene Voigt, Die datenschutzrechtliche Einwilligung, 2020, S.161-169.一是營銷與廣告。通過收集和利用個(gè)人信息，處理者能對所有當(dāng)下及潛在的顧客進(jìn)行人格畫像，并借此查清各個(gè)用戶的購買力、興趣領(lǐng)域等事項(xiàng)?；诖?，處理者通過針對特定目標(biāo)群體的廣告而對顧客產(chǎn)生個(gè)性化影響，從而實(shí)現(xiàn)“在正確的時(shí)間以正確的理由給正確的顧客以量身定做的供給”。二是評分。這是基于既存數(shù)據(jù)對未來事件加以預(yù)測的數(shù)理統(tǒng)計(jì)操作，其基本思想為具有類似特征之人將來很可能會(huì)實(shí)施類似的行為。處理者通常將其用于有關(guān)潛在客戶的風(fēng)險(xiǎn)評估與管理，例如保險(xiǎn)和信貸等行業(yè)借此并結(jié)合其他情況來決定是否與特定客戶進(jìn)行交易以及如何設(shè)定交易條件。三是產(chǎn)品開發(fā)與企業(yè)戰(zhàn)略。不少企業(yè)時(shí)常利用個(gè)人信息研發(fā)新產(chǎn)品或者改進(jìn)既有產(chǎn)品，此外還可以通過數(shù)據(jù)分析發(fā)現(xiàn)既有的市場漏洞或者使其產(chǎn)品更加符合顧客的興趣?；趥€(gè)人信息處理優(yōu)化企業(yè)戰(zhàn)略，還可以提升效率、減少成本。于此三類情形，只要信息處理者未對個(gè)人信息進(jìn)行匿名化處理，便可能因其單方面追求自身的商業(yè)利益而明顯傷及信息自決。

倘若以信息處理者與信息主體之間有無合同等特別結(jié)合關(guān)系為標(biāo)準(zhǔn)，則可以將基于同意的個(gè)人信息處理分為無合同場景、先合同場景與合同場景等。在此三種場景下，信息處理者均可能對個(gè)人信息進(jìn)行商業(yè)化利用，但尤以合同場景最常見且重要。例如，在“信息換給付”的商業(yè)模式下，即時(shí)通訊、搜索引擎、社交網(wǎng)絡(luò)等商業(yè)平臺(tái)的運(yùn)營者雖然向用戶提供所謂的“免費(fèi)”服務(wù)，但同時(shí)借助用戶畫像、個(gè)性化推薦等技術(shù)手段，通過向第三方經(jīng)營者收取廣告費(fèi)等方式實(shí)現(xiàn)營利?！?7〕張新寶：《“普遍免費(fèi)+個(gè)別付費(fèi)”：個(gè)人信息保護(hù)的一個(gè)新思維》，載《比較法研究》2018 年第5 期；鄭觀：《個(gè)人信息對價(jià)化及其基本制度構(gòu)建》，載《中外法學(xué)》2019 年第2 期。又如，在網(wǎng)絡(luò)購物、旅游服務(wù)等商業(yè)平臺(tái)運(yùn)營者為用戶提供個(gè)性化交易撮合等服務(wù)的情形，要履行此類合同義務(wù)就必須進(jìn)行用戶畫像等個(gè)人信息處理行為，但如后文所述，其合法性基礎(chǔ)并非履行合同必需規(guī)則，而是信息主體同意。

（三）同意與合同的區(qū)分

在依據(jù)合同關(guān)系對個(gè)人信息進(jìn)行商業(yè)化利用的場景下，應(yīng)當(dāng)從概念上嚴(yán)格區(qū)分有關(guān)個(gè)人信息處理的合同（基礎(chǔ)合同）與信息主體同意，二者分別構(gòu)成兩個(gè)彼此獨(dú)立的法律行為。此即所謂“分離原則”（Trennungsprinzip）?！?8〕前引〔26〕，Marlene Voigt 書，第71-72 頁。具體而言，不論是信息主體有義務(wù)提供個(gè)人信息，例如借此換取所謂的“免費(fèi)”服務(wù)，還是信息處理者有義務(wù)處理個(gè)人信息，例如將提供個(gè)性化服務(wù)約定為信息處理者的義務(wù)，均不能直接依據(jù)有效合同取得合法性基礎(chǔ)?！?9〕正因?yàn)槿绱?，此處使用“依?jù)”而非“基于”合同關(guān)系，因?yàn)椤盎凇痹凇秱€(gè)人信息保護(hù)法》中具有合法性基礎(chǔ)的含義，如第14 條第1 款第1 句、第15 條第1 款第1 句等均使用“基于個(gè)人同意處理個(gè)人信息”的表述。為此，信息處理者必須在合同以外另行取得信息主體同意。尤其應(yīng)予注意，基礎(chǔ)合同與同意均為規(guī)范構(gòu)造物，而非經(jīng)驗(yàn)性事實(shí)。所以在實(shí)踐中，即便信息主體可能通過一次性點(diǎn)擊“同意”便完成整個(gè)注冊過程，但并不妨礙從規(guī)范的意義上區(qū)分締結(jié)基礎(chǔ)合同的承諾與同意兩個(gè)獨(dú)立的意思表示，〔30〕有不同觀點(diǎn)認(rèn)為，此處僅存在一個(gè)行為，但具有雙重的法律意義，進(jìn)而稱其為“承諾式同意”。參見林洹民：《個(gè)人數(shù)據(jù)交易的雙重法律構(gòu)造》，載《法學(xué)研究》2022 年第5 期。從而構(gòu)成不同的法律行為。

確立分離原則主要出于化解規(guī)范沖突的迫切需要。在諸多問題上，《個(gè)人信息保護(hù)法》與《民法典》存在重大差異，尤其體現(xiàn)為：第一，《民法典》以8 周歲和18 周歲為界區(qū)分無行為能力、限制行為能力和完全行為能力，而《個(gè)人信息保護(hù)法》第31 條第1 款規(guī)定無同意能力的上限為14 周歲；第二，《民法典》奉行合同嚴(yán)守原則，除非存在違約、情勢變更、不可抗力等特定事由，當(dāng)事人不得任意推翻有效合同的約束力，而《個(gè)人信息保護(hù)法》第15 條賦予信息主體任意撤回同意的權(quán)利；第三，《民法典》在合同訂立階段以締約自由為原則，在履行階段承認(rèn)雙務(wù)合同的履行抗辯權(quán)制度，而《個(gè)人信息保護(hù)法》第16 條確立了禁止捆綁規(guī)則，即信息處理者不得以信息主體不同意或者撤回同意為由拒絕提供產(chǎn)品或者服務(wù)。〔31〕對此所作更具體分析，參見前引〔5〕，楊旭文。假如不嚴(yán)格區(qū)分基礎(chǔ)合同與信息主體同意，而是將后者包含在合同當(dāng)中，這些差異就必然成為不可避免的規(guī)范沖突，給相關(guān)規(guī)范的適用帶來重大難題。

三、自主決定型合法性基礎(chǔ)之二：合同必需規(guī)則

合同必需規(guī)則包括履行合同必需規(guī)則和訂立合同必需規(guī)則，二者均在不同程度上系于信息主體的意愿，因此屬于自主決定型合法性基礎(chǔ)。其雖然主要適用于私人領(lǐng)域，但對公權(quán)力承擔(dān)者處理個(gè)人信息的情形亦有適用空間，如行政協(xié)議?！?3〕前引〔22〕，彭錞文。本款第二項(xiàng)前段籠統(tǒng)將“為訂立、履行個(gè)人作為一方當(dāng)事人的合同所必需”作為合法性基礎(chǔ)，并未嚴(yán)格區(qū)分合同的訂立和履行兩個(gè)階段。學(xué)說上也往往對合同必需規(guī)則進(jìn)行一體化探討?！?4〕彭飛榮：《〈個(gè)人信息保護(hù)法〉第13 條第1 款第2 項(xiàng)（合同中個(gè)人信息處理）評注》，載《法治研究》2023 年第3 期；陳騫：《論個(gè)人信息處理的“合同所必需”規(guī)則》，載《行政法學(xué)研究》2023 年第6 期。與此不同，GDPR 第6 條第1 款第1 段（b）項(xiàng)在區(qū)分不同合同階段的基礎(chǔ)上分別設(shè)定相應(yīng)的構(gòu)成要件。兩相比較，以后者更為可取。所以要準(zhǔn)確理解本款第二項(xiàng)前段，就應(yīng)當(dāng)針對“履行”合同和“訂立”合同分別加以展開。

（一）履行合同必需規(guī)則

對于履行合同必需規(guī)則，本款第二項(xiàng)前段確立了兩項(xiàng)要件：一是處理目的為“履行個(gè)人作為一方當(dāng)事人的合同”，二是“為……所必需”即必要性標(biāo)準(zhǔn)。其中最為核心的問題在于，如何妥當(dāng)界定此合法性基礎(chǔ)的適用范圍。

1.限制適用范圍的理由及方向

僅就本款第二項(xiàng)前段文義而言，履行合同必需規(guī)則的涵蓋范圍極其寬廣。例如，電子商務(wù)平臺(tái)經(jīng)營者有義務(wù)為用戶提供交易撮合等服務(wù)，其為提升交易撮合的成功率即有必要處理用戶的瀏覽痕跡、訂購記錄等個(gè)人信息；搜索引擎經(jīng)營者也可以將個(gè)性化廣告投放約定為服務(wù)內(nèi)容，為此有必要處理用戶的搜索關(guān)鍵詞、地理位置等個(gè)人信息；網(wǎng)約車應(yīng)用程序經(jīng)營者為向用戶提供優(yōu)質(zhì)便捷的出行服務(wù)，也有必要處理用戶的手機(jī)號(hào)碼、行蹤軌跡等個(gè)人信息。若由此推而廣之，則無異于確立“合同即合法”的基本立場。

但這明顯不妥。因?yàn)槿缜八?，立法者已明確強(qiáng)調(diào)應(yīng)當(dāng)以“告知—同意”為核心，并專門針對信息主體同意設(shè)有一系列規(guī)則；至于包括履行合同必需規(guī)則在內(nèi)的其他合法性基礎(chǔ)，則只是“考慮到經(jīng)濟(jì)社會(huì)生活的復(fù)雜性和個(gè)人信息處理的不同情況”所作例外規(guī)定。〔35〕劉俊臣：《關(guān)于〈中華人民共和國個(gè)人信息保護(hù)法（草案）〉的說明》，載前引〔4〕，申衛(wèi)星主編書，第322 頁。不僅如此，關(guān)于《個(gè)人信息保護(hù)法》的權(quán)威釋義書還在承認(rèn)其例外性的基礎(chǔ)上進(jìn)一步指出，履行合同必需規(guī)則“將成為絕大多數(shù)業(yè)務(wù)場景下收集信息的依據(jù)”，所以“必須受目的限制原則的約束”，且不得據(jù)此“進(jìn)行個(gè)性化營銷”?！?6〕前引〔1〕，江必新、郭鋒主編書，第125 頁、第131 頁。由此看來，要讓立法計(jì)劃不至于全盤落空，并與權(quán)威的司法見解盡可能保持一致，就應(yīng)當(dāng)對履行合同必需規(guī)則的適用范圍予以限制。

更深層次的緣由在于，履行合同必需規(guī)則并不能完整地表達(dá)信息自決之雙重內(nèi)涵。其僅以成立且有效的合同為前提，而與此相關(guān)的規(guī)則僅圍繞私人自治及合同自由展開，并不能充分顧及信息主體作為人之尊嚴(yán)。落實(shí)到具體規(guī)則層面，這尤其體現(xiàn)為據(jù)此處理個(gè)人信息只需符合合同法的一般規(guī)定即可，而不適用前述針對信息主體同意的專門規(guī)定。據(jù)此，便應(yīng)將履行合同必需規(guī)則限于處理行為無涉或者較少干預(yù)人之尊嚴(yán)的例外情形，而通常情形還應(yīng)在有效合同的基礎(chǔ)上進(jìn)一步取得信息主體同意。〔37〕前引〔5〕，楊旭文。

2.對“必要個(gè)人信息”概念之反思

為此，多個(gè)國家行政監(jiān)管機(jī)關(guān)聯(lián)合發(fā)布的《常見類型移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序必要個(gè)人信息范圍規(guī)定》提供了一種可能的選擇，即先界定“必要個(gè)人信息”的概念，再分別列舉網(wǎng)絡(luò)約車、即時(shí)通信、網(wǎng)上購物、求職招聘、旅游服務(wù)等三十九類App 的“基本功能服務(wù)”與必要個(gè)人信息類別。其中第3 條規(guī)定，“必要個(gè)人信息”是指“保障App 基本功能服務(wù)正常運(yùn)行所必需的個(gè)人信息，缺少該信息App 即無法實(shí)現(xiàn)基本功能服務(wù)”。而“基本功能服務(wù)”的概念則來自推薦性國家標(biāo)準(zhǔn)《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（以下簡稱《個(gè)人信息安全規(guī)范》）關(guān)于“基本業(yè)務(wù)功能”和“擴(kuò)展業(yè)務(wù)功能”的區(qū)分：處理者“應(yīng)根據(jù)個(gè)人信息主體選擇、使用所提供產(chǎn)品或服務(wù)的根本期待和最主要的需求”劃定基本功能服務(wù)，此外的其他功能便屬于擴(kuò)展業(yè)務(wù)功能。此即客觀必要性標(biāo)準(zhǔn)。

然而，這一限制路徑難以令人贊同。因?yàn)橐环矫?，該?biāo)準(zhǔn)既缺乏確定性，又不便于實(shí)踐操作。所謂“根本期待和最主要的需求”因過于抽象而充滿評價(jià)因素，所以也被稱為抽象評價(jià)式標(biāo)準(zhǔn)。〔38〕Malte Engeler, Das übersch?tzte Kopplungsverbot, ZD 2018, S.55, 57.表面上看，其似乎取向于合同法中的“必要之點(diǎn)”理論，但借此并不能消除因評價(jià)開放而產(chǎn)生的不確定性和操作難度。因?yàn)樵摾碚撛镜闹既ぴ谟?，為判斷合同成立與否提供最低限度的合意標(biāo)準(zhǔn)，〔39〕王洪亮：《論合同的必要之點(diǎn)》，載《清華法學(xué)》2019 年第6 期。而不直接觸及個(gè)人信息保護(hù)問題。申言之，該標(biāo)準(zhǔn)雖名曰“客觀”，卻無法提供相對確定的判斷標(biāo)準(zhǔn)和簡便易行的操作流程，因而往往會(huì)流于判斷者的主觀恣意。另一方面，采此標(biāo)準(zhǔn)還可能傷及私人自治及合同自由，因?yàn)槠洳⑽闯浞肿鹬禺?dāng)事人約定及合同條款。這種置當(dāng)事人意思于不顧而另起爐灶的做法完全與信息自決的價(jià)值理念背道而馳。而私人自治與合同自由恰恰構(gòu)成經(jīng)濟(jì)發(fā)展的原動(dòng)力，假如將合同的“必要之點(diǎn)”等傳統(tǒng)理論直接套用于數(shù)字經(jīng)濟(jì)，很可能會(huì)嚴(yán)重阻礙商業(yè)模式的多元化發(fā)展，〔40〕前引〔38〕，Malte Engeler 文。有違《中華人民共和國電子商務(wù)法》（以下簡稱《電子商務(wù)法》）第3 條明文確立的“鼓勵(lì)發(fā)展電子商務(wù)新業(yè)態(tài)，創(chuàng)新商業(yè)模式”之法政策要求。

3.基于純粹合同利益標(biāo)準(zhǔn)的限制路徑

要準(zhǔn)確理解履行合同必需規(guī)則，應(yīng)當(dāng)先對當(dāng)事人約定的合同條款予以解釋和補(bǔ)充。但如前所述，該規(guī)則雖然源于私人自治及合同自由，但僅限于處理行為無涉或者較少干預(yù)人之尊嚴(yán)的情形。換言之，正是人之尊嚴(yán)從反面限定其適用范圍。究其實(shí)質(zhì)，處理個(gè)人信息之所以可能危及信息自決，根源于信息處理者與信息主體之間往往并不一致的利益訴求。對于信息處理者而言，其收集的用戶信息數(shù)量越多、種類越豐富、利用程度越充分，由此產(chǎn)生的商業(yè)利益也就越大。與此不同，個(gè)人信息處理活動(dòng)盡管能夠增進(jìn)用戶利益，但卻同時(shí)隱含重大的潛在風(fēng)險(xiǎn)。以用戶畫像為例，由此往往會(huì)導(dǎo)致對用戶行為的無察覺操控，甚至使用戶喪失數(shù)字主權(quán)和信息自決，而在所收集信息與用戶真實(shí)身份綁定的情形尤其如此?！?1〕Céline Wenhold, Nutzerprofilbildung durch Webtracking, 2018, S.109.這種顯著的利益沖突意味著，絕不能將處理行為合法與否的決定權(quán)完全交由信息處理者掌控，而必須使信息主體的意愿切實(shí)貫徹在處理活動(dòng)始終。為此，尤其需要為信息主體同意及其任意撤回等提供制度支撐，從而對處理者形成有效制衡。

由此作反面觀察，便可以得出相對清晰的界定標(biāo)準(zhǔn)，從而對本款第二項(xiàng)前段予以目的性限縮：只有處理行為純粹服務(wù)于信息主體的合同利益，才能適用履行合同必需規(guī)則。據(jù)此，其適用范圍既不包括完全或者主要服務(wù)于信息處理者合同利益的情形，又不包括同時(shí)服務(wù)于雙方合同利益的情形。因?yàn)闅w根結(jié)底，信息主體之所以面臨人格操控等潛在風(fēng)險(xiǎn)，實(shí)則根源于信息處理者片面地追求自身商業(yè)利益。而只要處理行為純粹服務(wù)于信息主體的合同利益，便不存在難以調(diào)和的利益沖突。于此情形，假如再允許信息主體任意撤回同意，或者對同意能力、與處理行為有關(guān)的交易條件等提出更高要求，反而有保護(hù)過度之嫌。

4.主要適用場景

基于純粹合同利益標(biāo)準(zhǔn)，履行合同必需規(guī)則的適用范圍便大幅縮減，尤其應(yīng)排除個(gè)人信息商業(yè)化利用的情形。據(jù)此，該規(guī)則可得適用于地圖導(dǎo)航、線上支付、網(wǎng)絡(luò)約車、網(wǎng)上購物等各種場景。因?yàn)楦鶕?jù)合同約定，經(jīng)營者有義務(wù)向用戶提供定位導(dǎo)航、賬款支付、預(yù)約出行、商品寄送等服務(wù)，而且此類義務(wù)純粹服務(wù)于用戶合同利益，對經(jīng)營者而言卻完全是合同項(xiàng)下的負(fù)擔(dān)即不利益。為使其合同義務(wù)能夠被合法履行，就必須允許經(jīng)營者處理用戶的地理位置、銀行賬號(hào)、行蹤軌跡、家庭住址等個(gè)人信息。

（二）訂立合同必需規(guī)則

對于訂立合同必需規(guī)則，本款第二項(xiàng)前段同樣確立了兩項(xiàng)要件：一是處理目的為“訂立……個(gè)人作為一方當(dāng)事人的合同”，二是“為……所必需”即必要性標(biāo)準(zhǔn)。其中最為核心的問題同樣在于，如何妥當(dāng)界定此合法性基礎(chǔ)的適用范圍。

1.“訂立”合同的含義及其限制必要性

作為處理目的中的核心概念，“訂立”合同包括合同準(zhǔn)備（Vertragsverhandlung）與合同磋商（Vertragsanbahnung）兩個(gè)前后相繼的階段。后者屬于一種雙方的事實(shí)過程，于此不必然存在要約、承諾等意思表示，旨在訂立合同之預(yù)備性洽談等所有形式的法律行為性接觸均包含在內(nèi)，但寄送價(jià)目表之類純粹的單方措施不在此列?！?2〕MüKoBGB/Emmerich, 8.Aufl.2019, BGB § 311 Rn.43.前者是合同磋商開始前的預(yù)備性階段，尤其體現(xiàn)在為促成法律行為性接觸而開啟交往，比如潛在顧客進(jìn)入營業(yè)場所，不論其是否存有具體購買意圖，只要不完全排除訂立合同的可能性即可；完全無約束力的試探性洽談、單方采取的廣告措施等也屬于此?！?3〕MüKoBGB/Emmerich, 8.Aufl.2019, BGB § 311 Rn.43-44, 46-47.而且，訂立合同既可能因合同成立并生效而結(jié)束，又可能因當(dāng)事人中途放棄締約而告終結(jié)。以訂立合同作為個(gè)人信息處理的合法性基礎(chǔ)，并不要求雙方當(dāng)事人最終進(jìn)入有效的合同關(guān)系，只需存在進(jìn)入合同關(guān)系之潛在可能性即可?！?4〕EDPB, Guidelines 2/2019 on the processing of personal data under Article 6（1)（b) GDPR in the context of the provision of online services to data subjects, Verson 2.0, 8.10.2019, p.13.

那么僅就本款第二項(xiàng)前段文義而言，訂立合同必需規(guī)則的適用范圍就極其寬廣。例如，有些品牌門店、銷售中心等通過安裝攝像頭的方式收集顧客人臉信息、行蹤信息等，通過分析其消費(fèi)習(xí)慣等特征而采取不同的營銷策略；銀行等金融機(jī)構(gòu)為決定是否發(fā)放貸款或者辦理其他業(yè)務(wù)，基于顧客以往的信貸記錄等信息對其進(jìn)行信用審查。然而，這些處理行為均可能侵害信息主體的重要利益，構(gòu)成對其信息自決尤其是人之尊嚴(yán)的顯著干預(yù)，通常應(yīng)當(dāng)以信息主體同意作為合法性基礎(chǔ)。由此可見，實(shí)有必要對訂立合同必需規(guī)則予以適當(dāng)限制。

2.增設(shè)“信息主體要求采取措施”要件

在訂立合同過程中，通常不存在信息主體對其個(gè)人信息的自主決定。即便在合同磋商階段可能存在要約、承諾等意思表示，但其往往與先合同階段的個(gè)人信息處理并無直接關(guān)系。更何況，相關(guān)處理活動(dòng)的發(fā)起者并不當(dāng)然是信息主體，而完全可能是主要追求其自身商業(yè)利益的信息處理者。所以為維護(hù)信息自決，訂立合同必需規(guī)則務(wù)必要包含處理活動(dòng)由信息主體主動(dòng)發(fā)起的限制要件。也正因此，GDPR 第6 條第1 款第1 段（b）項(xiàng)第二種情形關(guān)于處理目的之界定是“在進(jìn)入合同前應(yīng)信息主體要求采取措施”?！?5〕關(guān)于該規(guī)定的歷史由來及比較法考察，參見楊旭：《論訂立合同作為個(gè)人信息處理合法性基礎(chǔ)的限縮適用》，載《南京社會(huì)科學(xué)》2022 年第4 期。基于相同理由，應(yīng)當(dāng)對本款第二項(xiàng)前段予以目的性限縮，增設(shè)“信息主體要求采取措施”作為限制。所以全國人大常委會(huì)法制工作委員會(huì)關(guān)于《個(gè)人信息保護(hù)法》的釋義書中明確指出，“為訂立個(gè)人作為一方當(dāng)事人的合同所必需，一般情況下是指個(gè)人有訂立合同的意向，個(gè)人信息處理者應(yīng)其要求處理必要的個(gè)人信息”?！?6〕前引〔21〕，楊合慶主編書，第46 頁。與此不同，我國《個(gè)人信息安全規(guī)范》第5.6 條（g）項(xiàng)雖然也規(guī)定“信息主體要求”，但被“要求”之對象卻是“簽訂……合同”，疑似在借鑒GDPR 第6條第1 款第1 段（b）項(xiàng)時(shí)存在誤解，將來更新該國家標(biāo)準(zhǔn)時(shí)應(yīng)予修正。借此限制要件，便將那些并非信息主體主動(dòng)要求，而是由信息處理者單方面決定的情形排除在外，以切實(shí)維護(hù)信息自決。

然而，此限制要件不同于信息主體同意，因?yàn)槎咴谛再|(zhì)上存在根本區(qū)別：后者作為信息主體意思的直接體現(xiàn)屬于法律行為，前者因包含法定因素而屬于準(zhǔn)法律行為。具體而言，此種要求僅直接指向特定措施，無需且不必然包含允許處理個(gè)人信息的意思?；蛟S正因此，有觀點(diǎn)正確地指出，為訂立合同而處理個(gè)人信息的情形“并不要求個(gè)人信息主體對處理行為作出明確表態(tài)”?！?7〕江必新、李占國主編：《中華人民共和國個(gè)人信息保護(hù)法條文解讀與法律適用》，中國法制出版社2021 年版，第46 頁。那么，信息處理者之所以取得合法處理的法律地位，便不可能源于信息主體的效果意思，而只能基于本款第二項(xiàng)前段的直接規(guī)定。換言之，相應(yīng)的法效果是據(jù)此規(guī)定從信息主體主動(dòng)要求采取措施的意愿中間接推導(dǎo)而出?！?8〕Philipp Hacker, Datenprivatrecht, 2020, S.260.所以此限制要件屬于準(zhǔn)法律行為，原則上不適用專門針對信息主體同意的規(guī)定，但為強(qiáng)化未成年人保護(hù)應(yīng)當(dāng)類推適用《個(gè)人信息保護(hù)法》第31 條第1 款關(guān)于同意能力的特殊規(guī)定。

3.主要適用場景

基于上述限制，訂立合同必需規(guī)則的適用范圍便受較大限制。例如，為決定是否發(fā)放貸款或者辦理其他業(yè)務(wù)對顧客進(jìn)行的信用審查，若是由銀行等金融機(jī)構(gòu)主動(dòng)發(fā)起，便不能以訂立借款合同等為由處理顧客的信貸記錄等信息；零售商未經(jīng)要求向消費(fèi)者寄送產(chǎn)品價(jià)目表、商業(yè)廣告等，也不得基于訂立合同處理消費(fèi)者的地址等信息。與此不同，在消費(fèi)者主動(dòng)查詢特定服務(wù)是否及于其所在區(qū)域時(shí)，服務(wù)提供者為作答復(fù)可以處理消費(fèi)者所在區(qū)域的郵政編碼等信息；只有投保人主動(dòng)詢問可能的保險(xiǎn)費(fèi)金額時(shí)，保險(xiǎn)公司才能為確定保險(xiǎn)費(fèi)金額而處理其相關(guān)個(gè)人信息。當(dāng)然，所處理的個(gè)人信息種類及范圍等應(yīng)以必要為限。

四、引致條款型合法性基礎(chǔ)

所謂引致條款型合法性基礎(chǔ)主要指本款第三項(xiàng)，包括法定職責(zé)必需規(guī)則和法定義務(wù)必需規(guī)則。有別于自主決定型合法性基礎(chǔ)，此類合法性基礎(chǔ)的效力來源并非信息主體意愿，而是法律的直接規(guī)定。確切地說，該項(xiàng)屬于對構(gòu)成要件的部分引致。只有將其他關(guān)于“法定職責(zé)”和“法定義務(wù)”的具體規(guī)定與該項(xiàng)中的必要性要求即“為……所必需”相結(jié)合，才能創(chuàng)設(shè)合法處理個(gè)人信息的法律地位。之所以有此效力，其依據(jù)并非其他具體規(guī)定，而是本款第三項(xiàng)。在此意義上，該項(xiàng)有別于本款第七項(xiàng)“法律、行政法規(guī)規(guī)定的其他情形”，因?yàn)楹笳咧皇菃渭兊奶崾拘远档滓?guī)定，其本身并非合法性基礎(chǔ)。

（一）法定職責(zé)必需規(guī)則

法定職責(zé)必需規(guī)則僅適用于公權(quán)力承擔(dān)者處理個(gè)人信息的情形，而且是公法領(lǐng)域最重要的合法性基礎(chǔ)。其規(guī)范依據(jù)為本款第三項(xiàng)第一種情形，而《個(gè)人信息保護(hù)法》第34 條并非獨(dú)立的合法性基礎(chǔ)規(guī)定，只是對“國家機(jī)關(guān)為履行法定職責(zé)處理個(gè)人信息”的細(xì)化要求。理解此合法性基礎(chǔ)的關(guān)鍵有二：一是履行何種“職責(zé)”，二是依據(jù)何“法”而定。

1.法定“職責(zé)”的內(nèi)容

所謂“職責(zé)”的范圍極其寬廣，例如“國家機(jī)關(guān)為維護(hù)國家安全、懲治犯罪、管理經(jīng)濟(jì)社會(huì)事務(wù)，以及提供公共服務(wù)，在很多情況下可能需要處理個(gè)人信息”。〔49〕前引〔21〕，楊合慶主編書，第46 頁。于此情形并非“必須由法律明確授權(quán)國家機(jī)關(guān)從事特定的個(gè)人信息處理活動(dòng)”，而是“只要國家機(jī)關(guān)是在按照法定的權(quán)限和程序履行法定職責(zé)，而特定的個(gè)人信息處理活動(dòng)又是履職所必需的，就可以合法處理，無需法律對處理活動(dòng)本身特別授權(quán)”?！?0〕前引〔22〕，彭錞文。例如，《中華人民共和國刑事訴訟法》第132 條第1 款關(guān)于“為了確定被害人、犯罪嫌疑人的某些特征、傷害情況或者生理狀態(tài)……提取指紋信息，采集血液、尿液等生物樣本”之規(guī)定已包含個(gè)人信息處理，而第136 條關(guān)于“為了收集犯罪證據(jù)、查獲犯罪人……對犯罪嫌疑人以及可能隱藏罪犯或者犯罪證據(jù)的人的身體、物品、住處和其他有關(guān)的地方進(jìn)行搜查”之規(guī)定并未直接提及。盡管如此，二者均屬于本款第三項(xiàng)中的“法定職責(zé)”，因?yàn)橹挥薪璐伺c必要性要求相結(jié)合才能形成完整的合法性基礎(chǔ)。倘若具體規(guī)定既包含對個(gè)人信息處理的授權(quán)，又明確設(shè)定必要性要求，則其本身便構(gòu)成獨(dú)立的合法性基礎(chǔ)，屬于本款第七項(xiàng)“法律、行政法規(guī)規(guī)定的其他情形”。

2.設(shè)定職責(zé)的“法”

對于“法定職責(zé)”之“法”應(yīng)作最廣義理解，其既不限于狹義的法律，也不止步于行政法規(guī)，此外還包括地方性法規(guī)、部門規(guī)章、地方政府規(guī)章等規(guī)范性法律文件?！?1〕前引〔12〕，程嘯書，第132 頁；前引〔22〕，彭錞文。因?yàn)榉ǘ氊?zé)必需規(guī)則旨在理順個(gè)人信息保護(hù)與公權(quán)力規(guī)范體系的關(guān)系，以防止因保護(hù)個(gè)人信息而妨礙公權(quán)力的正常行使。因此，只要公權(quán)力承擔(dān)者確實(shí)承擔(dān)合乎法秩序的職責(zé)，并因此確有必要處理個(gè)人信息，個(gè)人信息保護(hù)領(lǐng)域就應(yīng)予以承認(rèn)，而不得另行創(chuàng)設(shè)額外要求。

（二）法定義務(wù)必需規(guī)則

法定義務(wù)必需規(guī)則僅針對私主體處理個(gè)人信息的情形，但所謂“法定義務(wù)”既可以是公法義務(wù)，又可以是私法義務(wù)。因此，本款第三項(xiàng)第二種情形的適用范圍橫跨公私法兩大領(lǐng)域。但不論如何，義務(wù)人通常為信息處理者，而非信息主體。GDPR 第6 條第1 款第1 段（c）項(xiàng)明確規(guī)定“控制者所負(fù)擔(dān)的法定義務(wù)”，可茲借鑒。與前述法定職責(zé)必需規(guī)則類似，此處的“法定義務(wù)”也不必直接包含個(gè)人信息處理。

1.公法義務(wù)

公法義務(wù)之相對人是公權(quán)力承擔(dān)者，由此可能在信息主體、私人信息處理者和公權(quán)力承擔(dān)者之間產(chǎn)生較為復(fù)雜的三方關(guān)系。例如，《電子商務(wù)法》第25 條第1 句規(guī)定，“有關(guān)主管部門依照法律、行政法規(guī)的規(guī)定要求電子商務(wù)經(jīng)營者提供有關(guān)電子商務(wù)數(shù)據(jù)信息的，電子商務(wù)經(jīng)營者應(yīng)當(dāng)提供”。此即電子商務(wù)經(jīng)營者所負(fù)數(shù)據(jù)報(bào)送義務(wù)，〔52〕對此類義務(wù)的詳細(xì)探討，參見劉權(quán)：《論網(wǎng)絡(luò)平臺(tái)的數(shù)據(jù)報(bào)送義務(wù)》，載《當(dāng)代法學(xué)》2019 年第5 期。而其中的“電子商務(wù)數(shù)據(jù)信息”便可能包括眾多消費(fèi)者信息。于此，參與“提供”的雙方均實(shí)施個(gè)人信息處理行為，應(yīng)當(dāng)分別具備合法性基礎(chǔ)。電子商務(wù)經(jīng)營者的合法性基礎(chǔ)即此處的法定義務(wù)必需規(guī)則，而主管部門的合法性基礎(chǔ)是前述法定職責(zé)必需規(guī)則。在此意義上，前者構(gòu)成后者的“鏡像規(guī)定”（Spiegelvorschrift），也可以更直觀地將二者合稱為“雙開門模式”（Doppeltürmodell）?！?3〕Buchner/Petri in Kühling/Buchner DS-GVO Art.6 Rn.78 und 79.

2.私法義務(wù)

私法義務(wù)之相對人應(yīng)為私主體。例如，在無因管理之債中，根據(jù)《民法典》第981 條第1 句規(guī)定，管理人有義務(wù)“采取有利于受益人的方法”管理他人事務(wù)，為此可能必需處理受益人信息；而根據(jù)《民法典》第982 條第1 句規(guī)定，管理人在管理結(jié)束后有義務(wù)“向受益人報(bào)告管理事務(wù)的情況”，為此可能必需處理管理事務(wù)所涉第三人信息。在合同之債的情形，相關(guān)義務(wù)首先源于當(dāng)事人所作約定，但在約定不備處需借任意性規(guī)定加以補(bǔ)充，所生義務(wù)便基于法律規(guī)定。于此情形，法定義務(wù)必需規(guī)則與前述履行合同必需規(guī)則發(fā)生競合。鑒于通過任意性規(guī)定補(bǔ)充之義務(wù)與當(dāng)事人約定存在密切聯(lián)系，為確保對合同之債的整體考慮，應(yīng)當(dāng)優(yōu)先適用履行合同必需規(guī)則。此外，在家事法、公司法、勞動(dòng)法等其領(lǐng)域也存在相關(guān)義務(wù)。

五、法益權(quán)衡型合法性基礎(chǔ)

在適用法益權(quán)衡型合法性基礎(chǔ)的情形，信息處理者之所以取得合法處理的法律地位，既非源于信息主體意愿，又非基于法律直接規(guī)定，而系出自對彼此沖突的價(jià)值及利益之權(quán)衡。也就是說，信息自決及相關(guān)價(jià)值和利益在個(gè)案中被反對性價(jià)值及利益所壓倒。適用此類合法性基礎(chǔ)充滿價(jià)值判斷，并需綜合考量個(gè)案中的各種具體因素，從而存在較高程度的不確定性，因此通常僅適用于私人領(lǐng)域的個(gè)人信息處理。本款第四項(xiàng)至第六項(xiàng)、《民法典》第1036 條第二項(xiàng)和第三項(xiàng)及其他相關(guān)規(guī)定均屬于此。根據(jù)其內(nèi)容的抽象程度，可以將此類規(guī)定分為具體權(quán)衡條款和概括權(quán)衡條款兩類。

（一）具體權(quán)衡條款

具體權(quán)衡條款包括三種。第一種旨在維護(hù)特定自然人利益，本款第四項(xiàng)中“緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全所必需”屬于此。其中的“自然人”既可以是信息主體，又可以是其他自然人。但與此不同，《民法典》第1036 條第三項(xiàng)中為維護(hù)“該自然人合法權(quán)益，合理實(shí)施的其他行為”僅適用于“該自然人”即信息主體。此外，二者之間并無實(shí)質(zhì)區(qū)別。盡管前者以“緊急情況下”為條件并指明“生命健康和財(cái)產(chǎn)安全”，而后者只是籠統(tǒng)地規(guī)定“合理實(shí)施”及“合法權(quán)益”，但若不符合前者所定情形就不太會(huì)出現(xiàn)信息自決被壓倒的結(jié)果?！?4〕倘若“部分措施并非緊急，卻與信息主體重大利益密切相關(guān)的，如反欺詐措施、支付安全措施等，這些措施是信息處理者的法定職責(zé)或法定義務(wù)”，應(yīng)當(dāng)以本款第三項(xiàng)作為合法性基礎(chǔ)，參見前引〔1〕，江必新、郭鋒主編書，第127-128 頁。鑒于本款第四項(xiàng)更為全面且細(xì)致，應(yīng)予以優(yōu)先適用。

第二種旨在維護(hù)社會(huì)公共利益，包括本款第四項(xiàng)中“為應(yīng)對突發(fā)公共衛(wèi)生事件”所必需和第五項(xiàng)“為公共利益實(shí)施新聞報(bào)道、輿論監(jiān)督等行為，在合理的范圍內(nèi)處理個(gè)人信息”。由于后者中的“等”字具有開放性，〔55〕即所謂“等外等”，參見前引〔1〕，江必新、郭鋒主編書，第128 頁。其實(shí)質(zhì)上相當(dāng)于將《民法典》第1036 條第三項(xiàng)中“為維護(hù)公共利益”而“合理實(shí)施的其他行為”和第999 條規(guī)定的人格權(quán)合理使用在個(gè)人信息領(lǐng)域合而為一。就此而言，《民法典》中的兩處規(guī)定已完全被本款第五項(xiàng)所吸納，似無獨(dú)立適用空間。要決定信息自決在個(gè)案中是否被公共利益所壓倒，只需先考慮適用本款第四項(xiàng)第一種情形，再判斷是否符合本款第五項(xiàng)即可。

第三種是處理已公開個(gè)人信息，通過本款第六項(xiàng)引向《個(gè)人信息保護(hù)法》第27 條，而《民法典》第1036 條第二項(xiàng)也屬于此。鑒于《個(gè)人信息保護(hù)法》第27 條具有齊備的構(gòu)成要件和法效果，并且在表述上更為周延，應(yīng)以此作為合法性基礎(chǔ)規(guī)定?！?6〕對此所作深入研究，參見寧園：《“個(gè)人信息已公開”作為合法處理事由的法理基礎(chǔ)和規(guī)則適用》，載《環(huán)球法律評論》2022 年第2 期。于此情形，個(gè)人信息之所以處于公開狀態(tài)，既可能是信息主體主動(dòng)為之，又可能是其他合法事由所致。能由此創(chuàng)設(shè)合法處理的法律地位之根本原因在于，已公開狀態(tài)使得信息自決的受保護(hù)程度有所降低，因此在特定情形下可能被其他反對性價(jià)值及利益所壓倒。

（二）概括權(quán)衡條款：正當(dāng)利益規(guī)則

本款第七項(xiàng)“法律、行政法規(guī)規(guī)定的其他情形”為法定兜底條款，如前所述，其意義尤其在于通過《民法典》第998 條確立正當(dāng)利益規(guī)則。該規(guī)則并不直接限定相關(guān)價(jià)值及利益的種類與內(nèi)容，因此屬于概括權(quán)衡條款。

1.正當(dāng)利益規(guī)則及其確立的必要性

正當(dāng)利益條款的最典型表述為GDPR 第6 條第1 款第1 段（f）項(xiàng)，即“處理是為控制者或者第三人追求的正當(dāng)利益之目的所必需，除非此種利益被要求保護(hù)個(gè)人數(shù)據(jù)之利益或者基本權(quán)利與自由壓倒，特別在數(shù)據(jù)主體為兒童的情形”。借此規(guī)定，個(gè)人信息處理的合法性基礎(chǔ)呈現(xiàn)趨于開放的結(jié)構(gòu)，為各種紛繁復(fù)雜的價(jià)值及利益沖突留下必要的緩和空間。而我國既有合法性基礎(chǔ)規(guī)定的問題恰恰在于其封閉性，尤其未能充分顧及商業(yè)平臺(tái)等私人信息處理者的個(gè)體性商業(yè)利益。例如，在“凌某某訴北京某科技有限公司隱私權(quán)、個(gè)人信息權(quán)益網(wǎng)絡(luò)侵權(quán)責(zé)任糾紛案”〔57〕凌某某訴北京某科技有限公司隱私權(quán)、個(gè)人信息權(quán)益網(wǎng)絡(luò)侵權(quán)責(zé)任糾紛案，北京互聯(lián)網(wǎng)法院（2019）京0491 民初6694 號(hào)民事判決書。（以下簡稱“抖音案”）中，案涉姓名、手機(jī)號(hào)碼、社交關(guān)系等個(gè)人信息具有雙重歸屬的特性，要求取得用戶手機(jī)通訊錄中所有聯(lián)系人之同意并不妥當(dāng)，只有借助正當(dāng)利益規(guī)則才能調(diào)和彼此沖突的價(jià)值及利益。

2.現(xiàn)行法上的正當(dāng)利益規(guī)則：基于《民法典》第998 條

受GDPR 影響，不少學(xué)者建議我國立法作類似規(guī)定?！?8〕江波、張亞男：《大數(shù)據(jù)語境下的個(gè)人信息合理使用原則》，載《交大法學(xué)》2018 年第3 期；謝琳：《大數(shù)據(jù)時(shí)代個(gè)人信息使用的合法利益豁免》，載《政法論壇》2019 年第1 期。但其實(shí)，構(gòu)造現(xiàn)行法上的正當(dāng)利益規(guī)則并非只有立法明文規(guī)定一途，《民法典》第998 條關(guān)于侵害非物質(zhì)性人格權(quán)責(zé)任認(rèn)定的一般規(guī)定已能實(shí)現(xiàn)相同功能?！?9〕對于《民法典》第998 條與歐盟正當(dāng)利益規(guī)則的詳細(xì)對比，參見前引〔9〕，楊旭文。該條適用于“除生命權(quán)、身體權(quán)和健康權(quán)外”的人格權(quán)，個(gè)人信息權(quán)也包含在內(nèi)。其所列舉的各種考量因素混合過錯(cuò)與違法性兩個(gè)要件，應(yīng)予嚴(yán)格區(qū)分。除去“過錯(cuò)程度”外，其他因素均主要指向違法性問題。而違法與合法實(shí)為一體兩面，二者相互排斥，具有擇一性關(guān)系：違法即不合法，合法即不違法，差別僅在于觀察視角不同。所以第998 條完全能夠被歸為本款第七項(xiàng)所定“法律、行政法規(guī)規(guī)定的其他情形”，從而為相關(guān)個(gè)人信息處理提供合法性基礎(chǔ)。

與GDPR 第6 條第1 款第1 段（f）項(xiàng)類似，《民法典》第998 條的動(dòng)態(tài)體系構(gòu)造也旨在解決紛繁復(fù)雜的價(jià)值及利益沖突，二者具有高度一致性。據(jù)此，基于《民法典》第998 條所構(gòu)造的正當(dāng)利益規(guī)則包括兩部分：第一部分是各方價(jià)值及利益的確定及必要性審查。若能作出肯定回答，便需進(jìn)行最終的權(quán)衡。第二部分即為權(quán)衡。為此，應(yīng)分別衡量各方價(jià)值及利益之抽象與具體權(quán)重，再對其總體權(quán)重予以評價(jià)性比較。假如難以確定何者勝出，還需訴諸權(quán)衡負(fù)擔(dān)分配規(guī)則。這兩部分內(nèi)容也構(gòu)成在個(gè)案中適用正當(dāng)利益規(guī)則的操作步驟。