吳國喆,王文文

西安交通大學 法學院,陜西 西安 710049

一、問題的提出

大數(shù)據的發(fā)展賦予個人信息以全新的市場價值,人的存在也超脫傳統(tǒng)生物體的形式,而基于信息世界的活動衍生出虛擬人格。公眾享受技術福利的同時亦被擠壓著私人空間,大數(shù)據時代對人的法律保護由此從物理世界擴展到包含虛擬人格的信息世界,進而對個人信息處理行為尺度的把握成為法律面對技術革命必須回答的問題。中國法律目前對個人信息的保護在信息自由流動和信息自主決定間往復,這也符合國際通行做法——基于個人信息內涵的人格要素和財產價值之雙重屬性,個人信息被普遍排除于絕對權之外,其法律規(guī)制均在權益保護和自由流通間找尋平衡點。在法律規(guī)則層面,2017年頒布的《中華人民共和國民法總則》第一百一十一條明確了“自然人的個人信息受法律保護”,這成為中國法律探尋個人信息處理行為規(guī)則邊界的邏輯新起點,《中華人民共和國民法典》(以下簡稱《民法典》)對此未做任何修改。2021年頒布的《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)更是沿著個人信息處理行為這條主線,對個人信息的法律歸屬、信息處理行為的正當化基礎、信息流動線路上各主體的權利義務安排、不同處理者的區(qū)別規(guī)制方式等作出了基本的規(guī)范表達。在“數(shù)據處理無所不在”的時代背景下,國家、社會、商業(yè)主體乃至私人的“信息饑餓感”將或許并不自愿的信息主體推上虛擬舞臺,信息主體和信息控制者分列數(shù)據化這一時代洪流的兩岸,各自企盼著基于個人信息的便捷或利好。故而,僅從信息主體角度出發(fā)的法律抽象表達只是行為規(guī)制起點,具體規(guī)則適用亟待基于實踐的細分研究。

個人信息保護有兩大理論基礎,一為歐盟及其成員國從人的基本權利保護延伸出的數(shù)據控制理論,二為美國基于個人自由保護的隱私自治理論[1]。盡管理論基礎不同,但兩大法域對個人信息權的規(guī)制均體現(xiàn)為一組寬泛的原則和詳細的行為規(guī)范[2],信息處理的邏輯起點為信息主體的自決權益,因而主體同意作為個人信息處理的規(guī)則核心成為各國立法例的普遍表達(1)2018年5月生效的歐盟《通用數(shù)據保護條例》(GDPR)和中國的《個人信息保護法》均構建了以“告知同意”為核心的處理原則;美國在州層面有《加州隱私權法案》(CPRA),規(guī)定一般情形下以“選擇退出”機制最大化發(fā)揮數(shù)據價值。2020年歐盟委員會出臺的《歐洲數(shù)據戰(zhàn)略》中,釋放數(shù)據潛力的前提是授予個人使用其產生的數(shù)據的權利。。但這并不意味著信息主體的自決權益是一項絕對權。考慮到數(shù)據時代勃發(fā)的信息依賴行為,作為資源的信息已然脫離了信息主體的掌控,成為個人必要的社會存在條件、國家的功能條件及活動基礎、經濟的生產要素。這也是個人信息固有的公共性和社會性的體現(xiàn)。故而有學者認為個人信息保護法是一種控制個人信息處理帶給信息主體人格或財產的加害風險的事先防御機制,而非以信息自決權益為中心的權利保護規(guī)范[3]。在經歷了“個人信息與隱私的區(qū)分”“知情同意規(guī)則的延伸與限縮”等大論戰(zhàn)后,中國學者也逐漸意識到知情同意不能也不可能成為個人信息處理的唯一合法基礎[4]。誠然,個人信息作為某種人格的社會延伸應當成為信息主體的權益,但數(shù)字時代信息的歸屬主體與控制主體分離的事實不可否認,信息控制者對個人信息的兩次賦值亦不容忽視(2)第一次賦值是指控制主體對原始數(shù)據的利用,通過信息的流轉處理,發(fā)揮了原始個人信息的經濟價值。第二次賦值是指數(shù)據控制者按照一定目的以新的處理模式對原始數(shù)據進行加工處理的過程,二次賦值得到的為次生數(shù)據,只具有財產屬性。,由此產生的“未經信息主體知情同意而進行的信息處理行為”規(guī)制當引起法律重視。另外,于具體裁判中,法院也對基于信息流動的商業(yè)模式創(chuàng)新和基于公共安全的信息處理行為打開了綠色通道,對個人信息合理使用的規(guī)則進行摸索。個人信息合理使用作為同意豁免規(guī)則在法律中得到認可,這是否意味著個人信息的法律規(guī)制邏輯已然脫離傳統(tǒng)的個人信息控制理論?

實則在規(guī)范層面,中國公私法對信息合理使用的法律表達并不完全一致。《中華人民共和國網絡安全法》(以下簡稱《網絡安全法》)第四十一條雖然確立了同意作為網絡空間內收集使用個人信息唯一合法性基礎的規(guī)則,但第四十二條第一款以但書形式規(guī)定,網絡運營者可處理“經過處理無法識別特定個人且不能復原的”信息?！睹穹ǖ洹坊谛畔⒆杂闪鬓D的需要,于第九百九十九條、第一千零三十六條分別作出“基于特定目的可以合理使用民事主體個人信息”“個人信息合理使用免除民事責任”的規(guī)定?！缎畔踩夹g 個人信息安全規(guī)范》(2020版)第5.6條規(guī)定了11項信息處理的同意豁免情形。《個人信息保護法》吸收了國家標準和《民法典》的相關規(guī)定,其第十三條第一款進一步擴大了處理個人信息的合法基礎,在“主體同意”(第一項)之外,佐以“履約、法定職責或義務需要、人力資源管理、突發(fā)公共衛(wèi)生事件應對、公開信息處理、新聞報道、輿論監(jiān)督”(第二～六項)等合理使用情形,加之第七項的兜底性條款,對信息處理行為予以更為靈活的規(guī)定。表面觀之,《個人信息保護法》已然以信息處理的多元正當性基礎替代了《網絡安全法》所規(guī)定的信息處理的唯一合法性基礎,同時也似有打破《民法典》關于個人信息處理行為的“知情同意+免責事由”規(guī)則架構之嫌。

縱然法律規(guī)定盡可能細致化,但于實踐應用中仍存在諸多難題。一是對條文的解釋不甚統(tǒng)一?！睹穹ǖ洹泛汀秱€人信息保護法》對合理使用的法律性質界定似乎并不一致,由此出現(xiàn)“合理使用究竟系信息處理的免責抗辯事由、基于權利限制的合法事實行為抑或一種公共權益、一項信息權能”的疑問。除此,《個人信息保護法》第十三條中的“直接相關”“重大合法權益”等概念相對模糊,亟待實踐厘清。二是信息合理使用的司法判定要素模糊,其合理性除了法條規(guī)定的“合理目的、方式、范圍”外,是否需要考慮損害結果的影響。三是法律對基于商業(yè)目的的信息使用行為態(tài)度曖昧。基于個人信息的人格權屬性,未經信息主體同意的商業(yè)化利用行為似乎并不能當然地獲得正當性,但問題在于數(shù)字經濟時代,數(shù)據已從簡單的處理對象轉變?yōu)橐环N基礎性資源,數(shù)據處理利用主導權也從政府主導逐漸向企業(yè)主導轉變[5]。因而,厘清個人信息人格權與財產權的雙重屬性,賦予商業(yè)主體對個人信息中財產權益的合理使用權限變得迫切。

以上問題涉及個人信息合理使用的規(guī)范構造,中國學者亦有所研究。江波等[4]認為個人信息合理使用原則作為同意原則的補充,具有正當性基礎,應構建風險控制制度對其予以保護。程嘯[6]認為個人信息合理使用是對信息主體人格權益的限制,比照著作權的合理使用,前者是一種合法事實行為。但同樣是借鑒著作權合理使用制度。盧震豪[7]認為個人信息合理使用是一種免責抗辯事由,其法律適用當滿足“開放情形清單+開放評估清單”雙重清單模型。張豫辰等[8]認為應當從具體行為出發(fā),基于具體場景,構建包含資訊主體、信息類型和使用原則三要素的合理性法律評價體系。張建文[9]對比司法裁判和法律規(guī)范中對信息合理使用行為的不同認定,指出裁判存在擴大解釋之嫌。以上研究從規(guī)范性質、合理性認定要素、認定方法等不同角度對個人信息合理使用規(guī)則作以論述,但對規(guī)則性質的認定不甚統(tǒng)一,對合理使用具體情形的司法適用也止于宏觀把控。本文從數(shù)據社會中信息規(guī)制的法理轉變入手,厘清個人信息合理使用的法律性質;基于中國司法實踐和比較法經驗,總結合理使用的認定要素;以實踐中糾紛頻發(fā)的商業(yè)化合理使用為例,探尋具體情境下合理性判定的司法適用邏輯,促進信息有效流轉、發(fā)揮信息財產價值,同時避免該規(guī)則成為信息控制主體肆意免責或者形式合規(guī)的工具,以期實現(xiàn)個案間信息自主與信息自由之平衡。

二、個人信息合理使用的法律性質

(一)個人信息合理使用規(guī)則在中國法律上的探索

各國司法實踐表明,個人信息日益從防御性權利向主動性權利演進,從強調倫理尊重向鼓勵數(shù)據利用演進[10]。比較法個人信息保護規(guī)定中對個人信息的合理使用制度均有所涉及(3)歐盟《通用數(shù)據保護條例》分別在第6條“處理的合法性”、第9條“特殊類型的個人數(shù)據處理”、第23條“限制”對個人信息合理使用的情形作出規(guī)定,確定了包括個人同意、合同、法定義務、切身利益、公共利益及合法利益等六種處理數(shù)據的法律基礎。日本的《個人信息保護法》第16～18條、第28條則分別對可以事先不取得自然人的同意而獲取、處理自然人的個人信息的情形,不將個人信息利用目的通知給本人或者予以公布的情形以及即便本人請求要求公開個人信息但個人信息處理者也不應公開的情形等問題作出規(guī)定。中國臺灣省《個人資料保護法》第6條對特殊的個人資料的收集、處理和利用的例外情形,第9條對收集個人資料而免于告知的情形,第10條對自然人的查詢、閱覽和復制其個人信息的權利的限制,第16條與第19～20條對公務機關和非公務機關超越個人資料處理目的的收集、處理和利用等情形作出了詳細的規(guī)定。,各立法例對具體范圍的規(guī)定有共通性:其一,維護公共利益(4)歐盟的《通用數(shù)據保護條例》第23條第1款對公共利益予以詳細列舉,具體為:“國家安全;防衛(wèi);公共安全;刑事犯罪的預防、調查、偵查、起訴或者刑事處罰的執(zhí)行,包括對公共安全威脅的防范和預防;歐盟或成員國一般公共利益的其他重要目標,特別是歐盟或成員國的重要經濟或財政利益,包括貨幣、預算和稅收等事項、公共衛(wèi)生和社會保障;司法獨立與司法程序的保護;違反職業(yè)道德規(guī)范的預防、調查、偵查和起訴;監(jiān)督、檢查或相關的監(jiān)管職能等。”;其二,保護民事權益;其三,針對合法公開的個人信息之利用。《民法典》第一千零三十六條規(guī)定的個人信息合理使用范圍框架與比較法的規(guī)定基本一致,屬于原則性說明條款。《個人信息保護法》沿襲《民法典》的相關規(guī)定,保留了對已公開信息的合理使用規(guī)定,且對“維護公共利益和自然人合法權益”作出相對細致的場景規(guī)定,包括“合同的締結履行、勞動雇傭需要、法定職責義務的履行、新聞報道及輿論監(jiān)督”等情形,五項法定事由將信息處理行為框定于特定范圍。但兩部法律對合理使用的法律性質認定似乎并不一致。

1.《民法典》中的免責事由論

《民法典》的立法宗旨在于私權保障,因此從信息主體利益保護出發(fā),其確立了以知情同意為正當化構成事由,以合理使用為免責事由的個人信息處理行為法律框架。

《民法典》從三個層面對個人信息的合理使用進行了規(guī)范,總則編關于民事行為基本原則、免責事由、權益認定的規(guī)定為個人信息處理活動提供原則指引;人格權編在確定了人格權合理使用規(guī)則(第九百九十九條)后,于第一千零三十六條對個人信息合理使用行為予以界定;侵權責任編提供了權益侵害后的賠償救濟規(guī)則。具體而言,《民法典》第九百九十九條規(guī)定了針對公務需要對個人信息未經同意而使用的情形,將基于公共利益的個人信息合理使用行為界定為合法行為。第一千零三十六條未苛求個人信息處理行為的合法性,而在判定行為不法的基礎上將“合理使用”作為免責條款使用。第一千零三十六條第一項可解釋為“信息主體或其法定代理人的知情同意行為阻卻了他人處理個人信息行為的非法性”[11],第二項可解釋為他人合理使用已公開的個人信息不承擔民事責任,第三項可解釋為基于公共利益和信息主體合法利益之保護的個人信息合理處理行為不承擔民事責任。具體規(guī)則領域的合理使用情形僅限于第二～三項;第一項為知情同意規(guī)則的法律效果規(guī)定,但與第一千零三十五條第一項的正向規(guī)定不同,該項的規(guī)范重點在知情同意后的“合理實施處理行為”之上,如在以下情境中:信息主體授權應用程序(App)進行個性化推薦,但App在收集用戶搜索習慣后頻繁向其投放大量不相關廣告的行為,即使事前獲得了信息主體的同意,亦屬不合理行為,應當承擔侵擾信息主體的民事責任,因而第一千零三十六條第一項應當歸于知情同意規(guī)則。除此,《民法典》第一千零二十、一千零二十三條似乎可歸為個人信息合理使用的規(guī)范基礎,自然人肖像、姓名和聲音等屬于個人信息毋庸置疑,但因其客體的特殊性另作其他規(guī)定,本文不予討論。

2.《個人信息保護法》中的同意豁免論

《個人信息保護法》以列舉形式,于第十三條正向確立了“知情同意+同意豁免”的個人信息處理多元合法性基礎。對應《民法典》第一千零三十五條,知情同意原則在《個人信息保護法》中也被定位為個人信息處理的核心規(guī)則;而《個人信息保護法》第十三條第一款第二～六項為知情同意原則之外的其他合法性處理事由,是對《民法典》第九百九十九條和一千零三十六條的選擇性承襲,本文將其統(tǒng)一概括為“個人信息合理使用”規(guī)則。有學者對該條規(guī)定梳理后認為,《個人信息保護法》整合了《民法典》關于個人信息處理行為的零散規(guī)定,同時將“合理使用”變更為“在合理的范圍內處理”,其法律用語之變化意味著《個人信息保護法》對《民法典》“合理使用”概念的不認可[6]。對此本文持不同看法,“合理使用”一詞本身包含了“為某種利益保護所必需”和“在合理的范圍內處理”兩大內涵,《個人信息保護法》在具體情境中作以明確細致的表達,用詞變化只是為了解釋語詞內涵,并非對《民法典》規(guī)則的否定。

基于信息處理目的和信息敏感度兩個標準,《個人信息保護法》中合理使用的情境包括基于主體合法權益維護目的、商業(yè)目的、公益目的(履行法定職責或義務、應對突發(fā)公共衛(wèi)生事件之必要、實施新聞報道或輿論監(jiān)督等行為)和已合法公開信息的處理行為,其本質是知情同意規(guī)則的豁免情形,與后者一并構成中國個人信息處理行為的法定事由。個人信息的合理使用源于對具體情境中某種必要利益的保護,且具體行為需滿足合理范圍的約束,因而《個人信息保護法》中的合理使用規(guī)則可被抽象定義為“基于某種利益保護所生,并在合理范圍內處理信息的同意豁免行為”?！秱€人信息保護法》關于個人信息合理使用的類型劃分如圖1所示。

圖1 《個人信息保護法》關于個人信息合理使用的類型劃分

3.司法裁判對合理使用的認可與限制

中國對個人信息合理使用行為的規(guī)則探討開始于商業(yè)創(chuàng)新,深入于司法實踐。徐某訴芝麻信用管理有限公司隱私權糾紛案(以下簡稱“芝麻信用案”)(5)參見杭州互聯(lián)網法院民事判決書(2018)浙0192民初302號。原告徐某通過支付寶客戶端開通“芝麻信用”服務,同時簽訂《芝麻信用服務協(xié)議》,原告授權被告可以向合法提供其用戶信息的主體采集信息。后原告收到芝麻信用平臺發(fā)出的執(zhí)行案件信息,以侵犯隱私權為由起訴。中,法院認為,被告基于雙方協(xié)議向原告提供“芝麻信用”服務,采集原告系被執(zhí)行人的信息源于已合法公開的個人信息,同時處理行為止于向原告提供相關信息,屬于對個人征信數(shù)據的合理化商業(yè)使用,不構成侵犯個人隱私權。由此司法上確立了“國家機構依法公開的個人征信數(shù)據,可以進行合理化的商業(yè)使用”的裁判標準。

在凌某某與微播視界公司隱私權、個人信息權益網絡侵權責任糾紛案(以下簡稱“抖音案”)中(6)參見北京互聯(lián)網法院(2019)京0491民初6694號民事判決書。原告凌某某在手機通訊錄除本人外沒有其他聯(lián)系人的情況下,使用該手機號碼注冊登錄抖音App后,被推薦大量“可能認識的人”,原告認為抖音App非法獲取其個人信息,侵害其個人信息權益和隱私權,將抖音App的運營者北京微播視界科技有限公司訴至北京互聯(lián)網法院。,法院認為,被告未征得原告同意,從其他注冊用戶的信息庫收集并存儲了原告?zhèn)€人信息,該行為是否可判定為商業(yè)合理化利用應當結合具體應用場景考察:讀取和匹配行為滿足了其他用戶的社交需求且未對原告構成侵擾,無需原告的二次同意,屬于個人信息的合理使用;信息匹配工作完成后,可明確得知信息主體非現(xiàn)有用戶,此時被告應履行及時刪除信息的義務,繼續(xù)存儲行為并非信息的合理使用。由此法院確立了“個人信息的合理使用并不必然排除商業(yè)目的之使用,后一處理行為需控制于必要限度”的裁判規(guī)則。

在黃某訴騰訊科技(深圳)有限公司廣州分公司、騰訊科技(北京)有限公司(以下簡稱“微信讀書案”)(7)參見北京互聯(lián)網法院(2019)京0491民初16142號民事判決書。黃某認為,微信讀書在未經自己有效同意的情況下獲取其微信好友關系,為其自動關注微信好友,并向共同使用微信讀書的微信好友默認開放其讀書信息構成侵權,黃某于2019年將微信讀書軟件、微信軟件的開發(fā)及運營者騰訊公司訴至法院。中,法院認定微信讀書App收集原告微信好友列表、為用戶自動添加關注微信好友、向未關注的微信好友公開用戶讀書信息等行為未取得信息主體的有效同意,且該類數(shù)據遷移活動并不符合一般用戶的合理預期,因而構成侵權。但針對騰訊公司成功開發(fā)及運營微信所積累的用戶關系數(shù)據,法院也認為可以在其關聯(lián)產品中予以合理利用,如該案中涉案App捆綁式授權收集使用原告微信好友列表的行為并不侵權,其旨在利用現(xiàn)有數(shù)據庫開發(fā)或增強產品的社交功能。由此法院確立了“個人信息不排斥商業(yè)化的合理使用,但需遵循正當、必要的原則”的審判規(guī)則。

以上三項判決均論證于《民法總則》生效之后,《個人信息保護法》頒布之前,判決呈現(xiàn)兩個特點。其一,對個人信息的商業(yè)處理行為持開放態(tài)度,未以個人信息保護之名去妨礙企業(yè)的商業(yè)模式創(chuàng)新,只是要求企業(yè)在運用數(shù)據時給予用戶更明確的知情及自主選擇權。其二,法院將個人信息的合理使用認定為合法行為,并根據《網絡安全法》第四十一條的規(guī)定,苛以“合法、正當、必要”的限制。這種裁判思路在《個人信息保護法》生效之后依然得以延續(xù),但商業(yè)上的個人信息合理使用范圍在逐漸收緊。在王某某與騰訊公司個人信息保護糾紛案(以下簡稱“微視案”)(8)王某首次使用微信賬號登錄“微視”App,并勾選授權微視App獲取其微信好友關系。之后王某卸載App恢復手機出廠設置后再次下載“微視”和微信,并重新以微信賬號登錄“微視”,在未告知也未獲得二次明確授權的情況下,“微視”App默認收集王某的微信個人信息和全部微信好友信息。王某起訴要求騰訊公司刪除其在“微視”App中獲取的微信地區(qū)、性別和好友關系。深圳南山區(qū)法院一審駁回訴訟請求;二審法院以騰訊公司二次獲取自然人信息不符合正當、必要原則而判定商業(yè)主體行為違法,但因王某無法證明“損害”而對其損害賠償未予支持。中,法院認定互聯(lián)網平臺收集個人信息的類型應與產品或服務的業(yè)務功能直接關聯(lián),且實現(xiàn)功能的目的與信息收集的范圍成合理比例。但與抖音案不同的是,法院不再承認商業(yè)主體向關聯(lián)方共享個人信息的行為屬于合理使用行為,在此情境下,信息主體的二次同意是必要的,無論關聯(lián)方與信息處理者的關系何如。在共享個人信息時,關聯(lián)方的法律地位與第三方商業(yè)主體無異,否則構成對自然人的侵擾。

前述司法探索雖屬于一般性判例,不具指導性案例和示范性案例的約束引導性,但其間凝結的司法經驗可構成審判的智識性法源,亦對相關法律規(guī)則的解釋有所延展。中國司法實踐未對個人信息以絕對化保護。前述芝麻信用案中對公開信息的商業(yè)使用行為,抖音案中商業(yè)主體在不侵擾信息主體的情境下讀取匹配個人信息的行為,微信讀書案中商業(yè)主體對已掌握數(shù)據在關聯(lián)產品中的合理商用行為等,在司法裁判中均未被認定為侵權行為。相反,司法基于信息產業(yè)發(fā)展的需要,認定某些未經信息主體同意的個人信息使用行為,只要滿足正當、必要的處理原則,且未造成不合理的損害,即為個人信息的合理使用。這與《民法典》將個人信息合理使用行為歸于免責事由的規(guī)定并不一致。隨后頒布的《個人信息保護法》也基于數(shù)據利用的考量,明確列舉了除同意外的六項個人信息處理的法律基礎,基于處理行為的必需性和合理性兩大需求而生。但看似逐步寬松的規(guī)范并沒有在實踐中起到正向引導之效。相反地,微視案裁判相較抖音案而言,加強了信息主體對個人信息的控制權限:二審法院確認了二次同意的必要性,即使信息主體曾在同一場域內許可第三方主體收集相關信息。

《個人信息保護法》吸收了司法經驗,又將《民法典》的零散規(guī)定予以系統(tǒng)梳理,但法律用詞的變更和所產生的實踐效果依然值得追問:數(shù)字虛擬映像背景下的個人信息合理使用行為的法律性質何如,《民法典》和《個人信息保護法》的規(guī)定是否果然不同。這一問題的答案關乎法院是否存有主動適用該規(guī)則的職權,亦對最終的侵權判定有所影響。規(guī)則的性質認定可從個人信息處理行為的規(guī)制法理談起。

(二)數(shù)據共享理路下個人信息合理使用的規(guī)則定位

法學上的合理使用制度源于著作權法,指非著作權人未經權利人許可,在法定情形下免費使用作品的行為[12]75。權利人讓渡部分使用價值以保障公眾對作品的必要接觸,從而促進表達自由,該制度可視為著作權人利益與公共利益的調節(jié)器[13]124。個人信息合理使用制度與之類似,源于對數(shù)字經濟時代信息自主利益與信息流通價值的平衡。個人信息與著作權的性質不同,因而具體可使用情形不可直接類推適用,但由于二者內核都由人身利益和財產利益復合而成,兩種場景中的合理使用皆指向財產利益[5],且存在“對權利人利益之必要限制”的類似制度目的,因而可借鑒已經相對完善的著作權合理使用規(guī)則,同時結合數(shù)字社會的信息規(guī)制法理對中國個人信息合理使用規(guī)則性質進行解釋。

1.規(guī)制理念的應然轉向:從自主分配到有序共享

數(shù)字經濟時代,如何平衡個人自主控制權益與信息的自由流通成為法律必須回答的時代命題。無論是探討數(shù)據權益配置與個人信息構造的權利規(guī)制進路[14],還是借鑒美國和歐盟的立法規(guī)范引入“場景”與“風險管理”理念的行為規(guī)制進路[15],抑或從法經濟學角度回應數(shù)據資源有效配置需求的激勵相容機制,再或基于“卡—梅框架”重構的用以分析數(shù)據法益配置的“規(guī)則菜單”模式[16],皆同意數(shù)據應用與信息保護的表里關系,且在以下幾個方面達成一致。其一,規(guī)則探討一般從個人信息處理中“告知同意”的適用邊界出發(fā),旨在尋找數(shù)據法益在其生產者與處理者間的最優(yōu)配置規(guī)則。其二,各模式都強調法律應重點規(guī)制信息的“不合理使用”行為以實現(xiàn)動態(tài)風險控制。其三,法律規(guī)制要兼顧數(shù)據利用激勵和信息保護激勵,以避免信息資源的浪費,同時減輕企業(yè)的合規(guī)風險。這種基于信息當屬自我控制抑或社會控制的學術反思,體現(xiàn)出大數(shù)據時代信息行為規(guī)制理論的邏輯轉向,即從信息自主支配逐步邁向有序分享階段。

第一,個人信息產生于社會交往,同樣也在社會交往中獲得價值,過分關注個人利益而忽視公共利益及其他主體潛在利益的保護勢必引發(fā)利益失衡。例如,公共空間大規(guī)模監(jiān)控雖然存在侵害個人隱私信息的可能,但作為社會治理的必要手段,需要考慮由個人讓渡出該部分權益。第二,大數(shù)據正外部性日益凸顯,數(shù)據共享已成時代趨勢,有序分享的個人信息治理機制應當隨大數(shù)據技術的進步而逐步完善。個人信息處理的經濟價值與信息安全隱憂交互影響,數(shù)據生態(tài)系統(tǒng)在野蠻生長時期無法避免地存在著數(shù)據濫用、壟斷、歧視等不當行為,但這并不足以支持個人信息由信息主體自主支配的觀點。共享經濟是互聯(lián)網時代的新經濟形態(tài),其本質在于提高閑置資源或過剩產能的使用率[17],個人信息作為有望轉化為實物財產的重要資源,自然期望得到最優(yōu)配置。堅持個人信息完全被個體控制意味著信息分享的路徑被截斷,由此產生大量的資源浪費,甚至可能引發(fā)對數(shù)據處理不當行為的反向激勵。正如學者所言,隱私保護需要群體協(xié)調,個人主義的隱私保護的結果是無隱私[18]。第三,信息的流通性決定了個人信息保護規(guī)則具有國際化性質,類似的行為規(guī)范在一定程度上可降低交易成本,為此中國個人信息行為規(guī)制可借鑒國際普遍規(guī)則。目前,個人信息處理常以對價化交易模式呈現(xiàn),以主體自決(控制)為核心,各國賦予信息主體不同的行權模式。信息主體可設權讓與個人信息法益,可設立債權性許可使用合同,可擁有隨時撤回同意的權利,亦可在擁有選擇退出權的基礎上默示同意信息使用行為,四類行權模式對主體自決范圍的認可逐漸縮小,德國有學者將這種對主體拘束強度的逐漸遞減稱為許可的階梯性[19],同樣也體現(xiàn)出信息從個人控制向有序分享的轉變。

數(shù)據流通構成數(shù)據經濟的內核,數(shù)據共享是指數(shù)據生成或生產出來之后從數(shù)據控制者到數(shù)據使用者之間的流動,根據控制者的不同,可將其分為原始數(shù)據分享(將個人信息中的財產價值授權許可給他人使用以換取相應的服務)和二次數(shù)據分享(如數(shù)據加工、整合機構的分享)。有學者認為其不包括數(shù)據從信息主體處分離(或生成)的過程[20],這是因為目前中國的數(shù)據共享限于公共數(shù)據,且以無償方式進行,典型模式如各地由政府牽頭試點的公共數(shù)據開放創(chuàng)新基地,通過特定方式向智能企業(yè)有條件開放醫(yī)保、司法、交通等領域的特殊公共數(shù)據,為下游企業(yè)開發(fā)產品、創(chuàng)新應用提供無償和精準的數(shù)據供給(9)此模式源自中國信息通信研究院和重慶市大數(shù)據應用發(fā)展管理局聯(lián)合編寫的《數(shù)字規(guī)則藍皮報告(2021年)》一文對目前中國政務數(shù)據和公共數(shù)據的共享模式的說明。。但避險心理無法掩蓋個人信息的資產屬性,也無法阻止其作為原始資料流入交易市場,與其明令禁止,不若引入“數(shù)據合同(尤其是數(shù)據提供合同)”這類特殊契約以限制信息處理者的權限,在做好脫敏、商品化改造并保障信息安全后,對個人信息進行必要化分享。當然,由于數(shù)據存在固有的或經深度標記處理后形成的經濟價值,分享并不必然無償。

2.共享理念下個人信息合理使用的性質重解

大數(shù)據時代由信息主體完全控制個人信息的流通與使用并不現(xiàn)實,法律規(guī)范若僅考慮信息主體的人格權益,設置知情同意為全情境下個人信息處理的必要條件,不僅違背目前市場秩序,且會帶來與保護目的相背的后果。因此,知情同意不是且不應成為個人信息處理的唯一合法性基礎,明確個人信息的雙重權利屬性,基于價值衡量建立多元的合法性基礎才符合大數(shù)據時代的信息流動訴求。《民法典》基于此思路,確立知情同意規(guī)則作為個人信息處理行為的正當基礎后,也通過合理使用制度打開了信息流通的法律閥門?！睹穹ǖ洹吩诖朕o上使用“不承擔民事責任”的表達,似乎將合理使用作為免責事由而非正當化基礎予以規(guī)制。而《個人信息保護法》和基于實踐所作的司法判決均將個人信息的合理使用行為定性為正當化事由。條款的性質解釋可從基礎理念和實踐需求兩個角度出發(fā)。

(1)合理使用是個人信息的一項基本權能。目前,國內學者對信息合理使用的性質探討有免責抗辯說和民事權益限制論兩種不同意見。有學者比照著作權合理使用規(guī)則,從《民法典》的術語表達出發(fā),作出“個人信息合理使用是對侵權責任的免責抗辯”的法教義學解釋,其抗辯對象為《民法典》第一千零三十五條規(guī)定的“未經信息主體同意”“非公開處理”“非明示處理”“非法或違約處理”四種情形[3]。這種說法顯然順延了《民法典》的立法思路,以信息自決權為核心的個人信息權利束必然要求人格權益的高位階保護,合理使用作為知情同意規(guī)則的補充,定性為免責事由也符合邏輯。但“免責事由說”建立在某種隱憂之上,認為個人信息處理的底層邏輯是信息控制理論,在強大的商業(yè)模式及公權力籠罩下,個人信息的人格權益保護是更高階利益,個人信息處理行為的合法性基礎要從信息主體出發(fā)予以探尋。因此,原則上個人信息只能經信息主體有效同意后方可進入信息市場,并按主體的同意范圍予以恰當使用。信息處理主體作為相對方,未經同意使用信息的行為屬于不法,合理使用只能作為免責事由存在,其無法構成正當化事由。與此相對,也有學者基于數(shù)據利用的現(xiàn)實需要,認為個人信息合理使用的理論基礎在于民事權益限制論,合理使用作為對知情同意原則的突破,其合法性并非基于自然人行使個人信息權益的意思表示或者處理者與自然人之間達成的合意而實施的行為,而是法律基于公共利益或其他可期待利益對人格權益(更具體而言是信息自決權)而非財產利益的限制,是一種合法事實行為,其法律效果在于免除責任[2]。但該說亦存有缺陷。其一,未能釋明權益受限的緣由。共享經濟模式下,個人信息的人格和財產權益的價值位階并非必然確定,商業(yè)主體對數(shù)據的第二次賦值所創(chuàng)生的經濟價值與信息主體的人格利益間已然缺少直接關聯(lián),因而不能籠統(tǒng)得出個人信息上的人格權益與財產價值孰高孰低的結論。其二,當信息主體故意阻止合理使用行為時(10)如疫情防控期間信息主體阻止公權力機構對個人身份、行程等隱私信息的必要收集,或拒絕上報個人信息等。,權益受限說不能為合理使用人提供相應救濟?？傮w言之,“免責事由說”和“權益受限說”僅基于信息主體立場考量合理使用的法律屬性,個人信息處理行為涉及多方主體,對信息主體而言,似乎為權益的限制,但對合理使用者來說卻是某種法定自由。

共享經濟下商業(yè)流通或國家(公益)管理中的個人信息之財產價值更多地掌握在信息控制者一方,信息的社會屬性及其上附著的巨大財產價值壓縮了信息主體的自決權限,也促成了信息產業(yè)的發(fā)展,商業(yè)主體及公權力機構某些必要的處理行為要獲得信息主體一般性的事前同意并不現(xiàn)實。首先,比照著作權合理使用的性質,可將個人信息合理使用界定為一項基于公共需要的使用權能,以打破信息主體對信息的制度壟斷格局,發(fā)揮信息的最大功效。此時,合理使用規(guī)則能賦予信息控制者最大化創(chuàng)造價值的制度激勵。其次,有序分享理念要求資源的最大化利用,信息控制者在不侵擾自然人的前提下對信息進行處理是資源的正當化利用。同時,合理使用過程中產生的財產利益并非完全由信息控制者一方享有,信息主體往往以自身安全保障、服務對價交易、社會福利等形式間接享有,也即個人信息財產屬性的發(fā)揮也促進了人格權益的積極拓展。最后,信息產業(yè)通常存在兩個層面的使用行為。其一為一手信息的直接利用行為,通常需要經自然人或法定代理人知情同意后方得使用,是知情同意規(guī)則之適用轄區(qū)。其二為數(shù)據整合后的使用行為,此時的信息普遍已經過脫敏處理,可識別性大大降低,對自然人的侵擾程度減弱,屬于商業(yè)資源的有效使用。因而,將合理使用規(guī)則視為知情同意之外的另一個正當化事由更為妥當。可以說,個人信息的合理使用規(guī)則是信息有序分享理念下恰當?shù)姆杀磉_,是個人信息的一項基本權能,其既包括基于公益目的的使用行為,也不排除為創(chuàng)造更大價值的商業(yè)利用行為。

(2)合理使用權能歸屬于信息處理者。芝麻信用案中,原告訴稱被告采集個人征信數(shù)據未經本人同意且無征信業(yè)務許可證明,被告抗辯其向原告提供信息服務的行為已獲得對方授權,且獲取征信信息的途徑合法,不存在侵犯隱私權行為,案情爭議焦點在于原告是否就已公開的個人征信數(shù)據存在隱私期待、被告是否獲得原告的有效同意。雙方論辯并未提及信息合理使用問題,但法院在裁判中認定“僅向原告本人提供信息的行為屬于個人征信數(shù)據的合理化商業(yè)使用”,可見是法院主動援引合理使用規(guī)則,裁判思路更傾向于將“合理使用”視為信息使用者的一項權益,屬于正當化事由。抖音案與微信讀書案亦存在類似裁判思路。微視案對合理使用的情形進一步限定,但未否定商業(yè)主體的使用利益?？梢?考慮到私人權益保護、數(shù)據自由流通、公共利益保障等多維度需要,司法在個人信息處理行為的合法性認定中,并未局限于個人同意,而將合理限度內的商業(yè)利用行為也納入其中。實則該做法也契合《個人信息保護法》的立法目的。

個人信息使用要在數(shù)據有序共享的邏輯下進行,法律規(guī)范的目的并非維持個人的積極控制權,而是預防侵害個人的不利后果。將信息的合理使用定性為個人信息的一項權能,利于有效推動信息產業(yè)的發(fā)展,彌補嚴苛的知情同意規(guī)則可能引發(fā)的信息使用負外部性后果。故而雖然《民法典》和《個人信息保護法》關于個人信息合理使用規(guī)則的法律表達并不一致,但僅為兩法立法目的不同所致,基于信息處理者立場,與知情同意類似,合理使用屬于個人信息的一項權能,關乎規(guī)則性質兩法皆可作正當化事由之解釋。

3.信息有序分享的實現(xiàn)方式

作為擁有雙重法律屬性的人格權益,個人信息具有固有人格和天然財產兩方價值[21]。雖然本質歸屬人格權益,但不同于德國人格權中“財產利益難以脫離權利主體,不具可轉讓性”的一元保護模式[22],想要解決個人信息財產價值流轉的現(xiàn)實難題,必須接受個人信息財產利益能夠脫離人格權本身,能夠被許可讓予的論斷?；诖?個人信息有序分享的本質是信息的許可使用,數(shù)據分享理念下個人信息應當具備合理使用的權能,具體情境中的使用亦成為數(shù)據共享的實現(xiàn)方式。

個人信息歸屬于信息主體,這是基于人格固有屬性的必然選擇,但這并不意味著基于信息的所有權益都得排他性使用。附著于個人信息的人格權益當然不得作商業(yè)利用,但對于其中的財產利益,自然人得以授權許可的方式將原始信息控制權進行移轉,主要基于法定義務履行、信息主體自身權益的必要保護而產生,如圖2所示。但同時處理者也需要保障個人的獲取、退出、更正、刪除等權能[23]。而對于經加工、整合形成的二次數(shù)據,應當向處理者頒發(fā)數(shù)據許可證或者數(shù)據牌照,以資質許可方式對個人信息的安全憂患予以平衡。二次數(shù)據的合理使用常表現(xiàn)為基于商業(yè)目的和公共利益的處理行為,信息處理者也可不經過授權直接對信息予以處理,同時對信息主體的知情同意權能予以事后保障。

圖2 信息有序分享的實現(xiàn)與合理使用路徑

三、個人信息合理使用的認定要素

個人信息合理使用是在多方利益博弈下的制度選擇,體現(xiàn)為比例原則的私法適用?！爸挥挟斁S護更高的利益更為必要時,個人自由及其私法自治才能受到干預,且此種干預既適于實現(xiàn)預期目標,也是實現(xiàn)該目的最緩和的方式。”[24]這與著作權合理使用制度的規(guī)范目的相一致,因而可借鑒目前國際通用的關于著作權合理使用的判斷標準對前者的規(guī)范要件予以闡述。比較法上,著作權合理使用的判斷一般存在兩套規(guī)則。一指國際條約所規(guī)定的“三步檢驗標準”(three-step test):必須限于某種特殊情況;不得與受保護的作品或者版權持有人的正常利用相抵觸;不得損害作者的合法利益(11)《伯爾尼公約》第9條第2款規(guī)定:本聯(lián)盟成員國法律得允許在某些特殊情況下復制上述作品,只要這種復制不損害作品的正常使用也不致無故侵害作者的合法權益。《與貿易有關的知識產權協(xié)議》第13條規(guī)定:各成員應當將對各種排他權的限制或例外局限于某些特殊情形,而且這些情形與作品的正常利用不相沖突,不會不合理地損害權利持有人的合法利益。《世界知識產權組織版權條約》第10條規(guī)定:(1)締約各方在某些不與作品的正常使用相抵觸也不無理由地損害作者合法利益的特殊情況下,可在其國內立法中對依本條約授予文學和藝術作品作者的權利規(guī)定限制或例外;(2)締約各方在適用《伯爾尼公約》時,應將對該公約所規(guī)定權利的任何限制或例外限于某些不與作品的正常利用相抵觸、也不無理由地損害作者合法利益的特殊情況。。二指《美國版權法》第107條所列舉的考察合理使用的四大要素:使用目的和性質,被使用作品的性質,作品被使用部分的數(shù)量、內容及其與原作整體的關系,使用行為對作品市場價值的影響程度[25]。結合中國司法實踐,個人信息合理使用作為一項權能,其行使應當遵循合理目的、合理方式、未造成不合理侵害三大要素約束。

(一)合理目的

《個人信息保護法》第六條所確立的目的限制原則即是對個人信息合理使用目的的要求。其有三項要點:處理個人信息應當具有明確、合理的目的,應當與處理目的直接相關,采取對個人權益影響最小的方式。

首先,根據是否存在主體同意授權,“明確合理目的”的適用劃分為兩大場域。其一屬于《民法典》第一千零三十六條第一項及《個人信息保護法》第十三條第一項所列情形,信息處理者在使用信息前,應當以符合法律規(guī)定的方式告知信息主體“處理目的”[26]。這與信息主體的知情同意權能直接相關,屬于廣義的合理使用范疇,當遵循知情同意規(guī)則之約束,本文不做過多探討。其二屬于未經個人同意情形下的“明確合理目的”。數(shù)據是數(shù)字經濟時代重要的生產要素,信息是數(shù)據產業(yè)的基礎,因而正如上文提及的微信讀書案中法官的論述,若要求在任何使用情境中都嚴格征得信息主體同意,很可能導致具體場景下利益的失衡,甚至阻礙信息產業(yè)的健康發(fā)展。因此,需要在“存在正當商業(yè)或公共目的、新聞監(jiān)督、維護信息主體合法權益”等具體場景中對“未征得同意”的信息處理行為進行情景考察,提取出具體明確的使用目的,并分析行為的合理性。

第一,基于公共目的的使用行為應當警惕對公共利益的泛化解釋。如公檢法機關在犯罪偵查及司法審判中收集比對個人生物信息、財產數(shù)據的行為,政府機關在公共場所安裝圖像采集、個人身份識別設備以保障社會安全的行為,用人單位或社區(qū)出于疫情防控需要向上報備感染者信息的行為等皆存在明確的目的,屬于合理使用范疇。第二,基于信息主體合法權益維護的處理行為需在合同利益維護或緊急情狀下開展。當事人為訂約、履約之需要而處理個人信息的,應當受合同目的的約束;勞動雇傭場景中處理個人信息的,應當受勞動規(guī)章制度和集體合同的約束。在處理非敏感信息時不必征得雇員同意,但在一定規(guī)模企業(yè)中可通過民主程序設置隱私政策并公示以確保對雇員知情權的保障[27],避免資本力量下合理使用規(guī)則的泛化對告知同意規(guī)則的排斥。第三,已合法公開信息的處理行為應防止惡意獲取信息進行盈利的活動。信息處理者對公開信息整合脫敏構建數(shù)據庫的行為屬于對社會資源的利用,這一處理行為雖然超越了信息初始使用的目的,但并未損害他人合法權益,公開信息的處理活動真正需要警惕的是惡意使用行為。

其次,“與處理目的直接相關”意味著處理者的個人信息使用行為應當限定于處理目的之內,或至少與核心目的存在極大關聯(lián)。此規(guī)則用于限制信息的過度收集等行為,如超越用戶協(xié)議的使用、超出產品基本功能性目的之使用等。抖音案中,被告讀取用戶通訊錄的行為并不超出其社交功能目的,在不侵擾用戶的情形下屬于正當商業(yè)使用行為,但整合匹配后能發(fā)現(xiàn)原告不存在基于涉案軟件的社交需求,此時應當及時刪除存儲信息,繼續(xù)存儲甚至使用都因超過必要限度而被認定為侵權。《個人信息保護法》第五十八條對“守門人條款”的完善也是基于數(shù)據處理當符合必要目的之考慮。除此,倘若實踐中某些信息處理行為的缺位會直接導致處理目的無法實現(xiàn),包括整體無法實現(xiàn)和核心目的無法實現(xiàn),則該類個人信息處理行為屬于合理使用范疇。

最后,“采取對個人權益影響最小的方式”可解釋為比例原則中的“最小損害原則”。這也是數(shù)據分級處理的必然要求,強調基于后果對信息處理行為予以合法判定。由于不同個人信息與信息主體的關聯(lián)度不同,信息使用造成的損害后果亦有所區(qū)別,故信息處理者應當針對不同類型信息建立差別化技術處理原則。針對符合社會一般合理認知下共識的私密信息,如自然人隱私類數(shù)據、未成年人的信息、企業(yè)清算破產等重大負面信用信息,要強化防御保護,除非已公開、已去標識化處理或獲得主體有效同意,否則不得處理;面對非敏感信息,允許信息處理者通過事后救濟方式進行糾正,如賦予信息主體選擇退出權。面對附有積極利用期待的個人信息,如已脫敏、已公開信息等,其整合應用等行為是否合理需結合處理場景、方式、后果等進行一般合理認知的評估。另外要強調的是,根據實證分析,“財務數(shù)據不在多數(shù)國家和地區(qū)的敏感數(shù)據之列,但現(xiàn)實中被侵犯的風險最高;健康數(shù)據在理論上被普遍視為敏感數(shù)據,但在現(xiàn)實中被盜取、泄露的概率卻較低”[28]。這種理論與現(xiàn)實之間的悖論證實了除了在場景中討論個人信息的層級,對信息不當處理后果的考量是必要的。

(二)合理方式

根據是否存在約定,合理使用方式分為三大類型。一是基于用戶協(xié)議的約定方式,一般情形下個人數(shù)據的處理需要經過信息主體的告知同意,此時使用者當明確處理方式,不得從事超出協(xié)議范圍的行為。二是基于法律規(guī)定的處理方式,如目前中國對于個人征信信息的收集和處理,需滿足依法持牌要求。但現(xiàn)實中中國個人征信市場僅有中國人民銀行征信中心、百行征信有限公司及樸道征信有限公司三個合法經營主體,市場需求呼吁著保護個人隱私的同時,盡量破除信息壁壘和信息孤島,故而合法經營主體的構建亦是時代所需。三是基于行業(yè)慣習的處理行為。實踐指引規(guī)則是個人信息保護規(guī)范構建時必須承認的事實,在缺少法律規(guī)制的領域內,信息處理行為需遵守行業(yè)慣習或類似規(guī)則的約束。如大數(shù)據產業(yè)的信息使用行為判定可參考著作權等相關規(guī)定。再如楊某訴某網絡有限公司人格權糾紛案(12)杭州互聯(lián)網法院.民法典時代將至,全國首份網絡人格權司法審理報告在杭發(fā)布[EB/OL].(2020-05-22)[2022-10-11].https://mp.weixin.qq.com/s?__biz=MzA3MjQxNzQ2Mw==&mid=26495382-62&idx=1&sn=2503bfc9191f33897b44ae03b5891864&chksm=870-6b70eb0713e18201c39d7721eda1eae57207b23b30498288a3b67ca4cb4cb-990e1884c136&scene=4#wechat_redirect.中,原告作為郵箱用戶在半年內收到多封不可退訂的電子郵件,故以生活安寧受到侵擾為由提起訴訟,被告辯稱案涉郵箱系免費提供,用戶以接受廣告發(fā)布為對價,郵箱提供者通過廣告獲得盈利是業(yè)界普遍經營模式,能達到雙贏之效,何況郵箱的服務條款明確約定了商業(yè)性廣告的存在。此案最終和解撤訴,但雙方對陣中明顯可見商業(yè)慣習對行為的約束效果。

(三)未造成不合理的權益侵害

《個人信息保護法》考慮到信息侵權領域信息主體面臨的舉證困境,于第六十九條確立了推定過錯的損害賠償責任,但這并不意味著無過錯的信息處理行為即屬于信息的合理使用。判定處理行為的合理性,除卻合理目的和合理方式外,未造成不合理的權益侵害亦是要素之一。以新冠病毒感染疫情防控為例,緊急狀態(tài)下對私人利益的保護要讓位于公共健康保障,大數(shù)據有效助力疫情防控,但不必要信息的收集、敏感信息的泄露也引發(fā)系列諸如疫區(qū)歧視、網絡暴力的形成、個人數(shù)據不符合常規(guī)要求(行程碼帶星號)導致行動受限等損害的發(fā)生。行政執(zhí)法過程中公共衛(wèi)生利益的泛化解釋使得個人走向透明化和客體化。為此需強化信息保護機制,根據信息的私隱程度,予以不同程度的脫敏匿名化處理,以確保數(shù)據安全。而在商業(yè)化的信息處理中,常存在網絡經營者對海量互聯(lián)網信息進行搜索、存儲、歸目等技術處理以構建自己數(shù)據庫的情形。如果行為人遵循合理目的及方式對信息加以處理,則不應對其苛以實質性的事先審查義務,一旦信息主體行使通知刪除權限,經營者則需盡到合理審查義務并采取必要的審查刪除、加強防護等措施,否則即構成對信息主體的權益侵害,經營者的繼續(xù)存儲行為也就被排除于合理使用之外(13)參見北京互聯(lián)網法院(2019)京0491民初10989號民事判決書。。

抖音案中法院以“未對信息主體造成不合理損害”作為標準之一來界定處理行為的合理性是這一要件在實踐中的經典運用。但需要說明的是,此案中裁判冠以“不合理損害”之名,雖裁判結果合理,然說理混淆了“權益受侵害”和“損害”兩個概念,增加了裁判難度?，F(xiàn)實中單純的信息收集行為本身很難證明有何損害后果,但經用戶通知后拒不刪除的行為確然是對權益的侵害,不能認定為合理使用。這一情形頻發(fā)于公開信息的處理行為中,公開的個人信息已脫離私人領域進入社會信息池,不管信息主體承認與否,公開的個人信息對自然人的某方面人格刻畫已然完成,該情形下對信息的非惡意處理通常不會產生侵擾效果。但倘若該自然人明確拒絕外界對該類信息的處理,其拒絕行為屬于意思撤回,應當予以保護。除此,即使信息主體并未拒絕公開信息的后續(xù)處理,處理行為也以不侵害主體權益為前提,同時對個人權益有重大影響的信息處理行為依然需要獲得個人同意,以防信息主體的不當公開行為所引發(fā)的后續(xù)損害,具體可體現(xiàn)為數(shù)據歧視、數(shù)據錯誤使用的不法性認定等。

“未造成不合理的權益侵害”這一要件,與著作權合理使用判定中三步檢驗法下“不得損害作者的合法利益”要件和四要素中“潛在市場損害的排除”要件一致,也符合《民法典》第一百三十二條所列權利禁止濫用的規(guī)范要求,同時還避免了個人信息損害因具有無形性、潛伏性、未知性、難以評估等特征所導致的損害認定障礙[29],應當成為個人信息合理使用的第三個規(guī)范要件。

綜上,個人信息合理使用規(guī)則可解釋為,信息處理行為應在規(guī)范目的框架內,行為的實施未超過為實現(xiàn)該目的所采取的最緩和方式,一般表現(xiàn)為基于合理商業(yè)目的行為、公共利益考量、新聞監(jiān)督需要、個人合法權益維護、已公開信息的使用等情形。對“合理性”的司法判定應基于法律法規(guī)要求、行業(yè)實踐必要、與信息主體的約定之上,同時應綜合考慮具體情境中的處理行為是否對私主體權益造成或可能造成侵害,以及處理行為是否超過私主體的合理預見范圍。

四、個人信息合理使用的具體情境判斷——以商業(yè)化處理為例

合理目的、合理方式、未侵害信息主體權益共同構成信息合理使用規(guī)則的認定要素,確定了使用行為的內在正當性,但拋卻具體情境談“合理”的做法畢竟過于抽象,實踐尚需基于具體情境的合理性判定規(guī)則。鑒于目前商業(yè)用途的信息處理是理論爭議繁多且實踐糾紛頻發(fā)的場景,本文選取該情境對合理性判斷規(guī)則予以說明?；谏虡I(yè)目的的合理使用行為面臨行為正當性責問、行為限制和行為合理性認定三大難題。

(一)基于商業(yè)用途的合理使用行為之正當性證成

合理使用的本旨是基于公共利益之維護而對權利人權利行使的限制[10]。然隨著中國數(shù)字化轉型進程的深入,個人信息的合理使用從公共目的的桎梏中掙脫,逐漸向商業(yè)用途擴張?；诤笠荒康牡男畔⑹褂眯袨橛兄洕б婧椭贫妊葑儍蓚€層面的正當性基礎。

第一,商業(yè)主體因對信息的財產權益有價值加成而當合理使用個人信息。數(shù)據的加工和集合可將低價值密度的信息轉化為高商業(yè)價值的產品,數(shù)據生產源的各主體對最終數(shù)字產品均有相當?shù)呢暙I比,原本的個人信息在使用中被賦予新的價值與功能,從而激發(fā)出司法從效益角度對信息合理使用行為的驗證。如微信讀書案,法院對于被告在不違反法律法規(guī)、不侵害用戶合法權益下,在關聯(lián)產品中合理利用開發(fā)已積累的用戶數(shù)據之行為表示認可。法律規(guī)制不應囿于某一主體的權益保護而徹底否認已存在并且有巨大發(fā)展?jié)摿Φ慕洕Ｊ?中國司法實踐已有所嘗試,但稍顯遺憾的是,此種商業(yè)化利用的擴張趨勢似乎在最近的判決中有所收斂(14)如上文提及的微視案中,一審法院對商業(yè)化的合理使用持肯定態(tài)度,但二審法院推翻此種論述,要求商業(yè)主體在第二次獲取自然人信息時依然要征得當事人同意,即便獲取信息范圍與第一次無異。,實則數(shù)據分析和信息交換是數(shù)字商業(yè)發(fā)展的基礎,過于嚴格的同意規(guī)則只能導致具體場景中的利益失衡,不利于提高數(shù)字產業(yè)的經濟效益和創(chuàng)新水準。

第二,商業(yè)主體的信息合理使用行為有著制度空間。對商業(yè)主體的使用行為予以規(guī)制的目的在于防止信息濫用對自然人的人格侵損。因存在隱私泄露隱患,商業(yè)主體在提供服務過程中積累的個人信息是否可以另作他用,法律并無明確規(guī)定,但《民法典》第一千零三十六條調整的私法主體并未排除“營利法人”或“商事主體”,且第二項中處理行為之目的也未排除基于“商業(yè)目的”的使用?！秱€人信息保護法》第二十四條第二款“通過自動化決策方式向個人進行信息推送、商業(yè)營銷”的規(guī)定,亦可推導出立法對合法商業(yè)使用行為的包容。但“同時提供拒絕方式”的法律表達也意味著,基于商業(yè)目的的合理使用范圍在司法實踐中應當作限縮解釋,在不排斥積極利用的情況下,商業(yè)使用需要提供便捷的拒絕渠道,以消除可能對信息主體帶來的權益損害,這也是“合理方式”這一要件的具體體現(xiàn)。事實上,法律規(guī)范的曖昧態(tài)度在司法探索中已有明朗趨勢,“正當商業(yè)目的”的信息處理行為見于微信讀書案法院的論述。對于互聯(lián)網平臺通過長期運營積累的數(shù)據資源,平臺自然是可以在一定的限度內進行商業(yè)利用,而且即使是跨平臺的數(shù)據使用,也不應被當然禁止?？畿浖臄?shù)據使用應當根據具體場景,綜合考慮軟件之間的關系、數(shù)據使用的特點、數(shù)據的處理方式、獲得用戶知情同意的方式等進行綜合評判。抖音案中,被告作為營利法人商業(yè)主體,其所運營抖音平臺是以營利為目的的互聯(lián)網平臺,因此被告使用個人信息為“商業(yè)目的之使用”,法院考察具體場景,認為讀取匹配通訊錄行為本身具有正當目的且未造成不合理侵害,同時不屬于私隱信息的利用,屬于合理使用。但匹配之后處理者應當發(fā)現(xiàn)所收集信息系信息主體未主動公開之列,繼續(xù)處理(如儲存、精準推送等行為)已超過合理商用的必要限度,不再屬于合理使用行為。由此可見,個人信息合理使用規(guī)則在商業(yè)目的方面的擴張已成事實。

(二)個人信息商業(yè)化合理使用的限制

雖然實踐對利用個人信息擴大商業(yè)利益的行為持包容態(tài)度,但限于個人信息“人格屬性”的法理桎梏,法律規(guī)制對其使用目的從公益追求到商業(yè)化利益追逐的擴張雖有必要但須進行嚴格限制。具體表現(xiàn)為商業(yè)化合理使用的個人信息原則上應當具備低敏感度,商家需要承擔披露管理義務兩個方面。

1.個人信息的低敏屬性

考慮到個人信息人格依附特征,需要嚴格限制未經加工脫敏的個人信息進入數(shù)據市場,同時開放對二次數(shù)據的商業(yè)處理市場。根據目前中國數(shù)據市場的交易模式,基于商業(yè)目的的合理使用行為可分為三類,對應的個人信息自身須具備或經過處理后具備低敏感屬性。其一,基于最小損害原則對原始數(shù)據的收集使用。個體為獲取便捷網絡服務而對個人信息自主披露,若商業(yè)主體的處理行為超過自然人的許可范圍,此時的個人信息被賦予對價屬性,信息主體通過交付自身數(shù)據作為接受服務的對待給付[30]。此時處理行為需要被限制在實現(xiàn)“基本功能服務”通?！氨匾男畔⒎秶眱?且收集到的個人信息應當不屬于個人私密信息。如搜索引擎爬蟲爬取數(shù)據、互聯(lián)網企業(yè)收集用戶信息以優(yōu)化服務等是行業(yè)慣例,該類行為并不當然觸及信息主體的人格利益,因而法律應予以包容。其二,企業(yè)對原始數(shù)據分類整合,針對具體應用場景就單一類型數(shù)據進行深度價值提升。如數(shù)據堂采集客戶的語音數(shù)據,并進行加工標注形成語音數(shù)據源或數(shù)據庫。被加工后的數(shù)據不再具備隱私屬性。其三,引入外部數(shù)據支撐企業(yè)主體業(yè)務的使用行為。如科大訊飛購買數(shù)據堂的數(shù)據資源借以提升自身產品質量等。三類處理行為對信息主體的人格權益影響度逐次降低,第一類行為需要雙方在數(shù)據處理合同中明確標注目的、方式、應用場景,處理者應在最小損害原則下合理使用此類信息,同時提供易于操作的退出選項。其他兩類行為因無隱私侵擾隱患而豁免個人同意,且因數(shù)據背后巨大的價值鏈條而當賦予處理者充足的商業(yè)實踐空間。

2.商家多層次的披露和管理義務

針對不同類型的處理行為,商家有著不同程度的披露和安全管理義務。

第一,對原始數(shù)據的處理。商家應當披露其處理的信息范圍、時間和手段等,并以顯著標識方式告知以信息讓渡為對價來換取服務的信息主體。但當原始數(shù)據具備低敏屬性(如屬于匿名信息)時,商家以“默示同意”方式取得授權,無需承擔更進一步的“征得直接同意”義務。如在朱某訴百度公司隱私權糾紛案中(15)原告朱某使用被告瀏覽器搜索“減肥”等關鍵詞,被告使用Cookie技術留存原告搜索的關鍵詞后,向原告精準推送“減肥”相關廣告信息。原告以被告侵犯其隱私權為由,向一審法院請求被告停止侵權,承擔精神損害賠償、取證公證費用等。一審法院判決被告停止侵權,支付公證費用,但未支持精神損害賠償請求,參見南京市鼓樓區(qū)人民法院(2013)鼓民初字第3031號民事判決書。后被告上訴至二審法院,請求撤銷一審判決,駁回原告一審請求。二審支持了上訴人請求,認為其不構成侵權,參見南京市中級人民法院(2014)寧民終字第5028號民事判決書。,一審法院認為保障用戶知情權和選擇權,商家需要承擔嚴格的說明提醒義務,被告默示同意的實踐操作并未履行規(guī)范的告知義務。二審推翻這一結論,認為被告沒有且無必要將搜索記錄和原告身份聯(lián)系起來,未對原告權益造成侵害,因而認可了商家處理行為的合法性。由于這一層級的信息隱私屬性最強,商家應當承擔極嚴格的數(shù)據安全保障義務,根據信息類型制定不同的管理和技術防護措施,并向公眾披露其信息安保框架。

第二,對原始數(shù)據的分類整合行為。整合行為會將信息的人格屬性剝離出去,從而形成可流通的蘊含極大商業(yè)價值的數(shù)據。該種處理行為建立在第一類行為之上,促進了信息產業(yè)發(fā)展的同時也帶來了極大的規(guī)范隱患,商家若不履行嚴格披露義務,容易導致意想不到的嚴重后果,如房產中介人員非法交易業(yè)主房源信息牟利最終導致租客被騙(16)參見最高人民檢察院第三十四批指導性案例第140號,柯某侵犯公民個人信息案。,犯罪分子利用軟件推送的信息對多名兒童實施猥褻等行為時有發(fā)生(17)參見最高人民檢察院第三十五批指導性案例第141號,北京某公司侵犯兒童個人信息權益行政公益訴訟案。該案中,某App根據算法向特定用戶推送有關兒童內容視頻,且對后者提供了兒童賬號聯(lián)系、獲取他人地理位置和面部特征等隱私信息的途徑,徐某收到該App后臺推送后,通過私信功能聯(lián)系多名兒童,并對其中3名兒童實施猥褻行為。。此類行為中,商家的義務側重于信息脫敏和安全儲存。其應當在用戶協(xié)議中注明所收集數(shù)據的后續(xù)基本處理流程,承諾其對信息的脫敏義務,并標注明確的退出途徑。另外需要及時刪改可疑數(shù)據,并對采集的數(shù)據進行技術加密。

第三,商業(yè)主體間的信息共享行為。商家應當在共享協(xié)議中對信息處理范圍、用途等作出詳細約定,且將相關內容通過用戶協(xié)議披露給信息主體,同時提供便捷的退出渠道。實踐中第三方通過OpenAPI獲取用戶信息時應遵守“用戶授權+平臺授權+用戶授權”規(guī)則(18)參見騰訊訴微視等不正當競爭案,天津市濱海新區(qū)人民法院(2019)津0116民初2091號民事裁定書。,信息處理過程中信息供給商應當向用戶披露信息流通模式,第三方需要向公眾披露信息源,以便保護并平衡用戶的隱私需求、信息獲取方的財產投入和信息使用者的自由競爭等三方利益。如在漢濤公司訴百度等不正當競爭糾紛案(19)參見上海知識產權法院(2016)滬73民終242號民事判決書。中,百度公司利用“垂直搜索”技術收集整理了大眾點評網上商戶評論信息,雖豐富了消費者選擇,但大量使用信息且未標注數(shù)據源的行為引流了大眾點評網的客戶,對原告商業(yè)利益造成了損害,屬于不正當使用整合數(shù)據的行為。

(三)商業(yè)化使用中“合理性”的認定步驟

目前實踐中存在行為性質和信息屬性兩大評判標準,在具體處理場景中法官通常將二者相結合,在認定被使用對象為個人信息后,考慮行為是否超出必要目的和限度、是否對信息主體造成權益侵害,從而實現(xiàn)信息的差別化保護。這兩大評判標準值得借鑒,但認定步驟應當予以調整。一則大數(shù)據時代幾乎所有信息皆可經過技術解密達到識別到個人的可能,法律保護應當更強調處理者的行為而非信息本身;二則信息敏感度與處理行為的限度有關,而與行為性質本身無關。因而,商業(yè)化使用場景下的合理性應以行為性質為主,信息屬性為輔。

第一,從具體行為性質出發(fā),考慮使用行為對信息潛在市場或價值的影響,同時避免對信息主體權益的侵害。如淘寶訴安徽某信息科技公司不正當競爭糾紛案(20)原告開發(fā)運營一款名為“生意參謀”的電子商務數(shù)據產品,該產品主要為淘寶、天貓店鋪運營提供數(shù)據化參考服務,幫助經營者提高經營水平。被告開發(fā)運營“某互助平臺”軟件和“某生意參謀眾籌”網站,吸引已訂購“生意參謀”產品的淘寶公司用戶下載“某互助平臺”軟件,通過該軟件分享、共用子賬戶,以此獲得傭金。被告通過提供遠程登錄服務的方式,招攬、組織、幫助他人獲取“生意參謀”數(shù)據產品中的數(shù)據內容,并從中獲益。中,法院基于對信息潛在商業(yè)價值的考量,對原告的信息整合加工行為予以肯定。法院認為,網絡服務提供者對其合法控制的大數(shù)據經分析脫敏后形成的具有商業(yè)價值的數(shù)據產品,享有競爭性的財產權益。這一判決劃定了商業(yè)主體合理使用個人信息的范圍:除卻經信息主體有效同意外,還可將其合理控制的數(shù)據予以脫敏處理構建自己的信息產品,這與著作權中法院評判是否構成合理使用時會重點關注受版權保護資料的使用是否有“轉化性”,即對原作品的使用是否賦予新的含義或表現(xiàn)方式的裁判思路一致,體現(xiàn)出司法面對數(shù)字經濟新業(yè)態(tài)的包容態(tài)度。

第二,以信息固有性質為補充,如個人信息本身的敏感度、是否公開、是否被加工整合予以脫敏處理等都影響著信息可使用的程度。個人信息隱私屬性越強,商業(yè)處理的合理性范圍越窄。對個人隱私數(shù)據,如網絡社交關系、常住地址等,在用戶脫離產品使用情境時,商業(yè)主體應停止其收集處理行為,除非后者能證明自身行為符合最小必要原則。對通過官方途徑或自然人自主公開的數(shù)據,信息主體對商業(yè)化處理行為存在一定的容忍義務。如在啟信寶抓取中國裁判文書網和人民法院公告網上文書判決、裁定書案中,法院對公開的個人信息使用行為規(guī)則予以說明(21)參見蘇州市中級人民法院(2019)蘇05民終4745號民事判決書?！皢⑿艑殹惫緦⒅袊门形臅W發(fā)布的三條判決、裁定書和人民法院公告網上公開發(fā)布的送達判決的公告文書轉載到了啟信寶網站,任何人均可在該網站上搜索、查詢到上述文書,本案原告系上述文書的案件當事人。本案的爭議焦點之一是啟信寶網站轉載中國裁判文書網及人民法院公告網上發(fā)布的涉案文書是否侵犯原告的個人信息權益。。法院認為,啟信寶網站基于公開的渠道收集信息后在其合法經營范圍內向客戶提供,屬于對已合法公開信息的合理使用,原告對此負有容忍義務。但在原告通知被告刪除之后,被告拒絕刪除的行為則構成非法使用。由此可見,對已公開的個人信息允許商業(yè)化利用,同樣也需要賦予信息主體通知刪除權限,以平衡商業(yè)主體的信息價值挖掘與自然人的隱私期待。再如原始數(shù)據經整合加工后得到的二次數(shù)據,其人格特征已然淡去,夾裹于其間的經濟價值得以擴展,此類信息的使用規(guī)則相較隱私信息應當更為開放。個案判斷中,司法機關可基于信息處理的具體情境,針對不同敏感值信息,設置不同區(qū)間的商業(yè)化合理使用的范圍,以此來實現(xiàn)信息的階梯式保護及利用。

五、結語

數(shù)字信息化時代賦予個人信息更大的商業(yè)價值,留存在網絡的個人信息帶來生活便利的同時,也使信息主體不得不面對個人信息被非法處理的風險?！睹穹ǖ洹废嚓P條文回應了時代需求,對個人信息和數(shù)據予以分別規(guī)定?！秱€人信息保護法》基于個人權益保護和有效利用的多元價值考量,提供了更加積極的信息處理路徑,但對商業(yè)目的的信息使用限制頗多。事實上,個人信息有著雙重法律屬性,其財產權益的發(fā)揮依賴數(shù)據價值的生產挖掘,因而在信息主體免受權益侵害,即保障人格權益的基礎前提下,個人信息的財產利益可歸屬于不同主體,進而讓個人信息有限制地流動起來,以創(chuàng)造更大的社會效用,此過程中信息處理者的系列行為可被歸于個人信息的合理使用范疇。

信息的流動本質和社會屬性要求信息處理行為的規(guī)制法理從個人控制論向有序分享論轉變,個人信息合理使用規(guī)則作為知情同意規(guī)則的補充,也成為信息處理的另一大合法基礎。通過考察目前中國立法、司法、國家標準對個人信息合理使用的規(guī)范表達,可以發(fā)現(xiàn)實踐中存在對合理使用的泛化傾向,為此需要探索信息合理使用的法律構造,從合理目的、合理方式和未受不合理侵害三大要件對此予以嚴格解釋。以使用目的為標準,中國個人信息合理使用規(guī)則包含基于商業(yè)目的、公共目的、信息主體權益保護目的的三類處理行為,已公開信息由于法定或自然人同意等因素具有更強的社會屬性,能最大化利用數(shù)據價值,從而對已公開信息的處理亦應屬合理使用范疇。司法需在四大具體情境中考慮行為本身和信息屬性是否符合規(guī)范要件要求。個人信息合理使用規(guī)則是信息各方利益博弈的法律結果,在具體情境認定中,首先考慮行為性質,信息處理行為應當受合法、正當、必要和誠信原則的約束,具體表現(xiàn)為主體的特定性,目的的明確、具體、合法性,方法和程序的必要性。其次要根據信息本身的屬性判定信息的可使用程度,當然在緊急情況處理個人信息后,應當在事后采取措施保障信息主體的知情權,并提供便捷的退出途徑。

法律既要對信息商業(yè)創(chuàng)新持包容審慎之態(tài),亦需對個人隱私期待堅持嚴格底線,從而維護數(shù)據產業(yè)利益和個人信息權益的動態(tài)平衡。因此,還需要進一步關注的問題是,如何避免各類主體在合理使用完成后的場景外信息處理行為,為此國家機關和商業(yè)主體的信息處理程序設置、信息主體的防御權限探究皆是需要探討的問題。信息處理是時代命題,司法應緊隨市場,在變換運作中一步步窺探規(guī)則邊界,任重道遠。