告知同意原则是指信息业者在收集个人信息之时,加强人格权保护

2019年12月10日 ( 正文字号: 小 中 大 ) 文章标签:隐私权 公民基本权利 个人信息 知情同意原则 [ 导语 ] 针对个人信息保护,我国通过多部法律明确任何组织和个人应当依法收集个人信息,而是否依法,《网络安全法》第41条第1款划定的基本边界为是否遵循告知同意原则。但在实践中,信息业者却以告知同意原则作为收集个人信息的“万能法则”,忽略了来自宪法权利、民事权利和其他信息收集原则的限制。对此,中国人民大学法学院张新宝教授在《个人信息收集:告知同意原则适用的限制》一文中提出,利用手机App等互联网应用收集用户个人信息时,告知同意原则要受通信自由与通信秘密的宪法权利、隐私权、目的原则与必要原则的限制;在实践层面,对告知同意原则的合理限制,不应仅仅满足于对隐私政策的评估,更需要进行价值层面的衡量并做出执法和司法上的正确判断;同时,还可以从技术路径及信息主体的自主控制出发,加强对个人私密信息的保护。 一、问题的提出

2019年12月25日 ( 正文字号: 小 中 大 ) 文章标签:人格权 个人信息 个人信息权 [ 导语 ] 人格权单独成编是我国民法典的最大亮点,具有中国特色,其中关于个人信息保护的规定亦成为学界与实务界讨论的热点。2019年12月15日下午,第二届明理·清律司法实务论坛“个人信息司法保护的现状与趋势研讨会”在清华大学法学院法律图书馆大楼模拟法庭成功举行,会议围绕“个人信息保护的立法现状与价值选择”“个人信息的概念、性质与界分”“个人信息收集与处理的基本原则与行为规范”“司法实践对侵害个人信息的认定”这四个议题,对个人信息立法与司法中的一些关键问题进行了全面而细致的讨论。

必威 1

人类进入信息社会之后,如何在利用信息和保护自然人个人信息权益之间取得平衡的问题,在世界范围内引发个人信息保护立法热潮。及至我国,《全国人大关于加强网络信息保护的决定》《网络安全法》《民法总则》等均明确个人信息受法律保护,任何组织和个人需要获取他人个人信息的,应当依法取得,不得非法方式获取个人信息,不得非法出售或者非法向他人提供个人信息。对于“依法”与“非法”的判定,《网络安全法》第41条第1款划定了基本的边界,“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意”,也即我国个人信息收集、使用应遵循告知同意原则。

2019年12月15日下午,由清华大学法学院主办,北京清律律师事务所承办,清华大学法学院个人信息保护与数据权利研究中心协办的第二届明理·清律司法实务论坛“个人信息司法保护的现状与趋势研讨会”在清华大学法学院法律图书馆大楼模拟法庭成功举行。

在党的十九大报告中,习近平同志指出:“保护人民人身权、财产权、人格权。”实现这样的目标,需要在制度设计上作出回应。人格权制度的建立与发展,是现代民法尤为重要的一个发展趋势。从世界范围看,许多国家都加强了对人格权的保护。我国自1986年颁布民法通则以来,立法和司法实践也在强化对人格权的保护。在一些法律规定中,人格权保护的理念得以体现。为了解决司法实践中遇到的问题,最高人民法院颁行大量司法解释,为法院审理人格权纠纷提供裁判依据。今年通过的民法总则,广泛确认了公民享有的各项人格权。

告知同意原则是指信息业者在收集个人信息之时,应当对信息主体就有关个人信息被收集、处理和利用的情况进行充分告知,并征得信息主体明确同意的原则。具体而言,告知即信息业者合理有效地使当事人了解其个人信息将会被如何收集和处理,该制度旨在实现信息业者收集和处理个人信息过程的透明化,以有利于当事人同意权之行使。告知同意原则源于人的信息自决权,同意乃信息主体个人意思自治的体现,能自主地对个人信息进行处分,恰如洛克在其《政府论》中所提及:“一切自然人都是自由的,除了他自己的同意以外,无论什么事情都不能使他受制于任何世俗权力。”

来自中国人民大学、北京大学、清华大学、中央财经大学、中国政法大学的专家学者,来自全国人大常委会法制工作委员会民法室的领导,来自中国法学会、北京市委网信办、中国消费者协会、北京市第一中级人民法院、北京市第四中级人民法院、杭州互联网法院、北京市怀柔区人民法院、北京市西城区人民法院、北京市昌平区人民法院、北京市海淀区人民检察院的嘉宾,以及来自北京清律律师事务所、腾讯集团、字节跳动公司、美团点评、南都个人信息保护研究中心、阿里巴巴、联想、宁波银行、北京安理律师事务所、美国翰宇公司、华为公司等企业的企业代表,来自新华社、光明日报、法制日报、民主与法制时报的媒体代表共180余人参加了本次会议。

在民法中设置人格权制度体系的目的,在于保护个人的人格尊严。虽然各项民事权利都体现了尊重人格尊严的价值理念,但人格权制度更为直接地彰显出对人格尊严的保护。例如,名誉权、肖像权、隐私权等属于个人内在或外在特性,是个人人格尊严的构成要素,理应不受侵犯。

实际上,告知同意原则为全球范围内的个人信息保护立法普遍适用。20世纪70年代,国际社会关于个人信息保护的基本原则和理念初步形成。1970年欧洲的第一部个人信息保护立法《德国黑森州信息法》便将告知同意原则作为个人信息收集原则予以确定。1973年,美国政府成立的“关于个人数据自动系统的建议小组”发布“公平信息实践准则”报告,五项准则中便包含告知同意原则的内容,该准则在此后美国个人信息保护立法中具有关键性作用,基本确立了美国个人信息保护的基本框架,此后美国《公平信用报告法》《儿童网络隐私保护法》等立法中均沿用了告知同意原则。除此之外,瑞典、奥地利、丹麦等国均在本国的个人信息保护的法律文件也有类似规定。

一、个人信息保护的立法现状与价值选择

一些国家传统的民法理念“重物轻人”,将物法设于优越地位,突出对财产权的保护。与此不同,我国民法总则第五章在确认民事权利时,将人身自由、人格尊严置于本章第一条,规定:“自然人的人身自由、人格尊严受法律保护。”该规定宣示了人格权制度的立法目的与根本价值,即尊重与保护个人的人身自由、人格尊严。民法总则确立了一般人格权,为人格权的兜底保护提供了法律依据,使得人格尊严在各项权利保护中具有更为基础的地位,体现出鲜明的时代特点和中国现代民事立法的人文精神、人文关怀。

同时,告知同意原则也为个人信息保护相关国际性文件采纳。1980年,为协调数据跨境转移问题,世界经济合作与发展组织颁布《关于隐私保护和个人数据跨境流通的指南》,指出在多数情况下个人数据的收集行为不仅要获得数据主体的同意,还要限于为实现征求同意通知书中所表明的目的之必要的最小数据量,且该数据在没有获得新的同意时不得用于其他不相关的目的。1981年,欧共体理事会颁布《关于个人数据自动处理过程中的个人保护公约》,明确数据主体应有权知晓自动化处理个人数据的情形。1990年,欧共体委员会着手推动欧盟层面个人数据保护的统一立法,并于1995年发布《关于涉及个人数据处理的个人保护以及此类数据自由流通的指令》,明确数据控制者在获取数据主体明确同意后方可处理个人数据。近年,随着信息社会的进一步发展,上述文件纷纷进行了现代化更新,均保留或强化了告知同意原则的相关内容。2012年欧洲委员会修订《108号公约》,对于信息主体的同意作出了明确限制,即数据主体的同意必须是自由的、特定的、知晓的以及明确的、不含糊的接受。2013年,OECD发布《OECD隐私框架》对《OECD指南》进行大幅修改,但对告知同意原则相关内容予以保留。2016年欧盟颁布的《通用数据保护条例》不仅对告知同意原则做了进一步细化,增加了收集儿童数据时需要获取其监护人同意的特殊情形,还赋予了该原则以法律强制执行力度。由此可见,告知同意原则自发端以来便作为个人信息保护的基本原则,其内涵几乎是一脉相承,都反映了数据主体对个人数据享有自治、自决的权利。

民法典人格权编与个人信息保护

当今时代,科学技术快速发展,在给人类生活带来巨大便利的同时,也使人格权保护面临日益复杂的环境。技术是一把双刃剑,一旦被滥用,就可能损害人格权益。比如,网络侵权信息一旦发布,瞬间就可能实现大范围传播,损害后果也比传统传播手段放大很多,人格权益的恢复也更为困难。大数据技术能够有效分析、处理碎片化的个人信息,具有可观的经济效用。但个人信息实际上也携带了个人的数字化形象,对个人信息的非法收集、利用、泄露同样可能侵害个人的人格权益。人工智能如果未经他人许可而模仿、使用他人的声音、表情,也可能构成对他人人格权益的侵害。电子商务迅猛发展,网络购物已经成为许多人日常生活的必备内容。电子商务运行过程中涉及对消费者住址、购物记录、消费习惯、银行卡账号等大量信息的收集和使用,这也给个人信息、隐私等人格权益的保护带来现实挑战。总之,各种特定类型人格权的保护,在现代社会中所遭遇的问题都在增多,需要在立法上加以回应。

但在实践中,信息业者将告知同意原则视为收集个人信息的“万能法则”,在个人信息收集活动中,存在不遵循告知同意原则,例如《华尔街日报》报道谷歌在美国21个州秘密收集了数百万份患者病历,谷歌多达150名员工可以访问这些数据,而医生和患者对谷歌这项计划都不知情。或者貌似遵循告知同意原则,但侵犯个人的通信自由和通信秘密、侵害个人的隐私权,或者曲解告知同意原则与其他原则的相互关系的现象。一些第三方应用软件如王者荣耀、腾讯视频、QQ音乐等登录时所唤起的微信登录授权页面均是默认获得“寻找与你共同适用该应用的好友”,即所要获取的“好友关系”并非是第三方应用软件提供服务所必要的,而一旦用户拒绝授权将无法使用该第三方应用。从表面上看,信息业者遵循了告知同意原则,实际上忽略了不同的权利关系之间因为内在的法理不一致,而不能通过统一适用告知同意原则得到豁免以及收集个人信息还需要符合正当目的和必要原则的问题。尤其是位阶低的法益不能用来对抗位阶高的法益。具体而言,民事权利不能用来对抗宪法保护的权利;同是民事权益中的个人的财产权益不能用来对抗个人的人格利益。告知同意作为一种民事法律行为不能为收集宪法保护的通信自由和通信秘密权利提供豁免,也不能通过收集个人信息获取经济利益而对抗个人的人格利益。因此,将告知同意原则作为信息业者在收集用户个人信息时的普遍“合格”抗辩,显然是不合理的。应当看到,“告知同意”作为个人信息业者的行为自由或者获取财产性权益的方式,要受宪法权利、民事权利和其他信息收集原则的限制。

关于人格权单独成编的问题,全国人大法工委民法室主任黄薇认为,这是我国民法典的最大亮点,具有中国特色。全国人大宪法和法律委员会副主任委员、清华大学法学院教授周光权也指出,我国在大数据、互联网方面有着丰富的经验,进行人格权立法是符合中国国情的选择,也可以为未来其他国家制定民法典提供参考样板。

加强人格权保护,需要在学理上进一步发展人格权的法理体系。事实上,每一种具体人格权本身就是一项制度,可以进行类型化分解。比如,隐私权可进一步类型化为独处的权利、个人生活秘密的权利、通信自由、私人生活安宁、住宅隐私,等等。就私人生活秘密而言,又可以进一步分类为身体隐私、家庭隐私、个人信息隐私、健康隐私、基因隐私等。不同的隐私因为类型上的区别,在权利内容以及侵权构成要件上,都可能有所差异。对这种差异应加强学理研究,以便在立法上予以体现。同时,人格权体系也具有开放性,其类型和内容是不断发展的。尤其是现代社会生活日益复杂,科学技术的发展持续给人与社会的关系带来影响,而人对自身发展的诉求也将随之提升,人的主体意识和权益保护需要也在加强和多样化。在这样的背景下,人格权的类型和内容都会不断发展,在法学研究中需要加强应对。

本文不打算讨论信息业者收集个人信是否充分履行告知义务以及是否得到了信息主体同意的问题,而主要讨论哪些个人信息是不应当通过告知同意来取得,要对告知同意原则的适用范围进行限制,并探索这一理论的主要实现路径。限于篇幅原因,本文将重点讨论App等互联网应用收集用户“通讯录、短信、通话记录”等个人信息的情形。

就《民法典人格权编》中个人信息保护的规定,黄薇主任指出,个人信息的定义通过总括性描述和列举的方式得以明确,人格权编草案的三审稿又在二审稿列举的基础上增加了“电子邮箱”和“行踪信息”。这一定义是在《网络安全法》中个人信息定义基础上做出的修改完善,也符合目前国际上相应立法如欧盟的GDPR的趋势。北京市第一中级人民法院民四庭负责人丁宇翔法官指出,《民法典人格权编》涉及个人信息保护的条文大部分都是不完全性规范,不符合审判实践中多运用完全性规范的需求,希望能够加以细化,便于法院适用。中国人民大学民商事法律科学研究中心执行主任石佳友教授认为,《民法典人格权编》中有很多传统公法的内容,个人信息保护就是其中一项。这实际上体现了一种新的治理模式,颠覆了传统的所谓公法和私法截然分明的界限,要求公法和私法共同应对个人信息保护等新问题。

加强人格权保护,人格权的行使、利用等规则也需要进一步细化。作为一种具体权利,基于维护公共利益等目的,法律可以对人格权的行使进行一定程度上的限制。如何限制、在何种程度上限制,需要加强研究。随着实践发展,人格权的财产利益逐渐受到重视,这使得肖像权等人格权益的商业化利用更为重要。各类人格权益的许可使用,也将为社会经济发展提供新的增长动力。人格权制度是民法中富有时代气息的领域。在人格权领域实现制度创新,在人的全面保护中发展民法理论,是中国民法可以对世界法律发展作出的贡献。

二、告知同意原则的适用受通信自由和通信秘密宪法权利的限制

个人信息保护中人格权编与其他立法的关系

(作者王利明系中国人民大学常务副校长、中国法学会民法学研究会会长,原文刊于《人民日报》2017年11月6日16版)

信息时代的通信方式

就民法典与单行立法在个人信息保护上的关系问题,黄薇主任认为,《民法典人格权编》第六章关于个人信息保护的规定是立足于《网络安全法》规定所做的修改完善。同时,考虑到将来还有专门的个人信息保护立法,所以就民法典这一长期稳定适用的民事基本立法而言,不能做出太多细致具体的规定,而只需做出基础性、原则性的规定,这样一来,既可以对其他的立法有所指引,又为将来的发展留有空间。《个人信息保护法》在性质上属于公法,更多涉及的是管理机关如何通过行政管理手段加强个人信息保护的问题。石佳友教授也认为,如果说《个人信息保护法》更多是公法属性,则民法典属于民事基本法,两者既有分工,又要衔接协调。

原文链接:

通信方式经历了三个历史阶段,即农耕时代、工业革命时代和信息时代的演变。通信方式在农耕时代主要表现为信鸽传书、驿站快马接力。进入工业革命时期,电缆技术的发展给通信带来了巨大的便利,电话、电报、广播成为人们主要的通信方式。到了信息时代,通信主要依托互联网技术来完成。与传统通信方式相比,信息时代的通信具备及时性、高效性、便捷性以及成本低等特性。不仅如此,通信方式在信息时代也变得多样化。信息时代的通信方式囊括传统通信方式和新型通信方式,新型通信方式出现了诸如微信、微博、脸书等极具沟通和分享功能的应用软件。然而,不管是在哪个历史时期,通信方式如何变换,人们对于通信的目的亘古不变:一方面是希望实现与人自由交流信息,另一方面又不希望通信内容被第三人知晓。

周光权教授认为,《民法典人格权编》是发展和完善刑法中对相应犯罪认定的重要契机。刑法对个人信息的保护,目前首要的体现为刑法打击不足。公民饱受个人信息被泄露和被非法提供的困扰,但是刑事案件数量少,刑罚打击的力度不够。除了受害人个人的报案动力不强,现行刑法只处罚向他人出售和非法提供这两种行为以及刑民在保护个人信息方面界限不清也是现实的障碍。其次,刑法还存在打击不准的问题。违反合同义务侵犯公民信息的违约行为或侵权行为是成立的,但不是每一环节都属于犯罪行为,处罚的范围也不是越大越好。所以,在个人信息保护方面,需要共同努力形成合力。北京市海淀区人民检察院第二检察部科技犯罪监察团队负责人许丹也提出,刑法目前的打击方案或许太过激进。

[人民日报]王利明:发展人格权体系

作为宪法权利的通信自由和通信秘密

清华大学法学院劳东燕教授提出,在刑法对个人数据进行保护时,存在对数据滥用的行为没有进行有效规制,对个人信息权利的刑法保障明显不足,没有办法准确体现行为的不法性质以及保护不足、过度犯罪化并存等问题。故刑法关注重心应该从数据收集转移到数据使用,保护价值要从秩序导向走向权益导向,要从法权进路到利益衡量进路,控制原则与防御性原则并举,并根据不同的风险类型和所侵犯的法益性质采取不同模式。这需要刑法与民法合力完成。

1.通信自由和通信秘密的含义

个人信息保护中价值选择

通信自由是指公民有通过传输媒介来表达自己意愿的自由,即公民可自由决定通信的时间、地点、内容和方式,通讯自由不受他人限制。通信秘密是指公民享有整个通信过程不被第三方知晓、刺探和侵扰的权利。不同于在公共场所里的信息交流没有秘密可言,通信主体之间的信息交流内容并不希望暴露于众,具有秘密性。因此,通信主体自由交流信息,又不希望第三人知道,这就是通信自由和通信秘密的本质所在。通信自由和通信秘密关涉人的尊严和隐私,属于个人人格自由发展的重要条件。对通信自由与通信秘密加以保护,既体现了国家对公民个人隐私权的保护,同时也是实现公民其他基本权利如言论自由和思想自由的一个重要形式。

中国法学会研究部彭伶副主任指出,当前我国在个人信息保护方面存在几对矛盾。首先是立法与现状之间存在冲突。立法对个人信息高度重视,与此同时国家、互联网平台等主体都在通过很多的渠道收集个人信息,信息主体提交信息的渠道多且密集,由此加剧了数据泄露的后果;其次,不同领域中的政策导向也存在价值矛盾。一方面需要保护个人信息和隐私,信息主体希望掌握信息的部门越分散越好,保护的力度越强越好;另一方面,智慧城市建设又需要集中更多数据,产业界不能希望被科以太严苛的政策。再者,思想上的重视与现实救济的困难存在矛盾。实践中,我们很多人甚至根本不知道信息被利用,也无从知晓以及证明。第四,个人信息安全与国家安全、社会公平正义也有潜在的矛盾。个人信息安全与国家安全之间是包含关系,还是矛盾关系,这是涉及到个人信息保护与政府监管之间平衡的问题,也是国家应怎样进行数据保护的问题。探索社会公平正义与个人信息保护的关系,需要思考能否为了追求社会公平正义而牺牲个人信息保护。对上述矛盾的解决,恐怕需要回归到价值选择上。

2.作为基本权利的通信自由和通信秘密

在个人信息保护的价值选择中,个人信息保护与合理使用的平衡备受与会专家学者的关注。黄薇主任认为,个人信息保护问题需要听取各方意见。一方面,个人信息作为人格权的一部分,要给予法律保护;另一方面,个人信息又有被收集利用的需要,况且大数据时代数据的使用趋势不可逆转,因此,对个人信息合理依法正当的使用要给予保护。目前,我国民法典人格权编规定个人信息保护的条文总量虽然不多,但是,在普通自然人和合理收集使用信息的主体、产业界之间的权利义务关系方面,立法还是进行了很多的思考和研究。

自新中国成立以来,通信权利一直是宪法赋予公民的基本权利。如1954年新中国颁布的第一部《宪法》第90条第1款明确规定,“公民的通信秘密受法律的保护”;1975年《宪法》第28条规定,“公民有言论、通信、出版、集会、结社、游行、示威、罢工的自由,有信仰宗教的自由和不信仰宗教、宣传无神论的自由”;1978年《宪法》延续1975年《宪法》的规定。我国1982年《宪法》在总结前几次修宪经验的基础上,加强了对通信权利的保护。与此前的宪法规定相比,1982年《宪法》第40条不仅规定了对公民通信自由的保护,还明确规定了对通信秘密的保护,并以单独条款对通信权作出专门规定。可以看出,我国《宪法》的不断完善也使得通信自由和通信秘密作为基本权利的地位受到充分的重视和应有的保护。

北京大学法学院王锡锌教授认为,应当建立个人信息保护和合理使用的激励相融机制。个人信息保护非常重要,但产业发展、公共福祉增进甚至国家安全等都依赖于对数据的合理使用,故此,问题的关键在于发展出一种激励相融的机制。目前,法律上的知情同意原则、必要性原则和目的一致性原则搭建了更偏向于个人信息保护的模式,如果要在此模式下落实数据的合理使用,可以考虑降低同意门槛、对告知内容标准做广义解释以及进行场景化合理预期等三种方案。但是,这些方案跟现行法律框架难以兼容且操作性不强,故此,不妨考虑引入权利保护和利益激励相结合的机制,促使用户与数据平台之间进行合作性的博弈。这在国外有很多实践经验。该机制的基本原则就是,在那些不涉及到人格尊严的高度敏感信息领域,允许用户和企业之间以经济交易的方式变通知情同意原则。在企业充分告知的基础上,用户可以自愿选择且可以随时退出。这种经济激励机制不会颠覆知情同意的基本框架,并能赋予用户或者数据主体更多选择权,同时提高数据控制的告知质量和用户同意质量,营造合作博弈的新氛围。关于引入经济激励可能会遇到的人格利益无法商品化的障碍,民法典人格权编草案引入的人格权许可使用制度已经加以化解。所以,《个人信息保护法》要在《民法典人格权编》确定的框架基础上,引入由权利为基础的保护和利益激励为基础的合理使用的双轮驱动模式,惟其如此,方能缓解个人信息保护与公共利益、产业发展之间的竞争和紧张关系。

各部门法在根本法的基础上,将通信自由和通信秘密的权利予以具体保护。如《刑法》第252条、第253条,《全国人大常委会关于维护互联网安全的决定》第4条第2项,《计算机信息网络国际联网安全保护管理办法》第7条均规定了对公民通信自由和通信秘密权利的保护。

二、个人信息的概念、性质与界分

通信自由和通信秘密作为基本人权受到世界各国的普遍确认。如被誉为世界自由、正义与和平的基础的《世界人权宣言》第12条规定:“任何人的私生活、家庭、住宅和通信不得任意干涉。”《公民权利和政治权利国际公约》第17条规定:“任何人的私生活、家庭、住宅或通信不得加以任意或者非法干涉。”我国作为《世界人权宣言》的主要起草国之一,努力践行《世界人权宣言》的要求 ,积极保障本国公民的权利。尽管我国尚未批准《公民权利和政治权利国际公约》,但对于《公约》关于保护公民权利和政治权利的要求都无保留接受,中国宪法和法律赋予人民广泛的公民权利和政治权利,如通信自由和通信秘密,并且将不遗余力地在民主与法制建设道路上改善对公民权利和政治权利的法律保护,为我国加入《公约》及其后的履约创造良好条件。

个人信息的概念

收集通讯录、短信内容、通话记录的行为性质

对个人信息的概念,中央财经法学院院长尹飞教授指出,目前《网络安全法》、刑法等对个人信息都有相关界定,而个人信息的重要特征是可识别性。可识别性可分为识别和关联,《网络安全法》强调识别,因为它面对网络上的海量信息。但刑法司法解释更强调关联,故个人信息概念中可以增加“或者反映特定自然人特定情况的个人信息”。北京大学法学院金锦萍教授认为,目前法律对个人信息的界定还是比较模糊,很难分辨内涵外延以及立法目的。

通讯录、短信内容、通话记录是否可以纳入宪法权利“通信自由和通信秘密”保护的范围之中?短信内容由于其包含通信具体内容,当然可以纳入其中。值得讨论的是通讯录和通话记录是否可以构成宪法意义上的“通信”。笔者认为,通讯录和通话记录在相当程度上可以构成“通信”。其理由在于,在传统认知中,宪法上“通信自由和通信秘密”所保护的似乎只是信封里面的信件内容,而并不必然包括信封上所记载的通信主体、地址等联络信息;或者说,传统上对于信件内容本身和信封所载之联络信息的保护程度存在一定的差别。一个十分容易在脑海中浮现的场景是:如果窥探某人信封中的信件内容,则当然会构成对于其通信自由和通信秘密的侵害;但如果仅仅是看到信封上的联络信息,似乎难以必然构成对通信自由和通信秘密的侵害。不过,这一认知有着深深的“前信息时代”烙印,原因在于,在以传统方式邮寄、递送信件时,信封所记载的联络信息是受限于其技术手段而不得不暴露于信封之上,而因为该联络信息暴露于信封之上这一事实,要“看到”该联络信息往往不需要采取积极的侵害行为,进而导致人们对于这一消极侵害行为的认定往往不自觉地会提高认定的门槛。可以通过想象一个场景来直观地体会这一细微差异:如果甲将其纸质信件放于其办公室的抽屉之中,乙未经甲同意,擅自打开甲的抽屉,拿出信封进而看到了各个信封上的联络信息。那么,在这种情况下,即使乙没有查看信封之中的信件内容,恐怕我们还是会倾向于认为乙已经侵犯了甲的通信自由和通信秘密。换言之,传统宪法上的“通信自由和通信秘密”并不是不保护“与谁通信”这一权利内容,而只是限于当时的技术手段,暂时地无法给予“与谁通信”以完全的保护。但是,在信息手段下我们完全有技术能力来保护“与谁通信”这一权利内容。诚如日本学者所言,通信秘密不仅包括书信所写的内容、电话电报等谈到的内容,还包括了与通信本身相关的内容,包括信件电报收发人、收发时间、次数及电话通话人、通话时间、次数等。因此,通讯录与通话记录本身能够被纳入“通信”这一概念之中,也就不存在理论上的障碍。

石佳友教授认为,敏感信息的问题比较重要。《数据安全管理办法》的征求意见稿第15条曾明确提到敏感信息,意味着单行法出现了敏感信息,且敏感信息具有极端重要性,故即使要把敏感信息的处理原则留给未来的《个人信息保护法》,敏感信息这一基本范畴在民法典中也应当提到。中国消费者协会法律部陈剑主任希望民法典立法中对敏感信息可否采集、如何采集作出相应的规定,也希望行政管理机关对敏感信息的收集进行控制,加大处罚力度。

那么,收集用户通讯录、短信内容、通话记录等信息的行为,是否已经构成对《宪法》所保障的通信自由和通信秘密权利的侵害?如前所述,通信主体对整个通信过程享有不被第三方知晓、刺探和侵扰的权利,通讯录、短信内容、通话记录属于通信主体交流的内容,是通信主体极不愿意公之于众或者说是不愿意让他人知晓的信息。如果通信主体的短信内容、通话记录能被第三方所知晓,意味着通信内容的秘密得不到保障,那么就会使通信主体谨慎地去限制通讯的对象和内容,通信自由也就无从谈起。又如通信主体的通讯录被第三方所收集,这不仅使得通信主体的秘密得不到保障,更会使通迅录上的联系人的秘密也得不到保障。毫无疑问,手机App等互联网应用擅自收集用户通讯录、短信内容、通话记录等信息的行为,已经侵犯《宪法》所保障的通信自由和通信秘密。

石佳友教授还认为,对生物识别信息需要在法律上进行特别规定。现在人格权编草案的三审稿中新增了生物识别信息,但过于简约,毕竟生物识别信息几乎终生不能修改,一旦泄露会引发巨大风险,故其处理可能要在正当和必要性上高于一般个人信息,强调信息安全和禁止歧视原则。

宪法权利的优越地位与实现路径

字节跳动公司高级法律顾问刘莹莹认为,个人信息和个人数据的关系比较模糊。用户数据可以分为个人信息数据,也包括不属于个人信息的数据。可识别性是前者的基本因素,但对于后者是否具有可识别性,能否认定为个人信息并作为个人信息保护,在实践中确实存在困惑。劳东燕教授认为,两者可以用可识别性标准区分。数据作为代码,具有可再生性和可分享性,缺乏传统财物的稀缺性跟占有使用的排他性,其指向具有多元性,不能单一认定其属性或权能;美团点评数据合规法务总监刘笑岑认为,个人信息与数据集合的法律地位存在交叉,不同等级的个人信息可能需要对应不同规则。

信息业者收集用户通讯录、短信内容和通话记录等个人信息不能通过告知同意原则来主张免责。一方面,通信自由和通信秘密作为宪法保护的高位阶的权利,不应该受到简单告知同意法律行为的限制。宪法作为根本法,是实定法的基础与核心,在法律体系中处于最高的地位,这是宪法优位性的要求。通信自由和通信秘密作为宪法规定的公民的基本权利,作为绝对性和对世性的抵御权利,应该受到最高的尊重。我国《宪法》第40条仅规定了因国家安全或者追查刑事犯罪的需要经法定程序可以对通信进行检查,除此之外,任何因素都不能成为克减宪法权利的理由。其他法律规定尚不能成为克减宪法权利的理由,更何况是当事人的意思表示或双方的民事法律行为呢。因此,告知同意自然也不能成为克减宪法权利的理由。另一方面,告知同意作为实现经济利益的手段,不能用来抗衡宪法保护的人格利益。宪法的重要宗旨在于保障人权,最大限度地实现对人的尊重和关怀,实现人民的幸福生活。通信自由和通信秘密是宪法实现保障人权和对公民尊重、关怀的一种具体表现形式,具有人格利益。当宪法保护的人格利益与经济利益相冲突时,应当确认人格利益具备更高层面的利益,经济利益应该让位于人格利益。如德国学者迪里希所言,人的尊严不可侵犯是整个法秩序的最高构成原则。告知同意作为民法制度中实现经济利益的手段自然是不能用来限制宪法保护的人格利益的。

个人信息还是个人信息权

三、告知同意原则的适用受隐私权保护制度的限制

中国人民大学常务副校长王利明教授认为,民法典人格权编应当在“个人信息”之后加“权”,或者将其认定为个人信息保护权。王锡锌教授认为,个人信息受保护权更多将个人信息作为重要法益,赋予受保护的权利,但它与信息权本身是不是有差别,需要《个人信息保护法》进一步琢磨。但是,民法上将个人信息权利化仍具有基础性意义,基本概念的界定有益于已有和未来立法的展开。

个人信息与隐私的关系

关于个人信息的权利属性,王利明教授认为,从与特别法的关系来看,民法典将个人信息确定为权益,能够给特别法提供上位法依据;从域外法来看,包括欧盟GDPR在内的域外法大多都规定了个人信息权;从权利内容来讲,如果个人信息本身不是权利,则权利内容无法展开;从权利法益区分现状来看,因为当下尚不明确采用法益保护时需要什么特殊要件,故如果不确定个人信息为权利就会导致司法实践中面临很多问题。周光权教授认为,刑法第253条“侵犯公民个人信息罪”规定在刑法第四章“侵犯公民人身权利”中,第253条之一规范违反国家规定,向他人出售或者提供公民个人信息情节严重的行为。因此,根据体系解释,可以将个人信息解释为权利。

隐私主要包括私生活安宁和私生活秘密两个方面。个人信息被普遍接受为能单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。关于个人信息与隐私的关系,有学者认为既有明显的界分也存在部分重合的现象,当个人信息与隐私之间存在交叉关系时,制度的重心在于防范个人秘密不被非法披露。也有的学者认为个人信息可以归入隐私的范畴,不需对个人信息再单独作出规定。如按照Daniel J. Solove和Paul M. Schwartz的看法,个人信息本质上是一种隐私,法律上将其作为一种隐私加以保护,可以界定其权利范围。

金锦萍教授认为,需要明确各类个人信息权中,有些是可以沉淀下去的基本权利,属于法律保留的事项,这些与自然人的关系非常密切,不可能被放弃,也不可能被交易。

笔者赞同前述观点,认为个人隐私与个人信息呈交叉关系,即有的个人隐私属于个人信息,而有的个人隐私则不属于个人信息;有的个人信息特别是涉及个人私生活的私密信息属于个人隐私,但也有一些个人信息因高度公开而不属于隐私。个人隐私与个人信息交叉的部分就是个人敏感信息或者私密信息。

个人信息与其他人格权益的区分适用

因此,私密信息既要受到个人信息的保护,还要受到隐私权的保护。适用个人信息的保护是一种弱保护,即有些一般个人信息可以通过告知同意来收集,有些甚至不需要告知同意也可能收集。例如某些公共路段安装了监控,行人信息将被自动收录,这个过程不需要告知行人,也不需要征得行人的同意。而隐私权作为一项具有排他性的人格权,相比个人信息保护是一种强保护,适用隐私权保护就不能仅通过告知同意来去攫取私密信息或者是隐私信息。个人信息是一种民事权益,而隐私权则是一种民事权利,从权利位阶上看,权利的位阶要高于权益,因此隐私权作为高位阶的权利,具有适用的优先性。或许正是基于这一原因,在我国司法实践中,法院经常采取隐私权的保护方法为个人信息的权利人提供救济。

1、个人信息与隐私的界分

《民法总则》的制度安排

王利明教授认为,现在民法典人格权编草案将私密信息归于隐私,但没有明确私密信息和个人信息的关系和区别。从大的方面讲,私密信息都是个人信息,但私密信息与其他个人信息存在保护方式、保护程度和侵害后果的不同。在保护方式上,私密信息主要跟私生活有关,同时受个人信息和隐私权保护,其他的个人信息有可能不涉及个人私生活,一般只受个人信息保护;在保护程度上,私密信息要高于其他个人信息,因为隐私是一种权利,又与个人私生活有密切关联,但不是所有私密信息都是敏感信息;在侵害后果上,私密信息属于隐私的内容,只要公开即构成侵害,但其他个人信息则不尽然。

  1. 将隐私权作为重要的人格权加以保护

黄薇主任指出,《民法典人格权编》中“隐私权和个人信息保护”一章要与《民法总则》相衔接。隐私权和个人信息间在某种程度存在交叉,个人信息中有涉及私人生活的,私密信息中也有普通的信息。隐私权包含私密信息,私密信息又是个人信息中最重要的,所以,对私密信息的保护不能仅适用一般的个人信息保护规则,告知同意原则中的同意需要特别明确。

过去较长时间,我国都将隐私置于名誉权权利项下进行保护;2009年《侵权责任法》将隐私权作为一种独立的民事权利予以规定;2017年《民法总则》更是将隐私权上升至一项独立的人格权,与生命权、身体权、健康权、名誉权等人格权一并规定。可见,立法逐渐强化对隐私权的保护。

北京市第四中级人民法院民庭庭长马军认为,在现行的权利规则项下的个人信息可以借由隐私权被保护,信息主体也主要想保护不希望被别人所知晓的内容,或不想被别人利用的东西。

《民法总则》使得对于个人信息的保护和对于隐私的保护在民事权利一章里相遇:既设一个条文规定了对各种人格权利包括隐私权的保护,同时又设有专门条文规定对个人信息保护。可见,立法对隐私权和个人信息呈现出不同的保护路径。也就是说,个人信息的保护问题,如果落入了隐私权的保护范围,就要受第110条的保护,这就为敏感信息或者私密信息的保护提供必要的法律依据。

2、与已有权利的适用关系

  1. 单独规定个人信息保护

王利明教授认为,个人信息是非常宽泛的概念,姓名信息、肖像信息、信用信息都涉及个人信息的内容,这引发了侵害个人信息造成姓名、肖像、名誉受损时,是不是既侵害信息权又侵害姓名权、肖像权或名誉权的问题。因此,民法典中需明确,能被其他人格权保护的个人信息,应优先适用相应的人格权的规定,因为这些个人信息在已被类型化的人格权中能够受到更全面周到的保护,要件也更充分,此时已无适用个人信息保护的必要,受害人也就无需自由选择。只有其他人格权无法保护的个人信息,才需要通过个人信息权加以保护。

尽管其他法律和立法性决定在此之前对个人信息保护作出过规定,但《民法总则》单独规定个人信息保护具有重要意义:首先,它从民事基本法的高度赋予自然人个人信息权益,也为个人信息保护在民法典人格权编里进一步细化,以及与侵权责任编、个人信息保护法相衔接奠定了基础。其次,它将个人信息保护与隐私权保护区别开来,使得个人信息保护获得独立的地位及救济基础。个人信息保护在民法领域的这一“成长”过程,与隐私权在我国立法和司法实践中的发展轨迹是极为相似的。尽管个人信息与隐私特别是私人信息类隐私有诸多重合和交叉之处,个人信息中的敏感信息往往也是隐私权保护的客体,但是,隐私权制度和个人信息保护制度毕竟有实质的差异性,这一差异主要体现在个人信息经过去个人化处理后的合理利用问题,以及与此关联的数据财产保护问题之上。

尹飞教授认为,个人信息中的绝大多数内容都可以为其他具体权利涵盖,而个人信息作为独立的权利客体只有在大数据环境下才具价值,并构成对特定自然人人格持续性、整体性的评价,直接关系到主体尊严和自由,其他具体人格权无法涵盖。其整体性也导致了适用的复杂性,故在竞合时当然应优先适用其他人格权。

在欧洲经典民法典中,无论是《法国民法典》《德国民法典》《瑞士民法典》还是《荷兰民法典》都受制于当时的社会需求,没有也不可能对个人信息保护作出规定。在欧盟国家,个人信息保护形成了专门的法律体系,但基本上游离在民法体系之外。而美国则是将个人信息保护纳入隐私权保护体系,形成美国分散立法模式。我国台湾地区关于隐私权保护已形成一个基本规范架构, 即以“个人资料保护法”作为基本规范,并选择若干重要个人资料在相关的法律加以规定,而建立了渐臻完备的法律秩序。不难发现,我国台湾地区似乎也采用隐私权吸收个人信息的保护模式。从比较法的角度来看,我国《民法总则》第111条从民事权益的角度保护自然人的个人信息,还规定了其他人的相关作为和不作为义务,这一制度安排不失为民事立法反映社会需求的一个创新之举。

三、个人信息收集与处理的基本原则与行为规范

民法典人格权编的制度安排

个人信息收集与处理应遵循的基本原则

  1. 在体系上沿用了《民法总则》的规定

黄薇主任指出,收集处理个人信息时应坚持合法、正当、必要原则,这些原则看似简单,实则内涵深厚,属于国际上公认的通行原则,如有违反,需承担相应的法律责任。

从人格权编二次审议稿和三次审议稿对隐私权和个人信息的制度设计来看,人格权编对隐私权和个人信息保护都是分不同条文加以规定;另外,人格权编亦是将隐私权置于个人信息之前优先保护,突出隐私权的优越地位。这在体系上承接《民法总则》的制度安排,具有较高统一性。值得注意的是,隐私权与个人信息并没有分开在不同的章节进行规定,而是置于同一章节内分不同条文进行规定,类似于第三章的姓名权和名称权、第五章的名誉权和荣誉权,是因具有高度相关性才规定在同一章里。可见,人格权编制度的设计还有意反映隐私权和个人信息之间的高度相关性。

刘莹莹女士认为,合理正当必要性原则缺乏合理判断标准,实践中判断什么是使用服务时必须收集的相关数据,或者什么是最小化收集较难。北京市网信办政策法规处干部伍萌女士认为,合法强调的是收集要有法律依据,而判断必要性时,产品功能类型就是重要的考量因素,如导航类的APP最多搜集信息主体此时此刻的位置信息,去收集通讯录和相册信息就应当认定为超过必要范围。

2.在内容上对隐私权和个人信息作了更全面的规定

南都个人信息保护研究中心娜迪娅女士根据相应的调研指出,公众普遍认为APP在收集个人信息时的默认勾选的问题比较严重,收集信息和索要权限时APP也没有告知相应目的,不过,在有关部门的治理下,这种情况已有所好转。许丹检察官认为,数据获取方面存在默认同意的问题。刑法中未经被收集者许可收集即可定罪,但实践中有大量应被评价为被收集者默认同意的行为。

《民法总则》第110条和第111条分别规定了隐私权与个人信息保护的基本内容,具有高度概括性。人格权编草案三次审议稿在总则的基础之上,对隐私权及个人信息的内涵、范围、保护方式等作出了细致的规定。一方面,为了加强对隐私权的保护,草案第811条规定自然人的隐私权是一种排他性的权利,即“任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权”;还明确规定“隐私是自然人不愿为他人知晓的私密空间、私密活动和私密信息等”。另外,草案通过设置不完全列举加兜底条款的方式,为目前尚未考虑到的以及未来可能会出现的新型的侵害个人隐私的行为之规制作了制度空间的预留,保持了权益保护的开放性,如此基本上构建了我国隐私权保护的法律规则。另一方面,草案在第813条统一了个人信息的概念内涵,明确规定:“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息,包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱地址、行踪信息等”;还规定了收集个人信息的具体原则,信息主体享有的权利以及收集个人信息的免责事由等,为使个人信息的保护得到更好的贯彻和实行提供了基础。

马军庭长认为,知情同意是个人信息保护的最基本原则,需要采用公开的规则,明确使用的方法、目的和范围,并且一定要经过同意。而且,这种知情同意应以更高标准进行要求,要严格限制通过格式条款约定概括授权,授权必须明确。刘莹莹女士认为,需要解决知情同意的认定问题。实践中存在过度依赖同意作为合法收集使用依据和怎么把使用收集的数据告知用户的问题。企业一般通过隐私政策或者相关特定功能进行告知,但这种透明度具有相对性,需要明确标准的认定,确定什么是显著,以及请求同意的场合。

3.在隐私权与个人信息之间建立了一个制度桥梁——私密信息

王利明教授认为,《民法典人格权编》草案第816条关于“收集处理个人信息如果涉及公共利益,行为人不承担民事责任”的规定太过笼统和宽泛,在涉及公共利益时可能不需要告知,但是,也可能因为其他行为需要担责,如过度收集或采取不当保护错误导致信息泄露。故此,王利明教授建议将该条修改成“有下列情形涉及公共利益的,行为人有权收集处理”,以此作为告知的例外规则,同时,在立法条文的位置上也可以与814条“出现以下情况应当告知”的相互衔接。

《民法总则》用单独两个条文分别对隐私权等人格权的保护和对个人信息的保护加以规定,使得两个条文看似具有紧密联系,实际上又存在很多差异,但是《民法总则》对此并没有作出解释。然而,人格权编草案在个人信息与隐私权之间建立了一个制度桥梁,那就是“私密信息”。

个人信息收集处理行为的规制

“私密信息”“敏感信息”“具有私密性的私人信息”的概念界定

王利明教授指出,《民法典人格权编》中采用GDPR关于“处理”的表述值得肯定。按照对GDPR的解释,处理包括了共享,但人格权编草案中没有“处理”的定义,鉴于数据共享很普遍的事实,需要解释“处理”能不能包括共享,如果能包括,则不用单列共享,如果不能,就需要专门规定。

对于个人信息与隐私权交叉的部分,人格权编草案二次审议稿第811条第2款使用了“具有私密性的私人信息”的表述,草案里则使用了“私密信息”的表述。而在此前,相关个人信息保护规范一直使用“个人敏感信息”的概念。自我国首部个人信息保护国家标准《个人信息保护指南》使用了“个人敏感信息”的概念以来,其后发布的个人信息保护国家标准及相关规范性文件征求意见稿也都延用了“个人敏感信息”的概念那么,“敏感信息”“私密信息”和“具有私密性的私人信息”这三个不同的概念具有何种联系?笔者认为,它们都属于个人信息,但是属于个人信息中比较特殊的部分,都涉及到了个人的隐私。从概念上看,个人敏感信息是指关涉个人隐私核心领域、具有高度私密性、对其公开或利用将会对个人造成重大影响的个人信息。私密信息,顾名思义就是与个人密切相关,隐私度高,个人极其不愿意将其暴露于公众视野之中的信息。私密信息是“具有私密性的私人信息”的提炼版。因此,从本质上而言,三个概念都是指信息主体不愿意为他人知晓的信息。尽管在概念上面可能不统一,但实际上表述的意思都是一致的,本文依习惯采用“私密信息”的表述。

马军庭长认为,从正面看,个人信息受法律保护应是强调需要依法取得,从反面看,就是不得进行非法收集、使用等,包括不得非法买卖、提供、公开。腾讯集团法律诉讼中心林梦楚女士认为,个人数据产生、收集、使用到管理的整个链条都存在风险,企业有责任做好事前监管。通过系统和工具保护个人隐私和信息,在保护消费者权益的同时也能使企业对用户数据利用达到高利用率并符合法律要求。

人格权编草案加强对私密信息的保护

个人信息保护中的权利义务配置

人格权编草案之所以要出现“私密信息”概念,就是要强调对这一部分个人信息的特殊保护。个人信息保护法立足于对个人人格尊严和自由的保护,对人格尊严和自由的保护属于立法追求的目的价值,而对个人信息的利用则属立法追求的工具价值。相较之下,目的价值应优先于工具价值。大数据时代并没有削弱个人私密信息保护的基础价值,而我们更应在保护的种类和方法上予以变更,以回应时代的发展。

黄薇主任认为,对信息主体而言,可以查询复制个人信息,发现违法收集处理时,可以要求删除。信息收集者、控制者有合理使用的权利,在合理使用的范畴内不用承担责任。石佳友教授认为,在信息的存储期限届满或者根据信息收集和持有的目的持有信息已无必要时,应赋予信息主体删除权。马军庭长建议,信息主体应当有删除和更正的权利,当其不希望他人知晓利用自己信息时可以随时不附条件地撤销,因为对人的保护应该优于对财产的保护。

对于私密信息的保护规则,从比较法上的经验来看,欧盟在明确界定私密信息标准的基础上,原则性禁止对个人私密信息的收集和处理。例如德国立法明确列出了种族、宗教信仰、犯罪记录、政治观点等属于禁止收集的私密数据。而美国则认为数据并非本质上就是“私密的”,而是因为它们的内容和用途才具有私密属性,因此,美国的法律没有对私密信息作出明确的界定,而是在分散的法律中来加强对其的保护。但是,也存在一些类似的限制性规定,体现在不得以私密信息作为做出某些决定的依据,否则将被视为歧视性决定。例如,在美国征信行业中,征信机构虽然可以收集种族、国籍、婚姻状况等私密信息,但是不得进行传播,也不得在进行信用计分时加以考虑或计算,否则会被联邦贸易委员会视为歧视性决定而受到惩罚。

黄薇主任指出,国家机关和工作人员对履职过程中知悉的个人信息有依法保存保密的义务,这也为我国很多现行立法所规定。例如,公安机关在为公民办理身份证时获取的个人信息,如被公安机关非法泄露,就需承担相应的法律责任,故此民法典人格权编中规定了公权力机关及其工作人员在履职过程中对收集的个人信息负有保护的义务。伍萌认为,网络经营者有加密的义务。个人信息在采集后怎么用,能不能用,对采集的数据是不是要加密,加到什么等级,需要严格遵照《网络安全法》的规定。

至于私密信息需要特别保护的原因,正如我国台湾地区学者所言:“DNA、病历、前科等公共性低、私密性高之资料,多属个人不欲为人所知之私生活领域资料,如他人得滥行搜集或利用,将造成该个人精神不安或被贴标签而致人格受损。”还有学者则更加明确地指出:“由于私密数据是个人数据中风险因素较大的部分,它的公开和传播不仅带来狭义的隐私权侵害,而且还带来政治或社会上的歧视,妨害人的尊严和基本权利,因此需采取比一般个人数据更加严格的安全措施。”美国法院对hiQ v. LinkedIn案的判决给我们的启示是,信息的性质往往决定了刑事法上对授权范围和有效性的认定,信息的独占性和价值越弱,法益的重要性就越低,其授权主张被刑法所保护的必要性就越小。也就是说,信息的性质往往决定其受到法律保护的程度。在刑事上如此,在民事上也是如此。作为人身专属性、独占性强的权益,私密信息若被非法收集或滥用将对个人的人身和财产带来极大的影响,因此,私密信息较一般个人信息而言具有更高的法益。那么对私密信息的授权范围和有效性的认定也应该高于一般个人信息。可见,某些信息具有高度私密性,一旦泄露可能导致人格受损、引发歧视和妨害人格尊严,是需对其进行特殊保护的根本原因。

四、司法实践对侵害个人信息的认定

收集私密信息受到隐私权的限制

民众诉求与司法保护现状

个人信息不仅具有人格尊严和自由价值,经过处理后还具有商业财产价值。在个人信息商业化利用的过程中,信息业者收集一般个人信息时,告知同意作为合格手段当无疑问。然而收集个人私密信息时,告知同意是否还是合格依据?

娜迪娅女士根据调研指出,大多数民众一般通过媒体报道、政府宣传和朋友分享获得个人信息常识,认为中介服务、网上购物、金融借贷是泄露个人信息罪严重的行业。对APP违法收集个人信息的行为,用户可能会对注销难、强制获取通讯录权限问题进行投诉,但也不乏有民众选择无奈接受,尤其对精准广告推送和用户画像的问题,公众的接受认可度还是比较高的。

从价值衡量上看,个人私密信息的人格权益高于财产权益。有数据显示,收集单个个人的私密信息获取的财产利益微乎其微。例如,暗网一交易帖子号称其所贩卖的数据包含了16亿邮箱+密码数据,从商品单价来看售价为0.0005比特币,即价值3.25美元。从“江阴市人民检察院诉被告人邱某某等侵犯公民个人信息案”又可以发现,被告人购买了他人利用黑客侵入手段获得的各类公民个人私密信息共计210余万条,后贩卖非法,获利人民币1300元。尽管非法产业链下信息交易不受法律的保护,但从中却能反映出个人信息的售价如此低廉。在实践中,绝大多数信息业者还能免费获取个人信息。而个人私密信息是与信息主体密切相关,是不想让他人知道的特定信息,且是关涉自然人人格尊严和自由以及财产安全的重要信息。以短信内容为例,短信内容覆盖个人生活的方方面面。掌握个人的短信内容不单极易还原个人的人格特征,从而使个人的行为计划暴露于外,影响信息主体的行为自由。不仅如此,还有可能暴露个人的财产信息,威胁财产安全。在当代民法中,人格权的地位已经越来越凸显,形成了与财产权相对立的权利体系和制度,且相较而言更加重要。个人信息的人格利益是其所追求的或者所凝固的核心价值,深刻地影响着个人信息保护制度的生存与发展,也是制度利益的根本属性的体现。因此,相比个人私密信息潜在的财产价值,人格尊严和人格自由方面的利益显然更高一筹。

杭州互联网法院研究室负责人曾宪未法官认为,个人信息保护的司法实践中存在两个难点:一是法律适用较难。现行立法整体比较原则,导致个案适用争议较大,裁判尺度难以统一。个人信息边界仍较模糊,实践中的个人信息采集囊括了行为、位置等不具有直接个人身份识别性的信息。网络平台权利义务不够明确,网络平台和用户对不同阶段的数据分别享有何种权利没有具体规定。援用条文也存在困境,例如,面对网络平台数据侵权案件,法院只能援引反不正当竞争法的一般条款判案。二是事实认定难。这类案件通常具有类型新、领域广、跨地域等特点,背后还涉及网络平台与网络平台、用户与用户的复杂关系,难以确认侵权事实。另外,这类案件一般是电子证据,电子证据在固定、存储、检验等环节存在虚拟性、脆弱性、隐匿性和易篡改性的不足,诉讼规则不是特别完善,证据认定存在难题。

从法律体系安排上看,《民法总则》对人格权的制度安排优先于财产权。《民法总则》第1章“基本规定”的第2条规定“民法调整平等主体的自然人、法人和非法人组织之间的人身关系和财产关系”。法律制度是理性构建的产物,也是利益平衡的产物。将“人身关系”置于“财产关系”之前,突出了民法构建制度上的价值选择,即优先保护个人的人身权益。《民法总则》第5章“民事权利”中第110条规定的是人格权利的保护,第127条规定的是对财产权利的保护。显然,人格尊严作为法律保护的更高价值,应当具有优先于财产利益和私法自治的价值。将其作为重要价值加以保护,也体现了民法的现代性。

刘笑岑女士认为,个人信息保护所保护的是个人信息本身还是相关主体的其他权利,是人身安全还是财产安全,多方链条中究竟谁有权授权,非法获取的损失证明等实践中的问题都需要思考。就非法获取数据行为的案例而言,单纯的爬虫行为构成犯罪的并不是特别多,刑法究竟是保护计算机系统的安全还是保护对信息系统的绝对控制权,抑或保护系统之内信息不容其他人占有或获取的法益,值得研究。

因此,从价值衡量和民法制度上的安排可以看到,人格权益高于财产权益,即私密信息所蕴涵的人格权益高于其潜在的财产权益。当信息业者在收集个人私密信息时,告知同意作为信息业者实现经济利益的手段,并不具有普遍的合格依据,因而不能以告知同意来限制或者侵害他人的人格权益。也就是说,告知同意是一种弱保护,不能为收集私密信息提供必要的保护,收集私密信息应该适用隐私权保护规则。

明确个人信息的保护范围

通讯录、短信内容、通话信息构成个人私密信息

马军庭长认为,从司法角度来讲,首先要明确保护范围如何界定。个人信息保护实际是一种信息识别上的保护,保护主体是人,基于人和人格权项下的各种权利延伸出整体的保护,延伸到跟人关联的或者是其他相关的能够反馈识别的各种信息。比如,实践中有手机通讯录、地理位置等信息是不是在个人信息保护范围内的问题。再如,社会关系以及相互关系、行为轨迹、特定范围内人与人之间的表达、生活习惯、消费行为和消费能力,包括理财、租赁、投资以及家庭成员等,都是个人信息可能会面对的范围。而完整的个人信息只是理想化状态,每个人的信息就是可以被识别的某个时间段、某个阶段的信息,这些与个人相关的信息的保护边界在哪里,需要思考。

通讯录、短信内容、通话记录等记载着通联双方的号码信息、姓名、通讯内容、社会交往网络等十分私密的信息,这些信息是个人通常极不愿意公开的。可以试想一个场景,如果一个自然人与哪些人曾经有过接触、其在某个具体的时间点与哪些具体的人有过何种方式的接触、接触的内容具体为何,这些信息都被第三方主体所清晰掌握的话,那么这样的场景无异于是对该自然人的一种“立体跟踪”。这将对自然人造成极大的恐惧心理与不安状态。目前尚在审议中的《民法典人格权编》第811条第2款规定,“隐私是自然人不愿为他人知晓的私密空间、私密活动和私密信息等”。从此规定来看,隐私的特征是具有相当的私密性。通迅录、短信内容、通话记录等由于存在于双方的互动关系中,能够反映出该通讯主体的不愿意为他人所知晓的社会交往情况,可以满足“私密性”这一要求,构成个人隐私。需要进一步指出的是,对于通讯录而言,其是各条通讯名片的集合,还关乎着他人不愿向第三人展示的私密信息,信息主体无权处分他人的私密信息,因而通迅录还是信息主体明确表示同意后也不能收集的私密信息。因此,收集个人通讯录、短信内容、通话记录时仅仅遵循告知同意原则是不够的,还应当遵循隐私权的保护规则。对某项涉嫌侵害该信息的行为只有在既满足个人信息权益侵害抗辩,又满足隐私权侵害抗辩的情况下,才能够真正免责。

许丹检察官认为,电子邮箱和轨迹信息能否归于个人信息保护范围是实践中较为棘手的问题。对于电子邮箱,对犯罪分子掌握公民邮箱和邮箱密码,能否认定其非法获取公民个人信息,需注意到有些邮箱并非跟个人一一绑定,有的可能是企业注册的邮箱或僵尸邮箱。实践中,一般用非法获取计算机数据罪处理,倾向于不能当然地就将邮箱认定为公民个人信息。

综上,我国已有立法及法律草案重视对隐私权及个人信息的保护,尤其是重视对个人私密信息的保护。私密信息是个人信息与隐私交叉重叠的部分。这一部分既要受到个人信息的保护,还要受到隐私权的保护。当两种适用规则发生聚合时,需采取“就高不就低”的原则,适用于比“告知同意”更严格的标准,如此方能最大限度地保护信息主体的权益。

侵害个人信息的侵权法救济路径

四、正当目的原则和必要原则对告知同意的限制

1、侵权行为类型

正当目的原则、必要原则与告知同意原则的关系

陈剑主任提出,个人信息侵权行为主要有信息的收集、使用与转移。首先是信息过度采集,江苏省消保委曾就百度手机APP过度索取消费者的个人权限提起过公益诉讼。实践中有的APP隐私政策没有达标,有的甚至没有隐私政策。在进行告知同意时提请同意的方式不显著,条款繁多复杂,导致消费者有时难以看懂,或者难以知晓风险。有的同意书有格式条款性质,消费者通过被概括授权的方式,把自己的信息完全置于企业的控制下,而没有任何其他的介入能力。这在敏感信息收集时问题更明显。敏感信息的泄露会直接导致未来相关财产安全、人身安全损害的问题。同时,当下有多种方式要求提供或者收集个人信息,综合抓取收集形成对个人的精准识别,使个人趋向明白无误地在网上存在;在信息使用方面,侵害个人信息的行为主要体现为相关信息的泄露,比如酒店、快递企业和订票平台都可能泄露所掌握信息,且在被概括授权之后无限期地长期占有,这可能需要通过设立相应期限来解决。公司可以充分利用挖掘个人信息,消费者却无法知悉个人信息的状况,无法修正、删除,对此维权困难;在数据移转方面,存在企业合并、收购、破产过程中如何保护用户信息的问题,而企业收购的原因也往往在于通过各种方式占有信息,最终形成一个综合的更大的信息占有以及对用户的精准画像。

从我国有关个人信息保护的立法及国家标准文件来看,对个人信息保护的基本原则体系已经达成了初步共识,即个人信息保护的原则分为基本原则和具体原则。基本原则是具体原则的上位原则,指导具体原则的实践。具体原则是基本原则的具体化,配合基本原则的实施。不同层级的原则之间是指导与被指导的关系,相同层级之间是平行且互为补充的关系。

2、归责原则

全国人大常委会《关于加强网络信息保护的决定》第2条表明:正当目的原则、必要原则与告知同意原则的关系,或是平行关系,或是指导与被指导的关系。当正当目的原则、必要原则与告知同意原则是平行关系的时候,相同层级之间是互为补充制衡的关系,在信息业者收集个人信息时,除了要受到告知同意的限制以外,还要受到目的原则和必要原则的限制。当正当目的原则、必要原则高于告知同意原则时,正当目的原则和必要原则作为基本原则指导告知同意原则的具体实施。信息业者在收集个人信息时,就需要先考虑目的正当性和必要性。只有在符合正当目的原则和必要原则的前提下,才能去考虑获取信息主体的同意。如果收集个人信息与使用目的无关,那就失去了要求信息主体同意的前提,如2015年荷兰数据保护局对谷歌数据融合事件的调查报告所指出的,“谷歌隐私政策中所阐述的目的是含糊不清的,违反《荷兰数据保护法》第7条;谷歌与被动用户之间不存在合同关系,但却收集了被动用户的个人数据,违反了必要原则”。谷歌数据融合事件表明,即便用户同意谷歌的隐私条款,但由于隐私政策本身违反目的原则和必要原则,谷歌收集用户信息的行为也不能合法。

丁宇翔庭长认为,应当在民法典人格权编的“隐私权和个人信息保护”这一章明确侵害个人信息的归责原则,如果没有规定,就只能适用《侵权责任法》第6条或者《民法典侵权责任编》第644条第1款。在侵犯个人信息的案例中,不宜适用传统过错原则,因为原告甚至对此根本没有举证能力。民法典对此应表明态度,或者参考程啸老师在为最高人民法院起草的《个人信息纠纷司法解释学者建议稿》中给出的建议,至少可以采取列举和一般条款相结合的方式,列举最重要的侵害个人信息的类型。在很多情况下可以适用过错推定,同时区分个人信息保护泄露和个人信息错误,确定不同的归责原则。

总之,正当目的原则、必要原则与告知同意原则的关系,或是平行关系,或是指导与被指导关系。平行时,是互为补充的关系;于指导与被指导时,首先需要先考虑目的正当性和必要性。但无论正当目的原则、必要原则与告知同意原则是何种关系,正当目的原则、必要原则与告知同意原则都应当是结合适用,且告知同意原则都要受这两个原则的约束。

刘莹莹认为,因为侵犯个人信息权利是民事侵权,故应遵循民事侵权认定的构成要件。从个人用户的举证能力和很多平台都在收集数据的现状来说,用户难以准确判断信息泄露是由哪一个平台造成,但企业举证没有泄露这一消极事实也很困难,故还应适用民事侵权的过错原则,但可以根据个案情况做具体平衡。或采用场景下的合理预期规则,推定用户授权同意平台使用哪些信息。或者根据签订或者履行用户合同和隐私政策所必须收集的信息,考虑平台收集以及使用信息的合理性,而不是简单局限于知情同意或者最小化收集信息。司法机关处理这些案件时要更多考虑到互联网技术发展的现状,避免对互联网服务提供者施以过多苛刻的责任。

必威 ,告知同意原则受到正当目的原则和必要原则的限制

刘笑岑女士认为,《网络安全法》或者其他行政法规强调安全保障义务,如未尽到则由此推定在信息泄露问题上企业存在相应过错,确定举证责任倒置原则等。但要求企业证明已尽到保护用户的义务的前提在于,每个动作都要进行记录,而按照监管机关的要求有些记录没有办法进行。故对企业而言,基于个人信息保护要求数据或者权限最小化的要求,与诉讼中的举证义务本身存在相悖的地方。

个人信息保护的原则并不是孤立适用的,基本原则与具体原则共同构成一个有机、协调的整体,控制收集、使用个人信息的整个过程。任何法律原则的使用都是有前提的,都需要与其他的原则相配合,或者是受较高位阶原则的制约,或是与同位阶的原则的相互制约。然而,在实践中过度强调告知同意原则在收集个人信息中的作用,不免让原则体系的天平出现倾斜,破坏了原则体系的立法平衡状态。应当看到,告知同意原则的适用,需要受到其他原则的限制。

3、因果关系

  1. 告知同意原则要受到正当目的原则的制约

刘笑岑认为,关于侵害个人信息的因果关系怎么建立,是不是只要没尽到安全保障义务即可认定为信息泄露源,存在进一步论证空间。至于多因一果的责任分配,目前民法典人格权编草案提到处理者,但并没有给出相关定义。GDPR明确提出了控制者和处理者的概念,也进行了相应的责任和义务分配。但是,它忽略了多重控制者的存在可能,以及互联网企业在数据安全上跟处理者谈判时可能处于弱势地位的现状,故需考虑不同身份主体的责任分配。

何谓正当目的原则?从国外立法来看,为全球个人信息保护原则奠定基础的《OECD指南》在第9条将正当目的原则定义为收集个人信息应当与使用的目的有关。2013年修订后的《OECD隐私框架》对信息收集的目的进行了严格的限制,从反向角度定义目的原则,即“违反法律规定的强制性限制不能收集个人数据”,政府收集个人信息的还需要再满足“不能超过法律授权的范围、具有合法目的”。欧盟的《通用数据保护条例》强调正当目的原则是指“个人数据的收集应当具有特定、明确且合法的目的,对个人数据的处理不应当违反初始目的”。从国内立法来看,2012全国人大常委会《关于加强网络信息保护的决定》首次对“正当目的原则”作了规范的表述,但却没有说明该原则的具体含义。正当目的原则的具体规范也见于有关个人信息保护的国家标准文件上,例如,《信息安全技术个人信息安全规范》第4条b项规定,“具有合法、正当、必要、明确的个人信息处理目的。”不难看出,我国国家标准在一定程度上吸收了国外正当目的原则的有关规定。

4、责任与赔偿

综观国际和国内有关的个人信息保护立法,目的正当性的要素包括:相关、特定、明确且合法。其中,“相关”是指信息业者收集的信息必须是与其提供的服务有关。“特定”是指目的应当在不迟于收集个人信息时确定下来,还意味着对目的描述必须提供足够的细节,使之具备辨识度。目的特定反映出信息主体对可预见性的期待,信息处理应当可由信息主体所预见,并且不得超出其合理预期。“明确”则是指,目的特定化之后,还应当明白无误地展现出来,应当尽量确保信息主体、信息控制主体乃至其他利用个人信息的第三方都能够对该目的具有一致的理解。这就要求信息控制主体在履行告知义务时,披露足够多的细节,以使双方能对约定目的和个人信息可能的使用范围产生一致的认识和预期。倘若对目的的规定过于简单、宽泛,如“提高服务质量”,就会使个人信息在一个极其宽广的范围内被使用,由此而产生的不确定性和风险敞口太大。“合法”是指收集个人信息必须符合相关法律法规的规定,不违反法律的禁止性规定。欧盟《通用数据保护条例》第6.1条对个人信息收集的合法性依据作了详细的规定:“履行数据主体是一方当事人的合同,或为应签订合同之前数据主体的要求而采取措施之必要;数据控制者遵从法律义务之必要;为保护数据主体或另一个自然人核心利益之必要;为履行有关公共利益或行使经官方当局授权于数据控制者的任务之必要;数据控制者或第三方追求合法利益之必要,除非这些利益被数据主体要求保护个人数据之利益或基本权利和自由所超越,尤其当数据主体是儿童时。”

尹飞教授指出,需要明确个人信息受侵害时的非物质损害赔偿责任即精神损害赔偿责任。同时,对于国家机关及工作人员泄露个人信息时的损害赔偿责任的性质究竟是国家赔偿,还是侵权赔偿责任,也需要加以明确。

告知同意原则受正当目的原则的限制。这就要求信息业者收集数据之前,须确保收集信息的目的是具有正当性的,即收集的信息与提供服务具有相关性、特定性、明确性且合法性。除此之外,需要指出的是,正当目的原则应该合乎宪法规定,因为宪法规定的基本权利是设立主体权利、客观法律规范和一般解释原则的基础,对一切国家权力和国家机关具有直接的约束力,民法也不例外。例如,宪法保障公民的通信自由和通信秘密,禁止任何组织或者个人以任何理由侵犯公民的通信自由和通信秘密,收集个人信息只有在遵守通信自由和通信秘密宪法权利保护规则的情况下才具有正当性,才能在此基础上要求告知同意。又如宪法保障公民的人格尊严和人格自由不受侵犯,收集个人信息应合乎自然人基本的人格自由和尊严,否则将不具备收集的正当性。除符合宪法规定外,还应符合民法上的基本原则的规定,如公序良俗及诚实信用原则。就公序良俗原则而言,“裸贷”是非法分子借用互联网金融和社交工具为平台和幌子,以让贷款人拍摄“裸照”作“担保”,非法发放高息贷款的行为,以“裸”换“贷”,违反民法基本原则公序良俗的规定,当属无效。就诚实信用原则而言,信息业者在明确其与提供服务有关的个人信息收集范围后,应当言而有信,遵守双方对信息收集目的的约定,不应该收集与提供服务无关的个人信息。如新浪微博诉脉脉案,法院认定脉脉未经新浪微博用户的同意及新浪微博的授权,获取、使用脉脉用户手机通讯录中非脉脉用户联系人与新浪微博用户对应关系的行为,违反了诚实信用原则及公认的商业道德,破坏了0pen API的运行规则,最终判决脉脉败诉。因此,收集个人信息要确保收集信息的目的符合宪法的规定以及民法原则,不得违背公序良俗和违反诚实信用,只有如此才能最大限度地保证收集目的的正当性。具备目的正当性的前提下,才能确保告知同意原则的正当性。

陈剑主任认为,可以考虑将网上的传播范围作为损害赔偿计量金额的尺度。在发现最终端的侵权者时,还应当相应的链条之上的行为人追究连带责任。

  1. 告知同意原则要受到必要原则的制约

合同法与个人信息保护

必要原则是指在从事某一特定活动可以使用也可以不使用个人信息时,应尽量不使用;在必须使用并征得权利人许可时,要尽量少使用;获取的信息量,以满足使用目的为必要;为达到目的只需要使用权利人的非私密个人信息的,就不应该扩大信息收集和使用的范围。《OECD指南》第7条规定:“个人数据的收集应受限制……”尽管条文较为抽象,这里对“限制”可以理解为收集行为应当限于实现特定目的的最小必要限度。《108号公约》第5.3条c项对必要原则的概念表述为:“充足、相关、不过量的,并且限于上述目的的最低必要限度。”《通用数据保护条例》第5.1条c项对必要原则的表述是:“数据应是充足的、相关的并且限于数据处理目的最小必要范围。”反观我国,《电信和互联网用户个人信息保护规定》第9条第3款明确规定“电信业务经营者、互联网信息服务提供者不得收集其提供服务所必需以外的用户个人信息或者将信息用于提供服务之外的目的。”《网络安全法》第41条第2款明确“网络运营者不得收集与其提供的服务无关的个人信息”。《信息安全技术个人信息安全规范》第4条d项规定:“除与个人信息主体另有约定外,只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量。”从国内外立法看出,必要原则具体包含充足、相关、不过量等要素。必要原则也应符合信息收集的比例原则。比例原则要求信息业者在收集个人信息时应兼顾收集目标的实现和保护信息主体的权益。

金锦萍教授认为,个人信息中有些是可以作为交易标的,但需要考虑交易信息不是与基本权利相关,以及有无支付对价。支付使用费情形下形成的平台性权利,完全可以交易。但问题在于,可能存在产业利用优质资源低价收购的问题。这当中不仅包括侵权,还涉及到契约关系。有时可能是整个行业规则都构成侵权,需要考虑行业本身惯例或者规则本身的违法性问题。

告知同意原则的适用受必要原则的限制。这就要求信息业者收集个人信息时,需要确保所收集的信息是实现其服务功能的最少信息。首先,收集的信息对实现正常服务而言是“充足”的,即信息业者收集的个人信息是保障某一服务类型正常运行所必需的个人信息,一旦缺少将导致该类型服务无法实现或无法正常运行。其次,收集的个人信息只能是用于与提供这项产品和服务密切关联的,例如一个导航App就不能去收集个人的通讯录、短信内容;一旦收集就明显违反了必要原则中的相关性。最后,应确保收集的个人信息“不过量”,即要求信息业者对信息的收集必须对实现其目的是必要且必需的,信息业者不能无限宽泛地去设定自己的营业目的,应当对营业目的作出必要的限制。在这一点上,2019年8月全国信息安全标准化技术委员会秘书处组织起草的《信息安全技术移动互联网应用收集个人信息基本规范》,明确列举了21款常见App的服务类型以及服务类型对应的最少使用信息,且当用户同意 App收集某服务类型的最少信息时,App不得因用户拒绝提供最少信息之外的个人信息而拒绝提供该类型服务。因此,只有在收集信息符合必要性的前提下,告知同意才能变得有意义。

个人信息保护展望

五、执法检讨与改进:不应满足于“隐私政策”评估

曾宪未法官建议在司法实践中需要把握两个重点。一是更加注重利益平衡,合理界定网络平台的责任。应坚持鼓励创新、包容审慎的司法理念,兼顾用户、平台和社会公众的利益,促进个人信息保护和信息资源利用的平衡。二是更加注重协同创新,完善个人信息保护制度。确立和完善互联网裁判规则,吸收学术界与实务界的智慧,不断创设完善个案规则,推动个人信息保护制度与经济社会发展相适应。在协同创新中,还注意与行政机关的协同。

五、执法检讨与改进:不应满足于“隐私政策”评估

陈剑主任认为,希望司法裁判理念能够更多从消费者保护的角度切入,因为人身、财产、信息、安全应处于首要保护地位,如果过于保护产业利益,可能会造成消费者所受到的歧视待遇和差别待遇。

“告知同意原则”存在被滥用的现实风险

石佳友教授就网络画像、精准营销的问题指出,这是信息自动化处理构成对个人信息的损害,但因为机器没有伦理,所以要强调赋予主体申请人工复审的权利,对网络画像比如算法歧视,要运用个人信息处理的透明度和非歧视原则,防止算法黑箱的操纵。

目前所谓的“已获得用户同意”存在着被滥用的现实风险,这主要体现在以下方面:

伍萌女士认为,个人信息保护中有个人责任、平台责任也有监管部门的责任,三方要形成利益均衡点和良性互动。在互联网管法方面,需要探讨管理尺度和方法的问题。另外,也需要建立与其他行政机关、司法机关的联动机制,由网信办进行源头治理,如对关键信息基础设施要进行检查等。

首先,很多情况下,手机App等互联网应用所谓的“告知”并不是真正的告知。这主要是指手机App等互联网应用在其格式化的“告知”过程中,只是机械地将一份早已拟就的、目的仅在于规避法律风险的所谓“告知”文件呈现在用户面前。真正的告知应当是指行使告知的主体将其内心真正的意思完整、准确、具体地告知用户。否则,这一所谓的告知过程就仅仅是形式,而如果肯认这样一种“走过场”的告知可以产生完全的抗辩效力,就无疑是赋予了信息业者完全规避法律监管的特权,这显然不是立法的本意。

[ 学术立场 ] 2票 67% 1票 33% 发表评论

其次,很多情况下,用户的“同意”并非真正的“同意”。一个不容忽视的现实是,在极大多数情况下,用户只要不同意手机App等互联网应用所要求的概括同意,就完全无法使用或在相当程度上无法使用该App的服务。在这一事实情况下,用户的“同意”只是一种无可奈何、不得不作出的“同意”,难谓用户的真实意思表示。

最后,不乏大量手机App等互联网应用采取隐瞒方式获取用户同意的情形。这是指一些手机App等互联网应用虽然在个人信息或隐私条款中详细罗列了其要收集的个人信息的范围、用途等需要用户予以同意的具体内容,但是其实际收集、上传、储存、使用的个人信息及其用途却与同意条款中的情形并不符合。用户在具有极大技术劣势的情况下,对于这样一种欺诈行为可以说是毫无招架之力。

监管部门未能全面正确理解和适用告知同意原则

为了规制手机App等互联网应用滥用“告知同意”原则大肆搜集个人信息的问题,相关部门纷纷开展对隐私政策的评估工作。2017年7月,由中央网络信息办公室、工业和信息化部、公安部、国家标准化委员会等四部委组成的专家工作组对一些企业网络产品和服务的隐私政策展开了评审。2018年12月,全国信息安全标准化技术委员会在北京召开隐私条款专家评审会,会上专家依托隐私条款专项评审“工具”对第二批40款互联网产品和服务的隐私条款进行评审。另外2018年8月,中国消费者协会对百款App开展个人信息保护情况测评活动。2019年1月25日,中央网信办、工业和信息化部、公安部、国家市场监管总局联合发布公告,开展App违法违规收集使用个人信息保护专项治理行动,其中治理的重点内容便是对千款用户数量大、与民众生活密切相关的App隐私条款和个人信息收集使用情况进行测评,可见虽然监管部门一定程度上转变了监管思路,但隐私政策的评估和审查,也仍然是监管的重点内容。可见,我国网络信息监管部门主要通过对隐私条款的审查,来达到安全规范信息业者收集个人信息的目的。

在尚未出台个人信息保护法的背景之下,相关监管部门开展的隐私政策评审工作,对于减少互联网企业滥用“告知同意”原则收集个人信息的行为、推动互联网企业提高个人信息保护力度、保障信息主体的真实意愿,起到了重要作用。但是,监管部门对告知同意规则的认识仍然存在偏颇。具体而言,监管部门仅仅停留在审查信息业者在收集个人信息时有没有设置隐私政策,或者是隐私政策的设置是否符合收集个人信息的相关原则,并没有充分认识到告知同意的合宪性合法性以及与其他原则的相互关系。应当看到,告知同意原则要受到通信自由和通信秘密宪法权利的限制,要受到隐私权的限制,还要受到正当目的原则与必要原则的限制。只有全面准确认识和理解告知同意原则受到的限制,才能正确指导实践。

一方面,未来监管部门对隐私政策的评估,不能只局限于考察有没有隐私政策,以及其隐私政策是否符合评估标准,更重要的是区分哪些信息是不能收集的,哪些信息是即便履行告知同意也是不能收集的。另一方面,网络监管部门要严格地执法,对违规收集个人信息的行为不能仅限于责令下架整改,更要和企业信息信用系统关联,向社会公示企业违规收集行为,以此达到强化监管的目的。

互联网企业未能全面正确理解和遵守告知同意原则

互联网企业一方面为了主动迎合信息时代的发展,另一方面是迫于被下架整顿的压力,不断调整向用户告知的方式。

在“告知”方面,相比传统的一键式授权隐私政策的模式:一是增加了弹窗等增强式告知的方式,该方式浓缩了隐私政策的核心内容,向用户展示了收集的个人信息类型、目的等用户最关心的事项……例如,某导航App采用图标简略告知的方式,免去繁杂的告知条款,让用户对收集信息类型一目了然。二是增加了即时提示,即在用户使用过程中以即时通知的方式向用户提供关于具体个人信息处理行为的提示。通常是及时告知用户,信息业者正在处理用户的私密信息,比如iOS标题栏显示正在使用位置信息。三是对开启具体业务功能的单独告知,平台式的应用集合很多功能时,可能会遵守同一份隐私政策,在用户点开某些具体业务时,产品和服务的提供者可能还会提供一次单独的告知,有针对性地告知用户,此时具体业务功能的个人信息处理也是遵从整体的隐私政策的,只是对隐私政策的内容进行细化。

在获取用户的“同意”方面,手机App等互联网应用也改变过去一揽子协议强迫用户同意,越来越注重用户自主的意思表达。如强调用户通过书面声明或主动做出肯定性动作,对收集和处理其个人信息的请求做出明确的授权。明确授权行为又可细化为:用户主动作出声明、主动勾选、主动点击“同意”“下一步”“注册”“发送”“拨打”等一系列肯定性动作。一些互联网企业还针对所需收集的用户个人信息设定隐私默认选项,适当赋予用户以选择权。例如,Facebook此前曾因未能披露其面部识别业务而陷入法律麻烦。在这之后Facebook承诺将其在用户设备照片中进行人脸识别的功能由默认开启改进默认关闭,即Facebook的人脸识别设置不会自动开启,只有用户在新闻推送中打开通知并作出同意的选择,人脸识别系统才会打开。Facebook以此来保证选择开启功能是用户清晰的自主意思表达。

信息业者从提高自身服务的角度出发,因地制宜制定或修改隐私政策,这对消费者隐私权保护及数字经济发展是一个好的开端,它实现了由“自发”到“自觉”的转变。然而,信息业者自律改进隐私政策的措施,只是在履行一个更充分的告知、更明确的同意要求,并没考虑到履行告知同意的限制前提。如果信息业者收集的个人信息是宪法和法律所禁止的,是有损社会公共利益或者违背公序良俗的,那么即便信息主体对有关隐私政策作出清楚、明确同意的意思表示,那么该“同意”也不能被认定是有效的。实践中,不同信息业者的隐私政策可能存在巨大的差异。隐私政策的不规范性主要表现为不同信息处理者的隐私政策在具体标准、内容结构、呈现形式以及被查找的容易性等方面参差不齐。因此,还需要各个互联网信息行业达成基本的共识,在隐私政策中贯彻告知同意原则的限制收集精神,共同制定隐私政策,并予以统一实施。

六、规范告知同意的若干技术路径

互联网企业的发展离不开对客户的隐私保护。为了提升隐私保护水平,首先需要互联网运营商具有自律意识,从战略高度认识隐私保护的重要性,同时从技术路径角度限制个人信息的收集,如此才能真正把发展愿景变为现实。

操作系统的整体控制

操作系统作为控制收集用户信息权限的初始环节,对其进行隐私保护设计,更易达到从源头上规范个人信息收集的效果。从实践来看,欧盟《通用数据保护条例》以及美国《加利福尼亚州消费者隐私法案》都规定了隐私设计理论。与此同时,苹果、腾讯等一大批互联网巨头也纷纷在践行隐私设计理论。例如,苹果公司的Safari将阻止第三方Cookie的功能作为其默认设置,用户在初次使用Safari时就能有效避免其数据被第三方收集,实现在系统开发阶段限制个人信息收集的效果。近年来,安卓系统也通过不断更新版本,从实行授权机制是安装时一揽子授权,到敏感权限逐一授权,再到授权机制要求调用权限需要有必要的业务场景等安全举措,改进了收集个人信息的权限设置。此种机制的设置主要是将个人信息保护嵌入技术、商业准则和物理存在的基础设施的设计标准中并加以保护。此种风险预防、技术与法律互动的思路克服了过去仅在信息收集时单纯依赖告知与选择机制的不足,让信息管理者甚至信息主体参与到企业运作和个人信息保护的全过程,有利于提升企业个人信息保护的能力和主动性。

在规范个人信息收集的过程中,一方面要强化对个人隐私的保护,另一方面还要强化对个人一般信息的利用,因而在设计系统程序时要正确贯彻“两头强化”的理念。具体而言,可以预先在操作系统里嵌入分级管理程序,使其成为系统运行的默认规则。按照个人信息的私密程度不同,设置四个不同级别的管理程序。第一个级别是针对收集一般个人信息,获取用户的一般概括的同意即可;第二个级别是需要用户作出一般考量的;第三个级别是需要用户特别考量的;第四个级别是保障某类型服务正常运行所必需的最少系统权限后,默认禁止收集其他个人信息。这就使得信息业者要获取特殊权限的数据就会变得困难,一些信息根本收集不到,有一些是需要经过比较特别的程序才能收集到,而有的信息又是比较容易收集到。如此操作的意义在于:其一,在信息生命周期的最开始就去思考个人信息和隐私保护的问题,而不是在事件发生之后,更具保护效率;其二,将个人信息保护的需求设计为系统运行的默认规则,意味着用户无须采取过多额外的行动就可以维护个人信息的安全;其三,既满足了信息主体对隐私权保护的要求,也使得信息业者的收集活动变得简便且成本降低,实现信息主体与信息业者之间的共赢。

应用软件运营者的自律

应用软件作为收集个人信息的直接载体,应该在实践中发挥自律规范作用。一方面,应用软件功能的实现依赖于操作系统的运行,应用软件运营者应该严格遵守操作系统的权限要求。对于违反操作系统权限要求的应用软件,操作系统可以对其进行下架处理。例如2019年1月,Facebook在苹果系统上发布的一款“市场研究”App,因该App后来用于跟踪用户使用其他App的历史记录、私人消息和位置数据,违反了双方关于允许Facebook收集用户各种个人数据的协议,最后遭到苹果系统的下架处理。而在此之前,Facebook就发布了一个名为Onavo Protect的独立App来收集类似的用户数据,结果因为违反苹果的指导原则,在2018年8月从苹果应用商店里被下架。苹果公司通过操作系统对违规应用软件做下架处理,保证自身系统安全性的同时,也使得广大苹果用户信息免于被非法收集。应用软件只有符合操作系统的要求,才能保证自身的正常运营,可见,操作系统的默认权限设置与应用软件自律并行不悖。

另一方面,依据收集限制原则,应用软件运营者必须严格依照系统本身的功能目的来收集、处理和流转数据。例如,运动健身类App,其只需要收集用户定位信息、个人运动信息、身高体重等个人信息为用户提供运动记录、健康建议服务,而对于个人的通讯录、通话记录、短信内容等无关信息不应进行收集。应用软件运营者在界定所需要收集、处理以及流转的数据范围和类型后,按个人信息的敏感或者私密程度限定收集信息的范围,设置App收集个人信息的权限。值得注意的是,在国外的司法实践中,欧盟将默认设置的预勾选功能界定为影响个人选择的诱导因素。例如,2019年10月欧盟法院就涉Cookies案件作出的判决显示:有关Cookies的预勾选并不自然等于权利人有效的同意。可见,欧盟在逐步强化个人信息的限制收集意识。有了前车之鉴,在我国应用软件的隐私设置中,对于需要获取的用户的重要信息权限、私密信息权限,原则上应该设置默认关闭功能,并且排除不必要的预勾选开启功能,由用户初次使用时手动开启权限,以尊重用户的完全自主权。当然,应用软件运营者也可以通过具体参数的设置,开启应用软件的私人定制服务,来迎合市场对隐私定义的不同需求。

从个人端点限制个人信息的收集

操作系统、应用软件在开源阶段,对个人信息加以严格区分及作出不同的保护标准,大大提高了信息主体作出“同意”的有效性。对于个人而言,信息主体从个人端点限制个人信息的收集,是在终端保护个人信息的重要手段。

从个人端点限制个人信息的收集,应该做到:首先,用户加强个人信息的保护正确意识,提高警惕,防范个人隐私泄露。具体而言,用户要注意选用安全合规的操作系统和应用软件。安装和使用手机App等互联网应用时,注意认真阅读App的应用权限和用户协议或隐私政策说明。其次,用户需要养成定期管理手机的收集权限的习惯。不随意开放和同意非必要的读取权限,不随意输入个人隐私信息,定期维护和清理相关数据。安卓系统用户可以通过手机设置中的“权限管理”,IOS系统用户可以通过手机设置中“隐私”,看到自己下载的互联网应用软件都有哪些权限,权限中哪些是开启状态,将不相关的、涉及隐私的手动关闭。用户可定期筛选一遍,把所有不影响正常使用的授权全部关闭,避免“流氓软件”在不知情的情况下收集个人信息。最后,用户应积极通过有效手段及时主动维权。用户发现个人信息被过度收集时,要通过有效手段及时主动维权,必要时向有关部门反映或者向法院起诉,主动维护个人的合法权益。信息主体对个人信息的重视,也能倒逼互联网企业为获得用户的信任度而不断提高对个人信息的保护水平。如此,鼓励公民参与限制App等互联网应用对个人信息的收集,也是强化公民利益表达、救济和监督的有力手段。

当然,从个人端点进行信息收集的限制,保护个人隐私的同时,还要兼顾促进一般个人信息的流通。正如Facebook的创始人马克·扎克伯格所言,随着社交网络的盛行,隐私不再是社交的规范,分享个人信息才是新的潮流。因而,就个人一般信息而言,信息主体还需要做出一定让渡,让信息业者得到收集、处理和利用的更大自由,以利其经营。如此,方有利于调和个人信息保护与利用的需求冲突,实现利益平衡。

综上,在收集个人信息的过程中,信息业者自觉为信息主体的核心隐私提供保护,积极研发规范个人信息收集的操作系统、应用软件等多重技术;个人对信息收集进行概括控制并适当让渡一般个人信息的使用权,形成企业自律、公众参与的齐头并进模式,共同建立符合我国社会经济发展需要的个人信息保护制度体系。未来在个人信息的执法或者司法规范中,不应仅局限于对隐私政策的评估,还应发挥操作系统和应用软件设置默认限制个人信息收集的功能,在源头上规范个人信息过度收集现象。同时,鼓励公民参与限制手机App等互联网应用对个人信息的收集,强化公民利益表达、救济和监督手段,达到在个人信息发展的全过程规范个人信息的收集规则。

七、结语

5G时代,万物为媒。新世界向人类开启无限机会的同时也时刻潜伏着危机,即人类和机器在挖掘信息价值的同时也对人类的隐私再次发起挑战。保护个人信息尤其是规范个人私密信息的收集,应该是当代法治的重要任务之一。

当下,利用手机App等互联网应用在收集用户个人信息时,应该对告知同意原则作出合理限制,以避免其滥用而侵害他人的宪法权利和其他合法权益。告知同意原则要受通信自由和通信秘密宪法权利的限制,要受隐私权保护的限制,还要受目的原则与必要原则的限制。因此,不能简单地以告知同意原则作为任何情况下不当收集个人信息的合格抗辩。在实践层面,对告知同意原则的合理限制,不应仅仅满足于对隐私政策的评估,更需要进行价值层面的衡量并作出执法和司法上的正确判断。同时,作为互联网企业,在竞争日益激烈的互联网生态环境中,应该根据占据的市场支配地位,从操作系统、应用软件技术路径着手,规范个人信息的收集类型,依法依规收集个人信息。作为信息主体,正确理解告知同意的限制,加强保护个人私密信息的意识,适度让渡一般个人信息,以使信息业者得到收集、处理和利用的更大自由,实现信息主体与信息业者经营利益的平衡。此外,从技术路径及信息主体的自主控制出发,加强对个人私密信息的保护,也是实现信息主体个人权益与信息业者经营利益的平衡的重要路径。

[ 参考文献 ]

北大法宝法学期刊库《比较法研究》2019年第6期。因篇幅较长,已略去原文注释。张新宝,中国人民大学法学院教授,中国民商法律网授权学者。

[ 学术立场 ] 5票 83% 1票 17% 发表评论