朱芸阳:定向广告中个人信息的法律保护研究——兼评 “ Cookie 隐私第一案”两审判决(二)
四、个性化推荐服务的定性分析
两审法院在对Cookie 信息认定存在分歧的基础上,进而对百度是否侵害隐私权也得出了相反结论。一审法院认为 ,“公开、宣扬他人隐私”不是侵犯隐私权的唯一方式,也包括 “收集、利用他人信息” ,本案属于后者。对此二审法院针锋相对,认为应当严格遵循网络侵权责任的构成要件,即 《网络侵权适用规定》第12 条 “利用网络公开个人隐私和个人信息的行为”和 “造成损害”是判断是否侵权的构成要件。在此针对两审法院的争议焦点,分析如下:
1.侵害隐私权的行为类型
我国 《侵权责任法》将隐私权作为一项具体人格权加以规定,旨在维护个人的生活安宁和人格尊严,除了保护个人信息秘密以外,还包括对生活安宁的保护 ③ 。表现在个人的正当活动,不受他人非法跟踪、骚扰和公开等; 个人的住宅等私人空间,不受他人非法窥视、骚扰、侵入和搜查。最高法院法官也撰文说明 ,“司法解释应当就个人信息的最重要内容和侵害个人信息的最典型情形先作出规定。从司法实践的角度看,在互联网上公布他人个人信息是目前最常见的侵权行为。在大数据时代,利用网络收集、使用自然人个人信息的行为往往是大规模的,在无例外规定的情况下,这些行为的侵权责任仍然要适用侵权法的一般规则”① 。因此,公开他人个人信息只是最常见、最典型的侵权行为,非法收集、利用他人信息,甚至不当使用他人信息对生活安宁
造成侵扰,同样也会侵犯隐私权。
2.百度是否保障了用户的知情权和选择权?
判断在个性化推荐服务中不当收集和利用个人信息是否构成隐私侵权,仍然应当依照侵权责任的构成要件,判断是否存在主观过错和损害事实。
在我国隐私侵权的司法实践中,通常是通过判断行为人是否尽到注意义务来判断是否存在过错,该义务既可能是法定或约定的义务,也可能是符合社会共同生活准则的保密义务。网络服务提供者违反法律规定或者约定的注意义务,或者是违反行业惯例中的注意义务,都可能存在过错 。《加强网络信息保护的决定》和 《个人信息保护规定》都规定,收集、使用个人信息应遵循“告知和许可”原则,履行合理的告知义务。一审法院认为,百度采取的是 “默示同意”原则,并且 《使用百度前必读》标识难以识别,无法起到规范和提醒作用,不足以保障用户的知情权和选择权。相反二审法院认为,百度的明示告知和默示同意相结合的方式,足以保障用户的知情权和选择权。两审法院的重大分歧在于,被告百度是否尽到了合理的告知义务? 即是否保障用户的知情权和选择权?
《加强网络信息保护的决定》和 《个人信息保护规定》仅规定了网络服务提供者的明示告知义务,并没有规定用户的同意应当是明示还是默示。而按照行业惯例,国际上通行的选择机制包括以欧盟为代表的明示同意即选择进入(opt- in),和以美国为代表的默示同意即选择退出(opt-out)。我国个人信息国家标准 《信息安全技术公共及商用服务信息系统个人信息保护指南》也借鉴后者,除了收集个人敏感信息时需要明示同意之外,收集个人一般信息时默许同意即可。因此,依照我国现行的法律规定和行业惯例,被告百度明确说明Cookie 技术、使用Cookie 技术的可能性后果,以及通过提供禁用按钮向用户提供选择退出机制,应当认为尽到了合理的告知义务,保障了用户的知情权和选择权。在网络服务提供者已经提供隐私权保护声明和退出机制的前提下,网络用户也应当履行适当的注意义务来实现对个人信息的控制。
3.“损害事实”要件的认定
损害作为一种事实状态,是指因一定的行为或事件使某人受侵权法保护的权利或者利益遭受某种不利益的影响。在我国司法实践中,对于认定隐私侵权的损害事实存在不同态度。有法院认为 ,“个人信息的私密性是其重要内容,……就侵害的成立而言无须考虑第三人究竟给原告带来的是利益还是损害,私人信息为第三人所知本身即为损害。”②而有其他法院认为,原告应当证明被告所实施的行为对其造成了实际的损害后果 ③ 。两审法院也恰好体现出两种不同的认定态度,一审法院采取了 “私人活动为第三人所知本身即为损害”的立场,而二审法院认为,原告应当证明 “造成事实上的实质性损害” 。
笔者认为,法律没有作出例外规定时,隐私侵权责任的损害要件也应当遵循侵权法的一般规则。损害事实应当具备侵害客体和利益损害这两个要素,除了民事权利受到侵害以外,还应当以一般人的客观标准来评价,权利被侵害造成的利益受到损害的实质性损害后果。公开或者非法获取个人隐私对人格尊严的损害,具体体现在羞辱、苦恼、不安等精神痛苦,虽然这种损害不同于财产毁损、人身伤害,但损害事实仍然应该是已经发生或者可以预见必然发生的事实,具有确定性和客观性。因此,笔者赞成二审法院的立场,要获得原告应当证明 “造成事实上的实质性损害” 。
同理,在美国隐私权保护体系下,例如依照加州宪法提起侵害隐私权之诉,除了证明具有“法律规定的隐私利益” , “在该环境下对隐私具有合理期待”之外,还必须满足第三个要素,“对隐私权的侵犯,通常情形下应该是在性质、范围,或者实际或潜在的影响足以构成对隐私权背后的社会规范的严重违反。 ”①在用户针对苹果手机(Iphone) 公司 ② 、LinkedIn 公司 ③ 、谷歌(google) 公司 ④ 等提起的侵害隐私权司法实践中,法院裁定驳回起诉,认为第三方提供电子信息甚至是提供手机唯一识别号、个人信息、地理位置信息,不能构成隐私侵权,其根本原因就在于,无法证明存在实际损失时,只是将电子信息提供给第三方的行为不构成对社会规范的严重违反。而该实际损失应当是具体而确定的,实际或者是迫在眉睫的 ⑤ 。除了被公开的信息是个人高度敏感信息之外 ⑥ ,只是收集个人信息通常不会被认为造成实际损失。
五、“Cookie 隐私第一案”带来的启示
正如Cookie 技术一样,个性化推荐服务并非生来带有 “原罪” ,相反,在高度重视隐私保护的欧盟、美国,互联网定向广告也是主流做法和发展趋势。在用户免费使用、广告收益为收入来源的现代互联网经营模式之下,以用户兴趣偏好、个性特征为基础的定向广告技术具有增强用户体验和促进经济效益的双重优势; 网站也会改善服务和质量,提升广告点击量,如此循环实现良性发展。和其他提供个人信息的情形一样,当用户因使用网络服务,而向网络服务提供者提供个人信息时,仍然是存在合理期待的,希望他们能够以与提交个人信息的情境相适应的方式来使用信息。
由于定向广告中行为定向技术的复杂性,消费者和商家之间信息的不对称,多数情形下网络用户并不知道自己的何种信息会被收集和存储,也不知道会有哪些人会获知这些信息,更不知道这些信息如何被用作营销工具来建构消费者的形象。在这种情况下,消费者信息被不恰当搜集、存储和传播的风险日益增加,所以,数据收集和再识别技术的广泛应用,使得用户在线行为所形成的Cookie 信息应当认定为属于个人信息的范畴,与个人隐私同样受到 《关于加强网络信息保护的决定》等法律法规的保护。网络服务提供者依照法律规定和行业惯例,收集和利用个人信息进行个性化推荐服务,通常不构成侵害隐私权。判断在个性化推荐服务中不当收集和利用个人信息是否构成隐私侵权,仍然应当依照侵权责任的构成要件,判断是否存在主观过错和损害事实。由于我国现有法律体系下隐私权是一种消极性的、防御性的权利,且个性化推荐服务具有其技术复杂性,网络服务提供者和用户间存在信息不对称,在实践中难以符合主观过错、损害事实的构成要件。所以,虽然我国 《侵权责任法》已经确立了隐私权制度,为个人信息保护的专门立法提供了一定的权利基础,但是个人信息的保护不能只局限于隐私侵权模式的保护。我国现有的法律体系之下,不管是民法还是刑法或是其他法律,例如 《侵权责任法》的相关规则侧重都在于事后救济,在个人信息的搜集、处理及利用阶段当事人不享有任何权利,这种事后救济方式无法充分保护当事人的权利。
大数据背景下的互联网经济时代,大量的创新来源于对个人信息的创造性利用,而获取和维系网络用户的信任对于持续促进社会经济效益也同等至关重要。为了实现保护个人人格尊严和促进互联网创新之间的平衡,应当制定专门的个人信息保护法律规范。否则,隐私不死,也将渐行渐远。我国个人信息立法的基本结构,应该充分考虑到个人信息和个人隐私两者之间的异同,由保障当事人享有信息自主决定权利的规定,及要求资讯收集利用者负担对被收集人的个人隐私进行保护义务的相关规定两大部分组成。
一方面,个人信息立法的核心内容应该是用户对个人信息的事先自决控制,首先在信息源头赋予当事人信息自主决定权利。即每项个人信息的搜集,不论是否涉及隐私都需要尊重当事人的自决或自主权利。只要是与个人有关的信息,个人就应该有自主决定是否、在何种范围、向何人如何的公开。而选择明示同意还是默示同意机制,则代表了在用户的隐私利益和互联网创新行业的经济利益之间做出平衡和抉择,明示同意的方式固然会最大程度上保障用户的知情权和选择权,但定向广告只是Cookie 技术应用的一种,过度加强对收集信息的规制,既可能因降低用户使用体验而不受用户欢迎,也会制约了互联网行业的创新和发展,目前全球排名前列的互联网多数来源于美国即为明证。同时,要求用户明示同意的做法过于严厉反而会缺乏执行力,在欧盟国家不仅多数网站难以遵守,目前多数主流浏览器都采用的是默示同意的模式,而且鲜有欧盟成员国的信息保护机关对网站进行处罚。因此,选择何种同意机制,也必须同时考虑到选择机制本身的可执行性。
另一方面,只要该个人信息涉及个人隐私时,从而可能影响对个人人格的自由发展,则对该类个人资料收集、利用就应该设置更严格的标准,赋予当事人更为广泛的权利。对个人信息的保护,是为了防止个人信息的外流或者经过数字化处理后被收集利用,从而使得个人人格权存在遭受损害的潜在风险,包括个人隐私泄露,个人形象扭曲,甚至是对人身安全产生恐惧,因此,个人隐私保护是个人信息保护的根源所在,个人信息保护是个人隐私保护在信息化社会的现代化应对举措。特别是通过多方参与机制的方式来增强行业监管,既为网络服务提供者建立切实执行的行为准则,又保障用户对个人信息的事前自决控制,建立起以民事责任、刑事责任和行责任相结合的事后救济体系。
参考文献:
[1]《Cookies: 被妖魔化的在线隐私威胁》 ,http://tech.qq.com
/a/20150401/012198.htm,2015- 08- 30。
[2]Federal Trade Commission,Order to File Special Report,File No.P125404 (2012).
[3]王利明: 《隐私权概念的再界定 》 ,《法学家》2012 年第1 期。
[4]杨临萍等: 《〈最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定〉的理解与适用》,《法律适用》,2014 年第12 期。
[5](2009) 浦民一(民) 初字第9737 号。
[6](2010) 莆民终字第994 号。
[7]Hill v.Nat'l Collegiate Athletic Ass'n,7 Cal.4th 1,37 (1994).
[8]In re iPhone Application Litig,844 F.Supp.2d 1040,1063( N.D.Cal.
2012).
[9]Low v.LinkedIn Corp.,900F.Supp.2d 1010,1025 (N.D.Cal.2012).
[10]58 F.Supp.3d 968,985 (N.D.Cal.Jul 21,2014).
[11]Genevive La Court v.Specific Media,2011 U.S.Dist.LEXIS 50543,2011 WL 2473399 (C.D.Cal.2011).
[12]例如本案中包括信用卡号码,社会安全号码,财务账号,以及美国在线成员的个人问题,包括性向,精神病,酗酒,强奸,家庭暴力。Doe 1 v.AOL LLC,719 F.
Supp.2d 1102 (N.D.Cal.2010).