【摘要】 现行的个人信息保护法律规范,以“主客体二元对立”思维下的“理性人”理念为指引,通过强调个人信息主体的自主支配、自主决断和自己责任,来平衡个人信息的使用和保护。为此,个人信息保护法律规范的整体功能,主要限于确保信息主体自主控制的实现,以及保护他们免受可举证证明的非法侵害。但是在大数据时代,个人信息保护的“理性人”理念面临着诸多困境,如“信息决策困境”、“控制权失衡”问题、“责任配置错位”问题、“损害制度失灵”问题、“安全感困境”以及“信赖缺失”问题。这导致个人信息保护法律规范内含个人信息主体和个人信息控制者之间的紧张对立关系,难以有效增强他们之间的互信。为了促进信息社会的可持续发展,个人信息保护立法应该更新理念,构建一个在“信赖”理念指引下的信义义务制度,以作为对现有制度的补充。
目次
一、问题的提出
二、“理性人”理念下个人信息使用与保护的平衡
三、“理性人”理念的理论反思
四、“信赖”理念对个人信息使用与保护的再平衡
五、结语
一、问题的提出
在大数据时代,我们为了过正常的现代生活,不得不与个人信息控制者(以下简称“信息控制者”)共享个人信息。[1]每天,超过九亿人使用“微信”进行网络社交活动;“百度”处理超过五十亿次的信息搜索;“美团外卖”完成超过一千万次的订单量。我们的这些网络信息活动,都会留下信息痕迹,透露我们的人格特征,勾勒我们的人格形象。即使我们没有主动透露重要的个人信息,大数据算法也可以通过整合不同数据库中的信息,来猜测并自动识别特定个人。弱势的我们,已将自己的脆弱性暴露给了强势的信息控制者,因个人信息的披露和使用而易受非法侵害。在大数据分析的背景下,我们不仅容易遭受信息非法泄密的侵害,而且还容易遭受信息滥用、歧视和信息操纵的侵犯。例如,我们的信用卡的授信额度可能会因公司欠薪而被自动降级;[2]我们的保险申请可能会因家庭成员得了癌症而被自动拒绝;[3]老年人可能会在易受操纵的脆弱时刻,接受电商平台的推销,购买了本不需要的产品。可见,信息使用和保护的平衡问题,是大数据时代的重大现实问题。
现行的个人信息保护法律规范,[4]以“主客体二元对立”思维下的“理性人”理念[5]为指引,通过强调个人信息主体(以下简称“信息主体”)[6]的自主支配、自主决断和自己责任,来平衡个人信息的使用和保护。[7]为此,个人信息保护法律规范的整体功能,主要限于确保信息主体自主控制的实现,以及保护他们免受可举证证明的非法侵害。同时,现有学说也体现出“理性人”理念的倾向。但是,在大数据时代,个人信息保护的“理性人”理念面临着诸多困境。首先,信息主体的“理性人”假定,面临着“信息决策困境”。这导致信息主体做出知情的理性决策的实际能力远未达到个人信息保护法理论所预设的程度。其次,在大数据时代,信息主体日益丧失对个人信息的自主控制权;而强大的大数据算法和人工智能却使得信息控制者变得越来越有权力。这使得“理性人”理念面临着严重的“控制权失衡”问题,并进而导致了法律责任的不当配置。再次,个人信息保护法律规范,只保护信息主体免受可举证证明的、针对特定个人的、可辨识的非法侵害。但是在大数据时代,许多信息损害在本质上是累积性的。这导致信息损害制度无法有效地实现其预防功能。复次,信息主体虽然无法清晰勾勒出针对特定个人的可辨识的损害,但能感知对个人信息和隐私的威胁的存在。[8]这种“安全感困境”,会束缚社会成员间的信赖和社会互动的意愿,阻碍人格自由发展。[9]最后,“理性人”理念抹去了具有“社会性”和“感性”特征的“信赖”,[10]致使个人信息保护法律规范内含信息主体和信息控制者之间的紧张对立关系,难以有效增强他们之间的互信,甚至可能会阻碍信息社会的可持续发展。可见,信息使用和保护的平衡问题,亦是大数据时代的重大理论课题。
如何在理念和制度建构的双重层面,弥补“理性人”理念的这些内生缺陷,以更加有效地平衡个人信息使用和保护?这是本文欲论证的核心问题。为此,本文将首先阐明,现行的个人信息保护法律规范以“理性人”理念为其理论预设,且现有学说也体现出“理性人”理念的倾向。然后,本文对大数据时代下“理性人”理念的内生缺陷进行阐述和分析。在此基础上,本文提出了“信赖”理念的构想及其具体制度建构,并论证了该理念如何弥补“理性人”理念的这些内生缺陷,以期在制定统一的个人信息保护法的当下能够借此助推个人信息保护立法的理念和制度的完善。
二、“理性人”理念下个人信息使用与保护的平衡
我国个人信息保护法律规范,以“理性人”理念为理论预设,通过强调信息主体的自主支配、自主决断和自己责任,来平衡个人信息的使用与保护。“理性人”,是指近现代私法所构建的,被抹去社会性和感性特征,[11]“具有充分理性和意思、自律性开拓自己命运的经济人”。[12]作为独立个体的、理性的信息主体,在知情的前提下,能够就是否同意他人收集、使用和流转个人信息做出自身利益最大化的决策,并为此承担所有的责任。[13]换言之,“理性人”理念,将个人信息问题视为个人控制、个人选择和个人责任的问题。为此,个人信息保护法律规范的整体功能,主要限于确保信息主体自主控制的实现,以及保护他们免受可举证证明的非法侵害。
个人信息保护的“理性人”理念,植根于近现代人本主义和理性主义哲学思想。集启蒙思想之大成的康德,在其《纯粹理性批判》和《实践理性批判》中,从纯粹理性出发,宣告“人为目的”,崇尚人格尊严。[14]人,被抽象掉肉身性和社会性,成为纯粹的理性之人、精神之人,并因此超越世间万物和自身,成为一切的主宰和目的性的存在。[15]这种理性的存在,将世界和自身客体化为自己的对立面,实现对世界和自身的控制。因此,个体以权利为中介对人格形象的自主控制,便是对其主体地位的确认和维护。[16]当将人贬为一种客体、工具或手段时,人之所以为人的价值即被侵害。人之所以为人的价值,即人格尊严,意味着人必须受到他人的尊重。“人格标识的完整性与真实性是主体受到他人尊重的基本条件”。[17]而个人信息标识人格,勾勒人格形象。因此,任何个人信息都具有保护的价值;任何扭曲都是对人格尊严的侵害。[18]
为此,“理性人”理念,强调通过权利模式来建构个人信息保护法律体系。这意味着行政干预或司法干预的目的,在于保护信息主体的信息自主支配和自主决断的权利免于公权力[19]和第三人的不法侵害。在“理性人”理念的指引下,个人信息保护法律规范,以两大宪法基本权利——人格尊严和人身自由[20]——为出发点和价值追求,并以此来统摄个人信息保护的部门法规范。以知情权和决定权为主要内容[21]的个人信息权是“理性人”理念在民法中的规范表达,而以“知情”和“同意”为核心的程序性规则(以下简称“‘知情同意’规则”)以及“个人信息保密权利”则是该理念在行政法和刑法中的具体体现。这些部门法权利及其规则之间,主要通过解释论加以衔接和协调。
以《民法总则》第111条为例。[22]该条分为两句:前一句确立了个人信息权[23]的法律基础;后一句强调了个人信息权的对世性,并从正反两方面明确了个人信息收集和利用的规则。其中,个人信息权,作为一项独立的具体人格权,体现了信息主体对个人信息的自主控制。[24]为了平衡弱势信息主体的信息保护和强势信息控制者的信息利用,法律赋予信息主体以知情权和决定权。[25]对个人信息权的侵害主要是指对信息主体的知情权和决定权的侵害。在“孙旭东与平安银行股份有限公司深圳市鑫富源投资咨询有限公司隐私权纠纷一审民事判决书”[26]中,法院认为,“被告鑫富源公司为更加精准地开发目标客户,未经原告同意,擅自使用应用软件筛选、调查原告的个人信息,违反了‘告知与许可原则’的规定。”同时,该条款还明确了侵害个人信息权的表现形式,即非法收集、使用、加工、传输、买卖、提供和公开。其中,“非法”主要是指,违反法律和行政法规的强制性规定、“知情同意”规则或者公序良俗原则。例如,个人信息的非法收集和使用,可以被解释为信息的收集和使用违反《网络安全法》第41条中的“合法、正当、必要的原则”以及“知情同意”规则,即“公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意”。基于此种解释,在“北京淘友天下技术有限公司等与北京微梦创科网络技术有限公司不正当竞争纠纷二审民事判决书”[27]中,法院认为:“OpenAPI开发合作模式中数据提供方向第三方开放数据的前提是数据提供方取得用户同意,同时,第三方平台在使用用户信息时还应当明确告知用户其使用的目的、方式和范围,再次取得用户的同意。”但是,个人信息的买卖,因违反诸多行政法律规范所规定的保密义务而被法律推定为非法。《民法总则》第111条和《网络安全法》第44条关于禁止非法买卖(出售)个人信息的规定,与《刑法修正案(九)》所规定的“侵犯公民个人信息罪”相衔接。该罪制裁违反法律和行政法规,[28]出售或者提供个人信息的犯罪行为。其成立的前提是犯罪行为具备行政违法性,而犯罪客体是信息主体的信息自由和安全,即“个人信息保密权利”。[29]该权利对应的是诸多行政法律规范中信息控制者对信息主体所负的保密义务。“侵犯公民个人信息罪”,推定信息的出售或者提供并未获得知情的信息主体的明确授权,因而构成对信息主体的个人信息保密权利的侵犯。
“理性人”理念,将个人信息问题视为个人控制、个人选择和个人责任的问题。为此,个人信息民事法律规范,只保护信息主体免受可举证证明的非法侵害;而个人信息行政法律规范,强调对信息风险的结构性配置。
首先,依据个人信息民事法律规范,对个人信息权的损害必须在法律上具有可补救性和确定性。[30]信息控制者一般不对个人信息的轻微损害或不确定的损害承担法律责任。精神损害必须达到“严重”程度,信息主体才能请求精神损害赔偿。[31]因此,个人信息的一般侵权损害规则,是以事前震慑、事后补偿损害为设计初衷,而非以鼓励信息主体与信息控制者间的信赖为功能目标。在大数据时代,信息主体往往因为难以举证证明存在针对特定个人的可辨识的损害而败诉。例如,在刘春泉与工行上海分行侵权责任纠纷再审案中,[32]上海市高级人民法院以工行上海分行向再审申请人刘春泉发送商业短信的行为不足以构成对手机及其存储空间等“财产上的贬损”为由裁定驳回再审申请,尽管刘春泉主张“个人信息权受损本身就是不显性化的”。再例如,在以数据安全保护措施缺失为由提起的诉讼中,法院虽然可能认可这会大大增加个人信息遭受侵害的可能性,以及潜在的受害人范围的广泛性,但是往往会因举证不能而判决原告败诉。只有在极少数的特殊情形下,法院可能会根据“所获利益视为损失”的规则,推定损害的存在并确定赔偿数额。[33]
其次,行政法中的“知情同意”规则,强调对信息风险的结构性配置。全国人民代表大会常务委员会《关于加强网络信息保护的决定》第2条和第7条、《网络安全法》第41条和第42条以及《消费者权益保护法》第29条,均对“知情同意”规则作出了明确的规定。该规则旨在赋权予个体,将个体放在信息决策的中心,推定个体能够独立管理自己的个人信息。因此,其原则上对信息收集、使用和流动的具体方式保持中立,而主要关注信息主体是否做出了授权。也正因此,该规则是对信息风险的结构性配置。个人信息保护的责任最终主要落在了个体的身上。只要信息主体是在知情的前提下自主授权信息的收集和使用,信息控制者便被推定已遵守了“知情同意”规则。在网络信息情境下,信息控制者为遵守“知情同意”规则,通常采取公开隐私政策和提供授权选项的标准化模式。
需要强调的是,相较于美国信息隐私法,我国法就个人信息的收集、使用和流动采取了更为严格的规定。根据我国法的规定,未经信息主体同意,信息控制者不得收集、使用和提供个人信息;而在美国法下,在未被认定为“未经同意”之前,信息的处理是合法的,即使可能存在操纵和胁迫的情形。[34]我国法要求信息的收集、使用必须要有法律依据,即遵守合法原则;而在美国法下,只要法律没有明文禁止,信息的处理一般是被允许的。[35]再者,我国法通过正当原则和必要原则对个人信息的收集和使用作了进一步的限制。个人信息的收集和使用在本质上是对作为具体人格权的个人信息权的限制。这种限制只有符合正当原则和必要原则,才可能是被允许的。正当原则,是指信息收集和使用的方式符合商业目的;[36]而必要原则,要求信息收集和使用必须以实现特定目的的“最小必要”成本和损害为限。[37]可见,在平衡个人信息的使用和保护时,我国法更强调信息安全和人格尊严的重要性,而美国法更崇尚信息自由和利用的价值。
现行的个人信息保护法律规范以“理性人”理念为理论预设,现有学说也体现出“理性人”理念的倾向。王利明教授主张“以私权保护为中心制定个人信息保护法”,“鼓励对个人信息进行自我管理”。[38]杨芳老师认为,“个人信息自决权之思想可视为个人信息保护法的理念基础”。[39]谢远扬博士主张我国可以通过一般人格权来保护个人信息自我决定权能。[40]齐爱民教授借鉴国内外信息保护法基本原则,提出我国个人信息保护法的基本原则。[41]这些基本原则,建基在“理性人”理念之上。其中,知情同意原则和政策公开原则,强调信息主体的自主支配和自主决断。目的明确原则、目的限制原则、信息品质原则、安全原则和禁止泄露原则,建立在知情同意原则的基础上,是对信息主体自主支配和自主决断的进一步保护。例如,目的明确原则,要求信息控制者必须在事前明确信息利用的目的并获得信息主体对该目的的同意;目的限制原则,要求信息的收集和使用必须限于信息主体所同意的信息利用目的;而信息品质原则,要求信息控制者必须确保收集和使用的信息在信息利用目的的范围内的完整、准确和时新。安全原则和禁止泄露原则,要求信息控制者信守信息保护的承诺。张新宝教授提出“两头强化,三方平衡”理论,建议通过类型化个人信息,实现敏感信息保护和一般信息使用之间的平衡。[42]其认为,虽然个人敏感信息需要强化保护,但是“信息主体明确同意”是其例外情形。[43]其还提出“去个人化的信息处理与利用”。[44]信息匿名化处理,是信息主体自主控制的必要条件。[45]范为博士建议我国借鉴“欧美改革法案中‘场景’与‘风险’导向的路径”。[46]依据该路径,信息控制者以“在相应场景中合理”的标准收集、使用和流转个人信息。若出现不合理情形,信息控制者需要进行“隐私风险评估”,并“采取适当的手段降低风险”。“适当的手段”,主要是指强化信息主体的自主控制的措施,即“提供增强性披露及用户控制机制”。[47]齐爱民教授、张新宝教授和范为博士关于我国个人信息保护法的立法建议,均借鉴了欧盟《数据保护通用条例》的基本原则和核心制度。2016年修订后的《数据保护通用条例》仍然深受“理性人”理念的影响,以赋权信息主体为其核心理念。
本文转自北大法宝:(www.pkulaw.cn)