查找:                      转第 显示法宝之窗 隐藏相关资料 下载下载 收藏收藏 打印打印 转发转发 小字 小字 大字 大字
【期刊名称】 《北京航空航天大学学报(社会科学版)》
个人信息保护中知情同意原则的困境与出路
【英文标题】 Plight and Outlet of Informed Consent Principle in Personal Information Protection
【作者】 林洹民【作者单位】 法兰克福大学法学院
【分类】 侵权法
【中文关键词】 个人信息保护;知情同意;实质化要求;法律豁免;个人信息匿名化
【英文关键词】 personal information protection; informed consent; materialization; legal immunity; anonymization of personal information
【文章编码】 1008-2204(2018)03-0013-09
【文献标识码】 A DOI:10.13766/j.bhsk.1008-2204.2018.0121
【期刊年份】 2018年【期号】 3
【页码】 13
【摘要】 在大数据的背景下,企业数据活动确实具有越来越重要的社会经济功用。个人信息保护的知情同意原则,不宜追求形式上的绝对化,而应转向更加具体的实质化,以期在真正有效保护个人信息的同时,也鼓励企业更加积极而有效地开展数据活动。一方面,数据活动应获得用户清晰和明确的同意,即使个人一般信息亦然;信息主体的同意应当符合可期待性要求。另一方面,为了实现与数据活动的平衡,应当为数据活动提供必要法律豁免。立法应规定,企业数据活动的正当基础应不限于信息主体的知情同意;此外,还可以通过引入个人信息匿名化可以获得知情同意豁免的方式,鼓励和促进企业在有效开发数据和保护个人信息上齐头并进。
【英文摘要】 In the context of big data, enterprise data activities do have more and more important socio-economic functions. Instead of pursuing the absolutization of form, informed consent principle of personal information protection should turn to more concrete substance to better protect the information and encourage enterprises to carry out data activities more actively and effectively at the same time. On the one hand, the data activities should obtain clear and explicit censent from the user, even if the general information of the individual is the same; but the consent of the information subject should be in accordance with the expectation. On the other hand, in order to balance the data activities, it is necessary to provide legal exemption for data activities. The legislation should stipulate that the legitimate basis of enterprise data activities should not be limited to the informed consent of the information subject; in addition, the way of obtaining the exemption of informed consent can be obtained by introducing the anonymity of personal information to encourage and promote the enterprise for the better development of data and personal information protection.
【全文】法宝引证码CLI.A.1239971    
  一、问题的提出
  2018年个人信息保护问题再次被推到了风口浪尖。支付宝在公布了用户“个人账单”时,默示用户同意《芝麻服务协议》,允许芝麻信用收集用户的信息。{1}公众的愤怒虽然导致了支付宝连夜道歉,但人们期待的来自公权力层面的处罚却迟迟未至。支付宝的行为似乎符合中国现有的个人信息保护的通行做法。中国个人信息保护制度目前虽然强调用户的知情同意(informed consent),但实践中对用户一般信息的收集只需用户的默示同意,有关部门规章和司法实践也予以了支持。
  当今世界,数据资源如同石油一样是经济的血液,是企业乃至国家核心竞争力的重要组成部分。{2}法律制度应当在合理保护个人信息的基础上给予企业数据活动的便利。这种便利,从微观层面表现为数据企业得以在特定目的范围内为自己目的而利用相关个人信息,进而改进经营或者管理;在宏观层面表现为个人信息通过合法途径有效汇入数据资源从而发挥大数据的放大效果。但是,无论如何强调企业数据的社会经济功用,这种便利都不应该没有底线和合理边界。
  现行法律为个人信息保护设置了知情同意原则,那么这个原则应当如何具体把握和适用呢?一方面,知情同意原则似乎难以在实践中做绝对化贯彻;而另一方面,个人知情同意原则似乎也不应被全盘默示化而流于形式,否则公民将时刻处于在生活曝光的风险当中。
  二、知情同意原则的确立
  2009之前的司法解释和当年年底通过的《侵权责任法》第2条明确规定“隐私”是一种民事权益,由此个人信息得以借助侵权法路径予以保护。但是这种保护路径过窄而且存在对应上的不足,特别是主要依赖事后机制。随着网络的普及,个人信息一旦泄露,往往很难真正“恢复原状”,个人信息的事前保护机制建设逐渐被提上议程。
  2012年由人大常委会出台的《关于加强网络信息保护的决定》(以下简称《决定》)具备明显的开创性意义。《决定》明确提出在企业收集、使用个人信息时,应当明示收集、使用信息的目的、方式和范围,并经被收集者同意——知情同意原则被首次提出。[1]该原则等于赋予了个人信息主体以自决权包括拒绝权,具有预先保护的功能。遗憾的是,《决定》因欠缺配套措施,宣示意义远大于规范意义。
  紧接着,在2013年,中国首个个人信息保护国家标准——《信息安全技术、公共及商用服务信息系统个人信息保护指南》(以下简称《指南》)出台。该《指南》明确了数据处理的基本原则:目的明确原则、最少够用原则、公开告知原则、个人同意原则、质量保证原则、安全保障原则、诚信履行原则、责任明确原则。这些为数据行为建立了行为规范基准,具有强大的事先引导和保障功能。尤其值得注意的是,《指南》将知情同意原则具体化,强调了“分层通知”的理念,即在信息收集、加工、转移、删除各个阶段都应当保障数据主体的知情同意。[2]在同一年,工信部还出台了《电信和互联网用户个人信息保护规定》,明确强调电信业务经营者、互联网信息服务提供者在收集数据时必须遵守知情同意原则。[3]
  与此同时,面对着个人信息泄露、信息安全堪忧的情况,司法机关也开始发布一些指引,确立知情同意等相应个人信息保护的事先机制,以弥补成文法的不足。2014年最高人民法院出台了《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》,对《侵权责任法》规定的“避风港原则”进行了补充[4],明确了对“敏感信息”的收集和使用必须得到信息主体的事前同意[5]。通过行政和司法部门的上述努力,个人信息保护的知情同意原则就此确立。
  现代社会中的个人信息主要指的便是在互联网中流通的数据。2016年11月7日《网络安全法》生效,对互联网语境的个人信息安全作出了具体的回应。《网络安全法》在个人信息转让上放松了对信息主体的同意,但总体上仍然以其知情同意为数据活动的正当性基础。根据《网络安全法》第41条,个人信息的收集和使用都必须确保用户的知情同意。[6]与之相对,《网络安全法》第42条第1款则规定,网络运营者转让个人信息的,只要该个人信息无法识别特定个人且不能复原,就不必征得个人同意。[7]据此,《网络安全法》区分了个人信息的收集、使用和转让分别适用不同的规则:收集和使用个人信息必须满足知情同意原则的要求,转让匿名化个人信息时则不需要征得用户的明确同意。
  三、知情同意原则的实践异化及其原因
  知情同意原则符合人们对个人信息保护的直观认识:企业对个人信息的收集、使用和转让如果事先得到了信息主体的同意,那么似乎便不存在侵犯个人信息的不法性。遗憾的是,这种看似严格保护的规定在事实上却往往无助于保护用户的个人信息。
  实践中,数据企业将这种同意机制实际异化设置为一种近乎为默认的机制,绝大多数用户并不知道自己“同意”就已经构成了“同意”。前述支付宝事件即是如此。
  知情同意原则异化的实践及司法立场,最早可见于2015年发生的“中国Cookie第一案”。在该案中,百度强调利用Cookie技术收集个人上网记录是完全合法的,但百度的隐私条款同样几乎很难被用户发现。但是,“默示同意”不等同于“知道”,在该案当中原告乃至一般的用户根本不清楚百度在利用Cookie技术收集数据;上网的浏览记录被径自认为属于“一般信息”恐怕也有值得商榷的空间。然而,南京中院最终认可了百度的主张,认为有关规章文件即前述《指南》规定对一般数据是可以通过“默示同意”方式进行收集的,据此认定百度没有违背知情同意原则。{3}
  知情同意原则之所以会异化,根本原因在于:在大数据时代,知情同意原则绝对化不完全符合现实经济关系逻辑。个人信息保护的知情同意原则是一种历史的创制,其产生受到隐私权理念的深刻影响。该理论在web1.0时代或许还有着一定的可行性,但是当人类社会进入到web2.0,web3.0之时,人类已经进入到了大数据时代,这一原则就会存在新的时代逻辑障碍。
  首先,知情同意原则绝对化很可能使得企业和用户个人都陷入到无能为力的尴尬局面。一方面,企业被强制性要求向用户解释数据的使用方式、范围和目的,并获得用户的明确同意;另一方面,信息主体又被法律要求阅读复杂的、无聊的隐私政策说明,而他们对此几乎完全不感兴趣。更不用说,网络设备、服务的普及化以及平台和应用的密集化使得用户不得不频繁地做出授权同意,这使得用户逐渐地将知情同意视为了一种负担而非对自身权益的保护——他们往往不假思索地点击“同意”并进入“下一步”。
  其次,在大数据时代,明确告知信息的使用目的几乎是不可能的。虽然无论是欧盟还是美国都在坚持“目的拘束原则”[8],但是该制度实际运行的并不理想。因为大数据分析的奥秘就在于,在数据分析之前根本就没有“目的”——分析师们也不知道会产生什么样的结果。以往,探索和研究往往需要首先提出一个前提假设,然后通过实验以证成或证伪;但在大数据时代,数据分析采用全本而非样本,通过对全部数据的分析,分析师们能够惊奇地发现看似不相关事物之间的相关性,进而获得技术乃至制度创新的灵感。换言之,追求全本而不是样本,追求相关性而非因果性,容忍错误而不苛求精确,大数据使得人们的思维路径发生了根本性的变革。{4}这种新的方法论被称为“科学的第四范式”(fourth paradigm of science)。{5}正是这种“没有目的”的数据分析,使得人们摆脱了“前见”的束缚,进而推动了创新和发展。在这种背景下,要求企业在收集、使用数据之前给出明确的目的说明,这未免有些强人所难。即使是极端强调个人信息保护的德国,也只能无奈地宣称,“虽然要求告知数据主体以数据分析的具体目的,但是可以是框架性和方向性的,而不必穷尽所有的细节”{6}。
  立法者之所以选择了知情同意原则并在初期使其绝对化,一方面在于那时数据经济并不明显,人们对数据分析的意义和价值尚未有一个清晰的认识{7};另一方面则源于人们普遍将个人信息保护等同于对隐私权或人格尊严的保护{8}。
  但是,数据(信息)保护和隐私保护并不是完全等同的。个人信息有的具有浓厚的隐私性,有的隐私性稀薄甚至近乎于无,但是由于数据技术的发展却使之具有了财富意义。因此需要区分:对于前者,仍然有必要纳入隐私保护,继续援引隐私权保护路径;对于后者,则要进一步区分,总体上以便于利用为主,像是现代空域管理制度一样,提供的是利用资源的制度设计,是一种事前的管理路径。
  正是注意到了这一差别,2016年4月欧盟通过的《一般数据保护条例》(以下简称《条例》)重新明确个人信息概念,不再以“隐私权”为核心建构个人信息保护制度。此前,欧盟1995年出台的《对个人信息处理的保护和个人信息流通指令》(Directive 95/46/EC;以下简称《95指令》)明确指出,指令的目的之一是确保成员国必须保护自然人的基本权利和自由,特别是和数据处理有关的自然人的隐私权。[9]但2016年通过的《条例》则规定,该条例的目的是保护自然人的基本权利和自由,尤其是自然人要求个人数据保护的权利。[10]隐私权被从《条例》的目的性条款中移除了。再观诸于其他条文,《条例》将“通过设计保护隐私”替换成了“通过设计和默示条款保护数据”,将“隐私影响评估”替换成了“数据影响评估和事前咨询”,等等。{9}《95指令》当中,“隐私”这一字眼出现了13次;而在《条例》当中,这一字眼仅仅出现了3次。可见,欧盟也认识到了以隐私权作为个人信息保护的理论支撑是不合时宜的。
  欧盟2016年《一般数据保护条例》一旦拿掉了原来的理论支点,对原来就个人信息保护推行的知情同意原则也就需要进行一定的改造。例如:不同于《95指令》强调知情同意是处理数据的惟一正当性来源,《条例》规定了六种合法性基础,知情同意只是其中的一种。即使是涉及种族、政治观点、宗教或价值观念等特殊类型的个人信息,仍然在特定情况下可以不经个人明确同意而为了公共利益进行处理。[11]此外,在发生个人信息泄露时,《条例》也规定在一些情况下可以不通知信息主体:数据控制者已经采取措施确保危险不会存在或通知成本太高或通知危害社会公益。[12]可见,知情同意原则的“相对化”或者说“适用区分化”已是大势所趋。
  四、知情同意原则类型化适用之误区
  实践中,中国相关方面已经注意到了知情同意原则绝对化的不足,在数据产业的实践推动下,为了个人信息保护的合理化不断尝试对于知情同意适用进行个人信息类型化区别的方式,来予以弥补。应该说这些努力,有一定效果,但是也或多或少陷入了类型化适用的一些误区。
  工信部2013年颁布的《指南》将信息区分为个人一般信息和敏感信息。但是,2017年《网络安全法》第41条第1款,在仍然以知情同意原则为个人信息安全的规范核心的基础上,引入了新的区分做法:一方面,区分可识别个人信息和不可识别的个人信息;另一方面,又区分了个人信息的收集、使用和转让活动不同类型对应不同的规则设计。这样,中国知情同意原则在个人信息保护问题上,面临三种个人信息类型化区分的规范和适用问题,而且这种交错的类型划分还使得问题变得更加复杂化。
  (一)基于个人信息内容的区分
  工信部《指南》在区分个人敏感信息和个人一般信息的基础上分别适用知情同意原则。
  根据《指南》第3.7条和第3.8条,个人敏感信息是指一旦遭到泄露或修改,会对标识的信息主体造成不良影响的个人信息,如身份证号码、手机号码、种族、政治观点、宗教信仰、基因、指纹等;个人一般信息则是指除个人敏感信息以外的个人信息。个人敏感信息的收集和使用必须经过信息主体的明确同意;对于一般信息的收集和使用则只要求用户的默示同意。[13]
  《指南》考虑到了个人敏感信息的特殊保护问题。诸如政治理念、宗教信仰、种族、基因等个人信息可能会使得信息主体遭受不公平对待、歧视甚至迫害,值得法律特殊保护。但是问题是,这种特殊“个人信息”本身应该不只是所谓“个人敏感信息”这么简单,而是应该完全排除在可以作为数据处理、利用的个人信息范围之外。
  基于这种考虑,欧盟《95指令》第三部分特设了“特殊类型的个人信息”(Special Categories of Personal Data)这一类型,规定对上述个人敏感信息应当严格保护。欧盟《条例》基本延续了《95指令》的这一思路:第9(1)条规定特殊类型的数据包括能够揭示“种族或家族血统,政治观点,宗教或哲学信仰或工会成员资格,健康、性生活或性取向”,并且以识别个人为目的对于遗传数据,生物识别数据的处理也是不被允许的。
  此外,《指南》简单认为,对一般信息的收集和使用只需要用户的默示同意即可,实质很可能不利于对个人信息的适当保护。即使对于个人一般信息,欧盟《条例》也要求明确同意。个中原因在于其认为,通过对个人一般信息的分析也可识别个人的敏感信息。《指南》根据信息内容做出区分之后,对于个人一般信息完全放开明确同意对于收集的规制,实质是忽视了个人一般信息最终可能通往敏感信息的潜在效果。大量个人一般信息的累积足以揭露个人的敏感信息。2012年生效的《新加坡数据保护法》为此不再尝试区分个人敏感信息和个人一般信息,而是予以一体规范。[14]
  (二)基于个人信息功能的区分
  中国《

  ······

法宝用户,请登录后查看全部内容。
还不是用户?点击单篇购买;单位用户可在线填写“申请试用表”申请试用或直接致电400-810-8266成为法宝付费用户。
【注释】                                                                                                     
【参考文献】 {1}默认选项收集用户信息支付宝连夜道歉[EB/OL].(2018-01-04).https://www.zaobao.com.sg/realtime/china/story20180104-824146.
  {2}马志刚.以数据权利计算推动信息资产变现.[EB/OL].(2016-03-22).http://www.sray.cn/keji/hulianwang/2016-03-22/50970.html.
  {3}刘梦.中国Cookie隐私第一案终审:法院判网站不构成侵权[EB/OL].(2015-06-30).http://china.cnr.cn/xwwgf/20150630/t20150630_519018110.shtml.
  {4}维克托·迈尔·舍恩伯格.大数据时代[M].杭州:浙江人民出版社,2012:25—55.
  {5}Jim gray on escience: A Transformed Scientific Method[EB/OL].[2018-04-10].https://www.immagic.com/eLibrary/ARCHIVE S/EBOOKS/M091000H.pdf.
  {6}OHRTMANN, SCHWIERING. Big data und datenschutz-rechtliche herausforderung und l?sungsans?tze[J]. Neue Juristische Wochenschrift ,2014(1):2987.
  {7}JOSEF B. Der wert der wahrheit im schatten des rechts auf informationelle selbstbestimmung: Ein beitrag zum zivilrechtlichen ehren-,pers?nlichkeits-und datenschutz[M]. Berlin: Duncker &Humblot Verlag, 1991:149.
  {8}CHRISTOPH M. Datenschutz in verwaltungs- und informations-systemen: Zur verh?ltnism?βigkeit des austausches von individualinformationen in der normvollziehenden verwaltung [M].München: Oldenbourg Verlag, 1976:22.
  {9}LUIZ C, YVES P. Privacy and the Regulation of 2012[J]. Com-puter Law & Security Review, 2012(28):255.
  {10}DANIEL J S. Understanding privacy[M]. Cambridge: Harvard U-niversity Press, 2008:117—121.
  {11}FTC. Protecting consumer privacy in an era of rapid change[EB/OL].[2018-04-10].https://www.ftc.gov/sites/default/files/documents/reports/federal-trade-commission-report-protecting-consumerprivacy-era-rapid-change-recommendations/120326privacyre port.pdf.
  {12}PAUL O. Broken promises of privacy [J]. UCLA Law Review, 2010,57:1701.
  {13}PAUL D H, VAGELIS P. The new general data protection regulation: Still asound system for the protection of individuals?[J].Computer Law & Security Review, 2016,32:183.
  {14}Article 29 data protection working party, opinion 4/2007 on the concept of personal data, WP 136[EB/OL].(2007-06-20).ht-tps://www.clinicalstudydatarequest.com/Documents/Privacy-European-guidance.pdf.
  {15}Article 29 data protection working party. Opinion 1/2008 on data protection issues related to search engines (00737/EN/WP 148)[EB/OL].(2008-04-08) http://ec.europa.eu/justice/article29/documentation/opinion-recommendation/files/2008/wp148_ en.pdf.
  {16}PAUL S D Solove the PII problem: Privacy and a new concept of personally identifiable information[J]. New York University Law Review, 2011,86:1883.
  {17}PAUL O. Broken promises of privacy: Responding to the surprising failure of anonymization [J]. UCLA Law Review, 2010,57:1701—1743.
  {18}Michael W. Spheres of justice: A defense of pluralism & equality [M]. Oxford: Basil Blackwel, 1983:17—320.
  {19}HELEN N. Privacy as contextual integrity[J]. Washington Law Review, 2004,79:127—141.
  {20}JOHANNES M. Herausforderungen des datenschutzes [J]. Neue Juristische Wochenschrift ,2012(1):2309.
  {21}JEROME H S. End-to-end arguments in system design in: Integrated broadband networks[M]. Boston: Artech House, 1991:30—41.
  {22}JACK G, TIMOTHY W. Who controls the internet: Illusions of a borderless world?[M]. Oxford: Oxford University Press, 2006:44—71.
  {23}DANIEL B J. Balancing privacy protection with scientific accuracy: Challenges for de-identification practice[EB/OL].(2010-0615).http://www.lewin.com/~/media/lewin/cer/resources/barth-jones_lewin_cer_symposium_6_15_10.pdf.
  {24}IRA R, RONALD L, PAUL S.data mining and internet profiling: Emerging regulatory and technological approaches [J]. University of Chicago Law Review, 2008,75:268—269.
  {25}LAWRENCE L. Code 2.0[M]. New York: Basic Books, 2006:1—8.
  {26}SCHNEIDER, HRTING. Datenschutz in Europa-pl?doyer für einen neubeginn [J]. Computer Und Recht, 2014:306—310.
  {27}MARTINI. Bigdataalsherausforderungfürdenpers?nlichkeitsschutz und das datenschutzrecht[J]. Deutsches Verwaltungsblatt ,2014(1):1481.
  {28}PAUL M S, DANIEL J. Solove reconciling personal information in the United States and European Union[J]. California Law Review, 2014,102:87.
©北大法宝:(www.pkulaw.cn)专业提供法律信息、法学知识和法律软件领域各类解决方案。北大法宝为您提供丰富的参考资料,正式引用法规条文时请与标准文本核对
欢迎查看所有产品和服务。法宝快讯:如何快速找到您需要的检索结果?    法宝V5有何新特色?
本篇【法宝引证码CLI.A.1239971      关注法宝动态:  

法宝联想
【相似文献】