查找:                      转第 显示法宝之窗 隐藏相关资料 下载下载 收藏收藏 打印打印 转发转发 小字 小字 大字 大字
【期刊名称】 《比较法研究》
个人信息的私法保护模式研究
【副标题】 《民法总则》第111条的解释论
【英文标题】 Civil Law Protection Models of Personal Information
【英文副标题】 Interpretative Theory of Article 111 of China’s General Provisions of Civil Law
【作者】 宋亚辉
【作者单位】 南京大学法学院{副教授,法学博士},中德法学研究所{研究员}
【分类】 民法总则
【中文关键词】 个人信息;价值权衡;积极确权模式;行为规范模式
【英文关键词】 personal information; value trade-off; right confirmation model; behavior regulation model
【期刊年份】 2019年【期号】 2
【页码】 86
【摘要】 随着大数据技术的开发应用,个人信息主体与信息收集利用者分别从不同角度对个人信息主张权利。但何为个人信息?如何配置权利?答案应建立在法益保护与数据开发利用的二元价值平衡基础上。美国和欧盟代表两种不同的取舍模式。介于二者之间,中国早期采纳“美国式实践”,近来又转向“欧盟式立法”,后者彻底开放了个人信息的边界。为兼顾信息开发利用价值,个人信息的认定标准宜作合目的性限缩和情境化改造。在保护模式的选择上,美欧正趋同于“积极确权+行为规范”模式,中国属于单一的“行为规范模式”,这为信息收集利用提供了相对明确的合规指引,但个人信息主体的法益保护范围只能根据相对人的行为界限作反推,解释论上因此丧失了法益保护的裁量空间,进而难以对承载不同法益内容的身份和行为信息提供差别化保护。解释论之矫正需引入人格权概念作为裁量平台,以此构建法益保护与行为自由的比较权衡框架。
【英文摘要】 As big data technology and its market application patterns evolving, data subjects and data controllers are all claiming for civil rights based on personal information. But what is personal information? How to allocate the rights and interests contained in personal information? The answer must be set up on the balance of date protection and data utilization. The United States and European Union represent two different modes of value trade-off. Hesitating between the two classic models, China adopted American model in practice, but latest legislation turned to European Union model. The latter completely opens up the conceptual boundary of personal information. Take into account the value of data utilization, courts should make constrictive explanation according to Legislative purpose. In data protection system, the United States and European Union are tending to the same mode of “right confirmation & behavior regulation, ” while China has chosen a single “behavior regulation model” which can provide clear compliance guidelines for data controllers and processors, but can not provide differentiated protection levels for different type of personal information. The interpretive solution is to find a relevant personality right as a discretion platform so as to maintain a balance between right protection and data utilization.
【全文】法宝引证码CLI.A.1254761    
  一、大数据时代的个人信息权属争议
  随着大数据技术的开发应用,个人信息迅速成为多方争夺的稀缺资源。卷入资源争夺的主体有二:一是个人信息主体,即“个人信息指向的自然人”,[1]他们以其作为信息之“源”的地位主张享有一定的人身权益(偶尔也涉及财产利益,下同);二是信息收集利用者,[2]他们期待信息资源的自由开发利用,并就其智力劳动主张相应的财产权益。前者事关自然人的人格完整性,后者事关经济社会利益和信息产业发展。双方的主张似乎各有理据,但权益内容存在交叉重叠,而且指向同一个客体,由此引发一系列权属争议。
  私法上的争议主要围绕以下论点展开:大数据开发利用的个人信息究竟应通过防御性的隐私权、支配性的人格权还是财产权加以保护?抑或将其视为可自由开发利用的公共资源?欧美国家立法对此态度不一。[3]国内学界对个人信息的权利性质甚至存在8种不同立场。[4]《中华人民共和国民法总则》(以下简称《民法总则》)回避了权利性质争议,仅在第111条中宣示“自然人的个人信息受法律保护”,并列举了信息开发利用之行为规范。学界对此存在两种不同的解释。一种观点认为,“虽然民法总则没有明确使用‘个人信息权’的概念,但在解释上也可以认为,其承认了独立的个人信息权”,其性质为人格权。[5]另一种观点认为,“因对个人信息的本质及权利属性的研究不足,还难以明确界定自然人个人信息的性质及属于何种权利。设立本条的立法目的,主要是宣示对个人信息予以法律保护的原则”。[6]作为基本共识,《民法总则》第111条的宣示性规定客观上蕴含着一定的产权配置效果,它间接承认个人信息主体对其个人信息享有权利。但在解释适用中,何为个人信息?个人信息主体享有哪些权益内容?如何兼顾个人信息保护与信息开发利用之二元价值?这正是本文研究的问题。
  表1大数据环境下个人信息主体与信息收集利用者之间的争议概览
┌──────┬─────────┬─────────────┬───────┐│案件简称  │涉案信息     │主要争点         │裁判文书   │├──────┼─────────┼─────────────┼───────┤│淘宝大数据案│淘宝交易记录和用户│1.淘宝交易记录是否为个人信│[2015]杭西知民││      │交易习惯等信息  │息            │初字第667号  ││      │         │2.用户是否享有删除、查询权│       ││      │         │利            │       │├──────┼─────────┼─────────────┼───────┤│百度大数据案│减肥、丰胸、人流等│1.网络检索偏好是否为个人信│[2014]宁民终字││      │网络搜索关键词  │息2.广告精准投放是否侵犯隐│第5028号   ││      │         │私权           │       │├──────┼─────────┼─────────────┼───────┤│360大数据案 │用户安装的软件目录│1.软件安装目录是否为个人信│[2014]浙杭民终││      │及网页访问清单  │息2.收集软件目录是否侵犯隐│字第1813号  ││      │         │私权           │       │├──────┼─────────┼─────────────┼───────┤│房产大数据案│已售房产面积、地址│1.房产交易记录是否为个人信│[2013]苏知民终││      │及交易价格信息  │息2.房产大数据开发是否损害│字第0127号  ││      │         │公益           │       │└──────┴─────────┴─────────────┴───────┘

  (一)何为“个人信息”?
  个人信息认定是个人信息保护的前提,法院之所以讨论何为个人信息,一个隐含的逻辑前提是将个人信息归入私有领域,未经许可收集使用个人信息的行为可能构成侵权,因此才有如下争点:(1)购物软件收集的用户交易记录是否属于个人信息?在淘宝大数据案中,法院认可被告的抗辩理由,认定除“姓名、身份证号、手机号、IP地址、UDID等信息”以外的“使用许可软件的状态以及使用习惯等一些反映在阿里巴巴服务器端的信息不属于个人隐私信息”。[7](2)网络搜索记录是否属于个人信息?百度大数据案一审判决认为:“原告利用减肥、丰胸、人工流产这三个特定词汇进行网络搜索的行为,将在互联网空间留下私人的活动轨迹,这一活动轨迹展示了个人上网的偏好,反映个人的兴趣、需求等私人信息,在一定程度上标识个人基本情况和个人私有生活情况,属于个人隐私的范围。”[8]但二审判决持相反立场,认为这些信息“是未能与网络用户个人身份对应识别的数据信息,该数据信息的匿名化特征不符合‘个人信息’的可识别性要求……不再属于个人信息”。[9](3)网页浏览器收集的用户软件安装目录是否属于个人信息?在360大数据案中,法院认为仅知晓用户软件安装目录,“360安全浏览器无从判断用户的真实身份及其人格特性”,[10]这间接否认了软件安装目录属于个人信息。(4)匿名的房产交易记录是否属于个人信息?房产大数据案判决认为,涉案信息“不含有购房者个人的姓名、身份证号码等个人信息”,[11]其言外之意是说,隐去购房者姓名、身份证号的交易记录不属于个人信息。
  (二)个人信息主体可主张哪些权益?
  若属个人信息,则个人信息主体可主张哪些权益?当前互联网产业对个人信息的利用主要涉及信息收集、占有、处理、识别、转让、收益等,其中任何一个环节都可能遭遇个人信息主体的维权诉求,以表1所列典型案件为例,司法实践中常见的争议包括:(1)收集个人信息应以何种方式征得个人信息主体同意?百度大数据案一审判决认为,默示同意方式和以较小字体呈现的格式条款未达到知情同意标准;[12]但二审判决认为这符合行业惯例,且在简约型网页上小字体也足以引起用户注意。[13](2)个人信息主体是否有权查询、删除个人信息?在淘宝大数据案中,用户终止使用淘宝软件后要求查询、删除其个人交易记录,但法院认为原告已通过《软件许可使用协议》作出概括授权,“阿里巴巴在该协议终止后保留原告的信息并未违反法律、法规的规定和双方收集、使用信息的约定”。[14]本案虽名为格式条款效力之争,但问题的根源是个人信息的权利内容界定。(3)个人信息主体是否有权分享信息开发利用所获之财产收益?这是个人信息主体的重要关注点。对此,有些企业通过默示同意条款要求用户不可撤销地授予其“独家的、全球通用的、永久的、免费的许可使用权利”。[15]此种收益分配虽有契约之名,但合意度极低,其约束力存疑。结合域外法来看,凡是颁行独立的个人信息保护法的国家,大都规定了多元化的权益内容,主要包括但不限于知情权、同意权、查询权、修改权、删除权、限制使用权、可携带权、反对权等。[16]
  二、界定个人信息的两种基础性价值取向
  (一)“透明人”时代界定个人信息的价值取舍难题
  从上述案件的判决结果来看,对于网络搜索关键词、淘宝交易记录、计算机软件安装目录、房产交易记录等,法院均认定其不属于“个人信息”,进而驳回个人信息主体的权利诉求。之所以会出现这样的结果,一个重要原因在于,涉案信息均具有一个共同特征——不可单独或直接识别用户个人身份,而在受案法院看来,只有那些能直接并已确切识别个人身份的信息才属于“个人信息”,法院的裁判逻辑可简单概括为:“个人信息=可直接识别个人身份的信息”。
  但法院的立场显然并未兼顾大数据时代的如下特征:“互联网上几乎所有活动都会留下详细记录或元数据,通过用户计算机或智能手机的IP地址、网页浏览器采集的cookie数据以及其他各种识别符均可关联到特定个人。”[17]尤其是智能手机不仅可以感知用户声音、动作、血压、心跳,而且可借助手机地图、购物软件、检索工具获知用户住址、单位、购物习惯和收入状况,这些形式上的非个人信息只要被特定算法关联起来,便可迅速画出“数据人像”。据此,“原本不属于个人信息的数据可通过大数据分析得出有关私人事务的信息”。[18]尽管各国大数据采集规则普遍要求对数据作匿名化处理,[19]但这仅具有形式意义,恰似精心伪装的犯罪嫌疑人留在现场的指纹一样,大数据技术完全可通过寻找匿名行为信息的关联性实现再识别,数据科学因此提出“数据指纹”概念。[20]例如,通过人口统计数据中的“邮政编码+出生日期+性别”可识别出87%的美国公民。[21]若独立来看,这些均不属于个人信息。再如,被中国法院排除在个人信息之外的cookie信息,一旦被第三人截获,便可迅速锁定信息主体并完成诈骗活动;[22]同类信息若汇总到公安机关,又可用于识别并追捕犯罪嫌疑人。此时,若仍坚持认为不含有姓名、身份证号的cookie信息不属于个人信息的观点无异于掩耳盗铃。大数据技术已将人类置入“透明人”的时代,个人信息的范围需重新界定。
  既如此,中国法院为何固守成规?这背后蕴含着重要的经济驱动因素和社会利益考量。随着现代社会信息化程度的提高,信息不再只是人际沟通的符号,它被视为与能源并驾齐驱的新型生产资料,[23]人类生活对信息的依赖程度也急剧攀升,由此推动了大数据技术在各领域的普遍应用。然而,具有数据开发价值的信息大多与个人身份或行为相关,此类信息无处不在且种类繁多,法律上的定性也较为模糊。从一定程度上讲,用户留在网络空间的一切痕迹都有间接识别个人身份的可能性,这是致力于“从混沌中提取价值”的大数据技术的核心使命。但若将所有与个人有关的信息均纳入个人信息的范畴,则绝大多数具有数据开发价值的信息都将囊括其中,个人信息的边界将彻底开放,这对于信息资源的开发利用将带来沉重负担和法律风险,与国家鼓励大数据产业发展的政策导向存在分歧,这可能是中国法院固守成规的部分原因。考虑到大数据在当今世界已成为国家竞争力、创新力和生产力之基础,法律上对个人信息的界定与保护也要兼顾信息资源的商业和社会价值。这已成为大数据时代的全球性趋势。
  (二)美国鼓励数据开发利用的价值取向及其意义
  美国网络法的一个根深蒂固的观念是“让互联网自然演化”。[24]这种充分尊重市场和网络自治的观念深刻影响了美国的个人信息保护法——通过扩张适用普通法的隐私权概念,以“旧瓶装新酒”的方式保护个人信息。近年来,美国也致力于探索从普通法事后救济走向制定法的事前保护方案,[25]但目前仅在金融、健康、儿童隐私等敏感领域存在相应的制定法。[26]奥巴马政府曾致力于推动个人信息保护的统一立法,但终因各方压力而未能成功。美国这种分行业逐步推进的思路可兼顾产业发展需求。[27]这反映出美国在个人信息保护领域的价值取向。
  首先,美国当前的个人信息保护制度仍高度依赖普通法上的“四类隐私权”体系,[28]而隐私权是一种消极防御性权利,防御机制的启动以损害为前提,是否有损害因此成为信息开发利用之边界,而大数据技术对个人信息的利用往往只意味着潜在致害风险,少有即刻发生的有形损害,[29]这给数据开发利用提供了广阔空间。普通法的事后归责与司法实施机制的滞后性,进一步延缓了防御性保护机制的启动时机,进而拓展了数据开发利用空间。20世纪末期以来不断有学者建议授予一项法定的支配性权利来加强个人信息保护,[30]但均以失败告终。
  其次,美国针对个别行业领域构建的制定法的事前保护机制,以“可识别个人身份的信息”(personally identifiable information,简称PII)作为其保护界限,但在解释适用中,“制定法、法官和政策制定者均采纳限缩解释倾向,仅将当下确定能识别个人身份(identified)的信息视为PII”。[31]这限缩了个人信息的类型与保护范围。美国制定法还通过“匿名化”手段来拓展信息开发利用空间,[32]互联网公司可在删除用户姓名、社保账号、手机号等可直接识别个人身份的信息后自由开发利用信息。这为企业提供了清晰的合规指引和广阔的发展空间。
  作为代价,美国以私权自治为基础的个人信息保护体制积弊重重,现代技术条件使个人信息主体在信息开发利用中缺乏平等的谈判地位,用于保护个人信息的普通法诉讼手段、互联网技术手段和市场淘汰机制均存在重大缺陷。[33]由此导致信息泄露事件此起彼伏,[34]美国甚至已成为国际黑市售卖个人信息的主要来源国且售卖价格低廉。[35]调研结果表明,81%的网民被迫提交了他们认为并不必要的信息。[36]加强个人信息保护的呼声虽日益高涨,但至今难有结构性改变。因为通过限缩产业集团利益来加强个人信息保护的立法尝试在美国注定举步维艰,这背后除了利益集团的游说压力外,更重要的原因是,美国在历史上始终是个信赖法院并对政府干预保持警惕的国家。在个人信息保护问题上,美国人更信赖法院的中立性以及普通法在事后进行利益平衡的灵活性。正是在这样的法律文化和制度结构中,美国互联网产业始终领跑全球,但个人信息保护却备受诟病。
  (三)德国/欧盟优先保护人格法益的价值取向及其意义
  如果说美国是个崇尚行为自由的国家,那么,德国则更强调人格尊严的至高无上。[37]由此导致两国个人信息保护法的价值分歧。德国联邦宪法法院在1983年的“人口普查案”中通过解释适用基本法(宪法)第1条第8项的人格尊严和第2条第1项的一般人格权概念,发展出一项独立的“信息自决权”,“其内容包括个人得本诸自主决定的价值与尊严,自行决定何时及于何种范围内公开其个人的生活事实”。[38]作为一项由联邦宪法法院创设并在《德国联邦数据保护法》中得到发展的绝对权,个人信息自决权将个人信息视为自然人身体的一部分予以优先保护,权利内容涵盖知情、同意、更正、删除、封存、限制、拒绝等。[39]受德国影响,《欧盟基本权利宪章》第8(1)条将个人信息视为宪法性基本权利。[40]此种价值取舍模式塑造了德国和欧盟较高的个人信息保护水平。
  首先,相较于美国隐私权概念所蕴含的多元利益平衡机制(与言论自由、公众知情权、大数据产业发展之平衡),德国的信息自决权致力于为核心人格领域提供绝对保护。“由于德国的信息自决权具有宪法背景……一旦涉及核心人格领域,法院需判断被诉行为是否对核心人格领域构成重大影响,若是,则法院无须作利益平衡,径行对承载核心人格利益的个人信息提供绝对保护。”[41]这样的个人信息保护机制相当于给信息开发利用设置了“一票否决制”。
  其次,相较于美国法上狭窄的个人信息概念及其限缩解释政策,德国法上的个人信息概念更为抽象且宽泛。《德国联邦数据保护法》自颁布以来始终将个人信息界定为“确切可识别个人身份的信息”(identified)和“可能识别个人身份的信息”(identifiable)两种,[42]并为两类个人信息提供均等保护。由于大数据时代几乎所有与个人有关的信息都可视为“可能识别个人身份的信息”,个人信息的边界由此彻底开放。欧盟1995年《数据保护指令》和2018年生效的《一般数据保护条例》(以下简称GDPR)采纳了与德国相似的立场。德国宽泛的个人信息概念在实践中又倾向于采用扩张解释,[43]这显著扩大了受保护的个人信息范围。
  最后,相较于防御性的隐私权,德国的信息自决权致力于实现个人信息主体对其个人信息的积极控制,其控制方式随着信息技术、新型判例和立法的发展而不断增多,如《德国联邦数据保护法》第20、35条的删除权和封存权,欧盟GDPR第17条的被遗忘权和第20条的数据携带权等。此类衍生性权利与个人信息自决权的“源权利”特征一脉相承。[44]而且,个人信息自决权的宽泛解释空间和衍生功能为个人信息保护提供了弹性空间,可防范有意为之的法律规避行为。
  德国/欧盟致力于实现对个人信息自我控制所进行的绝对权立法,造就了个人信息优先保护的典范。在法律适用中一个显而易见的差异是,“欧盟的法律禁止无法律授权的信息处理行为;但在美国,总体的理念是允许自由开发利用个人信息,除非该行为给他人造成法律上的损害或遭到法律的明文禁止”。[45]欧盟在提高个人信息保护水平的同时,却给信息开发利用设置了较高的门槛,未来可能将承受经济发展方面的代价。[46]这也许正是德国互联网产业不及美国的重要原因。欧盟对此并非无所顾虑,但GDPR的目标除了应对境外情报监控外,[47]还致力于为欧盟的信息技术和网络产业提供清晰、连贯的规则,这将对数字经济的市场预期和消费信心产生积极影响。[48]更重要的是,GDPR致力于打造欧盟统一的数字经济市场,成员国间的数字贸易有望畅通无阻。[49]至于该目标能否实现,以及能否抵消其负面影响,学界观点不一。[50]但毋庸置疑的是,上述两种价值取舍模式都是其“地域文化、社会规范、政治和经济哲学以及历史经验综合权衡的结果”。[51]
  三、个人信息的中国界定及其解释论
  (一)体系转轨:从“美国式实践”到“欧盟式立法”
  个人信息概念在美国的限缩和在欧盟的扩张,深刻反映出大西洋两岸根深蒂固的法律文化差异。[52]美国对行为自由的崇尚和对政府管制的高度警惕,造就了狭窄的个人信息概念;德国和欧盟对人格尊严的优先乃至绝对保护,造就了抽象且宽泛的个人信息概念。作为价值取舍的结果,双方均为此获得了相应的收益并承受了一定的经济或社会代价。对此不宜作简单的优劣评价,毕竟,个人信息保护和数据开发利用之间的价值张力始终存在,任何选择都伴随着相应的收益和代价。美国因此获得了全球领先的互联网产业,德国和欧盟为此赢得了“人”作为一切价值本源的主体性回归和相伴而来的社会信任。从这个意义上看,个人信息的界定并无固定范式,适合当地文化并自成体系的制度设计便是最优选择。但中国的情况更为复杂,中国在个人信息保护领域的价值取向正在发生转轨,如何化解由此引发的前后矛盾与体系冲突由此成为当下的重点问题。
  首先,在法益保护与数据开发利用的二元价值之间,中国司法实践倾向于鼓励数据开发利用,并将个人信息限定为可直接识别个人身份的信息。这一价值取向与美国相近,故称之为“美国式实践”。例如表1中的涉案信息都与个人身份或行为相关,它们虽不可单独识别个人身份,但与其他信息结合(如IP地址和手机定位)便可能实现再识别。然而,中国法院大都回避该问题或直接判定其不属于个人信息。如果说《中华人民共和国网络安全法》(以下简称《网络安全法》)第76条在当时因尚未生效而无法适用的话,与本法持相同立场并于2013年生效的部门规章和推荐性国家标准为何也未被参照适用?[53]这反映出中国法院总体上的价值判断,他们习惯于将个人信息限定为可直接识别个人身份的信息,并将大数据开发利用的核心资源(与个人身份相关并具有间接识别可能性的信息)排除在外,进而有意或无意地助力大数据产业发展。正如江苏省高级人民法院的判决所言:“在大数据时代,引导和鼓励企业合作创建数据平台,有利于信息资源的开发和利用,从而推进经济社会发展。开发服务部关于涉案《合作协议》无效的主张没有法律依据。”[54]这里清晰地反映出法院的价值判断:相较于一方当事人提出的“数据涉及他人利益、个人隐私及社会公共利益”而构成非法使用之主张,另一方当事人主张的数据开发利用是法院眼中更值得保护的社会价值。本案蕴含的价值取向极具代表性,[55]这是中国司法“服务大局”的一贯表现。[56]
  其次,界定个人信息的“美国式实践”虽已成总体趋势,但新近立法又另起炉灶转向“欧盟式立法”。我国2016年《网络安全法》第76条规定:“个人信息,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息,包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”2017年颁布的《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第1条对个人信息的界定与之大同小异。二者均将个人信息分为两类:[57]一是能单独识别个人身份的信息,此类个人信息相对有限,以法律列举的内容为主;二是与其他信息结合能够识别个人身份的信息,此类信息种类繁多,几乎所有与个人身份或行为相关的信息均具有身份识别的可能性,因而其性质争议较大。美国倾向于将这种仅具有间接识别可能性的信息视为非个人信息,除非个案中已确定识别出特定的自然人。[58]欧盟采纳更为开放的态度,将后者也视为个人信息,GDPR第4(1)条规定:“个人信息是指,任何已经识别或可能识别某个自然人的信息;所谓可能识别某个自然人是指通过直接或间接方式可识别出某个自然人,尤其是通过引用自然人姓名、身份证号、位置信息、线上标识符等身份符号,或通过引用自然人的一个或多个物理、生理、精神、遗传、经济、文化或社会身份等因素。”[59]欧盟立法中的“直接或间接识别”对应于我国《网络安全法》中的“单独或者与其他信息结合识别”两种类型。法律一旦将“可间接识别个人身份的信息”也视为个人信息,则个人信息的边界将彻底开放,几乎所有与个人身份或行为相关的信息均可纳入保护范围,这彻底颠覆了我国此前的经验主义做法。
  立法者固然有权否定并改造司法实践中的惯常做法,但这种价值判断上的急剧转向将对微观制度改革、裁判方法、产业政策和大数据产业发展带来系统性影响。我国司法要及时回应这个突如其来的变化,否则将引发一系列体系冲突和矛盾,将无法给卷入权属争议的双方提供清晰稳定的行为预期,这对于个人信息保护和大数据产业发展可能是个双输的结果。实际上,我国在界定个人信息时所面临的问题与美欧大同小异,一切都围绕二元价值的取舍展开,唯一的不同在于我国的制度环境和文化背景差异。作为发展中国家,改革开放后的我国将发展经济作为第一要务。互联网是我国进入21世纪以来抓住的难得机遇,作为互联网产业的重要一环,大数据被视为“国家重要的基础性战略资源”,政府致力于通过一系列产业政策打造数据强国。[60]正是在此种宽松乃至积极鼓励的政策环境中,我国互联网产业在立法尚未跟进的情况下,以类似于丛林法则的生存逻辑实现了“非法兴起”。[61]我国当今的大数据产业在收集端和应用端已跃居全球领先地位,[62]法院所践行的“美国式实践”无疑对此做出了重要贡献。作为产业发展的代价,当前大量涌现的个人信息泄露、垃圾邮件和网络诈骗与此种价值取舍不无关联。这种经济中心主义格局,近来却又陡然转向“欧盟式立法”,欧盟GDPR被指与大数据产业不兼容的问题,[63]也因此呈现在中国。如何弥合司法经验与新近立法的价值冲突并实现平稳转轨成为当下的紧迫问题。
  (二) PII2.0版:个人信息边界开放后的解释论
  我国早期认定个人信息的“美国式实践”虽有法益保护不足之弊,但总体符合目标与手段相匹配的制度设计原理,这与我国鼓励互联网和大数据产业发展的政策导向相吻合。近来虽又转向“欧盟式立法”,但解释适用中仍需兼顾当前的产业政策及其追求的大数据利用价值。正如学者对欧盟GDPR的评价,“数据的价值及其对于经济发展的潜在重要性,尤其是它对社会生活方方面面的影响,将推动决策者寻找更好的解决方案”。[64]这同样适用于中国。如何在开放个人信息边界的同时兼顾数据开发利用之价值,将是解释论之灵魂。
  作为国际发展趋势,个人信息的认定正从单一的可识别标准走向多元化、情境化和弹性化的可识别标准,有学者称之为“PII2.0版”。[65]PII2.0理论致力于以利益平衡理念和被识别的风险高低,将可识别个人身份的信息作精细化区分,并提供差别化保护。常见的分类方法有二:一是根据被识别风险的高低将PII分为确定可识别和潜在可识别两种;二是根据识别方式不同将PII分为直接(单独)识别和间接(与其他信息结合)识别两种。分类的目的旨在为不同类型的个人信息提供差别保护,以此平衡法益保护与数据开发利用之价值。[66]PII2.0理论也为《网络安全法》第76条的“个人信息”概念提供了二元分析框架。
  1.能够单独识别个人身份的信息之认定
  所谓“单独”识别,是指无须借助其他信息即可直接实现识别效果,此类信息相对确定且数量有限,各国立法大多是以列举方式呈现其类型;所谓“能够”识别,既包括已经确认某个具象化的自然人,也包括尚未具象化但客观上能指向唯一自然人的信息,例如仅以数字方式呈现的身份证号码,其所指向的自然人虽尚未从人群中被区分出来,但已被特定化。我国《网络安全法》第76条列举的个人生物识别信息、电话号码、住址以及各类账号、密码均属此类。将“能够单独识别”个人身份的信息纳入保护范围是国际共识,欧盟和我国台湾地区将其表述为“直接识别”。德国在保护那些承载核心人格利益的个人信息时甚至拒绝利益衡量。我国也应为这些最具人格价值的个人信息提供高标准保护,但现行法的保护方案尚难以作区别对待。
  2.与其他信息结合能够识别个人身份的信息之认定
  引入这一概念后,个人信息的边界将彻底开放,并随着大数据分析和数据画像技术的进步而不断拓展,未来几乎所有与个人有关的信息都可能识别出背后的自然人,这是大数据技术的重要特征。法律上若将这些信息一概视为“个人信息”,则绝大多数具有数据开发价值的信息都将囊括其中,数据开发利用空间将被严重压缩;但若否认其“个人信息”属性,又将为法益保护留下了巨大漏洞,因为大数据技术可轻而易举地透过非个人信息绘制数据人像。摇摆于二元价值之间,此类个人信息的认定争议不断,如IP地址、 cookie、定位、人群标签、计算机硬件或软件识别符等,它们虽不可单独识别个人身份,但距身份识别仅一步之遥。法律上能否视之为“个人信息”,关键取决于是否有其他信息来辅助完成识别过程。
  (1)“待决信息+其他信息”的方法论构造。《网络安全法》第76条中的“与其他信息结合”之表述,表明此类个人信息的认定不再只是对单一信息的独立判断,而是要将其置于大数据环境下,与其他相关信息结合起来判断可识别性之有无。所谓“待决信息”是指有待进行性质界定的涉案信息,“其他信息”是指信息收集利用者已掌握或将掌握的其他相关信息。以百度大数据案为例,原告搜索的“丰胸、减肥、人流等”关键词属于“待决信息”,其性质判断需借助的其他信息包括但不限于百度依其隐私政策所收集的“IP地址、所访问服务的URL、浏览器的类型……以及访问服务的日期、时间、时长等”。[67]若以“搜索关键词+ IP地址+访问时间”的信息组合来看,除非涉案搜索行为发生在多人共用的公共电脑上,否则,身份识别的可能性极高,谁会在特定位置、特定时间、使用特定设备发起搜索行为,通常是个公开的秘密。因此,搜索记录是否属于个人信息,不仅取决于该信息本身的人身指向性强弱,更取决于信息收集利用者还掌握哪些相关联的信息。大数据时代的信息源越多、寻找数据指纹的技术越强,被判定为个人信息的类型也越多。这意味着,同一“待决信息”在不同案件中完全可能作出不同的界定,这取决于信息收集利用者的信息持有量和识别技术的高低。
  (2)可识别标准的合目的性限缩与情境化判断。《网络安全法》第76条所言之“能够识别”,除已识别之情形外,还包括未来可能识别之情形,后者是对未来可能性之判断,标准不易把握。尤其是随着信息源的拓展和信息技术进步,未来几乎所有与个人有关的信息都具有身份识别的可能性,法律上若一概视之为个人信息,势必给信息资源的开发利用带来极大障碍,甚至可能阻碍信息技术的进步。为兼顾信息开发利用价值,此类个人信息的认定标准宜作适度限缩。从学理上讲,既然个人信息概念的提出旨在保护与个人有关的信息所承载的人格利益,那么,只要涉案信息未承载或不影响其人格利益,无论是否与个人有关,均不宜认定为个人信息,从而避免过于宽泛的个人信息概念限制信息开发利用之空间,这属于“合目的性限缩”。至于涉案信息是否承载或影响人格利益,需结合信息类型及其应用场景作个案判断,正如美国学者提出的“基于场景”的隐私保护理念。[68]纳入考量的因素包括但不限于信息收集目的、商业利用模式、信息保有量、信息存储时间和环境、识别动机和潜在激励、技术条件和企业信誉等。[69]通过对这些要素的综合考量来判断涉案信息是否承载并在多大程度上影响人格利益,进而判定其是否属于个人信息。这是一种结果导向的利益权衡。因此,法院面临的问题与其说是判断待决信息是否属于个人信息,不如说是判断将待决信息视为个人信息是否有助于保护更重要的人格利益(相较于信息开发利用价值而言)。
  以IP地址为例,[70]谷歌公司在美国和欧盟均以IP地址的技术原理来否定其个人信息属性,但在大数据时代,单独讨论IP地址的性质意义不大,关键在于其在何种场景下被收集、存储和利用?一旦进入具体场景可以发现,“谷歌从不独立存储IP地址,而是将其与用户识别符和行为信息联合存储。通过用户日志文件,谷歌可获知哪个IP地址访问了某个电子邮件、日程表、编辑了某个文字处理软件、发起了某个搜索词等。通过分析这些彼此关联的信息完全可得出与IP地址关联的自然人的精确信息”。[71]在这样的信息存储场景下,IP地址承载了大量私密性人格利益,甚至可能构成德国法上的“核心人格利益”,在人格利益保护与信息开发利用的天平两端,无理由不优先保护核心人格利益,故将其界定为个人信息应无疑问;反之,若单独收集IP地址且无法与其他信息组合匹配,将不会对人格利益构成影响,可不认定为个人信息。正是基于被识别的风险及其对人格利益的潜在影响,欧盟和美国均倾向于将IP地址和cookie识别符视为个人信息。[72]与之类似,我国2018年5月实施的国家推荐性标准也明确将“个人上网记录、个人常用设备信息、个人位置信息”列为个人信息。[73]
  四、个人信息的私法保护模式选择
  (一)美欧经验:积极确权模式与行为规范模式的互动
  若属个人信息,则个人信息主体可主张哪些权益/权能?相应地,信息开发利用者享有多大范围的行为自由?这是更具实质意义的法律问题,也是表1案例的核心争点。比较法上存在两种截然不同的立法模式:一是积极确权模式;二是行为规范模式。前者通过正面界定权利来划定个人信息主体的权益范围,作为反推效果,在权益保护范围之外的领域均属他人的行为自由;后者直接规定信息开发利用之行为规范,以此来反推并间接保护个人信息主体的权益。面对两种截然不同的立法模式,制度上该如何选择?
  1.早期的积极确权模式及其背后的“丛林逻辑”
  美、德两国早期均采用积极确权模式来保护个人信息,只是德国确立了一项具有排他性效力的完整的个人信息自决权,而美国则是借用防御性的隐私权来保护互联网时代的个人信息。两国的价值取向虽然迥异,但立法技术上却走向趋同化——均属积极确权模式。作为权利立法的反推效果,德国的个人信息自决权和美国的隐私权在划定权益保护范围的基础上,间接设置了信息收集利用之行为界限,其基本逻辑为:通过确认(或解释)权利来反推他人的行为自由。这不仅解决了个人信息的权利性质及其排他性范围问题,而且为法益保护提供了弹性化的裁量平台,法院可通过法益保护范围的限缩或扩张解释,相对灵活地调整信息开发利用者的自由空间。德国和美国的分野由此产生,正是由于支配性的个人信息自决权和防御性的隐私权在排他性效力上的不同,造就了两国截然不同的个人信息保护水平和互联网产业。
  积极确权立法的上述正、反面功能,使之成为西方国家早期普遍采纳的简约型立法模式,立法者可借助权利排他性范围的灵活设置来扩大或限缩信息开发利用的自由空间。但实践情况表明,积极确权模式存在结构性缺陷:(1)法律上的确权和支配不等于事实上的确权和支配。由于个人信息的收集、处理和交易是以不可视的方式在虚拟空间瞬时完成,互联网公司可通过技术手段轻而易举地单方操纵整个信息处理过程,正所谓“代码权力”。[74]作为权利人,个人信息主体在信息开发利用过程中缺乏平等的谈判地位。信息的无限复制与快速传播使得个人信息在脱离人身之后几乎不具有事实上的可支配性,个人不仅无力阻止未经授权的信息传播,而且被排除在个人信息的商业交易之外,[75]因此,个人信息虽被界定为私有,但权利人却无法实际拥有它,法律保护效果因此大打折扣。(2)积极确权模式无法给相对人提供清晰的合规指引和行为预期。权利立法通常是以抽象概念界定权利,或通过“事后诸葛亮”式的判例于事后定分止争,这两种确权方式都会导致权利边界模糊,若权利边界无法在事前准确界定,则无法通过反推技术来廓清信息开发利用之界限,进而无法给相对人提供清晰稳定的合规指引。由此导致的结果是,个人信息保护在实践中仍停留于“丛林地带”。
  2.行为规范模式的引入及其与确权立法的协调配合
  积极确权模式的内在丛林逻辑迫使人们不得不寻找更好的立法模式,行为规范模式正是在此背景下应运而生,[76]其总体思路是从权利界定转向行为规制,通过评估信息开发利用对个人信息主体的潜在影响来设定行为规范,以此为信息开发利用提供合规指引并间接保护个人信息。《德国联邦数据保护法》、《美国儿童在线隐私保护法》、《欧盟个人信息保护指令》以及欧盟GDPR均以大量篇幅构建行为规范体系。信息收集利用的透明度规则、目的拘束规则都是其重要成果。相较于抽象的确权立法,行为规范的设计直接以信息收集利用行为作为规制对象,这为行为人提供了相对清晰的合规指引,有助于弥补权利立法的模糊性弊端。但行为规范的设定不能“因案设法”,故难以精确对待样态各异的市场行为,为平衡行为自由与权益保护的二元价值,行为规范立法不得不设置大量一般规则与例外条款,例如GDPR有大量篇幅都在列举各种适用除外和豁免事由。但即便如此,行为规范立法仍无法摆脱弹性不足的问题。在行为规范无法穷尽列举或难以通过“原则+例外”条款进行精确的价值平衡和区别对待的领域,积极确权立法将隆重登场,弹性化的权利立法可作为兜底机制,由法院在事后针对个案情形,通过灵活解读法益保护范围来调整行为自由之界限,以此缓解行为规范的列举负担与僵化难题。
  在法律效力上,行为规范立法不只是行政执法的依据,同时也为民事司法提供了裁量基准。个人信息的私

  ······

法宝用户,请登录后查看全部内容。
还不是用户?点击单篇购买;单位用户可在线填写“申请试用表”申请试用或直接致电400-810-8266成为法宝付费用户。
【注释】                                                                                                     
©北大法宝:(www.pkulaw.cn)专业提供法律信息、法学知识和法律软件领域各类解决方案。北大法宝为您提供丰富的参考资料,正式引用法规条文时请与标准文本核对
欢迎查看所有产品和服务。法宝快讯:如何快速找到您需要的检索结果?    法宝V5有何新特色?
本篇【法宝引证码CLI.A.1254761      关注法宝动态:  

法宝联想
【相似文献】
【作者其他文献】

热门视频更多