论同意不是个人信息处理的正当性基础

任龙龙（对外经济贸易大学,北京100029）

论同意不是个人信息处理的正当性基础

任龙龙
（对外经济贸易大学,北京100029）

无论是国际法规范和多数国家的个人信息保护法，还是以网络服务商为代表的用户协议、服务条款和隐私权政策，均就个人信息处理的同意作了相关规定，将同意作为个人信息处理的正当性基础，已经成为一种理论上的通说和实践中的通行做法。然而就判断个人信息处理的正当性基础而言，同意规定的实质是事先判断，即在个人信息处理行为发生之前，如若信息处理者取得了信息主体的同意，则意味着其处理行为具有正当性。在大数据时代，个人信息处理行为的规制原则应是防止滥用，而非严格保护，故对个人信息处理行为是否具有正当性的考察宜采用责任规则及事后判断的方式，同意不应是个人信息处理的正当性基础。通过赋予信息主体删除权，并构建一种“宽进严出+删除权”的个人信息保护策略，可以在合理保护信息主体权益的基础上最大程度利用个人信息，推动经济的发展和社会的进步。

同意；个人信息处理；正当性基础

在大数据时代，个人信息的处理（本文单独提及“处理”时，是指个人信息的收集、处理、利用和传输等行为的总称，是广义行为上的个人信息处理）现象比比皆是。特别是伴随着数据收集和挖掘技术的进步，大规模处理个人信息正逐渐变成一种广泛存在的经济现象，这推动了经济的发展和社会的进步，但也给公民自身带来了不可避免的麻烦，造成其人格侵害和财产损失。个人信息规模化、多样化利用的趋势无可避免，正因为如此，如何合法正当地处理个人信息也就成了大数据时代个人信息处理的关键所在。

无论是理论上的通说抑或实践中的通行做法，众多国际组织和国家均将个人信息处理的正当性建立于同意之上。在细节上，对于同意是否为其首要基础，则有所分歧。以欧盟的做法来看，其毫无疑问是将同意作为个人信息处理正当性的首要基础。美国则并未如此。美国仅在特定领域就特定类型个人信息或其特别处理方式由特殊立法进行规定，要求在处理个人信息之前征得信息主体的同意。但总体而言，将同意作为个人信息处理之正当性基础已渐成一种趋势，并获得了普遍承认。

然而，无论是从理论角度推究，抑或从实证角度考量，笔者均倾向于否定同意是个人信息处理的正当性基础。

一、关于同意基础的国内外法律规定与实践考察

现有的关于个人信息保护的国际法规范及国内法律条文均对同意基础作了相关规定。这些规定涉及个人信息的收集、处理、利用和传输等诸多方面，明确要求在上述情形发生时，需取得信息主体之同意。

作为个人信息保护领域的先驱，经济合作与发展组织在1980年《关于隐私保护与个人数据跨界流通的指导方针》中，就个人信息保护提出了八项基本原则。①这八项原则是收集限制原则、数据质量原则、目的明确原则、使用限制原则、安全保障原则、公开原则、个人参与原则与责任原则。其中收集限制原则和使用限制原则均对信息主体的同意作出了相关规定。②收集限制原则要求“应当对个人数据的收集进行限制，任何这种数据都应通过合法和公平的方式获取，适当的时候，应当通知数据主体或取得数据主体的同意”。使用限制原则规定“不得在第9条所明确说明的目的之外，对个人数据进行披露、使其可以被获取或以其他方式利用。以下情形除外：a）取得数据主体之同意……”欧盟《关于涉及个人数据处理的保护以及此类数据自由流动的指令（95/46/EC）》（以下简称：指令）亦规定了个人信息处理的一系列指导原则，其中极为重要的一项为自主决定原则。在该原则的指导下，指令在多个具体条文中对信息主体的同意作了明确规定，尤其是第二章关于个人数据处理正当性的一般规则第7条，该条规定：“成员国应当规定只有在以下情形才能处理个人数据：a）数据主体明确表示同意……”③陈飞：《个人数据保护：欧盟指令及成员国法律、经合组织指导方针》，法律出版社2006年版，第597页。此外，指令还在数据处理的特殊类型与向第三国传输个人数据等章节中对同意基础作了具体的规定。④指令第二章第三节数据处理的特殊类型第8条第2款a）中规定：“数据主体明确对上述类型数据之处理表示同意”。上述类型数据指该条第1款中所规定之涉及种族血统、政治观点、宗教或哲学信仰、工会成员资格的个人数据或与健康或性生活相关的数据。指令第四章向第三国传输个人数据第26条例外规定中亦要求如传输个人数据至保护力度不能达到相关要求的第三国时应经“数据主体对于将进行的数据传输明确表示同意”。

在指令的指导下，欧盟各国纷纷制定或修改本国的个人信息保护法律，并在同意基础的规定上与之保持了高度一致。以德国为例，德国作为世界上最早制定个人信息保护法的国家，在指令发出后制定了《联邦数据保护法》（Federal Data Protection Act）。该法在第4节第一款中明确规定“只有在本法或者其他法律允许或规定或数据主体同意时，个人数据的收集、处理和使用才是被许可的”；并在第4节a条中就同意的实质要件（意思自由）、形式要件（书面形式）及例外等做了具体规定。其他欧盟主要国家如法国、英国等也分别在各自的个人信息保护相关法律中对同意基础作了具体规定。⑤法国2004年《数据处理、数据文件及个人自由法》（Data Processing,Data Files and Individual Liberties）第7条规定：“个人数据处理必须得到数据主体的同意或者……”；英国在其《资料保护法》（Data Protection Act）Schedule1，PartⅠ及Schedule2中规定，个人资料之处理应公正及合法，尤其非经当事人同意或有其他法定理由，不得为个人资料之处理。其他国家如瑞典，在其《个人数据法》（Personal Data Act）第10条中规定：“只有登记人同意，方可对个人数据进行处理……”

与欧盟成员国不同，美国重视个人信息的合理使用，并未将同意作为个人信息处理正当性的基本前提。在立法上，美国没有制定统一的个人信息保护法，仅针对个人信息滥用危害比较大、个人信息比较敏感以及个人信息保护迫切性高的特殊部门进行特别立法。但随着个人信息利用范围日益广泛，需要信息主体同意的情形越来越多，个人信息保护立法也相应有所改观。起先，美国仅在《隐私法》中针对个人信息披露之同意进行了规定：“除非是根据信息相关人的书面请求或事先的书面协议，任何机构不得通过任何方式与其他个人或机构联系，披露信息系统中的任何个人信息……”但随着美国法学界对控制权越来越关注，美国法又逐渐对某些领域个人信息收集、利用之同意进行了相关规定。这些领域主要包括敏感信息如个人健康信息之利用，以及特殊群体如未成年人个人信息之收集等。⑥美国《健康保险移转与责任法》规定，只有在取得公民明示同意的“授权”之后，受调整实体（主要指在通常的商业过程中提供或支付医疗保险的主体）才可以利用个人健康信息来满足除治疗或支付费用之外的目的。美国《儿童网上隐私保护法》则规定，商业网站向13岁以下的儿童收集个人信息时，必须事先征得可确认的家长或监护人的同意。作为一种趋势，同意作为个人信息处理的正当性基础，在美国的立法实践中已经逐步受到认可。

我国香港、澳门地区皆出台了专门的个人信息（资料）保护法，我国台湾地区亦制定了“个人信息保护法”，其对同意均作了具体规定。⑦香港《个人私隐保护条例》规定“凡根据本条例任何作为可经某人（不论如何描述该人）的订明同意而作出……”；澳门《个人资料保护法则》在第六条个人资料处理的正当性条件中明确规定“个人资料的处理仅得在资料当事人明确同意或一下必要情况下方可进行……”；我国台湾地区“个人信息保护法”虽未有专门的条文明确规定个人信息的处理需经信息主体的同意，但是在众多分散的条文中对同意作出了相应规定。这些条文主要涉及公务机关和非公务机关对个人信息的收集、处理和利用，其措辞为“经当事人书面同意”，散见于第15条、第16条、第19条、第20条。尽管我国目前尚未出台专门的个人信息保护法，但2012年全国人大常委会颁布的《关于加强网络信息保护的决定》第2条明确规定：“网络服务提供者和其他企业事业单位在业务活动中收集、使用公民个人电子信息，应当遵循合法、正当、必要的原则……并经被收集者同意……”此外，众多《个人信息保护法》学者建议稿也均对同意基础作了明确的规定。⑧参见周汉华：《中华人民共和国个人信息保护法（专家建议稿）及立法研究报告》，法律出版社2006年版；齐爱民：《中华人民共和国个人信息保护法示范法草案学者建议稿》，《河北法学》2005年第6期。由此可见，同意在我国的立法实践中也是作为正当性基础存在的。

将同意作为个人信息处理的正当性基础，不仅在立法中得到了体现，在实践中也得到了贯彻。在大数据时代，对个人信息的处理主要基于互联网，网络已经成为大多数人日常生活中不可或缺的一部分，而网络服务的使用离不开个人信息的处理，加之移动终端设备尤其是智能手机的普及，个人信息的处理更是成为无时无刻不在发生的事。以网络服务提供商为例，为了能够赋予个人信息处理行为以正当性，减轻或免除己方可能承担的责任，网络服务提供商在提供网络服务时，通常会附加相应的用户协议、服务条款或单独的隐私权政策，以用户之同意作为其获得网络服务之必要条件。在这些用户协议、服务条款和隐私权政策中，网络服务提供商明示了个人信息的收集原因、范围、处理和使用方式，并对自己的隐私政策或个人信息保护政策进行说明。网络服务提供商除了会在用户注册个人账户时要求用户必须点击“同意”选项之外，还会在用户协议、服务条款和隐私权政策中明示“在征得您的同意……”之类的语句，以显示取得用户的同意，并基于此处理用户的个人信息。⑨参见Google隐私权政策，https://www.google.com/intl/zh-CN/policies/privacy/；百度用户协议：http://passport.baidu.com/static/ passpc-account/htm l/protocal.htm l等。几乎所有的网络服务提供商均是如此。尤其对于未成年人个人信息的收集，美国网络服务商更是明确要求其在使用产品或服务之前，应事先取得家长或法定监护人的同意。⑩参见亚马逊隐私声明，https://www.amazon.cn/gp/help/customer/display.htm l/ref=ap_signin_notification_privacy_notice?ie= UTF8&nodeId=200347130。由此可见，同意作为个人信息处理的正当性基础，在实践中得到了充分体现。

二、同意并非个人信息处理的正当性基础

（一）同意基础的理论根基不牢固

认为同意为个人信息处理正当性基础的理论依据主要是信息不对称理论，其逻辑是为了取得信息主体的同意，必须向其进行告知，使信息主体能够知晓自己的个人信息处理状态，从而可最大程度地避免信息不对称导致的危害。所谓信息不对称理论，是指信息在相互对应的经济个体之间呈现不均匀、不对称的分布状态，即有些人对某些事情的信息比另外一些人掌握得多一些。①辛琳：《信息不对称理论研究》，《嘉兴学院学报》2001年第3期。然而，在个人信息交易市场上，个人信息所指涉的当事人与信息搜集者之间的“资讯不对称”或“知识落差”造成市场的失灵，因此，关于个人信息的搜集、利用和分享，应有“告知后同意”与“告知后选择”原则之适用。②翁清坤：《告知后同意在个人资料处理之适用》，转引自陈海帆、赵国强主编：《个人资料的法律保护：放眼中国内地、香港、澳门及台湾》，社会科学文献出版社2014年版，第205页。但笔者认为，事实上，将同意作为个人信息处理的正当性基础并不足以消除个人信息处理过程中信息不对称现象的存在。

个人信息市场信息不对称的解决，核心是保障信息主体的知情权，而知情权的有效保障是以信息的充分流通和提高透明度为前提的。在个人信息处理过程中，信息处理者如能向信息主体充分告知相关情况，③信息处理者主要包括公共机构和私法主体。公共机构主要是指立法机关、行政机关、司法机关等公法机构以及国有公司、基金会和协会等。私法主体私法主体指自然人或法人、公司和其他依据私法成立的基金会、协会等。如私法主体完全行使公共管理职能，则应被视为公共机构。提高个人信息处理的透明度，则信息主体的知情权自然可得到保障。在确保知情权的情况下，信息主体可以充分了解个人信息的处理情况，并在其超出自身可接受程度时及时进行反对，终止处理行为。此时，硬性规定以同意为基础既非必要，又不利于数据经济的创新和发展。

规定同意基础的另一理论依据是个人信息权。个人信息权是指信息主体依法对其个人信息所享有的支配、控制并排除他人侵害的权利。④齐爱民：《论个人信息的法律保护》，《苏州大学学报（哲学社会科学版）》2005年第2期。它包括个人信息决定权、控制权等，源自德国法的个人信息自决权理论。⑤个人信息自决权，源于德国宪法，在德国法的语境中是指“个人依照法律控制自己的个人信息并决定是否被收集、处理和利用的权利”。德国法将个人信息自决权作为一般人格权的下位概念，将其上升到宪法的角度予以保护，并通过联邦宪法法院的判例不断加以完善。在1983年的“人口普查案”中，德国联邦宪法法院最早采用了个人信息自决权的概念。其判决书正文第一段写到：“在现代信息处理之条件下，应保护每个人之个人信息免遭无限制之收集、储存、利用和传递。此系基本法第二条第一项一般人格权及基本法第一条第八项人性尊严保护范围。该基本人权保障每个人原则上有权自行决定其个人信息之交付与使用。”个人信息权保障信息主体对自己的个人信息能够支配、控制，故而信息处理者在处理其个人信息时应征得信息主体的同意。

个人信息自决权存在的关键在于自然人对个人信息具有决定自由与控制能力，抛开二者，个人信息自决权便会沦为无稽之谈。逻辑上，信息主体有权决定个人信息能否利用以及作何利用，然而这种决定自由是受到个人信息价值的社会性限制的。人是社会性动物，人的本质即是社会性，而社会性的重要体现就是交往。“主体来到世界，便以自己的个体存在为边界。此种个体存在的边界，并不是、或者无法说明主体的全部存在样态。……人们只有通过交往，才能在更广远的视界上体验人的整体性生存和存在。”⑥谢晖：《法律的意义追问——诠释学视野中的法哲学》，商务印书馆2003年版，第36-37页。作为能够识别自然人的信息，个人信息存在的首要价值便是帮助自然人实现社会交往。个人信息实际上是个人与他人，个人与社会的一种连接方式。因此，不管是在社会生活中，还是经济活动中，对于个人信息的知悉需求总是存在的。从某种意义上讲，不披露信息就意味着欺诈。如果人们隐匿个人信息是为了误导他人，那么，从经济学上来说，给予这样的行为以法律保护，并不比允许商品销售中的欺诈行为强多少。⑦[美]理查德·A·波斯纳：《论隐私权》，常鹏翱译，《私法》2011年第2期。在这种情况下，他人对信息主体的个人信息享有一定程度的利益，理应具有知悉的权利，这种权利应当受到法律的保护。相应地，信息主体的决定自由就应受到限制。因此，就个人信息而言，信息主体的决定自由是“不真正”的、难以实现的。这在很大程度上削弱了个人信息自决权理论上的可能性。以个人信用信息为例，个人信用信息的真实性恰恰依赖于信息主体决定权的缺乏。如果赋予信息主体对个人信用信息处理决定的权利，那么在信息主体同意的前提下，由此得来的信用报告可能就不具备充分的客观真实性。此外，在网络社会中，个人信息的决定自由明显缺乏有效的现实性。信息主体想要使用网络服务提供商所提供的网络服务，除了同意别无选择，其根本不具有决定的自由。

除了决定自由的缺失，信息主体对个人信息的控制能力也是极为有限的。作为与识别或可识别的自然人密切相关的信息，个人信息原则上应属自然人之“所有”，然而事实上，其既不能为信息主体现实占有，又不能为其独占。个人信息是“无形”的，它依赖于载体而存在，尤其是以数据形式存在于网络中的个人信息，更是只能存储于服务器、终端设备等中。信息主体无法对个人信息实现真正的占有。此外，个人信息的价值在于它的流动性，只有通过流通个人信息才能真正实现其价值。这导致信息主体对个人信息难以实现排他性占有，也就无法实现真正的控制。况且个人信息的有用性依赖于公开性，而一经公开，任何自然人、私法主体和公共机构都可以在任何时间、任何地点获得并复制和传播已获得的个人信息。尤其是在网络中，已公开的个人信息更是人皆可见、人皆可得，复制和传播成本几乎为零，根本不具有可占有性，控制也就无从谈起。信息主体对个人信息既难具决定之自由，又缺乏控制之能力，个人信息自决权自然如无本之木，同意基础的正当性也就大打折扣了。

综上，无论是信息不对称理论，还是个人信息自决权理论，都不能成为同意是个人信息处理正当性基础的有效理论支撑。

（二）同意本身缺乏必要性和真实性

在个人信息处理已经造成紧迫危害性的前提下，法律条文中采取严格举措规定同意是个人信息处理的正当性基础是必要的。然而，就现阶段而言，个人信息处理能够带来的危害实际上并未严重到难以容忍的地步，个人信息处理所带来的福祉其实大于危害，同意基础的规定反倒可能在一定程度上阻碍经济的发展和社会的进步。实际上，个人信息处理造成的担忧很大程度上是源自对潜在威胁的恐惧；换言之，是对一种损害可能性的防范。

个人信息的处理者即公共机构和私法主体收集个人信息的目的主要是改善社会管理或创造经济价值，尽管个性化服务在其中占了很大比例，但其并不是为了实现对具体个人的监视或利益侵害。尤其是在大数据时代，个人信息的处理主要是大数据处理，是以海量数据为基础的，这决定了其核心价值来源于数据的共性分析。正因为如此，对个人而言，个人信息处理带来的危害绝大多数是潜在的，并非直接风险，特别是一些学者所言的“1984风险”更是基于不确定的恐惧。⑧该风险来源于乔治·奥维尔创作的讽刺小说《一九八四》，其描述了一个零隐私的恐怖社会。对于不确定的恐惧，试图通过赋予总是落后于经济社会发展的法律以“先见之明”进行避免，并非明智之举。目前，现实生活中个人信息处理所带来的最直接的危害即是垃圾信息的骚扰，尤其是推销电话、短信、电子邮件等，以及可能发生的隐私侵害行为和诈骗行为等。除了隐私侵害行为和诈骗行为，其他行为实际并不会给信息主体带来严重的利益损失，而隐私侵害行为和诈骗行为则可分别通过民法上隐私权或刑法上诈骗罪等获得相应的救济。故而作为社会生物，个人信息处理的大多数危害应尚属个人可以容忍的范围。相反，个人和社会享受着个人信息处理带来的大量福祉。以个人信息的处理为基础，个人享受着便捷的学习、工作和生活服务，无论是衣食住行还是社会交往，均因之发生了翻天覆地的变化，而社会管理和服务也因之更加有效和人性化。可以预见，未来大数据时代的基本福祉将是建立在个人信息的处理之上的。因此，个人信息处理带来的福祉与对处理行为的容忍度应呈正相关关系。个人信息处理带来的福祉越大，对于个人信息处理的容忍度亦应越高。而同意基础的规定在现阶段无疑显得过于苛刻了，与个人信息处理带来的福祉显失协调。

同意基础的规定除了缺乏必要性，还显著缺乏真实性。同意真实性的保障是同意成为个人信息处理正当性基础的关键所在。失去了真实性的同意，其危害可能比同意基础的缺失更可怕。然而，在现实中，同意的真实性几乎难获保障。欧盟第29条工作组的文件指出，同意合法有效需要满足四个标准：第一，同意必须是清楚而不含糊的意思表示；第二，同意必须是自由作出的；第三，同意必须是明确的；第四，同意必须是在充分告知信息的情况下作出的。⑨欧盟第29条工作组：《关于1995指令第26条第1款一般解释的工作文件》（Working Document on a Common Interpretation of Article 26(1)of Directive 95/46/EC of 24 October 1995,WP114）。其中最关键的两个标准是自由作出和充分告知信息，如若它们不能获得保证，则同意基础的真实性和有效性将荡然无存。

其一，同意难以自由作出。前文已论述信息主体缺乏对个人信息的决定自由和控制能力，故其难以作出自由同意。在大数据时代，基于网络的个人信息处理是主要方面，而在网络中，信息主体欲保持同意的自由则更难实现。在使用网络服务提供商的服务时，信息主体除了同意外几乎别无选择，因为如果不向其提供所需要收集的个人信息，就无法享受它们所提供的服务和产品。故而，网络用户面临此选择时，基本都会点击同意，甚至连相关的用户协议、服务条款和隐私权政策的内容都不会加以阅读。因为阅读这些条款和政策没有任何实质意义。在这种情况下，同意的真实性自然大打折扣，规定同意为个人信息处理的正当性基础显然成了纸上空文。

其二，充分告知信息在现实中难以获得保证。仍以接受网络服务为例，网络服务提供商所提供的用户协议、服务条款和隐私权政策通常不会直接显示，而是以小字体的方式与同意选择一起出现，其表述通常为“阅读并同意……”，这显然不能引起信息主体足够的重视。何况这些协议、条款或政策通常十分冗长乏味，充斥着大量不重要的含糊其辞的规定。相反，关于个人信息处理真正重要的条款则夹杂其中，并不显著。况且相关条款对于个人信息收集的范围、保留时限、处理方式以及使用范围等规定也不尽详细和合理，而用户却不具有任何磋商和修改的权利。此外，在大数据时代，个人信息的用途多种多样，并且数据挖掘和处理技术的进步不断变化，而信息主体对个人信息处理一时一事之同意并不能代表他时他事之同意。在这一过程中，信息处理者可能将已收集到的个人信息用于显著不同的其他目的，而对于整个处理过程极难实现监管和控制，在具体的危害发生之前，信息主体对此可能毫不知情，更谈不上充分的信息告知。若此，信息主体根本没有作出新的同意的机会，即使能够作出，其真实性也难以保证。

总之，同意基础的规定既缺乏紧迫的必要性，又无法保障真实性，故而其并不具有有效的实践意义。况且，即使在个人信息保护法中严格规定同意为个人信息处理正当性基础的情形下，个人信息不正当处理的现象也未必会因此得到有效的遏制。

（三）同意基础不符合经济考量

在大数据时代，数据已逐渐成为一种重要的生产要素，对经济发展和社会进步发挥着无与伦比的作用。与其他的生产要素相比，数据容易实现共享，可以重复使用，还可随着技术的进步不断实现价值的新发现，可以说是取之不尽、用之不竭。伴随着软硬件的发展，尤其是智能设备的普及，个人信息作为数据的重要部分，其处理行为无时无刻不在发生。得益于个人信息的处理，新的经济点不断涌现，在创造经济价值的同时，也极大地方便了人们的生活，推动了社会的进步。人类社会要进步，新经济要进一步爆发，个人信息的价值必须实现更高层次的释放。而规定同意作为个人信息处理的正当性基础，无疑严重阻碍了个人信息价值的实现。对于正在蓬勃发展的新生事物，法律应当对其保有基本的宽容，而不应予以过早的限制乃至扼杀。

对一种处在上升通道中的经济模式而言，成本的增加显然是不利的。而同意规定恰恰增加了个人信息处理的成本。信息主体对于个人信息处理一事的同意，并不代表对他事的同意，同样，一时的同意也不具有持续的有效性。在个人信息的处理方式和目的日益多样化的过程中，信息处理者将面临无休止的告知并须取得信息主体同意的境况。若如此，显然增加了不必要的成本，降低了经济效率，无益于数字经济的发展。此外，信息处理者还会因此处在稍有不慎便侵犯信息主体利益的危险之中，这样会极大地束缚了其创新行为，反过来将影响信息主体福祉的实现。何况，对于某些个人信息的处理，信息处理者可能缺乏或根本没有告知并征求信息主体同意的途径，此时要求其履行同意义务无疑会产生不合比例的成本。而对一个掌握了大量有价值个人信息的信息处理者而言，若仅由于无法取得信息主体的同意而剥夺其处理的权利，事实上不可能，经济上无益处。

同意基础的规定产生的高昂成本，不仅影响着信息处理者，也可能影响信息主体。除了作出同意所产生的一般成本，如时间成本、通信费用、交通和文本费用等，更多的是由同意带来的产品和服务成本。信息处理者因告知和征得信息主体同意所产生的诸多成本，最终会反映在其向信息主体提供的产品和服务上。可以设想的是，如果将来个人信息的处理不仅需要信息主体的同意，还需要支付相应的财产对价，其必将导致产品和服务价格的高昂。

可以预见，随着数字经济的发展，个人信息处理行为将会呈现爆炸式发展，若需要信息主体时时事事的同意，那么对信息主体而言其带来的骚扰可能远甚于个人信息处理行为本身。对个人信息的严格保护很大程度上意味着信息主体追求“独处的自由”和“精神上的安宁”，当信息主体面对无休止的同意通知，其导致的精神上的不安宁和对独处的骚扰，比之个人信息得不到保护的情形恐怕有过之而无不及。

（四）例外规定的大量存在削弱了同意基础的效力

当前，各国或国际组织制定个人信息保护法时，均在肯定信息主体同意权利的同时对其适用作了大量的限缩或排除，以兼顾个人信息保护之外的其他重要价值。以指令为例，其第7条规定只有在以下情形才能处理个人数据：“……（b）为了履行当事人一方为数据主体的合同所必须的数据处理或者为了在订立合同之前依照数据主体的要求采取措施所必需的数据处理；或者（c）为了履行数据处理控制人所负担的法定义务所必需的数据处理；或者（d）或者为了保护数据主体的重大利益而必需的数据处理；或者（e）为了履行涉及公共利益之任务，或者行使授予数据处理控制人或者接受数据披露的第三方的官方授权之任务所必需的数据处理；或者（f）为数据处理控制人或者接受数据披露的第三方所追求的合法利益的目的所必需的数据处理……”⑩参见前注③，陈飞书，第31页。

这些例外规定既涉及合同的履行，又涉及公共利益和信息主体本身利益的保护等，几乎涵盖了现有个人信息处理最主要的类型，因此极大地削弱了同意本身的效力。尤其是（b）条例外，作为个人信息处理的主要方式，网络用户接受网络服务商提供的服务，与其签订用户协议，依据内容和所调整的权利义务关系的特点，用户协议属于无名合同。①林旭霞：《论网络运营商与用户之间协议的法律规制》，《法律科学》2012年第5期。网络用户作为信息主体，与网络服务提供商即信息处理者之间存在有效的合同，那么对其个人信息如姓名、联络地址等的处理若是为了产品及服务的履行，当属于某些“被普遍接受的惯例”（commonly accepted practices），②FTC,“Protecting Consumer Privacy in an Era of Rapid Change-A Proposed Framework for Businesses and Policymakers”, available at http://www.ftc.gov/os/2010/12/101201privacyreport.pdf,pp.53-54.故而信息处理者无需再取得信息主体的同意。所以同意作为个人信息处理的正当性基础的规定因诸多例外的存在而效力大减。

三、“宽进严出+删除权”的个人信息保护策略

在大数据时代，个人信息处理行为的规制原则应是防止滥用，而非严格保护。否定同意是个人信息处理的正当性基础，使得信息处理者可以不经信息主体同意而收集、处理和利用其个人信息，改善产品或服务，这可能导致个人信息的大规模滥用。因此，赋予信息主体以删除权是必要的。删除权（the Right to be Forgotten），又称被遗忘权，是指信息主体有权要求信息处理者永久删除其某些个人信息的权利。删除权不仅由欧洲法院在判决中提出，③2014年5月，Google公司在一件关于数据隐私的重要案件中败诉。在该案中，欧洲一家法院要求Google接受用户的在搜索结果中删除不相关的多余信息的请求。Google公司不服判决上诉至欧盟法院。2014年5月13日，欧盟法院最终裁定用户享有“被遗忘权”，有权要求Google公司从搜索结果中删除相关链接。而且在2012年欧盟《个人数据保护指令修正案》中明确得到认可。该修正案第17条规定，当存在如下情形时，信息主体有权要求信息处理者删除有关信息：第一，请求删除的信息与信息处理目的已无关联，尤其是如果这些信息是由信息主体在未成年之前发布的；第二，信息主体明示或通过行动表示撤回信息处理的同意，或者同意处理其个人信息的期限已经届满，且已不存在处理该信息的合法依据；第三，信息主体反对收集或处理其个人信息……；第四，其他情形。④European Commission.Proposal for a regulation of the European parliament and of the council on the protection of individuals w ith regard to the processing of personal data and on the free movement of such data.http://ec.europa.euljustice/dataprotection/document/review2012/com_2012_11_en.pdf.在否定同意作为个人信息处理正当性基础的前提下，删除权的判断核心在于个人信息处理行为已经背离了信息主体的本意，超出了信息主体所能容忍的限度，并可能或事实上对信息主体的人格或财产权益造成侵害。赋予信息主体删除权意味着尽管信息处理者的个人信息处理行为无需事先取得其同意，但当相应情形出现时，信息主体却可以此为依据要求信息处理者停止个人信息处理行为，删除有关个人信息，从而防止可能损害的发生，并就已发生的损害请求赔偿。

大数据时代的数据价值更多地体现在二次利用即对数据的深入挖掘和处理过程中，其处理目的可能因此而不断改变，这种特征要求个人信息保护策略的制定应基于改善人类福祉的目的，侧重于对个人信息的充分利用。基于此，笔者提出一种“宽进严出+删除权”的个人信息保护策略。这一策略的核心是信息处理者的个人信息处理行为无需事先取得信息主体的同意，但其应确保信息主体的知情权，并在损害发生时承担严格责任。与此同时，赋予信息主体必要的删除权，允许其在合理情形下提出删除相关个人信息的请求。

具体而言，“宽进严出+删除权”策略并不要求信息处理者在收集、处理和利用个人信息时事先取得信息主体同意，换言之，同意的缺失并不直接导致个人信息处理行为的非正当性。对个人信息的处理行为，原则上采取宽松的个人信息政策，尽量减少不必要的限制。然而处理行为的宽松并不意味着责任的宽松，对于可能发生的个人信息处理危害，信息处理者应保有最高程度的谨慎，一旦产生实际损害，其有义务将损害最小化，并承担相应的损害赔偿。此外，在全面衡量信息处理者个人信息处理行为本身以及对信息主体可能或实际造成影响的基础上，法律应明确信息处理者的具体行为责任，对造成严重后果的个人信息处理行为在赔偿责任之外加重惩罚责任，必要时亦应采取严厉的刑罚措施。在整个个人信息处理过程中，一旦出现应删除个人信息的合理情形，信息主体有权反对相关个人信息处理行为，并提出删除要求。信息处理者应当认真审查相关要求并采取必要措施，保护信息主体的个人信息权益。值得注意的是，在具体适用中，删除权的行使应兼顾言论自由及公共利益，不应肆意扩大边界。

四、结语

就判断个人信息处理的正当性基础而言，同意规定的实质是事先判断，即在个人信息处理行为发生之前，如若信息处理者取得了信息主体的同意，则意味着其处理行为具有正当性。否定同意是个人信息处理的正当性基础，则表明信息处理者即使取得了信息主体的同意，其个人信息处理行为也并非理所当然具有正当性。在这种情况下，信息主体获得了更大程度的个人信息处理自由，但也承担着更多的责任，因为即使事先取得了信息主体的同意，其处理行为仍然可能造成损害，仍需要承担相应的法律责任。故而，对个人信息处理行为是否具有正当性的考察，应当设置责任规则，采取事后判断的方式，全面考察信息主体的个人信息处理行为是否符合事先声明的特定目的，超出特定目的处理行为是否采取了必要的匿名化举措，在整个个人信息处理过程中信息处理者是否充分保障了信息主体的知情权，以及个人信息处理行为本身是否在事实上（或具有极大可能）对信息主体造成人格或财产损害，是否具有违法性等因素。与此同时，同意虽非个人信息处理的正当性基础，但如若事先取得信息主体的同意，亦可以在一定程度上相应地减轻信息处理者的责任。

事实上，在具体的立法实践中，关于同意规定的修正亦有国家开始尝试，如将要提交议会审议的日本《个人信息保护法》最新修正案中就准备规定，删除名字等使特定个人无法被锁定的信息即使没有本人的同意也可提供给第三方。⑤《日本出台法案规范个人信息使用加大处罚力度》，http://world.people.com.cn/n/2015/0310/c157278-26670000.htm l。这无疑是符合个人信息处理的现状和需求的，对于经济的创新发展和社会的进步是利大于弊的。笔者认为，这将会成为个人信息保护立法的一种新趋势。

（责任编辑：陈历幸）

DF51

A

1005-9512（2016）01-0126-09

任龙龙，对外经济贸易大学博士研究生。