数据时代用户知情同意规则的实践运用

文/李美燕 卢 卫

大数据发展的核心动力源自人们记录、分析世界和预测未来的渴望。人们在主动拥抱数字化生产生活的过程中也意味着对个人信息权的主动让渡。随着数据采集的广度和深度不断拓展，数据流动日益突破原有地域和行业界限，个人信息保护工作面临的风险和挑战随之大幅增加。无论是以保护消费者利益和隐私期待为基础的立法模式，还是以个人基本权利为核心的立法模式，均以用户知情、同意为核心来构建整个制度。早期，用户知情同意规则符合自由市场和个人自治的理念，且减少监管部门对经济行为的直接干预，被世界各国或地区广泛采纳与运用。但是，该规则在实践运用过程中的质疑与反思从未停止过。用户知情同意规则要求数据控制者和使用者承担告知义务，沿袭传统消费者合同“强制披露”的管理思路，对数据流转及产业创新发展限制和阻碍不容小觑。在新的产业发展格局下，应用场景的迭代演进升级需要数据的分析、挖掘与预测的价值进一步凸显，也促使过去的规范要求发生变化，知情同意规则的修正需求越来越强烈。

一、用户知情同意规则的确立

1．用户知情同意规则重视数据合法性收集。伴随着自由市场和个人自治的“自由不受干预”理论，用户知情同意规则以个人信息合法性收集之目的而确立，最早始于20世纪70年代。1973 年，美国卫生、教育和福利部发布《正当信息通则》要求未经他人同意，不得将个人信息用于其他用途。1974 年，美国《隐私法》对个人记录(Record) 的保存和披露进行了规定。1980 年，欧洲经济合作与发展组织发布《隐私保护和个人数据跨境流通指南》要求，个人数据不得被公开、被他人获取或被使用超出前款规定的特定目的，除非数据主体同意或法律授权。在此时间段，网络服务仅限于政府部门、学校和研究部门使用，用作学术科研之目的，其他的商业行为是不允许的。立法者主要关注数据收集过程的信息披露，以确保主体行为的合法性，用户知情同意规则形成了“告知与授权”的行为模式。

2．用户知情同意规则侧重数据商业化利用。随着互联网商业化应用服务的发展，用户知情同意规则向更注重数据控制者或使用者为其商业化利用行为承担责任方向延展。1995 年，欧盟《关于涉及个人数据处理的个人保护以及此类数据自由流通的第95/46/EC号指令》第7条将数据主体的同意作为个人数据处理的正当性基础之一。2002年，欧洲议会和欧盟理事会通过《电子通信隐私指令》要求通信和互联网服务商在未征得用户同意的情形下禁止存储和使用用户数据，告知用户数据进一步处理意图和用户有权不同意以及保障用户的知情权。

3．用户知情同意规则关注数据安全性流动。移动互联网时代的正式开启以及消费性互联网的蓬勃发展，深刻改变着人们生存生活的方式，但技术创新对个人信息保护构成严重冲击。在此阶段，立法加强了对数据控制者或处理者对数据分析、预测技术的规制，以避免用户因数据跟踪和识别等技术带来困扰和不安，以及敏感信息用于分析预测功能使个人遭遇不公及歧视性待遇。2009年，《欧洲Cookie指令》对Cookie使用和必要信息披露进行规范和管理。2011年，韩国《个人信息保护法》第15条规定个人信息处理者在获得数据主体同意时收集个人信息，并在收集目的范围内使用。同时，对敏感数据处理时需要获得数据主体同意（第23条）。2012年，新加坡《个人数据保护法》第13条规定不经个人同意或授权不得收集、使用和披露个人数据。同时，规定明示同意（第14条）和视为同意（第15条）条款。2016 年，欧盟《统一数据保护条例》对用户同意的要件做出规定，要求数据主体通过书面声明或有明确的肯定性动作表示其同意对数据进行处理，且意愿表达需要基于自由的、具体特定的、知情的、清晰明确的。同时，对儿童信息的同意需要取得监护人同意或授权。2016 年，我国《网络安全法》规定个人信息的收集和使用都必须确保用户的知情同意。同时，立法区分了个人信息的收集、使用和转让分别适用不同的规则，即收集和使用个人信息必须满足知情同意原则的要求，转让匿名化个人信息时则不需要征得用户的明确同意。

从全球范围内来看，个人信息保护立法均以用户知情、同意为核心来构建整个制度。在产业发展初期，用户知情同意规则主要形成了“告知与许可”模式。随着数据商业利用以及互联互通的时代背景下，用户知情同意规则有向更注重数据控制者或使用者为其商业化利用行为承担更多责任的方向延展的趋势。

二、用户知情同意规则的实践运用

1．网络应用服务1.0时代：用户知情同意规则的“知情”要求难以落实。网络应用服务1.0时代，用户知情同意规则是基于用户“知情的”前提进行“自主选择”的理念而设计，要求数据控制者或处理者在进行数据收集、使用的过程中披露信息，以帮助用户作出决策。在实践中，企业在收集、使用个人信息时，往往通过用户协议、注册协议履行告知义务。由于线上服务有着诸多的应用场景，相对于掌握海量消费习惯、具有专业知识的企业来说，用户面对陌生而繁杂的知情告知书时，往往不具备对等的知识与能力进行快速理解，并作出明智的决策。

用户知情同意规则运用的实效并未充分实现，其中两种情况存在的问题最为突出：一是在有限的用户注册或交互界面中展示动辄成千上万字的用户协议或隐私协议，且涉及繁杂的、难以理解的隐私策略和服务告知信息，却要求用户在短时间内完成阅读并进行决策，完成是否授权的行为；二是企业在用户协议或隐私协议上嵌入专业术语或相关链接，并告知用户该内容会作为隐私声明的重要组成部分，请用户点击查看并进行决策，完成是否授权的行为。这些冗长的信息或碎片化的告知方式，难以使用户完全阅读、分析研究并做出合理预判。毕竟，网络服务的即时性要求用户短时间内完成选择，网络技术的迭代性需要用户快速更新专业知识，网络扁平化的服务模式也使得专业中介机构无法及时参与补位。

在接受层见叠出的应用服务过程中，信息处理的方式变得越发复杂，用户缺乏足够的专业知识，很难从披露的信息洪流中做出准确的决策。其结果是，用户要么直接点击“下一步”跳过查看告知信息，要么选择“不同意”以拒绝接受服务。虽然用户知情同意规则设计初衷是要求企业披露信息以帮助用户保护隐私、建立防御机制，但最终却成为企业收集、使用用户个人信息的免责条款。在崇尚契约精神的社会，用户在自主选择的基础上需要为其选择承担后果。一旦用户与数据控制者和处理者发生争议，用户协议或注册协议产生法律效力，个人权益无法获得有效保障，“知情的”要求形同虚设。

2．网络应用服务2.0时代：用户知情同意规则的细化标准难以兼顾。网络应用服务2.0时代，数据的价值从最基本的用途转变为商业利用的潜在价值，比如，企业通过采集搜索流量可以揭示消费者的喜好，通过收集用户连接基站的位置信息可以优化网络基础设施及信号强度。在此阶段，个人信息保护立法进入了关注数据归属与兼顾数据商业利用的全新阶段，不再以隐私权为核心来进行构建其具体制度。同时，立法者、管理者及行业组织对用户知情同意规则的实践运用并不满意，尝试改进信息披露的方式，对企业收集、使用、处理个人信息的告知义务提出具体要求，以期对用户知情同意规则标准进行完善。欧盟要求用户授权意愿是自由给出的、特定具体的、清晰明确的。儿童的同意需要取得父母或监护人同意或授权。我国工信部《电信和互联网用户个人信息保护规定》明确要求，电信业务经营者、互联网信息服务提供者收集、使用用户个人信息的，应当明确告知用户收集、使用信息的目的、方式和范围等事项。但是，上述这些细化标准在实践中运用过程中却难以有效兼顾。

“大智移云”技术的创新应用使人们的思维方式发生了根本性的变革。数据收集和处理的目标不再是随机样本的选取而是全体数据，数据分析追求的是其相关性而非因果关系，通过用概率说话，而不是板着“确凿无疑”的面孔。数据成为企业新产品和新商业模式的基石。为了抢占市场竞争制高点，为日后商业创新发展留有空间，企业通常会最大限度的收集用户信息。如一家网络问答社区服务商提供服务时要求收集用户姓名、性别、年龄、个人资料照片或视频、身份证号、电话号码、电子邮件、社交账号、身份验证信息、位置信息和日志信息等个人信息，其理由是提供附加功能，为用户提供便捷流畅的社区体验。在应用服务初期，企业的确无法精准地描述其附加功能的所有内容，管理者自然也无法判断企业收集上述信息是否是服务所必须。

数据的通过分析、挖掘以及全样本的深度学习而获得创新的持续，目的限制本身就是一个相对概念。数据控制者或处理者在服务之初就考虑到其将来要提供的所有附加功能是不现实的，要求其明确告知信息的使用目的几乎也是不可能的。因此，在实践中，正是这种不追求精确性的数据分析方式，激发企业收集越来越多的数据，致使用户知情同意规则限制的标准实际运行地并不理想。

3．网络应用服务3.0时代：用户知情同意规则难以执行数据类型化识别。网络应用服务3.0时代，从文字、方位、沟通数据化的阶段进入了数化万物的新阶段，可穿戴数据拉开医疗健康服务的序幕，物联网数据的汇集开启自动驾驶的征途，尤其是依赖于机器学习算法的人工智能应用大规模的“训练”数据，使得数据的海量采集与多主体的数据共享成为常态。由于数据流动日益突破地域和行业的原有界限，多主体陆续发现了隐藏在表面之下的数据价值。企业通过数据商业利用获得竞争优势，政府通过数据分析实现决策科学化。个人信息的保护不仅深刻影响着私权的保障，更日益关系着国家安全和社会公共利益的维护。

为实现个人信息保护与其他权益保障比例性的平衡，立法进一步对数据进行类型化区分，以保障用户与多元主体交互的过程中满足用户知情同意规则的要求。但是，该规则在落实的过程中依然是困难重重。欧盟《统一数据保护条例》第7条规定要求数据主体通过书面声明或有明确的肯定性动作表示其同意对数据进行处理，且意愿表达需要基于自由的、具体特定的、知情的、清晰明确的。立法认为沉默、默认勾选的对话框或者不作为均不能构成用户的同意。在实践中，数据采集和共享是频繁发生的，“明示同意（Opt-in）”方式难以满足企业收集、分析海量用户数据的连贯性，在一定程度上会阻碍人工智能应用的创新发展。我国《网络安全法》要求，网络运营者收集、使用个人信息时遵守知情同意规则，并要求明示收集，且将个人信息和不可识别的个人信息做区别化对待。但是，在实践操作中，不可识别与可识别的个人信息在技术面前只是一个相对性的概念。企业完全有能力通过技术分析数据，再次识别个人的身份特征和行为轨迹。可以说，任何不可识别的信息在执意的恢复技术面前无所遁形。

总之，当数据的复杂性并发生未改变时，人们对告知书的理解不会完全充分，用户知情同意规则会出现形同虚设的情况；当数据的复杂性被简化时，人们获知信息的准确性会降低，用户知情同意规则的具体化要求执行会不彻底。虽然立法者希望通过数据类型化识别来兼顾个人、企业、国家各方面利益的平衡，但最终却因不可识别与可识别数据、脱敏与未脱敏数据的相对性面临新的问题。法律需要保持稳定，但也不能死板僵硬和一成不变的，需要兼顾多方利益，并保持弹性与动态以适用经济社会发展需要。用户知情同意规则在新时代亟待修正与完善。

三、用户同意规则的完善对策

1．用户知情同意规则的具体化要求。顺应产业发展的实际需要，用户知情同意规则要向注重数据使用者或处理者为其数据利用行为承担责任方向延展，借鉴其他国家和地区的做法，以及发挥多元主体的作用，将用户知情同意规则进一步具体化。面对不熟悉和繁杂的用户知情同意协议或隐私协议，人们不单单想要看到长卷式的告知信息或专业术语，还需要专业人士给出兼顾保障私权和公权利益的标准化意见。欧盟《统一数据保护条例》要求数据控制者或处理者收集、使用数据时征得数据主体同意必须要达到清晰的、无歧义的、并采用清楚直白的语言。同时，要求收集青少年数据时需要其父母或监护人同意。我国《信息安全技术：个人信息安全规范》坚持权责一致、目的明确、选择同意、最少够用、公开透明、确保安全、以及主体参与原则，要求个人信息控制者收集个人信息前应征得主体的授权同意，并规定明示同意和默示同意的授权方式。同时，对信息控制者保存、使用、对外提供的告知义务进一步细化，并采取积极措施充分发挥公民以及其他主体的保护能动性。构建相对统一的用户知情同意适用的范围和形式，来判断数据控制者或处理者是否达到规定的指标，从而有效解决用户缺乏专业知识的局限，增强用户知情同意的有效性。具体来说，立法者、管理者及产业界发挥专业优势，将数据收集、保存、使用、共享过程中的用户知情同意适用问题进行归纳提炼、有的放矢，提出明确的具体化要求，以规范企业的行为，抑制企业故意或恶意不履行或不完全履行告知义务的行为。比如，基于数据的分析，归纳总结用户“一揽子授权”或“逐项授权”方式的利弊得失，以确定不同应用场景的规范要求。比如，结合产业实际，分析辨别明示同意和默示同意方式优劣，最终平衡各项利益保障的比例。当然，发挥多元主体的作用也是实现用户知情同意规则具体化的重要因素。立法不可能在短时间里频繁修订。用户知情同意规则可以利用立法、标准以及行业自律规范的多元结构形式将其进一步细化，从多层次来保持规则的弹性。

2．用户知情同意规则的例外情形。立法制度需要自由意志的决策与家长式的监管并进，以保持不同权益比例之间的衡平。为实现商业利益、国家安全以及公共利益的维护与个人权益保障之间的平衡，在特定情形下，用户知情规则需要设立例外情形。欧盟《统一数据保护条例》不再以用户知情作为数据控制者或处理者使用信息的唯一的合法性来源，规定基于履行合同所必须、履行法定义务、符合用户切实利益、公共利益需要、企业追求合理利益需要可以获取、利用数据。新加坡《个人数据保护法》规定，在互联网应用场景下数据的收集需要征得用户同意变得不现实的情况下，在符合合法商业目的使用必须时，可以不征求用户同意，只要对例外情形进行安全影响评估即可。

在当下的产业环境下，企业收集的数据越多，分析能力就越强，服务消费响应需求就越频繁。互联网和科技公司在利用海量数据方面走在前面，分析能力也领先其他行业，成为经济社会发展新引擎，撬动传统企业+互联网的升级改造之路。海量数据的分析与挖掘时时刻刻在进行，每一次行为都征得用户同意变得不现实。在特定情况下，当符合用户切实利益，并进行必要而充分的安全影响评估等辅助措施的保障，可以允许企业在不征求用户同意的情况下使用数据。同时，个人信息覆在一定的数据之上，数据的传输、数据的利用也影响着公共利益和国家安全。基于公共管理或科研目的，对用户的自由意愿进行限制也是必要的，比如，人口普查。为了公共安全，即使在用户同意的情况下，国家仍然要求对跨境数据设定本地化存储或跨境数据转移需要符合本国对个人信息保护标准。

3．知情同意规则的补正措施。正如前文所述，用户知情同意规则因符合自由市场和个人自治的理念被广泛采纳。但是，过度放任的契约自由会导致自由的滥用和各种违法行为的产生，使市场经济秩序遭到破坏。用户知情同意规则也不例外，出现了滥用的情况。受正义论思潮的影响、社会本位思想以及国家经济干预政策的影响，现代的契约自由思想已经注入了在尊重私人意愿的基点上兼顾国家利益和公共利益的基因。20世纪以来对合同自由的限制是合同法发展的一个重要趋向。大陆法系国家，在立法方面确定“诚实信用原则”“显失均衡条款”或颁布单行法规对契约自由进行干预、限制。英美法国家颁布一系列法规强制某些合同的法定形式，要求特定的合同必须订立某种条款，禁止当事人排斥这些规范的适用或通过司法加强对合同的监督和控制。

信息社会，数据控制者或处理者往往是具有较强实力的企业，与数据主体之间地位以及信息获取的范围不对等。此种不对等极易使用户在做出同意时处于弱势地位。数据的价值是潜在的，需要通过创新性的分析来释放。当数据的处理越来越频繁，用户面临的决策也越来越复杂。多数情况下，用户将自己的同意视为一种负担，往往不假思索地点击同意并进行“下一步”。在实践中，用户知情同意规则逐渐演变成为企业免责性规定。为了克服无限契约自由所带来的弊端，从保障实质公平出发，用户知情同意规则的适用需要进行必要限制。比如，用户在充分阅读用户协议或隐私协议之后，一般会拒绝接受相关条款，那么即使用户之前做出同意的选择，仍然可以进行调整，要求数据控制者或处理者承担不利后果，以次来规制企业恶意行为，避免投机取巧而获得不当利益。在新的发展发展格局下，用户知情同意规则建立相应的补正措施，以禁止契约自由的滥用，充分实现个人信息在社会经济的作用，并根据比例性原则与其他基本权益保持平衡。

新时代，海量数据诠释着世界的百态，重塑人们的生产生活和工作思维方式。数据成为国家竞争力的重要资源，成为企业抢占新一轮产业革命的关键要素。以往拥有知识意味着掌握过去，现在掌握数据则意味着预测未来。立法者、管理者、产业界以及用户均可以在天平连续体中选择某个点进行调试，当他们向一端迈进时，离另一端就远了。在新的时代格局下，结合考虑数字中国发展实际以及中华民族伟大复兴的背景，用户知情同意规则需要将其标准具体化，并从国家战略角度和维护公共利益出发，设定例外情形。当然，需要即时调整，设定必要的补正措施，避免知情同意规则滥用，沦为企业免责的“保护伞。