个人信息保护视域下知情同意框架的应用困境与对策探析

2021-03-28闫希敏

信息通信技术与政策 2021年11期

闫希敏

(中国信息通信研究院安全研究所，北京100191)

0 引言

在大数据时代，个人信息成为推动数字经济快速发展的资源性要素。互联网信息服务提供者(以下简称“企业”)通过对个人信息进行处理分析，向用户提供精准化便捷化的互联网信息服务。在实际应用中，企业以知情同意框架——即告知用户其个人信息的收集处理规则并获得同意的方式，构建收集和处理个人信息的合理性基础。该框架目前虽被全球立法广泛采纳，但是其自身应用困境在大数据时代也日趋明显。本文将阐述知情同意框架的应用困境，深入剖析其产生原因，并进一步探析对策建议。

1 知情同意框架的基本情况

知情同意源起医疗语境[1]，医生充分告知患者相关治疗方案的风险，患者在充分知情的前提下，选择某种治疗方案或者作出是否接受某种治疗方案的决定。后这一理念应用于个人信息保护领域，强调用户在知悉企业收集其个人信息的目的、方式、内容、数量、后续处理情况等的前提下，选择是否同意企业收集处理其个人信息。在一定程度上，知情权为弥补用户和企业在个人信息收集与处理方面存在的信息势差提供了基础，同意权提升了用户对其个人信息的掌控能力。实践中，企业和用户常常通过隐私协议等形式缔结合约，用户通过阅读相关协议内容，了解其个人信息被收集处理以及后续流转情况，并通过同意相关协议，授予企业收集处理其个人信息的权力。

2 现实应用困境

尽管通过同意隐私协议进而授权企业收集处理用户的个人信息的做法十分普遍，几乎成为互联网时代所有应用在个人信息收集处理方面的“公因式”，但在实际操作中，知情同意效果欠佳，对其的批评不绝于耳。

当前知情同意的现实应用困境主要包括以下方面。一是隐私协议被阅读率低，几乎沦为形式主义产物。用户使用某应用，大多不会仔细阅读相关隐私协议，而是直接选择同意后继续获取服务。二是隐私协议条款较为模糊，指向性不明显。企业往往在隐私协议中向用户告知较为宽泛的信息收集使用情况，涵盖范围较广，语义模糊。三是隐私协议多设置打包式同意模式。隐私协议条款众多，包含个人信息从收集、传输到使用、共享、销毁全流程的内容，但仅提供一个整体“同意”或“不同意”选项。用户可能对某些条款持不同意态度，但无法单独反馈该部分意见，只能选择全部同意或全部不同意。

以上知情同意的现实应用困境，使隐私协议等收集使用个人信息规则成为平衡专业化规避法律风险与普及式告知用户相关概况的产物，仅从形式上约束企业收集处理个人信息行为，一旦其文字(例如涵盖收集个人信息的目的、方式、范围)及表达形式(例如易访问、易阅读)层面达到合规要求，即成为企业对安全使用个人信息的承诺书，普通用户既无核实企业个人信息保护情况的能力，在给出同意意见后也缺乏据此维权的依据，即知情同意框架难以约束企业的个人信息收集处理行为。

3 应用困境的影响因素分析

用户的知情同意是用户就本人事务进行自决的行为，只有在各有关主体在经济、社会等诸多方面力量均衡的条件下才能保证约束效果[3]。知情同意框架的应用困境根本原因在于用户和企业的信息不平等地位，这种不平等体现在三方面，一是信息获取的不平等，用户与企业相比，更难获悉其个人信息的处理情况；二是信息掌控力的不平等，用户对其个人信息的掌控力欠佳，作为实际处理者的企业却可在授权下决定海量个人信息的处理方式；三是责任承担的不平等，个人信息一旦泄露或滥用，用户需承担其对个人生活甚至人身财产安全造成的风险，企业的相关风险却微乎其微。当前，诸多因素共同决定了用户和企业不平等的信息地位，因此，用户难以真正地在知情和理解的基础上自主行使对于其信息采集和后续处理过程的自决权利。

3.1 用户侧因素

在实践中，用户不会按照既定期望行为行事，即认真阅读隐私协议→做出自主同意与否决定→使用该互联网信息服务或更换其他服务。用户通常以不辨别内容即同意隐私协议为代价，换取选定的互联网信息服务的快速即刻使用。该情况的出现源于以下两方面原因。

一是用户的专业性意识不够，对其个人信息保护的必要性认识不充分。例如有些用户的想法是“收集了一些不敏感的个人信息不会有太大影响”“手机号都是公开的没有问题”“普通人的个人信息不会被关注”等，受非理性、乐观意见引导，未能深刻认识到在万物互联的数字时代无数个普通人个人信息的泄露将可能对个人和对社会带来怎样的严重后果。

二是用户的个人信息保护专业性能力不足，难以仅通过隐私协议等文件明白其个人信息被处理可能存在的风险。隐私协议同时兼任法律责任明确作用，故相关表述字句专业化程度较高，对于普通用户而言，快速阅读并准确理解难度很大，遑论据此进行同意与否的意见表达。

3.2 企业侧因素

在实践中，企业作为营利性机构，一般选择更有利于其经济利益发展的做法，也就是说，在大数据时代，企业更有动力去获取大量用户个人信息，通过分析挖掘进而充分赋值数据。从企业角度，以下原因造成了知情同意框架的现实应用困境。

《Machine Learning》中指出，机器学习就是指“计算机利用经验自动改善系统自身性能的行为”。人工智能的研究和实现是逻辑科学和思维科学的应用的结合，是一个被广泛应用和深入研究的分支。从思维的角度来看，人工智能是逻辑思维与灵感思维相互作用的综合设计结果。

一是企业利用相对于用户的信息不对等地位，更易制定利于己方的隐私协议。企业了解需要收集哪些必要个人信息，但是可出于其他目的(例如多收集信息以备不时之需、掌握更多个人信息进行数据挖掘分析等)在隐私协议里列出多于其必要收集范围的个人信息，而这一方式在知情同意框架下成为收集这些额外个人信息的最好方式，反向赋予企业行为合理性[4]——即企业基于用户同意这一条万能理由，即可把不合理的收集范围合理化。

二是某些互联网信息服务市场内存在市场占有率极高的行业巨头企业，用户几乎不具备服务选择权。一些互联网服务垂直领域内已形成事实上的垄断或寡头现象，用户面临非此即彼的服务选择或几乎没有可选择范围。行业巨头在其服务领域内具备显著的缔约优势，用户拒绝隐私协议则不能使用服务，需承担丧失便利生活、被隔绝于网络社交之外的风险，其知情同意权几乎形同虚设。

三是业内企业的知情同意框架设计向龙头企业看齐，而非向规则看齐。在实际的调研中发现，即便是在一些新兴的互联网信息服务领域内，业内企业的知情同意框架也是参照其他互联网信息服务龙头企业的方式进行设计，且企业以此作为相关机制合理性的支持依据。一旦龙头企业的知情同意框架设计存在不足之处，将导致一大批企业的知情同意机制存在缺陷。

3.3 客观因素

此外，仍有一些客观因素，导致知情同意框架存在应用困境。

一是针对隐私协议的部分要求存在内在的矛盾和冲突。简短明了的内容难以负载繁多的告知事项，追求授权程序的全面带来不便捷的用户体验，而规范专业的文字表述通常导致理解门槛的提升，这些矛盾点结合在一起，导致保障用户知情权的隐私协议难以兼顾各方需求，只能寻找相对平衡点。

二是人工智能算法等技术的学习能力增强个人信息后续处理的不可预测性。随着人工智能、大数据分析等新技术和用户画像、个性化推荐等新应用的不断发展更新，个人信息的后续处理存在一定的不可预知性，即便是企业，对于收集而来的个人信息如何处理分析、应用在哪些方面、涉及哪些主体等，也很难在用户同意提供个人信息前进行明确并且保证后续不会变动。

尽管企业隐私协议会不断完善，内容更加完整、表达形式更加生动，但是以上因素将导致其保护个人信息的象征意义大于实际意义。

4 对策探析

近两年来，相关监管机构充分关注用户个人信息保护，出台一系列管理举措。其中在个人信息收集环节，基于知情同意框架，对于隐私协议条款、提醒方式、同意方式、权限授予方式及频度等进行了详细的规定，其隐含两层含义——一是按照这样的要求对用户进行告知，用户能够达到“知情”水平，并充分给予“同意”的自主性表达。二是默认企业达到这样的形式要求后，其个人信息收集处理行为即完全按照公开的隐私协议进行。其实这对用户行为的理性期待和对企业行为的合规期待过高。以现实情况来看，仅以一些强制手段维系用户的知情同意权意义极为有限，为实现用户和企业双方的信息地位均衡，可尝试第三方力量干预、介入的路径，在用户和企业就信息收集和处理行为的潜在角力中，补充用户这一弱势方对其个人信息的控制能力。本文从降低用户和企业的信息势差，增加用户对其个人信息收集处理的控制力出发，探析对知情同意框架的修改与完善。

一是以法律规范明确个人信息收集处理规则和处罚措施，制约企业对于个人信息收集处理的自我合理化能力。政府可借助第三方独立机构的力量，深度介入专业领域，推动出台同时具有专业性和约束力的个人信息收集处理规则，明确核心业务功能、所需最小化个人信息范围、频次，厘清相关业务的必要性收集和非必要性收集范畴，并明确相关处罚措施。例如，《常见类型移动互联网应用程序必要个人信息范围规定》的印发有助于打破企业在个人信息收集处理领域的解释权垄断，使得企业在存在不合理收集处理信息行为时难以依靠技术和信息优势进行自我行为合理性证明。

二是深入企业内部，强化个人信息处理后端环节的监督检查力度。以现有的个人信息保护专项工作来看，主要以远程测试方式对个人信息的收集、传输环节的违法违规行为进行检查，并且取得一定成效，但无法确定处理、存储、删除等后端环节的企业实际情况是否符合相关要求，未来亟需以现场问询、资料查看、系统演示、样本测试等方式，在企业内开展稳定、持续的个人信息安全保护能力检查工作，以监督检查压力促使企业提升个人信息保护能力。

三是推进信息披露市场化，引入竞争机制约束企业行为。借鉴金融领域的上市公司财务报告和信用评级制度，推进互联网领域的个人信息收集处理相关信息披露的市场化，要求企业将个人信息收集处理情况以年报形式进行公开披露，接受公开监督，鼓励第三方独立机构作为隐私协议的真正读者群和企业信息行为的评估者，基于隐私协议和收集处理行为等出具对于相关企业的个人信息收集处理行为的“评级”报告，推动用户优先选择个人信息保护举措到位、没有泄露滥用信息记录的企业推出的相关应用，借助市场的力量推动企业自发提升其个人信息保护水平。

四是推动企业探索建立个人信息收集处理的分层动态同意机制，为用户提供更大选择范围。一方面，探索为用户提供针对不同功能、不同个人信息处理环节的分别告知和获取同意方式，改善当前以单个隐私协议的总体一次同意授予企业永久收集使用个人信息权利的现状；另一方面，设置“同意自动过期”[5]或“用户选择退出”等保障用户被遗忘权实现的功能，畅通用户收回同意的通道，并借助监督检查工作推动个人信息的删除销毁工作落实到位。

五是推进事后救济能力建设，降低用户个人信息保护维权成本。推进相关个人信息维权救济组织建立，作为隐私协议的真正读者群，在用户个人信息泄露和滥用事件或者企业不合理信息行为发生后，能够有效提供个人信息不当收集利用的完整证据链条，帮助用户提升索赔成功率，以个人信息侵权诉讼的压力推动企业加强个人信息保护及提升相关信息行为的规范性。