《个人信息保护法》中知情同意条款的实现

张 睿，张晶晶

（1.云南财经大学 法学院，云南 昆明 650221；2.南通城市轨道交通有限公司，江苏 南通 226014）

互联网给用户带来便捷的同时，也引发了对个人信息保护的探讨。从早期3·15 晚会曝光网易等公司收集、使用用户的Cookie 信息到中国的Cook‐ie隐私第一案，都引发了社会和个人对互联网泄露个人信息的重视。2021 年《个人信息保护法》出台，规定了对个人信息的处理需要在用户充分知情的前提下，即知情同意规则。早在《关于加强网络信息保护的决定》《网络安全法》及《民法典》中都规定了知情同意是个人信息使用和处理的前提。所以，网络运营主体对用户个人信息的收集都必须遵守以上法律规定的告知义务，使得用户知情而同意。但从实际效果来看，个人信息通过互联网的收集或使用，并未做到完全的知情同意，因此，在《个人信息保护法》生效实施后，本文明确提出，在知情同意规则的前提下，如何充分发挥、利用好个人信息保护的黄金规则，并以移动应用程序（以下简称“App”）为例，意图实现《个人信息保护法》知情同意条款。

一、App隐私政策的属性

在应用程序当中，目前网络运营主体所进行的告知义务和取得用户授权同意的操作途径主要是通过App 的隐私政策实现的，因此，本文先于论证该前置条件的属性。

App 隐私政策的合同属性，我国学者主流意见倾向于用户与App经营主体之间的合同，甚至有学者认为属于民事合同中的格式条款。当然学界对于隐私政策的属性问题仍然有不同观点，例如，有的认为经营性的隐私政策属于用户与经营者的约定，为格式条款合同；非经营性所载的隐私政策不属于合同而是一种告知方式。也有学者认为隐私政策根本不是合同，仅属于“社会承诺性”［1］。笔者认为隐私政策应当属于信息主体与信息收集、使用或处理的运营主体之间所签订的民事合同。虽然用户协议或者隐私政策并非一个具体的合同，但是该项内容是具有一个给付的服务，只是用户在使用服务时并不需要给付金钱，给付的是允许其收集信息的权益，而网站的收益是利用收集用户的信息而推送或制定具有个性化的广告。从民法的视角上来讲，合同是以设立、变更或终止民事权利关系为目的的一种协议［2］。实际上隐私政策已经在设立、变更用户与运营主体之间的权利义务关系，经过隐私政策的授权同意，网络运营主体才可以收集、使用用户的相关信息，而用户也获得了其他使用应用服务的权利。至于是否是格式条款，关键在于平台是否利用其市场支配地位造成用户被迫同意的形式。就目前使用的App为例，虽然隐私政策给予了用户选择同意与否的权利，但实际上如果不同意将无法使用该项APP 或者该项APP 的核心功能，致使用户为了使用而被迫同意，因此，笔者赞成其属性为格式条款的观点。

二、知情同意规则的困境

1.本有知情同意机制的失灵

对于个人信息的收集和使用多数是在隐私政策中体现，但是当前隐私政策的典型问题有：一是隐私条款笼统不清，对收集、使用个人信息的目的、方式、范围、保存期限等没有明确说明。例如，在使用部分App时，没有充分说明为什么要授权同意位置、通讯录等个人信息，也没有直接说明授权的期限及是否可以更改等，从而导致了这些App大量收集与所提供服务无直接关联的个人信息，未遵守标准中最小化收集个人信息的规定。二是不主动向用户展示隐私条款或展示内容晦涩冗长，例如，百度的隐私政策除了晦涩难懂的专业术语外，本身字数多达2 万字。三是征求用户授权同意时，未给用户足够选择权亦或是使得用户被迫选择同意，很多App 虽然给了用户选择同意的权利，但是如果用户不授权同意，将无法使用该项服务，用户只能被迫选择同意。虽然从2018 年至今，很多App 对隐私政策进行了修正，但是从现有的App 隐私政策看，以上的问题还是存在的。

笔者认为这种隐私政策的告知方式，其并未真正地保障用户的知情同意。知情同意规则的实施困境在于知情同意的前提是有告知的义务，但是这一要求在形式上容易满足，实质上却存在一定的问题，导致本有的知情同意机制失灵，即容易出现所谓的形式告知。同意建立在知情的基础上，信息处理者需要将被收集对象信息的具体用途及可能存在的风险告知。正如Cookie 技术隐私案中百度公司辩称，对于使用cookie 技术为用户服务早已说明，然而，个人的同意未必建立在真正知情的基础上。纵观目前主流的网站或应用App，大部分的隐私政策或用户协议篇幅冗长并且具有极强的专业性，这种情况的存在一方面是因为信息处理者为了规避法律风险而不得不事无巨细地列明，另一方面也不排除存在捆绑式的方式、附加不必要的内容，造成用户默示同意的嫌疑［3］。当关键信息在巨大的篇幅中，用户也很难有效抓取，而专业性极强的晦涩难懂的内容也导致用户可能直接勾选阅读完毕及同意。国外有研究表明，如果用户要阅读每年提供给他们的所有隐私政策，至少需要付出两百多个小时，即使是粗略的观看仍然要付出一百多个小时［4］。这意味着如果用户要阅读和理解各种网站、手机应用的隐私政策或用户协议，将花费高额的时间成本。如果再涉及准确理解所需的时间和专业精力，那么成本将更为高昂。而常见的这种隐私政策被信息处理者当作高效便捷的、用以规避法律风险、行使告知事由的“免责条款”。由此可见，涉及个人信息处理的隐私政策最后出现的情况是无人读、不可读、读不懂［5］。在这个意义上，知情同意也被称之为“控制的想象”。这种结果导致知情同意形式的实质化、同意内涵的概括化，导致本有的知情同意机制虚化和失灵，违背了知情同意设置的初衷和目的。

2.默示同意的缺陷

基于形式化的同意，信息主体并未真正地知晓信息处理的方式或目的，造成默示的同意。在默示了当前信息被处理的同时，甚至会造成更多信息的泄露。默示同意主要分以下两种情况。第一种是因为需要花费大量的时间成本、抑或是具有极高的专业性强度，用户面对这样的状况采取直接越过内容选择默示同意；第二种则是即使用户愿意花费大量的时间，也具有专业的可辨别的能力去选择，但是如果用户不选择同意，那么将无法使用该项服务或者应用，从而导致用户为了使用而不得不同意。针对用户在安装和使用App时，阅读隐私政策或用户协议的调查发现，偶尔阅读和从不阅读者为常态，能够认真阅读的不超过三成，对于从不阅读的用户来说，究其原因在于不授权就无法使用，只能被迫接受。但是这种被迫接受的同时，已经对运营主体进行了授权，泄露的个人信息可能包含位置信息、手机信息、通讯录信息等与功能无关的用户个人信息，且这种默示同意加明示的告知行为在现有的法官裁量权当中认为属于运营主体所进行的告知义务，成为其免责条款的事由［6］。根据《信息安全技术公共及商用服务信息系统个人信息保护指南》（GB/Z28828-2012）5.2.3 条规定：“处理个人信息前要征得个人信息主体的同意，包括默许同意或明示同意。收集个人一般信息时，可认为个人信息主体默许同意。因此从该文件的精神来看，针对收集使用一般信息时，明示告知和默示同意的方式已经充分保障了用户的选择权和知情权。

三、知情同意实现的机制构建

知情同意规则面临两大挑战，一是不告知影响用户选择的决定性信息，使得同意丧失有效性。App 隐私政策作为保障用户知情同意的主要方式，往往只告知用户App收集的个人信息范畴等内容，以及不提供内容就难以享受某些服务的后果，却没有提示用户接受相关使用或处理个人信息会带来哪些风险。二是知情同意实现成本过高，对于用户而言隐私政策字数冗长，且内容复杂极具专业性而被迫同意。例如，多数的隐私政策协议中都有对Cookie 技术使用的规定。所谓Cookie 技术是一种通过HTTP 制定的会话跟踪技术，当用户通过客户端第一次访问服务器时，服务器会把那些信息以Cookie的形式发送给客户端浏览器，这些信息可能是用户的访问时间，亦或是浏览记录、兴趣偏好，等用户再次访问时，会将保存的这些信息再次发送给服务器［7］。如百度公司的推荐服务的技术原理是当用户利用浏览器访问百度网站时，百度网站服务器就会自动发送一个Cookie 信息存储于网络用户浏览器。通过建立Cookie 联系后，百度网站服务器端对浏览器浏览的网页内容通过技术分析后，推算出浏览器一方可能的个性需求，再基于此种预测向浏览器的不特定使用人提供个性化推荐服务。面对上述挑战，要进一步明确知情同意制度。隐私政策中应当尽可能地告知使用或收集个人信息对于用户个人利益所涉及的风险程度，以充分保障用户个人的自决权。

1.规范知情同意的内涵

要解决形式知情同意，最重要的就是解决知情同意机制的虚化问题。知情和同意实际上是两个阶段，但是又相辅相成。同意的前提应当在充分知情下做出的选择，该选择可以是同意或者不同意。但是实际上在没有充分知情下，被迫做出了同意的选择，从本质上讲没有实现知情同意。从知情角度来看，用户面对专业化、冗长的政策协议无法真正知情，仅仅是了解有这么一项事项，知晓不能等同于知情。因此，这种协议本身的性质十分关键。前文既然认同其为民事合同，也认为属于格式条款的一种，对于该项格式条款中涉及用户信息的或者极具专业化的，应当尽到提醒注意义务以履行职责。根据《民法典》第496 条的规定，为了重复使用而预先拟定，并在订立合同时未与对方协商的条款即属于格式条款，作为格式条款应当履行提示或说明义务，否则该格式条款不成立。以百度、腾讯等App为例，其用户协议或隐私政策是为重复使用而预先拟定的，并且在订立协议时并未与用户协商。针对该条款中的内容应当履行提示或说明义务，否则该签订的条款是无效的。因此，对于目前手机App中的隐私政策，涉及如Cookie 技术、收集用户的个人信息时，应当充分尽到提示义务，可以采取加粗、加大、加下划线等方式标注重点，甚至可以在隐私政策的开头直接前置提示的内容，引起用户的注意。同时，对于使用该技术或者收集用户的个人信息时，也要明示处理的目的和范围。

从同意的角度来看，首先，隐私政策当中的同意，仅仅代表着行使自决权上的同意，意思自治是对于隐私政策或用户协议的认可，并非对知情同意的同意。在履行合同的过程中，同意信息的处理行为并非获取服务的必要条件。信息处理者不能因为用户不提供个人信息而拒绝提供核心服务。同理，即使针对隐私政策的内容进行了同意，仍然可以以不开启权限等方式拒绝对个人信息的处理，两者的同意是分开的。我们应当明确知情同意中同意的法律效力，不能与隐私协议当中的同意混为一谈。两者一个是承诺行为，一个是自决行为［8］。其次，同意不能成为信息处理者的免责事由，虽然法律规定了信息主体基于特定原因在合理范围内实施的处理行为不承担民事责任，但是隐私政策的同意与知情同意应当是两个层面的同意，不能混为一谈，不能将隐私政策认为是免责事由。取得信息主体知情同意以后在合理范围内处理个人信息的行为可以不承担民事责任。当然真正知情同意也不能作为免责的正当性基础，互联网的快速发展导致信息的快速传播，在之后的信息处理当中可能已经超出了最初同意授权的范围，即使之前的程序均符合法律所规定的知情同意，在此基础上的知情同意也要有所限制，是否符合正当性、必要性，以及法律新增的诚实守信等都需要进一步判断。

2.知情同意规则的具体适用

知情同意，同时要满足知情和同意两个要素，知情的基础以用户隐私政策为例，作为格式条款的一种，要有充分的说明义务，要有告知提醒。用户同意授权的前提则是在知情同意的基础上进行的授权。知情同意不能机械地理解，知情所涉及的是告知方式的问题，同意是否有效则取决于告知方式是否合理。因为不同场景所适用的同意是不一样的，同意是不具有普遍性的，针对这种情形，有学者就提出同意的适用要场景化，不能单一地理解成概括同意，而是要结合具体的场景加以判断［9］。一般个人信息和敏感的个人信息对个人的侵害后果不相同，对于敏感个人信息的同意标准应当更加严格，这也是个人信息保护场景化提出的原因。因此，针对知情的具体适用，应当更加具体明确。

从知情的角度来说，其实现在大部分的APP，如淘宝、百度、拼多多等隐私政策中都对收集使用用户个人信息采用了加粗加黑等方式，尽到各自的提醒注意义务，但是现在的隐私协议为了规避法律风险而事无巨细地列明，不得不动辄几万字，因此在几万字当中，再对90%的文字进行一个加粗和加黑的方式，所尽到的提醒注意义务聊胜于无，从法律上来看并不能尽到提示义务。目前已经有部分App 尝试将隐私政策摘要和个人信息清单单独列出，以供用户进行简单明了地阅读，但是在阅读之前，仍然要面对冗长的用户协议。因此，要契合法律上真正的知情，而不是知晓。笔者认为，对隐私政策来说应当前置隐私政策协议摘要和个人信息清单，让消费者先行了解清楚使用该款App应当进行授权的内容，以及授权该个人信息时的目的和范围。隐私政策的使用应当根据应用不同的类型功能，以及对个人信息的使用和处理的方式来有针对性地制定，例如，有的应用确实需要收集用户的地理位置，有的并不需要。网络运营商通过网站、应用程序等产品收集个人信息时，应当分别制定并公开收集使用规则。因此，不同网站应用隐私政策协议应当有针对性，而不能完全格式化。

从同意的角度来讲，当然前提是对隐私政策协议充分知情。应当从两个层次予以区分，第一层次是同意的内涵不同。在知情用户协议或隐私政策内容同意授权后仍然要给予用户选择，当下的授权同意仅仅是针对隐私政策内容的同意。例如，隐私政策规定了要允许使用Cookie 技术，但是针对Cookie 技术带来的定向推送广告的行为用户应当仍有选择的权利。用户的选择权不仅仅体现在针对隐私协议是否同意。网站所制定的定向广告推送，有的用户并不愿意因为检索某一样东西而在短时间内被该种东西的同类广告所骚扰，用户应当有关闭推送广告甚至是拒绝广告推送的权利。有网站辩称，该类广告的推送仅用户本人可以看见，不会泄露用户的个人信息和隐私，但是，不能因为仅用户个人可见就说明网站没有侵犯用户的权利。第二次层次是同意的强度不同。不同个人信息的收集和使用应当有所区分，对个人一般信息和敏感信息在《个人信息保护法》上已经有了明确的区分，因此，不同个人信息的同意形式也会有所差异。对于一般信息按照个人信息保护指南的要求，可以采取知情加默示同意的形式，但是对敏感信息的收集必须采取明示同意，而且不能因为用户不授权敏感信息就无法使用该App 的核心功能［10］。对于处理个人敏感信息应当有特定的目的，且一定要告知信息主体必要性和个人权益的后续影响。基于同意处理个人信息的，对于同意应当有允许撤回的权利。针对产品停止提供服务或者保存期届满，以及个人信息者违法、违规、违约处理而不主动撤回的，信息主体有申请撤回的权利。

四、结论

知情同意的实现，不是简单的形式告知，以及以全有或全无的被迫选择同意组成，要在个人信息保护中利用好知情同意这个黄金规则，要面对不同的行为进行区分。从知情的视角来看，知情不能等同于知晓。要规范知情的真正内涵，以合理的方式，充分告知收集个人信息的目的和范围，以及对个人权益的后续影响，更要按照法律所规定的在合目的范围内最小限度予以收集和使用。对于不同的信息，同意的内容不同、同意的强度也不同。对信息收集、使用的同意，不代表信息主体放弃对后续所有内容选择的权利。个人一般信息和个人敏感信息的同意强度也是有所区分，明确的告知加默示同意不能视为对敏感信息收集使用的授权。当然，有授权同意就有撤回的机制，允许用户撤回个人的同意，也是法律赋予的个人选择机制。现有的《个人信息保护法》中已经规定国家网信部门作为履行个人信息保护职责的部门，有对个人信息监管和处理违法收集个人信息的行为。近年来国家网信部门也一直在加大对违法收集、使用个人信息的网络运营商和APP 运营主体的监管与处罚。相信在《个人信息保护法》实施背景下，知情同意条款的功能会在未来的监管和使用中真正地实现。