个人信息合作保护的可能与限度

摘 要：个人信息保护是一项需要合作以谋求个人、企业与政府共同受益的复杂法律实践，但各主体间如何参与合作并实现互惠共赢仍面临困窘局面。共享合作行动理论以共享意图为背景框架，通过共同认识与行动、相互回应与支持以及和平开放地解决偏好冲突等路径，对隐私政策的设计、应用与监督这三个过程进行系统性关照与针对性纠偏。这不仅正视了隐私政策现存的诸多无效或不足的境况，而且有效地指引了隐私政策未来的可改进方向。个人信息保护的合作实践可减少信息不对称、认知缺陷、缺乏信任以及多元偏好等情形对个人信息的威胁，但也需要克服主体间权力失衡、态度各异以及目标不一等三方面的不利因素。

关键词：个人信息保护;共享合作行动;共享意图;隐私政策

基金项目：国家社会科学基金项目“核心价值观融入法治建设研究：以公正司法为核心的考察”（17VHJ007）;教育部人文社会科学研究专项项目“新时代中国特色社会主义法治思想研究”（18JF210）。

[中图分类号] D913 [文章编号] 1673-0186（2022）005-0099-015

[文献标识码] A      [DOI编码] 10.19631/j.cnki.css.2022.005.008

个人信息保护是一项复杂的法律实践，其关系了个人、企业与政府这三类主要的参与者，关联了人性尊严、商业价值与公共管理价值等多元利益，关照了个人信息的收集、存储、使用与分享等生命周期。个人信息的保护离不开参与者在不同阶段的角色互动与利益博弈。因此，个人信息保护的关键在于，将所有参与者的态度与行动置于关系性的考量之中[1]。一方面，个人信息的公共性意味着它的生成与享有都难具有排他性，当人们与他人互动时，他们对自身信息的控制只是相对的，并且“受到他人权利的限制”[2];另一方面，个人信息的开发利用是一个不断产生关系化信息的过程[3]，仅依赖某一类参与者的力量远不足以应对信息利用可能引起的风险，甚至可能会加剧知识与权力不对称的风险[4]。

在社会现实数据化程度愈来愈高的背景下，在数据归属导向向数据流通导向转变的趨势下[5]，个人信息保护的核心不在于数据归谁所有，而在于如何在维系信息主体基础利益的前提下，有效地通过主体间的合作实现对数据的开发和利用。因此，为了使个人、企业与政府都可以从个人信息的保护与利用中获益，合作而不是竞争就成为个人信息保护的理论想象与实践框架。个人信息保护的相关实践确实也彰显着参与者的各种合作努力，例如MyData计划①、数据共享池、数据合作社、公共数据信托以及个人数据主权等想法与实践[6]。但国内个人信息保护研究的重点关注还不在于此。当前学术讨论主要围绕着个人信息的性质界定、手段取向、理论指引、范式转换以及进路选择等方面展开。这些研究不仅成果颇为显著，而且切实指引着个人信息的保护实践。但由于研究焦点都集中在个人信息本身，都强调主体间的对抗性②，一定程度上就忽略了个人信息保护中主体间合作的可能，以至于以某一主体为中心的个人信息保护体系的建构呈现跛足之势，无法有效地实现个人信息保护与利用的平衡。当然，也有研究彰显着谋求主体间合作的目标与倾向。比如强调个人与企业之间互动的告知—选择机制[7];强调企业与政府之间互动的合作规制思路[8];强调个人与政府之间互动的保障第三人参与权与征求意见程序[9];呼吁政府、企业与个人以沟通及协商为手段的合作治理模式[10];等等。这些研究深深地体现着主体间意图通过合作策略驾驭和驯服个人信息这一新生事物的努力，它们在理论上是合理且有意义的。但它们主要集中在某一类或某两类主体之间探讨，大大地忽略了三类主体之间的互动与碰撞，而且实践中并没有做到驾轻就熟，效果显著③。

出现困窘局面的原因不在于合作的路径不可行，而在于上述努力未能考虑到主体间存在的信息不对称、有限理性、缺乏信任以及合作成本等方面的现实局限性，也未能真正揭示将个人信息保护诉诸合作的目的与要求——互惠共赢。因此，在个人信息保护中，个人、企业与政府如何共同参与活动，实现有效合作，并把我们从可能失败的合作窘境中解救出来，就是一个值得思考并为之努力的永恒主题。本文拟通过共享合作行动理论，在隐私政策的设计、应用以及监督的不同阶段中，规范、指引并评判个人、企业与政府的意图与行动，以审视主体间有效合作的路径，并就可能存在的适用限度加以说明。

一、主体间合作的逻辑指引：共享合作行动理论

共享合作行动（Shared Cooperative Activity，以下简称SCA）来自美国哲学家迈克尔·布拉特曼（Michael E. Bratman），该理论是对一对个体行动者之间的合作活动的理论刻画，但也可能涉及大量参与的行动者，并且可以在复杂的体制框架内进行[11]。

（一）共享合作行动理论的特征与要求

根据布拉特曼的观点，SCA需要满足三个特征：第一，相互回应（mutual responsiveness），在SCA中，每个参与行动者都试图回应对方的意图和行动，知道对方也试图做出类似的回应;第二，承诺共同行动（commitment to the joint activity），在SCA中，每个参与者对共同行动都有一个适当的承诺（尽管可能出于不同的理由），他们的相互回应是在追求这种承诺;第三，承诺互相支持（commitment to mutual support），在SCA中，每个行动者都承诺支持对方的努力，以便其在共同行动中发挥作用。这些相互支持的承诺使我们能够成功地开展共同行动，并对彼此的意图与行动加以回应。

共享意图是合作行动的起点。在布拉特曼看来，共享合作行动理论的展开，依赖于共享意图（shared intention）的达成。共享意图可以作为一个相对固定的背景。借助于共享意图，参与者的共同行动才会成为有确定意图和目标的合作行动。共享意图既非个人意图的简单累加，又非一种超级行动者（super agent）心中的态度，它主要是由团体成员的个人意图及其相互联系所形成的态度复合体，它是一种事态[12]，即共同行动的所有参与者都拥有适当内容的态度，且以适当的方式相关联。共享意图被用来协调我们的行动，协调彼此的计划以及提供偏好冲突①时的谈判框架。正是对共享意图的强调，使得参与者的活动相互关联，可以互相回应、共同行动以及相互支持。也正是对共享意图的承认，使得处于共享活动中的参与者彼此负有一种基于承诺或协议的无条件义务②——一种基于相互保证的义务，有助于我们更好地组织并统一调整利益相关者的能动性（agency），以实现预定的目标。A0835152-84DB-4BF2-B518-40FC70401A18

因此，共享合作行动理论还需满足以下要求：第一，共同行动是参与者之间的共同认识，我们意图做某事这一点，对于我们每一个参与者来说是清楚可知的，否则我们就很难说我们有意向共同行动;第二，共享合作行动理论要求有效力的意图，参与者不仅不允许有被强制或受威胁的意图或行动，而且彼此之间还会支持他人意图的有效性③;第三，共享合作行动理论应具有最小协同稳定（minimally cooperatively stable）。稳定有两方面的意涵，一是拒绝重新审思，即通常默认不重新考虑先前的意图，我们选择合作，是因为合作能够降低参与者的审思成本，弥补认知缺陷。因此，共享合作行动就必须是稳定的，让我们只思考如何具体做，而不是要不要做的问题④;二是要求参与者以和平的、开放的谈判方式解决他们的偏好冲突，不破坏彼此的（子）计划以及共享意图的达成①，否则行动就更具竞争性，而不是合作性，竞争的存在意味着参与者彼此之间会阻碍对方的行动，更遑论在他者行动时提供必要的支持②。

（二）共享合作行动理论指引个人信息保护的可行性与必要性

从最广泛的意义上而言，合作可能意味着只是让开彼此的路，或者拒绝欺骗其他参与者。但从人性的角度而言，更积极的合作与协调也是可能的、至关重要的实践[13]。合作问题的特征是：在合作行动中，每一个人的行动都依赖于所有其他人的意图与行动。个人信息保护可被视为一项共同的合作事业。这是因为，只有实现所有参与者之间的联合与互动，不同参与者之间的意图和行动才可以通过协调达致某种程度的平衡，既照顾到个体的人性尊严之价值，又促进了社会的经济和管理之价值。不过，个人信息保护的合作实践足够艰难，以至于單独的个人或少数的群体难以应对，必须利益相关者一起合力解决。在信息化、智能化快速推进的今天，需要考虑共同行动的优势。在实施个人信息保护时，需要把分散的个人或组织的力量以一种有秩序的方式集中起来，以增强抵御信息泄露、滥用以及“千人千价”的大数据杀熟等风险的能力。具体来说需注意以下三个方面：

第一，合作是个人信息保护的重要诉求。首先，合作是对人类心理的真实写照。我们不仅有欲望获得复杂的目标，而且有能力设置这样的目标并提前组织我们的行为。其次，合作立足于对关系性的确认，是为群体成员而设计的，其目的是使所有参与者受制于规范的理性能力，其功能是构建利益相关者的活动，使全体参与者一起努力，以追求善和实现价值的策略。再次，合作有赖于现实条件的造就。信息技术的发展使得许多实体的即时性、响应性和可循性成为可能，许多参与者几乎可以实时协调他们的行动，以实现既定的目标[14]。最后，在个人信息保护领域，一方面，个人信息具有公共性，以至于排除其他人从个人信息中获益不仅难度较大，而且没有效率;另一方面，以单个侵权案件处理为核心的救济路径难以应对大数据时代社会性侵权与系统性风险。因此，个人信息保护的合作实践不仅是可欲的，也是可能的。

第二，既有的“主导—配合”之协作模式拒斥企业和个人的能动性。个人信息的立法实践增加了个人对其信息的控制权，规范了企业基于数据的商业模式，明确了政府在个人信息保护方面的职责。这意味着个人信息保护实践是需要各个主体都为之配合与努力的行动。但在个人信息保护的具体实操中，呈现出由政府强势主导、企业象征性参与、个人被动配合的协作模式。这是合作模式的低级阶段[15]，其不仅忽略了国家—社会关系中“强国家、强社会”理念的切实转变，而且造成了个人信息保护策略的僵化开展，是对个人能动性的否认及对企业创新性的遏制，比如全球商业软件公司ESRI与市政府合作的Waze项目[16]。这个项目的意图是，所有各方都受益，因为他们能够轻松地获得原本无法访问的数据。但实际上，合作组织之间存在的互惠关系仅涉及数据持有者，数据主体往往被排除在关系之外，或者最多被描述为被动受益于关系之中。因此，在个人信息保护领域，需要个人、企业与政府共同采取行动，演绎从协作走向合作的新篇章。

第三，目标一致性仍然占据个人信息保护实践的突出位置。虽然主体间达成合意存在较大困难，例如，“禁止追踪”技术就是因为企业、行业组织、用户与政府之间无法达成一致，因而效果不甚理想[17]。但实践效果的不理想并不意味着一致性目标的不重要。对一致性目标的强调是因为：一是只有个人信息保护的合作目标在主体间保持一致性、连贯性和稳定性，才能避开与目标不相容的行动，并确定哪些行为选择是相关的和值得考虑的;二是目标一致性意味着主体间在认知上的相互依赖，成员们意识到这是一种以合作为目的的集体实践，每个人不但对他人有期待，而且也乐意采取合作行为;三是如果缺乏一致性的目标对行为的规范与指引，信息不对称、认知偏见、缺乏信任以及多元偏好等就会对个人信息保护的合作事业产生威胁;四是目标一致性能够缩减主体间的认知差异并减少思考成本、谈判成本以及商议成本等。

20世纪后期以“弱化表达而注重开展行动来获取支持”的社会特征，似乎预示着一个行动主义时代的到来。“共享”冲击着各个学科的知识框架。以法哲学领域为例，有学者声称，现代世界是由“大型共享行动”——群体的行动所定义的世界[18]。因此，我们有必要引入共享合作行动理论，为个人、企业与政府之间的合作实践提供规范和框架。在个人信息保护中借鉴共享合作行动理论，并不只是基于共享合作的可欲性，还依赖于我们是否实际上采纳它们。由于我们不仅欲求实现复杂的个人信息保护的合作实践，也有能力选定这一目标，并随着时间和借助人力而组织我们的行动，以实现这个目标。因此，共享合作行动理论不是唯一的选择，但一定是较好的且有可能实现的选择。

二、共享合作行动理论对隐私政策实践的关照与纠偏

共享合作行动理论的引入是基于信息时代复杂的、充满争议的甚或专断性的环境。但共享合作行动理论构建的只是个人信息保护的理想情境，真正实现还依赖于对合作的意图与行动的进一步细化。这需要深入到个人信息保护实践的内部，包括政策、法规、委员会、合同、服务条款、标准、算法以及其他技术系统，以具体的行动来填充细节。隐私政策①对内是企业治理规范，是企业积极主动地拥抱隐私、承担社会责任的体现，对外则是沟通消费者与企业处理行为的桥梁，是政府监管的重要内容[19]。因此，隐私政策实践就是企业、个人与政府之间良性互动的重要场域。它可被视为个人、企业与政府这三类主体互动与博弈的典型场景。申言之，企业通过隐私政策将自身的个人信息保护实践公之于众，由用户自主决定个人信息是否被收集、利用和共享，而政府可据此对企业的合规实践进行监管。既有的隐私政策研究也表明，此类研究的结果可以帮助企业改进其隐私政策，促使政府制定更好的法规并评估其有效性，并最终教育用户了解行业隐私实践的现状[20]。是以，以隐私政策实践来验证共享合作行动理论的价值与意义具有可行性和必要性①。那么，共享合作行动理论如何嵌入、形塑抑或纠偏隐私政策的设计、应用以及监督等阶段的实践呢？A0835152-84DB-4BF2-B518-40FC70401A18

（一）隐私政策设计阶段的缺憾与补正

1.共同认识：企业必备隐私政策

每个在线平台或网络服务都必须有隐私政策，这应该是所有参与者的共同认识。不过，隐私政策的有无及其可用性方面在具体实践中还存在显著差异。比如，有些应用程序以营销声明替代隐私政策;有些则以隐私为营销工具;有些隐私政策是服务协议的组成部分;有些隐私政策因平台而异;等等。隐私政策是任何拥有数据的企业的关键功能，特别是当他们拥有个人敏感信息时更是如此。用户也只有在与企业达成一定程度的信任后，才会披露个人信息。但有趣的是，大多数应用程序供应商声称，他们相信数据主体的隐私很重要，尽管这并没有反映在他们的隐私政策中。虽然隐私政策实践存在这样或那样的困窘局面②，但糟糕的实践并不否定隐私政策的必要性和重要性。是以，企业需要以法律法规确定的原则、规则与标准为基础，从形式和内容上良好地设计隐私政策，而不只是满足于形式合规或随波逐流③。

2.伦理底线：非强制或诱导的个人意图

克拉诺（L. F. Cranor）指出，除非用户被赋予可用和可执行的选择机制，否则隐私政策以及更普遍的通知和同意机制，都是没有意义的[21]。个人能够对其信息随后如何被企业使用拥有一定的发言权，这肯定是任何声称公开或透明的隐私政策的关键组成部分。但目前的隐私政策，一方面有些仍然保留着“如果你同意，就点击”的名为自由选择实为唯一之举的范本，选择通常是全有或全无的;另一方面有些虽然详细地说明了个人需要知道的一切，但有意地诱使或训练个人将注意力仅集中在点击同意上①，这就是变相地使个人意图屈从于企业的隐私设计。所谓的合作只是企业的独家话语，个人只是负责配合“演出”的工具而已。个人意图自由是共享合作行动理论的重要内容，其要求将个人视为积极参与者，而不是被动适应的目标。因此，企业隐私政策制定时，应采取以用户为中心的方法，比如提供隐私设置个性化选项、一站式撤回和关闭授权等[22]，而不是简单地将它们视为一个需要选中的框。

3.效力锚定：内容的相对稳定性

隐私政策往往是在特定场景下生成的，规则的制定、适用和发展都不应当超出原初的特定场景[23]。稳定的内容也是社会对隐私政策的日常预期。否则，隐私政策时常变动，不仅会增加个人和政府重新阅读并审思的时间和精力成本，而且重新审思也是共享合作行动理论所拒斥的。但在现实实践中，隐私政策不仅五花八门，而且变幻无常，随着参与者数量的变化而变化。更令人担忧的是，大部分企业没有发表声明，如果隐私政策发生变化，将如何通知用户。他们只是简单地声明，对政策的任何更改都将反映在他们的网站上。在某些情况下，企业也只是鼓励消费者定期重新阅读政策文档，以便让自己随时了解这些更改②。因此，企业必須保证隐私政策内容上的相对稳定性。

（二）隐私政策应用阶段的缺失与补足

1.互相回应

隐私政策的应用是一个透明交互的过程。一方面，企业可以介绍自己的隐私实践，从而吸引网络用户;另一方面，企业也可以使行政机关确信，企业自律可以发挥作用，不再需要额外的行政干预。互相回应的要求意味着：第一，企业需要披露隐私政策，但实际情况是，企业可能没有披露，或者披露不明显甚至是错误披露等，比如，有些图书馆的隐私政策，要么在主页的底部不明显地显示，要么需要多次分级点击链接，要么直接就是僵尸链接[24];第二，个人需要对隐私政策加以反馈，个人正是通过奖励好的做法或惩罚坏的做法这些具体的决定来监督市场，但现实是，隐私政策的内容冗杂、专业，语言晦涩、模糊，个人受限于时间、知识以及思维的局限性，无法实质性地阅读并理解，遑论有效反馈③;第三，政府需要审查隐私政策，政府介入的意义在于确保企业隐私政策的效力，弥补个体用户举证能力的不足[25]，但现实情况是，政府受制于消息的滞后性、部门之间权责不明、执法疏松等因素，很难切实地审查并监督隐私政策的适用，也就难以有效地指引企业去调整自身的行动。

2.承诺共同行动

无论是出于什么理由，企业在隐私政策中对保护个人信息均有一种适度的承诺。即便用户不怎么阅读隐私政策，但是上至政府部门，下至消费者，中至隐私权倡导者及媒体等，都可以将隐私政策置于聚光灯下反复打量与评价。因此，承诺共同行动意味着：一是个人应被视为真正的利益相关者，能够对其数据施加控制，并处于一个可以在公平竞争环境中与企业讨价还价的位置[26]，但在大多数现实中，个人不仅只是配合的角色，而且企业所引起的不利后果还得自己负责①;二是企业要主动为自己的行为负责，因为企业比任何人都明白他们想要如何利用数据，也许更为重要的是，企业是数据二级应用的最大受益者，所以理所当然应该让他们对自己的行为负责[27]，目前，我国的《网络安全法》《电子商务法》《个人信息保护法》皆规定了互联网企业的信息安全与隐私保障义务，但具体执行方面还有待于贯彻落实;三是政府要监督并审查企业的行为，个人信息的公共性突出了责任规则的重要性，而后者则强调政府在数据交易和流通过程中的强化监督责任，比如，我国政府部门近些年来对一些企业网络产品和服务的隐私政策逐步展开了评审，涉及隐私政策的内容、展示形态、用户同意等。

3.承诺相互支持

隐私政策的良好实现有赖于每一个参与者都认同并支持他者在保护个人信息中扮演的角色与努力。这些对彼此支持的承诺，把个人、企业与政府置于一个意图完成个人信息保护的境地②。但现实情况是，隐私政策对消费者的保护很少，反而被用于授权商业行为，使企业能够从消费者数据中获利[28]。所以，参与者之间的相互支持十分有限③。而要践行相互支持的承诺则要求：一是企业提供给个人更清晰甚或更简化的选择，抑或个性化的隐私政策，比如，通过隐私图标、隐私摘要或隐私选择的交互方式说服、鼓励个人点击它们来了解细节④;二是个人可以通过信息信托和信息中介的方式，与另一个实体建立委托代理关系，借助实体的力量参与到企业的信息实践中[29];三是政府应建立适当的语言指南、披露标准或认证标志，甚至是标准的隐私政策模板，以确保企业遵守他们的诺言①。是故，在技术加持和标准一致的要求下，主体间的相互支持具有良好实现的可能。因为个人不仅阅读速度会更快，甚至都不需要阅读;企业节省了刻意形式合规的不必要成本;政府也可以快速地评估与检测隐私政策的优劣。A0835152-84DB-4BF2-B518-40FC70401A18

（三）隐私政策监督阶段的缺漏与补充

1.企业负有基于隐私政策的保证义务

隐私政策是一种关于信息将如何被使用的通知形式，也是一种限制信息未来使用的默认的合同承诺[30]。企业在隐私政策方面主要有四类基于保证的义务以协调主体间的行动：第一，禁止内部违反隐私政策，企业内部人员对个人信息的访问和使用需符合隐私政策，一旦员工被解雇，就立即取消其访问权限;第二，禁止外部违反隐私政策，非企业内部人员对个人信息的访问和使用也需要符合隐私政策，特别是第三方供应商，也应签订经过认证的合同协议或遵从隐私保护基准;第三，制定健全的、积极的数据删除政策②，删除不再需要的数据是有效的隐私政策的一个要素[31];第四，重点披露个人信息安全事件，包括事件的数量、规模、易遭受侵害的个人信息类型、造成的实际损失等[32]，某种形式的安全漏洞无法避免，但若有适当的策略，业务安全的弹性策略将得到很好的执行，比如，将损害减少到最小程度，并防止业务下线，或者至少控制影响，使其他功能不受影响，也是企业的成功之处。不过，现实实践中，拥有安全应急响应设置的应用程序比例偏低，而且具体内容差异巨大，有些多达两页，有些则是只言片语。

2.以和平、开放的方式解决基于隐私政策的争议

隐私政策不仅仅是宣示性文件，更是平衡个人与企业势力比，避免商业上数据监控形成的重要内容。对这一点的强调，目的在于确保个人有能力、有条件与企业进行讨价还价③。不过，现实情境中，个人被认为是在盲目地与企业讨价还价，隐私政策常常成为企业逃避责任的挡箭牌。以和平、开放的方式解决基于隐私政策的冲突，这意味着当隐私政策发生损害时，诉讼是最后的手段但不是唯一的手段。个人诉讼可以解决此类问题，但存在维权成本高、行动分散化等问题，而且针对个案的司法判决也只是针对维权者个人具有个案效果。因此，对多元手段的诉求就是一个可能努力的方向：第一，考虑市场力量的激励④;第二，隐私政策的自我规制，企业通过强调对第三方准则的遵守向个人发出隐私保护的信号，不过这点很难确保企业说到做到;第三，由独立的、公正的机构专门执行隐私政策遵从评估、影响评估、风险分析、保护认证或审计等职能①;第四，基于技术的约束，通过对隐私策略进行人工智能分析（如扫描工具、网络爬虫等），不仅自动通知个人和政府隐私政策中可能存在的非法内容，而且还通知他们可能存在的非法数据处理活动。

综上，共享合作行动理论以共同认识、伦理底线、效力锚定、相互回应、共同行动、相互支持、保证义务以及和平、开放地解决偏好冲突这八个指标，对隐私政策的设计、应用以及监督这三个过程进行了关照与纠偏，并指出了隐私政策后续改进的方向和重点，实现了理论与现实的交汇融合。在共享合作行动理论的叙事结构下，隐私政策应该是个人寻求隐私保护的信赖规范，应该是企业的优先事项，也应该是政府的重点执法对象。是以，围绕着隐私政策，个人、企业与政府之间可形成良性互动，以充分发挥隐私政策的社会功能。但实践中，大多数隐私政策不仅远未达到理想水平，还被参与者视为滋扰，忽视了隐私政策追求数字生产的目的，而且也不会受到手段的抑制[33]。因此，隐私政策逐步完善的过程就是共享合作行动理论散发活力的过程，也是理论指引实践的魅力体现。

三、个人信息保护中合作实践的限度与回应

共享合作行动理论依赖于所有参与者的积极互动。这种互动不仅要求参与者之间会对彼此的意图和行动予以回应，也包括对彼此的承诺信守与守望相助。共享合作行动理论对隐私政策的观照，可减少信息不对称、认知缺陷、缺乏信任以及多元偏好等对个人信息保护的威胁。从这个意义上而言，共享合作行动理论是面向复杂的信息时代的可能选择，可以在集中群体智慧和力量的基础上，以一种有秩序的安排组织参与者的行动实现合作目标，并通过促进信息交流和集体意义，重新塑造技术、市场或行业。但不可否认的是，该理论在收获其可能的理论贡献的同时，也面临着一些不利因素引发的争议。这就意味着主体间的合作同样面临着与之相呼应的行动上的限制或障碍。

（一）权力失衡与赋能个人

共享合作行动是面向一对行动者的合作活动的理论刻画，他们不依赖体制结构和权威关系。因此，参与者彼此间是平等的人际互动。但在个人信息保护中，个人、企业与政府之间却存在力量和地位上的显著不平等。一方面，在我国“强政府、中社会、弱个人”的现实情境下，政府相较于企业具有更强的力量与资源，企业相较于个人具有专业和技术优势，因此，不同参与者之间天然地存在地位的不对等，容易滋生个人意愿被强制的可能，有效合作也就难以实现;另一方面，就个人的能力而言，行为经济学表明，在管理个人信息时，个人经常成为认知偏见的牺牲品，导致他们违背自己的实际偏好和最佳利益[34]。不过，布拉特曼在他后续的研究中也指出，共享合作行动理论并不否认存在大型机构的行动者。比如，公司、政府或有层级权威关系的机构。他希望“通过聚焦于这种小规模的共享能动性（shared agency）可以獲得一些洞见，也许我们的小规模共享能动性理论凭借进一步的条件可以延伸到这类大型的社会组织”[35]。因此，即使个人、企业与政府在访问、控制和处理个人信息的可能性以及关于如何收集和处理数据的知识方面存在很大差异，但他们仍可作为关键利益攸关方参与到个人信息保护实践中。比如，数据合作社的实践证明，可通过“自下而上的数据信托”[36]，以协议和合同的方式保证个人对其数据的控制，并可能要求公平分享数据利用所产生的利益。再比如，通过技术手段可以增强个人对其数据的控制能力（特别是信息可移植方面），或者通过主动或被动的数据行动主义活动促进个人参与，从而减少企业的影响。合作也需要政府来保障隐私政策的执行。与用户相比，企业在经济能力、技术能力、订约能力等方面具有明显的优势，需要公权力机关的介入，以平衡双方当事人之间的关系[37]。这就意味着主体间实现合作时并不排斥权力在场[38]。是以，主体间的权力失衡可通过为个人赋能的诸种办法加以消解。A0835152-84DB-4BF2-B518-40FC70401A18

（二）态度各异与机制保障

共享合作行动理论依赖于所有参与者对合作的接受——态度参与。但在个人信息保护实践中，主体间接受的广度与深度还存在程度差异。理想的个人信息保护实践要求，所有参与者心甘情愿地接受共同行动的要求，并为了行动的成功而相应地克制自己的欲望或积极配合行动。但是，不可测的不确定未来以及参与者们受限于即刻满足的本能，使得接受合作行动的可能性有限，而且接受的态度也容易模糊。因此，在接受的判断上，这一建议会受到攻击。具体而言，其一，隐私和数据保护在很大程度上是一个自我管理的问题。个人通常也高度重视隐私和数据保护，但他们通常不会按照这些态度行事。即使是对隐私表示出强烈偏好的用户，也愿意为小额的奖励而放弃个人信息。申言之，即使给予个人足够的信息控制能力与条件，但这反而增加他们披露敏感信息的意愿。换言之，如果他们泄密的意愿增加得足够多，这种控制的增加反而会使他们更加脆弱。其二，隐私和数据保护还是一个企业义务的问题。企业一般会积极依据法律法规去调整自身的行为。但实践中，企业还是满足于形式合规、谋求搭便车、规避责任或受控于其他机会主义行为诱惑等。因为就隐私政策而言，其往往是相对简短的承诺，是一种语气上而不是实质性的公共关系;往往是为外部消费而设计的，而不是为了影响企业的内部功能[39]。其三，隐私和数据保护更是一个政府监管责任的问题。政府监管是对个人信息被侵犯的情形以及公众对隐私安全高度关切的回应。但监管本身面临一些现实因素的阻碍。比如，传统的命令—控制型监管模式，过于严格、僵化，并存在阻碍创新与竞争的可能。信息时代的监管模式也面临着平台权力、信息过载以及系统性威胁的困窘局面[40]。主体间出现态度差异是正常的，可以接受的。这种态度差异可通过经济激励、同行压力、问责与透明等机制得到降低、悬置甚至克服，虽然这种努力并非一蹴而就。

（三）目标不一与沟通协商

共享合作行动理论要求共享意图的达成。也就是说，参与者对于一起做某事拥有一致性、连贯性和稳定性的目标并为之努力协调各自的行动。只有共享意图得以实现，主体间的行动、彼此的计划以及偏好冲突时的谈判才得以有序进行，参与者才可以在某种条件下以某种方式去行动或不行动。但在个人信息保护实践中，由于个人、企业与政府之间存在权力和态度上的差异，共享意图就很难达致或很难判断是否是真正的共享意图。具体来说：第一，虽然意图可能在上下文语境中得到广泛承认甚至共享，但可能不透明，或者在不同的参与者或上下文语境中存在争议，比如，企业的一个直接意图是通过数据共享和聚合获得最大化的经济回报，相反，政府可能会将公共利益作为数据共享协议要追求的关键意图之一，个人的意图可能是增加信息主体对其信息的控制或为弱势群体提供发言权[41];第二，共享意图可能是通过诱导或操纵的手段达成的，比如，新兴领域的参与者会通过诱导他人的合作来塑造它以适应自己的利益，或通过给予个人奖励或免费服务等方式，操纵个人按照他们的预测和建议行事;第三，共享意图可能是企业与政府之间共谋的结果，个人仅是配合而已。信息时代，个人对于企业和政府而言是透明的、分散的，甚至被视为纯粹的对象，被剥夺了道德主体的地位。因此，个人丧失了在个人信息保护领域与企业和政府进行商议的能力，而且，基于个人信息的数据权力被用来规避与个人的任何对话关系，个人意图也就被忽视了[42]。不过，共享意图的难以实现或难以判断这一事实本身，并不排斥共享意图实现的可能性。因为，在共享合作行动理论中，参与者被允许基于各种各样的理由而达成合作，而且，个人确实可以被赋予在一个公平的竞争环境中与数据收集者讨价还价的能力。因此，通过构建相应的沟通协商的制度环境，使主体间的意图趋于一致、连贯与稳定，就是我们继续努力完善的基本方向。

共享合作行动理论对隐私政策实践的规范、指引及评判，展示了该理论所具有的价值与意义。一方面，共享合作行动理论为个人信息保护的合作提供了一种可能的路径指引，它可以被理解为一种创造性的做法来组织诸多参与者的意图与行动;另一方面，共享合作行动理论将“沟通”的维度引入个人、企业与政府之间，将它们之间的单向关系变成了可协调的双向关系，使得每一主体，特别是个人，通过“表达”与“沟通”的方式切实地共同参与到个人信息保护实践中。但不可否认的是，共享合作行动理论在指引具体实践时，不可避免地面临着一些不利因素，比如，参与者之间的权力失衡、态度各异以及目标不一。不过，对不利因素的回应与解决，反而为个人信息保护的后续研究指明了努力的方向，比如，如何为个人赋能或创造条件提升个人与强大实体进行讨价还价的能力;隐私设计实践如何使企业承担应有的责任;政府的规制模式如何适应信息时代的监管要求;等等。这就是为什么我们的目光需要在理论与实践之间反复来回跳跃，以此商谈个人信息合作保护的价值所在。

参考文献

[1]  VILJOEN S. A Relational Theory for Data Governance[J]. The Yale Law Journal， 2021， 131（2）： 573-654.

[2]  FRIED CHARLES. Privacy[J].The Yale Law Journal，1968， 77（3）： 486.

[3]  苏今.大数据时代信息集合上的财产性权利之赋权基础——以数据和信息在大数据生命周期中的“关系化”为出发点[J].清华知识产权评论，2017（00）：262-291.

[4]  S. WEST. Data capitalism： redefining the logics of surveillance and privacy[J]. Business & Society， 2019， 58（1）： 20-41.

[5]  鄭智航.数字资本运作逻辑下的数据权利保护[J].求是学刊，2021，（4）：113-126.A0835152-84DB-4BF2-B518-40FC70401A18

[6]  MARINA M.; MARISA P.; MAX C. et al. Emerging Models of Data Governance in the Age of Datafication[J].Big Data & Society， 2020， 7（2）.

[7]  冯恺.个人信息“选择退出”机制的检视和反思[J].环球法律评论，2020（4）：148-165.

[8]  孔祥稳.论个人信息保护的行政规制路径[J].行政法学研究，2022（1）：131-145.

[9]  李卫华.民法典时代政府信息公开中个人私密信息保护研究[J].政治与法律，2021（10）：14-24.

[10]  郭春鎮，马磊.大数据时代个人信息问题的回应型治理[J].法制与社会发展，2020（2）：180-196.

[11]  MICHAEL E. Bratman.Shared Cooperative Activity[J].The Philosophical Review，1992， 101（2）： 328.

[12]  MICHAEL E. Bratman.Shared Intention[J]. Ethics， 1993， 104（1）： 98-99.

[13]  STERELNY K. The Evolved Apprentice： How Evolution Made Humans Unique[M]. The MIT Press， 2012： 12-14.

[14]  BENNETT W L.， SEGERBERG A. The logic of connective action： Digital media and the personalization of contentious politics[J]. Information， Communication and Society， 2012， 15（5）： 739-768.

[15]  张康之.公共行政的行动主义[M].南京：江苏人民出版社，2014：231-234.

[16]  JENNIFER SHKABATUR. The Global Commons of Data[J]. Stanford Technology Law Review，2019，Vol.22（2）：354-411.

[17]  KYLE FERDEN. The Swanson Paradox： Do-Not-Track and the Intersection of Data Autonomy and the Free Market[J]. Journal of Corporation Law， 2016， Vol.41（2）： 493-508.

[18]  斯科特·夏皮罗.合法性[M].郑玉双，刘叶深，译.北京：中国法制出版社，2016：195.

[19]  李延舜.隐私政策在企业数据合规实践中的功能定位[J].江汉论坛，2020（10）：136-144.

[20]  ZAEEM N.;  Barber. A study of web privacy policies across industries[J]. Journal of Information Privacy and Security，2017， Vol.13（7）： 1-17.

[21]  CRANOR L F ， Necessary But Not Sufficient： Standardized Mechanisms for Privacy Notice and Choice[J]. Journal on Telecomm & High Technology Law， 2012， Vol.10（2）： 273-308.

[22]  万方.隐私政策中的告知同意原则及其异化[J].法律科学（西北政法大学学报），2019（2）：61-68.

[23]  HELEN NISSENBAUM. Privacy as Contextual Integrity[J].Washington Law Review，2004，Vol.79（1）：119.

[24]  姜盼盼.图书馆隐私政策合规性的依据与标准[J].图书馆建设，2019（4）：79-86.

[25]  高秦伟.个人信息保护中的企业隐私政策及政府规制[J].法商研究，2019（2）：16-27.

[26]  K. De Vries. Privacy， due process and the computational turn： A parable and a first analysis. In M.Hildebrandt; K. de Vries eds. Privacy， Due Process and the Computational Turn： The Philosophy of Law Meets the Philosophy of Technology[M].Routledge，2013：25.

[27]  维克托·迈尔-舍恩伯格，肯尼斯·库克耶.大数据时代：生活、工作与思维的大变革[M].盛杨燕，周涛，译.浙江：浙江人民出版社，2013：221.

[28]  FERNBACK J. Online Privacy as Legal Safeguard： The Relationship among Consumer， Online Portal， and Privacy Policies[J]. New Media & Society， 2007， Vol.9（5）： 715-734.A0835152-84DB-4BF2-B518-40FC70401A18

[29]  JACK M. Balkin.Information Fiduciaries and the First Amendment[J]. UC Davis Law Review， 2016， Vol.49（4）： 1183-1234.

[30]  D. J. SOLOVE. Privacy and Power： Computer Databases and Metaphors for Information Privacy[J]. Stanford Law Review， 2000， Vol.53（6）： 1393-1462.

[31]  KIERSTEN E. Todt.Data Privacy and Protection： What Businesses Should Do[J].The Cyber Defense Review，2019，Vol.4（2）：42.

[32]  馮洋.从隐私政策披露看网站个人信息保护——以访问量前500的中文网站为样本[J].当代法学，2019（6）：64-74.

[33]  OBAR J. A; Oeldorf-Hirsch A. The Biggest Lie on the Internet： Ignoring the Privacy Policies and Terms of Service Policies of Social Networking Services[J]. Information， Communication & Society， 2020， Vol.23（1）： 128-147.

[34]  D. J. SOLOVE. Introduction： Privacy self-management and the consent dilemma[J]. Harvard Law Review， 2013， Vol.126（7）： 1880-1903.

[35]  MICHAEL E. BRATMAN. Shared Agency： A Planning Theory of Acting Together[M]. Oxford University Press， 2014： 8.

[36]  DELACROIX S; LAWRENCE L N. Bottom-up data trusts： Disturbing the "one size fits all" approach to data governance[J]. International Data Privacy Law， 2019， Vol.9（4）： 236-252.

[37]  彭玉勇.论网络服务提供者的权利和义务[J].暨南学报（哲学社会科学版），2014（12）：67-82+156-157.

[38]  柳亦博.论合作治理的路径建构[J].行政论坛，2016（1）：10-15.

[39]  BENNETT C. J.; RABB C. The Governance of Privacy： Policy Instruments in Global Perspective[M]. Mc Farland and Company， Routlege， 2003： 121-138.

[40]  COHEN J. E. The regulatory state in the information age[J]. Theoretical Inquiries in Law， 2016， 17（2）： 369-414.

[41]   Winter J. S.; DAVIDSON E. Big data governance of personal health information and challenges to contextual integrity[J].The Information Society，2019， Vol.35（1）： 36-51.

[42]  HILDEBRANDT M. Who needs stories if you can get the data？ ISPs in the Era of big number crunching[J].Philosophy & Technology， 2011， Vol.24（4）： 371-390.

The Possibility and Limit of Cooperative Protection of Personal Information： Analysis Based on Share Cooperative Activity Theory

Wang Ya

（School of Law Jilin University， Changchun， Jilin 130012）

Abstract：Personal information protection is a complicated legal practice that requires cooperation to seek the common benefits of individual， enterprise and government， but how to participate in cooperation and achieve mutual benefit is still facing a difficult situation. Share cooperative activity， which shared intention as its framework， through mutual understanding and action， respond and support each other and peace open preferences conflict resolution， systematic cares and targeted corrects the design， application and supervise of privacy policies. It faces the existing many invalid or insufficient situation of privacy policies， and effectively points to the future direction of privacy policies improvement. The collaborative practice of personal information can reduce the threats to personal information protection， such as information asymmetry， cognitive deficiency， lack of trust and multiple preferences， but it also needs to overcome the disadvantages of power imbalance， different attitudes and different goals among subjects.A0835152-84DB-4BF2-B518-40FC70401A18

Key Words： personal information protection; shared cooperative activity; shared intention; privacy policies

作者简介：王娅，吉林大学法学院博士研究生，研究方向：个人信息保护。

①Mydata计划是源于芬兰的开放数据行动主义而发展起来的项目。

②无论是个人控制还是社会控制，它们立足于一个前提，即信息主体与企业之间是一种以对抗为表征的零和博弈的关系。当我们承认信息主体的数据权利，也就意味着信息主体获得了基于这项权利而形成的对企业的一种支配性。这种对抗思维过分地强调了数据的个人性，忽视了数据的公共性，以至不便于数据的流通和增值。

③比如，告知—选择机制流于形式致使个人同意无能;合作规制导致企业与政府之间权责不明;多元主体合作更多的是宣示性的理念倡导，仍然希求更为具体的、系统的实践指引;等等。

①这里的冲突表现为彼此之间如何做或者如何安排的问题而不是要不要一起做的问题。

②共享意图可从两个层面来认识。第一个是较弱意义上的共享意图，它是一种心理现象，其不要求参与者之间的承诺和协议，也就无从产生无条件的义务。第二个是较强意义上的共享意图，它是一种规范现象，其暗含承诺或协议的要求，也涉及无条件的义务和资格。本文对于共享意图的理解是从规范意义的维度进行的。

③这一点指向了意图的反身性（reflexivity）特点，这也是SCA中承诺相互支持的由来。如果参与者的意图或行动是不自主的或被强迫的，则意味着强迫者的行动绕过了意向性行动者的意图，行动者的态度就是不合作的，有效的合作就无法达成。

④当然，重新审思在足够好的理由支持下也是理性的，否则就会达不到制定共同行动的目的。

①谈判意味着可以讨价还价，但讨价还价也有困难。因为它会迫使我们去重新考虑我们的意图，而重新审思正好是共享意图所拒斥的。即便它也要求当事情随着时间发生变化时，意图也应该发生变化。是以，谈判以共享意图为固定背景或框架。

②当然，竞争本身也具有共同行动的外观，但合作的水平有限。即使一定程度上是合作的，之后总会有竞争。比如下象棋就是共同行动但不构成合作。

①隐私政策在实践中有多种表现形式，如隐私声明、个人信息保护指引、隐私权政策以及应用权限等等。就性质与内容而言，这些称谓所指向的法律意义上的文件均可归为隐私政策。在我国，网络服务提供者制定隐私政策主要是为了履行其公示收集、利用用户个人信息的范围、方式等内容的法定义务。

①选取隐私政策作为验证共享合作如何达成的一个场景，除了正文中指出的理由外，还有一个额外的必要考虑。共享合作行动是部分的规划，在它之下还容纳着若干个相互嵌套的子计划。因此，隐私政策也只是个人信息保护合作计划中的一个子计划，这个子计划可能非常重要，也可能不那么重要，但都是（总）计划中不可或缺的一部分。由于个人信息保护的合作实践内涵丰富，本文无力建构充分的、完整的合作规划，是以，仅选取其中一个子计划用以说明共享合作行动之于个人信息保护的价值与意义。

②有些应用程序的数据共享实践和准确性的信息通常既不容易获取，也不容易理解;有些应用程序的隐私政策甚至会掩盖有关隐私和准确性的重要信息，从而对用户构成安全和隐私风险。

③也有官员和学者对隐私政策的必要性提出质疑。他们认为个人的偏好各不相同，事先设定隐私政策这一行为准则可能会被证明是困难的，或者是武断的。这样的争议很有冲击力。因为在互联网环境中，隐私政策的实践基本是失败的。但数字服务的性质又意味着可行的监管替代方案很少，效果也很差。

①比如，从上到下阅读政策的用户首先看到吸引人的同意按钮，以至于会错过点击按钮之下的不太吸引人的政策链接。

②但对个人来说，跟踪隐私政策的变化并不总是容易的。第一，改变是由企业单方面提出的;第二，当企业做出单方面的改变时，并不总是清楚他们是否会通知个人这种改变的存在;第三，即使个人知道企业的隐私政策已经更新，也不容易在更新的文本中找到这些变化。

③比如，一项实证调查显示，74%的人会跳过隐私政策;应該需要30分钟才能阅读完的隐私政策，但用户的平均阅读时间为73秒。

①比如，有些企业建议个人仔细阅读第三方的隐私政策和服务条款，以了解第三方将如何处理他们的个人信息，而他们自己则否认对此类处理负有任何责任。

②比如，企业发布高水平的隐私政策或实施用户友好的隐私计划，有助于获取消费者的信任，而消费者认可后就会通过自身行为，比如浏览网站、购物、向朋友推荐等，增强企业的竞争优势。

③就个人而言，难以有效反馈隐私政策的利弊，因为企业在用户不知情的情况下收集的数据比用户有意识地提供的数据更突出;就企业而言，难以切实地按照隐私政策的规定行事，因为网络商家会发布措辞模糊的隐私政策，阻止用户阅读它们;就政府而言，难以实际地依据隐私政策进行监管，因为不受监管的市场导向的隐私政策并不明确。

④例如，小米应用商店日前宣布，其率先推出了“隐私说明清单”展示功能，用户可以重点查看“数据收集的详情与目的”“获取权限”“数据共享”“用户权利”“个人信息安全保障措施”五类内容。

①比如，新开发的AI辅助方法，可自动检查隐私政策的内容是否完整，而且该方法的精确度为85%。

②实证研究表明，61.2%的应用软件隐私政策中有数据留存条款，但是这些条款远谈不上规范，内容也模糊不清。甚至可以说，对有些数据留存条款而言，用户停止使用或注销账号后，个人信息保护多长时间不受任何实质性限制。

③不过，也有学者认为，个人与企业之间的讨价还价活动，似乎更多地取决于他们之前的预期，而不是政策条款。

④比如，成人网站更有可能提供简洁明了的隐私惯例通知，并限制与第三方的数据共享，而云计算网站则特别可能遵循严格的数据安全标准。

①比如，评估隐私政策遵从程度，如果企业的遵从程度低于预先设定的阈值，企业就会受到相应的处罚，个人就可以选择与之高度符合的企业开展业务。A0835152-84DB-4BF2-B518-40FC70401A18