数字生态下的个人信息保护

徐天翊

摘要：个人信息已成为推动社会发展的重要生产力资源，2021年11月1日起施行的《个人信息保护法》为数字生态下个人信息保护提供了制度保障。应对个人信息的内涵进行界定，并与隐私概念作出区分。同时提出个人信息处理的概念，分析数字化场景下个人信息处理中存在的知情权、同意权风险、泄露风险及“信息茧房”风险。面对上述风险，应通过加强网信等相关部门监管职责、检察机关实践个人信息公益诉讼制度等办法保护个人信息权益。

关键词：个人信息;信息处理;风险;保护;数字

十四五规划和2035年远景目标纲要提出，我们要迎接数字时代，适应数字技术全面融入社会交往和日常生活新趋势。在数字生态下生活已成为常态，个人信息也成为深度参与并推动社会发展的重要生产力资源。《个人信息保护法》的实施，为数字生态下个人信息保护提供了更有力的制度保障。

一、个人信息的内涵界定

对个人信息进行保护，首先应对个人信息的范畴作出准确界定，同时将其与隐私作出准确区分。

（一）个人信息的概念

有学者认为，个人信息是指与特定个人相关联的、反映个体特征的具有可识别性的符号系统，包括个人身份、工作、家庭、财产、健康等各方面的信息。民法典规定，个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。按照《个人信息保护法》的定义，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。从上述学界观点和法律条文看，个人信息仅涵盖与识别特定自然人相关的信息，某一信息是否为个人信息，要看其能否被识别且与特定自然人相关联。某个信息即使实际上与自然人有关联，但因科技条件限制而无法被识别，那么该信息在当前也不属于个人信息。但随着科技发展，当前无法识别的信息在将来有可能变成可识别的、与自然人有关联的信息。因此，从社会发展和法律实践角度看，“个人信息”是一个动态概念。《个人信息保护法》中的定义采用高度概括的方式来体现“个人信息”这一概念的本质特征及适用范围，同时通过“以电子或者其他方式记录的”这样的表述，突显个人信息在数字生态下主要以电子化手段进行记录的现实状况。

（二）个人信息与隐私的区分

个人信息与隐私作为不同概念，两者包含的范围有所区别，但在部分内容上又有所重叠。民法典第1032条第2款规定，“隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”。可见私密信息作为隐私权的部分内容被提出。民法典第1034条第3款规定，“个人信息中的私密信息，适用有关隐私权的规定;没有规定的，适用有关个人信息保护的规定”。该条款表明私密信息也是个人信息的内容之一，且优先适用有关隐私权的规定。《个人信息保护法》还对敏感个人信息的处理作了特别规定，认为敏感个人信息“包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息”。可见敏感信息大多属于私密信息，这些信息被权利人自愿公开或交由他人处理后，已不再构成隐私，但仍属于敏感个人信息。上述规定还将不满14周岁未成年人的全部个人信息作为敏感信息加以保护。

个人对自己享有安宁生活的控制程度及对待“控制”的不同态度，也是界分个人信息和隐私中的私密信息的一项依据。个人即使要对私密信息进行公开或利用，也不得违背公序良俗。对于个人信息，权利人侧重考虑的是如何提供利用的问题，意在使信息保护与使用之间达到平衡。

二、数字生态下的个人信息处理

（一）个人信息处理的概念与界定

《民法典》与《个人信息保护法》对“个人信息处理”的定义基本相同，《个人信息保护法》第4条第2款规定，“个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等”。民法典中的相关规定没有“删除”二字，其他内容一致。法条没有就具体场景对个人信息处理进行定义，但目前的处理手段几乎都是在数字化场景下进行的大规模运用。

《个人信息保护法》的定位之一为“规范个人信息处理活动”。随着大数据、人工智能在个人信息处理中的应用，具有危害性的信息处理也迭代升级，利用泛在网络产生的数据关联性（大数据根本特征）对潜在个体进行分析成为对个人权益最大的威胁，应当以有规范价值的识别分析为核心来定义个人信息处理。个人信息处理应被界定为与识别个人相关联的信息处理活动，而不论信息处理者是否具有识别的主观故意。一方面，处理者往往会称其对信息只是单纯地进行收集、储存而非为了对用户“识别”“画像”而进行分析、使用;另一方面，数字化环境下个人信息在极短时间内被自动化处理，各个处理环节与“识别”之间不存在明显区分，海量信息被反复处理后就很可能形成可识别的个人信息。

（二）个人信息数字化处理带来的风险

个人信息受侵害风险在数字化生态下呈指数级放大，识别个人信息数字化处理过程中的风险类型，有助于科学规范个人信息处理行为。

1.个人信息收集的知情权、同意权风险

传统模式下个人信息收集者与被收集者之间呈现相对平等的互动关系，收集者通过当面询问记录、让被收集者填写表格等方式进行收集，被收集者能直观感受到“谁在收集、收集什么、怎么收集”，知情权得到较大程度保障，可通过拒绝提供或部分提供的方式行使同意权。数字化处理模式却给个人信息知情权、同意权行使带来极大风险。

个人用户在终端设备上下载安装APP后，从打开使用那一刻起，个人信息便已處于被收集的过程中。例如，应用市场中的APP普遍需要用户授权读取使用位置信息、通话记录、媒介内容等权限才能正常运行使用，事实上我们所使用的主要APP均已达到“掌控市场”的支配地位，个人用户在实际上丧失了对某个APP的使用选择权及相关联的个人信息处理同意权。数字化场景下用户同意权变成了一种程序性权利，大部分用户为了操作便捷都会习惯性选择同意授权，个人用户的同意权被架空了。

有些流氓软件会在后台直接收集使用个人信息，还有未经用户操作便偷偷安装运行的诈骗软件、木马程序，大肆对个人信息进行非法收集使用，这些都严重侵犯了个人知情权和同意权。

2.个人信息的泄露风险

个人信息即使被合法收集、存储，其仍面临着泄露风险。首先是来自处理者内部的风险，工作人员可能出于某种动机将个人信息散布到互联网上或是提供给其他人，也可能因疏忽或操作不当将信息设置为公开状态或扩大知悉范围。然而更大的风险来自外部环境中的不可控因素——黑客，他们能够通过后门程序、信息炸弹、网络炸弹、D.O.S攻击以及密码破解等方式发动攻击，通过登上目标主机或是使用网络监听进行攻击。

3.“信息茧房”风险

信息茧房（information cocoons）这一概念由桑斯坦在其所著的《信息乌托邦》中提出，指人们关注的信息领域会习惯性地被自己的兴趣所引导，从而将自己的生活桎梏于像蚕茧一般的“茧房”中的现象。在纯技术层面，个人信息在数字化场景下几乎处于“裸泳”状态，用户的个人信息都已被互联网平台精准掌握或可通过“画像”分析描述出来，某种程度上“他们比你更了解自己”。凭借这样的优势，各个平台将各种“量身定制”的信息内容以多种形式向个人用户精准投放，每个用户各自的兴趣和关注点均得到了“投喂”，需求得到了满足，而从信息处理者角度看，平台以个人信息为“原材料”提炼创造出“需求”，通过精准投放来满足这种“需求”并不断强化。个人用户越来越关注特定类别的信息并产生某种依赖，最终陷入信息处理者编制的“信息茧房”之中。

三、数字生态下个人信息的保护路径

（一）加强职能部门监管职责

各大互联网平台均以占有市场及盈利为首要目标，个人信息保护与公司营收利润发生冲突时，不能仅寄希望于通过这些公司的自律来实现保护。应通过网信等有关部门的有效监管，使互联网公司切实承担起应有责任。一是可以向互联网头部企业派驻监督指导专员或工作组进行常态化监管。头部互联网企业集中分布在北上广深、杭州等城市，监管部门在这些城市均设有对应监管机构，客观上具备派专员或工作组进驻企业实施常态化监管的条件。专员（工作组）应有权参加与个人信息相关的各种会议，有权调阅、复印、拷贝各类相关数据资料，有权就个人信息保护工作提出意见，并对明显违法的或可能导致个人信息处理发生重大风险的行为采取措施。二是不定期对平台、网站进行技术检测，核查其是否在运行过程中有非法或过度收集使用个人信息的行为。

（二）推进检察机关个人信息保护工作

近年来检察机关通过推进公益诉讼制度来维护社会公共利益及不特定群体利益，检察机关也可以对侵害众多个人信息权益的行为依法提起诉讼。个人用户面对互联网大公司天然处于弱势地位，往往选择“知难而退”，检察机关行使着公权力，具有为维护群众共同利益而提起公益诉讼的法定职权，以数字化处理手段侵害不特定个人信息权益的行为，应成为检察机关履行公益诉讼职责的“战场”。同时还可以结合检察机关正在推进的“企业合规”工作，对刑、民、行检察案件中涉及个人信息处理问题的涉案企业和平台，通过指导帮助其建立个人信息处理内部合规制度，减少因员工违規违法操作而给企业带来涉案涉罪风险，从而达到保护个人信息与护航企业长远健康发展的双赢效果。

基金项目：同济大学浙江学院2020年嘉兴市高校学生工作精品项目（项目编号：20JXGZS001）。