个人信息“合理使用”的规范分析

[摘 要]随着《个人信息保护法》的公布，个人信息“合理使用”的问题开始显现，根本原因在于，个人信息并不是个人所掌控的，而是与个人有联系的信息。这会致使个人信息不能仅限于不受侵害，还要求个人信息处理者要对个人信息进行“合理”的处理。个人信息保护的出发点应该是隐与私，既包括对个体不愿意为大家所知晓的隐私信息的保护，也包括对个人信息决定权的保护。个人信息包括敏感个人信息和非敏感个人信息。数据时代个人信息保护的关键在于，不知道哪种个人信息经过处理后会导致个体的人格受到侵害，这是个人信息处理的实质，意味着个人信息“合理利用”应该兼具多方面，在面对公权力主体和私权利主体应该有不同的保护方式。

[关键词]个人信息；合理使用；风险防范

个人信息作为一种重要的社会资源，既涉及个人隐私权和人格尊严，又关乎社会公共利益和沟通效率。如何在保护个人信息的同时，合理利用个人信息，是一个亟待解决的法律问题。2021年8月20日，我国正式颁布《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》），该法是我国第一部专门针对个人信息保护的综合性法律，于2021年11月1日起施行。《个人信息保护法》对于个人信息的定义、处理规则、个人权利等方面都做出了详细规定，体现了立法者对于平衡个人信息保护与合理利用的意图[1]。同时，《个人信息保护法》也指出了目前对于个人信息保护的不完善之处，如法律的可实践性不强、监管合力尚未形成、合理使用的边界模糊等，需要进一步完善和明确[2]。本文从个人信息保护面临的困境与挑战出发，分析合理使用个人信息的具体情形，旨在为完善我国的个人信息保护法律制度提供参考和借鉴。

一、名实之争：个人信息保护面临的困境与挑战

（一）法律的可实践性不强

《个人信息保护法》虽然对于个人信息处理的原则、规则、条件等做出了明确的规定，但是在具体操作层面，还存在不够明确或者不易执行的问题[3]。例如，该法规定个人信息处理应当遵循“最小化影响”原则，即“对个人权益的影响最小化”（第六条），但是如何界定和衡量这种影响的大小，以及如何在保护个人信息和促进社会公共利益之间取得平衡，还需要进一步明确。此外，该法对于个人信息处理者的责任主体划分、个人信息泄露的赔偿标准、跨境数据流动的监管机制等方面应存在不够明确或者不易执行的问题。

这些问题可能会导致《个人信息保護法》在实施过程中遇到困难或者产生争议，影响其可实践性和效力。因此，需要通过制定配套的实施细则、行业标准、技术指南等方式，进一步完善《个人信息保护法》的可操作性和可执行性。

（二）个人信息保护的监管合力尚未形成

《个人信息保护法》规定了其他有关部门在各自职责范围内负责个人信息保护的相关工作（第五十五条）。这些部门包括公安、国家安全、市场监管、通信等部门。然而这些部门在个人信息保护方面的职责划分、协作机制、执法标准等方面还不够明确或者统一，可能会导致监管重复或者缺失，影响监管效率和效果。例如，该法规定个人信息处理者应当向国家互联网信息办公室报告个人信息安全事件，并按照其要求采取补救措施（第五十九条），但是如果个人信息处理者涉及其他有关部门的监管范围，如何协调和沟通，还需要进一步明确。

《个人信息保护法》第六十六条规定，国家互联网信息办公室可以对违反本法规定的境外个人信息处理者采取警告、罚款、限制或者停止提供产品或者服务等措施，并将其列入黑名单，向社会公布，并通报有关部门采取必要措施，但是具体的黑名单管理办法、公布方式、必要措施的内容等还需要进一步细化。

这些问题可能会导致《个人信息保护法》在监管方面存在漏洞，影响其监管合力和威慑力。需要建立健全的监管协调机制、制定统一的监管标准和程序、加强跨部门信息共享和执法协作，进一步形成个人信息保护的监管合力。

（三）个人信息合理使用的边界模糊

《个人信息保护法》为个人信息处理提供了一个基本的框架，保障了个人信息的合理使用。但在具体应用中仍存在一些不够清晰或难以界定的问题，可能导致个人信息处理范围和方式存在争议或滥用。例如，维护公共利益问题，法律未明确哪些情形可以认定为维护公共利益，这可能导致个人信息处理者以维护公共利益为名进行不必要或不适当的个人信息处理。

为解决这些问题，需要通过制定具体的指引、案例、评估等方式，进一步明确和细化《个人信息保护法》中关于个人信息合理使用的原则和条件，以提高法律的可操作性和可执行性。

二、合理使用个人信息的具体情形

（一）实施新闻报道、舆论监督的情形

1.新闻报道与舆论监督的区分

新闻报道与舆论监督是新闻工作的两个重要方面，它们之间有明显区别。

首先，新闻报道与舆论监督的目的不同。新闻报道的目的是传递信息，让公众了解社会的真实情况，增强公众的知情权。舆论监督的目的是发挥媒体的监督作用，对社会存在的问题和不良现象进行揭发和批评，推动社会改革和完善。

其次，新闻报道与舆论监督的内容不同。新闻报道应该涵盖社会各个领域和层面的事实，包括政治、经济、文化等方面，反映社会的多样性和丰富性。而舆论监督聚焦于社会存在的突出问题和热点话题，如腐败、环境污染、社会不公等方面，反映社会的矛盾和困境。

最后，新闻报道与舆论监督的方法不同。新闻报道遵循事实为依据、客观公正、实事求是的原则，尽量避免主观臆断和倾向性。舆论监督遵循理性分析、合理评价、建设性建议的原则，尽量避免情绪化和偏激性。

新闻报道与舆论监督是两种不同的新闻形式，它们各有其特点和功能，但也相互配合和协调，共同为社会服务。

2.新闻报道、舆论监督为公共利益而实施

新闻报道和舆论监督是社会公共利益的重要体现，也是个人信息合理使用的一种情形。新闻媒体在采集、处理和发布个人信息时，应当遵循公正、客观、真实、合法的原则。同时，新闻媒体合理确定个人信息的使用范围和程度，不得超出必要的限度。

新闻媒体在进行舆论监督时，也应当遵循以上原则，同时要区分事实和评论，不得以评论为事实进行传播。舆论监督应有利于揭露和纠正社会问题和不良现象，推动社会进步和发展，而不是制造和传播谣言、诽谤、诋毁等负面信息。

新闻报道和舆论监督是个人信息合理使用的一种重要方式，也是个人信息保护法律制度的一项重要内容。在制定和完善个人信息保护法律制度时，应当充分考虑新闻媒体的特殊作用，给予其必要的便利和保障，同时也要明确其责任和义务，防止其滥用个人信息，造成不良后果。

（二）使用已合法公开个人信息的情形

1.已合法公开个人信息之界定

已合法公开的个人信息之界定是个人信息保护法律制度中一个重要而复杂的问题，需要根据具体情况进行判断和分析。在界定已合法公开的个人信息时，应当遵循以下原则：

（1）尊重个人信息主体的自主权，保障其对自己的个人信息进行控制和选择的权利。

（2）平衡个人利益和社会利益，维护国家安全和社会稳定，促进社会公共利益和社会进步。

（3）防止滥用已合法公开的个人信息，保护个人隐私和名誉，防止造成不必要的伤害或影响。

2.信息主体未明确拒绝使用

信息主体未明确拒绝使用是个人信息合理使用的一种情形，但是使用者仍然应当遵守法律规定。需要防止滥用个人信息主体未明确拒绝使用的情形，不得以此为借口过度收集、无序处理和无限制发布等行为。

三、个人信息保护的类型化分析

（一）个人信息保护的双重社会功能：人格保护与促进沟通

1.人格保护

个人信息保护的第一个社会功能是人格保护，即保护个人信息主体的隐私权、名誉权、自主权等基本人格权利，维护其人格尊严和价值。个人信息是个人身份的重要标识，反映了个人的生活习惯、喜好、信仰等方面，构成了个人的私密空间和精神世界。如果个人信息被非法收集、处理或者泄露，可能会导致个人信息主体的隐私被侵犯、名誉被损害、自主被剥夺等后果，影响其正常生活和工作，甚至危及其人身和财产安全。因此个人信息保护应当尊重和保障个人信息主体的人格权利，防止其遭受不公平或不合理的待遇。

2.促进沟通

个人信息保护的第二个社会功能是促进沟通，即利用个人信息为个人信息主体提供更加便捷、高效、个性化的产品或服务，满足其多样化的需求和期望，增强其社会参与和融入。个人信息是个人与社会互动的重要媒介，反映了个人的特征、偏好、需求等方面，构成了个人的社会属性和角色。倘若能够合理地利用个人信息，可能会为个人信息主体带来更多的便利和价值，如提供更精准的搜索结果、推荐更合适的商品或服务、优化更舒适的用户体验等。所以个人信息保护应当允许和鼓励个人信息的合理使用，促进个人信息主体与社会的沟通和交流。

（二）“合理利用”要求的提出：不受侵犯与风险防范

个人信息保护的目的不仅是防止个人信息被非法收集、处理或者泄露，而且是为了促进个人信息的合理利用，满足社会公共利益和个人多樣化的需求和期望。因此个人信息保护法律制度应当在保护和利用之间寻找平衡点，既不能过度限制个人信息的流动和使用，也不能过度放任个人信息的滥用和侵害[4]。为了实现这一平衡点，需要提出“合理利用”的要求，即在不损害个人信息主体权益的前提下，对其同意或者知情的个人信息进行处理，并且只能在达到预定目的或者履行合同义务等必要情形下进行，并且应当尽量减少对其他方权益的影响。不受侵犯体现了对个人信息主体基本人格权利和尊严的尊重和保障，也符合《民法典》（第1039条）关于保护自然人的隐私和个人信息的规定。在进行合理利用时，应当遵循合法性原则、正当性原则及必要性原则。而风险防范这一考虑体现了对个人信息安全和社会稳定的重视和维护，符合《民法典》关于数据处理者应当采取技术措施和其他必要措施保护数据安全的规定。在进行合理利用时，需要满足安全性原则、透明性原则、可控性原则等。

（三）个人信息的类型化保护

个人信息的类型化保护是指根据不同类型的个人信息的敏感程度、风险程度和价值程度，采取不同的保护措施，以实现个人信息保护与合理利用之间的平衡[5]。个人信息的类型化保护是个人信息保护法律制度的一个重要内容，也是《个人信息保护法》的一个创新之处。《个人信息保护法》中第二十二条至二十四条规定体现了对不同类型个人信息的差别化保护，也为个人信息处理者提供了明确指引和依据。

而为了实现个人信息的类型化保护，需要从以下内容进行规范：（1）明确不同类型个人信息的划分和识别。（2）确立不同类型个人信息处理的原则和条件。（3）保障不同类型个人信息主体的权利和义务。（4）加强对不同类型个人信息处理者的监管和责任追究。

四、个人信息的合理利用：以风险防范为基础的体系构建

（一）合理利用的三个层次

合理利用是个人信息保护法律制度的一个核心内容，也是实现个人信息保护与合理利用之间平衡的一个重要途径。为了实现合理利用，需要从三个层次进行规范：

1.目的层次：明确处理目的，征得同意，告知情况，保留选择权，减少影响。

2.方式层次：遵循公平、透明、可控的条件和程序，采取保护措施，定期评估和检查，及时报告和处置。

3.结果层次：遵循风险防范、效益最大化的原则，定期报告处理结果，接受反馈和建议，承担法律责任。

（二）个人信息处理者的类型化考虑

个人信息处理者是指对个人信息进行处理的自然人、法人或者其他组织，包括政府机关、企业机构、社会组织等。不同类型的个人信息处理者在进行个人信息处理时，应当根据其自身的性质、目的、方式、范围等，进行类型化考虑，以实现个人信息的合理利用。如政府机关在进行个人信息处理时，应当根据其履行公共职能和维护公共利益的目的和依据，进行必要的个人信息处理，并且遵守法律规定，不得超越职权或者滥用职权。企业机构在进行个人信息处理时，应当根据其提供产品或服务的目的和依据，进行必要的个人信息处理，并且征得个人信息主体同意，不得强制或者捆绑同意等。

结束语

本文探讨了个人信息保护法律制度的不足和完善，提出了个人信息保护的类型化分析方法和合理利用体系，认为个人信息保护既要尊重个人信息主体的人格权利，又要促进个人信息的合理利用，满足社会公共利益和个人多样化的需求。为此，需要在保护和利用之间寻找平衡点，提出“合理利用”的要求，并根据不同类型的个人信息和个人信息处理者采取不同的保护措施。

参考文献

[1]于晓洋，何波.我国《个人信息保护法》立法背景与制度详解[J].大数据，2022，8（2）：168-181.

[2]吴星泽，王月丽.后疫情时代个人信息的保护与合理利用[C]//中国管理现代化研究会，复旦管理学奖励基金会.第十六届（2021）中国管理学年会论文集.[出版者不详]，2021：76-80.

[3]石可涵，甄增水.数字化疫情防控中个人信息的法律保护[J].盐城工学院学报（社会科学版），2023，36（1）：31-34.

[4]管洪博.数字经济下个人信息共享制度的构建[J].法学论坛，2021，36（6）：106-113.

[5]张露.重大疫情防控中个人信息的法律保护[J].大连大学学报，2021，42（6）：95-99.

作者简介：彭睿（2000— ），男，汉族，湖南衡阳人，青海民族大学，在读硕士。研究方向：民商法。

基金项目：本文系青海民族大学2023年度校级立项课题“民法典背景下的个人信息保护”（项目编号：04M2023051）研究成果。