论同意处理个人信息作为提供网络服务的对价

孙 鸿 亮

(清华大学 法学院, 北京 100084)

一、 问题的提出

在网络服务合同成立并生效后,网络服务提供者负有义务向用户持续提供网络服务,用户可能需要向网络服务提供者支付价款,也有可能不必支付价款就可以获得网络服务,但用户须同意网络服务提供者在一定范围内处理其个人信息。

在用户支付价款时,支付价款就构成了网络服务提供者提供网络服务的对价。例如通过支付一定价款可以开通VIP电子邮箱,该电子邮箱具有无限容量,可以上传超大附件,且不会收到垃圾邮件。当然,用户也可能同时同意网络服务提供者在一定范围内处理其个人信息。

用户不必支付价款时,往往须同意网络服务提供者处理其个人信息,例如即时通讯软件运营商向用户提供免费的即时通讯服务,但是用户须同意其处理个人信息,允许其向用户偶尔推送一些定向商业广告(1)参见:江苏省南京市中级人民法院(2017)苏01民终第9238号民事判决书。。通讯社交软件Facebook采取的“自定义受众”(custom audiences)就采取这样的商业模式,商家向Facebook支付一定广告费后将自己合法获得的客户的个人信息(如电子邮箱、电话号码)进行哈希转换,并将得到的哈希值(Hashwerte)上传到Facebook那里,Facebook会将这些上传的哈希值与用相同邮箱或电话号码注册的用户的哈希值进行匹配,匹配成功后这些用户会在Facebook的系列产品中收到为其量身定做的广告推送,Facebook打着“免费”提供服务的旗号,实则利用用户提供的个人信息从第三方那里赚得广告费[1]。很多网络服务提供者为了使用户获得更好的使用体验(改善产品服务、推荐用户感兴趣的信息或功能、优化对用户的广告推送),运用Cookies及同类技术对用户的个人信息进行分析,从而了解用户的偏好和个人习惯。在这种场景下,用户只需要同意网络服务提供者处理其个人信息,就可以获得更优质的网络服务。

我国有关同意处理个人信息作为提供网络服务的对价的讨论相对较少,现有研究主要致力于论证个人信息的私权属性以及建构以信息自决为核心的权利制度,在微观层面体现为知情同意制度的设置以及采取可撤回的同意之行权模式[2],在宏观层面涉及到个人信息商业化利用的前提和政府对此如何进行治理[3]。但个人信息具有私权属性并不等同于同意处理个人信息可以作为交易的对价,正如有学者指出,在用户无需支付价款获得网络服务的交易模式中,“用户在客观上未支付金钱对价,在主观上也不存在对价的认识”[4],并认为这样的网络服务合同是无偿合同。实际上,同意处理个人信息的对价属性是需要论证的。现有研究也未就个人信息对价化交易模式的建构所要解决的问题或发挥的功能进行阐释,这主要涉及到用户同意处理其个人信息作为对价是否是自愿作出的认定。此外,有的学者从反垄断法的角度讨论个人信息具有对价属性,在信息时代,无论用户自愿与否,用户的个人信息都在成为网络服务的对价,即使不构成对价的全部,也构成对价的核心部分,“零价服务”只是表象,企业获得的对价就是用户的个人信息[5]。这同样未从私法层面论证同意处理个人信息可以作为对价这一前提性命题,而只是在同意处理个人信息对价化的基础上论证企业间的个人信息保护合谋以及占支配地位企业的个人信息剥削应当被界定为新的垄断行为而受到反垄断法的规制。

针对当前就用户同意处理其个人信息作为对价的研究存在的不足,本文从现有的商业模式出发,围绕着《中华人民共和国民法典》(以下简称《民法典》)和《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)的相关规定,从解释论角度对同意处理个人信息的对价属性进行证成。在此基础上,进一步讨论将同意处理个人信息作为对价具有何种功能论层面的意义,重点参考了《欧盟一般数据保护条例》(GDPR)的相关规则以及域外学理。需要强调的是,本文所讨论的同意处理个人信息作为提供网络服务的对价限于用户无需支付价款而获得网络服务的情形。

二、 同意处理个人信息对价属性的解释论证成提供网络服务的对价

在网络服务以外个人信息作为对价的商业模式并不罕见。在2017年年初,位于伦敦的卡巴斯基实验室(Kaspersky Labs)开展了为期两天的“数据美元商店(The Data Dollar Store)”,该商店销售附有伦敦著名艺术家Ben Eine设计的独家T恤、马克杯和印刷品,但该商店不接受货币支付,买方只可以通过支付所谓的“数据美元(Data Dollar)”,即以买方的个人信息购买其中的商品(2)参见:Persönliche Daten als Zahlungsmittel, https:∥www.kaspersky.de/blog/data-dollar-store/14921/。在德国,投保人可以选择在保险合同中纳入远程监控费率(Telematiktarife)条款,根据该条款,用户驾驶车辆过程中的加速度、制动值等驾驶过程中产生的数据会以随机样本的形式被记录下来,用户同意保险公司远程对这些数据进行收集和处理,保险公司会对这些收集来的数据进行评级,评级结果会与投保人下一期的保费相挂钩,评级结果越高,表明投保人驾驶机动车越小心,投保人下一期需要缴纳的保费就越低[6]。投保人也可以选择不在保险合同中纳入远程监控费率条款。通过远程监控费率条款,投保人以同意保险公司收集并处理其个人信息间接地支付了本来应该用金钱支付的部分保费。类似地,网络服务合同中是否也能以个人信息或者同意处理个人信息作为网络服务的对价呢?

虽然就我国的实定法体系是否承认物权行为或处分行为尚存争议[7],但学理上负担行为与处分行为的区分为我们提供了一个非常好的分析框架,在此框架下可以清晰地理解当我们提及(同意处理)个人信息作为(提供)网络服务的对价时究竟是在什么层面讨论这一问题[8]186-187。在此框架下可以将用户以个人信息换取网络服务的场景进行类型化(3)参见:《欧盟关于提供数字内容和数字服务的合同的某些方面指令》(Directive (EU) 2019/770 )第3条第1项第2句。。第一大类型是消费者向商家承诺提供个人信息,第二大类型是消费者直接向商家提供个人信息。

网络服务提供者通常会与用户订立网络服务合同,网络服务提供者向用户发出缔结网络服务合同的要约,要约的内容为网络服务提供者负有向用户持续提供网络服务的义务,还可能同时包括用户负有向网络服务提供者作出处理其个人信息的同意义务。在这种情形,用户与网络服务提供者订立的网络服务合同是负担行为,其本身并不直接导致权利的变动、劳务的提供或者“得为地位”的发生,而只是在当事人之间产生了针对特定给付的请求权。属于处分行为的是后续用户作出的可随时撤回的处理其个人信息的单方同意,该可撤回的单方同意使得网络服务提供者处于一种“得为”处理用户个人信息的法律地位。为了保障用户对于同意的任意撤回权,有学者认为用户负有的这项义务只能被界定为自然之债中的债务、不真正义务或单纯的法律基础合意(eine blosse Rechtsgrundabrede)的内容[8]192,网络服务提供者要么没有对应的请求权,要么享有的请求权不具有执行力,用户不作出同意仅仅是自己承担相应的不利后果。有的学者则认为用户撤回同意后,网络服务提供者可以解除合同并向用户主张损害赔偿[2]。

如果网络服务提供者向用户发出的要约内容为网络服务提供者负有向用户持续提供网络服务的义务,而用户须同意网络服务提供者处理其个人信息,则该网络服务合同同时兼具负担行为与处分行为的属性。用户作出的承诺一旦生效,网络服务合同便成立生效,网络服务提供者负有向用户持续提供网络服务的义务,从这个角度看,网络服务合同具有负担行为的属性;而在网络服务合同成立生效的同时,网络服务提供者直接取得了“得为”处理用户个人信息的法律地位,在这个意义上,网络服务合同兼具处分行为的属性。这时的网络服务合同在性质上是一种实践合同(Realvertrag),用户同意网络服务提供者处理其个人信息的时候网络服务合同成立。此外,用户以承诺形式作出同意可能构成网络服务提供者提供网络服务的对价。该情形又可具体划分为两种子类型。一种子类型是用户作出允许网络服务提供者处理其个人信息的同意是合同的重要内容,这种情形比较少见,典型的是个人信息许可使用合同;另一种子类型是用户作出允许网络服务提供者处理其个人信息的同意并非合同的重要内容,这是现实中比较常见的情形,该同意性质上是可撤回的单方同意,是独立于网络服务合同的单方法律行为,即使用户撤回同意也无需承担违约损害赔偿责任。这一方面是因为用户的同意使得网络服务提供者获得了一个“得为”处理用户个人信息的法律地位或私法中的权力,非常类似于代理权授权行为仅仅使得代理人获得权力,该权力不以利益为依归,只是一种资格或地位,代理权的授予无法形成权利义务以及产生债法关系[9];另一方面则考虑到处理个人信息的同意在效力认定上优先适用《个人信息保护法》等特别法的规定,有其自成一格的教义学体系,与《民法典》总则编所规定的法律行为(合同)效力的认定有所区别,且如果将同意作为合同内容的组成部分,则将导致同意的效力依赖于合同其他部分的效力[10],故不宜将同意作为合同的实质组成部分[8]187。

通过对用户同意网络服务提供者处理其个人信息的场景进行类型化可知,当我们讨论个人信息作为对价时,准确来说所指的是用户作出允许网络服务提供者处理其个人信息的同意作为网络服务提供者提供网络服务的对价,个人信息本身并不能成为对价。一方面,单纯获得个人信息并不能给网络服务提供者直接带来任何经济利益,网络服务提供者必须在收集、存储个人信息的基础上进一步使用、加工、传输、提供或公开其收集而来的个人信息才能实现营利的目的,且收集和存储个人信息的行为本身也是个人信息处理行为。另一方面,单个且静态的个人信息价值稀薄,对网络服务提供者更有吸引力的是那些处于实时更新中的用户个人信息,只有获得用户的同意,网络服务提供者才能合法地持续收集、分析用户实时更新的个人信息,以同意处理个人信息换取网络服务并不是“一锤子买卖”。

2.同意的对价属性

用户同意网络服务提供者处理其个人信息能否作为网络服务提供者提供网络服务的对价,首先需要澄清对价在法学上的含义。被称为私法领域基本法的《民法典》并未出现“对价”[11-12]的表述(4)英美合同法上的“约因(consideration)”有其特殊含义,主要用来认定合同的拘束力,也有将其翻译为“对价”,本文所讨论的对价并非在于强调合同的拘束力。,但合同法学理上会对对价的含义进行界定。我国有学者将对价与合同的有偿性相等同,有偿合同是指当事人为取得利益而需支付对价的合同[13],双方当事人从合同缔结到债务履行的整个过程均相互作出具有对价性质的付出,无偿合同则是指“只有一方当事人作出给付,或虽为双方作出给付但双方的给付间不具有对价意义的合同”[14]79,赠与合同是最为典型的无偿合同[15](5)在康德的法权论中,无偿合同(pactum gratuitum)包括无偿的保管合同、无偿的借用合同以及赠与合同。。《民法典》第657条即将赠与合同界定为“赠与人将自己的财产无偿给予受赠人,受赠人表示接受赠与的合同”。实际上,合同有无对价与合同有偿无偿并非完全一致。例如,在传统民法上,居间合同(6)《民法典》合同编第二十六章称为“中介合同”。是典型的有偿合同[16],但是居间合同中居间人提供居间服务并非委托人支付报酬的对价,如果居间人(中介人)未能促成合同订立,则居间人虽然提供了居间服务,但不能请求委托人支付报酬(《民法典》第964条)。与有无对价关系更为密切的是单务合同和双务合同,且双务合同的对价性通常体现在合同双方的主给付义务之间[14]386-387。

具有对价性的合同具有两大特征。第一大特征是存在给付交换,即合同双方互负给付义务,无偿合同就不存在给付交换。第二大特征是双方给付之间具有法律上的联系,具体要求双方给付之间要么具有牵连性(synallagmatische Verknüpfung),要么具有原因上的联系(kausale Verknüpfung),要么具有条件上的联系(konditionale Verknüpfung)。牵连性体现在产生、存续和消灭上,符合“你给我也给”(do ut des)的契约伦理观。同时履行抗辩权就是基于履行上的牵连性而产生的,给付与对待给付之间具有牵连性的合同是双务合同[14]385-386。原因上的联系体现为一方的给付是另一方提出给付的原因,且双方对于各自的给付的提出并不负有法律上的义务,与此相关的制度是目的不达的给付型不当得利。条件上的联系则体现为如果合同一方当事人提出了给付,则另一方当事人的给付义务就会产生[17]88-89。

合同对价所指向的含义是存在给付与对待给付,而并非指向合同的有偿性,且给付与对待给付之间只要符合牵连性、原因上的联系或者条件上的联系三者之一即可,并不局限于具有牵连性。采取这样既不过于狭窄也不过于宽泛的“对价(给付与对待给付)”的概念,使得更多虽然不具有牵连性这样如此紧密的联系,但是具有比较紧密联系的双方给付也被评价为构成对价,在法律效果层面可以更好地将双方的给付纳入评价范围,这样的法律概念能够更为精准且具有包容性地应对复杂的社会生活。而有偿与无偿合同则是一组更为宽泛的概念,无偿合同一定不存在对价,而有偿合同则可能存在对价,也可能不存在对价(例如居间合同/中介合同)。本文即在这样的意义上使用“对价(给付与对待给付)”的概念。

由于用户能够任意撤回处理其个人信息的同意,网络服务提供者提供网络服务与用户同意处理其个人信息两项给付之间并不具有牵连性。如果用户没有按照网络服务合同的约定作出处理其个人信息的同意,网络服务提供者既不能请求用户继续履行,也不能请求用户承担损害赔偿责任,否则无异于变相剥夺了用户的任意撤回权,导致用户出于对损害赔偿的顾虑或恐惧而无法自愿作出同意的表示。由于两项给付之间欠缺牵连性,如果用户没有作出同意或者撤回了同意,网络服务提供者也不能行使《民法典》第525条规定的同时履行抗辩权,其必须向用户继续提供基础的网络服务,除非处理用户个人信息属于提供网络服务所必需(《个人信息保护法》第16条)。

网络服务提供者提供网络服务与用户同意处理其个人信息虽然不具有牵连性,但二者具有条件上的联系,符合对价关系。即使网络服务合同中约定用户负有义务作出同意,此种义务也只是一项不真正义务(Obliegenheit)[18],网络服务提供者并不享有相应的请求权,用户不作出同意仅仅是自己承担相应的不利后果,即无法获得基础网络服务以外的网络服务。但是一旦用户作出同意,则网络服务提供者就负有义务向用户提供基础服务以外的附加服务,如果网络服务提供者拒绝提供,用户可以请求继续履行或损害赔偿。也就是说,用户作出处理其个人信息的同意是网络服务提供者提供附加网络服务的前提条件。用户同意处理其个人信息与网络服务提供者提供网络服务符合条件关系,二者构成给付与对待给付,具有对价性。网络服务合同是用户保有网络服务给付的法律上的原因,即使用户撤回同意,仍然可以保有撤回同意前所获得的网络服务,而不构成给付型不当得利。

如果网络服务合同因为存在效力瑕疵而最终归于无效,则用户在其撤回同意前所获得的网络服务以及网络服务提供者在此期间得以处理用户个人信息的法律地位上的利益便失去了保留原因。在网络服务合同可撤销的情形,享有撤销权的一方撤销合同后双方保留给付的法律上原因溯及自始不存在,构成原因嗣后消失的给付型不当得利[19]。在网络服务合同无效或效力待定而未被追认的情形,用户作出同意与网络服务提供者提供网络服务具有原因上的联系,合同双方自始均不负有提出给付的义务,一方提出给付的目的在于获得对方的给付,两项给付具有原因上的联系,符合对价关系。如果先给付方未获得对待给付,则构成目的不达[8]201的给付型不当得利(7)该学者认为要构成目的不达的给付型不当得利,至少要求用户同意处理其个人信息是网络服务提供者提供网络服务的“准牵连对待给付(quasi-synallagmatische Gegenleistung)”。这种“准牵连对待给付”属于本文所界定的“对价(给付与对待给付)”。。先给付一方可以基于《民法典》第985条结合第121条请求对方返还不当得利,具体返还范围适用《民法典》第986条至第988条加以确定。

三、 同意处理个人信息作为对价的功能论展开

从解释论角度证成同意处理个人信息的对价属性后,从功能论的角度需要思考判断同意处理个人信息是否构成对价是为了解决什么问题。实际上,即使不将同意处理个人信息作为提供网络服务的对价,对于前述一系列债法上法律效果的得出也并不会产生太大影响。只有澄清了这一问题,才能进一步回答应当采取什么样的标准判断在具体情形同意处理个人信息是否构成对价。

1.“捆绑授权”情形下瑕疵同意的效力

《个人信息保护法》第13条对于处理个人信息的合法性根据作出了规定,该条第1款第1项规定了“取得个人的同意”这一原则性的处理个人信息的合法性根据。《个人信息保护法》第14条第1款第1句规定“基于个人同意处理个人信息的,该同意应当由个人在充分知情的前提下自愿、明确作出”,明确了第13条所规定的“取得个人的同意”的完整含义是在充分知情的前提下由个人作出的同意。《个人信息保护法》第16条第1分句规定“个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由,拒绝提供产品或者服务”,第2分句的但书规定了例外,即“处理个人信息属于提供产品或者服务所必需的除外”。结合前述第13条和第14条的规定,第16条第1分句所调整的情形以个人充分知情为前提,要么个人不同意个人信息处理者处理其个人信息,要么曾经同意过,但已经撤回同意。在“捆绑授权”(8)参见:《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》第4条第2项。的情形,个人信息处理者违反了《个人信息保护法》第16条的规定,因为在此情形下,如果用户不同意个人信息处理者在提供产品所必需的范围内处理其个人信息,则用户将无法使用产品或者服务,这在互联网应用程序(APP)中非常常见[20]。“捆绑授权”的认定需要综合考虑网络服务提供者所提供的服务对于用户而言具有多大程度的不可替代性,以及用户对于该网络服务需求的迫切性。网络服务提供者所提供的网络服务在相关市场上的不可替代性越强,用户对于该网络服务的需求越迫切,用户作出的处理其个人信息的同意越可能是非自愿的。

在用户使用网络服务提供者所提供的网络服务而不必支付价款的情形,网络服务提供者与用户之间的合同是有偿合同,且用户同意网络服务提供者处理其个人信息构成网络服务提供者所提供的网络服务的对价。在“捆绑授权”的情形则会引发一个问题,如果网络服务提供者超越作为处理个人信息同意的对价的网络服务范围要求用户作出处理其个人信息的同意,且用户基于各种原因不得不使用该网络服务提供者所提供的服务时,用户作出同意的意思表示的效力如何?如果认为在此情形网络服务提供者所提出“捆绑授权”的要求构成民法上的胁迫行为(《民法典》第150条)[21]抑或乘人之危导致显失公平的行为(《民法典》第151条),那么用户作出的同意之意思表示的效力为何?是可撤销还是无效?同意的效力与合同的对价性在功能论层面有着怎样的关联?

如果网络服务提供者超越作为对价的网络服务的范围要求用户作出额外的处理其个人信息的同意构成“捆绑授权”,即网络服务提供者在要求用户同意对其个人信息进行处理以提供网络服务的同时,附带着要求用户额外同意在其他场景对其个人信息加以处理,或者要求用户同意收集对于提供商品或服务非必要的个人信息[22],这时候网络服务提供者向用户展示了如果用户不作出“捆绑授权”的同意,则网络服务提供者就不向其提供任何网络服务的不利后果,用户基于对该不利后果的恐惧而进行“捆绑授权”,那么网络服务提供者要求用户“捆绑授权”的行为完全符合了《民法典》第150条所规定的胁迫行为。根据《民法典》的规定,用户在此情形下作出的意思表示的效力是可撤销。如果网络服务提供者知道用户处于危困状态或者缺乏判断力并对之加以利用,从而使得用户作出“捆绑授权”的意思表示,且该意思表示的作出显失公平,则根据《民法典》第151条的规定,用户作出的意思表示的效力也是可撤销。

然而,《民法典》所调整的是平等主体间的人身关系和财产关系,而在自然人因个人或者家庭事务处理个人信息以外的处理自然人个人信息的情形,个人信息处理者处于持续性的信息强势一方,此时如果不对《民法典》的相关规定加以修正而直接适用,则可能导致以形式上的平等掩盖实质上的不平等[23],侵害信息主体的意思自治并导致市场失灵。《民法典》第150条与第151条所规定的可撤销的意思表示,享有撤销权的一方当事人只能通过诉讼或者仲裁的方式行使撤销权,撤销权的行使成本过于高昂,而用户行使撤销权所获得的收益仅仅是消极地阻止网络服务提供者在提供基础服务以外处理其个人信息,只要网络服务提供者超出必要范围处理用户个人信息的行为没有给用户的生活带来明显的不便且未给用户造成损害,那么用户通常没有强烈的意愿行使撤销权,而会选择忍受网络服务提供者的处理行为,市场失灵由此出现,用户的意思自治在实质上被剥夺。《个人信息保护法》作为对信息主体进行倾斜保护的立法,介于公法与私法之间的第三法域,应当对严格遵守以人格形式平等为基础的《民法典》的规定所可能造成的不合理结果进行矫正。《个人信息保护法》第14条对知情同意作出了明确规定,强调同意须在知情的前提下自愿、明确作出,其虽然没有规定非自愿作出的同意的效力,但从目的解释以及功能性角度进行考量,为了避免市场失灵的出现以及保护信息主体的意思自治,应当认为非自愿作出的同意是无效的,而不是可撤销。该无效的效力具有溯及力,这与《个人信息保护法》第15条第1款规定的任意撤回权的行使不具有溯及力有所区别。同意溯及自始无效意味着网络服务提供者自始就丧失了处理用户个人信息的正当性依据,且网络服务提供者主观存在过错,如果给用户造成损害,则须根据《个人信息保护法》第69条承担侵权损害赔偿责任。

通过对“捆绑授权”情形下同意效力的分析可以发现,从功能论角度来看,判断同意处理个人信息是否构成提供网络服务的对价所要解决的问题是判断用户对于处理其个人信息的同意是否是自愿作出的,进而影响到同意效力的判断。不具有对价性的合同的订立过程中很少出现给付方胁迫以及乘人之危导致显失公平的情形,具有对价性的合同的订立过程中则不仅可能出现胁迫、乘人之危导致显失公平的情形,还时常出现误导或欺诈的情形,是否存在误导或欺诈需要结合具体场景考察对价是否主观平衡加以认定,这些合同订立过程中的违法行为均会影响用户作出的处理其个人信息的同意的效力。这正是合同的有偿性与同意的效力在功能论层面的联系。

2.同意效力的场景化判断——跷跷板理论

判断用户同意处理其个人信息是否构成网络服务提供者提供网络服务的对价(对待给付)主要是为了判断同意是否是自愿作出。进一步需要讨论的问题是应当采取什么样的标准判断在具体情形同意处理个人信息是否构成对价。具体来说,如果不存在“捆绑授权”的情形,用户对于网络服务提供者超出提供基础服务以外处理其个人信息的同意是否在一切情形下均是无效的,还是说存在一些例外?抑或很难讲无效是原则,而需要结合具体场景作个别判断?

从《个人信息保护法》的文本出发,教义学难以给出令人信服的答案。比较法由此亮相,《个人信息保护法》主要借鉴自《欧盟一般数据保护条例》(GDPR),故作为法律继受之母法的GDPR自然成为首选的被比较之对象。

借助于功能比较的方法[24],GDPR解决网络服务提供者超出提供基础服务以外处理其个人信息的同意的效力问题的条文主要是第7条(同意的条件)第4款,其规定“在评估同意是否是自愿作出时,应特别考虑到合同的履行,包括服务的提供,是否以同意处理对履行该合同没有必要的个人信息为条件”。该条被称为“不当联结禁止”或“搭附禁止”(Koppelungsverbot)条款[8]175,[17]157-159。针对该规定有两种解释的路径,一种路径是将该规定界定为严格的效力性强制规范,超出履行合同必要限度的同意均不是自愿作出的同意,该同意无论是以单方的意思表示作出,抑或作为构成合同的一方的意思表示,均因违反GDPR第7条第4款这样的效力性强制规定而无效,认定同意无效的依据为国内民法典中关于意思表示或合同效力的规定,在此情形下,自然人可以直接要求处理者删除其存储的该自然人的个人信息,而不用撤回其同意[25]165-166。另一种解释路径则认为该规定仅仅是一种解释性规范,其只是为法官判断自然人的同意是否自愿指出了一个参考的因素或指引了一个大致的判断方向,也就是说,法官判断信息主体超出履行合同必要限度的同意是否是自愿作出时须非常谨慎,在此情形下信息主体作出的同意很可能是非自愿的,但并不一定是非自愿的,还需要考虑其他因素。

仅从GDPR第7条第4款的文义出发难以给出一个肯定回答,但结合其序言(权衡理由)第43条第1句,当处理者与信息主体之间处于一个明显不平衡的地位(a clear imbalance),尤其当处理者是一个公权力机构时,同意不能成为处理个人信息的有效法律依据,因为这种情形下同意是非自愿作出的。其第2句规定了两种情形下同意被推定为是非自愿作出的。第一种情形是不允许信息主体对不同的个人信息处理业务单独作出同意,尽管这在个别情形下是恰当的;第二种情形是合同的履行(包括服务的提供)依赖于信息主体的同意,尽管该同意对于合同的履行是非必要的。涉及到本文研究对象的是第二种情形。需要注意的是,对于这两种情形序言本身的表述是“推定(presume)同意是非自愿作出的”(9)其德文官方译文将“is presumed not to be freely given(推定为非自愿作出)”译为“gilt nicht als freiwillig erteilt(认定为非自愿作出)”,已经背离了英文原文的含义。该条权衡理由的德文文本参见:https:∥dsgvo-gesetz.de/erwaegungsgruende/nr-43/,最后访问时间:2022年5月24日。,而不是“认定同意是非自愿作出的”,推定意味着结论可通过举证证明被推翻。

从功能角度进行剖析,GDPR第7条第4款是为了解决信息主体对于信息处理者超出提供基础服务以外处理其个人信息的同意的效力问题。为了最大限度地实现这样的功能,达到社会福利的最大化(帕累托最优),究竟有没有必要将GDPR第7条第4款解释为严格的禁止超出履行合同必要限度处理个人信息的规定,认为自然人超过履行合同必要限度以外的同意均是无效的同意?实际上,如果超出必要限度以外的同意也是信息主体自愿作出的,且有可靠的教义学理论能够准确且便捷地认定超出必要限度的同意是信息主体自愿作出的同意,那么就没有必要将GDPR第7条第4款解释为严格的禁止超出履行合同必要限度处理个人信息的规定,而应当认为其只是一个解释性规范。这样的教义学理论是存在的,笔者称之为“跷跷板理论”。

所谓跷跷板理论,是指将个人信息处理者与信息主体的地位或利益状况比作跷跷板的两端。需要注意跷跷板在四个时点的状态,即自然状态、初始状态、中间状态和最终状态。自然状态是在个人信息保护法、消费者权益保护法等第三法域的法律规范没有介入时的状态,这一状态即前面提到的形式平等而实质不平等的状态,跷跷板只会反映个人信息处理者与信息主体的实质地位或利益状况,由于个人信息处理者属于持续性的信息强势一方,故自然状态下跷跷板是向个人信息处理者一方倾斜的。为了对不平衡的自然状态进行矫正,国家作为有形的手介入进来,在一个法治国家,其通过保护性法律对自然状态进行调整,使得跷跷板恢复平衡,此时的利益平衡状态为初始状态。个人信息保护法就属于这样的保护性法律,GDPR第7条第4款结合其序言第43条就集中体现了对信息主体的倾斜保护。此外,这些规范对于处理个人信息的同意是否是自愿作出的证明责任在当事人之间进行了合理配置,只要信息主体能够举证证明个人信息处理者超出履行合同的必要限度要求信息主体作出处理其个人信息的同意,那么法律就直接推定信息主体作出的同意是非自愿的。这时双方当事人所处的状态就是中间状态,跷跷板向个人信息处理者一方倾斜,法律通过证明责任的分配来扭转这一不平衡状态,转而由个人信息处理者负担证明信息主体作出的同意是自愿作出的责任。最终状态就是法院所认定的个人信息处理者与信息主体的地位或利益状况在信息主体作出同意时所处的状态,如果个人信息处理者能够成功举证证明信息主体的同意是自愿作出的,那么跷跷板最终与初始状态一样处于一个对价平衡状态,同意有效;反之,则跷跷板处于向个人信息处理者一方倾斜的不平衡状态,同意无效。

不难发现,这样的教义学架构中最需要讨论的是从中间状态过渡到最终状态这一环节,在这个环节中,个人信息处理者该如何举证证明信息主体作出的同意是自愿的,进而推翻个人信息保护法有关非自愿同意的推定?从教义学的角度给出一个相对明确的标准并不困难,只要个人信息处理者能够举证证明其使得信息主体获得了额外的利益,而这样的额外利益的经济价值须不低于信息主体授予超出履行合同必要限度处理其个人信息的同意的经济价值,如果个人信息处理者举证成功,那么其与信息主体之间仍旧处于对价平衡的状态。

需要注意的是,这样的对价平衡采取的是合同法的主观对价平衡标准[26](10)参见:北京互联网法院(2019)京0491民初字第16142号民事判决书。,而非保险法中的客观对价平衡标准[27],应当以当事人尤其是信息主体的主观状况为判断基准,判断的时点是合同订立的时点,而非纠纷发生的时点。法官在判断对价是否平衡时应当在关注案件所有情况的基础上考量合同订立时双方当事人是否就各自的给付义务达成互换的合意,尤其考虑在合同订立的时点信息主体是否认为个人信息处理者超出履行合同必要限度处理其个人信息是公平的。举例来说,如果网络服务提供者就超出履行合同必要限度处理用户个人信息取得了用户的同意,网络服务提供者举证证明其向用户提供了基础服务之外的附加网络服务,且未就该附加网络服务向用户收取任何费用,在合同订立的时点从客观化的用户视角来看网络服务提供者这样的加利行为值得用户授予超出履行合同必要限度处理其个人信息的同意,那么网络服务提供者就成功推翻了个人信息保护法有关非自愿同意的推定,用户作出的包括捆绑授权内容的处理其个人信息的同意是有效的。

GDPR对于个人信息处理者处理个人信息的正当性依据作了非常广泛的规定[28],其序言第47条规定信息处理者或第三人的合法利益(legitimate interests)也可以作为处理个人信息的正当性依据,并指出“为了直接的市场目的而处理个人信息也可以被认为是为了处理者的合法利益而处理个人信息”,但这一结论并非绝对,需要考察在个案中“个人信息处理者与信息主体之间是否存在适当的关系,例如信息主体是信息处理者的客户或者正在接受信息处理者所提供的服务”。在这种情形下,网络服务提供者和用户的利益之间并非此消彼长的关系,严格适用跷跷板理论会阻碍网络服务质量的提升,影响数字经济的健康发展。然而我国《个人信息保护法》第13条则没有规定如此宽泛的处理个人信息的正当性依据,国外学者所赞成的直接推送商业广告属于为了信息处理者的利益处理个人信息从而无需取得信息主体同意的观点[25]159在我国的法律体系下是否成立值得研究。即使将网络服务提供者处理用户个人信息从而描绘用户画像,以便更精准地提供各种网络服务归入合理使用的范畴而不受跷跷板理论或处理个人信息最小必要原则(11)跷跷板理论实际上为处理个人信息最小必要原则的具体化。的审查[29],也应当严格限缩豁免范围,GDPR提出的前述豁免标准值得借鉴。

由此观之,跷跷板理论背后的原理为合同主观对价平衡,跷跷板理论主要是用来识别网络服务提供者通过误导或欺诈的方式使得用户作出处理其个人信息的同意,对于网络服务提供者通过胁迫或乘人之危导致显失公平的方式使得用户作出同意的情形则适用前述“捆绑授权”情形下同意效力的认定规则。

当然,如果同意处理个人信息的条款构成消费者无需付款的网络服务合同的的重要内容,或者同意处理个人信息是订立或履行该网络服务合同所必需,且合同本身是以格式条款的方式订立的,那么对于该同意的效力认定适用《民法典》第497条,《消费者权益保护法》第26条以及《电子商务法》第32～36条、第49条第2款等有关格式条款效力控制的规定。同意条款构成合同的重要内容的情形是比较少见的,典型的例子为当事人之间签订个人信息许可使用合同。用户超出获得网络服务必要限度作出处理其个人信息的同意既非订立或履行合同所必需,也不构成合同的重要内容,“同意条款并不因其被写在合同中而成为债权性许可,其本质仍是可撤回的单方同意”[30],即使合同是以格式条款的方式订立的,同意条款并不受格式条款效力控制规范的约束,而是应当根据跷跷板理论进行认定。

四、 结 语

随着数字经济的蓬勃发展,互联网实践所产生的诸多问题给传统民法理论带来了巨大挑战。传统民法理论中合同的对价要么是给付金钱,要么是移转其他财产权或允许对财产的用益,同意处理个人信息能否作为合同的对价就是数字经济向传统民法理论提出的一个疑难问题。就该问题的解决,一方面需要检视传统民法教义学的解释张力,另一方面需要从功能论角度认识该问题的实质意涵,在此基础上方可对相关法律行为或违法行为的私法效果进行符合现有法秩序的全面、融贯的诠释。

用户同意处理其个人信息与网络服务提供者提供网络服务这两项给付虽然不具有牵连性,但符合条件上的联系或原因上的联系,在此意义上两项给付构成对价(给付与对待给付)。通过对捆绑授权情形下同意效力的分析可以发现,判断同意处理个人信息是否构成提供网络服务的对价所要解决的问题是判断用户对于处理其个人信息的同意是否是自愿作出的,进而影响到同意效力的认定。既然同意处理个人信息与提供网络服务构成对价,则其必然遵循合同法上的主观对价平衡原理,基于此构建的“跷跷板理论”为误导、欺诈情形下用户作出处理其个人信息的同意是否自愿提供了明确的教义学标准。只要用户举证证明网络服务提供者超越履行合同必要限度处理了用户的个人信息,则推定用户同意处理其个人信息是非自愿的,除非网络服务提供者可以举证证明其向用户提供了基础服务之外的附加网络服务,且未就该附加网络服务向用户收取任何费用,在合同订立的时点从客观化的用户视角来看网络服务提供者这样的加利行为值得用户作出超出履行合同必要限度处理其个人信息的同意,那么网络服务提供者就成功推翻了上述推定,用户同意处理其个人信息是自愿的,同意有效。如果网络服务提供者未能举证推翻上述推定,则用户同意处理其个人信息是非自愿的,同意无效。

在网络服务合同关系中,将用户同意处理其个人信息界定为网络服务提供者提供网络服务的对价是为了更好地平衡个人信息商业化利用过程中网络服务提供者与用户的利益。在现有的以《民法典》解释论为中心的教义学资源的支持下,围绕着同意处理个人信息作为对价所建构的一系列私法制度与《个人信息保护法》相得益彰,弥补了《个人信息保护法》侧重于保护个人信息所蕴含的人格利益而对个人信息商业化利用关注不足的瑕疵,很好地诠释了“个人信息是互联网空间的石油以及数字世界的货币”[31]。