数字时代个人信息保护与利用的现实困境与破解路径——基于“告知-同意”机制的反思

舒顺芳

（安徽大学 安徽合肥 230000）

引言

当前，人类正处在一个人人有终端、物物可互联、处处可上网、时时在链接的数字时代（Web3.0 时代）。人们每天在社交媒体(微博、微信等)上分享与自己相关的海量信息，表达自己个性化需求的同时，也有大量的信息（如网站浏览历史、行程轨迹位置，网购物品记录等）在信息主体没有参与甚至不知情的情况下，被互联网公司利用大数据以前所未有的方式储存、分析并生成着[1]。在这个互联网与大数据深度融合的时代，人们沉浸其中“乐此不疲”，同时又在为保护个人隐私而惶恐不安。大数据作为一种技术革命，给人们生活带来了诸多便利，如在向互联网企业提供个人信息的同时就能够以一种更加快捷的方式获得商品与服务，可以以一种得前未有的方式获得新知，交流与分享观点。但与此同时，大数据公司也以一种前所未有的方式进行数据匹配、反匿名化操作和数据挖掘，使每个人都沦为了“透明人”。因此，如何在保护和利用个人信息的“两难困境”中寻求出一条合理的破解平衡之道，成为当前亟需解决的问题。

一、个人信息保护与利用的法律现状

随着《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）作为个人信息保护专项立法的出台，可以说自此我国当前完成了对个人信息从一般保护（《中华人民共和国民法典》对个人信息的保护）到特殊保护（《个人信息保护法》专项保护），对侵犯个人信息的行为从民事制裁（包括但不限于赔礼道歉，赔偿损失等民事责任）到刑事处罚（如《中华人民共和国刑法》第二百五十三条之一规定）的全方位、立体性的保护体系建设。但即便是在形式上看似完美的制度，也存在着制度无法落地操作的现实忧虑。如在《个人信息保护法》出台之前，《中华人民共和国刑法》（以下简称《刑法》）第二百五十三条之一率先将“出售、提供、窃取等”个人信息的行为作为刑法的打击对象，但如何定义此处“个人信息”，即如何理解本罪中的“违法国家有关规定”，似乎成为司法实务中的一大难题。在《个人信息保护法》出台后，看似为上述问题的合理解决指明了方向，但随之而来的又引发了应当如何理解《民法典》中的个人信息的“隐私性”与《个人信息保护法》中个人信息的“敏感性”[2]二者之间的关系，即对于上述二者来说，何者才是成为刑法规制和打击的对象，亦或是以上都是“国家有关规定”的个人信息继而都可以成为刑法规制的范畴。虽然将对侵犯具有“隐私性”的个人信息的行为与侵犯具有“敏感性”个人信息的行为，都纳入法律（特别是《民法》《行政法》）规制的框架上来，对于个人信息的保护可以说是百利而无一弊的。但如将二者完全等量齐观，都纳入“出售、提供、盗窃”等刑法的规制轨道上来，想必也难以符合作为“保障法”“补充法”的刑法特质，有违刑法的谦抑性。因此，有必要合理认定公民的个人信息的边界范围。

同时，在《民法典》《个人信息保护法》分别对个人信息的概念界定有明确的规定这一背景之下，主张在立法上废除或修改已然明确的规则并不可取，此时解决问题的方案应当是通过在司法上改进法律规则的具体执行方式，从而提高各自立法价值。上述问题产生的实质原因在于各部门法与生俱来的各自相对独立的价值取向，基于这种底层逻辑的不同，进而产生了各自对个人信息有关的内涵和外延形式规定的不同。然而，在这种底层逻辑中，始终绕不过去的一个核心问题在于：“经信息主体同意”的他人实施侵犯（如进行采集、传播）的个人信息，还能否认定为个人信息，即此时是否还有保护的必要性。在刑事法律中，可以基于“被害人同意”的法理，阻却行为人此时行为的实质违法性，不作为犯罪的处理；在民事法律关系中，同样也可以基于“私权自治原则”，否定侵权行为的存在。无论是“被害人同意”还是“私权自治原则”，其都为了维护个人（信息主体）的人格自由、人格尊严，保留信息主体在个人信息领域的自治空间而作为实质根据。信息主体有权衡披露个人信息与否而产生的利弊，并决定是否同意他人收集、处理、利用其个人信息。在该理论机制下，只要采集主体能取得信息主体对其采集、利用数据的同意，就能将此时该行为人的信息处理行为合法化。也就是说，此种规则要求信息控制者和信息处理者在收集、处理信息主体数据前需事先告知用户，并得到用户的同意（下文称为“告知-同意”机制）。对于同意的表现形式，民法实体法将其分为明示的同意和默示的同意，刑事实体法同样也将“被害人同意”分为现实的承诺（同意）和推定的承诺。事实上，此制度设计的目的便是希望实现信息主体对个人信息的实质支配，强调信息主体权益自治。因此，对于部分信息主体愿意用个人信息的公开作为交换产品、服务便利价值对价时，此种“告知一同意”机制的灵活性便能避免法律过于武断地强行为个人信息的保护设置一个整齐划一的标准，避免过度监管所引发僵硬、刻板的印象。上述的解释不仅符合刑事实体法以保护公民个人行动自由作为其目的实现的终极追求，也符合民法典将有关个人信息保护规则划定在人格权编中的应有之意。但是，随着大数据时代带来的信息过载及其产生规模效应，信息主体基于“知情”继而“同意”所产生的所高昂的成本和眼前效益的基本考量，上述“告知一同意”机制能否发挥出其原始优势，还有待进行进一步有效性检示。

二、“告知-同意”规则实施的现实困境

在“告知-同意”机制之下，同意理应为信息主体在知悉具体内容后所表达出的同意，法律通过规定信息收集方在采取信息前的履行告知义务，从而使得这一形式上的要件较为容易达成。实践中，信息采集方会通过发布“用户协议隐私政策”的方式履行告知义务，提供另一方点击“同意”的机会。可是，一方的已告知并不足以充分说明另一方已知情、已同意，即便此时用户按下信息采集方设置的“同意”按钮，如下所述也并非完全建立在信息主体充分知情之上。

（一）信息收集告知文件过于冗长、晦涩

当互联网用户在下载应用、使用手机或建立网络服务账户时，在相应的界面上都会有“用户协议隐私政策提示”用户在继续使用相关服务之前，此时必须作出同意的意思表示。在这种情况下，理想的情况是：使用者仔细阅读隐私政策提示文件，准确理解其法律含义，在用户协议规定的权利义务不对等时，与提供服务的网络服务商进行磋商，综合考量后再选择是否点击“同意并继续”的按钮。但现实生活中消费者用户通常并不会认真地阅读有关网站的隐私提示条款，但平台所提供的用户使用协议和平台隐私政策往往是信息主体了解知悉平台是如何收集，使用，储存和共享分享他们的个人信息情况的唯一途径，用户使用协议和隐私政策作为该行业自律“告知一同意”架构的根基，这个架构的价值和合理性也同样建立在使用者阅读了解隐私权政策和用户使用协议的基础之上。然而，这些用户使用协议和隐私保护政策对平台使用者而言，往往冗长、晦涩，往往使得网站的隐私保护政策声明并不能达到用户的预期，流于形式。因为，对于信息采集公司来说，其履行信息采集事前告知义务只是为了趋避法律风险，并非是为了方便信息主体知悉了解相关政策而编写和提供的。企业在追求利润的驱动力下，常常采用信息混杂、冗长的文字来掩盖信息，使得个体难以察觉。进一步而言，即便平台用户阅读相关的用户使用协议和隐私保护政策，用户也难以在获得有效信息的基础上作出同意的授权。因为若对“隐私政策”仔细阅读便会发现，其条文充斥着各种“法言法语”，具有较强的专业性，对于普通用户而言，他们无法准确地理解那些冗长的、充斥着“法言法语”的告知文件具体内容所要表达的含义。

（二）信息过载的规模效应成本高昂

“告知一同意”机制的现实实际操作效果并不尽如人意。国外研究显示，如果一个人想要阅读所有的信息采取公司的个人隐私保护政策，那么他每年需要花费244个小时。即使只是粗略地看一遍，一年也大约需要154个小时。这意味着在当今时代里，每个人每天都要腾出40 分钟来阅读和理解各种网站，手机应用程序等提供隐私保护服务协议内容。以上的时间还只是粗略的阅读时间，如要做到对隐私收集政策做到准确的把握理解，这种“知情”的代价要大得多[3]。鉴于考虑到一天内用户可能访问数以百计的网站，而此时认真阅读了解完所有的用户协议和平台隐私保护政策将会非常耗时且代价高昂，实际上，使用者也不可能对所使用的平台的用户协议和隐私保护政策逐一审查。还应该注意的是，在平台网站的隐私保护协定中经常会有这样的条款，亦即，网站有权在任何时候更改有关其个人隐私保护条款。如此，便会给平台使用用户带来巨大的时间成本和金钱压力。网站隐私权政策的弹性易变显示出其对隐私权的承诺的脆弱。即便使用者很小心地遵守了隐私权条款，他也会发现一旦单方面修改了政策和条款，以前的承诺今天就会失效。

原本“告知一同意”机制设计的目的是希望用户能对自己的信息做出有意义的、明智的决策，实现对是否披露个人信息所产生的控制权，而现实情况却是，人们常常对这些平台信息收集政策知之甚少，也不知道在将个人信息向平台进行公布会导致什么后果，使得这一制度目的实现大打折扣，甚至有的信息平台将该规则成功异化为规避风险的“避风港”。因此，对于上述困境的解决应当寻求更为有力的破解之道。

三、“告知-同意”规则的理论纷争

（一）“可识别性”理论之纠偏

当前，有学者指出我国个人信息的保护立法有着浓厚的公法性质的色彩，与和作为明显私法属性的隐私权格格不入，自然也不能适用基于“公民自决权”衍生的“告知-同意”处理机制[4]。也有学者支持，对于公民个人信息的保护，仍应当以“告知-同意”规则作为个人信息保护的“大厦之基”[5]。本文认为，产生上述理论纷争的问题在于，如何理解个人信息的性质定位以及个人信息和隐私之间的关系如何厘清。

在我国传统理论上，个人信息的界定主要有两种学说类型：(1)关联说。此种定义方式将与个人相关联的所有信息均认定为个人信息。(2)隐私说。此说认为只有与个人隐私相关联的信息才构成个人信息。本文认为，基于目前当前侵犯个人信息案件多发，平台“二选一”式服务给公民个人信息的保护带来了严重的障碍，且随着大数据技术加速的变革致使每个人变成了“透明人”，毫无“隐私”可言的时代背景下，应当采取关联说，扩宽个人信息的宏观保护边界，规范信息市场主体信息采集披露行为。

但此后有人基于关联说的认定范围失之过宽，继而主张“识别说”，即只有能够通过直接或间接识别出主体身份的信息才能构成个人信息，提倡“可识别性”理论主要目的之缘起在于对处理不具有可识别性、具备“匿名性”的个人信息的行为合法化。但在本文看来，从形式上来说，将可识别性作为个人信息的核心特征，仍不能解决前述“告而不知”的情形的处理困境。其次，将个人信息的核心辨别要素赋能于“可识别性”的判定上，以该观点作为出发点，那么在现实生活中不具有可识别性的有关信息主体个人的信息，则不属于法律的规制范围，无需信息主体的同意，信息收集商可以随意采集和处理。但此种观点，并不符合当前数字化的时代发展趋势，因为信息本身是否具有可识别性，在随着技术的更新迭代，这种能够完全匿名化的处理已经不复存在。大数据本身的特性就在于能够通过原本残缺的、不具有识别性的单个信息碎片之间的互相关联与重组，分析生成个人的原始画像。20 多年前，研究者们就意识到匿名技术在理论上的局限，并抛弃了其强有力的“匿名假设”。当前在大数据时代，人们对“去匿名化算法”[6]也进行了大量的研究，经验研究显示，从匿名信息资料中找出一个人并不难。即便是匿名处理，数据中残留的一些零碎的信息，通过与外界的辅助信息结合，继而通过大数据算法也能成功实现对身份的解锁。因此，当前通过对数据匿名化处理在理论上存在着被过度夸大的嫌疑，这颗“可识别性”理论幻想的种子无法在大数据时代下有效保护个人信息的实践土地中生根发芽。

（二）“个人自决权”理论再提倡

随着全球各国信息化步伐的加快，个人信息被越来越广泛地收集、处理与利用，确保在此过程中自然人的合法权益不受侵害，成为立法者关注的首要问题，在此视角下，一种新的权利应运而生。因此，本文对个人信息权定义为自然人对其个人信息所享有的权利，而信息权可以涵盖财产性信息权和人格性信息权，而信息财产之上的权利为财产权，而个人信息之上的权利为人格权。严格意义上说来，信息财产权并不作为个人信息的一种典型分类，其只不过是依附人格信息权之上的部分具有财产属性的人格信息权，本质的目的也是为了实现信息主体依法对其个人信息所享有的控制和支配并排除他人侵害的权利。无论是财产性信息权还是人格性信息权，其底层逻辑都是“个人自决权”的演化，在此前提下，对是否存在侵犯个人信息的侵权行为，继而是否涉嫌构成侵犯公民个人信息罪，问题分析的重点不在于对象的特定性，即无需区分此处的信息是属于隐私信息亦或是识别性信息亦或敏感型信息。此时应当着重分析行为人所实施的采集信息的行为类型是否存在信息主体的同意，如若存在同意，此时的行为便是正当的，无需再讨论侵犯客体的关涉范围；如若此时不存在同意，也无需分析此处信息是否属于“可识别性”“隐私型”，如上所述，在大数据的时代背景下，即便是已经经过匿名处理，“反匿名化算法”也会通过这些数据中的一些零碎的信息，与外界的辅助信息结合起来，从而实现对信息主体身份的解锁。

总体来说，个人信息权从性质上讲是人格权的一种，但它在客体、内容、行使方式等方面又有别于传统的具体人格权（如隐私权、肖像权）,是一种新类型的具体人格权。通过赋予自然人个人信息权保护其免受个人信息处理行为过程中的不当侵害。“个人信息权”是自然人对其个人信息的收集、处理与利用的决定权、支配权和排除他人非法干预的权利。对个人信息的保护，应摒弃分为隐私权和非隐私权的传统分类的保护模式，构建独立运转的个人信息权保护模式。通过对个人信息的保护，确保个人信息利益，在充分保障人格尊严、人格自由的前提下，排除他人不正当干扰，使个人权利不受不法侵害。

四、“告知-同意”规则适用之新解

（一）“告知-同意”规则适用之可行性

在明确了个人信息是属于个人自决权基础之上的一种新型权利类型后，对个人信息的保护应当充分考虑行为人的主观意愿，以实现信息主体对其个人信息所享有的控制和支配并排除他人侵害的权利。将公民个人信息作如此理解也符合刑法将个人信息犯罪规定在我国《刑法》第四章“侵犯公民人身权利、民主权利罪”中，基于体系解释，该罪保护的法益应该在公民的人身权利和民主权利范围之内，而公民人身权利和民主权利是出于基于公民“人格尊严、人格自由”可以自由处分的范围。即使该规则在实际的操作中存在着大量的行为异化，但这也并不应成为否定该规则可行性的主要问题。“告知-同意”规则是基于改变信息处理机构与个人之间的非对称关系，坚持对个人信息权利的维护，仍有其必然性和正当性。

如上所述，该规则在实践当中存在一定的异化，但终究“知情-同意”规则异化的原因则在于，在大数据时代，如若将“告知-同意”规则彻底化将不符合当前经济关系基础，阻碍社会发展。也即该理论在互联技术尚不发达的web1.0 时代或许存在一定的可行性，但当人类社会迈入web3.0 的数据时代，受限于各方面技术的突破，这一理论将会产生时代下的逻辑壁垒。现阶段，“告知一同意”规则除已深深地根植于现有法律制度中，在商业实践操作中也组建形成了路径依赖，因此，“告知-同意”规则还应得到最大程度的遵守。对于生产关系变革所导致的不匹配问题，应当在维持个人自决的基本原则的前提下，通过改进“告知一同意”机制的具体使用规则，探究出适合我国当前经济发展和现有法律制度框架下的妥善治理方式。

（二）同意强度规则区分之适用

同意规则虽在数据化的时代中在面临着“名存实亡”的危机，但也并不是完全没有希望得以解决。我们虽不可能一方面要求运营商提供充分的告知义务，另一方面又要求告知文件的简单易懂。因为“充分告知”与“简单易懂”存在一个难以解决二律背反问题，即如果要求运营商充分告知则会造成文件内容的冗长，从而使个体不愿意花费大量的时间来阅读和了解，简明的通知虽说能使读者更好地理解，但是，信息的复杂性处理方式常常很难传达，极易被服务商作为逃避法律监管的“避风港”，不能充分保障用户知情权。因此二者之间的困境难题只能进行缓解，而不能彻底地进行解决。

为减轻同意规则在实践中的困境，本文提倡应从区分同意强度的适用入手。根据《民法典》的规定，同意可以分为明示的同意和默示的同意两种，根据刑法理论“被害人同意”存在现实的承诺和推定的承诺两种。因此，从同意的法律存在类型出发，结合保护个人信息权的底层逻辑，对个人信息的处理行为的认定也可以相对应分为两种。对不影响个人尊严与个人自由发展的行为类型，此时原则上可以适用默示的同意或推定的承诺，在法律有明确规定的情况下，也可以引入告知豁免制度，默示或推定的同意如何认定则需要具体结合民法中的交易习惯规则和刑法理论中的法益衡量观点进行。相反，对于涉及到人格尊严与自由发展的个人信息的处理方式，应当坚持采用明示同意或现实的承诺，如果违反这一标准可分别认定为侵权行为或犯罪行为。如此，区别明示同意（现实的承诺）与默示同意（推定的承诺）的适用，既有现实合理性，又有操作可行性，更有利于解决“告知-同意”的两难境地问题。总体来说，选择同意强度的区分使用制度，就个人而言，可以减少用户审查并不重要的告知文件所消耗的时间成本，同时，也提高了个人对信息处理的敏感度和警觉性，并将重点放在那些有可能影响到他们的人格利益的信息处理上来，在提高了同意的效率的同时也给个人生活带来了极大的便利。此外，对于信息收集平台公司而言，也可以防止其将难以辨别数据信息的“可识别性”作为抗辩事由，从而规避风险。因为，信息收集平台对于个人信息的收集、处理，相对于以“可识别性”为标准进行区别对待，以是否侵犯个人的人格尊严和自由作为替代标准，会更加清晰。最后，对于裁判者而言，这种区分式的处理方法也极大地提高了司法效率，即使对于较为复杂案件的定性，司法裁判人员此时也只需重点判断该信息是否关涉行为人的人格尊严和自由，继而审查该逾越行为是否存在信息主体的同意，该同意是何种类型以及同意的类型与个人信息的类型是否存在对应关系。