个人信息处理知情同意规则研究.docx

《个人信息处理知情同意规则研究.docx》由会员分享，可在线阅读，更多相关《个人信息处理知情同意规则研究.docx（14页珍藏版）》请在第一文库网上搜索。

1、个人信息处理知情同意规则研究摘要:知情同意是个人信息处理的规则之一,而非原则。同意行为的性质可以从两方面理解,在积极层面上是意思表示,消极层面上是免责事由。随着大数据的发展,知情同意规则遭遇挑战,同意愈发形式化,不足以充分保障信息主体权益。通过构建场景制度和动态同意制度两种方式对知情同意规则进行修正,前者是指将具体场景下的合理使用替代信息主体同意作为个人信息处理的合法性基础;后者旨在使知情同意成为一个持续的过程。关键词:知情同意规则;个人信息自决;场景与风险管理；动态同意知情同意规范是个人信息处理的核心规范,其强调除了法律、行政法规有例外规定的场合,一般个人信息的处理都要取得信息主体的明确同意

2、。知情同意规范在我国的适用由来已久,时至今日仍有两大现象值得我们注意。一是对于知情同意规范的法律性质众说纷纭,甚至在规则和原则上都难以厘清。二是知情同意规范的现实适用不尽人意,以隐私政策为代表的告知方式并不能反映信息主体的真实意愿,侵权现象多有发生。因此,有必要对知情同意规范进行反思。反思包含两个层面:形式层面上应当厘清知情同意规范的法律性质,统一用语,明确概念;实质层面上应当分析知情同意规范在现实中面临的困境,提出针对性的改进意见,以实现个人信息保护与数字经济发展之间的平衡。一、知情同意规范的法律性质知情同意规范的法律性质涉及两大方面,一是在法律规范方面上,需要明确其是法律规则或法律原则。二

3、是有关同意行为的法律性质。（一）知情同意规范是法律规则而非法律原则以“个人信息知情同意”为关键词在中国知网上进行检索,发现2023年以来发表在中文核心期刊上的36篇相关文章中,使用“知情同意规则”表述的有18篇,使用“知情同意原则”表述的有17篇,有1篇文章将二者同时使用。规则和原则作为两类独立的法律规范类型，二者之间的区别泾渭分明,因而在论及知情同意规范的法律性质时,首先应当对其属于规则还是原则进行厘清。1.法律规则和法律原则的区分第一,法律规则和法律原则的区分首先体现在逻辑结构上。关于法律规则的逻辑结构,目前学界主要有两种看法:一种是“三要素说”（假定、行为模式、法律后果）；另一种是“二要

4、素说”（构成要件、法律后果）。无论依照哪种逻辑要素,法律规则都可以表述为“如果那么”的假言条件句;法律原则缺少这样的结构,它是由妥当感和制度性支持构成的,本身欠缺必要的限制条件,是一个没有前件的直言句。第二,法律规则和法律原则在适用上也有差别,主要体现在以下两方面。一是适用方式不同。规则在适用时,是以完全有效或完全无效的方式进行的。而法律原则的适用方式是衡量,涉及程度和分量的问题2。此外,法律规则的适用方式是“涵射”，即将特定案件事实置于法律规范的要件之下,以获得一定结论的思维过程,一般以三段论模式呈现。而法律原则由于缺乏明确的行为模式和法律后果无法适用三段论推理，其本质上是对特定案件中的法律

5、依据及案件事实等内部论证前提的论证3。二是适用位阶不同。一般认为,法律规则的适用应当优先于法律原则,只有当没有法律规则可以适用或者适用法律规则存在矛盾时,才可以引入法律原则发挥漏洞补充或者衡平作用。此外,有学者提出,法律原则在司法裁判中可以发挥“修正作用即当严格适用规则会造成极不妥当的后果,而案件更有必要实现法律原则的价值时,可引入法律原则对规则进行修正,形成但书4。第三,法律规则和法律原则在法律条文中的位置不同。法律规则通常位于总则后的各个分章之中,而法律原则一般位于总则部分,起到统领全篇的价值宣示作用。2.知情同意规范是法律规则首先,知情同意规范满足法律规则应当具备的逻辑结构,是一个充分条

6、件假言命题。可以表述为“如果个人信息处理者在处理个人信息前做到法律规定的告知要求并取得信息主体的同意,那么其处理就是合法的。”其次,知情同意规范在适用方式上与法律规则相一致。知情同意规范在适用上没有权衡的空间,必须严格遵循、全部适用。个人信息处理者在处理个人信息时倘若有一丝一毫没有遵循个人信息保护法的相关规定,那么处理行为将具有瑕疵。此外,知情同意规范的适用也不存在先后问题,作为个人信息处理合法性论证的首要依据,其适用不会产生“向一般条款逃逸”的质疑。最后,知情同意规范在条文位置上符合法律规则的特征。知情同意规范位于个人信息保护法第二章,而个人信息保护的基本原则均规定在总则部分。综上所述,知情

7、同意规范是法律规则而非法律原则,对于学界普遍存在的“知情同意原则”的称呼应当予以纠正。（二）同意行为是免责事由、意思表示同意行为的法律性质可以从两方面理解,在侵权法领域,它是免除个人信息处理者民事责任的免责事由。在合同法领域,它是信息主体与个人信息处理者之间订立以个人信息利用与服务提供为内容的合同的意思表示。1 .同意行为是免责事由同意行为的免责事由属性是基于信息主体对其个人信息权益的消极防御地位而产生的。个人信息处理者处理个人信息显然是对他人权益的侵犯,除非基于社会公共利益或基于他人利益而构成无因管理,否则任何人不得干预他人事务。信息主体的同意恰恰是阻却了信息处理行为的违法性,赋予了其合法性

8、基础。同意行为满足受害人同意的各种特征。首先,信息主体的同意是具体明确的,指向的正是个人信息处理者所告知的个人信息处理内容。其次,个人信息处理者的告知义务应当是“真实、准确、完整”的,符合通说认为受害人同意应当明确、具体的要求。最后,针对同意能力,普遍认为受害人的同意能力不能简单以民事行为能力作为判断标准,应当结合具体情况分析。个人信息保护法将信息主体的同意年龄限定在了14周岁,处理14周岁以下未成年人个人信息的,应当取得其监护人的同意。因此,从消极层面上看,同意行为是个人信息处理的免责事由。2 .同意行为是意思表示同意行为在消极层面上是免责事由并不能证成其在积极层面上是意思表示,因为大多数受

9、害人同意不一定具备主观上发生一定法律效果的目的,即不具备法效意思,仅属于准法律行为。因此,同意行为是否属于意思表示仍然需要从法律行为和准法律行为的区分入手。法律行为与准法律行为的区别在于法律行为具有完整的意思表示要素,而准法律行为不一定包含效果意思,或者即使包含效果意思,仍然按照法律规定而非行为人的表达发生法律效果。信息主体的同意应当属于意思表示,因为同意旨在践行个人信息自决,所实现的正是其所欲实现的法律效果。虽然法律上对这一效果同样有所规定,但是只是对其赋予法律保护的一种承认,这与观念通知、意思通知这些典型的准民事法律行为有着明显的不同。倘若将所有法律对效果的承认都作为效果创设,那么即使最一

10、般的买卖合同也可以被当作准法律行为,这显然是不合理的。有观点认为,个人信息处理活动不是交易行为,因而不能将适用于交易行为的民事行为能力制度套用其中。笔者不认同此种观点,个人信息处理活动虽然与传统的交易活动不同,但本质上并无差别,其内容是以提供个人信息为代价获得便利的互联网服务,个人免费使用互联网平台其实只是“数据付费”替代“金钱付费”的假象6。个人信息实际上已经成为企业的“黄金矿脉基于用户浏览偏好而进行的定向广告推送为企业带来了巨大的利润,才使免费上网成为可能7。二、知情同意规则面临的困境（一）理论基础遭遇挑战知情同意规则的理论基础是个人信息自决理论,其含义是个人有权控制其个人信息并决定如何被

11、使用。个人信息自决理论以人格尊严保障为出发点,严格控制能够识别自然人身份的个人信息,最大限度避免了信息泄露造成不利影响。然而,大数据时代的到来使得这一理论基础遭到挑战。1 .个人信息处理者的增加使得信息主体逐渐失去了对个人信息的控制通常情况下,个人信息处理者只有一个,全程负责信息从收集到删除的全部环节。这样的情况对信息主体来讲更为有利,因为冲突的解决只需要与这一个信息处理者进行沟通即可,信息主体对信息处理者往往也比较熟悉,能及时知晓个人信息处理情况。在大数据时代,个人信息处理者往往并非只有收集者本身。一方面源于数据处理的复杂性,需要更加专业的数据处理者提供支持,形成了专门从事数据处理业务的第三

12、方服务机构。另一方面源于大数据产业对于个人信息流动的需求,使得个人信息一经收集就成为滋养大数据产业发展的养料,在多个信息处理者之间辗转腾挪8。导致信息主体很难知晓其个人信息被收集之后的状态,再加上信息主体往往无法与信息处理者直接接触,致使信息主体对个人信息的控制地位被大大削弱。2 .个人信息新价值的产生使得保护利益更加多元化传统上,个人信息的价值都围绕着信息主体产生,因为它所能反映的仅限于信息主体的基本情况。然而,将海量的个人信息汇聚成大数据后,个人信息就可以产生超脱于信息主体的分析与预测价值。例如，某个人购买机票的价格信息除了能够反映其个人花费以外没有别的作用,但是美国Farecast公司却

13、能通过分析其收集到的近10万亿条价格记录,准确预测美国国内航班的票价。新的价值不仅体现在信息本身,也为信息处理者带来了巨大的财富增益。目前,多数网络平台都会收集用户的浏览记录并根据偏好进行推送,这成了巨大的用户增长点。美国奈飞公司75%的新订单都来自个性化推荐系统,亚马逊公司通过提高个性化推荐的精准度使其销售额增加了33.3%o有学者指出,应当对企业收集并储存的数据赋权保护,明确企业对数据享有占有、使用、收益、处分等所有者权益9。由此可见,个人信息新价值的产生使得保护利益更加多元,既要保护信息主体利益,又要保护大数据带来的产业创新、技术进步,以及由此形成的企业数据权利。以个人信息自决为核心,完

14、全倒向信息主体的传统个人信息保护模式已经不再适应时展。（二）同意的表示不真实,沦为形式同意告知是同意的基础,同意意味着信息主体在对个人信息处理过程完全知情的情况下愿意接受信息处理的风险和后果,因此法律通常会对信息处理者施加严格的告知义务。然而,事无巨细的告知方式恰恰使得信息主体的同意愈发不真实,体现在以下两个方面。1.信息主体对信息处理目的无法完全知晓大数据时代信息处理目的难以完全预知,信息处理目的不再只是为信息主体提供服务那么简单,人们渴望从对大数据分析中获取新的知识。对大数据的分析宛如一个“寻宝游戏”，人们并不确定到底能发现什么,因而需要反复调整目标。例如,谷歌公司所收集的浏览器搜索记录一

15、般只是用于分析用户偏好以进行个性化推荐,但是在2008年美国流感期间,这些搜索记录帮助谷歌预测了流感暴发的地区103-9。在大数据分析所能得到的结果不能确定的情况下,自然无法作为处理目的提前告知信息主体,进而影响到同意的真实性。2.信息主体对隐私政策事实上缺乏阅读或难以理解面对繁重的告知义务,信息处理者往往采取提供隐私政策的方式应对之,而且隐私政策往往行文冗长、用语艰涩。例如/J、米公司旗下的68个软件的隐私政策平均有6681个字,按照每分钟500字的阅读速度,平均阅读时长超过13分钟,很难想象真的有人会耐心阅读口1。有的软件将隐私政策拆成两部分并置于不同的地方,例如支付宝有关刷脸支付的隐私政

16、策,需要在“支付设置”“生物支付”中的生物识别服务通用规则里才能找到,通用的隐私政策中没有相关内容。有的隐私政策晦涩难懂、重点不明，不明确写明个人信息储存期限,而用“合理期限”“所必需的时间期限”等模糊词语,有的隐私政策缺乏对用户个人信息的技术保障和管理制度保障的说明,并且没有对用户的敏感信息进行提示。（三）信息主体缺乏同意能力1 .信息主体对信息处理过程缺乏足够认识知情同意旨在实现个人信息自决,故个人的自决能力至关重要,关键在于个人是否能真实理解个人信息收集利用可能带来的风险口2。将信息主体假定为有足够理解能力的自然人的理论预设在传统小数据时代是成立的,信息处理一般不会超过信息主体的预期范围。然而,在大数据时代,在复杂的自动化信息处理系统的加持下,普通人已经难以对信息处理过程中的风险做到心中有数了。例如,信息主体一般都会知晓允许软件访问手机GPS传感器会暴露自己的位置信息,因而对于访问GPS的请求一般都会很