• <table id="yayw4"><noscript id="yayw4"></noscript></table>
  • 此页面上的内容需要较新版本的 Adobe Flash Player。

    获取 Adobe Flash Player

    高级搜索
    请输入检索内容:

    当前位置: 首页 >> 学术资源 >> 行政法学 >> 正文

    韩旭至:个人信息?;ぶ懈嬷獾睦Ь秤氤雎?——兼论《个人信息?;しǎú莅福废喙靥蹩?b>

    韩旭至| 时间: 2021-06-18 08:43:19 | 文章来源: 《经贸法律评论》2021年第1期

    【摘 要】以告知同意为原则的个人信息?;け厝幻媪僦疃嗬Ь?,典型如“隐私政策”无人读?不可读?读不懂,信息主体被“胁迫同意”以致难以行使拒绝权,大数据处理实难取得有效的同意,问责机制难以发挥功效等?告知同意机制源自个人信息自决权与隐私权理论,但从私法上将同意等同于授权,实为对个人信息?;ぶ贫裙ㄊ粜缘奈蠖?主流的个人信息?;ぶ贫戎?,从未将告知同意规定为基本原则,它是个人信息?;ぶ械囊幌罹咛骞嬖?我国个人信息?;ち⒎ū匦氪砗酶嬷庥肫渌莺戏ù砉嬖虻墓叵?一方面,对告知同意规则进行进一步细化,并以格式合同规范约束“隐私政策”;另一方面,确立数据流通规则体系,引入个人信息?;ど杓?

    【关键词】个人信息?;?;告知同意机制;个人信息自决权;数据流通规则;数据利用;


    告知同意在个人信息?;ぶ械姆傻匚淮嬖诮洗罄砺壅?。有学者认为,告知同意是个人信息?;さ幕?,属于个人信息?;さ闹匾?。亦有学者认为,告知同意已经无法实现其原有功能,应弱化告知同意,转为适用风险规则。该争议已对我国个人信息?;ち⒎ú瞬蝗莺鍪拥挠跋?。2020年第十三届全国人民代表大会常务委员会第二十二次会议对《中华人民共和国个人信息?;しǎú莅福罚ㄏ鲁啤恫莅浮罚┙辛松笠??!恫莅浮匪湮粗苯咏嬷夤娑ㄎ鋈诵畔⒈;さ脑?,且第13条在告知同意以外列举了5类合法处理个人信息的情形,并扩充了《中华人民共和国民法典》(下称《民法典》)第1036条之规定,但其他合法的个人信息处理事由并未贯穿《草案》始终?!傲⒎ㄋ得鳌比匀蝗衔?,告知同意是个人信息处理规则的核心,然而,告知同意机制已不适应现代信息处理的发展,难以实现其原有功能。因此,必须从告知同意的适用困境出发,对告知同意机制的理论基础进行辨析,以正确处理告知同意与数据合法处理的关系,构建适应于时代发展的个人信息?;ぶ贫?。


    一、告知同意的内在缺陷


    运用“法律—社群规范—市场—架构”的网络法基本分析框架,告知同意应放在具体应用场景中进行分析,以判断这一机制是否与用户习惯、交易模式、数据处理技术相适应。分析可知,告知同意无论是作为一种授权机制抑或视为一种免责/问责机制,均面临困境,实难以成为个人信息?;さ幕?。

    (一)作为授权机制的失灵

    第一,用户难以在获得有效信息的基础上作出同意的授权。为实现“告知—同意”,各类App、网页都会展示相关“隐私政策”,常常需要用户去点击同意相关条款。为避免用户不经阅读就直接点击,不少条款还需要用户下拉至底端或等待若干秒以后才允许点击同意。即便如此,实际上也并没有多少用户真正阅读这些条款。如果一个人将其1年内遇到的所有“隐私政策”全部阅读完毕,不眠不休地进行也将需要花费数月时间。由此可见,“隐私政策”实际上也是不可读的。同时,若对“隐私政策”进行阅读便会发现,其条文充斥着各种“法言法语”,具有较强的专业性,对于普通群众而言,也是读不懂的。由此可见,“隐私政策”实际上无人读、不可读、读不懂,告知同意无法实现其应有功能,难以通过该机制?;じ鋈诵畔?。在这个意义上,告知同意也被称作“控制的幻象”。

    第二,由于用户习惯不经阅读即点击同意,告知同意机制存在被滥用的危险。企业常常在“隐私政策”中设置不合理、不公平、侵害个人信息权益的条款。最为典型的案例是,2019年“ZAOApp极其不规范的“隐私政策”即受到了广泛关注。该款“AI换脸”App在其“隐私政策”中约定,用户上传相关照片后,即视为同意授予“ZAO”及其关联公司以及“ZAO”用户在“全球范围内完全免费、不可撤销、永久、可转授权和可再许可的权利”。事实上,即便是大型平台企业的“隐私政策”也存在众多对个人信息?;げ焕脑级?。如百度规定,其可使用算法抓取用户信息。支付宝也规定,其有权向关联方、合作伙伴提供所采集的用户个人信息。显然,这些条款在披上告知同意的外衣后,将对个人信息?;ば纬筛笸?。

    第三,用户对“隐私政策”难以真正行使拒绝权。虽然,理论上用户若不同意“隐私政策”即可拒绝。但实际上,网络服务提供商所提供的协议通常为一揽子安排的格式合同,并未提供菜单式选择,用户往往面临“要么同意,要么放弃”的困境。对于许多App的使用,实际上用户是无法拒绝的。例如,当今微信、钉钉、支付宝等App已经紧密嵌入人们生活之中,若无法使用这些产品,将严重影响工作和生活,甚至成为“数字弱势群体”而被边缘化。在这个意义上,也可以说用户的同意是“被胁迫”的。在“霸王条款”面前,告知同意形同虚设。

    第四,告知同意机制偏重于数据收集环节,难以适应大数据处理的发展要求。大数据分析往往不限于数据收集目的,对海量数据的二次利用展现出复杂性、多元性与流动性的特征。信息处理者既难以在数据收集时要求信息主体给予广泛的授权,也难以在信息处理时获得信息主体的二次授权。此时,不仅告知同意的难度加大、成本上升,强调告知同意还可能会阻碍大数据产业的发展。此外,大数据时代中个人信息与群体数据密切相关。在标签化分类之下,一个人可能同时属于多个群组。其基于告知同意作出的某个决定,将同时对多个群组的数据分析产生影响。也就是说,针对个人的告知同意,将可能对群体利益产生影响。在这个意义上,技术伦理指出,“‘个人决定’将会转化成一种‘个人—集体决定’”。因此,已难以允许仅凭个人意志就作出涉及他人利益的同意。

    (二)作为免责/问责机制的失效

    当前,告知同意已从一种失灵的授权机制转变成为一种失效的免责/问责机制,无法全面回应实践中出现的数据利用问题。司法实践中,告知同意常被用于考察个人信息处理的合法性,成为企业处理个人信息的免责依据,或企业违反“隐私政策”处理个人信息时的问责依据。2016年,北京知识产权法院通过“新浪诉脉脉案”提出第三方获取个人信息须坚持“用户授权+平台授权+用户授权”的“三重授权”原则?!恫莅浮返?/span>24条沿袭这一思路规定,个人信息处理者向第三方提供其处理的个人信息的,应当再次使用告知同意机制。然而,这一机制仍然存在忽视个人信息复合利益的问题。第三方只取得用户同意而未取得原信息处理者同意时,能否获取信息存在疑问。2017年华为公司未经微信同意,仅通过用户授权的方式采集微信记录,即曾经引发争议。根据告知同意的逻辑,似乎三重授权之中的“平台授权”并无必要,但这显然与数据权利?;つ谌莶环?。从数据权属的角度来看,告知同意之下企业似乎是基于继受取得获得数据权利,这又将与企业基于算法投入“劳动赋权”的原始取得逻辑相冲突。

    此外,告知同意的授权范围存在局限。以通信录信息为例,记载的常常是其他人的个人信息,用户的授权无法指向相关内容,其授权合法性存疑,然而,众多社交软件关键的商业模式即为通过用户授权,获取通信录信息以进行推广。2020年“凌某某诉抖音案”实际上已经涉及这一问题。该案中,与一般意义的通讯录不同,凌某某在其通讯录中仅保留了其自身信息,但该平台在获取相应信息后,基于其他人通讯录中记载的关于凌某某的信息,对其推荐了“可能认识的人”。北京互联网法院认为,抖音未基于告知同意而收集凌某某手机上的个人信息属于侵权,但“可能认识的人”的推荐不构成侵权。然而,该案中法院实际上并未对基于告知同意获取通讯录中第三方信息的行为作出分析,仅以该推送未侵害生活安宁为由否定了凌某某的第二项主张,事实上混淆了隐私侵权与个人信息侵权的区别。在域外或我国特别行政区的相关司法实践中,通讯录的授权需要所涉信息主体的同意已获得普遍认可。2016年我国香港法院在“梁竣杰案”中即认为,未经信息主体授权向他人展示第三人的名片,以供他人誊抄名片上的个人信息构成违法。2017年德国“WhatsAPP案”中,法院亦认为获取通信录信息需要获得所有联系人的书面同意。然而,告知同意的这一要求,必将对众多社交软件的商业模式带来毁灭性的打击。由此可见,即便是作为一种免责/问责机制,告知同意也难以回应实践中产生的问题。


    二、告知同意的理论误读


    面对告知同意的困境,虽有学者提出场景化的且基于风险的分析路径,但实际仍未脱离告知同意的制度。告知同意仍被部分学者奉为个人信息?;け匦爰崾氐暮诵脑?。甚至有学者将告知同意称为“个人信息?;ぶ辍薄案鋈诵畔⒈;ご笙弥?,或称“告知同意原则”是个人信息?;ぶ贫鹊摹暗弁跆蹩睢?,如同意思自治在民法中的地位。事实上,无论是从个人信息?;だ砺厶逑祷故侵贫裙娣短逑道纯?,告知同意从来都不是个人信息?;さ脑?,而是一项具体规则。

    (一)私法视角的误读

    告知同意植根于个人信息?;さ牧酱罄砺刍。阂皇桥访烁鋈诵畔⒈;ぬ逯浦械母鋈诵畔⒆跃鋈ɡ砺?;二是美国法上的信息隐私权理论。从个人信息自决权来看,德国1983年“人口普查案”对现代个人信息?;さ牟敕⒄咕哂兄卮笠庖?。在对该案判决的解读中,个人信息自决权的概念首次被提出。此后,个人信息自决成为域外个人信息立法的重要理论基础。从1995年欧盟《数据?;ぶ噶睢罚?/span>Data Protection Directive,DPD)到2018年《通用数据?;ぬ趵罚?/span>General Data Protection Regulation,GDPR),均受这一理论的影响。从信息隐私权来看,美国1977年“惠伦案”确立了信息隐私权。隐私权被认为是个人对其个人信息披露的控制权。无论是个人信息控制权还是信息隐私权,均强调信息主体对信息的控制力,而告知同意被认为是个人信息控制力的核心。

    基于上述逻辑,有学者进一步认为,信息主体的访问权、可携带权和收益权等积极权能,以及更正权、限制或反对处理权和删除权(被遗忘权)等消极权能,均源于告知同意。这一分析实际上是通过私法角度解读个人信息自决权与信息隐私权,并在私法上强调个人自主决定的重要性。尤其是在混淆隐私与个人信息?;ぶ?,极为容易将隐私?;さ耐庠蛱子糜诟鋈诵畔⒈;ぶ?。此外,部分学者将同意理解为授权,通过授权机制又进一步塑造企业数据财产权。甚至有部分学者将个人信息?;ぶ械母嬷庥牖颊咧橥馊ń斜冉?。

    同上述理解相左,个人信息所涵盖的利益多种多样,是人格利益、财产利益、公共利益的复合。个人信息?;ぞ甑睦贩⒄?,已经与传统私法上的隐私?;は喾掷?,经过公法上的个人信息?;ぶ贫鹊墓菇?,最终形成了大数据时代个人信息的复合利益?;そ峁?。无论在欧美还是在我国,个人信息?;ぞㄉ逝ㄓ舻墓娣??!叭丝谄詹榘浮庇搿盎萋装浮本蔷涞南芊ò咐?。我国《民法典》已经意识到,单纯的私法?;ぢ肪督夏言诟鋈诵畔⒈;し矫嫒〉檬敌?,《民法典》第10341039条亦不是以任意性规范为主的纯粹私法规范?!恫莅浮犯谴有碌募际跏贝龇?,制定于新的制度环境之下,融合并兼顾了私法和公法的?;ぢ肪?,从体系性的角度对于重要的权利提供多维度的?;?。

    《草案》第1条即明确指出,在?;じ鋈诵畔⑷ㄒ嫱?,个人信息?;さ哪康闹辽倩拱ā肮娣陡鋈诵畔⒋砘疃?,保障个人信息依法有序自由流动,促进个人信息合理利用”?!恫莅浮分械母鋈诵畔⒖刂迫ㄌ逑?,亦并不能直接等同于私法上的个人信息权。个人信息?;ぶ贫戎械母嬷庥氪乘椒ㄉ系耐獠痪∠嗤?,是一种植根于公法规范的个人信息处理的合法规则。在这个意义上,方可理解《草案》第15条中,为何立法者对独立作出告知同意的年龄标准采用了14周岁这一常见于刑事责任能力的标准,而没有选择与民事行为能力标准相一致(该条规定有待商榷,下文将作出分析)。从个人信息?;さ亩嘣娉龇?,告知同意能且只能是信息处理的合法情形之一。

    (二)数据?;ぶ贫鹊奈蠖?/span>

    在制度文本中,告知同意从来就不是个人信息处理的原则。1980年,经济合作与发展组织“数据?;ぶ傅荚颉惫娑耸占拗圃?、数据质量原则、目的特定化原则、使用限制原则、安全?;ぴ?、公开原则、个人参与原则、责任原则。1995年,欧盟DPD规定了数据质量原则、数据处理合法原则、敏感数据处理原则、告知当事人原则。2018年,欧盟GDPR规定了合法、公平和透明原则、目的限制原则、最小范围原则、准确性原则、存储限制原则、完整性和保密性原则。这些主流的关于个人信息?;ぴ虻墓娑ㄖ?,从未有出现告知同意的原则,即便透明原则或告知当事人原则中涉及了告知的内容,但其并未强调同意,至少在欧盟法中,告知同意一直以来都只是个人信息合法处理的规范之一。

    或许就美国法的“公平信息实践原则”(FIPPs)而言,“通知/知情”“选择/同意”“接近/参与”“信息整全/信息安全”“执行/救济”五项内容中,确有契合告知同意的要求,因此极易被误读。但相关要求应被解读为个人信息?;さ木咛骞嬖蚨窃?。首先,美国法上的同意,采取的是择出(Opt-out)机制,与作为授权机制的择入(Opt-in)有本质区别。其次,这种同意只是公平信息实现的一种具体方式,且告知同意的要求也不是绝对化的。

    从法律原则与法律规则的关系来看,告知同意也不具有原则地位。在内容上,规则是具体明确的,而原则是高度抽象和概括的。告知同意是一项典型的具体制度,其有强同意/弱同意、择入同意/择出同意、特别同意/概括同意的区分,还有动态同意、空白同意、推定同意、单独同意、书面同意等多种类型。在适用范围与适用方式上,告知同意不具有统摄个人信息?;しǖ牡匚?,只能以“全有或全无”的方式适用,并受个人信息?;ぴ虻脑际?。告知同意本身决不能称为个人信息?;さ摹暗弁跆蹩睢?。学界公认的个人信息?;ぁ暗弁跆蹩睢笔恰澳康南拗圃颉?。根据GDPR5条第1b项的规定,目的限制原则指“基于具体、明确、合法的目的收集个人信息,且随后不得以与该目的相悖的方式进行处理”。我国《民法典》第1035条第1条第3项首次规定了目的限制原则的部分内涵,即处理个人信息必须“明示处理信息的目的”?!恫莅浮返?/span>6条进一步拓展了《民法典》第1035条第1条第3项的规定,指出“处理个人信息应当具有明确、合理的目的,并应当限于实现处理目的的最小范围,不得进行与处理目的无关的个人信息处理”。这一规定实际上结合了目的限制与数据最小化原则。目的限制作为基础性原则,贯穿了个人信息?;ぶ贫仁贾?。即便是主张告知同意具有原则地位的学者,亦无法否认告知同意受目的限制原则的限制?;诠怖?、履行法定义务、履行合同义务等无须告知同意的信息处理情形,也需要适用目的限制原则。

    事实上,在我国的规范体系中,告知同意也只是个人信息处理的具体规则而非原则?!吨谢嗣窆埠凸绨踩ā返?/span>41条规定了“合法、正当、必要”的三原则,《民法典》第1035条在此三原则基础上,进一步明确了信息合法处理的要求?!睹穹ǖ洹返?/span>1036条更在告知同意以外列明了已公开信息、维护公共利益或信息主体的合法权益的免责情形。就个人信息?;す娣短逑刀?,《民法典》第1036条存在的缺陷在于,一方面将个人信息合法处理情形规定为免责情形,另一方面未能周延地列举个人信息合法处理的具体情形,并将信息是否公开的隐私?;ひ坏钡匾肓烁鋈诵畔⒈;し冻?。对此,《草案》第13条通过6项规定较为明确地规定了个人信息合法处理的具体要求,包括告知同意、缔约或履约之必需、履行法定职责或义务之必需、应对公共卫生事件或紧急情况之必需、公共利益实施新闻报道或舆论监督之必需、法律或行政法规所规定的其他情形。6项规定之间是并列的关系,不能把告知同意与其他条款理解为一般与例外的关系。由此可见,告知同意规则与其他个人信息?;す嬖蛞黄?,在诸多个人信息?;ぴ虻耐沉煜?,共同服务于个人信息?;ぶ贫忍逑?。


    三、告知同意与数据合法处理的规则构造


    有学者将当前学界所提出的应对告知同意困境的方式概括为“放宽同意的要求和形式”“降低告知的约束力”“用风险规则置换同意规则”,然而,前两种路径,都是从告知同意本身出发所提出的,未能完全把握个人信息?;ぶ贫戎懈嬷庥肫渌嬖虻幕ザ叵?。风险规则的路径,又试图完全脱离告知同意,从而出现了忽略个人人格尊严?;?,并难以有效约束“隐私政策”野蛮生长的问题。因此,在明晰告知同意的法律地位后,告知同意困境的最佳应对策略应为:一方面,在告知同意机制的内部改造中细化告知同意规则,以格式合同规范约束“隐私政策”;另一方面,充分把握告知同意与其他规则互动的关系,确立数据流通规则体系,引入个人信息?;ど杓?。

    (一)细化告知同意规则

    就告知与同意的关系而言,我国应坚持择入机制。在择入机制中告知是前提和起点。在择出机制中,实际上没有告知也不存在同意,因此也被认为“以‘默示同意’为幌子,实际则背离了知情同意”。同时,我国个人信息立法以移植欧盟相关规定为主,又对截然不同的美国制度进行交叉引入,必将导致体系性混乱。在择入机制的基本架构下,《草案》的告知同意规则应进行更为精细化的调整和完善。

    第一,《草案》第14条规定了同意的实质要件为“特定、明确、自愿”,并在一般的同意规则外又指出了单独同意和书面同意的特殊规定,然而,几种同意形式在《草案》中体系混乱、关系不明。首先,书面同意可以删除?!恫莅浮方鲈诘?/span>30条规定了“法律、行政法规规定处理敏感个人信息应当取得书面同意的,从其规定”。其实,仅在此处强调同意的要式并无必要。其次,应对单独同意与一般同意作进一步释义和区分?!恫莅浮饭娑?,向第三方提供个人信息时(第24条)、公开其处理的个人信息时(第26条)、处理敏感个人信息时(第30条)、个人信息跨境时(第39条)需要取得单独同意。由此可见,单独同意对应的特殊的个人信息处理情形,伴随有特殊的个人信息告知要求。因此,单独同意实际上属于一种特别同意,即要求将一切信息和可能风险告知信息主体,在“特定、明确、自愿”的基础上,取得信息主体具体同意。而一般同意应理解为概括同意,虽然也要求“特定、明确、自愿”,但并不一定针对一个具体的事项,可以是针对将来信息处理行为概括的、一揽子的同意。

    第二,《草案》第18条是对第7条透明原则的具体化。该条第1款规定了“个人信息处理者在处理个人信息前,应当以显著方式、清晰易懂的语言向个人告知”的4个事项。前3个事项详细列举了告知的一般内容,第4项兜底性规定链接到向合并分立时的告知要求(第23条)、第三方提供个人信息时的告知要求(第24条)、敏感信息处理的必要性及对个人影响的告知要求(第31条)、数据跨境时的告知要求(第39条)等。该条总体上对告知规则进行了较为完善的规定。值得注意的是,由于《草案》第15条将14周岁规定为作出同意的年龄要求,因此“显著方式、清晰易懂的语言”在针对未成年人之时应有更高的标准与要求。同时,《草案》第18条第2款仅规定“应当将变更部分告知个人”,实际上变更部分的告知方式也必须是“显著方式、清晰易懂的语言”(第1款)以及“便于查阅和保存”(第3款)。

    第三,《草案》第25条规定了自动化决策权,同时隐含了算法解释权的内容,规定了“个人认为自动化决策对其权益造成重大影响的,有权要求个人信息处理者予以说明”。然而,信息处理者的说明义务对应的是客观的重大影响,而非信息主体主观认识的重大影响。实际上,《草案》在个人信息风险评估中的重大影响(第54条第1款第5项)、已公开的个人信息对个人的重大影响(第28条第2款)等规定中的“重大影响”均是客观的标准。因此,建议将“个人认为”删除,否则将造成说明义务适用前提不明;同时,对于“予以说明”的内容应进一步明确。此时的说明,并不要求公开自动化决策算法的内部机制,只应限于算法逻辑的说明。参照欧盟《监管目的的自动化个人决策和分析指南》规定,信息处理者只需要根据“若非A则无B”的反事实,以一个“没有受过教育的门外汉”能理解的标准,通过简洁、透明、易懂和容易取得的形式进行解释。

    (二)以合同法进行解读

    虽然个人信息?;しㄊ粲诠ㄉ逝ㄓ舻姆?,但亦无可否认其在属性上兼具私法色彩,属于领域法的范畴。因此,私法规范,尤其是合同法的相关规范,应与个人信息?;ぶ贫扔谢ザ?。在告知同意上,《草案》第14条将同意界定为意思表示,也就是说,在私法的角度,“隐私政策”应认定为合同。虽然,平台规则的成立与生效受《中华人民共和国电子商务法》的特殊规制,但并不能否认“隐私政策”是平等主体之间通过意思表示一致达成的协议,经用户点击承诺后即成立。从合同法的角度,可对《草案》作进一步解读。

    第一,《草案》第15条似乎有两种解释的可能:一是以14周岁为标准界定同意的年龄标准;二是强调了信息处理者注意相对方年龄的义务,在相对方未满14周岁时要求取得监护人同意。即便是采取后一种文义解释,也必将引申出同意年龄标准的问题。虽然,《草案》并非私法,但为了与《草案》第14条的规定相一致,同意的行为能力标准也应与民事行为能力标准相一致,也唯有如此,《草案》才能与《民法典》相关个人信息?;す娣断嘞谓?。

    第二,《草案》第16条规定了信息主体对同意具有撤回权,但此处的撤回不宜简单理解为意思表示的撤回,否则根据法律行为理论,意思表示合法撤回后,合意不复存在,合同自始无效,进而使得信息处理者对于撤回前信息处理的合法性基础不复存在,这显然不合常理。因此,此处的撤回应理解为赋予信息主体任意解除权。由于该条将撤回的前提限于基于告知同意的信息处理,其充分为了?;ば畔⒅魈宓娜烁窭?,因此不应对任意解除附加以其他限制条件。对于信息主体撤回同意的法律后果而言,对应的是不得继续处理相关个人信息以及相关信息的删除,然而,根据《草案》第47条第1款第3项的规定,信息主体撤回同意只是信息主体申请删除个人信息的条件之一,也就是说,信息主体需要在撤回同意后另行申请才能行使删除权。这一规定并不符合撤回的法律属性。撤回后合法解除,信息处理者依法处理个人信息的基础已经不复存在,而存储也属于《草案》规定的个人信息处理行为,因此个人信息处理者必须主动删除相关信息,无须信息主体另行请求删除。

    第三,《草案》第17条明确规定了企业不得以个人不同意或撤回同意为由拒绝提供产品或者服务,实际上这是对格式合同规则的落实。若收集处理个人信息与相关产品或服务并不相关,基于格式条款的个人信息收集就属于《民法典》第497条所规定的无效条款。例如,曾有一款手电筒App,试图通过“隐私政策”大量收集包括地理位置、通讯录、通话记录等信息,但其唯一功能就是打开手机闪光灯。显然这类格式条款因不合理、不公平、侵害个人信息权益而无效。同时,大量的App在人们日常生活中具有了越来越重要的影响,甚至与政府公共服务相捆绑。此时,就需要贯彻目的限制原则,探寻其信息收集的必要性。通过这一方式,该条确保了个人免予被“霸王条款”所绑架。

    第四,《草案》第18条告知的内容在性质上属于“与对方有重大利害关系的条款”。根据格式条款规则,应从提示的时间与提示的方式两个方面进行判断相关告知是否达到《民法典》第496条第2款中所要求的“合理”程度,以及《中华人民共和国消费者权益?;しā返?/span>26条第1款所要求的“显著”程度。此外,应着重根据个人信息?;さ南喙毓娣?,审查相关条款是否符合个人信息的?;ぴ蛴氪砉嬖?,并据以否定侵害个人权益条款的有效性,以此合同法手段,有效回应不合理、不公平、侵害个人信息权益的“霸王条款”问题。

    (三)确立数据流通规则体系

    不少学者已经注意到,个人信息?;びΣ扇〖だ嗳莸哪J?,不可“简单施加各种禁止性或者强制性规定”。在财产规则外,引入管制规则与责任规则,“以多种类的技术监督机制以消弭权利配置进路的负外部性”。事实上,无论是激励相容抑或法经济学规则菜单的理论,均基于数据流通规则体系的构建,鼓励数据依法自由流动。就此而言,《草案》第13条在参考GDPR相关规定的基础上,在告知同意外,规定了5种合法的个人信息处理情形,大大拓展了《民法典》第1036条告知同意外的两项免责事由,然而,这一规定仍有缺陷。一方面,数据流通规则未能贯穿《草案》始终,第13条往后的大量条文仍以告知同意为主。建议《草案》必须在坚持该条规定的基础上,进一步明确承认信息处理者对数据的合法权益依法受到?;?,并辅以相应的责任规则,构建从个人信息合法处理到数据合法利用的数据流通规则体系,发挥《个人信息?;しā吩谂嘤菀厥谐≈械幕饔?。另一方面,必须明确,数据流通规则必须受个人信息?;せ驹虻脑际?。对于《草案》第13条第24项之中的“所必需”以及第5项之中的“合理的范围”应有一定的判定基准。欧盟“第29条工作组”即曾经提出数据流通规则的衡量标准,参照这一标准,对5种情形的解释必须考虑信息处理者的合法利益、对信息主体的影响、义务的平衡、额外的保障措施。

    第一,《草案》第13条第2项规定了订立或者履行信息主体作为相对人一方的合同所必需的情形。首先,可以预计该项将成为绝大多数业务场景下收集信息的依据。因此,其必须受目的限制原则的约束,不得利用这一条款进行个性化营销。其次,从文本来看,该款对第三人不得适用,然而,涉及代理人时,虽然代理人是其所代理的合同关系中的第三人,但采集代理人的个人信息却又是必要的。此外,对个人信息处理者而言,也难以仅将其限缩至合同相对方的范畴。许多时候,关联方处理信息确实是履约所必要的。例如,某人在B平台办理了一张A品牌的会员卡,实际上每一个品牌分销商、加盟店都是独立的法人,若限于缔约主体的独立法人地位,将使得会员卡实际无法使用。因此,建议适当扩大该项范畴,涵盖代理人的信息,同时在确有必要时允许关联方使用相关信息。最后,必须解决《草案》其他条文与该项的矛盾与冲突。如《草案》第17条关于企业不得以个人不同意或撤回同意为由拒绝提供产品或者服务的规定中,指出“处理个人信息属于提供产品或者服务所必需的除外”。这一规定,在表述上容易得出提供服务所必需的情形也需要告知同意,仅仅是此时信息处理者可拒绝提供服务而已。然而,根据第13条第2项,此时已与同意无关。又如,《草案》第24条向第三方提供信息时单独同意的要求似乎是绝对的,但如前述在向关联方转移信息的事例中,确有为履行与信息主体作为相对人一方的合同之必要的情形。

    第二,《草案》第13条第4项规定了应对公共卫生事件或紧急情况下为维护信息主体利益所必需的情形?;蛐碛泄鄣慊崛衔?,部分措施并非紧急,却与信息主体重大利益密切相关,如反欺诈措施、支付安全措施等。因此,不宜将维护信息主体利益所必需的情形限制在紧急情况之中。此观点实际上忽视了这些措施多已是信息处理者的法律职责或法定义务,可直接适用《草案》第13条第3项,无须在此处体现。紧急情况的限制确有必要。此条款与《草案》第19条相对应,必须有相应的回复机制。根据《草案》第19条第2款的规定,在紧急情况消除后,信息处理者必须对信息主体履行告知义务。同时,应进一步明确由于紧急情况已经消除,应使用告知同意规则,在获得同意后方可继续处理相关信息。虽然公共卫生事件在此条文中予以单列,但实际上也属于特殊的紧急情况,事后亦应履行告知义务。

    第三,《草案》第13条第5项规定了“为公共利益实施新闻报道、舆论监督等行为在合理的范围内处理个人信息”的情形。对该项的“等”的解释将直接决定该项的适用范围。若作“等内等”理解,则该项为针对新闻报道的规定;若作“等外等”的解释,该项可作公共利益的扩大解释。以公共利益的必要性作为考量,对个人信息进行处理的情形至少包括“监控疫情和人道主义救援、确保网络和信息安全、基于劳动和社会保障目的、维护公共健康、新闻和文学艺术创作自由、科学研究等”。为了与其他基于公共利益的信息流通规则相协调,该款中的等亦作“等外等”解释,同时建议进一步丰富列明公共利益的具体内容。在这个意义上,可进一步理解《草案》第27条关于公共场所监控的规定。该条规定,将公共场所监控限制在“为维护公共安全所必需”的情形,实际上已排除了告知同意规则的适用。因此,“设置显著的提示标识”的要求并不能简单理解为告知,亦无须信息主体同意才能进行信息处理。此外,回到《草案》第13条第5项,该项规定公共利益必须受“合理的范围”的约束?!昂侠淼姆段А辈⒉坏扔凇八匦琛?。以该项所指向的新闻报道为例,实难以说明信息处理是必须的,若以必须为逻辑,记者大可不报道相关信息。因此,对于涉及公共利益的信息利用而言,其适用的是比必要性更为宽松的合理性要件。新闻报道若涉及家庭地址、人肉搜索等便是超出了合理范围。

    (四)引入个人信息?;ど杓?/span>

    设计本身就是权力,设计通过代码决定了用户的行为?!俺绦蛟笔且桓鲇钪娴拇丛煺?,他自身也是其中唯一的立法者。无论是多么有权势的剧作家、舞台剧导演或皇帝,也不曾行使过如此绝对的权力来安排一个舞台或战场,并指挥如此坚定不移尽职尽责的演员或军队?!蔽烁行У鼗赜Ω嬷獾睦Ь?,必须通过技术架构的挑战,以?;じ鋈诵畔?。根据助推理论,技术架构的设计可改变人们的行为。通过设计?;じ鋈诵畔?,将个人信息?;で爸玫讲飞杓苹方?,通过将个人信息?;と谌肽仙柚?、具体设计之中,以实现端对端的安全。这一概念的倡导者卡沃基安(Ann Cavoukian)提出,个人信息?;びψ远潜欢?、预防而非补偿;注重设计与默认设置;实现多方利益、价值共存,端对端安全,可见性和透明性,以用户个人信息为中心的产品设计。也就是说,个人信息?;ど杓剖且恢智爸眯缘?、预防性的?;な侄?,其不以告知同意为基础。

    遗憾的是,《草案》缺乏关于个人信息?;ど杓频墓娑?。实际上,由于设计的重要性,法律对产品设计的关注并不少见。汽车设计中就有关于安全带、安全气囊、倒后镜等各种设计的标准,未满足相关标准的产品将不被允许上路。参照GDPR25条的规定,个人信息?;ど杓朴岷峡萍挤⒄顾?、标准实施成本以及个人信息处理行为的性质、范围、环境和目的进行规范,并确保在默认设置中,个人信息受到适当?;?。在具体的措施上,可借鉴哈托格(Woodrow Hartzog)个人信息?;ど杓频幕赜δJ?,明确禁止欺骗性的设计与存在危险的设计,辅之以一定的设计标准和规范,对违反设计规范的企业作出一定处罚,以个人信息?;ど杓?,回应告知同意的失灵。唯有将个人信息?;で爸玫讲飞杓浦?,才能从根本上解决隐私政策的功能?;?。


    四、结语


    当前,我国虽然尚未颁布《个人信息?;しā?,但通过近年来《刑法》《网络安全法》《民法典》等法律中的相关制度,已经初步形成了具有中国特色、适应时代发展的个人信息?;ぶ贫忍逑??!陡鋈诵畔⒈;しā返某鎏?,应在我国既有的制度资源基础上,把握基础理论命题,回应数据时代的发展需要。其中,告知同意作为个人信息?;さ囊幌罹咛骞嬖?,连接着公法与私法的相关规范,具有重要作用。明晰告知同意的规则地位,并非完全否定告知同意规则本身,而是应从个人信息?;す嬖蛱逑党龇?,进一步理顺告知同意与其他个人信息合法处理规则的关系,正面回应告知同意的现实困境,更好地构建个人信息?;ぶ贫忍逑?。



    日本laurenphilips,亚洲国产AV玩弄放荡人妇系列,在线播放无码成动漫视频 风韵丰满熟妇啪啪区| 狠狠色欧美亚洲狠狠色| 狠狠色欧美亚洲狠狠色| 亚洲同性男国产在线网站GV| 性欧美VIDEO高清精品| 又爽又黄又无遮掩的免费视频| 免费乱肥胖伦老女人| 亚洲精品无码av海量| 国产三级AV在在线观看| 国产精品久久国产三级国|