消費者個人信息保護相關(guān)規(guī)定的述評

作者簡介：邱祥賓（1991-），男，漢族，四川省。研究生在讀，四川大學(xué)，經(jīng)濟法方向。

摘 要：法律視角下的個人信息保護主要涉及到規(guī)范公權(quán)機構(gòu)和規(guī)制私人部門兩個方面的內(nèi)容?！断M者權(quán)益保護法》新增的消費者個人信息保護的規(guī)定屬于后一方面，并且是其中最主要的內(nèi)容。從這些規(guī)定的具體性和可操作性來看，《消保法》框架下的個人信息保護規(guī)定僅具備消費者“權(quán)利宣誓”以及對經(jīng)營者自律進行引導(dǎo)的的意義。然而具體到針對“直銷”行為規(guī)定的所謂“下游控制”措施，《消保法》的規(guī)定則是可以在現(xiàn)有理論研究水平的支持下得到實施的。當然這需要相關(guān)實施細則的出臺以及守法條件的具備。

關(guān)鍵詞：個人信息；個人信息保護；《消費者權(quán)益保護法》

一、相關(guān)規(guī)定及其總評

新生效的《消費者權(quán)益保護法》增加了若干消費者個人信息保護的規(guī)定。該法第十四條規(guī)定，消費者享有個人信息依法得到保護的權(quán)利；第二十九條則確立了消費者個人信息保護的原則和部分規(guī)則；最后，在第五十條、第五十一條、第五十六條和第五十七條規(guī)定了經(jīng)營者違反上述規(guī)定的法律責任。

在開始討論之前，首先要明確一個基本的概念。個人信息是什么？作為一個法律概念，當然應(yīng)當從實定法中去尋找其內(nèi)涵。但《消保法》并未規(guī)定個人信息的范圍。由于《個人信息保護法》或《公民信息保護法》在短時間內(nèi)是不太可能出臺的，因此只能參照其他規(guī)范性法律文件的規(guī)定。雖然“個人信息保護方面我國已有近40部法律、30多部法規(guī)、近200部規(guī)章”，但涉及個人信息定義的卻不多，且都只是劃定了其保護的某個領(lǐng)域內(nèi)的個人信息的范圍，并未作出統(tǒng)一的定義。其中《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護指南》和《電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定》作出的定義最為清晰。雖然前者將個人信息限定為“計算機數(shù)據(jù)”，后者則針對特定的經(jīng)營領(lǐng)域，但其核心要素都是“識別性”。

有學(xué)者認為構(gòu)成個人信息還需具備“可處理性”要素，但這實際上已經(jīng)進入了討論的下一步，即法律關(guān)心什么樣的個人信息——或者更準確的說——什么樣的個人信息處理活動。這是一個在立法目的的明確、法律規(guī)則的制定以及法律的實施上都十分重要的問題，其意義在于將日常的、零散的個人信息處理活動排除在法律的規(guī)制之外的同時防止對法律的故意規(guī)避。因此在具體的標準確立之前不進行立法也好過像《刑法修正案七》一樣交由執(zhí)法部門進行“打擊欠準確”的“選擇性執(zhí)法”。雖然具體標準的確立是困難的，比較法上的各種經(jīng)驗也總有缺陷，但明白了制定標準的目的所在后，為了討論的繼續(xù)進行，我們假定這個問題得到了有效的處理。

從傳統(tǒng)的公私法劃分來看，個人信息保護主要涉及到規(guī)范公權(quán)機構(gòu)和規(guī)制私人部門兩個方面的內(nèi)容。《消保法》的規(guī)定屬于后一方面，并且是其中最主要的內(nèi)容。作為一個社會影響并不太大的研究領(lǐng)域，個人信息保護借著《新消法》的龐大聲勢倒也小小地出了一把風(fēng)頭。但在學(xué)界一片“統(tǒng)一立法”的呼聲中，再大的風(fēng)頭恐怕也難掩部分學(xué)者的失望。正如龐德所說，法律保護那些迫切要求獲得保障的利益，同時也要考慮到其他的已被承認的利益以及通過司法和行政過程來有效地保障它們的可能性。這也許可以為我國個人信息保護立法“抓小放大”的現(xiàn)象提供一個解釋。

無論如何，《消保法》對經(jīng)營者的個人信息處理活動進行規(guī)范并賦予消費者“個人信息依法得到保護的權(quán)利”這種做法本身也體現(xiàn)了法律對迫切需要得到解決的問題的積極回應(yīng)。而且，上述規(guī)定至少從形式上是符合“為確定、具體的事實狀態(tài)規(guī)定一個確定、具體的法律后果”的內(nèi)在邏輯的，簡言之，是“長了牙齒”的。此外，法律還確定了“工商行政管理部門或者其他有關(guān)行政部門”作為個人信息保護的執(zhí)法機關(guān)?？梢?，《消保法》的規(guī)定倒也具備“一干三枝”的完備輪廓，堪當個人信息保護法“先行軍”的重任。

二、 消費者享有什么權(quán)利？

從個人權(quán)利的角度來解讀法律應(yīng)該是西方法治發(fā)展到比較成熟的階段的事情，也可以看做是法律治下的個人特別是法學(xué)家們主觀努力的結(jié)果，簡單來說即“權(quán)利是從威脅的效果里推論出來的”。比如，我們很難說人類從懵懂中醒來后不久就制定的“不得殺人”的法律的目的在于賦予個人權(quán)利，因為那時是無所謂個人的。其目的大概如龐德所說，在于“保持和平”。不管上面這種觀點在價值上是多么的有害，或者能在事實上能被多少的反證推翻，但它至少在思維上給予我們一些指引。如果暫時認同這一觀點，那么我們就說它除了適用于整個法律的發(fā)展史外，是否也適用于那些新型的單個法律呢？如有學(xué)者就認為“個人數(shù)據(jù)保護法有點兒像是在制定個人數(shù)據(jù)流動的交通規(guī)則”并認為個人信息的“流轉(zhuǎn)”重于“歸屬”，而馬上就有人指出對行為規(guī)則問題的研究“對既有私法制度的銜接并無獨到見解，可能尚未超過我國臺灣地區(qū)一本專著或一篇博士論文的研究水平”。一個可能的解釋是：權(quán)利的發(fā)展路徑就是如此，它有賴于規(guī)則的確定與成熟以及個人和法學(xué)家們的努力，雖然在現(xiàn)代社會這二者往往并不體現(xiàn)先后順序而是交織在一起同時進行的。

不管如何，《消保法》的規(guī)定確實賦予了消費者若干的權(quán)利，下面我們將一一來解讀。這些條文中，正面賦予權(quán)利的條文只有第十四條。但“個人信息依法得到保護”的權(quán)利只是一個程序性權(quán)利或者說救濟權(quán)，其存在與行使依賴于原權(quán)利的存在——這應(yīng)當從經(jīng)營者對消費者的義務(wù)或者說行為規(guī)則中去尋找?？偨Y(jié)起來，消費者享有知情權(quán)、同意權(quán)和安全權(quán)三項權(quán)利。知情權(quán)及同意權(quán)存在于整個信息收集、利用階段，安全權(quán)則主要存在于信息被收集后的階段。這里需要注意的是，不同于《保護指南》，《消保法》將個人信息的處理分為收集和利用兩個階段。應(yīng)當說，這是一種便利的做法。因為“利用”的不確定的內(nèi)涵足以涵蓋“加工”“轉(zhuǎn)移”“刪除”等行為。雖然這導(dǎo)致了行為規(guī)則的原則化和操作性的降低，但這些規(guī)定的全部意義就在于“權(quán)利宣誓”，《消保法》無意于制定詳細的行為規(guī)則。上述這些權(quán)利都是法定權(quán)利，不得通過約定加以限制或排除。經(jīng)營者侵犯這些權(quán)利可能導(dǎo)致其承擔“停止損害、恢復(fù)名譽、消除影響、賠禮道歉，并賠償損失”的民事責任。

從個人信息保護在消費者權(quán)利體系中的位置來看，雖然法律單列了第二十九條專門規(guī)定消費者個人信息保護的原則，但消費者“個人信息權(quán)”的救濟則是與一般人格權(quán)規(guī)定在一起的。這在認識消費者個人信息權(quán)（以致普遍的個人信息權(quán)）的法律屬性的時候，至少給予我們一種立法上的指引。而且從保護的方式來看，《消保法》確是將“個人信息權(quán)”作為人格權(quán)來保護的，賠償損失只不過是對人格利益的一種替代性的補償方式。我們在上述法條中找不到學(xué)者們所謂的“個人信息收益權(quán)”“資料報酬請求權(quán)”或“享益權(quán)”等財產(chǎn)權(quán)的身影。其原因除了個人信息的財產(chǎn)利益配置問題本身所具有的爭議外，大概還在于個人對個人信息財產(chǎn)利益實現(xiàn)方式上的困難。僅從人格權(quán)的范圍來看，《保護指南》中體現(xiàn)出來的并為廣大學(xué)者所呼吁的消費者的“查詢權(quán)”、“修改權(quán)”、“封存權(quán)”、“刪除權(quán)”等權(quán)利也并未得到位階更高的《消保法》的確認。這樣做的目的除了考慮到對可能存在的非計算機數(shù)據(jù)進行查詢、修改、刪除等處理在操作上的困難外，主要在于對利益的平衡。因為，消費者享有上述權(quán)利會大大增加經(jīng)營者收集、利用消費者個人信息的成本，從而抑制所謂“信息經(jīng)濟”、“數(shù)據(jù)庫營銷”等的發(fā)展。

上述三項權(quán)利中，安全權(quán)對應(yīng)的經(jīng)營者義務(wù)除了防止個人信息的泄露與丟失外，還包括“不得泄露、出售或者非法向他人提供”。信息的流通往往會涉及到或者說就是為了“二次使用”，而這正是個人信息的豐富價值所在。絕對禁止信息流通的做法顯然是反信息化并且與現(xiàn)實生活不符的。這應(yīng)當是出于法律行文的簡潔的目的而造成的結(jié)果，省略了“未經(jīng)消費者同意”等適用條件。從同意權(quán)和知情權(quán)的內(nèi)容來看，經(jīng)營者收集、使用個人信息的任何行為都必須通知消費者并得到其同意。這在信息收集階段是比較容易實現(xiàn)的，但需要進一步對不同類型的信息規(guī)定不同的同意方式以及若干同意的例外情形。而在信息的使用階段，消費者知情權(quán)和同意權(quán)的實現(xiàn)則需要花費巨大的成本。因此，除了設(shè)置不同的同意方式和規(guī)定例外情形外，通過“匿名處理”或“化名處理”以規(guī)避個人信息保護法的適用、降低信息使用的成本似乎是“守法經(jīng)營者”的一個不錯的選擇。

三、 新增的規(guī)定能做什么？

從我們上面的分析看來，消費者“個人信息權(quán)”的真正落實還有許多理論上以及實際操作上的問題需要解決。尤其是執(zhí)法機構(gòu)等程序性要素及規(guī)則的建立上，我們很難想象傳統(tǒng)的“工商行政管理部門”在履行傳統(tǒng)的職能之外還能應(yīng)付個人信息保護這一涉及面廣、技術(shù)含量高的工作。這大概也是為什么個人信息保護實施細則遲遲不能出臺的原因。那么，《消保法》的上述規(guī)定除了“權(quán)利宣誓”的意義外，就真的沒有可落實之處了嗎？有學(xué)者將個人信息保護的各種措施分為“上游保護”和“下游保護”兩個范疇。前者是對個人信息的流動制定交通規(guī)則，后者則是當個人信息的處理實際地侵害到個人的傳統(tǒng)權(quán)利比如名譽權(quán)、隱私權(quán)的時候，對個人施以的保護。從這個角度來看，《消保法》的規(guī)定雖然在“上游保護”方面不盡人意，但“下游保護”的措施還是可以很好地實施的。

《消保法》第二十九條第三款規(guī)定：經(jīng)營者未經(jīng)消費者同意或者請求，或者消費者明確表示拒絕的，不得向其發(fā)送商業(yè)性信息。這款是針對“直銷”行為規(guī)定的、屬于能夠被實施的所謂“下游保護”措施的。從法條內(nèi)容的可操作性來看，經(jīng)營者的定義可以借鑒《反不正當競爭法》的規(guī)定；消費者的外延雖然有爭議，但個人信息保護中的個人則是被廣泛地認為是指向“自然人”的，而且也不存在“知假買假”的理論爭議，因而可以被認為包括所有“自然人”；商業(yè)性信息則可以參照廣告法的理論與實務(wù)從信息本身的內(nèi)容及效果等方面加以認定。比較難以確定的是“發(fā)送”這一范疇。比如說，我們安裝的“某手機助手”時不時就彈出一個推薦軟件的對話框，這算不算“發(fā)送”呢？或者網(wǎng)絡(luò)交易平臺根據(jù)我們的偏好在網(wǎng)頁上推薦商品，這算不算“發(fā)送”呢？但法學(xué)并不是自然科學(xué)，法律從來不會將自己陷入概念或概念反映的事務(wù)本身里面，而是將注意力集中在解決那些具有“現(xiàn)實緊迫性”的問題之上。直銷采用的“發(fā)送”方式雖然很多，但尤其另中國人感到厭煩的不外乎就是語音電話、短信、電子郵件、信件等方式，因此執(zhí)法部門可以集中精力解決這些“具有現(xiàn)實緊迫性”的問題。

在規(guī)則的適用條件上，有“未經(jīng)消費者同意”、“未經(jīng)消費者請求”和“消費者明確表示拒絕”三個選擇適用的要素。三者應(yīng)當是分別針對不同的發(fā)送方式適用的，因此需要相關(guān)實施細則加以解釋和明確。從守法的成本上來看，同意、請求或拒絕的方式可以模仿美國式的郵件選擇系統(tǒng)（MPS）和電話選擇系統(tǒng)（TPS）。據(jù)說中國移動也在辦理相關(guān)業(yè)務(wù)，但筆者通過人工服務(wù)功能對中國移動和中國電信進行了咨詢，得到的結(jié)果卻是沒有這個業(yè)務(wù)，并且抱怨說即使有這個業(yè)務(wù)也不能阻止商業(yè)信息的惡意發(fā)送。這當然從一個很小的側(cè)面反映了“行業(yè)自律”在中國實施的困難，但我們卻不能就此否認它的價值。這個系統(tǒng)存在的目的不在于直接阻止商業(yè)信息的惡意發(fā)送，而在于為守法經(jīng)營者提供守法條件。從另一個方面來說，可被遵守的法律規(guī)則的存在是承擔法律責任的前提。守法條件具備后才能正當?shù)貙`法經(jīng)營者施以法律責任。

（作者單位：四川大學(xué)）