個(gè)人信息需要結(jié)構(gòu)化的契約保護(hù)

徐凱

政府、商業(yè)機(jī)構(gòu)采集了大量公民個(gè)人信息，由此建立了龐大的數(shù)據(jù)庫(kù)，但個(gè)人信息保護(hù)尚未形成分層次、結(jié)構(gòu)化的法律體系，這是個(gè)人信息權(quán)遇到的主要障礙

近日，媒體報(bào)道在百度網(wǎng)盤可以看到大量私人信息，百度網(wǎng)盤雖不自帶搜索功能，但通過第三方網(wǎng)盤搜索引擎可查詢到百度網(wǎng)盤用戶的大量照片、通訊錄，甚至政府、高校及公司內(nèi)部文件等隱私內(nèi)容。網(wǎng)友驚呼又“被裸奔”。

日光之下無新事。當(dāng)互聯(lián)網(wǎng)催生的大數(shù)據(jù)經(jīng)濟(jì)進(jìn)一步發(fā)展時(shí)，網(wǎng)盤數(shù)據(jù)泄露，順豐速遞和菜鳥網(wǎng)絡(luò)的數(shù)據(jù)接口之爭(zhēng)，以及《花唄用戶服務(wù)合同》引發(fā)的爭(zhēng)議，有意或無意地屢屢將數(shù)據(jù)財(cái)產(chǎn)權(quán)問題置于公眾視野。

法眼

民事權(quán)利依其本質(zhì)，乃共同體對(duì)個(gè)體自治自決意思的認(rèn)可。即便持有自然法觀念的學(xué)者，也不得不承認(rèn)，權(quán)利的范疇需經(jīng)由法律界定。人類立法史的大部分情形下，法律是被動(dòng)地接受新技術(shù)和新經(jīng)濟(jì)催生的利益集團(tuán)的訴求，將原有權(quán)利結(jié)構(gòu)調(diào)整以適應(yīng)新技術(shù)和新經(jīng)濟(jì)。

中國(guó)現(xiàn)有人格權(quán)法已無法適應(yīng)大數(shù)據(jù)經(jīng)濟(jì)。在新利益階層的游說下，回應(yīng)他們的訴求，分離出用戶個(gè)人信息權(quán)，并以此為基礎(chǔ)建立數(shù)據(jù)財(cái)產(chǎn)權(quán)體系，是必行之事。

尚未形成分層次、結(jié)構(gòu)化的法律體系

雖然我國(guó)目前尚無一部成文法，但公民個(gè)人信息受法律保護(hù)已無異議。

將于10月1日實(shí)施的《民法總則》，再度確認(rèn)了我國(guó)實(shí)行大陸法系的民事權(quán)利體系。自然人的個(gè)人權(quán)利可分為人身權(quán)和財(cái)產(chǎn)權(quán)。其中人身權(quán)包括人格權(quán)和身份權(quán)，人格權(quán)又包括一般人格權(quán)和具體人格權(quán)，具體人格權(quán)包括隱私權(quán)。

個(gè)人信息權(quán)雖未明確列明作為一種具體人格權(quán)，但仍歸于人格權(quán)之下。《民法總則》第111條規(guī)定：自然人的個(gè)人信息受法律保護(hù)。任何組織和個(gè)人需要獲取他人個(gè)人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個(gè)人信息，不得非法買賣、提供或者公開他人個(gè)人信息。

此外，《刑法修正案（九）》、《網(wǎng)絡(luò)安全法》、《征信業(yè)管理?xiàng)l例》、《電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定》等法律法規(guī)、規(guī)章制度從各個(gè)方面也作出規(guī)定，比如責(zé)任承擔(dān)的角度（見表1）。

目前仍有以下問題尚未得到解決。

首先是個(gè)人信息的涵義?！睹穹倓t》并未定義個(gè)人信息；而其他法律中關(guān)于個(gè)人信息的內(nèi)涵在不同的部門法中有不同的范圍（見表2）。

分析上述定義，可以區(qū)分出三類不同性質(zhì)的個(gè)人信息：

一是用戶身份信息。這類信息單獨(dú)或者集合能用于識(shí)別特定個(gè)體，鎖定具體個(gè)人身份，包括：姓名、出生日期、身份證件號(hào)碼、個(gè)人生物識(shí)別信息、住址、電話號(hào)碼等。

二是個(gè)人行為信息。包括用戶的行蹤軌跡（比如手機(jī)定位功能搜集的信息）、用戶在互聯(lián)網(wǎng)上被cookie等技術(shù)記錄的互聯(lián)網(wǎng)瀏覽信息，以及用戶在特定社交媒體如微博、微信朋友圈上發(fā)表的內(nèi)容等。

三是身份和行為信息以外的用戶隱私信息。包括用戶的犯罪記錄、兩性關(guān)系、健康記錄等。

實(shí)踐中，三類信息互有交叉，各有側(cè)重，一項(xiàng)侵犯?jìng)€(gè)人信息的行為，很可能同時(shí)包含了上述三類信息。

對(duì)于隱私權(quán)和個(gè)人信息權(quán)之間的差別，在最高法院的規(guī)定中，似乎將個(gè)人隱私涵蓋在個(gè)人信息的范圍內(nèi)；而實(shí)踐中，如果可以將個(gè)人信息權(quán)作為獨(dú)立訴由，它和隱私權(quán)的界限，很可能不明顯，二者是擇一而適用的競(jìng)合關(guān)系。

分析現(xiàn)有立法，雖各有側(cè)重，但沒有針對(duì)不同的個(gè)人信息，建立起結(jié)構(gòu)化的保護(hù)體系。

《網(wǎng)絡(luò)安全法》側(cè)重個(gè)人身份信息；兩高《關(guān)于辦理侵犯公民個(gè)人信息刑事案件司法解釋》包含了個(gè)人身份信息和個(gè)人行為信息；最高法院《關(guān)于利用網(wǎng)絡(luò)侵犯人身權(quán)益的規(guī)定》，則將重點(diǎn)放在隱私信息上，對(duì)個(gè)人信息的保護(hù)實(shí)際上以隱私信息為主。

此外，公民個(gè)人信息雖是一項(xiàng)權(quán)利，但亦是一項(xiàng)義務(wù)，即經(jīng)法律規(guī)定，必須向政府或運(yùn)營(yíng)主體提供。《居民身份證法》、《婚姻法》、《城市房屋管理法》、《公司法》等法律下，公民都有向有關(guān)部門或機(jī)構(gòu)提供個(gè)人信息的義務(wù)。

2012年全國(guó)人大常委會(huì)《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》規(guī)定，互聯(lián)網(wǎng)服務(wù)提供者應(yīng)當(dāng)要求用戶提供真實(shí)信息，并應(yīng)當(dāng)采取技術(shù)及其他措施保護(hù)信息安全。

此后，包括《網(wǎng)絡(luò)安全法》在內(nèi)的法律法規(guī)進(jìn)一步要求，網(wǎng)絡(luò)運(yùn)營(yíng)者在與用戶簽訂協(xié)議或者確認(rèn)提供服務(wù)時(shí)，應(yīng)當(dāng)要求用戶提供真實(shí)身份信息。用戶不提供真實(shí)身份信息的，網(wǎng)絡(luò)運(yùn)營(yíng)者不得為其提供相關(guān)服務(wù)。

《網(wǎng)絡(luò)安全法》還進(jìn)一步確認(rèn)，國(guó)家實(shí)施網(wǎng)絡(luò)可信身份戰(zhàn)略，支持研究開發(fā)安全、方便的電子身份認(rèn)證技術(shù)，推動(dòng)不同電子身份認(rèn)證之間的互認(rèn)。

政府和商業(yè)機(jī)構(gòu)采集了大量的公民個(gè)人信息，由此建立了龐大的數(shù)據(jù)庫(kù)，但個(gè)人信息保護(hù)目前并未形成分層次、結(jié)構(gòu)化的法律體系，這也是個(gè)人信息權(quán)目前遇到的主要障礙。

個(gè)人信息產(chǎn)業(yè)處于授權(quán)和產(chǎn)權(quán)雙重不穩(wěn)定狀態(tài)

據(jù)中國(guó)信息研究院統(tǒng)計(jì)，2016年中國(guó)大數(shù)據(jù)市場(chǎng)規(guī)模為168億元，增速達(dá)到45%，預(yù)計(jì)未來三年仍將以每年30%的速度增長(zhǎng)。

此統(tǒng)計(jì)僅是流通市場(chǎng)規(guī)模，但實(shí)際上，數(shù)據(jù)更多的使用是在企業(yè)內(nèi)部，如阿里巴巴將自己定位為一家數(shù)據(jù)公司，馬云更宣稱，大數(shù)據(jù)將重新定義市場(chǎng)經(jīng)濟(jì)和計(jì)劃經(jīng)濟(jì)，大數(shù)據(jù)“讓計(jì)劃和預(yù)判成為可能”。

不可否認(rèn)，大數(shù)據(jù)的來源多元化，比如企業(yè)內(nèi)部生產(chǎn)的數(shù)據(jù)，并不都是個(gè)人信息，個(gè)人信息結(jié)合的大數(shù)據(jù)，也是最有商業(yè)價(jià)值的部分。“技術(shù)既無好壞，亦非中立”，大數(shù)據(jù)AI可能“比你更了解自己”，其價(jià)值觀則需要人來賦予。

網(wǎng)絡(luò)經(jīng)營(yíng)者搜集用戶信息，除法定情形外，均要基于其和用戶的約定進(jìn)行。此后經(jīng)過加工（包括去身份化處理）、儲(chǔ)存等環(huán)節(jié)，再走向應(yīng)用：企業(yè)自用，如用戶數(shù)據(jù)在阿里巴巴集團(tuán)內(nèi)部的分析與使用，或分享、銷售給第三方，比如順豐和菜鳥網(wǎng)絡(luò)的數(shù)據(jù)接口。

這其中每個(gè)環(huán)節(jié)，都應(yīng)當(dāng)經(jīng)過用戶同意，因?yàn)橛脩魧?duì)個(gè)人信息擁有自決權(quán)，有權(quán)利自行決定其信息可否被利用以及利用到何種程度。

但目前立法主要導(dǎo)向在于防止侵害，對(duì)個(gè)人如何積極行使其信息權(quán)并無進(jìn)一步指引。

鑒于目前網(wǎng)絡(luò)運(yùn)營(yíng)的實(shí)際狀況，用戶對(duì)于注冊(cè)協(xié)議或使用協(xié)議都無太多了解。網(wǎng)絡(luò)運(yùn)營(yíng)者取得用戶同意的方式也是默示同意，即用戶使用該項(xiàng)產(chǎn)品或服務(wù)，推定其接受相關(guān)注冊(cè)或使用協(xié)議。因此多數(shù)用戶意識(shí)不到其個(gè)人信息被收集或使用的情況。

以個(gè)人默示同意方式為基礎(chǔ)建立起來的大數(shù)據(jù)產(chǎn)業(yè)，處于雙重不穩(wěn)定狀態(tài)：

一是授權(quán)不穩(wěn)定。用戶幾乎不看協(xié)議；對(duì)于平臺(tái)使用其信息的方式和范圍一無所知。假使逐項(xiàng)詢問，用戶很可能不會(huì)同意。

二是產(chǎn)權(quán)不穩(wěn)定。制度經(jīng)濟(jì)學(xué)認(rèn)為，產(chǎn)權(quán)是一束權(quán)利，由一組契約構(gòu)成。而用戶（被采集者）和企業(yè)間的契約關(guān)系并非基于明示同意而是默示同意，授權(quán)不穩(wěn)定，使契約在本質(zhì)上處于不穩(wěn)定狀態(tài)，數(shù)據(jù)財(cái)產(chǎn)權(quán)的歸屬必然處于長(zhǎng)期爭(zhēng)議中。

比如，6月30日支付寶旗下螞蟻花唄發(fā)布了《花唄用戶服務(wù)合同》（下稱《合同》）條款調(diào)整公告，《合同》對(duì)用戶信息搜集范圍之廣，卻無“為提供服務(wù)所必需”的基礎(chǔ)，也沒有取得用戶的明示同意的正當(dāng)性條件，因此受到公眾廣泛討伐。隨后花唄于7月3日更新了這一服務(wù)協(xié)議，修改了其最受爭(zhēng)議的內(nèi)容。

在建立分層次結(jié)構(gòu)化的個(gè)人信息權(quán)基礎(chǔ)上，參照中國(guó)科學(xué)技術(shù)法學(xué)會(huì)制定的《互聯(lián)網(wǎng)企業(yè)個(gè)人信息保護(hù)測(cè)評(píng)標(biāo)準(zhǔn)》，應(yīng)當(dāng)要求企業(yè)在下述情況下必須取得用戶明示同意：

1.收集個(gè)人信息的行為超出告知的目的、方式、范圍；

2.超出收集時(shí)所告知的目的和范圍加工、使用個(gè)人信息；

3.分享或者銷售個(gè)人信息給第三方；

4.除非作為法定義務(wù)用戶必須提供的，否則涉及核心敏感個(gè)人信息的一切收集、加工、存儲(chǔ)和流通行為。

參照歐盟經(jīng)驗(yàn)以及國(guó)家質(zhì)檢總局2012年頒布的《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》，立法應(yīng)該區(qū)別核心敏感信息和一般個(gè)人信息，對(duì)核心敏感信息采取特別保護(hù)制度，限制企業(yè)使用范圍和交易范圍。與此同時(shí)，對(duì)未成年人個(gè)人信息進(jìn)行更為嚴(yán)格的限制采集、存儲(chǔ)和交易管理。

我國(guó)還應(yīng)借鑒歐盟經(jīng)驗(yàn)，建立被遺忘權(quán)，在一定條件下用戶有權(quán)以通知方式，要求企業(yè)刪除并不再儲(chǔ)存?zhèn)€人信息，這一方式與《侵權(quán)責(zé)任法》下的“通知—?jiǎng)h除”規(guī)則精神一致，在實(shí)踐中并不難以實(shí)行。并且對(duì)于極端重視個(gè)人信息的人而言，是一條重要的救濟(jì)渠道。

阿里巴巴和騰訊掌握了足夠多的用戶數(shù)據(jù)，但現(xiàn)有階段，擁有個(gè)人信息數(shù)據(jù)最多的主體仍是政府。

與阿里巴巴等商業(yè)機(jī)構(gòu)不同，政府采集、存儲(chǔ)、使用、分享公民個(gè)人信息，應(yīng)主要靠法定規(guī)范，即“法有授權(quán)方可為”。

目前尚未看到，政府部門收集、存儲(chǔ)、加工和使用個(gè)人信息，應(yīng)當(dāng)遵循何等條件、正當(dāng)程序和安全保護(hù)措施。而這些內(nèi)容，應(yīng)當(dāng)是一個(gè)社會(huì)關(guān)于個(gè)人數(shù)據(jù)的社會(huì)契約中優(yōu)先級(jí)最高的條款。

（作者為北京律師，編輯：王敬愷）