王 智
(浙江理工大學(xué)法政學(xué)院 杭州 310016)
(iszh.wang@foxmail.com)
互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷是指通過Cookies收集用戶日常的網(wǎng)絡(luò)個(gè)人信息數(shù)據(jù),例如瀏覽網(wǎng)頁、網(wǎng)絡(luò)購物、使用相關(guān)app等,并基于對收集的個(gè)人信息的深度處理、分析,測算出用戶目前以及潛在的消費(fèi)趨勢,從而實(shí)現(xiàn)對用戶群體和用戶需求的精確定位,然后再通過互聯(lián)網(wǎng)對特定計(jì)算機(jī)或設(shè)備投放廣告[1].企業(yè)通過精準(zhǔn)化營銷實(shí)現(xiàn)廣告的定向投放,從而起到以最小的成本準(zhǔn)確定位消費(fèi)群體的目標(biāo),而用戶也可以通過允許自己的個(gè)人信息被收集從而獲得相應(yīng)的服務(wù),便利自己的生活.互聯(lián)網(wǎng)廣告的精準(zhǔn)化營銷,對于有關(guān)互聯(lián)網(wǎng)新興企業(yè)而言,具有促進(jìn)企業(yè)發(fā)展、提高企業(yè)服務(wù)水平的好處,對于整個(gè)國家互聯(lián)網(wǎng)新經(jīng)濟(jì)的發(fā)展,具有較大促進(jìn)意義.然而此種精準(zhǔn)化營銷如果不加以相應(yīng)規(guī)制也會帶來很多問題.因此如何做到互聯(lián)網(wǎng)創(chuàng)新經(jīng)濟(jì)的發(fā)展和用戶個(gè)人信息保護(hù)之間的平衡,突破現(xiàn)有模式構(gòu)建互聯(lián)網(wǎng)精準(zhǔn)化營銷中個(gè)人信息保護(hù)的新路徑,將是本文試圖解決的問題.
對用戶個(gè)人信息的非法收集和個(gè)人信息被收集之后遭受二次侵害是互聯(lián)網(wǎng)時(shí)代中個(gè)人信息面臨的重要挑戰(zhàn).隨著互聯(lián)網(wǎng)企業(yè)為了精準(zhǔn)定位消費(fèi)群體,促進(jìn)針對性營銷而采取的一系列針對用戶個(gè)人信息的手段的實(shí)施,上述2點(diǎn)挑戰(zhàn)變得愈發(fā)嚴(yán)峻.
1.2.1對個(gè)人信息的違法違規(guī)收集
為了實(shí)施互聯(lián)網(wǎng)廣告的精準(zhǔn)化營銷,不可避免地需要收集用戶的個(gè)人信息,通過對被收集個(gè)人信息的累積及分析,可以構(gòu)造出較為完整的人格圖像,極易挖掘出個(gè)人不愿為他人知曉的敏感信息,為個(gè)人帶來困擾、不安,引發(fā)寒蟬效應(yīng),乃至造成財(cái)產(chǎn)損失,對人格的發(fā)展造成嚴(yán)重的后果[2].用戶極容易在不知情的情況下,被有關(guān)互聯(lián)網(wǎng)企業(yè)對用戶在互聯(lián)網(wǎng)上的活動進(jìn)行全程的跟蹤和記錄,從而非法獲取用戶的個(gè)人信息.隨著有關(guān)規(guī)定的完善,越來越多的企業(yè)采取“告知-同意”的方式得到用戶同意,從而試圖合理獲取用戶個(gè)人信息,但是此種做法依然存在問題,下文會進(jìn)行詳細(xì)闡述.因此,企業(yè)為了實(shí)施精準(zhǔn)化營銷而實(shí)施的違法違規(guī)收集個(gè)人信息的問題依然不能很好解決.
1.2.2對個(gè)人信息的二次侵害
互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷給個(gè)人信息帶來的損害不僅僅集中在為了實(shí)施精準(zhǔn)化營銷而對用戶個(gè)人信息進(jìn)行收集的過程中.另一重要問題則是用戶個(gè)人信息被收集之后面臨非法買賣,走向不明,遭受二次侵害的風(fēng)險(xiǎn).也就是說,即使解決了合法收集用戶個(gè)人信息的問題,用戶的個(gè)人信息依然可能面臨二次侵害,而用戶自身因?yàn)槿狈ο鄳?yīng)的知情權(quán)、監(jiān)督權(quán)以及刪除權(quán),很難避免自身信息遭受二次侵害.2018年3月18日,美國《紐約時(shí)報(bào)》和英國《衛(wèi)報(bào)》等媒體同時(shí)發(fā)文稱,Cambridge Analytica公司利用了從Facebook不當(dāng)收集的5 000萬用戶的個(gè)人數(shù)據(jù),來為美國大選參選人提供數(shù)據(jù)采集、分析和戰(zhàn)略傳播,簡單來說,就是“操縱民意”,而現(xiàn)任美國總統(tǒng)特朗普就是Cambridge Analytica公司此前的客戶[3].Facebook事件正表明了對個(gè)人信息不正當(dāng)?shù)亩卫脮順O大的危害.
個(gè)人信息通常被定義為與特定的自然人相關(guān),可以單獨(dú)或者與其他信息結(jié)合,識別該特定自然人的所有信息[4].在互聯(lián)網(wǎng)時(shí)代,隨著大數(shù)據(jù)技術(shù)的普及,個(gè)人信息逐漸呈現(xiàn)出前所未有的價(jià)值.國家需要通過獲取分析利用個(gè)人信息實(shí)現(xiàn)大數(shù)據(jù)的覆蓋,從而達(dá)到治理國家、完善服務(wù)、促進(jìn)經(jīng)濟(jì)社會發(fā)展的目的.企業(yè)也通過大量收集個(gè)人信息,深入了解用戶需求,進(jìn)行統(tǒng)一規(guī)劃配置,達(dá)成產(chǎn)品廣告的有效投放等一系列營銷目的.可以說互聯(lián)網(wǎng)時(shí)代的個(gè)人信息已經(jīng)成為一種異常珍貴的“財(cái)富”.
1.3.1個(gè)人信息與個(gè)人隱私
互聯(lián)網(wǎng)廣告精準(zhǔn)化投放過程中的個(gè)人信息保護(hù),是否應(yīng)當(dāng)與對個(gè)人隱私的保護(hù)進(jìn)行區(qū)分,筆者認(rèn)為是有必要的.個(gè)人信息權(quán)和個(gè)人隱私權(quán)的區(qū)分,在法學(xué)界一直是個(gè)難以明確的問題.有學(xué)者認(rèn)為,個(gè)人隱私權(quán)和個(gè)人信息權(quán)是2種獨(dú)立的權(quán)利.隱私權(quán)大體為一種精神性的人格權(quán),即使其可以被利用,但是它的財(cái)產(chǎn)價(jià)值仍然并非非常明顯,隱私大致體現(xiàn)的還是人格利益;而個(gè)人信息權(quán)在性質(zhì)上屬于一種集人格利益與財(cái)產(chǎn)利益于一體的綜合性權(quán)利[5],筆者贊同此種觀點(diǎn).2012年《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》,是我國首部關(guān)于個(gè)人信息保護(hù)的立法,也是對個(gè)人隱私和個(gè)人信息加以區(qū)分并分別進(jìn)行保護(hù):一是個(gè)人的隱私,強(qiáng)調(diào)對于個(gè)人的秘密性;二是能夠識別個(gè)人身份的信息,強(qiáng)調(diào)與特定個(gè)人的相關(guān)性和可識別性[6].2017年《中華人民共和國網(wǎng)絡(luò)安全法》也進(jìn)一步詳細(xì)規(guī)定了個(gè)人信息的定義,認(rèn)為自然人的個(gè)人信息是通過結(jié)合或者單獨(dú)認(rèn)證,可以識別特定人身份的各種信息,進(jìn)一步突出了個(gè)人信息的特征.可以發(fā)現(xiàn),在互聯(lián)網(wǎng)廣告定向投放的時(shí)代下,遭受侵害的更多并不是不能夠?yàn)橥馊说赖木哂忻孛苄缘膫€(gè)人隱私,而是長期缺失重視和保護(hù)的、與特定主體相關(guān)聯(lián)的個(gè)人信息,例如姓名、手機(jī)號碼、家庭住址、血型等等.顯然前者通過隱私權(quán)已經(jīng)能夠較好地對其進(jìn)行保護(hù).但是即使如以上區(qū)分,部分個(gè)人信息仍然具有個(gè)人隱私的特征,此時(shí)可以通過權(quán)利客體對兩者進(jìn)行區(qū)分,也就是說前者更注重的是私密性的信息或者個(gè)人的活動,而后者強(qiáng)調(diào)對個(gè)人的“識別性”,此時(shí)的“識別性”需要有記錄信息的載體.比如個(gè)人的性生活如果沒有被記錄下來則不屬于個(gè)人信息而更多是個(gè)人隱私,但是如果通過一定方式記錄下來并且能夠識別出特定的主體,那么此時(shí)就應(yīng)該屬于個(gè)人信息.當(dāng)然,當(dāng)某種行為侵害他人隱私權(quán)或個(gè)人信息權(quán)時(shí),有可能同時(shí)侵害這2種權(quán)利,受害人可以選擇對自身最為有利的方式加以主張.但是從整體來說,個(gè)人信息遠(yuǎn)遠(yuǎn)超過了隱私的范圍.因此互聯(lián)網(wǎng)時(shí)代的新背景下,保護(hù)個(gè)人信息首先應(yīng)當(dāng)區(qū)分個(gè)人信息和個(gè)人隱私.
1.3.2個(gè)人信息的類型
筆者認(rèn)為個(gè)人信息應(yīng)進(jìn)一步區(qū)分為敏感個(gè)人信息和一般個(gè)人信息.所謂敏感個(gè)人信息是指關(guān)涉?zhèn)€人核心領(lǐng)域、具有高度私密性、對其公開或利用將會對個(gè)人造成重大影響的個(gè)人信息[7].多個(gè)國家和地區(qū)已經(jīng)通過例舉式的立法模式確定了什么是敏感個(gè)人信息.如1995年《歐盟數(shù)據(jù)保護(hù)指令》規(guī)定的敏感信息包括關(guān)涉?zhèn)€人種族起源、政治觀點(diǎn)、宗教或者哲學(xué)信仰、貿(mào)易伙伴以及健康和性生活的個(gè)人信息,2002年德國《聯(lián)邦個(gè)人資料保護(hù)法》規(guī)定種族、政治信仰、宗教或哲學(xué)、工會成員資格、健康或性生活5類敏感信息,我國臺灣地區(qū)2010年《個(gè)人資料保護(hù)法》明確列舉了5種敏感信息,包括醫(yī)療、基因、性生活、健康檢查及犯罪前科信息[8].我國《征信業(yè)管理?xiàng)l例》第14條第1款也有相關(guān)規(guī)定.很明顯,敏感個(gè)人信息因其特殊性,除非在立法規(guī)定的特殊情況下,不應(yīng)該被任何行政機(jī)關(guān)、商業(yè)機(jī)構(gòu)以任何理由所獲取,也就是說對于敏感個(gè)人信息的保護(hù)應(yīng)當(dāng)適用法律保留原則.除去不可讓渡的敏感個(gè)人信息,便是可讓渡的一般個(gè)人信息.
為了更有針對性地對互聯(lián)網(wǎng)時(shí)代個(gè)人信息進(jìn)行保護(hù),一般個(gè)人信息還應(yīng)該進(jìn)一步進(jìn)行分類.有學(xué)者指出:“誰、何時(shí)以及在何種情況對其了解什么,這樣一種社會秩序設(shè)想在信息社會已然成為幻想”[9],此種觀點(diǎn)是對源自德國的“個(gè)人信息自決權(quán)”的反思,所謂個(gè)人信息自決權(quán),來自于德國著名的“人口普查案”.即對其所有的個(gè)人信息都依法享有按自己的意志能動使用的權(quán)利,它保護(hù)的是個(gè)人自己決定人格的發(fā)展和自我表現(xiàn),以其自身可控制的自我表達(dá)方式或者通過與社會中他人進(jìn)行交流的形式傳達(dá)出去[10].這種個(gè)人信息自決權(quán)似乎在21世紀(jì)互聯(lián)網(wǎng)時(shí)代來臨之時(shí),已經(jīng)成為一個(gè)幾乎不可能實(shí)現(xiàn)的權(quán)利.因?yàn)樵谛畔⒏咚倭鲃雍徒粨Q的新時(shí)期,要想讓個(gè)人的每一項(xiàng)信息都完全處于自身的掌控之下,似乎是一項(xiàng)不可能完成的任務(wù).但筆者認(rèn)為只要是個(gè)人信息,信息主體對其就應(yīng)當(dāng)有一定的掌控權(quán),但掌控的強(qiáng)度則應(yīng)該按照對個(gè)人信息不同層次的劃分而有所區(qū)別.這既有利于促進(jìn)互聯(lián)網(wǎng)經(jīng)濟(jì)和個(gè)人信息保護(hù)之間的平衡,也有利于保障用戶的使用體驗(yàn)和便捷性.上文提到的敏感個(gè)人信息因其特殊性,不能被互聯(lián)網(wǎng)廣告主體所獲取.因此針對一般個(gè)人信息,根據(jù)其與個(gè)人關(guān)聯(lián)的緊密程度和一旦泄露的風(fēng)險(xiǎn)程度的再次分類就顯得極有必要.對直接的、風(fēng)險(xiǎn)性較強(qiáng)的個(gè)人信息賦予信息所有人個(gè)人信息自決權(quán),也就是包含前期的積極同意方可收集和收集過程中持續(xù)對信息走向的監(jiān)督.所謂的直接的風(fēng)險(xiǎn)性較強(qiáng)的個(gè)人信息是指個(gè)人信息與信息主體識別程度比較高,一旦泄露很容易直接對信息主體造成侵害的個(gè)人信息,例如信息主體的姓名、家庭住址、手機(jī)號碼,甚至包括支付寶賬號等信息,除此之外的個(gè)人信息,因?yàn)槠渑c信息主體不具有較強(qiáng)的關(guān)聯(lián)性,一旦泄露風(fēng)險(xiǎn)性便相對較小,受保護(hù)的程度則可以相對較低.
對于互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷中的個(gè)人信息保護(hù),一是規(guī)制精準(zhǔn)化營銷領(lǐng)域中對用戶個(gè)人信息的收集行為,二是個(gè)人信息被收集之后的走向?qū)π畔⒅黧w來說缺乏透明度,以及針對被收集的個(gè)人信息的二次侵害問題.在這2個(gè)方面,美國和歐盟立法先進(jìn),應(yīng)對措施完善,具有一定的借鑒意義.
2.1.1美國的“分散立法”模式
在個(gè)人信息保護(hù)領(lǐng)域,美國采取的主要是“分散立法”和“行業(yè)立法”的模式,首先這種立法模式與美國的多元化立法格局具有很大的關(guān)系.立法部門創(chuàng)制成文法,行政部門通過規(guī)則和規(guī)定及其解釋創(chuàng)制行政法,法院通過其裁判來創(chuàng)制判例法或普通法.不同層級立法對個(gè)人信息進(jìn)行保護(hù).美國針對個(gè)人信息的分散式立法模式的另一大特點(diǎn)是公共領(lǐng)域和私人領(lǐng)域分別立法.美聯(lián)邦政府制定的《隱私權(quán)法》和《金融隱私權(quán)法》都只能限制聯(lián)邦政府對個(gè)人信息的處理.而另外制定的《公平信用報(bào)告法》和《公平準(zhǔn)確信用交易法》卻可以規(guī)制政府以外的其他組織對個(gè)人信息的收集處理和使用.此外,針對個(gè)人信息保護(hù),美國還制定了大量個(gè)人信息保護(hù)的行業(yè)自治規(guī)范,通過政府立法和行業(yè)規(guī)范共同促進(jìn)對個(gè)人信息的保護(hù).比如,美國聯(lián)邦貿(mào)易委員會(FTC)發(fā)布了針對精準(zhǔn)化營銷廣告的行業(yè)自律原則,明確規(guī)定了定向廣告數(shù)據(jù)使用的透明原則、安全原則、有限信息保留、告知-同意等條例.尤其是對個(gè)人信息數(shù)據(jù)的二次使用問題,提出了在對數(shù)據(jù)進(jìn)行二次使用時(shí),應(yīng)當(dāng)再次向消費(fèi)者告知并征求明示同意,同時(shí)向FTC進(jìn)行報(bào)告.
2.1.2歐盟的“統(tǒng)一立法,區(qū)別處理”模式
與美國不同的是,歐洲大多數(shù)國家采取的都是國家主導(dǎo)的立法模式,歐盟通過在1995年頒布的《關(guān)于個(gè)人數(shù)據(jù)處理及自由流通個(gè)人保護(hù)指令》(以下簡稱《指令》)對個(gè)人信息權(quán)進(jìn)行了詳盡羅列,包含幾乎所有類別的個(gè)人信息.并且通過《指令》,統(tǒng)一公法領(lǐng)域和私法領(lǐng)域?qū)€(gè)人信息的保護(hù),統(tǒng)一由《指令》進(jìn)行調(diào)整,無需通過其他立法進(jìn)行個(gè)人信息的保護(hù).此外歐盟對個(gè)人信息保護(hù)奉行“統(tǒng)一調(diào)整,區(qū)別處理”的方式,所謂“統(tǒng)一調(diào)整”,就是立法在保護(hù)對象上盡可能地包含所有的個(gè)人信息,通過一部《指令》進(jìn)行統(tǒng)一調(diào)整;2016年歐盟頒布《一般數(shù)據(jù)條例》(以下簡稱《條例》),《條例》對《指令》進(jìn)行了修正,但是本質(zhì)還是通過統(tǒng)一的立法規(guī)定個(gè)人信息的保護(hù).但“區(qū)別處理”又強(qiáng)調(diào)根據(jù)涉及信息與個(gè)人的關(guān)聯(lián)程度、風(fēng)險(xiǎn)程度、保護(hù)狀態(tài)不同,收集方式的不同,立法應(yīng)為不同種類的信息提供不同強(qiáng)度等級的保護(hù)[11].比如歐盟立法規(guī)定,針對12歲以下的兒童,不能以定向廣告為目的收集他們的信息,這一點(diǎn)體現(xiàn)了歐盟區(qū)別調(diào)整的處理方式.
美國在互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷中的個(gè)人信息保護(hù)中,更看重市場企業(yè)自身的自律行為,提出了透明原則、安全原則、有限信息保留以及經(jīng)典的“告知-同意”模式,還針對信息的二次使用提出了使用者負(fù)有應(yīng)當(dāng)在二次使用時(shí)及時(shí)向FTC匯報(bào)并向用戶征求同意之義務(wù).美國加州2002年頒布的《安全泄露通知法案》中更是規(guī)定了數(shù)據(jù)泄露通知制度,嚴(yán)格規(guī)定了數(shù)據(jù)泄露之后通知的對象、時(shí)間和內(nèi)容.歐盟則通過新頒布的《條例》,在將普通“告知-同意”修正為積極的“告知-同意”之外,還明確提出賦予信息主體以刪除權(quán),即進(jìn)一步完善用戶對個(gè)人信息的“自決”之權(quán)利.并且提出收集的個(gè)人信息假名化處理,讓個(gè)人身份更難被識別.此外,歐盟也建立了信息泄露通知制度,規(guī)定信息一旦泄露,有關(guān)企業(yè)應(yīng)當(dāng)及時(shí)通知主管部門和信息主體,并且詳細(xì)規(guī)定具體的通知方式和其他細(xì)節(jié).《條例》還創(chuàng)新性提出建立有關(guān)數(shù)據(jù)保護(hù)官員制度,該官員履行監(jiān)督企業(yè)或組織數(shù)據(jù)處理合規(guī)性的職責(zé),在發(fā)生數(shù)據(jù)處理違規(guī)操作時(shí)承擔(dān)法律責(zé)任[12].
① 《民法總則》第111條:自然人的個(gè)人信息受法律保護(hù).任何組織和個(gè)人需要獲取他人個(gè)人信息的,應(yīng)當(dāng)依法取得并確保信息安全,不得非法收集、使用、加工、傳輸他人個(gè)人信息,不得非法買賣、提供或者公開他人個(gè)人信息.
美國和歐盟對個(gè)人的信息保護(hù)都是扎根于本國的國情而采取的立法模式.從立法模式上,根據(jù)我國國情,采取統(tǒng)一的立法較為可取,因此可以參考?xì)W盟的統(tǒng)一立法模式,明確我國個(gè)人信息權(quán)和有關(guān)權(quán)利內(nèi)容并制定統(tǒng)一的保護(hù)規(guī)則,建立統(tǒng)一的標(biāo)準(zhǔn).其次,為了更好地適應(yīng)互聯(lián)網(wǎng)新經(jīng)濟(jì)的發(fā)展,真正將對個(gè)人信息的保護(hù)落到實(shí)處,還應(yīng)當(dāng)學(xué)習(xí)歐盟的區(qū)別處理模式,對不同的情況進(jìn)行分別的處理,具體的措施和建議,下文會詳細(xì)進(jìn)行闡述.最后針對我國立法不夠完善的現(xiàn)狀,也可以考慮結(jié)合美國的行業(yè)協(xié)會自治規(guī)范等經(jīng)驗(yàn),借助民間力量,將統(tǒng)一立法和行業(yè)制定協(xié)會自治規(guī)范相結(jié)合,促進(jìn)對個(gè)人信息的保護(hù).從保護(hù)手段上來看,歐盟和美國已經(jīng)逐步突破現(xiàn)有的“告知-同意模式”,由僅僅對個(gè)人信息的收集進(jìn)行規(guī)制轉(zhuǎn)向?qū)€(gè)人信息被收集使用的全程進(jìn)行監(jiān)控和管制,從而能夠更有效地從整體上應(yīng)對互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷中個(gè)人信息的保護(hù).
近年來隨著互聯(lián)網(wǎng)時(shí)代的來臨和大數(shù)據(jù)經(jīng)濟(jì)的發(fā)展,我國對于個(gè)人信息的保護(hù)也日益重視.全國人大2012年通過《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》.國務(wù)院2013年發(fā)布的經(jīng)過修訂的《征信管理?xiàng)l例》也對征信行業(yè)的個(gè)人信息采集進(jìn)行了詳細(xì)規(guī)定.2014年《消費(fèi)者保護(hù)權(quán)益法》出臺,加強(qiáng)了對消費(fèi)者的個(gè)人信息保護(hù).2014年還專門出臺針對互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷的《中國互聯(lián)網(wǎng)定向廣告用戶信息保護(hù)行業(yè)框架標(biāo)準(zhǔn)》(以下簡稱(框架))對個(gè)人信息進(jìn)行保護(hù).《框架》出臺,一方面推動了各單位加強(qiáng)自身合規(guī)和商譽(yù)建設(shè),另一方面實(shí)現(xiàn)互聯(lián)網(wǎng)用戶對自身信息的控制權(quán)[13].另外,《民法總則》第111條也加入了關(guān)于個(gè)人信息保護(hù)的相關(guān)規(guī)定①.對于《民法總則》第111條中個(gè)人信息相關(guān)規(guī)定,有學(xué)者認(rèn)為,第111條中的個(gè)人信息雖然沒有明確定為個(gè)人信息權(quán),但是從法律所保護(hù)的課題和比較法的基礎(chǔ)上來看,第111條可以視作明確規(guī)定了個(gè)人信息權(quán)[14].這些法律法規(guī)的出臺,對于我國互聯(lián)網(wǎng)時(shí)代下,用戶個(gè)人信息的保護(hù)具有非常大的意義,也切實(shí)改善了個(gè)人信息被侵害的嚴(yán)重局面.體現(xiàn)了政府對于互聯(lián)網(wǎng)時(shí)代個(gè)人信息保護(hù)的密切關(guān)注.比如《框架》中就嚴(yán)格規(guī)定了有關(guān)廣告主和相關(guān)企業(yè)在用戶被告知和同意后才可對用戶個(gè)人信息進(jìn)行處理的義務(wù),還包括收集信息時(shí)應(yīng)當(dāng)符合最小限度原則等一系列針對互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷過程中用戶個(gè)人信息保護(hù)的廣告主和相關(guān)企業(yè)應(yīng)當(dāng)承擔(dān)的義務(wù)和采取的措施,這也是我國第1份直接針對互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷所提出的框架協(xié)定.
最新出臺的《中國互聯(lián)網(wǎng)定向廣告用戶信息保護(hù)行業(yè)框架標(biāo)準(zhǔn)》指出,服務(wù)提供方應(yīng)向用戶提供關(guān)于:1)是否同意為互聯(lián)網(wǎng)廣告目的收集和使用用戶信息的選擇機(jī)制;2)是否同意與非關(guān)聯(lián)方共享該等信息的選擇機(jī)制.這就是當(dāng)今世界各國在針對企業(yè)收集用戶個(gè)人信息時(shí)普遍采取的保護(hù)模式——“告知-同意”模式,此種模式的優(yōu)點(diǎn)在于可以提前告知用戶并且在征得用戶的同意之后方可對用戶的個(gè)人信息進(jìn)行收集.此外《框架》中還提出用戶應(yīng)具有對個(gè)人信息走向的知情權(quán),確保用戶獲得此項(xiàng)知情權(quán)的實(shí)施主體是第三方企業(yè)和服務(wù)方,規(guī)制對象是第三方企業(yè)在買賣使用個(gè)人信息時(shí)的不當(dāng)行為.另外還有收集信息的最小限度原則,所謂最小限度原則是指,有關(guān)企業(yè)在收集用戶個(gè)人信息時(shí),應(yīng)當(dāng)以滿足自身提供服務(wù)目的的最小限度為標(biāo)準(zhǔn).另外,除了以上模式,還存在“DNT(do not trake)”模式,但這種模式更像是一種君子協(xié)定.如果你啟用請勿跟蹤,在訪問某個(gè)網(wǎng)站時(shí),瀏覽器向網(wǎng)站服務(wù)器發(fā)送的HTTP頭文件將包含請勿跟蹤的信息,但網(wǎng)站可以置之不理,繼續(xù)收集信息.
和歐美相關(guān)個(gè)人信息保護(hù)的法律法規(guī)相比,我國立法對于個(gè)人信息保護(hù)存在的問題有如下幾點(diǎn):
1) 沒有明確個(gè)人信息權(quán)的地位.雖然《民法總則》第111條可以視作規(guī)定了個(gè)人信息權(quán),但是僅僅是從學(xué)理分析上進(jìn)行如此解釋,缺乏進(jìn)一步體系化、正規(guī)化地明確個(gè)人信息權(quán)的獨(dú)立地位.并且個(gè)人信息權(quán)因?yàn)槿狈Κ?dú)立的地位至今與個(gè)人隱私?jīng)]有明確界分,這種立法現(xiàn)狀已經(jīng)嚴(yán)重不適應(yīng)實(shí)際的情況,因?yàn)樵诨ヂ?lián)網(wǎng)時(shí)代,缺乏保護(hù)的往往并不是較為隱秘的個(gè)人隱私,而更多的是能夠識別身份的個(gè)人信息.事實(shí)上前者已經(jīng)通過隱私權(quán)的設(shè)立得到較為全面的保護(hù).
2) 對個(gè)人信息的保護(hù)較為粗糙,沒有根據(jù)敏感程度進(jìn)一步進(jìn)行評估和分類,這往往會導(dǎo)致實(shí)際適用法律的效率低下,流于形式.個(gè)人信息中實(shí)際包括敏感的個(gè)人信息和一般的個(gè)人信息.如果對程度不同的個(gè)人信息不將其進(jìn)行分類并區(qū)別進(jìn)行調(diào)整,就很有可能出現(xiàn)如下情況:對一般的間接性的個(gè)人信息采取過于嚴(yán)苛的保護(hù)措施,導(dǎo)致有關(guān)企業(yè)信息保護(hù)的成本過高,帶來沉重負(fù)擔(dān),阻礙數(shù)據(jù)流通和創(chuàng)新應(yīng)用,從而造成個(gè)人信息被收集所帶來的福祉和個(gè)人信息保護(hù)之間的不協(xié)調(diào).信息主體也會因?yàn)閮H僅是一般個(gè)人信息的保護(hù),需要時(shí)刻處于被告知和“同意”的情形,從而失去互聯(lián)網(wǎng)時(shí)代的“安寧”權(quán)利.而如果對于敏感的個(gè)人信息采用一般的保護(hù)措施,就會出現(xiàn)敏感個(gè)人信息被非法收集使用和處理的情形,從而造成信息主體嚴(yán)重的損失.
3) 對個(gè)人信息權(quán)應(yīng)當(dāng)包含哪些具體的權(quán)利內(nèi)容并未進(jìn)行具體規(guī)定,僅僅通過零散的法律法規(guī)包括行業(yè)規(guī)定,表明用戶應(yīng)當(dāng)享有對個(gè)人信息的決定權(quán)、更正權(quán)、知情權(quán)等.但是因?yàn)槿狈w系化,在具體保護(hù)過程中,難以做到統(tǒng)一標(biāo)準(zhǔn)、有效保護(hù).尤其是面對互聯(lián)網(wǎng)廣告的精準(zhǔn)化營銷的情形,除了對個(gè)人信息收集行為進(jìn)行規(guī)制,為了達(dá)到精準(zhǔn)投放的目的,大量第三方企業(yè)會參與用戶個(gè)人信息的買賣,在此情形下,如果不能明確用戶對個(gè)人信息走向的知情權(quán)、決定權(quán),將使此種情況下的個(gè)人信息保護(hù)變得難以進(jìn)行.
4) 從保護(hù)模式的實(shí)踐來看,傳統(tǒng)“告知-同意”模式如果不加以更新和在使用前對個(gè)人信息的風(fēng)險(xiǎn)程度進(jìn)行評估,區(qū)分具體情況適用,會隨之產(chǎn)生一系列的弊端.首先,對于一般個(gè)人信息中的間接性的風(fēng)險(xiǎn)程度較低的個(gè)人信息,采取積極的“告知-同意”模式缺乏必要性.因?yàn)榇朔N間接的風(fēng)險(xiǎn)程度較低的個(gè)人信息對特定個(gè)體的識別程度較低,對用戶造成侵害的風(fēng)險(xiǎn)較小,保護(hù)的緊急程度也相對較低.全部對其采用積極的“告知-同意”模式也會給用戶和企業(yè)帶來較大負(fù)擔(dān).但是不可否認(rèn)的是對于一般個(gè)人信息中的直接性的風(fēng)險(xiǎn)程度較高的個(gè)人信息,因?yàn)槠渑c特定個(gè)體之間的關(guān)系更為緊密,識別程度更高,采用積極的“告知-同意”的保護(hù)模式是可取的.但是現(xiàn)有的“告知-同意”模式很顯然并不足以切實(shí)保護(hù)用戶的個(gè)人信息權(quán).首先此處的“同意”難以自由作出.因?yàn)闉榱耸褂镁W(wǎng)絡(luò)服務(wù)提供商的服務(wù),信息主體除了同意外并沒有其他的可選項(xiàng),如果不以服務(wù)商所需要的個(gè)人信息進(jìn)行交換,就無法享受他們提供的相應(yīng)服務(wù)和產(chǎn)品[15].所以還需對現(xiàn)有的“告知-同意”的保護(hù)模式加以改革,使其能夠賦予用戶基本的磋商權(quán)和自由選擇權(quán),使用戶對于自己的個(gè)人信息能夠擁有真正意義上的“主導(dǎo)權(quán)”,而非不真實(shí)的“同意”.而“DNT”模式則更是一個(gè)志愿遵守的系統(tǒng),而絕大多數(shù)網(wǎng)站都不遵守DNT,使得這種模式實(shí)際上沒有任何作用[16].這種模式的核心理念,比較接近近些年有些學(xué)者提出所謂“信賴?yán)砟睢保簿褪窍Mx予有關(guān)企業(yè)以所謂“忠實(shí)義務(wù)”和“勤勉義務(wù)”,以期建立起信息主體和企業(yè)主體之間的“信賴關(guān)系”[17].此種理念和模式因其缺乏強(qiáng)制性,在具有逐利性的市場經(jīng)濟(jì)中顯得意義不大.
5) 在個(gè)人信息被收集之后不斷流轉(zhuǎn)的過程中,很多情形下用戶對其信息的被收集和流轉(zhuǎn)情況并不知情,難以對第三方主體的有關(guān)行為進(jìn)行監(jiān)控和知情.也就是說僅僅采用“告知-同意”模式,只是用戶和信息收集方簽訂了協(xié)議,對于二者之外的第三方,往往缺少相關(guān)規(guī)制,即用戶缺乏對個(gè)人信息走向的監(jiān)督權(quán)和知情權(quán).《中華人民共和國網(wǎng)絡(luò)安全法》規(guī)定了數(shù)據(jù)泄露通知制度,但是對于數(shù)據(jù)泄露通知義務(wù)的通知對象、通知時(shí)間、通知內(nèi)容等具體的制度要件規(guī)定并不明確,不能很好地保護(hù)用戶對個(gè)人信息被收集之后的監(jiān)督權(quán)和知情權(quán).雖然《中國互聯(lián)網(wǎng)定向廣告用戶信息保護(hù)行業(yè)框架標(biāo)準(zhǔn)》較為詳細(xì)地提出第三方和服務(wù)提供方應(yīng)當(dāng)促進(jìn)實(shí)現(xiàn)用戶對個(gè)人信息的控制,但是很多地方表述較為模糊,并且因?yàn)椤犊蚣堋菲浔举|(zhì)還是一種行業(yè)的自治協(xié)定,不具有任何的強(qiáng)制效力,容易變成“象征性”規(guī)定.《框架》規(guī)定用戶擁有的此項(xiàng)權(quán)利是通過第三方企業(yè)和信息直接收集方給予的,也就是說更多寄希望于企業(yè)能夠及時(shí)發(fā)現(xiàn)補(bǔ)救用戶個(gè)人信息的泄露問題,其進(jìn)一步提出的所謂企業(yè)自查、員工舉報(bào)等舉措也基本都寄托于企業(yè)的行業(yè)自律.根據(jù)經(jīng)濟(jì)規(guī)律,作為商主體的企業(yè)具有逐利性,在利益面前,大多數(shù)企業(yè)會在自身利益和用戶信息安全面前權(quán)衡比較守法守規(guī)能夠給自己帶來的利益,因此可能會造成所謂“選擇性”守約的局面.因此如果不加以嚴(yán)格立法規(guī)制和其他手段而僅僅寄托于企業(yè)自律,可以說用戶并不能期望通過《框架》而得到真正的“信息自決”之權(quán)利.
針對我國個(gè)人信息權(quán)相關(guān)立法路徑,提出如下建議:
1) 立法嚴(yán)格對個(gè)人信息權(quán)進(jìn)行界定和分類.
明確個(gè)人信息權(quán)與隱私權(quán)的區(qū)別,突出個(gè)人信息權(quán)的可識別身份的特性,將其明確規(guī)定為一項(xiàng)獨(dú)立的民事權(quán)利.并且詳細(xì)規(guī)定個(gè)人信息權(quán)的概念、客體以及相關(guān)權(quán)利內(nèi)容,做到互聯(lián)網(wǎng)時(shí)代個(gè)人信息保護(hù)的有法可依.并且在此基礎(chǔ)上,對個(gè)人信息權(quán)中的個(gè)人信息進(jìn)行進(jìn)一步劃分,按照敏感程度的不同將其劃分為敏感性個(gè)人信息和一般個(gè)人信息.此種劃分有利于保護(hù)的精細(xì)化和準(zhǔn)確化.劃分標(biāo)準(zhǔn)應(yīng)當(dāng)是參照國際通行做法,結(jié)合我國國情,將宗教信仰、犯罪數(shù)據(jù)、健康數(shù)據(jù)等個(gè)人信息劃入敏感個(gè)人信息當(dāng)中,并且這種敏感個(gè)人信息的界定不應(yīng)是靜止的,應(yīng)根據(jù)社會實(shí)際情況的變動而時(shí)刻予以立法上的更新.一般來說,從現(xiàn)行很多國家的立法來看,對個(gè)人敏感信息一般是禁止征集與處理的[18].因此我們在立法上區(qū)分開敏感性個(gè)人信息和一般個(gè)人信息之后,相關(guān)機(jī)構(gòu)對敏感性個(gè)人信息的收集和使用應(yīng)當(dāng)適用法律保留原則,除非法律特殊規(guī)定,一律不得收集處理和使用.一般個(gè)人信息則因?yàn)槠渥陨淼拿舾行暂^低,則可以依照法律規(guī)定合法地收集處理和使用.
2) 設(shè)立“風(fēng)險(xiǎn)評估”機(jī)制,對一般個(gè)人信息進(jìn)行保護(hù)層級劃分,在此基礎(chǔ)上有選擇地適用“告知-同意”模式.
除去上文提到的敏感性個(gè)人信息,對于精準(zhǔn)化營銷過程中被收集處理和使用的一般個(gè)人信息的保護(hù)不應(yīng)是一攬子不加甄別和區(qū)分的保護(hù).一般個(gè)人信息中還應(yīng)當(dāng)根據(jù)風(fēng)險(xiǎn)程度進(jìn)行區(qū)分,有的一般個(gè)人信息與信息主體關(guān)聯(lián)性較強(qiáng),較為直接,一旦泄露風(fēng)險(xiǎn)程度較高,有的個(gè)人信息的識別性不高,則風(fēng)險(xiǎn)程度較低.互聯(lián)網(wǎng)新經(jīng)濟(jì)形勢下,互聯(lián)網(wǎng)廣告的精準(zhǔn)化營銷對于促進(jìn)經(jīng)濟(jì)的創(chuàng)新和發(fā)展具有極大的意義,因此如果對其采取過于嚴(yán)苛的規(guī)制手段,會導(dǎo)致企業(yè)門檻過高,正當(dāng)收集處理和使用信息的成本過高,從而不宜于新經(jīng)濟(jì)的創(chuàng)新和發(fā)展.因此立法中應(yīng)當(dāng)規(guī)定企業(yè)收集信息時(shí)引入“風(fēng)險(xiǎn)評估”機(jī)制,對不同風(fēng)險(xiǎn)程度的個(gè)人信息采取不同的保護(hù)手段.在建立風(fēng)險(xiǎn)評估機(jī)制的基礎(chǔ)上,針對風(fēng)險(xiǎn)程度較高、直接關(guān)聯(lián)性較強(qiáng)的個(gè)人信息,企業(yè)收集使用和處理時(shí)嚴(yán)格適用“告知-同意”模式,即嚴(yán)格告知用戶相關(guān)個(gè)人信息可能被收集處理和使用的情形,只有用戶同意才可進(jìn)行收集處理使用行為.但針對風(fēng)險(xiǎn)評估后與信息主體關(guān)聯(lián)程度較低、風(fēng)險(xiǎn)程度較小的個(gè)人信息無需采用“告知-同意”模式,只要用戶沒有表示拒絕即可不經(jīng)同意加以使用.這一點(diǎn)在日本最新的有關(guān)立法規(guī)定中已經(jīng)得以呈現(xiàn).日本《個(gè)人信息保護(hù)法》修正案中規(guī)定,刪除名字等使特定個(gè)人無法被鎖定的信息即使沒有本人的同意也可提供給第三方[19].
3) 修正“告知-同意”模式,增加“個(gè)性化”協(xié)議規(guī)定.
增加“個(gè)性化”協(xié)議規(guī)定.現(xiàn)有的“告知-同意”模式是建立在互聯(lián)網(wǎng)精準(zhǔn)化營銷的企業(yè)和個(gè)人信息主體之間的用戶協(xié)議基礎(chǔ)之上.面對此種用戶協(xié)議往往用戶自身并沒有磋商和選擇的余地,如果信息主體想要得到企業(yè)的服務(wù),必須選擇接受此種協(xié)議,從某種程度上來說,此時(shí)的“同意”是信息主體一種不得已而為之的“同意”,因此如何改進(jìn)這種保護(hù)模式,筆者認(rèn)為應(yīng)當(dāng)通過協(xié)議的“個(gè)性化”賦予用戶一定的磋商權(quán).所謂“個(gè)性化”協(xié)議,可以采取設(shè)立“關(guān)鍵詞”的協(xié)議模式,具體來說是立法規(guī)定企業(yè)應(yīng)當(dāng)承擔(dān)允許用戶自主決定哪些個(gè)人信息不能被收集的義務(wù),在協(xié)議中設(shè)立“關(guān)鍵詞”空欄,用戶在空欄中可以填入一定的“關(guān)鍵詞”,在后續(xù)有關(guān)企業(yè)對用戶使用服務(wù)時(shí)產(chǎn)生的個(gè)人信息進(jìn)行收集處理和使用時(shí),應(yīng)通過技術(shù)手段,主動避免對包含此種關(guān)鍵詞的個(gè)人信息進(jìn)行有關(guān)操作.通過此種模式,既可讓用戶在保證自身磋商權(quán)利的同時(shí)又能享受到企業(yè)提供的服務(wù),企業(yè)也可以達(dá)到合法合規(guī)收集用戶個(gè)人信息的目的.
4) 建立“用者有其責(zé)”機(jī)制并賦予用戶對信息走向的監(jiān)督權(quán)和刪除權(quán).
互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷,實(shí)施精準(zhǔn)化營銷的企業(yè)往往不是直接收集個(gè)人信息的企業(yè),而是通過個(gè)人信息的買賣和后續(xù)處理,對有關(guān)用戶進(jìn)行廣告的精準(zhǔn)化投放.關(guān)于第三方企業(yè),上文提到,因?yàn)槿狈Φ谌狡髽I(yè)的規(guī)制,用戶往往對于個(gè)人信息被收集后的走向缺乏后續(xù)的監(jiān)督權(quán)和知情權(quán).因此首先應(yīng)該立法建立“用者有其責(zé)”機(jī)制,針對用戶個(gè)人信息被收集后所有的行為進(jìn)行監(jiān)測和風(fēng)險(xiǎn)評估,一旦發(fā)現(xiàn)個(gè)人信息遭到非法泄露或者其他侵害,導(dǎo)致用戶特定個(gè)體被非法識別,造成相關(guān)利益的損失.此時(shí)不管是直接有關(guān)企業(yè)還是第三方企業(yè),都應(yīng)該承擔(dān)被追究相應(yīng)的責(zé)任.當(dāng)然“用者有其責(zé)”機(jī)制在適用過程中也應(yīng)當(dāng)對“用者”限定一定的范圍.因?yàn)閭€(gè)人信息范圍過于寬泛,如果過于保護(hù),反而會制約互聯(lián)網(wǎng)社會經(jīng)濟(jì)的繁榮發(fā)展.如何限定“用者”主體是否從中得益以及保護(hù)措施的成本是幾個(gè)可衡量的因素[20].其次在針對第三方企業(yè)的監(jiān)管上,直接有關(guān)企業(yè)一般應(yīng)該承擔(dān)事前通報(bào)用戶,事中主動對第三方企業(yè)對用戶個(gè)人信息作出的侵害行為進(jìn)行監(jiān)管并且及時(shí)地預(yù)警的義務(wù).但僅僅依靠有關(guān)企業(yè)的監(jiān)管是不夠的,因?yàn)槠髽I(yè)自身的性質(zhì)決定了其具有逐利性,無法完全從用戶個(gè)人信息的保護(hù)角度出發(fā)對第三方企業(yè)進(jìn)行徹底的監(jiān)管.因此賦予用戶對個(gè)人信息被收集后進(jìn)一步的監(jiān)督權(quán)和刪除權(quán)就顯得極為重要.使用戶有機(jī)會詳細(xì)掌握其信息的利用狀況與流程,參與了解掌握自身個(gè)人信息被收集后的全部走向,進(jìn)一步賦予用戶以刪除權(quán),也就是一旦發(fā)現(xiàn)自己的信息遭到非法泄露或者不利處理,自身權(quán)利陷入一種被侵害或者存在被侵害的可能性時(shí),用戶應(yīng)當(dāng)有權(quán)要求有關(guān)企業(yè)對相關(guān)個(gè)人信息進(jìn)行刪除,也就是及時(shí)收回被收集的個(gè)人信息.這一點(diǎn)是建立在賦予用戶對信息走向的全程監(jiān)督權(quán)基礎(chǔ)之上的.也就是說通過結(jié)合“告知-同意”模式再加上賦予用戶監(jiān)督和刪除權(quán),可以真正讓用戶在互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷過程中實(shí)現(xiàn)“信息自決”之權(quán)利.需要強(qiáng)調(diào)的是,此種“信息自決權(quán)”并不僅僅針對第三方企業(yè),面對直接有關(guān)企業(yè)的相應(yīng)行為用戶依然可以發(fā)揮“信息自決”的權(quán)利.
1) 相關(guān)企業(yè)主體應(yīng)當(dāng)充分發(fā)揮行業(yè)自治精神,建立有關(guān)互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷企業(yè)的用戶個(gè)人信息保護(hù)聯(lián)盟.
類似行業(yè)聯(lián)盟在美國已經(jīng)付諸實(shí)現(xiàn).美國很多從事網(wǎng)上業(yè)務(wù)的行業(yè)聯(lián)盟都有自己的隱私指引準(zhǔn)則.其中以“在線隱私聯(lián)盟”最為著名,它由超過80家的國際公司和協(xié)會組成,致力于為商業(yè)行為創(chuàng)造互信的良好環(huán)境和推動對個(gè)人網(wǎng)絡(luò)隱私權(quán)的保護(hù)[13].可在行業(yè)聯(lián)盟成立之后,制定統(tǒng)一規(guī)章守則,統(tǒng)一聯(lián)盟標(biāo)志,為每一個(gè)參與此行業(yè)聯(lián)盟的企業(yè)網(wǎng)站上附上標(biāo)志,能夠讓用戶更加放心與加入個(gè)人信息保護(hù)行業(yè)聯(lián)盟的企業(yè)簽訂信息收集相關(guān)協(xié)議.通過定期舉辦相關(guān)行業(yè)會議,提高企業(yè)主體在精準(zhǔn)化營銷過程中對個(gè)人信息保護(hù)的理論和技術(shù)水平,也能進(jìn)一步促進(jìn)互聯(lián)網(wǎng)企業(yè)創(chuàng)新發(fā)展.當(dāng)然,此種行業(yè)聯(lián)盟應(yīng)該實(shí)施定期更新機(jī)制,隨時(shí)剔除并公布不遵守聯(lián)盟準(zhǔn)則的企業(yè),從而能夠讓行業(yè)聯(lián)盟保持生命力,維續(xù)良好的運(yùn)作.
2) 引入第三方監(jiān)管.
筆者設(shè)想,隨著互聯(lián)網(wǎng)經(jīng)濟(jì)高速發(fā)展,大數(shù)據(jù)時(shí)代已經(jīng)來臨,每個(gè)人的個(gè)人信息都陷入可能被非法泄露、利用,以致遭受不法侵害的泥潭.因此,不只是針對互聯(lián)網(wǎng)廣告精準(zhǔn)化營銷中個(gè)人信息的保護(hù),而是面對整個(gè)大數(shù)據(jù)時(shí)代個(gè)人信息的保護(hù),應(yīng)該成立行之有效的監(jiān)管機(jī)構(gòu).效仿消費(fèi)者權(quán)益保護(hù)協(xié)會,屬于法定的非政府組織,依據(jù)國家法律,對大數(shù)據(jù)時(shí)代的個(gè)人信息進(jìn)行社會監(jiān)督,保護(hù)信息主體的合法權(quán)益,同時(shí)引導(dǎo)信息主體的合理維權(quán),也能促進(jìn)互聯(lián)網(wǎng)經(jīng)濟(jì)的合法合理創(chuàng)新發(fā)展.參與個(gè)人信息保護(hù)的立法咨詢,向信息主體提供監(jiān)督和咨詢服務(wù),參加有關(guān)行政部門、企業(yè)主體對信息主體個(gè)人信息被收集使用處理的監(jiān)督和調(diào)查.充分發(fā)揮第三方監(jiān)管的力量,促進(jìn)互聯(lián)網(wǎng)大數(shù)據(jù)時(shí)代下個(gè)人信息的保護(hù).