Cookie 技術(shù)下知情同意規(guī)則適用之研究
——兼評勞埃德訴谷歌案

王黎黎

（大連海洋大學(xué)，遼寧 大連 116023）

2021年11月10日，英國最高法院就勞埃德訴谷歌案（Lloyd v Google LLC〔2021〕UKSC 50）作出判決，該判決被認(rèn)為是近年來最令人期待的判決之一，因為它在某種程度上將對數(shù)據(jù)隱私領(lǐng)域的訴訟產(chǎn)生重大的影響。英國法院將重點聚焦在代表授權(quán)及損害賠償，然而本案更能代表的是在個人信息保護(hù)中知情同意規(guī)則的法律適用之檢視。

一、勞埃德訴谷歌案的案情及理論焦點

關(guān)于勞埃德（Richard Lloyd）先生（以下簡稱勞埃德）訴谷歌公司（Google LLC）（以下簡稱谷歌）一案，最初倫敦高等法院阻止了對谷歌提起上訴的企圖，但上訴法院維持了這一決定。谷歌隨后對這一決定提出上訴，此案由此升級到英國最高法院，并最終作出裁判。

（一）勞埃德訴谷歌案的案件事實［1］

勞埃德在商業(yè)訴訟出資人Therium訴訟資金IC的財務(wù)支持下，向谷歌提出索賠，指控其違反了《1998年數(shù)據(jù)保護(hù)法》第4（4）條規(guī)定的數(shù)據(jù)控制者職責(zé)。該指控稱，在2011年末和2012年初的幾個月里，谷歌秘密跟蹤了數(shù)百萬蘋果用戶的互聯(lián)網(wǎng)活動，并在未經(jīng)用戶知情或同意的情況下將以這種方式收集的數(shù)據(jù)用于商業(yè)目的。

這一違法事件發(fā)生在2011年8月9日至2012年2月15日之間，谷歌涉嫌使用所謂的“Safari解決方案”繞過蘋果的隱私設(shè)置。谷歌有一個名為“雙擊廣告Cookie”的Cookie，可以作為第三方Cookie運行。如果用戶訪問了包含雙擊廣告內(nèi)容的網(wǎng)站，則會將其放置在設(shè)備上。雙擊廣告Cookie使谷歌能夠識別該設(shè)備對任何顯示其廣域網(wǎng)廣告的網(wǎng)站的訪問網(wǎng)絡(luò)廣告和收集相當(dāng)數(shù)量的信息。它可以告訴用戶訪問某個網(wǎng)站的日期和時間、用戶在那里停留的時間、訪問哪些頁面的時間以及瀏覽哪些廣告的時間。在某些情況下，通過瀏覽器的IP地址，可以識別用戶的大致地理位置。

盡管Safari的默認(rèn)設(shè)置阻止了所有第三方Cookie，但這些設(shè)置的全面應(yīng)用將阻止使用某些流行的web功能，所以蘋果公司設(shè)計了一些例外。這些例外情況一直存在，直到2012年3月系統(tǒng)發(fā)生變化。但與此同時，例外情況使得谷歌有可能設(shè)計和實施Safari解決方案。其效果是，每當(dāng)用戶訪問包含雙擊廣告內(nèi)容的網(wǎng)站時，在用戶不知情或不同意的情況下，立即將雙擊廣告Cookie放在蘋果設(shè)備上。

通過這種方式，谷歌不僅能夠收集或推斷與用戶上網(wǎng)習(xí)慣和地點有關(guān)的信息，而且還能夠收集或推斷與其興趣和消遣、種族或民族、社會階級、政治或宗教信仰或從屬關(guān)系、健康、性興趣、年齡、性別和財政狀況。此外，據(jù)說谷歌聚合瀏覽器從顯示類似模式的用戶那里生成信息，創(chuàng)建了“足球愛好者”或“時事愛好者”等標(biāo)簽組。谷歌的雙擊服務(wù)隨后向訂閱廣告的廣告商提供這些群組標(biāo)簽，供他們在選擇廣告目標(biāo)人群時選擇。

據(jù)此勞埃德認(rèn)為在上述時間內(nèi)所有蘋果用戶都受到了損失，其能夠作為所有用戶的代表要求谷歌進(jìn)行金錢賠償。

（二）勞埃德訴谷歌案的裁判結(jié)果及依據(jù)

本案法官最終裁決支持谷歌，認(rèn)為勞埃德因為谷歌“未經(jīng)同意”的網(wǎng)絡(luò)跟蹤行為而代表眾多蘋果用戶要求賠償?shù)男袨椴荒軌虮恢С帧７ü俚闹饕碛捎腥缦聨c：

第一，關(guān)于“損害”，法官沒有支持“數(shù)據(jù)失控”這一概念，即每一個受重大數(shù)據(jù)泄露影響的數(shù)據(jù)主體都有權(quán)因其個人數(shù)據(jù)的“失控”而獲得賠償。相反，法院確認(rèn)，只有在數(shù)據(jù)主體遭受某種形式的物質(zhì)損害，即有形的財務(wù)損失，或遭受痛苦的情況下，才能對因違反《1998年數(shù)據(jù)保護(hù)法》的行為作出賠償。

第二，關(guān)于在代表訴訟中要求損害賠償?shù)膯栴}，法官認(rèn)為針對谷歌提出的索賠作為代表性的損害賠償訴訟是不可行的。勞埃德試圖通過本案上訴法院在《民事訴訟規(guī)則》第19.6條中描述為“代表程序的不同尋常和創(chuàng)新使用”［2］來克服這一困難，并在訴訟中主張能夠代表數(shù)百萬用戶中的每一個的做法是不被允許的。①勞埃德承認(rèn)，如果必須對每個用戶可獲得的賠償進(jìn)行單獨評估，他不能使用此程序代表其他蘋果用戶索賠。但他認(rèn)為，這種個別評估是不必要的。他辯稱，作為一個法律問題，可以根據(jù)《1998年數(shù)據(jù)保護(hù)法》對個人數(shù)據(jù)“失去控制”給予賠償，而無需證明索賠人因違規(guī)而遭受任何經(jīng)濟(jì)損失或精神痛苦。勞埃德進(jìn)一步辯稱，對于數(shù)據(jù)保護(hù)權(quán)利受到侵犯的每個人，可以適當(dāng)?shù)嘏薪o“統(tǒng)一金額”的損害賠償，而無需調(diào)查其個案的任何特定情況。每人可獲得的損害賠償金額將是一個爭議的問題，但索賠信中提出了750英鎊的數(shù)字。乘以勞埃德先生聲稱代表的人數(shù)，將產(chǎn)生約30億英鎊的賠償金。如果他為了代表遭受相同損失的每一成員提出代表訴訟，勞埃德必須證明，這些人中的每一個人的權(quán)利都遭受了侵犯，并因此受到損害。

第三，在法律適用上，最高院適用的是《1998年數(shù)據(jù)保護(hù)法》，而非英國GDPR《通用數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation），后者與《2018年數(shù)據(jù)保護(hù)法》一起取代了《1998年數(shù)據(jù)保護(hù)法》。①法官在論述中提及《GDPR》（《通用數(shù)據(jù)保護(hù)條例》，General Data Protection Regulation）第82（1）條規(guī)定，“因違反本條例而遭受物質(zhì)或非物質(zhì)損害”的人應(yīng)有權(quán)獲得損害賠償。此外第85段指出：“如果不及時適當(dāng)?shù)亟鉀Q個人數(shù)據(jù)泄露問題，可能會對自然人造成物理、物質(zhì)或非物質(zhì)損害，例如失去對其個人數(shù)據(jù)的控制或限制其權(quán)利、歧視、身份盜竊或欺詐、財務(wù)損失、未經(jīng)授權(quán)的化名撤銷、聲譽(yù)受損受專業(yè)保密保護(hù)的個人數(shù)據(jù)的保密性或任何其他對有關(guān)自然人造成重大經(jīng)濟(jì)或社會不利影響”。但是法官認(rèn)為盡管GDPR的語言與1998年法案存在相似之處，即它區(qū)分了造成損害的行為和損害本身。但GDPR指的是“侵權(quán)”而不是“違反”；此外盡管序言第85條提到了失控，但并不認(rèn)為所有侵權(quán)行為都會導(dǎo)致失控。

第13（1）條規(guī)定：“因數(shù)據(jù)控制員違反本法案任何要求而遭受損害的個人有權(quán)從數(shù)據(jù)控制員處獲得損害賠償”。（DPA1998）

第13（2）條規(guī)定：“因數(shù)據(jù)控制員違反本法案任何要求而遭受痛苦的個人有權(quán)從數(shù)據(jù)控制員處獲得該痛苦的賠償，前提是：（a）該個人也因違反本法案而遭受損害……”（DPA1998）②關(guān)于法律適用，法官認(rèn)為勞埃德對第13條的適用是存在錯誤的，第一，數(shù)據(jù)主體尋求恢復(fù)的損害必須是由于數(shù)據(jù)控制者的違反而遭受的。這清楚地表明“違反”不同于“違約”，將兩者混為一談不符合法定語言。第二點是，第13（2）條提到了數(shù)據(jù)控制者違反的兩種后果，即損害和痛苦。根據(jù)最初的法定措辭，后者只有在前者也可以成立的情況下才可獲得賠償。因此，法官Leggatt認(rèn)為，第13（2）條中提及的損害，以及引申為第13（1）條，在邏輯上必須意味著物質(zhì)損害，如金錢損失。

第四，法院認(rèn)為本案與以往的訴訟不同。2012年8月，谷歌同意支付2250萬美元的民事罰款，以解決美國聯(lián)邦貿(mào)易委員會提出的指控。2013年11月，谷歌同意支付1700萬美元，以解決在美國針對其提起的基于消費者的訴訟。在英格蘭和威爾士，2013年6月，三名個人起訴谷歌，根據(jù)《1998年數(shù)據(jù)保護(hù)法》和普通法提出同樣的指控并要求賠償濫用私人信息。［3］在司法管轄權(quán)糾紛之后，他們的索賠在谷歌提供辯護(hù)之前得到解決。此次訴訟的創(chuàng)新之處在于，勞埃德并不像三位索賠人那樣，僅憑自己的權(quán)利要求損害賠償。他聲稱代表英格蘭和威爾士的所有居民，他們在相關(guān)時間擁有一部蘋果手機(jī)，其數(shù)據(jù)是谷歌未經(jīng)他們同意而獲得的，并有權(quán)代表所有這些人追討損失。

（三）勞埃德訴谷歌案中關(guān)于知情同意規(guī)則的理論焦點

谷歌在勞埃德訴谷歌案中的行為侵犯了蘋果用戶的個人信息權(quán)益，并且違反了個人信息保護(hù)中關(guān)于知情同意規(guī)則的要求。

最高院認(rèn)可對谷歌違反義務(wù)的指控。大法官Reed認(rèn)為谷歌在數(shù)月內(nèi)秘密跟蹤數(shù)百萬蘋果用戶的互聯(lián)網(wǎng)活動，并將獲得的數(shù)據(jù)用于商業(yè)目的的行為本身是違反法律要求的。

在判決的第21段中，最高院認(rèn)為谷歌在本案中沒有遵守這一要求：從數(shù)據(jù)主體處獲得的信息沒有被公平處理，除非數(shù)據(jù)控制員告知數(shù)據(jù)主體處理數(shù)據(jù)的目的——據(jù)說谷歌在本案中沒有遵守這一要求。

在判決第22段中強(qiáng)調(diào)谷歌在本案中涉及到的處理數(shù)據(jù)行為沒有遵守數(shù)據(jù)保護(hù)原則，即數(shù)據(jù)所有人已經(jīng)同意谷歌處理數(shù)據(jù)。谷歌處理的單獨用戶的數(shù)據(jù)沒有進(jìn)行告知并得到用戶的同意，同時谷歌的行為不存在公共利益等責(zé)任豁免情形，并不能夠證明其對數(shù)據(jù)的處理具有正當(dāng)性。

本案法官在141段中強(qiáng)調(diào)，如果個人在本案中就谷歌濫用私人信息提出侵權(quán)索賠，那么自然會獲得用戶損害賠償。Gulati案［4］的判決表明，可以對濫用私人信息本身給予損害賠償，理由是，除了可能造成的任何實質(zhì)性損害或痛苦外，這妨礙了索賠人行使其控制信息使用的權(quán)利。毫無疑問，一個人的互聯(lián)網(wǎng)瀏覽歷史信息是一項具有商業(yè)價值的資產(chǎn)。［5］

二、Cookie技術(shù)下網(wǎng)絡(luò)瀏覽信息與知情同意規(guī)則之法律分析

谷歌一案涉及的核心是未經(jīng)個人同意而利用Cookie技術(shù)獲得的個人信息用于商業(yè)目的而引發(fā)的訴訟。根據(jù)維基百科的定義，Cookie是指小型文本文件，某些網(wǎng)站為了辨別用戶身份而儲存在用戶本地終端（Client Side）上的數(shù)據(jù)（通常經(jīng)過加密）。Cookie技術(shù)曾被認(rèn)為是造成個人隱私侵害的原因之一。［6］結(jié)合本案中谷歌就是未經(jīng)用戶的“同意”，使用其存儲于互聯(lián)網(wǎng)用戶硬盤上的網(wǎng)絡(luò)信息，包括用戶的瀏覽記錄、訪問的網(wǎng)頁名稱及其域名、訪問時間及頻率等信息。

（一）Cookie技術(shù)下網(wǎng)絡(luò)瀏覽信息的法律屬性界定

在谷歌案件中，法官Leggatt論述谷歌通過Cookie技術(shù)所收集的信息再利用以實現(xiàn)廣告投放等獲得了巨額的利潤。這一犀利的點評也揭示了谷歌在世界范圍內(nèi)不斷受到訴訟的根本原因之一，即沒有遵守數(shù)據(jù)使用的原則獲取數(shù)據(jù)并從中受益。谷歌系列被訴案件①谷歌公司在美國、德國、澳大利亞、英國以及歐盟都涉及到數(shù)據(jù)糾紛案件。表明Cookie技術(shù)下網(wǎng)絡(luò)瀏覽信息兼具人格屬性與財產(chǎn)屬性。有學(xué)者界定“網(wǎng)絡(luò)行為數(shù)據(jù)”是指網(wǎng)絡(luò)服務(wù)提供者通過Cookies等互聯(lián)網(wǎng)跟蹤記錄程序收集的反映用戶個人在線行為活動的數(shù)據(jù)，包括用戶的瀏覽記錄、交易記錄、檢索記錄等。［7］

關(guān)于Cookie技術(shù)下網(wǎng)絡(luò)瀏覽信息的屬性爭論，源于我國號稱為中國Cookie第一案的朱燁隱私權(quán)糾紛一案②參見江蘇省南京市中級人民法院〔2014〕寧民終字第5028號，中國裁判文書網(wǎng)。，一審法院③參見江蘇省南京市鼓樓區(qū)人民法院〔2013〕鼓民初字第3031號，中國裁判文書網(wǎng)。認(rèn)為網(wǎng)絡(luò)瀏覽信息屬于私人的私有領(lǐng)域范疇，屬于隱私權(quán)所保護(hù)的個人權(quán)益范圍；然而二審法院在審理中認(rèn)為，收集網(wǎng)上瀏覽信息，該信息的匿名化特征，不符合個人信息的“可識別性”要求，而對于信息推送問題，二審法院認(rèn)為，推送信息的終端是瀏覽器，而不是具體個人④參見江蘇省南京市中級人民法院〔2014〕寧民終字第5028號，中國裁判文書網(wǎng)。。因此Cookie技術(shù)下的網(wǎng)絡(luò)瀏覽信息不屬于個人隱私的范疇，其不構(gòu)成對原告隱私權(quán)的侵害。

我國最高人民法院2017年頒布的《關(guān)于侵犯公民個人信息案件的解釋》第1條，明確將“以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等”納入個人信息范疇。隨后我國頒布的《個人信息保護(hù)法》第四條中再次延伸了這一理念，規(guī)定個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。同時在第28條中規(guī)定了敏感個人信息，一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿14周歲未成年人的個人信息。通過上述法律規(guī)定，Cookie技術(shù)下網(wǎng)絡(luò)瀏覽信息是以電子方式記錄的與個人相關(guān)的各種信息，同時可以根據(jù)不同的內(nèi)容對網(wǎng)絡(luò)瀏覽信息進(jìn)行分類保護(hù)。上述網(wǎng)絡(luò)瀏覽信息中如果涉及到個人留在網(wǎng)站的信用卡及其密碼等信息則屬于敏感個人信息的范疇。

（二）Cookie技術(shù)下知情同意規(guī)則之擔(dān)憂

在朱燁隱私權(quán)糾紛一案中，終審法院論述Cookie技術(shù)是在世界范圍網(wǎng)絡(luò)服務(wù)商所使用的一項技術(shù)，主要用于服務(wù)器與瀏覽器之間的信息交互，其基本原理是建立起用戶瀏覽器與網(wǎng)站服務(wù)器之間的聯(lián)系，當(dāng)用戶利用瀏覽器訪問網(wǎng)站時，網(wǎng)站服務(wù)器就會自動發(fā)送一個Cookie信息存儲于用戶瀏覽器，服務(wù)器端對瀏覽器瀏覽的網(wǎng)頁內(nèi)容通過技術(shù)分析預(yù)測出瀏覽器一方的個性需求，再通過此種預(yù)測向瀏覽器端提供個性化推介服務(wù)①參見江蘇省南京市中級人民法院〔2014〕寧民終字第5028號，中國裁判文書網(wǎng)。。Cookie技術(shù)下網(wǎng)絡(luò)瀏覽信息本身屬于個人信息的范疇，但是隨著大數(shù)據(jù)時代的到來，各種網(wǎng)絡(luò)上的個人信息與個人數(shù)據(jù)都成為數(shù)字時代的生產(chǎn)資料，相應(yīng)的網(wǎng)絡(luò)瀏覽信息本身的經(jīng)濟(jì)價值也在增高?；ヂ?lián)網(wǎng)企業(yè)獲取、收集網(wǎng)絡(luò)瀏覽信息進(jìn)行整合之后，可以實現(xiàn)對用戶的精準(zhǔn)廣告投放，同時用戶在一定程度上并不知情自己的個人信息被利用的事實。例如在法國訴谷歌案件中，兩家歐洲非營利性隱私和數(shù)字權(quán)利組織相繼向法國國家信息與自由委員會投訴稱，谷歌在處理個人用戶數(shù)據(jù)方面采用了“強(qiáng)制同意”政策，其收集的數(shù)據(jù)包含大量用戶個人信息，這些信息還在用戶不知情的情況下被用于商業(yè)廣告用途。2021年4月谷歌在澳大利亞面臨的訴訟也涉及到Cookie技術(shù)下的網(wǎng)頁瀏覽信息，谷歌能夠獲取用戶個人信息，并利用這些信息對營銷策略進(jìn)行優(yōu)化。此外，還將這些信息分享給商家的合作伙伴，實現(xiàn)廣告的個性化定制。［8］一般來說，Cookie獲取權(quán)限需要獲得用戶同意，但不同國家針對該條款的規(guī)定不同。在相關(guān)案件中，谷歌就是突破用戶同意，收集并再次利用該信息進(jìn)行商業(yè)化廣告投放應(yīng)用。很早就有美國學(xué)者指出，由網(wǎng)站提示的Cookie相關(guān)條款并不能被網(wǎng)絡(luò)使用者所理解，因此并沒有提供充分的“知情同意”。［9］

因此，Cookie技術(shù)下網(wǎng)絡(luò)瀏覽信息與知情同意規(guī)則的聯(lián)系表現(xiàn)在兩方面，一方面是互聯(lián)網(wǎng)公司能夠存儲并利用網(wǎng)絡(luò)瀏覽信息時所得到的“知情同意”；［10］另一方面是當(dāng)互聯(lián)網(wǎng)公司將這些網(wǎng)絡(luò)瀏覽信息進(jìn)行數(shù)據(jù)分析利用，再次進(jìn)行如廣告的精準(zhǔn)投放利用時所涉及的“知情同意”，即互聯(lián)網(wǎng)企業(yè)是否將其使用數(shù)據(jù)的目的及方式等明確地告知當(dāng)事人并獲得對方的同意。

三、Cookie技術(shù)下知情同意規(guī)則法律適用之困境

關(guān)于知情同意規(guī)則的適用，歐盟以及本案作出判決的英國和我國都有相應(yīng)的案例，我國《個人信息保護(hù)法》對知情同意規(guī)則的適用也做出了相較于GDPR的更新，然而從目前相關(guān)的案例看，知情同意規(guī)則的適用仍然存在困境。

（一）Cookie技術(shù)下知情同意規(guī)則之真實同意

在勞埃德與谷歌一案中，法官并沒有詳細(xì)論證“知情同意規(guī)則”，只是支持原告認(rèn)為被告谷歌沒有或者用戶同意的訴訟請求。

在法國訴谷歌案件中［11］，主要的焦點問題是谷歌將用戶“同意”選項設(shè)定為“全局默認(rèn)設(shè)置”，不符合監(jiān)管機(jī)構(gòu)所規(guī)定的“特定同意”要求。谷歌要求用戶必須完全同意隱私政策中的服務(wù)條款和數(shù)據(jù)處理條款，而非區(qū)分各種不同目的來同意各項條款。此外CNIL（法國國家信息與自由委員會）還表示，谷歌目前用于征求安卓軟件用戶個人信息的彈出式窗口似乎暗含威脅意味：如果用戶不接受這些條款，服務(wù)將無法提供。很顯然，歐盟GDPR嚴(yán)格規(guī)定企業(yè)獲取數(shù)據(jù)時應(yīng)當(dāng)遵守數(shù)據(jù)保護(hù)的首要原則，如數(shù)據(jù)主體通過書面聲明的方式作出同意，且書面聲明涉及其他事項，那么同意應(yīng)以易于理解且與其他事項顯著區(qū)別的形式呈現(xiàn)。構(gòu)成違反本法的聲明的任何部分，均不具約束力。但是谷歌依然選擇預(yù)先勾選了廣告?zhèn)€性化的顯示框規(guī)避真實明確同意的要求。

同一時間，谷歌在澳大利亞的案件中［12］，更能夠真實地反映真實同意的困境。在該案例中，用戶無法自由選擇，即用戶在使用安卓設(shè)備時關(guān)于“位置歷史記錄”這一選項的默認(rèn)設(shè)置為關(guān)閉，但是根據(jù)谷歌技術(shù)的要求，只要“網(wǎng)絡(luò)和應(yīng)用活動”的設(shè)置為“打開”狀態(tài)，那么無論用戶是否將“位置歷史記錄”關(guān)閉，谷歌都能夠收集用戶的這一信息。這一案件雖然并沒有出現(xiàn)終審結(jié)果，但是它反映了知情同意規(guī)則的使用難點，那就是用戶是否能夠真實的同意，這種同意是否被真實的尊重？明明在設(shè)置上可以選擇關(guān)閉，但是實質(zhì)上依然處于被收集的狀態(tài)，那么用戶的同意有何意義？

（二）Cookie技術(shù)下知情同意規(guī)則之二次利用網(wǎng)絡(luò)瀏覽信息

在上文提及的法國與谷歌一案中，谷歌未提供用戶數(shù)據(jù)的便捷訪問渠道，沒有告知用戶數(shù)據(jù)處理目的，數(shù)據(jù)存儲時間或用于廣告?zhèn)€性化的個人數(shù)據(jù)類別，同時對收集的信息進(jìn)行利用，法院認(rèn)為這一行為造成用戶無法管理其個人信息的使用。

根據(jù)美國康奈爾大學(xué)學(xué)者的調(diào)查，自從歐盟GDPR生效以來，許多公司不得不調(diào)整數(shù)據(jù)處理流程、同意書和隱私政策，以符合GDPR的透明度要求。在文章中，作者通過分析GDPR對歐盟所有27個成員國流行網(wǎng)站的影響來監(jiān)測這一事件。對于每個國家，我們定期檢查其500個最受歡迎的網(wǎng)站（總共6 579個），了解其隱私政策的存在和更新。雖然許多網(wǎng)站已經(jīng)有隱私政策，但我們發(fā)現(xiàn)，在一些國家，截至2018年5月25日，多達(dá)15.7%的網(wǎng)站增加了新的隱私政策，導(dǎo)致84.5%的網(wǎng)站都有隱私政策，其中72.6%的網(wǎng)址隱私政策更新日期接近。最明顯的是，62.1%的歐洲網(wǎng)站現(xiàn)在顯示Cookie同意通知，比2018年1月增加了16%。我們的分析表明，核心web安全機(jī)制會給根據(jù)GDPR規(guī)則實施許可帶來問題，選擇退出第三方Cookie需要第三方合作。作者在本文的最終結(jié)論是，GDPR正在使網(wǎng)絡(luò)更加透明，但仍然缺乏功能性和可用性機(jī)制，無法讓用戶同意或拒絕在互聯(lián)網(wǎng)上處理他們的個人數(shù)據(jù)。［13］

此外，在澳大利亞競爭和消費者訴谷歌案中［14］，相關(guān)行為經(jīng)濟(jì)學(xué)家認(rèn)為關(guān)于用戶對各種屏幕的反映是不真實的，不能確定用戶對選項的勾選意味著同意對網(wǎng)絡(luò)瀏覽信息的再次利用，也體現(xiàn)了在某種情況下知情同意規(guī)則適用的局限性。

在我國的Cookie案件中，就百度公司在隱私政策中的告知是否充分。一審法院認(rèn)為①參見江蘇省南京市鼓樓區(qū)人民法院〔2013〕鼓民初字第3031號，中國裁判文書網(wǎng)。，雖然百度公司在網(wǎng)頁中有《使用百度前必讀》，但位置處于網(wǎng)頁最下端，且字體較小，不足以起到明示告知和選擇同意的效力。二審法院則認(rèn)為，因為百度公司在《使用百度前必讀》已經(jīng)明示了使用Cookie技術(shù)的方式、使用Cookie技術(shù)的后果，且提供了禁用Cookie的渠道，因此，視為百度公司已經(jīng)明示告知，從而不構(gòu)成侵權(quán)。②參見江蘇省南京市中級人民法院〔2014〕寧民終字第5028號，中國裁判文書網(wǎng)。如果該案發(fā)生在《個人信息保護(hù)法》施行后，且原告所主張的是侵害個人信息權(quán)，那是否結(jié)果可能會不一樣呢？《個人信息保護(hù)法》明確規(guī)定在利用個人信息中，如果接收方變更原先的處理目的、處理方式，應(yīng)當(dāng)依照本法規(guī)定重新取得個人同意。因此法律在規(guī)定中考慮到了這種情況，而本問題討論的依舊是適用中的困境。

四、Cookie技術(shù)下知情同意規(guī)則法律適用之對策

（一）知情同意規(guī)則是個人信息保護(hù)中的核心內(nèi)容

在涉及到個人隱私權(quán)發(fā)展時，知情同意規(guī)則并沒有被重點強(qiáng)調(diào)，往往強(qiáng)調(diào)的是確定隱私的邊界。在美國，實際上知情同意規(guī)則最初是在醫(yī)學(xué)領(lǐng)域所確定并發(fā)展起來的?！癐nformed consent”一詞在美國可以追溯到1957年Salgo v.Leland Stanford Jr.University Board of Trustees的判決中，在該案件中法庭詢問病人在接受治療前是否被充分告知并同意進(jìn)行治療。到了70年代后，知情同意規(guī)則的適用范圍變大，擴(kuò)大至公民權(quán)利、婦女權(quán)利以及消費者權(quán)利等領(lǐng)域。［15］隨后2012年美國提出了消費者隱私權(quán)利法案，旨在加強(qiáng)對消費者網(wǎng)絡(luò)隱私的保護(hù)，限制互聯(lián)網(wǎng)公司對消費者隱私數(shù)據(jù)的收集、保存、公開等行為；為了打擊秘密追蹤行為，要求谷歌、雅虎、微軟和AOL在瀏覽器上安裝“不追蹤”按鈕，使消費者能夠更方便地決定是否接受上述公司的追蹤行為。2018年美國《加州消費者隱私權(quán)法案》進(jìn)一步規(guī)定企業(yè)在采集個人信息時，需要在采集行為發(fā)生前或發(fā)生時通知消費者，通知內(nèi)容包括擬采集的信息類別、使用目的等。此外，法案規(guī)定企業(yè)在采集額外信息類別或?qū)⑿畔⒂糜谄渌康臅r，也應(yīng)當(dāng)對消費者進(jìn)行符合要求的通知。

歐盟在2012年關(guān)于Cookie的一項指令要求，互聯(lián)網(wǎng)企業(yè)利用Cookie追蹤用戶的使用習(xí)慣，必須取得使用者的“明確同意”，特別是涉及到互聯(lián)網(wǎng)定向廣告的投放。隨后歐盟在GDPR中繼續(xù)規(guī)定數(shù)據(jù)主體的“同意”是指數(shù)據(jù)主體依照其意愿自愿做出的任何指定的、具體的、知情的及明確的指示。通過聲明或明確肯定的行為作出的這種指示，意味著其同意與他或她有關(guān)的個人數(shù)據(jù)被處理。

英國從《1998年數(shù)據(jù)保護(hù)法案》到GDPR及《數(shù)據(jù)保護(hù)法案》（2018），為了進(jìn)一步強(qiáng)化對個人的保護(hù)，新法案將給予公民更多的個人信息控制權(quán)。實際上對同意規(guī)則采用了更嚴(yán)格的方法，一是在“知情——同意”制度方面，個人同意的更加嚴(yán)格，增加了若干新的條件，例如要求同意必須是“明確且易于撤銷的”。特別是當(dāng)處理個人敏感數(shù)據(jù)時，同意必須非常明確。此外在個人數(shù)據(jù)獲取方面，新法案允許個人向數(shù)據(jù)控制者要求披露與其相關(guān)的數(shù)據(jù)，并且不得收費。在勞埃德訴谷歌一案中，誠如法官給出的建議一樣，如果勞埃德以個人名義起訴谷歌，要求就不當(dāng)使用個人信息獲得賠償，也許訴訟結(jié)果就會發(fā)生改變。

在我國Cookie第一案中，二審法院認(rèn)為Cookie技術(shù)是當(dāng)前互聯(lián)網(wǎng)領(lǐng)域普遍采用的一種信息技術(shù)，使用方式僅為將該匿名信息作為觸發(fā)相關(guān)個性化推薦信息的算法之一，網(wǎng)絡(luò)用戶應(yīng)當(dāng)提高互聯(lián)網(wǎng)適應(yīng)能力。且百度公司在《使用百度前必讀》中，已經(jīng)說明Cookie技術(shù)、使用Cookie技術(shù)的可能性后果以及通過提供禁用按鈕向用戶提供選擇退出機(jī)制，原告在該種情況下仍然使用百度搜索引擎服務(wù)，應(yīng)視為對百度公司采用默認(rèn)“選擇容易”方式的認(rèn)可①參見江蘇省南京市中級人民法院〔2014〕寧民終字第5028號，中國裁判文書網(wǎng)。。但是隨著我國《民法典》以及《個人信息保護(hù)法》的施行，知情同意規(guī)則也成為我國個人信息適用的首要保護(hù)原則。我國《個人信息保護(hù)法》確立了知情同意的基本原則，未經(jīng)個人信息處理者同意，受托人不得委托他人處理個人信息。

（二）Cookie技術(shù)下知情同意規(guī)則適用的具體對策

知情同意規(guī)則作為個人信息保護(hù)的基本原則，其設(shè)置的最終目的就在于獲得用戶的真實同意，相應(yīng)地就要求企業(yè)在獲取、收集個人信息時應(yīng)當(dāng)滿足合法、正當(dāng)、必要和誠信的原則，特別是不得通過誤導(dǎo)、欺詐、脅迫等方式處理個人信息。

我們要對個人信息條款的內(nèi)容設(shè)置進(jìn)行改良，使得《個人信息保護(hù)法》的知情同意原則得到具體體現(xiàn)。上文中提及的澳大利亞競爭和消費者訴谷歌案中，谷歌被訴就存在脅迫用戶同意的情形。這就要求對關(guān)于個人信息的條款進(jìn)行合理設(shè)置。一方面在形式上，我們要改變一攬子同意的方式，防止用戶因為“同意疲勞”或者不愿意付出時間進(jìn)行長篇小字的閱讀而只能選擇同意個人信息條款；更要停止“被迫同意”的設(shè)置方式，即如果不接受該個人信息條款的設(shè)置則無法進(jìn)行相應(yīng)的使用。特別是以格式條款形式出現(xiàn)的隱私政策無法對用戶的個人信息進(jìn)行個性化設(shè)置。在傳統(tǒng)“同意”模式下，信息收集者與信息主體之間有一道難以逾越的巨大鴻溝——“打包式”同意，在“概括同意”和“被迫同意”的前提下，聲稱保護(hù)用戶個人隱私的隱私政策卻沒有達(dá)到預(yù)期的效果。［16］另一方面，我們要進(jìn)行內(nèi)容的合理規(guī)劃，將個人信息條款簡明扼要地表達(dá)清楚，停止將重要的告知內(nèi)容隱藏在長篇的法律責(zé)任論述中，從而真正落實充分告知的透明性，從而獲取知情后的同意。

我們要通過強(qiáng)化法律責(zé)任來具體落實知情同意原則，特別是在個人信息的二次利用中［17］，例如谷歌案件中對網(wǎng)絡(luò)痕跡信息進(jìn)行再次利用定向輸出時就會違反個人信息這一原則，應(yīng)當(dāng)承擔(dān)不僅僅局限于罰款的法律責(zé)任。我們肯定科技發(fā)展所帶來的改變，但是我們也要對這種改變予以應(yīng)對。［18］互聯(lián)網(wǎng)公司利用Cookie技術(shù)收集的個人信息，通過對這些與個人相關(guān)的網(wǎng)絡(luò)瀏覽痕跡進(jìn)行再次整合與利用，從而實現(xiàn)彈窗式的精準(zhǔn)廣告投放的行為本身，是應(yīng)當(dāng)受到法律規(guī)制并承擔(dān)違反最低義務(wù)的法律責(zé)任。例如在上文中法國訴谷歌一案中，谷歌對這種彈窗的按鈕設(shè)置非常隱蔽，同時谷歌并不認(rèn)為其行為違反個人信息的正當(dāng)性?！熬W(wǎng)絡(luò)行為數(shù)據(jù)的產(chǎn)生過程高度受控于網(wǎng)絡(luò)服務(wù)提供者所提供的技術(shù)服務(wù)，我們在登錄、點擊與瀏覽任何一個網(wǎng)站時，除非服務(wù)商主動加以刪除，否則產(chǎn)生的全部網(wǎng)上行為記錄都會被實時儲存在該網(wǎng)站的服務(wù)器當(dāng)中?！保?9］因此明確違反知情同意的法律責(zé)任，在司法與執(zhí)法層面落實《個人信息保護(hù)法》中關(guān)于知情同意規(guī)則的確認(rèn)。

本文中勞埃德訴谷歌實際上是目前我們面臨互聯(lián)網(wǎng)企業(yè)巨頭的一個縮影，它側(cè)面反映了個人在面對谷歌這樣的互聯(lián)網(wǎng)公司，如何能夠真正地實現(xiàn)知情同意規(guī)則的法律適用。同樣在百度一案中也反映出在我國，這一問題同樣存在。

本文之所以選擇英國勞埃德訴谷歌一案進(jìn)行分析，還在于英國自2020年1月退出歐盟后，歷經(jīng)11個月過渡期，已經(jīng)于2021年1月1日起開始自主運行本國的數(shù)據(jù)保護(hù)制度，獨立于歐盟治理框架。英國對歐盟GDPR的一系列改革對于我國個人信息的保護(hù)都具有一定參考價值。

我們已經(jīng)從接聽騷擾電話的時代邁入了互聯(lián)網(wǎng)中個人信息流失的時代，信息已經(jīng)成為市場流通中的“生產(chǎn)要素”，我們接受這種技術(shù)發(fā)展帶來的便利的同時，更要保護(hù)我們的個人信息。目前我國的《個人信息保護(hù)法》已經(jīng)明確規(guī)定了個人信息的使用原則，但是如何在具體的個人信息保護(hù)中實現(xiàn)法律適用是我們必須并且能夠在未來解決的新問題之一。