跨APP 個(gè)人信息共享的法律規(guī)制*

王煒炫

（華東政法大學(xué)經(jīng)濟(jì)法學(xué)院，上海 200042）

一、問(wèn)題的提出

《中華人民共和國(guó)個(gè)人信息保護(hù)法》（以下簡(jiǎn)稱《個(gè)人信息保護(hù)法》）于2021 年11 月1 日生效實(shí)施，其中明確規(guī)定知情同意是獲取個(gè)人信息的合法性基礎(chǔ)。據(jù)此，許多APP 必須通過(guò)隱私政策（或其他類(lèi)似文件）的形式履行告知義務(wù)以取得用戶同意。但隨著互聯(lián)網(wǎng)和電商平臺(tái)經(jīng)濟(jì)的不斷發(fā)展，跨APP 個(gè)人信息共享的現(xiàn)象已經(jīng)成為平臺(tái)經(jīng)濟(jì)的常態(tài)。2021 年，工業(yè)和信息化部印發(fā)《關(guān)于開(kāi)展信息通信服務(wù)感知提升行動(dòng)的通知》，明確要求企業(yè)建立與第三方共享個(gè)人信息清單。使用第三方服務(wù)已經(jīng)成為APP 開(kāi)發(fā)、運(yùn)行過(guò)程中常見(jiàn)的技術(shù)手段，比如APP 賬號(hào)密碼的修改需要電信運(yùn)營(yíng)商的服務(wù)支持，支付寶和銀聯(lián)支付的錢(qián)款提取需要銀行的服務(wù)支持等。

APP 會(huì)在隱私政策中強(qiáng)調(diào)個(gè)人信息將會(huì)被共享，但是對(duì)于共享對(duì)象的披露，大多數(shù)APP以“關(guān)聯(lián)方”“第三方”等模糊概念進(jìn)行界定。有學(xué)者通過(guò)研究百度、網(wǎng)易等50 家國(guó)內(nèi)主流網(wǎng)站和APP 的隱私政策，發(fā)現(xiàn)僅有14 家披露了部分共享對(duì)象的具體信息（袁真富和婁積圓，2021）。這樣籠統(tǒng)的條款對(duì)于用戶而言是顯失公平的，因?yàn)槿绻磳⒐蚕韺?duì)象完全披露，個(gè)人信息處理者（即APP 運(yùn)營(yíng)商）相對(duì)于用戶將處于絕對(duì)優(yōu)勢(shì)地位，即個(gè)人信息的流轉(zhuǎn)共享界限完全取決于個(gè)人信息處理者的意志，而用戶對(duì)于個(gè)人信息處理者的共享行為卻毫無(wú)反擊之力。如何解釋關(guān)聯(lián)方、第三方等概念，以厘清個(gè)人信息數(shù)據(jù)共享對(duì)象的邊界，有賴于司法實(shí)踐的不斷探索。

在實(shí)踐中，不同法院對(duì)此類(lèi)案件存在不同的裁量標(biāo)準(zhǔn)（見(jiàn)表1）。有的法院認(rèn)為個(gè)人信息數(shù)據(jù)可以在同一主體開(kāi)發(fā)的其他軟件中合理使用（如微視案），有的法院則認(rèn)為即使是同一主體開(kāi)發(fā)的軟件也要符合正常人的合理預(yù)期（如微信讀書(shū)案）。共享對(duì)象獲取個(gè)人信息數(shù)據(jù)的合法性主要取決于隱私政策的披露情況。在隱私政策概念模糊的情況下，《個(gè)人信息保護(hù)法》第23 條①《個(gè)人信息保護(hù)法》第23 條：“個(gè)人信息處理者向其他個(gè)人信息處理者提供其處理的個(gè)人信息的，應(yīng)當(dāng)向個(gè)人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個(gè)人信息的種類(lèi)，并取得個(gè)人的單獨(dú)同意。接收方應(yīng)當(dāng)在上述處理目的、處理方式和個(gè)人信息的種類(lèi)等范圍內(nèi)處理個(gè)人信息。接收方變更原先的處理目的、處理方式的，應(yīng)當(dāng)依照本法規(guī)定重新取得個(gè)人同意?！睂⒊蔀榱舜_認(rèn)合法性的關(guān)鍵條文，如何認(rèn)定“同一個(gè)人信息處理者”將是此類(lèi)案件的辯論焦點(diǎn)。尤其是在APP 運(yùn)營(yíng)商與子公司、關(guān)聯(lián)公司和合作伙伴之間進(jìn)行個(gè)人信息數(shù)據(jù)共享時(shí)，如何厘清“同一和其他”之界限，是跨APP 個(gè)人信息共享法律規(guī)制實(shí)務(wù)中的重要問(wèn)題。因而，本文立足于研究跨APP 個(gè)人信息共享中的法律規(guī)制體系構(gòu)建，并嘗試探索不同主體關(guān)系之間個(gè)人信息共享的合規(guī)路徑。

表1 跨APP 個(gè)人信息共享案例

二、跨APP 個(gè)人信息共享之合理性解構(gòu)

數(shù)字經(jīng)濟(jì)時(shí)代下，數(shù)據(jù)成為社會(huì)生產(chǎn)力發(fā)展的關(guān)鍵要素之一，靜態(tài)數(shù)據(jù)帶來(lái)的經(jīng)濟(jì)價(jià)值遠(yuǎn)不如數(shù)據(jù)流轉(zhuǎn)帶來(lái)的社會(huì)效益。根據(jù)全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)2020 年3 月6 日發(fā)布的《信息安全技術(shù)個(gè)人信息安全規(guī)范》第3.13 條，個(gè)人信息共享是指?jìng)€(gè)人信息控制者向其他控制者提供個(gè)人信息，且雙方分別對(duì)個(gè)人信息擁有獨(dú)立控制權(quán)的過(guò)程。在實(shí)務(wù)中，個(gè)人信息控制者與共享方的關(guān)系如圖1 所示。個(gè)人信息處理者通過(guò)隱私政策完成知情同意的前置程序，以獲取用戶的個(gè)人信息，其通常會(huì)在隱私政策中以“第三方”“關(guān)聯(lián)方”等模糊字眼獲得共享的“合法性基礎(chǔ)”，進(jìn)而與第三方簽訂信息安全協(xié)議（或其他類(lèi)似協(xié)議）以明確各方主體的權(quán)利義務(wù)關(guān)系。共享方不需要單獨(dú)取得用戶同意，便可以對(duì)個(gè)人信息進(jìn)行相應(yīng)的處理和利用。

圖1 跨APP 個(gè)人信息共享模式

但基于《個(gè)人信息保護(hù)法》的知情同意原則，對(duì)共享行為合法性的認(rèn)定集中于對(duì)《個(gè)人信息保護(hù)法》第23 條規(guī)定的“其他個(gè)人信息處理者”的準(zhǔn)確把握。如果認(rèn)為對(duì)“其他個(gè)人信息處理者”應(yīng)采嚴(yán)格解釋，即認(rèn)為僅一款軟件為一個(gè)個(gè)人信息處理者，那共享行為則不具備合法性要件。但基于跨APP 個(gè)人信息共享的本質(zhì)以及現(xiàn)行法的框架體系，本文認(rèn)為對(duì)“其他個(gè)人信息處理者”不應(yīng)采嚴(yán)格解釋，而應(yīng)有擴(kuò)張空間。

（一）利弊分析：跨APP 個(gè)人信息共享的價(jià)值和風(fēng)險(xiǎn)

在數(shù)字經(jīng)濟(jì)時(shí)代，個(gè)人信息已經(jīng)成為重要的生產(chǎn)資料，在處理海量個(gè)人信息的過(guò)程中，人們可以獲取更多的知識(shí)與智慧，以創(chuàng)造更多的財(cái)富價(jià)值（管洪博，2021）。共享在個(gè)人信息傳播中起到了推波助瀾的促進(jìn)作用。對(duì)于APP 用戶而言，通過(guò)個(gè)人信息共享模式，其可以獲取更優(yōu)質(zhì)的個(gè)性化服務(wù)，享受互聯(lián)網(wǎng)大數(shù)據(jù)帶來(lái)的經(jīng)濟(jì)福利。對(duì)于APP 運(yùn)營(yíng)者而言，通過(guò)對(duì)個(gè)人信息的大數(shù)據(jù)定點(diǎn)分析，其可以提高自身的服務(wù)水平和服務(wù)質(zhì)量，增強(qiáng)社會(huì)責(zé)任感，且從中獲益。因此，共享行為對(duì)于私主體雙方不失為雙贏創(chuàng)舉。

對(duì)于社會(huì)整體而言，個(gè)人信息的共享能夠推動(dòng)大數(shù)據(jù)時(shí)代的發(fā)展（陸岷峰和王婷婷，2020）?！笆奈濉币?guī)劃和2035 年遠(yuǎn)景目標(biāo)綱要指出，要加快數(shù)字化發(fā)展，全面推進(jìn)數(shù)字化產(chǎn)業(yè)運(yùn)作，推動(dòng)數(shù)據(jù)資源開(kāi)發(fā)利用，建設(shè)國(guó)家數(shù)據(jù)統(tǒng)一共享開(kāi)放平臺(tái)。個(gè)人信息本質(zhì)上屬于數(shù)據(jù)范疇，個(gè)人信息共享對(duì)于企業(yè)和社會(huì)有重要的影響。以金融控股公司的個(gè)人數(shù)據(jù)共享為例，個(gè)人數(shù)據(jù)在金融機(jī)構(gòu)的風(fēng)險(xiǎn)控制、改善經(jīng)驗(yàn)、服務(wù)創(chuàng)新和產(chǎn)品創(chuàng)新等過(guò)程中占據(jù)核心位置，同時(shí)金融控股公司可以通過(guò)數(shù)據(jù)精準(zhǔn)分析，打通不同金融需求圈之間存在的壁壘，形成一站式的金融商場(chǎng)（蘇顏，2019）。

雖然企業(yè)對(duì)個(gè)人信息的共享可以促進(jìn)私主體和社會(huì)全方位發(fā)展，但數(shù)據(jù)共享是基于社會(huì)效益而對(duì)數(shù)據(jù)主體隱私權(quán)的適度限制，隨著信息共享次數(shù)的增多，如果不對(duì)共享行為采取相應(yīng)的監(jiān)管措施，個(gè)人信息泄露的風(fēng)險(xiǎn)將呈指數(shù)增長(zhǎng)。尤其在當(dāng)下，許多大型企業(yè)通過(guò)共享方式獲取個(gè)人信息數(shù)據(jù)以用于研發(fā)自身產(chǎn)品，進(jìn)而開(kāi)展精準(zhǔn)化營(yíng)銷(xiāo)，但用戶在平臺(tái)經(jīng)濟(jì)共享行為中處于信息不對(duì)稱的弱勢(shì)地位。如果對(duì)于這些具有市場(chǎng)支配地位的企業(yè)不采取相應(yīng)的監(jiān)管措施，可能會(huì)導(dǎo)致個(gè)人信息的共享邊界模糊不清從而侵犯?jìng)€(gè)人信息權(quán)益。在數(shù)據(jù)反壟斷執(zhí)法領(lǐng)域，近些年歐盟加大了對(duì)Facebook、Amazon 等行業(yè)巨頭的個(gè)人信息數(shù)據(jù)壟斷行為的執(zhí)法力度，我國(guó)也加大了對(duì)個(gè)人信息數(shù)據(jù)企業(yè)合規(guī)的監(jiān)管力度。

（二）基礎(chǔ)前提：個(gè)人信息處理者身份界定

APP 常以隱私政策的形式取得用戶的有效同意。但在此情形下，究竟是APP 的運(yùn)營(yíng)團(tuán)隊(duì)還是其背后的主體公司享有個(gè)人信息處理者之權(quán)利仍需進(jìn)一步確定?，F(xiàn)實(shí)中，多數(shù)隱私政策署名皆為主體公司名稱。隱私政策是網(wǎng)絡(luò)服務(wù)提供者向用戶公開(kāi)收集、使用個(gè)人信息的形式，符合合同法中要約的構(gòu)成要件（Killingsworth，1999）。隱私政策的目的和要求也與合同相似，用戶對(duì)網(wǎng)絡(luò)服務(wù)提供者的要約進(jìn)行“同意”，應(yīng)當(dāng)視為承諾。也有學(xué)者認(rèn)為，隱私政策為用戶和網(wǎng)絡(luò)服務(wù)提供者確定了明晰的權(quán)利和義務(wù)關(guān)系，一旦用戶同意了隱私政策，用戶即有交付個(gè)人信息之義務(wù)和要求網(wǎng)絡(luò)服務(wù)提供者提供服務(wù)之權(quán)利；而網(wǎng)絡(luò)服務(wù)提供者則承擔(dān)合理使用并保管個(gè)人信息之義務(wù)和要求用戶交付個(gè)人信息之權(quán)利（談?dòng)烂泛湾X(qián)小平，2006）。

筆者認(rèn)為，隱私政策本質(zhì)上屬于私主體之間簽訂的合同。根據(jù)《民法典》之規(guī)定，締約雙方依照約定取得相應(yīng)權(quán)利并承擔(dān)相應(yīng)義務(wù)。在實(shí)務(wù)中，隱私政策署名通常為APP 背后的主體公司，因而主體公司理應(yīng)成為個(gè)人信息處理者。APP 的單獨(dú)運(yùn)營(yíng)團(tuán)隊(duì)只是通過(guò)個(gè)人信息處理者的觸手，可以視為主體公司的履行輔助人，但不單獨(dú)對(duì)外承擔(dān)義務(wù)、享受權(quán)利。

（三）邏輯論證：基于現(xiàn)行法律框架的檢視

拉倫茨認(rèn)為，目的論解釋是指依可得認(rèn)識(shí)的規(guī)整目的及根本思想而為之解釋，在個(gè)別規(guī)定可能的字義，并且與法律之意義脈絡(luò)一致的范圍內(nèi)，應(yīng)以最能配合法律規(guī)整之目的及其階層關(guān)系的方式，解釋個(gè)別規(guī)定（拉倫茨，2003）?；谀康恼摰慕忉尫椒ǎ捌渌麄€(gè)人信息處理者”不應(yīng)采嚴(yán)格解釋。因?yàn)楦鶕?jù)《個(gè)人信息保護(hù)法》第1 條之規(guī)定④《個(gè)人信息保護(hù)法》第1 條：“為了保護(hù)個(gè)人信息權(quán)益，規(guī)范個(gè)人信息處理活動(dòng)，促進(jìn)個(gè)人信息合理利用，根據(jù)憲法，制定本法?！?，《個(gè)人信息保護(hù)法》的立法目的并不是為了禁止個(gè)人信息共享之行為，而是在合規(guī)的基礎(chǔ)上，促進(jìn)個(gè)人信息的合理利用。

個(gè)人信息最大的價(jià)值不在于其本身的內(nèi)容，而在于其不斷積累而形成的信息網(wǎng)。因?yàn)殪o態(tài)的數(shù)據(jù)對(duì)于推動(dòng)社會(huì)發(fā)展所能產(chǎn)生的作用微乎其微，但如果信息數(shù)據(jù)通過(guò)共享的模式不斷擴(kuò)大信息網(wǎng)的規(guī)模容量，不同數(shù)據(jù)之間的關(guān)聯(lián)性不斷增強(qiáng)，對(duì)于分析結(jié)果必然有所裨益，最終產(chǎn)生的效益或許會(huì)推動(dòng)數(shù)據(jù)經(jīng)濟(jì)時(shí)代的不斷發(fā)展。立法者之本意應(yīng)是創(chuàng)建行之有效的法律制度以促進(jìn)個(gè)人信息的合理利用，旨在保護(hù)個(gè)人信息權(quán)益的同時(shí)實(shí)現(xiàn)個(gè)人信息的帕累托最優(yōu)。如果對(duì)“其他個(gè)人信息處理者”采嚴(yán)格解釋，則意味著其他APP（包括同一主體開(kāi)發(fā)的）要獲取個(gè)人信息都必須單獨(dú)獲得用戶同意，這對(duì)于企業(yè)而言無(wú)疑增加了前置程序。

解決這一問(wèn)題的方法是，企業(yè)可以在隱私政策中將共享對(duì)象完全披露。但是這一做法并不具有現(xiàn)實(shí)操作性，因?yàn)樯淌玛P(guān)系以利益為主導(dǎo)，瞬息萬(wàn)變?！暗谌健薄瓣P(guān)聯(lián)方”本身就具有極大的不確定性，提前對(duì)共享對(duì)象完全披露不符合商業(yè)運(yùn)作規(guī)律。一概要求其他APP 都需要再單獨(dú)獲得用戶同意，尤其是對(duì)于同一主體開(kāi)發(fā)的其他APP 而言，無(wú)疑增加了企業(yè)的運(yùn)營(yíng)成本。同時(shí)，繁瑣的隱私政策也會(huì)讓用戶頭疼，有學(xué)者實(shí)證研究發(fā)現(xiàn)，隱私政策大多充斥著“法言法語(yǔ)”，對(duì)于普通用戶而言，存在無(wú)人讀、不可讀、讀不懂的窘境（韓旭至，2021）。如果強(qiáng)制在企業(yè)與用戶二者之間增加繁瑣且無(wú)意義的步驟，無(wú)異于將形式置于效率之上。Acemoglu（2001）認(rèn)為，制度分為包容型制度和掠奪型制度，一個(gè)國(guó)家只有在關(guān)鍵節(jié)點(diǎn)引入包容型制度才能走向持續(xù)繁榮。同理，如果采嚴(yán)格解釋，可能會(huì)磨滅企業(yè)利用個(gè)人信息創(chuàng)造更大社會(huì)價(jià)值的可能性與積極性。這與《個(gè)人信息保護(hù)法》的立法初衷背道而馳，因而對(duì)“其他個(gè)人信息處理者”采擴(kuò)張性解釋或許更符合數(shù)字經(jīng)濟(jì)時(shí)代發(fā)展的需要。

三、域外相關(guān)立法之探析

（一）美國(guó)關(guān)于個(gè)人信息共享的法律規(guī)制

在美國(guó)聯(lián)邦層面，美國(guó)并沒(méi)有單行的個(gè)人信息保護(hù)法，其主要的法律規(guī)制模式為隱私權(quán)加上行業(yè)自治規(guī)范。在美國(guó)，“隱私”二字已經(jīng)成為描述個(gè)人信息權(quán)的代名詞（Reidenberg，1995）。美國(guó)堅(jiān)持促進(jìn)個(gè)人信息數(shù)據(jù)的流通，以促進(jìn)數(shù)據(jù)產(chǎn)業(yè)的迅猛發(fā)展。但美國(guó)聯(lián)邦政府將自治權(quán)下放于州政府與各個(gè)行業(yè)，比如《聯(lián)邦有線通訊政策法案》授權(quán)有線通訊運(yùn)營(yíng)商共享用戶個(gè)人信息的法定情況（管洪博，2021）。美國(guó)通過(guò)行業(yè)自治的模式將個(gè)人信息共享的權(quán)限下放，突出強(qiáng)調(diào)不同行業(yè)之間存在的差異性，構(gòu)建了各具特色的行業(yè)個(gè)人信息保護(hù)模式。但這樣分散式的立法體例一定程度上增加了立法、執(zhí)法的成本和企業(yè)進(jìn)行合規(guī)性運(yùn)作的成本，對(duì)個(gè)人信息共享行為的安全穩(wěn)定會(huì)產(chǎn)生一定的威脅。

2018 年，美國(guó)加利福利亞州通過(guò)《消費(fèi)者隱私法案》（以下簡(jiǎn)稱CCPA），明確了消費(fèi)者隱私權(quán)的邊界，其特點(diǎn)主要表現(xiàn)在以下幾個(gè)方面：第一，強(qiáng)調(diào)數(shù)據(jù)的可出售性。CCPA 主要規(guī)制數(shù)據(jù)流通共享之行為模式，強(qiáng)調(diào)數(shù)據(jù)的經(jīng)濟(jì)價(jià)值，倡導(dǎo)在保護(hù)個(gè)人信息知情同意原則的基礎(chǔ)上，促進(jìn)數(shù)據(jù)的流通以創(chuàng)造更大的數(shù)據(jù)價(jià)值。第二，明確企業(yè)在數(shù)據(jù)共享中的披露義務(wù)，規(guī)定個(gè)人信息被出售或者因商業(yè)目的而被共享時(shí)，消費(fèi)者有權(quán)要求企業(yè)向其披露共享對(duì)象的類(lèi)別，但是并未規(guī)定對(duì)共享方的完全披露。第三，2020 年修正后的CCPA 增加了強(qiáng)制企業(yè)與第三方簽訂信息安全協(xié)議的條款。收集個(gè)人信息的企業(yè)在出售個(gè)人信息給第三方，或者出于商業(yè)原因向服務(wù)供應(yīng)商或承包商披露個(gè)人信息時(shí)，應(yīng)當(dāng)與其簽訂協(xié)議，明確出售或者披露個(gè)人信息的目的，第三方、服務(wù)供應(yīng)商或承包商有義務(wù)遵守相關(guān)規(guī)定，提供同水平的隱私保護(hù)，企業(yè)應(yīng)采取合理且適當(dāng)?shù)拇胧┲浦购脱a(bǔ)救未經(jīng)授權(quán)利用個(gè)人信息的行為（吳沈括等，2018）。

（二）歐盟關(guān)于個(gè)人信息共享的法律規(guī)制

個(gè)人信息的開(kāi)發(fā)、收集和利用應(yīng)當(dāng)建立在保護(hù)個(gè)人信息權(quán)益和隱私權(quán)的基礎(chǔ)上（王利明，2019）。歐盟《一般數(shù)據(jù)保護(hù)條例》（以下簡(jiǎn)稱CDPR）強(qiáng)調(diào)個(gè)人信息收集的合法性，保護(hù)自然人基于個(gè)人信息數(shù)據(jù)所享有的權(quán)利。在此基礎(chǔ)上，CDPR 構(gòu)建了以知情同意為原則的個(gè)人信息數(shù)據(jù)處理體系，在涉及個(gè)人信息數(shù)據(jù)處理的領(lǐng)域，應(yīng)當(dāng)遵循合法、合理和透明原則，而對(duì)于收集目的和數(shù)據(jù)限度都有相應(yīng)的限制性規(guī)定。CDPR 還規(guī)定了數(shù)據(jù)主體“同意”的構(gòu)成要件，強(qiáng)調(diào)“同意”應(yīng)是數(shù)據(jù)主體在自由意志下所作出的意思表示。

在個(gè)人信息共享方面，CDPR 明確規(guī)定，如果個(gè)人數(shù)據(jù)不是向數(shù)據(jù)主體直接收集時(shí)，個(gè)人信息控制者（以下簡(jiǎn)稱控制者）應(yīng)當(dāng)向數(shù)據(jù)主體披露控制者的身份與聯(lián)系方式、收集數(shù)據(jù)的目的及種類(lèi)等重要信息。同時(shí)還規(guī)定了數(shù)據(jù)主體的撤回同意、訪問(wèn)、更正、刪除個(gè)人信息數(shù)據(jù)、向監(jiān)管機(jī)構(gòu)提出申訴等權(quán)利。這樣的規(guī)定明確了控制者（企業(yè)）在個(gè)人信息共享中的義務(wù)，其處理個(gè)人信息數(shù)據(jù)的目的必須要符合合理性要求。

在實(shí)踐中，WhatsApp 就曾因未遵守CDPR 個(gè)人信息共享之規(guī)定而被愛(ài)爾蘭數(shù)據(jù)保護(hù)委員會(huì)（DPC）開(kāi)出天價(jià)罰單（Freedman，2022）。WhatsApp 隸屬于Facebook，DPC 指控WhatsApp 涉嫌隱瞞其與母公司Facebook 共享歐洲用戶個(gè)人信息數(shù)據(jù)之行為，違反CDPR 之規(guī)定。雖然涉事企業(yè)屬于母子公司，但是DPC 認(rèn)為WhatsApp 仍然應(yīng)該以公開(kāi)透明且合理的方式告知用戶，其是怎樣與母公司共享個(gè)人信息數(shù)據(jù)的。由此可見(jiàn)，歐盟的個(gè)人數(shù)據(jù)保護(hù)的立法思想主要集中于對(duì)私權(quán)的強(qiáng)效保護(hù)，即使是母子公司之間仍然要進(jìn)行信息披露，此種立法模式為其他國(guó)家或地區(qū)的法律制定提供了范本，激起了社會(huì)對(duì)于大數(shù)據(jù)內(nèi)部矛盾和可能風(fēng)險(xiǎn)的思考，強(qiáng)調(diào)了在利用數(shù)據(jù)獲利的同時(shí)必須要顧及數(shù)據(jù)主體的權(quán)利（田廣蘭，2020）。

（三）相關(guān)參考與借鑒

雖然美國(guó)和歐盟采納了不同的立法思想，但本質(zhì)上二者都在加強(qiáng)對(duì)數(shù)據(jù)主體的權(quán)益保護(hù)。知情同意仍然是個(gè)人信息保護(hù)中的“帝王”條款。結(jié)合我國(guó)的現(xiàn)實(shí)狀況，美國(guó)與歐盟對(duì)于個(gè)人信息共享的法律規(guī)制對(duì)我國(guó)可能有以下參考與借鑒：

第一，知情同意應(yīng)為我國(guó)個(gè)人信息共享法律規(guī)制中的核心。首先，雖然個(gè)人信息權(quán)益的人格權(quán)屬性并不排除經(jīng)濟(jì)屬性，但從法理層面而言，人格權(quán)屬性應(yīng)當(dāng)優(yōu)位于經(jīng)濟(jì)屬性。在保護(hù)位階上應(yīng)當(dāng)有先后順序，在共享模式中，個(gè)人信息不像具體的物，共享之行為并不會(huì)導(dǎo)致原有控制者的控制權(quán)消滅，相反還會(huì)導(dǎo)致新的控制權(quán)產(chǎn)生。在個(gè)人信息保護(hù)的鏈條上則多添加了一環(huán)，對(duì)于數(shù)據(jù)主體而言實(shí)則多了一重?cái)?shù)據(jù)泄露的風(fēng)險(xiǎn)，其人格權(quán)受侵犯的可能性也隨之增加。其次，個(gè)人信息權(quán)益乃公法性質(zhì)之私權(quán)利，對(duì)于私權(quán)利之保護(hù)應(yīng)當(dāng)充分尊重其意思自治，因而我國(guó)《個(gè)人信息保護(hù)法》的構(gòu)建以知情同意原則展開(kāi)。最后，如果我國(guó)選擇數(shù)據(jù)可出售的立法模式，可能會(huì)造成互聯(lián)網(wǎng)數(shù)據(jù)壟斷現(xiàn)象的發(fā)生。數(shù)據(jù)可出售的前提應(yīng)當(dāng)是存在相應(yīng)的審查制度以保護(hù)個(gè)人信息安全，但目前我國(guó)并沒(méi)有強(qiáng)制簽訂信息安全協(xié)議，也沒(méi)有設(shè)立相應(yīng)的行政審批機(jī)關(guān)。數(shù)據(jù)價(jià)格如果完全由市場(chǎng)決定，占據(jù)市場(chǎng)支配地位的寡頭公司必然會(huì)占據(jù)議價(jià)優(yōu)勢(shì)，可能會(huì)進(jìn)一步侵害數(shù)據(jù)主體之人格權(quán)。

第二，CCPA 與CDPR 對(duì)企業(yè)披露義務(wù)的規(guī)定和CCPA 強(qiáng)制簽訂信息安全協(xié)議可以為我國(guó)法律規(guī)制提供參考。首先，企業(yè)披露義務(wù)的履行程度取決于企業(yè)在共享行為中所掌握的信息容量。在復(fù)雜的商事活動(dòng)中，除非共享方為企業(yè)的全資子公司，否則要求企業(yè)將共享方的信息事無(wú)巨細(xì)地披露難免有強(qiáng)人所難之嫌。我國(guó)在個(gè)人信息共享配套保障措施方面仍不完善，若將披露義務(wù)降到最低限度可能會(huì)導(dǎo)致企業(yè)與共享方串通以侵害數(shù)據(jù)主體之權(quán)利的現(xiàn)象發(fā)生，因而我國(guó)對(duì)于披露義務(wù)的借鑒應(yīng)結(jié)合我國(guó)實(shí)際情況予以適度修正。其次，可考慮強(qiáng)制企業(yè)與共享方簽訂信息安全協(xié)議，要求共享方對(duì)數(shù)據(jù)主體提供同等數(shù)據(jù)保護(hù)。保護(hù)個(gè)人信息數(shù)據(jù)的根本在于控制個(gè)人信息處理者的權(quán)利邊界，只要利用了個(gè)人信息數(shù)據(jù)就應(yīng)當(dāng)承擔(dān)保障個(gè)人信息數(shù)據(jù)安全的義務(wù)。當(dāng)下許多APP 共享方在享受個(gè)人信息數(shù)據(jù)利益的同時(shí)，卻并未承擔(dān)保障數(shù)據(jù)安全的義務(wù)。在立法缺失的背景下，共享方保障數(shù)據(jù)安全的義務(wù)只能由共享協(xié)議規(guī)制，尚未形成完善的行業(yè)自律標(biāo)準(zhǔn)，企業(yè)也無(wú)須將共享協(xié)議向數(shù)據(jù)主體披露，這難免會(huì)造成共享方游離于法律規(guī)制的范圍之外。因而，從立法層面強(qiáng)制企業(yè)與共享方簽訂信息安全協(xié)議，有助于填補(bǔ)我國(guó)目前存在的立法空白。

四、我國(guó)的路徑選擇：基于現(xiàn)行法與比較法之考量

在跨APP 個(gè)人信息共享的邏輯框架下，法律規(guī)制的路徑選擇集中于對(duì)個(gè)人信息處理者和用戶之間的利益考量。換言之，即數(shù)據(jù)的經(jīng)濟(jì)價(jià)值和個(gè)人信息權(quán)益之間的價(jià)值取舍（任穎，2022）。歐盟之立法強(qiáng)調(diào)傳統(tǒng)的個(gè)人信息權(quán)益保護(hù)模式，即數(shù)據(jù)主體的個(gè)人信息隱私權(quán)神圣不可侵犯，故告知同意原則仍然是CDPR 的重要原則性條款。但隨著數(shù)字經(jīng)濟(jì)時(shí)代的不斷發(fā)展，數(shù)據(jù)流轉(zhuǎn)帶有商業(yè)流轉(zhuǎn)價(jià)值，因而個(gè)人信息數(shù)據(jù)共享呈現(xiàn)出商業(yè)價(jià)值與人格權(quán)益的矛盾與沖突（張民安等，2017）。美國(guó)以維護(hù)產(chǎn)業(yè)競(jìng)爭(zhēng)優(yōu)勢(shì)為主要發(fā)展目標(biāo)，大力推進(jìn)個(gè)人信息數(shù)據(jù)的自由流動(dòng)（張衡，2020）。但我國(guó)的規(guī)制路徑選擇不能一味地照搬照抄國(guó)外，而應(yīng)結(jié)合我國(guó)現(xiàn)行法之框架，優(yōu)先適用法律解釋之方法以探尋法律規(guī)制和企業(yè)合規(guī)之路徑。

基于現(xiàn)實(shí)，個(gè)人信息共享方可以分為同一主體公司、子公司、關(guān)聯(lián)方和其他合作伙伴。根據(jù)《個(gè)人信息保護(hù)法》第2 章第2 節(jié)之規(guī)定，個(gè)人信息應(yīng)當(dāng)分為敏感個(gè)人信息和其他個(gè)人信息。因此，本文基于現(xiàn)行法與比較法之衡量提出圖2 所示的規(guī)制路徑。

圖2 個(gè)人信息共享規(guī)制路徑選擇

（一）共享敏感個(gè)人信息必須取得單獨(dú)同意并遵循三重授權(quán)原則

1.共享敏感個(gè)人信息必須取得單獨(dú)同意

根據(jù)《個(gè)人信息保護(hù)法》第28 條之規(guī)定，敏感個(gè)人信息與數(shù)據(jù)主體的個(gè)人尊嚴(yán)和人身財(cái)產(chǎn)安全具有緊密關(guān)聯(lián)性，相較于其他個(gè)人信息，其個(gè)性化標(biāo)識(shí)程度高，一旦泄露將會(huì)造成巨大危害。第29 條規(guī)定，敏感個(gè)人信息的處理必須征得數(shù)據(jù)主體的單獨(dú)同意，在特定情況下還應(yīng)取得數(shù)據(jù)主體的書(shū)面同意。這一單獨(dú)同意規(guī)則，意味著禁止一攬子授權(quán)（王利明，2022）。

2.共享敏感個(gè)人信息必須遵循三重授權(quán)原則

在敏感個(gè)人信息中，為保障個(gè)人信息數(shù)據(jù)的安全，應(yīng)堅(jiān)持三重授權(quán)原則，即個(gè)人信息處理者應(yīng)當(dāng)在隱私政策中明確披露敏感個(gè)人信息共享對(duì)象的具體信息。同時(shí)根據(jù)《個(gè)人信息保護(hù)法》第28 條第2 款之規(guī)定，敏感個(gè)人信息的處理必須基于特定目的和必要的合理性。這就要求個(gè)人信息處理者不僅要在隱私政策中披露自己的目的和必要性，更應(yīng)當(dāng)披露共享方共享敏感個(gè)人信息的目的和必要性。

（二）同一主體公司在共享其他個(gè)人信息時(shí)應(yīng)啟動(dòng)合理性審查機(jī)制并履行披露義務(wù)

基于隱私政策的合同屬性，APP 研發(fā)企業(yè)應(yīng)為個(gè)人信息處理者，依法享有信息收集、處理等法定權(quán)利。但問(wèn)題是，企業(yè)從一個(gè)APP 中獲取的個(gè)人信息是否可以無(wú)條件地在自身開(kāi)發(fā)的其他APP 跨領(lǐng)域共享呢？這需要厘清個(gè)人信息處理者和數(shù)據(jù)主體之間的權(quán)利邊界。

在信息處理關(guān)系中，數(shù)據(jù)主體享有個(gè)人信息控制權(quán)，即在處理過(guò)程中數(shù)據(jù)主體對(duì)告知處理者的個(gè)人信息，享有控制其在合理使用范圍內(nèi)處理個(gè)人信息的權(quán)利（劉士國(guó)，2021）。而個(gè)人信息處理者所擁有的權(quán)利類(lèi)似于“許可”，平臺(tái)基于資本投入、技術(shù)支持等附加操作成本而獲得用益權(quán)，這樣可以促進(jìn)商業(yè)企業(yè)不斷加大投入、鼓勵(lì)創(chuàng)新（申衛(wèi)星，2021）。換言之，個(gè)人信息數(shù)據(jù)所有權(quán)歸屬于數(shù)據(jù)主體，個(gè)人信息處理者享有從數(shù)據(jù)主體所有權(quán)派生出的用益權(quán)，但在處理個(gè)人信息的過(guò)程中必須符合《個(gè)人信息保護(hù)法》的基本原則，同時(shí)必須尊重?cái)?shù)據(jù)主體的個(gè)人信息控制權(quán)。

根據(jù)《個(gè)人信息保護(hù)法》之規(guī)定，處理個(gè)人信息必須遵循合法、正當(dāng)、必要和誠(chéng)信原則，必須說(shuō)明明確且合理的處理目的，堅(jiān)持?jǐn)?shù)據(jù)最小化原則，強(qiáng)調(diào)個(gè)人信息處理過(guò)程中應(yīng)遵守公開(kāi)透明原則。在表1 所列的微信讀書(shū)案中，法院強(qiáng)調(diào)雖然微信和微信讀書(shū)的開(kāi)發(fā)主體相同，但微信和微信讀書(shū)共用好友信息并不符合一般用戶的合理預(yù)期。這樣的觀點(diǎn)有其法理基礎(chǔ)，因?yàn)閭€(gè)人信息并非具體物，個(gè)人信息處理者享有的并非排他性物權(quán)，其權(quán)利取得來(lái)源于數(shù)據(jù)主體，從邏輯上而言，應(yīng)當(dāng)在不違反數(shù)據(jù)主體之權(quán)利范圍內(nèi)行使自身權(quán)利。

在數(shù)據(jù)私益和數(shù)據(jù)公益中探求雙向平衡點(diǎn)，是數(shù)字經(jīng)濟(jì)時(shí)代保護(hù)個(gè)人信息數(shù)據(jù)隱私的核心所在（任穎，2020）。如果允許企業(yè)在公司內(nèi)部無(wú)限制共享個(gè)人信息，則無(wú)異于將數(shù)據(jù)私益無(wú)限放大，可能會(huì)侵犯數(shù)據(jù)主體的個(gè)人信息隱私權(quán)。因此，企業(yè)在內(nèi)部公司共享數(shù)據(jù)時(shí)必須考慮其是否存在現(xiàn)實(shí)必要性和合理性，同時(shí)企業(yè)在隱私政策中必須披露共享的目的、方式、范圍等是否符合一般用戶的合理預(yù)期以及技術(shù)開(kāi)發(fā)的必要。

（三）子公司、關(guān)聯(lián)方和其他合作伙伴在共享其他個(gè)人信息時(shí)也應(yīng)遵循三重授權(quán)原則

1.取得同意

子公司、關(guān)聯(lián)方和其他合作伙伴的范圍非常廣，如果在隱私政策中僅通過(guò)模糊字眼進(jìn)行共享對(duì)象披露，勢(shì)必會(huì)影響數(shù)據(jù)主體作出“同意”之意思表示的效力，從而威脅到個(gè)人信息數(shù)據(jù)的穩(wěn)定性和安全性。此外，無(wú)論是子公司、關(guān)聯(lián)方還是其他合作伙伴，相對(duì)于主體公司皆為獨(dú)立的民事主體，獨(dú)立對(duì)外享受權(quán)利承擔(dān)義務(wù)，其均未在隱私政策上署名，所以與主體公司不應(yīng)認(rèn)為屬于“同一個(gè)人信息處理者”，而是屬于“其他個(gè)人信息處理者”。依照《個(gè)人信息保護(hù)法》第23 條之規(guī)定，在共享行為中個(gè)人信息處理者（企業(yè)）應(yīng)當(dāng)向個(gè)人告知接收方的基本信息，并取得個(gè)人的同意。

2.披露標(biāo)準(zhǔn)之修正

《個(gè)人信息保護(hù)法》第23 條確定了我國(guó)在個(gè)人信息共享時(shí)企業(yè)的披露義務(wù)，但這樣的立法模式可能會(huì)提高企業(yè)的合規(guī)成本。因?yàn)橹贫茸饔玫暮诵脑谟趯?duì)激勵(lì)的影響與制約，激勵(lì)較約束對(duì)人的作用更為明顯。披露義務(wù)的高低意味著對(duì)企業(yè)經(jīng)營(yíng)者是激勵(lì)還是約束。對(duì)于已經(jīng)形成商業(yè)集團(tuán)的公司、企業(yè)而言，數(shù)據(jù)共享已成為其進(jìn)行市場(chǎng)走向分析、消費(fèi)趨勢(shì)預(yù)判的主要工具，而且企業(yè)的子公司、關(guān)聯(lián)方和合作伙伴會(huì)隨著時(shí)間而變化。如果要求企業(yè)每次共享時(shí)都告知數(shù)據(jù)主體共享對(duì)象的具體信息以取得同意，可能會(huì)降低企業(yè)創(chuàng)新的積極性。而且商業(yè)運(yùn)作具有復(fù)雜性，企業(yè)預(yù)判將來(lái)的共享對(duì)象的成本過(guò)高，同時(shí)需要企業(yè)和用戶不斷地通過(guò)隱私政策完成“知情同意”之程序要件，這并不具有現(xiàn)實(shí)可能性。本文認(rèn)為，可以借鑒歐盟與美國(guó)的相關(guān)立法，企業(yè)可以僅披露共享第三方的類(lèi)別以及處理目的、處理方式和個(gè)人信息的種類(lèi)。

（四）建立健全企業(yè)與共享方簽訂信息安全協(xié)議機(jī)制

在共享行為框架中，個(gè)人信息控制者需要簽訂兩份契約。第一是與用戶簽訂隱私政策協(xié)議，完成告知義務(wù)取得用戶同意；第二是與共享第三方簽訂信息安全協(xié)議，明確各方主體的權(quán)利義務(wù)。我國(guó)對(duì)隱私政策的規(guī)制并沒(méi)有強(qiáng)行法之規(guī)定，導(dǎo)致隱私政策更多遵循的是私法上的意思自治原則。

在實(shí)踐中，個(gè)人信息處理者與用戶簽訂的隱私政策大多屬于格式條款，雖然協(xié)議名稱可能千變?nèi)f化，但是本質(zhì)仍屬于格式條款。在格式條款制定的過(guò)程中，當(dāng)事人雙方基于實(shí)力而產(chǎn)生的議價(jià)懸殊便會(huì)在格式條款中展現(xiàn)，即便賦予自然人以司法保護(hù)之救濟(jì)途徑，對(duì)于個(gè)人而言，訴訟成本仍然過(guò)于昂貴。如果像日本和歐盟一樣，將格式條款的審核監(jiān)管交由相關(guān)的信息監(jiān)管行政機(jī)關(guān)執(zhí)行，恐怕有以公法干涉私法之嫌疑（陳國(guó)軍，2022）。但隱私政策常常會(huì)出現(xiàn)要求個(gè)人信息共享之條款，這會(huì)威脅到個(gè)人信息隱私數(shù)據(jù)的安全性。在我國(guó)目前尚未有相關(guān)的監(jiān)管措施時(shí)，可以通過(guò)行政法規(guī)的方式強(qiáng)制企業(yè)與共享方簽訂信息安全協(xié)議，并設(shè)定保護(hù)個(gè)人信息隱私所必須之條款。必須條款意味著最低限度條款，即共享第三方應(yīng)當(dāng)承擔(dān)完全等同于個(gè)人信息處理者的義務(wù)責(zé)任，如果發(fā)生個(gè)人信息侵權(quán)，應(yīng)當(dāng)承擔(dān)連帶責(zé)任。

（五）個(gè)人信息處理和共享時(shí)應(yīng)當(dāng)去標(biāo)識(shí)化

個(gè)人數(shù)據(jù)是由一個(gè)活著的人的信息所組成的數(shù)據(jù)，對(duì)于這個(gè)人，可以通過(guò)該信息得以識(shí)別（蔣志培，2001）。在互聯(lián)網(wǎng)時(shí)代，每個(gè)人在互聯(lián)網(wǎng)的一舉一動(dòng)都會(huì)在網(wǎng)絡(luò)虛擬世界中留下足跡，足跡的集合體即整合成個(gè)人信息。APP 開(kāi)發(fā)運(yùn)營(yíng)者通過(guò)研究這些自然人的生物信息、行為數(shù)據(jù)、隱私數(shù)據(jù)等為特定對(duì)象提供個(gè)性化服務(wù)推送已成常態(tài)。APP 使用者在社會(huì)生活中或多或少都會(huì)感覺(jué)自己的個(gè)人信息被無(wú)限共享，比如自己上一秒剛在某個(gè)購(gòu)物軟件查找某件商品，下一秒在另外一個(gè)軟件中便可發(fā)現(xiàn)該商品的優(yōu)惠信息。雖然這樣的數(shù)據(jù)分析建?？梢蕴岣邆€(gè)性化服務(wù)的質(zhì)量，但從本質(zhì)上講個(gè)人信息具有可識(shí)別性，通過(guò)多重?cái)?shù)據(jù)的重新構(gòu)建即可描繪出虛擬的“人物形象”。這些形象的所有權(quán)應(yīng)當(dāng)歸屬于數(shù)據(jù)主體，系人格權(quán)的組成部分，如若未經(jīng)數(shù)據(jù)主體同意即將具有標(biāo)識(shí)化的個(gè)人信息隱私數(shù)據(jù)共享，無(wú)疑是對(duì)人格權(quán)的侵犯。

2019 年，國(guó)家網(wǎng)信辦等部門(mén)聯(lián)合發(fā)布的《App 違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》明確指出，既未經(jīng)用戶同意，也未進(jìn)行匿名化處理就向第三方提供其收集的個(gè)人信息屬于“未經(jīng)同意向他人提供個(gè)人信息”。2021 年，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)發(fā)布了《信息安全技術(shù) 個(gè)人信息去標(biāo)識(shí)化效果分級(jí)評(píng)估規(guī)范》（征求意見(jiàn)稿）（以下簡(jiǎn)稱《規(guī)范》），其中明確規(guī)定了個(gè)人信息去標(biāo)識(shí)化的效果分級(jí)，旨在保護(hù)個(gè)人信息安全的基礎(chǔ)上促進(jìn)數(shù)據(jù)共享。

在數(shù)字經(jīng)濟(jì)時(shí)代，最具研究?jī)r(jià)值的應(yīng)是數(shù)據(jù)本身所支撐起的龐大數(shù)據(jù)庫(kù)，而非單個(gè)數(shù)據(jù)背后所代表的自然人形象。在法律規(guī)制上，個(gè)人信息保護(hù)的是特定、標(biāo)識(shí)化的數(shù)據(jù)主體，而非不特定的自然人，所以在鼓勵(lì)個(gè)人信息數(shù)據(jù)流通的同時(shí)，應(yīng)弱化數(shù)據(jù)要素中標(biāo)識(shí)化特點(diǎn)。雖然“人物形象”對(duì)于企業(yè)定點(diǎn)推送而言更具經(jīng)濟(jì)價(jià)值，但是真正有利于社會(huì)發(fā)展的應(yīng)是通過(guò)宏觀分析的方法處理信息數(shù)據(jù)以觀察社會(huì)總體發(fā)展趨勢(shì)。因此，可以將“去標(biāo)識(shí)化”作為個(gè)人信息處理和共享中的核心要件。通過(guò)強(qiáng)制加密、數(shù)據(jù)脫敏、匿名化等程序，從根本上降低個(gè)人信息隱私數(shù)據(jù)的泄露（任穎，2022）?！兑?guī)范》作為“去標(biāo)識(shí)化”效果認(rèn)定的技術(shù)標(biāo)準(zhǔn)，其中“去標(biāo)識(shí)化分級(jí)示例”對(duì)企業(yè)隱私數(shù)據(jù)合規(guī)起到示范作用，可作為國(guó)家標(biāo)準(zhǔn)，以提高企業(yè)對(duì)于個(gè)人信息去標(biāo)識(shí)化的重視和其規(guī)范性。

五、結(jié)語(yǔ)

跨APP 個(gè)人信息共享已成為商業(yè)發(fā)展模式的常態(tài)，企業(yè)通過(guò)個(gè)人信息數(shù)據(jù)完成人物形象建模以達(dá)到精準(zhǔn)營(yíng)銷(xiāo)、市場(chǎng)預(yù)判、提高收益的商業(yè)目的。但無(wú)論是比較法還是現(xiàn)行法，對(duì)于個(gè)人信息保護(hù)都是以知情同意原則進(jìn)行構(gòu)建的，所以個(gè)人信息共享的法律規(guī)制和企業(yè)合規(guī)離不開(kāi)對(duì)知情同意的解釋。

首先，對(duì)于敏感個(gè)人信息的共享必須要堅(jiān)持三重授權(quán)原則。其次，對(duì)于其他個(gè)人信息的共享，同一主體公司不需要額外取得用戶授權(quán)即可在完成披露義務(wù)的情況下向本公司開(kāi)發(fā)的其他APP（或者網(wǎng)站）共享數(shù)據(jù)，但不同應(yīng)用之間共享個(gè)人信息應(yīng)當(dāng)符合一般用戶的合理期待。子公司、關(guān)聯(lián)方和其他合作伙伴屬于“其他個(gè)人信息處理者”，應(yīng)當(dāng)堅(jiān)持三重授權(quán)原則，但對(duì)個(gè)人信息處理者的披露義務(wù)可以借鑒歐盟和美國(guó)的做法，只需要披露共享第三方的類(lèi)型即可。最后，在法律制度構(gòu)建方面，CCPA 的強(qiáng)制締約可以為我國(guó)個(gè)人信息數(shù)據(jù)監(jiān)管提供新的思路?？赏ㄟ^(guò)行政法規(guī)的方式強(qiáng)制個(gè)人信息處理者與共享方簽訂信息安全協(xié)議，并明確共享方對(duì)個(gè)人信息數(shù)據(jù)最低限度的保護(hù)義務(wù)。通過(guò)國(guó)家干預(yù)的手段緩解互聯(lián)網(wǎng)大數(shù)據(jù)共享對(duì)個(gè)人信息權(quán)益造成的沖擊。同時(shí)，數(shù)據(jù)“去標(biāo)識(shí)化”應(yīng)成為共享數(shù)據(jù)行為模式的核心共識(shí)，企業(yè)應(yīng)加強(qiáng)對(duì)數(shù)據(jù)監(jiān)管的技術(shù)設(shè)施，著眼于數(shù)據(jù)強(qiáng)制加密、數(shù)據(jù)脫敏處理等技術(shù)的更新迭代，構(gòu)建完善的個(gè)人信息數(shù)據(jù)庫(kù)管理體系，以切實(shí)有效地保護(hù)個(gè)人信息。