數(shù)字時代個人信息的法律保護
——以“合法、正當(dāng)、必要”原則為中心

王勇旗

(河南警察學(xué)院 公安專業(yè)基礎(chǔ)教學(xué)部,河南 鄭州 450046)

一、問題的提出

數(shù)字時代,信息(數(shù)據(jù))資源是重要的“營養(yǎng)原料”和基礎(chǔ)性戰(zhàn)略資源,在此背景下對個人信息進行大規(guī)模處理所引發(fā)的社會問題引起學(xué)界和立法部門的廣泛關(guān)注,如是,加強個人信息法律保護已成共識。具而言之,學(xué)界立基不同視角闡釋了個人信息保護論點,“財產(chǎn)權(quán)保護說” “人格權(quán)保護說” 及“侵權(quán)法保護”說等。[1]學(xué)界立論觀點雖有歧見,但共識更為明顯,即應(yīng)該加強個人信息的法律保護。2012年《全國人民代表大會常務(wù)委員會關(guān)于加強網(wǎng)絡(luò)信息保護的決定》第2條明確提出以合法、正當(dāng)、必要原則作為收集、使用個人信息的基本遵循?！毒W(wǎng)絡(luò)安全法》第41條規(guī)定:“網(wǎng)絡(luò)運營者收集、使用個人信息,應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則”?！睹穹ǖ洹返?035條規(guī)定:“處理自然人個人信息的,應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則”,是沿襲《消費者權(quán)益保護法》《網(wǎng)絡(luò)安全法》中個人信息保護的“合法、正當(dāng)、必要”三原則體現(xiàn),并對其進行優(yōu)化。從上述規(guī)范中可知:第一,《民法典》從主體角度做了“無形”擴大解釋,即從“經(jīng)營者”“網(wǎng)絡(luò)運營者主體”擴展至包括并不限于此主體(《民法典》未以列舉方式闡明,足見適用的主體適用范圍并不受限);第二,從行為角度予以擴展,《民法典》以“處理”代替“使用”,從詞義上講,規(guī)定“處理”顯得行為方式更為多樣化。結(jié)合以上所列“優(yōu)化”設(shè)計,毋寧說是三部法律因調(diào)整范圍不同而采用不同規(guī)定,不如說《民法典》的規(guī)定更符合數(shù)字時代特征。

隨著大數(shù)據(jù)人工智能等高新科技迭代升級發(fā)展,個人信息(數(shù)據(jù))中所蘊含的經(jīng)濟價值日益彰顯,“非法泄漏、非法使用、濫用個人信息的行為”愈演愈烈,[2]包括并不限于經(jīng)營者、網(wǎng)絡(luò)運營者基于經(jīng)濟利益動機而收集個人信息(數(shù)據(jù)),更為重要的是對個人信息(數(shù)據(jù))的二次利用,不僅包括使用,而且包括加工、存儲、傳輸、提供、公開等一系列動態(tài)過程,從侵權(quán)角度講,對個人信息的侵害行為可貫穿整個流程?！睹穹ǖ洹穼η趾χ黧w未限定“網(wǎng)絡(luò)運營者”符合現(xiàn)實,用“處理”代替“使用”從用語角度所涉范圍更廣,“概念內(nèi)涵更豐富”,[3]亦同實際更契合。質(zhì)言之,“合法、正當(dāng)、必要”原則是數(shù)字時代個人信息法律保護的基礎(chǔ)。

二、“合法、正當(dāng)、必要”原則之間內(nèi)在邏輯

個人信息涉及自然人人身自由和人格尊嚴,同人格權(quán)密切相關(guān)。任何主體處理個人信息都應(yīng)在法律或特定規(guī)則指引下進行。《民法典》規(guī)定“合法、正當(dāng)、必要”原則規(guī)制個人信息處理行為,三者是內(nèi)在邏輯關(guān)聯(lián)的一體。

1.合法原則是個人信息處理的底線

“合法性是現(xiàn)代社會法治的一個基本原則或要求?！盵4]205數(shù)字時代背景下,合法原則規(guī)制網(wǎng)絡(luò)運營者及其他主體處理個人信息并保護信息主體合法權(quán)益具有基礎(chǔ)性意義。個人信息處理行為應(yīng)符合我國相關(guān)法律、法規(guī)、司法解釋,如《消費者權(quán)益保護法》《婦女權(quán)益保障法》《身份證法》《刑法》《未成年人保護法》《網(wǎng)絡(luò)安全法》《互聯(lián)網(wǎng)上網(wǎng)服務(wù)營業(yè)場所管理條例》《征信業(yè)管理條例》《兒童個人信息網(wǎng)絡(luò)保護規(guī)定》等制度規(guī)范。換言之,自然人個人信息被處理時應(yīng)妥當(dāng)保護個人信息安全,以合法原則為底線,在此過程中應(yīng)妥當(dāng)處理好數(shù)據(jù)產(chǎn)業(yè)發(fā)展同個人信息保護間衡平關(guān)系。因應(yīng)數(shù)字時代發(fā)展需求,我國鼓勵數(shù)據(jù)產(chǎn)業(yè)正常發(fā)展,但我們應(yīng)始終秉持加強個人信息保護根本遵循,如不加限制地處理個人信息,不僅侵害信息主體合法權(quán)益,同時會阻礙數(shù)據(jù)產(chǎn)業(yè)發(fā)展。

2.個人信息處理手段應(yīng)堅守正當(dāng)原則

數(shù)字時代,隨著大數(shù)據(jù)分析、人工智能、算法等高新科技發(fā)展,“算法”優(yōu)勢不斷彰顯,引致網(wǎng)絡(luò)運營者及其他主體在巨大經(jīng)濟利益面前加強處理個人信息力度。在此場景中,個人信息安全風(fēng)險進一步加劇。是故,規(guī)制此類行為既可通過技術(shù),亦可通過法律路徑,而通過法律路徑不但可設(shè)置準入門檻亦可實現(xiàn)對其行為的規(guī)制。從法律角度調(diào)整個人信息處理行為是一個復(fù)雜且精細的系統(tǒng)工程,其中所涉既包括智能科技因素,又涉及商業(yè)利益,更同國家加強個人信息保護立法初衷相關(guān)。正當(dāng)原則主要規(guī)范對象為網(wǎng)絡(luò)運營者及其他主體個人信息處理行為,是構(gòu)成個人信息安全威脅的源頭。具而言之,首先,處理個人信息手段應(yīng)屬正當(dāng)。正如洛克所言,“一切自然人都是自由的,除他自己同意以外,無論什么事情都不能使他受制于任何世俗的權(quán)力?！盵5]74無論何種情形處理個人信息應(yīng)尊重信息主體主觀意愿。數(shù)字時代,任何主體處理個人信息應(yīng)在信息主體充分知情并同意基礎(chǔ)上,尊重信息主體自決權(quán);其次,處理個人信息目的應(yīng)屬正當(dāng)。即無論何情況下處理個人信息的目的應(yīng)當(dāng)確定、明確,[6]并應(yīng)當(dāng)同收集個人信息時所設(shè)定目的一致,任何同目的相悖行為都可威脅個人信息安全,在此過程中應(yīng)當(dāng)建構(gòu)包括收集個人信息前的安全論證、授權(quán)審批等一系列配套設(shè)施;最后,任何主體不能假借維護公共利益等事由無限度處理個人信息,即使是政府及代表政府的相關(guān)部門。

3.必要原則是個人信息處理的限度

博登海默指出:“法律的基本作用之一乃是使人類為數(shù)眾多、種類紛繁、各不相同的行為與關(guān)系達致某種合理程度的秩序,并頒布一些適用于某些應(yīng)予限制的行動或行為的行為規(guī)則或行為標(biāo)準。”[7]484數(shù)字時代,個人信息價值不斷彰顯,與之對應(yīng),個人信息法律保護難度隨之加劇。個人信息承載了自然人人格尊嚴和人身自由價值,其商業(yè)財產(chǎn)價值更是網(wǎng)絡(luò)運營者及其他主體不懈追求的動力。同時,政府及相關(guān)部門為社會公共利益所需處理個人信息亦可能對信息主體合法權(quán)益構(gòu)成侵害,如疫情防控期間個人信息不當(dāng)泄露事件等等。

綜合言之,網(wǎng)絡(luò)運營者及其他主體處理個人信息應(yīng)始終堅守合法性底線,以正當(dāng)為手段,遵循必要性原則,不能因掌握強大的信息控制權(quán)而肆意侵害信息主體合法權(quán)益,亦不能僅因社會公共利益所需處理個人信息而毫無節(jié)制。

三、從限制理論解讀“合法、正當(dāng)、必要”原則

“限制理論”由美國著名學(xué)者卡內(nèi)羅提出,該理論對探究古代文明和國家起源上意義重大,從外部環(huán)境限制因素、內(nèi)部人口限制因素闡釋了古代文明和國家演進歷程。[8]隨著學(xué)界對限制理論研究進一步深入,該理論在其他學(xué)科逐步運用。筆者認為,可結(jié)合“限制理論”并反向思維介入此場域,結(jié)合《民法典》中處理個人信息的“合法、正當(dāng)、必要”原則,從立法角度對“外部環(huán)境”進行適當(dāng)限制,從被動和主動相結(jié)合以達到個人信息法律保護的目的。

1.“合法、正當(dāng)、必要”原則可有效遏制人性貪婪

休謨曾言,“一切科學(xué)與人性總是或多或少的有些關(guān)系,任何科學(xué)不論似乎與人性離得多遠,它們總是會通過這樣或那樣的途徑回到人性。”[9]6關(guān)涉?zhèn)€人信息保護,亦可從人性作為研究切入點。人性是人行為的出發(fā)原動力,如人們行為可做到理性克制或被妥當(dāng)規(guī)制,其行為才具合法性和正當(dāng)性。結(jié)合本議題,數(shù)字時代背景下,網(wǎng)絡(luò)運營者或其他商業(yè)主體等對信息資源具有更強的控制力,該群體為實現(xiàn)經(jīng)濟利益最大化可能肆意處理個人信息,在此場景中勢必侵害信息主體合法權(quán)益。如對此群體不進行必要限制,任其肆意妄為,信息主體私權(quán)益必然得不到應(yīng)有保護。如是,雖然數(shù)字時代背景下,網(wǎng)絡(luò)運營者或其他商業(yè)主體等在信息主體“知情同意”前提下可對其個人信息進行處理,而對信息主體權(quán)利進行必要限制。是故,《民法典》規(guī)定“合法、正當(dāng)、必要”原則規(guī)制網(wǎng)絡(luò)運營者及其他主體的處理行為,是個人信息保護所需,亦是國家實現(xiàn)網(wǎng)絡(luò)空間治理的必然選擇。

2.“合法、正當(dāng)、必要”原則可實現(xiàn)個人信息保護“外部環(huán)境”的限制

隨著大數(shù)據(jù)分析、人工智能等高新科技不斷推進,人們生產(chǎn)、生活體系正自覺或不自覺被重構(gòu),人們對外部環(huán)境認知亦會隨之變化。限制理論是對外部客觀環(huán)境認識的靜態(tài)描述,而如何將限制理論與外部環(huán)境發(fā)生互動并予以呈現(xiàn),不僅是學(xué)術(shù)問題亦是技術(shù)問題。換言之,當(dāng)今高新科技進步引致外部環(huán)境一直處于動態(tài)發(fā)展中,只有將限制理論轉(zhuǎn)介到外部動態(tài)發(fā)展環(huán)境,才能對外部環(huán)境形成客觀、正確、合理的認知。因之,自然人個人信息是先于任何高新技術(shù)、法律等制度規(guī)范的客觀存在,其固有特征所映射出的范圍是應(yīng)受法律保護的邊界,因此,應(yīng)借助國家法律等制度規(guī)范對外部環(huán)境中可能侵害個人信息的行為設(shè)定限制。雖然當(dāng)下回應(yīng)數(shù)字經(jīng)濟發(fā)展促進數(shù)據(jù)信息流動,但從個人信息關(guān)乎自然人人格尊嚴、人身自由角度出發(fā),對外部環(huán)境進行適度限制,不僅維護了自然人人格尊嚴、人身自由等人格利益,更是彰顯國家“以人為本”的法治理念。盡管個人信息是否需要保護因人而異,但并不能影響個人信息法律保護的價值和意義?！睹穹ǖ洹芬?guī)定“合法、正當(dāng)、必要”原則從法律角度對個人信息保護進行外部環(huán)境限制,即從私法角度限制信息主體行為,為個人信息保護塑造一個安全、可控的“外部環(huán)境”。

3.“合法、正當(dāng)、必要”原則可對“外部環(huán)境”進行內(nèi)在的自我限制

“自由既是限制和制約中的自由,又是作為一種突破限制和制約的無限可能?！盵10]質(zhì)言之,從自由與限制辯證關(guān)系看,自由并非隨心所欲,總會受到自然環(huán)境、社會基礎(chǔ)條件等外部因素制約,更會受到自由本身及其發(fā)展規(guī)律的制約。如是,人們在進行自我抉擇行為方式時,不僅會考量外部環(huán)境因素,更會注重對自身的認識,以此循環(huán)往復(fù),便形成行為自覺,亦在行為中體現(xiàn)行為自覺。關(guān)涉?zhèn)€人信息保護問題,信息處理者不僅會考量法治環(huán)境等外部因素,最為關(guān)鍵的是外部環(huán)境的限制,由外及內(nèi)直至形成內(nèi)心確認的個人信息處理行為應(yīng)遵照國家既有法律、道德等行為規(guī)范。簡言之,“合法、正當(dāng)、必要”原則可指導(dǎo)信息處理者內(nèi)在自我限制,進一步形成保護個人信息的理念。

四、“合法、正當(dāng)、必要”原則是個人信息保護基礎(chǔ)

1.“合法、正當(dāng)、必要”原則符合加強個人信息私法保護理念

《民法典》規(guī)定“合法、正當(dāng)、必要”作為處理個人信息指導(dǎo)原則,主要考慮到數(shù)字時代背景下數(shù)據(jù)信息經(jīng)濟價值不斷彰顯,個人信息被不當(dāng)處理頻次日益增高,信息主體被侵害的可能性不斷加大等緣由。由是,加強個人信息法律保護已然成為當(dāng)下網(wǎng)絡(luò)信息社會的重要命題。雖然從公法角度加強個人信息保護,對維護社會公共利益和公共秩序,懲治犯罪和預(yù)防此類犯罪等大有裨益,但對信息主體并不“經(jīng)濟”,可能會存在受到侵害的信息主體并未獲得應(yīng)有的侵權(quán)損害賠償,并未真正實現(xiàn)對信息主體個人信息的保護。

私法角度加強個人信息保護,不但可從民法視角確認自然人應(yīng)受法律保護的民事權(quán)益,更為重要的是回應(yīng)了民法尊重人身自由和人格尊嚴私法理念,賦予自然人享有相應(yīng)民事權(quán)益,促使人們重視并“認真對待個人信息”,以積極的態(tài)度保護個人信息,提示網(wǎng)絡(luò)運營者及其他主體以“合法、正當(dāng)、必要”為指導(dǎo)原則處理個人信息,提高尊重民事權(quán)益意識,同時也是尊重人格尊嚴和人身自由的體現(xiàn)。網(wǎng)絡(luò)運營者或其他主體在處理自然人個人信息過程中如發(fā)生侵權(quán)行為,不僅可受到行政乃至刑事懲罰,而且會面臨因提起民事訴訟而承擔(dān)民事?lián)p害賠償責(zé)任。質(zhì)言之,以“合法、正當(dāng)、必要”原則作為個人信息處理原則有充分合法性和正當(dāng)性基礎(chǔ)。

2.“合法、正當(dāng)、必要”原則體現(xiàn)了私權(quán)保護宗旨

《民法典》第3條規(guī)定:“民事主體的人身權(quán)、財產(chǎn)權(quán)以及其他合法權(quán)益受法律保護,任何組織或者個人不得侵犯”,本條從私權(quán)保護角度確立民事主體合法權(quán)益受法律保護的基本原則,體現(xiàn)民法權(quán)利法屬性,強化自然人人身自由和人格尊嚴應(yīng)受尊重和保護,更好地保護了人民群眾切身利益,切實的回應(yīng)了社會發(fā)展的現(xiàn)實需求。[11]12私權(quán)理應(yīng)得到法律保護,這是人類在追求理性社會秩序過程中的必然產(chǎn)物,亦是法治文明和社會文明的體現(xiàn)。數(shù)字時代,“合法、正當(dāng)、必要”原則針對當(dāng)下侵害個人信息現(xiàn)象,從私法角度規(guī)制網(wǎng)絡(luò)運營者及其他主體處理個人信息的指導(dǎo)原則,體現(xiàn)私法保護個人信息立法初衷,有力遏制了非法處理個人信息行為,彰顯私法維護和尊重人格尊嚴的法治理念。

3.“合法、正當(dāng)、必要”原則尊重信息主體自決權(quán)

“自我決定原本是一個哲學(xué)和憲法中的概念,即一個人在自己生活范圍內(nèi)具有的自我決定的自由,該種自由尊重的是人的自主性。民法作為關(guān)涉價值的規(guī)則,要受到哲學(xué)和憲法所確立的理念和價值的影響和指導(dǎo),并以實現(xiàn)和促進這些價值為目的。

信息自決權(quán)作為一種新型權(quán)利,是指信息主體或其監(jiān)護人可自主決定是否披露或被處理個人信息的排他性權(quán)利,換言之,信息主體可自由決定其個人信息是否以及在何地、何時以何種方式被披露、收集和處理等為權(quán)利內(nèi)容,是法律賦予信息主體或其監(jiān)護人所應(yīng)有的權(quán)利,是“普遍的人格權(quán)與自我決定權(quán)在信息時代的體現(xiàn)與表達,它反映了公民維護自身內(nèi)在同一性、精神主權(quán)和獨特人格的合理訴求,關(guān)涉到公民對其自身圖景的自我理解以及一種積極的、自我認同性得以肯定的生命塑造?！盵12]數(shù)字時代背景下的個人信息法律保護,信息自決權(quán)的理解應(yīng)建立在“自覺”核心基礎(chǔ)上,任何違背信息主體自由意志處理個人信息都侵犯信息主體自決權(quán)。個人信息主要承載著自然人的人格利益,而違背信息主體自決權(quán)即侵害其人格性權(quán)益?！睹穹ǖ洹芬?guī)定“合法、正當(dāng)、必要”原則規(guī)范網(wǎng)絡(luò)運營者及其他主體處理個人信息行為,限制危害信息主體行為,從處理方角度印證信息主體對其個人信息的控制權(quán),尊重信息主體自決權(quán)。

4.“合法、正當(dāng)、必要”原則可兼顧個人信息保護、數(shù)字發(fā)展和社會公共利益間衡平

“法律的主要作用之一就是調(diào)整及調(diào)和種種相互沖突的利益,無論是個人的利益還是社會的利益?！盵7]398數(shù)字時代,面向大數(shù)據(jù)、人工智能技術(shù)、算法等高新科技發(fā)展不斷催生數(shù)據(jù)信息經(jīng)濟及社會價值,加強個人信息保護的同時,亦應(yīng)有效保障和促進個人信息在合法范圍內(nèi)自由流動,促進數(shù)字經(jīng)濟持續(xù)、健康、穩(wěn)步發(fā)展。換言之,加強個人信息保護同數(shù)字經(jīng)濟發(fā)展及社會整體效益提高向度應(yīng)保持高度契合。具而言之,社會公共事業(yè)管理領(lǐng)域,政府及相關(guān)部門依托大數(shù)據(jù)分析、人工智能等高新科技可有效較低收集個人信息成本,進一步發(fā)掘其內(nèi)在公共性價值,實現(xiàn)科學(xué)管理和理性決策,提高社會公共事業(yè)管理水準,但不可避免威脅到信息主體合法權(quán)益。《民法典》規(guī)定“合法、正當(dāng)、必要”原則規(guī)定個人信息處理行為,旨在加強個人信息法律保護前提下,兼顧數(shù)字經(jīng)濟發(fā)展和社會公共利益實現(xiàn)。我國已制定《個人信息保護法》《數(shù)據(jù)安全法》等,個人信息保護類立法已達200余部?！睹穹ǖ洹芬?guī)定“個人信息保護”,并以“合法、正當(dāng)、必要”原則規(guī)制不當(dāng)處理個人信息行為,使信息處理者有了根本遵循,“從整體上提高信息資源的開發(fā)利用水平,促進個人信息的開發(fā)利用當(dāng)屬應(yīng)有之義”。[13]質(zhì)言之,只有個人信息得到妥當(dāng)保護,個人信息處理中才可形成良性循環(huán),可兼顧個人信息保護、數(shù)字經(jīng)濟發(fā)展和社會整體效益的提高等衡平關(guān)系。

五、結(jié)語

數(shù)字時代,人類社會生產(chǎn)、生活等生態(tài)體系被重新型構(gòu),高新科技的應(yīng)用為人類提供便捷的同時亦暗藏諸多未知風(fēng)險。在此背景下自然人個人信息價值不斷彰顯,亦面臨網(wǎng)絡(luò)運營者及其他主體處理個人信息過程中侵害信息主體合法權(quán)益風(fēng)險。由是,全面規(guī)制網(wǎng)絡(luò)運營者及其他主體處理個人信息行為是我們必須面對的重要課題。我國立法上,《全國人民代表大會常務(wù)委員會關(guān)于加強網(wǎng)絡(luò)信息保護的決定》《消費者權(quán)益保護法》《網(wǎng)絡(luò)安全法》《民法典》《個人信息保護法》等制度規(guī)定處理個人信息應(yīng)遵循“合法、正當(dāng)、必要”原則,是從立法角度確立個人信息保護的法律基礎(chǔ),以避免信息處理者處理行為的肆意,尊重信息主體的信息自決權(quán),實現(xiàn)加強個人信息法律保護目的,符合個人信息私法保護理念,體現(xiàn)私權(quán)保護宗旨。結(jié)合限制理論,內(nèi)在可有效遏制人性貪婪,外在方面對個人信息保護“外部環(huán)境”限制,以提高信息主體認真對待個人保護信息意識,實現(xiàn)個人信息保護、數(shù)字經(jīng)濟發(fā)展和社會公共利益間的衡平。