大數(shù)據(jù)時代處理個人信息的合理預(yù)期標(biāo)準(zhǔn)辨明

徐 康

南京金陵亨斯邁新材料有限責(zé)任公司，江蘇 南京 210000

2021 年11 月1 日我國《個人信息保護(hù)法》正式生效實(shí)施，標(biāo)志著一個更專業(yè)更完善保護(hù)公民個人信息的時代紀(jì)元開始，這是對公民基本信息權(quán)益的保護(hù)必需，也是謀求數(shù)字經(jīng)濟(jì)時代下信息為經(jīng)濟(jì)賦能的必然選擇。

《個人信息保護(hù)法》明確了處理個人信息的基本原則并通過規(guī)范工具搭建起一套以信息主體“知情—同意”為核心的審慎利用機(jī)制。這種被處理的同意往往是以處理方的提示信息為前提、待信息主體形成可接受的合理預(yù)期后作出的?？梢哉f，合理預(yù)期標(biāo)準(zhǔn)可以輔助判斷信息主體的“同意邊際”，也為處理者劃定“處理界限”，為私益保護(hù)與公益需要構(gòu)建平衡進(jìn)路與客觀視角。［1］囿于法律條文的包容性與條文構(gòu)造屬性使然，《個人信息保護(hù)法》中對合理預(yù)期標(biāo)準(zhǔn)沒有進(jìn)行具體標(biāo)準(zhǔn)明確，需要從學(xué)理層面進(jìn)行分析與完善。

一、法理結(jié)構(gòu)：合理預(yù)期標(biāo)準(zhǔn)

合理預(yù)期標(biāo)準(zhǔn)衍生出“合理隱私期待”（Reasonable Expectation of Privacy）原則，并在1967 年Katz 訴United States 的判例中得以首次確立，其原用于公民對公權(quán)搜查行為可能引致的隱私受損進(jìn)行抗辯，后被理論界移植到民法領(lǐng)域。從文義解釋的角度，合理預(yù)期本意是當(dāng)事人結(jié)合相關(guān)信息而就后續(xù)交互行為的內(nèi)容、方式、結(jié)果等產(chǎn)生的主觀預(yù)期，且這種期待不違反法律法規(guī)的規(guī)定及社會公序良俗。

（一）合理預(yù)期標(biāo)準(zhǔn)的語境解釋

將合理預(yù)期下沉到大數(shù)據(jù)時代處理個人信息場景，結(jié)合個人信息的泛邊界性、信息獲取的普遍性、信息處理的隱匿性、信息利用的公需性等，將合理預(yù)期定義為信息處理活動應(yīng)當(dāng)符合信息主體的合理預(yù)期，不得利用信息技術(shù)優(yōu)勢超信息主體預(yù)期處理個人信息，僅在有限的涉公共利益的情形下可超越此限。［2］

需要明確的是，此處的個體應(yīng)抽象為無主體稟賦特殊性且具有正常理性邏輯的社會一般人；同時這種預(yù)期的產(chǎn)生是建立在個體具體可感的隱私意識之上，個體對處理風(fēng)險等有相對具象的認(rèn)知。［3］一些學(xué)者也主張應(yīng)通過區(qū)別不同場景下信息主體的隱私意識程度、不同場景下處理方對信息的利用深淺度與利用方式等刻畫出該具體場景下的“合理預(yù)期”。［4］這種貼合不同應(yīng)用場景明確標(biāo)準(zhǔn)的方法，是大數(shù)據(jù)時代下，個人信息膨脹式發(fā)展、獲得信息主體絕對授權(quán)不切實(shí)的應(yīng)對方案，即當(dāng)信息處理方尚未獲得信息主體的明確許可時，只要處理方的信息行為是在該情形下主體所通常存在的合理預(yù)期之內(nèi)，且這種預(yù)期具有世所公認(rèn)的合理性，則處理方的行為即具有合理性。［5］

（二）合理預(yù)期標(biāo)準(zhǔn)的法理來源

運(yùn)用合理預(yù)期處理個人信息應(yīng)首先明確個人信息的基本屬性。但無論是《民法典》還是《個人信息保護(hù)法》都未將個人信息上升為一種民事權(quán)利，而是以“自然人的個人信息受法律保護(hù)”的范式表明其屬于受法律保護(hù)的法益，法律位階不同于隱私權(quán)，且外延屬性上廣于隱私權(quán)。

1.個人信息承載多元法益。正是外延的寬泛性以及類型的多樣性，使得個人信息所承載的權(quán)益內(nèi)容更多元，除“包含信息主體的人格尊嚴(yán)和人身自由權(quán)益外，還包括信息處理者所代表的產(chǎn)業(yè)視角下對商業(yè)價值的追求，還包含推進(jìn)社會安全、管理和福利所蘊(yùn)含的社會公共利益和國家數(shù)字利益”。［6］事實(shí)上，并非所有個人信息都與主體個人的人格、財產(chǎn)具有高度關(guān)聯(lián)性，且并非所有信息處理行為均引致相當(dāng)程度的危害成果，應(yīng)關(guān)注到以數(shù)據(jù)信息為基底的數(shù)字經(jīng)濟(jì)產(chǎn)業(yè)方興未艾，且在技術(shù)的賦能下不斷提高信息數(shù)據(jù)經(jīng)濟(jì)能效已成為大趨勢。［7］所以產(chǎn)業(yè)發(fā)展需要我們開拓信息處理新規(guī)則以共建共享數(shù)字經(jīng)濟(jì)紅利。對公權(quán)力部門而言，其對個人信息的收集處理具有維護(hù)公共利益的客觀合理性，但在具體場景下，常有濫權(quán)處理信息、侵傷私權(quán)邊界的行為發(fā)生，亟待進(jìn)行秩序厘明。

2.合理預(yù)期標(biāo)準(zhǔn)幫助平衡法益沖突。隨著數(shù)字經(jīng)濟(jì)的縱深發(fā)展，互聯(lián)網(wǎng)一方面產(chǎn)生多樣性與弱控制性的個人信息，另一方面也使信息處理主體增加了信息抓取渠道、更新了信息處理技術(shù)、拓寬了信息利用范式。在個體權(quán)利邊界尚不清晰、維權(quán)意識有待覺醒的情況下，信息處理方加緊了對個人信息的“侵略性”使用，在沒有對應(yīng)監(jiān)管規(guī)制的情況下，造成了信息主體利益與信息處理方利益、私經(jīng)濟(jì)主體利益與公共利益的矛盾沖突，所以有必要在均衡各方利益的情況下去尋求新的個人信息保護(hù)與利用標(biāo)準(zhǔn)。［8］

所以應(yīng)該是一個落實(shí)個人信息保護(hù)、滿足信息利用需求與效率，并提升社會福祉的三位一體機(jī)制，而合理預(yù)期標(biāo)準(zhǔn)即是通過對信息主體理性預(yù)期來劃定信息處理方的信息活動邊界，以實(shí)現(xiàn)私益與私益間、私益與公益間的有序并重，是我們在大數(shù)據(jù)時代合理處理個人信息的有力抓手。

二、制度針砭：《個人信息保護(hù)法》中的“合理預(yù)期標(biāo)準(zhǔn)”

我國的《個人信息保護(hù)法》也體現(xiàn)了“合理預(yù)期標(biāo)準(zhǔn)”，其中第六條規(guī)定“處理個人信息應(yīng)當(dāng)具有明確、合理的目的，并應(yīng)當(dāng)與處理目的直接相關(guān)，采取對個人權(quán)益影響最小的方式”，但其仍存在一定的可優(yōu)化空間。

（一）合理預(yù)期標(biāo)準(zhǔn)下的“處理目的”明確

《個人信息保護(hù)法》的上述內(nèi)容體現(xiàn)了“合理預(yù)期標(biāo)準(zhǔn)”與“目的限定理論”的銜接，即相應(yīng)特定情境信息主體會對處理方的處理行為產(chǎn)生主觀上的處理目的預(yù)測。但是這種主觀上的目的預(yù)測與處理方所告知的處理目的并非完全重疊，在處理方告知目的后信息主體的同意行為，即表示該處理目的已經(jīng)明確納入個人合理預(yù)期之內(nèi)。

但現(xiàn)存問題是，若處理方的實(shí)際處理行為超越或改變其最初告知的處理目的，是否該屬于違法。這實(shí)質(zhì)上是“目的限定原則”與“合理預(yù)期標(biāo)準(zhǔn)”的適用優(yōu)先性問題，考慮到網(wǎng)絡(luò)環(huán)境的復(fù)雜變化性以及合理配置雙方責(zé)任，不應(yīng)固守告知的“最初處理目的”而應(yīng)始終以信息主體的“合理預(yù)期”為檢視標(biāo)準(zhǔn)，即考察這些客觀理性預(yù)期中是否包含變化后的“處理目的”，不必要求后續(xù)使用目的與原先目的的關(guān)聯(lián)性。特殊情形下或可考慮允許信息處理方超越先有同意但在信息主體合理預(yù)期范疇內(nèi)超目的處理個人信息。

（二）合理預(yù)期標(biāo)準(zhǔn)對“知情—同意”框架的補(bǔ)足

《個人信息保護(hù)法》構(gòu)建起個人信息處理“知情—同意”基本制度框架，此外針對特殊情形配置“單獨(dú)同意、書面同意、重新同意”等規(guī)則，保證了動態(tài)信息活動過程中處理者的處理行為始終適配于主體因境況而變動的合理預(yù)期，避免處理方利用信息不對等與技術(shù)優(yōu)勢實(shí)質(zhì)性而超預(yù)期處理信息。［9］需明確的是，“合理預(yù)期標(biāo)準(zhǔn)”是依據(jù)外部環(huán)境進(jìn)行動態(tài)變化的標(biāo)準(zhǔn)，所以在同意機(jī)制下產(chǎn)生的合理預(yù)期并不完全限于本初“同意”的內(nèi)容且會隨著后發(fā)性的外部因素而變換內(nèi)涵，因而對處理方提出新的行動界限、處理要求與風(fēng)險負(fù)擔(dān)，即“持發(fā)展又審慎之態(tài)度研判具體情境下的個人合理預(yù)期”。

在堅(jiān)守“知情—同意”根本原則的同時，《個人信息保護(hù)法》也對企業(yè)勞動管理秩序、公共管理與公益維護(hù)需要、合理處理公開信息的要求等作出了回應(yīng)。但該類特殊情境中信息主體“合理預(yù)期”的明確無法通過解讀個體同意意思表示的內(nèi)容而得到指引，更多應(yīng)關(guān)注條文所構(gòu)筑的適用情境、避免場域的泛化而違背利益平衡的本心，同時處理方的信息活動也應(yīng)嚴(yán)格限于條文所指向的目的，即通過情境具象與目的限定去厘清信息主體所期待的處理方式、效果等。［10］

三、路徑優(yōu)化：合理預(yù)期標(biāo)準(zhǔn)的進(jìn)路

隨著《個人信息保護(hù)法》的出臺，保護(hù)個人信息、增加產(chǎn)業(yè)信息效益、維護(hù)社會安全等的相關(guān)研究有了具象的載體與優(yōu)化的方向。從個人信息處理規(guī)則角度進(jìn)行優(yōu)化，通過對合理預(yù)期標(biāo)準(zhǔn)的明晰有助于優(yōu)化實(shí)施現(xiàn)有“知情—同意”框架。

（一）引入比例原則限定預(yù)期范疇

比例原則是實(shí)現(xiàn)“平衡數(shù)據(jù)保護(hù)和流轉(zhuǎn)”立法目的重要工具，原本是指行政機(jī)關(guān)的行政執(zhí)法活動應(yīng)遵從合法性、適當(dāng)性與必要性的特點(diǎn)，選取最適當(dāng)、負(fù)效應(yīng)最小的執(zhí)法手段以實(shí)現(xiàn)維護(hù)公共管理秩序與保護(hù)行政相對人權(quán)益的平衡。在“合理預(yù)期標(biāo)準(zhǔn)”中引入比例原則意在分析信息主體的預(yù)期內(nèi)涵時以審慎視角去研判處理方的處理行為，個人有理由預(yù)期處理方的處理行為應(yīng)是合乎法律的、是具有手段與目的適當(dāng)性的、是實(shí)現(xiàn)該處理目標(biāo)所采用的最必要方案，以此對處理方的行動邊界與實(shí)施效果形成主觀認(rèn)知。但不可以此過分加重處理方的責(zé)任與風(fēng)險負(fù)擔(dān)，在宏觀層面上信息主體所產(chǎn)生的上述認(rèn)知在保護(hù)了個人的信息權(quán)益之余，不應(yīng)不當(dāng)阻礙信息的有效流通與有序利用，尤其是已公開的個人信息，以此形成個人利益、處理方利益與社會公共利益的“合比例性”平衡。

（二）區(qū)分信息類型進(jìn)行預(yù)期匹配

《個人信息保護(hù)法》中對個人信息作了一般信息與敏感信息之分，并加重配置了處理方的處理義務(wù)與風(fēng)險責(zé)任。事實(shí)上，除了從信息與個人聯(lián)系緊密性角度外，還可結(jié)合信息流轉(zhuǎn)使用的場域進(jìn)行劃分，配合具體情境以針對性厘清信息主體的“合理預(yù)期”。

1.不同場域產(chǎn)生的個人信息之預(yù)期范疇。筆者認(rèn)為或可從基于社會交往處理信息、基于交易處理信息、基于公共利益處理信息三個方面進(jìn)行分類。第一類基于社會交往處理產(chǎn)生的信息，其產(chǎn)生的情形廣泛、大多數(shù)信息與個人具有弱聯(lián)系性及主體的弱控制性，所以在判定處理行為合法性時，尤其需要運(yùn)用“場景理論”去探究此時空場景下的該處理行為是否契合個人的合理期待，是否使個人產(chǎn)生了不合理的隱私風(fēng)險；第二類基于交易關(guān)系而處理的信息往往具有符合交易特征的類別特征，所以往往需結(jié)合交易場景與交易目的來明晰個人的合理預(yù)期，但有的交易涉及個人敏感信息，此時個人合理預(yù)期的產(chǎn)生信賴于處理方顯著的告知行為及所獲得的主體同意，所以此情形下運(yùn)用“合理預(yù)期標(biāo)準(zhǔn)”既需要關(guān)注處理方告知義務(wù)的履行，也需要結(jié)合信息主體的“同意內(nèi)容”以把握其預(yù)期邊界；第三類國家機(jī)關(guān)或經(jīng)授權(quán)單位基于公共目的而處理信息時，尤其需要嚴(yán)格限定公共利益的范疇，此情形下信息主體往往預(yù)期國家機(jī)關(guān)以審慎態(tài)度處理信息且就所獲取信息嚴(yán)格限于該機(jī)關(guān)行政職責(zé)內(nèi)予以利用、流轉(zhuǎn)，故以此規(guī)范基于公共利益處理信息的行為。［11］

這里需要對行政管理、公共健康、科學(xué)研究等行為所包含的公共利益進(jìn)行合理界定，以使“合理預(yù)期標(biāo)準(zhǔn)”所參照的“公共利益”基準(zhǔn)具有科學(xué)性、公正性，應(yīng)賦予“合理預(yù)期標(biāo)準(zhǔn)”動態(tài)彈性使其應(yīng)對不同的公共行為得出是否符合社會正向價值需求、是否增進(jìn)社會整體福利的判斷。

2.合理預(yù)期標(biāo)準(zhǔn)應(yīng)涵蓋法律后果預(yù)期。還需注意的是，信息主體對處理方信息行為的預(yù)期不僅包括個人信息應(yīng)得到怎樣的處理及其無不利影響的處理后果，還應(yīng)包括處理方一旦超過其預(yù)期之限應(yīng)當(dāng)承擔(dān)相應(yīng)法律后果的結(jié)果認(rèn)識。故除事前對處理方進(jìn)行資信與技術(shù)能力準(zhǔn)入、在事中對其處理行為作出具體權(quán)利安排外，還應(yīng)在事后向處理方配置與其負(fù)面影響相匹配的責(zé)任機(jī)制，以回應(yīng)信息主體的合理期待并從懲戒性的角度增添“合理預(yù)期標(biāo)準(zhǔn)”的威嚴(yán)性與完整性。