個人信息控制權(quán)的界定困境與應(yīng)對之策

吳詩怡

我國關(guān)于個人信息控制者的相關(guān)規(guī)定首見于《信息安全技術(shù)-個人信息安全規(guī)范》（GB/T 35273-2020），其中第3.4條明確規(guī)定個人信息控制者指的是有能力決定個人信息處理目的、方式等的組織或個人。此條在一定程度上反映了在個人信息保護(hù)立法層面上我國對歐盟的借鑒。因為根據(jù)GDPR第4條，數(shù)據(jù)控制者是指單獨或與他人共同決定處理數(shù)據(jù)的自然人、法人、公共權(quán)力機(jī)關(guān)或機(jī)構(gòu)等等?？梢奊DPR的實施喚起了各國對數(shù)據(jù)保護(hù)的重視，其對數(shù)據(jù)控制者的定義已基本成為一個國際通行標(biāo)準(zhǔn)。2021年7月，歐盟數(shù)據(jù)保護(hù)委員會的《GDPR下數(shù)據(jù)控制者及數(shù)據(jù)處理者概念的指南（07/2020）》）橫空出世，進(jìn)一步強(qiáng)調(diào)了“決定”是數(shù)據(jù)控制權(quán)的權(quán)利來源，“目的和方式”則用于保證決定的處理方式不偏離核心問題。然而，隨著越來越多由數(shù)據(jù)引發(fā)的糾紛流出，GDPR和EDPB指南的滯后性開始逐漸暴露?？v觀歐盟法院近期作出的涉及數(shù)據(jù)控制者界定的案例，為使數(shù)據(jù)主體的權(quán)益得到更好的保護(hù)，歐盟法院一致對“控制者”的概念作出廣泛解釋，數(shù)據(jù)控制者的界定范圍的擴(kuò)大便愈加成為了數(shù)字法治領(lǐng)域內(nèi)一個備受爭議的話題。

首先，在Wirtschaftsakademie SchleswigHolstein案中，歐盟法院認(rèn)為，用戶個人頁面管理員因通過編輯數(shù)據(jù)收集參數(shù)，從而被定義為數(shù)據(jù)控制者。盡管網(wǎng)站操作者只收集到以匿名化形式儲存的數(shù)據(jù)，仍被法院歸類為控制者。其次，在Google Spain案中，歐盟法院認(rèn)為數(shù)據(jù)控制者無需具備區(qū)分個人信息和其他數(shù)據(jù)的能力，以及直接訪問數(shù)據(jù)的途徑。最后，在Fashion ID案中，F(xiàn)ashionID網(wǎng)頁里存在一個社交插件（臉書），此插件可使瀏覽該網(wǎng)頁的用戶數(shù)據(jù)直接傳輸至Facebook。為追求更高層次地保護(hù)數(shù)據(jù)主體權(quán)益，歐盟法院不考慮Fashion ID實際上是否有能力訪問到可識別到用戶身份的數(shù)據(jù)，而決定以Fashion ID對收集和傳播形成了決定性影響為由，將Fashion ID界定為控制者之一且要求其承擔(dān)連帶責(zé)任。

由此觀之，當(dāng)前歐盟乃至全球范圍內(nèi)對個人信息控制權(quán)的認(rèn)定基本上將視野局限于“影響規(guī)則”，即不考慮程度問題，只要影響了個人信息處理的方式或目的就構(gòu)成控制權(quán)，這可能會產(chǎn)生只見樹木不見森林的問題。理論上，控制者的存在是因為其決定了為實現(xiàn)自己的目的須透過處理個人信息的這一事實而發(fā)生。但在實務(wù)中，往往又存在是否屬于形式上或事實上做出決定的問題，即有關(guān)的決定未必能真正反映當(dāng)時的實際情況，使得實務(wù)中相關(guān)企業(yè)對數(shù)據(jù)合規(guī)工作也容易陷于盲目而逐漸喪失方向感。這類問題均難以僅靠擴(kuò)大個人信息控制者的界定范圍來獲得解決，而必須認(rèn)真審視與觀察外部社會環(huán)境所提出的規(guī)范性需求。

自我國《個人信息保護(hù)法》（以下簡稱“《個保法》”）出臺，“個人信息控制者”的名稱就被《個保法》中的個人信息處理者所代替。與個人信息控制者的定義相同，構(gòu)成個人信息處理者需要符合兩個核心要件：一是能決定數(shù)據(jù)如何處理；二是有能力決定數(shù)據(jù)為什么處理。就此而言，可以說歐盟GDPR中的“數(shù)據(jù)控制者”和我國《個保法》的“個人信息處理者”的法律內(nèi)容大致類同，含義相當(dāng)。

值得注意的是，GDPR和《個保法》都對兩個以上的自然人或法人共同決定個人信息的處理目的和處理方式的行為作出了規(guī)定。在責(zé)任承擔(dān)方面，《個保法》第20條表明共同處理者之間對數(shù)據(jù)處理行為的損害結(jié)果依法承擔(dān)連帶責(zé)任。GDPR同樣規(guī)定控制者都對損害結(jié)果承擔(dān)全部責(zé)任，但處理者只有在違反控制者的指令或該條例的情況下才需要擔(dān)責(zé)。受害人有權(quán)向任何一個控制者或處理者請求賠償，控制者與處理者之間內(nèi)部再進(jìn)行分?jǐn)偤妥穬敗?/p>

關(guān)于“處理”的定義，《個保法》規(guī)定不管相關(guān)操作是否通過自動化方式進(jìn)行都統(tǒng)稱為“處理”，這很大程度上映射出立法者有廣泛解釋相關(guān)概念的意圖。這可能是因為立法者認(rèn)為不宜對個人信息處理者定義的解釋做出不當(dāng)限制，為避免出現(xiàn)灰色地帶或者漏洞，而盡可能地將參與過個人信息處理過程的各方都囊括在個人信息處理者的范圍內(nèi)，以確保個人信息主體權(quán)益及其人格尊嚴(yán)得到實質(zhì)性的尊重。雖然立法者對個人信息處理活動設(shè)置了合法、誠信、透明、必要性及正當(dāng)性的門檻要求，且規(guī)定個人信息處理者處理信息前要對信息主體采取“告知+同意”的行為模式，以保障信息主體的基本人權(quán)，但若不對個人信息處理者等概念加以規(guī)范與限制，未來任其發(fā)展下去有可能導(dǎo)致保護(hù)個人信息主體、個人信息處理者及可能存在的公共利益之間失衡。

個人信息的“控制”廣泛包含了數(shù)據(jù)收集、存儲和處理等一系列操作，這將使得越來越多的信息處理參與方成為負(fù)責(zé)處理信息的實體或個人信息處理者，甚至?xí)褦?shù)據(jù)主體包括入內(nèi)。這種寬泛解釋與個人信息保護(hù)法之目標(biāo)和宗旨是背道而馳的，原因如下：首先，不斷擴(kuò)大的控制者范圍引發(fā)出責(zé)任分配問題。其次，多個控制者的存在使執(zhí)行變得復(fù)雜化，從某種程度上這將激勵真正的控制者濫用控制權(quán)去設(shè)計系統(tǒng)，使理論上符合作為控制者的資格，但實際上對個人信息的處理方式起不到作用的處理者去背負(fù)不必要的責(zé)任和義務(wù)?？偠灾?，對控制者概念的寬泛解釋不僅使問責(zé)結(jié)構(gòu)變得日益復(fù)雜，還有可能使真正的控制者逃避法律責(zé)任，從而損害個人信息主體權(quán)益的正當(dāng)行使。

個人信息控制者本質(zhì)上是對個人信息處理具備一定實際影響力的人。判定個人信息控制權(quán)應(yīng)以事實為依據(jù)而非是單從形式上考慮及處理，可從三個方面進(jìn)行分析：第一，具有法律明確指定的控制。如錄像監(jiān)視系統(tǒng)，由法律直接明文規(guī)定安保部門具備對錄像監(jiān)視設(shè)備中的數(shù)據(jù)控制權(quán)。第二，實際上具有隱含能力的掌控，基于民法、商法、勞動關(guān)系法等的規(guī)定或者習(xí)慣，某實體決定數(shù)據(jù)處理的能力已被社會普遍接受并認(rèn)可，這樣仍可確定其具備控制權(quán)。第三，具有對事實影響力的掌控。最常見的是通過合同條款去判定合約方的關(guān)系。雖然控制者可以通過協(xié)議去“任命”，但如果這樣的任命沒有使其實際對處理行使有效控制，盡管沒有對數(shù)據(jù)主體的權(quán)利產(chǎn)生影響，也依然是無效的?，F(xiàn)實中合同經(jīng)常出現(xiàn)沒有約定控制者或約定不明的情況，即使在合同中指定一方為控制者或處理者有助于揭示該方的法律地位，但這種合同指定對確定其實際地位并不具有決定性，必須以具體的實際情況為基礎(chǔ)。

在共同控制數(shù)據(jù)的情況下，很難對各方的參與程度加以裁量。值得注意的是，在一條數(shù)據(jù)處理鏈上，單憑有參與過數(shù)據(jù)處理的事實，有時亦不足以證明就是有關(guān)數(shù)據(jù)處理的共同控制者，因為如果雙方僅有數(shù)據(jù)交換而沒有就一套共同的處理操作分享目的或方法，則這種交換只能視為在不同控制者之間的數(shù)據(jù)轉(zhuǎn)移。鑒于此，將無法訪問數(shù)據(jù)或相關(guān)軟件的參與者定義為控制者是矛盾的，因為它們無法了解和干涉相關(guān)過程，以致于無法履行控制者的職責(zé)，如提供信息、設(shè)計系統(tǒng)或執(zhí)行數(shù)據(jù)主體的權(quán)利。若把控制責(zé)任（如透明度義務(wù)）集中在個人數(shù)據(jù)的收集和傳輸階段，從根本上將有益于下一階段處理活動的進(jìn)行，對監(jiān)管者而言亦不失為一個良好的管理策略。

在個人信息控制權(quán)的界定問題上，適度限制界定范圍的思想觀念正在不斷擴(kuò)大其影響。大多數(shù)學(xué)者支持對個人信息控制者采用目的性限縮的辦法，即通過對個人信息控制權(quán)的“瘦身”，來有效地縮減社會私權(quán)力的體量，更有利于責(zé)任的落實。無論是GDPR第4條還是《個保法》第4條，雖語句清晰，但均未能為適用者提供足夠的邊界。在這樣目的缺失的情形下，法律適用者應(yīng)當(dāng)借助法條目的，透過文義探明其背后清晰的、具體的法律規(guī)則，以填補(bǔ)法律漏洞。同時，應(yīng)當(dāng)仔細(xì)剖析數(shù)據(jù)處理活動的鏈條，然后依據(jù)誰決定處理目的和方法的事實進(jìn)行功能評估，為每個參與者找到其對應(yīng)的狀態(tài)。與此同時，對使用有關(guān)處理數(shù)據(jù)的特定平臺、標(biāo)準(zhǔn)化工具和其他基礎(chǔ)設(shè)施的決定力也不能被排除在控制權(quán)外。為進(jìn)一步量化控制權(quán)的界定，建議未來通過科學(xué)方法對個人信息控制者所需具備的影響力闕定一個最小影響值。

在由個人信息控制權(quán)不明引發(fā)的責(zé)任分配問題上，傳統(tǒng)觀念認(rèn)為共同做出決定的控制者們一般都要承擔(dān)相同的責(zé)任。然而，出于對保障數(shù)據(jù)主體權(quán)益的考慮，不能因無法直接履行法律規(guī)定控制者的各項義務(wù)而排除其中一方不具備控制權(quán)的可能性，因為這些義務(wù)很容易由其他控制者去協(xié)助完成。由于在數(shù)據(jù)處理的過程中，每個控制者的參與階段和參與程度都不盡相同，因此共同成為個人信息控制者并不一定意味著須擔(dān)負(fù)平等的責(zé)任，必須根據(jù)所有實際情況去全面評估他們的責(zé)任。對此，從實務(wù)角度出發(fā)，每個數(shù)據(jù)控制者企業(yè)內(nèi)部應(yīng)構(gòu)建并完善數(shù)據(jù)控制評估系統(tǒng)，一是要明確在每個特定的時刻具體進(jìn)行了什么數(shù)據(jù)處理活動，包括處理的方式、時長和涉及的人員；二是評估自己是否與其他方形成或有可能形成共同控制者。如果出現(xiàn)意外的共同控制關(guān)系，即使這段共同控制是為了一個狹窄的目的且持續(xù)時間極短，雙方也需要采取透明的方式，彼此安排時間，確定各自遵守相關(guān)法律所規(guī)定的義務(wù)和責(zé)任，使共同控制者對個人數(shù)據(jù)進(jìn)行侵害的外部風(fēng)險轉(zhuǎn)化為控制者相互監(jiān)督的內(nèi)部約束。三是制作并建議公開數(shù)據(jù)處理的活動報告，解釋為什么這樣處理數(shù)據(jù)、它會如何影響隱私以及為降低隱私風(fēng)險企業(yè)所采取的措施。

《個保法》注意到，通過個人意思自治確立的責(zé)任分配對所有參與者都具有重要意義。除了《個保法》第20條明確要求共同處理關(guān)系中各方應(yīng)約定各自的權(quán)利和義務(wù)以外，第21條還列明了個人信息委托合同應(yīng)約定的具體事項。《信息安全技術(shù)-個人信息安全規(guī)范》（GB/T 35273-2020）亦強(qiáng)調(diào)，個人信息一旦涉及共享或轉(zhuǎn)讓，個人信息控制者就應(yīng)通過協(xié)議等方式規(guī)定數(shù)據(jù)接收方的責(zé)任和義務(wù)。鑒于此，建議相關(guān)監(jiān)管部門把數(shù)據(jù)處理合同列為監(jiān)管企業(yè)合規(guī)的標(biāo)的之一。

從企業(yè)數(shù)據(jù)合規(guī)的角度出發(fā)，制訂數(shù)據(jù)處理協(xié)議是掌握數(shù)據(jù)控制權(quán)的一方滿足合規(guī)要求所必要的證明文件。對此，GDPR第18條的內(nèi)容值得從事數(shù)據(jù)合規(guī)的企業(yè)去借鑒。具體而言，企業(yè)之間簽訂有關(guān)數(shù)據(jù)處理的合同時，為減少控制者地位不明而帶來風(fēng)險的可能性，條款設(shè)置時應(yīng)優(yōu)先著眼于以下細(xì)節(jié)：第一，應(yīng)由哪一方處理來自數(shù)據(jù)主體更正、刪除、限制數(shù)據(jù)等等的請求，以及與數(shù)據(jù)主體成立何種類型的法律關(guān)系；第二，每一方的通知義務(wù)應(yīng)涵蓋什么內(nèi)容，比如誰有義務(wù)把數(shù)據(jù)的任何更正、刪除或限制處理告知其他數(shù)據(jù)接收者等等；第三，保證透明度，即作為接受方的個人信息處理者應(yīng)在多大程度上檢查作為提供方的準(zhǔn)確性，提供方處理者對個人信息的來源、分類和加工等等的披露要求是什么；第四，其中一個處理者能否出于一個新的目標(biāo)獨立決定重新處理數(shù)據(jù)。此外，各方擬開展的所有涉及個人信息的數(shù)據(jù)處理活動的目的，均應(yīng)詳盡描述。

個人信息保護(hù)法律體系應(yīng)在信息主體的權(quán)利保障與信息的自由流動之間尋求到合適的平衡。中國內(nèi)地的《個人信息保護(hù)法》雖剛問世，但不足以為界定個人信息控制權(quán)提供準(zhǔn)確的方向。隨著信息化與智能化的進(jìn)一步融合，進(jìn)一步明確個人信息控制權(quán)的界定和權(quán)利義務(wù)內(nèi)容、厘清各方主體的概念及其在數(shù)據(jù)處理中的法律關(guān)系，有利于推動完善我國個人信息保護(hù)的法律規(guī)制。個人信息控制權(quán)的界定不取決于數(shù)據(jù)處理協(xié)議的安排，而應(yīng)結(jié)合個人信息處理者的實際影響力去進(jìn)行個案分析。但數(shù)據(jù)處理協(xié)議的重要意義不言而喻，數(shù)據(jù)處理協(xié)議應(yīng)適用任何類型的數(shù)據(jù)流動場景。訂立數(shù)據(jù)處理協(xié)議不僅可以有效有序地加強(qiáng)對個人信息的保護(hù)，還有助于各方明晰自身的權(quán)利義務(wù)和責(zé)任。