論個人信息處理中合同所必需規(guī)則的擴張適用

摘要：合同所必需規(guī)則與告知同意規(guī)則構成企業(yè)合法處理個人信息的“兩大支柱”。由于合同所必需規(guī)則無需取得個人“同意”，其理應成為企業(yè)的首選。然而，作為平臺企業(yè)的一種日常經(jīng)營行為，個性化營銷卻被歐盟排除在合同所必需規(guī)則的適用范圍之外，且該立場為我國學界所普遍認同。從實際看來，限縮解釋立場是規(guī)則借鑒背景下一種錯誤的“路徑依賴”：其一，合同所必需規(guī)則具備獨立的適用地位，適度的擴張并不會導致告知同意規(guī)則的“消融”；其二，限縮解釋路徑既不足以從信息自決理論中推導而出，亦與我國個人信息保護的制度目標相違背。借助比較研究及案例分析，可以類型化方式對合同所必需規(guī)則的擴張適用路徑予以具體闡明。作為爭議的核心，個性化營銷場景之于合同所必需規(guī)則的適用可通過合同目的和比例原則的考量予以單獨證成。

關鍵詞：告知同意規(guī)則；合同必需規(guī)則；個性化廣告；合同目的；比例原則

2024 年4 月17 日，歐洲數(shù)據(jù)保護委員會（以下簡稱“EDPB”）發(fā)布的一份《意見》指出，以Meta 為代表的大型數(shù)字平臺最新提倡的“同意或付費”模式無法滿足GDPR 有關同意的相關規(guī)定。結合此前EDPB 在“Meta 行為定向廣告案”（以下簡稱Meta 案）的態(tài)度可見，行為定向廣告（俗稱“個性化廣告”）在歐盟法律體系中幾乎失去了合法生存的土壤。具體而言，因涉及個人信息的使用，個性化廣告取得合法性的途徑主要有二：一是GDPR（6）（1）（a） 款的告知同意規(guī)則，二是GDPR（6）（1）（b） 款的合同所必需規(guī)則。在個性化廣告的情境中，這兩個規(guī)則的主要區(qū)別在于是否可以通過“附條件”的方式取得用戶的同意?，F(xiàn)實中，由于個性化廣告本身對用戶而言是一種“負累”，在不附加任何條件的情況下（例如付費或拒絕提供服務），平臺企業(yè)幾乎不可能取得用戶的同意。換言之，禁止“附條件”的告知同意規(guī)則在此情境中無法有效適用，因此合同所必需規(guī)則是歐盟平臺企業(yè)取得個性化廣告合法性的唯一可能。然而，在Meta 案中EDPB 徹底否認了這種可能，其反映了歐盟對于合同所必需規(guī)則予以限縮解釋的保守立場以及對于數(shù)字平臺企業(yè)“強監(jiān)管”的高壓態(tài)勢。

與GDPR 類似，我國《個人信息保護法》第13 條第1 款前兩項規(guī)定：“符合下列情形之一的，個人信息處理者方可處理個人信息：（1）取得個人的同意；（2）為訂立、履行個人作為一方當事人的合同所必需?！睆暮贤匦枰?guī)則的字面涵義來看，無論是GDPR 的“有必要（necessary）”，還是我國《個人信息保護法》的“所必需”，都沒有為該項規(guī)則的準確理解提供有效指引。例如，“必需”針對哪個主體，是信息主體抑或是信息處理者？“必需”的范圍如何界定，如何才能達到“必需”的程度？對此，國內(nèi)有學者認為，我國合同所必需規(guī)則中的“必需”一詞，應仿效歐盟予以限縮解釋，并應明確排除個性化廣告場景適用該規(guī)則的可能。4然而，全盤繼受歐盟觀點的做法明顯欠缺對我國實際的考慮。基于對合同所必需規(guī)則的進一步深入理解，以及立足于我國與歐盟截然不同的制度、產(chǎn)業(yè)和政策現(xiàn)狀，本文認為，對我國《個人信息保護法》第13 條第1 款第2項前段規(guī)定的合同所必需規(guī)則的理解應采取適當寬松的立場，強調(diào)將以個性化營銷為代表的“個人信息對價化”情境納入，從而準確界定合同所必需規(guī)則的適用范圍?；诖?，下文將分成以下三部分進行論證：一是對合同所必需規(guī)則的內(nèi)涵進行精確界定；二是對合同所必需規(guī)則的限縮解釋路徑進行反思與批判；三是對合同所必需規(guī)則的擴張適用路徑予以具體闡釋。

一、合同所必需規(guī)則內(nèi)涵的再審視

由于合同所必需規(guī)則與告知同意規(guī)則形成了相互替代的關系，學界多從“告知同意規(guī)則被架空”的角度，對合同所必需規(guī)則的擴張適用展開批判。筆者認為，這種觀點混淆了合同所必需規(guī)則與告知同意規(guī)則的實質(zhì)內(nèi)涵，進而得出了錯誤的結論。對此，本文將從規(guī)則界定的視角展開論證。

（一）合同所必需規(guī)則的獨立地位：兩類“同意”行為的實質(zhì)界分

上述Meta 案中的投訴者認為，點擊“同意（服務協(xié)議）條款”按鈕的行為就意味著構成GDPR（6）（1）（a） 條款規(guī)定的“同意”，這實質(zhì)上蘊含了一個混淆概念的錯誤觀點：合同所必需規(guī)則中“同意締約”的行為等同于告知同意規(guī)則中的“同意”，二者之間沒有區(qū)別，因此告知同意規(guī)則可以“替代”合同所必需規(guī)則。國內(nèi)不少學者也持類似觀點，“為履行合同而必須處理個人信息的情形……處理者也是在取得自然人的同意的基礎上處理個人信息的”，因此該規(guī)定并無必要；甚至有學者認為，合同所必需規(guī)則就是告知同意規(guī)則在當今時代的“變種”。

然而，以上種種觀點實質(zhì)上都沒有厘清告知同意規(guī)則和合同所必需規(guī)則的確切涵義。告知同意規(guī)則中的“同意”是一種標準更高的同意，這種同意以“個人在充分知情的前提下自愿、明確作出”為前提，且個人信息處理者不得以個人不同意處理為由拒絕提供產(chǎn)品或者服務。因此，該“同意”并不能作為服務提供的對價，其本質(zhì)上對個人信息處理者而言是一種單方面的義務，個人信息處理者不能以“不同意”為由而拒絕向信息主體提供服務。與此不同，合同所必需規(guī)則層面的“同意”實質(zhì)體現(xiàn)的是意思自治以及契約自由原則，而契約意思自由的核心，即契約的法律效果完全系由當事人的意思決定。由此可見，合同所必需規(guī)則中的“同意”針對的是合同雙方相互的權利義務，在個人信息處理的語境之下，信息主體固然有拒絕信息處理的權利，但與此同時個人信息處理者也可以此為由拒絕向信息主體提供服務。除了前述的“同意捆綁”（以個人信息為對價）之外，合同所必需規(guī)則的適用還意味著“同意能力”“任意撤回”等專為告知同意規(guī)則所設立的規(guī)則不可同時適用?？偟膩碚f，合同所必需規(guī)則與告知同意規(guī)則之間的法律意涵截然不同，用后者的存在來“抹殺”前者適用空間的做法顯然是有誤的。

（二）合同所必需規(guī)則的平等適用：“告知—同意”并非效力位階更高原則

我國立法者明確表示“告知—同意”是一系列有關個人信息處理規(guī)則的核心。有學者據(jù)此認為“告知—同意”應被視為個人信息保護中必須堅守的原則，認為“告知—同意”是個人信息保護制度的“帝王條款”。原則意味著統(tǒng)攝整部法律的功用，假如“告知—同意”被視為一項原則而不僅是一項規(guī)則，這意味著當告知同意規(guī)則與合同所必需規(guī)則產(chǎn)生沖突時，“告知—同意”應具有適用的優(yōu)先性。正如Meta 案中，投訴者認為某些“以數(shù)據(jù)處理為主要目標”的合同必須依賴“同意”作為合法性基礎，這實質(zhì)上就是“告知—同意”作為一項基本原則優(yōu)先于合同所必需規(guī)則觀念的體現(xiàn)，但這種觀點并不正確：

首先，這種觀點并不符合本項規(guī)定的立法意圖?！熬喖s或履約之所必需之規(guī)定，將成為絕大多數(shù)業(yè)務場景下收集信息的依據(jù)”，合同所必需規(guī)則作為一項平等的合法性依據(jù)，“旨在避免因（告知）同意過于泛濫而破壞正常的私法交易秩序，具有重要意義”。因此，“告知—同意”非但不是位階更高的所謂的“帝王條款”，在企業(yè)出于業(yè)務需要收集信息的場景下，合同所必需規(guī)則反而更具適用的優(yōu)先性。

其次，基于法律解釋的角度，雖然我國《個人信息保護法》第13 條第1 款第1 項及第44 條明確規(guī)定了信息主體對其個人信息的決定權，但這種“決定”并不意味著一種近似財產(chǎn)權的信息控制和支配權，而只是一種矯正信息處理者與信息主體失衡關系的工具性權利。換言之，同樣作為處理雙方之間關系的工具，合同所必需規(guī)則與告知同意規(guī)則之間應在效力上平等適用，而絕非所謂“僅憑有效的合同尚不足以合法處理個人信息，還應在此基礎上根據(jù)該第13 條第1 款第1 項取得信息主體的同意”。

再次，愛爾蘭數(shù)據(jù)保護局（以下簡稱DPC）與歐盟亦早就該問題達成共識。第29 條工作組（EDPB 的前身）曾經(jīng)對《95/46/EC 指令》第7條（合同所必需規(guī)則條款的前身）指出，“該文本……沒有對六種依據(jù)進行法律區(qū)分，也沒有表明它們之間存在等級關系”。DPC 同樣認為，投訴者的這種區(qū)分將會產(chǎn)生法律適用的先后順序問題，然而GDPR 第6 條第1 款并沒有要求某些數(shù)據(jù)處理必須基于“告知—同意”，亦未規(guī)定“告知—同意”作為合法性基礎的優(yōu)先性。

由此可見，我國立法者所言及的“核心”僅僅是針對告知同意規(guī)則在適用場景的普遍性，將其視為效力位階上“更高一等”的原則，并以此來限制合同所必需規(guī)則適用的做法，顯然是對立法本意的歪曲。

二、合同所必需規(guī)則限縮解釋路徑的反思與批判

目前，法律界普遍認為對合同所必需規(guī)則的解釋應采取嚴格限縮的立場。具體而言，該觀點認為個人信息處理行為必須與合同的核心目的嚴格相符，且該合同目的應指向信息主體而非信息處理者（即只考慮信息主體的利益），并明確排除廣告業(yè)務適用該條款的可能。例如國內(nèi)有學者認為，合同所必需規(guī)則的適用應采取關聯(lián)性標準，“‘關聯(lián)’應采取從嚴解釋的方式，任何與提供的服務無關的均不能適用……如廣告業(yè)務并非必然需要處理個人信息”；實務界的法官也認為：“‘締約或履約之必需’之規(guī)定……必須受到目的限制原則的約束，不得利用這一條款進行個性化營銷”。本文并不否認合同所必需規(guī)則的適用應以合同目的為限，但對于是否應該將合同目的嚴格限縮在“指向信息主體利益”的范圍之內(nèi)，本文持否定態(tài)度。從立法目的來看，限縮解釋的觀點源于對信息自決理論的誤解，進而導致對個人信息保護的總體目標產(chǎn)生理解偏差；從適用效果來看，采用嚴格限縮解釋的方法將導致合同所必需規(guī)則因適用范圍過于狹窄而失去實踐意義。

（一）信息自決理論的正本清源：保護與利用并重

“信息自決論”是限縮解釋說的理論基礎。國內(nèi)學者普遍認為，為了實現(xiàn)個人信息權益保護的立法目標，我國個人信息保護應貫徹信息自決的價值理念，合同所必需規(guī)則亦應置于信息自決權的權利規(guī)范之下。但是，由于合同所必需規(guī)則主要承載的是私人自治以及合同自治的價值，對個人信息的保護強度存在“規(guī)范落差”，因此有礙于信息主體作為人之尊嚴的實現(xiàn)，故應嚴格限制合同所必需規(guī)則的適用范圍。簡言之，此類觀點將信息自決視作對個人信息的“絕對支配”，將告知同意規(guī)則作為實現(xiàn)信息支配的唯一手段，并將該規(guī)則以外其他個人信息處理的合法性依據(jù)視為對信息自決的“威脅”，因此主張對合同所必需規(guī)則的適用予以限制。然而，這種觀點顯然有誤：

其一，信息自決并不足以成為個人信息保護的全部理論基礎。以“保護個人信息權益”作為首要立法目標并不意味著法律制度絕對受制于信息主體利益。我國《個人信息保護法》第1 條規(guī)定：“為了保護個人信息權益，規(guī)范個人信息處理活動，促進個人信息合理利用，根據(jù)憲法，制定本法?！笨梢?，在保護個人信息權益、維護個人信息自決的基礎上促進個人信息的合理利用亦是重要的立法目標。再者，信息自決理論所引發(fā)的舉證成本收益失衡下的激勵困境、個人有限理性無法回應復雜風險而呈現(xiàn)的保護不足等問題，都進一步削弱了其作為個人信息保護的“基石”地位。

其二，信息自決不意味著賦予信息主體對個人信息絕對的支配權。信息自決理論最早來源于1984 年德國聯(lián)邦憲法法院的“人口普查案”，其在當下的實質(zhì)核心要義在于“我有權決定何時、何地、以何種方式傳遞有關我的信息”，與傳統(tǒng)隱私權理論強調(diào)相對性質(zhì)的“個案衡量”不同的是，在信息自決的視野之下任何個人信息都將置于“個人信息權”的絕對支配。然而，這種理解是對“人口普查案”的誤讀。德國聯(lián)邦憲法法院雖然認為人口普查違憲，且提出了個人信息自決的理念，但其又隨即表示“沒有絕對不得限制的個人信息自決權”， 因為每個人都具有社會屬性，即便是所謂的“個人”信息，在某種程度上亦是社會現(xiàn)實的寫照。由此可見，德國聯(lián)邦憲法法院亦認識到個人信息對社會發(fā)展的重要作用，因而否認了信息主體對個人信息的“絕對支配”。此外，結合該案的具體背景可知，德國聯(lián)邦憲法法院提及的“信息自決”實際限制在國家機關作為個人信息處理者的情景之下，與私法領域的個人信息處理并無關涉。

其三，告知同意規(guī)則并不是實現(xiàn)信息自決的唯一手段，合同所必需規(guī)則無需“限縮”也能實現(xiàn)個人信息自決的目標。合同所必需規(guī)則承載的私人自治理念與信息自決理念在本質(zhì)上并無沖突，合同所必需規(guī)則所豁免的只是告知同意規(guī)則層面的“同意”，是否決定與個人信息處理者進入信息處理關系仍然取決于信息主體在契約意思自治層面的自由意志。換言之，基于合同所必需規(guī)則就能“強制”取得個人信息的觀點只是一種望文生義的錯誤理解。合同所必需條款中的私人自治理念雖然在一定程度上體現(xiàn)了信息處理者的利益，從而造成個人信息在保護強度上的“規(guī)范落差”，但究其根本，合同所必需規(guī)則并沒有為個人信息處理者創(chuàng)設任何新的權利，所謂的“規(guī)范落差”僅體現(xiàn)于告知同意規(guī)則層面的義務豁免，這種“防御性質(zhì)”的規(guī)定將導致信息主體“淪為客體或者單純工具進而損害其作為人之尊嚴”的說法恐過于夸大；反之，在某些情形下限制告知同意規(guī)則的適用范圍恰恰體現(xiàn)了我國《個人信息保護法》中“保護與利用并重”的法價值目標追求和對信息處理雙方關系的精細調(diào)整。

（二）限縮解釋路徑的現(xiàn)實困境：從“獨立”淪為“附庸”

限縮解釋的路徑意味著，只有嚴格符合信息主體一方合同目的的個人信息處理行為才能適用合同所必需規(guī)則。然而，這種狹隘的理解與原本的制度目標相去甚遠。以小紅書為例，其實質(zhì)是一款照片分享的社交應用軟件。假如根據(jù)《常見類型移動互聯(lián)網(wǎng)應用程序必要個人信息范圍規(guī)定》第5 條規(guī)定，“網(wǎng)絡社區(qū)類”APP 應用的必要個人信息為“注冊用戶移動電話號碼”，那么，小紅書在收集用于注冊的電話號碼時就可以適用合同所必需規(guī)則。換言之，在用戶拒絕提供注冊電話號碼時小紅書有權拒絕為用戶提供服務。然而，電話號碼是注冊賬號的前提，假如用戶連基本的賬號都沒有，那么小紅書又如何能為用戶提供相關的社交服務？

據(jù)此可知，這種服務提供上的“不能”是一種事實上的不可能，而非基于可選擇意義上的拒絕。無論合同所必需規(guī)則是否存在，小紅書都不可能在用戶沒有社交賬戶的前提下為用戶提供有關的社交服務。在此情形下，合同所必需規(guī)則的意義僅在于為個人信息處理者提供“拒絕服務”的合法依據(jù)，從而豁免在告知同意規(guī)則層面原本必然需要承擔的責任。這意味著告知同意規(guī)則仍然是絕大部分情形下個人信息處理的合法性依據(jù)，合同所必需規(guī)則只有在告知同意規(guī)則徹底不能適用時才“不得不”啟用，因此限縮解釋的實質(zhì)就是將合同所必需規(guī)則視為告知同意規(guī)則的一種“附庸”。無疑，這種狹隘的解釋方式與將合同所必需規(guī)則打造為企業(yè)“絕大多數(shù)業(yè)務場景下收集信息的依據(jù)”、通過例外性規(guī)定為同意的適用留下狹小空間從而“促進個人信息的社會化利用”，即普適化適用的制度目標相去甚遠。

三、合同所必需規(guī)則擴張適用的路徑闡釋

（一）合同所必需規(guī)則擴張適用的思路以及類型化路徑

1. 擴張適用的基本思路

雖說適用合同所必需規(guī)則之時應考慮我國的實際情況，但這并不意味著對歐盟觀點的全盤否定。事實上，為了防止告知同意制度被架空，合同所必需規(guī)則的適用應當滿足一定的條件。例如，EDPB 曾主張評估合同所必需規(guī)則能否適用時需要考慮“作為一名普通的用戶是否會對合同中預設的處理目的形成合理期待”。法工委的釋義書對此進一步明確，合同所必需規(guī)則下個人信息的處理行為“應符合合同相對人、社會公眾的合理期待或者行業(yè)慣例……并兼顧實現(xiàn)合同目的和保護個人信息權益的比例性原則”。

綜上，合同所必需規(guī)則適用的前提是雙方基于合同行為而處理個人信息，不屬于為了訂立、履行合同的個人信息處理行為則應被排除在本規(guī)則之外，故合同目的便是首要考慮的條件；其次，適用合同所必需規(guī)則意味著信息主體不再受告知同意規(guī)則的“強力”保護，所以需要從比例原則的角度來考慮個人信息權益減損的程度與適用合同所必需規(guī)則帶來的收益之間的比例關系，并通過利益的權衡來調(diào)整本項規(guī)則的適用范圍。因而，合同所必需規(guī)則的擴張適用應滿足以下兩點限制：一是符合合同目的的認定；二是滿足比例原則的限制。下文將以此為基本思路，并結合我國實際來對擴張適用的類型化路徑進行詳細論證。

2. 擴張適用的類型化路徑

根據(jù)必要性程度的從高到低，個人信息處理者對個人信息的使用可以分為以下三種類型：第一，提供必要服務；第二，作為對待給付，成為企業(yè)營利的重要構成；第三，對待給付目的以外的額外收集。以百度公司隱私政策的部分章節(jié)為例：對于情形一，提供個人的賬號名稱、手機號碼以及密碼是百度公司提供賬號注冊服務的前提，該情形當然應符合合同所必需之規(guī)定。

對于情形三，出于改善產(chǎn)品服務、優(yōu)化內(nèi)部管理等目的收集個人信息，其本質(zhì)是為了“改進”服務而非“提供”服務，因此當然不屬于主給付義務而被排除于合同目的之外。此外，“改進服務”是一種十分寬泛的個人信息處理目的，任何出于安全、審計、運營等目的都可能被解釋成為“改進服務”，如果該目的被解釋成“必需”從而適用合同所必需條款，那么告知同意規(guī)則將會被完全架空，個人信息主體的權益將得不到有效保障。因此，即使基于比例原則，對待給付目的以外的對個人信息的收集處理也應排除適用合同所必需規(guī)則。對于情形二，在互聯(lián)網(wǎng)行業(yè)“免費盛行”的當下，將數(shù)據(jù)作為對待給付的最典型情境就是將個人信息用于個性化廣告推送。平臺企業(yè)利用個人信息進行個性化營銷的行為能否適用合同所必需規(guī)則，這既是Meta 案的爭議核心，亦是本文的關注重點。

（二）合同目的視角下合同所必需規(guī)則對于個性化營銷的適用

與合同目的相符，是個性化營銷行為適用合同所必需規(guī)則的第一個前提條件。個性化營銷行為涉及的合同內(nèi)容體現(xiàn)為“以個人信息作為對待給付”，該部分條款屬于純粹非典型合同，其合同目的難以根據(jù)有名合同在法律上的規(guī)定予以直接確認，需結合具體合同進行具體分析。主要分析方法有二：一是基于典型合同目的或結合具體條款的客觀目的考察法，二是基于合同雙方動機的主觀目的考察法。由于該合同的非典型屬性以及格式條款的限制，僅憑合同的外觀無法準確識別合同目的，故有必要進一步結合動機考察的方法?當合同雙方內(nèi)心所欲達到的目的不一致時，應以雙方均已知或應知的表示于外部的目的為準?！氨硎居谕獠俊北砻骱贤康牡呐袛鄳獜纳鐣囊话阌^念出發(fā)。在商業(yè)社會中，“天下沒有免費午餐”應是每個社會成員的共識。“免費午餐”的經(jīng)濟學本質(zhì)是作為定價戰(zhàn)略的交叉補貼（cross-subsidization），意即商業(yè)社會中任何服務都是有償?shù)?，任何表面無償?shù)姆斩紝⒁蚤g接方式來實現(xiàn)有償之目的。對于百度的搜索引擎產(chǎn)品而言，其商業(yè)模式的本質(zhì)是由第三方企業(yè)、百度公司、百度用戶之間形成的“三方市場”，百度公司通過免費提供服務來獲取用戶的注意力資源，第三方企業(yè)為了將商業(yè)信息傳遞給消費者，再通過付費廣告的方式來獲取百度用戶的關注，百度公司最終獲得廣告費，由此形成了商業(yè)上的閉環(huán)。分發(fā)個性化廣告的前提便是獲取與用戶有關的行為信息，因此作為一名理性人，理應對“以個人信息作為對待給付”這一表示于外部的目的形成預期。中國消費者協(xié)會于2018 年8 月發(fā)布的《App 個人信息泄露情況調(diào)查報告》亦印證了這一猜想。報告中明確提及有77% 的受訪者認為推銷廣告是手機App 采集個人信息的最主要原因。正如DPC 所言，通過投放定向廣告來賺取利潤的行為是Meta 商業(yè)模式的本質(zhì)，亦是Meta 與用戶達成交易的關鍵所在，因此在產(chǎn)品服務協(xié)議已經(jīng)對此予以明確的情況下，接受個性化廣告作為交易的對價應符合用戶的“合理期待”。

然而，EDPB 卻從相反的角度來理解合同目的，其認為個人信息如何具體運用于個性化定向廣告的處理是一套技術上非常復雜的流程，在產(chǎn)品服務協(xié)議或隱私政策中對其簡要提及的方式并不會在一般情況下使得用戶形成預期。依此來看，該觀點將“告知”視作為合同所必需規(guī)則適用的前提。我國《個人信息保護法》第14 條第1 款前段規(guī)定：“基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出?！笨梢姡谖覈傻恼Z境中，“充分知情”是以告知同意規(guī)則作為個人信息處理合法性基礎情形下的要求，而非對合同所必需或其他合法性基礎的要求，合同所必需規(guī)則的適用不應以告知規(guī)則為限。進言之，合同所必需規(guī)則視野下強調(diào)的是平等主體之間的意思自治，意欲使合同雙方知曉其民事法律行為所將產(chǎn)生何種私法效果的規(guī)則不是“告知”，而應是意思表示，且后者顯然比前者更容易達成。意思表示真實是合同成立的法定條件之一，而意思表示不真實可以分為“意思表示不一致”與“意思表示不自由”兩種情形。如上所述，以個人信息作為互聯(lián)網(wǎng)“免費”服務的對待給付應符合用戶的合理期待，故應認定為意思表示一致；是否與互聯(lián)網(wǎng)平臺企業(yè)締結以個人信息作為對待給付之合同亦同樣取決于用戶的自由選擇，因此當然符合意思表示之自由。在意思表示真實的情況下，以個人信息作為對待給付的合同理應認定為有效，進而適用合同所必需規(guī)則。

（三）比例原則視角下合同所必需規(guī)則對于個性化營銷的適用

符合比例原則的要求，是個性化營銷行為適用合同所必需規(guī)則的第二個前提條件。狹義比例原則的實質(zhì)是一種法益的均衡，即相應舉措所實現(xiàn)的法益應該大于舉措本身所破壞的法益。基于網(wǎng)絡用戶的視角，其當然不希望自身的個人信息被利用，因為這會增加個人信息泄露的風險，也會由于個性化廣告的存在而影響服務體驗，加之廣告本身與互聯(lián)網(wǎng)平臺所提供的服務之間并沒有直接關聯(lián)，廣告很容易被視作一種“有害”“多余”之物，并依此認為個性化營銷的行為“不合比例”。然而，這種理解顯然是片面的?？梢栽囅?，如果要獲取相應的互聯(lián)網(wǎng)平臺服務，除了接受個性化營銷這種“免費”的方式，當然還有付費的方式；按照相同的邏輯，付費當然也會影響用戶的服務體驗，這種影響相比于“免費”甚至有過之而無不及。因此，在衡量比例性的時候，既不能僅從用戶的視角予以評估，也不能僅以個性化廣告的“有無”來進行考慮，而應以一種更全面的視角來衡量比例性：在微觀層面，考慮對用戶影響的同時，也要兼顧網(wǎng)絡平臺經(jīng)營者的利益；在宏觀層面，則需要跳出個性化廣告的狹隘視角，從政治博弈、產(chǎn)業(yè)發(fā)展和政策導向的層面予以整體的衡量。

1. 從交易雙方的微觀層面考量比例原則

不可否認，作為數(shù)字市場守門人，超大型平臺理應承擔與其角色相匹配的加重義務。其中，數(shù)據(jù)（隱私）合規(guī)義務便是其加重義務的重要組成部分。對此，我國《個人信息保護法》第58 條第1 項明確規(guī)定了超大型互聯(lián)網(wǎng)平臺應該“建立健全個人信息保護合規(guī)制度體系”，并成立獨立的個人信息保護機構予以監(jiān)督。然而，這種數(shù)據(jù)隱私層面的加重義務主要體現(xiàn)在增強內(nèi)容審查、優(yōu)化算法設計、調(diào)整服務條款等防范“系統(tǒng)性風險”的合規(guī)措施之上。換言之，平臺加重義務的核心在于“如何合規(guī)地利用個人信息”，而絕非一禁了之。追求利潤是商業(yè)活動的核心，營利是商事關系的本質(zhì)特征，“有利可圖”是企業(yè)的生存前提。在用戶以個人信息為對價換取平臺企業(yè)服務的商業(yè)化情境中，平臺企業(yè)利用個人信息為第三方企業(yè)提供個性化廣告推送便是其獲取利潤并維持生存的重要條件。據(jù)Meta 財報顯示，Meta2023 年第四季度的廣告收入為387.06 億美元，占總營收的96% 以上。有分析人士表示，如果大量用戶選擇拒絕個性化廣告，那么受此影響Meta 公司的估值可能會下降12% 至25%。由此可見，以個人信息保護為由禁止個性化廣告推送，就相當于脫離了企業(yè)生存的前提來強調(diào)企業(yè)責任，“只談義務不談權利”的做法顯然違背了現(xiàn)代法律權利與義務相一致的基本原理。

反之，對于用戶而言，讓渡部分個人信息的使用權益并沒有在實質(zhì)上對其造成利益上的重大減損。基于目的原則的限制以及網(wǎng)絡平臺企業(yè)作為“數(shù)字市場守門人”的加重合規(guī)義務，個人數(shù)據(jù)的安全性可以得到法律上的有效保障。因此考慮到信息侵權的成本，在一般情況下，用戶的個人信息并不會因為企業(yè)的使用而遭受泄露。此外，即便聚焦到個性化廣告推送的具體情境，亦難言會對用戶造成何種消極影響?目前國內(nèi)很多APP 都會在“設置”中提供關閉個性化服務的選項，然而，該選項取消的僅僅是“個性化”，而廣告是不能取消的，因為廣告本身并不會涉及個人信息的使用。換言之，相比于接收隨機出現(xiàn)的廣告，個性化廣告可能反而在某種程度上提升了用戶的體驗。

綜上，個性化廣告的有無對于企業(yè)而言意味著“生死存亡”，而對于用戶而言僅僅是“影響體驗”，個性化廣告的存續(xù)對于企業(yè)的意義顯然遠大于對用戶利益的減損。因此，為了維護個性化廣告的合法性，理應對個性化營銷適用合同所必需規(guī)則的做法予以肯定。

2. 從產(chǎn)業(yè)背景的宏觀層面考量比例原則

歐盟在大數(shù)據(jù)時代來臨之際推出GDPR，除了強化個人數(shù)據(jù)保護的本旨之外，還摻雜著更多政治因素的考量。經(jīng)有關統(tǒng)計，2022 年美國數(shù)字經(jīng)濟蟬聯(lián)世界第一，規(guī)模達17.2 萬億美元；中國位居第二，規(guī)模為7.5 萬億美元；作為歐盟數(shù)字產(chǎn)業(yè)規(guī)模最大的國家，德國僅為2.9 萬億美元，排名第三。目前歐盟數(shù)字經(jīng)濟發(fā)展趨于保守，無力在技術上與中美抗衡。為了維護自身的“數(shù)字主權”，歐盟推出多項數(shù)據(jù)安全保護法與數(shù)字服務稅來限制外國數(shù)字科技巨頭對其市場份額的過度擠占。自2008 年微軟因涉及壟斷電腦操作系統(tǒng)而被處以21.6 億歐元的天價罰款起，歐盟幾乎把所有5 億歐元以上的罰款都開給了美國的數(shù)字科技公司（本文中的Meta公司亦然）。不難發(fā)現(xiàn)，公民的隱私保護只是歐盟數(shù)字安全立法的表象，通過反制美國數(shù)字霸權以扶持本土數(shù)字產(chǎn)業(yè)的發(fā)展才是最終目的。

與歐盟相反，作為數(shù)字大國，我國本土互聯(lián)網(wǎng)企業(yè)不但消化了國內(nèi)市場的絕大部分份額，以TikTok、Shein 和Alipay+ 為代表的中國互聯(lián)網(wǎng)產(chǎn)品更是頻頻在海外“攻城略地”，呈現(xiàn)蓬勃發(fā)展之勢。因此，作為當下互聯(lián)網(wǎng)產(chǎn)業(yè)“免費”商業(yè)模式中最重要的一環(huán)，我國并無必要在法律上過度擠壓個性化廣告的生存空間，以免“自縛手腳”般地打擊本土互聯(lián)網(wǎng)產(chǎn)業(yè)的發(fā)展。此外，以讓渡個人信息的部分使用權益來換取互聯(lián)網(wǎng)服務的實質(zhì)亦是一種靈活的“數(shù)據(jù)交易”，契合我國當下的數(shù)據(jù)要素市場化改革的政策背景。2022 年12 月，《中共中央國務院關于構建數(shù)據(jù)基礎制度更好發(fā)揮數(shù)據(jù)要素作用的意見》明確提出要構建“合規(guī)高效、場內(nèi)外結合的數(shù)據(jù)要素流通和交易制度”。作為數(shù)據(jù)要素市場建設的重要一環(huán)，進一步加強個人數(shù)據(jù)的商業(yè)化流通利用應與我國發(fā)展的大方向相符。概而言之，將個性化營銷場景納入合同所必需規(guī)則的適用范圍，非但不會如歐盟般面臨海外互聯(lián)網(wǎng)巨頭的競爭威脅，反而有助于維護我國互聯(lián)網(wǎng)行業(yè)的穩(wěn)定。此外，承認個人信息作為對價情形下適用合同所必需規(guī)則的合法性，亦有利于為企業(yè)合法收集利用個人數(shù)據(jù)提供更為便捷的途徑，從而充分發(fā)揮數(shù)據(jù)對企業(yè)的賦能，進一步鞏固和提升我國數(shù)字產(chǎn)業(yè)的競爭優(yōu)勢。

四、結語

我國《個人信息保護法》通過“博采眾長、兼容并包”的方式，確立了先進的個人信息保護制度。然而，繼受不意味著全盤接受，真正適用的法律還需要植根于本土社會和文化之中，以回應本國的現(xiàn)實需求。合同所必需規(guī)則是源于歐盟GDPR 的“舶來品”，對該規(guī)則的本土適用若照搬域外解釋的做法，顯然是欠缺對我國本土實踐的足夠?qū)徱?。在?shù)據(jù)要素市場建設如火如荼的背景下，作為數(shù)字產(chǎn)業(yè)大國，營造開放包容的法律氛圍應當是我國數(shù)據(jù)立法的基調(diào)。因而，我國的數(shù)據(jù)法治建設理應由“規(guī)制思維”向“治理思維”轉(zhuǎn)變，重點思考如何通過法理的闡釋，在風險可控的基礎上賦予合同所必需規(guī)則更廣闊的適用空間，從而降低我國企業(yè)的數(shù)據(jù)合規(guī)成本，以契合當下國際數(shù)字產(chǎn)業(yè)競爭的現(xiàn)實需要。