電子商務環境下消費者個人信息保護危機與應對

摘要：

電子商務環境中，經營者常利用其與消費者之間的非均衡博弈關系擅自處理后者的個人信息，這不但侵害了消費者的人格利益，而且阻礙了個人信息資源的高效配置。我國為促使經營者尊重消費者對個人信息的排他性產權，應強制經營者在處理個人信息前履行征得消費者許可等義務，進而改變這種不均衡狀態。而立法者為了優化規制效果，宜立足于商業倫理與網絡治理等因素構筑的特殊國情并重點借鑒歐盟的成例，憑借作為公共選擇的立法活動將前述義務予以明確化。但剛性的法律規范又會不當限制經營者與消費者的決策自由，并阻礙個人信息的有效利用，對此，我國還需要參照美歐做法對經營者義務規則的適用設定例外情形。

關鍵詞：消費者個人信息;個人信息處理;電子商務;經營者義務規則

中圖分類號：D923.8

文獻標識碼：A

文章編號：1673-8268（2015）03-0039-05

一、危機探源：由非均衡博弈引發的利益失衡

（一）電子商務環境下個人信息面臨的利益訴求

在以網絡化與數字化為基本特征的電子商務活動當中，消費者的個體特征能通過一定的數字或者符號得到體現，這些數字與符號即為“個人信息”（personal information），它們一般表現為網絡用戶名、密碼、消費記錄、信用狀況、電子郵箱地址以及IP地址等。在黑格爾筆下，個人信息屬于具有意志與精神屬性的人格價值載體[1]。據此，中外理論界與立法界也已基本達成共識，確保消費者本人對個人信息的自主支配，這是在信息時代終極關懷其人格的基本方式。同時，在電子商務環境下，消費者個人信息也是具有經濟價值的重要資源。因為按照聯合國國際貿易程序簡化工作組的定義，電子商務是供應商、銷售商與消費者等主體通過網絡手段共享商務信息從而完成交易的過程，而消費者個人信息是商務信息中重要的一類。在實踐活動中，經營者通過收集、分析、傳輸等方式對消費者個人信息進行處理，能夠獲取更多的商情（如消費者層次、所在地域以及消費傾向），從而拓寬銷路實現利潤增長;同時個人信息可以被不同經營者共享，這有助于社會整體效率提高，其經濟價值由此得到體現。

（二）利益沖突與失衡導引的危機

在電子商務活動中，經營者出于追求營業效益的固有偏好，往往傾向于不征得消費者同意而擅自處理其個人信息。而以網絡供銷者為代表的經營者在談判力量與獲取資訊能力等方面明顯強于消費者，按照日本學者青木昌彥的闡述，經營者與消費者之間存在非均衡博弈（unbalanced game）關系[2]。因而消費者在沒有強有力的保護制度可依靠的情況下，很難以自身力量對抗經營者恣意處理其個人信息的行為。僅以我國為例，近年來通過搜索引擎處理消費者個人信息的注冊商業機構的數量逐漸增多，其中多數機構在處理個人信息之前，并未征得消費者同意甚至根本未向其告知，這引起了消費者的不滿與排斥，中國互聯網絡信息中心（CNNIC）于2012年1月發布的第29次中國互聯網絡發展狀況統計報告即反映了這一問題。

上述現象不僅使消費者的人格尊嚴與自由面臨前所未有的威脅，還導致了經營者因侵權而獲利的不公平結果出現從而違反了正常的商業倫理秩序。與此同時，人格利益遭受侵害的消費者不再愿意與經營者分享其個人信息，這又阻礙了我國網絡經濟的發展進程。加拿大麥克馬斯特電子商務研究中心（MERC）的調查報告即顯示，在2008年到2010年間，有6.5%的加拿大成年人有過個人信息被網絡營銷商非法接觸的經歷，這些人當中有 20%拒絕再向網絡服務者與經營者繼續提供其個人信息[3];前述CNNIC第29次報告顯示，我國也存在類似問題。

二、危機應對的比較法經驗：對經營者處理行為的制度約束

在新制度經濟學視野中，消費者個人信息保護的危機根源于電子商務環境下經營者通過處理信息提高經營績效與消費者維護自身人格這兩種利益之間的沖突。而有效的制度安排能迫使這些主體改變其不良偏好，并促使他們在尊重彼此利益的前提下展開合作博弈[4]。據此，社會治理者化解危機最有效的途徑在于，通過設計與實施相應制度約束經營者與消費者（尤其是處于較強地位的前者）的行為，從而為二者通過合作方式共享個人信息之上的利益創造條件，由此在二者之間實現利益雙贏并完成帕累托改進。在比較法上，美國與歐盟為實現這一目標已構建了較成熟的制度。這些成例如被我國適當借鑒，將有利于國內立法者汲取舶來制度文明精髓，同時也能避免制度構建中無謂的重新探索與反復試錯，從而提高制度供給的效率。

（一）美國：立法放任附帶行業自律

根據美國學者托馬斯·I·愛默生的主張，商事主體有權收集、利用與傳播信息（包括消費者的個人信息——筆者注）從而實現自身的經營自由[5]。據此，該國立法者在制定具有強制執行力的正式制度時，對經營者處理個人信息的行為大多采取了較為放任的態度。譬如1974年隱私法案第一部分與2007年聯邦信息自由法案b（6）均規定，僅公共機關（public organ）負有對公民信息隱私的尊重義務，非經本人許可不得探知或利用其個人信息。根據反面解釋，作為私人機構（private organ）的經營者不承擔此義務;又如該國1984 年《電纜通訊政策法》（Cable Communications Policy Act）規定電纜通訊公司為了正當的商業活動，有權獲取與活動相關的用戶個人信息，而無須經過用戶本人同意;再如1991 年《電話消費者保護法》（Telephone Consumer Protection Act）規定電話直接營銷商在不經消費者允許的情況下可以處理其個人信息。

該國為了約束經營者的處理行為，一般授權立法機關以外的行業組織（如網絡營銷行業協會等）向業內經營者提供自律規范，并由該組織要求經營者尊重客戶的人格利益。行業自律規范并非由立法機關制定，因而不具有強制約束力，消費者在絕大多數情況下也不能依據此規范提請司法救濟，因此它屬于非正式制度。影響較大的行業自律規范有美國網絡聯盟（W3C）制定的網絡營銷者規范以及計算機從業資格認證機構（ICCP）頒行的計算機從業者規范等。

（二）歐盟：以立法強制約束

與美國不同的是，歐盟及其成員國大多由立法機關制定正式制度，對處理消費者個人信息的經營者課以必須強制遵守的義務。歐盟個人數據保護委員會于2000年2月3日通過的《電子商務中某些方面數據保護的第1/2000號意見》即要求，各成員國立法者與司法者對于在國內處理消費者個人數據的經營組織，應強令其履行通知消費者本人等義務。這一立場在歐盟及其主要成員國的立法文件中也得到了充分體現。根據歐盟指令第一章第2條（b）與第3條規定，經營者收集與傳輸消費者個人信息的行為受該指令中義務性規范的制約。而根據指令第二章規定，經營者在實施上述行為之前不僅應告知個人信息本人并征得其同意，還應采取

適當措施保持個人信息的完整與最新狀態。為保證這些規范的有效性與強制力，指令第三章授權消費者在經營者違反前述義務時，通過司法救濟途徑追究經營者責任。這些內容還體現在了德國2003年聯邦個人數據保護法第三編、法國2004年數據處理與個人自由法第四章和第五章、英國1998年數據保護法第三部分當中。

三、確立強制性的經營者義務規則：我國的必由路徑

（一）由產權與制度績效理論所推導

按照科斯的解說，對產權的清晰界定有利于消除資源交易中的障礙，進而提高資源利用效率[6]。而在電子商務實踐中，經營者往往憑借其較之于消費者的優勢地位擅自處理后者個人信息，從而為他們有序交易與高效利用個人信息這一資源設置了障礙。對此，社會治理者有必要清晰界定消費者支配其個人信息并排除經營者侵害的產權，有效地制約經營者任意處理個人信息、侵害消費者的人格利益，促使經營者以合作方式與消費者共享個人信息之上的利益，從而通過消除交易障礙改變雙方非均衡博弈的狀態，實現對信息資源的優化配置，以此促進電子商務活動的有序開展并提高網絡經濟模式下的社會整體績效。

正如學者H·德姆塞茨所闡述的那樣，正式的產權制度更能使權利人的利益受到強有力的保障。[7]從制度績效的角度分析，作為正式制度的法律基于其權威性，能夠為經營者劃定明確的行為界限;同時法律通過禁止性話語更能制約經營者擅自處理個人信息的行為，從而為消費者人格利益保護提供穩定的預期。相比較而言，行業自律規范實質上只是經營者所在行業的自律組織向消費者提供的契約。客戶在繁復的電子商務交易活動中，很難盡知自律規范的內容并據以尋求保護。加之該規范的頒行者具有非權威性且效力帶有非強制性，從而難以對經營者形成有效的約束。同時，因為頒行自律規范的行業協會地位非中立（常偏向于經營者），且規范中的用語往往較為模糊，所以使得行業自律規范容易淪為引起交易雙方利益失衡的“不完全契約”（incomplete contract）[8]。由此以William J·Clinton為代表的美國學者在如何保護該國網絡消費者信息隱私的問題上，也開始懷疑行業自律規范的有效性[9]。

（二）商業倫理與互聯網治理模式語境中的抉擇

中美商業倫理的差異性決定了美國立法者放任經營者處理行為的做法不宜為我國所采取。在崇尚個體自由而較少受集體主義影響的美國，立法者為滿足個體經營者的營業自由利益而不限制其任意處理個人信息或許是正當的。美國大法官本杰明·卡多索以及哈蘭·斯通就提出過信息自由權是“母體”權利的觀點，并認為該權利優先于人格權New York Times Co. v. Sullivan， 367 U.S.254， 726 （1964）; Hustler Magazine， Inc. v. Falwell， 485 U.S.46-47。

。

然而根據我國幾千年來形成的商事文化傳統，商事活動參與者在追求個體自由與利潤的同時，更應注重對社會倫理規則的遵守。經營者在處理消費者個人信息時，不僅應關注自身經營效益，而且還應對消費者人格尊嚴予以終極關懷從而遵循社會倫理秩序，后者甚至處于更重要的地位;因為按照哈耶克對目的價值與工具價值的劃分標準，人格尊嚴是人之為人的根本從而屬于目的價值，它比作為工具價值的信息自由更應處于被“擇優錄用”的地位[10]。因此，我國立法者也有必要用禁止性規范約束電子商務經營者的行為，從而防止其任意處理個人信息、侵害消費者人格。

在我國特有的互聯網治理模式下，對經營者處理個人信息行為的規制也應當主要由立法機關制定正式制度來完成。正因為此，歷來堅持通過行業自律方式約束經營者處理個人信息行為的美國也開始轉向頒行正式制度。譬如該國于2000年頒行的《兒童在線隱私保護法》（COPPA）就明確地規定了網絡營銷商為向兒童提供服務而收集與傳輸后者個人信息時，應當履行征得兒童父母同意和采取安全措施從而保障個人信息正確與完整等義務;當營銷商違反上述義務時，將被處以罰款、被責令停止營業并向兒童及家長承當相應損害賠償責任。

四、義務規則的創構與實施

（一）公共選擇理論視野中的經營者義務規則

雖然我國2009年《中華人民共和國刑法修正案（七）》第253條對經營者擅自處理消費者個人信息的行為予以了禁止，但這并不足以維護后者

的人格利益。因為按照道格拉斯·諾斯與巴澤爾等學者闡發的國家理論，國家在通過立法這一公共選擇活動調和利益集團之間的矛盾時，應當賦予較弱勢集團（如消費者）對抗較強勢集團（如經營者）不當行為（如擅自處理個人信息）的權利，藉此消除不同集團之間的力量差距對比并兼顧雙方利益訴求，最終實現社會整體效益的優化[11]。而根據公私法劃分原理，消費者面臨經營者侵害其個人信息之上的私益時，不能直接依據作為公法的刑法向經營者主張停止侵害與賠償損害等責任，因此立法者還需要在作為私法的民商事法律規范中設定經營者應履行的義務，并在經營者在處理個人信息中違反這些義務時，為消費者提請法律救濟提供正式制度中的依據。具體地，電子商務活動中的經營者在處理個人信息時，應當向消費者履行以下義務。

第一，處理之前將有關情況告知消費者并征得其同意。正如美國學者威斯汀與米拉所認為的，維護主體人格利益的關鍵在于使其能決定自己的個人信息是否被傳播[12]。消費者有權決定其個人信息是否以及如何被處理，這是人格保護理念在網絡經濟中的重要體現。在比較法上，德國聯邦憲法法院為了督促本國公共機關履行這一義務，甚至于1983年在對人口普查案做出判決時，從尊重公民基本權利——信息自決權的高度闡釋該義務的重要性[13]。而消費者作出決定的前提是其事先知悉個人信息將被經營者處理。但是在電子商務環境下，消費者掌握資訊的能力明顯弱于經營者，前者往往無法查知其個人信息將被處理，從而難以通過合理決策來決定是否同意處理行為。因此，立法者有必要制定規則強令經營者向消費者告知其個人信息將被處理的相關情況，以此拓展消費者理性進而維權。一般而言，經營者在實施通過收集、利用與傳輸等手段處理個人信息行為之前，應在以下情況預先告知作為本人的消費者：處理人身份，被處理個人信息的范圍，處理目的、方式、期限，消費者享有的權利，消費者不予協助后果以及糾紛處理的方式等。

第二，對處理中的個人信息采取安全保護措施，確保信息處于準確、完整、最新與秘密狀態。正如歐盟數據保護工作組在《關于公共部門信息和私人數據保護的第3/99號意見》中闡述的，無論個人信息流轉于何處，它始終歸屬于信息本人。即使消費者同意經營者處理其個人信息，前者仍然處于對個人信息的支配地位。經營者出于對這一地位的尊重，有義務采取合理措施防止個人信息被非法篡改與披露，并對過時的個人信息實時地更新，從而使作為信息本人的消費者免受不正當的評價。

第三，向消費者支付對價。依據學者卡爾·夏皮諾闡釋的根據信息有價（information is valuable）原理，消費者個人信息在網絡交易中具有經濟價值[14]。立法者要求處理該信息的經營者向消費者支付與信息價值相當的費用（此即“對價”），就承認了消費者在生成個人信息時的付出，同時也使個人信息之上的利益被分配得更加合理。美國法院早在1907 Edison v. Edison Polyform Mfg Co.一案的判例中就確立了這一義務;而歐盟個人保護數據委員會在前述第1/2000號意見中也要求，各成員國立法者在維護客戶的人格尊嚴的同時，還應當確保其對個人信息之上的財產利益得到承認與保護。

（二）規則適用的例外——為實現商事自由與信息流通

如果以上義務性規則過于絕對地被實施，又將阻礙電子商務活動的正常開展與個人信息的有效利用。一方面，根據經濟人假說理論，在網絡時代的商事活動中，不論消費者還是經營者都有足夠的理性去獨立取舍與處分自身的利益，因此二者完全有能力通過協商方式就個人信息如何處理的問題達成一致意見，國家不宜過度干涉[15]。如若司法者過于嚴格地執行前述義務性規則，將不當地限縮消費者與經營者自由決策的空間，這有違意思自治這一民商事活動的基本理念;另一方面，根據產權約束與激勵功能原理，國家如果過于極端地令經營者承擔前述義務（尤其是經過消費者同意后方能處理個人信息），將會對經營者合理利用與傳輸個人信息形成負激勵，從而阻礙個人信息的自由流通，甚至妨礙這一在網絡與信息時代的重要資源被優化配置。為了防止以上兩種情況的出現，我國需要對以經營者義務規則的適用規定例外情形，具體地有以下二方面。

第一，經營者與消費者達成了相關協議的，前者可免于在處理個人信息前告知后者和征得其許可。這是意思自治的體現，畢竟消費者可以在和經營者自愿協商的基礎上處分其對個人信息享有的利益;同時這一規定有利于提高個人信息處理以及商事營運的效率。因為在電子商務實踐中，經營者往往需要反復處理個人信息，這一規定可以省去經營者每次處理前均需征得消費者同意的繁復流程。因此我國可以參照前述美國COPPA第10部分，規定當個人信息本人以及監護人事前與經營者達成協議的，后者可以在協議約定的時間與地域范圍內徑自處理個人信息，而不再履行告知與征得許可的義務。當然經營者可能濫用其優勢地位，預先在此類協議中擬定對消費者不公平的條款并迫使后者接受。針對此我國可借鑒美國的安全港規制（safety harbor regulation）方式，要求經營者將類似的協議提交相關監管機構審查，該協議經確認未侵害消費者意思自由與人格利益后方生效[16]。

第二，經營者為滿足特定利益而處理個人信息時，無須經過消費者同意。正如歐盟數據保護指令引言所闡述的，在價值指向上，個人信息利用和消費者權益之間存在著一定矛盾：前者允許經營機構合理處理與利用信息，后者則為了確保消費者人格不受侵害而反對他人任意實施前述行為。如若我國絕對地保護消費者，則勢必阻礙信息合理的處理與利用，進而產生阻礙信息公平的數字鴻溝。由此，我國立法者與司法者需要借鑒歐盟指令第二章以及德國聯邦個人數據保護法第三編等經驗，為經營者適當留出自由空間，從而激勵其為滿足（相對于消費者人格利益而言）更大的利益而處理個人信息。

參考文獻

[1]HEGEL G W.Philosophy of Right[M].DYDE "S W.Ontario：Batoche Books Kitchcener，2001：42-46.

[2]青木昌彥.經濟體制的比較制度分析[M].北京：中國發展出版社，1999：264.

[3]SUSAN SPR OULE，NOR M AR CHER. Measuring Identity TheftinCanada：20082010 Consumer Survey-WorkingPaper[EB/OL].（2008-12-27）[2014-02-13].http：//www.merc -mcmaster.ca/ working -papers/ measuring -identity-theft-in-canada-2008-consumer-survey/.

[4]柯武剛，史曼飛.制度經濟學——社會秩序與公共政策[M].北京：商務印書館，2000：56.

[5]WHITEMAN J Q.The Two Western Culture of Privacy：Dignity versus Liberty[J].The Yale L.J.2004，113（1161）.

[6]R·科斯.企業、市場與法律[M].盛洪，陳郁，譯.上海：上海三聯書店，1990：92.

[7]H·德姆塞茨.關于產權的理論[G]//R·科斯.財產權利與制度變遷——產權學派與新制度學派譯文集.上海：上海三聯書店，1991：98.

[8]MATCH J G，OLEN J P.Rediscovering Institutions：The Organization Basis of Politics[M].London：The Free Press，1989：178.

[9]CLINTON W J.Framework for Global Economic Commerce[M]//張平.網絡法律評論：第1卷.北京：北京大學出版社，2001：65.

[10]哈耶克.法律、立法與自由[M].鄧正來，譯.北京：中國大百科全書出版社，2000：8-9.

[11]道格拉斯·諾斯.制度、制度變遷與經濟績效[M].杭行，譯.上海：上海三聯書店，1994：71.

[12]劉迪.現代西方新聞法制概述[M].北京：中國法制出版社，1998：119.

[13]LIEDTKE.Bundesdatenschutzgesetz：Eine Fallstudie zum[M].Muenchen：Gesetzgebungs Prozess，1980：321.

[14]卡爾·夏皮諾.信息規則：網絡經濟的策略指導[M].張帆，譯.北京：中國人民大學出版社，2000：17.

[15]李瑞緣.我國金融消費者隱私權保護機制的制度構建——以個人隱私和信息保護為視角[J].重慶郵電大學學報：社會科學版，2014（1）：38-44.

[16]GORDON H R.Right of Property in Name，Likeness，Personality and History[J].Northwestern University Law Review（19601961），2004（55）：553-559.

Crisis and Settlement of Consumers’Personal

Information Protection in Settings of Electronic Commerce：

Mainly in View of New Institutional Economics Study

ZHANG Juan，LI Yi

（Chongqing Three Gorges University， Chongqing 404100， China）

Abstract：

In settings of electronic commerce， proprietors possess consumers’ personal information at their own will by way of unbalanced game with consumers， by which consumers’ personality is infringed and the maximized utilization of personal information resource is hindered. Proprietors should be obliged to ask for consumers’ authorization while processing compulsorily， so that they will be forced to cooperative with consumers in an equal way and protect consumers’ rights on personal information. And in order to maximize the effect of regulation and in the view of the legislation from EU， Chinese legislators should lay out above-mentioned obligatory rules in the statutes on the domestic background of commercial ethnics and network regulation. And in order to cope with the excessive forcible effect of statues， exemption clauses should also be set so as to protect the free will of proprietors as well as consumers and enhance the utilization of personal information.

Key words：

consumers’ personal information; processing of personal information; electronic commerce; operator’s rules of obligation

（編輯：劉仲秋）