線上商業場景中個人信息的行政法保護

邊 緣

吉林司法警官職業學院，吉林 長春 130000

當下我們的生活幾乎完全被電子通訊設備所支配：線上購物、線上交友、線上學習、線上運動以及線上游戲娛樂等等。在享受其便利的同時，個人的網絡信息安全、個人的隱私等問題也時常困擾著我們，比如跨國購物要求上傳身份證照片、常常接到能說出準確姓名的推銷電話、購物節時收不盡的垃圾短信等等。數據顯示，經常擔心自己信息在網上泄露的網民比例占將近四成；注冊賬號時，用戶最不愿填寫的信息中，銀行卡號、身份證號、個人詳細地址占據前三。我們對個人信息以及個人隱私的態度、處理方式，以及被企業所設計的使用方式的誤導從而造成的個人數據流入企業，是否應當規制？個人信息在當代社會的應用場景業已發生變化，個人信息是否還要進行絕對的保護？行政法層面如何應對這些變化？這是本文所要探討的問題。

一、個人信息是否應予絕對保護

自2012年進入大數據時代以來，個人信息的法律保護制度在全球范圍正在經歷著一次次重大的變革。2018年5月25日《歐盟數據保護通用條例》(以下簡稱GDPR)實施，作為隱私與數據保護領域20年來最引入矚目的立法變革，GDPR提出了大數據時代個人數據保護的新秩序愿景。該條例第一條明確指出：保護個人權利并促進個人數據的流動。這種二元立法目的說明，對于制定法律法規來說，關注的重點已經從單純地針對個人信息的保護轉化成為既加強保護又要合理利用上。這是因為，隨著社交時代的到來，數據量的激增等諸多因素，數據資產在社會生活中，特別是商業場景下，地位和作用越發突出。在保護個人權利的同時，還應當充分運用個人數據，以達到個人、企業以及公共利益的共贏。以個人信息為基礎的信息集合或信息整體(大數據)，以及由此衍生出的數據資產，已真正成為個人信息法律規制的核心。

因此，在行政法層面上，個人信息以及個人隱私在商業場景下應當予以保護。但是，應在加強個人信息保護的同時，重視數據的使用以做到物盡其用，實現效能最大化，促進企業的發展和社會經濟的進步，以及把握個人利益、企業正當利益和公共利益之間的平衡。

二、在商業場景下個人信息的行政法保護的幾點思考

(一)用戶的認可是否是企業使用個人數據的唯一依據

個人在進行線上商業活動時會被要求輸入個人信息，包括但不限于真實姓名、銀行卡號、公民身份號碼、出生年月日、家庭住址等。同時網絡運營商為用戶會提供相關協議，承諾會適當使用個人信息。然而數據顯示，僅有不超過半數的用戶會選擇認真閱讀相關協議，一是為使用互聯網產品而直接選擇接受用戶協議，二是協議內容過于復雜，專業性極強，導致用戶無法正確理解從而被迫接受用戶協議。僅僅基于用戶選擇接受協議是不足以約束企業正確使用數據信息的。因此，行政法上需制定相關規定，一方面對于協議文本加強管理和監督，幫助用戶規避商業風險；另一方面直接加強對企業使用數據的合理性與合法性的監管，確保在信息和能力不對稱的情況下，用戶依然保有不受企業侵犯其個人信息的權利。

但是用戶的認可與授權并不是企業使用個人數據的唯一依據。這是因為，雖然信息來源于用戶，信息的收集與處理卻是企業行為，在一定范圍之內，企業應有支配信息的相應權利。第一，在預防網絡詐騙以及用戶的數據保護方面的權利。比如數據顯示，60后一代是易受網絡詐騙的高危群體，企業可以運用其數據量較大且掌握程度精準的優勢，采取措施提示高危群體提高警惕、預防風險；第二，企業推廣方面的權利。通過數據分析用戶的市場行為、購物習慣，通過用戶的選擇和確認，允許企業通過各種渠道向用戶發布廣告。在用戶允許的范圍之內精準推送信息以增加利潤的行為應被視為企業合法之權利。第三，符合公共利益的行為，如醫療健康方面可以用收集的數據提煉出相應的對策以及建議。

由此可見，在全面數字化的信息時代，用戶不能再對個人信息進行完全的控制和掌握，以及享有個人信息的全部利益。當用戶選擇面向線上某一產品曝光自己的個人信息時，這些信息就已經成為整個企業數據流的一部分，個人信息的保護與合理利用的適當平衡，由企業的正當性以及公共利益的需要而定，應賦予企業合理進行使用的權利。

(二)用戶的被遺忘權

歐盟早在1995年就在相關數據保護法律中提出了“被遺忘權”概念，任何公民可以在其個人數據不再需要時提出刪除要求。在GDPR中又對被遺忘權進行了進一步的規定。筆者認為，這對我國行政法對于個人信息的權利是一個有益的參考。

首先，當用戶不再使用某個賬戶時，有權要求企業刪除與該用戶相關的數據，如綁定的支付賬戶、家庭住址、電話號碼等信息。此處的刪除意指徹底刪除，不僅達到用戶界面無法查詢的狀態，還要求在企業數據平臺上進行徹底刪除，不再保留該用戶的備案信息。如果企業未能及時刪除，相關部門有權責令企業整改，以充分保護用戶權利。行政主體應當依職權對該項業務進行審查，并通過有效途徑向社會公眾公開審查結果，使公眾知情并提高企業的誠信度。

其次，如果企業或者數據持有者已經將用戶信息在社交網絡公開與他人進行鏈接，則應在用戶要求下，采取盡可能的措施予以刪除。在有相關第三方的情況下，需告知第三方刪除本用戶信息，做到第三方鏈接內同樣不存留該用戶信息。在整個刪除過程中所產生的技術性支出成本由本企業自行承擔。考慮到實施被遺忘權行為的技術含量以及需支付的成本，行政立法層面上也應考慮到企業可能存在的難度以及執法效果。因此，基于公共利益、法律規定的職責和義務等的需要，可以在個案當中行使自由裁量權，避免一刀切的粗暴執法。

最后，關于不符合要求的企業的行政處罰，筆者認為在我國現行經濟形勢下，不宜將對企業的罰款規定得過高，比如年收益額的幾個百分點。處罰過高會降低企業參與數據資源以及商業互動的積極性，提高了企業的經營成本。具體的處罰金額應當在實際生活當中，經過有效的調研和考證確定，并賦予行政主體一定的自由裁量權，在處罰的同時，引導、教育并幫助企業做好個人數據的保護工作。

綜上所述，個人信息數據在進入到商業行為之后，其性質發生了改變。不單指用戶本身對于個人信息的物權，還包括企業對用戶信息在合法合理范圍內一定的支配權和使用權。因此，從行政法層面上，著重保護個人信息安全的同時，還應保護企業的正當利益，增強企業對于數據保護的能力，鼓勵企業對此采取一些積極措施。在條件允許的情況下對企業數據安全進行行政指導。在執法層面上，不以用戶要求作為企業使用數據的唯一基礎，靈活運用自由裁量權對企業是否合法合理使用數據資源作出具體評判。保護用戶的被遺忘權的同時，掌握用戶利益、企業利益和社會利益的平衡，保障個人信息安全、企業良性運轉以及取得良好社會效果，促進經濟發展。