互聯網背景下個人信息再利用之規制

王宇楷

（中央財經大學 法學院，北京 100081）

一、問題的提出

2019年法國數據保護機構對谷歌處以5000萬歐元的巨額罰款，原因之一是其對收集的用戶數據處理后提供個性化廣告的操作缺乏法律依據。這是歐洲最嚴個人數據保護法《通用數據保護條例》（GDPR）正式實施以來開出的首筆巨額罰單。科技公司對收集到的用戶信息進行處理后推送個性化廣告，是典型的個人信息再利用的場景，在我國也非常常見。目前我國的法律法規并沒有對該問題做出具體規定，行政執法機關也沒有針對個性化廣告推送提出整改意見或開出罰單。在裁判文書網上進行檢索，可以發現有用戶曾就百度網訊收集其個人信息進行處理后提供個性化廣告的行為侵犯其隱私權為由提起過民事訴訟。該案二審法院在對百度收集用戶信息進行處理后推送個性化廣告這一行為進行分析時，指出個性化推薦服務僅涉及匿名信息的收集、利用，不符合個人信息的可識別性標準，網絡服務提供者對個性化推薦服務依法明示告知即可①。基于前述立場的分析可知，不同于歐盟對于提供個性化廣告的操作的態度，我國對科技公司收集的用戶信息進行處理后提供個性化廣告的操作采取了非常寬松的標準，一般情況下只要履行明示告知義務即具有合法依據。

互聯網背景下個人信息再利用問題是全球都面臨的重要議題，美國基于此制定了公平信息實踐制度②，歐洲制定了以“嚴格”著稱的《通用數據保護條例》（GDPR）③，我國目前還沒有建立起完整的個人信息保護法，對個人信息的保護散落在《民法總則》《網絡安全法》及相關司法解釋之中。對于科技公司收集用戶信息后進行處理提供個性化廣告這一相同的操作，我國和歐盟基于不同的價值取向和考慮采取了完全不同的態度。在互聯網背景下，科技企業將收集到的數據資料進行再利用可以發揮巨大的經濟價值，考慮到個人信息再利用所涉及的個人信息隱私權保護的相關問題，各國普遍確立了公開性原則、知情同意原則和目的限定性原則等以對互聯網背景下個人信息的再利用進行規制，但是在對上述原則的認識和具體適用標準上則存在差異。近年來，我國互聯網企業發展迅猛，已經成為經濟發展的重要推動力量。但是相較于美國和歐洲，我國對個人信息保護的歷史要短暫得多，在新的時代背景之下，如何處理好個人信息再利用與個人信息隱私保護之間的關系也就更為重要。

二、互聯網背景下個人信息再利用的現狀與爭議

（一）知情同意框架下的個人信息收集與利用

美國聯邦法院在1973的判例中指出，隱私權的本質是個人對信息的控制，在大數據時代，越來越多的個人信息被存儲和記錄在計算機系統和互聯網平臺中，個人對自己信息的控制能力呈現弱化的趨勢。面對這種不平衡的局面，多數國家都對系統和平臺收集和利用用戶個人信息做出了規制，并要求企業根據規制要求制定相應的產品隱私政策，以使得用戶可以了解個人信息被收集和利用的情況，并決定是否繼續允許個人信息被收集和利用[1]。

在個人信息保護領域，無論是美國的公平信息實踐路徑，還是歐洲的GDPR路徑，都體現了個體賦權和平臺責任結合的形式[2]。其中個體賦權表現為知情權和同意權，在平臺的隱私政策中則表現為知情同意框架。谷歌在其隱私政策中指出，谷歌收集到的用戶信息會用于提供谷歌服務、開發新服務以及提供個性化內容和廣告以及提高谷歌的安全性能。用戶可以通過谷歌隱私控制項來選擇谷歌如何收集和利用其個人信息。百度和騰訊等其他高科技企業的隱私政策在用戶個人信息的利用上也做了類似于谷歌隱私政策的規定。在目前知情同意框架下，平臺對個人信息的再利用受到用戶知情同意的限制，但該限制并不是用戶獨立對其個人信息的利用做出判斷和選擇，而是平臺默認用戶允許其收集的信息即同意平臺對該信息基于隱私政策所公示的用途進行再利用。這種默認是否具有合理性基礎，筆者持肯定態度，在互聯網背景下的大數據時代，個人信息的再利用可以發揮巨大的經濟價值，而對個人是否有能力對個人信息再利用進行獨立的判斷和選擇是有疑問的。

知情同意保護框架是各國在個人信息保護中普遍采取的框架，諸如前述，多數科技公司隱私政策中所涉及的主要是對個人信息收集的知情同意，用戶無法就個人信息再利用進行單獨的知情或同意。基于此歐洲在《通用數據保護條例》（GDPR）中對知情和同意提出了更高的標準，要求用戶的同意必須是具體且經過充分了解的。谷歌公司也正是因為提供個性化廣告這一操作沒有滿足上述要求才收到了來自法國的巨額罰單[3]。我國在《網絡安全法》中也規定了網絡運營商利用收集到的他人信息，應當對利用目的進行明示并經他人同意，而未對知情同意提出進一步的操作要求。該規定所帶來的風險是平臺提供模板化隱私政策，用戶點擊同意后使用服務，使隱私政策對用戶個人信息的保護流于形式。歐洲雖然在知情保護同意框架下，對個人信息的收集和利用進行了更為具體的規定，但該規定在對個人信息提供更好保護的同時，也存在限制了個人信息合理使用的可能。

（二）互聯網背景下個人信息再利用中的數據融合

在互聯網背景下，數據和信息具有相同的涵義，并沒有實質性的差別[4]。在美國和我國的立法中使用信息的概念較多，而歐洲在立法中使用數據的概念較多。在互聯網背景下，數據融合是無限的，其所帶來的場景創新也是無限的，但同時數據融合也使得個人信息的可識別性更高，而使個人陷入更高的風險之中。

從谷歌的隱私政策來看，其收集的個人信息包括用戶使用手機設備被記錄的個人信息，使用谷歌服務諸如搜索引擎、郵件、地圖、視頻等被記錄的個人信息，使用第三方軟件時被記錄的信息，谷歌在其隱私政策中明確指出將會基于數據處理的目的對其服務以及不同的終端中所產生的個人數據進行融合。百度也在其隱私政策總則中指出，其會將收集到的信息用于大數據分析。在互聯網背景下，科技公司尤其是某些行業巨頭對個人信息的收集和利用具有大規模和侵入性特征，數據融合在給經濟發展帶來動力的同時，也使個人所面臨的風險不斷增大[5]。在法國數據保護機構2020年年初開出的針對谷歌的罰單中，明確指出了谷歌融合數據的現象，但并不能得出該處罰系針對谷歌的數據融合行為。介于數據融合的復雜性和大規模性，要求谷歌對于數據收集和利用的情況進行更為清晰的描述也具有合理性的。

數據通過融合可以發揮其最大價值，也符合互聯網背景下的大數據行業發展趨勢，其數據融合行為本身并不具有違法性，但數據融合的過程也的確容易給個人信息安全帶來巨大的挑戰。我國目前還沒有立法或相關執法行為對互聯網背景下的數據融合提出具體的規制要求，企業隱私政策也停留在告知階段而沒有采取其它相關措施。

（三）互聯網背景下個人信息再利用的利益衡量

互聯網背景下個人信息再利用雖然是全球都面臨的共同問題，但不同國家討論的具體場景和應用是不同的。關于個人信息再利用的規制最早開始于美國的公平信息實踐，歐洲在公平信息實踐框架內又有所發展。在互聯網背景下的個人信息保護上，美國更為強調信息的利用和商業價值，而歐洲則更為強調人格尊嚴方面的價值，這也造成了個人信息保護剛性程度上的差異。

1973年美國“關于個人數據自動系統的建議小組”發布了一份“公平實踐準則報告”，其后該準則被美國隱私權保護領域的相關法案所吸收。美國并沒有一部全面的個人信息保護法，其對個人信息的保護規定于《視頻隱私保護法》等具體的法案之中，且美國認為其將來也不太可能像歐洲一樣制定一部綜合的個人信息保護法。從美國的立法來看，其公平信息實踐并非保護所有的個人信息，其主要限定在個人征信、醫療、教育等領域，主要關注的是不受歧視或區別待遇的權利。且美國聯邦貿易委員會在其公布的公平信息實踐版本中指出，個體并不具有其對個人信息的法定性權利，其對個人信息所賦予的權利是推薦性的[6]。由此可知，在互聯網背景下個人信息再利用的利益衡量上，美國更為關注的是個人信息的商業價值，而并非強調個人對信息的全面控制。

歐洲1980年通過的關于《保護自動化處理個人數據公約》采取了公平信息實踐的框架，其后通過的個人信息保護領域的公約、指令、條例等又在此基礎上有所發展，并于2018年實施了被稱為“最嚴個人信息保護法”的《通用數據保護條例》（GDPR）。該條例對個人信息權利進行了細化和豐富，對個人信息控制者隱私政策提出了更高的要求，試圖使個人對信息的控制得到充分的保障[7]。在該條例的指引下，知情同意框架被更嚴苛地制定和執行，平臺對個人信息的控制得到削弱，這在使個人權利得到更好保護的同時，客觀上也阻礙了信息的交流。由此可知，在互聯網背景下個人信息再利用的利益衡量上，歐洲更為關注的是個人信息在人格尊嚴方面的價值。

目前多數國家的個人信息保護都建立在公平信息實踐框架之上，在適用該框架時必須要考慮的一個問題是何謂公平？這個問題在不同國家基于個人信息不同的場景和應用可能會得出不同的結論。近年來我國由于個人信息泄露而導致的多起電信詐騙事件，把人們對個人信息保護的關注推向了高潮，個人信息背后的生命和財產安全也成為關注的焦點。在考慮互聯網背景下個人信息再利用的規制時必須結合自己國家的情況首先對何謂公平作出回答。

三、互聯網背景下個人信息再利用之規制路徑

（一）互聯網背景下個人信息再利用的價值選擇

每一項法律制度確立的背后都有其對價值的衡量和選擇，對互聯網背景下個人信息再利用的規制也是如此。美國在個人信息再利用的立法規制中更多強調個人信息的經濟價值，而歐洲在個人信息再利用的立法規制中更多強調個人信息的隱私保護，正是基于這不同的價值選擇，美國和歐洲在個人信息再利用規制的具體設計上呈現明顯的差異。互聯網背景下個人信息再利用環節中個人對信息的控制權當然是值得保護的，但是考慮到個人信息再利用產生的經濟價值，對其保護到何種程度以及通過什么方式來進行保護就是涉及價值選擇的事項。根據對個人信息屬性的不同界定，在法律上對其的保護方法和方式也會有所不同。

美國曾在其公平信息實踐中將個體對其個人信息的權利界定為推薦權利，而非法定權利，從而減少互聯網背景對個人信息進行再利用時的阻力。我國《民法總則》第一百一十一條把個人信息確定為一項法定權利并受到法律的保護，對這項權利的屬性則并沒有作出進一步的規定。從個人信息的屬性來說，其兼具隱私權屬性和財產屬性。如果把個人信息界定為一項隱私權并按照隱私權的規則進行保護，則互聯網運營平臺對其收集到的信息進行再利用時需要完全依賴于個人的知情同意，而互聯網背景下運營平臺所收集到的信息又是海量的，這將極大地增加平臺的負擔且不利于數據的有效利用。如果把個人信息界定為一項財產權并按照財產權的規則進行保護，則首先必須要考慮的是該項財產權的所有者是誰。互聯網背景下的個人信息的形成不僅僅需要個體提供信息，還需要網絡運營者提供設備和服務[8]，提供信息的個人和收集信息的平臺之間并不存在法律上規定的特定關系，在這種情況下筆者更傾向于把該所有權認為是按份共有的所有權。根據按份共有的規則，平臺作為按份共有人有權對共有物進行利用，對于利用方式則由共有人自主決定。在互聯網背景下的個人信息再利用中平臺和個體屬于一對多的關系，由其共同決定信息再利用的途徑和方式是不經濟且不現實的，而相較于信息提供者的個體，網絡運營平臺在對信息再利用的把握上具有明顯的優勢，因而筆者認為可以由網絡運營平臺在目的限定原則下自主決定收集到的信息如何使用，同時為了兼顧個體的合法利益，網絡運營平臺須通過匿名化等操作保障個體權利，并在其侵犯個體權利時在責任規則下承擔賠償責任。

互聯網背景下個體與其個人信息控制權的分離是科技發展帶來的必然結果，保障個人對數據的控制權是必要的，但如果過分強調個人對數據的控制，不僅不利于個人信息經濟價值的發揮，且個人是否有能力保護和有效利用互聯網背景下的個人信息也是存在疑問的[9]。個人信息再利用中數據背后的生命和財產安全是我們國家人民最為關注的，在該范圍內應當強化個人信息的隱私權屬性，而在范圍之外應當強化個人信息經濟價值的關注。

（二）互聯網背景下個人信息再利用的區分原則

互聯網背景下的個人信息包括在設備和應用上記錄的姓名、聲音、病例等信息，在設備和應用上生成的消費習慣、通訊記錄等信息。根據這些個人信息的敏感程度不同，可以分類為敏感信息和一般信息。在互聯網背景下對個人信息再利用時，對個人敏感信息和其他一般個人信息進行區分并分別給予不同程度的規制，有利于實現價值選擇所期待的結果[10]。

我國現有的法律法規中雖然沒有明確對個人敏感信息和其他一般個人信息進行界分，但從部分條文中可以隱約得出對個人信息進行區分的涵義，諸如《征信業管理條例》中對個人一般信息可以經同意而采集，而對特殊信息不得采集的規定。指導性文件《個人信息保護指南》中雖然對個人敏感信息和其他一般個人信息進行了明確的區分，但其并不具有規范法效力。有學者在對域外法上個人敏感信息和其他一般個人信息進行考察后，提出了對個人敏感信息和其他個人信息進行區分時所應當考慮以下兩點：泄露該信息會對信息主體造成重大的傷害或造成傷害的可能性極高；以特定大多數人對某類信息的敏感度為參照進行評價[11]。在互聯網背景下，平臺利用大數據進行趨勢預測是其常見的個人信息再利用情形，但該預測很可能導致歧視的發生，例如平臺可能用其收集到的敏感信息分析得出具有某一類敏感信息特征的人犯罪率更高，具有該敏感信息的個人則可能在社會生活中受到歧視而給其帶來未知的風險。因此在互聯網背景下個人信息的再利用中將信息進行區分是有必要且有意義的。

推送個性化廣告是互聯網背景下個人信息再利用的典型場景，谷歌在其隱私政策中指出其不會根據敏感信息（種族、宗教、性取向或健康狀況等）向用戶推送個性化廣告，但在其他信息再利用的領域是否會使用敏感信息則沒有作出明確規定。筆者認為基于敏感信息的特殊性，該類信息的主體權利價值應當大于其經濟價值，且對于敏感信息即使是經過匿名化等信息脫敏處理，在大數據的利用場景下仍然可能造成群體性歧視，因此對該類信息在互聯網背景下的再利用不應當適用傳統的知情同意框架而應當直接予以禁止。對于被禁止再利用的個人敏感信息應當嚴格其標準，必要時采取列舉的方式，以衡平個人信息在互聯網背景下再利用時所具有的經濟價值。而對于其他一般個人信息仍可繼續沿用傳統的知情同意框架。

（三）基于合理期待的默認和個體摘除權

知情同意框架于上世紀70年代在美國產生，在互聯網背景下的今天仍然是各國規制個人信息再利用的主要方式之一。知情同意框架因肯定了個人對于其信息的自治權而具有正當性基礎，對互聯網背景下非敏感信息的個人一般信息仍然具有重要的規制作用，但傳統知情同意框架在互聯網背景下個人信息再利用中的局限性也是不可忽略的。互聯網背景下的個人信息收集具有海量性、流通具有頻繁性、利用具有多樣性。如果把對互聯網背景下個人信息再利用的權利完全交給作為信息主體的個人，顯然是不現實且不經濟的，對作為信息主體的個人和作為信息形成和記錄的網絡運營平臺來說都會產生極大的負擔。再者個人信息不僅具有個體性還具有社會屬性，如果完全把對個人信息控制的權利交給個人其社會屬性將不能實現[12]。最后，知情同意框架在互聯網背景下具體應用的場景為用戶對平臺隱私政策的同意，而該同意往往形式性意義大于實質性意義，如何提高知情同意的有效性也是其必須要解決的問題。

從谷歌、百度、騰訊等公司目前的隱私政策來看，對個人信息的知情同意主要應用在信息收集階段。而對于個人信息的再利用的知情，其僅闡述了其對個人信息的再利用會基于其明示的目的進行，而沒有對個人信息所應用的具體場景進行描述。對于個人信息再利用的同意，基于平臺對個人信息再利用情境的告知具有模糊性，個人無法單獨就個人信息再利用進行選擇和同意，平臺也往往默認為用戶同意收集和儲存的數據即為同意被再利用的數據。考慮到互聯網背景下個人信息再利用的特征這種默認是有必要的，但其必須以合理期待為前提，以保證個體對其個人信息所具有的利益。合理期待需要符合數據最小化原則④和目的限定原則⑤，且其考慮必須是基于場景化的。例如對于個性化廣告推送的這種個人信息再利用形式，如果平臺不提供個性化廣告推送，意味著其運營收益會減少，而最終其會轉嫁給用戶，使用戶使用服務的成本增加。而成本增加能否為用戶所接受就成為考慮平臺個性化廣告推送這一數據再利用方式是否具有合理期待的因素。在基于合理期待的默認模式中，合理期待使得個體對其個人信息的最低保護要求得以滿足，而默認模式則有利于互聯網背景下個人信息的流通，促進其價值的發揮。

所謂合理期待是基于特定多數人的價值選擇，因此在該模式下有必要對個體的價值選擇提供個別的救濟，例如個體摘除權的賦予。平臺對其收集和利用的符合其合理期待判斷的用戶個人非敏感信息，應當在其隱私設置中盡可能詳細而具體地予以列明，并允許作為信息主體的個人將其認為不能被允許收集和利用的個人信息進行摘除，且這種摘除的操作必須是簡單易行的。百度在其隱私設置中對記錄搜索行為日志、展現搜索歷史詞、手機搜索展現保護和身份證搜索展現保護四項中賦予了用戶摘除權，這種做法是值得肯定的，但其允許用戶摘除的信息仍然還處在一個比較小的范圍內。隱私具有非常強烈的個體主觀性，在互聯網背景下用戶對于平臺收集和利用其個人信息的態度很可能會產生完全迥異的態度，而基于合理期待的默認和個體摘除權的賦予最大程度地對這種差異性給予了尊重。在知情同意框架下，將基于合理期待的默認和個體摘除權相結合，使個人信息在互聯網背景下充分發揮其經濟價值的同時，也兼顧了個體對于其個人信息的利益保護。

四、結語

進入互聯網時代，人們對個人信息的認識和理解發生了翻天覆地的變化。我們驚訝于數據融合和利用所帶來的社會創新和經濟發展活力，也憂慮互聯網時代人們似乎已經沒有隱私可言。大數據時代下的個人數據之所以能夠發揮其價值就在于其樣本的全面性，如果過于強調個人信息的個體權利屬性，將導致個人數據難以發揮其巨大的經濟價值，而如果完全忽略個人信息的個體權利屬性，將產生巨大的社會道德風險甚至引發嚴重的社會后果。在互聯網背景下，對個人信息所具有的前述兩種價值屬性如何進行利益衡量和利益衡平就顯得尤為重要，不同的國家可能在該價值判斷中做出完全不同的選擇。

同美國、歐洲等國家相同，我們國家對互聯網背景下的個人信息再利用也非常關注，近年來連續出臺了《網絡安全法》等法律法規，并將個人信息立法納入人大的立法規劃。2019年中央網信辦、工信部、公安部、國家標準委等四部門聯合對100款手機應用的隱私政策進行了評審，總結其共性問題后，制作清單反饋給各應用公司以改進其在個人信息收集和利用中所存在的問題，這種動態化執法可謂是一種非常有益的嘗試。互聯網背景下個人信息再利用的法律規制工作在我國正逐步展開，在不遠的將來，體系化的制度也將被構建，個人信息在互聯網背景下所具有的巨大經濟價值和個體對其個人信息控制的需求將得到平衡，我國的互聯網事業也會更為蓬勃發展。

注釋：

①詳見（2014）寧民終字第5028號。

②公平信息實踐起源于20世紀70年代的美國，為全球個人信息保護奠定了基礎。

③歐洲《通用數據保護條例》前身是1995年的《計算機數據保護法》。

④數據最小化原則指對于個人數據的處理數量以滿足該業務需要的最小數量為限。

⑤目的限定原則指在個人數據的處理問題上必須始終滿足正當目的的要求。