大數據時代的個人信息保護研究

劉曉穎

摘? 要：隨著數據產業的迅速發展，網絡用戶的個人信息面臨更多未經授權即被采集、使用的風險?！睹穹ǖ洌ú莅福啡烁駲嗑幍南嚓P條文雖然對個人信息范圍有所界定，但是并未明確界定的標準。同時對個人信息的保護原則、免責事由等作出了原則性規定，但并未對個人信息侵權的歸責原則、侵權責任的承擔方式等作出具體規定。個人信息的保護要注重平衡其與數據流通間的關系，在此基礎上對個人信息權的具體人格權地位予以明晰，明確其歸責原則，完善損害賠償機制。

關鍵詞：個人信息;隱私權;證明責任;歸責原則

中圖分類號：D923;D925.1? ? ?文獻標識碼：A? ?文章編號：2096-3769（2020）05-119-04

從深度偽造技術[1]的出現到AI智能軟件的廣泛應用，人工智能、大數據、云計算等技術愈發深刻地影響著我們的生活，網絡用戶的個人信息保護也受到愈發廣泛的關注。2019年12月19日工信部信息通信管理局通報了40余款經督促整改后仍存在違規收集、使用用戶個人信息、不合理索取用戶權限等現象的APP，其中搜狐新聞、新浪體育以及QQ閱讀等APP涉及私自收集用戶個人信息;閃送、人人視頻以及學霸君1對1等APP涉及私自將用戶信息共享給第三方。在大數據技術應用愈發普遍的今天，被“點名”通報涉及違規收集、使用用戶個人信息的APP可能只是冰山一角。大量智能手機應用軟件在其冗長的用戶使用協議中回避用戶個人信息的采集情況和具體使用情況，大量音樂、視頻、教育等應用軟件要求用戶在使用時必須授權其手機的位置定位、訪問聯系人權限等非必要功能，否則將無法使用該軟件。

事實上，網絡用戶在享受商家提供的便捷服務時，不得不貢獻自己的身份、關系、行為等數據，也不得不面對各種“定制”的推送和算法決策的結果。[2]《民法典（草案）》人格權編中雖然規定“自然人的個人信息受法律保護”，但并未明確網絡用戶的瀏覽痕跡、移動終端的定位信息等是否屬于個人信息的保護范圍，亦未明確規定個人信息侵權的具體歸責原則與損害賠償機制。低成本的法律風險與高額的收益，無疑助長了非法買賣網絡用戶個人信息的黑色產業鏈的發展，導致非法獲取、販賣個人信息，實施針對性垃圾營銷等事件層出不窮。如何有效引導網絡服務提供者、網絡運營者合法合規地使用網絡用戶的個人信息，切實保障公民的個人信息安全，成為亟待解決的問題。

一、個人信息保護現狀及問題

如上文所言，在大數據、云計算時代網絡用戶的個人信息極易被侵害，這已成為現實生活中不可回避的問題。而目前我國民法層面對于個人信息的保護措施極度缺乏，使得一些從事非法買賣、濫用公民個人信息但并未達到刑法入罪標準的行為無法得到法律制裁。從目前司法實踐的情形來看，由于相關立法中對個人信息權利屬性的界定不明，導致網絡用戶的個人信息極易被濫用，且尋求救濟時亦存在諸多問題。

1.個人信息權利屬性界定不明

雖然《民法總則》第111條與《民法典（草案）》人格權編第六章均確認了公民的個人信息受法律保護，但未使用“個人信息權”的字眼，對其權利屬性亦未作出界定。理論界關于個人信息的屬性也有不同的探討，如“隱私權客體說”“人格權客體說”“基本人權客體說”等。[3]事實上，網絡用戶通常是以個人信息作為對價來換取免費的在線服務，而網絡服務提供者也具有強烈的收集、分析用戶各類信息的利益訴求，以便通過經營活動獲取經濟利益。在大數據時代，網絡用戶的個人信息在具備人格屬性的同時兼具財產屬性，如同可以被估價的無形資產，正因如此驅使大量網絡服務提供者為了牟利采用各種技術手段收集用戶個人信息。關于確認個人信息財產屬性的制度設計可以借鑒德國的相關立法，即在人格權的基礎上確認信息主體對個人信息的使用、控制、收益等權利。同時，增強信息主體對其個人信息經濟價值的認知和意識，不僅有助于對信息保護的事后救濟，也有助于主體的行動自覺，進而不斷改進其與企業或信息處理者的行為關系模式。[4]

2.未經公民同意使用其信息

隨著信息技術與日常生活的深度融合，公民的個人信息也隨之呈現出網絡化、數字化的趨勢。據中國電子信息產業發展研究院發布的《中國大數據產業發展評估報告（2018年）》以及《2019中國大數據產業發展白皮書（上）》顯示，2018年我國大數據產業規模達4384.5億元，同比增長23.5%，預計2021年產業規模將超過8000億元。在大數據時代，經營者可以通過對大量網絡用戶的個人信息的篩選、分析，從中提取有效的商業價值;或者通過繪制用戶畫像等方法個性化投放廣告，實現其精準營銷的目的。與此同時，信息不對稱問題在互聯網技術快速發展的今天愈發凸顯，網絡用戶一般無法了解自己每一條信息的走向與被使用情況。當用戶使用各種購物、醫療、導航等軟件時必然會產生大量的數據，而承載這些服務的瀏覽器、搜索引擎則會自動收集這些數據，通過整合與分析提取有商業價值的信息。日常生活中從購物軟件到訂餐平臺，“訂制推薦”“猜你喜歡”這類選項似乎早已被用戶習以為常，而此類個性化推薦的來源則是瀏覽器或服務器通過 Cookie來記錄用戶的興趣愛好、購物偏好、個人需求等。我國目前并無相關法律法規對網絡用戶的瀏覽痕跡、移動終端的定位信息等加以保護。[5]從比較法的角度看，2009年11月歐盟通過了《歐洲Cookie指令》，其中規定：用戶初次使用某網站時，該網站必須關閉Cookie 插件的使用，只有用戶明確同意啟用Cookie插件時才能開啟此項功能。[6]參考歐盟對于網絡用戶瀏覽痕跡、行為痕跡的保護措施，出臺相關操作規范，監督網絡服務提供者收集用戶瀏覽痕跡時遵守知情同意原則，可切實保護網絡用戶對于其個人信息的控制權。

3.個人信息受到侵害時難以得到實質救濟

隨著大數據、云計算的發展，網絡服務提供者根據瀏覽痕跡繪制用戶畫像、投放網絡定向廣告等行為給網絡用戶的個人信息帶來更多威脅。如網絡服務平臺對于用戶的個人信息、行為記錄、交易信息等進行收集后，極有可能在未經用戶許可的情況下將數據賣給廣告商等第三方，而被侵權人往往難以得到實質的財產性救濟。雖然在《App違法違規收集使用個人信息行為認定方法》中明確規定了“利用用戶個人信息和算法定向推送信息，未提供非定向推送信息的選項”，可被認定為“未經用戶同意收集使用個人信息”。而在司法實踐中，即使法院認定被告實施了侵害公民個人信息的行為，原告方也難以獲得相應的經濟補償。例如，在孫某某訴中國某通信有限公司隱私權糾紛案中，法院經審理認為電信運營企業將手機用戶的信息披露給第三人時即構成對權利人隱私權的侵犯，電信運營企業應向手機用戶承擔侵權責任。但是，被告的行為雖侵犯了原告的隱私，但并未造成原告生活上嚴重的不安寧，故不予確認原告所主張的精神受到嚴重損害，對其所提出的精神損害撫慰金亦不予支持。（1）

二、《民法典（草案）》中個人信息權的界定與完善

1.確立個人信息權

應當明確的是，個人信息性質的界定是分析并解決上述問題關鍵。關于個人信息的性質有不同的學說，根據《民法典（草案）》第1034條可看出，在我國立法中對個人信息界定較為核心的概念是“可識別性”的結論，包括單獨可識別以及組合可識別。個人信息與隱私權雖然在概念上相互獨立，但是權利范圍實際上存在交集，例如個人信息不僅包括涉及隱私內容的私密信息，還包括可公開、可利用的個人信息。從《民法典（草案）》人格權編第六章的條文來看，個人信息被認為是一種民事權益，而隱私權作為一種民事權利，具有適用的優先性。司法實踐中，法院也通常是采取隱私權的保護方法處理個人信息侵權案件。例如，在方某某等訴南京市明華新村8號住宅小區業主委員會隱私權糾紛案中，法院經審理認為被告不適當地公開了原告的身份證號碼和電話、家庭住址，上述內容屬于公民個人的重要信息，屬于個人隱私;被告侵犯了原告的個人隱私，應當向原告賠禮道歉。（2）事實上，司法實踐中參照隱私權來保護公民個人信息的做法存在諸多弊端。相較于隱私權，公民的個人信息不僅蘊含人格屬性，更具備財產價值，而傳統的隱私權無法保護公民個人信息權中財產價值受到侵害的情形。

故此，在《民法典（草案）》人格權編中將個人信息權與隱私權的相關規定分別開來更為合理，一方面有利于厘清二者的范圍與界限，另一方面也有利于司法實踐中當事人提出更為明確的訴訟請求。同時，由于個人信息權無法為其他權利所涵蓋，例如大量具備經濟價值的個人信息很難通過隱私權進行保護，本文認為將其確認為具體人格權更為合適，可具體包括：第一，個人信息的控制權具體是指用戶對個人信息的處理、保存以及處理方法與收集的范圍擁有知情權與控制權。第二，個人信息的使用權是指個人有權使用自己的信息并形成利益。第三，個人信息的損害賠償請求權是指網絡服務提供者未經用戶同意對其信息進行收集、使用，或者對用戶個人信息的使用、收集超出了其授權的范圍，被侵權人有權要求停止侵害、主張損害賠償的權利。

2.明晰個人信息侵權的歸責原則

由于目前沒有相關法律對于個人信息侵權的歸責原則進行規定，導致司法實踐中法官在處理個人信息侵權案件的舉證責任問題時，通常將個人信息侵權案件籠統地按照一般侵權責任糾紛的思路進行審理，即要求原告承擔侵權責任全部構成要件的證明責任，而過錯要件與因果關系對于原告而言證明難度無疑過大。從比較法的角度看，不同國家、地區及國際組織對于個人信息侵權所采取的歸責原則存在著一定的差異。第一種類型是采取過錯推定原則，如歐盟GDPR中規定，數據控制者、處理者應就其不存在過錯承擔證明責任。第二種類型是混合歸責原則，例如在德國、冰島以及我國臺灣地區對于個人信息保護的相關立法中規定，對于包括黑客、網絡服務提供者、網絡用戶實施侵權行為應根據其過錯承擔責任，而政府機構和其他特殊主體通常要承擔無過錯責任。本文認為我國網絡用戶個人信息的侵權歸責原則采用過錯推定原則更合適，由于網絡服務提供者收集用戶的個人信息往往是為了獲取商業利益，且收集用戶信息的技術手段具備隱蔽性，在個人信息被侵權的案件中，要求信息主體證明網絡服務提供者存在過錯這一要件無疑是過于苛責的，且網絡服務提供者收集用戶信息的技術手段通常具備隱蔽性，基于技術水平的不對等性，將過錯要件倒置由侵權方承擔更可體現實質正義。同時，確立過錯推定原則有利于強化網絡服務提供者的安全和責任意識，從而更好地保護網絡用戶的權益。

3.完善損害賠償機制

在立法層面應明確非法竊取公民個人信息進行牟利的損害賠償標準，如根據侵權方獲利數額或被侵權方損失數額進行補償，可以更好地保護公民的個人信息。有學者指出“維權成本高、賠償數額低”是民事侵權案件中推進個人信息保護的主要障礙。[7]由于缺少明確的法律依據，導致司法實踐中法院更多的是要求侵權方進行口頭或者書面賠禮道歉，而鮮有要求其進行損害賠償的情況。出現該現象的原因一方面是現有法律并未對個人信息所附的財產屬性予以確認，另一方面是缺少可參考的損害賠償確定標準。本文認為關于個人信息侵權造成的損害賠償的確定標準主要有以下兩種方式：一是根據信息主體受到的損失數額進行賠償，但僅包括直接損失，對于間接損失的賠償則要根據個案進行分析。二是當難以確定信息主體具體損失數額時根據侵權人的獲利情況進行賠償。特別地，大數據、云計算等技術的應用不僅增加了信息流轉的速度和復雜性，而且使信息收集的手段變得更加隱蔽。在大數據背景下，信息控制者與信息處理者能從侵權行為中獲得巨大的財產利益，而基于信息的不對等情況，作為被侵害人的信息主體往往很難發現該侵權行為。因此，對于牟利性惡意侵犯個人信息的情況，從有效遏制和預防角度出發，可以借鑒國外個人信息保護中對懲戒功能的重視，[8]引入懲罰性賠償機制（3），以保護處于弱勢地位的信息主體的權益。

注釋：

（1）參見上海市浦東新區人民法院（2009）浦民一初字第9737號民事判決書。

（2）參見江蘇省南京市鼓樓區人民法院（2017）蘇0106民初3250號民事判決書。

（3）歐盟《一般數據保護條例》（簡稱：GDPR）第83條規定企業在泄露個人信息后可能面臨著前一年全球總營業額4%或 2000 萬歐元（兩者取其高）的罰款;美國《加州消費者隱私法案》第1798.155節規定任何企業、服務提供商或其他違反本法案的人應受到禁令的約束，并應承擔每次違規不超過2500美元、每次故意違規不超過7500美元的民事罰款。

參考文獻：

[1]王祿東.論“深度偽造”智能技術的一體化規制[J].東方法學，2019.

[2]馬長山.智慧社會背景下的“第四代人權”及其保障[J].中國法學，2019（5）：10-18.

[3]齊愛民.個人信息保護法研究[J].河北法學，2008（4）：16-18.

[4]蔡培如，王錫鋅.論個人信息保護中的人格保護與經濟激勵機制[J].比較法研究，2020（1）：110-112.

[5]鄧佑文，王文文.從身份識別到行為識別：個人信息侵權認定的路徑選擇[J].浙江師范大學學報（社會科學版），2019（4）：40-43.

[6]張靜.個人信息保護立法模式選擇[J].法治社會，2019（3）：75-78.

[7]張新寶.《民法總則》個人信息保護條文研究[J].中外法學，2019（1）：72-73.

[8]葉名怡.個人信息的侵權法保護[J].法學研究，2018（4）：90-95.