互聯(lián)網(wǎng)保險(xiǎn)中個(gè)人信息保護(hù)的法律規(guī)制
——以個(gè)人信息保護(hù)政策為切入

田宇申

一、問題的提出

以互聯(lián)網(wǎng)為重要標(biāo)志的第三次科技革命通過信息的生產(chǎn)和處理在實(shí)現(xiàn)經(jīng)濟(jì)飛速發(fā)展的同時(shí),也帶來了社會(huì)結(jié)構(gòu)的質(zhì)變，雖然“個(gè)人信息”概念在傳統(tǒng)線下營(yíng)銷中同樣存在，但互聯(lián)網(wǎng)營(yíng)銷所依托的大數(shù)據(jù)和云計(jì)算技術(shù)本質(zhì)均為海量數(shù)據(jù)的架構(gòu)和分析，其對(duì)于個(gè)人信息的需求量和獲取量是線下業(yè)務(wù)所無法企及的。在保險(xiǎn)行業(yè)中，由于其產(chǎn)品的定價(jià)機(jī)制以保險(xiǎn)精算為依托，為確保風(fēng)險(xiǎn)評(píng)估的準(zhǔn)確性和大數(shù)法則的有效性，以發(fā)揮保險(xiǎn)分散風(fēng)險(xiǎn)和填補(bǔ)損失的積極作用，被保險(xiǎn)人個(gè)人信息的獲取就顯得愈發(fā)重要，互聯(lián)網(wǎng)營(yíng)銷與保險(xiǎn)營(yíng)銷在個(gè)人信息的需求方面具有天然的契合性。隨著保險(xiǎn)科技的不斷發(fā)展，互聯(lián)網(wǎng)保險(xiǎn)公司在為投保人量身定制符合用戶特性的個(gè)性化保險(xiǎn)服務(wù)時(shí)，更加需要對(duì)于用戶的個(gè)人信息進(jìn)行收集和利用，以通過數(shù)據(jù)挖掘和用戶畫像的建立達(dá)致精準(zhǔn)營(yíng)銷的目的，增加客戶粘性。然而在現(xiàn)階段互聯(lián)網(wǎng)信息技術(shù)尚且無法實(shí)現(xiàn)精確收集信息的現(xiàn)狀下，如不采取必要的方式劃定個(gè)人信息收集處理行為的邊界，極易造成保險(xiǎn)公司對(duì)于個(gè)人信息的過度收集和過度濫用，侵犯用戶的合法權(quán)益。

《民法典》頒布后，其人格權(quán)編第1034條至1039條明確了個(gè)人信息保護(hù)的基本規(guī)則，以此為依據(jù)，《個(gè)人信息保護(hù)法》制定計(jì)劃被提上日程。2020年10月17日，第十三屆全國(guó)人大常委會(huì)第二十二次會(huì)議對(duì)于《個(gè)人信息保護(hù)法(草案)》進(jìn)行了首次審議，其第14條規(guī)定個(gè)人信息處理者對(duì)于個(gè)人信息的處理應(yīng)當(dāng)建立在信息所有人充分知情且自愿明確做出知情同意意思表示的基礎(chǔ)上，即突出強(qiáng)調(diào)個(gè)人信息的處理應(yīng)以信息所有人“知情—同意”為前置要件。實(shí)踐中，互聯(lián)網(wǎng)保險(xiǎn)公司一般會(huì)在網(wǎng)站中設(shè)置個(gè)人信息保護(hù)政策，將其對(duì)于保險(xiǎn)消費(fèi)者個(gè)人信息的利用情況進(jìn)行披露，并獲得后者的知情同意。在現(xiàn)階段我國(guó)依然以“知情—同意”作為個(gè)人信息保護(hù)規(guī)范核心的前提下，作為限制互聯(lián)網(wǎng)保險(xiǎn)公司不當(dāng)收集利用個(gè)人信息行為的第一道門檻，個(gè)人信息保護(hù)政策的合規(guī)性直接影響后續(xù)互聯(lián)網(wǎng)保險(xiǎn)公司實(shí)操的法律風(fēng)險(xiǎn)。

縱觀我國(guó)金融行業(yè)，出于對(duì)消費(fèi)者資信調(diào)查和儲(chǔ)蓄存款、投資理財(cái)?shù)却箢~資金安全維護(hù)的需要，證券業(yè)和銀行業(yè)對(duì)于個(gè)人信息的保護(hù)較為重視，相關(guān)立法與時(shí)俱進(jìn)。但在保險(xiǎn)業(yè)，由于海量數(shù)據(jù)的收集有助于提高保險(xiǎn)精算的準(zhǔn)確度，為避免過度限制個(gè)人信息收集影響保險(xiǎn)損失填補(bǔ)作用的發(fā)揮，保險(xiǎn)行業(yè)個(gè)人信息保護(hù)法規(guī)長(zhǎng)期缺位，規(guī)定多為簡(jiǎn)單零散的宣示性條款，缺乏協(xié)調(diào)性和體系化，無法為保險(xiǎn)消費(fèi)者個(gè)人信息提供充分完善的保護(hù)，(1)鄭啟福：《金融消費(fèi)者隱私權(quán)的該法律保護(hù)研究》，《西北大學(xué)學(xué)報(bào)(哲學(xué)社會(huì)科學(xué)版)》2012年第2期。因此互聯(lián)網(wǎng)保險(xiǎn)公司個(gè)人信息保護(hù)政策普遍僅具象征意義。此外在缺乏保險(xiǎn)監(jiān)管部門管控的前提下，實(shí)踐中部分互聯(lián)網(wǎng)保險(xiǎn)公司以個(gè)人信息保護(hù)政策大打個(gè)人信息收集利用擦邊球，更使個(gè)人信息保護(hù)政策的貫徹流于形式。筆者擬通過實(shí)證研究互聯(lián)網(wǎng)保險(xiǎn)公司個(gè)人信息保護(hù)政策的制定情況，以期對(duì)互聯(lián)網(wǎng)保險(xiǎn)行業(yè)個(gè)人信息保護(hù)的法律制度和監(jiān)管實(shí)踐提供有效的理論指引。

二、個(gè)人信息保護(hù)政策法律合規(guī)性實(shí)證分析

如按現(xiàn)行三種較為普遍的互聯(lián)網(wǎng)保險(xiǎn)分類模式對(duì)我國(guó)目前行業(yè)知名度較高的12家保險(xiǎn)公司進(jìn)行檢索，可以發(fā)現(xiàn)為有效貫徹“知情—同意”規(guī)則，以保護(hù)消費(fèi)者對(duì)于個(gè)人信息收集利用的知情權(quán)，大多互聯(lián)網(wǎng)保險(xiǎn)公司會(huì)選擇于投保界面中制定個(gè)人信息保護(hù)政策(個(gè)別網(wǎng)站亦稱隱私政策)，且進(jìn)行必要的公示。而在個(gè)人信息保護(hù)政策之中，保險(xiǎn)公司基本會(huì)將個(gè)人信息收集、使用、共享、保護(hù)及公開披露的具體內(nèi)容進(jìn)行明確規(guī)定，以劃定數(shù)據(jù)處理行為的界限，見表1：

表1 互聯(lián)網(wǎng)保險(xiǎn)行業(yè)中個(gè)人信息保護(hù)政策的基本內(nèi)容

當(dāng)然，上述個(gè)人信息保護(hù)政策是否符合現(xiàn)行法要求，應(yīng)進(jìn)行更加細(xì)致的探討。目前對(duì)于互聯(lián)網(wǎng)個(gè)人信息保護(hù)的細(xì)致規(guī)范主要體現(xiàn)于《網(wǎng)絡(luò)安全法》(2016)和《信息安全技術(shù)個(gè)人信息安全規(guī)范》(GB/T35273-2017)(2)《信息安全技術(shù)個(gè)人信息安全規(guī)范》(GB/T35273-2017)2017年發(fā)布，并于2020年進(jìn)行二次修改，形成最新版本《信息安全技術(shù)個(gè)人信息安全規(guī)范》(GB/T35273-2020)。之中，前者為我國(guó)目前唯一一部對(duì)于個(gè)人信息收集利用規(guī)則進(jìn)行詳盡闡述的法律層級(jí)規(guī)范，后者作為自律規(guī)范雖效力層級(jí)較低，但由于其時(shí)效性最強(qiáng)且內(nèi)容最為詳盡，因而也將之作為考察的規(guī)則依據(jù)。

(一)以《網(wǎng)絡(luò)安全法》為視角檢視個(gè)人信息保護(hù)政策合規(guī)性

《網(wǎng)絡(luò)安全法》第4章第40條—第49條對(duì)網(wǎng)絡(luò)運(yùn)營(yíng)者收集和使用用戶個(gè)人信息進(jìn)行了若干限制，可以總結(jié)為7大原則，分別為限制收集原則(第41條)、明確目的原則(第41條)、合法處理原則(第42條)、限制使用原則(第44條)、安全保障原則(第45條、第47條)、公開透明原則(第41條)以及用戶權(quán)利原則(第43條、第44條)。以上述7項(xiàng)原則為依據(jù)，本文對(duì)12家互聯(lián)網(wǎng)保險(xiǎn)公司的個(gè)人信息保護(hù)政策進(jìn)行了比對(duì)，見表2：

表2 《網(wǎng)絡(luò)安全法》中關(guān)于個(gè)人信息收集使用的內(nèi)容要求

由表2可以看出，就沒有制定個(gè)人信息保護(hù)政策的互聯(lián)網(wǎng)保險(xiǎn)公司而言，雖然會(huì)在服務(wù)協(xié)議或投保聲明中規(guī)定部分涉及個(gè)人信息保護(hù)的條款，但大多只是以“我們承諾不會(huì)將您的個(gè)人信息泄露給任何第三方作其他用途”等話術(shù)一帶而過，遠(yuǎn)無法達(dá)致《網(wǎng)絡(luò)安全法》中7項(xiàng)原則的要求。而對(duì)于單獨(dú)制定個(gè)人信息保護(hù)政策的互聯(lián)網(wǎng)保險(xiǎn)公司而言，其基本從形式上能夠達(dá)到7項(xiàng)原則要求，但從中可以看出的問題是，《網(wǎng)絡(luò)安全法》第41條中第1款規(guī)定的限制收集原則要求互聯(lián)網(wǎng)保險(xiǎn)公司在收集保險(xiǎn)消費(fèi)者個(gè)人信息時(shí)應(yīng)當(dāng)遵循合法、正當(dāng)且必要原則，第2款則強(qiáng)調(diào)互聯(lián)網(wǎng)保險(xiǎn)公司收集個(gè)人信息應(yīng)當(dāng)與其提供服務(wù)直接相關(guān)，即收集信息的關(guān)聯(lián)性要素。而部分保險(xiǎn)公司在個(gè)人信息保護(hù)政策中只列明了合法與正當(dāng)?shù)囊螅瑢?duì)于必要性和關(guān)聯(lián)性的重視程度略顯不足。(3)按照《民法典》第1035條的規(guī)定，信息收集機(jī)構(gòu)在處理個(gè)人信息時(shí)同樣要遵循合法、正當(dāng)、必要原則，而保險(xiǎn)機(jī)構(gòu)在處理個(gè)人信息時(shí)同樣對(duì)于必要性的重視程度顯著不足。

(二)以《信息安全技術(shù)個(gè)人信息安全規(guī)范》為依據(jù)考察個(gè)人信息保護(hù)政策的合理性

《網(wǎng)絡(luò)安全法》從維護(hù)網(wǎng)絡(luò)信息安全的角度對(duì)于個(gè)人信息的收集利用進(jìn)行最低限度的法律約束，而為保證《網(wǎng)絡(luò)安全法》的技術(shù)性規(guī)則可落地實(shí)施，《信息安全技術(shù)個(gè)人信息安全規(guī)范》(GB/T35273-2020)在《網(wǎng)絡(luò)安全法》的基礎(chǔ)上，從內(nèi)容和形式兩方面對(duì)互聯(lián)網(wǎng)保險(xiǎn)公司收集處理個(gè)人信息的行為進(jìn)行了更高規(guī)格和更加詳盡的規(guī)范。

在內(nèi)容上，《信息安全技術(shù)個(gè)人信息安全規(guī)范》在重申《網(wǎng)絡(luò)安全法》原則的基礎(chǔ)上，增加了7項(xiàng)原則，分別為最小必要原則、選擇同意原則、敏感信息區(qū)分對(duì)待原則、儲(chǔ)存時(shí)間最小化原則、個(gè)人信息安全事件處置原則、個(gè)人信息保存的去標(biāo)識(shí)化原則以及個(gè)人信息跨境傳輸限制原則。在形式上，《信息安全技術(shù)個(gè)人信息安全規(guī)范》附件中對(duì)個(gè)人信息保護(hù)政策提出了如下6項(xiàng)要求：(1)告知消費(fèi)者個(gè)人信息控制者的聯(lián)系方法；(2)明示個(gè)人信息保護(hù)政策鏈接；(3)以鏈接形式展示數(shù)據(jù)安全能力合規(guī)證明；(4)提供針對(duì)處理規(guī)則的專門答疑渠道；(5)個(gè)人信息的共享、轉(zhuǎn)讓、公開披露以點(diǎn)擊確認(rèn)形式征求同意；(6)收集個(gè)人敏感信息分階段、分窗口、分屏幕的特殊形式要求。針對(duì)上述內(nèi)容和形式要求，本文對(duì)12家公司的個(gè)人信息保護(hù)政策進(jìn)行了比對(duì)，分別見表3和表4：

從表3可以看出，大多制定個(gè)人信息保護(hù)政策的公司對(duì)于儲(chǔ)存時(shí)間最小化原則和選擇同意原則較為重視，一般都會(huì)要求對(duì)于個(gè)人信息的收集，應(yīng)當(dāng)經(jīng)過保險(xiǎn)消費(fèi)者同意，而不需要保險(xiǎn)消費(fèi)者同意即可收集的事項(xiàng)應(yīng)在個(gè)人信息保護(hù)政策中予以列明，且在個(gè)人信息的儲(chǔ)存過程中則要求一旦超過合乎目的的存儲(chǔ)期間，便應(yīng)立刻進(jìn)行刪除或匿名化處理。但大多公司對(duì)于其他5項(xiàng)原則重視程度不足，尤其是個(gè)人敏感信息區(qū)分對(duì)待原則及個(gè)人信息安全事件處置原則普及率較低，最小必要原則中三項(xiàng)子規(guī)則(關(guān)聯(lián)性、最小頻率和最低數(shù)量)更是沒有任何公司可以全部達(dá)致要求。

由表4可知，相較之內(nèi)容，互聯(lián)網(wǎng)保險(xiǎn)公司更加忽視個(gè)人信息收集利用的形式要求。除“告知消費(fèi)者個(gè)人信息控制者的聯(lián)系方法”與“明示個(gè)人信息保護(hù)政策鏈接”兩項(xiàng)要求能夠被大多公司遵守外，其他幾項(xiàng)要求則極少有公司能夠滿足。其中，即使針對(duì)“明示個(gè)人信息保護(hù)政策鏈接”要求，很多保險(xiǎn)公司的做法能否達(dá)到實(shí)質(zhì)標(biāo)準(zhǔn)亦存在疑問。如部分保險(xiǎn)公司在投保人選購(gòu)保險(xiǎn)產(chǎn)品時(shí)，將個(gè)人信息保護(hù)政策勾選按鈕設(shè)置為默認(rèn)同意或直接取消確認(rèn)按鈕，無需投保人主動(dòng)勾選即可進(jìn)行下一步的登錄操作。此外，還有保險(xiǎn)公司直接將個(gè)人信息保護(hù)政策以小號(hào)字體置于官網(wǎng)首頁底欄或頂欄中，甚至部分保險(xiǎn)公司將個(gè)人信息保護(hù)政策的鏈接嵌于首頁新聞中心之中，保險(xiǎn)消費(fèi)者需要點(diǎn)擊新聞中心進(jìn)入公司信息界面后才能夠查閱個(gè)人信息保護(hù)政策聲明，上述做法共同點(diǎn)在于非將個(gè)人信息保護(hù)政策置于保險(xiǎn)消費(fèi)者投保必經(jīng)流程之中，保險(xiǎn)消費(fèi)者是否打開鏈接對(duì)投保流程不會(huì)產(chǎn)生任何影響，這種界面設(shè)計(jì)勢(shì)必會(huì)影響個(gè)人信息保護(hù)政策鏈接對(duì)于投保人的提示效果，消費(fèi)者往往難以在復(fù)雜的投保流程操作中注意到自己個(gè)人信息的利用情況。

表4 《信息安全技術(shù)個(gè)人信息安全規(guī)范》中關(guān)于個(gè)人信息收集使用的形式要求

(三)個(gè)人信息保護(hù)政策合規(guī)性研究反映的現(xiàn)實(shí)問題

從上述個(gè)人信息保護(hù)政策實(shí)證分析中可以看出，少有保險(xiǎn)公司能夠滿足現(xiàn)行互聯(lián)網(wǎng)法規(guī)和個(gè)人信息安全規(guī)范的要求，若個(gè)人信息保護(hù)政策尚且不合規(guī)，要求互聯(lián)網(wǎng)保險(xiǎn)公司在實(shí)踐中能夠切實(shí)做到審慎收集利用個(gè)人信息更是煎水作冰。我國(guó)目前個(gè)人信息保護(hù)政策的形式和內(nèi)容缺乏明確統(tǒng)一的標(biāo)準(zhǔn)，亦可反映出若干立法和監(jiān)管方面的現(xiàn)實(shí)問題。

1.互聯(lián)網(wǎng)保險(xiǎn)個(gè)人信息保護(hù)立法模式選擇的爭(zhēng)議

在我國(guó)，互聯(lián)網(wǎng)保險(xiǎn)個(gè)人信息保護(hù)立法模式曾存在兩種選擇，其一為統(tǒng)合立法模式，即在將“個(gè)人信息”概念從隱私權(quán)分離出來后，將其規(guī)范統(tǒng)合在一部《個(gè)人信息保護(hù)法》中通行于全行業(yè)適用。其二為專門立法模式，強(qiáng)調(diào)將個(gè)人信息作為隱私權(quán)的下位概念，各行業(yè)單獨(dú)制定特殊保護(hù)規(guī)則。《民法典》頒布前，《侵權(quán)責(zé)任法》雖然確立了一般隱私權(quán)的保護(hù)路徑，但并未提及“個(gè)人信息”概念，長(zhǎng)期以來，金融行業(yè)中消費(fèi)者的個(gè)人信息權(quán)益更多以“個(gè)人隱私權(quán)”的概念出現(xiàn)在金融業(yè)法律和部門規(guī)章(4)如《商業(yè)銀行法》第29條：商業(yè)銀行辦理個(gè)人儲(chǔ)蓄存款業(yè)務(wù)，應(yīng)當(dāng)遵循存款自愿、取款自由、存款有息、為存款人保密的原則。對(duì)個(gè)人儲(chǔ)蓄存款，商業(yè)銀行有權(quán)拒絕任何單位或者個(gè)人查詢、凍結(jié)、扣劃，但法律另有規(guī)定的除外。此外，《銀行業(yè)監(jiān)督管理法》與《反洗錢法》均規(guī)定了商業(yè)銀行工作人員、銀行業(yè)監(jiān)督管理機(jī)構(gòu)從事監(jiān)督管理工作人員泄露商業(yè)秘密和個(gè)人隱私應(yīng)承擔(dān)的法律責(zé)任。中，這一點(diǎn)與專門立法模式較為接近。但由于個(gè)人信息與隱私二者系交叉概念，隨著互聯(lián)網(wǎng)信息技術(shù)的不斷發(fā)展，新型個(gè)人信息層出不窮，單靠隱私權(quán)無法周延個(gè)人信息的保護(hù)范圍。《民法典》的立法設(shè)計(jì)標(biāo)志著我國(guó)將個(gè)人信息從隱私權(quán)獨(dú)立出來，并將之作為一項(xiàng)單獨(dú)的人格權(quán)進(jìn)行保護(hù)，《個(gè)人信息保護(hù)法》的制定也說明我國(guó)傾向于將個(gè)人信息進(jìn)行統(tǒng)合保護(hù)，對(duì)法典化國(guó)家而言，此種保護(hù)模式有利于擴(kuò)大個(gè)人信息的保護(hù)范圍，減少立法和行業(yè)實(shí)踐沖突，這種立法思路的轉(zhuǎn)變值得肯定。但另一方面，保險(xiǎn)具有行業(yè)特殊性，兼具商業(yè)營(yíng)利屬性與社會(huì)保障屬性，將之與一般商事營(yíng)利活動(dòng)同等對(duì)待勢(shì)必會(huì)因忽略保險(xiǎn)行業(yè)個(gè)人信息收集利用的社會(huì)性和公益性從而影響保險(xiǎn)分?jǐn)倱p失作用的發(fā)揮，阻礙保險(xiǎn)行業(yè)的有序發(fā)展。

2.互聯(lián)網(wǎng)保險(xiǎn)個(gè)人信息立法及監(jiān)管實(shí)踐的缺位

在我國(guó)《個(gè)人信息保護(hù)法(草案)》尚待審議之時(shí)，現(xiàn)階段我國(guó)關(guān)于互聯(lián)網(wǎng)保險(xiǎn)行業(yè)個(gè)人信息保護(hù)的立法主要體現(xiàn)在5部法律、1部立法解釋、1部司法解釋、1部行政法規(guī)、12部部門規(guī)章及11部行業(yè)標(biāo)準(zhǔn)之中。然而其中大多數(shù)規(guī)范性文件對(duì)于個(gè)人信息保護(hù)僅進(jìn)行宣示性的規(guī)定，缺乏對(duì)于個(gè)人信息保護(hù)政策形式和內(nèi)容詳盡的法律要求。《民法典》頒布后，其人格權(quán)編對(duì)個(gè)人信息的定義及收集處理存儲(chǔ)規(guī)則進(jìn)行明確，以此為依據(jù)，各行業(yè)均開啟個(gè)人信息保護(hù)的新一輪立法，但在互聯(lián)網(wǎng)保險(xiǎn)業(yè)依然存在規(guī)則簡(jiǎn)單，操作性不足弊端，如2020年12月14日銀保監(jiān)會(huì)發(fā)布的《互聯(lián)網(wǎng)保險(xiǎn)業(yè)務(wù)監(jiān)管辦法》雖然對(duì)于互聯(lián)網(wǎng)保險(xiǎn)公司的營(yíng)銷行為進(jìn)行了較為詳盡的規(guī)定，但其第38條對(duì)于個(gè)人信息收集利用的規(guī)范只強(qiáng)調(diào)了合法、正當(dāng)、必要原則和“知情—同意”原則，且對(duì)于上述原則的具體操作方式并未涉及，而對(duì)于個(gè)人敏感信息和個(gè)人信息保護(hù)政策的形式要求更是只字未提。這種粗糙的立法技術(shù)使得互聯(lián)網(wǎng)保險(xiǎn)個(gè)人信息保護(hù)規(guī)范的形式意義遠(yuǎn)大于實(shí)質(zhì)意義，客觀上縱容了互聯(lián)網(wǎng)保險(xiǎn)公司有意忽略個(gè)人信息保護(hù)政策的合規(guī)設(shè)計(jì)。

此外，個(gè)人信息保護(hù)政策執(zhí)行過程中的監(jiān)管缺位問題亦較為突出，雖然我國(guó)目前對(duì)于個(gè)人信息保護(hù)采用統(tǒng)合立法模式，但在我國(guó)尚未建立統(tǒng)一專門化的個(gè)人信息監(jiān)管機(jī)構(gòu)之時(shí)，互聯(lián)網(wǎng)保險(xiǎn)個(gè)人信息的收集和利用往往會(huì)涉及央行、銀保監(jiān)會(huì)、工信部、網(wǎng)信辦等幾大部門聯(lián)合監(jiān)管，這種混合監(jiān)管模式存在各部門互相推諉的缺陷，保險(xiǎn)消費(fèi)者一旦遇到互聯(lián)網(wǎng)保險(xiǎn)公司過度收集或?yàn)E用個(gè)人信息的情形，可能面臨投訴無門的困境，也正因?yàn)榛ヂ?lián)網(wǎng)保險(xiǎn)業(yè)缺乏專門的監(jiān)督機(jī)構(gòu)，互聯(lián)網(wǎng)保險(xiǎn)公司的個(gè)人信息政策在執(zhí)行過程中缺乏有效的監(jiān)督機(jī)制，難以在實(shí)踐中切實(shí)保障保險(xiǎn)消費(fèi)者的信息自主權(quán)。

3.互聯(lián)網(wǎng)保險(xiǎn)業(yè)個(gè)人敏感信息細(xì)化規(guī)范的粗糙設(shè)計(jì)

從上述圖表可以看出，我國(guó)目前尚無任何互聯(lián)網(wǎng)保險(xiǎn)公司在個(gè)人信息保護(hù)政策中對(duì)個(gè)人信息進(jìn)行區(qū)分對(duì)待并明確對(duì)于個(gè)人敏感信息予以更加嚴(yán)格的保護(hù)，除互聯(lián)網(wǎng)保險(xiǎn)公司降低成本(5)部分學(xué)者認(rèn)為，在大數(shù)據(jù)時(shí)代，所有數(shù)據(jù)均可導(dǎo)引出特殊類型的個(gè)人信息，對(duì)個(gè)別信息進(jìn)行特殊保護(hù)只會(huì)增加管制成本，阻礙企業(yè)進(jìn)行數(shù)據(jù)分析。胡文濤：《我國(guó)個(gè)人敏感信息界定之構(gòu)想》，《中國(guó)法學(xué)》2018年第5期。與提高交易效率的商業(yè)化考慮外，主要原因在于我國(guó)法律對(duì)于個(gè)人敏感信息的定義和分級(jí)處理方式的細(xì)化規(guī)范略顯粗糙。(6)《個(gè)人信息保護(hù)法》制定前，《網(wǎng)絡(luò)安全法》并沒有對(duì)個(gè)人信息的類型進(jìn)行必要的區(qū)分，《民法典》將個(gè)人信息區(qū)分為一般個(gè)人信息和私密信息，卻也未提及個(gè)人敏感信息的概念。長(zhǎng)期以來，我國(guó)關(guān)于個(gè)人敏感信息的定義僅存在于《個(gè)人信息保護(hù)指南》和《個(gè)人信息安全規(guī)范》等效力層級(jí)低下的行業(yè)標(biāo)準(zhǔn)之中，且不同行業(yè)標(biāo)準(zhǔn)對(duì)個(gè)人敏感信息外延的規(guī)定存在明顯差異。如今雖然《個(gè)人信息保護(hù)法》(草案)明確個(gè)人敏感信息的概念，但條款不足(4條)，難以體現(xiàn)對(duì)于個(gè)人敏感信息保護(hù)更加嚴(yán)格的立法宗旨。在我國(guó)現(xiàn)行互聯(lián)網(wǎng)和金融行業(yè)標(biāo)準(zhǔn)中，對(duì)于個(gè)人敏感信息進(jìn)行細(xì)化規(guī)范的方式亦存在差異，主要可總結(jié)為三種模式。

第一種即重分級(jí)輕定義模式，如《個(gè)人信息保護(hù)技術(shù)指引》雖將個(gè)人敏感信息具體內(nèi)容的制定權(quán)限下放至各個(gè)接受服務(wù)的信息主體之中，但要求對(duì)于個(gè)人敏感信息應(yīng)按照敏感度區(qū)分為高敏感、中敏感、低敏感三個(gè)等級(jí)。

第二種為重定義輕分級(jí)模式，如《中國(guó)金融移動(dòng)支付檢測(cè)規(guī)范》第8部分對(duì)于個(gè)人認(rèn)證信息中屬于個(gè)人敏感信息的內(nèi)容進(jìn)行了列舉，主要包括金融支付機(jī)構(gòu)留存的登錄密碼、交易密碼和取款密碼等。《信息安全技術(shù)個(gè)人信息安全規(guī)范》于附錄B中在對(duì)于個(gè)人敏感信息的判定標(biāo)準(zhǔn)進(jìn)行明確的基礎(chǔ)上對(duì)于個(gè)人財(cái)產(chǎn)信息和個(gè)人健康生理信息中屬于個(gè)人敏感信息的內(nèi)容進(jìn)行了拓寬式列舉，不僅將銀行賬戶、存款信息、房產(chǎn)信息、信貸記錄、征信信息、交易和消費(fèi)記錄等金融信息納入個(gè)人敏感信息之中，且醫(yī)囑單、體檢報(bào)告、既往病史和生育信息等個(gè)人健康生理信息亦被歸入個(gè)人敏感信息范疇，但上述兩項(xiàng)行業(yè)標(biāo)準(zhǔn)并未對(duì)個(gè)人敏感信息的分級(jí)方式進(jìn)行明確。

第三種模式為兩者并重式，即在對(duì)于個(gè)人敏感信息進(jìn)行列舉式定義的同時(shí)進(jìn)行分級(jí)。如《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》按照個(gè)人金融信息敏感程度高低將金融信息區(qū)分賬戶密碼等用戶鑒別信息(C3級(jí)-高敏感度)、支付賬號(hào)等可識(shí)別特定主體身份與金融狀況的信息(C2級(jí)-中敏感度)以及開戶機(jī)構(gòu)等金融機(jī)構(gòu)內(nèi)部使用的個(gè)人金融信息(C1級(jí)-低敏感度)，C1-C3級(jí)別的敏感信息分別適用不同力度的保護(hù)措施。

我國(guó)《個(gè)人信息保護(hù)法(草案)》第一次以法律層級(jí)角度提出“個(gè)人敏感信息”的概念，卻并未對(duì)其進(jìn)行分級(jí)，很明顯采用了重定義輕分級(jí)的規(guī)范模式。但即使在個(gè)人敏感信息內(nèi)部，因信息性質(zhì)、內(nèi)容及敏感度存在差異而依然存在梯度分級(jí)保護(hù)的必要性，我國(guó)目前互聯(lián)網(wǎng)保險(xiǎn)業(yè)并未對(duì)個(gè)人敏感信息進(jìn)行任何定義或分級(jí)的規(guī)定，難以契合對(duì)于個(gè)人敏感信息應(yīng)嚴(yán)格保護(hù)的立法精神，更無法實(shí)現(xiàn)個(gè)人信息保護(hù)和利用之間的平衡。

三、域外互聯(lián)網(wǎng)保險(xiǎn)個(gè)人信息保護(hù)的制度借鑒

世界范圍內(nèi)主要存在兩種個(gè)人信息保護(hù)的范式選擇，其一為以歐盟、日本為代表的統(tǒng)合立法模式，其二為美國(guó)的專門立法模式。前者強(qiáng)調(diào)將個(gè)人信息從隱私權(quán)獨(dú)立出來單獨(dú)作為一項(xiàng)人格權(quán)進(jìn)行較高規(guī)格的保護(hù)，而后者則將個(gè)人信息作為隱私權(quán)的特殊類別進(jìn)行規(guī)范。將個(gè)人信息權(quán)(亦有國(guó)家和地區(qū)稱之為個(gè)人數(shù)據(jù)權(quán)(7)歐盟多數(shù)成員國(guó)采“數(shù)據(jù)”(Data)定義，但亞洲國(guó)家大多傾向于采“信息”(Information)定義，雖然在我國(guó)，二者多數(shù)情況下會(huì)進(jìn)行混用，但嚴(yán)格意義上來說，數(shù)據(jù)的范圍比信息更加廣泛。余筱蘭：《信息權(quán)在我國(guó)民法典編纂中的立法遵從》，《法學(xué)雜志》2017年第4期。)進(jìn)行單獨(dú)保護(hù)的國(guó)家和地區(qū)大多不區(qū)分行業(yè)形成統(tǒng)一的個(gè)人信息保護(hù)法，(8)如歐盟的《通用數(shù)據(jù)保護(hù)條例》、德國(guó)的《聯(lián)邦數(shù)據(jù)保護(hù)法》、法國(guó)的《法國(guó)自由、檔案、信息法》、日本的《個(gè)人信息保護(hù)法》等。而美國(guó)則采取分散性的立法模式，其個(gè)人信息保護(hù)規(guī)范散見于不同行業(yè)的法律規(guī)則中，且制定法相對(duì)于行業(yè)自律規(guī)則僅占據(jù)輔助性地位。除《公平信用報(bào)告法》《隱私權(quán)法》《金融服務(wù)現(xiàn)代化法案》中的個(gè)別條款對(duì)于整個(gè)金融行業(yè)具有普適效力外，由于美國(guó)金融行業(yè)分業(yè)立法，互聯(lián)網(wǎng)保險(xiǎn)業(yè)個(gè)人信息主要根據(jù)各州自行制定的法律進(jìn)行特殊保護(hù)。(9)王寶剛等：《個(gè)人金融信息保護(hù)法律研究》，《金融理論與實(shí)踐》2013年第2期。

(一)域外個(gè)人信息保護(hù)立法的一般規(guī)則

由于我國(guó)個(gè)人信息保護(hù)采用統(tǒng)合立法模式，筆者僅通過梳理歐盟、日本等11個(gè)(10)樣本包括的國(guó)家和地區(qū)：歐盟、德國(guó)、法國(guó)、英國(guó)、日本、韓國(guó)、新加坡、澳大利亞、加拿大、我國(guó)臺(tái)灣地區(qū)、我國(guó)香港地區(qū)。域外統(tǒng)合立法國(guó)家和地區(qū)的立法現(xiàn)狀可發(fā)現(xiàn)，大多國(guó)家和地區(qū)對(duì)于個(gè)人信息保護(hù)的規(guī)定可總結(jié)為如下要求：(1)目的限制原則，即收集個(gè)人信息前要確定其目的(11)加拿大《個(gè)人信息保護(hù)和電子文件法》附表1(第5節(jié))4.2原則2-識(shí)別目的部分。，且信息的收集、處理和利用均應(yīng)用于正當(dāng)、合法、必要且特定(12)其中，日本對(duì)于目的特定化要求最為嚴(yán)格，不僅強(qiáng)調(diào)個(gè)人信息處理者應(yīng)將其利用目的特定化，還強(qiáng)調(diào)個(gè)人信息處理者一旦變更利用目的，不得超出具有變更前利用目的相當(dāng)關(guān)聯(lián)性的被合理的認(rèn)可范圍。參見日本《個(gè)人信息保護(hù)法》第15條。的目的，在達(dá)致特定目的前提下，要保證信息收集的最低限度性(13)韓國(guó)《個(gè)人信息保護(hù)法》第3條第1款。。(2)知情同意原則(14)個(gè)別國(guó)家亦稱之為“許可同意原則”，如德國(guó)《聯(lián)邦數(shù)據(jù)保護(hù)法》第4、4a條。，即在明示信息收集、使用和披露的目的方式和原則，且明示無需用戶同意的例外收集情形的基礎(chǔ)上，獲得信息主體的知情同意(15)歐盟及其成員大多認(rèn)可“知情-同意原則”，即在強(qiáng)化信息主體個(gè)人信息權(quán)利的基礎(chǔ)上，要求對(duì)于信息主體進(jìn)行更高規(guī)格的保護(hù)，但韓國(guó)、日本等國(guó)僅對(duì)于“個(gè)人敏感信息”或“需要注意的個(gè)人信息”強(qiáng)制施以“知情-同意”的要求。，其主要強(qiáng)調(diào)收集、處理和利用時(shí)手段上的合法性、公正性且適當(dāng)性要求。(16)參見我國(guó)臺(tái)灣地區(qū)“個(gè)人資料保護(hù)法”第19條；日本《個(gè)人信息保護(hù)法》第16、17條等。(3)用戶權(quán)利原則，即用戶對(duì)自己的個(gè)人信息享有公開、獲取、查詢、更正、刪除等權(quán)利。(17)當(dāng)然，由于不同國(guó)家對(duì)于個(gè)人信息保護(hù)的強(qiáng)度存在差異，用戶權(quán)利的類型亦存在不同，一般而言，大陸法系國(guó)家多強(qiáng)調(diào)人格權(quán)的高規(guī)格保護(hù)，用戶權(quán)利體系更加健全，如《歐盟通用數(shù)據(jù)保護(hù)條例》在《個(gè)人數(shù)據(jù)保護(hù)指令》的基礎(chǔ)上，增加了用戶限制處理權(quán)、可攜帶權(quán)、自主決定權(quán)、被遺忘權(quán)等權(quán)利，參見歐盟《通用數(shù)據(jù)保護(hù)條例》第3章。而英美法系或日本等綜合立法的國(guó)家更強(qiáng)調(diào)信息流通的自由度，如日本僅強(qiáng)調(diào)用戶的查詢權(quán)、更正權(quán)和刪除權(quán)，澳大利亞《隱私法案》僅強(qiáng)調(diào)個(gè)人信息知情權(quán)、獲取權(quán)、查詢權(quán)和更正權(quán)。參見日本《個(gè)人信息保護(hù)法》第25、26、27條。(4)期限性原則，強(qiáng)調(diào)個(gè)人信息的收集和使用不能超過合乎目的的期限，超過后應(yīng)當(dāng)立即進(jìn)行主動(dòng)刪除或匿名化處理，對(duì)于收集后的個(gè)人信息應(yīng)及時(shí)進(jìn)行必要的更新。(18)參見我國(guó)臺(tái)灣地區(qū)“個(gè)人資料保護(hù)法”第11條；日本《個(gè)人信息保護(hù)法》第19條等。(5)安全保障及責(zé)任制原則，機(jī)構(gòu)應(yīng)當(dāng)采取必要且正當(dāng)?shù)拇胧┍Ｕ蟼€(gè)人信息的真實(shí)性、完整性和安全性，如造成用戶個(gè)人信息的泄露、損毀滅失應(yīng)當(dāng)承擔(dān)損害賠償責(zé)任。(19)參見日本《個(gè)人信息保護(hù)法》第20條；韓國(guó)《個(gè)人信息保護(hù)法》第29條；加拿大《個(gè)人信息保護(hù)和電子文件法》附表1(第5節(jié))4.1原則1-責(zé)任等。(6)個(gè)人信息的分類處理，對(duì)于個(gè)人信息應(yīng)當(dāng)區(qū)分一般個(gè)人信息和敏感信息，對(duì)于后者要進(jìn)行更加嚴(yán)格的保護(hù)。(20)如韓國(guó)對(duì)于個(gè)人信息的處理不要求必須經(jīng)過信息主體的同意，但根據(jù)韓國(guó)《個(gè)人信息保護(hù)法》第23條，個(gè)人信息處理者原則上不得處理個(gè)人敏感信息，只有法定情形或取得信息主體明確同意時(shí)，方可進(jìn)行。加拿大《個(gè)人信息保護(hù)和電子文件法》也指出，征求信息主體同意的形式因信息的類型而有所不同，對(duì)于個(gè)人一般信息，暗示同意應(yīng)當(dāng)允許，但對(duì)于個(gè)人敏感信息，應(yīng)當(dāng)尋求信息主體的明確同意。(7)對(duì)于數(shù)據(jù)流通性比較強(qiáng)國(guó)家和地區(qū)，大多要求個(gè)人信息跨境流通應(yīng)當(dāng)符合法律規(guī)定且用戶的明確授權(quán)。(21)如歐盟作為全世界數(shù)據(jù)流通最為頻繁的地區(qū)之一，其法律對(duì)于個(gè)人數(shù)據(jù)的跨境流動(dòng)設(shè)定較高的限制條件，參見歐盟《通用數(shù)據(jù)保護(hù)條例》第5章。

(二)域外互聯(lián)網(wǎng)保險(xiǎn)行業(yè)個(gè)人信息保護(hù)立法的特殊規(guī)則

多數(shù)對(duì)于個(gè)人信息保護(hù)進(jìn)行統(tǒng)合立法的國(guó)家和地區(qū)在金融行業(yè)亦采取合一立法模式，即將保險(xiǎn)、銀行和證券等分支行業(yè)規(guī)范整合在統(tǒng)一的金融商品交易法之中，因此，筆者對(duì)于互聯(lián)網(wǎng)保險(xiǎn)業(yè)個(gè)人信息保護(hù)的專門規(guī)定更多置于金融法中予以考察。

以日本和韓國(guó)為例，日本在《個(gè)人信息保護(hù)法》之外，《金融商品交易法》《辦理關(guān)于金融機(jī)構(gòu)保護(hù)個(gè)人資訊指南》《金融領(lǐng)域個(gè)人信息保護(hù)方針》與《金融領(lǐng)域個(gè)人信息保護(hù)方針的安全管理措施實(shí)務(wù)指南》均對(duì)于金融行業(yè)個(gè)人信息保護(hù)進(jìn)行了更加嚴(yán)格的規(guī)制，主要表現(xiàn)為以下四項(xiàng)特殊規(guī)則。其一為“知情—同意”原則形式上的規(guī)范。日本《個(gè)人信息保護(hù)法》并未對(duì)于個(gè)人信息所有人同意的形式做出明確規(guī)定，而依據(jù)《金融領(lǐng)域個(gè)人信息保護(hù)方針》第4條的規(guī)定，金融領(lǐng)域處理個(gè)人信息的企業(yè)必須采用書面形式獲取個(gè)人信息所有人的同意，且同意書對(duì)于個(gè)人信息處理的規(guī)定必須能使本人能夠理解(其中的含義)，同意書也應(yīng)當(dāng)以能夠清楚反映本人意圖的方式設(shè)定確認(rèn)模式。(22)詳見《金融分野における個(gè)人情報(bào)保護(hù)方針》第4條同意の形式について。其二為個(gè)人信息的區(qū)分保護(hù)。日本《個(gè)人信息保護(hù)法》并未提及個(gè)人敏感信息的概念，但《金融領(lǐng)域個(gè)人信息保護(hù)方針》將個(gè)人信息區(qū)分為一般個(gè)人信息和敏感信息，其第5條強(qiáng)調(diào)對(duì)于宗教、民族種族、醫(yī)療保健、犯罪等信息應(yīng)當(dāng)作為敏感信息，在從事保險(xiǎn)業(yè)或其他金融領(lǐng)域業(yè)務(wù)中，應(yīng)當(dāng)以本人同意為基礎(chǔ)，在業(yè)務(wù)執(zhí)行上的必要范圍內(nèi)取得和利用。(23)詳見《金融分野における個(gè)人情報(bào)保護(hù)方針》第6條 機(jī)微(センシティブ) 情報(bào)について⑦保険業(yè)その他金融分野の事業(yè)の適切な業(yè)務(wù)運(yùn)営を確保する必要性から、本人の同意に基づき業(yè)務(wù)遂行上必要な範(fàn)囲で機(jī)微(センシティブ) 情報(bào)を取得し、利用し、又は第三者提供する場(chǎng)合。《金融領(lǐng)域個(gè)人信息保護(hù)方針的安全管理措施實(shí)務(wù)指南》附件2則對(duì)于敏感信息的收集處理做出了具體規(guī)定，譬如要滿足最低要求限額、訪問控制限額為最少人數(shù)、嚴(yán)格的身份驗(yàn)證程序、外部審核流程等。(24)詳見《金融分野における個(gè)人情報(bào)保護(hù)方針の安全管理措置の実務(wù)指針》(別添2)金融分野における個(gè)人情報(bào)保護(hù)に関するガイドライン第6條に定める「機(jī)微(センシティブ)情報(bào)」。其三為金融從業(yè)者安全管理措施的細(xì)化規(guī)范。日本《個(gè)人信息保護(hù)法》第39條只規(guī)定了匿名加工信息處理業(yè)者的管理義務(wù)，而《金融領(lǐng)域個(gè)人信息保護(hù)方針》第10條對(duì)于財(cái)務(wù)領(lǐng)域中的個(gè)人信息業(yè)務(wù)運(yùn)營(yíng)商組織安全控制措施、個(gè)人安全管理措施、技術(shù)安全管理措施均進(jìn)行了較為細(xì)化的規(guī)范。(25)詳見《金融分野における個(gè)人情報(bào)保護(hù)方針》第10條 安全管理措置(法第20條及び基本方針関連)。其四為金融從業(yè)者監(jiān)督義務(wù)的強(qiáng)化。日本《個(gè)人信息保護(hù)法》第3節(jié)只規(guī)定了個(gè)人信息保護(hù)委員會(huì)的監(jiān)督職能，對(duì)于金融從業(yè)者的監(jiān)督義務(wù)并無涉及。《金融領(lǐng)域個(gè)人信息保護(hù)方針》則于第11條和12條(26)詳見《金融分野における個(gè)人情報(bào)保護(hù)方針》第11條従業(yè)者の監(jiān)督(法第 21 條及び基本方針関連)、第12條 委託先の監(jiān)督(法第 22 條及び基本方針関連)。特別強(qiáng)調(diào)為防止個(gè)人數(shù)據(jù)泄露、丟失或損壞，金融從業(yè)者需要對(duì)其雇員和承包商進(jìn)行必要的監(jiān)督，在此基礎(chǔ)上，《金融領(lǐng)域個(gè)人信息保護(hù)方針的安全管理措施實(shí)務(wù)指南》第5條對(duì)于個(gè)人數(shù)據(jù)承包商監(jiān)督的標(biāo)準(zhǔn)進(jìn)行了細(xì)化明確，包括選擇承包商的標(biāo)準(zhǔn)、與承包商簽訂合同的內(nèi)容、對(duì)于承包商的定期審核要求等。(27)詳見《金融分野における個(gè)人情報(bào)保護(hù)方針の安全管理措置の実務(wù)指針》金融分野における個(gè)人情報(bào)保護(hù)に関するガイドライン第12條に定める「委託先の監(jiān)督」について。

(三)域外互聯(lián)網(wǎng)保險(xiǎn)業(yè)個(gè)人信息保護(hù)的監(jiān)管現(xiàn)狀

就世界范圍來看，對(duì)于互聯(lián)網(wǎng)保險(xiǎn)行業(yè)個(gè)人信息保護(hù)的監(jiān)管模式存在以下三種，統(tǒng)合監(jiān)管模式、行業(yè)監(jiān)管模式和分業(yè)監(jiān)管模式。統(tǒng)合監(jiān)管模式以歐陸地區(qū)和東亞地區(qū)為典型代表，即強(qiáng)調(diào)不區(qū)分行業(yè)而在全國(guó)范圍內(nèi)設(shè)置統(tǒng)一的個(gè)人信息監(jiān)管機(jī)構(gòu)，如歐盟數(shù)據(jù)保護(hù)專員公署、德國(guó)聯(lián)邦數(shù)據(jù)保護(hù)與信息自由專員辦公室、法國(guó)國(guó)家信息與自由委員會(huì)、澳大利亞信息專員辦公室、日本個(gè)人信息保護(hù)委員會(huì)和我國(guó)香港地區(qū)的個(gè)人資料隱私專員公署等。而行業(yè)監(jiān)管模式強(qiáng)調(diào)政府應(yīng)將各行業(yè)個(gè)人信息保護(hù)的監(jiān)管權(quán)限下放到各個(gè)行業(yè)的監(jiān)管機(jī)構(gòu)之中。如英國(guó)金融行為監(jiān)管局和我國(guó)臺(tái)灣地區(qū)的聯(lián)合金融征信中心負(fù)責(zé)監(jiān)督金融全行業(yè)個(gè)人信息保護(hù)的落實(shí)情況。分業(yè)監(jiān)管模式則以美國(guó)為代表，要求在金融領(lǐng)域由聯(lián)邦銀行管理機(jī)構(gòu)、全國(guó)信用社管理局、財(cái)政部長(zhǎng)、證券交易委員會(huì)和聯(lián)邦貿(mào)易委員會(huì)依各自管轄權(quán)限分別負(fù)責(zé)銀行、證券、保險(xiǎn)領(lǐng)域個(gè)人信息保護(hù)的監(jiān)管，其中保險(xiǎn)主要由各州保險(xiǎn)委員會(huì)和保險(xiǎn)監(jiān)督官自行監(jiān)管。

(四)域外互聯(lián)網(wǎng)保險(xiǎn)業(yè)立法監(jiān)管經(jīng)驗(yàn)對(duì)我國(guó)的啟示

從立法模式的選擇來看，美國(guó)發(fā)達(dá)的行業(yè)自律實(shí)踐、判例法主導(dǎo)的立法傳統(tǒng)抑或聯(lián)邦制的國(guó)家結(jié)構(gòu)，均與我國(guó)國(guó)情存在較大差異，強(qiáng)行推行分業(yè)立法模式在我國(guó)存在水土不服的適用困境，而將個(gè)人信息進(jìn)行統(tǒng)合保護(hù)不僅可以與我國(guó)《民法典》人格權(quán)編中的個(gè)人信息保護(hù)專章相契合，也符合國(guó)際上的對(duì)于個(gè)人信息高標(biāo)準(zhǔn)保護(hù)的通行做法。但另一方面，《個(gè)人信息保護(hù)法》只是設(shè)定了個(gè)人信息保護(hù)的一般規(guī)則，保險(xiǎn)屬于金融領(lǐng)域，兼具私法維持意思自治和公法維護(hù)秩序穩(wěn)定的功能，因此即便是對(duì)個(gè)人信息進(jìn)行統(tǒng)合立法的國(guó)家也會(huì)在保險(xiǎn)行業(yè)制定若干規(guī)章和自律規(guī)則以進(jìn)行特別法上的制度設(shè)計(jì)，如對(duì)于健康信息和金融信息以書面方式作為“知情—同意”的形式要件，且強(qiáng)調(diào)期限的嚴(yán)格限制等。

同樣從監(jiān)管經(jīng)驗(yàn)來看，雖然各國(guó)個(gè)人信息保護(hù)監(jiān)管機(jī)構(gòu)的設(shè)置基本與其立法模式緊密相關(guān)，對(duì)于將個(gè)人信息統(tǒng)合立法的國(guó)家和地區(qū)而言，大多會(huì)不分行業(yè)設(shè)置專門負(fù)責(zé)個(gè)人信息保護(hù)的主管機(jī)構(gòu)統(tǒng)合監(jiān)管。而對(duì)于個(gè)人信息碎片化立法的國(guó)家而言，基本會(huì)采用分業(yè)監(jiān)管模式。但由于個(gè)人信息的收集和利用在各行業(yè)之間存在差異性，即便是對(duì)于統(tǒng)合監(jiān)管模式的國(guó)家和地區(qū)而言，也會(huì)要求各行業(yè)特定的監(jiān)管機(jī)構(gòu)通過制定特殊的監(jiān)管細(xì)則和應(yīng)用指南細(xì)化具體規(guī)則的可操作性并要求行業(yè)監(jiān)管機(jī)構(gòu)輔助監(jiān)督個(gè)人信息的收集利用情況，如我國(guó)香港地區(qū)雖然存在個(gè)人信息保護(hù)的專門監(jiān)管機(jī)構(gòu)，但香港金融管理局往往也會(huì)進(jìn)行一定程度的輔助監(jiān)管。更何況我國(guó)金融業(yè)采分業(yè)監(jiān)管模式，與歐盟、日本等國(guó)家和地區(qū)的大金融監(jiān)管體系實(shí)踐亦存在差異，在缺少統(tǒng)一金融監(jiān)管機(jī)構(gòu)的前提下，則更加凸顯于互聯(lián)網(wǎng)保險(xiǎn)業(yè)設(shè)立專門化個(gè)人信息保護(hù)監(jiān)管機(jī)構(gòu)的重要性。

四、互聯(lián)網(wǎng)保險(xiǎn)中個(gè)人信息保護(hù)的完善建議

(一)互聯(lián)網(wǎng)保險(xiǎn)中個(gè)人信息保護(hù)的理念

1.互聯(lián)網(wǎng)保險(xiǎn)中傾斜保護(hù)理念和適度保護(hù)理念的平衡

在互聯(lián)網(wǎng)保險(xiǎn)業(yè)中，保險(xiǎn)消費(fèi)者與保險(xiǎn)公司地位存在不對(duì)等性。一方面保險(xiǎn)消費(fèi)者與保險(xiǎn)公司無論是從財(cái)產(chǎn)狀況、專業(yè)知識(shí)以及地位均處于明顯不對(duì)稱的狀態(tài)，保險(xiǎn)公司可能利用自己的強(qiáng)勢(shì)地位侵害消費(fèi)者利益。(31)張錢：《“后危機(jī)時(shí)代”金融消費(fèi)者權(quán)益保護(hù)法律制度研究》，大連海事大學(xué)2014年博士學(xué)位論文，第20頁。另一方面，互聯(lián)網(wǎng)新技術(shù)的運(yùn)用，在促進(jìn)交易快捷，提高效率的同時(shí)，也進(jìn)一步加劇了保險(xiǎn)消費(fèi)者與保險(xiǎn)公司的信息不對(duì)稱，實(shí)踐中保險(xiǎn)公司常以商業(yè)利益為驅(qū)動(dòng)，簡(jiǎn)化個(gè)人信息收集利用的披露流程，侵犯保險(xiǎn)消費(fèi)者合法權(quán)益。

在互聯(lián)網(wǎng)保險(xiǎn)中談及個(gè)人信息保護(hù)的理念，首先要堅(jiān)持傾斜性保護(hù)與適度保護(hù)的平衡。傾斜性保護(hù)原則為保險(xiǎn)消費(fèi)領(lǐng)域中應(yīng)當(dāng)貫徹的首要理念，即強(qiáng)調(diào)對(duì)保險(xiǎn)消費(fèi)者實(shí)施比普通消費(fèi)者更加完整、有力的保護(hù)措施。(32)馬建威：《我國(guó)金融消費(fèi)者權(quán)益保護(hù)法律制度研究》，對(duì)外經(jīng)濟(jì)貿(mào)易大學(xué)2015年博士學(xué)位論文，第18頁。傾斜保護(hù)理念更加關(guān)注保險(xiǎn)消費(fèi)者的弱勢(shì)地位，通過加強(qiáng)保險(xiǎn)機(jī)構(gòu)的法定義務(wù)，強(qiáng)化保險(xiǎn)消費(fèi)者的權(quán)利救濟(jì)，以維系保險(xiǎn)交易的公平性，實(shí)現(xiàn)社會(huì)實(shí)質(zhì)正義。以傾斜保護(hù)原則為宏觀指導(dǎo)，保險(xiǎn)消費(fèi)者作為弱勢(shì)地位一方，應(yīng)當(dāng)享有更加充分的權(quán)利保障，而保險(xiǎn)公司作為專業(yè)水平強(qiáng)勢(shì)的一方，其義務(wù)的履行應(yīng)當(dāng)進(jìn)行更加嚴(yán)格的法律規(guī)制。雖然保險(xiǎn)精算以數(shù)據(jù)和信息為依托，但這并非意味在保險(xiǎn)行業(yè)對(duì)于個(gè)人信息就可以無限制的收集利用。部分保險(xiǎn)公司以要求投保人履行如實(shí)告知義務(wù)為名，違反合目的性原則，過度收集與投保無關(guān)的消費(fèi)者信息，本質(zhì)上與傾斜性保護(hù)理念背道而馳。

當(dāng)然，傾斜性保護(hù)理念的運(yùn)用并非強(qiáng)調(diào)對(duì)于保險(xiǎn)消費(fèi)者毫無節(jié)制的照顧。相反，這種保護(hù)也應(yīng)當(dāng)遵循適度性。適度保護(hù)理念最早由英國(guó)提出，根據(jù)英國(guó)《金融服務(wù)與市場(chǎng)法》(2000)的規(guī)定，消費(fèi)者保護(hù)的目標(biāo)是確保對(duì)消費(fèi)者的適度保護(hù)，這種適度保護(hù)需要考察的因素包括保險(xiǎn)消費(fèi)者交易經(jīng)驗(yàn)和專業(yè)水平的差異性；保險(xiǎn)消費(fèi)者對(duì)于保險(xiǎn)服務(wù)企業(yè)準(zhǔn)確信息的需求程度；以及保險(xiǎn)消費(fèi)者責(zé)任自負(fù)原則的貫徹程度等。(33)曲一帆：《金融消費(fèi)者保護(hù)法律制度比較研究》，中國(guó)政法大學(xué)2011年博士學(xué)位論文。適度保護(hù)理念要求對(duì)保險(xiǎn)消費(fèi)者的保護(hù)不能僅通過強(qiáng)化保險(xiǎn)服務(wù)企業(yè)的義務(wù)來實(shí)現(xiàn)，消費(fèi)者自身也要盡到合理的注意義務(wù)。例如，在互聯(lián)網(wǎng)保險(xiǎn)中，保險(xiǎn)消費(fèi)者在購(gòu)買保險(xiǎn)產(chǎn)品時(shí)不得以個(gè)人信息保護(hù)為由拒絕向保險(xiǎn)公司提供健康信息和金融信息，而應(yīng)切實(shí)履行投保人如實(shí)告知義務(wù)，并對(duì)其信息的真實(shí)性和時(shí)效性負(fù)擔(dān)責(zé)任。(34)雖然《個(gè)人信息保護(hù)法》(草案)第16條賦予了信息權(quán)利主體以同意權(quán)和撤回權(quán)，第17條前半部分也強(qiáng)調(diào)個(gè)人信息處理者不得以信息權(quán)利主體行使同意權(quán)和撤回權(quán)而拒絕提供產(chǎn)品或服務(wù)，但該條后半部分的但書條款也為保險(xiǎn)行業(yè)留有特別立法的空間。這不僅是保險(xiǎn)領(lǐng)域信息充分且對(duì)等的義務(wù)要求，實(shí)則也為實(shí)現(xiàn)個(gè)人信息利用和保護(hù)之間利益衡平的體現(xiàn)。(35)在多數(shù)國(guó)家個(gè)人信息保護(hù)法的制定過程中，均強(qiáng)調(diào)應(yīng)當(dāng)在促進(jìn)新興產(chǎn)業(yè)發(fā)展，增強(qiáng)社會(huì)經(jīng)濟(jì)活力與保護(hù)個(gè)人信息權(quán)益，維護(hù)社會(huì)正義的之間達(dá)成平衡狀態(tài)，如日本《個(gè)人信息保護(hù)法》第1條立法目的即強(qiáng)調(diào)重視個(gè)人信息的正當(dāng)且有效利用在促進(jìn)新興產(chǎn)業(yè)的創(chuàng)造、實(shí)現(xiàn)充滿活力的經(jīng)濟(jì)社會(huì)和富足的國(guó)民生活上的作用；新加坡《個(gè)人數(shù)據(jù)保護(hù)法令》第3條指出個(gè)人信息保護(hù)的宗旨即為通過規(guī)范組織以符合正常理性人認(rèn)為適當(dāng)?shù)姆绞絹硎占⑦\(yùn)用、披露個(gè)人數(shù)據(jù)，以滿足其為特定目的的需要同時(shí)滿足個(gè)人對(duì)其個(gè)人數(shù)據(jù)的保護(hù)，體現(xiàn)了尋求權(quán)利主體與義務(wù)主體之間平衡點(diǎn)的價(jià)值取向。See Personal Data Protection Act(2012)§3.purpose.

2.互聯(lián)網(wǎng)保險(xiǎn)中兼顧個(gè)人信息一般保護(hù)與特殊保護(hù)的理念

互聯(lián)網(wǎng)保險(xiǎn)業(yè)中既要注重互聯(lián)網(wǎng)行業(yè)個(gè)人信息保護(hù)的普遍性要求，又要側(cè)重保險(xiǎn)行業(yè)的特殊性，對(duì)個(gè)人信息的保護(hù)做差異化設(shè)計(jì)。一方面，在我國(guó)全行業(yè)的個(gè)人信息保護(hù)均應(yīng)當(dāng)符合《民法典》《個(gè)人信息保護(hù)法》和其他互聯(lián)網(wǎng)行業(yè)個(gè)人信息保護(hù)規(guī)章及行業(yè)標(biāo)準(zhǔn)的要求，但另一方面保險(xiǎn)業(yè)對(duì)于個(gè)人信息的保護(hù)不同于一般商業(yè)領(lǐng)域，具有一定特殊性，主要表現(xiàn)在個(gè)人信息的分類之中。由于保險(xiǎn)定價(jià)和產(chǎn)品的精準(zhǔn)營(yíng)銷需要收集大量的個(gè)人金融信息，(36)尤其對(duì)于投資型人身保險(xiǎn)產(chǎn)品，出于投資者適當(dāng)性規(guī)則的要求，保險(xiǎn)公司應(yīng)當(dāng)以“了解你的客戶”為原則，在審慎了解客戶投資能力和財(cái)務(wù)水平的基礎(chǔ)上推介保險(xiǎn)產(chǎn)品。而人身保險(xiǎn)的營(yíng)銷更是不可避免要收集醫(yī)療記錄、體檢報(bào)告內(nèi)含的個(gè)人健康信息，因而上述兩類特殊信息應(yīng)當(dāng)予以重視。從域外法角度考察，大多國(guó)家和地區(qū)會(huì)將個(gè)人金融信息與個(gè)人健康信息認(rèn)定為個(gè)人敏感信息并予以更高規(guī)格的保護(hù)，如歐盟、加拿大、澳大利亞和日本等國(guó)家和地區(qū)均要求對(duì)于個(gè)人敏感信息應(yīng)當(dāng)以禁止處理為原則，且強(qiáng)調(diào)明確且主動(dòng)的高標(biāo)準(zhǔn)“知情—同意”要求。

以金融信息和健康信息為代表的個(gè)人敏感信息相比一般個(gè)人信息而言，或承載更高的人格尊嚴(yán)要素，或?qū)τ谪?cái)產(chǎn)安全產(chǎn)生重大影響(37)對(duì)于金融信息(Financial Information)，因其極少承載人格尊嚴(yán)要素，大陸法系國(guó)家普遍將之剔除出個(gè)人敏感信息的范疇，但英美法系國(guó)家則更加重視公民財(cái)產(chǎn)權(quán)，如英國(guó)與美國(guó)均因金融信息的喪失易造成權(quán)利人重大的經(jīng)濟(jì)損害，而將之視為公民的個(gè)人敏感信息。，上述信息的濫用本質(zhì)上能夠?qū)οM(fèi)者的基本權(quán)利造成侵害，若不加以限制收集、處理和使用的授權(quán)，會(huì)為消費(fèi)者帶來慌恐、不安與不可預(yù)測(cè)的損害風(fēng)險(xiǎn)，(38)李飛：《臺(tái)灣“個(gè)人資料保護(hù)法”的變遷、問題及其啟示意義》，《廈門大學(xué)法律評(píng)論》2012年第0期。因而社會(huì)公眾對(duì)于金融信息和健康信息具有極強(qiáng)的敏感度，往往會(huì)較之其他類型的個(gè)人信息更加擔(dān)心信息的泄露與遺失。對(duì)于因業(yè)務(wù)需要，可能收集保險(xiǎn)消費(fèi)者大量個(gè)人敏感信息的互聯(lián)網(wǎng)保險(xiǎn)公司而言，應(yīng)當(dāng)對(duì)一般信息與敏感信息進(jìn)行更加細(xì)致的區(qū)分保護(hù)，保險(xiǎn)機(jī)構(gòu)在收集個(gè)人敏感信息時(shí)也應(yīng)當(dāng)遵循更高的注意義務(wù)。

我國(guó)《個(gè)人信息保護(hù)法(草案)》對(duì)于個(gè)人敏感信息進(jìn)行概括+列舉式的定義，其范圍既包含了英美法中的財(cái)產(chǎn)隱私信息，又吸收了歐盟法中規(guī)制的承載人格要素的個(gè)人信息。由于不同行業(yè)敏感信息的種類和分級(jí)標(biāo)準(zhǔn)可能存在差異性，《個(gè)人信息保護(hù)法》不便于對(duì)個(gè)人敏感信息進(jìn)行統(tǒng)一標(biāo)準(zhǔn)的分級(jí)，但在《個(gè)人信息保護(hù)法》將個(gè)人敏感信息分級(jí)權(quán)限下放到各個(gè)行業(yè)之時(shí)，保險(xiǎn)業(yè)就需要銀保監(jiān)會(huì)對(duì)于敏感信息進(jìn)行更加細(xì)致的分級(jí)處理。

(二)完善互聯(lián)網(wǎng)保險(xiǎn)中個(gè)人信息保護(hù)立法與監(jiān)管體系

1.互聯(lián)網(wǎng)保險(xiǎn)中個(gè)人信息保護(hù)立法的完善思路

我國(guó)應(yīng)在完善《個(gè)人信息保護(hù)法》的同時(shí)，通過銀保監(jiān)會(huì)發(fā)布的規(guī)章或指導(dǎo)性原則予以細(xì)化。具體而言，相關(guān)立法可從如下方面進(jìn)行完善。

首先，在細(xì)化《互聯(lián)網(wǎng)保險(xiǎn)業(yè)務(wù)監(jiān)管辦法》第38條中規(guī)定的合法、正當(dāng)、必要等原則的基礎(chǔ)上，尤應(yīng)以“最小必要”取代“必要”作為個(gè)人信息的首要收集利用原則。其中，對(duì)于最小必要原則涉及的最小必要信息和最小必要權(quán)限的范圍也應(yīng)當(dāng)進(jìn)行明確，前者可將網(wǎng)絡(luò)日志、手機(jī)號(hào)碼、身份證件信息、賬號(hào)信息、銀行賬戶信息、個(gè)人健康信息等納入其中，并設(shè)定不同層級(jí)的使用要求，而對(duì)于后者應(yīng)當(dāng)嚴(yán)格將之限定為存儲(chǔ)權(quán)限，不能包括位置權(quán)限、傳感器權(quán)限等。(39)我國(guó)目前正在進(jìn)行《信息安全技術(shù)移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序(APP)收集個(gè)人信息基本規(guī)范》草案的審議，該規(guī)范附錄A和附錄B分別按照服務(wù)類型的不同設(shè)定最小必要信息和最小必要權(quán)限的要求，但該規(guī)范中的服務(wù)類型并未涉及保險(xiǎn)營(yíng)銷。另外對(duì)于個(gè)人敏感信息，還應(yīng)當(dāng)就其收集的最小必要性以及對(duì)于個(gè)人的影響向保險(xiǎn)消費(fèi)者進(jìn)行嚴(yán)格的解釋說明。(40)例如，在人身保險(xiǎn)中，對(duì)于個(gè)人健康信息的收集會(huì)直接影響互聯(lián)網(wǎng)保險(xiǎn)公司的保費(fèi)測(cè)算和承保風(fēng)險(xiǎn)，應(yīng)當(dāng)對(duì)于保險(xiǎn)消費(fèi)者進(jìn)行嚴(yán)格的解釋說明。

其次，《個(gè)人信息保護(hù)法(草案)》對(duì)于種族、民族、個(gè)人生物特征、行蹤信息和金融賬戶、醫(yī)療信息不做任何梯級(jí)區(qū)分，立法略顯粗糙。筆者認(rèn)為應(yīng)當(dāng)在堅(jiān)持一般個(gè)人信息與個(gè)人敏感信息二元?jiǎng)澐?41)當(dāng)然，對(duì)于一般個(gè)人信息與個(gè)人敏感信息二元?jiǎng)澐郑袑W(xué)者也提出不同意見，認(rèn)為個(gè)人信息敏感度的判斷需要區(qū)分具體場(chǎng)景，很難直接統(tǒng)一量化，因而強(qiáng)調(diào)以是否觸及信息主體人格尊嚴(yán)和自由發(fā)展的核心利益作為區(qū)分信息類型的判斷標(biāo)準(zhǔn)。筆者持不同見解，首先，雖然個(gè)人信息敏感度的判斷在不同場(chǎng)景存在差異，但從我國(guó)《個(gè)人信息保護(hù)法》草案來看，采取的是比較寬泛的概括+列舉式的定義方法，對(duì)于個(gè)人信息敏感度的判斷完全可以通過各行業(yè)的單行法予以細(xì)化規(guī)制。其次，一旦采取以人格尊嚴(yán)和自由發(fā)展作為判斷信息類型的依據(jù)，財(cái)產(chǎn)信息便很難被囊括其中，需要特殊保護(hù)的信息類型被大幅度縮減，不利于信息主體合法權(quán)益的維護(hù)。呂炳斌：《個(gè)人信息保護(hù)的“同意”困境及其出路》，《法商研究》2021年第2期。的基礎(chǔ)上，從定義和分級(jí)兩方面對(duì)于個(gè)人敏感信息進(jìn)行更加細(xì)致的規(guī)范。具體而言，第一，對(duì)于保險(xiǎn)行業(yè)的個(gè)人敏感信息應(yīng)進(jìn)行明確定義，尤其應(yīng)將個(gè)人金融信息(42)此處的個(gè)人金融信息不應(yīng)當(dāng)僅理解為《個(gè)人信息保護(hù)法(草案)》規(guī)定的金融賬戶信息，應(yīng)采廣義概念，還包括金融交易信息、鑒別信息(如交易密碼、卡式保險(xiǎn)驗(yàn)證碼)等。、個(gè)人生物特征信息和個(gè)人健康信息等納入其中。第二，應(yīng)要求互聯(lián)網(wǎng)保險(xiǎn)公司根據(jù)個(gè)人信息的敏感度、重要性和特定種類的業(yè)務(wù)需要，對(duì)于個(gè)人敏感信息進(jìn)行梯度分級(jí)，且差異化設(shè)計(jì)利用和傳輸個(gè)人敏感信息的加密方式，以確保信息利用處理過程中的安全性。為此可借鑒《個(gè)人信息保護(hù)技術(shù)指引》和《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》的做法，除一般個(gè)人信息外，將保險(xiǎn)行業(yè)個(gè)人敏感信息設(shè)置高敏感、中敏感和低敏感三個(gè)梯度，將保險(xiǎn)消費(fèi)者個(gè)人生物識(shí)別信息、個(gè)人重大疾病史、體檢單等個(gè)人健康信息和財(cái)產(chǎn)賬戶登錄密碼、交易密碼等個(gè)人金融信息納入高敏感度信息范圍中，將個(gè)人生育信息、家庭成員健康信息等其他個(gè)人健康信息和保險(xiǎn)賬戶信息、支付賬號(hào)信息、驗(yàn)證碼等個(gè)人金融信息等納入中敏感度信息之中，其他個(gè)人金融信息(如開戶銀行、開戶地點(diǎn)、開戶時(shí)間等)則可屬于低敏感信息的范疇。對(duì)于高敏感信息和中敏感信息應(yīng)禁止委托或授權(quán)無保險(xiǎn)資質(zhì)的機(jī)構(gòu)收集處理，且在傳輸過程中嚴(yán)格加密，另外，對(duì)于高敏感信息，還應(yīng)當(dāng)強(qiáng)調(diào)在收集和儲(chǔ)存過程中，采取加密技術(shù)嚴(yán)格確保信息的保密性和非公開性。

最后，應(yīng)明確“知情—同意”和“許可—使用”的形式化要求，禁止互聯(lián)網(wǎng)保險(xiǎn)公司對(duì)個(gè)人信息保護(hù)政策進(jìn)行不合理的隱匿或?qū)τ趥€(gè)人信息不加以分類分級(jí)全部采取概括授權(quán)方式進(jìn)行收集利用。從比較法角度觀察，美國(guó)聯(lián)邦貿(mào)易委員會(huì)在其《在快速變革時(shí)代保護(hù)消費(fèi)者隱私權(quán)的報(bào)告》(2012)(43)萬方：《隱私政策中的告知同意原則及其異化》，《法律科學(xué)(西北政法大學(xué)學(xué)報(bào))》2019年第2期。中將一般個(gè)人信息和個(gè)人敏感信息區(qū)別設(shè)計(jì)消費(fèi)者同意的形式，對(duì)于前者僅滿足“擇出式同意”要求即可，即無需消費(fèi)者明示同意，僅需獲得默示同意即可，而對(duì)于后者則強(qiáng)調(diào)“擇入式同意”，如網(wǎng)絡(luò)服務(wù)商未獲取消費(fèi)者的明示同意，則無權(quán)收集處理個(gè)人敏感信息。我國(guó)《個(gè)人信息保護(hù)法(草案)》第14條直接對(duì)于一般個(gè)人信息施加以“明確同意”的高標(biāo)準(zhǔn)要求，并未考慮到對(duì)于個(gè)人信息利用較為依賴的特殊行業(yè)的需要，因此建議將《個(gè)人信息保護(hù)法(草案)》第14條修改為“除法律、行政法規(guī)另有規(guī)定外，處理個(gè)人信息的同意應(yīng)當(dāng)由個(gè)人在充分知情的前提下自愿、明確做出”，在此基礎(chǔ)上我國(guó)在保險(xiǎn)行業(yè)可采取梯級(jí)“知情—同意”的形式要求(44)從我國(guó)行業(yè)規(guī)范現(xiàn)狀來看，我國(guó)原有意采用此種梯級(jí)“知情-同意”的形式要求，如《信息安全技術(shù)個(gè)人信息安全規(guī)范》(2020)第5.4條規(guī)定收集一般個(gè)人信息僅需要獲得個(gè)人信息主體的授權(quán)同意即可(明示或默示均可)，但對(duì)于個(gè)人敏感信息則強(qiáng)調(diào)必須征得個(gè)人信息主體的明示同意。但上述標(biāo)準(zhǔn)并非強(qiáng)制性法律標(biāo)準(zhǔn)，作為推薦性行業(yè)標(biāo)準(zhǔn)的個(gè)人信息安全規(guī)范效力有限，難以起到較強(qiáng)的約束作用。《個(gè)人信息保護(hù)法(草案)》否定了這種梯級(jí)的形式要求，相比《信息安全技術(shù)個(gè)人信息安全規(guī)范》(2020)提升了個(gè)人信息“知情-同意”的嚴(yán)格程度，對(duì)于全部個(gè)人信息的“知情-同意”均以“明確同意”為原則。，對(duì)于一般個(gè)人信息可以采取概括授權(quán)的形式，且不需要保險(xiǎn)消費(fèi)者的明示同意(45)當(dāng)然，也有學(xué)者提出不同的意見，認(rèn)為應(yīng)打破個(gè)人敏感信息和一般個(gè)人信息分別適用不同“知情-同意”標(biāo)準(zhǔn)的結(jié)構(gòu)，對(duì)個(gè)人信息收集統(tǒng)一適用明確同意(explicit consent)標(biāo)準(zhǔn)，該做法也被歐盟所確認(rèn)。依《個(gè)人信息保護(hù)法(草案)》規(guī)定來看，我國(guó)也有意采用這種統(tǒng)一且高標(biāo)準(zhǔn)的“明確同意”要求，但筆者認(rèn)為，歐盟之所以對(duì)于“知情-同意”設(shè)定如此高的門檻，是與其長(zhǎng)期以來將個(gè)人信息作為信息主體一項(xiàng)法定權(quán)利，強(qiáng)調(diào)信息主體充分信息控制權(quán)的立法宗旨密不可分的，在我國(guó)并未像歐盟一樣將個(gè)人信息明確作為一項(xiàng)權(quán)利的基礎(chǔ)上，對(duì)于個(gè)人信息施加如此嚴(yán)格的保護(hù)標(biāo)準(zhǔn)與我國(guó)國(guó)情不符，也會(huì)影響我國(guó)信息產(chǎn)業(yè)的發(fā)展，尤其體現(xiàn)在互聯(lián)網(wǎng)保險(xiǎn)行業(yè)，由于保險(xiǎn)大數(shù)法則要求以海量信息為樣本，對(duì)“知情-同意”設(shè)定過高的標(biāo)準(zhǔn)并不利于保險(xiǎn)精算的開展，默示同意有利于為告知同意的實(shí)施提供一定程度靈活性，足以應(yīng)對(duì)擴(kuò)張性的個(gè)人信息概念。林洹民：《個(gè)人信息保護(hù)中知情同意原則的困境與出路》，《北京航空航天大學(xué)學(xué)報(bào)(社會(huì)科學(xué)版)》2018年第3期。，可以承認(rèn)以推定形式做出的默示同意(46)部分學(xué)者認(rèn)為，默示同意意味著“知情-同意“規(guī)則直接被架空，因?yàn)闄C(jī)構(gòu)完全可以在拒絕披露個(gè)人信息收集利用情況下，強(qiáng)制消費(fèi)者購(gòu)買產(chǎn)品。但筆者認(rèn)為，此處的默示同意并非等同于默示告知，互聯(lián)網(wǎng)保險(xiǎn)公司依然進(jìn)行充分的信息披露和告知義務(wù)的履行，默示同意只是強(qiáng)調(diào)保險(xiǎn)消費(fèi)者可以采取某種的行為進(jìn)行同意的意思表示，譬如繼續(xù)使用保險(xiǎn)服務(wù)或購(gòu)買保險(xiǎn)產(chǎn)品等。黃東海、緱玉龍：《個(gè)人信息安全保護(hù)之“知情-同意”架構(gòu)急需優(yōu)化》，《中國(guó)信息安全》2020年第4期。。對(duì)于低敏感信息，由于其承載人格要素要低，取得保險(xiǎn)消費(fèi)者單獨(dú)、明示(47)從《網(wǎng)絡(luò)安全法》《個(gè)人信息保護(hù)法》(草案)的規(guī)定可以看出，我國(guó)法律對(duì)于“明示同意”“明確同意”“書面同意”“單獨(dú)同意”的規(guī)定較為隨意，并未明確四種同意的關(guān)系，依據(jù)《信息技術(shù)個(gè)人信息安全規(guī)范》(2020)第3.6條和《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》3.22條對(duì)于“明示同意”的解釋，明示同意顯然為“書面同意”和“電子數(shù)據(jù)確認(rèn)同意”的上位概念。筆者認(rèn)為，“明示同意”相對(duì)于“默示同意”，強(qiáng)調(diào)信息主體“知情-同意”操作的主動(dòng)性和肯定性，這種主動(dòng)性的體現(xiàn)可以是口頭形式，也可以是書面形式。“明確同意”(explicitconsent)較之“明示同意”要求更高，體現(xiàn)了一種形式標(biāo)準(zhǔn)向?qū)嵸|(zhì)標(biāo)準(zhǔn)轉(zhuǎn)化的導(dǎo)向，因?yàn)椤懊鞔_”不僅意味著同意應(yīng)由信息主體主動(dòng)做出，更強(qiáng)調(diào)這種同意意思表示的做出應(yīng)當(dāng)建立在“無歧義”“清晰”“具體”理解信息收集處理原則的基礎(chǔ)上。“書面同意”相對(duì)于“口頭同意”，較“明示同意”和“明確同意”要求更甚，主要排除“口頭同意”這一證據(jù)認(rèn)定較為困難的同意形式，“單獨(dú)同意”則與上述三項(xiàng)概念存在交叉關(guān)系，其相對(duì)于“概括授權(quán)”，主要立足于確保信息主體逐項(xiàng)進(jìn)行“知情-同意”的操作。同意即可進(jìn)行“許可使用”，且在獲取保險(xiǎn)消費(fèi)者單獨(dú)同意并進(jìn)行個(gè)人信息安全影響評(píng)估后可進(jìn)行例外的公開披露。對(duì)于中、高度敏感信息則應(yīng)當(dāng)以禁止收集處理為原則，“知情—同意”收集處理為例外(48)即便是個(gè)人敏感信息的收集處理，依然應(yīng)當(dāng)強(qiáng)調(diào)以當(dāng)事人“知情-同意”為前提，我國(guó)臺(tái)灣地區(qū)“個(gè)人資料保護(hù)法”第6條雖然將醫(yī)療、基因、健康檢查等信息納入個(gè)人敏感信息之中，但卻沒有強(qiáng)調(diào)以當(dāng)事人“知情-同意”為收集利用的前置要件，有失偏頗。劉程：《論臺(tái)灣地區(qū)〈個(gè)人信息保護(hù)法〉及借鑒》，《吉林省教育學(xué)院學(xué)報(bào)》2015年第11期。，由于上述信息為嚴(yán)重影響保險(xiǎn)消費(fèi)者資金安全的個(gè)人金融信息和承載較強(qiáng)人格性要素的個(gè)人健康信息和生物特征信息，如確屬如實(shí)告知義務(wù)履行和保險(xiǎn)精算之必要，應(yīng)于獲得保險(xiǎn)消費(fèi)者單獨(dú)、明確(49)如前文所述，“書面同意”相較之“明確同意”要求更甚，我國(guó)臺(tái)灣地區(qū)“個(gè)人資料保護(hù)法”對(duì)此規(guī)定最為較為嚴(yán)格，要求公務(wù)及非公務(wù)機(jī)關(guān)對(duì)于個(gè)人資料的收集、處理及利用(除法定事由外)須經(jīng)當(dāng)事人書面同意，但筆者認(rèn)為考慮到我國(guó)大陸地區(qū)互聯(lián)網(wǎng)行業(yè)的發(fā)達(dá)程度和保險(xiǎn)行業(yè)對(duì)于信息收集利用的必要性，大陸地區(qū)不必采用如此嚴(yán)格的“知情-同意”標(biāo)準(zhǔn)。同意后進(jìn)行收集，在保險(xiǎn)合同無法履行或履行完畢后應(yīng)當(dāng)立即進(jìn)行脫敏化處理(50)對(duì)于個(gè)人敏感信息采取脫敏化的處理后，信息的利用和處理無需征得保險(xiǎn)消費(fèi)者的二次“知情-同意”，有助于實(shí)現(xiàn)個(gè)人信息保護(hù)與保險(xiǎn)精算過程中信息使用之間的利益平衡。，且嚴(yán)格禁止公開披露。與之相關(guān)聯(lián)的配套措施即要求互聯(lián)網(wǎng)保險(xiǎn)公司建立個(gè)人信息數(shù)據(jù)庫(kù)分級(jí)授權(quán)管理機(jī)制，合理確定保險(xiǎn)公司工作人員調(diào)取信息的范圍和權(quán)限。

2.強(qiáng)化互聯(lián)網(wǎng)保險(xiǎn)業(yè)對(duì)于個(gè)人信息保護(hù)的行為監(jiān)管

針對(duì)我國(guó)目前互聯(lián)網(wǎng)保險(xiǎn)行業(yè)監(jiān)管主體不明的弊端，可借鑒英國(guó)和我國(guó)香港地區(qū)的行業(yè)監(jiān)管模式，銀保監(jiān)會(huì)作為對(duì)于保險(xiǎn)公司進(jìn)行行為監(jiān)管的主體，在制定互聯(lián)網(wǎng)保險(xiǎn)行業(yè)個(gè)人信息保護(hù)實(shí)施細(xì)則的同時(shí)，也應(yīng)當(dāng)明確其個(gè)人信息保護(hù)的監(jiān)管主體地位。銀保監(jiān)會(huì)應(yīng)當(dāng)于消費(fèi)者保護(hù)局中下設(shè)專門負(fù)責(zé)受理個(gè)人信息保護(hù)的監(jiān)管機(jī)構(gòu)，在負(fù)責(zé)處理消費(fèi)者投訴和處理糾紛的同時(shí)應(yīng)當(dāng)對(duì)于互聯(lián)網(wǎng)保險(xiǎn)機(jī)構(gòu)個(gè)人信息處理機(jī)制的形式和內(nèi)容進(jìn)行必要的抽檢，對(duì)于不符合要求的保險(xiǎn)機(jī)構(gòu)要求禁止其個(gè)人信息的收集、處理和使用并處以必要的罰款、責(zé)令整改等行政處罰措施，以確保互聯(lián)網(wǎng)保險(xiǎn)公司將保險(xiǎn)消費(fèi)者個(gè)人信息的保護(hù)落到實(shí)處。

(三)對(duì)于互聯(lián)網(wǎng)保險(xiǎn)公司處理個(gè)人信息的合規(guī)建議

1.互聯(lián)網(wǎng)保險(xiǎn)公司個(gè)人信息保護(hù)政策的內(nèi)容優(yōu)化

首先，互聯(lián)網(wǎng)保險(xiǎn)公司對(duì)于保險(xiǎn)消費(fèi)者“知情—同意”的內(nèi)容不能以“我們承諾不會(huì)將個(gè)人信息泄露給任何第三方作其他用途。”類似的表述進(jìn)行概括說明，也不能進(jìn)行諸如“為了業(yè)務(wù)需要”或者“為了保護(hù)您的合法權(quán)益”等含糊表述要求消費(fèi)者進(jìn)行概括確認(rèn)，應(yīng)細(xì)化個(gè)人信息保護(hù)政策中的信息收集處理機(jī)制，并將處理目的和同意內(nèi)容形成一一對(duì)應(yīng)關(guān)系。(51)田野、張晨輝：《論敏感個(gè)人信息的法律保護(hù)》，《河南社會(huì)科學(xué)》2019年第7期。互聯(lián)網(wǎng)保險(xiǎn)公司的個(gè)人信息政策內(nèi)容應(yīng)當(dāng)盡可能清晰細(xì)化信息收集使用的目的，且明確個(gè)人信息的收集應(yīng)當(dāng)盡遵循最低頻次和最小數(shù)量的要求。

其次，個(gè)人信息保護(hù)政策有必要明確對(duì)于個(gè)人信息的儲(chǔ)存應(yīng)當(dāng)遵循儲(chǔ)存時(shí)間最小化原則，為便于信息主體對(duì)上述儲(chǔ)存行為進(jìn)行監(jiān)督，個(gè)人信息保護(hù)政策也應(yīng)當(dāng)明確待互聯(lián)網(wǎng)保險(xiǎn)公司對(duì)個(gè)人信息進(jìn)行商業(yè)性目的的儲(chǔ)存后，信息主體擁有每年度要求以書面形式提供信息并對(duì)信息真實(shí)性進(jìn)行質(zhì)疑并要求修改的權(quán)利。(52)此處可參考德國(guó)《聯(lián)邦數(shù)據(jù)保護(hù)法》第34條第8款的規(guī)定。而一旦保險(xiǎn)合同終止或遇到其他無法實(shí)現(xiàn)合同目的的事由，保險(xiǎn)公司應(yīng)當(dāng)立刻主動(dòng)對(duì)于用戶的個(gè)人信息進(jìn)行刪除，如確因法定原因或保險(xiǎn)精算需要而無法對(duì)于個(gè)人信息進(jìn)行刪除，也應(yīng)當(dāng)進(jìn)行去識(shí)別化處理。

再次，互聯(lián)網(wǎng)保險(xiǎn)公司不能將個(gè)人信息統(tǒng)一進(jìn)行概括授權(quán)，而應(yīng)當(dāng)在個(gè)人信息保護(hù)政策中明確個(gè)人敏感信息的內(nèi)涵與外延，尤其應(yīng)當(dāng)列明對(duì)于個(gè)人敏感信息收集過程中“知情—同意”的例外情形。對(duì)于個(gè)人敏感信息，應(yīng)區(qū)分低度敏感信息、中度敏感信息和高度敏感信息，對(duì)于低度敏感信息，應(yīng)當(dāng)在獲得保險(xiǎn)消費(fèi)者單獨(dú)且明示同意的基礎(chǔ)上進(jìn)行收集，而對(duì)于中高度敏感信息應(yīng)當(dāng)以禁止處理為原則，明確同意處理為例外，除非受到保險(xiǎn)消費(fèi)者明確同意，互聯(lián)網(wǎng)保險(xiǎn)公司不得隨意收集與使用，對(duì)于其中的“明確同意”應(yīng)當(dāng)做出嚴(yán)格的解釋，即應(yīng)當(dāng)建立在保險(xiǎn)消費(fèi)者對(duì)于自己權(quán)利充分理解(53)在保險(xiǎn)行業(yè)，保險(xiǎn)人需要履行格式條款的一般說明義務(wù)和明確說明義務(wù)，在《民法典》將格式條款說明義務(wù)的范圍由“減責(zé)或免責(zé)條款”擴(kuò)大至“重大利害關(guān)系條款”前提下，可以將個(gè)人敏感信息的收集利用規(guī)則納入保險(xiǎn)人明確說明義務(wù)的范圍之中，要求保險(xiǎn)人進(jìn)行提示和明確解釋說明，如保險(xiǎn)消費(fèi)者沒有注意或理解上述內(nèi)容，則該內(nèi)容不能視為其已知情同意。參見《民法典》第496條、《保險(xiǎn)法》第17條。的基礎(chǔ)上，做出的主動(dòng)且清晰的書面意思表示，任何隱藏個(gè)人敏感信息條款或默認(rèn)同意的條款設(shè)計(jì)均不符合明確同意的高標(biāo)準(zhǔn)要求。此外，對(duì)于個(gè)人敏感信息的利用，應(yīng)當(dāng)以脫敏化處理為前提，為此，互聯(lián)網(wǎng)保險(xiǎn)公司應(yīng)當(dāng)建立個(gè)人敏感信息脫敏(如屏蔽、去標(biāo)識(shí)、匿名化等)管理規(guī)范和制度，以明確不同敏感級(jí)別個(gè)人信息脫敏規(guī)則、脫敏方法和脫敏數(shù)據(jù)的使用限制。(54)參見《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》(JR/T 0171-2020)7.2.1(e)。

最后，對(duì)于個(gè)人信息的安全保障義務(wù)的履行，不應(yīng)當(dāng)滿足于僅制定安全保障義務(wù)的原則性條款，而應(yīng)當(dāng)對(duì)于安全事件的類型、安全漏洞的分類標(biāo)準(zhǔn)予以明確，且應(yīng)當(dāng)完善緊急事件應(yīng)急預(yù)案機(jī)制，定期(半年一次或一年一次)組織應(yīng)急響應(yīng)培訓(xùn)，以增強(qiáng)互聯(lián)網(wǎng)保險(xiǎn)機(jī)構(gòu)內(nèi)部員工信息安全意識(shí)。如互聯(lián)網(wǎng)保險(xiǎn)公司發(fā)現(xiàn)其所儲(chǔ)存的個(gè)人敏感信息被非法傳輸或被非法向第三方披露，應(yīng)當(dāng)及時(shí)將非法獲取信息的性質(zhì)和應(yīng)急措施通知銀保監(jiān)會(huì)。

2.采集用戶個(gè)人信息“知情同意”頁面的形式設(shè)計(jì)

由于互聯(lián)網(wǎng)保險(xiǎn)中的人—機(jī)交互模式一改傳統(tǒng)線下保險(xiǎn)中人—人互動(dòng)模式，以“一對(duì)多”定式化的網(wǎng)頁操作流程代替?zhèn)鹘y(tǒng)“一對(duì)一”的溝通式行為營(yíng)銷，在降低人力、時(shí)間成本，發(fā)揮交易便捷化優(yōu)勢(shì)的同時(shí)也加劇了保險(xiǎn)公司與消費(fèi)者的信息不對(duì)稱。為糾偏保險(xiǎn)公司與消費(fèi)者的利益失衡，在互聯(lián)網(wǎng)保險(xiǎn)行業(yè)中更應(yīng)當(dāng)強(qiáng)化網(wǎng)站網(wǎng)頁的布局及投保流程設(shè)計(jì)，體現(xiàn)在個(gè)人信息的收集利用方面即為“知情—同意”頁面的優(yōu)化。

首先，個(gè)人信息保護(hù)政策的鏈接應(yīng)設(shè)置于投保人必經(jīng)的操作界面，通過單獨(dú)網(wǎng)頁或彈窗形式提示保險(xiǎn)消費(fèi)者，對(duì)于重點(diǎn)事項(xiàng)應(yīng)當(dāng)通過加粗或下劃線等標(biāo)記手段確保消費(fèi)者能夠于繁雜的網(wǎng)頁信息中精準(zhǔn)獲取其個(gè)人信息的收集利用情況，且增加保險(xiǎn)消費(fèi)者主動(dòng)勾選的同意選項(xiàng)(55)實(shí)踐中，大多互聯(lián)網(wǎng)保險(xiǎn)公司會(huì)將個(gè)人信息保護(hù)政策的鏈接進(jìn)行不合理的隱匿或設(shè)計(jì)成為非勾選模式，這種做法實(shí)則違背了“知情-同意”規(guī)則的要求。根據(jù)德國(guó)《聯(lián)邦數(shù)據(jù)保護(hù)法》(2017)第4條及第4a條的規(guī)定，“知情-同意”不僅要求如從數(shù)據(jù)主體處收集個(gè)人數(shù)據(jù)，數(shù)據(jù)主體應(yīng)被告知提供信息是強(qiáng)制的還是自愿的，而且要求數(shù)據(jù)主體必須自由決定的同意才具有效力，我國(guó)《個(gè)人信息保護(hù)法(草案)》第7條也強(qiáng)調(diào)個(gè)人信息處理規(guī)則的明示要求。。其次，個(gè)人信息保護(hù)政策的展示界面應(yīng)當(dāng)提供專門的疑難解答窗口，以智能客服和人工客服相結(jié)合，確保消費(fèi)者對(duì)于不理解或者有歧義的詞句能夠隨時(shí)進(jìn)行咨詢互動(dòng)。再次，應(yīng)當(dāng)于個(gè)人信息保護(hù)政策中設(shè)置內(nèi)嵌式鏈接并將數(shù)據(jù)安全合規(guī)證明置于其中，以確保網(wǎng)站的安全保障義務(wù)可落到實(shí)處。最后，對(duì)于個(gè)人敏感信息的確認(rèn)應(yīng)當(dāng)分窗口單獨(dú)呈現(xiàn)，在通過加粗、擴(kuò)大字號(hào)等方式重點(diǎn)提示的同時(shí)逐項(xiàng)設(shè)置用戶同意選項(xiàng)，并要求保險(xiǎn)消費(fèi)者主動(dòng)點(diǎn)擊確認(rèn)，嚴(yán)禁概括授權(quán)的同意或以默認(rèn)勾選按鈕代替消費(fèi)者進(jìn)行“知情—同意”的確認(rèn)。