互聯網生態“守門人”個人信息保護特別義務設置研究

文/張新寶

問題的提出

隨著個人信息處理方式的數字化轉變，如何構建與數字時代相適應的個人信息保護路徑，不僅是數據安全保護領域的國際形勢所趨，也是我國個人信息保護法律體系需要解決的核心問題。個人信息保護立法的關鍵在于借助立法的利益衡量實現對利益關系的“三方平衡”，即個人對個人信息保護的利益、信息業者對個人信息利用的利益和國家管理社會的公共利益之間的平衡。這一過程的重要環節之一是為信息業者收集、存儲、處理、利用和傳輸個人信息活動設定正當性守則，維護信息業者之間的正當公平競爭，避免不當競爭造成劣幣驅逐良幣的不良效應。因此，如何為信息業者配置合理的權利和義務，是實現信息主體的核心利益和國家在個人信息保護秩序中的公共管理利益的核心環節。

移動互聯網時代，個人信息處理者處理個人信息最常見的技術和商業模式是利用互聯網移動終端形形色色的互聯網應用程序（以下簡稱“移動APP”）收集個人信息。因此，規范移動APP運營者的個人信息處理行為應當成為個人信息保護的主戰場之一。

近年來，雖然有關部門對移動APP處理個人信息進行了持續治理，取得了一些成效，但總體來看效果不彰，原因在于移動APP數量巨大，逐一治理不僅困難且不具有現實可行性；同時，移動APP上線的變化和發展過快，行政執法能力和資源跟不上其發展變化。因此，需要考慮更有效的治理手段和方法，即從源頭入手，抓住關鍵環節，通過設置“守門人”的義務，發揮其對一般移動APP的管控能力，實現對移動APP處理個人信息的有效治理。目前，我國個人信息保護法正在制定過程中（編者按：《中華人民共和國個人信息保護法》已由中華人民共和國第十三屆全國人民代表大會常務委員會第三十次會議于2021年8月20日通過，自2021年11月1日起施行），該法草案第五章雖然對個人信息處理者的義務作出了規定，但草案沒有對“守門人”扼守的關鍵環節設置必要的個人信息保護義務。

移動互聯網生態關鍵環節和“守門人”的界定

（一）守門人的地位：控制了移動互聯網生態的關鍵環節

一個移動APP無法獨立于技術環境和運營環境而單獨存在，因此這兩個環境決定或制約了移動APP接入互聯網和處理個人信息的能力。移動APP需要在智能終端設備中運行，操作系統便成為制約移動APP的底層技術環境。在操作系統的設計框架下，移動APP需要調用移動終端及操作系統所定義和提供的各種系統權限，才能獲取運行所需的特定技術資源。無論是傳統的移動APP，還是新興的小程序，技術環境和運營環境構成了APP運行的關鍵環節。可以說，在移動互聯網生態系統中，控制了技術環境和運營環境的“守門人”，扼守了APP運行的關鍵環節，其對APP個人信息保護的技術設置和具體行為具有決定性作用。

（二）移動互聯網生態中“守門人”的類型

本文認為，“守門人”是指控制移動互聯網生態關鍵環節（技術環境和運營環境）、有資源或有能力影響其他個人信息處理者處理個人信息能力的互聯網營運者。結合當下移動互聯網生態的現實環境來看，“守門人”主要包括以下三類：一是應用程序分發平臺，通過提供應用分發服務影響移動APP觸達海量用戶進而進行個人信息處理活動的能力；二是移動終端操作系統，通過為移動APP提供可調用的系統權限等，影響移動APP的個人信息處理能力；三是平臺型APP，平臺型APP能夠在技術資源、運營環境等兩個方面顯著便利和提升第三方小程序等移動APP的個人信息處理能力。

設置移動互聯網生態“守門人”個人信息處理特別義務的理由

如前所述，從個人信息保護的角度來看，移動互聯網生態中確實存在“守門人”的特殊主體類型，他們有能力決定普通移動APP（包括小程序）觸達用戶的范圍，以及收集使用用戶個人信息的渠道和范圍。以下將著重討論針對此類特殊主體施加個人信息處理特別義務的必要性、合理性以及可能性。

（一）對“守門人”施加特別義務的必要性及技術上的可能性

隨著移動APP的廣泛應用，移動APP強制授權、過度索權、超范圍收集個人信息的問題也為監管部門所重視。經過持續的治理行動，移動APP沒有隱私政策、未說明收集使用個人信息的規則、以默認同意隱私政策等非明示方式征求用戶同意、要求用戶一次性同意打開多個可收集個人信息的權限等違法違規收集使用個人信息的問題得到遏制。但整體來看，僅僅依靠執法監管的APP治理成效難謂顯著。

一方面，APP體量之大使得僅僅依靠執法監管的APP治理難以做到全面覆蓋。另一方面，移動APP收集使用個人信息的方式本身也在不斷地演變，僅僅依靠政府主導的執法監管往往不能及時發現APP收集使用個人信息行為的最新問題，并且在回應APP違法違規收集使用個人信息行為時存在一定的滯后性。因此，更有效的監管路徑應該是從前文所述的，控制著一般移動APP技術和運營環境的“守門人”。通過對移動互聯網生態中的“守門人”施加額外的義務，就能夠對移動APP收集、使用個人信息的行為產生“卡脖子”效應，起到事半功倍的效果。從蘋果公司隱私保護的最新實踐可以發現，對“守門人”設置特別義務在技術上是可能實現的。

（二）設置特別義務的法理與經濟合理性

1.法理：控制者義務理論

法治的一般原理認為，任何人對自己控制的場所等負有相應的安全保障義務。在物理世界，不動產的所有人（或者作為保有人的實際控制人）對不動產負有適度的安全保證義務，避免損害的發生；于動產，所有人或者使用人對動物、機動車等負有適度的管控義務，避免造成損害。我國2009年《中華人民共和國侵權責任法》第37條規定了公共場所管理者和群眾性活動組織者的安全保障義務。《中華人民共和國民法典》侵權責任編規定了經營場所的經營者、公共場所的管理者以及群眾性活動的組織者的安全保障義務（第1198條），還規定了較為全面具體的網絡侵權責任（第1194—1197條），體現了網絡服務提供者對其管控的網絡空間負有適度管控和注意義務的理念?？刂普吡x務理論的內核在于遵循收益與風險相一致以及危險控制理念。一方面，控制者作為利益享有者，其面向社會提供產品或服務，從事以獲利為目的的營利性活動，從危險源中獲取經濟利益者也經常會被視為是具有制止危險義務的人；另一方面，控制者作為管理者，具有專業知識、能力、技術，能夠預見可能發生的危險和損害，更有可能采取必要的措施防止損害的發生或減輕損害，“監督者控制潛在危險的義務通常來源于他對危險源的控制能力”。

同理，對移動互聯網生態具有強大控制力和影響力的“守門人”承擔與技術發展水平相適應且在經濟上具有合理性的適當安全保障義務也是必要的。具有“守門人”地位的操作系統、應用程序分發平臺、大型平臺APP為第三方APP或小程序提供了運行所需的技術環境和運營環境，借助技術和管理優勢在互聯網生態系統中具有強大控制力，在權力結構上具有“公”的屬性。因此，賦予“守門人”特殊的安全保障義務，要求此類主體對其支配的個人信息進行特殊保護和管理，是應對信息風險社會行之有效的治理路徑。此外，要求“守門人”對借助其所提供的環境開展運營的移動APP進行合理的監督，包括個人信息保護方面的合理監督、審查、處理和救濟，可以避免治理力量分散導致的效率低下，實現個人信息保護治理效果的最優。

2.經濟上的合理性

一方面，在“守門人”上的監管資源投入，比在無數分散環節和場景投入資源保護個人信息更具有經濟合理性，“在多數情況下，使用第三方義務主體去監督、發現為數眾多的違法行為，遠比由行政機關來監督、發現為數眾多的違法行為更符合成本收益分析”。與對海量的APP一個個進行監管相比，提升效率更好的做法是將部分的監管責任前移到關鍵環節的守門人身上。他們有技術能力、有人力資源來審核希望借助其技術和運營環境的海量APP，以較低成本、高效率地為個人信息保護構筑起一道閘門。

另一方面，全行業的義務設置不影響“守門人”之間的公平競爭。部分關注個人信息保護的“守門人”已經采取了一些自發的措施，如美國的蘋果公司和國內的小米公司。但面對立場和取向不同的“守門人”，出于競爭的考量，其推動個人信息保護的力度和創新程度會有所延緩或小心翼翼。通過對所有的“守門人”設定統一的個人信息保護義務，有利于樹立行業取向，以及拉平合規底線。由法律給所有“守門人”設置特定的和必要的個人信息保護義務，雖然可能增加少量經營成本，但是將全行業置于同樣起跑線的競爭環境，不會影響企業之間的公平競爭。而增加的此等經營成本是可以通過定價機制精選分配和轉移的。

（三）對歐美實踐經驗的考察

1.歐美有關移動互聯網生態治理的觀察

針對移動互聯網生態治理問題，雖然未在歐美的立法中予以明確規定不同的法律責任，但歐美相關數據保護機構一直以來保持對“守門人”的密切觀察。

2013年，歐盟第29條工作組發布《關于智能設備應用程序的意見》在考慮智能設備應用程序的數據保護風險時，便已深入APP可能涉及的各方主體，包括應用程序開發人員、應用程序所有者、應用商店、設備及操作系統制造商，以及其他參與數據處理的第三方。

美國聯邦貿易委員會（FTC）作為消費者保護機構也在2013年發布了《移動手機隱私披露——通過透明度建立信任》的報告，以改善“收集生態系統”的隱私披露為目標，向參與手機生態系統的主要參與方提出針對性建議。對于諸如蘋果、谷歌、微軟、黑莓等平臺，FTC明確指出其作為APP市場的看門人，在改善移動設備隱私披露方面擁有最大的變革能力，認為平臺有能力向APP開發商提出要求，甚至能夠拒絕未滿足相應要求的應用程序。

2.歐盟就“守門人”的最新立法動向

事實上，除了在移動互聯網生態的個人信息保護領域存在“守門人”的角色，在整個輿論公共空間乃至數字經濟中，也存在類似的“守門人”角色，并且引起了立法和監管的特別關注。2020年12月，歐盟最新提出的《數字服務法（草案）》《數字市場法（草案）》，即反映了這一立法趨勢。

《數字服務法（草案）》旨在為數字中介服務提供者建立非法信息內容的明確、全面的程序性確定義務規則，在數字中介服務提供者的義務時，歐盟特別關注到了超大型在線平臺。歐盟認為“超大型在線平臺在放大或塑造網絡信息流方面發揮著系統性的作用”。鑒于超大型在線平臺的關鍵作用，《數字服務法（草案）》不僅規定了適用于所有提供商品、服務和信息中介服務的數字服務商的一般性義務，而且針對具有重大社會和經濟影響的超大型在線平臺（在歐盟至少有4500萬用戶，占總人口的10%）專門提出了增強的管理系統性風險的安全義務，對這些平臺創設了強有力的透明度要求和問責機制。

《數字市場法（草案）》更是牢牢抓住關鍵環節，其條文僅適用于根據法案中的客觀標準被認定為“守門人”的大型在線平臺，即成為連接消費者和其他企業的主要通道并提供服務，同時利用作為主要通道的角色進一步鞏固和擴大自己的主導地位的在線平臺企業。歐盟在《數字市場法（草案）》中進一步提出，如果被證實核心平臺服務的提供者對內部市場有重大影響，經營一個或多個重要消費者通道，享有或預期獲得根深蒂固和持久的經營地位，則構成《數字市場法（草案）》中的守門人。為了確保數據市場的公平性和開放性，《數字市場法（草案）》為被認定為守門人的平臺施加了一系列額外的具體義務，既包括守門人在日常運營過程中實施某些行為的積極義務，也包括避免從事某些不公平行為的禁止性義務。

作為立法建議的具體法律條文設計

（一）“守門人”的界定標準

直觀地說，“守門人”應當是在整個生態系統中的特定領域具有主導地位乃至控制權的，同時具有極大的經濟規模和極強的網絡效應的組織。如前文所述，移動互聯網生態中個人信息保護領域的守門人，現階段較為突出的是移動終端操作系統、應用分發平臺、平臺型的超級APP。

歐盟《數字市場法（草案）》和《數字服務法（草案）》為我國在未來評估和審查移動互聯網生態中個人信息保護領域的“守門人”提供了有益借鑒。但是對于我國而言，對于“守門人”地位的具體界定方法不宜大幅出現在個人信息保護法中，但是可以通過行業標準、其他規范性文件或其他形式作出。在這一過程中，適宜通過有關專家論證會，綜合考慮促進數字領域創新、數字產品和服務的質量、公平競爭以及數字經濟發展等因素。

（二）“守門人”的具體義務設計

如前文所述，當前移動終端操作系統、應用分發平臺、平臺型的超級APP等守門人企業，管控著一般的移動APP處理個人信息的技術和運營環境?？紤]到將來隨著技術和業態的持續演進，很可能會出現新興類型的守門人。因此，筆者建議將技術和運營環境，抽象成“通道、空間、技術等資源”，并從事前、事中、事后等三個方面，完整地設計守門人在個人信息保護方面的特殊義務。具體來說，建議在《個人信息保護法》“第五章個人信息處理者的義務”第51條之后增加如下條文，規定“守門人”保護個人信息的特別義務：

第五十一條A（“守門人”的特別義務）

控制個人信息處理的關鍵環節，為其他個人信息處理者處理個人信息提供通道、空間、技術等資源的網絡運營者，除遵循本法和其他法律的相關規定特別是本法第五十條和第五十一條的規定外，對個人信息保護承擔以下特別義務：

（一）制定符合國家法律法規等規定要求的個人信息保護標準的準入規范，不得為不達標的個人信息處理者使用其所管控的通道、空間和其所提供的技術服務；

（二）利用必要的技術手段，對使用其所管控的通道、空間和使用其所提供的技術服務的個人信息處理者的日常個人信息處理行為進行監管，于必要時提出警告和整改意見；

（三）建立相關的投訴受理和處置機制；

（四）配合國家個人信息保護機構對違反個人信息保護法律法規的個人信息處理者的調查處理；

（五）下架違法違規處理個人信息的互聯網應用程序。

（三）“守門人”義務的性質討論

1.與國家互聯網管理相對應的行政法上的義務

“守門人”作為政府指定的私人主體，承擔采取阻止性措施防止有害行為發生或者將有害行為相關信息提供給政府的義務，這種由提供服務、產品的私人主體或雇主承擔幫助行政機關發現或阻止違法行為的義務，屬于行政法上的“第三方義務”。借助于私人主體發現違法行為的幫助，能夠緩解行政資源有限而無法全面實施法律的困境。這種“代理式”監管思路在我國整個互聯網監管歷史上并不陌生，我國在引入互聯網監管時，針對海量信息傳輸帶來的內容監管問題，便確立了代理式監管思路，由企業來承擔對傳播信息的審查責任，如對于網絡運營者而言，《網絡安全法》等法律法規明確要求其應當加強對用戶發布的信息的管理，發現有法律、行政法規禁止發布或者傳輸的信息的，應當立即停止傳輸該信息，采取消除等處罰措施，防止信息擴散，保存有關記錄，并向有關主管部門報告。

具體來說，國家通過立法明確“守門人”負有發現并阻止違法行為的義務，表現為“守門人”與個人信息處理者、用戶以及監管機關之間的多維關系。首先，“守門人”基于法律法規的規定，在為個人信息處理者提供通道、空間、技術等資源時，負有對個人信息處理者的審查義務，確保個人信息處理者收集、使用個人信息行為符合合法、正當、必要的要求，不得為存在非法收集、使用個人信息行為的個人信息處理者提供相應的服務，發現個人信息處理者存在違法違規收集、使用個人信息行為時基于“守門人”對通道、空間、技術等資源的優勢控制力，可警告存在違法違規收集、使用個人信息行為的個人信息處理者，并要求其作出整改。其次，“守門人”還應當對監管機構開展個人信息保護相關的執法行動予以配合和協助，在知道或應當知道移動APP已被監管機構確認存在違法違規收集、使用個人信息行為的，應當及時下架相應的移動APP。最后，“守門人”作為移動APP觸達用戶的重要途徑，也應當為用戶投訴和反饋移動APP違法違規收集、使用個人信息線索提供渠道，進而能夠及時、動態地發現相應違法違規收集、使用個人信息的行為。

2.與自然人個人信息保護權益相對應的義務

我國民法典從民事基本法的高度確認自然人個人信息保護的民事權利（權益），并將個人信息確立為自然人的人身非財產性質的人格權（權益）且具有支配性特征，明確義務主體負有相應的作為和不作為義務，包括應當合法取得和確保信息安全的作為義務，以及不得非法收集、使用、加工、傳輸、買賣、提供或者公開他人信息的不作為義務。同時，我國民法典在人格權編第1034—1039條明確了個人信息的概念、處理個人信息的條件、免責事由等事項，從義務主體行為規范的角度明確了自然人個人信息受法律保護的具體內容。

從保障自然人個人信息民事權益的角度而言，“守門人”自身也是個人信息民事權益的義務主體，需要為用戶提供符合個人信息保護要求的產品或服務環境。與此相對，“守門人”所負有的特別義務則主要與防范、制止移動APP等第三方對用戶個人信息的侵害行為有關，屬于法定的積極作為義務。一方面，“守門人”所負有的特別義務以法定義務為原則。由以個人信息保護法為核心的個人信息保護相關法律、行政法規、規章等對“守門人”特別義務的具體內容和認定標準作出規定，構成判斷“守門人”法定個人信息保護義務的主要依據和基本要求，“守門人”不能通過隱私政策等格式條款排除特別義務的適用。另一方面，“守門人”所負有的義務以積極作為義務為原則?！笆亻T人”需要為積極的作為行為，保障用戶的個人信息，如進行必要的提示和說明等，消極不作為往往構成對特別義務的違反，如“守門人”沒有盡到對APP的審核義務等?！笆亻T人”一旦違反特別義務的規定，其所面臨的民事賠償責任主要是指“守門人”沒有防范、制止移動APP侵害用戶個人信息的行為而承擔的侵權責任。

3.個人信息保護法的“領域性”決定了其所歸檔的權利（權益）和義務的跨部門性

隨著信息社會的高速發展和社會關系的日益復雜，個人信息保護問題所具有的整合性、交叉性、復雜性，決定了個人信息保護問題構成典型的“問題領域”。相應地，個人信息保護法與環境法、財稅法等類似，屬于典型的“領域法”，具有跨越傳統法律部門、多元特征混合、公私法融合的特點，單一部門法的制度工具、責任機制無法單獨解決個人信息保護問題。由是觀之，個人信息保護法規定的信息主體各項權利以及個人信息處理者的各項義務，也具有跨部門性的特點，應當從跨部門性的現實特點出發，構建綜合性的法律保護框架和責任機制。具體說來，個人信息保護法作為個人信息保護領域的基礎性法律，由其明確個人信息處理的基本原則、信息主體各項權利邊界、個人信息處理者各項義務內容、保障機制等基本事項。同時，由民法、行政法、刑法進行相應的銜接，借助綜合法律框架，共同制裁相應的違法行為。就“守門人”的特別義務而言，“守門人”違反特別義務，可能導致各類法律責任，既包括民法框架下對用戶的侵權責任，也包括違反特別義務的合規要求導致的行政責任乃至刑事責任。此外，從多元法律責任機制的協同視角觀察，考慮到民事侵權損害賠償制度難以獲得有效救濟以及刑罰的“最后手段性”，應著重考慮“守門人”特別義務的行政責任。