從大數據到個人隱私
——論多層次的信息保護

欒康 王寧

（山東師范大學，山東 濟南 250300）

布蘭戴斯和沃倫在《哈佛法學評論》中首次提出了隱私權的概念，即the right to privacy ；在此后的百年時間之中，隱私權被視為人格權利的內容之一成為了法學界的共識，但是隨著大數據及互聯網信息技術的高速發展，個人隱私權受到前所未有的挑戰。因此，加強對于大數據時代下個人隱私的保護是當今法學界的當務之急。

一、個人信息與隱私

從世界各國立法來看,個人信息的概念稱謂并不統一。個人信息的概念濫觴于1968 年聯合國“國際人權會議”中提出的“資料保護”(data protection),這一年被稱為“資料革命”年。對個人信息進行科學定性不僅僅是法學研究所應解決的一個理論問題,也是立法的迫切需要。從法學的視野出發對個人信息進行科學定性是個人信息保護立法的基礎。全國人大常委會《關于加強網絡信息保護的決定》 (2012) 中規定：國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息。工業和信息化部頒布的《信息安全技術公共及商用服務信息系統個人信息保護指南》 (2013) 中規定：個人信息是指可為信息系統所處理、與特定自然人相關、能夠單獨或通過與其他信息結合識別該特定自然人的計算機數據。《個人信息保護法》 (草案) 中規定：所謂個人信息,是指現實生活中“能夠識別特定個人的一切信息”,其范圍很廣,包括姓名、年齡、體重、身高、檔案、醫療記錄、收入及消費和購買習慣、婚姻狀況、教育背景、家庭住址與電話號碼等。從以上規定可以看出,目前對個人信息的界定采取了概括加列舉的模式，重點強調可以識別，已概括出了個人信息的內涵。

隱私權是指公民“享有私人生活安寧與私人信息依法受到保護，不被他人非法侵擾、知悉、搜集、利用和公開的一種人格權”。筆者認為，個人信息的內涵之中包括個人隱私，個人信息除了個人隱私外還包括個人的其他信息，個人信息在內容上更為廣泛，涉及到個人心理、生理、智力以及社會政治、經濟、文化、教育、家庭、財產等方方面面。而隱私權的內容主要是突出其個人不愿意公開的私生活信息和生活秘密。有些個人信息就不涉及隱私，信息擁有者可以自己加以公開。

但是，目前的立法文件之中一般采用了較為抽象的表述，從而模糊了兩者界限而不利于隱私的保護。個人信息不斷產生變化，用于各種社會生活關系之中，或者在披露期屆滿之后轉化為個人隱私，我們可以說個人信息處于一個長期的動態變化之中。而個人隱私通常是處于靜止狀態之中的，這是因為隱私信息自從起產生起，就一直屬于隱私信息，與在不同場合之中身份不同的個人信息是不同的。

二、APP 用戶的個人隱私權

網絡空間的個人隱私權主要是指“公民在網上享有的私人生活安寧與私人信息依法受到保護，不被他人非法侵犯、知悉、搜集、復制、公開和利用的一種人格權；也指禁止在網上泄露某些與個人有關的敏感信息，包括事實、圖像、以及毀損的意見等。也就是說，APP 用戶在使用APP 時，應當被告知現在和將來有哪些資料會被收集、收集到的資料將會被用在何處以及收集者的權利范圍，另一方面是將數據資料視為一種“無形”的物，其主體具有信息披露的決定權，有權對于未經許可的數據信息處理行為進行阻止。

對于網絡環境之中個人隱私的保護主要是涉及以下幾個領域：（1）可識別性的個人信息的保護，即非法地收集、存儲、使用均被看作侵犯了個人隱私權；（2）任何影響他人生活秩序的行為都應當被禁止，APP 用戶有權根據自己的意思合法地行使權利；（3）對于數據的非通常性的處理，應當將權利賦予APP 用戶，資料搜集者不得自行決定。

與此同時，根據個人信息以及個人隱私權的定義，我們應當認定在APP的手機用戶使用過程之中，具有可識別性的個人資料、個人私生活的生活秩序、個人的私事、以及在APP 的使用過程中的領域等多方面的保護。

三、個人隱私權保護與APP 使用的利益平衡

“立法是認識利益、表達利益的過程。要調整好各種不同的利益，首先要了解和認識利益。”目前來說，互聯網正處于信息利用的自由同隱私權的保護不相匹配的失衡狀態之中，因此我們應當堅持權利保障的底線思維。如若不能有效保護信息，則不能肆意收集用戶信息，也就是說“用信息換方便”是錯誤的，我們不能基于任何宏觀的考量而犧牲隱私權的保護。利益衡量以利益識別為起點,圍繞著“個人信息資源”的保護與利用存在如下主要的利益需求:

（一）APP 用戶本身的需求

用戶數據及個人信息承載的是信息主體的人格利益，其是基于人權而產生的，我們應當對于此種人格利益進行保護。個人信息指向信息主體,能夠顯現個人的生活軌跡,勾勒出個人人格形象,作為信息主體人格的外在標志,形成個人“信息化形象”。馬斯洛在其需要層次理論中指出,“人格標識的完整性與真實性是主體受到他人尊重的基本條件”。個人作為目的性的存在,只有消除個人對“信息化形象”被他人操控的疑慮和恐慌,保持其信息化人格與其自身的一致性而不被扭曲,才能有自尊并受到他人尊重地生存與生活。因此,個人信息對于信息主體的人格尊嚴和自由價值,應當是個人信息保護立法中首要考慮的因素。

（二）商業價值的利益平衡

在如今的信息時代，隨著電子科技與信息技術的不斷發展，對信息的開發與利用達到了前所未有的程度。在很多商業領域，尤其是電子商務領域，個人信息與其商業營銷的模式有很大關聯，已經成為一種不可或缺的資源。營銷者記錄、收集用戶的網絡瀏覽信息與痕跡，對收集到的個人信息二次利用，通過投放彈窗廣告、個性化廣告推介等手段，實現精準營銷。而這其中，就牽扯到是否侵犯了個人隱私的問題。隨著營銷者收集和利用個人信息能力的提高，經營者在享受高效經營模式所帶來的回報的同時，對個人信息收集的正當性，對收集范圍的適當性，對信息利用與保護的安全性，都應考慮周全。收集用戶個人信息，應當經過用戶的知情同意；收集的范圍不能侵犯用戶的隱私權；對個人信息的利用，不應當因此給用戶帶來任何困擾與安全隱患。經營者不能為了追求利益而違反上述要求，此即商業價值的利益平衡需求。

“中國Cookie 隱私第一案”正是個人信息的商業利用與隱私保護平衡的典型案例。在一審中，法院認定Cookie 信息屬于個人隱私，利用該信息進行商業活動侵犯了用戶的隱私權。而在二審判決中，從規范互聯網秩序與保障互聯網科技發展的雙重視角出發，認為Cookie 信息不屬于個人隱私范疇，因此利用該信息進行商業推介的行為不侵犯用戶的隱私權。該案件一審與二審，出現不同判決的原因，在于對Cookie 信息法律屬性的認定發生了改變。其中發生的理念轉變即：隱私保護的是人，而不是類型化信息。法律對隱私權的保護應更多地關注對信息的處理和利用行為可能侵犯隱私權的風險，而不是僅將重心聚焦于信息類型的是否屬于隱私或信息是否通過正當途徑取得。該案件作為個人信息商業利用與隱私保護問題的縮影，其中體現的這一理念，也應當為商業價值的利益平衡需求的實現提供了寶貴經驗。

四、對個人信息保護的法律規制

（一）我國現有的法制規定

《中華人民共和國網絡安全法》在第四章以專章的形式對網絡信息安全進行了系統規定。個人信息安全作為網絡信息安全的重要組成部分，在其中得到了體現。

根據《網絡安全法》規定：網絡運營商必須確保個人信息的安全，妥善保管，在建立嚴格的保密制度的同時，健全用戶信息保護制度。對于用戶個人信息的收集，必須遵循必要性原則，不得收集從事該項業務的任何非必要信息，并且需要在使用完畢后定期清除，確保掌握最少數量且最短時間的用戶個人信息。再者，網絡運營者對于用戶個人信息的使用必須以用戶同意為前提，不得有任何威脅個人信息安全的行為，也不得將用戶個人信息進行轉讓、泄露等。

然而我國目前并沒有專門制定保護個人信息的法律規范。只有《個人信息保護法》（草案）針對個人信息保護的部分問題進行了規定，但是實際操作性不強，缺乏配套的實施細則。歐盟與英美都有相關的法律規定，但是我國對該部分法律規定仍存在空泛、含糊、等現狀。對于個人信息保護仍舊需要依靠零散的法律法規規定，遠遠不能滿足于現狀，很容易讓不法分子有機可乘。

（二）保護個人信息安全的法治規定需要進一步明確與優化

首先要規范個人信息使用與披露，設立一套標準，將可以公開透明的信息，與用戶不愿意公開的信息進行區分，用戶可以在一定程度上選擇設立敏感信息，將這一部分信息進行權限設置，不能被隨意查看與傳播，必須經過用戶個人的同意，才能進行二次使用。而可以公開透明的信息，可以被收集與使用。

其次，要嚴格統計審查電商收集數據的目的，最好成立專門的審查批準機構。收集數據時要有明確和合法的目的，不得與任何法律規范相沖突。需要將收集目的通知用戶，并且征得其同意時，才能對信息進行征集。同時要明確侵權損害后果發生后的責任承擔主體，對個人隱私信息造成泄露和侵權的主體，應當對被侵權用戶承擔侵權責任，并為遭受侵害的用戶提供可靠的法律救濟措施和保障手段。

法律和監督機構的力量是有限的，只靠法律規制對個人信息進行保護，顯然是遠遠不夠的。網絡的匿名性以及信息傳遞的快捷性對于個人信息安全來說，本身即存在著未知的風險。最關鍵的，還是要培養個人的防護意識，提高法制觀念。在享受大數據帶來的便利的同時，有意識地保護自己的隱私，提高防范意識。