論互聯(lián)網(wǎng)下的個(gè)人信息保護(hù)*
——以商業(yè)App收集和使用個(gè)人信息為例

首都經(jīng)濟(jì)貿(mào)易大學(xué) 李露瑩，鄭淼

為解決和預(yù)防商業(yè)App收集和使用個(gè)人信息過程中的安全問題，本文將重點(diǎn)探索個(gè)人信息等私權(quán)利保護(hù)的理論基礎(chǔ)、規(guī)制現(xiàn)狀和難點(diǎn)，最終提出完善建議。本文對(duì)商業(yè)App帶來的個(gè)人信息安全風(fēng)險(xiǎn)結(jié)合個(gè)人信息保護(hù)進(jìn)行詳細(xì)研究，具有較強(qiáng)的理論和實(shí)踐意義。

一、商業(yè)App個(gè)人信息收集和使用概述

（一）商業(yè)App個(gè)人信息收集和使用的客體

1.個(gè)人信息法律內(nèi)涵的探究

我國法律中對(duì)于個(gè)人信息采取的定義模式有些許不同。例如，《網(wǎng)絡(luò)安全法》采取了識(shí)別自然人個(gè)人身份的標(biāo)準(zhǔn)。《民法典》擴(kuò)大了個(gè)人信息的范圍，采用了“識(shí)別自然人說”。《個(gè)人信息保護(hù)法》（下稱《個(gè)保法》）借鑒了歐盟《一般數(shù)據(jù)保護(hù)條例》的規(guī)定，采用了“識(shí)別說”和“關(guān)聯(lián)說”的定義模式。除在概念上擴(kuò)張個(gè)人信息的內(nèi)涵外，《個(gè)保法》還擴(kuò)張了敏感個(gè)人信息的范圍，增加了金融賬戶等個(gè)人信息類型。

本文研究的商業(yè)App個(gè)人信息收集和使用的客體，就是個(gè)人信息。個(gè)人信息最常見的“識(shí)別說”定義模式較為靈活，但沒有根本明確什么是“個(gè)人身份或自然人可識(shí)別信息”。而“關(guān)聯(lián)說”是指?jìng)€(gè)人信息的范圍還包括與個(gè)人具有關(guān)聯(lián)性且對(duì)個(gè)人產(chǎn)生重要影響的信息，是“識(shí)別說”的重要補(bǔ)充。可見，《個(gè)保法》中對(duì)于個(gè)人信息的定義具有內(nèi)在的邏輯和價(jià)值。

2.個(gè)人信息保護(hù)的理論基礎(chǔ)

從個(gè)人信息保護(hù)法的起源和發(fā)展過程看，其主要立法宗旨就是平衡好技術(shù)進(jìn)步與個(gè)人信息權(quán)利保護(hù)之間的關(guān)系,回應(yīng)技術(shù)發(fā)展帶來的挑戰(zhàn)。

《個(gè)保法》所調(diào)整的核心是信息處理行為，信息能力不平等是信息處理法律關(guān)系的本質(zhì)屬性[1]，自然人之間在個(gè)人、家庭事務(wù)處理過程中涉及的處理個(gè)人信息的行為不屬于《個(gè)保法》的調(diào)整范圍。值得注意的是，目前我國還未明確規(guī)定“個(gè)人信息權(quán)”，在《個(gè)保法》第四章“個(gè)人在個(gè)人信息處理活動(dòng)中的權(quán)利”中，全部使用了“個(gè)人有權(quán)……”的表達(dá)方式。對(duì)此有學(xué)者認(rèn)為，為了促進(jìn)信息的保護(hù)和利用，必須將個(gè)人信息依托現(xiàn)有的個(gè)人信息權(quán)益和規(guī)則進(jìn)行權(quán)利化[2]。

（二）商業(yè)App個(gè)人信息收集和使用的方式

《個(gè)保法》的主要規(guī)制對(duì)象是個(gè)人信息處理行為，其采取強(qiáng)行性規(guī)范對(duì)個(gè)人信息處理進(jìn)行全方位、動(dòng)態(tài)性的調(diào)整[3]。個(gè)人信息處理的概念，在法律上抽象成為涵蓋一切影響主體權(quán)益的個(gè)人信息使用行為，在實(shí)例中是指技術(shù)意義上的具體處理行為[4]。

信息的收集是商業(yè)App運(yùn)營商通過合法的方式獲得個(gè)人信息的行為，運(yùn)營商在經(jīng)過信息主體授權(quán)后，將用戶的注冊(cè)、登錄、瀏覽信息等進(jìn)行收集。信息的使用包括三個(gè)內(nèi)容，即信息的分享、分析和應(yīng)用。分享是指信息控制者向特定人披露向不特定人公開信息。分析是最重要的信息處理行為，其對(duì)信息進(jìn)行匹配組合，基于不同分析目的形成信息組，并通過算法預(yù)測(cè)出用戶的個(gè)人行為偏好、社會(huì)關(guān)系和身份特性等內(nèi)容。應(yīng)用是指依據(jù)分析結(jié)果向目標(biāo)人群發(fā)送商業(yè)信息或者信息內(nèi)容[5]。

二、《個(gè)保法》背景下商業(yè)App收集使用個(gè)人信息規(guī)制的現(xiàn)狀與難點(diǎn)

（一）商業(yè)App收集使用個(gè)人信息的立法現(xiàn)狀

2021年8月，全國人大常委會(huì)審議通過作為我國個(gè)人信息保護(hù)領(lǐng)域的專門立法《個(gè)人信息保護(hù)法》。《個(gè)保法》確立了“同意（一般個(gè)人信息）——單獨(dú)同意（敏感個(gè)人信息）——同意例外（國家機(jī)關(guān)處理個(gè)人信息）”[6]這一個(gè)人信息處理規(guī)則的基本架構(gòu)。在個(gè)人信息主體和個(gè)人信息處理者的權(quán)利義務(wù)關(guān)系上，本法賦予了個(gè)人信息主體多項(xiàng)權(quán)利，強(qiáng)化了個(gè)人信息處理者義務(wù)，規(guī)定了更加嚴(yán)格的法律責(zé)任。此外，該法還規(guī)定了告知同意規(guī)則、自動(dòng)化處理、攜帶權(quán)、個(gè)人信息保護(hù)影響評(píng)估制度等。

隨著商業(yè)App成為個(gè)人信息保護(hù)的關(guān)鍵領(lǐng)域，國家有關(guān)部門立足自身職責(zé)，制定發(fā)布了App個(gè)人信息保護(hù)的專門規(guī)定和治理文件。同時(shí)，為配合《個(gè)保法》的實(shí)施，加強(qiáng)數(shù)據(jù)安全保護(hù)，上海、天津、貴州等九個(gè)省市也出臺(tái)了大數(shù)據(jù)發(fā)展相關(guān)條例。

總的來說，《個(gè)保法》的出臺(tái)，為國家規(guī)范和整治商業(yè)App收集使用用戶個(gè)人信息的行為提供了制度保障和政策導(dǎo)向。以《個(gè)保法》為新的起點(diǎn)，大量配套的法律措施和制度也會(huì)相繼完善。

（二）商業(yè)App收集使用個(gè)人信息的執(zhí)法現(xiàn)狀

國家負(fù)有保障公民信息安全的義務(wù)，近幾年來，國家有關(guān)部門開展了一系列個(gè)人信息保護(hù)整治行動(dòng)。相關(guān)執(zhí)法主體堅(jiān)持依法行政原則，制定相應(yīng)的規(guī)范性文件，在治理行動(dòng)過程中能夠做到執(zhí)法有據(jù)。在執(zhí)法過程中采用多元化治理模式實(shí)現(xiàn)行政目的，調(diào)動(dòng)行業(yè)協(xié)會(huì)和網(wǎng)絡(luò)用戶等多方主體的積極性。執(zhí)法的方式較為靈活，罰款、拘留等強(qiáng)制措施的應(yīng)用門檻提高，執(zhí)法的柔性增加。

《個(gè)保法》中個(gè)人信息保護(hù)的執(zhí)法主體的設(shè)置模式為過渡或者統(tǒng)籌協(xié)調(diào)模式[7]，即未明確規(guī)定專責(zé)機(jī)關(guān)，但規(guī)定國家網(wǎng)信辦負(fù)責(zé)統(tǒng)籌協(xié)調(diào)。《個(gè)保法》61至64條規(guī)定了個(gè)人信息執(zhí)法活動(dòng)主體、主體權(quán)力以及具體執(zhí)法方法。

（三）商業(yè)App收集使用個(gè)人信息法律規(guī)制的難點(diǎn)

1.商業(yè)App個(gè)人信息收集和使用存在的問題

在國家互聯(lián)網(wǎng)信息辦公室、工業(yè)和信息化部、公安部、市場(chǎng)監(jiān)管總局聯(lián)合制定的《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》中提到了App違法違規(guī)收集使用個(gè)人信息的六種情形。再結(jié)合對(duì)相關(guān)法律法規(guī)和實(shí)例的分析，商業(yè)App個(gè)人信息收集和使用過程中存在的問題主要有以下三個(gè)方面：

首先，商業(yè)App與用戶之間的信息不對(duì)稱問題。在申請(qǐng)獲取用戶信息時(shí)，商業(yè)App對(duì)需要獲得的用戶信息的描述過于簡(jiǎn)單，沒有將權(quán)限背后的使用方式和使用價(jià)值告知用戶；或者是對(duì)于權(quán)限描述過于復(fù)雜，專業(yè)性強(qiáng)，導(dǎo)致用戶無法理解其中的意思。

其次，存在商業(yè)App過度收集和使用用戶個(gè)人信息的問題。商業(yè)App通過竊取、自動(dòng)授權(quán)、默認(rèn)同意等隱秘方式或者一攬子、服務(wù)功能捆綁、霸王條款等強(qiáng)制方式索取權(quán)限，收集使用的個(gè)人信息屬于超出了其能提供服務(wù)需求的非必要收集的個(gè)人信息。

最后，關(guān)于敏感個(gè)人信息的收集和使用問題。敏感個(gè)人信息是指對(duì)于信息主體而言具有唯一性的信息，其他任何人均不可能有該信息[8]，例如，身份證號(hào)碼、生物識(shí)別信息、個(gè)人財(cái)產(chǎn)信息等。現(xiàn)實(shí)情況是，商業(yè)App在向申請(qǐng)用戶授權(quán)時(shí)，會(huì)出現(xiàn)未明確告知個(gè)人信息的類型便一攬子收集敏感信息時(shí)未明確告知用戶用途以及對(duì)外使用敏感信息時(shí)未單獨(dú)取得用戶同意等情況。

此外，有調(diào)查顯示[9],位置信息、通訊錄信息、手機(jī)號(hào)碼等個(gè)人信息是過度收集或使用的主要內(nèi)容，此現(xiàn)象值得注意。

2.立法層面

對(duì)于民事立法來說，我國在制度設(shè)計(jì)層面上對(duì)個(gè)人信息權(quán)利的重視程度還不夠，對(duì)于一些具體的制度設(shè)計(jì)還不夠科學(xué)，如“告知——同意”制度過于僵化，缺乏對(duì)敏感個(gè)人信息的保護(hù)等。

對(duì)于行政立法來說，《個(gè)保法》中的公法規(guī)范數(shù)量較少，法條較為抽象概括，難以在實(shí)踐中直接適用。同時(shí)，對(duì)主管機(jī)構(gòu)職責(zé)劃分不明確導(dǎo)致我國針對(duì)互聯(lián)網(wǎng)行業(yè)涉及個(gè)人信息保護(hù)的相關(guān)文件數(shù)量眾多，再加上監(jiān)管不到位，導(dǎo)致很多專門性的規(guī)范流于形式，對(duì)個(gè)人信息的保護(hù)效果有限。

3.執(zhí)法層面

我國的個(gè)人信息保護(hù)執(zhí)法雖然基本遵循了依法行政的原則，采用了多樣化和靈活的執(zhí)法手段和方式，但整體還存在著執(zhí)法粗放化的問題。

首先，《個(gè)保法》中未明確規(guī)定個(gè)人信息保護(hù)的專責(zé)機(jī)關(guān)，只規(guī)定國家網(wǎng)信辦負(fù)責(zé)統(tǒng)籌協(xié)調(diào)。其次，我國開展的App違法違規(guī)收集使用個(gè)人信息的專項(xiàng)治理行動(dòng)層出不窮，但是大多為突擊式的執(zhí)法機(jī)制，對(duì)于非熱點(diǎn)、非顯性的問題關(guān)注不夠。最后，由于違法行為本身隱蔽、分散、難舉證的特點(diǎn)，再加上由于立法上的一些問題，所以執(zhí)法中沒有很好地落實(shí)比例原則。

三、互聯(lián)網(wǎng)視角下個(gè)人信息權(quán)利保護(hù)規(guī)制路徑的完善

（一）立法層面

1.告知同意的動(dòng)態(tài)化構(gòu)建

告知同意的動(dòng)態(tài)化構(gòu)建是指允許用戶在個(gè)人信息的收集與使用中其同意的意思表示發(fā)生變化，使“告知——同意”的過程是持續(xù)的、動(dòng)態(tài)的。

商業(yè)App中的動(dòng)態(tài)化告知同意可以分為兩個(gè)階段。在“首次使用——告知同意”階段，商業(yè)App使用者應(yīng)當(dāng)向用戶作出主動(dòng)、細(xì)化的請(qǐng)求授權(quán)行為。當(dāng)因用戶的“不同意”授權(quán)導(dǎo)致該商業(yè)App的基本功能無法實(shí)現(xiàn)時(shí)，應(yīng)采取彈窗的方式向用戶示明原因及解決方法，不得采取直接退出軟件的“流氓”行為。在“告知同意——個(gè)性化告知同意”階段，若用戶在使用中請(qǐng)求享受更多服務(wù)但在首次告知同意中未授權(quán)的，此時(shí)應(yīng)當(dāng)賦予用戶再次的選擇權(quán)，即可以選擇授權(quán)或不授權(quán)。

由此，告知同意的動(dòng)態(tài)化構(gòu)建可以讓用戶等信息主體由被動(dòng)變主動(dòng)，強(qiáng)化用戶對(duì)其個(gè)人信息享有更多控制權(quán)與自主權(quán)[10]，通過具有高度靈活性的告知同意制度來平衡商業(yè)App的運(yùn)營需求與用戶個(gè)人信息的保護(hù)。

2.進(jìn)一步限定商業(yè)App對(duì)敏感個(gè)人信息的收集和使用

在收集的限制方面，可以采用“等同原則”進(jìn)行判斷，即若商業(yè)App所收集敏感個(gè)人信息與收集一般個(gè)人信息在實(shí)現(xiàn)效果上無差別，則可認(rèn)定為二者效果等同。需要說明的是，在判定效果是否等同的問題上，應(yīng)針對(duì)收集和使用個(gè)人信息的效果，而不僅僅是數(shù)量。

在一般個(gè)人信息的處理和使用上，法律保護(hù)了其經(jīng)濟(jì)效用上的價(jià)值，但對(duì)于敏感個(gè)人信息，商業(yè)App應(yīng)當(dāng)秉持“非規(guī)定不使用”的謹(jǐn)慎態(tài)度。歐盟GDPR第9條便通過明確的列舉形式為可以使用敏感個(gè)人信息的情形進(jìn)行了規(guī)定，并且采取了“場(chǎng)景化”規(guī)制理論。根據(jù)該理論，以GPS為主要功能的導(dǎo)航或美團(tuán)外賣等商業(yè)App收集和使用用戶的家庭住址，就應(yīng)認(rèn)定其違反對(duì)敏感個(gè)人信息使用的規(guī)定。因?yàn)榧彝プ≈房赡苤皇怯脩舻某霭l(fā)地或者目的地、送餐的目的地，App在數(shù)據(jù)處理時(shí)完全可以僅把這一數(shù)據(jù)作為一個(gè)普通目的點(diǎn)，而非是對(duì)自然人具有強(qiáng)識(shí)別性的家庭住址。

（二）執(zhí)法層面

1.確立統(tǒng)一、體系化的行政監(jiān)管主體

確立統(tǒng)一、體系化的行政主體既有利于實(shí)現(xiàn)行政資源的優(yōu)化配置，也有利于減輕商業(yè)App運(yùn)營商因重復(fù)行政行為導(dǎo)致的過重負(fù)擔(dān)。鑒于前期我國的實(shí)踐經(jīng)驗(yàn)，我國國家互聯(lián)網(wǎng)信息辦公室可以承擔(dān)起個(gè)人信息行政監(jiān)管機(jī)關(guān)的牽頭重任，其他有關(guān)機(jī)構(gòu)例如電信、商務(wù)主管等部門由原來的各司其職向全面協(xié)調(diào)轉(zhuǎn)變，從技術(shù)檢查、監(jiān)管、商務(wù)登記等多個(gè)角度形成有機(jī)聯(lián)系的整體，促進(jìn)形成兼具全局視角和針對(duì)性的行政監(jiān)管體系。

2.加強(qiáng)對(duì)商業(yè)App信息收集的實(shí)質(zhì)性審查

首先，應(yīng)加強(qiáng)對(duì)商業(yè)App收集個(gè)人信息的技術(shù)表現(xiàn)形式的審查。監(jiān)管部門作為行政主體，要求其對(duì)專業(yè)技術(shù)進(jìn)行審查的操作性不強(qiáng)，但可以讓監(jiān)管部門通過對(duì)信息收集和使用技術(shù)所體現(xiàn)出的可見技術(shù)措施進(jìn)行審查，即上文所述的多次彈窗、手動(dòng)勾選、個(gè)性化設(shè)置等。審查階段應(yīng)覆蓋到商業(yè)App上架前、在市場(chǎng)領(lǐng)域時(shí)以及退出市場(chǎng)后。

其次，就商業(yè)App信息收集、使用條款的合法性進(jìn)行審查。結(jié)合我國《個(gè)保法》第17條，在用戶首次下載App的初始使用狀態(tài)下，用戶協(xié)議、隱私政策中則應(yīng)具體體現(xiàn)出商業(yè)App處理者名稱及聯(lián)系方式、收集個(gè)人信息的種類及儲(chǔ)存期限、處理的目的和方式以及何時(shí)刪除、如何保護(hù)等內(nèi)容。

最后，應(yīng)對(duì)商業(yè)App信息收集、使用的內(nèi)容進(jìn)行監(jiān)督。商業(yè)App的部分功能運(yùn)行依賴于對(duì)用戶端信息的收集與處理，所以商業(yè)App只需收集使用與服務(wù)功能相關(guān)的必要個(gè)人信息即可。此外，監(jiān)管機(jī)構(gòu)還需對(duì)未經(jīng)用戶同意的“默示”操作進(jìn)行嚴(yán)厲打擊。

（三）倡導(dǎo)同領(lǐng)域商業(yè)App中的行業(yè)內(nèi)自律

商業(yè)App作為收集個(gè)人信息的直接主體，應(yīng)當(dāng)在實(shí)踐中發(fā)揮自律規(guī)范作用[11]。但考慮到不同商業(yè)App功能不同，所需收集和使用的個(gè)人信息也不盡相同，由此倡導(dǎo)同領(lǐng)域商業(yè)App中的行業(yè)內(nèi)自律是較為現(xiàn)實(shí)的。

針對(duì)每類商業(yè)App提供的服務(wù)和功能，可以大致界定其運(yùn)行過程中所需收集和使用個(gè)人信息的范圍。以此劃定邊界，新進(jìn)入該領(lǐng)域的商業(yè)App應(yīng)當(dāng)自覺接受該邊界的約束，行業(yè)內(nèi)的所有商業(yè)App應(yīng)當(dāng)積極探索信息的“最少收集、最大效用”。同時(shí)也要針對(duì)用戶協(xié)議、隱私政策等文本統(tǒng)一標(biāo)準(zhǔn)、達(dá)成共識(shí)，方便用戶就同領(lǐng)域內(nèi)的不同App進(jìn)行比較，以此督促運(yùn)營商不斷重視用戶個(gè)人信息保護(hù)。各運(yùn)營商之間也應(yīng)積極開展經(jīng)驗(yàn)分享，共同促進(jìn)良性競(jìng)爭(zhēng)，實(shí)現(xiàn)行業(yè)內(nèi)自律。