數字時代個人信息保護與收集使用的法益衡平路徑探析

俞陶濤

（南京審計大學,江蘇 南京 211815）

當下，信息技術的飛速發展使個體轉變為“信息”，個體在“數字化”時，其人格利益的完整性與主體性可否被保護周全[1]，傳統私法遵循“權利本位”，確定了對于個人信息的收集使用，必須遵循目的限制原則，避免了企業基于事實上的強力而對個人權利形成傾軋，在大數據與算法技術發展的初期起到了積極作用?？赏瑯硬蝗莘裾J的是，經濟生活的進步，尤其是數字經濟生活，必須基于多類數字技術才得以實現，也必須促發種類繁多、技術復雜的個人信息產業本身的發展。故而，針對個人信息這一法律客體，不可將“保護個體權益”這一理念絕對化，而應在相關法律規范已然構建的基礎上，對企業收集使用個人信息的行為適量“解綁”。為此，本文將分析的起點放置在相關行為事實上，從企業對個人信息收集使用的現狀出發，既辨明其“亂”在何處，也嘗試發掘其“可矜之處”。

1 個人信息收集使用與法律保護的現狀

1.1 “亂象”緣起：數據生產要素與個體權利標識

新事物的特征與本質難以為通行法律概念所囊括，于發展初期必定引發亂象。數字時代，傳統個人信息逐步被數字信息所取代，個體逐漸被“數字化”。2019年，“數據”這一屬概念在黨的十九屆四中全會上，明確被認可為新的生產要素①。這意味著個人信息本身就已經成為市場經濟中的重要要素。在市場規律的作用下，個人信息的生產要素屬性一經發現，即被資本化。收集信息的主體（企業）未經權利人同意或使權利人“被同意”，采取各種技術手段進行大數據殺熟、精準投放營銷信息，是行業初期普遍“亂象”②。即便商家基于合法目的，經權利人同意，也會出現過度收集的情況③?？梢?，單純將個人信息視為生產要素，將使得企業相關行為僅需遵循資本增值規律——這無疑對個體權利形成沖擊。在被概念化為“生產要素”之前，個人信息往往作為權利個體的對外特征標識而顯現，一開始就具有高度的個體權利屬性。個體權利的實現過程非以意思自治為原則而不正義。對于個人信息，其理論上應當以個體的“知情—同意”為實現方式，其事實上卻是由相關企業“非給即走”的服務條款所實現。這一矛盾的現實展開，就是數據收集者以其事實上的強力地位控制了法律規范中私權實現的商談過程。

1.2 “亂象”治理：個體權利傾斜保護與相關質疑

《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）被當作絕對的權利保護法，對個人信息作為數據生產要素與個體權利標識的兩岐，做出了明確傾向；該法第二章“個人信息處理規則”中，對個人信息收集使用者行為，也大多采取禁止性或限制性規范加以表達，似乎“亂象”可以通過限制企業行為就能得到治理。然而在個人信息作為事實上的生產要素的前提下，這一思路是否是真實可能的？由于《個人信息保護法》新近頒布，援引其裁判的相關案例并不豐富?？蓚€人信息作為數據生產要素與個體權利標識的價值衡平難題，并非為我國大陸地區所獨有。事實上，我國臺灣地區很早就進行了個人信息的專門立法，積累了大量的判例[2]，值得類比參照。2012年臺灣地區某通信公司推出一項APP應用服務，允許使用者知悉其手機通訊錄中親友電話號碼所屬的運營商，以此確認通訊錄中的親友是否屬于網內，以享有較便宜的話費。但該企業遭消費者起訴，認為該APP違法收集并使用其個人信息而請求損害賠償。

此案中，法院對于“電話號碼所屬的運營商”這項數據是否屬于個人信息的看法，見解各異。采肯定說者認為電話號碼是一種個人信息，而“號碼所屬運營商”是電話號碼的附屬數據，可以間接識別特定個人。采否定說者則認為，電話號碼僅為數字組合，無法直接識別特定個人，必須與其他數據對照、組合、連結，而“電話號碼所屬的運營商”雖然與電話號碼相結合，仍極難起到識別特定個人的作用。臺灣地區電信事業主管機關最后形成不予處罰決議，其理由是：無論是由APP提供用戶查看通訊錄中電話號碼的所屬運營商，還是查看結果為“網內”或“網外”，均不足以直接或間接識別該電話號碼的個人身份，沒有個體權利受侵害的事實，當然不屬個人信息相關立法所保護的目標及適用范圍。

可見，“個人信息”并非作為整體概念而與“個體權利”直接相關，對其實行的法律保護也不應絕對化，而需對信息本身是否包含“隱私敏感性”進行實質判斷。當然，作為立法原則，《個人信息保護法》中目的限制原則仍舊處于統御地位。下文將對該原則做概念分析，辨明其語義中心，為個人信息的分類討論奠定基礎。

2 目的限制原則的法理辨明

2.1 目的限制原則的概念構成要素

以框制企業收集使用個人信息的目的為立法語言技術，不失為有效做法。對個人信息的合法收集理應分為兩個部分：采用合法的手段，且建立在權利人知情并同意的基礎之上。參見《個人信息保護法》第六條，企業非基于法定目的而不能收集使用個人信息④，且企業后續的收集使用行為也必須與其目的“直接相關”，此即為“目的限制原則”。該原則也見于現行其他相關法律之中⑤。由是，對企業具體行為的限制與企業行為目的之間有了合邏輯的法律聯系。

該原則中的“目的”可被進一步細分為兩個要素，即“明確”與“合理”。“明確”是對企業行為目的在對外表達上的形式要求，旨在賦予其就信息使用目的的說明義務。“明確性要求”拒絕語詞含義過于模糊寬泛的目的表達。企業在《用戶服務協議》等文本或語言情狀下，向用戶個體申明個人數據收集的行為目的時，必須在審慎厘定目的層級與過程結構的條件下，以公知公用的方式表達之，確保用戶個體對企業目的在常識范圍內不存在歧義或誤解，以避免被認定違法。不僅于此，明確性也進一步要求在用戶就信息使用目的方面，以知情權未受充分保障為理由，要求企業進一步解釋，或達成相關補充協議時，企業不得拒絕。

“合理”是對企業行為目的在內生要素上的實質要求?！昂侠怼钡那疤崾恰昂戏ā保以诟拍钌细赜诠仓刃蚺c善良風俗等超越法律的倫理規范要求。因此，“目的合理性”包含兩層位階的構成要素：首先，企業作為信息收集使用者，其目的不得違反法律規范，包括強制性規范與當事人間的任意性規范；其次，其目的不得違反倫理規范，包括具體私法行為所指向的生活領域內規范（如互聯網社區公約）以及一般社會倫理規范。當然，“合理性”作為概念是明確的，但其中具體要素往往呈現為“地方性知識”，因此其后置于“明確性”要求，且在個案中必須借助具體案情加以判斷，以避免其墮為教條。

合法的個人信息收集使用目的與具體行為間，在“目的限制原則”內，依照目的與手段間的“關聯性”組成邏輯結構，又根據《個人信息保護法》特定化為“直接關聯性”。顯然，直接關聯性如果僅僅指代企業后續行為與次級行為，及其合法目的直接的邏輯遠近關系，那么企業為避免違法，必將就每一具體行為向用戶重復收集個人信息，造成“雙輸”局面。故而，對于“直接關聯性”應當采用目的解釋說，既然《個人信息保護法》同時具有行為規制之法律效果，那么對企業的個人信息收集行為就不可以禁止為規范原則，而應對其行為起到引導幫助的合規作用。筆者認為，“直接關聯性”應基于企業具體行為所屬行業的技術規范來判斷。比如大數據產業中，相關企業的數據分析行為對個人信息的二次處理，就并未超越其《用戶服務協議》中申明的合法目的。

2.2 目的限制原則的價值基礎

誠如黑格爾所指出，作為“外部定在”的私法規范以“有限性”規定了“我在”，可目的上其并非為限制而行規定性，相反，恰恰是為了彰顯“我在”的普遍自由本身。信息時代對個體的個人信息權利的保護，要以促發個體與企業的“商談行為”為指引，而非以嚴格限制性措施將企業趕出商談場域。前文中對我國臺灣地區的司法判決分析就已顯示，法院見解分歧的情形表明，若對于企業就個人信息的收集與使用之合法性的認定標準仍趨于保守，認為個人信息保護的目的僅在于避免個人權利遭受侵害，則勢必忽略了“促進個人信息合理利用”也應是個人信息立法的價值基礎。

當今世界范圍內的普遍立法價值，均強調對個人信息的利用不得建立在犧牲人格尊嚴的基礎上[3]。《個人信息保護法》構建了以權利主體為中心的保護體系，目的限制原則在其中也發揮著無可替代的作用。但“權利保護”不可能是靜態直觀的，而是在具體行為中動態顯現的。若對目的限制原則只做“權利保護”路向的價值闡理，就意味著個人信息的數據生產要素價值，先驗且絕對地處于較低位階。數字時代，若細細深究，則舉目所見的數據都屬于個人信息，如果個體對個人信息的絕對控制與支配是企業獲得授權處理信息的前提，則目的限制原則的理論基礎必然僵化。個人信息具有隱私屬性，但隱私屬性并非個人信息的絕對特征——個人信息的非隱私性部分一開始就具備公共識別功能。個人隱私非經本人同意不得獲悉，但是對于姓名，“起出來就是給別人叫的”。個人權利保護的價值傾向，在確定個人主體性之外，隱隱存在將“個人信息”與“隱私權”混用的風險。

因此，可以承認“權利保護”的先驗，但不能將之絕對。信息產業本就屬于國務院確定的七個戰略性新興產業，《個人信息保護法》對個體的真實意思表示予以尊重，非為絕對化其個人信息的支配權與控制力，而是為個人和企業設定行為模式的法律評價，鼓勵雙方積極進入數字生活，并在信息分享利用中塑造新的產業模式。目的限制原則的行為規制價值需要尊重個人信息作為數據生產要素的屬性。向企業闡明，其需要在收集信息時明確告知主體其具體意圖和目的、處理方式、可能產生的風險等事項，并在承諾的目的范圍內按其承諾的方式處理信息——以之為行為規范，即是私法活動的合法參與者。

3 個人信息概念的應然分類

3.1 個人信息類型化的理論紛爭

受制于路徑依賴，權利標識要素在概念中被默認為居于中心。《中華人民共和國民法典》（以下簡稱《民法典》）將之放置于人格權編做專門規定，即是明證。立法者將“個人信息”與“隱私權”并列為章目的表達，也體現出其更偏向保護個人信息在權利標識上的“隱私性”。但進一步分析《民法典》第一千零三十四條第三款，顯然，在強調“隱私性”之外，立法者也注意到個人信息的非隱私面向，明確表示應區別保護⑥。通過梳理眾多的個人信息類型化區分之學說，筆者大致將其分為理論與規范兩部分予以介紹。

就理論層面而言，項定宜、申建平認為，個人信息可依據與“人格權”的種差遠近關系，分為緊密型與疏遠型，其中緊密型個人信息以個體性、敏感性、直接識別性為特征要素，否則為疏遠型個人信息[4]；袁泉、王思慶以個人信息時間性周期為基礎，認為個人信息具有一定的生命周期，且在不同的階段會呈現不同的利益形態，因而個人信息可被劃分為私密信息、事實信息和預測信息[5]；劉迎霜基于人的社會屬性，認為自然人與生俱來的生物信息是自然性個人信息，而當個體為能夠參與到社會生活中，主動或被動獲取的相應符號或信息則是社會性個人信息[6]。雖然學者們在應然分類這一問題上各執己見，但其根本意圖仍是對個人信息進行類型化處理，以期針對不同的信息采取具體保護措施，以此平衡信息收集者與信息主體間的矛盾。

就規范層面而言，現行立法中對于個人信息的類型也依據不同分類標準而證立?！缎畔踩夹g公共及商用服務信息系統個人信息保護指南》（以下簡稱《保護指南》）以敏感程度為標準，將個人信息分為敏感信息和一般信息。《民法典》第一千零三十四條以信息的私密性為區分標準，規定個人信息分為非私密信息與私密信息；第一千零三十六條以是否公開為區分標準，將個人信息劃分為未經公開信息與經合法公開的信息?！秱€人信息保護法》延續了相應的立法理念，在既有規范之上，綜合《保護指南》與《民法典》第一千零三十六條之規定，對個人信息分類作進一步完善的規定。

3.2 個人信息概念類型化的理想選擇

筆者認為，個人信息概念類型化應以其是否具有敏感性為分類尺度。相較于其他類型的個人信息而言，個人敏感信息一旦被泄露或被非法使用，由于其具有對個體的直接識別性，個體遭受人身、財產方面等侵害的可能性則更大，相關侵害與人格權利益受損的相關度更高⑦。就立法角度而言，有關個人信息保護的實質性差異體現在敏感信息與一般信息的區分，侵害個人敏感信息可能會對信息主體造成毀滅性的傷害，因而需要提高對其保護的標準。通過上文梳理學界有關個人信息分類之學說，敏感信息也是諸多理論分類中的核心要素。人格緊密型的個人信息中，就已包含了信息的敏感性。以個人信息的生命周期為劃分依據，“私密信息”語詞本身便已包含“敏感信息”。即便以公開與否為標準，也可從中提取出“敏感信息”的要素。

若將視角轉向世界，以敏感程度作為區分依據，建立個人信息保護的規范體系既是順應歷史潮流，也是符合國際趨勢的。以歐洲理事會頒布施行的《關于個人數據自動化處理中的個人保護公約》（1981）、日本修正的《個人信息保護法》（2018）、《歐盟一般數據保護條例》（2018）為例，目前大多數國家和地區均以“敏感信息與一般信息”為標準以區別規制個人信息保護。而在我國，以諸多規范性文件⑧為依據的司法實踐中，也是以敏感度為區分標準的。如“羅某、巢某訴南京市規劃和自然資源局、南京市人民政府土地行政登記糾紛”一案中，法院認定有關房屋的權屬信息為敏感信息，非經法定程序不得公開⑨。又如“陳某平侵犯公民個人信息罪”一案中，卡主手持身份證照片被法院認定為個人敏感信息并加以保護⑩。“朱某與北京百度網訊科技有限公司隱私權糾紛”一案中，法院參照《保護指南》5.2.3條之規定，對個人信息予以區分，將個人信息區分為敏感信息與非敏感信息??？傆[我國司法實踐，各法部門內涉訴案件之裁判邏輯，均體現出一種傾向性：以敏感信息與一般信息為區別規制之標準，是符合司法實踐、適合我國國情的理想路徑。

4 個人信息的法益衡平路徑

4.1 信息采集主體要自覺恪守“去識別化”

承接上文分析，統合個人信息保護與收集使用之兩造分歧的有效路徑，是在目的限制原則下對個人權利保護做動態考量，承認個人信息的數據生產要素價值，在收集與使用行為上將個人信息的隱私性部分“脫敏”?！叭プR別化”是將個人信息的公開與隱私部分相脫離的有效技術手段。在數字時代，企業應重視如何將個人敏感信息的數據隱私風險掌控在合理且可接受的范圍內。判斷去識別化的有效性，實際上是對風險本身的評估，只有將個人信息的生命周期，從隱私權政策、風險評估到去識別化操作、重新識別等環節都包含在內，才能真正起到去識別化的效果。

學者Tene與Polonetsky倡議，可比對個人信息再識別本身在統計學上的可能性，并搭配企業對于不進行再識別的合法承諾以及契約義務，以達到防止效果。筆者也認為應將基于個人信息安全原則所采取的去識別化方法視為一種保護措施。企業應盡可能將個人信息去識別化，同時不放棄對數據進行有益使用，或許才是較為明智的做法。為使該做法行之有效，企業應當以目的限制原則為動機篩選，優先考慮去識別化數據的使用目的。當去識別化數據（例如須經反復對照、組合、鏈接而耗費巨大時間、費用、人力后，方可識別某一特定個人的數據）難以反向定位到特定個人時，該數據則不構成合理的隱私期待，相關信息則不屬個人信息立法的規制范疇。于此，企業可將對去識別化數據的使用與二次使用，獨立于個人數據初次使用的類型之外。

4.2 在風險可控范圍內采集信息

作為權利主體的個人，在企業遵循目的限制原則前提下，也必須接受系統性風險的存在。貝克的風險社會理論指出，風險是社會發展的結果，是與現代化的威脅力量以及現代化引致的懷疑的全球化相關的一些后果。在風險社會理論下，數字空間有其自生的系統性風險，有關個人信息的糾紛非可單向度歸因于企業的收集使用行為。相反，非敏感性個人信息的價值更多地體現于利用價值，若片面強調對信息保護而無限放寬對信息敏感性認定的標準，則無法符合當今社會需要及經濟發展。綜合學者有關信息處理風險程度的理論，本文擬提出以下幾項標準：

第一，信息的敏感程度。識別性作為個人信息的核心特征，若某信息可直接鎖定某自然人的身份，則可認為其為直接識別；若某信息無法直接鎖定自然人身份但輔以其他信息可確定的，為間接識別。故而，識別性可體現出信息的敏感程度。就具體個案而言，若信息的識別性越強，則敏感度越高，那么企業在處理信息時所受的限制就應更多。

第二，企業對風險的控制。特定的行為或活動必然伴隨著相應的風險。當行為人做出特定行為時，必然要對風險實現時的責任予以承擔[7]。也即，當企業做出信息處理的行為時，伴隨信息處理活動所產生的風險及風險造成的不利后果必然由企業承擔。此時，企業對風險的控制能力與風險發生的可能性、后果的嚴重性呈負相關。

第三，個體預期的處理狀態。法律保護合理的信賴，但企業不得以個體無法預期的方式對收集的信息進行處理。個體基于信任同意企業對其信息進行收集、處理，企業對于個體的信賴則負有相應的保護義務，應當以雙方約定的方式對信息進行合理的利用。有鑒于此，企業應將處理信息所產生的風險限縮在合理范圍內，建立相應的風險防范機制。若風險超出合理范圍，企業需要對個體做出相應的風險告知以重獲個體的授權；若風險未超出合理范圍，但基于原有風險會產生擴大之趨勢，企業仍需告知個體并重獲授權；若個體表示拒絕，則企業須停止信息處理工作，除非企業有合理理由及證據證明繼續處理信息的利益大于個體的利益。

注釋：

①2019年10月，黨的十九屆四中全會通過了《中共中央關于堅持和完善中國特色社會主義制度推進國家治理體系和治理能力現代化若干重大問題的決定》，指出“健全勞動、資本、土地、知識、技術、管理、數據等生產要素由市場評價貢獻、按貢獻決定報酬的機制”。

②參見2021年中國青年網的專題報道《315晚會曝光九大行業亂象，個人信息安全問題曝光率最高》，https://baijiahao.baidu.com/s?id=1694374815736254320&wfr=spider&f or=pc，最后訪問時間：2022年1月14日。

③以某頭部購物平臺的《用戶服務協議》為例，其中關于用戶個人信息與隱私權政策表示，在消費者使用該平臺的產品或服務時，該網站將至少向用戶收集“涉及產品或服務的基本功能實現的”與“涉及附加功能（如廣告推送）實現的”個人信息。且該條款中同時寫道，若用戶個體對相關信息拒絕提供，將無法正常使用該平臺的產品或服務，并無法達到該平臺擬達到的功能效果。https://terms.alicdn.com/legal-agreement/terms/suit_bu1_taobao/suit_bu1_taobao201703241622_61002.html?spm=1.231242.247651.2，最后訪問時間為2021年12月10日。

④《中華人民共和國個人信息保護法》第六條規定：“處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。收集個人信息，應當限于實現處理目的的最小范圍，不得過度收集個人信息。”

⑤《中華人民共和國民法典》第一千零三十五條、《中華人民共和國網絡安全法》第四十一條、《中華人民共和國消費者權益保護法》第二十九條等諸多規范都要求信息處理者明示信息處理的目的。

⑥《中華人民共和國民法典》第一千零三十四條第三款：“個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定?！?/p>

⑦《中華人民共和國個人信息保護法》第二十八條規定：“敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息?！?/p>

⑧我國在規范層面，以大量規范性文件直接或間接地規定了敏感信息，詳情參見《中華人民共和國民法典》《中華人民共和國個人信息保護法》《征信業管理條例》以及《信息安全技術公共及商用服務信息系統個人信息保護指南》《信息安全技術個人信息安全規范》。

⑨詳情參見裁判文書網（2020）蘇01行終480號行政判決書。

⑩詳情參見裁判文書網（2019）閩05刑終1210號刑事判決書。

?詳情參見裁判文書網（2014）寧民終字第5028號民事判決書。