《民法典》下APP 對個人信息合理使用的法律規制

孟 翔

廣東尚堯律師事務所，廣東 佛山 528000

近年來，各類APP 迅速發展，相比之下，法律規定和監管治理存在滯后現象，導致個人信息通過APP 被大量過度收集和不當使用，例如2020年北京互聯網法院在個案中認定了某音APP 和某信讀書等軟件均存在侵害個人信息權益的情況。這表明，APP 個人信息泄露情況十分嚴重，相關治理刻不容緩。［1］對于APP 個人信息使用情況的治理，既要繼續保留其合理使用的區域，又要嚴格約束其不能跨越使用邊界，對此，本文將結合《民法典》中相關規定展開分析和說明。

一、APP 對個人信息使用中存在的問題

（一）核心問題——合理邊界

在APP 等軟件對個人信息的使用上，一直存在的一個核心問題，是如何確定合理使用的邊界。對此，學界和實務界都存在眾多爭議，尚未確定。個人信息作為自然人人格標識的展現，它和個人隱私權不同。個人隱私權屬于一種絕對防御性權利，不容侵犯；但是個人信息卻允許被合理使用。例如對個人的消費習慣、消費偏好等的收集，有助于APP 等軟件改善自己的用戶體驗，但是對此必須在合理范圍內展開。然而，合理范圍在哪里，它本質上不是一個理論上可以確定的問題，而需要在現實中不斷摸索，積累經驗。

（二）APP 對個人信息獲取要求超越“必要性”范疇

一些調查表明，雖然法律規定了必要性原則，要求APP 對于用戶個人信息的獲取必須遵循必要上的最低限度。［2］但是在實際操作中，必要性原則的具體內容并不清晰。一些APP 所提供的服務會和其他領域交叉，或者自身就提供一種多元化服務，此時其從某一渠道中獲得的個人信息，也會被其運用到其他領域和服務中。所謂的必要性原則，到底是基于單一領域的必要性原則，還是基于APP 整體功能的，并不清晰。此外，是否允許APP 可以將從某一領域內獲得的個人信息運用到其他領域中，也充滿爭議。

（三）APP 如何使用個人信息用戶不知情

APP 軟件如何使用個人信息，對此很大程度上依賴于APP 軟件的自我約束，以及相關監管。對此，作為個人信息的直接提供者——用戶，既不知情，也無能為力，無法介入。用戶只能期待APP軟件使用過程是誠信、善意的，這構成了其合理信賴。［3］但是，由于雙方信息獲取差異性過大，以及在行業地位、技術上存在巨大的鴻溝，導致了用戶對APP 軟件無法實施監控。相關監管畢竟存在監管范圍的局限性，這就導致缺乏用戶監督構成了最大的監管漏洞。

（四）用戶對個人信息授權缺乏選擇性

許多用戶并不樂意對APP 軟件在過大范圍內授權自己的個人信息，但是問題在于，他們對授權程度無法選擇，并且一旦拒絕整體性授權，就意味著他們無法繼續使用某個APP。此種情況下，如果缺乏其他同類替代品，且替代品執行不一樣的個人信息搜集規定，他們往往被迫必須使用某個特定APP，并且接受其個人信息相關規定。實際情況中，許多同類型的APP 往往執行相同的個人信息搜集規則，并未給用戶提供多樣性選擇。這就導致了用戶對個人信息的授權看起來有選擇權利，實際上并無選擇權利。

二、APP 對個人信息合理使用的約束困境

APP 對個人信息合理使用的約束主要通過法律規定、司法訴訟和監管治理等實現，但是三者在對其發揮規制、約束作用上均還存在一些困難之處。

（一）法律困境

APP 對個人信息合理使用的約束困境突出體現在“知情—同意”規則運用的局限性上。個人信息收集上應當按照法律法規的規定和雙方約定，遵循《網絡安全法》第四十一條的規定，滿足合法、正當、必要原則，收集信息的類型、目的、方式和內容都應該提前向用戶公布說明，只有用戶同意，才可以繼續收集。［4］但這一規則是否能落入實效，是一個很大的疑問。無論是用戶在其中的知情，還是用戶在其中的同意，都很難被視為是在真正自由和充分了解下做出的選擇。因為例如相關內容非常晦澀難懂、非常專業，用戶對此無法理解，隱私政策訪問路徑個性化設置比較復雜，許多用戶為了快速使用APP 往往會勾選通行的規則，即同意APP 對自己個人信息全面搜集。但如此，用戶實際上放棄了自己真正的知情和同意權利，這種放棄并非主動，而往往是基于被迫。

APP 對個人信息合理使用的法律約束還體現為必要性內容的不清晰。《信息安全技術—個人信息安全規范》（GB/T 35273-2020）附錄A 中，對于個人信息進行了具體類型的列舉，規定APP搜集個人信息必須符合其目的，而且僅在必要的情況下搜集。但是由于目前相關列舉雖然細致，卻沒有進一步說明不同APP 允許搜集哪些個人信息，以及如何確保其搜集目的、手段和內容之間符合必要性原則，也即符合比例原則，這就導致了即便APP 過度搜集個人信息，對其不恰當使用，法律上也很難對此具體界定和懲處。

（二）司法困境

APP 對個人信息是否合理使用，一旦相關情形進入到司法訴訟中，司法訴訟對其如何判定以及懲處，也存在一些困難。這一難點主要是在于，司法訴訟中并不能簡單否定APP 對個人信息的任何使用，而必須要探索如何貫徹個人信息合理使用制度下公共利益與私人利益之間的平衡。［5］目前，司法訴訟中的相關困境主要體現為：

1．個人信息合理利用上存在舉證困境。作為用戶的個體，往往缺乏足夠的舉證能力，證明APP對個人信息利用上的不合理。相比之下，APP 卻可以比較輕易地證明自己對個人信息利用上是“合理”的。這里就存在一種由網絡信息技術導致的技術鴻溝，對其進行客觀判斷的主體，只能是具有同樣知識技術背景的客觀第三方專家或專業機構。即便是法官也很難憑借個人法律素養和經驗進行合理判定。

2．即便APP 對個人信息的利用存在不合理，往往侵權后果上也難以明確。因為APP 不當使用個人信息主要體現為將其給其他機構、程序繼續使用導致信息泄露，或者對其進行商業使用，從而變現，但是它給個人帶來的侵害后果卻是不明確的，往往只有極端案例下，侵害后果才凸顯出來，大量其他情況下，侵害后果是隱蔽的、長期的和緩慢的。

3．APP 對個人信息的不當利用屬于典型的違法成本低、維權成本高。這導致大量用戶如果沒有面臨極端侵害情況，往往選擇息事寧人，而不會主動維權。

（三）監管困境

在行政監管方面而言，如何能夠對APP 搜集個人信息進行有效監管，目前也存在許多困境。監管理念的落后、監管制度的不成熟以及監管效果的不可控性，都是廣泛存在的困境。2017 年6 月1日我國《網絡安全法》施行以后，對移動APP 進行監管已經成為相關部門的工作重點，例如2017年中央網信辦、工信部、公安部和國家標準委等部門都開展了專項工作，打擊APP 過度搜集個人信息和保護個人隱私權的現象；2019 年，類似專項活動繼續展開，并且還拓展了不同的舉報渠道，不斷編制新的規范文件，并讓專業評估機構介入進行評估等。［6］這些活動雖然表明了行政監管的力度和決心，但是其問題在于，專項行動具有效果上的不可持續性。它沒有能夠形成長期、持續、穩定的監管效果。這就導致某些整改在整改之初效果良好，但是整改專項行動過去以后，隨著時間的推進，整改效果會不斷下降，最終APP軟件可能又會在個人信息搜集上“故態復萌”。

三、確保APP 對個人信息合理使用的法律規制之建議

針對如上APP 對個人信息搜集中存在的問題，以及其法律規制的相關困局，筆者從法律規定、司法訴訟和行政監管三個層面給出如下法律規制建議。

（一）改進、補充“知情—同意”規則和必要性規則

如上所述，“知情—同意”規則和必要性規則對于APP 合理使用個人信息的保證和約束效果越來越差，對此有必要通過規則補強的方式，才能讓兩項原則繼續發揮作用，實現較好效果。

就“知情—同意”規則而言，要保證用戶的“同意”是在擁有充分自主權的情況下，自主選擇的“同意”，即便用戶不同意APP 的搜集和使用個人信息規則，也能使用APP 的基本功能。要確保用戶“知情—同意”的自主性，法律需要保證，用戶即便不同意APP 的個人信息搜集和使用規則，也能夠找到替代功能的APP，或者能夠繼續使用APP 的部分基本功能。對于前者，已經超出了法律的可能，所以法律應當保證用戶在不同意APP 的個人信息搜集和使用規則下，也能夠繼續使用APP 的部分基本功能。這才是真正的個人信息自決，否則所謂的“同意”會等同于受害人同意“讓盜竊變為贈與”的情況。［7］

要確保用戶能真正知情和同意，還必須要繼續細化APP 收集個人信息的必要性規則，即APP對個人信息收集的程度必須再進一步分級。筆者建議，法律應當出臺相關更細的司法解釋，將APP對個人信息收集的程度分為“個人信息的必要搜集”“個人信息的全面搜集”和“個人信息的個性化搜集”三類。APP 應當允許用戶選擇“個人信息的搜集”程度，通過最低限度的個人信息搜集措施，從而應用APP 的最基本功能。一旦用戶想用更高級功能，則需要用戶進一步重新對某些新的搜集需要進行授權。如果用戶想一勞永逸，也可以選擇“個人信息的全面搜集”。對于一些有個人偏好的用戶，應當允許其對個人信息搜集進行一種個性化設置。

（二）細化司法訴訟中APP 一方的舉證義務

在司法訴訟中，為了更好地達成實質公平，也即更多激勵用戶維護自己的權利，對APP 信息搜集和利用的合理性形成外部約束，則要重新分配舉證義務。用戶如果認為APP 信息搜集和利用不夠合理，只需要負擔最基本的舉證義務，從普通公眾角度、根據普通公眾的能力能提出最基本的證據即可。涉及APP 信息搜集和利用的專業領域，在普通人無法進入的階段，APP 信息搜集和利用的相關舉證將轉移到APP 一方，或者由法官來依據職權搜集證據。如此，提高了相關案例的可訴性。

具體而言，APP 一方需要證明的方面包括：對用戶“知情—同意”規則形成實質性運用，即雙方達成真正合意。此外，還須證明自己搜集用戶個人信息的范圍、方式和內容是必要的，自己對用戶個人信息的利用目的、方式是合理的，自己沒有給用戶個人信息保護上帶來負面影響以及違反相關法律規定。對此，也需要司法實踐中出臺更細的解釋規則，明確APP 一方證明的內容和證明的方式，需要提供何種證據來表明這一點。司法實踐中還要繼續細化APP 不當、非法搜集、使用用戶個人信息情況下的法律責任的承擔。從《民法典》角度看，其主要為民事責任，應當既包括財產利益的損失，也包括精神利益損失。［8］此外，《民法典》中所規定的人格權禁令制度也應當進一步運用在這里，形成良好的事前預防機制。

（三）建立穩定、持續、效果確定的行政監管體系

穩定、持續、效果確定的行政監管體系的建立，有助于行政機關對APP 搜集、使用個人信息形成持續的監控和約束，使得其違法成本被有效提高。如此，各類APP 軟件不容易出現在“嚴打”期間謹慎行事，之后就放松的情況。因為APP 開發時間通常不長，更新較快，更迭周期短，這意味著“嚴打”性、專項式的行政監管在APP 監管上很容易形成一些漏洞。所以，行政監管需要深入到APP 個人信息數據的內部管理上，由此出發構建一套嚴謹的管控體系。［9］如此，讓APP 在設計個人信息數據搜集和利用的底層邏輯上就接受監管，此后每一個環節都符合監管要求。如此，APP 個人信息數據的搜集和使用才能最大程度上被置于有效的行政監管之下，并且形成確定的監管效果。

四、結語

當下我國各類APP 對個人信息搜集和使用上，仍舊呈現出明顯的無序感。這種無序感深刻影響著個人信息數據保護與應用的相關市場，也限制了APP 對個人信息真正有必要的合理利用。對此，需要找到合理利用的邊界、方式和內容，加強法律規定、制度建設、司法實踐和行政監管各方面的約束，從而使得APP 對個人數據的合理利用真正成為可能。