《個人信息保護法》同意撤回規則的教義學評析

朱志峰

(長春財經學院 法學院,長春 130122)

個人信息處理的合法性基礎是信息主體的同意,那么,信息主體在作出同意后又反悔的,是否可以撤回其同意?對此,《中華人民共和國民法典》(以下簡稱《民法典》)、《中華人民共和國網絡安全法》(以下簡稱《網絡安全法》)等相關立法并未明確。實踐中,一些網絡平臺在其隱私政策中明確聲明用戶可以收回其先前作出的授權同意,(1)如京東隱私政策聲明用戶可以通過刪除信息、關閉設備功能、在京東網站或軟件中進行隱私設置等方式改變授權其繼續收集個人信息的范圍或撤回授權。參見《京東隱私政策》,載京東網,https://about.jd.com/privacy/。百度、天貓的隱私政策亦均明確提及信息主體可以收回授權同意。但也有的網站隱私政策并未明確提及同意的撤回(2)如新浪個人信息保護政策只提及刪除賬號,未明確提及同意的撤回。參見《新浪個人信息保護政策》,載新浪網,https://passport.sinaimg.cn/html/sso/privacyclause.html。。在欠缺明確法律依據的情形下,信息處理者制定的相關政策水平參差不齊,亟待規范。2021年8月20日,《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)正式通過,個人信息保護迎來全新時代,其中,第15、16條規定了同意撤回規則,至此,信息主體撤回其同意有了明確的法律依據。

同意撤回規則在教義學上應做如何理解,實有分析研判的必要。從信息自決的理論出發,信息主體同意他人對于其個人信息的處理并不表示信息主體放棄其權利,因此即使在其同意后,信息主體仍然保有對其個人信息的自主決定權。[1]155-156基于人的自我決定權之法理,應當允許信息主體撤回已作出的同意。但另一方面,值得思考的是,經信息主體同意已對信息進行處理的相對人是否對于信息享有某種權利?或者,相對人與信息主體間是否結成某種債權債務關系?抑或相對人對于信息的處理是否具有某種值得法律保護的信賴?顯然,如果對這些問題的回答是肯定的,就不能簡單地從信息自決法理推出撤回同意的正當性。不難看出,在分析同意撤回規則的規范構造之前,必先對同意及其產生的法律效果做一番探究。此外,《個人信息保護法》使用了“撤回”這一概念,而“撤回”和“撤銷”有其不同的適用對象,在《民法典》中也有著較為嚴格的區分。欲準確使用概念,使之符合我國既有的法律用語習慣和法學概念體系,也必先明確作為對象的同意的性質。

一、同意之類型化

同意本是單純地對信息收集行為的違法性加以排除的行為,但由于實踐中信息主體往往與網絡運營者等信息處理者之間還存在服務協議等合同關系,(3)有學者指出,在實踐中,無論是平臺的隱私政策、用戶協議還是司法實踐,都將知情同意轉換為一種同意授權。參見文獻[2]。這些合同關系與同意交織,呈現出更為復雜的形態,(4)正因如此,有學者簡單地將同意認作信息主體進入包含行為信息采集內容的合同關系的意思表示。參見文獻[3]。故有必要以類型化的方式對同意展開分析。

(一)單純作為免責事由的同意

信息主體對于個人信息法益享有自決權,他人若有收集、使用等處理信息主體個人信息的行為,顯然侵害了信息主體對于個人信息的控制,本質上構成對信息主體人格權益的侵害,是一種侵權行為,理應承擔侵權責任。而如果信息主體放棄法律的保護,同意他人的信息處理行為及其對自己人格權益造成的侵害,行為人的行為違法性即遭排除,自無侵權責任的產生。這就是作為免責事由的受害人同意。受害人同意的價值基礎,根據通行的學說觀點,源于行為人的自我決定權與伴隨自我決定權的自我責任。[4]168盡管《民法典》并未明文規定受害人同意構成免責事由,但基于人之自我決定權的法理,自無不許的道理,且無論是司法解釋還是法院的判決都承認受害人同意具有免除侵權責任的效力。[5]《民法典》第1035條、《個人信息保護法》第13條、《網絡安全法》第41條第1款均明確規定同意為個人信息處理的合法性基礎,正是受害人同意作為侵權責任免責事由的具體例證。

受害人同意可由受害人單方面自我決定,也可在加害人說明的前提下進行。由于信息不對稱等原因,有時只有在加害人充分說明的前提下,受害人才可能作出理性的同意。[6]信息主體對于信息處理行為的同意正屬于后者,正因如此,《民法典》第1035條、《個人信息保護法》第17條、《網絡安全法》第41條第1款明確規定信息處理者應當公開處理信息的規則,告知處理信息的目的、方式、范圍、保存期限等。實踐中,淘寶網、京東、騰訊等網絡運營者均公布其隱私政策,也正是說明、告知的體現。在此基礎上,信息主體作出的同意,是在加害人說明的前提下的單方行為。這是第一種類型的同意。

對于此種在信息處理者說明隱私政策的前提下信息主體作出的同意,有學者認為在信息主體和信息處理者之間形成合同關系,其內容是,信息處理者有權按照隱私政策的規定收集、利用用戶的個人信息,并負擔遵守法律和隱私政策的規定合理收集、利用用戶的個人信息并保障用戶個人信息安全的義務,信息主體則有權請求網絡服務提供者按照法律規定和隱私政策的約定收集、利用其個人信息,并負擔允許網絡服務提供者按照隱私政策的規則收集、利用其個人信息的義務。[7]筆者認為,單純作為免責事由的同意只是信息主體放棄法律對其提供的保護,其法律效果是行為人處理信息主體的個人信息不構成侵權,如果更進一步,信息主體負擔容忍或提供其個人信息給行為人處理的義務,那么就進入了另一個領域,信息主體須有成立合同關系的意思表示。可是,若信息主體負擔容忍或提供其個人信息給行為人處理的義務,只是為了換取對方按照其公布的隱私政策來處理個人信息,實在看不出信息主體訂立這樣的合同有何實質的益處。既如此,信息主體有何動力作出受合同拘束的意思表示呢?且認定信息主體與信息處理者之間有合同關系未必更有利于信息主體,一是因為《民法典》《個人信息保護法》《網絡安全法》等法律已經對個人信息的處理進行了較為周全的規定,信息處理者公布的隱私政策未必會比法定義務的標準更高,信息主體尋求合同救濟的可能性未必如想象中大,二是因為合同是一把雙刃劍,在拘束信息處理者的同時也拘束信息主體。況且,正如下文揭示的,信息主體與信息處理者常簽訂網絡服務協議,其中也多有個人信息處理授權的條款,若認為在該協議之外尚有隱私政策協議,不免有疊床架屋之感。因此,在一般情形下,本文將信息主體的同意定性為加害人說明前提下的單純作為免責事由的受害人同意。

(二)同時授予信息處理者債權性用益的同意

實踐中,信息主體同意其個人信息由他人處理,往往是因為想要享有他人的服務,此時,除對隱私政策表示同意外,信息主體與信息處理者還另行簽訂了服務協議。例如,在注冊淘寶賬號時,須與淘寶簽訂“淘寶平臺服務協議”,而該協議關于用戶個人信息保護及授權的條款明確約定“您同意淘寶按照淘寶平臺上公布的隱私權政策收集、存儲、使用、披露和保護您的個人信息”,將淘寶的隱私權政策并入服務協議,成為服務協議的內容。“騰訊服務協議”也清楚地寫明,“本協議內容同時包括《騰訊隱私政策》”、“您對本協議的接受,即視為您對《騰訊隱私政策》的接受”。同樣地,“新浪網絡服務使用協議”并入了“新浪個人信息保護政策”,“百度用戶協議”也并入了百度的“隱私權保護聲明”。此外,信息主體對于隱私政策的同意與對于服務協議的承諾,往往是一鍵完成的行為。在這種情形下,即使在邏輯上可以區分對于隱私政策的同意與對于服務協議的承諾,也因為隱私政策并入服務協議而使區分的價值大打折扣。只要信息主體對服務協議進行了承諾,可以斷定其同時也對隱私政策作出了同意。正如學者所指出,授權使用的意思表示中也包含了一個同意被許可人侵害其人格要素的處分意思,故也能阻卻行為的違法性。[8]不僅如此,在服務協議中,信息主體也有授予相對人(信息處理者)對其個人信息享有債權性用益的表示,而信息主體之所以愿意授予相對人對于其個人信息的債權性質的用益,是因為相對人提供的服務以必要的個人信息為基礎。為了享有相對人提供的服務,信息主體負擔了提供必要個人信息的義務。

這是第二種類型的同意,它實際上是對于包含個人信息處理內容的整個服務協議的承諾。由于服務協議中已有對于個人信息處理的授權,這種明確的意思表示足以排除信息處理行為的違法性,故此種情形下無須另外的單純作為免責事由的同意。也就是說,就個人信息的處理而言,對于包含個人信息處理內容的整個服務協議的承諾不僅阻卻了信息處理行為的違法性,也同時授予信息處理者對于個人信息的債權性質的用益。

(三)與服務協議承諾相關聯的同意

與上述將隱私政策并入服務協議的做法有別,實踐中隱私政策與服務協議的關系有另一種呈現。例如,“京東用戶注冊協議”并未明確并入隱私政策,不過,注冊協議中也設有個人信息保護及授權條款,約定用戶向京東提供個人信息。此外,在注冊京東賬號時,需一鍵同意該注冊協議與隱私政策。此時,可以認為信息主體對于隱私政策的同意與對于服務協議的承諾在邏輯上可分,前者單純作為免責事由,阻卻信息處理行為的違法性,后者則是對服務協議的承諾,包括在服務協議中授予信息處理者對于個人信息的債權性質的用益。(5)有學者認為,同意與消費者在合同中就個人信息商業化利用所作出的同意承諾在邏輯上相互獨立,后者屬于負擔行為范疇,前者則是對后者的實施處分行為。參見文獻[9]第498頁。將同意看作是對債務關系的處分,令人費解。如認為同意是信息主體對于其個人信息權益的處分,似較為妥適,也與本文觀點相同,因為受害人同意從本質上說是受害人對自身權益的處分。

這一情形不同于第二種類型的同意,因為此時對于包含個人信息處理內容的整個服務協議的承諾無法涵蓋對于隱私政策的同意,后者依然具有獨立的規范意義。對隱私政策的同意本質上是單純作為免責事由的同意,但由于服務協議也有個人信息處理的內容,對于隱私政策的同意與對于服務協議的承諾顯然存在一定的關聯,尤其是,撤銷對于隱私政策的同意時,服務協議相應的承諾能否存續?可見,這雖然不是一種獨立的同意類型,卻是需要單獨考慮的一種情形。

二、不同類型同意之撤回

由上可知,同意有不同的類型。不同類型的同意產生不同的法律效力,故同意之撤回便不可一概而論,仍要以類型化的方式,針對不同類型的同意分別檢討。

(一)單純作為免責事由的同意之撤回

單純作為免責事由的同意,性質上不是法律行為,因為同意沒有表述任何指向某個法律效果的意思表示。(6)參見文獻[10]。不同觀點參見文獻[11]。基于此,《個人信息保護法》刪除了草案第14條“處理個人信息的同意,應當由個人在充分知情的前提下,自愿、明確作出意思表示”之規定,明確了同意非為意思表示的性質。同時,正因為同意不是意思表示,《個人信息保護法》第31條將獨立作出同意的年齡設在十四周歲,而非十八周歲。一般認為,受害人同意是準法律行為,因為同意不在于以發生一定法律效果為目的,不以具法效意思為必要,而系涉及自己權益侵害性。[4]168-169[12]確切地說,受害人同意屬于準法律行為中的意思通知,即行為人將含有特定目的之意思向相對人表達。[13]84在侵權法上,同意既然基于人的自我決定權之法理,則在侵害行為實施前,受害人自可隨時撤回同意,進而消除同意所產生的違法阻卻之效果。[14]195侵害行為如已發生,則同意已產生違法阻卻的效果,自然沒有撤回的余地。但是,像個人信息處理這樣的侵害行為是持續進行的,對于以后還會發生的侵害,信息主體可以撤回同意,消除同意所產生的違法阻卻效果。

(二)同時授予信息處理者債權性用益的同意之撤回

同意也可能是對于包含個人信息處理內容的整個服務協議的承諾。此時的同意不是準法律行為,而是一個意思表示,并且是與相對人的意思表示相結合成立服務協議的意思表示。當事人間既然已產生合同關系,自然不能簡單地從自我決定的角度,認可隨時任意地撤回承諾,因為信息處理者對于個人信息雖不存在直接的權利,(7)這并不妨礙信息處理者對于信息處理后形成的數據享有權利。正如學者所指出,法律應當認可企業在收集、匯總、加工個人信息的過程中所付出的代價和所創造的價值,賦予企業數據經營權和數據資產權。參見文獻[15]。但是基于服務協議,信息主體負擔提供必要個人信息的義務,信息處理者享有相應的債權,合同在雙方之間產生拘束力。此時,如果允許撤回同意,事實上是撤回了服務協議中授予信息處理者對于個人信息的債權性質的用益這一部分內容,從服務協議的角度來看,它實際上是一種單方的任意變更合同內容的權利。由于被變更的內容其實是被取消了,因此與合同解除的效力較為接近。那么,這種單方不附理由的任意解除,是否應當予以認可呢?實踐中,淘寶網等網絡運營者的隱私政策中聲明信息主體可以隨時收回同意,而隱私政策被整體并入服務協議中,相當于在服務協議中約定了信息主體單方變更合同、取消同意授權相應內容的權利。但即使沒有這樣的聲明,根據《個人信息保護法》第15條,信息主體也可以隨時撤回同意,其正當性就來源于服務類合同的任意解除權。

像“淘寶平臺服務協議”這類的合同,性質上應屬服務合同。所謂服務合同,一般是指全部或部分以勞務為債務內容的合同,又稱為提供勞務的合同。[16]《民法典》雖未將服務合同作為一類有名合同加以規定,但是其規定的承攬合同、保管合同、倉儲合同、委托合同、中介合同、物業服務合同等均為服務合同的重要類型。“淘寶平臺服務協議”這類服務合同,可作為無名合同適用法律。因《民法典》缺乏服務類合同總則性的規定,使得無名的服務類合同在適用法律上產生困難,對此,需要采用整體類推的方法,推演出服務類合同的某些共性。所謂“整體類推”,是指由將多數針對不同的構成要件賦予相同法效果的法律規定得出“一般的法律原則”,該原則在評價上也同樣可以適用到法律并未規范的案件事實上。借“整體類推”獲取一般性的法律原則,其基礎在于下述認識,即所有被援引的個別規定,其共通的“法律理由”不僅適用于被規范的個別事件,反之,只要某特定要件存在,其即得以使用。[17]具體而言,《民法典》在服務類合同中規定了若干服務受領人的任意解除權,例如第787條規定的承攬合同中定作人的任意解除權、第899條第1款規定的保管合同中寄存人的任意解除權、第933條規定的委托合同中委托人的任意解除權、第946條規定的物業服務合同中業主的任意解除權等,這些任意解除權的存在有著共同的依據,即服務合同的利益往往為服務受領人而設,如果服務的提供對于受領人已沒有利益,或者受領人的意愿產生變化,勉強繼續合同對服務受領人不甚合理且于社會經濟無益。[18]1026[19]163-164此外,一旦服務受領人與提供人之間的信任關系出現問題,非常有可能影響服務提供的質量,而任意解除權的設立有助于當事人從合同法鎖中解放出來。[20]因此,借“整體類推”可得出,在所有的服務類合同中,服務受領人原則上都享有任意解除權。[18]1036既然“淘寶平臺服務協議”這類服務合同的整體都可由服務受領人任意解除,更不用說只是取消其中的部分內容了。那么,取消了信息處理授權的內容,服務協議整體是否還能存續?筆者認為,當事人有約定的從其約定,沒有約定的可根據合同解釋的規則來處理。如果撤回的是支撐基本業務的必要信息,那么服務協議可能無法存續;如果撤回的是必要信息以外的其他信息,則其他信息支撐的拓展業務部分相應取消,基本服務協議不受影響。

(三)與服務協議承諾相關聯的同意之撤回

第三種需要討論的是撤回單純作為免責事由的同意而與之相關聯的服務協議中的授權意思可能受到波及的情形。這里的同意是單純作為免責事由的準法律行為,允許信息主體隨時撤回本無爭議,但考慮到與之關聯的服務協議可能受到波及,才有另行討論的必要。不過,上文在討論第二類同意的撤回時已經指出,服務受領人可以任意解除服務協議,所以,服務協議的存續受到影響并非信息主體撤回同意的障礙。因此,在這種情形下,也應當允許信息主體隨時撤回同意。

那么,當信息主體撤回同意后,服務協議的存續情況如何呢?有學者認為,撤回同意并不直接影響債權合同的效力,雙方之間的合同關系亦不因此而自動終止,不過,經營者可基于信息主體違約而解除合同并主張損害賠償。[9]498筆者則認為,信息主體撤回同意后,服務協議的存續仍遵循上文在第二類同意撤回的分析中給出的結論,即如果撤回的是支撐基本業務的必要信息,那么服務協議可能無法存續;如果撤回的是必要信息以外的其他信息,則其他信息支撐的拓展業務部分相應取消,基本服務協議不受影響。

三、撤回與撤銷之概念辨析

關于信息主體撤回其同意,《個人信息保護法》使用了“撤回”,而國家互聯網信息辦公室于2019年5月發布的《數據安全管理辦法(征求意見稿)》則使用了“撤銷”這一術語(見第8條、第11條第2款)。上文明確了信息主體之撤回所指向的對象,行文至此,有必要辨析術語的適當選擇,使之符合我國既有的法律用語習慣和法學概念體系。

撤回和撤銷在不同的法律體系下有著不同的使用習慣。我國民法雖深受德國法系影響,但在撤回和撤銷的概念使用上卻與德國有較大不同。在德國法上,撤回(Widerruf)包含了多個具有不同效力的表示:它可以阻止意思表示發生效力(《德國民法典》第130條第1款),也可以在債務關系成立前使已生效的意思表示失效(《德國民法典》第183條),還可以在已成立債務關系的情形下撤回生效的意思表示導致債務關系的終結,例如消費者的撤回權(《德國民法典》第355條),甚至可能是類似于解除或終止的、使債務關系終結的表示,例如贈與合同的撤回權(《德國民法典》第530條)。[21-22]撤銷(Anfechtung)則為意義單純的概念,其針對已生效而有瑕疵的意思表示,使之溯及歸于消滅。

而在我國,自《中華人民共和國合同法》時起就嚴格區分撤回與撤銷,《民法典》予以承繼。《民法典》使用“撤回”的情形包括意思表示的撤回(第141條)、要約的撤回(第475條)、承諾的撤回(第485條)、行紀合同中委托人撤回出賣(第957條第2款)以及遺囑的撤回(第1142條)。其中,要約的撤回針對的是尚未生效的要約,承諾的撤回針對的是尚未生效的承諾,二者均系在意思表示生效前阻止其發生效力,故適用意思表示撤回的一般規定。《民法典》第1142條將《中華人民共和國繼承法》第20條中遺囑的“撤銷”修改為“撤回”,對此,法工委釋義稱,根據意思表示的一般理論,撤回是使尚未生效的意思表示不發生法律效力,撤銷是使已經生效的意思表示具有溯及力的消滅,遺囑在遺囑人死亡時生效,故用撤回更加準確。[23]行紀合同中委托人撤回出賣,意指委托人不再委托行紀人出賣標的物,理論上,行紀的意思表示尚未生效而撤回者亦可包括在內,但事實上難以成立,故撤回出賣通常意味著撤回已經生效的行紀合同。將撤回用于已經生效的合同,與前述意思表示的撤回用法不一,該條的表述近似于我國臺灣地區“民法”第586條,誠如我國臺灣地區學者邱聰智教授所指出,此處之撤回語意似嫌模糊,比較上或以“撤銷”稱之,較為妥當。[24]

《民法典》使用“撤銷”的情形則更為多見,例如要約的撤銷(第476條)、可撤銷的民事法律行為(第147條以下)、債權人撤銷權(第538條以下)、贈與合同的撤銷(第658、663條)等。要約的撤銷,不以作為要約的意思表示有瑕疵為必要,其與撤回的區別在于,撤回阻止要約生效,撤銷則發生在要約生效之后,使其溯及消滅。在可撤銷的民事法律行為的場合,撤銷權的成立須以意思表示有瑕疵為條件,可見,撤銷既可以針對有瑕疵的已生效意思表示,也可以針對無瑕疵的已生效意思表示。對于債權人撤銷權的情形,撤銷的對象是債務人的詐害行為,不同于上述任何情形之一,而在贈與合同的撤銷中,撤銷類似于解除,針對的是已經成立的合同關系,與行紀合同中委托人撤回出賣的情形頗為類似,也可佐證前述邱聰智教授的意見。不難看出,在我國語境下,撤銷具有多義性,撤回則意義單純,僅指在意思表示生效前使之不發生效力的行為。

明確了我國概念體系下撤回與撤銷的區別,可以進一步檢討信息主體撤回其同意時正確的概念使用。首先,就單純作為免責事由的同意而言,信息主體撤回的是同意這一意思通知行為。原則上,準法律行為類推適用法律行為的規范。同意是向相對人作出的意思通知,有關需受領的意思表示的規則,如意思表示的發出與到達等應予類推。此外,意思通知作為表示行為,表達內容須真實,表達行為須自由,為此,影響法律行為效力的瑕疵原則上也可予類推。[13]87因此,單純作為免責事由的同意類推適用《民法典》第137條,因到達相對人而生效。有學者指出,在互聯網上作出意思表示的,意思表示作出后就能夠即時到達對方,因此網絡中的意思表示基本上沒有撤回的可能。[25]這也可以類推到單純作為免責事由的同意上。不僅如此,撤回同意并不限于在同意生效前作出或與同意同時到達相對人,即使同意已因到達相對人而生效,仍然可以撤回。這顯然不符合意思表示撤回的條件。同時,撤回同意是基于信息自決的法理,無須以同意存在瑕疵為條件。因此,撤回同意針對的是無瑕疵的已生效意思通知,這種情形與要約的撤銷類似,在我國的法律概念體系下,不應使用“撤回”,而應使用“撤銷”。相反,我國臺灣地區的概念體系更接近德國,撤銷多用于有瑕疵的意思表示,其債法修正時將懸賞廣告的“撤銷”修正為“撤回”,其學說將要約的形式拘束力稱為要約的不可撤回性,[26]而這些場合在《民法典》的用語習慣下均系撤銷,故我國臺灣地區學者稱被害人同意之撤銷為“撤回”,[1]156[14]195-196與我國語境不同,此不可不辨。

接著考察第二類同意,亦即對于包含個人信息處理內容的整個服務協議的承諾。承諾只可撤回而不能撤銷,因為承諾一經生效,合同關系即已成立,同時約束雙方當事人。但在此情形下,撤回同意并非撤回承諾,就像上文已指出的,一方面通過網絡作出承諾,往往發出即到達,基本沒有撤回的可能,另一方面撤回同意并不限于在同意生效前作出或與同意同時到達相對人。可見,這里撤回的對象并非承諾這一意思表示,而是已經生效的合同的部分內容。上文已指出,撤回同意可以理解為一種對合同的變更,由于是部分內容的取消,與解除有一定的相似性,上文也正是從服務合同的任意解除來論證這種情形下撤回同意的正當性的。并且,如果撤回的是支撐基本業務的必要信息,那么服務協議也可能無法存續,這就相當于解除合同了。那么,問題也隨之產生,對于這種屬于合同解除的情形,可否仍稱之為同意的撤回呢?

筆者認為,這種情形與單純作為免責事由的同意之場合類似,仍宜稱“撤銷”而非“撤回”。一方面,《民法典》規定了贈與合同的撤銷,這里的撤銷針對的是已經成立的合同關系,與解除類似,尤其是贈與合同的任意撤銷權,[27]其存在依據與無償委托、無償保管等合同的任意解除權的存在依據并無實質性的差別。這樣看來,將撤回同意稱為撤銷,與贈與合同的撤銷保持一致,也符合我國立法的用語習慣。另一方面,《中華人民共和國消費者權益保護法》第25條規定的無理由退貨權,在很多立法例上均有規定,它實質上是一種單方的任意解除權,而《德國民法典》第355條稱之為撤回權,其結構是在已成立債務關系的情形下撤回生效的意思表示導致債務關系的終結。如果借用這樣的思考路徑,也可以將第二類同意的撤回理解為撤回同意的意思表示導致服務協議的部分乃至全部終結,在我國的語境下,使已生效的意思表示失效應當使用撤銷。綜上,《個人信息保護法》中同意的撤回,若以概念體系統一的視角觀察,或以撤銷稱之更為妥適。

四、同意撤回之規范構造

行文至此,需要進一步分析和展開同意撤回的規范構造,包括信息處理者的告知義務、撤回權的行使方式、撤回的法律效力、與刪除權的銜接等,這些內容有的已在《個人信息保護法》中有明確規定,有的則需要根據民法原理加以補足。此外,根據上文的論證,同意的撤回涵蓋了受害人同意的撤回和授權使用之意思表示的撤回,而后者的依據在于服務合同的任意解除,因此,兩種類型的撤回如何加以統合,也是需要注意的事項。

(一)信息處理者的告知義務

首先,在作出同意前,信息主體應被告知有撤回同意的權利。上文指出,由于信息不對稱等原因,只有在信息處理者充分說明的前提下,信息主體才可能作出理性的同意。在《個人信息保護法》出臺之前,《民法典》第1035條、《網絡安全法》第41條第1款規定了信息處理者應當公開處理信息的規則,明示處理信息的目的、方式和范圍,對于撤回同意的告知則未明確提及。相反,歐盟《一般數據保護條例》第7條第3款則明確規定“在作出同意前,信息主體應被告知撤回同意的權利”。

筆者認為,盡管信息主體撤銷同意的權利并不取決于信息處理者的告知,但立法規定信息處理者的告知義務無疑是適當的,否則,信息主體可能因不知曉權利的存在而未行使權利。此外,告知義務的要求在第二類同意中還有特別的意義,因為服務協議往往為格式合同,要求信息處理者履行告知義務,也可體現立法對格式合同的規制。據此,網絡運營者應當在隱私政策中的信息主體權利或其他相關章節中采取相對集中且較為明顯的方式向信息主體告知其有權就其同意進行撤銷,并且應當就信息主體如何撤銷同意作出具體指導。《個人信息保護法》第17條第1款列舉了信息處理者的告知事項,其中第(三)項“個人行使本法規定權利的方式和程序”,盡管并不明晰,筆者認為可解釋為包括信息主體撤回同意的權利,即個人在作出同意前,應被告知有撤回同意的權利。

從實踐情況來看,網絡運營者制定的隱私政策基本上都包含有同意撤回的內容。初步觀察,網絡運營者對同意撤回的告知大致可分為兩種模式:一是概括性地告知信息主體可以更改授權范圍和撤回同意以及撤回同意的后果,二是具體地列舉撤回各項授權同意的途徑和方式。(8)例如,京東、美團、網易的隱私政策均概括性地告知用戶可以撤回其授權,而微信、抖音的隱私政策則詳盡列出了撤回同意的具體操作方式,譬如如何關閉推薦通訊錄朋友、如何關閉微信運動、如何刪除微信支付銀行卡。結合有關網絡運營者的告知義務的立法目的來看,第一種模式顯然未完全盡到告知義務,因此需要進一步將告知內容細化,或者可以在每次征集信息主體同意之前以彈出對話框的形式告知其撤回該項授權同意的具體方式。

(二)撤回同意的方式

撤回同意的方式和途徑應當簡單便捷。撤回單純作為免責事由的同意或服務協議中的授權使用條款,均系形成權的行使。依形成權行使的一般原理,形成權的行使行為屬于需受領的意思表示,信息主體向信息處理者為意思表示即可。依《個人信息保護法》第15條第1款第2句規定,個人信息處理者應當提供便捷的撤回同意的方式。何謂便捷的方式?歐盟《一般數據保護條例》第7條第3款規定,同意撤回的方式和途徑應當如同作出授權同意一樣簡易。歐洲數據保護委員會(EDPB)(9)歐洲數據保護委員會(European Data Protection Board,EDPB)是歐盟下設的一個獨立機構,致力于確保在整個歐盟范圍內一致地適用《一般數據保護條例》(GDPR),并促進歐盟數據保護機構之間的合作。EDPB可以通過通用性指南來澄清歐洲數據保護法規的條款,從而使歐盟利益相關者對其權利和義務有一致的解釋。GDPR還授權EDPB對國家監管機構作出具有約束力的決定,以確保對GDPR一致的適用。對該條規定解釋為,如果授權同意是通過例如點擊、打字等電子方式作出的,那么信息主體也應當通過同樣簡易的方式來撤回同意;如果授權同意是在例如網站、APP、登錄系統或郵件等特定服務的用戶界面作出的,要是僅僅為了撤回同意而要求用戶使用其他用戶界面,那么就會給用戶帶來不必要的麻煩,因此用戶也應當通過相同的用戶界面撤回同意。(10)Guidelines 05/2020 on consent under Regulation 2016/679, adopted on 4 May 2020 (EDPB).這確有道理,值得我國借鑒。故本文主張,撤回同意可以采用書面形式、口頭形式或其他形式,當事人約定采用特定形式的,依照其約定,但不得高于同意作出的形式要求。另外,同意的撤回系法律行為,故也可由代理人完成。(11)關于無權代理人責任,參見文獻[28]。

(三)撤回不影響此前信息處理行為的合法性

依《個人信息保護法》第15條第2款,個人撤回同意,不影響撤回前基于個人同意已進行的個人信息處理活動的效力。實踐中信息處理者提供的隱私政策往往也都有類似的聲明,這值得肯定,若撤銷同意使之前基于同意的信息處理行為失去合法性,并因此令信息處理者承擔侵權責任,顯然是荒謬的。

不過,這也會引發如下質疑:就單純作為免責事由的同意而言,撤回同意針對的是無瑕疵的已生效意思通知,這種情形與要約的撤銷類似,其效力是使被撤回的意思通知溯及地歸于無效,而現在又承認撤回不影響在撤回前基于同意作出的信息處理行為的合法性,似乎表明同意的撤回只對將來發生效力,(12)有學者認為,同意之撤回權不具追溯效力。參見文獻[9]第497頁。這樣不會發生齟齬嗎?其實,這并不矛盾。上文已經指出,受害人同意的撤回只能在侵害行為實施前作出,侵害行為如已發生,則同意已經產生了違法阻卻的效果,自然沒有撤回的余地,正如要約在被受要約人承諾后已成立合同關系,當然沒有再撤銷要約的可能。但是,像個人信息處理這樣的侵害行為是持續進行的,對于以后還會發生的侵害,在侵害尚未發生前,信息主體可以撤回同意。信息主體的同意原本對這些今后將會發生的侵害均產生違法性阻卻的效果,而撤回的效果就像他未曾對這些侵害作出過同意一樣,這不正是撤回溯及力的體現嗎?至于已經發生的侵害,并非同意的撤回對其不生效力,而是根本不允許撤回同意,二者不能混為一談。

接下來還應說明,對于第二類同意,本質上為合同解除的同意撤回為何也不影響撤回前的信息處理行為。這要從解除的效力上來說明。依《民法典》第566條第1款,合同解除后,已經履行的部分,根據履行情況和合同性質,可以只向將來發生效力,不產生返還清算的效力。服務協議中關于個人信息同意使用的部分,信息主體負擔的是持續的盡力義務,性質上為繼續性合同,而繼續性合同的解除通常只向將來發生效力;[19]160-161此外,撤回前基于同意作出的信息處理行為,根據履行情況也無法恢復原狀,故關于這一部分的解除只向將來發生效力,符合既有的合同解除規定。

(四)不因撤回同意而蒙受不利

信息主體在撤回同意時不應付出任何不合理的代價,在撤回同意后不應蒙受不合理的損失。這首先體現在,相對人不應停止不以個人信息授權為前提的服務或不應降低服務質量。正如上文指出的,如果撤回的是支撐基本業務的必要信息,那么服務協議可能無法存續;如果撤回的是必要信息以外的其他信息,則其他信息支撐的拓展業務部分相應取消,基本服務協議不受影響。《個人信息保護法》第16條規定“個人信息處理者不得以個人不同意處理其個人信息或者撤回同意為由,拒絕提供產品或者服務;處理個人信息屬于提供產品或者服務所必需的除外”,其意旨正在于此。

此外,撤回同意不應伴有損害賠償。正如歐盟《一般數據保護條例》序言第42段所指出,如果信息主體不能在不造成損害的前提下撤回同意,那么該同意不應被認為是自愿的。單純作為免責事由的同意的撤回,是信息主體自決的體現,且撤回在侵害行為實施前作出,也不會給相對人造成任何損害,自然不生損害賠償的問題。但是,第二類同意的撤回消滅了相對人債權性質的用益,上文論證其存在的依據在于服務合同的任意解除權,在此,難道不必考慮相對人的利益嗎?行文至此,須對這一問題作出回答。

以服務合同任意解除的一般原理看,解除并不排斥損害賠償,因為任意解除的存在依據只在于能夠使服務受領人在對服務的提供已無利益等情況下擺脫合同束縛,并無置服務提供者的利益于不顧的意思。正因如此,《民法典》在承攬合同(第787條)、運輸合同(第829條)、物業服務合同(第946條)等服務類合同中明確規定了服務受領人任意解除后的損害賠償責任。不過,這些規定往往是針對有償合同而設的。一般認為,在無償的服務合同中,服務受領人行使任意解除權,無須承擔賠償責任。《民法典》第933條修改了《中華人民共和國合同法》第410條,區分無償委托和有償委托而規定不同的賠償責任,也正是體現了這一思想。盡管《民法典》第933條規定無償委托合同的解除方應當賠償因解除時間不當造成的直接損失,但這主要是針對受托人的解除而言的,委托人解除無償委托,一般不會對受托人造成損失,因此無須承擔賠償責任。[18]1031《德國民法典》中的委托合同是無償的,《德國民法典》第671條并未規定委托人行使任意解除權時須承擔賠償責任,正說明了這一點。

那么,信息主體與網絡運營者簽訂的服務協議,是無償還是有償的呢?筆者認為是無償的。從網絡平臺的運營和營利模式來看,網絡平臺在進入市場以及擴大市場影響力時,基于網絡服務邊際成本遞減的特性,平臺往往會通過免費的基礎服務吸引用戶注意并增強顧客黏性,當形成了規模龐大的免費顧客群體之后,再通過收取高級定制服務費用和第三方服務收費來實現盈利。[29]實踐中,網絡平臺在對用戶提供基礎性服務時仍然普遍采取免費模式,[30]而以提供基礎服務為主要內容的網絡服務協議自然也應認定為無償。當然,網絡平臺并不是慈善家,免費的服務并非出于利他的動機。不過,正如贈與也有可能是出于回報以前接受的利益或期望對方將來作出奉獻,但法律不管這些動機,只看合同內容是否是無償的。[31]在服務協議中,依約定,服務受領人固然也負有提供個人信息的義務,但該義務只是接受網絡服務的某些必備條件。例如,網絡實名制是《網絡安全法》《互聯網用戶賬號名稱管理規定》等法律法規的要求,服務協議中要求提供手機號進行驗證,是實現用戶身份實名制的必要環節。又如,服務協議中要求服務受領人提供地址,往往是為了履行買賣合同中出賣人的交付義務。因此,服務受領人提供個人信息的義務并非接受服務的對價。(13)不同觀點參見文獻[3]和文獻[9]第497頁。正如附負擔的贈與不改變贈與合同的單務性和無償性,[32-33]服務受領人負擔提供個人信息的義務,也不能改變服務協議的無償性。既然服務協議是無償的,服務受領人通過行使任意解除權而撤回同意,當然無須承擔賠償責任。

(五)與刪除權的銜接

信息主體撤回同意后,信息處理者基于此前同意而處理的相關個人信息是可以繼續留存還是應當刪除呢?在《個人信息保護法》出臺之前,依《民法典》第1037條第2款、《網絡安全法》第43條之規定,網絡運營者違反法律、行政法規的規定或者雙方的約定處理個人信息的,信息主體有權請求其刪除,而信息主體撤回同意是否屬于刪除權的適用情形,似不甚清晰。實踐中,網絡運營者發布的隱私政策在刪除權的適用情形方面除了重復列舉上述法律規定外,一般只列出用戶注銷賬戶或己方終止服務及運營兩種情形,并未明確提及同意的撤回。值得注意的是,《個人信息保護法》第47條明確將“個人撤回同意”作為刪除權的適用情形之一,如此,同意的撤回與刪除權有效銜接,可充分實現信息主體的信息自決權,這無疑是正當的。刪除權的適用情形通常包括信息處理行為不具備合法性、信息處理的目的消失和信息處理的期限屆滿,[34]顯然,當信息主體撤回同意時,信息處理的合法性基礎即已消失,對個人信息的保存也就失去了必要性和正當性。在比較法上,歐盟《一般數據保護條例》第17條也明確規定,信息主體撤回同意并且在沒有其他有關信息處理的法律依據的情況下,如二者之間還存在合同關系,或者信息控制者需履行法定義務等,(14)Guidelines 05/2020 on consent under Regulation 2016/679, adopted on 4 May 2020 (EDPB).信息主體有權要求信息控制者及時刪除其個人信息,信息控制者也有義務及時刪除。

據此觀察不同類型的同意,單純作為免責事由的同意被撤回后,由于信息主體與信息處理者之間并不存在其他法律關系,除非有法定的依據,信息處理者不應再保留個人信息;第二類或第三類同意被撤回后,如果撤回的是支撐基本業務的必要信息,那么服務協議可能無法存續,符合刪除權的要件;如果撤回的是必要信息以外的其他信息,則其他信息支撐的拓展業務部分相應取消,但基本服務協議不受影響,信息處理亦不受影響。

五、結 語

作為知情同意規則的環節之一,同意的撤回規則在《個人信息保護法》中得到了確認。同意有不同的類型,其撤回也各有不同的理論依據。單純阻卻信息處理行為違法性的同意,性質上是單方的準法律行為,基于人的自我決定權之法理,在侵害行為實施前,應當允許受害人撤回已作出的同意,使已生效的意思通知溯及歸于消滅。在各類服務協議中授予相對人使用個人信息的同意,性質上是訂立合同的意思表示,不僅存在違法性阻卻的效力,更在雙方之間建立了無償的服務合同關系,基于服務受領人的任意解除權,信息主體可以撤回授權。統合上述情形的同意之撤回,若以概念體系統一的視角觀察,或以撤銷稱之更為妥適。同意撤回規則在《個人信息保護法》中只有兩個條文,但其規范構造并不單薄,包括信息處理者的告知義務、撤回權行使的方式、撤回不影響此前信息處理行為的合法性、信息主體不因撤回同意而蒙受不利、撤回同意后信息處理者的刪除義務等方面,有些內容尚需根據民法原理加以補足。在今后的法律適用中可能尤需明確的是,信息主體在作出同意前應被告知有撤回同意的權利,撤回的方式不得高于同意作出的形式要求,且撤回同意不產生損害賠償責任。