數字化視域下個人信息保護研究

一、問題的提出

知情同意規則是指個人信息收集者或處理者須充分告知個人信息主體信息收集或者處理的情況，使其知道并明確同意的規則。對于知情同意規則，學界有不同的觀點。有的觀點認為，應當在具體的情景中，明確個人信息的收集、處理及利用行為的合理界限[。該觀點認為，個人信息的收集、處理及其利用行為的知情同意邊界應當在具體的情形中予以確定。還有的觀點認為，知情同意的建構體系與大數據背景下個人信息的建構體系完全不同[2。此觀點認為，現階段的知情同意規則已不適應大數據時代變化，故應將現行的知情同意原則進行補正，或者予以修改。

筆者認為，大數據時代關于個人信息的收集、處理、利用行為過于復雜多變，知情同意規則過于籠統，法律規范較為模糊、寬泛，不足以適用甚至無從適用具體的、新穎的個人信息侵權行為，從而導致知情同意規則形式化。在社會實踐中，個人信息的收集者會采取隱私協議的方式向相對人履行告知義務，并依據該隱私協議來獲得個人信息主體的同意。但隱私協議過于煩瑣、復雜，個人信息主體在面對隱私協議的大量條款時，會選擇直接忽視，勾選“已知悉或者已讀取上述內容”，這就導致形式同意的出現。此時，知情同意機制實際上就轉化為一種無須個人信息被收集者實質性參與的默認同意機制。而且在交易活動中，隱私條款還包含著信息收集者為實現其利益目的而設置的免責條款，由于隱私條款、用戶協議及說明條款等事由瀏覽的不便，即便部分信息收集者會采取明顯黑體加粗字號或者將其重要文段放置于文中顯眼位置，但此條款亦被忽視，從而導致該知情同意機制成為個人信息收集者免責的工具。本文將從數字化視域下個人信息保護的立法、司法現狀出發，分析其當下主要面臨的多重困境，提出相應的解決對策，從而更好地維護個人信息主體的合法權益。

二、數字化視域下個人信息保護的立法現狀

（一）起步階段

我國個人信息保護意識萌發于1994年，但當時并未設立專項法律法規對其進行規制，因為我國當時網絡極不發達，電話、手機、電腦等電子設備僅少數人擁有，因此極少發現個人信息侵權的案件。2000年的《全國人民代表大會常務委員會關于維護互聯網安全的決定》明確規定，私自篡改或者刪除他人的電子郵件及其他數據，屬于侵犯個人通信自由和通信秘密的情形。

（二）發展階段

2014年修訂的《中華人民共和國消費者權益保護法》（以下簡稱《消費者權益保護法》），目的在于保護消費者合法權益、維護社會經濟秩序。同時，該法從消費者權益、經營者義務、責任和法律救濟等方面出發，首次明確規定了消費者受法律保護的權益，以及經營者獲取和使用個人信息應當遵守的原則、目的、使用規則及義務等內容，該法的修訂對于保護消費者個人信息權益具有重大意義。

（三）成熟階段

該階段以《中華人民共和國網絡安全法》的出臺為代表。該法作為國家安全領域的一部重要法律和網絡安全領域的基礎性法律，體現了我國對網絡安全問題的高度重視，以及對網絡空間主權、國家安全、社會公共利益和個人合法權益的堅定維護。這部法律從多個維度對網絡安全進行了全面細致的規定。它強調了國家網絡安全與信息化發展的雙重目標，既保障了國家網絡基礎設施的安全，又促進了信息化和數字化經濟的健康發展。同時，通過明確各方主體的法律責任和義務，為網絡安全的監管提供了明確的法律依據。2017年，《中華人民共和國民法總則》第111條為保障個人信息所作的專門規范，首次將個人信息保護明確、清晰地納入民法保護范圍，為《中華人民共和國民法典》（以下簡稱《民法典》）中的“個人信息保護”奠定了基礎。2020年1月1日開始執行的《信息安全技術個人信息安全規范》（GB/T35273-2020）明確列出了在個人信息處理過程中必須遵守的各種原則和安全規定，這些規定覆蓋了信息的收集、存儲、應用、共享、轉移、公開透露以及刪除等多個方面。該標準旨在規范各類組織在處理個人信息時的行為，并且同樣適用于監管機構及第三方評估組織，以便對個人信息處理活動實施全面的監督、管理和評估。我國現行《民法典》在人格權編第六章“隱私權和個人信息保護”（第1034條至第1039條）中，對個人信息作出了明確界定，規定了個人信息的收集與使用條件，以及信息主體享有的刪除權等相關條款。通過對《民法典》相關條款的深入解析，可以看出我國法律對于個人信息保護的重視程度，以及在法律層面上對個人信息處理活動所設定的規范框架。這些規定不僅為個人信息的處理提供了法律依據，還為信息主體的權益保護提供了堅實的法律支撐。

隨后，2021年備受關注的《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）出臺，該法為公民個人信息的保護提供了法律基礎，并對其進行了區分和擴展，對個人信息的保護應遵循的基本原則進行了清晰的界定，確立了個人信息處理的基本原則，并明確規定了個人信息的定義及處理等具體環節。此外，它還強化了對敏感個人信息的保護，并為個人信息跨境流動提供了規則，首次提出單獨同意、書面同意，突出個人信息處理者的告知義務，賦予個人信息主體多項權利。該法的實施有效保障了自然人的個人信息權益，加強了信息時代的個人隱私保護，同時也促進了數據的合理開發和利用。

三、數字化視域下個人信息保護典型案例

（一）案情梳理

1.背景信息

XC公司運營的“XC”APP及網站提供旅游全流程服務，H某作為XC公司的鉆石貴賓客戶，享有酒店會員價8.5折起等特權。Z山希爾頓酒店與XC公司簽訂《XC預付合作協議》，提供直采房型優惠價，通過XC預訂享受8.8折優惠。

2.案件事實

預訂與支付：202X年7月18日，H某通過“XC”APP預訂Z山希爾頓酒店豪華湖景大床房，支付2889元。

異常預訂：同日，一位自稱王先生的人以H某名義直接向酒店預訂同一房間，支付1377.63元，并要求對房價保密。

訂單記錄：酒店訂單記錄顯示為電話預訂，未顯示XC公司商業合作渠道，XC公司提供的訂單記錄中也無此筆訂單。

發票問題：H某退房時發現酒店房價為1377.85元，與其支付的2889元不符，遂向XC客服反映。

客服回應：XC客服表示需要核實后回電。

核實過程：XC公司客服以潛在顧客身份致電酒店進行暗訪，錄音顯示昨日房價為1621元。

客服回復：XC公司客服回復H某，稱核實后酒店向“XC”APP供應商提供的原價為1621元，提前預訂打8.5折，實際支付給酒店的房價為1377.85元，XC公司愿意按原價1621元收取并退款1268元。

退款操作：XC公司于當日13點50分向H某退款1268元。

3.法律問題

H某支付的房費與酒店實際房價存在差異，XC公司是否違反了與H某之間的服務合同。

XC公司提供的服務是否符合《XC預付合作協議》中約定的優惠條件。

XC公司的退款處理是否合理，是否侵犯了H某作為消費者的權益。

（二）案件分析

本案中，消費者雖已知情相關消費信息，并進行同意，平臺經營者由此取得處理其個人信息的資格，但其處理行為應當相應地遵循個人信息處理原則，應以對個人信息影響最小的方式為之，且符合消費者的初衷和真實意愿。如平臺經營者違反前述義務，符合侵權行為構成要件的，應承擔侵權責任。因此，XC公司存在不當處理H某個人信息的行為。

1.XC公司“強制且不指明具體內容”的信息收集方式不當。用戶新下載“XC”APP后，頁面雖然會跳出相應的溫馨提示，并提供兩個選擇：“同意并繼續”或者“不同意并退出”。但用戶必須點擊同意方能繼續使用“XC”APP，如不同意，將直接閃退。而“XC\"APP要求用戶簽署的《服務協議》《隱私政策》中均包含了對用戶個人信息收集和使用的條款。可見H某使用“XC”APP的前提是需要簽訂《服務協議》《隱私政策》，同意XC公司及其關聯公司、業務合作伙伴對H某的個人信息進行收集、使用，系明顯的個人信息強制收集、使用行為，有違民事活動自愿原則，亦與我國法律相抵觸。XC公司以捆綁服務、強制停止使用等不正當手段變相脅迫、強制用戶提供具體范圍不夠明確個人信息的行為，違反我國法律有關處理個人信息的正當性原則。

2.XC公司在處理個人信息時超越了最小必要原則的界限。個人信息的收集應當限定在實現處理目的所必需的最小范圍內，不得進行超出此范圍的過度收集。換言之，若缺失某些個人信息，個人信息處理者將無法實現其處理目的。因此，XC公司的行為違反個人信息保護的法律要求，未能遵循收集個人信息的最小化原則。有關規范性文件亦對常見類型APP的必要個人信息范圍進行了規定。XC公司通過在向H某提供服務前，通過概括授權，要求H某對預訂酒店無關的賬戶信息、設備信息及位置信息等一并允許XC公司予以收集、使用，顯然超出實現酒店預訂等主要處理目的所調整的信息范圍。

3.XC公司對個人信息的使用未采取對個人權益影響最小的方式。平臺經營者處理個人信息的活動，不可避免地會對個人權益造成影響。在確保個人信息處理主要目的實現的情況下，應當采取對個人權益影響最小的方式。從《服務協議》《隱私政策》內容可知，本案中XC公司對用戶個人信息的使用并不滿足于提供服務本身，而是包括更進一步的商業利用。特別是將信息分享給XC公司可隨意界定的關聯公司、業務合作伙伴進行數據分析和商業利用，無疑進一步加重了用戶個人信息使用風險，不符合最小損害原則要求。

4.本案是否認定XC公司存在“大數據殺熟”，不影響XC公司存在侵害消費者個人信息行為的認定。案涉《隱私政策》明確規定，XC公司有權對H某的訂單數據進行分析，以構建用戶畫像。鑒于H某作為一般消費者，在XC公司掌握平臺內全部數據且已預先告知H某將進行數據畫像等商業利用行為的情況下，當H某發現案涉訂單支付價格高于合理范圍時，對XC公司產生“大數據殺熟”之疑慮，實屬合理推斷，其主張具有相應事實依據。此外，XC公司所提交的142筆訂單信息揭示，同日入住的單價價差高達1600余元，且同日訂單價格之高低與是否提前預訂無關，反映出XC公司價格機制缺乏透明度。此情境下，XC公司的行為可能違反了《消費者權益保護法》中關于價格公正與透明的要求，同時也觸及了《個人信息保護法》中關于數據利用的合法性、正當性及必要性原則。H某的疑慮不僅涉及個人經濟利益，還關乎大數據時代下消費者權益的保護，尤其是在數據驅動的個性化定價策略。

四、數字化視域下個人信息保護困境

（一）知情信息不對稱

雖然《民法典》第1035條及《個人信息保護法》第13、14條都要求在對個人資料進行加工前，事先征得信息所有者同意，并在充分知情的前提下，自愿、明確地表示其對此負有告知義務。現實中，由于個人信息主體的知情內容不一，導致告知制度沒有起到應有的作用，反而成了一種擺設。在實際操作過程中，手機通信運營公司主要通過簽訂用戶協議和提供隱私保護等形式，提供用戶選擇的權利。然而，在未征得用戶許可的情況下，運營商無法使用用戶信息。但很多社交和支付軟件已經和我們的實際生活融為一體，它們與我們的日常活動有著密切的聯系。一些應用程序的隱私條款就成了“霸王條款”，用戶只有在點擊同意“用戶須知”“隱私協議”之后，才可以進行登錄，在該情況下用戶只能被迫同意該條款；其次，對于個人隱私協議等文檔，由于其內容復雜、含糊、專業，多數使用者閱讀困難、閱讀費時費力，使得告知協議無法起到有效的保護作用，無法通過該機制保護個人的信息。“隱私政策”通常是由使用者設定的，是不合理、不公平的，從而侵犯用戶的個人信息權益。

（二）告知形式格式化

知情同意的本質在于強化個人信息主體的自主控制權。然而，在大數據環境下的“同意”趨于格式化，“知情”趨于形式化。告知形式的格式化明顯削弱了個人信息主體的自主控制權利，當知情同意成為個人信息保護的準則時，同意不再是個人信息主體可選擇的權利，而是信息主體使用網絡服務的對價，以及成為簽訂格式合同的義務。另一方面，形式化的知情也削弱了個人信息主體的實質權益。個人信息主體在遭遇無意義之“通知”和被削弱之“知情”的情況下，權益將受到損害。此種情況下，會增加個人信息處理者收集和利用數據的成本，導致后續利用和流通變得滯后和緩慢。知情同意便成為信息保護和流通的障礙。個人信息處理者為了合規而實施的形式主義和授權通知政策并未起到保護信息主體個人信息的作用，反而帶來了更多隱私和敏感信息泄露的風險。

（三）主體權益不平衡

信息化時代，個人信息不僅具有人格權屬性，還具有商業價值，是經濟發展的關鍵生產要素之一，而個人信息主體的權利僅體現為對“同意或者拒絕”信息處理條款的選擇權。實踐中，幾乎所有應用程序均以“閱讀并同意隱私政策”作為使用的先決條件，如不接受此種條款，就難以繼續使用應用程序。個人信息自我控制理論，實際上是私法自治原則在個人信息保護領域的具體體現[4。該理論表明個人信息主體可以對自己的信息進行控制、利用，在一定程度上解決了應用場景中的難題，但其控制、利用的適用范圍十分有限。個人信息處理者利用其自身技術、資金及資源等各方優勢，在信息獲取和談判中居于主導地位，單方面制定有利于自身的規則，使得個人信息主體僅能選擇“全部接受或者全部拒絕”，“全有或者全無”的方式在一定程度上構成對個人信息主體的“強制”要求，導致個人信息主體權益的失衡。

（四）侵權救濟保障難

在司法實踐中，證明侵權行為與損害結果之間的因果關系常常是一項挑戰。目前，我國法律尚未明確規定個人信息權，亦未對個人信息侵權的構成要件作出特別規定，實務中多采用一般個人信息侵權責任的構成要件。然而，在個人信息侵權案件中，被侵權人一般為公民個體，其經濟能力通常有限，侵權人往往是擁有數據分析能力的大企業或者其他組織。因此，個人信息主體在技術處理、資金能力或者問題解決能力等方面相較于個人信息的收集使用者明顯處于劣勢地位。實務案件的當事人難以收集對方當事人侵權的證據，因此無法證明對方當事人存在侵權行為，更難以證明侵權行為與損害結果之間存在因果關系。若被侵權人無法證明相關事項，則可能面臨敗訴的司法風險，這不利于個人信息權利的保護。

五、數字化視域下個人信息保護對策

（一）完善個人信息披露制度

為實現數據保護與數據流動之間的平衡，個人數據應處于合法公開的狀態。在此語境下，公開指的是向不特定多數人披露，且個人數據可通過合法途徑為不特定多數人所知悉。若個人數據之公開源于非法原因，如侵犯數據主體合法權益、數據處理者之數據泄露或非法披露等行為，則不得適用《個人信息保護法》第14條。至于數據處理是否合理，應從處理目的、處理范圍、處理方式、可能產生的風險、對數據主體的影響等多個維度進行綜合考量。須強調的是，即便在本條款規定的情形下，選擇出機制仍有適用空間。若數據處理可能對數據主體造成重大不利影響，則應重新啟動擇入機制[。在風險預防理念的指導下，

若后續數據處理的目的、方式或對象發生變化，但這些變化在客觀上與最初獲得同意的數據處理保持邏輯上的連貫性和兼容性，在主觀上保持期待的連續性和認知的統一性，則仍可適用擇出機制[7]

（二）知情同意具體化

知情同意根據學理解釋，可分為知情和同意。知情，即個人信息主體應當明確知曉何種信息被收集、處理；同意，即個人信息主體應當在完全知曉相關信息進度及處理程度后進行同意、肯定。依照現有規定，個人信息處理者是通過已經履行合理的告知義務來推定個人信息主體的知情權已實現的。《民法典》第1035條對于處理個人信息，除了遵循合法、正當、必要的原則之外，還要符合處理個人信息的法律規定，以及明示處理個人信息的目的、方式和范圍。筆者認為，公開、明示等字樣已明確體現知情同意原則，但公開與明示之間既有聯系，又有區別。公開與明示均表明應當將個人信息明確告知個人信息主體，并在一定范圍內廣而告之。但二者的側重點略有不同，公開側重公開行為本身，而不注重個人信息主體是否充分知曉其信息內容；相較公開而言，明示的要求更為嚴格，明示不僅注重告知的行為，還要求個人信息收集處理者充分告知信息主體相關內容。

在民法學理論中，同意應當屬于意思表示。依據《民法典》第140條的相關規定可知，同意作為一項意思表示，在完全知曉相關內容的情況下，個人信息主體的意思表示可以通過明示或者默示的方式作出。沉默在特定情形下也可以構成意思表示，即符合法律規定、當事人約定或者符合當事人之間的交易習慣時，可視為意思表示。當個人信息的主體與處理者簽訂信息處理協議時，個人信息處理者設定閱讀協議的時間，個人信息主體怠于瀏覽相關協議內容，閱讀時間屆滿，此時，個人信息主體被視為默認同意。

因此，為使知情同意原則得以具體實施，必須明確界定知情與同意的法律界限，對知情同意的方式、對象、范圍進行更為細致的規定，以便更準確地理解和應用該原則。反之，若知情同意原則僅作為一項原則性規定，過于籠統和抽象，其邊界過于寬泛，則可能導致個人信息主體與個人信息處理者之間的權利義務關系模糊不清。在知情與同意的內容上，若雙方無法進行有效溝通，則個人信息的合理保護難以實現，從而使法律規范流于形式，無法發揮其應有作用。

（三）平衡個人信息主體權益

在數字化背景下，碎片化的個人信息被無限整合，人們在網絡中獲取他人信息的渠道愈發增多，給人們的生活帶來極大的便利，例如，偵查人員可以通過一些個人信息搜尋犯罪嫌疑人，失蹤人口的親屬可以通過信息數據查詢其蹤跡，人們可以通過導航去到一個陌生的地方，等等。但個人信息的過多透露，無形中也帶來一定的風險與弊端。例如，在微信朋友圈、WB、抖音、快手等APP發布的照片、視頻、文字等個人動態，各類手機應用使用時開通了定位信息、通訊錄、相機等權限，以及其他平臺通過“身份驗證+密碼\"“身份驗證 + 人臉識別”“身份驗證+指紋”等各類登錄方式，都會在一定程度上造成自身個人信息的泄露。

因此，首先，個體應當選用個人數據保護水平較高且尊重用戶知情同意權的操作系統和應用程序，以及瀏覽或訪問安全合規的網站，應當花費必要的時間閱讀并理解個人數據保護政策。其次，用戶應當積極管理移動應用程序和網站的個人數據處理權限，避免隨意提供個人數據和開放不必要的個人數據處理權限，定期對個人數據進行篩選、維護、清理和更新，對分享個人數據的收益與風險進行仔細權衡，在慎重考慮的基礎上決定是否同意。最后，個人信息主體應當積極行使并維護法定和約定的個人信息權益，在發現個人信息權益被不當侵犯時，應當積極地向處理者或行業協會申訴，甚至尋求公力救濟，這也可以倒逼個人信息處理者為應對用戶和社會壓力、提升用戶信任和自身社會聲譽及避免法律處罰而認真貫徹“知情同意”規則的要求，規范信息處理行為。

（四）引入集體訴訟機制

《民法典》雖然沒有對個人信息處理者進行明確的界定，但根據《民法典》第1035條第2款的規定，可知個人信息處理者是收集、使用、公開等個人信息處理活動的自然人、法人或者其他組織。具體實踐中，通常會出現個人信息主體與個人信息處理者利益不平衡的問題。此時，適當地引入集體訴訟機制，更有利于構建起個人信息安全的保障機制。通過法律程序進行法律責任的追究，維護個人的信息權利。一人之力又十分有限，且維權成本十分高昂，因此，在個人信息被泄露或者被不正當使用的情況下，引入集體訴訟制度，可以使很多受害人以共同原告的身份出現，這就極大地減少了維權的成本。此外，因為大部分的信息侵權人都是占據著強勢的一方，所以這個舉措將多位處于弱勢地位的信息主體結合起來，有助于在當事人的起訴過程中，實現當事人雙方在訴訟中的身份定位，以保證裁決的公平。引入集體訴訟制度還有利于釋放司法資源，可以避免多位受害人同時提起訴訟所造成的司法資源緊張，還可以分擔訴訟成本及風險，鼓勵更多的受害者拿起法律的武器來保護自己的合法權益。

結束語

在個人信息保護的法律框架下，知情同意規則的正確實施對于維護個人信息權益與促進數據合理利用之間的平衡至關重要。該規則不僅為處理個人信息侵權案件提供了合法性基礎，還有助于解決市場資源的合理分配與個人信息權益保護之間的潛在沖突。然而，個人信息收集者常常利用其市場優勢地位，濫用知情同意規則，無節制地侵犯個人信息權益，并錯誤地將個人信息主體的同意作為其不當處理個人信息的免責依據。雖然知情同意規則在實踐中遭遇多重挑戰，但其仍然是個人信息處理過程中的關鍵性工具。因此，法律制度亟須對知情同意規則進一步完善，明確其適用邊界，確保其在保護個人信息的同時，能有效地促進個人信息資源的合理利用。

參考文獻

[1]丁曉東．個人信息的雙重屬性與行為主義規制[J].法學家，2020（1）：64-76，193.

[2]范為.大數據時代個人信息保護的路徑重構[J].環球法律評論，2016（5）：92-115.

[3]靳雨露.大數據時代個人信息“控制一利用”二元立法路徑重構[].新疆大學學報（哲學社會科學版），2024，52（1）：99-106.

[4]孔令勇，謝美寧.個人信息保護中告知同意規則的適用異化及其規范路徑].法制與經濟，2024，33（1）：106-117.

[5]龔志軍，何娟.論大數據時代個人信息權的民法保護[J].桂海論叢，2020，36（4）：103-107.

[6]陳思羽，白峰銘.個人數據保護中“知情同意”規則的適用檢視與路徑優化[].綏化學院學報，2024，44（5）：31-34.

[7]申衛星.論個人信息保護與利用的平衡[]中國法律評論，2021（5）：28-36.

作者簡介：蔡肖瑩（1993—），女，漢族，廣西北海人助教，碩士。

研究方向：民商法。

基金項目：廣西高校中青年教師（科研）基礎能力提升項目“數字化視域下個人信息保護研究”（項目編號：2024KY1693）項目資助。