個人信息保護(hù)的現(xiàn)狀問題成因及破局路徑

作者|楊爍

責(zé)編|薛應(yīng)軍

正文共3556個字，預(yù)計閱讀需11分鐘▼

10月28日，工信部通報42款A(yù)pp及SDK存在侵害用戶權(quán)益行為，要求其按有關(guān)規(guī)定進(jìn)行整改。整改落實不到位的，將依法依規(guī)組織開展相關(guān)處置工作。此次被通報的名單中，多數(shù)所涉問題是違規(guī)收集個人信息，另有11款A(yù)pp及SDK被指強(qiáng)制、頻繁、過度索取權(quán)限；還有7款存在超范圍收集個人信息的問題。據(jù)悉，這是工信部今年公布的第6批侵害用戶權(quán)益的App及SDK。截至目前，共通報了51批。

此次通報的App及SDK違反《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國個人信息保護(hù)法》等相關(guān)法律法規(guī)，收集和使用個人信息。數(shù)字時代，人們在享受科技便利的同時，時常面臨個人信息被濫用風(fēng)險，有的信息處理者違反“合法、正當(dāng)、必要”原則和目的限制原則，過度處理個人信息的行為時有發(fā)生。對此，2022年12月印發(fā)的《中共中央 國務(wù)院關(guān)于構(gòu)建數(shù)據(jù)基礎(chǔ)制度更好發(fā)揮數(shù)據(jù)要素作用的意見》指出，要“建立健全個人信息數(shù)據(jù)確權(quán)授權(quán)機(jī)制”“創(chuàng)新技術(shù)手段，推動個人信息匿名化處理，保障使用個人信息數(shù)據(jù)時的信息安全和個人隱私”。數(shù)字時代，強(qiáng)化用戶數(shù)字權(quán)利意識、保護(hù)個人信息，勢在必行。

現(xiàn)狀：違法處理個人信息的類型具有多樣性

違反目的限制原則。有的信息處理者未告知收集使用個人信息的目的、方式和范圍；超越目的處理個人信息；個人信息處理目的變更，并未重新取得個人同意；數(shù)據(jù)處理存在“黑箱”。

違反告知同意規(guī)則。有的信息處理者未提示用戶閱讀隱私政策；以默認(rèn)選擇同意等方式征求用戶同意；隱私政策難以訪問等，導(dǎo)致個人并非在充分知情的前提下自愿明確同意。

侵害用戶信息自決權(quán)。有的信息處理者并沒有向用戶提供方便的撤回同意方式；更正、刪除個人信息的功能欠缺，缺乏有效的注銷賬號功能；通過自動化決策推送信息或營銷方式侵害用戶信息自決權(quán)，未提供不針對其個人特征的選項，也沒有提供便捷的拒絕方式。

違規(guī)向第三方提供信息。有的信息處理者違反單獨同意規(guī)則，擅自向他方提供個人信息；有的App通過客戶端嵌入的第三方代碼、插件等方式向第三方提供個人信息，未做匿名化處理，也沒有經(jīng)過用戶同意。

權(quán)利救濟(jì)困難。有的信息處理者并未為個人信息權(quán)利主體行使權(quán)利提供便捷的申請受理機(jī)制，也沒有相應(yīng)的處理機(jī)制；投訴、舉報未在承諾時限內(nèi)受理，也沒有在合理的期限內(nèi)處理。

信息安全措施堪憂。有的信息處理者未采取相應(yīng)的加密、去標(biāo)識化等安全技術(shù)措施；敏感信息處理未獲得個人單獨同意，甚至有的App沒有隱私政策，野蠻生長，毫無信息安全意識。

成因：個人信息的經(jīng)濟(jì)價值與法律保護(hù)滯后性的矛盾

個人信息的經(jīng)濟(jì)價值。總體而言，個人信息的價值主要包含三個層面：一是個人信息的基本用途。對信息處理者而言，使用個人信息可以降低成本、提升效率；對個人而言，可以換取更優(yōu)質(zhì)的服務(wù)體驗。二是大數(shù)據(jù)應(yīng)用帶來的范圍經(jīng)濟(jì)和規(guī)模經(jīng)濟(jì)價值。個人信息在多個業(yè)務(wù)領(lǐng)域中使用，一般不需要增加額外的成本，能夠?qū)崿F(xiàn)成本效益的最大化，呈現(xiàn)出范圍經(jīng)濟(jì)價值特征。個人數(shù)據(jù)量的擴(kuò)大和增加，使得單位數(shù)據(jù)產(chǎn)生的平均成本下降，體現(xiàn)其規(guī)模經(jīng)濟(jì)價值。三是個人信息的隱藏價值。對許多信息處理者而言，初始收集個人信息可能是出于某種經(jīng)濟(jì)目的，但隨著數(shù)據(jù)量的擴(kuò)大，大數(shù)據(jù)、人工智能、機(jī)器學(xué)習(xí)的介入，可以從中發(fā)現(xiàn)新的價值。基于此，信息處理者普遍存在擴(kuò)大數(shù)據(jù)獲取的強(qiáng)烈傾向，其目的在于深度挖掘數(shù)據(jù)中潛藏的價值與市場機(jī)遇。雖然大數(shù)據(jù)具有重大的社會和經(jīng)濟(jì)效益，但現(xiàn)有的個人信息保護(hù)立法尚不足以應(yīng)對信息流通與利用所帶來的各種經(jīng)濟(jì)與社會問題。

目的限制原則具體化有待加強(qiáng)。我國個人信息保護(hù)法第六條規(guī)定，“處理個人信息應(yīng)當(dāng)具有明確、合理的目的，并應(yīng)當(dāng)與處理目的直接相關(guān)，采取對個人權(quán)益影響最小的方式。收集個人信息，應(yīng)當(dāng)限于實現(xiàn)處理目的的最小范圍，不得過度收集個人信息。”這雖然確立了個人信息保護(hù)的目的限制原則，但對該原則所涉及的目的如何“明確合理”、處理信息“直接相關(guān)”如何判斷、對個人權(quán)益影響最小如何斟酌，缺少相關(guān)配套法律、法規(guī)。這使得在變更目的處理個人信息時，兼容性使用的規(guī)則欠缺；司法實踐中通過目的限制原則進(jìn)行裁判說理的案件較少，理論體系尚未成型。

告知同意規(guī)則流于形式。基于信息主體同意或者法定義務(wù)是個人信息處理的合法性基礎(chǔ)。我國個人信息保護(hù)法第十三條規(guī)定了該規(guī)則，且明確了不需要取得個人同意的特殊情形。但是，在信息不對稱、信息權(quán)力不均衡的數(shù)字環(huán)境下，自愿、明確作出同意表示須根據(jù)不同的場景進(jìn)行判斷。這使其仍須在司法實踐中逐步完善。

個人信息自決權(quán)有待完善。我國個人信息保護(hù)法第四十四條規(guī)定了個人的知情權(quán)和決定權(quán)，個人有權(quán)限制或者拒絕他人的個人信息處理行為。但該規(guī)定屬于一般條款，需要相關(guān)法律、法規(guī)或者司法實踐進(jìn)行價值補(bǔ)充。自然人有權(quán)自主決定個人事務(wù)的公開與否及范圍，這是人格尊嚴(yán)的要求，也是個人信息權(quán)利展開的理論基礎(chǔ)。自動化推送、算法偏見可能導(dǎo)致歧視或者侵犯人格尊嚴(yán)。個人信息的知情權(quán)和決定權(quán)是平衡信息權(quán)力不對稱、解決個人信息被濫用的重要工具之一。因此，應(yīng)當(dāng)在知情權(quán)和決定權(quán)的基礎(chǔ)上，構(gòu)建我國個人信息權(quán)利的內(nèi)在價值和權(quán)利體系。

透明度原則難以有效貫徹。信息處理者大規(guī)模地收集、使用和分析個人信息，但是大數(shù)據(jù)的運作方式、操作過程難以真正透明化。數(shù)據(jù)收集與分析的算法常受商業(yè)秘密保護(hù)，導(dǎo)致用戶無法明了其個人信息的具體應(yīng)用方式、目的和范圍，從而引發(fā)個人隱私與權(quán)益保護(hù)的潛在風(fēng)險。在有效利用個人信息的經(jīng)濟(jì)價值、促進(jìn)企業(yè)創(chuàng)新和保護(hù)隱私、人格尊嚴(yán)之間如何達(dá)到一種合理的均衡，這給法學(xué)理論和司法實踐提出了新的挑戰(zhàn)。

破局：個人信息權(quán)利的理論基礎(chǔ)和邏輯體系

數(shù)字時代，如何讓人們在既享受大數(shù)據(jù)應(yīng)用帶來的經(jīng)濟(jì)效益、促進(jìn)社會進(jìn)步紅利的同時，保護(hù)好個人在信息處理中的各種權(quán)利、維護(hù)人格尊嚴(yán)？筆者認(rèn)為，除依照個人信息保護(hù)法保護(hù)個人信息權(quán)益外，還要進(jìn)一步規(guī)范個人信息處理活動，促進(jìn)個人信息合理利用，構(gòu)建科學(xué)、合理的個人信息權(quán)利理論、邏輯體系。要明確個人對其個人信息的處理享有知情權(quán)、決定權(quán)，這是個人信息權(quán)利的邏輯起點。

依法保障個人對其個人信息處理的知情權(quán)。保障個人對其個人信息處理的知情權(quán)目的在于糾正信息處理者和個人之間的信息不對稱及權(quán)利不平衡問題，可主要通過查閱權(quán)、復(fù)制權(quán)、可攜帶權(quán)、刪除權(quán)、解釋說明權(quán)予以實現(xiàn)。查閱、復(fù)制個人信息及個人信息的處理情況，可以提高個人信息處理的透明度；可攜帶權(quán)是查閱、復(fù)制權(quán)的延伸。個人信息處理的目的實現(xiàn)或者無法實現(xiàn)時，信息處理者可以刪除個人信息，是目的限制原則的必然要求。解釋說明權(quán)是應(yīng)對算法“黑箱”的手段之一，也是保障個人信息決定權(quán)的前提。

決定權(quán)是信息自決的要求，目的在于控制風(fēng)險。它包括更正權(quán)、補(bǔ)充權(quán)、限制處理權(quán)、拒絕處理權(quán)、反對自動化決策的權(quán)利。個人發(fā)現(xiàn)其個人信息不準(zhǔn)確或者不完整的，有權(quán)請求個人信息處理者更正、補(bǔ)充。更正權(quán)、補(bǔ)充權(quán)，是數(shù)據(jù)質(zhì)量原則的要求。在查閱權(quán)的基礎(chǔ)上，通過更正權(quán)和補(bǔ)充權(quán)，可以有效控制信息質(zhì)量，這是個人對其個人信息作出正確決定的前提。限制處理權(quán)是在特定情況（如數(shù)據(jù)準(zhǔn)確性爭議、處理合法性存疑等情形）下，數(shù)據(jù)主體可以要求暫時停止處理其數(shù)據(jù)。拒絕處理權(quán)，主要是拒絕直接營銷的權(quán)利，要求不再為直接營銷目的處理其個人數(shù)據(jù)。限制處理權(quán)和拒絕處理權(quán)共同形成了對數(shù)據(jù)處理過程的動態(tài)調(diào)控，使數(shù)據(jù)主體能夠在風(fēng)險出現(xiàn)時及時干預(yù)。我國個人信息保護(hù)法第二十四條規(guī)定，個人信息處理者利用個人信息進(jìn)行自動化決策，應(yīng)當(dāng)保證決策的透明度和結(jié)果公平、公正，不得對個人在交易價格等交易條件上實行不合理的差別待遇。反對自動化決策的權(quán)利，允許數(shù)據(jù)主體反對僅靠自動化方式作出對其有重大影響的決策，這是公開透明原則的體現(xiàn)，也是個人應(yīng)對算法過度決策風(fēng)險的具體措施之一。

當(dāng)一個市場由于信息的不對等、外部性、公共品特征以及高度集中的市場結(jié)構(gòu)而無法實現(xiàn)帕累托最優(yōu)（指在資源分配中，無法在不使任何人境況變壞的前提下，使至少一個人變得更好的一種理想狀態(tài)）時，政府的監(jiān)管干預(yù)就有其正當(dāng)性。實踐中，在個人和信息處理者之間存在的信息和權(quán)利不對稱，可能使信息處理者為了謀取更多的商業(yè)利益，利用各種技術(shù)手段，包括暗箱操作違法處理個人信息。要扭轉(zhuǎn)這一失衡局面，在個人和信息處理者之間找到一個平衡點，必須引入國家監(jiān)管作為外部制衡力量。首先，確立監(jiān)管標(biāo)準(zhǔn)。監(jiān)管部門監(jiān)管的前提是明確數(shù)據(jù)技術(shù)標(biāo)準(zhǔn)（如加密、匿名化標(biāo)準(zhǔn)），確保法律原則和規(guī)則能夠落地。其次，建立監(jiān)測機(jī)制。監(jiān)管部門須對信息收集的目的、方式與范圍進(jìn)行嚴(yán)格審查，并建立長效監(jiān)測機(jī)制。工信部定期通報相關(guān)App侵害用戶個人信息權(quán)益的行為，便是有效措施之一。最后，保障責(zé)任到位。監(jiān)管部門通過對違規(guī)行為實施嚴(yán)厲懲戒，方能在激發(fā)數(shù)據(jù)價值與保障個人權(quán)利之間構(gòu)建動態(tài)平衡。

（作者單位：廣州商學(xué)院）