2021-03-02 17:10:57 來源：中國周刊
韓旭至：法學(xué)博士，華東政法大學(xué)法律學(xué)院特聘副研究員，數(shù)字法治研究院副院長。
告知同意在個(gè)人信息保護(hù)中的法律地位存在較大理論爭議。有學(xué)者認(rèn)為，告知同意是個(gè)人信息保護(hù)的基礎(chǔ)，屬于個(gè)人信息保護(hù)的重要原則。亦有學(xué)者認(rèn)為，告知同意已經(jīng)無法實(shí)現(xiàn)其原有功能，應(yīng)弱化告知同意，轉(zhuǎn)為適用風(fēng)險(xiǎn)規(guī)則。該爭議已對(duì)我國個(gè)人信息保護(hù)立法產(chǎn)生了不容忽視的影響。2020年第十三屆全國人民代表大會(huì)常務(wù)委員會(huì)第二十二次會(huì)議對(duì)《中華人民共和國個(gè)人信息保護(hù)法（草案）》（下稱《草案》）進(jìn)行了審議?！恫莅浮冯m未直接將告知同意規(guī)定為個(gè)人信息保護(hù)的原則，且第13條在告知同意以外列舉了5類合法處理個(gè)人信息的情形，并擴(kuò)充了《中華人民共和國民法典》（下稱《民法典》）第1036條之規(guī)定，但其他合法的個(gè)人信息處理事由并未貫穿《草案》始終。“立法說明”仍然認(rèn)為，告知同意是個(gè)人信息處理規(guī)則的核心，然而，告知同意機(jī)制已不適應(yīng)現(xiàn)代信息處理的發(fā)展，難以實(shí)現(xiàn)其原有功能。因此，必須從告知同意的適用困境出發(fā)，對(duì)告知同意機(jī)制的理論基礎(chǔ)進(jìn)行辨析，以正確處理告知同意與數(shù)據(jù)合法處理的關(guān)系，構(gòu)建適應(yīng)于時(shí)代發(fā)展的個(gè)人信息保護(hù)制度。
一、告知同意的內(nèi)在缺陷
運(yùn)用“法律—社群規(guī)范—市場(chǎng)—架構(gòu)”的網(wǎng)絡(luò)法基本分析框架，告知同意應(yīng)放在具體應(yīng)用場(chǎng)景中進(jìn)行分析，以判斷這一機(jī)制是否與用戶習(xí)慣、交易模式、數(shù)據(jù)處理技術(shù)相適應(yīng)。分析可知，告知同意無論是作為一種授權(quán)機(jī)制抑或視為一種免責(zé)/問責(zé)機(jī)制，均面臨困境，實(shí)難以成為個(gè)人信息保護(hù)的基點(diǎn)。
（一）作為授權(quán)機(jī)制的失靈
第一，用戶難以在獲得有效信息的基礎(chǔ)上作出同意的授權(quán)。為實(shí)現(xiàn)“告知—同意”，各類App、網(wǎng)頁都會(huì)展示相關(guān)“隱私政策”，常常需要用戶去點(diǎn)擊同意相關(guān)條款。為避免用戶不經(jīng)閱讀就直接點(diǎn)擊，不少條款還需要用戶下拉至底端或等待若干秒以后才允許點(diǎn)擊同意。即便如此，實(shí)際上也并沒有多少用戶真正閱讀這些條款。如果一個(gè)人將其1年內(nèi)遇到的所有“隱私政策”全部閱讀完畢，不眠不休地進(jìn)行也將需要花費(fèi)數(shù)月時(shí)間。由此可見，“隱私政策”實(shí)際上也是不可讀的。同時(shí)，若對(duì)“隱私政策”進(jìn)行閱讀便會(huì)發(fā)現(xiàn)，其條文充斥著各種“法言法語”，具有較強(qiáng)的專業(yè)性，對(duì)于普通群眾而言，也是讀不懂的。由此可見，“隱私政策”實(shí)際上無人讀、不可讀、讀不懂，告知同意無法實(shí)現(xiàn)其應(yīng)有功能，難以通過該機(jī)制保護(hù)個(gè)人信息。在這個(gè)意義上，告知同意也被稱作“控制的幻象”。
第二，由于用戶習(xí)慣不經(jīng)閱讀即點(diǎn)擊同意，告知同意機(jī)制存在被濫用的危險(xiǎn)。企業(yè)常常在“隱私政策”中設(shè)置不合理、不公平、侵害個(gè)人信息權(quán)益的條款。最為典型的案例是，2019年“ZAO”App極其不規(guī)范的“隱私政策”即受到了廣泛關(guān)注。該款“AI換臉”App在其“隱私政策”中約定，用戶上傳相關(guān)照片后，即視為同意授予“ZAO”及其關(guān)聯(lián)公司以及“ZAO”用戶在“全球范圍內(nèi)完全免費(fèi)、不可撤銷、永久、可轉(zhuǎn)授權(quán)和可再許可的權(quán)利”。事實(shí)上，即便是大型平臺(tái)企業(yè)的“隱私政策”也存在眾多對(duì)個(gè)人信息保護(hù)不利的約定。如百度規(guī)定，其可使用算法抓取用戶信息。支付寶也規(guī)定，其有權(quán)向關(guān)聯(lián)方、合作伙伴提供所采集的用戶個(gè)人信息。顯然，這些條款在披上告知同意的外衣后，將對(duì)個(gè)人信息保護(hù)形成更大威脅。
第三，用戶對(duì)“隱私政策”難以真正行使拒絕權(quán)。雖然，理論上用戶若不同意“隱私政策”即可拒絕。但實(shí)際上，網(wǎng)絡(luò)服務(wù)提供商所提供的協(xié)議通常為一攬子安排的格式合同，并未提供菜單式選擇，用戶往往面臨“要么同意，要么放棄”的困境。對(duì)于許多App的使用，實(shí)際上用戶是無法拒絕的。例如，當(dāng)今微信、釘釘、支付寶等App已經(jīng)緊密嵌入人們生活之中，若無法使用這些產(chǎn)品，將嚴(yán)重影響工作和生活，甚至成為“數(shù)字弱勢(shì)群體”而被邊緣化。在這個(gè)意義上，也可以說用戶的同意是“被脅迫”的。在“霸王條款”面前，告知同意形同虛設(shè)。
第四，告知同意機(jī)制偏重于數(shù)據(jù)收集環(huán)節(jié)，難以適應(yīng)大數(shù)據(jù)處理的發(fā)展要求。大數(shù)據(jù)分析往往不限于數(shù)據(jù)收集目的，對(duì)海量數(shù)據(jù)的二次利用展現(xiàn)出復(fù)雜性、多元性與流動(dòng)性的特征。信息處理者既難以在數(shù)據(jù)收集時(shí)要求信息主體給予廣泛的授權(quán)，也難以在信息處理時(shí)獲得信息主體的二次授權(quán)。此時(shí)，不僅告知同意的難度加大、成本上升，強(qiáng)調(diào)告知同意還可能會(huì)阻礙大數(shù)據(jù)產(chǎn)業(yè)的發(fā)展。此外，大數(shù)據(jù)時(shí)代中個(gè)人信息與群體數(shù)據(jù)密切相關(guān)。在標(biāo)簽化分類之下，一個(gè)人可能同時(shí)屬于多個(gè)群組。其基于告知同意作出的某個(gè)決定，將同時(shí)對(duì)多個(gè)群組的數(shù)據(jù)分析產(chǎn)生影響。也就是說，針對(duì)個(gè)人的告知同意，將可能對(duì)群體利益產(chǎn)生影響。在這個(gè)意義上，技術(shù)倫理指出，“‘個(gè)人決定’將會(huì)轉(zhuǎn)化成一種‘個(gè)人—集體決定’”。因此，已難以允許僅憑個(gè)人意志就作出涉及他人利益的同意。
（二）作為免責(zé)/問責(zé)機(jī)制的失效
當(dāng)前，告知同意已從一種失靈的授權(quán)機(jī)制轉(zhuǎn)變成為一種失效的免責(zé)/問責(zé)機(jī)制，無法全面回應(yīng)實(shí)踐中出現(xiàn)的數(shù)據(jù)利用問題。司法實(shí)踐中，告知同意常被用于考察個(gè)人信息處理的合法性，成為企業(yè)處理個(gè)人信息的免責(zé)依據(jù)，或企業(yè)違反“隱私政策”處理個(gè)人信息時(shí)的問責(zé)依據(jù)。2016年，北京知識(shí)產(chǎn)權(quán)法院通過“新浪訴脈脈案”提出第三方獲取個(gè)人信息須堅(jiān)持“用戶授權(quán)+平臺(tái)授權(quán)+用戶授權(quán)”的“三重授權(quán)”原則?！恫莅浮返?/span>24條沿襲這一思路規(guī)定，個(gè)人信息處理者向第三方提供其處理的個(gè)人信息的，應(yīng)當(dāng)再次使用告知同意機(jī)制。然而，這一機(jī)制仍然存在忽視個(gè)人信息復(fù)合利益的問題。第三方只取得用戶同意而未取得原信息處理者同意時(shí)，能否獲取信息存在疑問。2017年華為公司未經(jīng)微信同意，僅通過用戶授權(quán)的方式采集微信記錄，即曾經(jīng)引發(fā)爭議。根據(jù)告知同意的邏輯，似乎三重授權(quán)之中的“平臺(tái)授權(quán)”并無必要，但這顯然與數(shù)據(jù)權(quán)利保護(hù)內(nèi)容不符。從數(shù)據(jù)權(quán)屬的角度來看，告知同意之下企業(yè)似乎是基于繼受取得獲得數(shù)據(jù)權(quán)利，這又將與企業(yè)基于算法投入“勞動(dòng)賦權(quán)”的原始取得邏輯相沖突。
此外，告知同意的授權(quán)范圍存在局限。以通信錄信息為例，記載的常常是其他人的個(gè)人信息，用戶的授權(quán)無法指向相關(guān)內(nèi)容，其授權(quán)合法性存疑，然而，眾多社交軟件關(guān)鍵的商業(yè)模式即為通過用戶授權(quán)，獲取通信錄信息以進(jìn)行推廣。2020年“凌某某訴抖音案”實(shí)際上已經(jīng)涉及這一問題。該案中，與一般意義的通訊錄不同，凌某某在其通訊錄中僅保留了其自身信息，但該平臺(tái)在獲取相應(yīng)信息后，基于其他人通訊錄中記載的關(guān)于凌某某的信息，對(duì)其推薦了“可能認(rèn)識(shí)的人”。北京互聯(lián)網(wǎng)法院認(rèn)為，抖音未基于告知同意而收集凌某某手機(jī)上的個(gè)人信息屬于侵權(quán)，但“可能認(rèn)識(shí)的人”的推薦不構(gòu)成侵權(quán)。然而，該案中法院實(shí)際上并未對(duì)基于告知同意獲取通訊錄中第三方信息的行為作出分析，僅以該推送未侵害生活安寧為由否定了凌某某的第二項(xiàng)主張，事實(shí)上混淆了隱私侵權(quán)與個(gè)人信息侵權(quán)的區(qū)別。在域外或我國特別行政區(qū)的相關(guān)司法實(shí)踐中，通訊錄的授權(quán)需要所涉信息主體的同意已獲得普遍認(rèn)可。2016年我國香港法院在“梁竣杰案”中即認(rèn)為，未經(jīng)信息主體授權(quán)向他人展示第三人的名片，以供他人謄抄名片上的個(gè)人信息構(gòu)成違法。2017年德國“WhatsAPP案”中，法院亦認(rèn)為獲取通信錄信息需要獲得所有聯(lián)系人的書面同意。然而，告知同意的這一要求，必將對(duì)眾多社交軟件的商業(yè)模式帶來毀滅性的打擊。由此可見，即便是作為一種免責(zé)/問責(zé)機(jī)制，告知同意也難以回應(yīng)實(shí)踐中產(chǎn)生的問題。
二、告知同意的理論誤讀
面對(duì)告知同意的困境，雖有學(xué)者提出場(chǎng)景化的且基于風(fēng)險(xiǎn)的分析路徑，但實(shí)際仍未脫離告知同意的制度。告知同意仍被部分學(xué)者奉為個(gè)人信息保護(hù)必須堅(jiān)守的核心原則。甚至有學(xué)者將告知同意稱為“個(gè)人信息保護(hù)之魂”“個(gè)人信息保護(hù)大廈之基”，或稱“告知同意原則”是個(gè)人信息保護(hù)制度的“帝王條款”，如同意思自治在民法中的地位。事實(shí)上，無論是從個(gè)人信息保護(hù)理論體系還是制度規(guī)范體系來看，告知同意從來都不是個(gè)人信息保護(hù)的原則，而是一項(xiàng)具體規(guī)則。
（一）私法視角的誤讀
告知同意植根于個(gè)人信息保護(hù)的兩大理論基礎(chǔ)：一是歐盟個(gè)人信息保護(hù)體制中的個(gè)人信息自決權(quán)理論；二是美國法上的信息隱私權(quán)理論。從個(gè)人信息自決權(quán)來看，德國1983年“人口普查案”對(duì)現(xiàn)代個(gè)人信息保護(hù)的產(chǎn)生與發(fā)展具有重大意義。在對(duì)該案判決的解讀中，個(gè)人信息自決權(quán)的概念首次被提出。此后，個(gè)人信息自決成為域外個(gè)人信息立法的重要理論基礎(chǔ)。從1995年歐盟《數(shù)據(jù)保護(hù)指令》（Data Protection Directive，DPD）到2018年《通用數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation，GDPR），均受這一理論的影響。從信息隱私權(quán)來看，美國1977年“惠倫案”確立了信息隱私權(quán)。隱私權(quán)被認(rèn)為是個(gè)人對(duì)其個(gè)人信息披露的控制權(quán)。無論是個(gè)人信息控制權(quán)還是信息隱私權(quán)，均強(qiáng)調(diào)信息主體對(duì)信息的控制力，而告知同意被認(rèn)為是個(gè)人信息控制力的核心。
基于上述邏輯，有學(xué)者進(jìn)一步認(rèn)為，信息主體的訪問權(quán)、可攜帶權(quán)和收益權(quán)等積極權(quán)能，以及更正權(quán)、限制或反對(duì)處理權(quán)和刪除權(quán)（被遺忘權(quán)）等消極權(quán)能，均源于告知同意。這一分析實(shí)際上是通過私法角度解讀個(gè)人信息自決權(quán)與信息隱私權(quán)，并在私法上強(qiáng)調(diào)個(gè)人自主決定的重要性。尤其是在混淆隱私與個(gè)人信息保護(hù)之時(shí)，極為容易將隱私保護(hù)的同意原則套用于個(gè)人信息保護(hù)之中。此外，部分學(xué)者將同意理解為授權(quán)，通過授權(quán)機(jī)制又進(jìn)一步塑造企業(yè)數(shù)據(jù)財(cái)產(chǎn)權(quán)。甚至有部分學(xué)者將個(gè)人信息保護(hù)中的告知同意與患者知情同意權(quán)進(jìn)行比較。
同上述理解相左，個(gè)人信息所涵蓋的利益多種多樣，是人格利益、財(cái)產(chǎn)利益、公共利益的復(fù)合。個(gè)人信息保護(hù)經(jīng)過數(shù)十年的歷史發(fā)展，已經(jīng)與傳統(tǒng)私法上的隱私保護(hù)相分離，經(jīng)過公法上的個(gè)人信息保護(hù)制度的構(gòu)建，最終形成了大數(shù)據(jù)時(shí)代個(gè)人信息的復(fù)合利益保護(hù)結(jié)構(gòu)。無論在歐美還是在我國，個(gè)人信息保護(hù)均為公法色彩濃郁的規(guī)范。“人口普查案”與“惠倫案”均是經(jīng)典的憲法案例。我國《民法典》已經(jīng)意識(shí)到，單純的私法保護(hù)路徑較難在個(gè)人信息保護(hù)方面取得實(shí)效，《民法典》第1034～1039條亦不是以任意性規(guī)范為主的純粹私法規(guī)范。《草案》更是從新的技術(shù)時(shí)代出發(fā)，制定于新的制度環(huán)境之下，融合并兼顧了私法和公法的保護(hù)路徑，從體系性的角度對(duì)于重要的權(quán)利提供多維度的保護(hù)。
《草案》第1條即明確指出，在保護(hù)個(gè)人信息權(quán)益外，個(gè)人信息保護(hù)的目的至少還包括“規(guī)范個(gè)人信息處理活動(dòng)，保障個(gè)人信息依法有序自由流動(dòng)，促進(jìn)個(gè)人信息合理利用”?！恫莅浮分械膫€(gè)人信息控制權(quán)體系，亦并不能直接等同于私法上的個(gè)人信息權(quán)。個(gè)人信息保護(hù)制度中的告知同意與傳統(tǒng)私法上的同意不盡相同，是一種植根于公法規(guī)范的個(gè)人信息處理的合法規(guī)則。在這個(gè)意義上，方可理解《草案》第15條中，為何立法者對(duì)獨(dú)立作出告知同意的年齡標(biāo)準(zhǔn)采用了14周歲這一常見于刑事責(zé)任能力的標(biāo)準(zhǔn)，而沒有選擇與民事行為能力標(biāo)準(zhǔn)相一致（該條規(guī)定有待商榷，下文將作出分析）。從個(gè)人信息保護(hù)的多元利益出發(fā)，告知同意能且只能是信息處理的合法情形之一。
（二）數(shù)據(jù)保護(hù)制度的誤讀
在制度文本中，告知同意從來就不是個(gè)人信息處理的原則。1980年，經(jīng)濟(jì)合作與發(fā)展組織“數(shù)據(jù)保護(hù)指導(dǎo)原則”規(guī)定了收集限制原則、數(shù)據(jù)質(zhì)量原則、目的特定化原則、使用限制原則、安全保護(hù)原則、公開原則、個(gè)人參與原則、責(zé)任原則。1995年，歐盟DPD規(guī)定了數(shù)據(jù)質(zhì)量原則、數(shù)據(jù)處理合法原則、敏感數(shù)據(jù)處理原則、告知當(dāng)事人原則。2018年，歐盟GDPR規(guī)定了合法、公平和透明原則、目的限制原則、最小范圍原則、準(zhǔn)確性原則、存儲(chǔ)限制原則、完整性和保密性原則。這些主流的關(guān)于個(gè)人信息保護(hù)原則的規(guī)定中，從未有出現(xiàn)告知同意的原則，即便透明原則或告知當(dāng)事人原則中涉及了告知的內(nèi)容，但其并未強(qiáng)調(diào)同意，至少在歐盟法中，告知同意一直以來都只是個(gè)人信息合法處理的規(guī)范之一。
或許就美國法的“公平信息實(shí)踐原則”（FIPPs）而言，“通知/知情”“選擇/同意”“接近/參與”“信息整全/信息安全”“執(zhí)行/救濟(jì)”五項(xiàng)內(nèi)容中，確有契合告知同意的要求，因此極易被誤讀。但相關(guān)要求應(yīng)被解讀為個(gè)人信息保護(hù)的具體規(guī)則而非原則。首先，美國法上的同意，采取的是擇出（Opt-out）機(jī)制，與作為授權(quán)機(jī)制的擇入（Opt-in）有本質(zhì)區(qū)別。其次，這種同意只是公平信息實(shí)現(xiàn)的一種具體方式，且告知同意的要求也不是絕對(duì)化的。
從法律原則與法律規(guī)則的關(guān)系來看，告知同意也不具有原則地位。在內(nèi)容上，規(guī)則是具體明確的，而原則是高度抽象和概括的。告知同意是一項(xiàng)典型的具體制度，其有強(qiáng)同意/弱同意、擇入同意/擇出同意、特別同意/概括同意的區(qū)分，還有動(dòng)態(tài)同意、空白同意、推定同意、單獨(dú)同意、書面同意等多種類型。在適用范圍與適用方式上，告知同意不具有統(tǒng)攝個(gè)人信息保護(hù)法的地位，只能以“全有或全無”的方式適用，并受個(gè)人信息保護(hù)原則的約束。告知同意本身決不能稱為個(gè)人信息保護(hù)的“帝王條款”。學(xué)界公認(rèn)的個(gè)人信息保護(hù)“帝王條款”是“目的限制原則”。根據(jù)GDPR第5條第1款b項(xiàng)的規(guī)定，目的限制原則指“基于具體、明確、合法的目的收集個(gè)人信息，且隨后不得以與該目的相悖的方式進(jìn)行處理”。我國《民法典》第1035條第1條第3項(xiàng)首次規(guī)定了目的限制原則的部分內(nèi)涵，即處理個(gè)人信息必須“明示處理信息的目的”。《草案》第6條進(jìn)一步拓展了《民法典》第1035條第1條第3項(xiàng)的規(guī)定，指出“處理個(gè)人信息應(yīng)當(dāng)具有明確、合理的目的，并應(yīng)當(dāng)限于實(shí)現(xiàn)處理目的的最小范圍，不得進(jìn)行與處理目的無關(guān)的個(gè)人信息處理”。這一規(guī)定實(shí)際上結(jié)合了目的限制與數(shù)據(jù)最小化原則。目的限制作為基礎(chǔ)性原則，貫穿了個(gè)人信息保護(hù)制度始終。即便是主張告知同意具有原則地位的學(xué)者，亦無法否認(rèn)告知同意受目的限制原則的限制。基于公共利益、履行法定義務(wù)、履行合同義務(wù)等無須告知同意的信息處理情形，也需要適用目的限制原則。
事實(shí)上，在我國的規(guī)范體系中，告知同意也只是個(gè)人信息處理的具體規(guī)則而非原則?！吨腥A人民共和國網(wǎng)絡(luò)安全法》第41條規(guī)定了“合法、正當(dāng)、必要”的三原則，《民法典》第1035條在此三原則基礎(chǔ)上，進(jìn)一步明確了信息合法處理的要求?！睹穹ǖ洹返?/span>1036條更在告知同意以外列明了已公開信息、維護(hù)公共利益或信息主體的合法權(quán)益的免責(zé)情形。就個(gè)人信息保護(hù)規(guī)范體系而言，《民法典》第1036條存在的缺陷在于，一方面將個(gè)人信息合法處理情形規(guī)定為免責(zé)情形，另一方面未能周延地列舉個(gè)人信息合法處理的具體情形，并將信息是否公開的隱私保護(hù)要件不當(dāng)?shù)匾肓藗€(gè)人信息保護(hù)范疇。對(duì)此，《草案》第13條通過6項(xiàng)規(guī)定較為明確地規(guī)定了個(gè)人信息合法處理的具體要求，包括告知同意、締約或履約之必需、履行法定職責(zé)或義務(wù)之必需、應(yīng)對(duì)公共衛(wèi)生事件或緊急情況之必需、公共利益實(shí)施新聞報(bào)道或輿論監(jiān)督之必需、法律或行政法規(guī)所規(guī)定的其他情形。6項(xiàng)規(guī)定之間是并列的關(guān)系，不能把告知同意與其他條款理解為一般與例外的關(guān)系。由此可見，告知同意規(guī)則與其他個(gè)人信息保護(hù)規(guī)則一起，在諸多個(gè)人信息保護(hù)原則的統(tǒng)領(lǐng)下，共同服務(wù)于個(gè)人信息保護(hù)制度體系。
三、告知同意與數(shù)據(jù)合法處理的規(guī)則構(gòu)造
有學(xué)者將當(dāng)前學(xué)界所提出的應(yīng)對(duì)告知同意困境的方式概括為“放寬同意的要求和形式”“降低告知的約束力”“用風(fēng)險(xiǎn)規(guī)則置換同意規(guī)則”，然而，前兩種路徑，都是從告知同意本身出發(fā)所提出的，未能完全把握個(gè)人信息保護(hù)制度中告知同意與其他規(guī)則的互動(dòng)關(guān)系。風(fēng)險(xiǎn)規(guī)則的路徑，又試圖完全脫離告知同意，從而出現(xiàn)了忽略個(gè)人人格尊嚴(yán)保護(hù)，并難以有效約束“隱私政策”野蠻生長的問題。因此，在明晰告知同意的法律地位后，告知同意困境的最佳應(yīng)對(duì)策略應(yīng)為：一方面，在告知同意機(jī)制的內(nèi)部改造中細(xì)化告知同意規(guī)則，以格式合同規(guī)范約束“隱私政策”；另一方面，充分把握告知同意與其他規(guī)則互動(dòng)的關(guān)系，確立數(shù)據(jù)流通規(guī)則體系，引入個(gè)人信息保護(hù)設(shè)計(jì)。
（一）細(xì)化告知同意規(guī)則
就告知與同意的關(guān)系而言，我國應(yīng)堅(jiān)持擇入機(jī)制。在擇入機(jī)制中告知是前提和起點(diǎn)。在擇出機(jī)制中，實(shí)際上沒有告知也不存在同意，因此也被認(rèn)為“以‘默示同意’為幌子，實(shí)際則背離了知情同意”。同時(shí)，我國個(gè)人信息立法以移植歐盟相關(guān)規(guī)定為主，又對(duì)截然不同的美國制度進(jìn)行交叉引入，必將導(dǎo)致體系性混亂。在擇入機(jī)制的基本架構(gòu)下，《草案》的告知同意規(guī)則應(yīng)進(jìn)行更為精細(xì)化的調(diào)整和完善。
第一，《草案》第14條規(guī)定了同意的實(shí)質(zhì)要件為“特定、明確、自愿”，并在一般的同意規(guī)則外又指出了單獨(dú)同意和書面同意的特殊規(guī)定，然而，幾種同意形式在《草案》中體系混亂、關(guān)系不明。首先，書面同意可以刪除。《草案》僅在第30條規(guī)定了“法律、行政法規(guī)規(guī)定處理敏感個(gè)人信息應(yīng)當(dāng)取得書面同意的，從其規(guī)定”。其實(shí)，僅在此處強(qiáng)調(diào)同意的要式并無必要。其次，應(yīng)對(duì)單獨(dú)同意與一般同意作進(jìn)一步釋義和區(qū)分?！恫莅浮芬?guī)定，向第三方提供個(gè)人信息時(shí)（第24條）、公開其處理的個(gè)人信息時(shí)（第26條）、處理敏感個(gè)人信息時(shí)（第30條）、個(gè)人信息跨境時(shí)（第39條）需要取得單獨(dú)同意。由此可見，單獨(dú)同意對(duì)應(yīng)的特殊的個(gè)人信息處理情形，伴隨有特殊的個(gè)人信息告知要求。因此，單獨(dú)同意實(shí)際上屬于一種特別同意，即要求將一切信息和可能風(fēng)險(xiǎn)告知信息主體，在“特定、明確、自愿”的基礎(chǔ)上，取得信息主體具體同意。而一般同意應(yīng)理解為概括同意，雖然也要求“特定、明確、自愿”，但并不一定針對(duì)一個(gè)具體的事項(xiàng)，可以是針對(duì)將來信息處理行為概括的、一攬子的同意。
第二，《草案》第18條是對(duì)第7條透明原則的具體化。該條第1款規(guī)定了“個(gè)人信息處理者在處理個(gè)人信息前，應(yīng)當(dāng)以顯著方式、清晰易懂的語言向個(gè)人告知”的4個(gè)事項(xiàng)。前3個(gè)事項(xiàng)詳細(xì)列舉了告知的一般內(nèi)容，第4項(xiàng)兜底性規(guī)定鏈接到向合并分立時(shí)的告知要求（第23條）、第三方提供個(gè)人信息時(shí)的告知要求（第24條）、敏感信息處理的必要性及對(duì)個(gè)人影響的告知要求（第31條）、數(shù)據(jù)跨境時(shí)的告知要求（第39條）等。該條總體上對(duì)告知規(guī)則進(jìn)行了較為完善的規(guī)定。值得注意的是，由于《草案》第15條將14周歲規(guī)定為作出同意的年齡要求，因此“顯著方式、清晰易懂的語言”在針對(duì)未成年人之時(shí)應(yīng)有更高的標(biāo)準(zhǔn)與要求。同時(shí)，《草案》第18條第2款僅規(guī)定“應(yīng)當(dāng)將變更部分告知個(gè)人”，實(shí)際上變更部分的告知方式也必須是“顯著方式、清晰易懂的語言”（第1款）以及“便于查閱和保存”（第3款）。
第三，《草案》第25條規(guī)定了自動(dòng)化決策權(quán)，同時(shí)隱含了算法解釋權(quán)的內(nèi)容，規(guī)定了“個(gè)人認(rèn)為自動(dòng)化決策對(duì)其權(quán)益造成重大影響的，有權(quán)要求個(gè)人信息處理者予以說明”。然而，信息處理者的說明義務(wù)對(duì)應(yīng)的是客觀的重大影響，而非信息主體主觀認(rèn)識(shí)的重大影響。實(shí)際上，《草案》在個(gè)人信息風(fēng)險(xiǎn)評(píng)估中的重大影響（第54條第1款第5項(xiàng)）、已公開的個(gè)人信息對(duì)個(gè)人的重大影響（第28條第2款）等規(guī)定中的“重大影響”均是客觀的標(biāo)準(zhǔn)。因此，建議將“個(gè)人認(rèn)為”刪除，否則將造成說明義務(wù)適用前提不明；同時(shí)，對(duì)于“予以說明”的內(nèi)容應(yīng)進(jìn)一步明確。此時(shí)的說明，并不要求公開自動(dòng)化決策算法的內(nèi)部機(jī)制，只應(yīng)限于算法邏輯的說明。參照歐盟《監(jiān)管目的的自動(dòng)化個(gè)人決策和分析指南》規(guī)定，信息處理者只需要根據(jù)“若非A則無B”的反事實(shí)，以一個(gè)“沒有受過教育的門外漢”能理解的標(biāo)準(zhǔn)，通過簡潔、透明、易懂和容易取得的形式進(jìn)行解釋。
（二）以合同法進(jìn)行解讀
雖然個(gè)人信息保護(hù)法屬于公法色彩濃郁的法律，但亦無可否認(rèn)其在屬性上兼具私法色彩，屬于領(lǐng)域法的范疇。因此，私法規(guī)范，尤其是合同法的相關(guān)規(guī)范，應(yīng)與個(gè)人信息保護(hù)制度有機(jī)互動(dòng)。在告知同意上，《草案》第14條將同意界定為意思表示，也就是說，在私法的角度，“隱私政策”應(yīng)認(rèn)定為合同。雖然，平臺(tái)規(guī)則的成立與生效受《中華人民共和國電子商務(wù)法》的特殊規(guī)制，但并不能否認(rèn)“隱私政策”是平等主體之間通過意思表示一致達(dá)成的協(xié)議，經(jīng)用戶點(diǎn)擊承諾后即成立。從合同法的角度，可對(duì)《草案》作進(jìn)一步解讀。
第一，《草案》第15條似乎有兩種解釋的可能：一是以14周歲為標(biāo)準(zhǔn)界定同意的年齡標(biāo)準(zhǔn)；二是強(qiáng)調(diào)了信息處理者注意相對(duì)方年齡的義務(wù)，在相對(duì)方未滿14周歲時(shí)要求取得監(jiān)護(hù)人同意。即便是采取后一種文義解釋，也必將引申出同意年齡標(biāo)準(zhǔn)的問題。雖然，《草案》并非私法，但為了與《草案》第14條的規(guī)定相一致，同意的行為能力標(biāo)準(zhǔn)也應(yīng)與民事行為能力標(biāo)準(zhǔn)相一致，也唯有如此，《草案》才能與《民法典》相關(guān)個(gè)人信息保護(hù)規(guī)范相銜接。
第二，《草案》第16條規(guī)定了信息主體對(duì)同意具有撤回權(quán)，但此處的撤回不宜簡單理解為意思表示的撤回，否則根據(jù)法律行為理論，意思表示合法撤回后，合意不復(fù)存在，合同自始無效，進(jìn)而使得信息處理者對(duì)于撤回前信息處理的合法性基礎(chǔ)不復(fù)存在，這顯然不合常理。因此，此處的撤回應(yīng)理解為賦予信息主體任意解除權(quán)。由于該條將撤回的前提限于基于告知同意的信息處理，其充分為了保護(hù)信息主體的人格利益，因此不應(yīng)對(duì)任意解除附加以其他限制條件。對(duì)于信息主體撤回同意的法律后果而言，對(duì)應(yīng)的是不得繼續(xù)處理相關(guān)個(gè)人信息以及相關(guān)信息的刪除，然而，根據(jù)《草案》第47條第1款第3項(xiàng)的規(guī)定，信息主體撤回同意只是信息主體申請(qǐng)刪除個(gè)人信息的條件之一，也就是說，信息主體需要在撤回同意后另行申請(qǐng)才能行使刪除權(quán)。這一規(guī)定并不符合撤回的法律屬性。撤回后合法解除，信息處理者依法處理個(gè)人信息的基礎(chǔ)已經(jīng)不復(fù)存在，而存儲(chǔ)也屬于《草案》規(guī)定的個(gè)人信息處理行為，因此個(gè)人信息處理者必須主動(dòng)刪除相關(guān)信息，無須信息主體另行請(qǐng)求刪除。
第三，《草案》第17條明確規(guī)定了企業(yè)不得以個(gè)人不同意或撤回同意為由拒絕提供產(chǎn)品或者服務(wù)，實(shí)際上這是對(duì)格式合同規(guī)則的落實(shí)。若收集處理個(gè)人信息與相關(guān)產(chǎn)品或服務(wù)并不相關(guān)，基于格式條款的個(gè)人信息收集就屬于《民法典》第497條所規(guī)定的無效條款。例如，曾有一款手電筒App，試圖通過“隱私政策”大量收集包括地理位置、通訊錄、通話記錄等信息，但其唯一功能就是打開手機(jī)閃光燈。顯然這類格式條款因不合理、不公平、侵害個(gè)人信息權(quán)益而無效。同時(shí)，大量的App在人們?nèi)粘Ｉ钪芯哂辛嗽絹碓街匾挠绊?，甚至與政府公共服務(wù)相捆綁。此時(shí)，就需要貫徹目的限制原則，探尋其信息收集的必要性。通過這一方式，該條確保了個(gè)人免予被“霸王條款”所綁架。
第四，《草案》第18條告知的內(nèi)容在性質(zhì)上屬于“與對(duì)方有重大利害關(guān)系的條款”。根據(jù)格式條款規(guī)則，應(yīng)從提示的時(shí)間與提示的方式兩個(gè)方面進(jìn)行判斷相關(guān)告知是否達(dá)到《民法典》第496條第2款中所要求的“合理”程度，以及《中華人民共和國消費(fèi)者權(quán)益保護(hù)法》第26條第1款所要求的“顯著”程度。此外，應(yīng)著重根據(jù)個(gè)人信息保護(hù)的相關(guān)規(guī)范，審查相關(guān)條款是否符合個(gè)人信息的保護(hù)原則與處理規(guī)則，并據(jù)以否定侵害個(gè)人權(quán)益條款的有效性，以此合同法手段，有效回應(yīng)不合理、不公平、侵害個(gè)人信息權(quán)益的“霸王條款”問題。
（三）確立數(shù)據(jù)流通規(guī)則體系
不少學(xué)者已經(jīng)注意到，個(gè)人信息保護(hù)應(yīng)采取激勵(lì)相容的模式，不可“簡單施加各種禁止性或者強(qiáng)制性規(guī)定”。在財(cái)產(chǎn)規(guī)則外，引入管制規(guī)則與責(zé)任規(guī)則，“以多種類的技術(shù)監(jiān)督機(jī)制以消弭權(quán)利配置進(jìn)路的負(fù)外部性”。事實(shí)上，無論是激勵(lì)相容抑或法經(jīng)濟(jì)學(xué)規(guī)則菜單的理論，均基于數(shù)據(jù)流通規(guī)則體系的構(gòu)建，鼓勵(lì)數(shù)據(jù)依法自由流動(dòng)。就此而言，《草案》第13條在參考GDPR相關(guān)規(guī)定的基礎(chǔ)上，在告知同意外，規(guī)定了5種合法的個(gè)人信息處理情形，大大拓展了《民法典》第1036條告知同意外的兩項(xiàng)免責(zé)事由，然而，這一規(guī)定仍有缺陷。一方面，數(shù)據(jù)流通規(guī)則未能貫穿《草案》始終，第13條往后的大量條文仍以告知同意為主。建議《草案》必須在堅(jiān)持該條規(guī)定的基礎(chǔ)上，進(jìn)一步明確承認(rèn)信息處理者對(duì)數(shù)據(jù)的合法權(quán)益依法受到保護(hù)，并輔以相應(yīng)的責(zé)任規(guī)則，構(gòu)建從個(gè)人信息合法處理到數(shù)據(jù)合法利用的數(shù)據(jù)流通規(guī)則體系，發(fā)揮《個(gè)人信息保護(hù)法》在培育數(shù)據(jù)要素市場(chǎng)中的積極作用。另一方面，必須明確，數(shù)據(jù)流通規(guī)則必須受個(gè)人信息保護(hù)基本原則的約束。對(duì)于《草案》第13條第2～4項(xiàng)之中的“所必需”以及第5項(xiàng)之中的“合理的范圍”應(yīng)有一定的判定基準(zhǔn)。歐盟“第29條工作組”即曾經(jīng)提出數(shù)據(jù)流通規(guī)則的衡量標(biāo)準(zhǔn)，參照這一標(biāo)準(zhǔn)，對(duì)5種情形的解釋必須考慮信息處理者的合法利益、對(duì)信息主體的影響、義務(wù)的平衡、額外的保障措施。
第一，《草案》第13條第2項(xiàng)規(guī)定了訂立或者履行信息主體作為相對(duì)人一方的合同所必需的情形。首先，可以預(yù)計(jì)該項(xiàng)將成為絕大多數(shù)業(yè)務(wù)場(chǎng)景下收集信息的依據(jù)。因此，其必須受目的限制原則的約束，不得利用這一條款進(jìn)行個(gè)性化營銷。其次，從文本來看，該款對(duì)第三人不得適用，然而，涉及代理人時(shí)，雖然代理人是其所代理的合同關(guān)系中的第三人，但采集代理人的個(gè)人信息卻又是必要的。此外，對(duì)個(gè)人信息處理者而言，也難以僅將其限縮至合同相對(duì)方的范疇。許多時(shí)候，關(guān)聯(lián)方處理信息確實(shí)是履約所必要的。例如，某人在B平臺(tái)辦理了一張A品牌的會(huì)員卡，實(shí)際上每一個(gè)品牌分銷商、加盟店都是獨(dú)立的法人，若限于締約主體的獨(dú)立法人地位，將使得會(huì)員卡實(shí)際無法使用。因此，建議適當(dāng)擴(kuò)大該項(xiàng)范疇，涵蓋代理人的信息，同時(shí)在確有必要時(shí)允許關(guān)聯(lián)方使用相關(guān)信息。最后，必須解決《草案》其他條文與該項(xiàng)的矛盾與沖突。如《草案》第17條關(guān)于企業(yè)不得以個(gè)人不同意或撤回同意為由拒絕提供產(chǎn)品或者服務(wù)的規(guī)定中，指出“處理個(gè)人信息屬于提供產(chǎn)品或者服務(wù)所必需的除外”。這一規(guī)定，在表述上容易得出提供服務(wù)所必需的情形也需要告知同意，僅僅是此時(shí)信息處理者可拒絕提供服務(wù)而已。然而，根據(jù)第13條第2項(xiàng)，此時(shí)已與同意無關(guān)。又如，《草案》第24條向第三方提供信息時(shí)單獨(dú)同意的要求似乎是絕對(duì)的，但如前述在向關(guān)聯(lián)方轉(zhuǎn)移信息的事例中，確有為履行與信息主體作為相對(duì)人一方的合同之必要的情形。
第二，《草案》第13條第4項(xiàng)規(guī)定了應(yīng)對(duì)公共衛(wèi)生事件或緊急情況下為維護(hù)信息主體利益所必需的情形?；蛟S有觀點(diǎn)會(huì)認(rèn)為，部分措施并非緊急，卻與信息主體重大利益密切相關(guān)，如反欺詐措施、支付安全措施等。因此，不宜將維護(hù)信息主體利益所必需的情形限制在緊急情況之中。此觀點(diǎn)實(shí)際上忽視了這些措施多已是信息處理者的法律職責(zé)或法定義務(wù)，可直接適用《草案》第13條第3項(xiàng)，無須在此處體現(xiàn)。緊急情況的限制確有必要。此條款與《草案》第19條相對(duì)應(yīng)，必須有相應(yīng)的回復(fù)機(jī)制。根據(jù)《草案》第19條第2款的規(guī)定，在緊急情況消除后，信息處理者必須對(duì)信息主體履行告知義務(wù)。同時(shí)，應(yīng)進(jìn)一步明確由于緊急情況已經(jīng)消除，應(yīng)使用告知同意規(guī)則，在獲得同意后方可繼續(xù)處理相關(guān)信息。雖然公共衛(wèi)生事件在此條文中予以單列，但實(shí)際上也屬于特殊的緊急情況，事后亦應(yīng)履行告知義務(wù)。
第三，《草案》第13條第5項(xiàng)規(guī)定了“為公共利益實(shí)施新聞報(bào)道、輿論監(jiān)督等行為在合理的范圍內(nèi)處理個(gè)人信息”的情形。對(duì)該項(xiàng)的“等”的解釋將直接決定該項(xiàng)的適用范圍。若作“等內(nèi)等”理解，則該項(xiàng)為針對(duì)新聞報(bào)道的規(guī)定；若作“等外等”的解釋，該項(xiàng)可作公共利益的擴(kuò)大解釋。以公共利益的必要性作為考量，對(duì)個(gè)人信息進(jìn)行處理的情形至少包括“監(jiān)控疫情和人道主義救援、確保網(wǎng)絡(luò)和信息安全、基于勞動(dòng)和社會(huì)保障目的、維護(hù)公共健康、新聞和文學(xué)藝術(shù)創(chuàng)作自由、科學(xué)研究等”。為了與其他基于公共利益的信息流通規(guī)則相協(xié)調(diào)，該款中的等亦作“等外等”解釋，同時(shí)建議進(jìn)一步豐富列明公共利益的具體內(nèi)容。在這個(gè)意義上，可進(jìn)一步理解《草案》第27條關(guān)于公共場(chǎng)所監(jiān)控的規(guī)定。該條規(guī)定，將公共場(chǎng)所監(jiān)控限制在“為維護(hù)公共安全所必需”的情形，實(shí)際上已排除了告知同意規(guī)則的適用。因此，“設(shè)置顯著的提示標(biāo)識(shí)”的要求并不能簡單理解為告知，亦無須信息主體同意才能進(jìn)行信息處理。此外，回到《草案》第13條第5項(xiàng)，該項(xiàng)規(guī)定公共利益必須受“合理的范圍”的約束。“合理的范圍”并不等于“所必需”。以該項(xiàng)所指向的新聞報(bào)道為例，實(shí)難以說明信息處理是必須的，若以必須為邏輯，記者大可不報(bào)道相關(guān)信息。因此，對(duì)于涉及公共利益的信息利用而言，其適用的是比必要性更為寬松的合理性要件。新聞報(bào)道若涉及家庭地址、人肉搜索等便是超出了合理范圍。
（四）引入個(gè)人信息保護(hù)設(shè)計(jì)
設(shè)計(jì)本身就是權(quán)力，設(shè)計(jì)通過代碼決定了用戶的行為。“程序員是一個(gè)宇宙的創(chuàng)造者，他自身也是其中唯一的立法者。無論是多么有權(quán)勢(shì)的劇作家、舞臺(tái)劇導(dǎo)演或皇帝，也不曾行使過如此絕對(duì)的權(quán)力來安排一個(gè)舞臺(tái)或戰(zhàn)場(chǎng)，并指揮如此堅(jiān)定不移盡職盡責(zé)的演員或軍隊(duì)。”為了更有效地回應(yīng)告知同意的困境，必須通過技術(shù)架構(gòu)的挑戰(zhàn)，以保護(hù)個(gè)人信息。根據(jù)助推理論，技術(shù)架構(gòu)的設(shè)計(jì)可改變?nèi)藗兊男袨椤Ｍㄟ^設(shè)計(jì)保護(hù)個(gè)人信息，將個(gè)人信息保護(hù)前置到產(chǎn)品設(shè)計(jì)環(huán)節(jié)，通過將個(gè)人信息保護(hù)融入默認(rèn)設(shè)置、具體設(shè)計(jì)之中，以實(shí)現(xiàn)端對(duì)端的安全。這一概念的倡導(dǎo)者卡沃基安（Ann Cavoukian）提出，個(gè)人信息保護(hù)應(yīng)自動(dòng)而非被動(dòng)、預(yù)防而非補(bǔ)償；注重設(shè)計(jì)與默認(rèn)設(shè)置；實(shí)現(xiàn)多方利益、價(jià)值共存，端對(duì)端安全，可見性和透明性，以用戶個(gè)人信息為中心的產(chǎn)品設(shè)計(jì)。也就是說，個(gè)人信息保護(hù)設(shè)計(jì)是一種前置性的、預(yù)防性的保護(hù)手段，其不以告知同意為基礎(chǔ)。
遺憾的是，《草案》缺乏關(guān)于個(gè)人信息保護(hù)設(shè)計(jì)的規(guī)定。實(shí)際上，由于設(shè)計(jì)的重要性，法律對(duì)產(chǎn)品設(shè)計(jì)的關(guān)注并不少見。汽車設(shè)計(jì)中就有關(guān)于安全帶、安全氣囊、倒后鏡等各種設(shè)計(jì)的標(biāo)準(zhǔn)，未滿足相關(guān)標(biāo)準(zhǔn)的產(chǎn)品將不被允許上路。參照GDPR第25條的規(guī)定，個(gè)人信息保護(hù)設(shè)計(jì)應(yīng)結(jié)合科技發(fā)展水平、標(biāo)準(zhǔn)實(shí)施成本以及個(gè)人信息處理行為的性質(zhì)、范圍、環(huán)境和目的進(jìn)行規(guī)范，并確保在默認(rèn)設(shè)置中，個(gè)人信息受到適當(dāng)保護(hù)。在具體的措施上，可借鑒哈托格（Woodrow Hartzog）個(gè)人信息保護(hù)設(shè)計(jì)的回應(yīng)模式，明確禁止欺騙性的設(shè)計(jì)與存在危險(xiǎn)的設(shè)計(jì)，輔之以一定的設(shè)計(jì)標(biāo)準(zhǔn)和規(guī)范，對(duì)違反設(shè)計(jì)規(guī)范的企業(yè)作出一定處罰，以個(gè)人信息保護(hù)設(shè)計(jì)，回應(yīng)告知同意的失靈。唯有將個(gè)人信息保護(hù)前置到產(chǎn)品設(shè)計(jì)之中，才能從根本上解決隱私政策的功能危機(jī)。
四、結(jié)語
當(dāng)前，我國雖然尚未頒布《個(gè)人信息保護(hù)法》，但通過近年來《刑法》《網(wǎng)絡(luò)安全法》《民法典》等法律中的相關(guān)制度，已經(jīng)初步形成了具有中國特色、適應(yīng)時(shí)代發(fā)展的個(gè)人信息保護(hù)制度體系?！秱€(gè)人信息保護(hù)法》的出臺(tái)，應(yīng)在我國既有的制度資源基礎(chǔ)上，把握基礎(chǔ)理論命題，回應(yīng)數(shù)據(jù)時(shí)代的發(fā)展需要。其中，告知同意作為個(gè)人信息保護(hù)的一項(xiàng)具體規(guī)則，連接著公法與私法的相關(guān)規(guī)范，具有重要作用。明晰告知同意的規(guī)則地位，并非完全否定告知同意規(guī)則本身，而是應(yīng)從個(gè)人信息保護(hù)規(guī)則體系出發(fā)，進(jìn)一步理順告知同意與其他個(gè)人信息合法處理規(guī)則的關(guān)系，正面回應(yīng)告知同意的現(xiàn)實(shí)困境，更好地構(gòu)建個(gè)人信息保護(hù)制度體系。
編輯：海洋