大數(shù)據(jù)時代的個人信息保護(hù)

禹會會

關(guān)鍵詞大數(shù)據(jù) 個人信息 侵權(quán)責(zé)任

一、個人信息的法律屬性

《民法典》第一千零三十四條規(guī)定：“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。”歐盟《數(shù)據(jù)保護(hù)通用條例》也對個人數(shù)據(jù)的概念做出了規(guī)定，二者對個人信息的規(guī)定都有列舉，并且都規(guī)定了識別個人信息的方式有直接或者間接的方式。美國《消費者隱私權(quán)利法案（草案）》將個人信息定義為“能夠連結(jié)（link）到特定個人或設(shè)備的信息”，進(jìn)一步指出了個人信息“關(guān)聯(lián)性”（linkable）的特征，其對個人信息的識別進(jìn)行了更加追本溯源性的規(guī)定，認(rèn)為個人信息不僅是識別個體的特征，并且能夠與個體或者設(shè)備連接，將各種信息或者符號通過某種形式與個體連接，形成信息——個體的動態(tài)識別過程，為以后判斷是否屬于個人信息提供了更好的思路。我國學(xué)界對民法典在人格權(quán)一編中規(guī)定個人信息的保護(hù)持有兩種觀點，一種認(rèn)為民法典在人格權(quán)編中確立了個人信息權(quán)，是一種獨占的支配權(quán)，另一種認(rèn)為自然人對個人信息享有的只是一種民事利益。本文認(rèn)為自然人對個人信息應(yīng)當(dāng)享有的是支配權(quán)，也即自然人對個人信息擁有個人信息權(quán)。

首先，從表現(xiàn)形式上看，數(shù)字化記載的個人信息如同人的肖像一樣，都是識別社會中的個體的一種表現(xiàn)形式，區(qū)別在于，肖像是以生物特征為基礎(chǔ)，以影像、繪畫等形式記載的可以識別個體外部形象的一種記載方式，而個人信息，大多以數(shù)字化的信息為記載方式，但究其本質(zhì)，都是從個體中分割出來的一種天然的權(quán)利。

其次，從保護(hù)目的上來看，個人信息在現(xiàn)代大數(shù)據(jù)環(huán)境下大多表現(xiàn)為一種數(shù)據(jù)化的記載方式，并且與自然人的人格權(quán)利息息相關(guān)，比如未經(jīng)正當(dāng)途徑獲得他人手機(jī)號碼打電話進(jìn)行推銷宣傳，通常會打擾個人的生活安寧。明確個人信息的法律性質(zhì)有利于理解法律對個人信息的保護(hù)程度，對侵權(quán)責(zé)任的劃分也具有重要作用。

二、大數(shù)據(jù)背景下的個人信息保護(hù)

（一）“知情同意”原則的困境

基于個人信息形成的產(chǎn)業(yè)服務(wù)已經(jīng)成為人日常生活中的必不可少，也是如今企業(yè)提升競爭力的重要因素。個人信息的收集、處理、運用、傳輸都可能會產(chǎn)生巨大的價值，也可能會給信息主體造成困擾，隨著大數(shù)據(jù)的發(fā)展，信息利用與流轉(zhuǎn)不再僅限于與服務(wù)提供者之間的直接聯(lián)系，而是變得更加多元、復(fù)雜。知情同意規(guī)則是個人信息保護(hù)的核心法則，民法典也規(guī)定數(shù)據(jù)控制者要征得信息主體同意并且明確信息使用的目的。但根據(jù)近年來的數(shù)據(jù)顯示，知情同意規(guī)則逐漸流于形式，主要表現(xiàn)在：一是個人信息收集超過必要限度;二是隱私條款中未明確個人信息的使用目的;三是隱私條款冗長，存在默認(rèn)同意規(guī)則;四是存在不合理的免責(zé)條款等。知情同一規(guī)則在傳統(tǒng)的單一環(huán)節(jié)的數(shù)據(jù)流通中能夠相對有效的保護(hù)個人信息，但是在大數(shù)據(jù)環(huán)境中，面對多環(huán)節(jié)的數(shù)據(jù)流和多元化的數(shù)據(jù)處理主體，知情同意規(guī)則往往顯得鞭長莫及。明顯的，在多元化的數(shù)據(jù)處理主體中，信息主體能夠得到的直接交易信息是來自初始的數(shù)據(jù)處理主體，但二者又明顯處于不對等的地位，這種關(guān)系既不利于信息主體的知情權(quán)，也不利于在信息主體的個人信息受到侵犯時追究責(zé)任。

（二）個人信息的范圍

1.個人信息范圍的評價標(biāo)準(zhǔn)

德國立法認(rèn)為個人信息權(quán)是一種獨立的個人數(shù)據(jù)權(quán)，美國立法認(rèn)為個人信息權(quán)為隱私權(quán)的一種，通過我國民法典規(guī)定可以看出，個人信息權(quán)和個人隱私權(quán)分別規(guī)定在人格權(quán)一編中，也承認(rèn)了個人信息權(quán)是獨立的人格權(quán)。這也說明并非所有的個人信息都受到民法的保護(hù)，只有與信息主體密切相關(guān)并且具有個體上的識別性信息才能稱之為民法意義上的個人信息。所以人格權(quán)編中的個人信息范圍的評價應(yīng)當(dāng)具備以下幾個要素：

一是與信息主體相連接，如前述美國《消費者隱私權(quán)利法案（草案）》中規(guī)定的與信息主體或者設(shè)備相連接，能夠達(dá)到信息一一主體，主體——信息的連接，該信息可能直接源于信息主體，也可間接源于信息主體，但是能夠通過某種方式反映信息主體的客觀情況。

二是可識別性。通過該信息能夠使信息主體區(qū)別與他人，具有可辨識性。即使他人與信息主體擁有同樣的信息，但也能夠通過該信息識別主體的情況，比如精神狀態(tài)，家庭住址、興趣愛好等。

三是具備某種客觀表現(xiàn)形式，在大數(shù)據(jù)技術(shù)下，個人信息通常被記錄為電磁數(shù)據(jù)，信息控制者采用一定方式對個人信息進(jìn)行記載，并通過對其的整理和編排，使之可以通過結(jié)構(gòu)化方法進(jìn)行查詢、檢索或用作它途。系統(tǒng)化的個人信息具有穩(wěn)定性、流轉(zhuǎn)性。比如一個人的航班信息，零碎的航班信息有承運航空、乘機(jī)人、出發(fā)地、目的地、時間等。如果將這些信息割裂開來則無法反映個人的出行情況，不能稱之為個人信息，但是通過系統(tǒng)化的記載方式記載到機(jī)票上就屬于個人信息。

四是信息的用途。只有當(dāng)某種信息具有特定的用途時才能稱之為個人信息，這就需要個人信息處于特定的環(huán)境才具有人格上的利益。比如指紋，在指紋解鎖的手機(jī)上能夠稱之為個人信息，但是因為觸摸公共座椅留下的指紋，如果不具備特定的用途，就不能成為民法所保護(hù)的個人信息。在大數(shù)據(jù)環(huán)境下，信息的種類更加繁多，記載的方式也日益增多，個人信息具有非常大的不確定性，應(yīng)當(dāng)把握好個人信息的評價標(biāo)準(zhǔn)，進(jìn)而確定個人信息的范圍，才能夠有效保護(hù)個人信息。

2.個人信息與個人隱私的界定

根據(jù)近年來的侵犯個人信息權(quán)的案例來看，大多原告將侵犯個人信息的行為認(rèn)定為侵犯了個人隱私進(jìn)行訴訟，比如黃某訴微信讀書一案，原告認(rèn)為被告未經(jīng)同意直接在微信讀書APP中對其微信好友進(jìn)行互相關(guān)注，并且允許微信好友查看其書架和讀書偏好，是侵犯了其隱私權(quán)，法院認(rèn)為書架和讀書偏好只能大致反映出一個人的性格特征、品味或者精神面貌，根據(jù)場景化原則，原告的讀書信息不足以刻畫讀者的人格特征，造成人格損害，公開其讀書信息也未對其生活造成侵?jǐn)_，所以不構(gòu)成對個人隱私的侵犯。個人信息的處理是否給用戶帶來隱私風(fēng)險的原因并非來自其“是否構(gòu)成個人信息”，而是在具體場景中“被如何使用”以及是否符合用戶在相應(yīng)場景中的合理期待。個人信息與個人隱私具有交錯性，在評價二者時，應(yīng)當(dāng)根據(jù)場景化原則結(jié)合使用之目的進(jìn)行評價，比如某高校在網(wǎng)上公開學(xué)生成績要求社會大眾進(jìn)行評價，這種行為明顯對學(xué)生的人格產(chǎn)生了影響，可能給學(xué)生造成精神上的不安，可能構(gòu)成對個人隱私的侵犯。如果某高校公開學(xué)生成績進(jìn)行招生宣傳，對學(xué)生的人格利益產(chǎn)生較小的影響，可能構(gòu)成對個人信息的侵犯。個人隱私主要是能夠?qū)€人人格產(chǎn)生評價，是一種精神上的權(quán)利，個人信息則兼具人格利益與財產(chǎn)利益屬性。

三、保護(hù)個人信息權(quán)利的途徑

（一）重構(gòu)“知情同意”價值理念

“知情同意”原則本身的目的是規(guī)范信息處理者，向信息主體明確信息處理目的，公開信息處理范圍并且征得信息主體的同意。但在大數(shù)據(jù)時代，信息源多元化、信息處理主體多元化導(dǎo)致“知情同意”原則很大程度上成為信息處理主體規(guī)避風(fēng)險的一種“免死金牌”。因此在原有的“知情同意”原則下，應(yīng)當(dāng)規(guī)范信息處理者的使用目的，采取目的限定原則，根據(jù)信息處理的目的有效篩選個人信息，在每一次信息轉(zhuǎn)移過程中，根據(jù)個人信息使用目的以及與人格利益相密切程度確定信息移轉(zhuǎn)風(fēng)險預(yù)期標(biāo)準(zhǔn)。

其次，應(yīng)當(dāng)提高用戶知情透明度，在很多情況下，用戶并不知道個人信息的使用目的，以及使用范圍，或者用戶只在初始使用時略微了解使用目的，至于使用過程中是否有所改變也不知，因此有必要規(guī)范隱私條款，簡化隱私條款，使用戶更加明確個人信息使用目的，在使用過程中，使用目的變化、使用范圍變化需再次向與用戶進(jìn)行明確。

（二）區(qū)分個人信息類型進(jìn)行分層保護(hù)

從上文看，個人信息權(quán)是一種人格權(quán)，個人信息與人格利益息息相關(guān)，但大數(shù)據(jù)時代不同的個人信息與人格權(quán)聯(lián)系緊密程度是不同的，因此有學(xué)者將個人信分為一般個人信息和個人敏感信息進(jìn)行不同程度的保護(hù)，但本文認(rèn)為一般個人信息和個人敏感信息在不同環(huán)境和對不同的人是不特定的，是一個動態(tài)的變化過程，比如明星的個人行程，在公開的行程中是一般個人信息，但明星的私人行程被外界獲取進(jìn)行跟蹤拍攝盈利則是個人敏感信息，所以我們無法提前預(yù)測什么是一般個人信息和個人敏感信息，只能預(yù)測一種標(biāo)準(zhǔn)，根據(jù)對人格的影響程度進(jìn)行不同的保護(hù)，對一般個人信息側(cè)重于消極保護(hù)，個人敏感信息側(cè)重于積極保護(hù)。另外，還需加強對未成年人的個人信息保護(hù)。

（三）完善侵害個人信息的侵權(quán)責(zé)任

在大數(shù)據(jù)生活中，多方參與個人信息的收集、利用，以至于當(dāng)侵害行為發(fā)生時無法查找實際侵權(quán)人，中國在將來的個人信息保護(hù)立法中可以參照美國個人信息侵權(quán)責(zé)任的劃分，類似于中國的共同危險行為理論，無法查明具體侵權(quán)人的，涉及多方信息處理主體，應(yīng)當(dāng)共同承擔(dān)侵權(quán)責(zé)任，能夠證明自己不是侵權(quán)人的，不承擔(dān)責(zé)任。因涉及到多方信息處理主體，個人信息侵權(quán)行為的歸責(zé)原則不能按照普通的規(guī)則原則進(jìn)行處理，因果關(guān)系的認(rèn)定也不能按照誰主張誰舉證的模式進(jìn)行，雖然《民事訴訟法》規(guī)定法院可以適當(dāng)分配證明責(zé)任，但是法律并未規(guī)定如何分配，按照何種標(biāo)準(zhǔn)分配，這些都有賴于未來的立法進(jìn)行規(guī)定。