□ 程嘯 （清華大學(xué)法學(xué)院教授）

隱私政策（Privacy policy），也稱隱私聲明，是指網(wǎng)絡(luò)服務(wù)提供者就其如何處理個(gè)人信息所作出的書(shū)面聲明、陳述、允諾或者保證。“隱私政策”這一概念最早來(lái)自美國(guó)，而由于美國(guó)的網(wǎng)絡(luò)信息產(chǎn)業(yè)最為發(fā)達(dá)，故此，世界上其他國(guó)家的網(wǎng)絡(luò)服務(wù)提供者也都紛紛接受并使用了這一概念，我國(guó)很多網(wǎng)絡(luò)公司也是如此。不過(guò)，在法律層面，我國(guó)只有一些文件和行業(yè)規(guī)定使用了“隱私政策”的概念。例如，國(guó)家互聯(lián)網(wǎng)信息辦公室秘書(shū)局等單位聯(lián)合印發(fā)的《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》第一條規(guī)定：以下行為可被認(rèn)定為“未公開(kāi)收集使用規(guī)則”：1．在App中沒(méi)有隱私政策，或者隱私政策中沒(méi)有收集使用個(gè)人信息規(guī)則；2．在App首次運(yùn)行時(shí)未通過(guò)彈窗等明顯方式提示用戶閱讀隱私政策等收集使用規(guī)則；3．隱私政策等收集使用規(guī)則難以訪問(wèn)，如進(jìn)入App主界面后，需多于4次點(diǎn)擊等操作才能訪問(wèn)到；4．隱私政策等收集使用規(guī)則難以閱讀，如文字過(guò)小過(guò)密、顏色過(guò)淡、模糊不清，或未提供簡(jiǎn)體中文版等。

民法典、個(gè)人信息保護(hù)法、網(wǎng)絡(luò)安全法等法律中并無(wú)“隱私政策”一詞，而是使用了“處理信息的規(guī)則”“個(gè)人信息處理規(guī)則”的概念。例如民法典第一千零三十五條第1款第2項(xiàng)規(guī)定，處理個(gè)人信息的，應(yīng)當(dāng)公開(kāi)處理信息的規(guī)則；個(gè)人信息保護(hù)法第十七條第3款規(guī)定，個(gè)人信息處理者通過(guò)制定個(gè)人信息處理規(guī)則的方式告知個(gè)人信息處理者的名稱或者姓名和聯(lián)系方式等事項(xiàng)。所謂個(gè)人信息處理規(guī)則，就是指?jìng)€(gè)人信息處理者制定的，用于向個(gè)人信息被處理的自然人履行法定告知義務(wù)的、公開(kāi)的書(shū)面聲明、陳述或者承諾。個(gè)人信息處理規(guī)則具有普遍適用性與公開(kāi)性，任何個(gè)人信息被處理的自然人都適用該規(guī)則，其實(shí)現(xiàn)的是履行法定告知義務(wù)的作用。需要注意的是，這個(gè)“個(gè)人信息處理規(guī)則”并非個(gè)人信息保護(hù)法第二章的“個(gè)人信息處理規(guī)則”。該章的個(gè)人信息處理規(guī)則是法律規(guī)定的個(gè)人信息處理者處理個(gè)人信息時(shí)應(yīng)當(dāng)遵循的各項(xiàng)規(guī)則，其中，就包含了第十七條規(guī)定的以包括個(gè)人信息處理規(guī)則在內(nèi)的方式向信息主體履行告知義務(wù)的規(guī)則。

隱私政策的基本性質(zhì)就是個(gè)人信息處理者規(guī)則，也就是說(shuō)，隱私政策實(shí)際上履行的就是實(shí)現(xiàn)法律規(guī)定的個(gè)人信息處理者處理個(gè)人信息前向自然人告知相關(guān)事項(xiàng)的義務(wù)之功能。我國(guó)個(gè)人信息保護(hù)法明確規(guī)定了處理個(gè)人信息應(yīng)當(dāng)遵循公開(kāi)、透明原則，公開(kāi)個(gè)人信息處理規(guī)則，明示處理的目的、方式和范圍。同時(shí)，個(gè)人信息權(quán)益的核心就是自然人對(duì)其個(gè)人信息處理享有知情權(quán)和決定權(quán)。保障知情權(quán)，就必須使得自然人對(duì)于個(gè)人信息處理充分知情。個(gè)人信息保護(hù)法第十七條第1款規(guī)定，個(gè)人信息處理者在處理個(gè)人信息前，應(yīng)當(dāng)以顯著方式、清晰易懂的語(yǔ)言真實(shí)、準(zhǔn)確、完整地向個(gè)人告知下列事項(xiàng)：（1）個(gè)人信息處理者的名稱或者姓名和聯(lián)系方式；（2）個(gè)人信息的處理目的、處理方式，處理的個(gè)人信息種類、保存期限；（3）個(gè)人行使本法規(guī)定權(quán)利的方式和程序；（4）法律、行政法規(guī)規(guī)定應(yīng)當(dāng)告知的其他事項(xiàng)。同條第3款還明確規(guī)定，個(gè)人信息處理者通過(guò)制定個(gè)人信息處理規(guī)則的方式告知前述事項(xiàng)的，處理規(guī)則應(yīng)當(dāng)公開(kāi)，并且便于查閱和保存。隱私政策既然屬于個(gè)人信息處理規(guī)則，那么當(dāng)然要適用個(gè)人信息保護(hù)的相關(guān)法律規(guī)范加以調(diào)整，如個(gè)人信息保護(hù)法第十七條、第三十一條、第四十八條。

網(wǎng)絡(luò)服務(wù)提供者之所以制定隱私政策，一方面是為了向用戶承諾自己的處理行為是合法、正當(dāng)、必要、公平且透明的，另一方面也是處理者自我行為約束的明確承諾或表態(tài)。如果隱私政策本身就違反法律的規(guī)定，則處理者據(jù)此從事的處理行為就是非法的。在侵害個(gè)人信息權(quán)益糾紛案中，認(rèn)定個(gè)人信息處理者是否存在侵害行為，其制定的隱私政策具有很重要的作用。因?yàn)楫?dāng)隱私政策本身就違反個(gè)人信息保護(hù)法等法律時(shí)，當(dāng)然就可據(jù)此認(rèn)定處理者實(shí)施的個(gè)人信息處理行為是違法的。例如，A網(wǎng)絡(luò)公司在隱私政策中宣稱：“本公司將基于業(yè)務(wù)發(fā)展的需要而自行決定將收集的用戶個(gè)人信息提供給有關(guān)單位?！憋@然，這個(gè)告知的事項(xiàng)即便經(jīng)過(guò)用戶的同意，也是無(wú)效的。一旦A公司據(jù)此將個(gè)人信息提供給B公司的，用戶有權(quán)要求A公司承擔(dān)侵害個(gè)人信息權(quán)益的民事責(zé)任。因?yàn)閭€(gè)人信息保護(hù)法第二十三條明確規(guī)定：“個(gè)人信息處理者向其他個(gè)人信息處理者提供其處理的個(gè)人信息的，應(yīng)當(dāng)向個(gè)人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個(gè)人信息的種類，并取得個(gè)人的單獨(dú)同意。接收方應(yīng)當(dāng)在上述處理目的、處理方式和個(gè)人信息的種類等范圍內(nèi)處理個(gè)人信息。接收方變更原先的處理目的、處理方式的，應(yīng)當(dāng)依照本法規(guī)定重新取得個(gè)人同意?！彼裕珹公司只有取得個(gè)人的單獨(dú)同意，才能將其處理的用戶個(gè)人信息提供給B公司。反之，如果隱私政策是合法的，則處理者可以通過(guò)提交隱私政策來(lái)證明自己的處理行為的合法性，個(gè)人必須證明處理者實(shí)際實(shí)施的個(gè)人信息處理行為并不符合隱私政策或者存在違法情形。

理論上有觀點(diǎn)從合同的角度來(lái)看待隱私政策，認(rèn)為隱私政策屬于格式條款，即網(wǎng)絡(luò)服務(wù)提供者通過(guò)制定隱私政策不僅要履行法定的告知義務(wù)，該隱私政策經(jīng)由個(gè)人的同意還在網(wǎng)絡(luò)服務(wù)提供者與網(wǎng)絡(luò)用戶之間形成了個(gè)人信息處理的合同關(guān)系。此種合同是網(wǎng)絡(luò)服務(wù)提供者與網(wǎng)絡(luò)用戶就個(gè)人信息處理的相關(guān)問(wèn)題達(dá)成的合意。它不是購(gòu)買(mǎi)商品或接受服務(wù)的網(wǎng)絡(luò)消費(fèi)合同，因?yàn)榫W(wǎng)絡(luò)消費(fèi)合同一般是因?yàn)橛脩敉饩W(wǎng)絡(luò)服務(wù)提供者制定的《用戶協(xié)議》《網(wǎng)絡(luò)平臺(tái)交易規(guī)則》等格式條款而締結(jié)的。既然隱私政策具有格式條款的性質(zhì)，故此，需要適用民法典合同編的相關(guān)規(guī)范，尤其是第四百九十六條至第四百九十八條關(guān)于格式條款的規(guī)定加以調(diào)整。如果隱私政策中涉及對(duì)用戶個(gè)人信息的處理的約定存在不合理地免除或者減輕網(wǎng)絡(luò)服務(wù)提供者的責(zé)任、加重用戶責(zé)任、限制用戶主要權(quán)利；或者排除用戶主要權(quán)利的，則這些條款無(wú)效。應(yīng)當(dāng)說(shuō)，隱私政策的性質(zhì)屬于個(gè)人信息處理規(guī)則，即履行告知并取得個(gè)人同意的義務(wù)，而個(gè)人的同意性質(zhì)上是自然人對(duì)其個(gè)人信息權(quán)益的處分，它阻卻了處理行為的不法性。通常，僅僅是對(duì)于隱私政策的個(gè)人同意并不意味著在處理者與個(gè)人之間形成了關(guān)于個(gè)人信息處理的合同關(guān)系。當(dāng)然，有時(shí)候隱私政策包含的內(nèi)容可能較多，例如，還會(huì)包含網(wǎng)絡(luò)服務(wù)提供者單方擬定的關(guān)于管轄、爭(zhēng)議解決方式的規(guī)定，這些則屬于格式條款，可以經(jīng)由個(gè)人的同意而成立關(guān)于關(guān)系、爭(zhēng)議解決方式的約定。