個人信息的多利益相關(guān)方治理
“立法是認(rèn)識利益、表達(dá)利益的過程。要調(diào)整好各種不同的利益，首先要了解和認(rèn)識利益?！标P(guān)于個人信息的法律屬性學(xué)界存在爭議，有學(xué)者將其歸納為人格利益說（包括隱私權(quán)說和具體人格利益說）、個人信息權(quán)說和人格兼財產(chǎn)權(quán)說、新型權(quán)利或知識產(chǎn)權(quán)，也有學(xué)者將個人信息存在的受法律保護(hù)的基本權(quán)益歸類為個人自治（自由）利益、身份（識別）利益和不歧視（平等）。隨著研究的深入，個人信息的利益內(nèi)核逐漸被凝結(jié)為人格利益、經(jīng)濟(jì)利益（財產(chǎn)利益）和公共（社會）利益。人格利益關(guān)乎自由和尊嚴(yán)，若遭受侵犯，會導(dǎo)致信息主體外在形象被操縱、精神安寧被打破、決策自由被剝奪和思維方式被簡化；數(shù)據(jù)的財產(chǎn)利益日益凸顯，個人信息成為互聯(lián)網(wǎng)企業(yè)精準(zhǔn)廣告投放、個性化推薦以及其他增值服務(wù)的數(shù)據(jù)支撐，是互聯(lián)網(wǎng)“依靠廣告提供免費(fèi)服務(wù)”這一商業(yè)模式的基本條件；公共利益包含國家安全利益、社會管理利益、公共服務(wù)利益和科學(xué)研究利益。
個人信息內(nèi)蘊(yùn)人格利益、財產(chǎn)利益和公共利益，這決定了其必然涉及多利益相關(guān)方，比如信息主體、信息處理者、政府乃至社會公眾等主體。數(shù)字社會的流動性特征使多利益相關(guān)方的利益需求相互嵌入、彼此耦合。信息主體的人格利益在政府執(zhí)行公務(wù)或突發(fā)公共衛(wèi)生事件中將受到克減，信息主體憑借自由意志處置財產(chǎn)利益時，要止步于國家法律的禁止性規(guī)定和當(dāng)時當(dāng)?shù)氐娘L(fēng)俗習(xí)慣，信息處理者在依據(jù)信息合同處理個人信息時，要受到憲法層面作為基本權(quán)利的人格權(quán)約束，政府機(jī)構(gòu)在維護(hù)公共利益過程中，須恪守公權(quán)與私權(quán)的領(lǐng)域邊界。尤其是在各大企業(yè)平臺通過自我賦權(quán)擁有治理權(quán)力時，個人信息保護(hù)工作的多利益相關(guān)方既應(yīng)彼此配合，又須在公正場景中做到動態(tài)制衡，既要依靠社會規(guī)范指引，也要重視技術(shù)措施支持，既要發(fā)揮私法的基礎(chǔ)性作用，又要發(fā)揮公法的補(bǔ)充和兜底功效。
一、搭建分種類、多層級的個人信息保護(hù)規(guī)范體系。滿足多利益相關(guān)方訴求是個人信息保護(hù)所要實(shí)現(xiàn)的規(guī)范性秩序目的，而多利益相關(guān)方的協(xié)同共存導(dǎo)致單一的規(guī)范性秩序類型不能完全實(shí)現(xiàn)治理目標(biāo)。于是，個人信息治理形成了一種多元的社會規(guī)范性秩序狀態(tài)，呈現(xiàn)為一個分種類、多層級的個人信息保護(hù)規(guī)范體系。（1）組織類官方規(guī)范。該規(guī)范類型是一種在集中理性指導(dǎo)下，以政府（廣義）制定的規(guī)范性文件為治理依據(jù)、在特定司法管轄范圍內(nèi)、治理對象主要存在于國家物理疆域內(nèi)的規(guī)范性秩序類型。這類官方規(guī)范也為個人信息的公私法協(xié)作提供了規(guī)范依據(jù)。（2）自制類社會組織規(guī)范。大型營利性或非營利性的互聯(lián)網(wǎng)企業(yè)、非政府間機(jī)構(gòu)組織等或者通過自己制定的規(guī)章制度、隱私政策對業(yè)務(wù)范圍內(nèi)的個人信息處理行為進(jìn)行規(guī)制，或者通過制定互聯(lián)網(wǎng)協(xié)議、軟件代碼對個人信息處理進(jìn)行架構(gòu)性規(guī)制。（3）自律類倫理規(guī)范。網(wǎng)絡(luò)道德是當(dāng)前最重要的自律類倫理規(guī)范，也稱網(wǎng)絡(luò)公序良俗，它能通過信息主體和信息處理者的自律來應(yīng)對和處理由于現(xiàn)行制定法滯后而難以預(yù)見的那些損害個人信息人格利益、財產(chǎn)利益和社會公益的行為。
二、設(shè)立獨(dú)立監(jiān)管機(jī)構(gòu)。為平衡信息主體和信息處理者之間的力量失衡，一些國家或者地區(qū)通過立法設(shè)立統(tǒng)一獨(dú)立的監(jiān)管機(jī)構(gòu)來承擔(dān)個人信息保護(hù)的執(zhí)法任務(wù)，以促進(jìn)個人信息處理者的合規(guī)義務(wù)、保護(hù)信息主體的合法權(quán)益。由于具有專業(yè)主義、運(yùn)行自治、政治絕緣、政策上的專業(yè)知識及靈活應(yīng)對變動環(huán)境等特點(diǎn)，能夠更好地為個人信息保護(hù)提供結(jié)構(gòu)性支持，所以在德、英、日等國內(nèi)已經(jīng)實(shí)現(xiàn)了制度化、法治化的獨(dú)立監(jiān)管模式。由此，國內(nèi)有學(xué)者提出我國應(yīng)設(shè)立國家個人信息保護(hù)委員會作為統(tǒng)一獨(dú)立的個人信息保護(hù)監(jiān)管機(jī)構(gòu)。獨(dú)立監(jiān)管機(jī)構(gòu)還可以對符合信息保護(hù)標(biāo)準(zhǔn)的信息處理者予以資質(zhì)認(rèn)證，同時對相關(guān)主體的個人信息保護(hù)工作進(jìn)行動態(tài)信用評級。
三、開展多主體風(fēng)險評估。誠然，在個人信息內(nèi)涵二元架構(gòu)的分析框架下，個人信息范圍的界定可以還原為特定時空條件下客觀性的技術(shù)標(biāo)準(zhǔn)。申言之，個人信息的認(rèn)定就化約為對指稱性構(gòu)件（個人標(biāo)識信息）與描述性構(gòu)件（個人痕跡信息）的關(guān)聯(lián)判斷上，該判斷采用歐盟GDPR的“所有合理可能的方法”，即考慮所有客觀因素，如識別所需的成本和時間，并考慮處理時的現(xiàn)有技術(shù)和技術(shù)發(fā)展，從而盡量避免法律上的價值評判。然而，敏感信息或私密信息的類型劃分，尤其是信息主體基于自由意志對個人信息的物質(zhì)性利益進(jìn)行處置，以及有權(quán)機(jī)構(gòu)基于公共利益對個人信息獲得處置豁免的限度劃定，卻是一種主客觀交織的多元價值判斷。針對這些價值判斷的風(fēng)險評估，既要考慮當(dāng)事人主觀意愿、現(xiàn)行成文法規(guī)范，又要兼顧地域、文化傳統(tǒng)、法治理念、宗教信仰、風(fēng)俗習(xí)慣、經(jīng)濟(jì)發(fā)展、主流價值等社會一般合理認(rèn)知的影響，甚至對指稱性構(gòu)件與描述性構(gòu)件之間的熔斷狀態(tài)是否發(fā)生了技術(shù)和成本突破，也須進(jìn)行階段性評估。對此，我們必須設(shè)計(jì)一套根據(jù)侵害行為對信息主體所帶來的風(fēng)險程度進(jìn)行認(rèn)定的多主體評價體系。筆者建議由信息主體、信息處理者、獨(dú)立監(jiān)管機(jī)構(gòu)、行業(yè)協(xié)會、行政主管部門依照各自不同的權(quán)重做出量化評分報告，以確定具體場景下的風(fēng)險程度，并定期評估匿名信息的殘余風(fēng)險（Residual Risks）。此評分報告在行政執(zhí)法、訴訟程序中起到類似于鑒定意見書的效用。
四、完善技術(shù)性治理模式。技術(shù)治理對個人信息保護(hù)所起的功能作用，要么是提供宏觀的基礎(chǔ)架構(gòu)，要么提供微觀的技術(shù)手段，這是一種既可事后制裁更能事前介入和干預(yù)的預(yù)期調(diào)節(jié)形式。（1）積極運(yùn)用技術(shù)措施，如隱私參數(shù)平臺（Platform for Privacy Preferences，P3P）技術(shù)和標(biāo)識元系統(tǒng)（Identity Metasystem）等。P3P可以生成供計(jì)算機(jī)識別的個人隱私參數(shù)，若用戶訪問的某個網(wǎng)站不符合其設(shè)置的個人隱私參數(shù)，該協(xié)議就會觸發(fā)閾值，將預(yù)警信息發(fā)送至用戶。相應(yīng)，如果一個網(wǎng)站利用該協(xié)議設(shè)定其隱私政策或隱私保護(hù)指引與用戶的個人隱私參數(shù)不符，那么網(wǎng)站或用戶就會認(rèn)識到這一沖突產(chǎn)生的問題，接著采取修正措施以滿足各自所需。（2）強(qiáng)調(diào)源頭治理。嚴(yán)把操作系統(tǒng)作為控制收集用戶信息權(quán)限的初始環(huán)節(jié)，比如推廣可選性“禁止追蹤”（DNT, Do Not Track）條款，進(jìn)行信息保護(hù)的源頭治理，應(yīng)用軟件運(yùn)營者嚴(yán)格遵守操作系統(tǒng)的權(quán)限要求，違反的話將會被下架處理。（3）開發(fā)個人端信息保護(hù)軟件。就像網(wǎng)民沒有必要成為電腦程序員就可以借助殺毒軟件防范電腦病毒一樣，信息主體也可以利用信息保護(hù)軟件對與信息處理者簽署的信息處理合同進(jìn)行咨詢問診，根據(jù)軟件對信息泄露或?yàn)E用所發(fā)出的風(fēng)險預(yù)警來及時調(diào)整信息保護(hù)和共享的合同方案，也可以將軟件的預(yù)警日志記錄作為證據(jù)來尋求相應(yīng)的權(quán)利救濟(jì)。
（韓新遠(yuǎn)鄭州大學(xué)法學(xué)院）
編輯：張怡時
京公網(wǎng)安備 11010502000576號