【数据法学】刘晓春：大数据时代个人信息保护的行业标准主导模式

大数据时代个人信息保护的行业标准主导模式

1. 私权治理模式的基本观点

保护个人信息的讨论通常跟隐私结合在一起，借鉴隐私权的观念，有学者提出将“个人信息权”确立为新型权利，认为个人信息所体现的是公民的人格利益, 个人信息的收集、处理或利用直接关系到信息主体的人格尊严。①同样主张个人信息权作为人格权的学者认为，个人信息与隐私存在密切关联，在客体上具有交错性，但是在权利属性、权利客体、权利内容和保护方式上，个人信息权都与隐私权存在区别，应当成为独立的具体人格权，并建构以私法保护为中心的个人信息保护法。②在权利内容方面，学者认为个人信息权不同于隐私权之处在于其主要是一种主动性人格权，权利人除了被动防御第三人的侵害之外，还可以对其进行积极利用。③有学者将权利内容进行了具体列举，包括了信息决定权、保密权、查询权、更正权、封锁权、删除权、报酬请求权。④

有学者认为，应当重视个人信息的商业价值，通过财产权模式来保护个人信息，确立个人信息财产权，从而保障个人对自己个人信息的积极利用和交易，并规范和促进产业发展。⑤

尽管对于个人信息权应属于人格权或者财产权保护尚存争议，但对其采取私权保护为主的模式是这些学者的共识。而人格权和财产权的争议也并非完全非此即彼、不可调和，目前学界关于人格权财产利益保护的探讨，实际上可以对该问题作出回应。⑥

采用私权模式为主的保护制度，其目的在于调动每个人对其个人信息进行主动保护的积极性，即权利人在受到侵害之后，能够积极主张权利。私权模式的默认前提是，个人其实是自身利益的最佳维护者，通过对个人信息进行自我管理，是成本最小、效果最佳的选择。⑦在保护方式上，主要由个人通过提起侵权之诉来获得救济，除了精神损害赔偿之外，还应当可以主张经济上的损失。此外，私权的确立也是建立其他多元保护机制的前提，为行政法、刑法乃至行业自律对个人信息提供保护建立了私法上的基础。⑧

2. 我国立法现状下的私权治理

以构建“个人信息权”为核心的私权治理模式，由私法确认后，以私法自治作为运作的基本原则。私法自治是个人主义方法论的最有效工具，也被认为是私人利益享有和实现的最佳途径。其前提性观念是“个人乃自己事务的最佳判断者及照顾者”[⑨]。私权的救济需要通过法律规范强制力的保证，获得享有和实现私权的“法律上之力”，“法律上之力乃由法律所赋予，受法律的支持与保障的一种力量”。[⑩]从我国现有关于个人信息立法的规定看，尽管尚未明确确立“个人信息权”概念，但是，个人信息保护中的个人同意原则、知情权、删除权、更正权规定，及违反这些规定后的法律责任机制，可以认为是具备了私权治理模式的雏形。

我国目前针对个人信息保护尚未形成统一的综合法律规范，而是具体地规定在法律、行政法规、部门规章、地方性法规和规章、各类规范性文件等多层次、多领域的规范当中，形成了一个内容分散、体系庞杂的个人信息保护模式。

（1）《网络安全法》确立基础框架

2016年11月7日全国人大常委会通过的《网络安全法》在个人信息方面确立了重要的原则和规定，从法律层面为更加完善而系统化的个人信息保护立法奠定了良好的基础。其中第七十六条规定：“个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证号码、个人生物识别信息、住址、电话号码等。”这是首次在法律层面上确立了一般意义上“个人信息”的概念，为个人信息保护的体系化制度建设提供了起点。

《网络安全法》针对网络运营商收集、使用个人信息，规定了应当遵循合法、正当、必要的原则，收集、使用、向他人提供个人信息都需要经过个人同意，并公开收集、使用规则；明示收集、使用信息的目的、方式和范围，并规定公民对自己的个人信息在被使用过程中，享有知情权、删除权、更正权。另一方面，从促进产业发展的角度，该法明确了禁止向他人提供个人信息的例外情形，即如果是经过处理无法识别特定个人，并且不能复原的信息可以合理使用，这被认为是对国家鼓励和推动大数据产业发展政策的回应。⑪

（2）分散规定的个人信息保护规定

全国人大常委会于2012年12月28日通过的《关于加强网络信息保护的决定》，针对“个人电子信息”的保护作出了较为系统的规定，明确“个人电子信息”为“能够识别公民个人身份和涉及公民个人隐私的电子信息”，并对收集、使用、保存个人电子信息作出了系统性规范，要求经过个人同意，还规定了违反义务的主体需要承担相应的民事、行政和刑事责任。

《消费者权益保护法》第29条规定了经营者收集、使用消费者个人信息时需要遵循的原则和承担的义务，即“应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。”经营者违反这些义务，需要承担民事责任和行政责任。

除此之外，特定行业的法律法规规章也对其经营者提出了保护个人信息的要求，比如，《旅游法》规定，旅游经营者对其在经营活动中知悉的旅游者个人信息，应当予以保密；《征信业管理条例》系统而全面地规定了征信机构采集、整理、保存、加工个人信息的相应规范；《地图管理条例》规定了互联网地图服务单位在收集、使用、保存用户个人信息时需要承担的义务；《人民银行关于银行业金融机构做好个人信息保护工作的通知》针对金融机构的个人信息保护责任提出了系统化的要求；在金融、大数据、电子商务、电信、交通、教育、医疗等众多领域，都有相应的法规和规章来规定个人信息保护的内容。

以个人同意为前提的个人信息保护模式，加上知情权、删除权、更正权等权利内容的设置，可以认为是建立了私权的基本框架，为私权治理模式提供了制度基础。因此，通过一般性规范和具体规定相结合，社会生活中包括线上和线下的绝大部分领域，都已经有了个人信息保护的法律规范，侵害个人信息需要承担民事、行政乃至刑事责任。只是这些规范在形式上过于分散，对于社会公众难以形成直观的认知，亦无法形成系统化的私权治理模式，因此，的确有必要尽快制订一部统一的个人信息保护法，对其进行系统化梳理和整合，无论是从立法资源的节省、立法技术的提高、规则体系的优化，还是向民众普及个人信息法律保护的常识和意识来看，都存在必要性和合理性。

1. 实践中私权救济的失灵

私权模式可以为其他多元治理机制的建立提供基础和前提，从而可以确立其必要性和合理性，对此本文亦表示赞同。但是，仅仅采取私权模式，或者以私权模式为主的保护制度，是否能够实现个人信息保护的实际效果，无论是从实证数据上，还是理论逻辑上，都存在着可商榷的空间。

（1）调查问卷

从调查结果来看，公众尽管对个人信息泄漏的严重现状心存焦虑，但是对于个人信息自我保护的防范意识不强，个人信息遭遇泄漏之后的维权观念不强、动力不足。调研显示，在明确自身遭遇个人信息泄露并面临侵害时，相当一部分人群抱有侥幸心态，大部分人选择了较为被动的处理方式，仅有少部分人采取了积极对抗行动。被问及被侵犯时没有维权的原因时，60%的参与调研者表示不知道怎么维权，56%的参与调研者是因资金等个人利益未受损而放弃维权，值得重视的是，参与调研者中有高达44%的比例选择了因维权程序太复杂、成本太高而放弃维权，另有34%的人是因缺少维权证据而无奈放弃。最为消极的是“维权成功也没有好处”选项，也有14%的选择比例（图2）。⑬

图2  个人信息及隐私被侵犯后未能维权原因

（2）司法实践

我国个人信息保护立法体系中规定了侵害个人信息的民事、行政和刑事责任。与刑事案件相比，民事案件的原告通常以侵害“隐私权”作为诉由。通过“北大法宝”数据库对个人信息和隐私权保护案例的检索和整理，结果表明原告能够成功胜诉并获得赔偿者寥寥无几。例如，在消费者起诉移动通讯公司、机票预订平台等泄露个人信息的民事案件中，法院认为，被告并非掌握原告个人信息的唯一主体，无法确认被告实施了泄露原告隐私信息的侵权行为，亦即原告无法举证证明被告的泄露个人信息行为。⑭除此之外，即使在原告胜诉的案例中，由于无法证明经济损失或仅能证明极少的经济损失，原告可获得的赔偿金额很低。

针对个人信息的非法获取与利用的民事判决，与个人信息泄露的普遍状况相比，远不成比例。由于个人信息获取、存储和利用的环节众多，线下和线上传播具有隐蔽性和复杂性，追本溯源成本很高，发现、举证难度大，处罚、赔偿力度小，同时获利空间巨大，执法现状为灰色产业链提供了巨大的投机空间，私权模式出现了“失灵”的现状。

2. 理论反思与国际经验

近年来，理论界对于个人信息私权治理模式的合理性和有效性也出现多种反思意见。比较彻底的观点认为，应该否定私权治理模式，将个人数据信息作为公共物品来规制，对个人数据信息使用进行治理的主体应该是政府专门机构，治理的法律性质应该是公法而不是私法，治理的目的是为了公共利益和公共安全而促进个人数据信息的自由共享。⑮这种治理不影响隐私权等传统权利，但是不赞成将个人信息列为私权保护对象。

也有学者认为，同意不应当是个人信息处理的正当性基础，应当是以知情权而非同意权来解决信息不对称的问题，在网络社会中，个人信息的决定自由亦明显缺乏有效的现实性、必要性和真实性。⑯

民法学者中也有认为不必采用统一的“个人信息权”保护模式，而是强调个人信息分类规制的思路，并重视个人信息利用中体现的各方利益，提出对个人敏感隐私信息与个人一般信息进行区分，通过强化个人敏感隐私信息的保护和强化个人一般信息的利用，调和个人信息保护与利用的需求冲突，实现三方利益的平衡：个人对个人信息保护的利益（核心是人格自由和人格尊严利益）、信息业者对个人信息利用的利益（核心是通过经营活动获取经济利益）和国家管理社会的公共利益之间的平衡。⑰

从国际经验看，个人同意作为个人信息保护的机制也正在发生变化。不管是采取曾经以基本权利为核心确立统一立法模式的欧盟，还是分散立法与行业自律相结合的美国，都对于“个人信息权”和“同意”制度创设了例外，而且成为趋势。例如，欧盟委员会的《数据保护通用条例》于2016 年4 月获最终通过并正式颁布，并将于2018 年5 月开始生效，其中就对个人信息进行了分类处理，对于一般数据，可在五种法定情形之下免于同意的要求而依然具有合法性。五种法定情形包括：订立或履行同意所必要、履行法定义务所必需、保护数据主体重大利益所必要、履行涉及公共利益的任务、数据控制者或第三方合法利益。⑱

1. 政府直接规制的局限与社会自我规制的功能

在规制对象具有高度复杂性、技术性、隐蔽性和快速变化性的领域，以“命令-控制”为特征的政府直接规制模式，在直接面对市场主体具体行为时，会同样面临信息不对称、行政资源和能力不足的困难，无法实现预期的治理效果，出现“规制失灵”的现象。这在环境保护、食品安全、互联网治理等领域都已经出现了端倪，在个人信息保护领域，除了事后针对非法处理信息行为的行政处罚、刑事打击等措施，政府很难对于个人信息相关的市场主体和行为进行系统性的监控、评估和处罚，事后打击挂一漏万，很难起到有效的震慑作用。

作为政府直接规制的补充，社会自我规制的理论和制度逐渐兴起。自我规制是指国家以外主体为履行任务给自己设定的行为标准，既有个体商业利益的追求，与此同时也对提升公共利益有所贡献。实践中往往是政府规制与纯粹的自我规制相结合，旨在发挥两种规制手段的优势，通行的做法是国家预设目标与框架，诱导私人主体以专业知识填补该框架内涵，进而实现合作治理的目标。㉑个人信息保护领域恰恰存在着自我规制的必要性，而大数据时代个人信息的处理行业以具备技术能力的互联网企业为主，也为自我规制提供了可能性。

在公权和私权共治的理论框架下，对国家或者私人的监控与惩罚逐渐可以忽略具体的行为者，而更多地将责任施加在可以观测的组织或符号的身上。这是公权与私权合作治理社会最基本的技术原理。在高度复杂的治理领域，各种内部管理规则成为公权与私权模糊场域中社会治理的监控和惩罚结合点，从而搭建社会治理体系现代化的桥梁。㉒在个人信息保护领域，可以考虑通过多种机制来提供这些可以观测的组织或者符号，而由于行业状态、管理规则、技术结构都在大数据时代处于快速变化之中，对于这些变化处于最敏感地位的企业是最有能力建立起相应规制机制的主体。

2. 标准治理模式的优势与局限

在私权治理模式和政府直接规制双重“失灵”之下，需要寻找社会自我规制的实现机制，为公权和私权的合作、多元治理提供渠道。但是私主体作为自我规制的主要主体，在规制和治理上亦具有天然的局限性，通常以追逐私利为导向而产生机会主义行为，并具有不稳定性。因此，需要在政府外在的引导和管理下，促进多个市场主体形成相互制约的合力机制，制定行业标准正是这样一种运行机制。

标准治理模式指的是规制者要求企业在生产经营过程中使用或禁止使用特定的技术或行为，否则需要承担相应的不利后果。标准规制可以采用正面清单或者负面清单。其优势在于操作简明和见效迅速，政府只需要对企业的行为和程序标准进行监控，不需要深入到具体案例之中裁量后果。但是政府依然需要对于相关的技术标准做出相应的选择和判断。

与强制性的标准治理模式不同，可以由行业或企业自行来自下而上发展出行业标准，成为政府决策的参考，政府只需要在绩效和产出效果上进行标准化的规定，并在合适的时候将行业标准上升为国家标准中的推荐性标准乃至强制性标准。这体现了政府对于“社会子系统”自主运作逻辑的尊重，法律通过对自身的调控，将直接干预转变成了间接的方式，“通过影响组织机构、能力和程序来促使其他社会系统建立起一套更为民主化的自我管制机制”㉓。这一“反身法”理论在环境保护法规等领域已有探讨，亦有引入个人信息保护领域的可行性。㉔因此，在社会自我规制理论的指导下，结合我国个人信息保护制度和产业实践，可以尝试建立行业标准为主导，“基础法律规范、行业通用标准、企业最佳实践”的治理架构。

私权治理模式的建构存在其合理性和社会现实基础，但是运作核心要素的缺乏使得私权治理模式不应当成为个人信息保护的主导模式。信息不对称问题的存在，也使得政府直接管制并非有效治理个人信息的首选之策。根据社会自我管制理论，由行业进行自下而上的规则和技术创新，构建体现各自子系统生态特色的技术和管理规则，进而在合适的时机上升到技术标准管制的“行业标准主导模式”，有助于多元治理的弹性展开，为建构“基础法律规范、行业通用标准、企业最佳实践”的治理架构提供可行的路径。