消费者个人信息再利用的立法规制研究

李仪

内容摘要：个人信息承载着尊严与自由等消费者基本的人格价值，这些价值之间又存在着层次差异性，而网络环境下个人信息的再利用行为阻碍了前述价值的实现。为应对此困境，本文立足于我国特殊国情，同时运用新制度经济学的方法并借鉴欧美立法经验，提出通过立法途径规制再利用行为的基本思路；为实现思路，以尊严与自由为起点衍生出不同层级的规则，探析各层级规则的实施方式，据此约束各再利用者，从而体现前述价值的层次性，并有效回应不同再利用者之间身份与力量对比差异所导致的现实问题。

关键词：消费者个人信息 消费者人格价值 尊严 自由 层级化规则

困境解析：消费者价值实现的障碍

（一）诠释个人信息及其再利用

在网络与数字环境下，消费者的个性正被越来越多地表现为特定数字与符号—个人信息（personal information）。根据欧盟委员会数据保护工作组《关于欧洲直销联盟提交的直接营销中使用个人数据欧洲行为准则的3/2003号意见》（以下简称3/2003号意见），消费者个人信息涵盖其姓名、学历职务、网络用户名、电子邮箱地址、IP地址、密码、消费偏好、购物记录等。

在网络时代，消费者个人信息能通过多层次开发与利用来满足不同机构与个体的利益诉求。例如，从事电子政务活动的公共机关、提供征信与实名注册等服务的经营者在初始收集消费者个人信息后，也时常将该信息传输给他人（譬如其他营利性机构与个体），以便这些机构与个体接收与分析信息，进而获取关于销路、产品及服务的情报。根据欧盟委员会数据保护工作组于2005年修订的《关于公共部门信息和私人数据保护的第3/99号意见》，前述整个过程即为个人信息的“再利用”（re-utilization）。

（二）再利用引发的困境

在自然法学视野里，个人信息承载着消费者尊严与自由等人格价值（G. W. F Hegel，2012）。一方面，正如欧盟3/2003号意见所言，消费者的人格标识（如个人信息）处于完整与真实的状态，从而免受他人不当评价，这是其得到尊重的重要前提；另一方面，消费者为保持其独立人格并发展自我，有权决定其个人信息是否以及如何被他人再利用，并获取由此产生的收益。美国马里兰州个人信息保护法案（以下简称“马里兰州法案”）第14-3502条、公平信用报告法第602条以及我国人大常委2012年通过《关于加强网络信息保护的决定》第1条即表明了这一立场。然而网络环境下再利用对个人信息保护构成了威胁，进而阻碍了消费者尊严与自由价值的实现。一方面，多份相关消费者个人信息再利用的调研报告显示，随着再利用环节的增多与效率的提高，信息失真的几率剧增，这破坏了个人信息的真实性与完整性，消费者的尊严由此受损；另一方面，再利用者经常通过自动系统对信息加以收集、传输与接收，而消费者往往难以知悉前述过程中的具体情况进而提出异议，因此其自由的实现受阻。

应对思路的梳理：以比较法例为启示

在新制度经济学家看来，立法者为应对前述困境，宜通过有效的制度安排，促使再利用者关怀消费者的尊严与自由价值（G·霍奇逊，1993）。此前美国与欧盟已取得了相应成果，我国立法者宜在借鉴它们的基础上制定适合本国国情的法律规范。

（一）美国

根据美国1974年隐私法案第552a条，公共机关（public organ）在向他方传输个人信息时，有义务采取合理措施以确保个人信息的完整性，从而维护消费者尊严；而根据联邦信息自由法案b（6），行政与司法机关在向他方（主要是以经营者为主的私人机构）传输个人信息之前，原则上应当取得消费者的授权，同时防止信息被未取得授权者获得，进而保障消费者的自由。对于私人机构，美国马里兰州法案第14-3502条令其维护信息完整性，而根据该法案第14-3504条、第14-3505条与公平信用报告法第607条-第609条，该机构应确保信息处于隐秘状态并防止泄露。此外美国在规制私人机构的再利用行为时，还发挥了行业自律规范的作用，online privacy alliances的规范即为一例。

（二）欧盟

根据欧盟1995年个人数据保护指令第17条，所有再利用者均有义务采取适当技术措施，以确保个人信息的完整性；同时为确保个人信息处于保密并为消费者可控制的状态，指令第7、12与14条规定：消费者有权知悉其个人信息被他人再利用的相关情事并提出反对。欧盟成员国的法律规范与欧盟指令保持了一致。譬如根据德国2003年联邦个人资料保护法第一编，再利用者既有义务维护信息的完整与真实状态，又应确保信息不被他人获取，除非获取行为事前征得消费者同意。法国2004年数据文件处理及个人自由法以及英国1998年数据保护法也做了类似规定。

（三）启示

从联合国《公民权利和政治权利国际公约》第9、10条可知，尊严较之于自由处于更为根本的地位。美欧立法者以尊严与自由为起点衍生不同的规则，从而有效地回应了两种价值之间的差异性，这殊值得我国立法者借鉴。另外美国的行业自律规范很难在我国发挥效用，毕竟不同于国家与企业代表共同参与交易治理活动的美国，我国是由立法机关所代表的国家主导这一活动的。更何况，我国通过立法这一正式制度安排方式，能有效弥补行业自律规范约束力度较弱的弊端，由此我国应主要发挥法律这一正式制度的规制作用（James G. Match， Johan P. Olen，1989）。

思路实现：以规则的层级性体现价值的层次性

（一）维护尊严：安全保障与情况告知

立法者为维护消费者尊严，须设定规则，规定再利用者应当以适当方式确保信息收集与传输的安全性，并防止该信息被任意删改，以此来保证消费者受到公正的社会评价，同时向消费者告知与再利用相关的情况（譬如再利用者身份与利用方式），以便消费者提出异议。经济合作与发展组织（OECD）《关于隐私保护与个人资料跨国流通的指针》第8、9条将以上内容表述为“信息质量”（Information Quality）与“主体参与”（Subject Participation）原则。endprint

尊严是消费者首要的人格价值，它一旦丧失，消费者即失去人之为人的根本。这一点不仅得到了前述联合国《公民权利和政治权利国际公约》以及我国人大常委2012年通过《关于加强网络信息保护的决定》的认同，而且在中国互联网络信息中心于2013年7月发布的第32次中国互联网络发展状况统计报告中反映出来；我国主流学者甚至将尊严视为消费者“不可剥夺之价值”的认同（杨立新，2006）。由此，前述体现消费者尊严的规则不得在任何情况下以任何理由被限制。这在德国宪法法院通过1989年日记证据案的判决已得到体现，另外美国公平信用报告法607（b）与马里兰州法案第14-3502条也有规定（张懿云，1999）。

（二）保持人格自由：征得同意与目的限定

消费者自由可以细分为保持其人格自由与发展人格自由。为实现前一价值，立法者宜规定：再利用者应在征得消费者同意后方能收集其个人信息，并且一般不得将信息传输给他人，对此欧盟3/2003号意见中已作阐述。同时立法者还须考虑到再利用所回应的不同利益诉求（如公共机关对提高行政与司法效率的诉求，又如经营者对提高营运绩效的诉求），规定在特定情形下，再利用者得以径自利用信息而无须征得消费者同意，这在美国电话消费者保护法的责任豁免（Exemption of duties）部分和德国联邦个人资料保护法第二、三编有所体现。

立法者在设定前述例外情形时，为了回应再利用者在身份与能力等方面的差异问题，有必要做区分式的制度安排。公共机关在谈判力量与资源掌握能力等方面相对于消费者而言处于绝对优势地位，故而它们对消费者的自由所构成的威胁远大于经营者与个体（卢现祥、朱巧玲，2007）。参照欧盟指令第7条以及德国数据法第二编第一章第15节，该机关得以径自再利用信息的情形应限定为实施电子政务与司法活动、维护消费者及他人重大人身或财产利益等少数几种；而经营者与个体与消费者大致处于平等地位，谈判力量也不如公共机关，从而对消费者自由所造成的威胁较小。故而参照美国公平信用报告法第616条，只要他们与消费者达成了协议，或者他们欲满足的利益明显大于消费者的自由价值时，即得以径自利用信息。

（三）发展人格自由：收益分配

消费者有权提升自身的社会经济地位，从而实现发展其人格的自由。为尊重这一价值，立法者宜规定：经营者出于商业目的而再利用个人信息的，应向消费者分配由此产生的收益。毕竟根据罗尔斯的解说，立法者只有赋予作为个人信息主体的消费者获取收益的权利，方能在公平的尺度下实现利润的合理分配，从而激励消费者进一步将个人信息与经营者等共享（约翰·博德利·罗尔斯，1988）。在比较法上，美国公平信用报告法第616、617条以及法国2004年修订的数据处理、数据文件以及个人自由法第38条都承认了消费者在个人信息之上的经济利益。

公共机关与个体系出于营利以外的目的而再利用个人信息，由此它们无须向消费者分配“商业”收益；而同时，消费者虽可请求经营者分配收益，但不得阻止后者取得其应得利益。毕竟个人信息在内的信息资源具有公共产品的属性，制度安排者不宜赋予消费者对这一资源的垄断地位，否则将阻止社会整体效益的提高，对此德国学者柯武刚等在其著述中有详细阐释，以上规则在美国电话消费者保护法的责任豁免部分也有明确规定，如图1所示（柯武刚等，2000）。

参考文献：

1.[德]G. W. F Hegel， Hegel`s Philosophy of Right[M]， Transferred by S.W .Dyde Batoche Books Kitchcener 2001

2.胡平仁，梁晨.人的伦理价值与人的人格利益[J].法律科学，2012（4）

3.中国互联网络信息中心.第32次中国互联网络发展状况统计报告[DB/OL].http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201307/t20130715_38508.htm.2013

4.白云.黑龙江个人信用信息保护意愿调查的比较研究[J].征信，2012（2）

5.[英]G·霍奇逊.现代制度主义经济学宣言[M].北京大学出版社，1993

6.[美]James G. Match， Johan P. Olen， Rediscovering Institutions： The Organization Basis of Politics [M]. New York： The Free Press， 1989178.[DB/OL].http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201307/t20130715_38508.htm.2013

7.杨立新.人身权法论[M].人民法院出版社，2006

8.张懿云.日记证据案判决.载德国联邦宪法法院裁判选辑（八）[S].我国台湾“司法院”，1999

9.卢现祥，朱巧玲.新制度经济学[M].北京大学出版社，2007

10.[美]约翰·博德利·罗尔斯.正义论[M].中国社会科学出版社，1988

11.[德]柯武刚，史曼飞.制度经济学—社会秩序与公共政策[M].商务印书馆，2000

12.[美]James Q Whiteman. The Two Western Culture of Privacy： Dignity versus Liberty[M]. Vol. 113， The Yale L. J. 1161（2004）endprint

尊严是消费者首要的人格价值，它一旦丧失，消费者即失去人之为人的根本。这一点不仅得到了前述联合国《公民权利和政治权利国际公约》以及我国人大常委2012年通过《关于加强网络信息保护的决定》的认同，而且在中国互联网络信息中心于2013年7月发布的第32次中国互联网络发展状况统计报告中反映出来；我国主流学者甚至将尊严视为消费者“不可剥夺之价值”的认同（杨立新，2006）。由此，前述体现消费者尊严的规则不得在任何情况下以任何理由被限制。这在德国宪法法院通过1989年日记证据案的判决已得到体现，另外美国公平信用报告法607（b）与马里兰州法案第14-3502条也有规定（张懿云，1999）。

（二）保持人格自由：征得同意与目的限定

消费者自由可以细分为保持其人格自由与发展人格自由。为实现前一价值，立法者宜规定：再利用者应在征得消费者同意后方能收集其个人信息，并且一般不得将信息传输给他人，对此欧盟3/2003号意见中已作阐述。同时立法者还须考虑到再利用所回应的不同利益诉求（如公共机关对提高行政与司法效率的诉求，又如经营者对提高营运绩效的诉求），规定在特定情形下，再利用者得以径自利用信息而无须征得消费者同意，这在美国电话消费者保护法的责任豁免（Exemption of duties）部分和德国联邦个人资料保护法第二、三编有所体现。

立法者在设定前述例外情形时，为了回应再利用者在身份与能力等方面的差异问题，有必要做区分式的制度安排。公共机关在谈判力量与资源掌握能力等方面相对于消费者而言处于绝对优势地位，故而它们对消费者的自由所构成的威胁远大于经营者与个体（卢现祥、朱巧玲，2007）。参照欧盟指令第7条以及德国数据法第二编第一章第15节，该机关得以径自再利用信息的情形应限定为实施电子政务与司法活动、维护消费者及他人重大人身或财产利益等少数几种；而经营者与个体与消费者大致处于平等地位，谈判力量也不如公共机关，从而对消费者自由所造成的威胁较小。故而参照美国公平信用报告法第616条，只要他们与消费者达成了协议，或者他们欲满足的利益明显大于消费者的自由价值时，即得以径自利用信息。

（三）发展人格自由：收益分配

消费者有权提升自身的社会经济地位，从而实现发展其人格的自由。为尊重这一价值，立法者宜规定：经营者出于商业目的而再利用个人信息的，应向消费者分配由此产生的收益。毕竟根据罗尔斯的解说，立法者只有赋予作为个人信息主体的消费者获取收益的权利，方能在公平的尺度下实现利润的合理分配，从而激励消费者进一步将个人信息与经营者等共享（约翰·博德利·罗尔斯，1988）。在比较法上，美国公平信用报告法第616、617条以及法国2004年修订的数据处理、数据文件以及个人自由法第38条都承认了消费者在个人信息之上的经济利益。

公共机关与个体系出于营利以外的目的而再利用个人信息，由此它们无须向消费者分配“商业”收益；而同时，消费者虽可请求经营者分配收益，但不得阻止后者取得其应得利益。毕竟个人信息在内的信息资源具有公共产品的属性，制度安排者不宜赋予消费者对这一资源的垄断地位，否则将阻止社会整体效益的提高，对此德国学者柯武刚等在其著述中有详细阐释，以上规则在美国电话消费者保护法的责任豁免部分也有明确规定，如图1所示（柯武刚等，2000）。

参考文献：

1.[德]G. W. F Hegel， Hegel`s Philosophy of Right[M]， Transferred by S.W .Dyde Batoche Books Kitchcener 2001

2.胡平仁，梁晨.人的伦理价值与人的人格利益[J].法律科学，2012（4）

3.中国互联网络信息中心.第32次中国互联网络发展状况统计报告[DB/OL].http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201307/t20130715_38508.htm.2013

4.白云.黑龙江个人信用信息保护意愿调查的比较研究[J].征信，2012（2）

5.[英]G·霍奇逊.现代制度主义经济学宣言[M].北京大学出版社，1993

6.[美]James G. Match， Johan P. Olen， Rediscovering Institutions： The Organization Basis of Politics [M]. New York： The Free Press， 1989178.[DB/OL].http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201307/t20130715_38508.htm.2013

7.杨立新.人身权法论[M].人民法院出版社，2006

8.张懿云.日记证据案判决.载德国联邦宪法法院裁判选辑（八）[S].我国台湾“司法院”，1999

9.卢现祥，朱巧玲.新制度经济学[M].北京大学出版社，2007

10.[美]约翰·博德利·罗尔斯.正义论[M].中国社会科学出版社，1988

11.[德]柯武刚，史曼飞.制度经济学—社会秩序与公共政策[M].商务印书馆，2000

12.[美]James Q Whiteman. The Two Western Culture of Privacy： Dignity versus Liberty[M]. Vol. 113， The Yale L. J. 1161（2004）endprint

尊严是消费者首要的人格价值，它一旦丧失，消费者即失去人之为人的根本。这一点不仅得到了前述联合国《公民权利和政治权利国际公约》以及我国人大常委2012年通过《关于加强网络信息保护的决定》的认同，而且在中国互联网络信息中心于2013年7月发布的第32次中国互联网络发展状况统计报告中反映出来；我国主流学者甚至将尊严视为消费者“不可剥夺之价值”的认同（杨立新，2006）。由此，前述体现消费者尊严的规则不得在任何情况下以任何理由被限制。这在德国宪法法院通过1989年日记证据案的判决已得到体现，另外美国公平信用报告法607（b）与马里兰州法案第14-3502条也有规定（张懿云，1999）。

（二）保持人格自由：征得同意与目的限定

消费者自由可以细分为保持其人格自由与发展人格自由。为实现前一价值，立法者宜规定：再利用者应在征得消费者同意后方能收集其个人信息，并且一般不得将信息传输给他人，对此欧盟3/2003号意见中已作阐述。同时立法者还须考虑到再利用所回应的不同利益诉求（如公共机关对提高行政与司法效率的诉求，又如经营者对提高营运绩效的诉求），规定在特定情形下，再利用者得以径自利用信息而无须征得消费者同意，这在美国电话消费者保护法的责任豁免（Exemption of duties）部分和德国联邦个人资料保护法第二、三编有所体现。

立法者在设定前述例外情形时，为了回应再利用者在身份与能力等方面的差异问题，有必要做区分式的制度安排。公共机关在谈判力量与资源掌握能力等方面相对于消费者而言处于绝对优势地位，故而它们对消费者的自由所构成的威胁远大于经营者与个体（卢现祥、朱巧玲，2007）。参照欧盟指令第7条以及德国数据法第二编第一章第15节，该机关得以径自再利用信息的情形应限定为实施电子政务与司法活动、维护消费者及他人重大人身或财产利益等少数几种；而经营者与个体与消费者大致处于平等地位，谈判力量也不如公共机关，从而对消费者自由所造成的威胁较小。故而参照美国公平信用报告法第616条，只要他们与消费者达成了协议，或者他们欲满足的利益明显大于消费者的自由价值时，即得以径自利用信息。

（三）发展人格自由：收益分配

消费者有权提升自身的社会经济地位，从而实现发展其人格的自由。为尊重这一价值，立法者宜规定：经营者出于商业目的而再利用个人信息的，应向消费者分配由此产生的收益。毕竟根据罗尔斯的解说，立法者只有赋予作为个人信息主体的消费者获取收益的权利，方能在公平的尺度下实现利润的合理分配，从而激励消费者进一步将个人信息与经营者等共享（约翰·博德利·罗尔斯，1988）。在比较法上，美国公平信用报告法第616、617条以及法国2004年修订的数据处理、数据文件以及个人自由法第38条都承认了消费者在个人信息之上的经济利益。

公共机关与个体系出于营利以外的目的而再利用个人信息，由此它们无须向消费者分配“商业”收益；而同时，消费者虽可请求经营者分配收益，但不得阻止后者取得其应得利益。毕竟个人信息在内的信息资源具有公共产品的属性，制度安排者不宜赋予消费者对这一资源的垄断地位，否则将阻止社会整体效益的提高，对此德国学者柯武刚等在其著述中有详细阐释，以上规则在美国电话消费者保护法的责任豁免部分也有明确规定，如图1所示（柯武刚等，2000）。

参考文献：

1.[德]G. W. F Hegel， Hegel`s Philosophy of Right[M]， Transferred by S.W .Dyde Batoche Books Kitchcener 2001

2.胡平仁，梁晨.人的伦理价值与人的人格利益[J].法律科学，2012（4）

3.中国互联网络信息中心.第32次中国互联网络发展状况统计报告[DB/OL].http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201307/t20130715_38508.htm.2013

4.白云.黑龙江个人信用信息保护意愿调查的比较研究[J].征信，2012（2）

5.[英]G·霍奇逊.现代制度主义经济学宣言[M].北京大学出版社，1993

6.[美]James G. Match， Johan P. Olen， Rediscovering Institutions： The Organization Basis of Politics [M]. New York： The Free Press， 1989178.[DB/OL].http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201307/t20130715_38508.htm.2013

7.杨立新.人身权法论[M].人民法院出版社，2006

8.张懿云.日记证据案判决.载德国联邦宪法法院裁判选辑（八）[S].我国台湾“司法院”，1999

9.卢现祥，朱巧玲.新制度经济学[M].北京大学出版社，2007

10.[美]约翰·博德利·罗尔斯.正义论[M].中国社会科学出版社，1988

11.[德]柯武刚，史曼飞.制度经济学—社会秩序与公共政策[M].商务印书馆，2000

12.[美]James Q Whiteman. The Two Western Culture of Privacy： Dignity versus Liberty[M]. Vol. 113， The Yale L. J. 1161（2004）endprint