论我国网络用户个人信息保护路径

徐畅 郑诚

（1.中粮集团中粮肉食法律部，北京 100020；2.华中师范大学，湖北 武汉 430079）

大数据的作用很大程度上来源于数据的二次利用带来的新的预测和推断。有些机构比如数据经纪人，往往没有经过我们的知情同意就收集我们的个人数据并以我们不情愿的方式加以二次利用。这些都会深刻地影响到我们个人的信息和生活，因此有必要探索个人信息保护的可能路径，通过借鉴国内外的个人信息保护制度，我们提出了如下保护路径。

一、发展“大数据伦理”原则

在管理信息社会的数据流时，有美国学者提出应当建立法律和道德层面的三个至高原则。大数据技术深刻地改变了我们学习、生活的思维方式，除了技术上法律上对个人信息安全进行保护外，更为重要的是需要推行大数据伦理原则。为了推进大数据伦理，以下三个原则应当是首先考虑的。

首先，应将隐私作为信息处理的规则，在大数据时代，隐私应作为管理个人信息流程的规则。了解隐私规则有助于我们在大数据时代中保持个人信息的私密性。Daniel Solove提出了“隐私自我管理”的概念，他认为每个人都能在不断变化的数据处理中监控和管理自己的隐私设置。[1]美国现有的隐私法侧重利用“公平信息准则”来规制个人信息的收集、使用和披露。[2]其目标是提供个人对他们个人信息的控制权，使他们能权衡个人信息收集、使用和披露的利弊。在实践中表现为通知和选择的形式（即数据所有者应当披露它们将如何使用个人信息，个人对于个人信息是否进行该种形式的使用有选择权）。

其次，我们应认识到共享的个人信息仍应保持其“秘密性”。传统的观念认为隐私一直只是一种二元的状态，要么有，要么无，一旦信息被共享或者个人同意信息共享，就不存在隐私了。这种隐私的二元观念在大数据时代是十分危险的，会削弱人与人之间的信任感。在大数据时代，信息即使被公开或共享，也应该受到法律的保护，不能因为其已经被公开就不保护它，这也是个人信息和隐私相区别的要点所在。

最后，大数据时代的个人信息保护离不开透明度原则。透明度原则一直是公民社会的基石，因为它使各国政府，机构和个人都能正确地知情决策。数据的二次利用以及企业、政府对数据的共享使得大数据时代的透明度原则更加重要。透明度原则可以帮助防止机构的权力滥用，同时能鼓励个人分享更多的相关数据，从而使我们社会的大数据预测更为安全可靠。

奥巴马政府一上台就发布了关于透明度和公开政府的备忘录，欧盟数据保护指令已经提出了对透明度原则的保护。可以说，大数据时代的到来提高了透明度原则的重要性。2012年2月，美国联邦贸易委员会发布了隐私报告，呼吁国会给消费者对数据经纪人掌握的个人信息以更多的控制权。[3]

二、构建完善的个人信息保护法律体系

（一）出台专门的个人信息保护法

全球范围内，已经有许多国家颁布了对个人信息进行保护的立法，我国目前并没有保护网络用户个人信息的专门法律，有关个人信息保护的规定散见于其他法律法规中，立法十分分散，很多涉及个人信息保护的立法位阶不高。因此有必要制定一部专门的个人信息保护法，具体的内容和体系可以参考欧盟2016年通过的《一般数据保护条例》。与此同时，各个省份可以结合自身信息技术发展和个人信息保护实际，首先出台当地的个人信息保护行政管理法规。目前我国辽宁、山东、安徽、广东等省结合本地实际情况出台的计算机信息系统保护法规中对个人信息的保护做了相应的规定，取得了一定的效果。

（二）完善个人信息保护的民事诉讼制度

无论是各国的个人数据保护法抑或是我国关于个人信息保护的立法建议，都主张个人信息权遭受侵害时，信息主体可以提起民事诉讼寻求救济。个人信息保护的民事诉讼制度需要在借鉴国外立法经验的基础上，着眼于举证责任分配和损害赔偿的确定。

对于举证责任的分配，按照德国和我国台湾地区的有关规定，是将个人信息的侵权责任分为两种，一种是对国家机关的个人信息侵权行为采取严格责任，第二种是对非国家机关的个人信息侵权行为采取过错推定责任。一般情况下，作为原告的信息主体很难就信息被泄露或被二次利用进行举证，作为被告的信息处理者往往会依据各种理由说明自己的行为并不违法。因此，侵害个人信息权的侵权责任为过错推定责任更为妥当。信息主体只要证明信息处理者未经其同意处理了个人信息，信息处理者要规避责任就必须证明自己的信息处理行为具有合法性依据，如果信息处理者不能证明取得个人信息的途径合法，就推定为非法获得，就需要承担民事责任。

对于损害赔偿的确定，我国《民法通则》中规定了恢复名誉、消除影响、停止侵害等救济方式，对于个人信息权被侵害的救济，《民法通则》中的救济方式都可以在此使用。在确定损害赔偿数额的时候，除了对个人的经济损失进行弥补，还可以规定对当事人的精神损害进行赔偿。目前我国司法实践中已经有一些案例对个人信息主体进行精神损害赔偿的案例，但是精神损害赔偿的数额往往十分有限，很难充分对信息主体进行救济。为了解决这种损失计算和证明的困难，可以规定法定最低赔偿额。比如，美国《录像带隐私保护法》（The Video Privacy Protection Act）就规定法院应该“给予实际损失的赔偿，且不低于2500美元的经济赔偿”。我国在个人信息侵害的损害赔偿有关规定中，可以先由法律规定一个最低数额的赔偿金，再由当事人在法定赔偿数额和实际损失数额之间进行选择，选取对自己更有利的赔偿方案。[4]

（三）加强网络信息行业自律

相比于立法，行业自律具有很大的灵活性，能够依据不同的行业做出有针对性的反应。目前，很多国际组织都鼓励实施行业自律。比如欧盟对行业自律就采取鼓励态度，1995年的《欧盟个人资料保护指令》（以下简称《指令》）第5章就行业自律与立法的关系做出专章规定。美国联邦贸易委员会《儿童在线隐私保护规则》第十部分“安全港待遇”将行业自律纳入立法，赋予其法律效力从而弥补立法的不足。

三、引入被遗忘权

早在欧盟1995年颁布的《个人数据保护指令》（以下简称《1995指令》）中就有有关被遗忘权的规定，具体条款是第12条b款，会员国应当确保每个数据主体皆能处理不符合本指令规范的资料，尤其是针对资料本身不完整或不正确的资料，有更正（rectification）、消除（erasure）和阻绝（blocking）的权利。这种更正（rectification）、消除（erasure）和阻绝（blocking）的权利就是被遗忘权。2016年4月欧盟通过的《一般数据保护条例》第17条就明文规定了被遗忘权，数据主体有权要求数据控制者无不当延误地删除其数据，出现下列情况之一的，数据控制者有义务删除个人数据。被遗忘权主要包括两方面的内容：一是及时删除数据，当数据使用期限已到或者保留数据已经不必要的时候，数据就应当被及时删除；二是清除前科，对于个人已过时的负面信息应当被及时消除。

现在大数据技术的发展使个人信息能够长久地保存于互联网中，当个人的不良记录长期存于互联网并能为他人所搜索到时，无疑对个人生活的安宁会带来不良影响。除了欧盟率先对“被遗忘权”做出立法上的规定，2012年美国发布的《消费者隐私权利法案》也规定了消费者有权要求网络公司更正不准确的信息和删除信息。[5]可以说，现在我们已经进入了一个“记住”成为常态的时代。

鉴于我国目前并没有专门的个人信息保护法，有关个人信息保护的相关法律条款也有一定的滞后性，个人信息遭受侵害时也无法直接利用被遗忘权进行保护。例如，在我国首例被遗忘权案——任甲玉诉北京百度网讯科技有限公司案中，原告任甲玉就在诉讼中提到了“被遗忘权”，他认为在百度网站上搜索任甲玉，会出现“陶氏教育任甲玉”“无锡陶氏教育任甲玉”等字样的侵权内容及链接，会让公众误认为自己和陶氏教育有联系。[6]而且，陶氏教育在行业内口碑不好，在百度网站上留存的信息容易使公众会误解任甲玉与陶氏教育还有合作，误导潜在合作伙伴、误导学生。因而，他提出了“被遗忘权”的问题，但最后法院并没有认可。法院认为，目前我国法律中并没有对“被遗忘权”的规定也没有“被遗忘权”的权利类型，任甲玉主张“被遗忘权”缺乏相应的事实和法律依据。

因此，有必要将“被遗忘权”作为一种独立的法律权利纳入我国个人信息保护的有关法律中。一方面，可以完善我国的个人信息保护法律的内容，使个人信息在司法实践中的保护具有可操作性，较好地实现保护大数据时代网络用户个人信息权的目的。另一方面，鉴于欧盟和美国等发达国家已经在法律中对“被遗忘权”做出了规定，我国可以借鉴其成功经验，顺应国际趋势和大数据技术的发展趋势。

四、提高网络用户自我保护意识

除了国家层面的立法和行业自律能对个人信息进行有效保护外，用户个人还应该提升自己的保护意识。在平时上网过程中，用户可以采取以下措施来规避个人信息的不当利用和泄漏，如使用支持SSL/TLS的网站；用户还可以选择不在互联网上泄露自己的真实身份，不在互联网上随意贴出自己的个人信息；另外，使用强密码，在不同网站使用不同的账户名及密码也能对用户个人信息保护起到积极作用。

国家层面的立法是个人信息的制度性框架，行业自律是社会对个人信息进行保护所应负担的制度性成本。用户提高个人信息的保护意识则是个人信息保护的制度性框架下，除社会成本外所应承担的个人成本。个人信息的保护意识在伦理性、经济性和法律性的三种层面具有不同的意义。

第一，伦理性层面。网络是自由的网络，而网络中的信息也是自由流动的。人的自由是意志的自由，而人对信息的自由则是意识对信息的自由。个人信息最初的源头必然来自个人的意志，无论个人信息如何流动，意志代表了对信息的最初支配。提高个人信息的保护意识即是承担起信息流动的最初责任。无论是规避个人信息的不当利用和泄露，还是传播自身信息的最初控制，个人的意志需要为个人信息的产生和第一次传播负责。

第二，经济性层面。国家层面的立法是整个个人信息资源的总的分配规则，而行业自律则是个人信息资源分配耗费社会成本的缩影，同样的，个人对自身信息的控制和保护则是个人信息资源分配耗费个人成本的缩影。从心理学的角度看，意识作用于客体是需要耗费注意力和其他心理资源的；从经济的角度看，提高个人信息的保护意识就意味着耗费更多的沉没成本和机会成本。以及时更新软件为例，提高个人信息的保护意识就要求时常注意软件更新的通知，但存储资源有限的情况下，更新软件意味着耗费更多的存储空间。事实上，软件更新除了漏洞更新外，也包括新功能的更新，这同样需要用户下载也许根本不需要的新功能。

第三，法律性层面。提高个人信息的保护意识，也即提高个人信息的注意义务。法律是社会生活的记录者。从伦理性而言，注意义务提高也即意味着个人对个人信息的道德责任的提高；从经济性而言，注意义务的提高也即意味着个人对个人信息的个人成本的提高。个人信息的保护意识总是需要与行业自律的保护制度进行平衡和协调。以网络侵权为例，个人信息保护的注意义务的提高，在国家层面网络侵权制度框架不变的情况下，就意味着社会对个人信息保护义务的减少。

如何确定个人信息的保护意识平衡程度呢？可以分为两个方面进行平衡与协调。

1.合作性平衡与协调。提高用户个人信息保护意识，需要以个人信息的法律制度和社会负担保护个人信息的义务为前提。前文中已经详细阐述了个人信息的法律制度，实质是对个人信息的赋权制度。当个人信息的法律制度将个人信息的最初权利赋予给个人时，必然会激励个人对自身信息的有效利用，从而提高个人的信息保护意识是适当的。当个人信息的法律制度将个人信息的最初权利赋予给其他主体时，提高行业自律以及社会对个人信息保护的义务是适当的。权利意味着利益，而利益也需要合理的成本。提高用户个人信息保护意识虽然从主观而言，属于个人内部事宜，但是从整体而言，实际上可以反映信息保护的制度与社会对个人信息保护义务的平衡与协调。提高用户个人信息保护的意识，应以此为标准。否则单纯地要求提高保护意识无异于落入理想主义的窠臼。

2.个体决策效率。提高用户个人信息保护意识，意味着个人必须付出更多的成本，以监控自身信息的状况。提高用户个人信息保护意识同样也可以带来收益，比如保障个人信息的不被泄露，消弭因信息泄露而带来的不确定风险。提高用户个人信息保护意识，意味着提高自身的道德责任，意味着提高法律上的注意义务，是一种个体的决策。为确保这种决策是有效的，必须确保提高保护意识对个人来说是付出的成本更少或收益更多。权利信息标记和更便捷的识别个人信息的技术可以保证付出的成本较少。前文述及的透明度原则和快速发展的侵权信息识别技术即是例证。损害赔偿制度或信息泄露的保险制度可以保证获得的收益更多。法定赔偿制度、举证责任制度的构建以及各种信息保护的商业保险即是例证。

无论是传统的互联网时代还是近年来的大数据时代，对保护网络用户个人信息的讨论从未停止。大数据时代的个人信息呈现出一些新特征，也给个人信息保护带来新的挑战。如何对个人信息进行保护一直是各国学者研究的热点，网络用户个人信息的保护涉及的网络运营商、网络用户甚至监管部门的核心权利义务规则仍然是法律需要解决的问题。可以预见的是今后无论是国内还是国外，有关个人信息的侵权诉讼案例会越来越多，如何在司法审判中保证个人信息安全，保证程序的正当性也是值得考虑的问题。

[1]DANIEL J.SOLOVE&PAUL M.SCHWARTZ,INFORMATION PRIVACY LAW 698–700(4th ed.2011).

[2]Rainey Reitman,FTC Final Privacy Report Draws a Map to Meaningful Privacy Protection in the Online World,ELECTRONIC FRONTIER FOUND.(Mar.26,2012)

[3]Consumer privacy bill of rights,p.19.

[4]Solove D J.Privacy Self-Management and the Consent Dilemma’(2013)[J].Harvard Law Review,126:1880.

[5]北京市第一中级人民法院民事判决书(2015).一中民终字第09558号。

[6]维克多.迈尔.舍恩.大数据时代：生活、工作与思维的大变革[M].杭州：浙江人民出版社,2013:5-11.