个人信息保护的现实困境与完善策略

郭奇琪

【摘 要】 文章首先概述了个人信息的相关定义和特征，指出目前我国个人信息保护的一些缺陷，使得法律法规对于个人信息交易的禁止性态度和个人信息的流通和再利用的现实需求出现明显矛盾，最后从立法方面提出个人信息保护的完善策略：借鉴域外个人信息保护的有关法律;完善个人信息保护的法律法规。

【关键词】 个人信息;个人信息保护;删除权

由于《个人信息保护法》的缺失，我国对于个人信息保护的规定散见于效力层级较低的法律规范之中，未成体系。针对实践中屡屡被曝的个人信息泄露事件如何应对，如何构建我国的个人信息保護法律体系，显得尤为重要。

一、个人信息概述

1、个人信息的定义

《中华人民共和国民法总则》第一百一十一条规定自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。[1]但对于哪些是属于法律保护范畴内的个人信息尚不明确，我国对于个人信息保护的规定散见于法律法规之中，未成体系，无法实现对个人信息的全面保护。关于个人信息的定义，《网络安全法》第76条第5款规定：自然人的个人信息是指以电子或者其他方式记录的，能够单独或者与其他信息结合，识别的自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证号码、个人生物识别信息、住址、电话号码等。[2]

从法律对于个人信息的界定中我们可以归纳出个人信息的三大特征：（1）个人信息的可识别性;无论是姓名、出生日期、指纹还是可以反映信息主体身体、心理要素的其他信息，都具有较高辨识度，可以使得不特定第三方辨别出信息主体的身份。（2）与主体的关联性;之所以要对个人信息进行特别保护，防止个人信息滥用，就是源于个人信息与特定主体间存在的紧密关联。个人信息中包含有隐私信息，涉及私生活领域，与主体的关联更为密切。（3）个人信息的体系性;与信息主体紧密关联的各项因素被分类，由信息收集机构采取特定方式予以处理、分析，使之可轻易被第三方获取。

2、个人信息的分类

我国对于个人信息与隐私、名誉之间的界线模糊不清，对于个人信息与隐私之间的关系，学界存在以下三种观点：第一种观点认为隐私包括个人信息，对于隐私权加以保护就是对个人信息进行保护，美国采纳这种观点，其对个人信息保护以“隐私权”为核心展开，该种观点忽视了二者在隐私概念上的差异，美国对于隐私的界定较我国远为宽泛。此种观点难以对公民姓名、出生年月等公开的个人信息作出解释，在司法实践中通常不被采纳;第二种观点认为个人信息包括隐私，个人信息包括可以公开的部分和私密信息，后者具有隐私属性的部分即属隐私权范畴，但该种观点难以回应隐私中包含有非以信息形式表现的特定行为、习惯。第三种观点认为个人信息与隐私存在交叉，二者权利属性存在差异。个人信息权关系到信息主体对于信息的积极支配，公开个人信息从事社会活动;隐私权关系到信息主体的私生活领域是否遭到侵犯，私密信息是否泄漏，是主体的消极防御。个人信息可部分公开，作为交易客体，但隐私事关个人尊严，不得成为交易的对象。对个人信息的保护应当从个人信息特征入手，从知情、事前告知和事后动态监管进行多维度保护。

《中华人民共和国个人信息保护法（草案）》已经公布，但草案对个人信息仍然缺乏明确的分类，个人信息的分类是行业自律规范的参照，分类的缺失使得实践中行业自律规范缺乏指导。个人信息主要有以下四种形式组成，第一种是个人身份信息，包括姓名、身份证号码、个人账号信息等，通过为人格第三方识别，实现对外交往的目的，此类信息兼具公开和隐私双重属性，表现为有限度的流通;第二种是个人隐私信息，包括短信记录、聊天记录、日记，银行卡密码等，关系到信息主体的私生活领域，可能侵犯信息主体的隐私;第三种是个人行为信息，用户在实际生活和网络中从事各种活动会保有记录，包括消费记录、访问记录等，通过一系列的记录形成信息主体个性化的数字符号;第四种是衍生数据，是对上述海量用户的上述三种个人信息进行处理、分析之后形成的数据信息，衍生数据已经不具备可识别性，其对信息主体产生侵害的可能性较小，大多数学者主张衍生数据属于依法可以公开的信息，供任意第三方利用。

二、我国个人信息保护的缺陷

1、我国个人信息保护的现状

我国现有法律没有关于个人信息权的明确规定，仅在《刑法》条文中对非法提供、获取个人信息的行为予以严惩的规定。对于侵害民事领域内的个人信息权的，司法实践中一般援引对于隐私权、名誉权等人格权的法律规定予以保护，缺乏统一的规定。对于个人信息交易，虽然我国官方明令禁止，但实践中个人信息交易事件屡禁不止。事实上，个人信息不仅是个人的私有财产，是自然人人格的产物，更是一种交易的客体，能够经信息收集机构分析、利用后造福社会，给信息主体也带来便利。数据时代的信息处理和分析靠数据库支撑，着眼于数据的共性而非个性的分析，数据处理机构可以依靠数据的收集和分析为信息主体提供个性化服务。据一位欧洲交易专员的统计，2020年个人数据交易总量将达到欧洲GDP总量的8%。[3]大数据时代下适度放开个人信息交易有助于激发经济活力，首先，市场营销以消费者的需求和兴趣为基础，商家通过个人信息的收集为消费者提供个性化服务，大大减少了营销成本。其次，在对信息进行分析的基础上，商家可以发现消费者的潜在需求，推进新的产品研发和服务升级，推动本行业的产业升级。个人信息处理者即公共机构和私法主体收集个人信息的主要目的是为了公共目的，以促进社会发展和创造经济价值为最终目标，并且其中还包括了为信息主体提供多元服务，信息收集的目的并不是为了实现对个人的监视和对信息主体的侵害。

个人存在的价值在于社会交往，信息主体不仅关系到对信息的支配、控制、排除，主体在对个人信息享有支配权的同时应当有所限制。在主体对外交往的场合，个人信息涉及交易安全，是另一方的决策依据。正是信息主体对于个人信息缺乏支配权，才产生了个人信息的真实性。如果信息主体对于个人信息有完全的自主权，那么他完全可以将对外展示的个人信息进行随意更改、删除，导致最终展现的个人数据不具备客观真实性，不利于交易安全。

2、我国个人信息保护的缺陷

《网络安全法》要求收集、利用、使用个人信息必须获得信息主体的同意，保证信息处理行为的正当性。信息收集的“知情同意”规则使得为了遵循法律的严格要求，信息收集机构往往在隐私声明中进行冗长晦涩的阐述，以保证用户对信息收集可能产生的影响有所判断。信息收集机构往往在声明中对信息来源、处理方式、用途等作出详尽说明，以撇清关系，用户访问网站或者使用相关平台提供的服务需要阅读隐私声明，并点击同意方可接受服务。冗长的隐私声明给用户阅读和使用上述产品带来严重的负担，大多数用户甚至不加閱读就直接点击同意。另一方面，多元的信息流通渠道使得信息收集机构在隐私声明中对可能出现的风险难以做到一一详尽提示。

信息流通具有时效性，数据处理以海量数据库为支撑，一律以个人的知情同意为处理前提，将产生额外时间成本，“知情同意”模式存在着明显的缺陷。首先，个人同意的前提基础知情权无法保证，信息处理应当事前充分告知，机构收集方和信息主体之间实力悬殊，严重信息不对称使得个人对信息处理的影响无法做出预判。处理前告知并不能消弭信息主体和信息收集方的地位差距。信息不对称的解决，核心在于保障信息主体的知情权，知情权的前提是信息公开，但信息主体处于弱势地位，无法做到信息对等。其次，信息主体对意思表示难以享有充分的自决权，为了获取网络服务提供商提供的服务，信息主体除了同意以外别无选择。信息主体面临的是“要么同意、要么走开”的两难境地，如果其不提供网络服务商所要求的个人信息，就无法享受后续的服务和商品。因此，在面临此种选择时，用户毫无疑问都会选择同意，甚至连相关的用户协议、服务条款和隐私权政策都不会阅读。此种情形下，阅读上述文件已经缺乏现实的意义，同意作为个人信息收集的正当性前提的意义显然荡然无存。当然，对个人信息自决权的限制并不意味着降低对信息处理者的责任，针对潜在的侵害隐私的危险，任何第三方都有合理注意和减小损失义务，其有义务将损害降低到最小程度，并对侵害结果承担责任。

三、个人信息保护立法的完善

1、个人信息保护的域外借鉴

美国和欧洲对于隐私保护的规定较为原则，将隐私保护作为社会基础价值，在保护内涵的界定上远不止单纯遵守既有的法律规则，将隐私作为伴随社会观念的发展而动态演化的精神价值。将个人信息保护作为一项值得追求的社会价值，公共机构负责隐私保护的官员在产品研发、服务规划的早期阶段就将其与隐私保护紧密联系，从而充分保护公民个人信息。

美国对于个人信息的保护主要是通过各个领域的隐私权联邦立法和不断扩充的隐私权保护司法判例确立的。是在原有以隐私保护为核心的基础上，将个人信息纳入到隐私保护的框架之内。[4]关于美国法下隐私的定义，1980年，加维森提出，隐私是“对别人接近他人的限制”，保护的是个人的“安静或者安宁”，隐私权包括：（1）秘密权;（2）匿名权;（3）独处权。美国虽然没有专门的立法保护公民个人信息数据，但是通过众多分散的立法文件确立了以隐私权为基础的个人资料保护法律制度，并明确了资料隐私权和自决隐私权。[5]美国法院通过一系列的判决对隐私权的外延作出了一个拓展性的规定，将隐私权视为开放性的个人权利，保护的领域也远远超出了私生活的安宁和秘密，还包括了不被干扰、特定情形下的被遗忘权。对于特定领域内的隐私保护由本行业依据需要制定法规，各行各业都有关于隐私保护的自律规定。

欧洲对于个人信息的保护是以对基本人权、人格尊严为基础构建的，通过对个人信息的保护实现对主体人格尊严的维护。在规范层面，欧洲国家隐私保护的共同趋势是将严格的政府执法、公共压力下的行业自律和低水平的诉讼机制相结合，即所谓的“合作法治主义”模式。欧洲国家不允许信息收集机构在一开始就获得概括性的同意，要求收集者明确收集的信息范围、收集方式、使用目的等，充分保障当事人的知情权。对于数据留存，《个人数据保护指令》只规定两种方式：一是基于原始收集目的留存，二是在实现去标识化处理之后留存。

欧美在保护个人信息方面存在共性，都是将法律强制和行业自律相结合，以增强对个人信息的保护效果。

2、完善个人信息保护的法律法规

欧美个人信息保护的“合作主义法治”模式取得良好的成效，我国在立法和实践过程中可依据国情作出适应性调整。个人数据滥用的受害方是信息主体，信息使用者对于保护个人数据必定缺乏激励，缺乏保护个人信息的积极性。要健全对个人信息的保护框架，必须对纳入保护范畴的个人信息作出清晰分类，让信息收集者有法可依，让裁判者有据可采。

（1）个人信息的立法。当下，个人信息保护法已被纳入立法规划，关于《中国人民共和国个人信息保护法（草案）》业已公布，但仅有这样一部基础性的法律规定难以应对实践中新出现的信息纠纷，由各行业根据特性制定自律性规范具有重要意义。一方面，行业自律发挥自身优势，能够针对经济、技术的发展及时作出适应性的调整，不同行业的个人信息保护的侧重点可能有所差异，自律规范正是对法律稳定性和统一性的补充;另一方面，法律又可以利用强制力后盾提高规范的约束力，杜绝无视行业规范的信息滥用行为。

（2）实践层面。①个人信息的去标识化。其一，可识别性是个人信息最显著的特征，要实现个人信息的流通和再利用，必须对个人信息进行去标识化的处理。互联网出现以前，人们依赖于有形载体实现信息流通，大数据时代的到来使得信息的流通更为快速便捷，只要用户有任何数据片段留存于网络空间，那么在任何时间任何地点，这些留存的信息片段就处于公知状态，处于触手可及的状态。依托于数据处理技术，这些数据片段甚至能够拼凑成自然人个性化的标识符号，实现特定主体的定位。

根据个人信息识别度不同，可将个人信息分为直接识别信息、准识别信息和无法识别信息，无法识别信息属于公开或者准公开信息，无需设置特别保护。对于能够直接反应信息主体特定身份的直接识别信息，实践中通过删除或者屏蔽等技术处理手段已经可以达到解除与信息主体之间关联的效果。准识别信息和其他数据结合可以定位到特定自然人，对于准识别信息应当设置清晰去标识化标准。