论信息主体同意权的绝对化困境与相对性重构——兼论《个人信息保护法（草案）》（二审稿）同意制度的完善

常宇豪

（西南政法大学 经济法学院，重庆401120）

一、问题提出与文献述评

数字经济时代，数据成为经济社会发展的重要动力和核心生产要素。作为构成数据基础的个人信息，其量的累积性、流通的自由性等要素属性与受保护需求之间形成天然张力。如何平衡个人信息保护与利用的关系是国际社会面临的共同难题。知情同意是各国通行的个人信息保护机制，也是中国个人信息保护法律体系的基本原则（刘金瑞，2017），[1]其本质是通过信息主体对信息处理者请求的肯定以及对收集和利用行为的授权，强化自主控制。但个人信息的要素价值和公共属性决定了这种控制不能是绝对控制，其承载着的多重利益和多元价值决定了同意权必然受到他人言论自由和国家、公益机构、数据企业对个人信息合理利用诉求的限制。中国现行法和制定中的《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）将信息主体同意权设置为一种绝对性权利，既不利于个人信息保护，又抑制了个人信息的合理利用和信息产业的有序发展。对此有学者指出，“在大数据时代，知情同意原则绝对化不完全符合现实经济关系逻辑”（林洹民，2018）。[2]为了破解同意权绝对化的困境，学术界进行了积极探索。如范海潮和顾理平（2021）提出了建立“选择退出”+“选择进入”相结合的可协商式同意机制。[3]郑佳宁（2020）依据情境完整性理论提出不同情境下同意权差别化适用方案，即对采集个人敏感信息和有特殊后续处理目的两种情境适用“明确同意”，其他情形“一般同意”即可。[4]王雪乔（2019）认为，应改变信息主体同意权同等适用模式，区分同意规则在身份已经识别与可能识别、一般性与敏感性中的适用。[5]蔡星月（2019）建议通过同意体系地位的降低与规范结构的削弱构建信息主体“弱同意”，以有效解决现行法“强同意”的僵硬适用和过高标准带来的有效性困境。[6]需要指出的是，上述研究力图通过个人信息类型细化解决同意权区别适用问题，但由于未重视个人信息在不同场景下的性质变化，仍无法避免同意权绝对化的困境。同时，为数不多的有关信息主体同意机制研究成果主要集中于适用困境和出路探讨上，系统研究尚付阙如。鉴于此，本文首先分析现行法同意权绝对化的成因与困境，继而在理论上证成同意权的相对性，在此基础上提出相对性视角下同意权的重构框架，以期为《个人信息保护法》同意制度的完善提供借鉴。

二、中国现行法同意权绝对化的立法表达与现实困境

（一）现行法同意权绝对化的立法表达

中国关于信息主体同意权的规定最早见于2012年《全国人民代表大会常务委员会关于加强网络信息保护的决定》，其中首次将信息主体同意确定为个人信息收集、使用的唯一合法性基础。之后，2013年修订的《消费者权益保护法》《网络安全法》均采用了同意权绝对化的设置。《中华人民共和国民法典》（以下简称《民法典》）第一千〇三十五条将“征得该自然人或者其监护人同意”作为处理个人信息应当满足的一般性条件之一，仍然延续了同意权绝对化的设置。尽管第一千〇三十六条规定了一系列无须信息主体同意即可处理个人信息的情形，但“从规范论的角度看，例外并非规范本身，只是规范的补充”（谢远扬，2019），[7]第一千〇三十六条所设置的例外毕竟不能与一千〇三十五条的一般性规定相提并论。更何况若以“合法性—有责性”二元评价体系分析第一千〇三十六条，“处理个人信息，有下列情形之一的，行为人不承担民事责任”的表述仅表明了立法者对特定情形下未经信息主体同意的个人信息处理行为不予追究的态度，并不代表法律对上述行为予以正面评价。概言之，凡未经信息主体或其监护人同意的个人信息收集、使用行为均属违法，相当于法律赋予信息主体对个人信息的绝对控制权。正如有学者指出，“我国是世界上唯一在立法上明示个人信息收集、使用一律须经信息主体同意从而将同意一般化的国家”（高富平，2018）。[8]

（二）同意权绝对化的成因剖析

中国个人信息保护立法之所以采取同意权绝对化的制度设计，原因主要有以下三个方面：

1.个人信息收集、使用多元合法性基础被简单化处理。在建构中国个人信息保护法律体系时，立法机关更多借鉴了同属于成文法系的欧盟法立法经验。在欧盟法发展过程中，出现了两种值得重视的趋势：一是个人信息保护力度不断加强。例如，2018年5月开始实施的《一般数据保护条例》（以下简称《条例》）赋予信息主体删除权（被遗忘权）、可携带权、限制处理权等更多新型权利；在同意权方面，明确了同意要件、随时撤销同意、禁止获得一揽子同意等规定，巩固并增强了知情——同意在个人信息保护框架中的核心地位。二是更加注重保护与利用的平衡。《条例》将个人信息收集、使用的合法性基础拓展为包括数据主体同意在内的六种情形。在其他五种情形下，不经信息主体同意的收集、使用个人信息行为也属合法，有效地限缩了同意权的适用范围，促进了信息的自由流动。但遗憾的是，中国解读欧盟个人信息保护法律制度，往往过于看重严格执行的各种要求，忽略了其促进发展的一面和制度设计中的各种平衡追求（周汉华，2018）。[9]有学者指出，中国现行立法中同意权绝对化的倾向是对域外个人信息保护理论基础和立法实践的误读（高富平，2018）。[8]

2.将增强同意权等同于强化个人信息保护。近年来，中国个人信息侵权事件频发，从2016年的徐玉玉事件到2021年超2亿中国公民个人信息暗网出售事件，无一不在挑动着社会公众的敏感神经。据中国银联统计数据，有超过90%的电信诈骗是由于个人信息泄露所致。①参阅《网贷之家：超过90%的电信诈骗是由于个人信息泄露导致》[EB/OL]https://www.wdzj.com/hjzs/wangdai/20180601/649802-140.html，最后访问日期2021年4月18日。面对个人信息泄露日趋严重的现实，强化个人信息保护成为社会的广泛共识。2017年两会期间，吴晓灵、周学东等45位全国人大代表提出了《尽快制定个人信息保护法》的议案，此后多名全国人大代表、政协委员提出议案、提案，要求以法治手段规范个人信息收集、使用行为，加快个人信息保护立法。部分学者也主张通过增强信息主体同意权以强化个人信息保护，如齐爱民（2019）在《中华人民共和国个人信息保护法学者建议稿》中强调，“个人信息应严格保护，非经信息主体同意不得收集、处理和利用”。[10]因此，立法者提高同意标准并将信息主体同意作为唯一合法基础，可以说存在一定的基于民意要求的考量。值得注意的是，加强个人信息保护的社会呼声主要集中于减少泄露滥用现象、提升安全水平，并非要求增强信息主体对个人信息的控制。在“个人信息属纯粹的私人事务”的认知下，立法者将信息主体行使同意权视作个人信息保护的主要甚至唯一路径，无异于在增强同意权和强化保护间画上了等号，但由于大数据时代的“同意困境”，通过加强同意权来提升保护水平效果并不理想。由此，个人信息保护制度陷入“个人信息泄露、滥用事件频发——提升保护水平呼声高涨——通过制度设计增强同意权”的怪圈中，并最终导致同意权走向绝对化。

3.未能正视大数据时代的“同意困境”。同意制度肇始于小数据时代，其理论推演和制度设计不可避免地存在局限，这些局限在大数据时代已然被放大成为所谓的“同意困境”（Solove，2013）。[11]（1）个人信息收集总是在不知情的情况下进行，信息主体难有机会进行控制和选择。在大数据时代，信息收集、使用方式趋于多元化，除传统的“一对一”收集外，数据共享、cookies抓取、刷脸支付（门禁等）、监控设备、无人机或无人驾驶汽车等新型收集方式无时无刻不在收集着人们的个人信息，且占据了信息收集的主导地位。美国亚利桑那大学的一项研究表明，健康类网站的消费者个人信息80%来自自动抓取（Rains和Bosch，2009）。[12]上述新型数据收集方式很难告知并征得信息主体同意。大数据聚合、分析所进行的“数据二次处理”亦然。（2）信息主体无力真正基于自己的自由意志做出有效同意，即使信息处理者获得了信息主体的同意授权，有效性也饱受质疑。原因有三：一是“理性人假设”难以成立。行为经济学、认知神经学的研究表明，人的理性是有限的，在认知和决策过程中，人会受到“框架效应”“禀赋效应”“现状偏好”等因素的影响，“同意”并不能完全反映真实的认知和决策场景（郭春镇，2014）。[13]不仅如此，同意数量的增多和标准的提高并不必然强化个人信息保护，反而容易引发“同意迟钝”，即对信息主体同意的要求越高，可能越会削弱同意功能的发挥，阻碍个人信息自我控制目的和效果的实现（Schermer等，2014）。[14]二是信息主体缺乏做出妥当同意的专业知识。面对日趋复杂的信息技术和多元化的移动应用，信息主体普遍缺乏相应的知识和能力以理解或应对诸多信息披露，难以对信息收集带来的收益和潜在危害做出正确评估（沙哈尔和施奈德，2015年版）。[15]三是同意往往属于被迫选择。在“二选一”背景下，同意是信息主体使用产品或者服务的前提条件。受互联网经济网络效应、消费者锁定效应影响，许多具有垄断地位企业的产品或服务直接关系到消费者根本利益，加之转移成本高昂，拒绝这些服务变得越来越难。信息主体若想使用其产品或服务，只能点“同意”，别无选择。客观而言，立法者在进行同意权的制度设计时应当注意到“同意困境”问题，但其显然轻视了同意困境可能造成的制度后果以及克服同意困境的难度。事实上，同意困境是由大数据时代个人信息的处理方式、信息主体的禀赋缺陷以及信息处理者相对于信息主体的权力势差共同决定的，是客观的、系统的、根源性的，难以简单通过制度设计予以纾解。而在一套以同意权为核心的个人信息保护制度中，同意机制难以发挥作用无疑意味着整套制度的全盘失效。

（三）同意权绝对化的现实挑战

同意机制的设计初衷是通过强化信息主体的自主控制，达到保护信息主体权益的目的。然而，在基本权利维度，个人信息既是信息主体人格权之所系，又是他人自由权（特别是言论自由）的对象；在价值维度，个人信息兼具人格尊严、商业价值、公共管理价值；在利益维度，信息主体的个人信息保护需求与信息处理者的利用需求并存。同意标准的提高只是法律单向度强化信息主体个人权益保护，未能同步起到对信息处理者的正向激励作用，客观上加剧了利益失衡，使同意机制陷入困境。主要体现在两个方面：

1.保护效果不佳，制度成本高企。上文述及，同意机制在大数据时代面临客观困境，导致其个人信息保护绩效不佳。一个例证是，本文通过裁判文书网检索发现，2021年1月1日《民法典》生效以来约半年时间里，尚无任何一例案件援引第一千〇三十五条关于同意权的规定。与此相映成趣的是，根据工业和信息化部2021年3月12日发布的“存在问题的应用软件名单”，136款App多数存在强制过度索取权限、违规收集、超范围收集个人信息行为，用户只要登录并使用相关服务，即默认已阅读、理解并同意协议全部内容和要求的个人信息收集。另一方面，绝对化的同意权还会造成高昂的制度成本。一个著名的例子是美国西部电话公司在经过调查后发现，其获得单个用户同意授权的成本在30美元左右。①参阅Brief for Petitioner and Intervenors at 16 n.37,U.S.West v FCC,182 F.3d 1224(10th Cir.1999),cent.denied 528 U.S.1188(2000).虽然在大数据时代的今天，通过网络获得信息主体同意的成本已经远远低于上述案例发生时，但考虑到获取个人信息的数量和频次以及因此所需征得同意的数量同样随着互联网技术的发展而倍增，再加上中国个人信息保护法律体系对同意的要求远高于美国，同意权造成的制度成本显然不低。可见，严苛的同意机制并未起到高水平保护个人信息的效果，反而可能迫使信息处理者在面对高昂的制度成本时采取种种措施规避监管，反而客观上降低了个人信息保护水平，对此下文将详细展开。

2.利益冲突加剧，同意机制虚化。个人信息是一个附有多重利益和价值的集合体，保护与利用过程也是不同主体实现各自利益的过程。只有平衡好各方利益，构建相互促进、和谐共生的个人信息生态，方能实现保护与利用的共赢。然而，同意权的绝对化背离了这一内在要求，造成利益分配格局失衡。在同意权绝对化和利益冲突加剧的背景下，信息处理者往往利用资金、技术、信息等方面的优势，设计并实施诸如不经信息主体同意收集、过度收集、概括性同意、默认勾选、不同意不能使用产品或服务等方式规避法律规制。在强势的信息处理者面前，信息主体的同意权被虚化，法律规制失灵。尽管2017年以来中央网信办、工业和信息化部、公安部、国家标准化委员会联合对隐私协议存在的问题进行了多轮专项整治，但效果难言乐观。据国家互联网信息办公室2021年5月10日发布的“关于腾讯手机管家等84款App违法违规收集使用个人信息情况的通报”，鲁大师、360清理大师、360借条、平安好贷等35款App存在未经用户同意收集使用个人信息，腾讯手机管家、猎豹清理大师、360借条、还呗等65款App存在超范围收集个人信息行为。①参见《工业和信息化部关于电信服务质量的通告》 （2019年第2号），https://www.sohu.com/a/324356253-100019684，最后访问日期2021年5月15日。可以合理推测，如果没有行政机关监管、仅依赖信息主体自力救济，个人信息违法违规收集使用现象将越来越普遍，最终导致个人信息处理彻底遵循“丛林法则”，同意权乃至整套个人信息保护制度名存实亡。

3.立法、司法割裂，法律、标准抵触。绝对化同意权导致的个人信息过度保护和绝对控制必然引发流动阻滞，进而妨碍个人信息公共价值和商业价值的实现，给信息资源的开发利用带来沉重负担和法律风险，与国家鼓励大数据产业发展的政策导向存在分歧（宋亚辉，2019）。[16]为了平衡法律严格保护与公共管理和大数据产业对个人信息需求之间的张力，中国的司法实践不得不秉持实践理性，通过法律解释的方式“绕过”现行法律中过于绝对的同意权设置。比如在朱某与北京百度网讯科技有限公司隐私权纠纷案中，二审法院未采用《网络安全法》关于个人信息“单独或者与其他信息结合识别自然人个人身份”的定义，而是通过狭义解释将个人信息限定在单独识别范围内；另一方面，在有效同意方式的认定上，法院也未采纳要求更为严格的“明示同意”，认为“默示同意”也不违反国家对信息行业个人信息保护的公共政策导向。②参见江苏省南京市中级人民法院民事判决书（2014）宁民终字第5028号。又比如，在凌某某诉北京微播视界科技有限公司隐私权、个人信息权益网络侵权责任纠纷案中，北京互联网法院首先确认处理手机通讯录联系人姓名和手机号码需要手机用户和通讯录联系人双重同意，但随后提出“如果要求在任何使用场景下都必须严格征得双重同意，有可能会导致具体场景下利益的失衡”，因此“需要在具体应用场景中考察是否存在构成个人信息合理使用的情形，即在没有对信息主体造成不合理损害的前提下，认定某些个人信息利用行为可以不必征得信息主体同意”。③参见北京互联网法院一审民事判决书（2019）京0491民初6694号。法院通过具体场景中个人信息使用合理性的认定，为信息处理者的正当处理行为提供了空间——即没有造成不合理侵害的使用行为，可不必征得其同意；反之，则需要详细告知并征得同意。此种分类适用“个人同意”的实践，有效释放了信息流动性并降低合规成本，属于典型的场景风险理论的应用，但中国法并没有该理论的相关规定。在调和个人信息保护与利用张力中，司法的“宽松”与立法的“严格”形成明显对立，但客观上平衡了现行法对个人信息过度保护带来的负面影响。从实践效果来看，中国数字经济之所以能在相对较短的时间内得以蓬勃发展，与宽松的司法、执法所营造出的自由发展环境是分不开的。破解现行法同意权绝对化的另一尝试是国家标准《信息安全技术 个人信息安全规范》突破了法律将信息主体同意作为个人信息收集使用唯一合法基础的规定，建立了多元合法性基础。尽管此种突破有与上位法抵触之嫌，但中央网信办仍要求将该标准作为新冠肺炎疫情防控中个人信息利用的重要指导性规范，足以说明现行法无法满足疫情防控等紧急状态下个人信息利用的需要。

综上所述，在坚持以市场经济高效发展为需求导向的同时，要密切考量通航主客体在运营管控层面的现实压力，表明船舶主尺度尚且不能按照理论分析值全面放宽。

三、同意权相对性的提出

（一）同意权绝对化的法理质疑

同意权绝对化的制度逻辑在于，个人信息是信息主体人格尊严的重要组成部分，是纯粹的私人事务。如果个人无法知道自己的个人信息在何种程度上、被何人获得并加以利用，则个人将失去作为主体参与的可能性，而沦为他人可以操纵的信息客体，被沦为客体正是人性尊严被侵害的同义语（杨芳，2015）。[17]因此，“确保本人对个人信息的自主支配与利用，就是对其人格尊严的保护”（李仪，2013），[18]体现在制度设计上就是赋予信息主体同意权。但如果深究，个人信息“当然”属于信息主体的观点值得推敲。从来源看，个人信息可分为自然型、社会型和复合型三类。自然型个人信息主要指与生俱来且无法轻易改变的身体属性，如相貌、指纹、血型、基因等。社会型个人信息更多建立在社群中，是为了生活便利由个人主动或被动地获取的相应符号或信息，包括聊天记录、网页浏览记录、购物记录等。复合型个人信息实际上是一种经信息处理者分析处理后得出的对个人行为趋向与潜在偏好的预测，典型的是个人画像信息。由上述分析可看出，至少后两类个人信息均非信息主体独立生成，而是其在社会活动中经由与其他主体的交互产生的。根据“额头流汗”原则，很难断然排除其他主体对这两类个人信息的合法权益。从功能看，个人信息是个人在社会中标识自己、建立联系的工具，也是社会了解和识别每一个体并开展活动的依据。社会性个人信息侧重于信息主体与社会建立沟通和联系，自然性个人信息则更多作为社会了解、判断特定个人的工具。此两方面构成个人信息应用的基本场景。工具性质决定了个人信息的社会性、公共性（曹博，2018）。[19]从属性看，个人信息具有非竞争性，对个人信息的处理不会减损其效用。同时，基于个人信息的交互性、共享性，个人信息也不具有完整意义上的排他性。因此，个人信息至少是经济学上的“准公共物品”而非“私人物品”。综上，个人信息并不完全是信息主体的私人事务，而是个人性与社会性、独占性与公共性的结合体。正是因此，个人信息流通与否，不应通过绝对化的同意权设置将决定权完全交由信息主体行使，应在对个人信息多元价值进行全面把握的基础上做出更加精细的制度设计。

（二）个人信息的多元价值梳理

1.人格尊严和自由发展价值。（1）个人信息承载信息主体的人格属性，具有人格尊严价值。个人信息是“可以识别个人身份的信息”，是对信息主体状态、行为或思想的固定。由于与特定个人具有显著对应关系，个人信息成为能够显现个人生活轨迹、勾勒个人人格形象的外在标志，形成个人“信息化形象”（张新宝，2015）。[20]因此自然人的个人信息与其生命、身体、健康、名誉、自由等人格要素一样，成为构成完整法律人格不可或缺的基本要素（郑晓剑，2011）。[21]如果泄露或者不当使用个人信息，将会导致信息主体人格尊严受损。（2）个人信息具有人格自由发展价值。只有个人能够控制其个人信息，才可能自由发展其人格。比如现实生活中，未经信息主体同意，擅自大规模收集、整理、加工、出售和向第三方分享他人个人信息就会侵犯信息主体人格的自由发展。这是因为非经本人“同意”的信息处理会在社会中造成超出本人预期的结果，对本人的人格发展造成不可预料的影响，使得本人人格塑造的结果偏离原本的预期（谢远扬，2015）。[22]正如学者所言，个人作为目的性的存在，只有消除对“信息化形象”被他人操控的疑虑和恐慌，才能有自尊地生存和生活（张新宝，2015）。[20]

2.商业利用价值。个人信息的商业利用价值是伴随数据挖掘和聚合技术的产生而逐步显现的。进入大数据时代，一方面随着智能终端的普及、数据采集技术的发展以及人们社交行为、交易行为的网络化，大量个人信息不断产生并汇集为海量数据流，为大数据产业发展提供基础数据资源（吴伟光，2016）；[23]另一方面，大数据正日益对全球生产、流通、分配、消费活动以及经济运行机制、社会生活方式和国家治理能力产生重要影响，而个人信息正是大数据的重要组成部分。以个人信息为基础的大数据正在“以一种前所未有的方式，通过对海量数据进行分析，获得有巨大价值的产品和服务，或深刻的洞见”（舍恩伯格和库克耶，2013年版）。[24]

3.社会管理和社会服务价值。个人是社会的最小组成单元，社会管理在某种程度上也是对人及其生活环境的管理。正所谓“欲得民必先知民”。为实施社会管理和提供公共服务，收集和利用个人信息是自古以来政府都普遍采用的做法（张新宝，2015）。[20]在新冠肺炎疫情防控中，个人信息和大数据在疫情动态监控、传染源追踪、疫情走势预测等诸多方面发挥了难以替代的作用，个人信息成为守护全民健康、服务疫情防控的重要力量。上述事例表明，个人信息在社会管理和社会服务中发挥着重要作用。进入信息社会，无论是政府摸排基本情况、确定社情民意，还是全面统筹部署、做出科学决策，都离不开由个人信息汇集而成的大数据，个人信息的社会管理和社会服务价值得到极大彰显。此外，个人信息还具有国家数据安全价值，关乎国家的数据主权和数据安全。

（三）同意权相对性的证成

个人信息作为一种重要的社会存在，蕴含着个体价值与社会价值、伦理价值与经济价值，各价值相互勾连，不可分割，共同描绘单个自然人构成社会整体的人格利益样态和财产利益样态（杨惟钦，2016）。[25]由于个人信息承载着多元价值，不同主体对个人信息产生了不同利益诉求。信息主体出于对保全人格尊严和完整性的需求产生了个人利益；数据企业出于发展数字经济需要使用个人信息产生了商业利益同时附带公共利益；国家和承担公共职能的非营利机构出于履行国家治理、国家安全、公共安全、公共卫生、科学研究、新闻宣传等管理与服务职能使用个人信息产生了公共利益。从保护与利用的视角看，信息主体的个人利益属于保护利益；其他主体的利益属于利用利益。从信息流动的视角看，个人利益的实现需要个人信息隔离或仅在自己可控状态下流动，商业利益和公共利益的实现则需要信息的自由流动，这是个人信息保护与利用存在内在冲突的深层原因。

庞德（1984年版）认为，法律的功能在于调节、调和与调解各种错杂和冲突的利益……以便使各种利益中大部分或我们文化中最重要的利益得到满足，而使其他的利益最少的牺牲。[26]因此，个人信息保护法的目的应当是平衡附于个人信息上的多种利益、兼顾个人信息保护与利用，这也是《二审稿》所欲达成的制度目标。同意权确是保障个人信息安全、维护信息主体人格尊严和自由的重要途径，但同意权无例外地适用则意味着“个人信息的收集、传输或利用在原则上受到禁止，除非获得信息主体的同意”（杨芳，2016），[27]由此导致的信息不自由将严重阻碍大数据产业发展、社会秩序维持和公共福利增进。从比例原则的角度出发，应当通过法律安排对信息主体权益进行适当限缩，变“绝对同意”为“相对同意”，以此真正实现《二审稿》“保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用”的立法目的。

四、相对性视角下同意权的重塑

信息主体同意权是信息主体自我控制的程序性机制，在个人信息保护中发挥着重要的基础性作用。然而，过分严苛的、不加区分的适用同意机制将增加信息收集处理成本以及合规风险，阻碍个人信息的流通和利用（胡文华等，2018）。[28]若欲破解同意困境，继续发挥同意权在保护个人信息中的作用，需要从两个方面对同意权进行相对性重构：其一，完善个人信息处理的合法性基础，使同意之外的个人信息处理合法性事由真正发挥作用；其二，改变目前《二审稿》中普遍要求个人信息处理征得信息主体明示同意的做法，以个人信息在具体处理场景中的风险为指导，差异化配置不同的同意方式。

（一）完善个人信息处理的合法性基础

绝对化视角下个人信息收集、使用的合法性基础是唯一的，即信息主体同意。但这种绝对化既缺乏理论支撑，也不利于个人信息保护与利用的和谐共进。为了回应社会现实需要，《二审稿》将《信息安全技术 个人信息安全规范》建立的个人信息处理多元化合法基础上升为法律，在法律层面完成了信息主体同意权的相对化重构。从目的维度看，《二审稿》中个人信息处理合法情形可大致分为三类：一是保障信息主体自身权益（包括人格权益和生命财产权益）的情形，例如信息主体同意、为订立或履行信息主体为一方当事人的合同、紧急状态下保护自然人生命财产安全等；二是维护公共利益的个人信息利用情形，包括履行法定职责和法定义务、应对突发公共卫生事件、新闻报道、舆论监督的个人信息合理使用等；三是可勉强归入保障商业利益情形的“合理处理已公开个人信息”。在数量维度上，保障个人利益、公共利益和商业利益的个人信息合法利用情形比例为3∶3∶1，表明立法者更多关注个人利益与公共利益之间的平衡，而对商业利益的维护采取了轻视态度；从内容维度看，除信息主体同意外的其他六种情形均设置了严苛限制。例如，《二审稿》对新闻报道、舆论监督的个人信息合理使用情形进行了目的和行为双重限制，即要求使用目的具有公益性、使用行为具有合理性。目的的公益性要求“合理使用”的目的必须是公共利益，行为的合理性要求个人信息使用行为必须符合个人信息处理的一般规则，不得不合理增加自然人隐私风险；如果使用“不合理”造成人格权侵害的，需要承担民事责任。再如对维护商业利益条款的限制，一是要求利用客体为“已公开个人信息”，利用非公开个人信息需征得信息主体同意；二是利用行为必须合理，超过必要限度需承担侵权责任。上述制度安排均呈现出鲜明的重保护、轻利用的倾向，严重偏离了平衡个人信息多重利益和多元价值的立法要求。鉴于此，为完善中国的个人信息利用多元合法基础，应解除对维护公共利益合法情形的限制，同时引入合法利益豁免机制为个人信息商业利用松绑。

1.弱化对个人信息合理使用情形的限制。个人信息合理使用制度最初规定于《民法典》第九百九十九条，是法律为了平衡新闻报道、舆论监督对个人信息的利用和信息主体私益保护而做出的制度安排，属公权力为维护公共利益而对自然人个人信息权益的一种限制。①《民法典》第九百九十九条规定：“为公共利益实施新闻报道、舆论监督等行为的，可以合理使用民事主体的姓名、名称、肖像、个人信息等；使用不合理侵害民事主体人格权的，应当依法承担民事责任。”意在信息主体同意之外为以公共利益为目的的新闻报道、舆论监督提供个人信息使用路径。然而，为防止该制度对个人信息权益造成侵害，《民法典》和《二审稿》均对该制度进行了目的和行为的双重限制。较之域外个人信息保护法同类规定更加严苛。比如《新加坡个人数据保护法》（2012）在第十七条“未经同意收集、使用和披露”中将新闻机构收集个人数据，且仅用于其新闻活动的行为确定为可不经信息主体同意的“合理使用”行为，并未将行为目的限定在“公共利益”（李爱君和苏桂梅，2018）。[29]同样，《日本个人信息保护法》也规定了新闻报道可以成为个人信息保护的免责事由，但也并未将免责条件限定于“为了维护公序良俗”或“为公共利益”的主观目的中，而是规定广播机关、报社、通讯社以及其他报道机关（包括从事报道的个人）在为了必要报道而使用个人信息的情况下，可以不向个人信息主体告知其利用的目的（蔡唱，2019）。[30]

2.将实现信息处理者或第三方合法利益确定为个人信息处理合法性基础。实现信息处理者或第三方合法利益的个人信息处理又称合法利益豁免，指当个人信息处理为实现信息处理者或第三方的合法利益所必需时，信息处理者可通过平衡测试证明其使用利益高于信息主体利益，使其无须取得信息主体同意也可对信息主体的个人信息进行处理。欧盟《条例》第六条将实现信息处理者或者第三方合法利益确定为个人信息利用的合法性基础之一，但同时规定“信息主体享有的个人信息被保护权益、基本权利和自由优先于上述合法利益的除外，尤其在信息主体为儿童的情形下”。此机制的本质是平衡个人信息保护和信息自由流动之间的紧张状况，目前已为世界主流立法所采纳（谢琳，2019）。[31]为了提高该机制的可执行性，欧盟第29条工作组发布了关于合法性利益的指导性意见，试图为合法利益豁免提供一个清晰可行的执行框架。按照该框架要求，平衡测试内容包括：（1）数据控制者合法利益的评估，重点是合法利益的性质和重要性；（2）对信息主体影响的评估，重点是预防监管对信息主体的影响；（3）一般义务上的平衡，重点评估信息处理者是否尽到了一般性保护义务；（4）是否采取了额外保护措施，重点审查信息处理者是否采取额外措施以减少对信息主体的影响（谢琳，2019）。[31]

欧盟《条例》中的合法利益豁免机制条款未在《二审稿》文本中出现，反映立法者在处理信息主体私益和商业利益冲突时的谨慎心态。本文认为，数据企业的商业利益追求是其正当要求，刻意限制或回避只能使数据企业采取更多措施逃避法律规制，不利于个人信息利益平衡机制的构建。应借鉴欧盟立法经验，将合法利益豁免机制确定为个人信息处理的合法性基础，真正使个人信息成为数字经济发展的核心生产要素。

（二）构建同意权差异化适用机制

同意权的绝对化和无差别适用不符合个人信息的本质属性和价值多元的利益诉求，是对个人信息性质和价值认识的片面化和简单化。同意权的相对化或者说“适用区分化”已是大势所趋（林洹民，2018）。[2]作为回应，中国法对同意权差别化适用进行了有益探索，《民法典》将个人信息区分为“私密信息”和非私密信息，适用不同的法律规则；《二审稿》则将信息主体同意划分为“同意”“单独同意”“书面同意”，以适用于不同的个人信息类型和处理行为。上述规定改变了同意权绝对化、平均化适用理念，体现了差别化保护思想，即特殊信息强化保护，一般信息放开流通，较好地解决了个人信息保护与利用紧张状况。然而值得注意的是，此种区分对敏感信息仍采用静态保护标准，凡是列为敏感的信息均需信息主体同意，仍无法解决绝对适用问题。因为“信息敏感性不是与生俱来的，任何信息基于具体的场景都有可能具有敏感性”（Wang，2007）。[32]反之，归入敏感信息范围的个人信息也可能基于具体场景失去敏感性，因此应结合具体场景探讨信息主体的同意权适用问题。近年来中国个人信息司法实践对场景理论的运用已进行了积极尝试。

场景理论是美国2015年《消费者隐私权利法案（草案）》引入的个人信息保护新理念，“以‘在相应场景中合理使用’标准作为个人信息处理行为的合法性授权”（范为，2016）。[33]进而言之，符合特定场景的个人信息使用行为默认获得信息主体授权，只有存在个人信息的“不合理”使用情形，方需对信息主体进行告知并征得同意。例如在凌某某诉北京微播视界科技有限公司隐私权、个人信息权益网络侵权责任纠纷案中，北京互联网法院认为：“虽然读取手机通讯录时不可避免地读取原告的手机号码，但读取和匹配行为并不会对原告产生打扰，通常也不会不合理地损害原告利益，且有利于满足其他有社交需求用户的利益及行业和社会发展的需要，属于对该信息的合理使用。”换言之，法院认为原告注册抖音App之后被告对其姓名、手机号的使用行为属于合理使用，不必征得原告同意。其实质是以“具体场景中的合理使用标准”替代了“信息主体同意标准”。①参见北京互联网法院一审民事判决书（2019）京0491民初6694号。而在黄某诉腾讯科技（深圳）有限公司等隐私权、个人信息权益侵权责任纠纷案中，法院认为“微信读书中的信息组合与人格利益较为密切，微信读书迁移微信好友关系、默认向未关注的微信好友公开读书信息等，存在较高的侵害用户隐私的风险，应就信息处理方式向用户显著告知并征得同意”，同样贯彻了场景风险思维。②参见北京互联网法院一审民事判决书（2019）京0491民初16142号。这种以个案分析为路径，以利用行为的危害性为标准的个人信息同意适用模式，较好地实现了信息主体同意权相对性重构。

场景风险理论为纾解同意权的绝对化提供了一种相对合理的方案，但纷繁复杂场景中的隐私风险评估效率低下和动态灵活性导致的司法人员自由裁量过大均不符合中国的成文法传统。因此，虽然场景风险理论得到了司法机关和实务界的广泛接纳和采用，却始终未被收进中国个人信息保护相关立法。为了弥补场景风险理论的不足，本文建议通过“与人格尊严的紧密程度”和“泄露或不当使用的危害性大小”两个维度划分个人信息类型并差别适用同意权，以此为场景风险理论提供一个固定的分析框架，调适立法与司法、灵活性与确定性间的紧张关系。之所以选取上述两个维度，是因为人格尊严是人的为人所应有的最起码社会地位和受他人、社会尊重的权利，而泄露或不当使用的危害性主要基于个人信息泄露或不当使用的风险考量。在上述两个维度下，个人信息可划分为：（1）关涉人格尊严且泄露或不当使用危害性较大的信息；（2）关涉人格尊严但泄露或不当使用危害性较小的信息；（3）不关涉人格尊严但泄露或不当使用危害性较大的信息；（4）不关涉人格尊严且泄露或不当使用危害性较小的信息四种类型。其中（1）类信息具有较强的个体性，涉及信息主体重大、不可逆转的利益，其泄露或不当使用造成的损害最为严重，因此适用最为严格的同意制度：即个人信息初次收集、改变初始目的的信息处理均需获得信息主体明确同意和授权，即信息主体以“选择进入”方式行使同意权；同意方式需为逐项同意，一揽子同意或概括性同意无效；如需长期使用该类信息，须定期告知信息主体并征得同意。（2）（3）类信息对信息主体的重要性和危害性较（1）类要低，制度设计上同意权适用方式可更为灵活，权利行使进路可采用“选择退出”方式，即信息主体在首次收集时同意后如果不做出相反意思表示，信息处理者即可继续使用；但信息主体明确表示不同意继续使用，则信息不得再继续处理；同意方式可采用一揽子同意或概括性同意；初始目的改变的信息处理需要征得信息主体明确同意。（4）类信息对信息主体的影响和危害最低，同意权适用上采用“默示同意”+“选择退出”+“事后救济”进路，即如果信息主体不明确提出反对意见，该类个人信息可直接收集、使用（视为信息主体同意）。若信息收集、使用过程中涉嫌侵权，可采用人格权路径或侵权法路径进行事后救济。由此，该类信息的公共性和社会性得以实现，信息主体的有限控制权也可以保障。从功利角度看，信息处理者较为自由地使用此类信息而无须付出巨大成本，信息主体也因为无须授权而不会被频繁打扰，较好地兼顾了各方利益。

五、结语

党的十九大报告提出了建设网络强国、数字中国、战略社会的战略目标。个人信息作为大数据得以生成的重要基础，通过科学合理的制度设计保障其依法有序自由流通既是创新驱动、科技强国的必然要求，也是即将出台的《个人信息保护法》需解决的关键问题。目前中国个人信息保护法律体系存在信息主体同意权绝对化问题，不仅不利于保护机制发挥实效、切实提高保护水平，更严重窒碍了个人信息合理利用、影响了保护制度的体系性和权威性。因此，应当从理论和制度两个层面破解信息主体同意权绝对化困境，变“绝对同意”为“相对同意”。

需要注意的是，打破同意权绝对化并非否认信息主体同意机制的地位和价值，而是摒弃“不分重点、一刀切适用”的现状。在承认不同个人信息具有不同的重要性和价值的基础上，分类、分场景适用不同强度的同意机制，是同意权相对性的核心要义。在同意权相对性视角下，将个人信息处理合法情形多元化与同意权差异化适用作为大数据时代同意权重塑的两大基本理念，通过举证责任倒置、明确同意要素、同意撤回、构建敏感信息和儿童信息特殊同意制度、改变“二选一”机制、提高违法处罚成本等措施，实现个人信息保护与利用的协同共进，推动信息主体同意权“中国模式”的形成。