个人信息保护之隐私政策的适用

王境毓

中国刑事警察学院，辽宁 沈阳 110854

在当今网络信息快速发展的时代，用户在互联网上的各种行为都会变得有迹可循，网络经营者通常会收集和使用用户个人信息及数据，将其变为直接或间接的商业资源。具有私人属性的个人信息的商业价值日益攀升，导致个人信息的安全风险也随之提升。就目前而言，隐私政策存在以下几点较为突出的问题：1.隐私政策内容复杂，篇幅较长，专业术语较多，不能使用户一目了然。2.隐私政策内容粗犷，个人信息主体很难全面了解到个人信息使用、共享等的具体途径。3.隐私政策位置不明显或需多次操作步骤才能找到相关规则条文。4.隐私政策存在给用户删除个人信息设置条件，非规定情形下不予理睬。5.有的APP隐私政策存在强迫接受的情形。针对这些问题，隐私政策应根据新出台的《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）进行进一步的完善。

一、隐私政策的性质

关于隐私政策的性质，有两种学说：第一种，合同说。认为隐私政策是网络服务提供者与用户之间的合同，［1］具有合同的目的和特点，通过隐私政策发布起收集、利用、分享个人信息的方式，可看作是要约，若用户点击同意则视为承诺。因此隐私政策并不是单方声明，而是建立在用户与信息处理者之间的双方合意的基础上，是网络服务合同的组成部分［2］。

第二种，企业自律规则说。认为隐私政策是各网络服务提供者自我约束而形成的规则，并不是其与用户之间签订的合同。它与服务协议的性质是不一样的。

自有个人信息保护法和隐私保护法起，“告知—同意”一直是立法中被普遍使用的机制。“告知”体现的是透明度，为减少在大数据时代下信息不对称、不对等的市场现象；“同意”体现的是用户在拥有知情权的情形下做出的选择，决定对其进行授权。在实践中隐私政策存在于多款APP中，一般会在用户起初使用相关APP时出现在页面最下方，如：微信、爱奇艺、哔哩哔哩等APP。借此以确保“告知—同意”这一机制得以实现，这种形式已然成为多个国家和地区普遍适用的方式。隐私政策通常会根据产业发展规律和产业圈内一贯而成的自约标准而制定，为了能够保障用户个人信息安全，同时也明确表示用户的相关权利，包含用户被告知个人信息被收集的权利、授权相关平台是否可以使用个人信息的权利、修改个人信息权利等。其提升了各平台之间的运作的透明度，但其不合理的制定隐私政策也可会导致用户流失、个人信息被泄露的风险。

二、个人信息保护的涉新及其在隐私政策中的适用

从目前的法律制度来看，主要依据《中华人民共和国民法典》（以下简称《民法典》）与《个人信息保护法》两部法律来将个人信息进行系统化和法治化。当今社会，个人信息的收集与利用十分重要，而个人信息的利用与保护的矛盾也日益突出，例如在爱奇艺APP的隐私政策中第四、五部分“关于如何共享、转让、公开披露您的个人信息”“您对个人信息享有的控制权”都足以体现这一现象。在如今的大数据时代，平衡个人信息权利保护与合理有效利用是法律面临的一大难题。我国《民法典》提倡的是对个人信息持保护与利用并重的观点。而《个人信息保护法》第一条就明确地规定了该法的立法宗旨是提高个人信息有效合理利用及个人信息保护。两者在宗旨上毫无二致。

用户在面对隐私政策内容冗长繁杂时，可以依据《个人信息保护法》第四十八条，“信息主体有权要求信息处理者就此作出说明”。因隐私政策这种类似的格式条款如果法律不加以约束，就会损害个人信息主体的权益。

《个人信息保护法》新增加了公开透明原则，如在隐私政策中应规定平台使用公开处理个人信息规则，自然人在使用APP时应当被告知该APP处理个人信息的隐私规则，隐私政策也应明确说明APP平台在处理用户个人信息时，会具体告知用户信息处理的目的、方式、范围等相关事项。

《个人信息保护法》对于个人信息处理进行了全面规范，在《民法典》处理活动类型的基础上，《个人信息保护法》第四条新增了“删除”这一处理个人信息的行为模式［3］。之前部分APP的隐私政策提及或开始尝试提供注销账户的功能、抑或压根未提及删除个人用户信息，导致用户并不能自主选择删除个人信息或及时提供删除途径，也不能确保后台是否真正注销了相关个人用户信息、停止与第三方平台共享相关信息。现如今，《个人信息保护法》对个人信息处理行为的模式是全方位的，在处理技术上，从传统的人工处理个人信息到现代的大数据自动化处理模式，都纳入该法的适用范围，该法的完善也将促使隐私政策对用户“删除”这一权利做好更好的保障。该法也进一步扩张了删除的事由，主要涵盖处理目的有无实现或者有无必要；平台停止提供相关产品及服务，或保存期限已届满；个人撤回同意。存在上述法定情形时，平台信息处理者理应主动删除用户的个人信息。若未删除，则相关个人用户有权要求平台信息处理者删除其个人信息。上述都应是隐私政策需要填补的，不应存在删除权限，以及删除的滞后性。

隐私政策一直采用“告知—同意”规则，且《个人信息保护法》第十四至十八条也对其进行了更为具体的操作规范要求。其一，为“告知”设定了方式显著、言语简明清晰、真实、准确、完整的要求和标准。规避了原隐私政策存在篇幅冗长复杂、专业术语较多、显示位置不明显等问题。其二，为“同意”提供了知情的前提要件与自愿、遵守法律要求的形式等标准。其三，在用户同意处理个人信息的情形下，个人信息处理目的、方式和处理的个人信息种类以及保存期限等发生变更的，应当重新获得相关当事人的同意。［4］对相关平台任意处理用户个人信息或收集处理与其平台所涉及功能无关的访问权限种类问题有了更好的约束作用。而对于APP处理个人敏感信息时，根据《个人信息保护法》第二十八条第二款，规定了处理敏感信息须有前提条件：一是具有特定目的性；二是具有充分必要性；三是具有严格的保护措施；四是为保护信息主体的真实、合理意愿提供了撤回等权益；五是规定个人信息处理者不得以信息主体“同意”为产品或服务的对价或前提。例如：哔哩哔哩APP的隐私政策中描述：“您点击‘同意’，即表示您已阅读并同意上述条款，哔哩哔哩将尽全力保障您的合法权益并继续为您提供优质的产品和服务。如您点击‘不同意’，将可能导致无法继续使用我们的产品和服务。”这些捆绑条款抑或用户必须接受新的隐私政策才能继续使用的条款，该平台应在后续进行相关的更新与完善。但以上的知情同意不能被视为隐私政策中收集、利用用户个人信息的“万能法则”。

《个人信息保护法》中增加了信息携带权的规定，在后续的隐私政策中也应进行进一步的更新。在商业利益的驱动下，产业圈容易出现两种情况：一是过度收集用户个人信息，二是主动“造墙”。后果便是形成企业封闭生态，将获取到的用户信息归位己用，最终导致形成一个个数据孤岛。在此生态系统下，海量的个人数据成了企业的“私产”，用户对此几乎没有话语权——数据放在哪、怎么用、能否转移甚至是出现某产品集团旗下内将个人信息进行必要共享，用户都做不了主。例如：某用户正在使用网易云APP时，又想使用另一款同类音乐软件QQ音乐APP，不想又重新组建歌单。那么根据《个人信息保护法》第四十五条第三款的规定，该用户完全可以按照意愿转移自己的歌单数据，这便是个人信息携带权的体现，有利于打破数据垄断现象，合理促进数据流转，营造良好的竞争环境。

三、救济途径

其实在隐私政策中所运用的“告知—同意”机制存在很多问题，但从全球的立法实践来看并没有出现放弃该机制使用的趋势。主要原因是政府的强制介入在当今大数据网络快速发展的时代可能会产生抑制创新和竞争的不利后果，而能够充分发挥各企业、平台之间的自我约束和适当监督更有利于促进发展和个人信息的保护。从隐私政策自身角度出发，其必须向用户提供内容明确具体、易于理解的信息，用户认真阅读隐私政策也是必不可少的。美国联邦贸易委员会向国会提交的一份报告中涉及到“分层告知”的方式，［5］即将隐私政策的内容以表格等方式形象简明地告知，以便于用户阅读，提升用户与企业、平台参与和执行隐私政策，提高对个人信息保护的重视程度。当然这些只能起到很小的作用，寻找有效的救济途径才是最重要的。

依据我国《民法典》侵权责任编的损害赔偿规则可适用于侵害个人信息权益造成的损害，同时也可以适用人格权编中第九百九十五条的相关规则。《个人信息保护法》在《民法典》的基础上新增了一些特殊的保护途径。如《个人信息保护法》采取民事责任、行政责任和刑事责任相结合，多角度规范其处理行为，该法第五十条第二款明确规定在个人信息处理者拒绝个人行使权利的请求时，当事人可以依法向人民法院提起诉讼。《个人信息保护法》设立专门的章节对个人权利的救济作出规定，如第四章凡出现下列侵权形式皆可向人民法院提起诉讼并请求提供司法救济。信息主体对信息处理的知情权、查阅复制个人信息权、对个人信息的解释权、删除个人信息权、符合条件的个人信息携带权［6］、对不完整信息的补充权、对错误信息的纠正权等，用以防范个人信息的收集与处理给受害人带来的现实风险［7］。《个人信息保护法》第六十四条和第六十六条，对违反规定进行的个人信息处理，也规定了严格的法律责任和处罚规定，涉嫌犯罪的须将其及时移送公安机关处理［8］。确立过错推定责任在侵害个人信息方面，即如果行为人不能证明自己没有过错，则应当承担相应的责任。借此有利于减轻受害人的举证责任所承受的负担，增强信息处理者的举证义务，为受害人提供了有效的救济途径。确立损害赔偿责任，在《民法典》第一千一百八十二条的基础上《个人信息保护法》第六十九条第二款做出了相应的完善，明确规定了侵害个人信息的“损害赔偿责任按照个人因此受到的损失或个人信息处理者因此获得的利益确定、个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额”［9］。《个人信息保护法》引入了公益诉讼制度，当用户个人信息受到侵权且隐私政策并未提供完善的救济渠道，单个个体提起诉讼的力度不够引起重视，此时面对不特定多数主体权利遭受侵权时，引入公益诉讼制度是十分必要的，借此可以达到协同多个部门让更有解决能力的组织和部门介入，有助于克服个人起诉举证困难、成本过高的问题，更有利于对个人信息的保护。

四、结语

当今社会，人们越来越重视如何使自己的个人信息得到更好的保护，在手机APP、互联网盛行的时代，隐私政策的出现意味着它的必要性以及它作为一个较好的解决方案的重要性。隐私政策在一定程度上反映了当今社会对个人信息保护的不全面、不规范的现象。通过《民法典》与《个人信息保护法》两部法律，能够更好地完善隐私政策，保护公民的个人信息安全。