个人信息保护中告知同意规则的规范构造

赵婧薇

（大连海事大学 法学院，辽宁 大连 116026）

《中华人民共和国民法典》（以下简称《民法典》）、《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）、《中华人民共和国网络安全法》等基本法以及《全国人大关于加强网络信息保护的决定》等规范性文件，分别从不同的立法位阶确立了告知同意规则在个人信息保护中的重要性。《民法典》和《个人信息保护法》中多以概括性的法律规则提及告知同意规则，缺乏更为精细化的规则设定，与告知同意规则在个人信息保护中的重要地位不相匹配。在保持现有的告知同意规则制度框架基础上，是否可以引入一种机制能够在价值层面体现对个人信息权的保护，同时在功能层面实现信息的高速流通。

一、告知同意规则的地位及其法律性质

告知同意规则，又可称之为“知情同意”“告知—选择”规则，是在个人信息利用中用以确定信息主体与信息处理者之间权利及义务关系的合同规则[1]。告知同意规则在个人信息保护的历史沿革中已逐渐成为个人信息保护的基本原则之一[2]。

（一）告知同意规则在个人信息保护中的地位

2012 年，全国人大常委会通过的《全国人民代表大会常务委员会关于加强网络信息保护的决定》提及告知同意规则在个人信息处理中的重要作用①参见《全国人民代表大会常务委员会关于加强网络信息保护的决定》第2条。。继而，《民法典》又将告知同意规则与个人信息处理原则相并列，共同规定于同一款法律条文中，这被视为对告知同意规则基本原则地位的确立①《民法典》第1035 条：处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：（一）征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外。。之所以我国《民法典》将告知同意规则规定为个人信息保护的基本原则，是因为告知同意规则是个人信息保护中最能体现信息主体人格自由的制度。“同意”即在信息主体知情的前提下，对自己个人信息享有的决定权[3]。个人信息与自然人的人格尊严及人格自由息息相关，从权利价值的位阶划分上，人格尊严与人格自由价值处于最高位阶，因此任何组织或个人未经同意便使用其个人信息是侵害个人信息权的不法行为[4]。我们可以利用告知同意规则来构建个人信息保护的基石，继续加强告知同意规则在我国个人信息保护中的基本原则地位。

（二）告知同意规则的法律性质

目前，学界对于个人信息保护中告知同意规则的合同属性是双务合同还是单务合同存在分歧。有学者认为，告知同意规则属于双务合同，因为告知同意规则的本质为人格权的商品化，类似于肖像权的授权许可使用或传播以牟利的行为[5]。有学者则提出反对意见，认为在个人信息的授权使用合同中，仅有信息主体一方承担提供其个人信息的义务，而经营者享有使用其个人信息的权利，告知同意规则应为单务合同[6]。概而观之，由于单务合同中只有一方承担义务，民法对于承担义务的一方给予了较低程度的违约限制，尽管采用单务合同说在个人信息利用规则上会更有利于信息主体，但却不符合现实情况。由于信息处理者通过提供免费的产品或服务的方式向信息主体支付了对价，因此双务合同说更符合告知同意规则的本质。

二、告知同意规则现行立法层面的局限性

我国虽然在立法层面上勾勒了告知同意规则的框架并强调了其重要性，但在具体规范内容层面仍存在诸多局限性，例如，未明确当事人通过意思自治排除法律的强制性规范时合同效力是否受到影响，未考虑为信息主体保留博弈机会，告知同意规则中关于“理性人”的设定有悖于现实情况，以及单方变更权使信息主体与信息处理者利益失衡等。

（一）意定排除强制性规定存在合同效力认定漏洞

《个人信息保护法》是一部综合性法律，既有行政管理属性，又有调整信息主体与信息处理者民事法律关系的作用[7]。《个人信息保护法》中强制性规定数量较多，意义和目的不尽相同。然而，这些强制性规定是否可以通过告知同意规则予以排除以及当事人意定排除后对告知同意规则的效力影响，立法均未予释明。

随着大数据时代的到来，个人信息权的边界越来越广，既超出传统的民事权利范畴，也横跨公私法边界[8]。当事人通过意思自治排除强制性规定，其对告知同意规则效力影响的本质在于如何在处理国家干预与私法自治之间价值冲突的同时维系个人信息私法保护体系的独立性。

告知同意规则以意思自治为圭臬。意思自治能够将劳动和资本配置到能产生最大效益的地方，个人也可以通过自主决策实现与其他社会同伴之间的积极合作，以此来最大限度地实现每个个体的私人利益[9]。最大限度地维护行为自由是法治国家的重要公共政策，如果国家过度干预告知同意规则的效力，将会导致个人信息民法保护体系丧失独立性。反之，如果国家完全依循当事人的意思自治，在信息处理者与信息主体信息不对称以及信息主体处于弱势地位的背景下，不仅信息主体的真实意思表示难以体现，还会为国家数据治理工作制造障碍。在个人信息保护领域，如何处理国家意志与个人意志之间的关系，是告知同意规则应当解决的首要问题。因此，通过当事人意思自治排除强制性规范适用是否影响告知同意规则的效力问题，是应当予以明确的。

（二）告知同意规则剥夺了信息主体对合作剩余的博弈机会

合同的博弈过程正是合同双方对合作剩余的争夺过程。合作剩余一般指在市场交换中，合作者通过合作所得到的收益扣除合作成本后的收益，与如果不合作所能得到的纯收益扣除竞争成本后的收益之间的差额[10]。在交易中，往往处于优势地位的一方可以获得更多的合作剩余。

在信息主体与信息处理者博弈的过程中，告知同意规则“全有或全无”的选择模式使得信息处理者处于相对优势的地位，继而由信息处理者获得更多的合作剩余。在合同领域，当事人双方可以通过多个回合的“要约—反要约”方式来讨价还价，争取合作剩余向自己一方倾斜。由于讨价还价本身具有成本，每经过一个回合，双方合作剩余的总量会下降，如果经营者一方在一轮谈判回合中利益的减损超过了对消费者的让利，那么不如直接把这部分利益尽早给予消费者[11]。这便是通过博弈赋予消费者对持有较大合作剩余的经营者的牵制力量。然而，告知同意规则无疑剥夺了信息主体就合作剩余进行博弈的机会，从而进一步加深信息主体的弱势地位。就信息主体与信息处理者之间合作剩余的博弈过程可能会影响信息流转效率问题，可以说，二者并非零和博弈，而是可以通过制度设计的方式实现利益的动态平衡。

（三）“理性人”的设定与现实情况不符

一项法律规则由假定条件、行为模式、法律后果三个要素组成[12]。告知同意规则中的假定条件是信息主体为理性人，能够充分阅读并理解条款的内容，经过权衡利弊后做出“同意”或“拒绝”的理性选择，然而，这一设定与现实不符。

“理性人”的假设来源于近现代的人本主义思想。我国法律制度中的“理性人”意味着能够自己做出选择，正确表达出自己的意思且能够为自己的选择承担可能存在的法律风险。投射至告知同意规则中，要求信息主体能够做到充分阅读并理解信息处理者所提供的条款内容，而且经过信息主体的理性判断再做出是否同意他人处理其个人信息的选择，须为所做出的决定承担相应的法律风险。然而，实践中很难达到告知同意规则所假定的“理性人”的条件。2019年，据中国互联网信息中心统计，50.4%的受访者认为认真阅读手机应用权限和用户协议会花费许多时间和精力而不愿阅读[13]；北京市消费者协会的调查显示，“只有6.15%的受访者表示在使用手机App时会查看使用权限与用户协议”[14]。可见，现实中信息主体并未达到告知同意规则中理性人的标准；相反，可能基于习惯及背景知识等因素的影响，即便是阅读了告知同意条款，也无法做出理性的选择。

“理性”与否高度依赖于信息主体的认知水平，而影响认知的因素有背景、预期、习惯及思维定式等[15]。在习惯的影响下，人们会对经常出现的事物降低敏感度，产生“熟视无睹”的效果[16]。在第一次面对告知同意规则时，信息主体会比较谨慎地选择是否同意，而在面对极大数量的轰炸式的告知同意规则时，信息主体便不再谨慎甚至不再阅读告知同意规则。尽管我们可以通过设计不同的同意方式去吸引信息主体的注意，但是信息主体经过处理超负荷的告知同意规则而形成习惯定式，其认知被影响而难以做出真实的选择。

（四）合同单方变更权使得信息主体与信息处理者间利益失衡

我国《个人信息保护法》赋予了信息主体删除权和撤回权。删除权是立法赋予信息主体在特殊情形下可以主动或要求信息处理者删除其个人信息的权利，撤回权是立法赋予信息主体随时取回信息处理者对其个人信息控制权的权利。删除权和撤回权的设立是通过事后补救的方式实现对个人信息权的保护，同时也是对告知同意规则执行负担的减轻。

实际上，由于删除权和撤回权的成立是以告知同意规则为基础的，二者应为合同权利。就删除权和撤回权行使后的影响范围而言，在权利行使后，除了信息处理者之外，对其他人并无影响。可见，删除权和撤回权的行使是具有相对性的。因此，删除权和撤回权应当为合同权利。就内容而言，二者均为对合同内容的改变，应为合同变更权，又基于仅由信息主体单方就可以进行变更，从而删除权和撤回权应属于合同的单方变更权。

在信息主体的单方变更权层面，信息主体享有单方面决定是否继续履行告知同意规则的权利，从而使得信息主体与信息处理者之间的利益失衡。具体而言，在当前的模式下，可能会将信息处理者引入相当尴尬的境地：信息处理者在获得了信息主体的同意，并告知使用其个人信息的方法及期限后，在个人信息上付诸劳动，进行整合、加工而形成新的信息。在信息使用期限内，信息主体要求删除或撤回其个人信息，信息处理者只能被动接受由于信息主体删除或撤回而导致合同基础丧失，从而合同解除的结局。告知同意规则为双务合同，双务合同中的给付义务意味着基于双方意思表示进行利益交换，从而形成双方给付互为依赖的义务对待关系。当事人在承担义务的同时也具有期待对方给付的预期，二者之间形成了默契的义务对价关系。由于信息主体提供个人信息是告知同意规则的主要合同内容，因而信息主体行使单方变更权意味着合同主要内容的改变，这明显违背了信息处理者的预期。在此情景下，利益的天平摆向了信息主体，忽视了信息处理者，信息处理者受到侵害的利益较大。那么信息处理者所付出的劳动与成本由其自己承担是否符合公平原则，信息主体的单方变更权是否应当受到限制，目前立法并未给出答案。

三、告知同意规则中引入激励机制

在现有规则构造下，告知同意规则没有很好地平衡信息主体与信息处理者之间的关系，本文尝试通过引入激励机制作为一种补充性机制来优化告知同意规则。

（一）激励机制的主要内容

个人信息保护中的激励机制至少包括两个方面。第一，国家对信息处理者的激励。国家对信息处理者的激励是基于信息处理者对信息业发展的推动，通过对信息处理者施以制度激励，利用信息处理者的逐利心理，以信息处理者自我调节的方式实现主动自律，从根本上减少个人信息侵权的可能性。这种激励机制为生动地表达国家的“软法之治”，在脱离法律强制约束力的情况下仍旧可以发挥作用。同时，给予政策激励，信息处理者将更不遗余力地为推动信息业发展而做出努力。第二，信息处理者对信息主体的经济激励。基于告知同意规则，信息处理者与信息主体之间存在天然的博弈关系。在当前“全有或全无”的告知同意规则模式下，信息主体丧失了与信息处理者的博弈机会，从而使得信息处理者在无须博弈的情况下获取了更多合作剩余。但是在“全有或全无”的告知同意规则模式下，信息主体在博弈中处于弱势地位，从而丧失了应得利益，有违合同的公平原则。因此，通过要求信息处理者给予丧失博弈机会或自愿放弃博弈的信息主体以经济激励，达到信息主体与信息处理者之间利益的平衡，同时可以激发信息主体交易的积极性。

（二）告知同意规则与激励机制的兼容性分析

法律具有表达利益和平衡利益的功能。在告知同意规则中，涉及人格自由、公共价值、商业价值等多方面利益，应尝试采取多元化进路，调和多方面利益冲突。为此，激励机制通过为信息主体及信息处理者赋权的方式，有效平衡多方诉求。

第一，合同中的公平原则与激励机制的设置目的相一致。我国《民法典》第6 条规定了公平原则，同时在第151 条①《民法典》第151 条：一方利用对方处于危困状态、缺乏判断能力等情形，致使民事法律行为成立时显失公平的，受损害方有权请求人民法院或者仲裁机构予以撤销。规定了，当一方处于缺乏判断力而造成民事法律行为成立时存在显失公平的，受损害方有权请求撤销的权利。上述条款均体现了我国民事立法对于公平原则的要求，公平原则的设立是为了保证合同当事人处于平等的地位，双方有自主决定合同命运的权利，其利益都应得到法律平等尊重[17]。引入激励机制的目的在于平衡信息主体与信息处理者之间的利益，与合同中的公平原则设置目的一致。

第二，告知同意规则中的博弈性与激励机制相契合。合同的博弈既包含双方当事人之间利益的博弈，也包含当事人的意思自治与交易成本的博弈。合同必然需要经过要约与承诺的“相继出招”的博弈过程，而由于双方存在合作剩余的争夺，每个当事人都必须对相对方的“出招”进行预判，并做出应对。理论上，合同成立要求一方的要约与对方的承诺完全一致，达到镜像的标准①即要约与承诺必须像一个物体与其在镜子中的影像一样，内容完全一致。，如果稍有差异则只能构成反要约。因为反要约本身同样要求原要约人做出与反要约内容完全相同的承诺，否则二者便又陷入合同不成立和形成新的反要约境地，可能导致无限循环[18]（137～138）。这种“讨价还价”是当事人双方达成一致意思表示的基础[19]。但是实践中信息主体与信息处理者不可能无休止的博弈，因此信息主体与信息处理者只能在意思表示一致和交易成本上做出利益衡量，找到当中的平衡点。引入激励机制能够避免当下信息主体完全丧失博弈机会，从而使信息处理者可以随意“定价”的困境，同时也不会出现交易成本的大幅度提升而阻碍信息流通的现象。

第三，告知同意规则中意思自治性与激励机制相契合。激励机制中至少对三类信息主体进行区分，分别是愿意为信息处理者提供必要的个人信息以换取服务的、愿意为信息处理者提供更多非必要的个人信息以换取服务的、不愿意提供个人信息而希望通过货币支付以换取服务的。承认不同人群利益和兴趣的多样性，是政治文明的重要特征。信息主体做出“理性的”意思表示依赖于其自身的知识背景、经济水平等因素。对于某些信息主体，以个人信息换取服务是“理性”的体现，而对于另外一些信息主体，要求个人信息不被泄露才是“理性”的体现。在原有“全有或全无”的结构下，信息主体丧失了意思自由。对不同主体进行划分，能够在不打破现有格式合同的构造下，保证效率的同时关注到信息主体的自主性。

（三）在告知同意规则中引入激励机制的意义释明

在大数据时代，单独依靠权利控制机制难以实现个人信息保护与信息自由流动的平衡[20]。一是因为权利控制机制导致信息处理程序复杂化，不合理地增加了信息处理者的成本，影响信息的流通，最终损害整个社会的利益。二是因为信息处理场景的复杂性，导致信息不对称，信息主体无法理性地做出“是否同意”的决定。传统的法律规制模式往往以设定强制性规范的方式，要求被管理对象必须从事特定行为，但这种规制模式有很多弊端，例如，执法部门权力过大，对执法能力要求很高，否则会被普遍漠视。由于信息不对称，这种命令可能与市场规律脱节，遏制市场主体创新能力与守法诱因[21]。在告知同意规则中引入激励机制的意义主要体现在以下几个方面。

1.激励机制有利于信息处理者高质量地履行告知义务。信息处理者为了获取更多额外的个人信息以及更高的信息处理权限，更有动力去说服、吸引信息主体进入激励机制内。这意味着信息处理者告知的内容更为丰富具体，告知的重点更为明确，从而告知的质量得以提升。在当前权利赋权框架下，如果信息主体不授权信息处理者获得其个人信息，信息处理者便有理由不为其提供服务，因而企业没有足够动力去说服信息主体提供个人信息。而在激励机制框架下，因为信息主体拒绝提供个人信息不会引发合同无法成立的后果，信息处理者为了吸引信息主体进入激励机制，只能选择以更详尽的告知内容说服和吸引信息主体。这在一定程度上会克服告知同意规则中告知的空洞性和形式化，促进信息处理者积极履行告知义务，增强告知的“用户友好型”特征[22]。

2.激励机制有利于提升信息主体“同意”的质量。目前，在“全有或全无”的告知同意模式下，信息主体由于信息不对称而处于弱势地位，缺乏判断能力。基于此，《民法典》和《个人信息保护法》赋予了信息主体单方变更权。但是，单方变更权是针对事后救济而言的，并且信息主体一旦行使单方变更权，将对信息处理者带来较大影响，单方变更权的过度行使还可能造成权利滥用问题。更好的解决方式是通过事前预防的方式，引入激励机制能够对信息风险实现结构性配置。激励机制能够借助更为详尽的告知条款，缩减信息主体与信息处理者之间的信息差，以便于信息主体做出更为理性的决定。同时，激励机制能充分考虑信息主体的个体差异性，由于不同群体在做决策时，其“理性”的体现有所不同，而激励机制可以促进不同类型的信息主体与信息处理者的良性互动，使信息主体做出更为理性的选择。

四、告知同意规则中引入激励机制的具体构造

告知同意规则中激励机制具体可以通过两个方面展开。第一，从对信息处理者激励的层面上，赋予告知同意规则以排除管理性强制性规定的功能，限制信息主体单方变更权的行使范围。第二，从对信息主体激励的层面上，赋予信息主体可选择同意的空间，同时给予愿意使用“全有或全无”告知同意规则模式的信息主体以经济激励。

（一）设置“一键同意+可以商讨”的选择结构

信息处理者不必打破现有格式合同的方式，而应向信息主体提供不同版本的告知同意规则，分别设置“可以商讨”和“一键同意”①即当下“全有或全无”的模式，合同条款均由信息处理者提供，信息主体仅需要通过点击“同意”按钮，便认为达成协议。的版本。

对于尝试做出博弈的信息主体提供“可以商讨”的选择，“可以商讨”至少应当包含两种模式。一是采取问卷调查的方式，通过区分处理场景以及信息类型为信息主体提供合同条款，信息主体可以根据个人情况个性化选择其可接受的信息处理行为。二是对不愿意提供个人信息但又想使用服务的信息主体，提供付费版软件，让信息主体有机会“付费买安宁”。告知同意规则为双务合同，有信息主体愿意以“数据信息”方式付费，但也有一部分信息主体更重视其个人信息，愿意支付金钱对价来获取服务。“数据支付”和“货币支付”这两种不同的模式，法律理应一视同仁[23]。

对于选择“一键同意”方式的信息主体，由于其放弃合作剩余，为信息处理者提供了更多便利，信息处理者一方也应当给予其经济激励。如此设计，避免了当下信息主体完全丧失博弈机会时信息处理者可以随意“定价”的困境，同时也不会出现因交易成本的大幅度提升而阻碍信息流通的现象。

（二）管理性强制性规定可借助激励机制意定排除

根据我国《民法典》，从合同效力出发，以效力和管理为标准可以把强制性规定分为效力性强制性规定和管理性强制性规定。

效力性强制性规定，即法律及行政法规明确规定，当事人违反后将导致合同无效或者合同不成立的禁止性规范，或者违反规范后合同一旦有效将损害国家利益和社会公共利益的禁止性规范。例如，《个人信息保护法》第13条中关于“使用个人信息应当经过信息主体同意”的规定，属于效力性强制性规定。管理性强制性规定，即法律及行政法规没有明确规定违反此类规范将导致合同无效，或者不成立当事人只是违反法律及行政法规对行为的管理规定，其损害的是当事人的利益而非国家和社会公共利益的强制性规范。例如，《个人信息保护法》第5条②《个人信息保护法》第5条：处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。关于必要性原则的规定。

个人信息的存量是决定信息业发展的关键。对信息处理者来说，其最基本的激励点应当是能够获取更多的个人信息。可以使用“普遍免费+个别付费”的双重模式，在考虑个人信息权普遍保护的基础上，为信息处理者提供获取更多个人信息的通道。具体而言，由于排除管理性强制性规定不会对告知同意规则的效力产生影响，应当允许当事人通过告知同意规则排除管理性强制性规定；而效力性强制性规定可能涉及对合同效力的影响，不应通过告知同意规则排除。

（三）信息主体单方变更权的行使及经济激励排除的限制

在单方变更权层面，应当明确信息主体单方变更权的行使范围以保障信息处理者的利益，同时限制信息处理者通过经济激励机制排除单方变更权的行使，以避免违背单方变更权的立法初衷。

第一，信息主体单方变更权的行使范围仅限于初始个人信息，不能及于已处理的信息。《个人信息保护法》在面对删除权时，仅明确了信息主体可以请求信息处理者删除的情形，并未明确可行使删除权的范围。依据劳动理论，信息处理者应当对经处理后的信息享有处分权。当人们改变某物所处的自然状态时就意味着在该物之中掺入了劳动，此时该物因添加了某人的劳动而成为付出劳动之人的财产。劳动是加入了自然人的人格意志的，通过劳动取得财产使用的权利，属于人格意志的体现。就信息处理者而言，其为分析、处理个人信息的行为付出了劳动，按照劳动理论，信息处理者对个人信息的处理过程导致个人信息的财产价值大幅度增加，因此信息处理者应当对处理后的信息享有处分权。因此，信息主体在行使单方变更权时，仅能及于其初始信息，不能及于处理后的信息。

第二，限制信息处理者通过经济激励机制排除单方变更权的行使。我国立法为了弥补信息主体在告知同意规则中的弱势地位，设立了单方变更权。信息主体单方变更权属于对告知同意规则的一项合同救济权利，如果信息处理者可以通过经济激励机制意定排除该权利，可能造成部分信息主体对其个人信息的彻底失控。如此便丧失合同的救济途径，只能通过诉讼或仲裁的方式请求变更，从而增加了信息主体的负担。这部分信息主体便只能做出当下“理性”的决定——不予追究信息处理者的责任，信息主体对其个人信息彻底失控。因此，对于借用激励机制来排除信息主体单方变更权的行为应予以禁止。

五、结语

大数据时代改变了信息存储方式，让个人信息的财产价值得到提升。个人信息保护与数据流通的冲突，是大数据时代应当重点关注的问题。在面对告知同意规则的适用困境时，以往研究常通过建议修改立法、削弱告知同意规则的作用等方法尝试解决，但是，修改立法具有滞后性且违背法的稳定性，而且削弱告知同意规则的作用与实践中告知同意规则的重要性也不符。引入激励制度，是在保留现有告知同意规则的制度框架下为信息主体与信息处理者提供合作博弈的空间；二者可以意定排除管理性强制性规定，进一步体现告知同意规则的意思自治性；“简易同意+可以商讨”的模式是打破告知同意规则“全有或全无”模式的秉要执本，是促进大数据时代数据经济发展的新思路。《个人信息保护法》的制定仅完成了个人信息保护的一半任务，另一半任务在于法律实施过程中的策略选择和具体部署，如何实现最初的立法目标正是取决于法律的实施。在告知同意规则中引入激励机制，可以为我国《个人信息保护法》的具体实施提供全新视角。