大数据时代处理个人信息的合理预期标准辨明

徐 康

南京金陵亨斯迈新材料有限责任公司，江苏 南京 210000

2021 年11 月1 日我国《个人信息保护法》正式生效实施，标志着一个更专业更完善保护公民个人信息的时代纪元开始，这是对公民基本信息权益的保护必需，也是谋求数字经济时代下信息为经济赋能的必然选择。

《个人信息保护法》明确了处理个人信息的基本原则并通过规范工具搭建起一套以信息主体“知情—同意”为核心的审慎利用机制。这种被处理的同意往往是以处理方的提示信息为前提、待信息主体形成可接受的合理预期后作出的。可以说，合理预期标准可以辅助判断信息主体的“同意边际”，也为处理者划定“处理界限”，为私益保护与公益需要构建平衡进路与客观视角。［1］囿于法律条文的包容性与条文构造属性使然，《个人信息保护法》中对合理预期标准没有进行具体标准明确，需要从学理层面进行分析与完善。

一、法理结构：合理预期标准

合理预期标准衍生出“合理隐私期待”（Reasonable Expectation of Privacy）原则，并在1967 年Katz 诉United States 的判例中得以首次确立，其原用于公民对公权搜查行为可能引致的隐私受损进行抗辩，后被理论界移植到民法领域。从文义解释的角度，合理预期本意是当事人结合相关信息而就后续交互行为的内容、方式、结果等产生的主观预期，且这种期待不违反法律法规的规定及社会公序良俗。

（一）合理预期标准的语境解释

将合理预期下沉到大数据时代处理个人信息场景，结合个人信息的泛边界性、信息获取的普遍性、信息处理的隐匿性、信息利用的公需性等，将合理预期定义为信息处理活动应当符合信息主体的合理预期，不得利用信息技术优势超信息主体预期处理个人信息，仅在有限的涉公共利益的情形下可超越此限。［2］

需要明确的是，此处的个体应抽象为无主体禀赋特殊性且具有正常理性逻辑的社会一般人；同时这种预期的产生是建立在个体具体可感的隐私意识之上，个体对处理风险等有相对具象的认知。［3］一些学者也主张应通过区别不同场景下信息主体的隐私意识程度、不同场景下处理方对信息的利用深浅度与利用方式等刻画出该具体场景下的“合理预期”。［4］这种贴合不同应用场景明确标准的方法，是大数据时代下，个人信息膨胀式发展、获得信息主体绝对授权不切实的应对方案，即当信息处理方尚未获得信息主体的明确许可时，只要处理方的信息行为是在该情形下主体所通常存在的合理预期之内，且这种预期具有世所公认的合理性，则处理方的行为即具有合理性。［5］

（二）合理预期标准的法理来源

运用合理预期处理个人信息应首先明确个人信息的基本属性。但无论是《民法典》还是《个人信息保护法》都未将个人信息上升为一种民事权利，而是以“自然人的个人信息受法律保护”的范式表明其属于受法律保护的法益，法律位阶不同于隐私权，且外延属性上广于隐私权。

1.个人信息承载多元法益。正是外延的宽泛性以及类型的多样性，使得个人信息所承载的权益内容更多元，除“包含信息主体的人格尊严和人身自由权益外，还包括信息处理者所代表的产业视角下对商业价值的追求，还包含推进社会安全、管理和福利所蕴含的社会公共利益和国家数字利益”。［6］事实上，并非所有个人信息都与主体个人的人格、财产具有高度关联性，且并非所有信息处理行为均引致相当程度的危害成果，应关注到以数据信息为基底的数字经济产业方兴未艾，且在技术的赋能下不断提高信息数据经济能效已成为大趋势。［7］所以产业发展需要我们开拓信息处理新规则以共建共享数字经济红利。对公权力部门而言，其对个人信息的收集处理具有维护公共利益的客观合理性，但在具体场景下，常有滥权处理信息、侵伤私权边界的行为发生，亟待进行秩序厘明。

2.合理预期标准帮助平衡法益冲突。随着数字经济的纵深发展，互联网一方面产生多样性与弱控制性的个人信息，另一方面也使信息处理主体增加了信息抓取渠道、更新了信息处理技术、拓宽了信息利用范式。在个体权利边界尚不清晰、维权意识有待觉醒的情况下，信息处理方加紧了对个人信息的“侵略性”使用，在没有对应监管规制的情况下，造成了信息主体利益与信息处理方利益、私经济主体利益与公共利益的矛盾冲突，所以有必要在均衡各方利益的情况下去寻求新的个人信息保护与利用标准。［8］

所以应该是一个落实个人信息保护、满足信息利用需求与效率，并提升社会福祉的三位一体机制，而合理预期标准即是通过对信息主体理性预期来划定信息处理方的信息活动边界，以实现私益与私益间、私益与公益间的有序并重，是我们在大数据时代合理处理个人信息的有力抓手。

二、制度针砭：《个人信息保护法》中的“合理预期标准”

我国的《个人信息保护法》也体现了“合理预期标准”，其中第六条规定“处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式”，但其仍存在一定的可优化空间。

（一）合理预期标准下的“处理目的”明确

《个人信息保护法》的上述内容体现了“合理预期标准”与“目的限定理论”的衔接，即相应特定情境信息主体会对处理方的处理行为产生主观上的处理目的预测。但是这种主观上的目的预测与处理方所告知的处理目的并非完全重叠，在处理方告知目的后信息主体的同意行为，即表示该处理目的已经明确纳入个人合理预期之内。

但现存问题是，若处理方的实际处理行为超越或改变其最初告知的处理目的，是否该属于违法。这实质上是“目的限定原则”与“合理预期标准”的适用优先性问题，考虑到网络环境的复杂变化性以及合理配置双方责任，不应固守告知的“最初处理目的”而应始终以信息主体的“合理预期”为检视标准，即考察这些客观理性预期中是否包含变化后的“处理目的”，不必要求后续使用目的与原先目的的关联性。特殊情形下或可考虑允许信息处理方超越先有同意但在信息主体合理预期范畴内超目的处理个人信息。

（二）合理预期标准对“知情—同意”框架的补足

《个人信息保护法》构建起个人信息处理“知情—同意”基本制度框架，此外针对特殊情形配置“单独同意、书面同意、重新同意”等规则，保证了动态信息活动过程中处理者的处理行为始终适配于主体因境况而变动的合理预期，避免处理方利用信息不对等与技术优势实质性而超预期处理信息。［9］需明确的是，“合理预期标准”是依据外部环境进行动态变化的标准，所以在同意机制下产生的合理预期并不完全限于本初“同意”的内容且会随着后发性的外部因素而变换内涵，因而对处理方提出新的行动界限、处理要求与风险负担，即“持发展又审慎之态度研判具体情境下的个人合理预期”。

在坚守“知情—同意”根本原则的同时，《个人信息保护法》也对企业劳动管理秩序、公共管理与公益维护需要、合理处理公开信息的要求等作出了回应。但该类特殊情境中信息主体“合理预期”的明确无法通过解读个体同意意思表示的内容而得到指引，更多应关注条文所构筑的适用情境、避免场域的泛化而违背利益平衡的本心，同时处理方的信息活动也应严格限于条文所指向的目的，即通过情境具象与目的限定去厘清信息主体所期待的处理方式、效果等。［10］

三、路径优化：合理预期标准的进路

随着《个人信息保护法》的出台，保护个人信息、增加产业信息效益、维护社会安全等的相关研究有了具象的载体与优化的方向。从个人信息处理规则角度进行优化，通过对合理预期标准的明晰有助于优化实施现有“知情—同意”框架。

（一）引入比例原则限定预期范畴

比例原则是实现“平衡数据保护和流转”立法目的重要工具，原本是指行政机关的行政执法活动应遵从合法性、适当性与必要性的特点，选取最适当、负效应最小的执法手段以实现维护公共管理秩序与保护行政相对人权益的平衡。在“合理预期标准”中引入比例原则意在分析信息主体的预期内涵时以审慎视角去研判处理方的处理行为，个人有理由预期处理方的处理行为应是合乎法律的、是具有手段与目的适当性的、是实现该处理目标所采用的最必要方案，以此对处理方的行动边界与实施效果形成主观认知。但不可以此过分加重处理方的责任与风险负担，在宏观层面上信息主体所产生的上述认知在保护了个人的信息权益之余，不应不当阻碍信息的有效流通与有序利用，尤其是已公开的个人信息，以此形成个人利益、处理方利益与社会公共利益的“合比例性”平衡。

（二）区分信息类型进行预期匹配

《个人信息保护法》中对个人信息作了一般信息与敏感信息之分，并加重配置了处理方的处理义务与风险责任。事实上，除了从信息与个人联系紧密性角度外，还可结合信息流转使用的场域进行划分，配合具体情境以针对性厘清信息主体的“合理预期”。

1.不同场域产生的个人信息之预期范畴。笔者认为或可从基于社会交往处理信息、基于交易处理信息、基于公共利益处理信息三个方面进行分类。第一类基于社会交往处理产生的信息，其产生的情形广泛、大多数信息与个人具有弱联系性及主体的弱控制性，所以在判定处理行为合法性时，尤其需要运用“场景理论”去探究此时空场景下的该处理行为是否契合个人的合理期待，是否使个人产生了不合理的隐私风险；第二类基于交易关系而处理的信息往往具有符合交易特征的类别特征，所以往往需结合交易场景与交易目的来明晰个人的合理预期，但有的交易涉及个人敏感信息，此时个人合理预期的产生信赖于处理方显著的告知行为及所获得的主体同意，所以此情形下运用“合理预期标准”既需要关注处理方告知义务的履行，也需要结合信息主体的“同意内容”以把握其预期边界；第三类国家机关或经授权单位基于公共目的而处理信息时，尤其需要严格限定公共利益的范畴，此情形下信息主体往往预期国家机关以审慎态度处理信息且就所获取信息严格限于该机关行政职责内予以利用、流转，故以此规范基于公共利益处理信息的行为。［11］

这里需要对行政管理、公共健康、科学研究等行为所包含的公共利益进行合理界定，以使“合理预期标准”所参照的“公共利益”基准具有科学性、公正性，应赋予“合理预期标准”动态弹性使其应对不同的公共行为得出是否符合社会正向价值需求、是否增进社会整体福利的判断。

2.合理预期标准应涵盖法律后果预期。还需注意的是，信息主体对处理方信息行为的预期不仅包括个人信息应得到怎样的处理及其无不利影响的处理后果，还应包括处理方一旦超过其预期之限应当承担相应法律后果的结果认识。故除事前对处理方进行资信与技术能力准入、在事中对其处理行为作出具体权利安排外，还应在事后向处理方配置与其负面影响相匹配的责任机制，以回应信息主体的合理期待并从惩戒性的角度增添“合理预期标准”的威严性与完整性。