論大數據時代的強制告知義務

杜換濤

摘要：大數據時代，個人信息收集階段和處理階段均存在嚴重的信息不對稱，由此衍生出收集者、處理者的強制告知義務。未來制定《個人信息保護法》時應從兩個階段完善強制告知制度，如擴大告知義務主體，明確告知法定事項，強化個人信息刪除責任。未經知情同意擅自收集、處理個人信息構成侵害知情權，損害賠償責任應實行過錯推定原則。補償性賠償的數額過低，難以激勵信息主體積極維權，因而有必要建立懲罰性賠償制度。懲罰性賠償立法應摒棄法律統一規定模式，改采個案計算模式。懲罰性賠償金的判定可采用“履行差錯”計算法。

關鍵詞：大數據時代 個人信息 信息不對稱 告知義務

在大數據時代，個人信息具有人格與財產雙重屬性，一方面促進自然人人格實現及自由發展，另一方面還表征和踐行著財產利益內涵。個人信息的收集、處理已成為數字經濟發展的強勁動力。例如，個人的職業信息、健康信息、信用信息、上網瀏覽痕跡，都可以被企業收集起來，用以向用戶定向投放營銷廣告，或者將其轉讓給其他企業，從中獲取巨額經濟利益。質言之，個人信息已經成為促進經濟增長的稀缺資源。為應對日益嚴重的個人信息濫用問題，各國（地區）紛紛通過立法加強對個人信息的保護，我國作為網絡大國自然也不例外。2012年12月，第十一屆全國人大常委會發布了《全國人大常委會關于加強網絡信息保護的決定》（以下簡稱《網絡信息保護決定》），第2條規定：“網絡服務提供者和其他企業事業單位在業務活動中收集、使用公民個人電子信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意，不得違反法律、法規的規定和雙方的約定收集、使用信息。”該條規定確立了收集者、使用者負有的強制告知義務。2016年通過的《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》）第41條第1款，又重申了網絡運營者的告知義務：“網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。”這里的問題是，立法者為何高度重視強制告知義務？收集者、處理者為何不會主動告知相關事項？它們究竟應告知哪些事項？不履行告知義務需要承擔何種民事責任？未來制定《個人信息保護法》時，強制告知制度作為一項法律制度應如何予以構建？本文擬從經濟學與法學交叉的視角，將個人信息操作分為收集與處理兩個階段，對上述問題進行分析，以期為立法者提供參考資料，對個人信息保護有所裨益。

一、強制告知義務的經濟根源：信息不對稱

（一）信息不對稱理論的核心要義

新古典經濟學的假設之一，是認為市場機制是完備的，因而市場上的交易信息必然是完全和對稱的。完全信息和市場主體的完全理性，從根本上決定了市場中不存在不確定性，這又有助于人們對市場進行完全的、確定性的預期。然而，在信息經濟學看來，這一假設是不符合社會現實的。在現實生活中，交易雙方的信息不僅是不完全的，而且是不對稱的。信息不對稱（asymmetric information），是指經濟行為的一方比另一方擁有更多的信息。以時間為標準，信息不對稱可分為事前的信息不對稱與事后的信息不對稱。以內容為標準，信息不對稱可分為隱藏特性與隱藏行為。所謂隱藏特性（hidden characteristics），是指交易一方對自己商品的特性更為了解，對方往往不了解或了解不多。例如，二手車的賣方對汽車的狀況了解得比買方多，人壽保險的投保人對自己身體狀況的了解比保險公司多。所謂隱藏行為（hidden actions），是指交易的一方能采取行動影響對方，而對方不能直接加以辨別。例如，公司希望雇員能努力工作，但無從判斷其是否開小差;保險公司介意投保人躺在床上抽煙，但無法看到抽煙行為。

信息不對稱的存在會引起一系列不利后果。事前隱藏特性會導致逆向選擇問題。所謂逆向選擇（adverse selection），是指擁有優勢信息的一方利用其信息優勢地位做出不利于信息劣勢一方的行動，使后者總是遭遇對自己不利的交易對象，后者為避免損失可能取消交易，這就是所謂的“劣幣驅逐良幣”現象。例如，在人壽保險市場上，投保人擁有私人信息，對自己身體的健康狀況最為了解，而保險公司則并不完全了解。投保人為了最大化地獲取賠償金，往往掩蓋自身的疾病，騙取保險公司與自己簽訂保險合同。保險公司為了防止被騙，就將所有投保人視為患有疾病的人，收取較高的保險費。如此一來，投保人都是有病之人，健康者不來投保，保險市場也就逐漸萎縮以致難以存在。除保險市場外，逆向選擇問題還廣泛存在于信貸市場、雇主與求職者之間，以及委托代理關系之中。事后隱藏行動將造成道德風險問題。所謂道德風險（moralhazard），是指交易雙方簽訂契約后，信息優勢的一方做出不利于對方但又不為對方覺察的行動。道德風險問題在保險市場中最為常見。以財產保險為例，投保人購買財產保險之前，會時刻提防風險的出現，并采取降低風險的措施，因為發生事故后的損失完全由其本人承擔。投保人在與保險公司簽訂財產保險合同后，往往不再像從前那樣謹慎看管自己的財產。例如，出門時不會像先前那樣仔細檢查水電是否關閉，門是否鎖緊，即使發生了火災也不愿去積極救火。更有甚者，投保人可能故意制造火災以騙取保險金。保險公司由于無法監視投保人是否采取防災措施，因而面臨著賠償投保人因管理財產松懈造成的損失，極端情況下可能會使保險公司破產。

綜上，市場活動中信息不對稱是普遍存在的，普遍存在的信息不對稱可能造成市場逐漸萎縮直至不復存在。對此嚴重后果，市場機制本身能夠提供手段部分地予以解決。就逆向選擇問題而言，信息優勢方可采取傳遞市場信號措施（signaling），將自己私有的信息傳遞給劣勢的一方。例如，延長質量擔保期、承諾三包服務、開連鎖店證明其服務品質等。信息劣勢方可采取甄別措施（screening），實施某種活動誘使對方提供私有信息讓自己知道。例如，保險公司設計不計免賠保險，將高風險的司機區別出來，雇主要求求職者提供畢業證書來篩選能力較強的員工，等等。就道德風險而言，可以采取承包制、租賃制、股份制、績效工資、獎金和期權等激勵機制。但是，市場機制存在局限性，上述措施并不能完全解決信息不對稱問題。這是因為，在市場經濟中，交易雙方的法律地位是平等的，一方為了實現經濟利益的最大化，往往刻意隱瞞自己掌握的信息，對方即使有所察覺也不能采取強制手段，強迫信息優勢方披露與交易有關的重要信息。也就是說，在信息不對稱的情況下，市場這只“看不見的手”已難以有效率地配置資源，即市場失靈了。此時，客觀上需要發揮政府這只“看得見的手”的作用，強制信息優勢方披露有關交易信息，便于對方據此做出合理決策，促進交易的達成和經濟的發展。例如，政府定期發布商品價格;制定強制性標準;要求二手車的賣方向買方告知舊車的有關信息，包括舊車質量證明書、運行公里數及大修次數等。

（二）個人信息保護領域的信息不對稱問題

從生活經驗層面來看，信息不對稱現象不僅存在于二手車市場、保險市場等領域，在個人信息保護領域，無論個人信息收集階段抑或處理階段，都同樣存在嚴重的信息不對稱問題。

1.個人信息收集階段的信息不對稱

在個人信息收集階段，信息收集者與信息主體之間存在事前的信息不對稱。本來，依意思自治原則，自然人是否愿意與他人分享個人信息、與誰分享個人信息、分享何種個人信息都有最終決定權。這是因為，個人信息的重要特征之一是可識別性，能夠使某個具體個人與他人區別開來，因此可以說可識別性是個人信息的實質性要素。正是由于個人信息指向特定的自然人，與個人的社會身份、私人生活存在密切關系，其中所包含的那些涉及當事人私密的信息，更是具有人格屬性，體現主體的一定倫理意義。質言之，在大數據時代，個人信息與自然人的姓名、肖像和名譽一樣，本質上屬于人格要素的組成部分。從歸屬角度而言，個人信息屬于特定的自然人“所有”，理所當然歸其自主支配和使用。他人若想使用自然人的肖像，應與肖像權人訂立肖像許可使用協議，以獲得合法權源，否則擅自使用他人肖像，構成侵害他人的肖像權。同理，欲使用自然人的個人信息，亦應向信息主體本人提出申請并取得其同意。然而，現實的市場運作與上述理想狀態之間存在巨大的落差。相對于信息主體而言，收集者憑借其專業技術，天然地處于信息優勢地位。對于是否收集個人信息，以及如何收集、如何使用、使用期限等問題，收集者擁有完整而充分的信息。相反，普通大眾由于缺乏計算機專業知識，對自己的個人信息是否被他人收集、如何收集、如何使用、使用期限等問題，往往所知有限甚至一無所知。也就是說，收集者與信息主體之間存在嚴重的信息不對稱。在資本逐利本性的驅使下，收集者為了節省交易費用，必然隱瞞自己的技術特性，在信息主體毫不知情的情況下收集其個人信息。以網上常見的Cookie跟蹤為例，它是跟蹤者通過聯盟或付費等方式，將其跟蹤代碼嵌入大量網站中，收集這些網站用戶的瀏覽記錄、停留時間、購物商品等個人信息。跟蹤者通過對Cookie數據的分析，在一定程度上能夠掌握用戶的行為特征和上網偏好，據此進行精準的廣告投放，謀取巨大的商業利益。網絡跟蹤如同在網民生活的每一個角落里安裝了隱蔽的攝像頭，對上網者的一舉一動進行全程監控，而用戶不僅對監控行為毫不知情，對監控者的身份也一無所知。

2.個人信息處理階段的信息不對稱

收集者取得信息主體同意獲取其個人信息，從合同法角度而言，是雙方達成了一個個人信息許可使用協議。收集者理應遵循合同嚴守原則，在授權范圍內合理使用個人信息。然而，個人信息一旦由處理者取得，即脫離了信息主體的有效控制。個人信息是否被超范圍使用，只有處理者最為清楚。更有甚者，個人信息被儲存后可與其他個人信息結合使用，由此可能衍生的損害后果，處理者若不告知，信息主體根本無從知曉。與有體物不同，個人信息在理論上可以被無限次地復制，并且在全球范圍內無限距離地傳播。因此，處理者完全可以與數個交易對象同步進行交易。在此情況下，信息主體往往難以知悉自己的個人信息流轉到了何人、何處。即使知道處理者在傳播個人信息，也難以采取及時有效的措施予以制止。面對處理者肆意操作個人信息的行為，當事人只能仰天長嘆，徒嘆奈何。不僅如此，在巨大的經濟利益刺激與誘惑下，處理者勢必實施投機主義行為，憑借其信息優勢地位，實施隱藏行為以謀取自身利益。處于信息弱勢地位的信息主體無法核實處理者是否嚴格遵守許可使用協議，對個人信息如何被處理不知情或不了解，也就難以采取適當的措施予以防止，維護個人信息的安全。之所以發生上述道德風險，是企業的本質特性使然。企業存在的使命在于營利，利潤最大化是其經營活動的終極目標，這就決定了它不是自動遵紀守法的“道德人”，而是具有機會主義傾向的“經濟人”。只要有商業機會，企業就會采取各種手段謀取經濟利益，甚至采取程度不等的違法手段，這在法制不健全的社會更為常見。

（三）個人信息保護領域信息不對稱的解決之道

雖然個人信息的擅自收集、處理蘊含著諸多的不確定性，信息主體由于缺乏控制手段往往處于被動狀態，但在大數據時代，人們事實上無法拒絕個人信息被他人收集、處理和使用。這是因為，隨著信息時代的到來，微信、支付寶、淘寶、京東以及網上銀行等應用平臺，已經深深地植人到幾乎每個人的生活之中。人們在越來越享受現代科技帶來的便利的同時，也越來越離不開現代科技。例如，網上購物時需要注冊賬戶，向賣家提供個人電話和家庭住址等個人信息，否則就不能完成網上交易，也不能享受送貨上門的便捷。相對于拒絕網絡購物與送貨上門的成本而言，個人電話和家庭住址的隱私價值也就顯得微不足道了。因此，盡管人們知道存在個人信息被泄露的風險，也不得不同意交易相對人收集個人信息。新的交易模式的出現，一方面促使消費者與交易平臺形成穩定的“消費依賴”，另一方面也造就了后者對前者的“信息壟斷”地位。期待收集者、處理者會主動告知收集、處理個人信息是不現實的，也是不可能的。因為這樣做會顯著增加其交易成本，理性的處理者不會做出此種決策。掌握較少信息的用戶請求收集者、處理者告知收集和處理事項，后者即使拒絕回答，用戶為了享受現代科技帶來的便捷，也不得不屈從于處理者的強勢地位，違心地接受對個人信息收集和處理。易言之，解決信息不對稱的發送信號與信息篩選機制在此沒有發揮作用的余地，即市場機制失靈了。在此情況下，解決信息不對稱的另一條可行思路，即是引入政府的強行干預。表現在制度安排上，即在立法上建立強制告知制度，要求各收集者、處理者披露其收集、處理個人信息的目的、用途、方式，以及用戶享有的權利等特定事項。通過這一正式制度的嚴格約束，縮小雙方信息地位的巨大差距，使之處于平等或大致平等的地位，從而為用戶表示同意收集、處理個人信息創造前提條件。

二、我國強制告知制度的完善

如前所述，信息不對稱是強制告知義務產生的經濟根源，克服信息不對稱的有效途徑是建立強制告知制度，強迫收集者、處理者主動向信息主體披露有關事項。我國《網絡安全法》等現行法盡管規定了收集者、處理者的告知義務，但從比較法角度來看，制度架構較為單薄，未來制定《個人信息保護法》時應著重從以下幾個方面加以完善。

（一）擴大告知義務主體

從比較法來看，關于告知義務的主體主要有兩種立法例，即統一模式與區分模式。前者如歐盟《一般數據保護條例》第13條，它將告知義務的主體確立為個人數據“控制者”。第4條將控制者定義為，能夠單獨或共同決定個人數據的處理目的和處理方式的自然人、法人、公共機構、行政機關或其他實體。《韓國個人信息保護法》第17條確立的告知主體是“個人信息處理者”。依第5條規定，個人信息處理者包括公共機構、法人、組織、個人等。后者如我國臺灣地區“個人資料保護法”，其第8條規定了公務機關或非公務機關收集個人資料時應告知的事項，第9條規定了公務機關或非公務機關間接收集個人資料的告知事項。《網絡信息保護決定》將告知義務的主體限定為“網絡服務提供者和其他企業事業單位”，《網絡安全法》將其限定于“網絡運營者”，過于狹窄。現實生活中，個人信息的收集者、處理者并不僅限于上述兩類市場主體。未來制定《個人信息保護法》時，應擴大告知義務的主體范圍，將個人信息的收集、利用、存儲和分享者等各類企事業單位包括在內，如保險從業人員、律師、醫生、生產者和銷售者、國家機關等。考慮到告知事項的差別，以及違反告知義務所應承擔責任的不同，未來立法宜采取區分模式，分別規定國家機關與非國家機關的告知義務。

（二）明確個人信息收集階段的告知事項

比較法上，歐盟《一般數據保護條例》第13條規定的告知事項主要有：控制者的身份和詳細聯系方式、數據保護專員的聯系方式、處理個人數據的目的及法律依據、控制者和第三方所追求的利益，個人數據接收方的種類、是否向第三國和國際組織傳輸、個人數據的存儲期限，向監管機構申訴的權利等事項。我國臺灣地區“個人資料保護法”第8條第1款規定了直接收集個人資料的告知情形，包括公務機構或非公務機構的名稱，收集的目的，個人資料之類別，個人資料利用的期間、地區、對象及方式，當事人得行使的權利及方式，當事人不提供個人資料時的權益影響等。第2款規定了免于告知義務的情形，包括依法律免于告知、執行法定職務或履行法定義務所必要、告知將妨礙公共利益等。我國《網絡安全法》第41條僅規定為“明示收集、使用信息的目的、方式和范圍”，缺陷在于，一方面未區分不同階段規定告知事項，另一方面需要告知的事項列舉得過于簡單。

1.直接收集個人信息的告知事項

所謂直接收集個人信息，是收集者直接從信息主體處收集其個人信息。在此場合，收集者應告知哪些內容，是由強制告知義務的立法目的決定的。如前所述，之所以對收集者科以強制告知義務，是因為在信息嚴重不對稱情形下，信息主體對自己信息的控制能力顯著下降甚至趨近于零：當事人無法發現何人在收集個人信息、目的是什么、掌握了哪些個人信息，更沒有辦法知道自己享有何種權利。因此，無論收集者為國家機關或非國家機關作為，至少應如實告知下列事項：①收集者的名稱，使信息主體明白何人在收集自己的個人信息，為進一步維權奠定基礎;②收集目的，使信息主體明白為何收集此類信息;③使用個人信息的期間、地區和方式;④信息主體享有的權利種類，包括查詢權、復制權、更正權、封鎖權與刪除權等，以便信息主體明了自己的救濟途徑;⑤不提供個人信息可能遭受的不利后果，便于信息主體權衡利弊得失，做出最適合個人情況的抉擇。

當然，社會對個人信息的自由流動具有正當需求，若賦予信息主體絕對而完整的權利，可能阻礙個人信息的自由流動。當個體利益與其他利益發生沖突時，如信息主體的利益與言論自由、國家安全、公共福祉、法律執行或科學研究發生沖突，需要對個人自由加以適當的限制，以尋求公共利益與個體利益的平衡。

在此情況下，即使不經過信息主體的同意，收集者也有權收集和使用個人信息，再強調要求收集者履行告知義務已沒有實際意義，因而應豁免其告知義務。這些情形至少包括：①國家機關執行公務或非國家機關履行法定義務所必需;②告知信息主體將妨害國家機關執行公務;③告知信息主體將妨害公共利益;④信息主體已知曉告知事項而無進行告知的必要。

2.間接收集個人信息時的告知事項

所謂間接收集個人信息，是指收集者從第三方接收個人信息。原則上，一切個人信息的收集應該面向信息主體實施，避免第三者錯誤信息的影響。但現實生活中，間接收集個人信息的現象并不鮮見。例如，場景一：甲企業為獲得潛在客戶的信息，聘用了市場調查公司，以調查問卷的方式收集個人信息。調查公司將調查問卷提供給甲企業，甲企業按照收集的信息數據向市場調查公司支付服務費。又如，場景二：乙奶粉銷售企業贊助某兒童營養協會召開研討會，面向新生兒媽媽和孕婦提供免費培訓。協會留存了來訪人員的個人信息，如姓名、聯系方式、嬰幼兒姓名和年齡等。乙奶粉企業與協會約定，乙奶粉企業為協會提供贊助，協會需要將留存的來訪人員的個人信息發送給乙奶粉企業。在間接收集個人信息場合，收集者使用個人信息之前，至少應向信息主體告知以下事項：①個人信息的來源;②收集個人信息的目的;③個人信息的種類;④使用個人信息的期間、地區及方式;⑤信息主體享有的權利。當然，收集者存在正當理由時，亦可豁免其告知義務，如①國家機關為履行職責所必須;②非國家機關為履行法定義務所必須;③告知將損害社會公共利益;④信息主體白行公開的個人信息;⑤新聞媒體基于公益目的收集個人信息等。

（三）明確個人信息處理階段的告知事項

1.超目的使用個人信息的告知事項

收集者在個人信息收集階段，須明示收集個人信息的特定目的，已如上述。在個人信息的處理階段，處理者不得偏離原定目的使用個人信息。例如，企業以售后服務目的收集客戶信息，日后卻用以向客戶推銷新產品;銀行在為客戶辦理信用卡時收集其個人信息，日后卻以電話或短信形式推銷理財產品等。自合同法角度而言，上述行為屬于變更個人信息許可使用協議。依《合同法》第77條規定，變更合同須當事人協商一致。因此，收集者確有必要變更使用目的時，應向信息主體告知該事項，并取得其同意。當然，現實生活是復雜的，不排除收集者因維護公共利益等原因突破使用目的，此時應豁免其告知義務。這些正當事由至少包括：①為維護國家安全、公共安全或社會公共利益;②為防止信息主體或他人的重大利益遭受損失;③進行學術研究所必須且對信息主體不會造成損害;④收集的是已經合法公開的個人信息。

2.超范圍使用個人信息時的告知事項

處理者超過原定范圍使用個人信息，如甲企業委托旅行社幫員工個人預定差旅票和賓館;委托銀行為其員工發放工資。又如，甲賣方在網絡平臺上銷售商品后，向物流企業提供客戶的電話和住址。在大數據時代，個人信息已成為重要的生產要素，只有在企業間自由流動才能使其價值最大化。個人信息未開始流動時，收集個人信息的企業承擔保護責任，信息主體能夠對其個人信息施加控制。個人信息一旦開始流動，必將限人失控狀態。例如，第一流人企業為了營利，可能將個人信息轉讓給第二流人企業，第二流人企業可能轉讓給第三流人企業。以此類推，個人信息將無限流轉下去，不僅信息主體，即使最初的處理者也同樣喪失控制能力。因此，為了防患于未然，處理者超范圍使用個人信息時，應向信息主體告知這一事項并取得其同意，以保障其對個人信息的控制能力。

在此情況下，處理者應向信息主體告知：①個人信息提供給第三方的目的;②涉及的個人信息的類型;③第三方的名稱;④第三方保護個人信息安全的能力;⑤企業和第三方承擔的法律責任。

除企業間傳輸個人信息之外，國家機關之間為了履行公共職責，也可能需要傳輸個人信息。由于超出了原有使用范圍，原則上亦應告知信息主體并經其同意。例外情形下，雖然超出了使用個人信息的范圍，亦可豁免其告知義務。例如，①法官為審理案件，需要公安機關提供被告的家庭住址以送達訴訟文書，向民政部門了解被告的婚姻狀況，向社保部門了解當事人的社會保險情況等等;②出于維護社會公共利益、信息主體或他人的重大利益等正當理由。

（四）強化個人信息刪除責任

依歐盟《一般數據保護條例》第17條規定，數據被非法處理或原始處理目的已經實現或無法實現時，數據主體有權要求控制者及時刪除個人信息。我國臺灣地區“個人資料保護法”第25條也規定，非公務機關違反本法規定，中央目的事業主管機構或直轄市、縣（市）政府除裁處罰款外，還可命令刪除經處理的個人資料檔案。我國《侵權責任法》第36條規定了網絡服務者的刪除責任，但規范對象指向的是網絡用戶利用網絡實施侵權行為，與個人信息收集者、處理者違反告知義務的刪除責任尚有區別。《網絡安全法》第43條規定“個人發現網絡運營者違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的，有權要求網絡運營者刪除其個人信息”，方屬于違反告知義務的刪除責任。在個人信息收集階段，若收集者不盡告知義務，信息主體勢必沒有表示同意的基礎。因此，收集者未盡告知義務擅自獲取他人個人信息，構成“違反法律、行政法規的規定”收集個人信息，被收集者有權要求其刪除持有的個人信息。《網絡安全法》第43條的不足之處在于，將刪除責任人限定于“網絡運營者”，適用范圍較窄，未來立法時應擴大責任主體范圍，一切個人信息收集者、處理者均包含在內。

從理論上講，現代技術可以做到個人信息無限復制與無限距離傳播。從橫向傳播來看，收集者可以在瞬間將海量個人信息發送給無數接受者。從縱向傳播來看，收集者可將個人信息轉讓給第三人，第三人轉讓給第四人，第四人可以轉讓給第五人，……。有疑問的是，信息主體發現他人未經其同意即擅自收集、處理其個人信息，要求收集者、處理者刪除其持有的個人信息，是否必須證明后者存在過錯？是否給自己造成經濟損失？主張刪除時未超過訴訟時效期間？筆者對此持否定觀點。如前所述，個人信息與自然人的人格緊密相關，對個人信息的支配形成一項新型權利，即個人信息權。未經本人同意擅自收集、處理個人信息，構成侵害個人信息權，自然人可依人格權請求權的保護方法尋求救濟。因此，無論個人信息輾轉流人何人之處，信息主體均有權要求現在的持有人刪除其持有的個人信息，無論其流人個人信息是否具有過錯、是否給信息主體造成損失。同時，信息主體提出刪除請求也不受訴訟時效期間的限制。

（五）補償性賠償實行過錯推定

現代信息技術的快速發展，已經摧毀了個人信息收集和流動的壁壘。收集者、處理者將個人信息收集、處理情況告知信息主體，讓其知道個人信息將如何被收集、利用和分享，一方面有助于信息主體審慎地作出決策，另一方面在收集者、處理者違反法定告知義務后，有助于信息主體追究其法律責任。反之，秘密收集、利用和分享個人信息，剝奪了自然人對個人信息被他人收集、使用知悉的機會。因此，未告知信息主體而擅自收集、使用個人信息的行為，屬于竊取他人信息，構成侵害個人信息知情權。在此情況下，受害人固然可依《侵權責任法》第2條、第6條規定，要求收集者、處理者承擔損害賠償責任，但根據誰主張誰舉證的舉證責任規則，受害人需要舉證證明收集者、處理者未告知有關事項存在過錯。有學者主張，非國家機關從事個人信息收集、處理行為時，采取過錯推定原則。如果行為人不能證明自己無過錯，則推定其有過錯。筆者贊同這一觀點。根據證明責任分配原理，民事訴訟中分配舉證責任時，應將當事人與證據的遠近、獲取證據的可能性以及舉證的難易等作為考量因素，在綜合考察當事人的舉證能力基礎上，分配案件當事人的舉證責任。在信息嚴重不對稱的情況下，由受害人完成舉證責任幾乎是不可能的。因此，為了強化對個人信息的保障，宜實行舉證責任倒置，由加害人證明白己已經履行了告知義務，否則即應承擔侵權責任。國家機關及其工作人員未履行告知義務，致使個人信息被非法收集、處理或提供給第三人，其損害賠償責任適用《國家賠償法》的相關規定。

（六）建立懲罰性賠償制度

受害人主張補償性損害賠償責任固然可以填補其遭受的全部損失，但存在賠償數額過低的弊端。根據誰主張誰舉證規則，受害人有責任提供證據，證明收集者、處理者未履行告知義務給自己造成了實際損害。對此，受害人往往難以證明確切的損害數額。在此情況下，依《侵權責任法》第20條規定，可以按照加害人獲得的利益進行賠償。《最高人民法院關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》（法釋[2014]11號）第17條、第18條對此作出了詳細規定。問題在于，個人信息未經告知同意即被他人濫用，通常而言是一種“大規模的微型侵害”，即涉及大量的信息主體，但只是每個人的知情權受侵害，損害后果較為輕微。例如，案例一：2017年3月，胡某與綽號“單身汪”的網友商定，由胡某按要求查詢出其指定的公民電話號碼后，以每條0.3元的價格出售給“單身汪”。截至2017年6月21日，被告人胡某從“單身汪”處接收公民個人信息100萬余條，查詢并出售包含對應電話號碼的公民個人信息24萬余條，違法所得人民幣5.6萬余元。案例二：2017年4月至7月期間，葉某通過微信招攬查詢車輛檔案等信息業務，利用微信從上家購買他人的車輛檔案、駕駛證等信息，并以每條30元至45元的價格販賣給客戶。葉某共計販賣車輛檔案、駕駛證等信息986條，違法所得29580元以上。2017年1月至5月期間，被告人殷少云利用擔任江蘇省高速交警五大隊輔警的身份，通過公安內部系統或網絡非法獲取他人的車輛檔案、駕駛證等信息，以每條2元至15元的價格販賣給他人。被告人殷少云共計販賣車輛檔案、駕駛證等信息557條，違法所得5000余元。案例三：被告人王璞買賣公民信息67200余條，非法牟利4660元，平均每條0.06元;被告人雷敏非法獲取公民信息23300余條，非法牟利10000元，平均每條0.43元;被告人李通買賣公民信息20000條，非法牟利41150元，平均每條2元。由此可見，信息主體若提起侵權損害賠償訴訟，所得賠償極為有限，但需要為此支出差旅費、訴訟費和律師費等費用，若選擇自己出庭應訴還將面臨機會成本損失。在收益遠遠小于成本的情況下，信息主體提起侵權索賠的動力顯著不足，理性的選擇必然是放棄任何維權手段，任由個人信息被他人收集、使用。為提高行為人的違法成本，有學者提出了“違約罰”理論。其核心思想是，在契約關系中設計針對信息相對充裕一方的違約懲罰條款，督促其向信息掌握相對較少的一方提供完整信息，以便其做出最佳決策。在懲罰效果的威懾下，信息較充裕方將與對方分享信息。這一思路有其合理l生，但以之指導我國的制度設計則不甚妥當。一方面，“違約罰”的適用范圍較窄，僅限于個人信息處理階段，不能涵蓋個人信息收集階段，因為在此階段雙方尚未締結個人信息使用契約。另一方面，“違約罰”本質上是懲罰性違約金，而我國《合同法》第114條規定的違約金屬于補償性違約金，引入“違約罰”概念與我國現行法律體系格格不入，有違制度設計中的和諧原則。

有學者認為，大數據可能惠及每個人，但實際情況是信息主體并沒有從中獲得真正實惠，真正賺錢的是少數個人信息控制者和利用者。網絡服務商在侵權的同時，往往獲得了巨額的經濟利益，抵銷了其對侵權損害賠償的恐懼。普通用戶難以發現不法收集、處理個人信息，即使發現，實際起訴的也只是很小一部分侵權行為，對于運營商根本沒有威懾力。據此，網絡隱私侵權應引入懲罰性賠償。

該觀點注意到了個人信息侵權補償性賠償責任的局限性，一方面有助于一定程度上遏制他人非法收集、使用個人信息，另一方面也有助于增強信息主體主動維權的積極性。因此，未來制定《個人信息保護法》時，有必要引入懲罰性賠償制度。

這里的關鍵問題是，如何計算懲罰性賠償金？理論上，懲罰性賠償金的計算方法有兩種模式。一種模式是法律統一規定模式。例如，《消費者權益保護法》第55條第2款規定：“經營者明知商品或者服務存在缺陷，仍然向消費者提供，造成消費者或者其他受害人死亡或者健康嚴重損害的，受害人有權要求經營者依照本法第四十九條、第五十一條等法律規定賠償損失，并有權要求所受損失二倍以下的懲罰性賠償。”該條規定即是典型的法律統一規定模式。這一模式容易計算，可以避免不同案件的差異和不確定性，限制懲罰性賠償數額計算的任意性和數額過高，其弊端在于過于剛性和僵化，不符合外部成本內部化的精確性要求。另一種模式是個案計算模式，能夠使外部成本內部化，彌補法律統一規定模式的不足。在這一模式下，個案中實現精確化計算可運用“履行差錯（enforcement eITol-）”計算法。履行差錯是實際起訴并得到賠償的受害者在全部損害者中所占的比例。計算方法是補償性賠償金乘以履行差錯的倒數。以前述案例一為例，假定每條個人信息對應一個信息主體，實際進行起訴的為3人，則履行差錯為3/240000即1/80000，每個受害人的損失為0.3元，則應判定給每個信息主體的懲罰性賠償金為：0.3×80000=24000元。

三、結語

在大數據時代，信息采集終端無處不在，每時每刻都在收集海量數據，使我們猶如置身一個由數據構成的“數據空間”里。面對大數據技術對個人信息保護提出的挑戰，強制告知義務發揮了“安全閥”的作用。相比其他國家和地區立法，我國的強制告知義務無論在告知事項，抑或是告知義務違反后的法律責任方面，均有很大的完善空間，這也是未來制定《個人信息保護法》需要努力的方向。