大數據時代個人信息權保護路徑探究

[摘要]個人信息未經同意即被采用甚至濫用的情況頻繁發生。自然人個人信息權本應被互聯網巨頭企業從源頭上展開主動保護，如今卻成為眾矢之的。個人信息成為大數據時代最具潛力的整合與挖掘對象，而加強對個人信息權的保護正是21世紀法治發展的重要領域。現有部門法對個人信息權的保護無法涵蓋數據處理的技術性。由此提出，統籌推進以國家網信辦為核心領導主體、地方各級網信辦分級指導，相關行政機關“合規”審查，全國各級消費者協會為補充，企業行業自律為兜底的個人信息權保護綜合機制。

[關鍵詞]大數據;個人信息權;私法路徑;公法路徑;國家網信辦

[中圖分類號]D923? [文獻標識碼]A? [文章編號]1009—0274（2019）02—0099—05

[作者簡介]黃月婷，女，西南政法大學法學院碩士研究生，研究方向：民事訴訟法。

一、大數據時代下個人信息權概述

美國國家安全局和聯邦調查局主導的“棱鏡門”事件所帶來的信息安全問題，呈現出大數據時代帶來的諸多不利因素，包括微軟、谷歌、蘋果等在內的9家國際網絡巨頭公司的中心服務器里的數據成為情報搜集的目標，致使個人信息泄露成為大概率事件。但是，個人信息權的保護規范未被完全整合，自然人個人尋求司法救濟往往不被法院支持。因此，一方面，個人信息成為大數據時代最具潛力的整合與挖掘對象;另一方面，加強對個人信息權的保護也是21世紀法治發展的重要領域。

（一）個人信息權與傳統隱私權

個人信息權是一種新型權利，是指凡能被一定技術識別并與自然人人格相關的信息都應該受到法律保護的權利。個人信息權是一種與隱私權緊密關聯但又存在重大差別的權利。首先，個人信息權與隱私權聯系緊密。例如某用戶的購物信息被網絡平臺公布，該用戶將相關網購平臺告上法庭。此例明顯涉及自然人的隱私權。但與此同時，相關信息以數據形式留存于網絡上，又涉及個人信息權。但筆者認為在這種數據運用情境中個人信息權應該更為重要。這是因為相關企業通過處理這類數據可以發掘更大的商業潛能。這種處理和運用過程本身無可避免地會影響到個人信息權。而隱私權通常具有一次性的特征，公布后便無進一步提升價值的空間。其次，從概念上看，個人信息權是新型財產權，以數據形式體現自然人身體、心理、基因、文化等其他因素的權利;而隱私權通常是自然人現實可控的存在現實世界的未公開內容。個人信息權與傳統隱私權重要區別在于，前者以數據為載體散落在互聯網而后者為現實生活中個人不公開的具體內容。

（二）大數據時代個人信息的價值與危機

作為世界第二大經濟體，我國成為全球大型互聯網公司的中心。在“互聯網女皇”瑪麗·米克爾發布的2018年互聯網趨勢報告中，全球市值最高的20家互聯網公司當中，美國占據了11家，中國占據了9家。包括人工智能在內的現代科技因大數據模式的引入發展迅速，已經成為國際競爭的新焦點和經濟發展的新引擎。

身處大數據時代，與傳統社會相比我們生活方式的變化可謂天翻地覆。從負面效應看，或許很多用戶已經察覺：“被監視”的當代社會人“裸奔”在互聯網世界。“亞馬遜監視著我們的購物習慣，谷歌監視著我們的網絡瀏覽習慣，而微博似乎什么都知道，不僅竊聽到了我們心中的‘TA，還有我們的社交關系網”。[1]一方面，數據于亞馬遜、谷歌等互聯網大公司是價值不菲的寶藏。網上用戶在購物、享受網絡服務的時候留下“痕跡”，這些信息并不會在這一輪活動后便消失殆盡，而是投入新一輪數據的生成。大數據采用海量數據并利用相關性開發數據的潛能，換言之，每個網民的“痕跡”或個人信息“饋贈”給各大互聯網運營商。自然人個人信息為基礎的網絡海量數據價值無限。另一方面，互聯網企業利用數據和個人信息獲得利益，然而未經個人信息主體同意便采用甚至濫用的情況頻繁發生。自然人個人信息權利在互聯網各大企業對個人數據不正當利用和處理的情況下被侵害，原本應被各大企業主動保護的權利卻成為被侵犯的眾矢之的。

二、個人信息權保護的私法路徑

我們已經進入大數據時代，但在開發和利用大數據和人工智能時，如何尊重和保護個人隱私和信息，也是各國法律普遍面臨的嚴峻挑戰。[2]目前而言，我國保護個人信息權的法律和規范性文件不少。《全國人民代表大會常務委員會關于加強網絡信息保護的決定》明確規定對個人信息的保護;《電信與互聯網用戶個人信息保護規定》細化收集、使用個人信息的規則與保障措施;《網絡安全法》第四章以專章形式規定個人信息保護;另外，《中華人民共和國民法總則》（以下簡稱《民法總則》）《征信業管理條例》《中華人民共和國消費者權益保護法》（以下簡稱《消費者權益法》）等法律規范均涉及個人信息權的保護。

《民法總則》《中華人民共和國侵權責任法》與《消費者權益法》屬于民事私法領域關于自然人個人信息權保護的部分規范并在個人信息保護領域起到一定作用。公法是關于羅馬國家的法律，私法是關于個人利益的法律。[3]隨著《民法總則》的頒布，個人信息權的私法保護是目前學界討論的熱點。下文就具有代表性的私法作出簡要分析以探求個人信息權私法保護的具體功效。

（一）《民法總則》

《民法總則》第127條規定：“法律對數據、網絡虛擬財產的保護有規定的，依照其規定。”民法首次對數據的保護作出規定，希望通過民法規范確認公民個人數據的基本權利。數據在性質上屬于新型財產權，但數據的保護更多的涉及這類財產權的轉移、利用、保管等法律問題。[4]《民法總則》第111條①規定自然人信息，強調組織和個人在收集、使用、加工、傳輸信息的系列過程中應當保護自然人個人信息權。通過以上《民法總則》兩個重條文能完全保護個人信息權嗎？筆者認為不然。

個人信息權的保護于大數據時代下具有特殊性。傳統的民事權利，是指民事權利主體要求對方為一定行為或者不為一定行為的法律權益。此種行為通常是具體的、可操作，行為對象通常也是相對明確。例如，動產所有權主體享有要求任何相對人不得侵害其動產的權利。反觀個人信息權，其主體應當向誰主張一定行為？需要注意的是，互聯網用戶在網上發文用不文明、具有侮辱性的表達侵害特定自然人名譽或隱私，這并不屬于個人信息權的內容，該用戶也不是要求一定行為的對象。另外，如果行為的對象是互聯網企業，行為主體通過何種方式要求互聯網巨頭企業服從要求？顯而易見，面對大型互聯網企業，網絡用戶的話語權微弱，互聯網企業按照自然人所要求的行為主動進行相關操作，這很難實現。縱使互聯網企業同意進行相關行為，問題來了：這種行為究竟是何？個人信息數據化于網絡上，超復雜、高精密的技術化指令是一般用戶無法知曉的。換言之，個人信息權的主體本身便無從知曉要求互聯網企業所做行為的詳盡內容。

個人信息權的保護更多需要考慮技術因素，從個人數據的產生、采集、流轉、占有等系列過程規制互聯網企業的行為。既然個人信息權不同于傳統民事權利具有要求特定主體具體、明確行為的特征，其保護的路徑就應該另尋他路。《民法總則》第111條、第127條對個人數據、個人信息的規定均太原則性，未體現數據信息的技術性特征。由《民法總則》相應規定作為個人信息權的基本權利來源值得商討，至少其無法在民法制度框架內規定數據主體、數據處理操作等具體內容，從而無法主動地先行地保障自然人個人信息權。

（二）侵權責任法

21世紀是科技主導、信息爆炸的時代，互聯網用戶在享受網上服務過程中同時生產數據，而這些數據作為價值信息反饋給“大數據”。“平臺推薦”“搜索引擎”等熱門應用均涉及大數據。自然人個人信息是推動上述產業的重要環節，采樣網絡用戶的海量信息促成互聯網商業的快速發展。然而，大數據時代下互聯網的快速發展給用戶帶來個人信息“無法控制”狀態，伴隨而產生的常常是個人信息權的被侵害。現有民事救濟途徑通常為侵權責任規范，事后救濟型侵權責任法提供的僅僅是被動的、消極的賠償責任。可得知的是，個人信息權被侵害后，通常是無法彌補的，即自權利損害事實發生時該權利無法恢復原狀。個人信息權法是權利法，侵權責任法是救濟法。權利的保護應當是先行的主動的，僅由事后彌補性的侵權責任法保護個人信息權，這是不現實的。況且，侵權責任法本身無法規定個人信息權的具體內容，僅以事后救濟時確認是否屬于個人信息權的做法有損該權利自身的獨立性和完整性。還需注意的是，若在侵權責任法內規定個人信息權，是否應當規定“過錯”要件。過錯是一個社會的概念。[5]侵害社會名人與普通人的標準是否同一，這值得思考。由此，以侵權法為主導的個人信息權保護路徑實施效果并不理想。

（三）消費者權益保護法

自然人與互聯網企業地位的強弱不一，若自然人向法院起訴企業侵犯個人信息權，勝訴的關鍵之一在于能否完成舉證。這實際上同樣在于個人信息的技術性問題。若原告選擇侵權訴訟，需證明侵權成立的四個要件：侵權行為、損害結果、因果關系、侵權人過錯。事實上，原告在證明侵權行為第一個要件（侵權行為）便存在難度。互聯網企業若否認其在采用數據、處理數據時的違法違規操作，消費者并無他法。因為相關企業并不會主動給出示侵權的證據。

《消費者權益法》第29條規定了，經營者在搜集、使用消費者個人信息應當符合法律、法規并且經過消費者同意。另外，《消費者權益法》第37條明確消費者協會的職能，賦予其“就損害消費者合法權益的行為，支持受損害的消費者提起訴訟或者依照本法提起訴訟”的法定權利。自然人在購物或享用網上服務時個人信息權被互聯網企業侵害，作為公益性質的消費者協會具有法定立場與權能代替消費者進行訴訟或者協調各方利益。至少，消費者協會作為組織機構其地位并不比互聯網企業弱，在搜集侵權行為證據方面具有絕對優勢。憑借消費者權益保護組織的法定地位，消費者協會可要求相關企業提供其自身行為符合相關數據處理規定的證據。囿于社會影響與公司利益，大型互聯網企業多數不愿意進行訴訟，最終選擇法院調解或私下和解。

消費者協會參與訴訟有助于促進個人信息權案件雙方當事人的平衡，彌補了自然人舉證的弱勢地位，增強了個人信息權權利保障的力度。需要注意的是，這并非證明責任的倒置。民事訴訟法中證明責任的一般規則是《中華人民共和國民事訴訟法》第65條規定“當事人對自己提出的主張應當及時提供證據”。只有在法律對特定構成要件進行具體規定時，證明責任才轉由對方承擔。在現行《民事訴訟法》及相應司法解釋未對個人信息權案件進行特殊規定的情況下，筆者認為，應當遵循現有規范內容而不是呼吁改變相關立法。

三、個人信息權保護的公法路徑

德國學者基爾克提及：“公法和私法的區別，是今日整個法律秩序的基礎。”個人信息的公法保護與私法保護必然有截然不同的效果。公法強調國家主體對私人與組織的管理與約束，這區別于平等主體間自由進行交易與活動的私法規范。此處的“公法”并不等同于憲法、行政法等傳統劃分范疇，而是指以行使公權力為核心并具有一定強制效力的行為。公共政策與公權力強制性行為在約束群體與個人的類型行為往往更具針對性與直接性，成效亦是顯著。中華人民共和國國家互聯網信息辦公室（以下簡稱“國家網信辦”）雖是事業單位，但其在個人信息保護領域所起到的實際作用高于行政機關與社會組織。以國家網信辦為最高指導統籌推進個人信息權的保護，行政機關的“合規”審查和行業自律為配套，這是達成保護個人信息權目標的不錯選擇。

（一）行政機關的“合規”審查

既然民法、侵權責任法無法提供個人信息權的基本保障加上大數據時代下個人信息權保護的技術特征，筆者認為，由行政機關出面強制性地要求互聯網巨頭企業“合規化”行為這是最為有效的選擇。實際上，盡管我國缺乏高位階法律的規范，但為了適應產業發展的需要，我國已經初步建成數據處理制度框架，主要體現為一系列部門規章、行業規范和技術標準。[6]包括《中華人民共和國網絡安全法》《國務院辦公廳關于印發科學數據管理辦法的通知》（國辦發〔2018〕17號）、《國務院辦公廳關于促進和規范健康醫療大數據應用發展的指導意見》和《國務院關于印發促進大數據發展行動綱要的通知》在內的現有法規體現國家對公民個人數據的保護，主要是規制互聯網企業的處理數據行為，通過要求互聯網巨頭企業的行為符合一定的標準從而達到保護自然人個人信息權的目的。

通過部門規章和行業標準規整互聯網企業的數據處理行為，這具有天然的優勢。其一，從主體的地位來看，互聯網企業遠高于網絡用戶，行政機關的介入是保護用戶個人信息的更佳選擇。從某種意義上說，具有國家強制力作為后盾的政府能夠最大程度避免互聯網企業的不合規行為。其二，操作的簡便性。由自然人行使個人信息權不具有明確的內容，從而使權利被架空或虛化。行政機關的行為則簡便并且具體，其只需審查互聯網企業的數據采用、處理等行為是否符合其先前確認公布的標準即可。其三，舉證的強制性。當政府與相關企業對具體數據處理操作是否合規發生歧義時，由互聯網企業承擔舉證責任。原因在于，數據采取、流轉與處理等過程極富專業性與復雜性，包括大數據模式下算法的“黑匣子”[7]，即便有專業人員的講解也不一定能知曉其中原理。由此，將舉證證明“合規”的責任施加給互聯網企業，這是解決個人數據處理的合理、有效途徑。

（二）國家網信辦為核心領導的個人信息保護

1.企業行業自律。我國曾試圖推動行業自律以保護個人信息權。中國互聯網協會發布的《中國互聯網行業自律公約》（2004）、《博客服務自律公約》（2007）等對互聯網信息服務自律作出規定。以上規定比較原則性且未涉及個人信息，下述規定開始涉及個人信息的保護。《互聯網搜索引擎服務自律公約》（2012）第10條規定搜索引擎服務提供者應當協助保護用戶隱私和個人信息安全，并在收到權利人相應通知后及時刪除、斷開相關侵權內容鏈接。《中國互聯網金融協會會員自律公約》第7條規定會員的金融消費者權益保護義務。

美國聯邦貿易委員會指出，“自律規范是一種侵入性最少、效率最高的方式，以保護公平的信息慣例”[8]。盡管美國聯邦貿易委員會呼吁隱私保護行業進行自治，規范企業的信息處理活動，并由專門機構監督法律施行。不過，在收集、使用和銷售個人信息帶來巨大利潤的前提下，要想依賴行業自律完全保護自然人的個人信息權并不現實。由此，目前在我國想要完全通過行業自律實現個人信息權的保護也是行不通的。數據的法律建設需要加強，其中重要的是基礎領域的法律監管，行業自律的作用絕不是主導的。

2.國家網信辦發揮好作用。根據《中華人民共和國網絡安全法》《互聯網信息服務管理辦法》《國務院關于授權國家互聯網信息辦公室負責互聯網信息內容管理工作的通知》等規定，國家互聯網信息辦公室實際上具有非常廣泛的管理權限，在實踐中也發揮了遠超出其法律定位的巨大作用。

2018年11月，針對自媒體賬號存在問題，國家網信辦依法約談新浪微博等自媒體平臺，要求其按照全網一個標準，全面自查自糾。約談后，新浪微博等平臺負責人自查自糾，積極整改。上述自媒體平臺在國家網信辦約談后，紛紛整改相關內容以落實統一標準、保護個人信息。從保障個人信息權的角度，國家網信辦約談相關自媒體平臺所起到的作用不容小覷。

2018年3月，《深化黨和國家機構改革方案》出臺，中共中央將中央網絡安全和信息化領導小組改為中國共產黨中央網絡安全和信息化委員會。中國共產黨中央網絡安全和信息化委員會的辦事機構為中央網絡安全和信息化委員會辦公室（以下簡稱“中央網信辦”）。中央網信辦與國家網信辦協同推進個人信息保護工作，指導各大互聯網企業的“合規”行為。

3.網信辦領導為主，行業自律為補充。消費者協會保護自然人個人信息權縱使有立法基礎，不過實踐上效果不如網信辦的作用好。個人數據、隱私僅被聚集在中國的少數大型互聯網企業中，其強大的經濟力量與企業實力通常是消費者協會無法抗衡的。但是，各大企業有義務主動承擔保護自然人數據安全的責任是由我國國家性質決定的。

習近平總書記于2018年4月在全國網絡安全和信息化工作會議中系統闡釋了網絡強國重要思想，指出要形成多主體參與、多手段結合的綜合治網格局。在時代背景和黨的政策下，建立以國家網信辦為核心領導主體，地方各級網信辦分級指導，企業行業自律為輔助的個人信息權保護機制。行政性“合規”標準規范為審查方式。這樣的方式從技術上是能夠操作的，并且能更加高效地主動地保障個人信息權。

四、總結

《十三屆全國人大常委會立法規劃》第61個項目為個人信息保護法，關于個人信息保護的專門立法正在進行。個人信息保護法作為單獨制定的法律，其地位、作用應當明確。首先，個人信息保護法不應是民法的下位性法律。數據處理的技術性問題使得個人信息保護法不被任何部門法涵蓋、吸收，其地位屬于原生性、第一性。其次，有關個人信息保護法的現有法律、行政法規和部門規章仍然有效。目前我國個人信息保護以分散立法為主。僅憑個人信息保護法或許不足以保護個人信息權。盡管其應當是以提取公因式地方式吸收現有規范關于個人信息保護的內容，不過個人信息也具有很多類型與方式更設計不同的主體法益。個人信息保護法律體系框架基本不變，不過是需要在未來制定的個人信息保護法的統領下運行。最后，多元化主體參與的機制。統籌推進以國家網信辦為核心領導主體，地方各級網信辦分級指導，行政機關“合規”審查，全國各級消費者協會為補充，企業行業自律為兜底的個人信息權保護機制。數據安全是大數據發展的底線。由于數據不可避免的聚集在少數大型互聯網企業中，這就需要加強企業自律。不過也需要時刻警惕，這絕不是主要的路徑。

參考文獻：

[1]（英）維克托，邁爾·舍恩伯格.大數據時代[M].盛楊燕等譯，浙江人民出版社，2013：193.

[2]謝遠揚.信息論視角下個人信息的價值——兼對隱私權保護模式的檢討[J].清華法學，2015（3）：95.

[3]夏勇.公法（第1卷）[M].北京：法律出版社，1999：1.

[4]王利明.人工智能時代對民法學的新挑戰[J].東方法學，2018（3）：7.

[5]Andre Tunc， International Encyclopedia of Comparative Law，vol.4，Torts，Introduction，J.C.B.Mohr，Paul Siebeck，Tubingen，1974，p.63.

[6]劉澤剛.歐盟個人數據保護的“后隱私權”變革[J].華東政法大學學報，2018（4）：63.

[7]何強.大數據計算的“黑匣子”[J].中國統計，2015（12）：22.

[8]Federal Trade Commision，Self-regulation and Privacy Online：a Report to Congres，1999.

責任編輯：張洋