個人信息保護中的利益衡量

○徐 偉 尹赫銘

利益衡量有利于應對個人信息保護均衡目標的挑戰，有利于應對個人信息外延不確定性的挑戰，有利于應對個人信息保護中利益沖突的挑戰。個人信息保護中利益衡量的基本要求包括區分案件類型、分析利益類型、利益沖突、衡量立場和衡量標準，其核心步驟包括識別案件涉及的各種利益、分析利益沖突、運用標準進行利益衡量并得出初步結論、論證與修正初步結論。

一、個人信息保護中利益衡量的重要性

盡管隱私權和個人信息保護已經納入《民法典》人格權編，《個人信息保護法》也已實施，但手機APP超范圍收集信息、強制收集信息、過度索權的現象屢禁不止，因網上售賣個人信息導致電信詐騙的案件頻發，新冠確診患者因流調信息遭網暴的事件時有發生等，個人信息保護仍任重道遠。利益衡量作為一種重要法律方法，在解決法律沖突、填補法律漏洞、發揮裁判主觀能動性、追求實質正義等方面，具有重要現實意義。

首先，有利于應對個人信息保護均衡目標的挑戰。《個人信息保護法》第1條規定了個人信息保護法的立法目的，一是規范個人信息處理活動以保護個人信息權益；二是促進個人信息合理利用。利益衡量可以平衡“保護個人信息權益”和“促進個人信息合理利用”的均衡目標，實現良法善治的目的。

其次，有利于應對個人信息外延不確定性的挑戰。根據《個人信息保護法》第4條規定，“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息”。我國對個人信息認定采取“關聯說”，但在實踐中如何界定“與已識別或者可識別的自然人有關的各種信息”，還存在一些問題。如，自然人在填寫個人相關信息時，有時會涉及到近親屬的個人信息，尤其是敏感個人信息，如配偶的金融賬戶、不滿十四周歲未成年人的個人信息。利益衡量可以填補該法律漏洞，解決法律不確定性問題。

再次，有利于應對個人信息保護中利益沖突的挑戰。在個人信息保護法律關系中，法律關系主體有自然人、個人信息處理者與履行個人信息保護職責的部門，其權利（力）分別為自然人的個人信息權益、個人信息處理者的利用權、履行個人信息保護職責部門的保護和監督管理權（以下簡稱保護權）。原始利益沖突表現為個人信息權益與利用權之間的沖突，派生利益沖突表現為個人信息權益與保護權之間的沖突、利用權與保護權之間的沖突、以及各主體內部之間的沖突等。利益衡量可以平衡各種利益沖突，兼顧各方利益，努力讓人民群眾在每一項法律制度、每一個執法決定、每一宗司法案件中都感受到公平正義。

二、個人信息保護中利益衡量的基本要求

（一）區分案件類型

在個人信息保護中，案件類型直接決定著利益類型、利益沖突類型、衡量標準的具體運用。從個人信息類型出發，要區分一般個人信息案件與敏感個人信息案件。《個人信息保護法》第28條界定敏感個人信息包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。這些信息一旦泄露或者非法使用，相較于一般個人信息，更容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害，因此，對敏感個人信息案件的利益平衡要采取更嚴格的判斷標準。

從個人信息處理者類型出發，要區分私營部門處理個人信息案件和國家機關處理個人信息案件。通常而言，私營部門處理個人信息是為了追求商業利益，國家機關處理個人信息是為了公共利益，《個人信息保護法》對國家機關處理個人信息也作了特別規定。因此，私營部門處理個人信息案件重在平衡個人利益與商業利益，國家機關處理個人信息案件重在平衡個人利益與公共利益，衡量標準的具體運用也不盡相同。

（二）分析利益類型

在個人信息保護中，存在個人利益、企業利益、公共利益、國家利益等。個人利益對應自然人的個人信息權益，根據《個人信息保護法》第四章的相關規定，個人在個人信息處理活動中的權利包括查詢權、更正權、刪除權、解釋權、拒絕權、有條件的可攜帶權，以及對其個人信息處理的知情權、決定權、限制權、拒絕權等。企業利益和公共利益對應個人信息處理者的利用權，即私營部門處理個人信息而獲得的信息資源和國家機關處理個人信息獲得公共管理資源。基于“國內國際兩個大局”和“總體國家安全觀”考量，要統籌好發展與安全兩件大事，高度重視個人信息保護中的國家利益特別是國家安全利益，如“滴滴”秘密赴美上市，應美國要求提交中國用戶的行車數據信息，這不僅是對用戶個人信息的侵犯，也是對我國國家安全利益的損害。對此，《個人信息保護法》第42條規定了“境外的組織、個人從事侵害中華人民共和國公民的個人信息權益，或者危害中華人民共和國國家安全、公共利益的個人信息處理活動的”情形。由此可得出兩個結論，一是國家安全與公共利益是并列關系，二是個人信息保護與國家安全相關。因此，在信息全球化時代，國家安全利益已成為個人信息保護中必要衡量因素。平衡個人利益與商業利益，旨在對個人信息進行有效保護的同時，促進個人信息的合理利用與流轉，從而實現更大的商業價值；平衡個人利益與公共利益，旨在實現行政管理、公共安全、公共服務的同時，對公權力進行有效規制，從而保護公民的個人信息權益；平衡商業利益與國家安全利益，旨在追求發展數字經濟的同時，對個人信息跨境設定嚴格的出境規則，以維護國家安全。

（三）分析利益沖突

從類型化維度考量，個人信息保護中的利益沖突包括個人信息權益與利用權之間的沖突，個人信息權益與保護權之間的沖突。利用權與保護權之間的沖突可歸為外部利益沖突，各主體之間的沖突可視為內部利益沖突。內部利益沖突尤其復雜，需進一步分析。

一是自然人內部之間的利益沖突。根據《個人信息保護法》第28條規定，個人信息應區別對待不滿十四周歲未成年人的個人信息與已滿十四周歲的個人信息。在個人信息保護方面，成年人與不滿十四周歲未成人之間可能存在利益沖突。

二是個人信息處理者內部之間的利益沖突。根據《個人信息保護法》的相關規定，個人信息處理者包括個人、組織與國家機關，組織可細分為一般組織與特殊組織，其中特殊組織包括提供重要互聯網平臺服務、用戶數量巨大、業務類型復雜的組織，針對專門小型個人信息處理的組織，處理敏感個人信息以及人臉識別、人工智能等新技術、新應用的組織，關鍵信息基礎設施運營者，處理個人信息達到國家網信部門規定數量的個人信息處理者，向中華人民共和國境外提供個人信息的處理者等。

三是履行個人信息保護職責部門內部之間的利益沖突。根據《個人信息保護法》第60條規定，履行個人信息保護職責的部門包括國家網信部門、國務院有關部門、縣級以上地方人民政府有關部門等，它們在履行保護和監督管理職責過程中，因政出多門、責任不明、相互推諉，可能會存在具體利益沖突。

（四）分析衡量立場

利益決定立場，立場決定觀點。在個人信息保護中，利益衡量標準取決于衡量立場。立場不同，標準也就不同。從我國法的本質理論考量，應堅持人民立場，這是中國特色社會主義法治區別于資本主義法治的根本所在。從理論層面分析，全面依法治國的根本目的是依法保障人民權益，社會主義法治的價值追求是維護社會公平正義，利益衡量的結果必須為人民所認可。從邏輯層面分析，全面依法治國必須走群眾路線，人民是依法治國的主體，必須堅持為了人民、依靠人民。概言之，個人信息保護的利益衡量應堅持人民立場，要全面權衡個人利益、商業利益、公共利益、國家安全利益，而不能只考慮特定自然人的個人利益，也不能只考慮特定利用人的商業利益。

（五）分析衡量標準

習近平法治思想是全面依法治國的根本遵循和行動指南，也是利益衡量標準的根本遵循。以“堅持中國特色社會主義法治道路”觀之，我國利益衡量標準不能照搬他國模式和做法，必須從中國實際出發。以“堅持以人民為中心”觀之，公平正義是利益衡量的最高判斷標準；以“堅持在法治軌道上推進國家治理體系和治理能力現代化”觀之，法治標準是其大前提和主要標準；以“堅持黨對全面依法治國的領導”觀之，“沒有脫離政治的法治”，結合“實現政治效果、紀法效果和社會效果相統一”的目標要求，政治標準是其重要標準；以“堅持依憲治國、依憲執政”觀之，法律規范體系和黨內法規體系各有位階高低之分，利益位階標準是其基本標準；以“堅持依法治國和以德治國相結合”觀之，德治標準是其基本標準；以“堅持依法治國和依規治黨有機統一”觀之，黨內法規是其重要標準；以“堅持統籌發展和安全兩件大事”觀之，發展和安全是其重要標準。利益衡量的標準是一個開放體系，不是一個封閉體系。有基本標準與特殊標準之分，基本標準適用于一般情形，特殊標準適用于特殊情形。以系統觀念論之，個人信息保護的衡量標準是一個體系，最終判斷標準是讓人民群眾感受到公平正義，具體判斷標準是實現“三個效果”有機統一，基本標準包括法治標準和德治標準，參考標準是利益位階標準，特殊標準包括政治標準、黨內法規、發展安全等。

三、個人信息保護中利益衡量的具體運用

利益衡量的操作方法是利益類型、利益衡量的內涵與外延、目標、立場、標準的綜合體現，其核心步驟包括識別案件涉及的各種利益、分析利益沖突、運用標準進行利益衡量并得出初步結論、論證與修正初步結論。

首先，識別案件涉及的各種利益。從政治效果、紀法效果、社會效果相統一維度出發，在法治框架內識別案件涉及的各種利益。在個人信息保護的具體法律關系中，包括自然人的個人信息權益、個人信息處理者的利用權、履行個人信息保護職責部門的保護權，整體涉及個人利益、商業利益、公共利益、國家安全利益。如前文利益沖突部分所述，從利益主體維度看，有內外兩個分析視角，外部分析自然人、個人信息處理者、履行個人信息保護職責部門的整體利益；內部分析各主體內部之間的各種具體利益。從與案件的利害關系程度角度考量，個人信息保護案件有個案利益與類案利益之分。個案利益是指與案件之間有直接利害關系的各種利益，包括當事人的具體利益和潛在人群利益。潛在人群利益主要從現實層面分析，如當事人近親屬的利益。類案利益是指與案件之間有間接利害關系的各種利益，如群體利益。例如，手機APP因過度收集用戶信息遭下架后，其他手機APP運營商會據此規范自己的處理權，進而這些手機APP用戶群體的個人信息權益會因此得到保護。總之，在識別案件涉及的各種利益中，既要識別個案中的各種利益，也要識別類案中的各種利益；既要識別外部利益，也要識別內部利益；既要識別通常情況下的個人利益、商業利益、公共利益，也要識別特殊情況下的國家安全利益；既要識別當事人的利益，也要識別潛在人群、特定群體的利益等。

其次，分析各種利益沖突。在個人信息保護案件中，全面分析各種利益沖突是其核心環節。既要分析法律制度內的明顯利益沖突，也要分析法律制度外的潛在利益沖突。通常情況下，先分析自然人與處理者之間的原始利益沖突，再分析自然人與保護者、處理者與保護者之間的派生利益沖突；先分析自然人、處理者、保護者三者之間的外部利益沖突，再分析自然人、處理者、保護者各自的內部利益沖突；先分析與案件直接相關的利益沖突，再分析與案件間接相關的利益沖突；先分析個案中當事人之間的利益沖突，再分析類案中群體之間的利益沖突。

再次，運用標準平衡各種利益沖突并得出初步結論。在衡量個人信息保護案件的各種利益沖突中，第一步，運用法治標準和德治標準論證各種利益沖突的合法性與合理性。第二步，在涉及國家機關作為處理者或保護者的利益沖突中，運用政治標準論證政治效果和運用黨規標準論證紀法效果，在向中華人民共和國境外提供個人信息的特殊案件中，運用發展安全標準論證國家安全利益。第三步，運用利益位階標準確定各種利益的等級高低。第四步，在統籌兼顧各種利益的基礎上，得出個人信息保護中利益衡量的初步結論。

最后，論證與修正初步結論。運用“三個效果”相統一標準分別從政治效果、法律效果、社會效果逐一檢驗初步結論的合法性與合理性，論證其是否能夠讓人民群眾感受到公平正義。若完全符合“三個效果”相統一的具體判斷標準和公平正義的最高判斷標準，初步結論就可以得到認可；若不完全符合，則需要重新檢查案件所涉利益是否有遺漏、各種利益沖突是否全面、標準運用是否準確，進而對初步結論進行修正。