信義關系視角下個人信息保護新路徑探究

褚雪霏

(河北師范大學 法政與公共管理學院,石家莊 050024)

在信息時代,個人信息保護是一個非常重要的問題。我國現有立法對個人信息進行保護的方式,主要是通過賦予信息主體行使相應的權利,如知情權、刪除權、查閱復制權等。該模式在強調個人信息主體地位的同時,也使個人信息保護的責任更多地歸于個人。此外,我國還通過立法對數據處理者設定了諸多義務以期實現對信息主體的保護,但由于信息主體和處理者之間存在明顯的信息不對稱,該模式下二主體之間的結構性差異必將導致一定的逆向選擇風險。據此,我國現行立法中的個人信息保護模式在信息時代略顯捉襟見肘。因此,探尋個人信息保護的新范式,將具有獨特的理論價值和實踐價值。

一、我國個人信息保護模式和責任機制之局限性

(一)我國現行法律中個人信息保護的模式

近年來,我國陸續頒布《中華人民共和國民法典》(以下簡稱《民法典》)《中華人民共和國個人信息保護法》(以下簡稱《個人信息保護法》)等法律法規,對個人信息權益、處理規則以及安全防范措施等問題進行了明確的規定。我國現行法律中對個人信息的保護模式,主要是一種對信息主體賦予相應權利的方法。

具體而言,《民法典》在第四編“人格權”對“隱私權與個人信息保護”進行了專章規定,這種立法體例意味著我國將個人信息權益納入了民事權利的人格權范疇。并且,由于個人信息和隱私有著千絲萬縷的聯系,所以《民法典》將個人信息保護和隱私權的保護相并列。《民法典》有關個人信息保護的規定,實際上是將個人信息權益作為一種權利賦予給信息主體,但是并沒有明確規定“個人信息權”的內涵,而是將個人信息作為與隱私權類似的人格權益進行保護。根據《民法典》的這種立法模式,人們通常將個人信息權利理解為信息主體對信息的控制權決定的一種民事權利,其中還包括了知情、查詢、更正、復制、刪除等權能。

2021年8月20日,我國正式通過《個人信息保護法》,這充分標志著我國在個人信息保護方面產生了長足進步。和前述《民法典》一樣,《個人信息保護法》也是通過賦予信息主體擁有自主保護的相應權利,在此基礎上系統構建了信息時代的個人信息保護制度體系。

(二)信息時代對個人信息保護的挑戰

信息時代,個人信息保護面臨新的挑戰和困境。前文已述,我國現行法律對于個人信息保護采取的是一種對信息主體賦權的方法。該方法的理論基礎是工業時代誕生的“公平信息實踐原則”,該原則構成了全球個人信息保護的思想淵源與基本框架,確立了以個人信息賦權與施加信息控制者責任的進路[1]。然而,工業時代已經遠去,在當前的信息時代,大數據獨特的運行規律、個體理性的局限性以及數字經濟的發展需要等因素,無時無刻不在對“公平信息實踐原則”所確立的個人信息保護模式提出巨大挑戰。強化個人信息賦權未必符合當今個人信息保護的基本原理,對信息控制者施加責任也未必符合大數據的基本特征。這種賦權模式在實踐中的保護力度并不能達到預期效果,信息控制者更多的并不是提高自身的信息保護能力,而是傾向于選擇規避法律風險。長此以往,傳統模式不能夠完全適應信息時代需求的沖突日益明顯。

二、信義關系理論在個人信息保護領域的引入

在“滴滴違法收集使用個人信息案”(1)王某訴深圳市騰訊計算機系統有限公司個人信息保護糾紛案,參見“廣東省深圳市中級人民法院(2021)粵03民終9583號判決書”。和“微視案”(2)黃某訴騰訊科技(深圳)有限公司等網絡侵權責任糾紛案,參見“北京市互聯網法院(2019)京0491民初16142號民事判決書”。這兩個熱點案例中,結合法院判決我們不難發現,在面對經濟實力雄厚的信息控制者一方,信息主體在提供個人信息之后,幾乎無法在后續流程中保護自己的信息,更無從得知其個人信息是否處于安全的狀態。兩案例中的現象在信息時代中可以說是普遍存在的,剖析形成這種現象的主要原因,在于信息主體地位失衡、信息權屬界定模糊和雙主體信任危機,我國現行法律尚無法有效解決這些問題。因此,我們需要在個人信息保護領域引入新的機制,探索新的有效途徑。

(一)信義關系理論和數據信托

信義關系理論在個人信息保護領域的引入,主要是指通過數據信托制度,來完成對于數據的處理、保護和流通。我國部分學者在研究個人信息保護時,已經注意到了信義關系理論在個人信息保護中的作用,并且關注到了英美法系數據信托理論的獨特價值[2]。

1.信義關系理論

信義關系產生于英美法,它由衡平法所創設,表現為一種特殊的私法關系,即委托人將其財產、信息甚至是生命健康委托給受信人(受托人)。最為典型的信義關系即信托關系。信義關系的法理基礎,是受信人忠實、勤勉并按照良知履行義務。這也與衡平法上的義務和救濟所指向的對象一致:防止行為人違背良知的行為。

信義關系作為一種具有豐富內涵的法律關系,簡而言之其具有以下特點:第一,以受信人為核心,受信人應當遵守受信義務;第二,受信人往往是某項服務的提供者;第三,受信人能夠有效提供服務的前提,是委托人將其財產或信息向受信人進行了委托;第四,之所以形成前述委托,是因為委托人對受信人具有信任基礎。基于此,受信人應當以良知行事,忠實、勤勉地完成受托事項。

2.數據信托

關于數據信托的內涵,即使在其起源地英國和美國,也存在以下不同。

在美國,數據信托主要是指耶魯大學教授杰克·巴爾金提出的數據受托人理論,該理論也常常被稱作“數據信托”。巴爾金以律師、醫生等專業人士為例,將他們對執業過程中從客戶和病人那里獲取的個人信息所負有的信義義務進行類比,提出了他的觀點,即收集、處理、利用個人數據的數字服務提供者也應對提供個人數據的數據主體承擔信義義務,并將他們稱為“信息受托人”[3]。據此,美國所稱數據信托,其指代的其實是數字服務提供者負有的信義義務,屬于信義法的范疇。

在英國,數據信托指代一種全新的數據利用模式。英國開放數據研究所對數據信托總結出了5種代表性的闡釋。第一,一個可重復的術語和機制的框架;第二,一個共同的組織;第三,一種法律結構;第四,數據的存儲;第五,對數據訪問的公眾監督[2]。以此為基礎,在英國所謂數據信托,指代的是一種提供獨立數據管理的法律結構。

綜上,數據信托在英國和美國的內涵尚未達到完全一致,但二者的核心思想是統一的,即將數據權利作為信托標的,在數據主體和數據控制者之間成立信托關系,從而實現對數據主體的保護。

(二)數據信托保護個人信息的可行性和必要性

1.數據信托保護個人信息的可行性

信托和數據具有一個共同核心,也就是雙重所有權的結構。信托財產所具有的雙重所有權結構來源于英國的用益設計,它是信托制度的靈魂和根基。具體而言,這種雙重所有權體現為信托受托人享有信托財產名義上的所有權,而受益人則享有實質上的所有權。數據權利的“二元結構”與信托財產權的“雙重主體”有異曲同工之妙[4]。在數據權利中,數據的所有權屬于數據的主體,但是因為數據是存儲在網絡中的,所以數據的主體不能獨立地對數據進行管理,修改,刪除等。而能夠對數據進行上述行為的,往往是數據控制人。此種名義所有權與實質所有權分離的雙層架構是數據領域的核心內涵,與信托的結構具有一致性[5]。數據用益權與數據所有權二分的原理是權利分割思想,在確保數據原發者初始權利的前提下,滿足了數據處理者利用數據并受保護的需求,同時也為數據共享、交易確立了正當的權利基礎[6]。可見,在前述存在于數據之上的二元結構,使得其與信托法律關系具有結構上的近似性。基于這種所有權與控制權分離的架構,數據信托應當對個人信息的保護起到積極的作用。從這一點來看,利用數據信托來保護個人信息是可行的。

2.數據信托保護個人信息的必要性

我國現行立法下的個人信息保護模式在信息時代略顯捉襟見肘。這既會對信息的共享與流動產生不利影響,也會對個人信息保護形成沖擊。但是,數據信托可以使數據在使用的過程中確保數據處于安全狀態并能夠被合法利用。據此,通過數據信托保護個人信息具備一定的必要性。

三、數據信托的要素

(一)數據信托的主體

目前,針對數據信托的不同價值面向,學者給出了不同的概念。總體來看,數據信托是在數據提供者、數據使用者以及包括前面兩者在內的利益相關者之間的一個專業的數據管理第三方,其核心任務是在保障數據安全和隱私的前提下提供數據共享的渠道,以降低管理和共享數據的成本和技術阻礙[7]。簡單來說,數據信托是由數據控制者將其收集和整理的數據作為信托財產,并將其委托給受托人進行管理、使用和處分。其中,數據信托包括了三個主體,即數據信托委托人、受托人和受益人。

數據信托的委托人應當是數據控制者,包括數據提供者、數據使用者。數據控制者收集個人信息后,從海量的個人信息中,剝離出一些與個人身份有關的信息,也就是所謂的“脫敏”,讓個人信息中不再包含任何可以辨認出個人身份的數據。數據信托委托人將處理后的個人信息作為信托財產,交給數據信托受托人,數據信托受托人對委托人負有信義義務,必須根據數據信托目的,謹慎、勤勉地對數據進行相應的管理、運用和處分。數據信托的受益人,可以是委托人本人,也可以是委托人指定的其他人。而通常情況下,數據信托的受托人就是委托人自己。

綜上,數據信托的委托人、受托人、受益人三方各自享有基于數據信托所產生的權益,形成了穩定的數據管理和運用的架構。

(二)數據信托財產

設立數據信托時會面臨一個基本問題,即能否將數據作為信托財產設立一個數據信托。如果可以的話,那么數據信托運行過程中又會面臨一個問題,即是否能夠保證數據信托財產的獨立性。以上問題均涉及數據財產問題,產生這些問題的原因主要是我國民法學界對于數據是否為財產極具爭議,因此數據信托的創設也遭遇了“數據并非財產”的普遍質疑[8]。數據的使用價值與其本身的價值不相匹配,數據本身的價值很低,但當海量的數據聚集到一起時,其商業價值就會變得很大。此外,數據的易復制性、非競爭性和非排他性使得數據成為財產具有理論障礙[9]。筆者認為,數據財產權作為一種新型財產權應當被肯定,這種財產權主要體現在數據主體享有數據權利以及數據控制者對數據的控制權,通過支配效力和排他效力達到類似絕對權的效果。

四、關于數據信托結構的進一步思考

數據信托起源于英美,將其直接引入我國法律體系中恐難成立。在對該制度予以肯定的前提下,我們需要思考的是如何在數據財產權之上構建我國法律允許的數據信托。

首先,我們應當關注利用數據信托實現數據處理的規范性這一問題。在英美數據信托中,存在第三方獨立機構和數據控制者,而我國的數據信托中,前述主體所承擔的信義義務應當交由信托公司承擔。具體而言,在數據信托存續期間信托公司應當負有核查數據產品是否合法合規的義務,為了避免個人信息遭受侵犯,信托公司應當嚴格把控數據產品的交易。

其次,對于數據的處理問題。數據包含了一定的個人隱私,因此必須將數據進行“去隱私”處理,使數據不再含有能夠識別出個人信息的相關內容,才能作為可交易的數據產品。這也是我們在個人信息保護領域談數據信托的重大意義。對于數據的處理,由于信托公司并不具有專業性,故可以將此工作委托給其他專業機構,這也符合我國現行信托法對于信托標的的要求。

最后,對于數據處理專業機構的監督。前文已述,在數據的處理上,信托公司可以委托其他專業機構進行。而信托公司作為數據信托受托人,負有誠實信用、謹慎等信義義務,因此信托公司應當保證交付處理的數據來源合法合規,同時信托公司應當對于該專業機構進行有效監督,目的是為了防止該專業機構實施侵害個人信息等行為。

五、結束語

我國現行立法對個人信息進行了賦權保護,但是信息時代這種保護模式并不周延,時代在召喚我們對個人信息的保護進行一種新型探索。本文從信義關系的角度出發,探討在信息時代通過利用數據信托實現對個人信息的保護。雖然數據信托在我國距離全面推行仍然存在一定距離,但是我們必須承認它在個人信息保護和數據流通中能發揮雙重的積極作用。制度不存在出生即是完美,近乎所有的制度都在自我完善中度過一生,數據信托也一樣。目前,我國對于數據信托的理論尚處于起步階段,數據信托在我國的實踐仍需要更多的理論支撐,值得我國學者給予更為廣泛和深度的關注。