數字經濟背景下個人信息保護機制的反思與完善

吳雨晨?蘇元悅

在數字經濟蓬勃發展的同時，也引發了人們對個人信息安全的擔憂。本文以利益平衡為切入點，在兼顧數字經濟發展和個人信息保護的前提下，反思現行個人信息保護機制的不足，并提出完善建議，以期為相關部門提供參考建議。

《“十四五”數字經濟發展規劃》中提到，數字經濟是繼農業經濟、工業經濟之后的主要經濟形態。從2012年至今，數字經濟規模不斷擴大，已經成為我國經濟發展和百姓日常生活中不可缺少的一環。目前，數字經濟的發展也步入了新的階段。一方面，實現數字經濟的高質量發展是建設社會主義現代化強國的重要基礎；另一方面，規范數字經濟，推動數字經濟健康發展也是我們必須重視的問題。如何在數字經濟發展和個人信息保護之間取得平衡，成為新的政策難題。2021年，我國出臺《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》），成為我國個人信息保護領域的一大里程碑。該法賦予了個人諸多數字權利，也為信息利用者增加了不少義務。但是，《個人信息保護法》所遵循的“個人信息控制論”，過度重視個體權利，反而忽略了在個人信息領域其他主體的利益訴求。因此，本文以利益平衡為出發點，反思《個人信息保護法》的不足之處，在盡可能平衡多方利益的基礎上完善個人信息保護的制度規定。

一、數字經濟下個人信息保護的實踐困境

在過去的十幾年間，我國數字經濟的發展處于自由生長階段，缺少法律束縛。一方面給了數字經濟創新的空間；另一方面也縱容了數字經濟企業對個人信息的不當利用。個人無力對抗擁有大數據、算法等技術加持的數字經濟企業，造成了個人信息被肆意竊取、濫用、泄露的現狀?！秱€人信息保護法》為了扭轉這一局面，賦予個人多項數據權利，同時施加給企業繁重的義務，但這些做法卻未能從根本上改變個人與企業的不平等地位，反而擠壓數字經濟企業的生存空間，不利于數字經濟的發展。

（一）個人信息處理現狀偏重企業利益

1.知情權缺失導致絕對賦權主義失效

我國《個人信息保護法》以個人信息控制論為理論基礎，主張個人有權控制個人信息的使用，以實現對公民基本權利的保護。這一理論來源于德國在二十世紀七十年代提出的“理性人假設”。所謂“理性人”，即假定人在經濟活動中充滿理智、精于計算且永遠保持冷靜，并且基于自身利益最大化做出決策。在個人信息領域，也認為信息主體有權自由決定其個人信息在何種情況下可以被其他權利主體收集、分析、存儲和利用。我國《個人信息保護法》賦予了用戶知情權、決定權、信息攜帶權、主張刪除權等個體權利，并且在“同意-告知”規則的框架下，除了法律規定的少數情形，信息處理者獲取信息都需要信息主體的同意。看似信息主體擁有了能夠對抗信息處理者的權利，然而隨著互聯網和大數據的迅速發展，信息主體和信息利用者之間的數字鴻溝逐漸加深，雙方之間嚴重的不平等地位導致理性人假設的前提不再成立，在不改變這一前提的情況下，一味地給個人賦權的方式無法實現對個人信息的實質性保護。

賦權模式面對的最大挑戰是用戶知情權的缺失。隨著大數據的發展，個人信息的內涵已經遠遠超過了傳統定義，不再僅指姓名、年齡、學歷、家庭地址等極易識別個人身份的信息，而是包括網頁瀏覽記錄、消費記錄、行蹤軌跡等在內的各式各樣的信息，用戶在網上留下的一切痕跡都有可能被信息處理者搜集和利用。不僅如此，各種APP還經常超范圍搜集信息，在收集信息時并未遵守“最小必要”原則，反而要求用戶開啟某些與該APP主要功能并不相關的權限，例如使用導航APP，需要允許開啟通訊錄權限；使用社交APP，需要允許開啟位置權限；等等。面對APP的過度搜集行為，用戶要么不知情，要么為了享受APP提供的服務，被迫開放信息權限。此時的信息利用者手握大量個人信息，其利用算法便可以輕松地獲得用戶畫像，掌握用戶的性格、愛好、需求等特征，用戶在大數據面前宛如透明人。盡管平臺可以因此為用戶提供定制的個性化服務，但同時它們也會更多地從用戶身上獲取利益。例如，在大數據殺熟中，平臺根據用戶的消費習慣和經濟水平，為用戶提供可接受范圍內的價格最高的產品，而用戶出于對平臺的信任和習慣購買商品，絲毫不會察覺自己遭遇了“價格歧視”。用戶知情權的缺失，導致雙方在信息嚴重不對稱的情況下，往往只能做出次優決策。這樣一來，法律寄希望于個體做出最佳選擇，并為自己的決策承擔后果，無異于是一種風險的轉嫁。

2.互聯網市場中政府監管的缺位

在傾斜保護型法律中，因為個人的弱勢地位無法對企業產生制約，所以為了避免企業的不法行為，政府往往要扮演強力監督的角色。但是，互聯網市場主體數量眾多、新興技術層出不窮，給監管造成了很大困難。工信部的數據顯示，截至2021年年末，我國國內市場上監測到的APP數量為252萬款，面對數量如此龐大的互聯網市場，監管幾乎不可能做到全面覆蓋。此外，APP的功能也在不停更新換代，技術迭代所可能引發的問題層出不窮，政府監管恐難以兼顧。以算法設計的隱蔽性為例：首先，算法的設計往往具有很強的專業性，其本身以計算機編程語言的形式呈現，非專業人士想要理解存在一定的難度，也就無法對其進行監督；其次，算法作為互聯網企業的核心機密，企業為了提高自身的競爭力，大多會以商業安全和商業秘密為由進行保密，這就形成了算法黑箱特征；再次，由于法律本身帶有不可避免的滯后性，當下的政府部門如果仍遵循傳統的事中、事后監督機制，恐怕難以及時應對瞬息萬變的信息違規行為；最后，執法手段的單一，法律標準的模糊，使得政府在個人信息保護領域的監管有心無力。

（二）個人信息保護規則偏重個人利益

1.一體化個人信息保護對企業提出了過高要求

我國《個人信息保護法》在立法過程中偏重于強調信息處理者的責任，忽視其合法權益訴求。例如，我國未對個人信息進行分級保護，導致信息處理者的義務邊界難以界定。由于間接識別的個人信息在敏感性、隱私性上弱于直接識別的個人信息，許多國家對前者的保護力度小于后者。我國《個人信息保護法》對個人信息“可識別性”的規定過于模糊，在大數據時代，許多看似不起眼的信息與其他信息相結合后，都有可能識別出特定的信息主體，這就意味著“可識別性”的范圍過于寬泛，個人信息的內涵邊界難以界定。對于信息處理者而言，這樣模糊的規定一般會導致兩種結果：其一，由于個人信息內涵可以無限延伸，導致企業在使用個人信息時要受到諸多限制，加重企業負擔，阻礙數據的自由流通，抑制企業的創新發展；其二，由于法律規定不夠明晰，企業可以靈活認定個人信息的邊界，由此方便了部分企業鉆法律的空子，逃避承擔保護個人信息的義務，甚至造成劣幣驅逐良幣的不良影響。

2.高合規成本壓縮中小企業的生存空間

《個人信息保護法》對信息處理者的法律責任一視同仁，這不利于中小企業的發展。在互聯網市場中，往往會形成“贏家通吃”的局面，互聯網巨頭企業憑借擁有龐大的用戶群體、海量的信息優勢和算法壁壘，在與中小企業的競爭中遙遙領先，由此形成規模效益。我國的互聯網市場早已結束了群雄爭霸的年代，阿里、騰訊、百度等互聯網巨頭公司占據絕大部分市場份額，中小企業想要崛起本來就舉步維艱，如果對這些企業施加同樣的個人信息保護義務，承擔相同的法律責任，則會導致其付出巨大的經營成本，進一步壓縮中小企業的生存空間。

二、數字經濟下個人信息保護制度完善

（一）完善知情同意原則

規范數字經濟，應當保障信息主體的知情權，優化知情同意機制。

首先，網絡平臺應當采取分層級告知模式，取消“一攬子”授權模式，避免用戶遭遇“不同意即禁止使用”的困境。對于私密等級高的信息，平臺應當以更醒目的方式予以提醒，并采取最嚴格的保護方式；對于私密等級低的個人信息，可以用隱私政策的方式同意告知，在保護力度上可以稍作降低。

其次，必須以用戶友好為導向優化告知方式。平臺尤其應當避免提供冗長復雜、專業術語繁多的隱私政策，而要盡可能簡單、明確、突出重點，讓用戶在最短時間內明白自己的信息被收集、使用的情況。

最后，是完善對網絡運營商的監督和責任追究機制。政府相關部門應當對APP進行定期核查，并對APP的個人信息保護情況進行審查與公示。核查的內容一方面是APP的隱私政策是否做到全面、規范、明確；另一方面是APP對個人信息收集是否超出了其運營必要的限度。對于違規的APP，可以要求其整改或處以罰款，甚至讓其下架。

（二）數字經濟企業擔負“守門人”義務

在個人信息保護領域，大數據、算法等技術因其專業性和保密性特征，對監管機構提出了較高要求。相較而言，如果數字平臺作為“守門人”，在設計算法之初就加入保護個人信息安全的技術手段，主動監管平臺內的活動，便能夠更好地起到事前風險防范化解的效果。信息處理者應當在信息流轉過程中的收集、儲存、使用各環節，針對其特點設置相應的信息保護安全措施，如告知義務、信息分級分類管理、防止信息丟失或泄露、防止第三方竊取等。另外，信息處理者還應當設置信息流轉的全鏈條監督機制，在檢測到信息有泄露風險時，可以及時進行阻斷。信息處理者在傳輸數據時，可以采用一定的技術手段為輸出的數據添加溯源標記，以便在發生信息安全事件時能夠精準、快速地追溯到責任主體。

（三）建立分級分類的個人信息保護機制

為了促進數據的自由流通，《個人信息保護法》應當對低敏感度個人信息采取更寬松的保護方式，以便企業可以將精力集中在高敏感性個人信息的保護上，從而達到企業和個人的雙贏。對于高敏感度的個人信息，應當嚴格約束信息處理者對此種信息的收集、利用和流轉；對于低敏感度的個人信息，則可以采取更加寬松的規制措施，并相應地降低甚至免除信息處理者負有的個人信息保護義務。例如，我國《個人信息保護法》對于信息處理者的收集和處理個人信息采取“原則必須取得授權，例外可以免除”的規定，這樣就導致信息處理者要頻繁取得個人授權，加重企業負擔。為了節約成本，提高信息的流通效率，對于低識別性的個人信息，我們可以采取原則默認同意，例外可以要求停止收集的模式。

（四）適當放寬中小網絡平臺的責任承擔

隨著互聯網市場的壟斷效應凸顯，大型網絡平臺具備的用戶規模、經濟體量、抗風險能力都遠遠超過中小平臺，也更容易產生對社會危害巨大的安全風險；而中小平臺支配的數據少，產生的安全風險也相對較小，在競爭中，大企業無論從經濟還是技術角度都擁有絕對優勢，如果對二者一視同仁地予以規制，只會扼殺中小企業的創新發展，鞏固大企業的壟斷地位。因此，個人信息保護的重點應當是具有一定規模以上的大型網絡平臺，法律應對其提出更高的責任要求；而對中小企業，可以適當地降低或免除對信息的安全保障義務。在標準判斷上，可以參考美國加州的《加利福尼亞州消費者隱私法案》，從年收入、用戶數量、年信息處理量和從事的主要業務類型進行區分，將互聯網企業區分為超級平臺、大型平臺和中小平臺，對于超級平臺，應當設置額外的風險防控機制。此外，還可以對中小平臺實施“首違不罰”“輕微違法行為免罰”等措施，即如果中小平臺首次發生的情節輕微、能夠及時糾正、未造成危害后果的部分違法行為，依法免于處罰，更好地促進中小平臺的創新發展。

結語：

《個人信息保護法》的出臺，一定程度上扭轉了個人與企業的不平等地位，但也不可避免地產生了新問題。立法者在立法時依然遵循傳統的強化個人信息賦權的進路，這種模式雖然在一定程度上保護了用戶的個人信息權益，但在信息主體與信息處理者之間巨大的數字鴻溝下，這種模式并不能從根本上解決二者間的不平等地位，反而加劇個人利益、企業利益和公共利益之間的沖突。在大數據時代的背景下，如何對現行個人信息保護機制進行再平衡，值得我們思考，保護個人信息，不僅要保護個人利益，也要重視不同主體間的利益訴求，實現多重利益主體的實質平衡，促進我國數字經濟的健康發展。