權(quán)利理論下個人信息保護“同意”的義務(wù)指向

李昊霖

青島科技大學(xué)法學(xué)院，山東 青島 266061

學(xué)界大多數(shù)涉及個人信息保護“同意”原則的文章，都會在第一部分對“同意”性質(zhì)加以界定，其基本上都是對“同意”作為一種無論是傳統(tǒng)權(quán)利，或者是新興權(quán)利的再次確認［1］。因此，本文另辟蹊徑，試圖從權(quán)利理論的角度出發(fā)，探討“同意”的義務(wù)性指向。人們愿意討論權(quán)利，有的時候并不是因為法律概念本身權(quán)利屬性的特殊性，而是因為權(quán)利會為法律概念提供更廣泛的正當性，泛權(quán)利化在學(xué)界方興未艾，各種新興權(quán)利層出不窮。本文并非要對個人信息保護中“同意”原則的權(quán)利性質(zhì)加以證明，而是希望在邏輯分析和權(quán)利價值等方面為“同意”原則提供更多關(guān)于行動規(guī)則的理論支撐，從而呼應(yīng)個人信息保護“同意”規(guī)則的規(guī)范性構(gòu)造。

一、個人信息保護“同意”的權(quán)利來源

個人信息保護中“同意”的權(quán)利具有雙重屬性，首先基于“同意”和意思表示具有強聯(lián)系性，故“同意”屬于一種非完全型的意思表示，屬于私法領(lǐng)域所涵攝的范圍。其次“同意”又指向個人信息的自決權(quán)和法律規(guī)范的強制力，屬于公法領(lǐng)域的規(guī)制對象。具體而言，個人信息保護的“同意”具有意思表示內(nèi)涵，其本身具有價值的指向，通過“同意”規(guī)則，個人可以處分其權(quán)益，在法律規(guī)定的范圍內(nèi)形成自治。同時“同意”又受制于法律規(guī)范的強制力約束，其主要表現(xiàn)在兩方面：第一，法律規(guī)范本身對于“同意”規(guī)則的約束。《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）第十四條可以理解為“如果個人在沒有充分知情和明確所有被處理的個人信息的情況下，那么同意屬于無效”。第二，法律規(guī)范對于“同意”的價值選擇。2019 年《德國聯(lián)邦數(shù)據(jù)保護法》根據(jù)《歐盟一般數(shù)據(jù)保護條例》（GDPR）將“同意”定義為“Willenbekundung”，根據(jù)德語的構(gòu)詞結(jié)構(gòu)，該詞為復(fù)合詞，即“Willen+Bekundung”。“Willen”作為情態(tài)動詞，其本身體現(xiàn)了較高程度的自愿，而“Bekundung”來源于“Bekunden”即表達之意。其本身區(qū)別于《德國民法典》中“Willenerklarung”（意思表示），這也說明表達和表示之間存在差別，表達只是單純表達出意愿，而表示則有對于意愿的進一步示意的效果。意思表達偏重于形式化，而意思表示則具有具體的內(nèi)涵。

“同意”作為一種非完全型的意思表示，無法從“意思”的概念準確地概括“同意”的權(quán)利來源。筆者認為“同意”的權(quán)利更應(yīng)該來自基本人權(quán)的屬性。通過“基本人權(quán)”可以讓“同意”在意思表示內(nèi)涵和規(guī)范強制力兩方面得到自洽。第一，可以通過隱私權(quán)的這一上位概念進行解釋，個人信息屬于隱私權(quán)保護的內(nèi)容。隱私權(quán)同個人信息具有重合點，隱私權(quán)與個人信息都屬于人格權(quán)益的范疇，《中華人民共和國民法典》將兩者置于同一章，就是考慮了其天然的聯(lián)系。第二，兩者的客體本身具有重合性。第三，隱私權(quán)和個人信息在侵害方式上具有共同的形式。第四，隱私權(quán)與個人信息還存在功能的交互性。但是隱私權(quán)和個人信息是完全不同的概念，不應(yīng)該將兩者混同。國內(nèi)學(xué)者有從多個角度對其進行區(qū)分，但是筆者主要認為，兩者最大的不同之處是個人信息“同意”屬于公法和私法混合的權(quán)利概念，一方面其運行規(guī)則需要利用私法方面的意思自治模式，而該模式的正常運行則需要利用公法來保障，對于個人信息所有者的權(quán)利也需要公法來保障，例如《個人信息保護法》中的撤回權(quán)、決定權(quán)等規(guī)定。另一方面，法律規(guī)范的強制性則通過“自由”權(quán)進行體現(xiàn)。因為價值選擇的本身就包含了一種利益衡量。即對于個人“自由”的保護與社會大眾利益的平衡，并非所有的自由都應(yīng)該得到完全的滿足，應(yīng)先考量公眾利益的優(yōu)位。這一點在學(xué)界也已達成廣泛共識。故筆者認為個人信息保護“同意”真正的源權(quán)利是“基本人權(quán)”，而非僅僅是隱私權(quán)，或者自由權(quán)。賦予“同意”更大范圍的權(quán)利屬性，有利于為“同意”規(guī)則的構(gòu)建和發(fā)展提供更為合理的路徑。

二、權(quán)利邏輯中個人信息保護“同意”所指向的義務(wù)

（一）權(quán)利概念和邏輯的分析

我們通過美國法學(xué)家霍菲爾德關(guān)于主張權(quán)的經(jīng)典表述展開討論，A 享有B 做X 的一項主張權(quán)，當且僅當B 對A 負有做X 的一項義務(wù)。雖然霍菲爾德僅僅是從形式上定義了主張權(quán)利義務(wù)的對應(yīng)關(guān)系，缺少更加深層次的原因分析，這也是本文將要展開分析的內(nèi)容，但是仍然不能否認其作為展開分析出發(fā)點的重要作用。具體而言，個人信息保護中“原則”無疑是一種個人主張的權(quán)利，那么就會產(chǎn)生相應(yīng)的義務(wù)，而對應(yīng)義務(wù)的強度在筆者看來是界定個人信息保護“同意”權(quán)利性質(zhì)的關(guān)鍵。如果對應(yīng)的是一種相對平等，非強制的義務(wù)則傾向于私法領(lǐng)域的意思自治的概念，而如果對應(yīng)具有明確價值位階，具有強制性的義務(wù)，則傾向于公法領(lǐng)域的權(quán)利主張。但是無論是私法還是公法領(lǐng)域，都需要更加深層次而非僅僅是形式上去理解個人信息保護“同意”所指向的義務(wù)。

必須先肯定的是個人信息保護中“同意”具有天然的權(quán)利外觀，因為其內(nèi)容始終關(guān)乎隱私、自由、尊嚴等基礎(chǔ)權(quán)利所必須具備的一些基本價值。這些基本的價值賦予“同意”原則權(quán)利的權(quán)威性，同時自然而然地獲得規(guī)范力的加持，《個人信息保護法》的制定和頒布無疑是對于個人信息保護“同意”的制度性支撐。但是規(guī)范是指向行動的，當個人信息保護“同意”具備規(guī)范力之后，我們更應(yīng)該明確其義務(wù)指向，這并非形式上的概念的厘定，而是需要獲得實踐中成功。

（二）從權(quán)利的價值方面分析

通過拉茲客觀上預(yù)設(shè)的道德和價值的立場，進一步認識個人信息保護“同意”所指向義務(wù)的必要性。拉茲認為，一是社會實踐創(chuàng)造了價值，二是社會實踐控制了價值實現(xiàn)的機會［2］。本文重點從社會實踐創(chuàng)造價值的層面分析個人信息保護“同意”的義務(wù)性作用。通過檢索目前司法領(lǐng)域針對個人信息保護“同意”的案例，以上海青浦、江蘇吳江、浙江嘉善三地法院及市場監(jiān)督管理局聯(lián)合發(fā)布的消費者權(quán)益保護十大典型案例之七：某售樓處人臉識別系統(tǒng)侵害消費者個人信息被行政處罰案為例。該案例明確公共區(qū)域內(nèi)個人信息的采集須經(jīng)消費者同意。售樓處通過人臉識別系統(tǒng)，無疑會更好地明確潛在客戶，同時可以更加精準達成銷售房產(chǎn)的目的，其本身是具有相當大的經(jīng)濟價值的，因為房產(chǎn)的銷售不僅僅關(guān)乎房地產(chǎn)企業(yè)的經(jīng)營和發(fā)展，同樣對于整個地區(qū)經(jīng)濟的發(fā)展都有很大的作用，但是為什么法院還是判定在公共區(qū)域內(nèi)個人信息的采集必須經(jīng)過消費者的同意？這無疑是指向了更大規(guī)模的社會實踐，即公民對于個人身份信息的保護需求的價值高于房地產(chǎn)銷售的社會實踐，這不僅僅是因為公民個人信息所指向的關(guān)乎尊嚴、隱私等人的基本權(quán)利，同樣也與我國人民當家作主的國家信仰相契合。在公共區(qū)域中個人信息具有價值，但是其價值的實現(xiàn)則必須通過社會實踐所確認，并賦予其正當性。因此可以在一定程度上判定個人信息保護“同意”所指向的義務(wù)性，絕不是單純的公法、私法簡單混合的義務(wù)，而是更具有公法意義上的強制義務(wù)屬性。

三、個人信息保護“同意”的公法義務(wù)

面對互聯(lián)網(wǎng)時代對個人信息保護的嚴峻挑戰(zhàn)，個人信息的私法保護已出現(xiàn)乏力現(xiàn)象。其主要表現(xiàn)在三方面：對違法者的威懾不足；被侵權(quán)人維權(quán)能力不足；違法認定和損害認定標準不清［3］。面對此種情況，迫切需要國家機關(guān)的介入，但是我國目前對于個人信息保護的介入，多零散地分布于各個個人信息保護相關(guān)的法律規(guī)范之中，缺乏體系性。而且學(xué)界已經(jīng)逐漸意識到了該問題，但是多停留在對于公法規(guī)制正當性和必要性的層面，對于具體的規(guī)制方式方法卻鮮有涉及。據(jù)統(tǒng)計，目前我國有關(guān)“個人信息”的規(guī)范性文件超過1000 部，雖然存在繁多的關(guān)于“個人信息”的規(guī)范性文件，但是這些規(guī)范往往不成體系，在實踐當中往往存在公法和私法的界限不清、同時使用的問題。隨著互聯(lián)網(wǎng)的飛速發(fā)展，個人信息的治理也展現(xiàn)出了“從個人本位走向社會本位”的趨勢［4］。針對此問題，有的學(xué)者認為應(yīng)當發(fā)揮公權(quán)力機關(guān)在個人信息保護方面的主體性作用。并提出了以《個人信息保護法》為核心，以場景主義理念為指導(dǎo)，打造事前、事中、事后全流程的個人信息公法保護模式。但是筆者認為，似乎這種對于個人信息的保護仍然沒有跳出借用私法領(lǐng)域規(guī)制個人信息保護的方式方法的藩籬。筆者看來，對于個人信息的公法保護，需要打破利用私法為主、公法為例外，即“同意”的“一般原則+例外”的模式。有的學(xué)者強調(diào)，通過場景理念的改造，解脫對于“同意”的限制，但是其本質(zhì)還是模糊公法與私法的界限。筆者認為這種模式存在兩個缺陷：一是如果完全以場景理念指導(dǎo)個人信息的保護，在某些情況下會完全架空個人的“同意”。例如在認為絕對為了個人利益的場景下，無需取得個人“同意”就具備了正當性。例如目前的智能運動產(chǎn)品，如果用戶在面臨緊急情況或者生命危險的時候，會自動獲取個人用戶的生命體征的信息。雖然用戶可以前置“關(guān)閉”該系統(tǒng)，但是多數(shù)情況下，是在用戶無意識情況下獲得個人用戶的地理位置以及生命體征等信息。二是此種模式還是沒有突出公法對于個人信息保護的特點以及公益屬性。公法對于個人信息保護是雙向的，一方面出于公益目的強調(diào)使用個人信息，發(fā)揮其最大化的價值。另一方面需要防止個人信息被濫用。目前我國公法領(lǐng)域?qū)τ趥€人信息的保護著重于后者。

對于個人信息在公法領(lǐng)域的保護，或許還是應(yīng)當回到規(guī)范本身尋找解決路徑。例如在《中華人民共和國刑事訴訟法》（以下簡稱《刑事訴訟法》）中規(guī)定舉證責(zé)任倒置規(guī)則適用個人信息保護案件［5］，適用舉證責(zé)任倒置的規(guī)則本身就是體現(xiàn)對個人信息保護的公法義務(wù)。因為適用舉證責(zé)任倒置規(guī)則，是考慮到當事人雙方通常地位懸殊。如果面臨企業(yè)違規(guī)收集個人信息，個人信息權(quán)益受到損害，個人所面對的往往是具有專業(yè)法務(wù)人員的企業(yè)。因此將舉證責(zé)任倒置，有利于維護個人的個人信息權(quán)益。在刑法領(lǐng)域，《中華人民共和國刑法》（以下簡稱《刑法》）中明確規(guī)定了個人信息范圍的限縮，全面理順了“情節(jié)嚴重”認定標準［6］；《中華人民共和國刑法修正案（七）》《中華人民共和國刑法修正案（九）》《最高人民法院、最高人民檢察院關(guān)于辦理危害計算機信息系統(tǒng)安全刑事案件應(yīng)用法律若干問題的解釋》將“公民個人信息”作為明確的、獨立的保護對象；《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》進一步明確了個人信息的范圍；相關(guān)學(xué)者也進一步提出侵犯公民個人信息罪的“公民個人信息”一定要符合《個人信息保護法》中的“個人信息”的概念，但《個人信息保護法》中的“個人信息”未必都屬于《刑法》調(diào)控的對象。在刑法視域下對于“公民個人信息”進行限縮，本質(zhì)也是對于個人信息的保護，防止其被過分擴大化而被濫用的公法規(guī)制。同時在《刑事訴訟法》第一百三十六條中限制搜查地點，就是為了避免偵查機關(guān)過度搜集個人信息，并在《刑事訴訟法》第五十四條科以公安司法機關(guān)保守國家秘密、商業(yè)秘密與個人隱私的義務(wù)［7］。

四、總結(jié)

我國目前對于個人信息在公法領(lǐng)域的保護，強調(diào)的還是個人信息國家保護義務(wù)，而弱化了個人信息保護中國家的權(quán)利。這也與筆者強調(diào)需要厘清個人信息保護“同意”原則義務(wù)的形式和實質(zhì)內(nèi)涵相契合。個人信息保護“同意”所指向的義務(wù)，需要達到形式和實質(zhì)的相互協(xié)調(diào)并共同發(fā)力。簡言之，是使內(nèi)外部達成一種合力，從內(nèi)部（形式義務(wù)）來講，法律規(guī)范對于“同意”規(guī)則應(yīng)當更具體和明確，例如針對需要重復(fù)收集“同意”的授權(quán)采取更加明確的告知方式，而不是給司法機關(guān)過多的自由裁量權(quán)。對于“隱私政策”規(guī)定的展示也應(yīng)當更加具有便利性，讓大多數(shù)用戶可以便捷地找到與之利益相關(guān)的內(nèi)容，而不是沒有重點地羅列規(guī)定條款。例如明確若個人想在48 小時內(nèi)刪除自己的個人信息，可以通過何種方式進行操作。個人信息處理方應(yīng)當將救濟手段在“隱私政策”中明確規(guī)定，避免用戶動輒起訴，增加訴累，同時也降低了個人信息處理方的企業(yè)聲譽和產(chǎn)品公信力。從外部（實質(zhì)義務(wù)）來講，增加以《個人信息保護法》為核心的個人信息領(lǐng)域的法律規(guī)范同其他部門法的協(xié)調(diào)性，除了前文所列舉的公法領(lǐng)域部門法的規(guī)定之外，仍需要進一步加強相關(guān)立法進程。