互聯網平臺企業隱私政策中知情同意規則適用研究

基金項目：中央高校基本科研業務費專項資金人文社會科學創新項目（2020VI052）

作者簡介：何柯穎（1999-），女，武漢理工大學法學與人文社會學院碩士研究生，研究方向：民商法。

摘" 要：知情同意規則作為個人信息保護的核心規則，在《個人信息保護法》中已予以明確規定。然而，隨著互聯網經濟的蓬勃發展，知情同意規則在實踐中面臨諸多困境。當前，我國互聯網平臺企業雖然通過隱私政策適用知情同意規則，但卻存在告知義務履行瑕疵、信息主體同意形式化、監管體系不完善等問題。對此，提出將知情同意規則置于《個人信息保護法》的框架下加以規范的對策：在優化適用方面，明確信息處理者的告知義務、保證信息主體同意的自愿性、加強信息處理技術的應用；在保障機制方面，構建多方監管的協同共治模式、完善知情同意規則的侵權救濟機制，從而使個人信息的商業利用與權益保護達到平衡狀態，推動互聯網平臺企業在適用知情同意規則時發揮其應有作用。

關鍵詞：個人信息保護；互聯網企業；知情同意書；隱私政策

中圖分類號：D923

文獻標識碼：A

doi：10.3969/j.issn.1672-2272.202310035

Research on the Application of Informed Consent Rules in the Privacy Policy of Internet Platform Enterprises

He Keying

（School of Law and Humanities and Social Sciences，Wuhan University of Technology，Wuhan 430070，China）

英文摘要Abstract：The informed consent rule， as the core rule in personal information protection， has been clearly stipulated in the Personal Information Protection Law. However， with the vigorous development of the internet economy， the informed consent rule faces many difficulties in practice. Currently， Chinese internet platform enterprises apply the informed consent rule through privacy policies， but there are problems such as flaws in fulfilling the obligation to inform， formalization of information subject consent， and incomplete regulatory systems. In order to broaden our thinking and find countermeasures， this article attempts to standardize the rules of informed consent within the framework of the Personal Information Protection Law： in terms of optimizing application， clarifying the disclosure obligation of information processors， ensuring the voluntary consent of information subjects， and strengthening the application of information processing techniques; In terms of protection mechanisms， we will establish a collaborative governance model with multiple regulatory parties and improve the infringement relief mechanism of informed consent rules， so as to achieve a balance between the commercial use of personal information and the protection of rights and interests， and promote internet platform enterprises to play their due role in applying informed consent rules.

Key Words：Personal Information Protection；Internet Enterprise；Informed Consent；Privacy Policy

0" 引言

大數據背景下，個人信息泄露時有發生，信息主體的個人信息權益往往得不到保障，知情同意規則的適用面臨嚴峻挑戰。互聯網企業作為信息處理者，應制定隱私條款以保證知情同意規則的有效落實，但在實踐中，普遍采用“一鍵同意”，若知情同意不能切實發揮個人信息保護的作用，卻又阻礙互聯網經濟對于數據資源的開發利用，那么互聯網經濟發展與信息主體權益保護之間的矛盾只會愈演愈烈，因此，如何提高信息主體同意的真實性是亟待解決的問題。基于此，本文將詳細論述知情同意規則在實踐中的適用困境，并從多視角提出解決措施，以促進知情同意規則有效適用和互聯網經濟有序發展。

1" 互聯網平臺企業隱私政策中知情同意規則的適用困境

1.1" 告知義務存在瑕疵

互聯網平臺企業作為信息處理者，履行告知義務是信息主體知情同意的前提，信息主體在充分知情后實現個人主體的信息自決。然而，此處有一明顯悖論：信息主體希望信息業者能詳盡其隱私條款，自身卻又無法完全理解其晦澀難懂的專業術語，導致隱私條款的“充分告知”與“明確易懂”難以并存。

企業制定隱私政策，已當然將受眾群體看作“理性人”，默認信息主體能夠充分閱讀條款并理解含義，經過思考后做出理性選擇。然而在實踐中，并非每一位使用產品的信息主體都是企業所默認為的理性人，甚至有相當一部分人從不閱讀隱私政策。從主觀層面看，一部分信息主體會選擇閱讀隱私政策，但其閱讀效果卻會受到多種因素的影響，例如閱讀速度、教育背景、理解能力、知識儲備、耐心程度等。從客觀層面看，信息處理者所制定的隱私條款內容過于龐雜冗長，信息主體很難在短時間內知悉條款的重點內容。例如在微信《軟件許可及服務協議》中的第三方軟件技術條款寫到：“本軟件如果使用了第三方的軟件或技術，騰訊將按照相關法規或約定，對相關的協議或其他文件，可能通過本協議附件、在本軟件安裝包特定文件夾中打包、或通過開源軟件頁面等形式進行展示，它們可能會以‘軟件使用許可協議’‘授權協議’‘開源代碼許可證’或其他形式來表達。”其中，“開源軟件”“開源代碼許可證”等概念就不被大眾所知悉。簡單易懂的隱私政策確實是信息主體所期待的，可簡明的條款卻難以詳盡告知信息處理過程中的風險，進退維谷之間，充分告知與知情之間看似邏輯合理，實則難以在實際生活中完美踐行。

1.2" 同意缺乏真實性

大數據時代下，信息爆炸帶來海量而專業的數據使得個人同意失去了自決的意義［1］。信息主體的同意權建立在自決基礎之上，即基于內心意愿而自愿授權。但在實踐中，相當一部分信息主體的同意權不具有真實性，僅僅流于形式。首先，同意的成本過高。企業制定隱私政策中，過載的信息量以及繁多的專業術語會加重信息主體的知情負擔，且隱私政策并非一成不變，各類信息產品的隱私政策會隨軟件的更新而新增內容，用戶需要在使用產品的過程中不斷更新認知，隨著知情成本的升高，同意權便很難表達信息主體的真實意愿。有研究顯示，用戶僅閱讀一年中所使用的網絡服務的隱私政策需花費224個小時［2］，人的大腦接收到過量信息時，會產生信息焦慮，即人無法在大量信息中找到自己所需要了解的部分，辨別判斷能力會減弱，從而作出非理性的決擇。同時，互聯網時代背景下，信息主體的衣食住行都與大數據密不可分，而中國移動互聯網企業處于信息支配的絕對地位，信息主體相較于信息處理者處于弱勢地位，如果不同意授權，便無法使用各類數據產品，用戶看似享有自主同意權，實際上這種同意是否具有真實性值得商榷。

1.3" 技術革新對知情同意規則的沖擊

早期，個人信息的保護以尊重人格權、維護人格尊嚴為出發點，以切實保護個人權益為落腳點。隨著科學技術的革新，信息主體通過行使個人信息權為他人創造經濟利益提供了必要條件［3］，同時，個人信息自決權在技術革新的背景下也受到了限制［4］。知情同意規則在一定程度上限制了數據經濟的蓬勃發展，對于放寬知情同意規則的適用條件以適應經濟建設發展的呼聲不斷高漲。互聯網產業急速發展下，個人信息不僅是個人身份的象征，更是一種隱形的經濟資源，使得信息價值可以與現金價值相媲美［5］。信息處理者可以根據整合后的資源獲知信息主體的偏好，從而推送相關產品信息，提高產品的曝光率以增加銷售機率。以淘寶平臺為例，在消費者購物過程中，平臺會根據消費者的瀏覽記錄、購買記錄、收藏記錄等綜合推測出消費者的喜好，再向其推送相關性產品。這種“個性化服務”能夠根據信息主體的需求提供供給從而獲益。正因信息的商業利用可以極大程度地推動經濟的發展，所以一些學者提出可以放寬對知情同意的要求，過度堅持知情同意規則會影響企業經濟效益，阻礙數字經濟的發展。

2" 互聯網平臺企業隱私政策中知情同意規則的優化適用

2.1" 完善告知義務的履行

大數據時代的個人數據權利，涉及自然人的民事權益保護與數據企業的數據活動自由關系的協調［6］。互聯網企業通過隱私條款達到告知的義務，以便信息主體在充分知情的情況下作出真實的意思表示。信息處理者充分履行告知義務是保證信息主體的授權同意具有真實性與有效性的前提，包括但不限于告知信息主體其個人信息的處理方式、處理目的、處理進行了安全保障措施等相關情況。

知情同意規則要求信息處理者在履行告知義務時做到清晰易懂，但實際上企業制定的隱私條款多存在專業術語過多、篇幅過長等問題，完全忽略了“清晰易懂”的法定要求，而這又恰恰是影響信息主體能否有效閱讀隱私條款的主要因素。隱私條款言語的晦澀、篇幅的冗長與信息主體閱讀體驗成反比，不足以引起信息主體的重視，而簡化知情同意也不意味著與告知的有效性相違背，具體可以從以下幾個方面進行優化適用：①杜絕長篇幅文本內容、大量專業術語，保證言簡意賅、主題醒目；②與信息主體個人信息權益無關的內容不編入隱私條款，以便信息主體可以快速獲取重點信息；③對于可能給信息主體帶來不利影響的內容，如個人敏感信息部分，以字體加粗或改變字體顏色等方式顯著標記；④普及簡明版隱私條款，將核心內容制成流程圖，直觀形象地展示個人信息處理從開始到結束的動態過程，快速幫助信息主體理解全部步驟。

2.2" 增強同意的自愿性

同意作為一種意思表示，是在無外界因素干擾的情況下基于自由意志所作出的決定，同意的自愿性是同意真實性的前提［7］。若信息主體主觀心理上并不具備同意意思，即使做出了同意行為，也不能認定其有效，因其不滿足同意的自愿性。

保證信息主體的撤銷權以增強同意的自愿性。同意的撤回彰顯了公民信息自決權理念，是彌補知情同意缺陷的舉措。當下，互聯網企業推出各類APP產品的本質目的是為了營利［8］，例如通過收集用戶的個人信息，按照用戶偏好投送廣告以獲利。可見用戶在享受互聯網企業提供的“免費服務”時，往往是以用戶對行為信息采集的容忍為代價［9］。當信息主體想要終止“利益交換”時，信息業者應當允許其撤銷同意，且此時的撤回不應當有任何時間限制或條件限制。信息業者應當在隱私政策中以顯著方式告知用戶同意撤銷的方式，并提供相應的操作說明，避免信息主體因不知撤銷方式而被迫繼續同意。

構建動態同意機制以增強同意的自愿性。動態同意機制即信息利用與安全風險的持續性披露機制［10］。企業并非在首次獲得信息主體同意后，就可以無限次處理、使用信息主體的個人信息。同意并非永久性授權，征求同意應當是一種持續性存在的關鍵環節，以動態形式貫穿信息處理的全過程，以保證信息主體的知情權。構建動態同意的機制，一方面可以促使信息業者實時監管個人信息的流向，及時向信息主體反饋個人信息的處理情況；另一方面，可以保證信息主體的同意處于實時更新的狀態。

2.3" 完善個人信息去標識化的數據處理技術

國際社會立法關于個人信息的定義并不完全統一［ 11］，但均無一例外地強調個人信息的“可識別性”。為保證數據信息的有效利用與個人信息權益保護的平衡，可以通過技術手段有效降低個人信息的泄漏風險。個人信息的去標識化，即通過特定的技術處理，使其在不借助額外信息的情況下無法識別特定自然人的過程。其核心為“不借助額外信息”的情況下“無法識別特定自然人”［12］。

去標識化技術可以在一定程度上減弱個人信息的可識別化，卻又不使其達到匿名化程度，因此去標識化的個人信息仍處于個人信息保護范圍之內。構建個人信息去標識化的信息分級機制，根據風險等級的不同，設置相對應的去標識化程度，力求在個人信息的合理利用與權益保護之間取得平衡。信息的識別是通過計算機技術來實現的，計算機語言使用標識符來標識變量、函數或屬性的字符序列，由此關聯相關信息形成數據集。標識符具有直接指向性，與信息主體的個人特征緊密關聯，由此可以將個人信息分為3類：含有直接標識符的個人信息、含有間接標識符的個人信息、無標識符的匿名信息。3個層級的去標識化程度應當逐級遞減，信息處理者處理信息的限制也逐級減弱，按風險大小與保護力度相匹配為原則，為個人信息去標識化信息設定不同的處理規則，在加強個人信息保護力度同時也保證了信息的商業價值，信息處理者與信息主體間的利益得到平衡，有助于知情同意規則高效適用。

3" 互聯網企業隱私政策中知情同意規則的保障機制

3.1" 完善知情同意規則的侵權救濟機制

知情同意規則是個人信息安全風險的事先預防機制，意在平衡個人信息主體和信息處理者之間的權利義務關系，完善侵權救濟機制是對此設計宗旨的延續，給予個人信息權益遭受侵犯的信息主體有效的事后救濟，能夠增強知情同意規則的適用性［13］。

3.1.1" 降低侵權主體認定的證明標準

隨著互聯網信息技術的蓬勃發展，信息主體很難通過互聯網平臺認定侵權主體，一些信息業者善鉆隱私政策的空子，在多次重復利用信息主體個人信息時不再履行告知義務以蒙混過關。為保護信息權人的個人信息權益，在適用過錯推定責任的同時，應該降低侵權主體的認定標準，若信息權人所舉證具有高度蓋然性，信息處理者無法證明自己沒有過錯時，應認定其負侵權責任。在個人信息侵權案件中，侵權主體一般為具有告知義務的信息業者，但由于信息處理者與被處理者的地位本就處于極為懸殊的地位，且信息業者多以知情同意規則為由進行抗辯，我們無法要求信息權人的舉證達到確實充分，如果被侵權人提出的證據已經證明該事實具有高度蓋然性，應該予以認定。降低信息權人的舉證難度，減弱知情同意規則對信息主體自身的鉗制，從而充分調動當事人在訴訟過程的積極能動性。

3.1.2" 完善損害賠償的認定

《個人信息保護法》規定，信息主體的信息權益遭受侵害后，一般按照3種情況認定損害賠償：信息主體的實際損失、信息處理者的獲益數額及法官的自由裁量。而實際損害該如何認定較為抽象復雜，且信息權益的侵害可能重復發生，究竟該以何種標準認定損害是值得思考的問題。

首先要判斷信息泄露的程度，個人信息泄漏越嚴重，個人權益受到侵害的蓋然性就越高。互聯網平臺點贊、轉發等快捷鍵都能加速信息的傳播，可以根據信息瀏覽量、點擊量等數據作為判斷依據。若侵權人只是在閉塞的空間中泄露個人信息，泄露情況可控，風險較小，則威脅性不高。其次，考慮泄露信息的類型。如上文提到過的個人敏感信息，我國現行法律已對其進行分類保護，對于泄漏個人敏感信息行為，即使沒有造成實際損害后果，其也需要承擔損害賠償。最后，還應考慮因保護個人信息所增加的各類成本。如信息權人為制止個人權益的持續侵害所采取的各類措施，如刪除泄露的信息、購買程序服務等。這些開銷實際上都是信息權人的實際經濟損失，需要納入損害賠償范圍。

3.2" 強化知情同意規則適用的監管

個人信息的處理是一個動態的過程，完善規則與保障司法救濟尚不能避免知情同意規則被信息處理者加以利用成為免責事由。強化知情同意規則的行政監管、構建第三方評估機構能夠保障其有效適用。同時，互聯網企業也需要強化自我規制，協同行政機關構建多元化、體系化的知情同意監管機制。

3.2.1" 構建完善的行政監管機制

國家行政機關對于互聯網平臺企業的監管應當是常態化的，不論是安全環境的營造還是具體權益的保護，國家公權力都不能缺席。行政部門應積極落實網絡監管工作，實現對知情同意規則適用過程全面的動態監管，以保證知情同意規則的有效實施。

第一，事前預防。在各類信息產品上架之前，行政部門應當提前對信息業者所制定的隱私政策的內容與形式進行審查。在涉及到相關法律疑難問題或互聯網技術阻礙時，可以聘請相關領域的專家或技術人員成立專門的審查小組，對信息業者在保障信息主體知情權、隱私權、撤銷權等方面所采取的措施是否有效作出評議，不符合評議標準的，責令其整改后再上架。第二，事中監督。在信息主體使用產品的過程中，監管部門要保證知情同意規則的有效實施。信息處理者制定的隱私條款若有更新情況，必須做到持續的動態告知，監管部門對此可展開常態化評估，對于告知不到位的企業下發整改通知書、通報批評等，責令整改仍不整改的，予以下架。第三，事后追責。對于個人信息侵權問題，處罰機制必須明確有力。由于網絡信息傳播速度快、范圍廣、儲存易，網絡監管部門發現信息業者的違規行為后應當立即采取有力的制止措施，將信息傳播鏈條盡快切斷，并即刻對違規企業進行全面審查，若確有違法行為，監管部門應立即控制信息業者。對于信息業者的處罰力度，參考侵權責任法的規定，還可對有嚴重違法行為的企業提高處罰力度。

3.2.2" 構建第三方專業評估機構

相同的個人信息在不同場景下所面臨的風險指數不同，而信息保護的強度與同意的嚴苛程度又取決于風險程度的大小，對風險進行評估，再通過評估結果對知情同意的適用進行優化是具有可行性的。

我國尚未規定保護個人信息的專門機構，可考慮引入風險評估機制，在社會層面構建第三方評估機構對于互聯網企業所制定的隱私條款進行全面評審，同時對于評估結果賦予法律效力。首先，鑒于知情同意規則處于發展完善階段，評估主體的多元化可以避免信息處理者對自身的評估有失公允，通過設立獨立的第三方評估機構可以及時收集知情同意規則適用的相關情況，為后期調整政策、優化法律法規提供參考。同時，第三方評估機構評估的對象不僅是知情同意隱私條款，還應當包括信息主體授權同意后的一系列動態發展，評估在各類場景中知情同意規則的有效性與真實性。其次，相對于行政部門，作為社會組織的第三方評估機構招賢納士的能力更強，可以吸納社會各領域的專業性人才，綜合性評估不僅可以為行政機構的行政行為提供合理合法性依據，還能為信息處理者的相關實踐提供專業指導和建議。最后，第三方評估機構除了審查監督的職責之外，還應當承擔對信息處理者處理個人數據的培訓工作，包括法律法規、專業技術、責任承擔等內容，并定期對信息處理者進行考察，考察結果作為評估的標準之一。

3.2.3" 構建互聯網平臺行業自律

互聯網平臺企業在收集、處理用戶個人信息的過程中，需積極履行個人的信息保護職責。對于依法取得的他人信息，持有者負有確保其安全的積極作為義務［14］。平臺方強化隱私政策的審查義務，構建行業自律以推動知情同意規則的有效適用，助力互聯網企業與行政部門協同治理。

構建行業自律可以參考美國對于網絡隱私權的立法，由于美國個人本位意識較強，其“行業自律模式”較為成熟，通過行業間的協商，制定統一規章制度進行自我約束，從而在行業內部形成一致的行業規范。在該模式下，企業內部的自我監管極為有效，制定、修改、執行都有較大便利，且在追責時也能通過行業的統一標準歸責，所以深受企業推崇。截至2023年6月，我國網民規模達到10.79億人，互聯網普及率達到76.4%。隨著海量信息主體涌入互聯網，網絡信息服務與互聯網融合程度不斷加深，數據聚合效應加強，互聯網企業作為首先接觸到用戶個人信息的主體，自然應當成為首要履責人，在處理信息主體的個人信息時，平臺內部應明確劃分職責，成立審查監管部門，對隱私條款是否合規進行自查自糾，在發現問題的過程中規范告知義務與同意方式，形成知情同意規則不斷完善進步的良性機制。同時，各平臺間也應制定統一的行業規范，形成自我監管、自我約束、積極履責的行業風氣，為保護用戶的個人信息提供更加全面的保障。

4" 結語

互聯網時代，如何兼顧個人信息的商業化利用與個人信息權益的保護，是個人信息領域亟待解決的難題之一，正是由于兩者間關系的失衡，導致企業制定的隱私政策中知情同意規則適用難。本文對于隱私政策中知情同意規則適用的現實困境、優化路徑以及保障機制作出了深入探討。首先，對困境進行分析發現，互聯網平臺企業在制定隱私政策時，難以同時滿足充分告知與明確易懂的條件，從而導致信息主體同意的形式化，同時還伴隨監管不到位、司法救濟不足、技術革新沖擊等外部原因。以此為基礎，提出優化知情同意規則適用的路徑：為解決內部原因，應對信息業者的告知義務進行簡化，同時構建動態同意模式、保留同意的撤回權以保證信息主體同意的真實性；為解決外部原因，應構建多平臺監管協同治理模式、完善侵權責任救濟機制、改進數據處理應用技術，從而形成健全的知情同意適用規則，促使各個主體間的可得利益達到平衡。同時，隨著社會的不斷發展，互聯網平臺企業在適用知情同意規則時應當與時俱進，根據我國實際國情不斷調整與優化，以實現對個人信息權益進行持續、高效的保護。

參考文獻：

［1］" 郭旨龍，李文慧.數字化時代知情同意原則的適用困境與破局思路［J］.法治社會，2021（1）：26-36.

［2］" 萬方.個人信息處理中的“同意”與“同意撤回”［J］.中國法學，2021（1）：167-188.

［3］" 于柏華.處理個人信息行為的合法性判準—從《民法典》第111條的規范目的出發［J］.華東政法大學學報，2020（3）：81-93.

［4］" 金耀.個人信息私法規制路徑的反思與轉進［J］.華東政法大學學報，2020（5）：75-89.

［5］" 項定宜，申建平.個人信息商業利用同意要件研究—以個人信息類型化為視角［J］.北方法學，2017，11（5）：30-39.

［6］" 程嘯.論大數據時代的個人數據權利［J］. 中國社會科學，2018（3）：102-122，207-208.

［7］" 林洹民.論個人信息主體同意的私法性質與規范適用——兼論《民法典》上同意的非統一性［J］.比較法研究，2023（3）：142-154.

［8］" 張新寶.“普遍免費+個別付費”：個人信息保護的一個新思維［J］.比較法研究，2018（5）：1-15.

［9］" 鄭佳寧.知情同意原則在信息采集中的適用與規則構建［J］.東方法學，2020（2）：198-208.

［10］" 田野.大數據時代知情同意原則的困境與出路——以生物資料庫的個人信息保護為例［J］.法制與社會發展，2018 （6）：111-136.

［11］" 高富平.個人信息使用的合法性基礎——數據上利益分析視角［J］. 比較法研究，2019（2）：72-85.

［12］" 高富平.個人信息流通利用的制度基礎——以信息識別性為視角［J］. 環球法律評論，2022，44（1）：84-99.

［13］" 李立豐.《個人信息保護法》中“知情同意條款”的出罪功能［J］.武漢大學學報（哲學社會科學版），2022，75（1）：143-156.

［14］" 張新寶.《民法總則》個人信息保護條文研究［J］.中外法學，2019（1）：54-75.

（責任編輯：張雙鈺）