个人信息处理者的自动化决策解释义务研究

自动化决策的广泛应用在提高决策效率的同时,对个人信息主体权益产生重大影响。在应用自动化决策场合,个人信息处理者应承担自动化决策解释义务。自动化决策解释义务的规范理据可从个人信息处理的透明原则、个人信息处理者的告知义务以及个人享有的个人信息权益中推导出来。由于自动化决策解释义务的解释对象模糊、解释标准不明且与商业秘密存在冲突,需要对自动化决策解释义务进行限定。自动化决策解释义务的解释对象应仅限于事后的具体解释,以技术专家为主导,面向特定场景中的算法决策相对人,探索理性化的解释标准,并基于比例原则指导下的利益权衡,调和自动化决策解释义务与商业秘密之间的矛盾。

论个人信息处理者的算法说明义务

告知同意系个人信息保护的基本要求和核心规范。告知中的“明示”要求和充分性要求均蕴含着说明义务。在应用算法的自动化决策场合,个人信息处理者也应承担相应的“算法说明义务”。算法说明义务在理论上具有正当性,不仅共享着个人信息处理者的说明义务的正当理论,还具有若干额外的补强理由,但同时也面临一些抵触性的理由;这些理由相互作用,决定了算法说明义务的限度。算法说明义务的目的在于保障个人知情,该义务指向关于算法技术及其应用方面的有用信息,但无需涵盖算法的技术细节和复杂的数学解释。为弥补算法说明义务的不足,可辅之以算法问责制,对算法进行协同治理。

已公开个人信息合理处理的实践困境及因应之策

近年来,我国陆续出台相关法律法规,逐步完善了个人信息处理规范,但直到《民法典》的出台,已公开个人信息才被作为个人信息的一种特别类目进行特殊保护。不同于一般个人信息处理中的“告知-同意”规则,已公开个人信息处理规则的特殊性体现在个人信息处理者可以在合理范围内对其进行处理,而无需个人信息所有者的事前同意。但目前已公开个人信息处理实践面临困境:以必要性原则为代表的处理原则界定模糊;“选择-退出”机制与“删除权”机制的实现存在障碍;自由裁量权行使不一的情况时有出现。因此,扫除在个人信息保护深入推进道路上埋下的隐患刻不容缓。文章结合我国现有判例,参考域外相关立法与理论,提出已公开个人信息合理处理的因应之策:在规范层面,对必要性原则进行强化以及将动态系统论引入处理合理性的判断;在机制层面,完善“选择-退出”机制与“删除权”机制。

个人信息处理规则的程序法治

法律要求个人信息处理规则通常应获得个人知情同意。但这既不能彰显个人的自治,也不能有效保护个人信息免遭不公。个人信息处理规则的实质法治,面临着立法者的认知负担过大、用法者的操作负担过大和构成家长主义干预的困境,故应转向程序法治。哈贝马斯的商谈程序法治理论之缺陷一是所预设的独立于政治系统并能对其施加制约的公共领域未必存在,二是国家法未必能够穿透系统的壁垒而左右它们的运作。更为可取的是采纳托伊布纳的商谈程序法治理论,将政治和法律系统难以把握的问题,下放到其他社会系统和非官方组织进行自我规制和自我立法,并由国家法严格规范相关的程序和组织。为了落实这种程序法治,应由各行业组织主持制定有法律效力的个人信息处理规则,由公众代表和专业代表参与制定程序并开放公众参与,并由法院保障个人信息处理规则符合国家立法内容、遵守国家法规定的程序规则。

网络平台处理个人信息的合规义务及其出罪路径

数字经济时代的网络平台治理呈现出侵犯个人信息犯罪责任转嫁的平台泛刑化和类推入罪的平台重刑化等趋势,但并未消解平台犯罪的高发态势,反而抑制了平台经济的良性发展。网络平台处理个人信息的刑法规制逻辑应由报应制裁转向合规激励、由被动整改转向主动预防、由全面合规转向专项合规,引入个人信息合规专项激励机制,实现平台犯罪治理体系的现代化改造。个人信息合规出罪的根据是督促平台履行双重合规义务,包括事前风险评估、事中安全防护、事后应急处置的前置合规义务束和对员工监督管理、防止个人信息泄露的刑事合规义务束。在此基础上,平台尽到前置合规义务则不具有前置违法性;对应刑事合规义务空白则不存在刑事违法性;未违反刑事化的监督管理义务不存在监督管理过错;未违反防止信息泄露的刑事合规义务则不符合拒不履行信息网络安全管理义务罪的构成要件。

个人信息处理中禁止捆绑规则的相对化构造

我国个人信息保护法第16条确立了个人信息处理中的禁止捆绑规则,该条文义倾向于绝对禁止的立场,但应对该条及相关规定予以相对化构造,从而推进数字经济健康、有序发展。其评价基础为信息自决与营业自由的互动,主要适用范围是合同场景下对个人信息的商业化利用,但处理行为构成履行合同义务的必然技术要求除外。相对禁止捆绑规则应采取具体要件而非概括考量的规范模式,其构成要件包含两部分内容:一是存在将同意与产品或者服务相捆绑的事实,二是不属于不应被禁止的例外。而例外性构成要件又包括两种具体下位情形:信息主体无需同意即可从同一个或者不同经营者处以可期待方式获得具有同等功能之替代性给付,或者能够以支付合理价款作为替代方式从特定经营者处获取同一种给付。基于依民法典第153条第1款确立的解释框架,即可在现行法上构造完整的相对禁止捆绑规则,其要义为“无例外不捆绑,同意违反即无效”,而信息处理者的市场力量、产品或者服务的性质等考量因素则居于辅助地位或者发挥具体化功能。据此,“某读书App案”的裁判结论得以证立,其裁判理由也得以完善。

《个人信息保护法》第50条(个人信息权利行使保障机制)评注

《个人信息保护法》第50条规定了个人信息权利行使的保障机制,其规范目的在于保障以知情同意为核心的信息自决权得以实现。个人信息权利行使保障机制存在双重结构:一重是以个人信息处理者为义务主体搭建的个人信息权利行使保障机制,包括权利行使申请的受理与处理机制,这一机制应当符合便捷性的要求;另一重是对保障机制的保障和兜底,以有关监管部门和法院等为救济主体,在保障机制失灵时借助国家强制力实现权利救济。为了实现保护个人信息权益和避免过度加重信息处理者成本之间的平衡,第50条在对个人信息处理者保障个人信息权利行使的义务作出原则性规定的同时,也赋予其特殊情形下的拒绝权以豁免此种义务。权利行使保障机制需要从请求受理机制、身份核查机制、请求处理机制和衔接机制四个方面进行具体的构建与完善。

侦查中个人信息处理的合法性基础

个人信息处理的合法性基础是指处理个人信息所依据的正当法律理由,属于侦查中干预个人信息权利的前置性要件。然而,在数据主义思潮的影响下,侦查机关陷入了超期存储、重复利用、片面使用、重量轻质四种行为误区,致使个人信息处理的合法性存疑。通过分析现行规范可知,侦查中个人信息处理的合法性基础在性质上属于概括授权条款而非特别授权条款,在表述上应采取正向授权方式而非反向禁止方式,在结构上应遵循多元基础而非一元基础。在制度设计上,在侦查中应形成个人信息处理的二元合法性基础,以“履行法定职责或者法定义务所必需”作为法定基础,以“取得个人同意”作为意定基础。

论正当权益作为个人信息处理的法律基础

我国《个人信息保护法》第13条有关个人信息处理的法律基础的规定,并没有为实现处理者或第三人的正当权益而允许处理个人信息的情形。有关个人信息保护的司法实践却不断遭遇处理者为了自己或他人的正当权益而处理个人信息的纠纷。立法的无视或有意的空白,并不能消除或根除为实现处理者或第三人的正当权益而处理个人信息的情形。司法实践以曲折迂回的方式,特别是用免责事由的形式,在很大程度上实现了将“正当权益”的情形作为事实上的个人信息处理的法律基础。在未来,有必要在司法裁判上或以司法解释的方式正式承认处理者或第三人的正当权益可以作为处理个人信息的法律基础。

个人信息处理中知情同意原则的存废、困境与变通

大数据时代的降临使个人信息处理成为主要的技术活动,给个人信息安全带来了前所未有的挑战。在前信息时代,基于个人自主价值的发展,知情同意原则这一个人信息保护领域的至高法则逐渐得以确立,我国的立法实践昭示了其作为个人信息处理的正当性基础的地位,但日益复杂的数据活动使之左支右绌,学界出现了对其存废之争。立法者应当坚守知情同意原则的正当性,但亦需正视其适用上的实际困境,从立法层面制定具体的规范来予以变通,以期平衡理论与实践之间的冲突。

个人信息处理中告知和同意在互联网信息服务领域的实践

为落实GB/T 42574—2023《信息安全技术个人信息处理中告知和同意的实施指南》标准的核心内容和关键要求,抖音集团结合自身App实际情况进行产品改造设计,使得标准主要规定得以在三类典型场景中落地。同时,抖音集团构建起内部一体化机制,从组织保障、技术保障、制度保障等三方面入手,推动标准条款向具体业务合规要求转化。本案例中相关产品作为垂类App,其机制设计和功能实现,对行业内企业自我合规和配合监管合规都具有示范性意义。

个人信息的内生安全机制及其实现

个人信息处理的技术性、隐蔽性,使自上而下的“命令式”监管范式失效。数字时代,个人信息治理的重点是防止个人信息处理者滥用数据权力威胁国家安全、盘剥和操控个体。为有效控制数据权力这一风险源,国家应当督促个人信息处理者建立健全涵盖制度保障、组织程序保障的个人信息内生安全机制。通过监管激活个人信息处理者内部的自我规制机制,增强其内部的组织控制和行为规范化程度,消减个人信息处理的负外部性,实现个人信息处理的正和博弈。通过监管督促个人信息处理者强化内部治理机制,严格落实个人信息保护影响评估制度,遵从“三同步”要求将个人信息保护法规定的各项义务嵌入产品“代码”中,防控个人信息处理过程中妨害个人自主性、减损人格尊严的风险。

重要个人信息处理者的特别监管——兼论《中华人民共和国个人信息保护法》第58条

随着数字经济的发展,个人信息安全事件的发生,各国均将类似“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者(以下简称“重要个人信息处理者”)的特别监管作为研究重点和立法内容。互联网平台是数字经济的新业态,个人信息所形成的数据是新业态的重要生产要素。无论是互联网所形成的新业态,还是个人信息处理的实践,都充分证明了对一般个人信息处理者的监管已经无法适应重要个人信息处理者带来的个人信息安全风险的防范。本文针对个人信息处理的实践问题,分析典型国家、地区和我国有关重要个人信息处理者的监管研究,提出我国重要个人信息处理者的特别监管的完善路径,进而实现个人信息安全风险防范,有效维护国家安全、公共利益和个人信息主体权益。

反思与建构:《个人信息保护法》归责原则研究

我国《个人信息保护法》第六十九条设定的过错推定责任不足以调整日趋复杂的信息处理关系。现行立法之所以设定过错推定责任,原因在于:一是大数据时代下人类自然理性无法有效应对已高度“黑箱化”的信息处理活动;二是吸收借鉴了欧盟GDPR与德国的个人信息保护立法经验,即由信息处理方承担特殊归责原则。然而,随着算法等自动化技术兴起,侵权主体即便承担过错要件的举证责任,被侵权人的举证和诉讼能力依旧处于极端劣势。因此有必要从正义哲学观、道德立场和经济分析为视角,阐述构建无过错责任和过错推定责任二元归责体系的正当性,并以侵权主体是否使用自动化技术来界定该二元归责体系适用范围,最终实现数据的商业利益和信息权益保障之间的价值平衡。

论同意不是个人信息处理的正当性基础

无论是国际法规范和多数国家的个人信息保护法,还是以网络服务商为代表的用户协议、服务条款和隐私权政策,均就个人信息处理的同意作了相关规定,将同意作为个人信息处理的正当性基础,已经成为一种理论上的通说和实践中的通行做法。然而就判断个人信息处理的正当性基础而言,同意规定的实质是事先判断,即在个人信息处理行为发生之前,如若信息处理者取得了信息主体的同意,则意味着其处理行为具有正当性。在大数据时代,个人信息处理行为的规制原则应是防止滥用,而非严格保护,故对个人信息处理行为是否具有正当性的考察宜采用责任规则及事后判断的方式,同意不应是个人信息处理的正当性基础。通过赋予信息主体删除权,并构建一种"宽进严出+删除权"的个人信息保护策略,可以在合理保护信息主体权益的基础上最大程度利用个人信息,推动经济的发展和社会的进步。

个人信息处理者过错推定责任研究

个人信息处理者承担过错推定责任的实质基础在于处理行为引起的作为义务,而不仅仅是为了强化保护个人信息权益。《个人信息保护法》中的过错推定责任与《民法典》侵权责任编没有体系衔接冲突问题,但与人格权编所确立的“隐私权”和“个人信息”并行体例存在张力关系。处理私密信息造成损害的,应承担过错推定责任,而不适用有关隐私权规定。处理者的过错推定责任不是一种普遍性责任,其适用范围具有限定性,适用要件也有特殊性。此过错推定责任救济的是侵害人格权益的财产损失,不包括精神损害,其过错判断主要限于违反法定义务的违法行为及比例原则下的实质违法行为,其因果关系要件的特殊性则在于采取“高度盖然性”证明标准,而非实行举证责任倒置。

网络平台个人信息处理格式条款的效力认定

近年来,以网络平台隐私政策中个人信息处理格式条款为诱因的侵权案件频发,引起学界的广泛关注。消解个人信息处理格式条款与知情权、解释权、被遗忘权、脱离自动化决策权保护冲突的关键是,对格式条款进行类型化处理,分别进行效力认定。网络平台未尽到提示说明义务,致使信息主体没有注意或者理解与其有重大利害关系的条款的,格式条款不应成为合同内容;格式条款显失公平的,信息主体可以请求法院予以撤销;格式条款符合我国《民法典》第497条规定之情形的,应认定为无效;“主要权利”的认定,在考虑合同内容的同时,应奉行合同性质决定论;以“理性人”构建网络平台的解释义务标准,力争在保障网络平台健康发展的同时,切实维护信息主体的个人信息权。

大数据背景下个人信息处理行为的法律规制——以个人信息处理行为的双重外部性为分析视角

大数据背景下个人信息处理行为既引发数据安全风险等负外部性,也会带来分享经济价值实现等正外部性,“大数据悖论”现象揭示了双重外部性成因。基于“外部性内在化”原理赋予信息主体以个人信息权并赋予数据控制者以大数据财产权虽有助分别规制其双重外部性,但网络大数据背景下其双重外部性规制彼此交互影响而面临两难困境。法经济学关于“损害之相互性”理论证立了基于“风险导向理念”规制个人信息处理以破解其两难困境的经济逻辑。大数据产业发展有赖个人信息处理的“外部性外部化”而实现分享经济。法经济学关于“公地喜剧”理论证立了基于“外部性外部化”规制个人信息处理而满足大数据产业发展需要的经济逻辑。大数据背景下个人信息处理的规制有赖从“压制型法”到兼及“回应型法”的理念转换,从“外部性内在化”兼及“外部性外部化”的机制并举,从数据资源权利配置兼及数字技术权力干预的措施协同,实现大数据产业创新与个人信息安全的有机平衡。

处理个人信息行为的合法性判准——从《民法典》第111条的规范目的出发

《民法典》第111条规定了一项以保护“控制个人信息传播”为目的的个人信息权。控制个人信息传播的意义在于塑造“他人眼中的自己”,是个体自由发展人格的组成部分,该利益因此不同于其他利益,具有独立性和内在重要性。由“控制个人信息传播”的性质所决定,在信息主体“知情同意”的前提下,他人的个人信息处理行为具有合法性。个人信息权有其内在限度,《民法典》第111条对控制个人信息传播利益的保护并非绝对。在未经信息主体许可的条件下,如果处理他人信息的行为的理由在分量上超过信息主体控制个人信息利益,同样具有合法性。

论同意在个人信息处理中的作用——基于个人敏感信息和个人一般信息二维视角

从规范层面而言,信息主体的同意是个人信息处理的正当性基础,其法理基础在于个人信息自决权。然而,在大数据时代,大规模个人信息的处理使同意的正当性地位受到质疑。基于个人敏感信息和个人一般信息二维视角的分析,同意在个人信息处理中应该类型化适用:在个人敏感信息的处理中仍适用同意规定,在个人一般信息的处理中并不存在同意适用的空间。