个人数据信息保护的困境及其破解——基于知情-同意模式的视角

在数字经济时代,随着网络运营商对数据信息更加深入地挖掘和利用,个人数据信息被侵害的情况大量出现。在现行知情-同意模式的框架下,信息主体对其权利的主张往往依靠司法途径,而诉讼的低效又强化了网络运营商对数据信息处理的绝对控制权,由此使个人数据信息权利的行使沦为空谈。以当事双方权利结构错配的现实为基础,通过采取提高司法机关对信息主体维权的救济能力、为网络运营商引入信义义务、建立动态化监督评估机制等措施,可以实现双方权利义务的再平衡,从而为破除知情-同意模式下个人数据信息保护的困境提供较为可行的解决路径。

区块链技术下运动员个人信息治理研究

基于区块链技术架构及特征,探索区块链技术应用于运动员个人信息治理的价值、挑战及其应对。研究认为,区块链技术下运动员个人信息治理能够克服传统互联网模式下运动员个人信息储存工作繁复、利用不充分、保护滞后等问题。同时,也面临与“知情-同意”机制相冲突,与个人信息处理必要规则相违背,与运动员行使删除权、更正权与信息可携带权存在冲突,民事责任主体确定困难等挑战。对此,应当优化改进智能合约,实现运动员的“知情-同意”权;区分区块链信息治理的不同环节,分别进行“必要处理”考察;推动区块链技术创新,消除与其运动员删除权、更正权与信息可携带权的冲突;积极发挥联盟链作用,通过其多中心化特征确定民事责任主体。

数字经济下消费者权益保护路径探析

随着区块链、人工智能的大规模普及,消费者的个人信息几乎完全公开,其偏好和行为也可被智能算法引导和预测,数字经济给消费者权益保护带来的冲击在当前“单一倾斜”保护机制下得到进一步放大。数字经济下消费者保护体系制度的建构应当根据消费者、经营者对抗地位的转变,制定与之适配的综合性保护规范,转向“多元共治”新进路,充分释放法治创新推动经济社会发展。

论敏感个人信息的合理使用

为平衡个人信息的保护与利用,促进数字经济的有序发展,《个人信息保护法》第13条确立的个人信息合理使用制度应被解释为可适用于敏感个人信息。有关敏感个人信息处理需要获得“单独同意”“监护人同意”的特殊规则,系针对处理个人信息需取得信息主体同意之一般规定的特别规定,并非排斥、否认《个人信息保护法》第13条第1款第2—7项所列个人信息合理使用情形在敏感个人信息处理领域的适用。在依据第13条合理使用敏感个人信息时,一方面应受《个人信息保护法》第28条“特定的目的”和“充分的必要性”之规定的“双重约束”;另一方面应始终围绕保护信息主体人格权益对合理使用情形加以严格解释,防止宽泛适用导致合理使用制度的滥用。

数据治理的行为法经济学转向:助推理论实现个人信息保护

虽然以“知情-同意”为基础的个人信息保护制度已经基本确立下来,但“知情-同意”制度的实践效果一直备受非议,由此引发了对整个个人信息保护制度有效性的质疑。“知情-同意”设计的最初目的是为人们的理性选择提供制度保障,但在现实的数据协商中却存在着大量的非理性行为,由此引发了对传统法律经济学视野下个人信息保护制度困境的思考。行为法经济学理论可以对人们在数据协商中的非理性选择作出合理解释,结论是选择框架的变化使人们偏离了最佳选择。对此,可以利用助推手段,通过优化选择框架的方式促使人们作出最佳选择。建议在中国的数据治理中融入助推理念,通过增加默认数据设置规定、禁止不合理助推、构建数据隐私标准评价体系等措施促进中国个人信息保护制度的发展与完善。

未成年人个人信息保护研究——以《未成年人保护法(修订草案)》为视角

随着数据时代和信息技术的发展,用户的个人信息受到极大威胁,未成年人更是如此,因此需要侧重保护。《未成年人保护法(修订草案)》63条弥补了我国立法上对于未成年人个人信息保护的法律漏洞,值得肯定。在实践中适用63条时,需要对传统的知情-同意规则进行优化与调整,以便于更好地指导实践。欲合法收集信息,信息控制者需要采取合理方式告知有关事项,并征得未成年人用户及监护人同意,以缓和特殊主体利益保护与促进信息产业发展之间的矛盾。此外还可以从同意之前与同意之后两个阶段设立特殊保护机制,完善未成年人个人信息保护体系。

个人信息跨境提供中的企业合规

企业在实施个人信息境外提供行为时,须建立完善的专项合规计划,否则既可能无法完成相关跨境业务,也可能因个人信息跨境流动违规而遭受行政处罚或刑事追诉风险。企业应以前提条件、目的条件、内部条件、外部条件为主体内容,构建个人信息跨境提供的专项合规计划。从前提条件来看,企业需要以可识别性、相关性等要素为基础有效甄别个人信息;从目的条件来看,企业须围绕“因业务等需要”的目的限定原则确立个人信息跨境流动的必要范围;从内部条件来看,企业需从自然人处取得对其个人信息向境外提供的有效授权,遵循“知情-同意”规则设置的各项标准;从外部条件来看,企业需结合自身类型等因素选择适用“安全评估”“个人信息保护认证”“订立标准合同”等法定条件。个人信息跨境提供的法律关系复杂、环节众多,企业在个人信息跨境提供专项合规计划中应任命专门的个人信息保护负责人,将其纳入合规管理部门,制定个人信息跨境流动的企业政策和内部规则,监督企业员工和境外接收方在个人信息跨境提供活动的合规性。