论大数据背景下的个人信息自决权——由“大数据杀熟”引发的思考

大数据时代背景下,“大数据杀熟”给个人生活造成多方面困扰。个人信息自决权是有效规避“杀熟”的手段之一。有别于隐私权,个人信息自决权的内涵体现为自主自决,是积极控制之权利,其保护对象是具有可识别性和关联性的个人信息。个人信息自决权是一项具体的人格权,具有自身的独立性和所承载人格利益的特殊性。传统意义上的具体人格权体系的构造及其内容无法涵盖民事主体个人信息自决权的利益。合理设置个人信息自决权作为具体人格权的规范构造,要从权利义务主体、客体范围、权利义务内容三个方面开展。从比较法角度观察,反省我国创设个人信息自决权的必要性,能够实现个人信息全面且高度的保护。此外,个人信息自决权的创设在我国已具备现实性、客观性及坚实的法律基础,但明确个人信息自决权作为一项独立的具体人格权的法律地位,仍然是亟待完成的一项时代课题。

个人信息自决权在中国社交网络语境下的再阐释--以情境脉络完整性为视角

为了解决社交网络中普遍存在的"隐私悖论"问题以及个人信息安全保护的碎片化现象,信息自决权作为个人信息保护的权利救济基础被引入我国讨论。针对个人信息自决权在公、私领域二分法上的固有局限,选择"情境脉络完整性"理论作为考察信息自决权适配于社交网络的切入视角,对2013-2018年以来社交网络上侵犯个人信息的司法案例进行整合分析,探讨个人信息的权利属性与价值范畴在社交网络上的扩张趋势,以及"情境脉络"在个人信息保护的程序预防与自律规范上所能提供的理论支援。

试论个人信息自决权的行政法保护

在信息社会,个人信息不仅受到来自私权主体的侵犯,且因信息公开制度的建立和信息技术的变革,也受到来自公共部门的侵犯。文章在提出个人信息自决权概念的基础上,分析了个人信息自决权行政法保护的必要性,并提出制定我国《个人信息保护法》的初步立法建议。

《民法典人格权编(草案)》中“个人信息自决”的规范建构及其反思

《民法典人格权编草案(三次审议稿)》中规定的个人信息保护规范严格贯彻了“个人信息自决”这一基本原则,其具体规范建构充分体现了这一原则的各项要求。但“信息自决”这一理念产生于二十世纪六七十年代,鉴于时代的变迁,单纯的“信息自决”原则已经无法满足当代个人信息保护和信息产业发展的需要。本文试图通过对相关社会背景和法律规范变迁的梳理,说明“个人信息自决”原则的局限所在,并结合“场景理论”找出影响个人信息保护强度的关键要素,为《民法典人格权编(草案)》相关规范的修改以及司法实践提供有价值的参考。

个人信息自决权的理论批评与实践反思——兼论个人信息保护法第44条决定权之适用

个人信息自决权是德国联邦宪法法院将宪法上一般人格权应用于个人信息处理领域的结果,其权利构造存在着局限:对领域理论的放弃模糊了权利保护范围,对侵害行为认定的宽泛性加剧了权利不确定性,基于个人意志的预防式控制容易导致保护过度。个人信息保护旨在维护个人在数字化时代的“自主”,而非保障个人对其信息和信息处理活动的“自决”。我国实定法体系中不存在个人信息自决权的理论渊源与规范基础,无论是在公法还是私法层面,都不应将其实证化。个人信息保护法第44条规定的决定权是一种个人信息处理关系中的工具性权利、概括性权利、消极权利、框架性权利,其在公法层面和私法层面的具体化形式有所差别。

试论个人信息自决权

个人信息的收集、处理或利用直接关系到信息主体的人格尊严,当下个人信息受到非法侵害的现象十分严重。本文在个人信息概念被界定的基础之上,对个人信息主体的权利性质及个人信息自决权进行法理上的分析,以寻求其保护的法理基础。这种保护应以个人信息自决权为核心,并与社会公共利益之间保持一种平衡。

个人信息同意任意撤回:目的、体系与规则

个人信息同意任意撤回构成对个人信息同意这一有效意思表示的撤销,但与《民法典》第147~152条规定的可撤销法律行为有若干不同,其规范目的在于保障个人信息自决。就权利行使而言,个人信息同意任意撤回权的权利主体是信息处理所涉及的个人。撤回同意时,个人应具有辨认和控制能力。个人信息同意撤回不受期间限制,既可采取书面形式,也可采取口头形式。处理者应提供便捷的撤回方式并保证撤回是免费的。同意被撤回后,处理者应停止处理并删除个人信息,但不影响撤回前已进行的处理的效力。在未通过“捆绑禁止”测试时,处理者不得以同意被撤回为由拒绝提供产品或服务。随着数字经济的发展,出现了若干限制个人信息同意撤回权的尝试。

已公开个人信息的刑法保护界限

未经同意处理已公开个人信息是否构成犯罪在司法实务中存在争议。既有理论中,二次授权说违反法秩序统一原则,也过度限制了个人信息的合理运用;信息开放程度说则使知情同意的判断沦为形式。基于弱同意说,若未经同意的信息处理行为符合自愿公开个人信息的用途或情境,便是在合理范围内处理个人信息,因而不够成犯罪;即便不符合,只要信息主体未表示明确拒绝且未损害其重大利益,便不具有可罚的违法性因而不构成犯罪。由于依法必须公开的个人信息涉及公共利益,只要信息处理行为不以违法犯罪为目的便不应构成犯罪。对已公开个人信息的刑法保护需要侧重于打击非法使用个人信息的行为,为此应将其犯罪化。

个人信息处理知情同意规则之检视:反思与修正

知情同意是个人信息处理的规则之一,而非原则。同意行为的性质可以从两方面理解,在积极层面上是意思表示,消极层面上是免责事由。随着大数据的发展,知情同意规则遭遇挑战,同意愈发形式化,不足以充分保障信息主体权益。通过构建场景制度和动态同意制度两种方式对知情同意规则进行修正,前者是指将具体场景下的合理使用替代信息主体同意作为个人信息处理的合法性基础;后者旨在使知情同意成为一个持续的过程。

个人信息自决权理论及其检讨——兼论个人信息保护法之保护客体

目前流行的滥觞于德国的个人信息自决权理论主张个人对其一切具有识别性的个人信息(不区分重要和非重要的个人信息)的收集、处理和利用享有决定权和控制权。这一理论在很大程度上源于对德国联邦宪法法院"小普查案"和"人口普查案"的误读。个人信息自决权将保护对象确定为外界无法识别的"保密意志",这种把人格权"去客体化",将个人信息作为客体排他性地归属于信息主体的做法,无法为他人的行为划定清晰的禁区,不可能构成私权意义上、受侵权法保护的民事权利。个人信息保护法不是对个人信息自决权的承认和保护,而是作为人格或财产的前置保护机制,旨在防范抽象的人格侵害或财产侵害的危险。

法秩序统一视野下“个人信息”的认定——从侵犯公民个人信息罪切入

个人信息已成为21世纪最有价值的资源之一。非法利用公民个人信息的行为不断涌现,成为当前刑事治理的重点领域。在司法实践中,混用个人信息与相关概念的现象屡屡发生,影响对侵犯公民个人信息罪犯罪构成要件的理解,也关系着刑罚的处罚边界。“个人信息”作为侵犯公民个人信息罪的行为对象,是刑民规范聚合的必然产物。因此,应当尝试在法秩序统一性原理的价值指引下解读“个人信息”概念:在形式上,以《民法典》的相关规定为基础,采取狭义的个人信息认定方式,将个人信息与个人数据、隐私进行明确区分;在实质上,深刻把握侵犯公民个人信息罪的法益内核,个人信息作为本罪的行为对象应当充分体现个人信息自决权的法益本质,从而为实现信息主体的选择权和决定权提供坚实基础。

个人信息自决权在防疫需求下的让步

在传染病疫情防控等突发公共卫生事件中,应明确个人信息自决权的权利存在并予以保护,积极回应立法缺失的现实状况,探索形成完善的公共健康领域的个人信息权的保护体系。在数据时代,个人信息与公共利益之间的冲突日渐增多,允许对个人信息自决权设有例外,为法律政策综合各种利益预留了空间,但这种例外应转化为层次丰富和逻辑严谨的规范设计,强调对例外的严格限制,从而实现疫情防治与个人信息自觉利益平衡后的效益最大化。

侵犯公民个人信息罪复合法益说的提倡

2020年新通过的民法典确定了公民个人信息的发展方向在于“信息自决权”和“数据财产权”的划分,反映到刑法学维度就是对侵犯公民个人信息罪法益的判断由个人法益向超个人法益的交叉过渡。基于个人信息公共属性而提出的超个人法益说,批判以个人法益为基础的个人信息自决权说过于严守信息主体同意原则而有碍公民信息自由流动的发展趋势,但其本身也由于过于强调信息对公共利益的风险而忽视信息权本身的人格属性而造成扩大化的嫌疑,两种观点都不能兼具信息权的个人和公共属性。个人信息权固然具有越来越多的公共属性,但建立以个人信息自决权为基础,以制度信赖法益为衍生的复合法益说才能既不失信息权的个人属性本质,又能明晰信息自由流通的边界要求。采用复合法益说能更加明确“信息主体合理预期与信赖,信息控制者明确义务”的归责路径,保障公民个人信息权合理有序发展。

个人信息保护权的宪法分析

全国人大常委会于2021年8月20日出台颁布《个人信息保护法》,但对个人信息保护权的定性还存在争议。个人信息保护权本质是人格权,且主要应用领域是公法领域,自由度相对民事权利较小,带有强制性成分,因此个人信息保护权是一项宪法权利,而不是私权利。但是这项权利的知情同意原则实施效果并不理想,同时,个人信息自决权在应用中受到公权力的限制,公权力机关由此也成为最大的个人信息收集者。为加强作为宪法权利的个人信息权的保护,在行使个人信息自决权时应进行利益衡量,提高“知情同意”行使的有效性,规范公权力机关处理个人信息的行为。

“去识别化”个人信息的刑法保护

司法解释将“去识别化”个人信息排除在刑法保护范围之外,但是个人信息彻底去识别化且达到无法复原的程度几乎不可能,只会导致大量形式上匿名化或者形式上已经去识别化的个人信息暴露于风险之中。“去识别化”个人信息的公共属性来源于其自身固有的流通利益,侵犯公民个人信息罪应坚守个人信息自决权的法益立场,因此“去识别化”个人信息的刑法保护具有正当性。“去识别化”个人信息有三方面刑法保护路径:修正对“识别”的理解以扩张本罪的保护对象;修正知情同意对个人信息再识别的效力规制;将“再识别”行为解释为“以其他方式非法获取”行为。

互联网时代个人信息自决权研究

个人信息自决权是一项保障自然人的尊严不受侵犯的基础性权利,其内核是"自由的自主决定",并且具一定的相对性。互联网时代,个人信息自决权的实施面临挑战,如"知情同意"原则流于形式,个人信息的财产属性尚未得到应有重视,个人信息"匿名化"处理难以克服被重新识别的困境等。建议提升"知情同意"原则有效性、构建个人信息财产权保护模式、赋予个人信息主体"被遗忘权"等,促进个人信息自决权的有效实施。

信息接收视角下个人信息自决的不完备性与效力限度

被收集的个人信息会转化为影响信息主体行为的信息,信息接收是影响个人信息自决合理性的重要标准。作为信息接收的个性化推荐被司法裁判直接正当化,与个人信息自决的强控制规则体系存在合法性逻辑断裂。个人信息自决完全以自决利益为基础,存在两重不完备性。首先,在信息社会关系视角下,多种场景的信息关系表明个人信息接收受到社会动力机制、社会规范因素和信息利用结果的三重因素影响。其次,在功利主义权利观视角下,完全由个人决定信息接收与社会功利最大化存在矛盾。制度功利主义将权利视为整体制度下的一种利益安排,当权利保护与社会功利最大化存在矛盾时,需要在社会整体层面合理界定权利内容。制度功利主义通过个人、契约和集体权利设置,可以实现权利保护与社会功利最大化的契合。应对两重不完备性,在制度上应当通过"选择退出机制"改变数据控制者在个人信息价值再利用时的被动局面。在规范上,将个人同意解释为宽松的概括授权,并且与目的限制、最小够用等原则协调。个人信息权的具体权能,如访问权、异议权、更正权等,本质上是信息主体控制其信息接收程度的权利,防止其行为受到数据控制者的不当影响。

平台经济领域个人信息保护的反垄断法必要及实现——以德国脸书案为例的解说

具有市场支配地位的平台经营者强制收集非必要用户信息的行为不仅会损害消费者利益,在跨边网络效应的影响下,还可能侵害到平台内经营者乃至其他竞争者的合法利益,从而危害公平竞争与公平交易秩序,由此引发了反垄断法关注。认定收集非必要用户信息的平台经营者是否具有市场支配地位,应当坚持个案分析的原则,以涉案行为为导向,着眼于现在或行为发生当时的市场情况来界定相关市场,并在此基础上进行市场支配地位的认定。评价收集非必要用户信息行为是否存在“强制”,可以用户是否对个人信息收集和使用程度享有选择权为判断标准。立足于平台多边市场的特点,具有市场支配地位的平台经营者强制收集非必要用户信息的行为可以被视为一种具有排他倾向的非纯粹剥削性滥用,在对平台经营者、消费者、平台内经营者以及竞争者等多元合法利益进行比较衡量的过程中,应当增加对个人信息自决能力及实现程度的考量权重。

论个人信息权在人格权法中的地位

尽管实践中对个人信息采用刑法、行政法等多重保护机制,但并不能影响或改变个人信息权为民事权利的基本属性。个人信息与个人人格密不可分,个人信息主要体现的是一个人的各种人格特征,故个人信息权是一种新型的具体人格权。个人信息权不属于一般人格权。个人信息与个人隐私在内容上存在一定的重合,但整体而言,个人信息概念远远超出了隐私信息的范围,应当将个人信息权单独规定,而非附属于隐私权之下。我国未来"人格权法"应当对于个人信息权作出规定,明确个人信息权的范围、内容、收集原则、侵害责任,以及商品化使用问题。

《个人信息保护法》中“知情同意条款”的出罪功能

《个人信息保护法》明确的知情同意原则是事先预防型个人信息保护机制的重要体现。在对知情同意原则加以合理完善的基础上,可将以“移动应用程序”(APP)隐私政策为代表的告知同意条款,视为个人信息处理者与个人信息主体之间达成的合意,而这种合意与刑法中作为出罪事由的“被害人同意”之间存在实质契合关系。在刑事合规的语境下,个人信息处理者应对隐私政策文本作出调整,以保障用户的知情权。针对可能给个人信息背后的多重法益带来风险的处理行为,个人信息处理者必须告知用户相关行为及伴随的风险并征求用户同意,借此完成从单纯的个人信息保护原则向个人信息保护与利用之平衡原则的转变,同时帮助个人信息处理者规避侵犯公民个人信息等刑事责任。