个人信息处理中个人同意规则释论

我国《个人信息保护法》关于信息主体同意的规定存在着内在缺陷,需要进一步细化改进和完善。在个人同意的性质上“意思表示说”与“处分行为说”难以成立,应将其定性为准法律行为,在性质允许的范围内适用法律行为的相关规定。信息主体表示同意无需局限于书面形式,口头形式或行为推定方式亦无不可。信息主体须具有民事行为能力,年满14周岁的未成年人具有同意能力,除此之外的未成年人与成年被监护人做出的同意无效。信息主体受到欺诈、胁迫以及在压迫关系下做出的同意无效。处理者通过违法处理个人信息取得的同意无效。

电子健康记录共享调阅中个人同意的法规研究

在医疗服务中,通过对电子健康记录的共享调阅有助于整合医疗资源、提高医疗服务效率和质量、节省患者医疗费用支出。然而,由于电子健康记录包含大量敏感个人信息,处理时"应当取得个人的单独同意"。如何使"单独同意"既符合法律要求又有助于医务人员对电子健康记录的共享调阅,需要更加完善的法律环境。对目前部分国家、地区与电子健康记录共享相关的法规中涉及"同意"的内容进行了研究分析,为更好地落实法规、推进电子健康记录应用提供借鉴。

论《个人信息保护法》中个人同意制度的完善

企业需要获取大量的个人信息,以此作为其自身运营的基础。然而企业在获取个人信息时存在没有获取个人同意的情形或者虽然获取了个人同意,但个人对其同意的内容、范围等有着一定的认识错误。探究个人同意的含义和分类有利于进一步了解个人同意,引入个人同意的构成要素作为认定同意的标准,能够为企业提供获取个人信息的标准,促进个人信息的流通,使企业合规发展。

数据交易中个人信息保护制度之完善——以“知情—同意”规则为核心

个人数据交易法律框架的构建需要实现数据主体权益与数据流通效率之间的动态平衡。现有的“知情—同意”规则体系无法适应数据交易市场的复杂情境,不仅难以发挥立法者预期的保护个人权益之效用,数据流通效率与数字经济发展也严重受阻。个人数据交易场景迫切期盼“知情—同意”规则的适时修正,包括重塑数据处理者在数据交易中的告知义务,破解数据处理者须逐次征求数据主体同意的机制,交易客体应限于数据主体初次授权同意的数据范畴,明确个人数据危险扩大时的特别告知义务,以及限制数据主体就其个人信息同意的撤回权,设置数据主体的限制撤回期间和正当理由,规定不当撤回同意者应对数据处理者遭受的交易损失承担损害赔偿责任等。

个人信息同意任意撤回:目的、体系与规则

个人信息同意任意撤回构成对个人信息同意这一有效意思表示的撤销,但与《民法典》第147~152条规定的可撤销法律行为有若干不同,其规范目的在于保障个人信息自决。就权利行使而言,个人信息同意任意撤回权的权利主体是信息处理所涉及的个人。撤回同意时,个人应具有辨认和控制能力。个人信息同意撤回不受期间限制,既可采取书面形式,也可采取口头形式。处理者应提供便捷的撤回方式并保证撤回是免费的。同意被撤回后,处理者应停止处理并删除个人信息,但不影响撤回前已进行的处理的效力。在未通过“捆绑禁止”测试时,处理者不得以同意被撤回为由拒绝提供产品或服务。随着数字经济的发展,出现了若干限制个人信息同意撤回权的尝试。

论个人信息同意撤回权制度的适用障碍及其消除

《个人信息保护法》第15条规定信息主体有权撤回同意,却未明确说明同意撤回权的性质、行使条件、法律效力、权利范围等内容。学界对此各执己见,至今尚无定论,以致同意撤回权制度的适用面临诸多障碍。可结合《民法典》相关条款,“内部”界定信息主体同意为承诺、同意撤回权为任意解除权;明确信息主体禁止撤回“双保险”个人信息及例外情形、限制撤回必要个人信息;认定个人信息处理者负有主动删除义务、信息主体承担损害赔偿责任。进而结合《民法典》第1033条、第1035条、第1037条以及《个人信息保护法》第4条、第13条至第18条、第29条至第31条、第47条,“外部”厘定同意撤回权制度与告知同意规则、删除权制度的关系,构建三者的协调适用规则。“内”“外”兼施,保障同意撤回权制度的准确适用,平衡信息主体、非信息主体、个人信息处理者三者的利益。

论个人基因信息保护与披露的界限

知情同意机制难题是大数据时代个人信息保护的瓶颈。在多个领域和多样化应用场景下,个人信息保护面临信息保护与披露、个人利益与公共利益等多个面向的冲突,而患者的基因信息是冲突较为激烈的领域。个人的基因信息属于重要的健康信息,医生必须严格遵守知情同意原则,不得任意向他人披露。但医生对于患者与其亲属或其近亲属之间共有的遗传性基因信息进行有限度的、最小化程度的披露,应当为法律所允许。基因信息的隐私权保护路径过于强调患者的知情同意权,有违基因信息的公共性和公共价值。基因信息的共管保护路径重视基因信息的公共性,能够在法律上和医疗业务上设立一种保密与披露相抗衡或者相平衡的机制。

论个人信息处理中的个人同意

在法律、行政法规未作特别规定时,处理个人信息应当取得个人同意,否则即属违法。个人信息处理中的个人同意不是作为法律行为核心要素的意思表示,不属于人格权商业化利用中权利人的许可。就个人同意的性质而言,从消极方面看是违法阻却事由,即排除了客观上侵入个人信息权益的处理行为的非法性,而从积极方面看,则属于个人信息处理的合法根据。意思表示的瑕疵及撤销、撤回的规则不能当然适用于个人信息处理中的个人同意。个人同意的生效须具备同意能力、充分知情、真实自愿及明确具体等要件。我国个人信息保护法中规定的明确同意、单独同意与书面同意这三者间既有联系又有区别。

论个人信息处理中个人同意的“弱化”与信义义务的“补充”

个人信息处理中的个人同意源于“尊严-自由-自治”基本权利观,以个人控制优先为核心。但随着数字社会以平台经济为主导的“私权力”崛起,个人信息处理法律关系变成公权力、私权力与私权利的复杂博弈。个人同意因缺少“知情+自愿”之任一要素而欠缺有效性,无法在主体间建立互信。因应之策是:一方面,弱化个人同意的功能。个人同意不同于侵权领域的“受害人同意”,不产生绝对免责效力;不同于合同领域的“意思表示”,不必然产生承诺授权效力。个人同意是程序性权利,效果是加入个人信息处理法律关系。不同法律关系中同意具有不同法律效力,是个案裁判中利益衡量的重要变量。另一方面,补充处理者的信义义务,以建立长期、可持续、互利互信的个人信息利用关系。

个人信息同意撤回与个人数据对价化

数据主体享有个人信息同意任意撤回权,可随时撤回个人信息同意。这对个人数据对价化交易带来了巨大冲击,不仅有违合同严守原则,超出了个人信息自决权的必要限度,还将导致“数据寻宝游戏”和对个人信息权益的超额保护。从长远来看,任意撤回也不利于个人分享数据的经济价值和数据要素市场的构建。个人信息“选择退出”模式及任意撤回限制论均不足以回应任意撤回规则带来的挑战,应当运用分离原则和抽象原则,将个人信息同意与合同相分离。个人信息同意被撤回的,“数据换给付”合同仍然有效,处理者可行使同时履行抗辩权或主张履行不能,亦可根据合同权利义务终止规则解除或终止合同。依照合同解除与否,数据主体和处理者的返还义务各不相同;撤回构成欺诈、权利滥用及“不合时宜”的,数据主体对处理者负有损害赔偿义务,同时,同意的撤回亦不排除个人对撤回前已进行的数据处理活动的损害赔偿责任。

论人群遗传学研究中的知情同意问题

自人类基因组计划开展后,以人群为基础的研究成为遗传学研究的一个热点。与以往的研究不同,人群遗传学的研究对象既是个人也是群体。这些群体以集体的形式承担研究可能的风险,并分享可能的利益。人群遗传学的研究对基于个人同意的知情同意原则提出了新的问题。本文将结合人群遗传学研究的新进展,指出征求受试人群的群体同意既具有现实的必要性,也具有伦理的合理性。个人同意与群体同意不存在本质的对立。

同意的困境——基于以同意理论证成政府家长式干预的视角

在自由主义语境中,对政府家长式干预行为可行性的分析诉诸于对个人意愿真实性的探求,而同意理论作为个人意愿的有效表达方式成为家长主义者和反家长主义者论辩的重点。但是,由于同意本身所具有的局限性,使得通过诉诸于个人意愿的方式证成政府家长式干预行为的路径遭遇到了不可避免的困境。

同意的困境——基于以同意理论证成政府家长式干预的视角

在自由主义语境中,对政府家长式干预行为可行性的分析诉诸于对个人意愿真实性的探求,而同意理论作为个人意愿的有效表达方式成为家长主义和反家长主义者论辩的重点。但是,由于同意本身所具有的局限性,使得通过诉诸于个人意愿的方式证成政府家长式干预行为的路径遭遇了不可避免的困境。

个人信息处理同意的性质与有效条件

《个人信息保护法》采取意图导向,将充分知情、自愿及明确规定为个人信息处理同意的有效条件,有助于解决实践中同意的虚化以及真实性与有效性大规模背离的问题。但《个人信息保护法》的规定存在不足,需要在法教义学意义上对个人信息处理同意的性质、规则适用及有效条件进行分析、解释,以妥当认定个人信息处理同意的效力,并将其融入民法同意理论。个人信息处理同意应界定为非典型的意思表示,充分知情、自愿属于意思范畴,明确属于表示范畴,三者系《民法典》上“意思表示真实”在个人信息处理活动中的具化,应当结合意思表示理论与个人信息保护实践进行解释与认定。充分知情、自愿均基于有效告知而推定产生,明确虽非推定产生,却也与告知密切相关。对格式化告知同意的规制重点不在同意,而在告知,只有强化处理者告知才能提升用户自由,矫正意思自治的形骸化,从形式同意向实质同意回归。

论生物特征识别系统个人信息采集处理授权同意机制

当前生物特征识别技术面临个人信息被盗窃、泄露、滥用及系统被侵入两大安全风险。为此,我国《民法典》确立了个人信息采集处理授权同意机制,一定程度上保护了生物特征安全。但由于生物特征识别系统的复杂性和多样性,不同系统的安全性能和个人信息保护性能差异较大;同时,普通的被识别人对识别系统的安全风险难以鉴别,导致以同意机制为基础的个人信息法律保护框架显得十分无力。因此,我国应从技术和法律上对系统的安全性能和个人信息保护性能进行分级规制,并制定包括生物识别信息在内的个人信息保护的专门法律规范,以便进一步完善授权同意机制。

浅析人脸识别技术应用的现状与法律问题——以小区门禁人脸识别为例

人脸识别技术被广泛应用于日常生活中,给公众生活带来前所未有便捷的同时,公众的隐私却未得到切实的保障。目前,公民对个人信息的保护意识不强、相关监管措施未真正落实,法律的预防与惩罚方面存在缺失,导致个人信息泄露事件屡屡发生。相关企业应该完善技术保密措施,加强信息数据安全的监管,法律应该加大违法成本和对信息安全的特殊保护,政府应该鼓励成立行业自律协会进行自我约束,形成企业联盟,对信息安全不够完善的企业采取强制性措施。