個人信息的多利益相關(guān)方治理
“立法是認識利益、表達利益的過程。要調(diào)整好各種不同的利益，首先要了解和認識利益。”關(guān)于個人信息的法律屬性學(xué)界存在爭議，有學(xué)者將其歸納為人格利益說（包括隱私權(quán)說和具體人格利益說）、個人信息權(quán)說和人格兼財產(chǎn)權(quán)說、新型權(quán)利或知識產(chǎn)權(quán)，也有學(xué)者將個人信息存在的受法律保護的基本權(quán)益歸類為個人自治（自由）利益、身份（識別）利益和不歧視（平等）。隨著研究的深入，個人信息的利益內(nèi)核逐漸被凝結(jié)為人格利益、經(jīng)濟利益（財產(chǎn)利益）和公共（社會）利益。人格利益關(guān)乎自由和尊嚴，若遭受侵犯，會導(dǎo)致信息主體外在形象被操縱、精神安寧被打破、決策自由被剝奪和思維方式被簡化；數(shù)據(jù)的財產(chǎn)利益日益凸顯，個人信息成為互聯(lián)網(wǎng)企業(yè)精準廣告投放、個性化推薦以及其他增值服務(wù)的數(shù)據(jù)支撐，是互聯(lián)網(wǎng)“依靠廣告提供免費服務(wù)”這一商業(yè)模式的基本條件；公共利益包含國家安全利益、社會管理利益、公共服務(wù)利益和科學(xué)研究利益。
個人信息內(nèi)蘊人格利益、財產(chǎn)利益和公共利益，這決定了其必然涉及多利益相關(guān)方，比如信息主體、信息處理者、政府乃至社會公眾等主體。數(shù)字社會的流動性特征使多利益相關(guān)方的利益需求相互嵌入、彼此耦合。信息主體的人格利益在政府執(zhí)行公務(wù)或突發(fā)公共衛(wèi)生事件中將受到克減，信息主體憑借自由意志處置財產(chǎn)利益時，要止步于國家法律的禁止性規(guī)定和當時當?shù)氐娘L俗習(xí)慣，信息處理者在依據(jù)信息合同處理個人信息時，要受到憲法層面作為基本權(quán)利的人格權(quán)約束，政府機構(gòu)在維護公共利益過程中，須恪守公權(quán)與私權(quán)的領(lǐng)域邊界。尤其是在各大企業(yè)平臺通過自我賦權(quán)擁有治理權(quán)力時，個人信息保護工作的多利益相關(guān)方既應(yīng)彼此配合，又須在公正場景中做到動態(tài)制衡，既要依靠社會規(guī)范指引，也要重視技術(shù)措施支持，既要發(fā)揮私法的基礎(chǔ)性作用，又要發(fā)揮公法的補充和兜底功效。
一、搭建分種類、多層級的個人信息保護規(guī)范體系。滿足多利益相關(guān)方訴求是個人信息保護所要實現(xiàn)的規(guī)范性秩序目的，而多利益相關(guān)方的協(xié)同共存導(dǎo)致單一的規(guī)范性秩序類型不能完全實現(xiàn)治理目標。于是，個人信息治理形成了一種多元的社會規(guī)范性秩序狀態(tài)，呈現(xiàn)為一個分種類、多層級的個人信息保護規(guī)范體系。（1）組織類官方規(guī)范。該規(guī)范類型是一種在集中理性指導(dǎo)下，以政府（廣義）制定的規(guī)范性文件為治理依據(jù)、在特定司法管轄范圍內(nèi)、治理對象主要存在于國家物理疆域內(nèi)的規(guī)范性秩序類型。這類官方規(guī)范也為個人信息的公私法協(xié)作提供了規(guī)范依據(jù)。（2）自制類社會組織規(guī)范。大型營利性或非營利性的互聯(lián)網(wǎng)企業(yè)、非政府間機構(gòu)組織等或者通過自己制定的規(guī)章制度、隱私政策對業(yè)務(wù)范圍內(nèi)的個人信息處理行為進行規(guī)制，或者通過制定互聯(lián)網(wǎng)協(xié)議、軟件代碼對個人信息處理進行架構(gòu)性規(guī)制。（3）自律類倫理規(guī)范。網(wǎng)絡(luò)道德是當前最重要的自律類倫理規(guī)范，也稱網(wǎng)絡(luò)公序良俗，它能通過信息主體和信息處理者的自律來應(yīng)對和處理由于現(xiàn)行制定法滯后而難以預(yù)見的那些損害個人信息人格利益、財產(chǎn)利益和社會公益的行為。
二、設(shè)立獨立監(jiān)管機構(gòu)。為平衡信息主體和信息處理者之間的力量失衡，一些國家或者地區(qū)通過立法設(shè)立統(tǒng)一獨立的監(jiān)管機構(gòu)來承擔個人信息保護的執(zhí)法任務(wù)，以促進個人信息處理者的合規(guī)義務(wù)、保護信息主體的合法權(quán)益。由于具有專業(yè)主義、運行自治、政治絕緣、政策上的專業(yè)知識及靈活應(yīng)對變動環(huán)境等特點，能夠更好地為個人信息保護提供結(jié)構(gòu)性支持，所以在德、英、日等國內(nèi)已經(jīng)實現(xiàn)了制度化、法治化的獨立監(jiān)管模式。由此，國內(nèi)有學(xué)者提出我國應(yīng)設(shè)立國家個人信息保護委員會作為統(tǒng)一獨立的個人信息保護監(jiān)管機構(gòu)。獨立監(jiān)管機構(gòu)還可以對符合信息保護標準的信息處理者予以資質(zhì)認證，同時對相關(guān)主體的個人信息保護工作進行動態(tài)信用評級。
三、開展多主體風險評估。誠然，在個人信息內(nèi)涵二元架構(gòu)的分析框架下，個人信息范圍的界定可以還原為特定時空條件下客觀性的技術(shù)標準。申言之，個人信息的認定就化約為對指稱性構(gòu)件（個人標識信息）與描述性構(gòu)件（個人痕跡信息）的關(guān)聯(lián)判斷上，該判斷采用歐盟GDPR的“所有合理可能的方法”，即考慮所有客觀因素，如識別所需的成本和時間，并考慮處理時的現(xiàn)有技術(shù)和技術(shù)發(fā)展，從而盡量避免法律上的價值評判。然而，敏感信息或私密信息的類型劃分，尤其是信息主體基于自由意志對個人信息的物質(zhì)性利益進行處置，以及有權(quán)機構(gòu)基于公共利益對個人信息獲得處置豁免的限度劃定，卻是一種主客觀交織的多元價值判斷。針對這些價值判斷的風險評估，既要考慮當事人主觀意愿、現(xiàn)行成文法規(guī)范，又要兼顧地域、文化傳統(tǒng)、法治理念、宗教信仰、風俗習(xí)慣、經(jīng)濟發(fā)展、主流價值等社會一般合理認知的影響，甚至對指稱性構(gòu)件與描述性構(gòu)件之間的熔斷狀態(tài)是否發(fā)生了技術(shù)和成本突破，也須進行階段性評估。對此，我們必須設(shè)計一套根據(jù)侵害行為對信息主體所帶來的風險程度進行認定的多主體評價體系。筆者建議由信息主體、信息處理者、獨立監(jiān)管機構(gòu)、行業(yè)協(xié)會、行政主管部門依照各自不同的權(quán)重做出量化評分報告，以確定具體場景下的風險程度，并定期評估匿名信息的殘余風險（Residual Risks）。此評分報告在行政執(zhí)法、訴訟程序中起到類似于鑒定意見書的效用。
四、完善技術(shù)性治理模式。技術(shù)治理對個人信息保護所起的功能作用，要么是提供宏觀的基礎(chǔ)架構(gòu)，要么提供微觀的技術(shù)手段，這是一種既可事后制裁更能事前介入和干預(yù)的預(yù)期調(diào)節(jié)形式。（1）積極運用技術(shù)措施，如隱私參數(shù)平臺（Platform for Privacy Preferences，P3P）技術(shù)和標識元系統(tǒng)（Identity Metasystem）等。P3P可以生成供計算機識別的個人隱私參數(shù)，若用戶訪問的某個網(wǎng)站不符合其設(shè)置的個人隱私參數(shù)，該協(xié)議就會觸發(fā)閾值，將預(yù)警信息發(fā)送至用戶。相應(yīng)，如果一個網(wǎng)站利用該協(xié)議設(shè)定其隱私政策或隱私保護指引與用戶的個人隱私參數(shù)不符，那么網(wǎng)站或用戶就會認識到這一沖突產(chǎn)生的問題，接著采取修正措施以滿足各自所需。（2）強調(diào)源頭治理。嚴把操作系統(tǒng)作為控制收集用戶信息權(quán)限的初始環(huán)節(jié)，比如推廣可選性“禁止追蹤”（DNT, Do Not Track）條款，進行信息保護的源頭治理，應(yīng)用軟件運營者嚴格遵守操作系統(tǒng)的權(quán)限要求，違反的話將會被下架處理。（3）開發(fā)個人端信息保護軟件。就像網(wǎng)民沒有必要成為電腦程序員就可以借助殺毒軟件防范電腦病毒一樣，信息主體也可以利用信息保護軟件對與信息處理者簽署的信息處理合同進行咨詢問診，根據(jù)軟件對信息泄露或濫用所發(fā)出的風險預(yù)警來及時調(diào)整信息保護和共享的合同方案，也可以將軟件的預(yù)警日志記錄作為證據(jù)來尋求相應(yīng)的權(quán)利救濟。
（韓新遠鄭州大學(xué)法學(xué)院）
編輯：張怡時
京公網(wǎng)安備 11010502000576號