個人信息的多利益相關方治理
“立法是認識利益、表達利益的過程。要調整好各種不同的利益，首先要了解和認識利益。”關于個人信息的法律屬性學界存在爭議，有學者將其歸納為人格利益說（包括隱私權說和具體人格利益說）、個人信息權說和人格兼財產(chǎn)權說、新型權利或知識產(chǎn)權，也有學者將個人信息存在的受法律保護的基本權益歸類為個人自治（自由）利益、身份（識別）利益和不歧視（平等）。隨著研究的深入，個人信息的利益內核逐漸被凝結為人格利益、經(jīng)濟利益（財產(chǎn)利益）和公共（社會）利益。人格利益關乎自由和尊嚴，若遭受侵犯，會導致信息主體外在形象被操縱、精神安寧被打破、決策自由被剝奪和思維方式被簡化；數(shù)據(jù)的財產(chǎn)利益日益凸顯，個人信息成為互聯(lián)網(wǎng)企業(yè)精準廣告投放、個性化推薦以及其他增值服務的數(shù)據(jù)支撐，是互聯(lián)網(wǎng)“依靠廣告提供免費服務”這一商業(yè)模式的基本條件；公共利益包含國家安全利益、社會管理利益、公共服務利益和科學研究利益。
個人信息內蘊人格利益、財產(chǎn)利益和公共利益，這決定了其必然涉及多利益相關方，比如信息主體、信息處理者、政府乃至社會公眾等主體。數(shù)字社會的流動性特征使多利益相關方的利益需求相互嵌入、彼此耦合。信息主體的人格利益在政府執(zhí)行公務或突發(fā)公共衛(wèi)生事件中將受到克減，信息主體憑借自由意志處置財產(chǎn)利益時，要止步于國家法律的禁止性規(guī)定和當時當?shù)氐娘L俗習慣，信息處理者在依據(jù)信息合同處理個人信息時，要受到憲法層面作為基本權利的人格權約束，政府機構在維護公共利益過程中，須恪守公權與私權的領域邊界。尤其是在各大企業(yè)平臺通過自我賦權擁有治理權力時，個人信息保護工作的多利益相關方既應彼此配合，又須在公正場景中做到動態(tài)制衡，既要依靠社會規(guī)范指引，也要重視技術措施支持，既要發(fā)揮私法的基礎性作用，又要發(fā)揮公法的補充和兜底功效。
一、搭建分種類、多層級的個人信息保護規(guī)范體系。滿足多利益相關方訴求是個人信息保護所要實現(xiàn)的規(guī)范性秩序目的，而多利益相關方的協(xié)同共存導致單一的規(guī)范性秩序類型不能完全實現(xiàn)治理目標。于是，個人信息治理形成了一種多元的社會規(guī)范性秩序狀態(tài)，呈現(xiàn)為一個分種類、多層級的個人信息保護規(guī)范體系。（1）組織類官方規(guī)范。該規(guī)范類型是一種在集中理性指導下，以政府（廣義）制定的規(guī)范性文件為治理依據(jù)、在特定司法管轄范圍內、治理對象主要存在于國家物理疆域內的規(guī)范性秩序類型。這類官方規(guī)范也為個人信息的公私法協(xié)作提供了規(guī)范依據(jù)。（2）自制類社會組織規(guī)范。大型營利性或非營利性的互聯(lián)網(wǎng)企業(yè)、非政府間機構組織等或者通過自己制定的規(guī)章制度、隱私政策對業(yè)務范圍內的個人信息處理行為進行規(guī)制，或者通過制定互聯(lián)網(wǎng)協(xié)議、軟件代碼對個人信息處理進行架構性規(guī)制。（3）自律類倫理規(guī)范。網(wǎng)絡道德是當前最重要的自律類倫理規(guī)范，也稱網(wǎng)絡公序良俗，它能通過信息主體和信息處理者的自律來應對和處理由于現(xiàn)行制定法滯后而難以預見的那些損害個人信息人格利益、財產(chǎn)利益和社會公益的行為。
二、設立獨立監(jiān)管機構。為平衡信息主體和信息處理者之間的力量失衡，一些國家或者地區(qū)通過立法設立統(tǒng)一獨立的監(jiān)管機構來承擔個人信息保護的執(zhí)法任務，以促進個人信息處理者的合規(guī)義務、保護信息主體的合法權益。由于具有專業(yè)主義、運行自治、政治絕緣、政策上的專業(yè)知識及靈活應對變動環(huán)境等特點，能夠更好地為個人信息保護提供結構性支持，所以在德、英、日等國內已經(jīng)實現(xiàn)了制度化、法治化的獨立監(jiān)管模式。由此，國內有學者提出我國應設立國家個人信息保護委員會作為統(tǒng)一獨立的個人信息保護監(jiān)管機構。獨立監(jiān)管機構還可以對符合信息保護標準的信息處理者予以資質認證，同時對相關主體的個人信息保護工作進行動態(tài)信用評級。
三、開展多主體風險評估。誠然，在個人信息內涵二元架構的分析框架下，個人信息范圍的界定可以還原為特定時空條件下客觀性的技術標準。申言之，個人信息的認定就化約為對指稱性構件（個人標識信息）與描述性構件（個人痕跡信息）的關聯(lián)判斷上，該判斷采用歐盟GDPR的“所有合理可能的方法”，即考慮所有客觀因素，如識別所需的成本和時間，并考慮處理時的現(xiàn)有技術和技術發(fā)展，從而盡量避免法律上的價值評判。然而，敏感信息或私密信息的類型劃分，尤其是信息主體基于自由意志對個人信息的物質性利益進行處置，以及有權機構基于公共利益對個人信息獲得處置豁免的限度劃定，卻是一種主客觀交織的多元價值判斷。針對這些價值判斷的風險評估，既要考慮當事人主觀意愿、現(xiàn)行成文法規(guī)范，又要兼顧地域、文化傳統(tǒng)、法治理念、宗教信仰、風俗習慣、經(jīng)濟發(fā)展、主流價值等社會一般合理認知的影響，甚至對指稱性構件與描述性構件之間的熔斷狀態(tài)是否發(fā)生了技術和成本突破，也須進行階段性評估。對此，我們必須設計一套根據(jù)侵害行為對信息主體所帶來的風險程度進行認定的多主體評價體系。筆者建議由信息主體、信息處理者、獨立監(jiān)管機構、行業(yè)協(xié)會、行政主管部門依照各自不同的權重做出量化評分報告，以確定具體場景下的風險程度，并定期評估匿名信息的殘余風險（Residual Risks）。此評分報告在行政執(zhí)法、訴訟程序中起到類似于鑒定意見書的效用。
四、完善技術性治理模式。技術治理對個人信息保護所起的功能作用，要么是提供宏觀的基礎架構，要么提供微觀的技術手段，這是一種既可事后制裁更能事前介入和干預的預期調節(jié)形式。（1）積極運用技術措施，如隱私參數(shù)平臺（Platform for Privacy Preferences，P3P）技術和標識元系統(tǒng)（Identity Metasystem）等。P3P可以生成供計算機識別的個人隱私參數(shù)，若用戶訪問的某個網(wǎng)站不符合其設置的個人隱私參數(shù)，該協(xié)議就會觸發(fā)閾值，將預警信息發(fā)送至用戶。相應，如果一個網(wǎng)站利用該協(xié)議設定其隱私政策或隱私保護指引與用戶的個人隱私參數(shù)不符，那么網(wǎng)站或用戶就會認識到這一沖突產(chǎn)生的問題，接著采取修正措施以滿足各自所需。（2）強調源頭治理。嚴把操作系統(tǒng)作為控制收集用戶信息權限的初始環(huán)節(jié)，比如推廣可選性“禁止追蹤”（DNT, Do Not Track）條款，進行信息保護的源頭治理，應用軟件運營者嚴格遵守操作系統(tǒng)的權限要求，違反的話將會被下架處理。（3）開發(fā)個人端信息保護軟件。就像網(wǎng)民沒有必要成為電腦程序員就可以借助殺毒軟件防范電腦病毒一樣，信息主體也可以利用信息保護軟件對與信息處理者簽署的信息處理合同進行咨詢問診，根據(jù)軟件對信息泄露或濫用所發(fā)出的風險預警來及時調整信息保護和共享的合同方案，也可以將軟件的預警日志記錄作為證據(jù)來尋求相應的權利救濟。
（韓新遠鄭州大學法學院）
編輯：張怡時
京公網(wǎng)安備 11010502000576號