个人信息处理中的“同意”规则探究

　　一、个人信息处理中的“同意”

　　互联网与大数据技术的发展使个人信息被收集、处理 ( 使用、存储、加工、传输、提供、公开等)成为不可逆转的趋势。这一趋势在促进数据产业发展、网络经济增长的同时，也给自然人个人信息保护带来了新的风险，尤其是基于 “知情同意”的传统意思自治理念构建的转让规则提出了挑战。民法典编纂的一大创新，是在人格权编中设置了独立的个人信息保护规则。“同意”原则，体现在民法典第1035条规定处理个人信息的条件之一是“征得该自然人或者其监护人同意”，第1038条规定“未经自然人同意，不得向他人非法提供其个人信息”。民法典仍然坚持以“同意”为前提，只是明确“同意”存在法定例外（第1035条第1款第1项），并规定了免责情形（第1036条），然而在不存在法定例外时，对未经同意处理个人信息是否构成侵权，仍有不同理解，司法实践中也存在不同认定。

　　(一)“同意”的法律性质

　　对“同意”的理解和认定，关系到未经个人同意处理个人信息是否构成侵权的判断。民法典有不少涉及到“同意”的规定，如：法定代理人同意、担任监护人所需机关同意、在合同订立过程中对要约的同意、合同权利义务转让同意、物权处分的同意、肖像权人对使用肖像的同意、医疗行为中患者与近亲属的知情同意等。这些“同意”是当事人的意思表示，其基本含义是认可某事实或者允许某人做某事，从而产生的特定法律效果，但法律效果却不尽相同，有些“同意”产生变更法律关系或者权利义务内容的效果，有些产生阻止违法或接受某种法律后果，甚至放弃某种权益，有的含有“授权”的意思，比如肖像权人对使用肖像的同意，因此必须结合同意规范的具体情境判断其法律性质[ 陆青：《个人信息保护中“同意”规则的规范构造》，载：《武汉大学学报（哲学社会科学版）》2019年第5期。]。

　　个人信息处理中的告知同意规则应该是：信息处理者主动将其收集、使用个人信息的情形告知于信息主体，信息主体在充分知情的前提下做出自愿有效的同意允诺，信息处理者在其同意的范围内处理其个人信息。民法典对个人信息保护采用的是行为规范模式，而非权利规范模式，个人信息处理行为的合法性是侵权行为判断的基础[高富平：《同意≠授权——个人信息处理的核心问题辨析》，载《探索与争鸣》2021年第4期。]。民法典第1035条“个人信息处理的原则和条件”将“同意”视为个人信息处理的条件之一，但并不是非经同意不得使用的权利规范模式，第1036条第1项将“同意”视为个人信息处理合法性的必要但不充分条件，“同意”只是合法处置的前提，还必须在“同意”的范围内“合理实施”处理行为。“同意”是一种对个人信息权益的处分，但是鉴于个人在信息处理流程中的弱势地位，可供选择的信息处理目的并不具有明显的获益性，甚至有些表面的获益是以承担更多风险及代价所带来的，比如最近热搜的携程大数据杀熟，所以个人信息主体通过对信息处理的“同意”是在进行对处理目的范围的限制，是一种消极防御功能，而非积极主动的行使自己的信息权益。

　　（二）“同意”规则的现实运作

　　“同意”的前提是基于信息处理者履行了充分的“告知”义务。在日常生活中，网络信息处理者往往会通过《隐私政策》《用户协议》《服务条款》等电子格式合同的形式告知其将收集并共享、转让用户的个人信息范围、方式、目的等， 并设置“我已仔细阅读并同意”这一魔力词，面对这种“全有全无”的捆绑式消费，信息主体很难做出真实意愿的“同意”，所以“同意”规则实际运作已面临困境，信息处理者并未真正保障信息主体的知情权，会导致个人信息主体权利得不到有效救济。

　　1.隐私条款中的告知同意形同虚设

　　同意规则绕开了对于网络用户知情权的要求，告知义务和知情权并不完全对等，信息处理者时常有意采用内容冗长、措辞晦涩的隐私政策，使得网络用户无法去仔细阅读和完全理解这些隐私政策。有关研究表明，用户倘若要阅读一年中所使用的网络服务的隐私政策条款就需要花费224 个小时[ 阮神裕：《民法典视角下个人信息的侵权法保护》，载《法学家》2020年第4期。]，表2也显示出隐私政策字数较多，要求用户认真阅读每条隐私政策的要求既不合理也不可能。而且这些条款本身属于格式条款，需要一定的专业水平才能去理解，由于用户的教育背景、理解能力不同，即便阅读了，也无法确认用户真正理解了这些条款的意义。

　　表1：部分网络平台“隐私政策”字数统计

　　2．“捆绑式”的形式限制了同意的有效性

　　网络信息处理者告知义务的履行在现实中是“捆绑式”的服务，给信息主体带来的选择只有两种可能：要么点击“同意”对条款全盘接受，要么点击“不同意”同时退出服务或交易。在捆绑模式之下，“同意”成为使用软件的前置条件，信息主体想要弄清楚信息处理者如何收集和利用个人信息并非易事，为此所消耗的成本甚至会促使其放弃对于信息处理者对其个人信息所提出要求的慎重考虑，从而草率地同意信息处理者的要求，其所作出的同意选择难免形式大于内容[ 梅夏英、刘明：《大数据时代下个人信息的界定》，载《理论探索》2013年。]。甚至有些网络服务者直接剥夺了用户选择的权利，如在黄某与腾讯科技有限公司个人信息权益网络侵权责任纠纷案中，微信读书软件采用账户信息和好友关系一次性授权、用户无法分别进行选择、不同意就无法使用应用的登录方式，实际上剥夺了用户的选择权，黄某并非自愿选择。

　　笔者对80名同事亲朋好友进行了关于“同意”隐私条款的原因及软件在申请调用权限时的反应的问卷调查，其中：61人觉得这些前置条款属于强制条款，如果要使用该软件没得商量必须得同意；16人觉得这些条款与自己没有什么关系，看不看都一样，直接点击同意；只有2人表示对隐私条款予以信任而点击同意。同时，在一些场景之下，用户个人信息的授权范围与其所获的服务层次存在对等关系,[万方：《个人信息处理中的“同意”与“同意撤回”》，载《中国法学》2021年第1期。] 网络平台在提供拓展性功能时需要获取更多的个人信息，比如使用网约车需提供用户位置和电话，使用微信的某些功能需提供用户的照片、通讯录、个人好友列表等信息，使用抖音购物支付时需关联支付宝或者微信。通过问卷调查，网络平台在申请调用权限时，60%用户表示会直接同意，32%的用户表示会辨别后再通过，只有8%的用户会予以拒绝。实际上，在已经开始某项服务之后，若网络平台需要更新其隐私条款的内容，用户往往也只能选择同意来继续获得服务，所以大部分用户的“同意”并不是出自其内心真实意思的同意。

　　3.同意的权利容易被架空

　　作为数据处理者的网络经营者和作为信息主体的自然人之间显然存在着强弱地位的差异。相对网络信息主体，网络经营者显然有较多的信息与谈判力量，先天上处于较优越之地位。[ 李勇：《论消费者个人信息之保护—以告知同意原则为中心》，载《经济纵横》理论月刊2014年第8期。]相反地，信息主体对于其哪些个人信息将被收集、收集之后如何利用、这些数据将在哪些平台之间共享、又将推衍出哪些额外、潜在的信息等情形往往难以知悉，更无法参与到信息的收集与处理当中。如在庞理鹏与趣拿公司、东航公司隐私权纠纷案中，庞理鹏在趣拿公司下辖网站“去哪儿网”购买东航机票，趣拿公司以庞理鹏不知晓的方式将信息与第三方共享，导致个人信息被泄露，庞理鹏只有在收到来自陌生号码诈骗短信要求其改签航班并支付改签费用后，才意识到个人信息被侵权，但是并不知道自己的信息是如何被去哪儿网泄露的。同时，信息处理者以信息主体已点击“同意”作为免责的挡箭牌，无形中导致信息主体的权利被架空。

　　二、个人信息中“同意”的司法认定之实务困境

　　在信息化时代，个人信息的保护已经成为各地法院司法审判实践工作的共识。但是通过梳理近年来相关案例，发现由于现实情况复杂加上各地法院认定标准不一，对于个人信息侵权案件中“同意”的认定也不尽相同。

　　( 一) 对于隐私政策效力认定的不一

　　隐私政策实质上属于格式条款，法院对该格式条款的效力认定并不统一。笔者选取了部分比较典型案件进行分析，具体如表2所示。法院基于隐私政策中“有效告知”方式的不同及隐私政策中的同意机制不同，从而对隐私条款的效力作出不同认定。

　　表2：法院对隐私政策效力认定结果

　　（二）对于“同意”形式认定的模糊

　　“同意”，可以对应 民法典规范体系内明示、默示乃至单纯的沉默作为形式的意思表示。在朱某与北京百度网讯科技公司隐私权纠纷中，南京市中级人民法院引用 《信息安全技术公共及商用服务信息系统个人信息保护指南》 ( GB /Z 28828—2012) 对于 “默示同意”的宽松认定标准，也反映出在个人信息领域对同意形式进行灵活处理的一种裁判规则。但回归民法典对于意思表示形式的规范，个人信息处理中所必要的“同意”对形式的要求是否真的如此宽泛，以至于信息主体“只要在使用”或者“没有提出异议”即构成“同意”，仍然值得进一步思考。若信息主体对处理行为作出了明示的意思表示，一般不会对信息主体真实意思的解释产生难题。存在的问题是，信息主体如何对信息转让的行为通过“默示”乃至 “单纯沉默”的方式有效作出了意思表示，这仍须取决于意思表示解释的一般规则，即 民法典第 142 条中按照文义，并“结合相关条款、行为的性质和目的、习惯以及诚信原则”。

　　（三）对“无授权不得使用”的不当认定

　　在部分司法判决中存在“无授权不得使用”这一认定模式。如去年北京互联网法院判决的“微信读书”案中，法院认为用户不提供其通讯录列表、微信好友列表情况下无法使用被控侵权软件，这是平台对软件运用模式的选择，不构成侵害用户的自主选择权；还有“微视”案中，法院认为对用户性别、地区等基本信息的收集使用为强制项，如不同意则不得使用，不构成侵害用户的自主选择。对于上述判例的观点有待商榷。对于信息处理者而言，在用户注册或者初次使用时就获得同意，一次性获得一揽子个人信息授权，是获取用户知情同意方式中投入最小且高效的方式。但如果不一揽子授权就无法使用的设置，显然有绑架用户的嫌疑。用户的自主选择并非仅仅是指其有权决定使用某一软件，还在于有权自主选择以怎样的方式使用这一软件，这个“不合理搭售”已构成对信息主体的侵害。

　　三、“同意”规则的重新构建

　　网络环境下的个人信息侵权不易发现且违法成本极低，与低风险、低违法成本相伴的是高收益，利益驱使下更加容易诱发个人信息网络侵权的风险[甘文强：《个人信息权网络侵权的归责原则探究》，载《贸大法学》2019年第4期。]。“使用即同意”现实规则更加纵容了网络经营者的侵权行为。如何完善个人信息保护中知情同意原则，以及如何在信息保护和信息利用效率之间取得平衡，笔者提出可行性的建议。

　　（一）提高隐私条款告知同意的有效性

　　1.规范隐私条款中的免责声明

　　隐私条款的前置性同意使告知同意形同虚设，在实践中对隐私条款的默认勾选同意，成为了信息处理者收集和使用个人信息的免责性规则。勾选同意不应当成为使用软件的前置性程序。建议可以无条件地开放软件的一些基本使用功能，对于一些核心功能或者可能涉及个人信息的，再让用户进行同意，并且条款应当尽可能的清晰易懂，让用户能够快速明确的知悉其中的关键点，由用户在充分支持的前提下作出自愿、明确的意思表示。免责声明不得成为网络信息处理者侵犯个人信息的借口。

　　2.引入隐私风险评估机制

　　以行业规范的模式制定出该行业内部的隐私风险评估工具，引导企业在经营过程中以此为依据衡量其隐私政策以及服务中所产生的隐私风险及应对模式。未来立法可以考虑在采用清晰明确的隐私风险评估标准的基础上纳入成熟的隐私风险评估工具，针对适用个人信息的适用场景及具体类型结合个人信息的收集、使用、储存等各环节对个人信息处理主体提出不同的要求。[万方：《隐私政策中的告知同意原则及其异化》，载《法律科学（西北政法大学学报）》2019年第2期。]近日，国家网信办、工信部、公安部、国家市场监管总局联合发布《常见类型移动互联网应用程序必要个人信息范围规定》，明确了地图导航、网络约车、网络购物等39类常见类型移动应用程序必要个人信息范围，瞄准超范围收集用户个人信息等过度索权问题。[ 财经头条新闻：《四部门要求APP运营者不得因用户不同意提供非必要个人信息 而拒绝用户使用App基本功能服务》]这种行业的规范增加了对个人信息收集的必要性要求，对个人信息保护具有重要意义。建立有效的行业自律机制可以将企业的信息保护义务与风险评估相衔接，在法律规范明显滞后时，行业协会往往能够及时对新情形做出回应，督促其制定本行业技术指导规范，建立起多元互动治理机制。[丁鹏：《个人信息权侵权责任研究》，2020年安徽财经大学硕士学位论文。]

　　（二）建立多元、动态的告知同意模式

　　1.建立场景化的告知同意方式

　　告知同意原则应当根据可期待性与否来进行必要的修正。美国的尼森鲍姆(Nissenbaum)，提出了个人信息保护的“情境诚信理论”，认为个人信息保护应当根据不同的情境或领域而有不同的期待，谁收集信息，谁在分析，谁在传播并且传播给了谁，个人信息的性质，各方之间的关系以及机构和社会情况等都可能影响特定领域内规范内容的确定。[林洹民：《 个人信息保护中知情同意原则的困境与出路》.，载《北京航空航天大学学报(社会科学版)》 2018年第31期。]网络是动态的，即使在相对统一的社会背景下，由于互联网产品的多元性和丰富性，用户的广泛性和差异性，不同用户就个人信息的期待也可能存在消极防御与积极利用的差异。如在具有社交功能的应用软件中，有用户厌烦“可能认识的人”的推送，有用户则欢迎就此迅速建立该软件上的社交关系；如在购物应用软件中，有用户反感基于用户偏好的产品推送，有用户则享受该推送带来的便捷。因此，有必要深入实际应用场景，以“场景化模式”建立动态告知同意模式。如在微信读书案中，微信读书软件开始采取账户信息和好友关系一次性授权、用户无法分别进行选择的方式进行强制性同意，后面微信读书软件进行了改进，将好友关系改为二次授权。这种根据场景化的修正能更好的符合一般理性用户所广泛认知、理解或预期。

　　2.赋予信息主体同意撤回权

　　如前所论，用户越来越将自己的同意视为一种负担，往往不假思索地点击同意并进行“下一步”。如果是不符合期待的，例如，同意授权后，频繁收到网络广告骚扰、收到诈骗电话等，这种情况下即使用户在充分阅读授权条款后，一般会拒绝接受相关条款。这种对于信息主体而言造成了预期价值的丧失，这时可以赋予信息主体“同意撤回”权，对信息处理进行暂停式的缓冲效力，来进行信息处理者对个人信息侵害的自我救济。

　　2017年9月，十家互联网企业签署个人信息保护倡议书，其中微信、淘宝网、支付宝、滴滴出行、京东商城五款产品和服务提供了在线“一站式”撤回和关闭授权功能。《个人信息保护法（草案）》第16条拟定“基于个人同意而进行的个人信息处理活动，个人有权撤回其同意”，首次采用了“撤回”同意的概念。同意撤回是指个人信息主体基于“告知同意”原则，对自己已经作出的“同意信息处理者对其个人信息进行处理”的授权予以取消的意思表示。同意撤回权体现了信息主体对个人信息的自决处分，撤回的是信息处理者对其个人信息的“使用权”，使得信息处理者不再有权收集、使用信息主体的任何新的个人信息。当然，对于个人信息主体而言，行使了同意撤回权后仍然有再次同意的可能，当信息主体因需间续性地获取某种服务时，可选择暂时撤回同意，在需要继续服务时再次选择同意授予信息处理者以处分的权限。此时，若信息处理者保留了用户曾经的使用习惯及设置，可以使得个人信息主体快速便捷地享受到原本暂停的服务，对于信息处理者而言，也避免了一旦同意被撤回即要删除数据的局面。

　　3.适度增加择入式同意的适用范围

　　择出机制是指用户个体可自主选择从系统中退出的机制，即原始设定将用户自动纳入系统，同时告知用户退出系统的可能性及方式，在此机制之下，用户的不作为将被推定为同意继续接受该系统的运行规则；与之相对，择入机制是指系统的原始设定并不自动包括用户，用户若希望被纳入到系统之中需要以各种方法做出明示的意思表示，如在页面上选择或回复邮件、电话等。[万方：《隐私政策中的告知同意原则及其异化》，载《法律科学（西北政法大学学报）》2019年第2期。]择出机制对信息处理者更有益，因为在该机制下不需要信息主体的同意，其默示行为即被视为同意，当个人信息被纳入系统中，信息处理者将可以对信息加以利用取得经济效益，我们现实很多软件的默认同意采取的是择出式授权标准。而择入机制更注重对个人信息权益的保护。建议进行择出机制到择入机制的转化，按照不同信息分类相对应的信息主体采取不同的同意机制。《个人信息保护法（草案）》将个人信息分为一般信息和敏感信息。敏感信息一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害，所以对于敏感信息应以更严格的择入式方式获取同意，要得到个人信息主体的明示同意。一般信息可以获得主体明示同意或者默示同意。对于“告知豁免”的情形，比如紧急情况下为维护公共利益或保护自然人的生命健康和财产安全而需处理个人信息的，合法处理信息主体自行公开或者其他已合法公开的信息的，这种情况可以采用择出机式同意，但这种情况属于例外情形，民法典第1036条将上述情形确定为免责情形，所有在法律适用上应严格规制。

　　（三）完善个人信息保护的司法救济

　　由于告知同意原则面临的现实困境，信息主体并不知道自己的个人信息将会以何种方式向第三人披露，很多时候信息主体只有收到了一堆广告骚扰才意识到个人信息被泄露，但对于是被谁泄露的并不确定，这种不确定性会进一步妨碍信息主体获得法律救济。在这一情况下，对被侵权人课以较高要求的举证责任会使得信息主体的败诉风险极高，多数法院按照“谁主张主举证”的形式来分配举证责任无疑在案件判决之前就宣告了原告败诉，也意味着对侵权行为难以有效的惩治，等于变相放纵了侵权人的侵权行为。[ 李旭颖：《适法统一视角下个人信息泄露侵权案件举证责任分配问题初探》，载《上海法学研究》集刊，2019年第13卷。]如苏宁案中法院认为侵权责任构成的要件的举证责任应由原告负担，原告提供的证据能够证明其损害事实的构成要件，但不能证明被告侵权的其他构成要件，最终驳回原告的诉讼请求。又如庞理鹏案，一审法院因原告现无证据证明被告将原告过往留存的手机号与案涉机票信息匹配予以泄露，判决原告败诉。

　　1.个人信息侵权案件归责原则应当多元化

　　归责原则对于举证责任的分配、责任的归属起着决定性作用。民法典第1194条规定“网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。”民法典对于个人信息侵权的归责原则并没有特别规定，为鼓励信息自由，对于普通个人信息侵权行为，一般应采取过错责任原则，使信息处理者能尽到严格的注意义务，达到个人信息充分流通与个人信息较好保护的平衡。[ 杨俊涛：《大数据时代个人信息的民法保护》，2017 年中国政法大学硕士学位论文第 37 页。]然而传统单一的归责原则已无法实现对复杂的个人信息网络侵权案件的处理，对于不同侵害主体，应采取和个人间信息侵权行为不同的归责原则。具体而言，对以公权力机关为主体的适用无过错责任原则，对于网络经营者为主体的适用过错推定责任，以公平分担信息社会带来的整体风险。因为由于地位的不对等，个人信息主体难以提供出直接证据证明网络经营者或侵权主体存在过错，采取过错推定责任原则使个案中原被告的举证责任得到合理分配，其合法权益得到有效保障。

　　2.举证责任分配坚持原则性与灵活性结合

　　我国目前并没有关于个人信息权侵权案件中责任分配的规定，民法典第1194条和1197条规定了权利人的通知“应当包括构成侵权的初步证据及权利人的真实身份信息”、侵权人的声明“应当包括不存在侵权行为的初步证据及网络用户的真实身份信息”，所以在目前立法情况下，个人信息侵权案件的适用的是过错责任原则，举证责任只能适用“谁主张，谁举证”基本原则。 考虑到信息泄露的隐蔽性和技术性，如果坚持证明责任分配的基本原则，那么网络信息主体将因无法证明侵权责任的成立要件而无法获得救济，但是如果仅仅考虑对个人信息的保护，在网络信息主体无法证明责任成立要件事实的情况下，也要求信息处理者也承担责任，这种做法也不可取。介于这种情况法院在举证责任分配时应当坚持原则性与灵活性相结合，在分配举证责任时，应当结合案件具体情况，尤其在法律没有具体规定的情况下，更要以公平原则、诚信原则等民法典基本原则为指导[ 袁翠微：《浅论信息时代背景下个人信息权侵权举证责任的分配--以庞理鹏诉趣拿公司、东航公司案为例》，载《广西警察学院学报》2018年第31卷第2期。]，结合证据特点、当事人的举证能力，尤其是双方对危险领域的控制力、盖然性因素，灵活适用举证责任的分配，并有可能因当事人的实际攻防情况在当事人之间转移。如微信读书案中，法院认为综合考虑双方的主张、抗辩、举证能力，原告已经完成了对其主张事实的初步举证，从而反驳原告主张的举证责任转移至腾讯公司；申瑾案中，法院判决认为，个人相对于具有一定数据垄断地位的公司实体在证据搜集和举证能力上处于弱势地位，因此，应顾及双方当事人之间实质公平正义进行举证责任的分配。

（作者单位：江西省鹰潭市中级人民法院）