徐凱

政府、商業(yè)機構采集了大量公民個人信息，由此建立了龐大的數(shù)據(jù)庫，但個人信息保護尚未形成分層次、結構化的法律體系，這是個人信息權遇到的主要障礙

近日，媒體報道在百度網盤可以看到大量私人信息，百度網盤雖不自帶搜索功能，但通過第三方網盤搜索引擎可查詢到百度網盤用戶的大量照片、通訊錄，甚至政府、高校及公司內部文件等隱私內容。網友驚呼又“被裸奔”。

日光之下無新事。當互聯(lián)網催生的大數(shù)據(jù)經濟進一步發(fā)展時，網盤數(shù)據(jù)泄露，順豐速遞和菜鳥網絡的數(shù)據(jù)接口之爭，以及《花唄用戶服務合同》引發(fā)的爭議，有意或無意地屢屢將數(shù)據(jù)財產權問題置于公眾視野。

法眼

民事權利依其本質，乃共同體對個體自治自決意思的認可。即便持有自然法觀念的學者，也不得不承認，權利的范疇需經由法律界定。人類立法史的大部分情形下，法律是被動地接受新技術和新經濟催生的利益集團的訴求，將原有權利結構調整以適應新技術和新經濟。

中國現(xiàn)有人格權法已無法適應大數(shù)據(jù)經濟。在新利益階層的游說下，回應他們的訴求，分離出用戶個人信息權，并以此為基礎建立數(shù)據(jù)財產權體系，是必行之事。

尚未形成分層次、結構化的法律體系

雖然我國目前尚無一部成文法，但公民個人信息受法律保護已無異議。

將于10月1日實施的《民法總則》，再度確認了我國實行大陸法系的民事權利體系。自然人的個人權利可分為人身權和財產權。其中人身權包括人格權和身份權，人格權又包括一般人格權和具體人格權，具體人格權包括隱私權。

個人信息權雖未明確列明作為一種具體人格權，但仍歸于人格權之下。《民法總則》第111條規(guī)定：自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。

此外，《刑法修正案（九）》、《網絡安全法》、《征信業(yè)管理條例》、《電信和互聯(lián)網用戶個人信息保護規(guī)定》等法律法規(guī)、規(guī)章制度從各個方面也作出規(guī)定，比如責任承擔的角度（見表1）。

目前仍有以下問題尚未得到解決。

首先是個人信息的涵義?！睹穹倓t》并未定義個人信息；而其他法律中關于個人信息的內涵在不同的部門法中有不同的范圍（見表2）。

分析上述定義，可以區(qū)分出三類不同性質的個人信息：

一是用戶身份信息。這類信息單獨或者集合能用于識別特定個體，鎖定具體個人身份，包括：姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。

二是個人行為信息。包括用戶的行蹤軌跡（比如手機定位功能搜集的信息）、用戶在互聯(lián)網上被cookie等技術記錄的互聯(lián)網瀏覽信息，以及用戶在特定社交媒體如微博、微信朋友圈上發(fā)表的內容等。

三是身份和行為信息以外的用戶隱私信息。包括用戶的犯罪記錄、兩性關系、健康記錄等。

實踐中，三類信息互有交叉，各有側重，一項侵犯個人信息的行為，很可能同時包含了上述三類信息。

對于隱私權和個人信息權之間的差別，在最高法院的規(guī)定中，似乎將個人隱私涵蓋在個人信息的范圍內；而實踐中，如果可以將個人信息權作為獨立訴由，它和隱私權的界限，很可能不明顯，二者是擇一而適用的競合關系。

分析現(xiàn)有立法，雖各有側重，但沒有針對不同的個人信息，建立起結構化的保護體系。

《網絡安全法》側重個人身份信息；兩高《關于辦理侵犯公民個人信息刑事案件司法解釋》包含了個人身份信息和個人行為信息；最高法院《關于利用網絡侵犯人身權益的規(guī)定》，則將重點放在隱私信息上，對個人信息的保護實際上以隱私信息為主。

此外，公民個人信息雖是一項權利，但亦是一項義務，即經法律規(guī)定，必須向政府或運營主體提供?！毒用裆矸葑C法》、《婚姻法》、《城市房屋管理法》、《公司法》等法律下，公民都有向有關部門或機構提供個人信息的義務。

2012年全國人大常委會《關于加強網絡信息保護的決定》規(guī)定，互聯(lián)網服務提供者應當要求用戶提供真實信息，并應當采取技術及其他措施保護信息安全。

此后，包括《網絡安全法》在內的法律法規(guī)進一步要求，網絡運營者在與用戶簽訂協(xié)議或者確認提供服務時，應當要求用戶提供真實身份信息。用戶不提供真實身份信息的，網絡運營者不得為其提供相關服務。

《網絡安全法》還進一步確認，國家實施網絡可信身份戰(zhàn)略，支持研究開發(fā)安全、方便的電子身份認證技術，推動不同電子身份認證之間的互認。

政府和商業(yè)機構采集了大量的公民個人信息，由此建立了龐大的數(shù)據(jù)庫，但個人信息保護目前并未形成分層次、結構化的法律體系，這也是個人信息權目前遇到的主要障礙。

個人信息產業(yè)處于授權和產權雙重不穩(wěn)定狀態(tài)

據(jù)中國信息研究院統(tǒng)計，2016年中國大數(shù)據(jù)市場規(guī)模為168億元，增速達到45%，預計未來三年仍將以每年30%的速度增長。

此統(tǒng)計僅是流通市場規(guī)模，但實際上，數(shù)據(jù)更多的使用是在企業(yè)內部，如阿里巴巴將自己定位為一家數(shù)據(jù)公司，馬云更宣稱，大數(shù)據(jù)將重新定義市場經濟和計劃經濟，大數(shù)據(jù)“讓計劃和預判成為可能”。

不可否認，大數(shù)據(jù)的來源多元化，比如企業(yè)內部生產的數(shù)據(jù)，并不都是個人信息，個人信息結合的大數(shù)據(jù)，也是最有商業(yè)價值的部分?！凹夹g既無好壞，亦非中立”，大數(shù)據(jù)AI可能“比你更了解自己”，其價值觀則需要人來賦予。

網絡經營者搜集用戶信息，除法定情形外，均要基于其和用戶的約定進行。此后經過加工（包括去身份化處理）、儲存等環(huán)節(jié)，再走向應用：企業(yè)自用，如用戶數(shù)據(jù)在阿里巴巴集團內部的分析與使用，或分享、銷售給第三方，比如順豐和菜鳥網絡的數(shù)據(jù)接口。

這其中每個環(huán)節(jié)，都應當經過用戶同意，因為用戶對個人信息擁有自決權，有權利自行決定其信息可否被利用以及利用到何種程度。

但目前立法主要導向在于防止侵害，對個人如何積極行使其信息權并無進一步指引。

鑒于目前網絡運營的實際狀況，用戶對于注冊協(xié)議或使用協(xié)議都無太多了解。網絡運營者取得用戶同意的方式也是默示同意，即用戶使用該項產品或服務，推定其接受相關注冊或使用協(xié)議。因此多數(shù)用戶意識不到其個人信息被收集或使用的情況。

以個人默示同意方式為基礎建立起來的大數(shù)據(jù)產業(yè)，處于雙重不穩(wěn)定狀態(tài)：

一是授權不穩(wěn)定。用戶幾乎不看協(xié)議；對于平臺使用其信息的方式和范圍一無所知。假使逐項詢問，用戶很可能不會同意。

二是產權不穩(wěn)定。制度經濟學認為，產權是一束權利，由一組契約構成。而用戶（被采集者）和企業(yè)間的契約關系并非基于明示同意而是默示同意，授權不穩(wěn)定，使契約在本質上處于不穩(wěn)定狀態(tài)，數(shù)據(jù)財產權的歸屬必然處于長期爭議中。

比如，6月30日支付寶旗下螞蟻花唄發(fā)布了《花唄用戶服務合同》（下稱《合同》）條款調整公告，《合同》對用戶信息搜集范圍之廣，卻無“為提供服務所必需”的基礎，也沒有取得用戶的明示同意的正當性條件，因此受到公眾廣泛討伐。隨后花唄于7月3日更新了這一服務協(xié)議，修改了其最受爭議的內容。

在建立分層次結構化的個人信息權基礎上，參照中國科學技術法學會制定的《互聯(lián)網企業(yè)個人信息保護測評標準》，應當要求企業(yè)在下述情況下必須取得用戶明示同意：

1.收集個人信息的行為超出告知的目的、方式、范圍；

2.超出收集時所告知的目的和范圍加工、使用個人信息；

3.分享或者銷售個人信息給第三方；

4.除非作為法定義務用戶必須提供的，否則涉及核心敏感個人信息的一切收集、加工、存儲和流通行為。

參照歐盟經驗以及國家質檢總局2012年頒布的《信息安全技術公共及商用服務信息系統(tǒng)個人信息保護指南》，立法應該區(qū)別核心敏感信息和一般個人信息，對核心敏感信息采取特別保護制度，限制企業(yè)使用范圍和交易范圍。與此同時，對未成年人個人信息進行更為嚴格的限制采集、存儲和交易管理。

我國還應借鑒歐盟經驗，建立被遺忘權，在一定條件下用戶有權以通知方式，要求企業(yè)刪除并不再儲存?zhèn)€人信息，這一方式與《侵權責任法》下的“通知—刪除”規(guī)則精神一致，在實踐中并不難以實行。并且對于極端重視個人信息的人而言，是一條重要的救濟渠道。

阿里巴巴和騰訊掌握了足夠多的用戶數(shù)據(jù)，但現(xiàn)有階段，擁有個人信息數(shù)據(jù)最多的主體仍是政府。

與阿里巴巴等商業(yè)機構不同，政府采集、存儲、使用、分享公民個人信息，應主要靠法定規(guī)范，即“法有授權方可為”。

目前尚未看到，政府部門收集、存儲、加工和使用個人信息，應當遵循何等條件、正當程序和安全保護措施。而這些內容，應當是一個社會關于個人數(shù)據(jù)的社會契約中優(yōu)先級最高的條款。

（作者為北京律師，編輯：王敬愷）