金善港

(新疆財經(jīng)大學法學院，新疆 烏魯木齊 830012)

數(shù)字經(jīng)濟時代，個人信息新的存在方式賦予了人的數(shù)字屬性，個人信息成為數(shù)字經(jīng)濟運行中的重要內(nèi)容。個人數(shù)據(jù)信息的收集、分析和利用是構(gòu)成數(shù)字經(jīng)濟的基石，其關系到數(shù)字經(jīng)濟的運行、發(fā)展和繁榮。而知情同意原則作為個人信息保護中的重要原則，在?網(wǎng)絡安全法??數(shù)據(jù)安全法?和2021 年11月1 日正式開始實施的?個人信息保護法?等多部法律法規(guī)中均有明確規(guī)定。但在錯綜復雜的數(shù)字化時代，知情同意原則的功能并沒有得到充分釋放，個人信息保護還面臨著許多困境，威脅到公民隱私權的保護，阻礙了數(shù)字經(jīng)濟的發(fā)展。

一、數(shù)字經(jīng)濟時代個人信息保護中知情同意原則的重要性

(一)知情同意原則保障公民的信息自決權

德國學者施特姆勒在1971 年首次提出了“信息自決權”這一概念。施特姆勒認為信息自決權是一種信息主體能夠自由充分地決定自己個人信息的支配和使用，保障自己的個人信息不被外界隨意侵犯的權利。然而在網(wǎng)絡信息發(fā)達的數(shù)字經(jīng)濟時代，對個人信息保護的屏障往往更加脆弱，尤其是信息收集者與信息主體間的不對等問題非常突出。所以用戶如果想在數(shù)字社會有效行使其信息自決權則需要通過知情同意原則的保障。知情同意原則的基本邏輯結(jié)構(gòu)是知情權和同意權，即首先個人信息的處理者有義務充分告知信息所有人關于其需要收集、存儲、使用、加工、傳輸、提供、公開、刪除有關該用戶個人信息的具體細節(jié)，再由該用戶根據(jù)本人意愿自由做出決定是同意還是拒絕[1]。知情是同意的必要前提，而在知情同意基礎上，信息主體所做出的對個人信息處理的任何決定才具有正當性。故知情＋同意的模式確保了信息主體的信息自決權。因此知情同意原則是公民行使信息自決權的基礎和必要條件。

(二)知情同意原則體現(xiàn)程序正義

程序正義作為一個重要的法治概念，其本質(zhì)是一種過程性的正義，即在法律活動的過程中主體之間進行法律行為的程序是否正當，是否符合法律規(guī)定或雙方約定的程序。程序正義能夠減少人為的隨意性，增加事件結(jié)果的確定性和可期待性，從而實現(xiàn)社會正義。在虛擬的網(wǎng)絡世界中，知情同意原則能充分體現(xiàn)信息主體與信息收集者之間關于信息主體個人信息的收集、處理、使用、存儲過程中雙方真實意思表示的程序正當性。例如，用戶在互聯(lián)網(wǎng)平臺進行購物時，平臺因運行安全、數(shù)據(jù)分析、提供服務等原因基于用戶的同意并授權收集該用戶的某些個人信息。但若是沒有知情同意原則為框架，平臺不經(jīng)過用戶同意就直接收集用戶的個人信息，則是對用戶隱私權的侵犯。而且用戶通過與平臺簽訂的隱私保護協(xié)議，以白紙黑字的形式明晰用戶的權益以及其做出的授權平臺收集和處理其某些個人信息的權利，這也是給予互聯(lián)網(wǎng)平臺一定自由，有利于促進數(shù)字經(jīng)濟的高效發(fā)展，也為日后可能出現(xiàn)的糾紛提供明確的解決依據(jù)。法諺有云:“無程序即無正義”，通過知情＋同意這種用戶可以感知的合法程序，用戶和平臺可以更加明確雙方的權責義務，因此知情同意原則體現(xiàn)并保障程序正義。

(三)知情同意原則體現(xiàn)人權保障的內(nèi)涵

保障人權是法治社會的價值追求，對公民隱私權的保護是人權保障中的重要內(nèi)容。在當下數(shù)字經(jīng)濟時代，個人信息的保護直接關系到公民隱私權的保障。無論是個人、團體還是政府在收集和處理公民個人信息數(shù)據(jù)時均應當尊重和保護信息主體真實自由的意思表示。自主和自由是人發(fā)展的主體性前提，缺乏自主和自由，人就會淪為發(fā)展的工具，而不是發(fā)展的主體[2]。無論是在現(xiàn)實社會還是虛擬的數(shù)字化世界里，人人都有權自由地決定個人信息的收集、處理、使用、存儲。這種自由是人權中關于人的自由的應有之義。數(shù)字社會中的信息取自每一位使用者，這些信息經(jīng)過加工整理最終也服務于每一位參與者。在進行虛擬世界的活動中，參與者允許他方收集和利用自己的個人信息也間接促進了個人的發(fā)展。知情同意原則能夠保護信息主體的個人信息，也能夠保護信息主體的人性價值，諸如人性尊嚴、個人自主權利、個人自決權利，這些人性價值在世界上被普遍接受與認同，也是人權保護的基本內(nèi)容[3]。

二、數(shù)字經(jīng)濟時代知情同意原則面對的現(xiàn)實困境

(一)信息收集者難以充分履行告知義務

?個人信息保護法?第十七條規(guī)定，“個人信息處理者在處理個人信息前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知下列事項:……”但在現(xiàn)實的網(wǎng)絡服務過程中，通過對市面上多種App 例如淘寶、抖音、安居客、微博等互聯(lián)網(wǎng)主流平臺的?用戶須知?和?隱私保護協(xié)議?的分析，發(fā)現(xiàn)這些信息收集方提供的?隱私保護協(xié)議?基本都是內(nèi)容冗長的、充滿專業(yè)性法律術語的格式化合同。從正面看貌似是個人信息收集方為了充分保障被收集者的知情權而精心設置的隱私保護條款，但據(jù)調(diào)查，95%的App 使用者基本不會去仔細閱讀這些協(xié)議的內(nèi)容，更不必說去判斷這些條款是否符合自己對本人信息保護的意愿。所以從側(cè)面看，這些專業(yè)的格式條款的設置雖然符合法律規(guī)定，也具有保護公民個人信息的目的，但在現(xiàn)實生活中它們并沒有發(fā)揮出應有的作用。因為對使用者來說，如果要弄清楚這些隱私合同條款的意思，他們需要花費大量的時間以及需要具備一定的法律知識背景。這也與數(shù)字經(jīng)濟方便、快捷、高效率的價值相違背。甚至大量的平臺信息收集者，有意利用這些客觀障礙來作為他們非法獲取和利用用戶信息的手段。所以這些平臺信息收集者的某些告知方式，對使用者來說往往只是一種形式上的知情，并未在實質(zhì)上有效地保護使用者的個人信息。

(二)信息主體無法有效同意

現(xiàn)實中網(wǎng)絡服務提供者總是強勢的一方，他們壟斷著技術、數(shù)據(jù)、服務以及平臺規(guī)則制定的話語權。而普通的使用者往往勢單力薄，因此在網(wǎng)絡服務過程中總是處于一種被動地位。知情同意原則中的同意是指信息主體根據(jù)其真實意思表示自由地做出決定?；诰W(wǎng)絡用戶和互聯(lián)網(wǎng)平臺之間不對等的地位，首先，就算使用者花費一定的時間和精力去研讀信息收集方提供的隱私保護協(xié)議，其也只能做出事實了解，很難對該平臺收集其信息的必要性做出價值判斷，所以這種同意也只是一種走馬觀花式的同意。其次，部分平臺將隱私保護協(xié)議或者隱私提示設計成不顯眼的標識或者放在不易被發(fā)現(xiàn)的位置，以至于使用者不能引起相應的重視和警覺。與之相反，他們經(jīng)常把“同意”的選擇按鈕設置得非常醒目，這樣大量使用者基于人的惰性心理以及快速獲得該App 的服務的需求，看見“同意”按鈕通常會毫不猶豫地點擊。這種用戶在被誘導下忽視隱私保護協(xié)議的內(nèi)容而直接做出的表示，實難被認為是用戶的有效同意。最后，還有部分平臺做出強制性規(guī)定，即如果用戶不同意其提供的隱私保護協(xié)議就無法使用該平臺提供的服務?，F(xiàn)實中，在無法找到替代App 的情況下，大多數(shù)人會選擇妥協(xié)，從而被迫同意該平臺提供的隱私保護協(xié)議。而基于以上“走馬觀花”式的同意以及“被迫”的同意，其與知情同意原則想要達到的對個人信息保護的效果相差甚遠。

(三)“二次同意”無法保障

互聯(lián)網(wǎng)是數(shù)據(jù)的汪洋大海，個人信息一旦以電子數(shù)據(jù)的形式傳輸?shù)骄W(wǎng)絡上便像脫韁的野馬難以由信息主體繼續(xù)有效地控制。對將在服務用戶過程中獲取的用戶個人數(shù)據(jù)信息進行二次處理的這一行為通常是信息收集者追求效益最大化的常規(guī)操作。我國?個人信息保護法?第十四條明確規(guī)定，“個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更的，應當重新取得個人同意?！彪m然在平臺與用戶的隱保護協(xié)議中往往也明確了用戶“二次同意”的權利，但我們?nèi)粘Ｉ钪袔缀鯊膩頉]有收到過來自信息收集者的二次同意請求書，即大多數(shù)信息收集者實際未能遵守相關承諾。一方面，對互聯(lián)網(wǎng)中的個人信息的保護，絕大多數(shù)人僅僅把關注的重點放在自己的個人信息被他人首次收集時的同意及授權上，但對其個人信息后續(xù)的處理、利用以及流轉(zhuǎn)并未有足夠的重視。另一方面是因為對信息的二次利用往往比較隱秘，不像初次收集那樣容易被發(fā)現(xiàn)。在實踐中，不少信息收集者并未遵守相關的約定，或者超出約定的范圍與權限處理個人信息，甚至擅自將收集到的個人信息與他人進行利益交換，這給信息主體的個人信息安全帶來極大的風險。

(四)缺少有效的規(guī)制手段和救濟措施

2021 年?個人信息保護法?的出臺，補齊了中國網(wǎng)絡、數(shù)據(jù)安全和個人信息保護領域立法的重要一環(huán)，其與?網(wǎng)絡安全法??數(shù)據(jù)安全法?共同構(gòu)成了該領域的三大支柱。但某些具體問題還缺乏相關配套細則。2022 年中央電視臺3?15 晚會曝光了大量的互聯(lián)網(wǎng)網(wǎng)站通過用戶瀏覽網(wǎng)站時使用的手機Mac號(手機識別碼)匹配到該用戶的手機或者利用技術手段獲取手機上網(wǎng)用戶的明碼手機號碼，然后將這些個人信息倒賣給電話銷售公司。這種現(xiàn)象的成因在于我們還缺乏有力的事前監(jiān)管手段，尤其是對用戶網(wǎng)絡上個人信息的保護一般是出現(xiàn)大規(guī)模信息泄露或者侵權事件后才后知后覺。而且事后對這一類的違法行為打擊力度不足，缺乏強有力的懲罰措施。另外，從實踐中看，大多數(shù)用戶個人信息被侵犯的事件是在造成嚴重的后果后才被曝光，但這些泄露的信息往往已經(jīng)給信息主體的人身或者財產(chǎn)造成了不可彌補的傷害。一方面是因為個體的敏感程度低，基于自身的能力不能夠及時有效地發(fā)現(xiàn)其個人信息被侵害的事實以及造成的損失程度；另一方面，面對具有強大的科技及經(jīng)濟實力的侵權者，普通人很難通過平等的民事救濟保障自身權利。

三、數(shù)字經(jīng)濟時代知情同意原則的完善

(一)規(guī)范隱私協(xié)議，充分履行告知義務

首先，信息收集者可對告知的方式進行創(chuàng)新，根據(jù)不同的受眾群體設置對應的個性化的告知方式，如通過視頻、圖畫、語音等更直觀的手段來代替?zhèn)鹘y(tǒng)電子合同上冗長的法言法語。在此尤其是對一些文化水平有限的群體，更應當使用通俗易懂的文字，或者可視化的圖片或視頻等方式，使其能夠一目了然。其次，對告知的內(nèi)容要更加有層次感，如參照?歐盟通用數(shù)據(jù)保護條例?，信息收集者事先對涉及的個人信息進行風險評估，并將信息安全風險分為敏感、一般和弱風險三個等級。對敏感信息，根據(jù)我國?民法典?對格式合同的規(guī)定，當事人為了重復使用而預先擬定，并在訂立合同時未與對方協(xié)商的條款，該條款本身應當遵循公平原則確定當事人之間的權利和義務，并采取合理的方式提請對方注意免除或者限制其責任，按照對方的要求，對該條款予以說明[4]。根據(jù)格式合同的合理告知義務，信息收集者要明確地告知當事人其敏感信息可能受到威脅的情況，并對當事人進行顯著的提示。對個人一般的信息可放在常規(guī)條款中，而弱風險的信息除信息主體明確拒絕外可默認用戶同意。最后，對涉及的一些敏感信息，信息收集者還應當保證信息主體確實已知，其可強制要求用戶閱讀隱私保護條款足夠的時間，或者將關于敏感信息保護有關的內(nèi)容設計成選擇題的形式，用戶只有在答題通關后才能獲得該網(wǎng)絡服務。

(二)增強同意的自主性、有效性

同意是意思自治原則在個人信息保護領域的體現(xiàn)，基于民法上的意思自治原則，同意應當是獨立的、自主的、有效的。某些平臺利用自己對部分網(wǎng)絡服務壟斷的優(yōu)勢地位，設置不對等的隱私保護條款，如超過提供該服務所應當收集的個人信息的范圍過度收集用戶個人信息，或者規(guī)定如果用戶不同意隱私協(xié)議就無法使用該平臺提供的服務。筆者認為，用戶接受服務與同意平臺收集其個人信息二者是相互獨立的，不應當捆綁在一起。平臺完全可以以其他方式對用戶進行限制，如設置游客模式，對不同意隱私保護協(xié)議的用戶只提供基本的服務，或者開放部分不涉及個人信息的服務權限，或者提供暫時性的虛擬體驗賬號，再或者可以進行服務收費。這樣既可以使數(shù)字經(jīng)濟的社會效益與個人信息保護之間達到平衡，又能避免用戶為了接受服務而被迫同意隱私保護協(xié)議的情況發(fā)生。對用戶在沒能充分理解或者根本沒有閱讀隱私保護條款而草草做出同意的情況，信息收集者可對重要條款設置選項，由用戶在閱讀中親自勾選，并且在協(xié)議后以電子簽名的形式進行授權。此舉措能大大增加信息主體的參與感，增強其對個人信息保護的意識，提高同意的有效性。

(三)實現(xiàn)同意的全過程性

知情同意原則制度的設計初衷是信息主體同意收集者利用自己的信息來提供更好的商品或者服務，而不是將收集個人信息作為提供商品或者服務的目的。在實踐中，用戶的第一次概括的同意往往成了網(wǎng)絡服務平臺后續(xù)侵犯個人信息免責的依據(jù)。信息收集者應當建立一個動態(tài)的信息反饋機制，其貫穿于信息的收集、處理、使用、流轉(zhuǎn)、刪除的全過程。在這每一環(huán)節(jié)中都要授予用戶隨時查看的權利，信息收集者可以不主動向用戶公布具體的信息處理細節(jié)，但必須明確告知信息主體其有這項權利，且隨時配合信息主體查看以及滿足其他合理的要求。在用戶進行到不同的使用步驟，或者不同的個人信息處理的階段時，平臺經(jīng)營者應當及時對用戶進行針對性的提醒和請求，只有在征得用戶明確同意后才能進行下一步的信息收集和處理，而不是一次同意，終身獲取。同時，應嚴格落實?個人信息保護法?中關于信息主體同意的撤回權規(guī)定，即使信息主體起初授權服務平臺收集處理其個人信息，后期也有權隨時撤回其同意，以此來保障同意的全過程性。

(四)完善規(guī)制手段、保障權利救濟

政府牽頭建立互聯(lián)網(wǎng)行業(yè)個人信息保護評價機制，定期對網(wǎng)絡服務提供者進行用戶個人信息保護情況考核，并通過專門的渠道定期向社會公布。此舉一方面可以鞭策那些對用戶個人信息保護存在問題的網(wǎng)絡服務提供者及時整改，從而保障知情同意原則的有效落實；另一方面也可提醒公眾在接受該類網(wǎng)絡平臺提供的服務時應保持謹慎，或者在有選擇的情況下盡量不要選擇該類平臺。如2017 年7月由中央網(wǎng)信辦牽頭的四部門聯(lián)合開展隱私條款專項工作，該工作分批選取重點網(wǎng)絡產(chǎn)品和服務，對其隱私條款進行分析梳理，最后通過評審和宣傳形成社會示范效應，此舉措推動了行業(yè)整體對個人信息保護水平的提升[5]。筆者認為這樣的工作應當常態(tài)化開展，且范圍不僅局限于對隱私條款的評審，還應當涵蓋到個人信息收集、處理、二次利用以及轉(zhuǎn)讓的全過程。對個人信息受侵害后救濟難的問題，首先，政府要出臺具體的認定標準，將侵害后果進行細化。其次，壓實信息收集者的責任，要求其對個人信息的收集、處理都要有跡可循，為日后爭議解決留下判定的依據(jù)。最后，政府應設立專門的投訴機構(gòu)，暢通救濟渠道。