张新宝:论个人信息权益的构造

选择字号:   本文共阅读 180 次 更新时间:2022-07-03 12:48:02

进入专题: 个人信息权益     个人信息数据     内部构造     外部约束力  

张新宝  
(40)虽然个人信息与个人存在人格上的关联,但个人无法阻止他人在交流的过程中获取此等信息;相反,他人获取并使用其个人信息是其进行社会交往的必要工具。“一个人要进入社会或参加社会活动,就需要向他人披露、公开身份。封闭个人信息就意味着与世隔绝。从社会的角度出发,社会也需要利用个人提供的个人信息和散落于各处的、可被搜集掌握到的相关个人信息来了解、判断某个人。”(41)此外,数据化的个人信息往往由处理者收集、存储并加以利用,对于此等个人信息,处理者相较于个人享有更强的事实上的控制力。因此,个人信息客观上无法为个人所单独支配。另一方面,信息具有“公共品”的核心特征,即非竞争性和非排他性。一人对信息的使用不影响他人对其使用,信息也不会像其他物质产品一样随着使用而有所耗损,导致价值减少,(42)且信息可以同时被多人使用而互不排斥。(43)将信息分享给更多的人几乎不会给正在使用该信息的人带来额外成本,而阻止他人获取并使用特定信息的成本却非常高昂。因此,个人信息本质上具有公共性,不应当被个人所独占。(44)习近平总书记指出:“网络信息是跨国界流动的,信息流引领技术流、资金流、人才流,信息资源日益成为重要生产要素和社会财富,信息掌握的多寡成为国家软实力和竞争力的重要标志。”(45)在信息时代,促进和保障个人信息的使用是发展数字经济,释放数据红利的前提。(46)如仅因为处于公共领域的个人信息与个人存在联系或具有识别性,即赋予个人对个人信息的排他控制权,使个人信息“私有化”,有失法律正当性,甚至与人类社会进步发展的制度基础相悖。(47)由此可见,对于个人信息权益,法律保护的不是个人信息本身,而是其背后的个人利益。将作为客体的个人信息置于个人完全的控制之下,在事实与理论上均缺乏可行性。这也导致法律不应当在个人信息上建构一项由个人享有的绝对性权利。

  

   第二,只有在个人信息处理活动中,个人对其个人信息才享有法律应当保护的利益。个人信息保护要解决的核心问题是个人与处理者之间的“非对称权力结构”(48)或“持续性不平等信息关系”。(49)如此等关系不存在,个人信息权益之“本权权益”也将丧失存在的基础。《个人信息保护法》第72条第1款规定:“自然人因个人或者家庭事务处理个人信息的,不适用本法。”欧盟《通用数据保护条例》“前言”部分第18条也规定:“本条例不适用于自然人为与职业或商业活动无关的纯粹私人或家庭活动对个人数据进行的处理。私人或家庭活动可能包括通信往来及持有地址,或在该等活动的背景下进行的社交和网络活动。”由此可见,法律对个人信息的保护仅限于个人信息处理给个人利益带来威胁的特定情形,(50)不具有普遍性。正因如此,个人仅在个人信息处理活动中享有保护其“本权权益”的权利,且在多数情形下只能针对处理者,具有“对人权”的性质。(51)这也使得个人信息权益的性质与权利的绝对性相悖。

  

   第三,个人对其个人信息享有的利益应当与其他主体的利益相平衡,并受到相应的限制。基于“两头强化,三方平衡”的价值取向,法律对个人信息的保护需要识别多方主体的利益需求,“承认与确保其核心利益的实现,让渡自身非核心利益而使他方的核心利益得以实现”。(52)欧盟《通用数据保护条例》“前言”部分第4条规定:“个人数据处理应以服务人类为要旨。个人数据保护权不属于绝对权利,应结合其社会功能考虑并根据比例原则与其他基本权利相互权衡。”因此,个人对其个人信息享有的利益必然会受到诸多法定限制。依照《个人信息保护法》第13条的规定,处理者虽然原则上应当基于个人同意而处理个人信息,但同时也存在较多的例外情形。如处理者依照该条第1款第2-7项处理个人信息,个人无权拒绝此等处理。欧盟《通用数据保护条例》第6条对此也作出了类似的规定。此外,《个人信息保护法》第四章以列举形式而非概括形式规定了个人在个人信息处理活动中的权利,其中第44条和第45条第1款还规定了权利行使的例外情形。这表明个人对其个人信息享有的控制较为有限且存在较多例外,其排他性尚未达到足以形成一项权利的程度。

  

   (三)个人对其个人信息不具有财产利益

  

   随着数字时代的到来以及数字经济的兴起,大数据蕴含的巨大经济价值得到激发,如何在法律上妥善安置此等利益并保护相关主体的合法权益,已成为法学界讨论的焦点问题。虽然作为海量数据集合的大数据具有可观的潜在经济价值,但可否由此推断出个人对其个人信息具有财产利益,存有疑问。对此,有观点认为,应当对个人信息中蕴含的商业价值给予财产权保护;(53)有观点认为,应当为用户配置基于个人信息的人格权和财产权的双重性权利;(54)也有观点认为,应当对数据的原发者(包括个人)赋予数据所有权。(55)前述观点均直接或间接地肯定个人对其个人信息具有一定的财产利益。本文认为,个人对其个人信息不具有财产利益,理由有如下两点:

  

   第一,个人信息的经济价值存在“稀薄效应”。大数据蕴含巨大经济价值的原因之一在于数据具有“外部性”。数据的作用完全可能超出最初收集者的想象,也完全可能超越最初的处理目的。同一组数据可以在不同的维度上产生不同的价值和效用,如处理者能够不断发现、开拓新的使用维度,数据的能量和价值就将层层放大。(56)因此,只有当数据集合达到一定规模的时候,才能产生经济价值。(57)普通人的个人数据除非与其他来自相近社会经济类别的个人数据汇总在一起加以利用,否则并不值钱。真正蕴涵巨大经济价值的是政府以及数据企业所收集和存储的海量个人数据。(58)Facebook在2009年至2011年间收集了2万亿条能够“获利”的个人信息。通过比较Facebook公司的“账面价值”与“市场价值”,可得出每条个人信息都有约4美分的价值,这表明每个Facebook用户提供的个人信息的价值平均约为100美元。(59)考虑到数据的“外部性”,如每个Facebook用户将其个人信息单独出售,每条个人信息的价值还要远远低于4美分。由此可见,如将大数据整体的经济价值分散至个体层面,每个单独个人的个人信息的经济价值会被严重稀释,几乎可以忽略不计。此外,财产权益和经济利益之间不存在必然的对应关系,从大数据具有较高经济价值这一前提不能必然推断出个人对其个人信息具有财产利益。(60)

  

   第二,给个人配置财产利益将带来一系列问题。其一,赋予个人以财产利益,将导致个人之间人格的不平等。个人对其个人信息享有的主要是人格利益,如承认个人同时还具有财产利益,则表明此等人格利益可被估值,由此导致普通人和名人的人格具有不平等的价值。此种思路也与我国一贯采取的人格权一元保护模式相冲突。我国的人格权制度可以同时实现对精神利益和经济利益的保护,因此只要明确个人对其个人信息享有人格权益,即可将经济利益也纳入保护范围,无需叠床架屋地另行赋予个人以财产利益。(61)例如,自然人可通过许可他人使用其肖像获得经济利益,但肖像权却不是一项财产权而是一项人格权。侵权人如侵害肖像权中蕴含的经济利益,被侵权人可依照《民法典》1182条的规定行使损害赔偿请求权。《个人信息保护法》第69条同样规定了与此相似的内容。我国采取的人格权一元保护模式将经济利益纳入人格权的范畴,人格权中的精神利益可以对经济利益的利用形成天然的限制,防止人格权的过度商业化利用给人格权造成损害。(62)由此可见,虽然不同个人对个人信息加以利用后产生的经济利益之间可能存在差别,但是其对个人信息享有的人格利益是平等的,而给个人配置财产利益将导致此等人格利益被“物化”,破坏我国人格权制度所彰显的人格平等的价值理念。(63)其二,赋予个人以财产利益,将引发蝇头小利的全社会争夺,对已经形成的个人信息处理行业模式产生不利影响,阻碍信息产业的发展。目前互联网行业普遍存在的个人信息处理基础模式是个人以其个人信息换取处理者提供的“免费”服务。(64)赋予个人以财产利益,可能导致个人为了获取此等利益而不同意处理者进行个人信息处理,或者极大地提高谈判成本,结果是数据无法有效地汇集在一起产生集体性价值,引发“反公地悲剧”。(65)因此,如法律承认个人对其个人信息具有财产利益,反而会使得一些人滥用此等利益来阻碍信息技术和信息产业的发展,最终损害社会的整体福利。(66)

  

   三、保护个人信息“本权权益”的权利

  

   (一)概述

  

   出于维护自身人格尊严、人身财产安全以及通信自由和通信秘密等利益之必要,个人对其个人信息应当享有一定程度的控制。但是,个人信息处理对个人利益的侵害事前不易防范、事中无法制止、事后难以查找,个人与技术、商业主体以及公权力之间的力量严重失衡,没有天然对抗后者的手段,几乎不存在任何私力救济的途径。(67)因此,赋予并保障个人在个人信息处理活动中的权利逐渐走向世界各国个人信息保护立法的中心。(68)经济合作与发展组织于1980年发布的《隐私保护和个人数据跨境流通指南》提出了8项基本原则,其中第7项原则为个人参与原则,并规定了个人享有的4项具体权利。(69)近年来,欧盟制定的《通用数据保护条例》与美国加利福尼亚州制定的《加州消费者隐私法案》以及《加州隐私权法案》均对个人在个人信息处理活动中享有的权利作出体系化规定。(70)个人控制自己信息不被处理者违法处理或滥用的权利,是个人信息保护制度运行的基石。(71)我国《个人信息保护法》对个人保护“本权权益”的权利同样作出了相应的规定,具体可分为以下两大类。

  

   (二)作为支配性权利的同意

  

   当处理者基于个人同意处理个人信息时,个人享有同意(或拒绝)处理者处理其个人信息的权利,体现出对其个人信息的支配力。依照《个人信息保护法》第13条的规定,当不存在其他合法事由时,处理者在取得个人的同意后方可处理个人信息。其第44条规定:“个人对其个人信息的处理享有知情权、决定权,有权限制或者拒绝他人对其个人信息进行处理;法律、行政法规另有规定的除外。”将前述两个条文结合起来理解,其实际上规定了当不存在其他合法事由时,个人同意或者拒绝处理者处理其个人信息的权利。这不仅体现了对个人自决的尊重与维护,还使得个人可以限制处理者的处理行为,防止其进行过度处理,从而维护自身合法权益。基于“两头强化”的规则设计,为了强化一般个人信息的利用,《个人信息保护法》第13条第1款第1项所规定的同意,既包括单独同意,也包括概括同意;为了强化敏感个人信息的保护,《个人信息保护法》第29条规定:“处理敏感个人信息应当取得个人的单独同意;法律、行政法规规定处理敏感个人信息应当取得书面同意的,从其规定。”

  

同时,依照《个人信息保护法》第5条的规定,处理者取得个人同意应当遵循诚信原则,不得通过误导、欺诈、胁迫等方式获取个人同意。例如,处理者可能故意欺瞒、掩饰收集使用个人信息的真实目的,以拒绝提供产品或者服务为后果获取个人同意,或者以捆绑授权方式获取个人同意等,处理者以此等方式获取的个人同意无效。针对部分物业服务企业在小区门禁中不当使用人脸识别技术的问题,2021年7月27日发布的《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》(法释[2021]15号)第10条第1款明确规定业主享有拒绝的权利,物业服务企业不得强迫取得业主的同意:“物业服务企业或者其他建筑物管理人以人脸识别作为业主或者物业使用人出入物业服务区域的唯一验证方式,(点击此处阅读下一页)

    进入专题: 个人信息权益     个人信息数据     内部构造     外部约束力  

本文责编:陈冬冬
发信站:爱思想(http://www.aisixiang.com),栏目:天益学术 > 法学 > 民商法学
本文链接:http://www.aisixiang.com/data/135082.html
文章来源:中外法学202105

0 推荐

在方框中输入电子邮件地址,多个邮件之间用半角逗号(,)分隔。

爱思想(aisixiang.com)网站为公益纯学术网站,旨在推动学术繁荣、塑造社会精神。
凡本网首发及经作者授权但非首发的所有作品,版权归作者本人所有。网络转载请注明作者、出处并保持完整,纸媒转载请经本网或作者本人书面授权。
凡本网注明“来源:XXX(非爱思想网)”的作品,均转载自其它媒体,转载目的在于分享信息、助推思想传播,并不代表本网赞同其观点和对其真实性负责。若作者或版权人不愿被使用,请来函指出,本网即予改正。
Powered by aisixiang.com Copyright © 2022 by aisixiang.com All Rights Reserved 爱思想 京ICP备12007865号-1 京公网安备11010602120014号.
工业和信息化部备案管理系统