# 个人信息保护：原理与实践
从制度起源到风险规制，讨论个人信息保护的理论与实践。
## 关联阅读
- [西方法律思想史](/docs/resources/theory/western-thought)：对照法律思想史与个人信息保护的思想、制度起源。
- [个人信息保护法教程](/docs/resources/digital/personal-information)：对照规则体系与理论反思，阅读告知同意、风险与治理。
- [数字时代的权利理论](/docs/resources/digital/rights)：比较个人信息权、数据携带与算法治理等问题的理论进路。
- [债法与合同法](/docs/resources/civil/contracts)：围绕告知同意与合同机制，阅读私法保护的作用与限度。
---
> [!abstract] 本页导航
> [导言个人信息保护的难题](#导言个人信息保护的难题) · [历史：个人信息保护的思想与制度起源](#第一编-历史个人信息保护的思想与制度起源) · [现状：个人信息权利与制度框架的反思](#第二编-现状个人信息权利与制度框架的反思) · [未来：新型个人数据权利的分析与应用](#第三编-未来新型个人数据权利的分析与应用) · [结语 个人信息保护的三个特征与对法律制度的挑战](#结语-个人信息保护的三个特征与对法律制度的挑战)
个人信息保护原理与实践丁晓东
## 导言个人信息保护的难题
在近年来的法学研究中，个人信息保护极具争议性。尽管加强保护已成社会共识，但基本理论问题仍无定论，引发了诸多核心疑问与学派争议。
### 1. 个人信息保护的核心争议
学者们对个人信息的法益基础、权利属性及保护手段存在不同观点：
1. **权利与利益之辩** ：部分学者认为个人信息只是一种利益而非权利；部分主张是一种被保护权或保护工具。
2. **权利/利益属性之辩** ：关于其保护的核心内容，学者分别主张为 **人格性利益** 、 **财产性利益** 、 **安全利益** ，或指出其上附着 **他人利益与公共利益** 。
3. **部门法性质之辩** ：主张其为 **宪法性权利/基本权利** 或 **私法性权利** 。
4. **部门法保护手段之辩** ：分别从 **重点公法** 、 **重点私法** 或 **部门法交叉** 的角度进行阐述。
### 2. 理论争议的实践影响
上述原理问题直接决定了立法、司法与执法的差异：
1. **权利属性决定规制程度** ：若为法律权利，则需立法与严格执法；若仅为权益或利益，则可能更多依赖收集者的自我规制。
2. **权益性质决定可交易性** ：若为人格性权益，则法律保护不可减损；若接近财产性权益，个人可通过交易放弃。
3. **部门法性质决定救济途径** ：决定了保护手段是依赖个人诉讼、公益诉讼，还是行政监管。
### 3. 全球与中国背景
* **全球背景** ：欧盟《一般数据保护条例》（GDPR）与美国加州《加州消费者隐私法案》（CCPA）引发全球关注与巨大争议，美国信息隐私重构正处于宪法性时刻。
* **中国背景** ：中国个人信息保护法即将出台，但法律的通过是新起点，具体场景中的落实高度依赖对原理的深入研究与实践反思。
### 4. 核心概念使用说明
1. **隐私与个人信息** ：学术上“信息/数据隐私”基本等于“个人信息/数据保护”，法律框架不同但实践中常混用（如企业的“隐私政策”）。
> 必须依循维特根斯坦的语言哲学观点：语言的含义必须在具体的情境中才能得到理解。不能以本质主义的语义学分析界定概念，而应思考概念背后的具体事物与问题。
## 第一编 历史：个人信息保护的思想与制度起源
### 前言：隐私保护与个人信息保护的区别
在个人信息保护制度诞生前，法律主要通过侵权法保护个人隐私性权益。从隐私保护向个人信息保护的演化，体现了制度的重大转变（个人信息保护常被称为“二代隐私”、信息隐私或数据隐私）。
| 比较维度 | 传统隐私权保护 | 个人信息保护法 |
| :--- | :--- | :--- |
| **保护范围** | 较窄；仅保护消极性权利（需满足第三方对人格性权益产生伤害或法定侵权要件）。 | 较宽；兼顾消极性与积极性权利（赋予个体对信息的控制权）。 |
| **适用前提/范围** | 普遍适用。 | 仅针对具有持续性不平等信息收集能力的个体（不针对无专业/商业收集能力的个人或组织）。 |
| **保护法益** | 单一权益（主要为人格性权益）。 | 多重权益（人格性利益、财产性权益、安全性权益等）。 |
| **部门法框架** | 私法保护（主要依赖侵权法）。 | 公私法交融（私法上更依赖合同法而非侵权法）。 |
*注：个人信息保护制度起源于公平信息实践。*
### 第一章 隐私权：何为隐私？为何保护？如何保护？
#### 一、隐私权：从学术理论到司法实践
##### 1. 美国：从学术提出到普通法确认
* **概念起源** ：1890 年，沃伦 (Samuel Warren) 与布兰代斯 (Louis Brandeis) 于《哈佛法律评论》发表《隐私权》(*The Right to Privacy*) 提出此概念。普通法保护从人身伤害扩展至知识产权，进而需保护“一般隐私权利”（思想、情绪和感受 *thoughts, emotions and sensations* 作为人格性要素）。
* **司法确立** ：20 世纪 60 年代，侵权法学者威廉姆·普罗斯 (William Prosser) 将法院认可的隐私侵权归纳为四类（至今仍在沿用）：
1. 对于独处的侵犯 (*intrusion upon seclusion*)
2. 未经他人同意公开私人事实 (*disclosure of private facts*)
3. 公开扭曲他人形象致误解 (*false light*)
4. 擅自利用他人姓名或肖像为自身牟利 (*appropriation*)
##### 2. 德国：人格权框架下的私法保护
1900 年《德国民法典》未规定隐私权，二战后联邦最高法院通过判例确立：
1. **1954 年“读者来信案” (Schacht)** ：《德国基本法》第 1 条第 1 款的个人尊严可作为民法渊源，保护“人的尊严和发展其个体人格”的利益，产生对抗第三人效力。
2. **1958 年“骑士案” (Herrreiter)** ：确认伤害人格权等同于一般性人身伤害，需损害赔偿。
3. **1973 年“伊朗王后案” (Soraya)** ：确立对个人隐私的人格权保护，保护个人“行使独处的愿望”，保持“自身不被外界打扰”。
##### 3. 中国：从司法解释到《民法典》的演进
继承德国通过人格权保护隐私的做法：
1. 1986 年《民法通则》未规定。
2. 1988 年最高人民法院司法解释确认个人隐私受法律保护。
3. 2009 年《侵权责任法》第 2 条将其明确为民事权利（纳入人格权）。
4. 2017 年《民法总则》第 110 条再次确认。
5. 2020 年《民法典》人格权独立成编，第 1032 条将隐私定义为： **“自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”** ；第 1033 条列举了六项侵权行为（如侵扰安宁；窥视私密空间/活动/部位；处理私密信息等）。
#### 二、何为隐私：隐私保护的不确定性
##### 1. 概念内涵与外延的多元化（以美国为例）
1. **沃伦与布兰代斯** ：“独处的权利” (*right to be let alone*)。
2. **霍华德·怀特 (Howard B. White)** ：“对抗世界的权利”。
3. **阿妮塔·艾伦 (Anita Allen)** ：排除他人干扰的权利（如“关起门来读一个小时的书”）。
4. **西色拉·博克 (Sissela Bok)** ：保护个人不受侵扰的状况（身体、信息或关注性侵扰）。
5. **汤姆·格雷特 (Tom Gerety)** ：维持个人私密的权利，私密性空间不被侵犯。
6. **朱莉·因内斯 (Julie C. Inness)** ：对自身亲密空间（接近自我及私密活动）的控制。
7. **杰弗里·罗森 (Jeffrey Rosen)** ：构建私密空间和私密关系的核心保障。
8. **简·科恩 (Jean Cohen)** ：决定私密事项的权利（决定是否、何时、和谁讨论）。
##### 2. 司法适用场景的极端差异
在美国，隐私权不仅用于防止侵扰，还用于保护身体自主与生育选择（如 *Griswold v. Connecticut* 避孕药案援引第九修正案；*Roe v. Wade* 堕胎案）。同时衍生出针对国家监控的保护，以及信息隐私 (*information privacy*) / 数据隐私 (*data privacy*)。
##### 3. 概念的内在不确定性与“家族类似”理论
* **大陆法系困境** ：中国《民法典》的定义在具体判定中存在弹性与模糊（如商业电话是否侵扰安宁、私家车是否属私密空间、熟人间的侵权判定等）。
* **理论共识** ：隐私概念的定义没有共识。
* **索洛夫 (Daniel J. Solove) 的非本质主义视角** ：借用维特根斯坦的“家族类似”理论。隐私没有本质主义的核心，无法完全准确界定，但表现为一组具有重叠相似性特征（如体型、肤色类似）的集合。
* **边界模糊的原因** ：
1. **权利冲突** ：隐私权与公众/个体的知情权天然冲突（波斯纳：既保护隐私，也保护好奇心）。
2. **场景依赖** ：隐私高度依赖场景，同一类行为因双方关系或语境变化，当事人的隐私预期完全不同。
#### 三、为何保护：“坏人”才需要保护隐私？
社会中存在“零隐私”论调，认为隐私保护的是“肮脏的小秘密”(*dirty little secret*)，好人没有见不得人的事 (*nothing to hide*)，这种观点源自古代（阿伦特指出古希腊将脱离公共生活视作缺乏人类能力，波斯纳指出 *idiot* 词源 *idios* 意为不参与公共生活的私人）。零隐私观点存在以下核心缺陷：
##### 1. 忽略隐私对个体发展的重要作用
朱丽叶·科恩 (Julie E. Cohen) 指出，个人受商业等社会力量支配。在商业与信息融合的“信息资本主义”下，商业趋向激发消费欲与即时性信息处理。隐私为公民提供庇护，使其免受商业、政治等即时性压力，从而能够审慎思考、规划未来，培养独立人格与反思能力。
##### 2. 忽略信息流通的有效性与语境脱节
杰弗里·罗森 (Jeffery Rosen) 区分了“碎片化/肤浅化的信息”与“具有复杂性的真实知识”（通过缓慢时间积累，仅家人朋友知晓）。隐私的核心价值在于：保护个人 **“不会因为在一个世界中的短暂一瞥而被脱离语境地错误界定与评判”** 。
##### 3. 忽略隐私泄露伴随的系统性风险
贝克 (Ulrich Beck) 的风险社会理论表明现代风险具流动性。普通人泄露隐私（如不光彩的个人事项）会被犯罪分子利用，增加诈骗可信度与成功率。法律不应让此类信息成为犯罪的激励因素。
#### 四、如何保护：社群与场景化的视角
##### 1. 传统隐私观的局限：洛克式与康德式个体主义
传统的侵权隐私研究建立在洛克（保护个体自然权利）与康德（个人自主与选择是本质特征）的法哲学基础之上，将隐私视为一种完全脱离社会的个体主义权利。
##### 2. 现代隐私观的转向：社群主义与场景化
理解隐私必须结合公共社群与具体语境，其目的不是制造信息孤岛，而是促进公共社群更好地运转与个体在社群中更好地生活。
1. **罗伯特·波斯特 (Robert Post)** ：人是社会性动物。普通法界定隐私侵权，本质不是确定固定的个人权利，而是在界定特定社群的“社会规范” (*social norms*) 或“文明规则” (*rules of civility*)。
2. **阿里·瓦尔德曼 (Ari Ezra Waldman)** ：批判个人权利视角的自相矛盾。提出将隐私视为 **信任问题** ：打破社会关系中的信任或合理期待即构成侵犯。
3. **重读沃伦与布兰代斯** ：他们提出的“独处权”并非隐居权利，其具体语境是针对现代八卦媒体对社会节操与体面的破坏（“厚颜无耻的工业化生产”）。隐私的边界必须结合“每个具体案例的多种情境”，意味着社会群体个体间应给予的彼此空间。
##### 3. 理论启示
无论是美国的四类侵权还是大陆法系的人格权框架，隐私权的边界都不存在客观、固定的划线，必须自下而上地结合具体社群与场景通过司法个案来勾勒（例如，公共人物权利限缩并非天然，而是因为其位于公共领域，信息流通更符合公共领域建构）。这一特征对后续的个人信息保护研究具有基石意义。
### 第二章 从隐私到个人信息：个人信息保护针对谁？
在从传统隐私权保护向个人信息保护演进的过程中，相关权利性质发生了质的转变。传统隐私权是完全依赖司法机关与侵权法体系的防御性权利；而个人信息保护则囊括了防御性权利与积极性权利，并且侵权法不再是唯一甚至主要的法律保护方式。
#### 一、从隐私权利保护到个人信息保护的历史演进
##### 1. 西方国家的转折与确立
1. **理论滥觞（20世纪六七十年代）** ：美国学者阿兰·威斯丁 (Alan Westin) 于 1967 年出版《隐私与自由》(*Privacy and Freedom*)。
> 威斯丁提出隐私必须被重新界定为：“个人、群体或机构对自身信息在何时、如何以及在什么程度与他人沟通的主张”。
1972 年，威斯丁出版《自由社会中的数据库》(*Databanks in a Free Society*)，详述现代计算机框架制造的新隐私问题，重申个人对信息与数据的控制权。
2. **欧洲的演进** ：20世纪七八十年代前，德国和欧盟国家主要将隐私归入人格权范畴并依赖传统私法保护。20世纪七八十年代后，“个人信息权”或“个人信息自决权”概念出现，成为受法律保护的另一核心权利。
##### 2. 中国的保护历程
我国经历了从只关注隐私权到同时关注个人信息权的转变：
1. **2012年** ：全国人大常委会通过《关于加强网络信息保护的决定》，开启个人信息法律保护之路。
2. **2015年** ：《刑法修正案（九）》规定侵犯公民个人信息罪，将“违反国家有关规定，向他人出售或者提供公民个人信息”的所有主体纳入刑法调整。
3. **2016年** ：《网络安全法》规定网络运营者收集信息应遵循合法、正当、必要原则，且应获个人知情同意。
4. **2017年** ：《民法总则》第 111 条确立自然人个人信息受法律保护，规定获取需依法取得并确保安全，严禁非法收集、使用、加工、传输、买卖、提供或公开。
5. **2021年** ：个人信息保护法即将出台，作出综合性和全面性的规定。
#### 二、个人信息保护可以针对所有人吗？
传统隐私权是一种效力及于一切人的“对世权”，但个人信息权利（即个人对自身信息的控制权）并不能成为针对不特定第三人的对世权。
##### 1. 威斯丁理论的内在局限
威斯丁对于个人信息控制权的探讨以计算机与现代科技兴起为背景。其所指的控制权主要是针对 **计算机、现代科技以及与此相结合的权力对个体的威胁** 。威斯丁并未继承侵权法传统（其著作几乎未提及普罗斯的四类侵权分类），未期望以侵权法框架将个人信息权打造为对世权。
##### 2. 各国司法与立法实践的印证
1. **美国** ：20世纪60年代后计算机兴起导致信息收集速度、储存能力与搜索便利性发生质变。美国出台的一系列立法未赋予个人对抗不特定第三人的权利，对普通民事主体甚至一般企业大都不适用。针对一般企业的隐私保护，主要依赖 **企业自我规制和消费者法规制** （企业自愿制定隐私政策，由联邦贸易委员会 *Federal Trade Commission* 确认是否存在欺诈或违规）。
2. **德国** ：德国联邦最高法院在“小普查案”(*Mikrozensus*)与“人口普查案”(*Volkszählungsentscheidung*)中确立了个人信息自决权（知情权与选择权）。但这具有特定语境，主要针对 **国家对个人信息的威胁** ，若脱离该背景将该权利扩大至不特定第三人，将使其脱离正当化基础。
3. **欧盟** ：从 1980 年《个人数据自动化处理保护公约》到 2018 年生效的《一般数据保护条例》（*GDPR*），并未创设对抗不特定第三人的“个人信息权/个人数据权”。在“高级政府官员薪资案”（2003年）及“巴伐利亚啤酒案”等判决中，欧盟法院明确不存在针对不特定第三人的个人信息权，而是直接援引《欧盟人权公约》的隐私权条款进行审理。
#### 三、适用前提：持续不平等信息关系
个人信息权利（知情权、选择权、访问权、纠正权、删除权、携带权等）只能针对 **具有专业性或商业性收集能力的主体** 进行主张，必须具备“持续性不平等信息关系”这一核心适用前提。
##### 1. 法律管辖范围的排除印证
1. **欧盟《条例》（GDPR）的排除性规定** ：
* **排除纯私人领域** ：第 2(2)条明确排除“自然人在纯粹个人或家庭活动中所进行的个人数据处理”（包括通信、持址、非专业社交和在线活动）。
* **排除政府单次执法** ：排除有权机构为预防、侦查犯罪或保证公共安全所进行的处理（因双方缺乏持续性信息关系，另受特定指令规制）。
2. **美国立法的特定规制对象** ：
* **联邦领域立法** ：如《家庭教育权利与隐私法案》（针对公共机构）、《1974年隐私法》（针对联邦规制机构）、《健康保险可携带性和责任法案》（针对医疗及商业实体）、《儿童在线隐私保护法》（针对在线网站）。
* **州级立法** ：《加州消费者隐私法案》（*CCPA*）仅针对信息能力不平等的企业，明确排除普通自然人与小微企业（受管辖企业需满足年收入超2500万美元、处理超5万条信息、或销售信息占收入50%以上等商业门槛）。
##### 2. 制度框架的渊源分析
全球个人信息保护制度起源于 **公平信息实践** （*fair information practices*）原则。该原则处理的是不平等信息关系，其规制对象必然是具有专业信息收集能力的公共机构，或是具有商业/专业信息收集能力的企业。无论欧美如何具体划分，均排除了纯私人活动，且均对政府执法采取了独立的规制框架。
#### 四、侵权隐私、执法隐私与信息隐私的界分
为了深入理解个人信息权利为何受限于“不平等关系中的专业/商业主体”，必须区分三种截然不同的隐私保护框架：
| 保护框架 | 关系特征 | 保护机制与规则属性 | 限制或适用原因 |
| :------------------- | :------------------------ | :---------------------------------------------------------- | :--------------------------------------------------------------------- |
| **1. 侵权隐私** | **平等主体/日常活动** （信息能力对等） | **被动性、限定性保护** 。依赖侵权法与诉讼，主要由社会规范调整。 | 个人信息具极强流通性。若赋予积极权利（强制同意、访问、删除），将导致日常交往失效，从根本上破坏社会运转规律。 |
| **2. 执法隐私** | **非持续性关系** （公权机构的一次性或多次侵入） | 适用 **责任规则** （*Liability Rules*）而非财产规则。美国司法通常采“合理预期”标准审查侵入合理性。 | 公权机构目的为公共利益。若赋予个人知情、访问、纠正或删除权，个人即可藏匿或破坏证据，将彻底摧毁国家的执法能力。 |
| **3. 信息隐私** (个人信息保护) | **持续性不平等关系** （专业或商业收集者与个人） | **系统性积极权利保护** 。介于公权力与私主体之间，类似于劳动法或消费者保护法中的 **社会法关系** 。 | 信息收集者具备碾压性的数据处理能力。此种不平等、持续性的附着关系，既不属于平等民事关系，也有别于国家机器的强制执法关系，需专门创设新型权利。 |
### 第三章 个人信息保护的制度起源：公平信息实践
个人信息保护法或信息隐私法的制度起源是 **公平信息实践** （*Fair Information Practices*），而非对世权意义上的个人信息权或个人信息自决权。对此，学界与业界的权威定论包括：
> **保罗·施瓦茨 (Paul Schwartz)** 指出，公平信息实践“是现代信息隐私法的基石”。
> **马克·罗滕伯格 (Marc Rotenberg)** 指出，公平信息实践“不仅在美国扮演了关键性角色，而且已经成为全球隐私保护的重要国家准则”。
> **保罗那·布鲁宁 (Paula Bruening)** 指出：“公平信息实践的基本原则已经为世界各国、地区、公司和个人提供关于数据保护和隐私的共同语言……当存在隐私或数据保护失败时，它们提供了测量遵守的工具和执行手段。”
#### 一、公平信息实践的起源与制度框架
##### 1. 1973年：首份公平信息实践准则
1973年，为回应计算机数据库处理个人信息的普遍现象，美国政府“关于个人数据自动系统的建议小组” (*Advisory Committee on Automated Personal Data Systems*) 首次发布报告，确立了处理个人数据的五项核心原则：
1. **反秘密原则** ：必须禁止所有秘密的个人数据档案保存系统。
2. **知情权原则** ：必须确保个人了解其被收集的档案的信息是什么，以及信息如何被使用。
3. **同意与目的限制原则** ：必须确保个人能够阻止未经同意而将其信息用于个人授权使用之外的目的，或者将其信息提供给他人，用作个人授权之外的目的。
4. **纠正权原则** ：必须确保个人能够改正或修改关于个人可识别信息的档案。
5. **可靠与安全防范原则** ：必须确保任何组织在计划使用数据时，其创建、维护、使用或传播可识别个人数据的档案中的数据都必须是可靠的，并且必须采取预防措施防止数据的滥用。
##### 2. 1977年：隐私保护学习委员会的拓展
1977年，美国政府“隐私保护学习委员会” (*Privacy Protection Study Commission*) 向卡特总统提交报告，进一步发展了公平信息实践。
**数据保护系统的三大目标** ：
1. **最小化干涉性** ：在个人对档案储存机构的期待和机构的实际做法之间保持平衡。
2. **最大化公平性** ：对于档案储存的操作，应尽可能减小个人的档案信息成为导致对其不公平的渊源。
3. **建立合法的、可执行的保密预期** ：对于个人的档案信息的使用和披露，应当建立和界定有关责任。
**扩展后的八项基本原则** ：
1. **公开原则** ：必须禁止运行所有秘密的个人数据档案保存系统，而且机构应当设立个人数据档案的保存政策、实践和系统的公开政策。
2. **个人访问原则** ：对于档案保存机构以个人可识别形式保存的有关信息，必须确保个人有权查看和复制。
3. **个人参与原则** ：对于档案保存机构，必须确保个人有权更正或修改实质性的其为档案储存机构所保存的信息。
4. **收集限制原则** ：对于一个机构可以收集的关于个人信息的类型，以及收集方法，应当存在某些限制。
5. **使用限制原则** ：在档案保存的机构内，对个人相关信息的使用应当有限制。
6. **披露限制原则** ：对于档案保存机构可能作出的对外披露个人信息行为，应予以限制。
7. **信息管理原则** ：档案保存机构应当制定合理、适当的信息管理政策和做法，保证收集、维护、使用、传播有关个人的信息是必要的、合法的，而且信息本身是最新和准确的。
8. **问责原则** ：档案保存机构应当对个人数据档案保存的政策、实践和系统承担责任。
##### 3. 框架总结
1973年与1977年的两个版本大致确立了个人信息保护的基本框架：
1. **信息赋权** ：赋予个体一系列信息权利（如访问权、更正权与修改权）。
2. **施加义务** ：对信息收集者或处理者施加义务（如告知义务、使用目的限制义务、安全保障义务等）。
#### 二、公平信息实践的影响与全球演化
##### 1. 美国：从联邦到州及贸易委员会的继受
1. **联邦立法** ：1974年《隐私法案》 (*The Privacy Act*) 直接采用1973年原则；后续在《家庭教育权利与隐私法案》、《联邦有线通讯政策法案》 (*Cable Communications Policy Act*)、《视频隐私保护法案》 (*Video Privacy Protection Act*)、《司机隐私保护法案》 (*Driver’s Privacy Protection Act*) 等法案中得到相应体现。
2. **州政府层面** ：马萨诸塞州制定关于政府收集个人数据的一般性法律将公平信息实践作为专门一章；明尼苏达州《政府数据实践法案》 (*Minnesota Government Data Practices Act*) 进一步具体化了该原则。
3. **联邦贸易委员会 (FTC)** ：在其2000年报告中针对商业网站确立了“四项广为接受的公平信息实践”（*注：FTC曾在1998年归纳过五项原则，包含执行-救济原则*）：
1. **通知 (Notice)** ：网站需提供清晰明显的通知，包括收集什么信息、如何收集（如直接或隐蔽的cookie）、如何使用、如何提供选择、可访问性与安全、是否向其他实体披露及其他实体是否正通过网站收集信息。
2. **选择 (Choice)** ：需向消费者提供关于如何使用其信息的选择，包括内部二次使用（再次营销）和外部二次使用（向其他实体公开数据）。
3. **可访问性 (Access)** ：提供合理访问权，包括审查信息、纠正不准确或删除信息的合理机会。
4. **安全 (Security)** ：需采取合理步骤保护所收集信息的安全性。
##### 2. 欧盟：原则的深化与立法强制化
1. **1980年《保护自动化处理个人数据公约》** ：规定数据主体有权知晓自动化处理的存在及其主要目的，有权查看、纠正或删除数据，以及获得未遵守权利时的救济。
2. **1995年《关于个人数据处理和自由流动的个人保护》指令** （反映八项原则）：
1. **目的限定原则** ：数据只能因某目的被处理，数据转移不应与此目的冲突。
2. **数据质量与比例原则** ：数据应当准确并及时更新，对于转移或进一步处理，应当及时、相关且不超过一定目的。
3. **透明性原则** ：个体有权获取相关信息（处理目的、控制者身份等）。
4. **安全性原则** ：控制者应采取恰当技术与组织措施应对风险。
5. **可访问性、纠正与反对的权利** ：有权获取信息备份、更正错误，特定情形下有权反对处理。
6. **对进一步转移的限制** ：接收者受同等恰当保护时，转移才被允许。
7. **敏感信息** ：需采取额外保护措施（如要求明确同意）。
8. **自动化个人决策** ：个体有权知晓逻辑，并需采取措施保证个体正当利益。
3. **2016年《一般数据保护条例》（GDPR）** （确立六项处理原则）：
1. **合法性、合理性和透明性** 。
2. **目的限制** ：收集需有具体、清晰、正当目的，处理不得违反初始目的（*注：公共利益、科研、历史或统计目的除外*）。
3. **数据最小化** ：处理应适当、相关和必要。
4. **准确性** ：应当准确并及时更新，不准确数据必须及时擦除或更正。
5. **限期储存** ：储存时间不得超过实现目的所必需的时间（*注：仅在实现公共利益/科研/统计等目的并采取合理措施时可超期*）。
6. **数据的完整性与保密性** ：采取合理技术与组织措施避免未经授权/非法处理及意外毁损/灭失。
##### 3. 国际组织：OECD与APEC的框架定调
**经济合作与发展组织 (OECD)** 1980年制定《隐私保护与个人数据跨境流通指南》，确立八项基本原则（2013年发布新隐私框架时对此八项原则未作任何改变）：
1. **收集限定性原则** ：收集应当有限定性，以合法公平手段获取，合适情况下获取主体了解/同意。
2. **数据质量原则** ：数据应当与使用目的相关，为实现目的所必要，且准确、完整并及时更新。
3. **目的说明原则** ：收集前说明目的，使用限于实现该目的或不冲突且已说明的其他目的。
4. **使用限定性原则** ：除主体同意或法律要求外，不得披露、访问或使用。
5. **安全保障原则** ：采取合理保障防范丢失、未授权访问、销毁、使用、修改或公开风险。
6. **公开原则** ：对政策、实践、数据性质、主要目的及控制者身份/常住地应有透明的确定方式。
7. **个人参与原则** ：主体有权确认控制者是否有其数据；要求以合理时间、合理费用及可理解方式被通知；若被拒绝可获理由并质疑；质疑成功可要求擦除、改正、完善或修改。
8. **可责性原则** ：控制者有责任采取措施保证实现上述原则。
**亚太经济合作组织 (APEC)** 2004年制定《APEC 隐私框架》，规定九项原则。相比OECD，其最大特征是 **增添了“预防损害”原则** ：
1. **预防损害** ：基于正当期待设计保护避免滥用，依据风险可能性和严重性施加相称的责任与救济措施。
2. **告知** ：提供清晰容易访问的声明，确保在收集前或收集时提供此类信息。
3. **收集限定性** ：限定于相关信息，以合法公平方式获取，并在合适情况下通知或获取同意。
4. **个人信息的使用** ：仅限收集目标和相关目的，除非表达同意、服务必要或法律要求。
5. **选择** ：提供清晰显著、易理解和可承担的机制使个人行使选择权。
6. **个人信息的完整性** ：准确、完整并在使用目标所需限度内保持更新。
7. **安全措施** ：保护免受丢失、未授权访问等风险，措施应与损害可能性、严重性、信息敏感性相称，并间歇性评估。
8. **访问和可更正** ：个人有权确认信息存在、要求合理通知、确认准确性并纠正/完善/修改/删除。
9. **可责性** ：控制者需采取措施落实原则；国内外转移信息时应当获取同意或采取合理注意保证接收者同等保护。
##### 4. 小结：公平信息实践各版本的异同
各版本的核心共同点在于： **对个体进行信息赋权，并对个人信息的控制者施加责任** 。其核心不同点体现在赋权程度与施加责任的差异上：
| 差异维度 | 具体表现与对比 |
| :------------ | :-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **赋权刚性程度** | 1. **弱刚性赋权** ：如美国FTC版本，个体无绝对法定权利，权利界限取决于机构自定的隐私政策，只要无欺诈/显著不合理即有效。
2. **强刚性赋权** ：如欧盟《条例》（GDPR），赋予不可通过合约放弃的法定强制性权利，违规面临巨额罚款。 |
| **权利种类范围** | 1. **基础共通权利** ：几乎所有版本均赋予被告知权、选择权、访问权、更正权。
2. **新增扩展权利** ：欧盟《条例》在此基础上，增添了个体的 **擦除权（“被遗忘权”）、限制处理权、数据携带权** 等。 |
| **控制者责任限制** | 对于信息的收集和使用，多数版本严格设定了 **目的限定原则** 和 **信息最小化原则** （处理不能超出初始授权且必须适当相关）。但在 **美国FTC的公平信息实践版本中，此类严格限制并不存在** 。 |
| **风险防范与管理义务** | 1. **早期版本（1973/1977年美国）** ：侧重数据本身的静态管理（如可靠性、防滥用）。
2. **中期版本（1980年OECD）** ：将“安全保障原则”单独列出。
3. **后期版本（1995年指令、2016年条例、2004年APEC）** ：凸显控制者的 **风险防范与治理义务** （APEC甚至将“预防损害”列为首要原则，强调措施需与风险程度相称）。
*结论：比起早期版本，后期的各类信息实践版本对信息控制者施加了更多的风险防范与治理义[务]*。 |
## 第二编 现状：个人信息权利与制度框架的反思
### 前言：个人信息权利与制度框架的核心问题
#### 一、个人信息保护的核心问题与背景框架
在个人信息保护研究中，最为核心的两个问题是 **个人信息权利的性质** （基础性理论问题）与 **个人信息保护制度** （法律实践问题）。
##### 1. 个人信息权利的性质
个人信息保护所保护的法益属性（人格性、财产性、安全性或其他）以及国家保护的立法边界，在国际上存在不同思路：
| 地区 | 核心思路 | 制度特征 |
| :----- | :---------------------------- | :---------------------------------------------------------------- |
| **欧盟** | 视为 **基本权利** （Fundamental Right） | 强化 **个人控制原则** 。赋予个体知情权、选择权、访问权、更正权，并引入删除权与携带权（以《一般数据保护条例》GDPR 为代表）。 |
| **美国** | 侧重 **信息保护与信息自由流通的平衡** | 联邦立法集中于高风险、敏感信息领域；一般领域采取市场自我规制，未在立法层面赋予个人信息控制权。 |
##### 2. 个人信息保护制度面临的挑战
1. **“告知—同意”机制的失效** ：该机制与普通民事合同存在重大区别，个体难以做出真正基于意思自治的知情同意选择。
2. **公平信息实践的滞后** ：作为个人信息保护基石的公平信息实践，在互联网与大数据时代，无论是为信息主体赋权，还是向收集者与处理者施加责任，都存在滞后与僵化的风险。
> 提示：对现行制度的反思促使理论界探索从合同法转向信义法，并重构基于大数据时代特征的公平信息实践版本。
### 第四章 “个人”信息保护：评《一般数据保护条例》
#### 一、《条例》鸟瞰：框架、条文与制度
2018 年 5 月 25 日正式生效的欧盟《一般数据保护条例》（以下简称《条例》）确立了全球数据隐私保护的新标杆。作为在全球“数字人权”与“第四代人权”凸显背景下诞生的综合性立法，其整体框架采取了 **强化数据主体权利** 的进路。
##### 1. 核心概念定义（第一章）
《条例》设定了极宽泛的管辖权（不仅限于欧盟内部，还包括向欧盟数据主体提供商品服务或监控其活动的外部实体），并界定了以下核心概念：
1. **个人数据（Personal Data）** ：指任何已识别或可识别的自然人（“数据主体”）相关的信息。可通过姓名、身份编号、网上标识或特定的身体、生理、遗传、精神、经济、文化或社会性身份等直接或间接识别。
2. **处理（Processing）** ：指对个人数据的任何操作（如收集、记录、组织、构造、存储、调整、更改、检索、使用、披露、限制、删除或销毁等），不论是否通过自动化方式。
3. **控制者（Controller）** ：指单独或共同决定个人数据处理目的与方式的自然人、法人、公共机构或规制机构。
4. **处理者（Processor）** ：指为了数据控制者而处理个人数据的实体。
##### 2. 数据处理的一般原则与合法性条件（第二章）
《条例》规定了数据处理的七大原则与严格的合法性条件：
1. **六项基本原则** ：
1. **合法性、合理性和透明性原则**
2. **目的限制原则** ：收集须遵循具体、清晰、正当目的，处理不得与目的不相容。
3. **数据最小化原则** ：处理应当是为了实现目的而适当的、相关的和必要的。
4. **准确性原则** ：数据须准确、及时更新，不准确数据必须被擦除或及时更正。
5. **限期储存原则** ：保存期限不得长于实现目的所必要的期限（特定公共利益、科研等例外）。
6. **完整与保密原则** ：需保障合理安全，防御非法处理及意外损失。
2. **可问责性原则（Accountability）** ：控制者有责任遵守上述原则并提供证明。
3. **处理的合法性条件** ：须满足数据主体 **同意** ，或在未同意情况下为了实现数据主体利益（如履行契约）、履行公共职责、保护第三人核心利益、实现公共利益、控制者/第三人正当利益等必要条件。
4. **高标准的同意（Consent）要求** ：控制者负有举证责任；书面同意必须区别于其他事项，形式易懂、语言清晰平白；免责声明无效；数据主体 **有权随时撤回同意** ；拒绝非必要的数据处理不能成为拒绝履行契约服务的前提。
##### 3. 数据主体的重要权利（第三章）
《条例》赋予了数据主体不可被剥夺的多项核心权利：
1. **获取信息权** ：有权获知控制者身份、联系方式及处理目的等。
2. **访问权** ：有权得知其数据是否正在被处理，并访问数据内容、处理目的、接收者类型、储存期限等。
3. **更正权** ：有权要求及时更正不正确信息，或通过提供额外声明完善不充分数据。
4. **擦除权（“被遗忘权”）** ：在数据对于收集目的不再必要、主体撤回同意或存在非法处理等情形下，有权要求控制者擦除数据。
5. **携带权（Data Portability）** ：有权以结构化、普遍使用且机器可读的格式获取其提供的数据，并*无障碍地（without hindrance）*传输给另一个控制者（若技术可行可要求直接传输）。
6. **其他权利** ：限制处理权、一般反对权、 **反对仅仅基于自动化的个人决策的权利** 。
##### 4. 控制者和处理者的责任（第四章）
1. **设计与默认的数据保护（data protection by design and by default）** ：
1. *通过设计的数据保护*：须建立固有的数据保护机制（如匿名化），在决定处理方式时整合必要的保障措施。
2. *默认的数据保护*：作为缺省规则，默认情况下只能处理特定目的所必需的最少数据，且未经人工介入不能被不特定数量的人访问。
2. **数据安全与泄露通知** ：须采取与风险相称的技术与组织措施（如加密、备份恢复、常规测试）。发生泄露时，须至迟在 **72 小时内** 告知监管机构；若极可能带来高风险，须及时告知数据主体。
3. **数据保护影响评估（DPIA）与事先咨询** ：针对系统性评价（含自动化决策）、特殊数据处理或大规模监控，须事前进行影响评估。若评估显示存在高风险，须事前咨询监管机构。
4. **数据保护官（DPO）** ：特定情形下须任命 DPO。DPO 须保持独立性，不受干预，不可因履行任务被解雇，直接向最高管理层报告，且不得存在利益冲突。
5. **行为准则与认证机制** ：鼓励行业协会制定行为准则，鼓励建立自愿性的数据保护认证机制及印章/标记。
##### 5. 跨境转移、监管与救济（第五至十一章）
1. **向第三国转移（第五章）** ：前提是不得削弱对自然人的保护。分为“基于认定具有充足保护的转移”（无需特定授权）与不具备充足保护的转移（需提供适当保障措施及有效救济）。
2. **监管与合作（第六、七章）** ：成员国须设立独立公共机构（拥有调查、纠正、授权和建议权）；建立领导性监管机构的合作一致性机制；设立 **欧盟数据保护委员会（EDPB）** 。
3. **救济与巨额罚款（第八章）** ：赋予主体申诉权与司法救济权。非核心条款违规最高罚 **1000 万欧元或全球营业额 2%** ；核心条款（如原则、同意条件、主体权利等）违规最高罚 **2000 万欧元或全球营业额 4%** 。
4. **豁免条款（第九章）** ：为了新闻、学术、艺术或文学表达目的，成员国可通过法律豁免或克减部分数据保护义务，以调和表达自由权与信息权。
#### 二、个人信息权利的属性辨析：人格权 vs. 财产权
《条例》贯穿始终的主线是 **强化数据主体对于数据的控制权** ，并明确声明保护自然人的基本权利。但关于这一权利究竟属于 **人格权** 还是 **财产权** ，学界与实践中存在深刻分歧。
##### 1. 权利属性的两种理论进路及特征
1. **人格权保护进路**
1. *理论渊源*：始于 1890 年沃伦与布兰代斯的《隐私权》（基于不可侵犯的人格权）。目前德国法及部分美国学者仍坚持此进路。
2. *《条例》中的体现*：禁止处理敏感个人数据（第 9 条）；反对完全基于自动化处理的决策（第 22 条），体现了人必须成为目的而非手段的康德哲学（人类尊严）。
2. **财产权保护进路**
1. *理论渊源*：学者保罗·施瓦茨、劳伦斯·莱西格等人主张，现有法律仅提供责任规则保护，应引入基于财产规则的保护（如强制令、惩罚性赔偿），以提高个人谈判权。
2. *《条例》中的体现（类财产特征）*：
1. **默认权利（default entitlements）** ：未经明确同意，个人是其数据的默认拥有者。
2. **数据内置责任（burdens that run with the data）** ：即使数据被转移，接收方仍受限制，不能随意处分。
3. **基于财产规则的救济（property-rule-based remedies）** ：提供非补偿性而是惩罚性的巨额罚款。
3. *《条例》的不完全商品化限制*：《条例》 **没有赋予完全自由处分与交易的权利** 。即使个人同意出售数据，控制者也无法获得完全的处理权，仍须受制于主体的访问、擦除等基本权利约束（类似于法国法中包含人格权的知识产权保护，即*不完全的商品化 Incomplete Commodification*）。
##### 2. 人格权保护与财产权保护之利弊对比
| 分析维度 | 人格权进路 | 财产权（同意/交易）进路 |
| :------- | :---------------------------------------------------------------------------------------------------------- | :------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **核心优势** | 1. 提供宽泛、抽象且具有发展性的保护。
2. 能够催生如“擦除权/被遗忘权”等新型权利（财产权下出售即丧失处分权，无法要求销毁）。 | 1. 交易规则明确，基于“同意”形成明确合法性边界。
2. 促进数据挖掘利用与市场配置，激励企业创新。 |
| **存在弊端** | 1. **企业负担极重** ：须投入大量人力资金应对个案审查（如谷歌处理被遗忘权）及技术改造成本（如携带权的*输出-输入组件*）。
2. **规则模糊** ：权利边界不确定，企业难以把握处理行为是否侵犯人格尊严。 | 1. **个体认知能力不足** ：隐私政策晦涩难懂，个体无法做出真正理性判断。
2. **风险误判** ：行为经济学表明个体对信息泄露的风险缺乏警觉。
3. **大数据聚合效应（aggregation effect）** ：孤立、碎片化的信息授权在集合后会产生未知的巨大风险，传统同意机制形同虚设。 |
#### 三、制度重构：基于个体预期与风险规制的保护
面对人格权进路的模糊性和财产权（同意规则）的失效，《条例》实际上提供了一种超越传统二元对立的解决方式，即引入 **语境化的个体预期** 和 **风险规制** 视角来保护数据隐私。
##### 1. 基于语境与个体预期的合法性判断
《条例》意识到“同意”概念的含混性，在判断数据收集与处理是否合法时，转向审查特定语境下的 **合理预期** ：
1. **关联性审查** ：评估个人数据收集时的目的与进一步处理的目的之间是否存在关联性。
2. **语境关系审查** ：考量收集时的特定语境，尤其是数据主体与控制者之间的关系。
> 如果在特定语境中，数据主体一般没有预期会有进一步数据处理的情形，那么数据主体的利益和基本权利应优先于数据控制者的权利。
##### 2. 全方位的风险预防与规制
大数据时代的信息流转风险无法仅靠某一时间节点的“同意”来阻断，必须建立全方位的风险规制体系：
1. **技术与组织维度的风险相称性** ：要求控制者采取与风险严重性、伤害可能性相匹配的保护水平（《条例》第 32 条）。
2. **事前风险评估机制** ：面对新技术或高风险处理，强制要求实施数据保护影响评估（《条例》第 35 条）。
3. **公权力的底线干预** ：当控制者无法识别或减小风险时，监管机构必须介入提供强制性建议并运用权力予以干预（《条例》第 36 条）。
**核心逻辑推演** ：由于数据流通无法完全依靠某一节点的同意来界定合法边界，保护数据隐私不应当期待寻求某种客观的权利边界（无论是绝对的人格权还是明确的财产权），而必须建立在 **个体防范风险的主动性、企业（控制者/处理者）的内部合规责任，以及公共监管机构的积极介入** 三者合力之上。
### 第五章 个人“信息”保护：基本权利与言论自由
#### 前言：个人信息属性的核心追问
上一章揭示了欧盟《条例》侧重强调个人信息保护的“个人”特征。由此引出本章的核心追问：个人信息真的需要法律保护吗？从个人信息的“信息”特征来看，其自由流通与自由利用是否更符合其本质？
为了分析这一问题，本章探讨个人信息保护的两种核心观点：
1. **基本权利说** ：将个人信息权视为基本权利的客体，认为法律应对其进行确权保护（侧重个人信息的 **个体属性** ）。
2. **言论自由说** ：将个人信息视为言论表达的对象，认为他人对信息的获取与使用受言论自由与信息流通的保护（侧重个人信息的 **公共流通属性** ）。
> 隐私权理论的提出者布兰代斯（Louis Brandeis）本身就是言论自由理论的开创者之一。从言论自由的视角，能更深刻地揭示个人信息的本质。
基于此双重属性，简单的单一视角均不足以搭建合理的法律框架。本章推演得出：个人信息保护应当更多依赖于 **场景化的行为主义规制** ，以维持双重属性的平衡。
#### 一、个人信息权利作为基本权利客体
在全球个人信息立法的背景下，该理论主张个人信息权是一种基本权利，主要包含两类维度的权利体系：
##### 1. 防御性信息权利
指个人有权防止其消极性的隐私权益受到相关主体的侵扰。全球制度中主要体现在以下三个方面：
1. **公开透明原则** ：要求或提倡收集行为必须公开，防止秘密收集。
1. *我国《网络安全法》*：规定网络运营者收集、使用个人信息应当公开收集规则，明示目的、方式和范围，并经被收集者同意。
2. *OECD《指南》（Revised Guidelines）*：要求对于个人数据的收集应当有一般性政策。
3. *APEC《框架》（Privacy Framework）*：规定控制者应当提供清晰且容易访问的声明。
2. **收集与处理限制原则** ：确立“目的限制”、“数据最小化”、“限期储存”等原则，防止过度收集、处理与储存。
1. *我国《网络安全法》*：禁止收集无关信息，禁止违反法律法规或约定收集信息。
2. *OECD《指南》*：规定收集目的须在事前说明，后续使用须限于该目的或不冲突的目的。
3. *欧盟《条例》（GDPR）*：规定保存期限不得长于实现目的所必要的期限。
3. **安全保障义务** ：要求企业承担信息安全保障职责。
1. *OECD《指南》*：要求采取合理措施保护数据免受丢失、未授权访问或修改等风险。
2. *APEC《框架》*：要求基于个人的隐私期待设计防护措施，并对特定风险进行与其可能性和严重性相称的额外防护。
*理论渊源*：继承自沃伦与布兰代斯（Samuel Warren and Louis Brandeis）在 1890 年《隐私权》（*The Right to Privacy*）中提出的理论，即将隐私权定义为“独处的权利”，旨在为个人人格建立不受侵扰的空间。
##### 2. 控制性信息权利
指赋予个体对自身信息积极的控制能力：
1. **选择权与同意权** ：作为收集信息的合法性要件。
1. *APEC《框架》*：要求提供清晰、显著、容易理解的机制供个体行使选择权。
2. *美国联邦贸易委员会（FTC）准则*：要求网站不仅需告知如何利用信息，还要提供退出选项（涵盖内部二次使用与外部二次披露）。
2. **信息更正权与新型控制权** ：
1. *OECD《指南》与 APEC《框架》*：赋予个人确保信息准确、完整、及时更新以及纠正、修改或删除的权利。
2. *欧盟《条例》*：进一步创设“被遗忘权”与“携带权”，将数据控制权推向极致。
*理论渊源*：继承自威斯丁（Alan Westin）等学者的理论，即将隐私直接界定为“个人对自身信息的自主控制”。
#### 二、个人信息作为言论自由表达对象
在西方（尤其是美国）学界，广泛探讨将个人信息视为他人言论自由的对象。这一视角对信息保护提出了颠覆性的挑战。
##### 1. 作为言论自由对象的个人信息判定
常识认为言论自由保护“观点”，而个人信息属于“事实”。但司法实践表明，两者的区别并不绝对，对事实的披露本身即可构成观点并受保护：
1. **涉及公共利益的事实记录** ：
1. *《纽约时报》言论自由案（N. Y. Times Co. v. United States）*：最高法院一致认定，即使“五角大楼文件”仅是事实性资料，同样构成言论自由保护对象。
2. **涉及公众人物的个人信息** ：
1. *《纽约时报》诉沙利文案（New York Times Co. v. Sullivan）*：媒体对官员信息的错误使用（不实广告）受言论自由豁免，除非原告能证明存在“实际恶意（actual malice）”。
2. *巴特案（Curtis Publishing Co. v. Butts）*：即使非政府官员（如体育教练），只要主动参与公共活动、自愿卷入“公共争议的旋涡（vortex）”，即属于公共人物，同样适用“实际恶意”标准。
3. **卷入公共议题的非公众人物信息** ：
1. *罗森布鲁姆案（Rosenbloom v. Metromedia, Inc）*：最高法院多数意见认为，保护范围取决于议题是否具有公共性或普遍性利益，即便私人是非自愿卷入，同样受保护。（注：此判决后在*格茨案 Gertz v. Robert Welch, Inc* 中被部分推翻，但其公法原理证明了个人信息具备公共性价值）。
4. **商业化与商品化的个人信息（商业言论）** ：
学者尼尔·理查德（Neil Richard）曾指出企业收集的画像数据（如购物偏好、健康、财务）更类似商品而非言论。但法院判例依然确立了其言论属性：
1. *索雷尔诉艾美仕市场研究公司案（Sorrell v. IMS Health Inc）*：最高法院多数意见（肯尼迪大法官起草）认定，禁止制药公司获取处方信息进行定向广告属于基于内容和身份的歧视性限制，违背第一修正案。肯尼迪建议将个人信息的“创建、销售和传播”直接纳入言论自由保护。
2. *全连公司诉 FTC 案（Trans Union Corp. v. FTC）*：法院认为消费者的商业信用报告有权获得言论自由保护（尽管标准较宽松）。
3. *美国西部公司诉 FCC 案（U. S. West Inc. v. FCC）*：用户电信信息（如服务数量、目的地、使用量）同样被判定为言论自由对象。
##### 2. 个人信息作为言论自由对象的公法内涵
若确立言论自由视角，法律框架将发生根本改变：
1. **防御性信息权利（隐私期待）被极度压缩** ：媒体报道无论公众人物还是卷入公共议题的非公众人物，均可因言论自由免责。个人授权后的商业使用也无法被政府轻易规制。
2. **控制性信息权利被彻底否定** ：
1. 第三方收集公共空间的个人信息无需同意（如 *HiQ Labs, Inc. v. LinkedIn Corp.* 案）。
2. 更正权、删除权、携带权失去法定权利基础（个人仅能发表反驳声明）。
3. 对“被遗忘权”的强烈抵制：美国学者（如杰弗里·罗森）认为，谷歌等搜索引擎扮演了公共空间与公共论坛的角色，允许个体删除不利信息，实质上侵犯了他人的言论自由。
---
#### 三、公法框架下个人信息的双重属性评析
基本权利进路揭示了个体属性，言论自由进路揭示了公共流通属性。二者均存在理论盲区，必须结合公法框架进行反思。
##### 1. 对个人信息作为基本权利客体的反思（个体主义的局限）
1. **忽视信息的公共流通价值与社群背景** ：防御性权利无法适用于所有生活场景。例如熟人、亲友之间打听联系方式或微信名片，虽侵犯独处空间，却是社群正常社交的一部分。隐私权本身包含社群利益与社群规范，不能被简单异化为绝对孤立的个体权利。
2. **绝对控制权阻碍产业发展且不现实** ：
1. 若赋予绝对控制权，企业与政府在利用信息时需不断获取同意，将彻底阻碍大数据的“集合效应”与“规模化效应”。
2. 面对海量信息收集场景，个体实际上缺乏精力与能力进行自我保护。大量保护工作实质上必须依赖公共监管机构与消费者集体的监督。
##### 2. 对个人信息作为言论自由对象的反思（放任流通的危害）
根据公法上的言论自由三大目的，信息市场的彻底放任存在严重弊端：
1. **目的一：促进思想的自由市场**
1. *支持论*：学者简·班鲍尔（Jane Bambauer）指出，基于数据的统计是改变科学范式的基础（如医疗研究），保护数据流通即保护思想自由与公共利益。
2. *反思论*：信息言论市场同样存在垄断（洛克纳主义不可取）。企业掌握海量数据后并非为了更好服务，而是为了 **支配消费者** （如“大数据杀熟”、“实时定价”，榨取消费者剩余）。学者杰克·巴尔金（Jack M. Balkin）指出必须对信息市场进行规制。
2. **目的二：促进公共讨论与人民自治**
1. *支持论*：布兰代斯主张言论使人摆脱恐惧。个人信息（甚至是当前的非公共议题线索）具有潜在公共性，未来可能揭露犯罪或丑闻。因此没有任何绝对隐私（Nothing to hide，丹尼尔·索洛维 Daniel J. Solove 对此提出批判）。
2. *反思论*：保护隐私恰恰是促进积极发声的前提。学者保罗·葛维宝（Paul Gewirtz）指出，当人们害怕被偷听、曝光或亲密关系被审查时，公共讨论反而受抑制。此外，不受限的商业利用会导致选民被操纵（如 Facebook 剑桥分析公司丑闻），剥夺人民反思和慎重选择的能力。
3. **目的三：促进个体自治**
1. *支持论*：信息充分流通使个体更了解他人，进而做出理性判断。
2. *反思论*：学者朱丽叶·科恩（Julie E. Cohen）反驳称，缺乏隐私构建的空间，个人不可能培养独立人格。学者杰弗里·罗森（Jeffery Rosen）补充，无限制的流通会导致个人无法被社会正确理解，反而造成大规模误解。
> 核心推演：保护个人信息不但没有违背言论自由，反而恰恰能够促进言论自由所意图实现的目标（保障人格发展、防止资本操纵、促进真实讨论）。
#### 四、个人信息的场景化行为主义规制
欧洲反映了个体立场，美国反映了流通立场。个人信息具有 **非排他性（nonexcludable）** 与 **非竞争性（nonrival）** 的双重特征，公共所有既不存在界权成本纷争，也不存在社会成本损耗。因此，正确的保护进路应当是放弃绝对的确权，转向高度场景化的行为主义规制。
##### 1. 个人信息的阶梯式行为主义规制
根据不同处理行为对法益的侵害程度，采取差异化的规制策略，全面取代简单粗暴的“同意/侵权”模型：
1. **收集环节（相对宽松）** ：收集与信息流通共享密切相关。若规制过于严厉，个人信息的公共性价值将无法体现。
2. **处理环节（更为严格）** ：信息处理会直接作用于个人，对其权益产生极为直接的影响。
3. **储存与披露环节（最为严格）** ：企业等主体掌控海量数据，一旦泄露将直接引发个体乃至全社会的系统性安全风险。
##### 2. 基于场景的行为主义规制内涵
不同于刑法罪名的固定性（定罪即违法），个人信息行为的正当性完全取决于具体场景与对象：
1. **合法性的场景依赖** ：
1. *正当且无需同意*：自动驾驶汽车收集周边个人信息（该场景不可能提供选择机会）。
2. *合理运用*：电商企业利用信息推荐一般商品（总体上符合个性化偏好）。
3. *存在高危违法风险*：互联网企业收集信息推送医疗广告（医疗领域存在巨大的认知差距，企业极易利用信息推送高利润而非最适合的医疗服务）。
2. **背后权益的多元复合性** ：
个人信息背后承载的并非单一权利，而是包含人格性权益、财产性权益、风险预防性权益（如 GDPR 兼具知情权与安全质量要求），以及公共讨论、数据公平等多元法益。场景的切换会导致保护措施从“促进某项合法权益”异化为“妨碍另一项合法权益”。（学者 Paul Ohm, Paul M. Schwartz, Daniel J. Solove 均指出这导致了个人信息概念和规制边界的流动性）。
##### 3. 场景化行为主义规制的实践落地（欧美殊途同归）
尽管各国法律表面上基于“公平信息实践”（Fair Information Practices, FIPs），采取了 **个人权利进路** （赋权+施加责任），但这只是一种降低认知与搜寻成本的“立法技术”。在真实的司法与执法层面，均不可避免地走向了场景化规制：
1. **欧盟的实践（指南解释与审查标准）** ：
1. 机构指引：无论是前第 29 条数据保护工作组（The Article 29 Working Party），还是现欧盟数据保护委员会（EDPB），均不断发布结合具体场景的行为合规与执法指引。
2. “被遗忘权”的四项场景化审查标准（如谷歌实践）：
1. *主体角色*：公共性角色倾向保留，非公共角色倾向删除。
2. *数据性质*：影响隐私利益的倾向删除，影响公共利益的倾向保留。
3. *数据来源*：动机良好（如规范新闻机构、政府发布、获同意数据）倾向保留。
4. *时间因素*：经历时间越久，非公共人物的数据越应当被删除。
> 表面上的“被遗忘权”，在实操中已异化为一项行为主义的评估工具。
2. **美国的实践（机构个案执法）** ：
未在联邦层面统一立法，实质上依靠美国联邦贸易委员会（FTC）主导。FTC 通过持续的个案执法，不断在具体场景中勾勒和调整个人信息保护的行为边界。
**总结性论断** ：尽管欧盟（确权进路）与美国（流通与自由进路）存在显著表象差异，但其实践殊途同归——均放弃了绝对权利或绝对自由，最终走向了通过在具体场景中判断相关行为合理性，进而确定隐私边界的 **场景化行为主义规制** 之路。
### 第六章 如何保护：“告知—同意”框架与私法保护
#### 前言：“告知—同意”机制的争议与范式转换
个人信息保护的核心制度是 **“告知—同意”（notice-choice）** 框架。互联网公司与其他企业在收集个人信息前，通常会在网站首页或产品说明书中标明隐私政策，向用户告知是否收集、如何收集、收集哪些信息以及如何处理与分享信息。通过这种合同法机制，企业获取用户的同意与授权以保障合法性；用户也被认为拥有了控制信息的权利，可以接受或拒绝。
然而，这一机制广受批评：
1. 用户既无兴趣，也无时间与专业知识阅读隐私政策。
2. 隐私政策高度类似于“霸权条款”，用户的同意与授权沦为无可奈何的被动同意与被迫授权。
本章探讨的核心问题是：改良该机制是否能克服其形式主义的困境（如采用弹窗、简化语言等）？论证表明，即使经过改良，合同法保护机制仍会引发企业的合规困境与用户的选择困扰。因此，个人信息的私法保护有必要进行 **范式转换** ：从合同法机制转向 **信义法机制** （即将用户与企业的关系视为类似客户与律师、病人与医生的信义/信托关系），从而重新激发私法对个人信息的保护效能。
---
#### 一、“告知—同意”框架与合同法保护
##### 1. 起源与框架的建立
“告知—同意”框架起源于 20 世纪六七十年代。面对政府与企业大规模收集信息带来的挑战，该框架被广泛采用，其被认为具备两大核心优势：
1. **赋予用户的知情权与选择权** ：早期的侵权法隐私框架仅保护涉及隐私的特定个人信息，而“告知—同意”框架直接赋予了个人积极的信息权利，提供了接受或拒绝收集个人信息的机会。
2. **为企业提供指引与合规保障** ：一方面保证企业的数据处理不偏离其隐私承诺；另一方面保证数据使用建立在个体授权基础之上，避免无意间侵权或打破用户期待。
在支持者看来，这是一种基于意思自治的合同法机制。用户可以选择“以隐私换便利”（免费获取服务），企业也可根据用户隐私偏好提供差异化服务（如美国电信服务商 AT&T 对不同隐私偏好人群收取不同费用）。
##### 2. 针对合同法机制的理论批评
批评者指出，“告知—同意”既无法提供有意义的知情权与选择权，也不利于企业合理利用信息。
1. **用户权益层面的批评（选择的盲目性）** ：
1. **缺乏兴趣（认知迟钝）** ：行为经济学指出，个体对犯罪、疾病等熟悉风险敏感，但对信息泄露风险感知极其迟钝，毫无了解兴趣。
2. **缺乏时间与精力** ：要求用户耗费大量时间阅读企业不断更新的隐私政策毫不现实。
3. **缺乏理解能力** ：信息种类及利用途径极端复杂，即使专业人员也难以理解。
> **结论** ：用户的同意大多是在为了获取免费服务时的不假思索，或者受情绪影响的盲目行为。合同法的意思自治实际上沦为了企业的 **“单方立法或私人立法”** 。
4. **企业合规与利用层面的批评** ：
5. **引发非理性恐慌** ：晦涩条款可能让看重隐私的用户下意识拒绝信息收集，但这些收集本可以提供更好服务并促进科技进步。
6. **掩护不负责任的数据使用** ：由于具备合同效力，企业一旦获取同意，就可能在授权范围内肆无忌惮地使用（如数据挖掘与出售），不再顾及潜在的个人风险。
#### 二、“告知—同意”框架的改良与限度
##### 1. “告知—同意”框架的改良措施
全球立法者并未完全抛弃该框架，而是试图通过强化透明性与用户意识来进行改良。
1. **提升隐私政策的透明性与公开性** ：针对政策冗长晦涩的问题，要求使用简短、易懂的语言。如欧盟《条例》（GDPR）第 12 条明确规定，控制者应当以“简洁、透明、易懂和容易获取的形式，以清晰和平白的语言”提供信息。
2. **强化用户的隐私与选择意识** ：
1. *操作机制变更*：强制使用显著的弹窗告知，并在更新时显著提醒。
2. *默认规则变更*：推行 **“选择加入”（opt-in）** 而非“选择退出”（opt-out），默认用户不同意，必须明确授权。
立法者与监管者（如美国联邦贸易委员会 FTC 推荐的“最佳实践”，以及欧盟的强制性“自由作出、充分知悉、不含混的同意”）均假设：改良版能帮助用户理性判断，并迫使企业遵守清晰如“公司章程”般的隐私承诺。
##### 2. 改良措施面临的现实限度
一旦落实到具体场景，改良版即陷入深刻的双重困境：
###### 1. 企业端：无法完成的合规悖论
1. **简化与精确的冲突** ：企业在多场景下收集处理信息的逻辑极度复杂，强行简化缩短篇幅会导致表述笼统，甚至构成隐瞒与欺诈。
2. **平白语言与专业技术的冲突** ：数据处理（如差分隐私技术）专业性极强，用平白的日常语言解释必然导致篇幅极度冗长。
3. **合规的高昂代价（如谷歌法国罚单案）** ：法国数据监管委员会（CNIL）曾对谷歌开出 5000 万欧元罚单，理由是谷歌各产品未提供统一政策，且细节需要“点击展开”才能看到（违反第 12 和 13 条）。但谷歌反驳称，分产品说明与折叠设计恰恰是为了满足“整体简化和易于访问”的监管要求。这表明，即使顶尖法务团队也极难满足这种互相矛盾的合规要求。
###### 2. 用户端：决策无效与选择厌倦
1. **行为实验证明无效** ：学者奥姆瑞·本沙哈（Omri Ben-Shahar）和亚当·齐尔顿（Adam Chilton）关于性经验敏感信息的实验证明，即便提供带有高度危险警示的简化版隐私政策，用户在披露意愿、信息分享及权利认知上 **没有任何改变** 。
2. **选择权异化为负担** ：欧盟《条例》生效后，“弹窗 ＋ 选择加入”模式导致用户每天面临数十次强制勾选，选择权演变为严重的“选择厌倦”和额外困扰。
#### 三、私法保护框架的范式转换：从合同到信义法
##### 1. 传统消费者法（合同法框架）的局限性
“告知—同意”的改良延续了传统消费者法的基本思路（即通过强制信息披露克服合同法弊病，如食品营养标签、电器警示标语）。但这套逻辑在个人信息领域彻底失效：
1. **企业披露尺度的失控** ：企业难以权衡披露事项、程度与语言。披露过多导致信息过载；披露轻微风险引发恐慌；选择性不披露则构成欺诈。
2. **用户认知能力的物理极限** ：心理学家乔治·米勒（George A. Miller）的研究证明，人的短期记忆容量极限通常只有七项（The Magical Number Seven, Plus or Minus Two）。海量的隐私披露远超人类信息收集、理解、记忆与分析的物理极限。
3. **隐私公告问题的极端放大** ：与食品药品的共同预期不同，社会在个人信息的范围、保护目的（财产权 vs 人格权）及系统性不确定风险上毫无共识。普通人绝对无法根据隐私公告准确评估风险并做出理性选择。
##### 2. 新消费者法保护：信义法框架的引入
为克服困境，私法保护必须从合同法转向广义的 **信义法（fiduciary law）** 。信义法用于调整专业性极强、存在巨大信息差的委托与信赖关系（如律师与客户、医生与病人、雇主与雇员）。
| 分析维度 | 传统合同法框架（告知—同意） | 信义法框架（信息信托） |
| :--- | :--- | :--- |
| **基础关系** | 基于完全意思自治的平等交易。 | 基于信任的代表关系。 |
| **核心义务** | 遵守合同条款，无须顾及对方额外利益。 | 必须以委托人利益为出发点，承担 **谨慎义务（duty of care）** 与 **忠诚义务（duty of loyalty）** 。 |
| **权力配置** | 严格受限于合同明文规定。 | 拥有对资源的 **自由裁量权** （“管理性功能”或“权力委托”）。 |
**引入信义法的双重优势** ：
1. **彻底解放用户** ：用户无须再阅读、记忆、理解复杂的隐私政策并被迫做出选择（如同客户无须了解所有法律细节即可信任律师）。通过整体性的事后保护，确保网络平台尽到谨慎与忠诚义务，保障合理隐私期待。
2. **解除企业合规困境并抑制机会主义** ：企业无须完成“用平白语言解释极端复杂技术”的不可能任务。责任判定不再拘泥于僵化的合同明文，而是根据忠诚标准审查，从根本上遏制专业企业利用合同霸王条款进行牟利的“机会主义（opportunism）”。
##### 3. “信息信托”的重构与中国语境下的扩展
耶鲁大学教授杰克·巴尔金（Jack Balkin）提出了 **“信息信托（Information Fiduciaries）”** 理论。他指出，网络平台具备专业高度不对等、用户高度依赖、自认专业服务者、自认信托角色四大特征，理应承担信义责任。
但针对平台企业的信义责任属于 **“基于特定目的的信息信托”（special-purpose information fiduciaries）** ，不能完全等同于医生或律师的传统信义责任，存在三大核心区别：
1. **责任范围更窄** ：传统信义关系收取代价，而平台常提供免费服务，故 **允许合理的商业化使用** （以是否符合“用户合理预期”为界，而非禁止商业行为）。
2. **谨慎义务更低** ：平台不可能像医生那样实时跟踪并提醒用户的所有活动注意事项。
3. **披露责任更低** ：医生不可诱导病人公开信息，但社交网络/搜索引擎依赖鼓励信息分享来生存。用户不能因事后反悔而诉请平台违反信义义务。
**中国语境下的集体信义责任** ：
相比欧美，我国法律要求平台扮演更多 **“信息守门员（Gatekeepers）”** 角色（如《电子商务法》第 38 条规定平台未尽审核与安全保障义务需承担连带或相应责任）。因此，我国语境下的平台不仅对特定个体负有保密责任，更应当承担针对社会的 **“集体信义责任”** ——考量作为集体的用户预期，为整个社会的诚信伦理与公平竞争负责。
##### 4. 围绕“信息信托”的学界争议与反思
信息信托概念不仅获得了乔纳森·奇特林（Jonathan Zittrain）、吴铭修（Tim Wu）、扎克伯格等学界与业界巨头的支持，也被美国《数据保护法案》、印度《个人数据保护法》等立法广泛采纳。
但也遭到部分学者（如林纳·卡恩 Lina M. Khan 与大卫·波曾 David E. Pozen）在《哈佛法律评论》上的尖锐批评：
1. 企业对股东负责的逐利本质使信义责任不现实。
2. 大型科技巨头（支配性角色）轻易就能规避信义约束。
> **回应批评与理论升华** ：卡恩与波曾的批评隐含了纯粹公法规制主义的偏见，彻底否定了私法合作的可能。事实上，企业收集信息很多时候正是为了提供更好服务，不能天然假定双方存在绝对对抗。
> 个人信息的信义法保护正是为了利用私法工具，引导矫正企业的机会主义行为。放弃绝对对抗、允许适度合作，正是重新激活“告知—同意”乃至整个私法保护框架的核心密码。以此为基点，下一章将继续利用信义责任原理对现行的“公平信息实践”制度进行更深层次的反思。
### 第七章 如何保护：公平信息实践制度的反思与重塑
#### 引言：公平信息实践的基础与现状
国内外个人信息保护制度普遍以 **公平信息实践** 为基础。我国《网络安全法》等法律法规继承了其基本原则，确立了如下核心框架：
> 1. **“告知—同意”框架** ：公开收集使用规则，明示目的、方式和范围并经同意。
> 2. **目的限定原则** ：不得收集无关信息，依约处理。
> 3. **删除权与更正权** ：发现违法违规收集或信息有误时，个体有权要求删除或更正。
> 4. **风险防范** ：采取必要技术措施防泄露，发生险情及时补救、告知并报告。
公平信息实践的关键在于双管齐下：
1. **个人信息赋权** ：赋予个体知情选择权、访问权、删除权、携带权等。
2. **施加信息控制者责任** ：在收集、存储、使用和流通环节遵循“目的限定”、“数据最小化”和“限期存储”原则，并保证数据质量与安全。
#### 一、个人信息主体赋权的困境与反思
赋予个体隐私自我管理的权利（即让公民个体选择是否允许收集其信息）是公平信息实践的核心范式，但当前面临严重困境。
##### 1. 权利行使的形式主义与异化困境
1. **“告知—同意”框架的失效** ：该框架日益陷入形式主义，个体难以通过阅读隐私公告做出有效选择。
2. **后续控制权难以行使** ：虽然赋予了被遗忘权、限制处理权等后续权利，但由于信息收集隐蔽复杂，公民难以理解信息的储存、使用和转移方式。
*以脸书（Facebook）信息泄露事件为例*：剑桥分析公司（*Cambridge Analytica*）以心理研究为名收集资料进行政治分析，公民极难察觉，且即使察觉也无力行使反对权，最终仅靠媒体大规模曝光才为大众所知。期待公民单凭行权来维护隐私已不现实。
##### 2. 强化个体赋权的系统性负面效应
| 影响维度 | 负面效应表现与逻辑后果 |
| :------------ | :------------------------------------------------------------------------------------------------------------- |
| **企业成本与合规异化** | 资源被投入隐私公告等形式主义合规。企业通过获取同意和应对投诉来规避法律风险，而不真正关注信息泄露与滥用风险（如欧盟《条例》实施后造成极大困扰的隐私弹窗）。同时，缺乏信息会导致企业无法提供有效服务，消费者被迫支付更高价格。 |
| **政府治理与公共政策** | 缺乏个人信息的合理收集与汇集，政府难以制定有效的公共政策，甚至可能导致国家治理失败（*正如《万历十五年》与《叫魂》中所揭示的因信息收集或“大数据”能力低下导致的治理困境*）。 |
| **社会规范与信息流通** | 无条件强化赋权（如绝对化的 **被遗忘权** ，主张删除所有“过时、不相关”信息）会造成公共空间的信息漏洞，妨碍社会有效交流与合理规范的形成。 |
##### 3. 困境根源与赋权目标重构
强化个体赋权的根源问题在于： **信息时代的收集、储存与流通已极大超出了普通公民的个体预期与风险预判能力** 。这导致个体在行权时出现两极分化：
1. **保护不足** ：轻率放弃权利（如在“告知—同意”中妥协）。
2. **保护过度** ：过度行权妨碍信息合理流通。
**重构方向** ：赋权并非错误，但必须建立在公民对风险合理认知的基础上。个人信息的赋权（如对非公开信息的访问、纠正和删除权）应当以 **确保信息的合理流通** 为目标，兼顾个体与社会对信息流通的预期。
#### 二、信息处理者加责任的困境与反思
公平信息实践的另一支柱是向信息收集/处理者施加责任。但在大数据广泛运用的今天，部分传统责任已不符合信息合理运用与保护的基本原理。
##### 1. 传统责任原则与大数据的内在冲突
| 传统责任原则 | 前大数据时代的逻辑基础 | 大数据时代的冲突与困境 |
| :------------- | :-------------------------------------- | :------------------------------------------------------------- |
| **目的限定** | 数据孤立，价值依赖抽样或单项分析。限定目的可实现分析价值并防范过度收集。 | 个人信息的价值不再局限于个人，海量信息打通可产生巨大公共价值。严格限定目的会使数据沦为孤岛，扼杀大数据价值。 |
| **数据最小化与限期存储** | 处理仅限实现目的之必要范围；时间不得超期（*设置生命周期以避免数字化记忆*）。 | 大数据价值恰在于数据的 **海量沉淀** 与 **二次/多次挖掘** 。严格限制规模与期限，将阻碍商业服务优化与公共政策研究的创新。 |
*谷歌流感预测案例*：2009 年甲型 H 1 N 1 流感期间，美国公共卫生部门基于医院登记信息的分析宣告失败；而谷歌凭借海量个人信息沉淀与深度挖掘，提前两周准确预测了爆发范围与趋势（精准至州），相关论文发表于《自然》（*Nature*）杂志，证实了数据聚合与二次使用的巨大公共价值。
##### 2. 范式转换：从个人许可到责任承担
大数据专家舍恩伯格指出，大数据价值源于二次利用，这颠覆了必须在收集前明示用途并征得同意的“以个人为中心”的隐私保护思想。为兼顾价值挖掘与防范滥用，必须实现核心范式的转换：
> “从个人许可到让数据使用者承担责任”
1. **豁免初始同意** ：在风险可控前提下，数据使用者无须取得个人明确同意即可进行二次利用。
2. **施加法定严惩** ：使用者若敷衍评测或保护不达标，必须承担强制执行、罚款乃至刑事处罚等法律责任。
##### 3. 风险预防原则的全面崛起
防范损害与预防风险正成为信息隐私法的核心发展趋势。
1. 2004 年的相关框架已将“预防损害”作为首要原则。
2. 欧盟《条例》突出确立了风险监管机制：要求控制者与处理者采取与风险相称的技术与组织措施；对可能带来高风险的新技术处理必须进行前置保护影响评估；赋予监管机构对无法减小风险的违规行为进行干预和制裁的责任。
#### 三、迈向大数据时代的公平信息实践
部分基于公平信息实践的立法走向了极端个体主义与静态化的形式主义异化道路，忽视了信息的流通价值与公共性价值，导致既无法保护个体，又浪费了公共资源。
##### 1. 制度重塑的核心理念
为了摆脱僵化思维，必须引入 **动态保护** 与类似 **信托法** 的思路：
1. **摒弃权利泛化** ：建立在个体合理预期之上，有限度地赋予权利。
2. **确立流通目标** ：以促进合理流通和公共利益为最终目标。
3. **强化实质防范** ：信息控制者必须从形式合规转向承担实质性的风险预防责任。
##### 2. 大数据时代的个人信息保护制度构想
基于上述反思，重塑后的公平信息实践应包含以下五大核心要件：
1. **个体合理预期机制**
个人信息的收集、处理与流转必须符合正常理性个体的合理预期。当行为超出预期且不涉及公共利益时，控制者必须进行显著告知，确保个体理解风险，并取得明确授权。
2. **受限的访问权、纠正权与删除权**
区分信息性质：对于未进入公共领域且不涉及公共利益的信息，个体享有完整的访问、纠正与删除权；对于已进入公共领域或涉及公共利益的信息，该类权利必须受到严格限制。
3. **合理使用与流通保障**
保护制度不得妨碍社会信息的合理流转。当收集使用行为超出个体预期但符合社会公共利益时，应当确立 **社会公共利益优先** 的原则，在兼顾公共利益的前提下限定使用。
4. **消费者利益与公共利益优先原则**
信息利用必须以促进社会整体利益为基石。在商业领域，旨在提升服务体验，绝对禁止利用个人信息无限度榨取消费者剩余；在政府领域，必须以服务公民与优化公共政策为唯一目的。
5. **实质性风险预防义务**
收集者与处理者必须采取与风险匹配的实质性防范措施。其法定责任应当包括但不限于：实施风险评估、建立风险预警机制、实行数据分类保护、严格履行泄露通知义务。
## 第三编 未来：新型个人数据权利的分析与应用
### 前言：新型个人数据权利的分析与应用
在个人信息权利中，个人的知情权、选择权、访问权和更正权等权利共识度较高，已在绝大部分国家与地区的法律中得到认可。但随着信息使用范围扩大，出现了更具争议性的新型个人信息权利，主要包括：
1. **被遗忘权 (right to be forgotten)** ：2014 年欧盟法院（The Court of Justice of the European Union）在“西班牙谷歌案”中确立，认定公民在满足特定条件时有权要求网站删除其网上信息。在我国，2015 年“任某玉诉北京百度网讯科技有限公司人格权纠纷案”中，当事人也曾主张一般人格权中的“被遗忘”权利。
2. **数据携带权** ：欧盟《条例》第 20 条引入，赋予数据主体获取“经过整理的 (structured)、普遍使用的 (commonly used) 和机器可读的 (machine-readable)”个人数据的权利，并有权“无障碍”地将其传输给其他控制者。
3. **反对用户画像与个性化推荐的权利** ：欧盟《条例》将“为了评估自然人……而进行的任何自动化处理（如工作表现、经济状况、健康、偏好等）”定义为用户画像并纳入管辖。而美国与中国总体上采取了较为包容的态度。
第三编旨在分析上述新型权利的价值基础与理论基础，探讨其是否值得法律保护，并思考在中国语境下应积极拥抱还是谨慎等待。
### 第八章 被遗忘权：原理、场景化界定与中国应用
#### 一、被遗忘权的起源：西班牙谷歌案
被遗忘权起源于“西班牙谷歌案”。1998 年，律师马里奥·冈萨雷斯（Mario Costeja González）因破产导致物业被公开拍卖，西班牙《先锋报》（La Vanguardia）依政府指令刊登了拍卖声明，该声明于 2008 年上线互联网。2010 年，冈萨雷斯向西班牙数据保护局提出诉讼，认为 12 年前的债务早已解决，要求《先锋报》和谷歌删除或隐藏相关信息及搜索链接。
西班牙数据保护局认定报社公开合法，但要求谷歌删除链接。案件最终提交至欧盟法院，欧盟法院基于欧洲 95/46/EC 数据保护指令（《95 指令》）做出如下论证，在法律效力上确立了 **“被遗忘权”或“擦除权”** ：
1. **确立个人数据属性** ：报纸声明包含“任何已识别或可识别的自然人相关的信息”，属于“个人数据”。
2. **界定数据控制者** ：谷歌属于“确定处理个人数据目的与方式”的实体，即“数据控制者”。
3. **认定处理行为** ：谷歌对数据的操作（如收集、组织、检索、传播、擦除等）属于“处理个人数据”。
4. **推导被遗忘权** ：《95 指令》第 12 条赋予了数据主体的“访问权”（有权更正、擦除或屏蔽不合规数据），第 6 条规定数据必须恰当、相关、准确并及时更新。据此推导，当搜索引擎侵害个人数据保护和隐私基本权利时，这些权利优先于搜索引擎的利益和一般信息自由利益。
此后，2018 年正式生效的欧盟《条例》第 17 条详细规定了 **擦除权（被遗忘权）** ：当数据不再必要、数据主体撤回同意、存在非法处理，或数据主体反对基于营销的处理时，数据控制者有责任及时擦除。
#### 二、被遗忘权的争论：正反双方意见
关于我国是否应确立被遗忘权，需全面审视学术界与实务界的正反两方面意见。
##### 1. 支持理由
1. **遗忘机制对社会和个人的重要作用** ：基于维克托·迈尔-舍恩伯格在《删除》一书中的观点，合理的遗忘能给失败者第二次机会，是社会美德。但在数字时代，“记忆成了常态，遗忘成了例外”，形成了严酷的“数字圆形监狱”。因此，有必要在数字领域模仿人类的遗忘机制，赋予个人对抗“永恒烙印”的权利。
2. **历史和社会经验的印证** ：美国学者小波斯纳（Eric Posner）指出，美国虽信奉言论自由，但历史中早已拥抱被遗忘权（如信用报告中 10 年后删除未偿付抵押贷款记录、部分犯罪记录从公共记录中删除）。被遗忘权与言论自由并不必然冲突。
3. **信息权利理论的逻辑拓展** ：支持者认为被遗忘权是对公民的赋权，是访问权、更正权等信息控制权的自然延伸。在霍费尔德的权利理论框架下，赋予数据主体权利主张，即要求数据控制者承担相应的履行责任。
##### 2. 反对理由
1. **违背言论自由原则** ：美国学者普遍认为，被遗忘权否认了发言者表达及听众获取信息的自由。强制删除真实且无害的信息，会通过罚款威胁对言论自由和媒体自由产生“寒蝉效应”（chilling effect）。
2. **导致自我审查、重写历史与剥夺知情权** ：被遗忘权可能被恶意利用以掩盖负面事实（如政客要求删除浏览虐童网站记录、医生要求删除差评）。斯胡（Dawinder Sidhu）教授指出，这混淆了私人信息与公共信息，将原本应由社会规范调整的信息曝光责任转嫁给国家法律，阻碍了信息的合理流通。
3. **企业承担审查责任既无效率又无正当性** ：企业需耗费海量资源甄别删除请求的合理性；同时，企业并非政府或规制机构，不具备行使言论审查权力的资质。
4. **技术不可行与“放大效应”** ：在互联网全球互联的背景下，被遗忘权无法真正阻挡信息流通。
* **技术鸿沟** ：网络世界中一旦信息扩散，几乎无法彻底删除（如加州针对未成年人的擦除法案基本无效）。
* **反向放大（史翠珊效应）** ：行权往往“越描越黑”。欧盟判决仅要求搜索引擎移除链接而无需删除原帖，导致媒体重新发布，如 BBC 重发被删链接、维基媒体与 Reddit 专门建立专区记录被删链接。同时，非欧盟辖区的网络依然可以自由传播。
5. **搜索引擎的性质争议** ：谷歌自认为只是“杂志摊”或“卡片目录”，不应承担内容审查者的角色。
##### 3. 支持理由与反对理由的再分析
双方观点皆有合理性与局限性：
* **支持者的合理性** ：准确指出了数字记忆带来的挑战；正确判断了搜索引擎“数据控制者”的实质（通过复杂算法决定搜索结果展示，而非单纯机械搬运）；指出言论自由不应仅限于公共层面，赋予个人对自身言论的控制同样正当。
* **反对者的合理性** ：
1. 准确指出了被遗忘权对公共空间信息传播的干涉，它不仅仅是个人权利的行使。
2. 揭示了企业执行言论审查的困境。谷歌曾尝试建立四项审查要素，但标准模糊且自相矛盾，难以完美平衡隐私与公共利益。
3. 揭示了技术上的无力感（判决仅能限制特定辖区内的搜索引擎链接）。
4. 澄清了对舍恩伯格理论的误读：舍恩伯格主张的是建立规范信息生命周期的制度（如设定存储期限），而非赋予个人极端的“被遗忘权”或“信息自决权”。
> **附录：谷歌建立的四项信息删除审查要素**
> 1. **主体的公共角色** ：公众人物信息应保留，非公众人物信息易被删除。
> 2. **信息的性质** ：损害个人隐私（如性生活、敏感信息、增加风险的错误信息）易被删除；涉及公共利益（如政治、刑事、历史记录）应保留。
> 3. **信息来源** ：来源正规、动机良好（如新闻机构、政府发布）的更可能蕴含公共利益，不应删除。
> 4. **时间因素** ：历时越久越容易被删除（某些反人类罪等极端恶性信息除外）。
##### 4. 小结
信息时代的遗忘机制确有现实需求，但其正当性必须建立在 **合理的信息流通机制** 之上，不能建立在极端的个人信息控制权之上。对于未进入公共领域的信息，被遗忘权的行使争议较小；但对于已进入公共领域的信息，应当极其谨慎。
#### 三、被遗忘权的中国理论与法律实践
中国学界的讨论框架与西方类似（支持者强调隐私保护与弱势赋权；反对者强调企业负担与隐私设计原则）。但在法律与司法实践层面，我国采取了非常谨慎的立场，并未确立绝对的被遗忘权：
1. **立法现状** ：
* **《侵权责任法》第 36 条第 2 款** ：赋予被侵权人通知网络服务提供者采取删除措施的权利，但这以“实施侵权行为”为严格前提。
* **《网络安全法》第 43 条** ：要求网络运营者删除个人信息的前提是“违反法律、行政法规的规定或者双方的约定”。
* **《信息安全技术公共及商用服务信息系统个人信息保护指南》** （部门标准）：规定需提供“正当理由”方可要求删除。
2. **专家建议稿** ：张新宝、周汉华、齐爱民等学者的建议稿中，均未将“被遗忘权”作为单独权利规定。
3. **司法实践** ：“任某玉诉百度案”中，法院明确指出中国法律未承认欧盟式“被遗忘权”，原告主张删除真实但过时信息的诉求不具有受法律保护的必要性与正当性。
**核心法理** ：我国法律实践并未采取个人主义进路，没有将个人信息天然视为个人私有财产。中国立法的核心在于 **确保信息流通符合共同体及具体场景的合理预期** （即以“违反法定”或“违反约定”为前置条件）。
#### 四、被遗忘权场景化界定：场景实践
如何界定合理预期与合理流通？谷歌全球隐私顾问彼得·弗雷策（Peter Fleischer）设想了三种基于信息来源的删除场景。对这三种场景的法理推演如下：
| 场景分类 | 情境描述 | 权利界定与法理分析 |
| :-------- | :------------------------- | :-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **第一种场景** | **个人删除自己发布的个人信息** （发帖后反悔） | **完全支持（无争议）** 。
1. 符合理性个体的合理期待。公众人物同样需要保护隐私与纠错的机会，这能促使其发布更负责任的言论。
2. 促进公共空间信息质量，且并未绝对剥夺公众知情权（公众仍可通过截图等留存记忆）。 |
| **第二种场景** | **个人要求删除他人转发或引用的其自行发布的信息** | **原则上否定（特殊侵权除外）** 。
1. 信息所有权并非绝对归己（可能涉及他人）。一旦发布即进入公共领域，允许随意撤回将严重阻碍信息流通（如同将所有信息强加类似知识产权的绝对保护）。
2. 个人需对在公共空间发言的风险承担预期责任。
*例外情况*：当转发构成重大威胁或侵权（如涉及未成年人不良影响），有权机构可命令删除。这与我国以“侵权/违法违约”为前提的司法精神一致。 |
| **第三种场景** | **个人要求删除他人首发且涉及自身的个人信息** | **需严格权衡（类似于第二种场景，但保护倾斜度更高）** 。
此场景同样涉及自由流通与隐私的紧张关系，只有构成侵权或违法时才可强制删除。但因信息并非本人首发，个人对风险的 **预期极低** 。因此，网络运营商或公共机构在此类场景中，应当比第二种场景更多、更谨慎地考虑个人的删除请求。 |
#### 五、结论：基于合理预期的被遗忘权
1. **理论重塑** ：被遗忘权不能建立在纯粹的个体自决权或信息控制权之上，而必须建立在 **规制信息合理流通** 的基础之上。个人信息一旦进入公共空间即成为公共信息的一部分，唯有当其流通违反社会一般预期或阻碍特定场景的合理流通时，方可赋予个体被遗忘权。
2. **中国道路** ：我国法律实践规定以“违反法律法规”或“违反双方约定”作为删除信息的前提，准确契合了被遗忘权的基本原理。这种结合了信息合理流通与各方合理预期的制度边界，成功避免了彻底的个体主义陷阱。
### 第九章 数据携带权：原理、竞争秩序与中国应用
除了被遗忘权，欧盟《条例》还史无前例地引入了 **数据携带权** ，赋予数据主体以获取与传输个人数据的权利。这一权利使公民能够在不同的网站与设备上自由地转移个人数据，达到前所未有的控制高度。其支持者认为此权利能促进用户福利、打破数据壁垒与垄断、促进数据共享；但反对者则指出其存在技术难题、增加企业负担，且未必有利于市场良性竞争。围绕该权利的争议根源在于理论界未能厘清其 **权利属性** 及对 **市场竞争秩序** 的真实影响。
#### 一、数据携带权的起源、要素与争议
##### 1. 数据携带权的起源
数据携带权的概念演进伴随着网络平台支配力的增强：
1. 2007 年，专家学者提出“社交网络用户权利法案”宣言。随后，社会活动者创立“数据可携带项目” (*Data Portability Project*)，主张个人可以获取并移植数据以实现跨应用的重新使用。
2. 2010 年，隐私权组织“电子隐私基金会” (*The Electronic Frontier Foundation*) 建议将其作为社交网络隐私法案的组成部分。同年，美国白宫发起“我的数据”倡议。
3. 2011 年，谷歌和脸书加入该项目。谷歌创建“谷歌外带” (*Google Takeout*) 允许下载 27 个产品的数据；脸书不仅允许下载可见信息，还涵盖点击的广告、IP 地址等不可见信息。
4. 经过多方倡议，欧盟委员会在起草《一般数据保护条例》时正式将其列入，并在 2016 年最终版本中保留，使其与访问权、更正权、被遗忘权并列。
##### 2. 数据携带权的要素
根据《条例》重述及第 29 工作组指南，数据携带权包含三大基本要素：
1. **扩展的访问权与数据自由迁徙权（权利属性）** ：
一方面，它是数据访问权的进一步扩张，赋予数据主体下载个人数据集合的权利（如获取音乐列表、联系人）。
另一方面，它赋予主体自由迁徙数据的权利。数据控制者不仅不能人为设置传输障碍，在技术允许时还必须提供直接将数据从一个控制者传输到另一个控制者的便利。
2. **限定的数据范围** ：
被限定在“数据主体提供与数据主体有关的个人数据”。这排除了匿名化数据或与主体无关的数据（但能关联个体的假名化数据 *pseudonymous data* 被包含在内）。第 29 工作组指出，在不侵犯第三方权利的前提下，可移植范围也应包括涉及多人的数据（如通话、网络通信记录）。
3. **特定下载格式（格式与互操作性）** ：
要求下载格式必须是“经过整理的、普遍使用的和机器可读的”。
* **普遍使用** ：应当使用通用的开放格式，避免使用限制重用的非通用格式。
* **机器可读** ：指使软件应用程序能够轻易识别、认知和提取特定数据的格式。
* **互操作性 (*interoperable*)**：鼓励行业制定通用标准以实现互操作，但未达到系统兼容性 (*compatible*) 的极高要求。
##### 3. 数据携带权的争议
| 核心焦点 | 支持者的意见 | 反对者的意见 |
| :--- | :--- | :--- |
| **权利属性与隐私保护** | 强化对个人数据的控制，是信息隐私的关键，能提升用户体验。 | 不应上升为基本权利（《欧盟基本权利宪章》未包含此权利，且缺乏共识）。存在巨大安全隐患，一旦被冒充会导致海量信息被批量盗用，且极易牵涉并泄露他人隐私。 |
| **市场竞争与锁定效应** | 消除数据“锁定效应” (*lock-in effect*)，打破企业设置的转移壁垒，促进市场竞争。 | 未必促进竞争：其效果可能促使用户将数据从中小企业转移到大企业，加剧垄断。同时互操作性成本极高，给中小企业带来巨大合规压力。此外，批量转移可能侵犯企业的商业秘密或数据库知识产权。 |
| **双赢机制** | 提升信任，且用户转移时往往不删除原记录，促进数据共享与双赢。 | 实质上可能合法化了某些不正当竞争手段，损害企业合法权益。 |
#### 二、数据携带权权利属性的重新思考
关于数据携带权是否能成为一种基本权利，需要从理论与现实两个维度重新审视。
##### 1. 支持意见的权利理论基础
从权利理论演化来看，现代社会在保障消极权利（如以赛亚·柏林推崇的消极自由，或沃伦/布兰代斯提出的防御性隐私权）的同时，正拥抱积极性权利（如阿兰·威斯丁提出的积极性信息控制）。 **数据携带权正是数据个人控制权的逻辑终点** ，标志着数据权益从消极防御转向积极控制。
##### 2. 反对意见的现实困境与风险
1. **数据客体独特性与技术阻碍** ：数据并非独立存在的客体，强行赋予其可携带属性在技术上极难实现。互操作性往往导致严重的格式错误或内容丢失（如 *OpenDocument* 格式问题）。
2. **安全风险** ：黑产技术可能利用该权利瞬间盗取海量数据。第 29 工作组因此强制要求数据控制者必须完全确认用户身份。
3. **权利边界的过窄与过宽困境** ：
* **过窄** ：条例仅限“主体提供的有关个人数据”，排除了用户极度关心的云端视频、电商差评等非个人数据，使其失去部分实际意义。
* **过宽** ：极易侵犯他人权利。如剑桥分析公司获取 5000 万脸书用户数据的丑闻，若用户行使携带权后授权给第三方，第三方即可声称合法获取，但这会对无数关系链中的他人隐私造成毁灭性威胁。
> 借用卫斯理·霍费尔德的权利分析框架，数据携带权属于一种附加了极重义务的“权利主张” (*claim*)，不仅要求控制者提供便利和高难度技术支持，还会打破他人对数据隐私的合理期待。当附加义务超过现实可能性且严重影响其他权利时，其难以上升为基本权利。
结论： **数据携带权尚不具备成为成熟型权利的条件，其更接近于一种需要在具体场景中加以限定的理想或目标** 。
#### 三、数据携带权对竞争影响的双面性
##### 1. 促进竞争的正面逻辑
互联网具有先行者优势、网络效应及赢者通吃特征，造成了大型平台的出现与数据的绝对锁定。数据携带权能够：
1. **打破锁定效应** ：使后发企业能够通过个人数据的自由流动进行有效竞争。
2. **释放数据的公共性价值** ：使数据成为市场的公共基础设施，让主体平等享受其流通性价值。
##### 2. 妨碍竞争与阻碍创新的负面逻辑
1. **给中小企业带来极高合规成本** ：开发高标准的“导出-导入模块”对巨头轻而易举，却会对中小企业形成致命的普遍性负担。
2. **加剧数据垄断** ：大型企业完全可以通过优惠政策，轻易“吸干”中小企业的用户数据（如大型超市通过打折获取小型超市的用户卡数据）。
3. **违背竞争法与财产权保护原理** ：竞争法一般不要求创新者共享财产以帮助对手。将数据携带权置于绝对优先地位，会架空企业对数据资产的财产性权利、合同法约束效力以及对合法“商业秘密”的保护。在反不正当竞争语境下，若允许一方通过该权利轻易获取另一方的核心商业秘密，严重违背常理（如 *HiQ 诉领英案* 中关于数据公共属性与访问权的争议）。
4. **削弱用户黏性未必有益** ：在熊彼特“创造性毁灭”主导的网络科技领域，企业增加用户黏性不一定妨碍竞争，强行削弱黏性反而可能引发短期探底式的恶性竞争。
#### 四、中国的数据携带权：企业与政府
由于数据携带权兼具双面性，我国未来的立法 **首先不应照搬欧盟《条例》，不应将其上升为具有普遍效力的基本权利** 。而应将其视为一种“柔性权利”或追求目标，在具体场景中加以限定应用。
##### 1. 企业数据中的数据携带权
1. **赋予强化版“访问权”** ：在我国语境下，各类电子公告板、博客、云盘和社交媒体在技术可行前提下，应当允许个人下载其提供的数据（含非个人数据）。前提是必须严格验证身份，严防泄露风险。
2. **在不同企业间转移数据的审慎适用（典型案例分析）** ：
* **案例一：微博与今日头条内容抓取争议** 。今日头条通过用户授权绕开微博抓取“微头条”内容。
* *知名认证用户*：不应赋予数据携带权。他们具备平等协商能力（有律师顾问），与平台的排他性协议属于有效商业合同。其内容具有直接财产属性，竞争法不应允许对手轻易获取。
* *普通非知名用户*：应赋予数据携带权。他们无真实选择权和协商能力，其数据属公开数据且不影响整体迁徙。赋予此权利能打破垄断，促使平台靠改善产品设计留住用户。
* **案例二：抖音/多闪与腾讯微信关系链数据争议** 。腾讯指责抖音违规使用微信头像/昵称，字节跳动则主张用户对其头像/昵称拥有控制权。
* *孤立属性*：单纯的头像/昵称从技术和权利上属于用户，甚至属于公共数据，转移成本极低。
* *关系链实质*：争议核心实为背后的“关系链数据”。若允许随意转移，字节跳动即可通过算法推算社交关系，这将严重威胁其他用户的 **隐私期待** 。同时，关系链是社交平台重点保护的核心 **商业秘密** 。在此层面，不能借用户携带权之名突破企业的商业秘密保护及合同法保护。
**企业端应用原则** ：在技术可行且成本较低时应满足个人下载/转移愿望；但若涉及其他用户隐私期待或企业合法权益（商业秘密/有效合同），必须保持极其谨慎的态度。
##### 2. 公共数据中的数据携带权
我国在公共部门数据上对该权利的运用应采取与欧盟《条例》截然相反的积极态度。
1. **欧盟的消极态度** ：《条例》明确规定，为执行公共利益或官方权威的处理，数据携带权不适用。即豁免了政府及公共部门的责任。
2. **中国的积极应用** ：我国应将数据携带权作为打破政府部门与事业单位间“数据孤岛”的利器。
* **现状痛点** ：公众在入学、入职、办证时饱受重复填表之苦，根源在于部门间极弱的互操作性。
* **改革路径** ：不仅依靠自上而下的行政推动（如浙江“最多跑一次”改革实现内部数据共享），更应确立自下而上的公民数据携带权。
* **制度构想** ：建立跨部门高级别数据共享联动机制，受理个体的数据携带申诉。在理想情形下，公民在一处填写的申请表，可凭个人请求无障碍移植到另一部门，使个人数据像一卡通般造福民众。
#### 五、结论：基于合理预期的数据携带权
作为一种新型权利，数据携带权在欧盟问世后备受关注。其虽值得追求，但面临技术互操作性难题、侵害其他合法权益困境及新的隐私风险。从竞争视角看，它既能消解锁定效应，又可能加重中小企业负担、加剧恶性竞争及垄断。
基于上述分析，数据携带权尚未具备成为成熟型基本权利的条件，应作为一种“柔性权利”或目标。应当：
1. **避免无差别施加责任** ：根据不同主体和场景，预防不正当竞争，结合用户与企业合法权益确定数据转移的边界。
2. **立法层面的中国进路** ：我国未来“个人信息保护法”不应照搬欧洲强化个体绝对数据控制权的思路。必须强调场景化保护与数据权利合理预期，确立权利边界。
3. **实践层面的双轨制适用** ：针对企业，在防范风险、尊重隐私期待与商业秘密的前提下限定适用；针对公共部门，充分利用该权利自下而上地推动政府打破数据孤岛，实现彻底的数据共享。
### 第十章 用户画像、个性化推荐与个人信息权利
> **核心背景** ：随着网络与信息技术的发展，互联网正从“人找信息”迈向“信息找人”阶段。用户画像与个性化推荐极大促进了网络经济的发展，实现了广告的精准投放和商品信息的快捷获取。然而，企业在未经明确同意的情况下收集与利用个人消费行为信息，也对用户隐私权益保护提出了严峻挑战。
#### 一、行为信息收集：技术与法律问题
##### 1. 网站收集个人信息的技术手段
网站收集个人信息的首选是通过用户注册、登录创建数据库，适用于需要登录的完整闭环网站。但对于无需登录的浏览行为，网站依然能够通过以下核心技术实现非注册用户的追踪与管理：
1. **HTTP Cookie** ：最常用的追踪方式。服务器通过在用户计算机上设置含有唯一标记（如 1234 abcd）的跟踪文件，维持用户与网站的对话（如记录购物车商品）。*注意：用户所访问网站中的天气预报组件或网络广告商等第三方平台，也可能访问用户的 Cookie 进行画像。*
2. **Flash Cookie** （*本地共享对象, local shared objects*）：由 Adobe Flash 开发者使用。相比普通 Cookie，其具备存储空间更大（100 KB 以上）、无自动消亡期（永久保持）、存储位置隐蔽（普通用户难以发现）等特征。即使用户删除历史记录或更换浏览器，网站仍可追踪个人信息。
3. **Ever Cookie** （*僵尸 Cookie, Zombie Cookie*）：利用极端的自我复制和多重储存机制进行备份。即使删除了特定文件夹中的文件，网站也能在其他文件里发现备份并使 Cookie 复活，极大地剥夺了用户的删除权。
4. **Fingerprinting** （*指纹识别技术*）：通过交叉比对传输过程中的关键信息（如浏览器类型、使用字体、安装插件）来唯一识别计算机。该技术不在用户电脑上储存文件，隐蔽性极强，用户必须禁用 JavaScript 和 Flash 等关键功能才能避免被追踪。
##### 2. 行为信息生命周期的法律争议
1. **收集阶段** ：使用 HTTP Cookie 被普遍认为是合法的，但对于 Flash Cookie、Ever Cookie 与 Fingerprinting 等难以删除且隐蔽的匿名信息收集技术，是否应当禁用或施加规制存在争议。
2. **汇聚阶段** ：网站将跨平台收集到的信息在数据管理平台进行同源化处理，形成关联到具体用户的画像，此类数据融合是否应当被完全允许？
3. **利用阶段** ：平台或第三方广告商（通过竞拍广告位）跨平台利用匿名信息进行个性化推荐（常伴随设备标识符如 IMEI、MAC 的收集），是否应当受到法律限制？核心争议点在于： **用户的匿名行为信息是否属于个人信息？**
#### 二、中、美、欧盟比较法视野下的用户画像法规制
| 比较维度 | 中国 | 美国 | 欧盟 |
| :---------- | :-------------------------------------------------------------------------- | :---------------------------------------------------------------------------------- | :---------------------------------------------------------- |
| **整体规制态度** | 尚未有直接禁止性法律规定，处于探索与争议期。 | 无联邦层面统一立法，以机构监管为主，存在巨大争议。 | 定位与规制最为明确、严格。 |
| **核心法律/原则** | 《电子商务法》第 18 条要求提供不针对个人特征的选项；《网络安全法》界定个人信息范围并设匿名化豁免；《信息安全技术 个人信息安全规范》采取宽泛定义。 | 联邦贸易委员会（FTC）基于“公平信息实践原则”（透明性、告知、选择）进行监管。 | 《数据保护指令》《一般数据保护条例》（GDPR）、《电子隐私指令/条例》。 |
| **典型案例/行动** | **朱某诉百度公司隐私权案** ：二审法院认为百度收集的不可识别身份的匿名数据不属于个人信息，且未公开偏好，未构成侵权。 | **Sears 案/EchoMetrix 案** ：FTC 惩罚不透明收集；FTC 曾提议建立统一的“不跟踪”（do not track）机制，但相关国会提案均未通过。 | 强制要求收集 Cookie 必须获得用户明确同意（非默认）。《条例》第 21 条赋予数据主体随时反对画像与营销的权利。 |
| **匿名信息的界定** | 现行法律对消费行为数据是否属于个人信息界定模糊，但技术标准已将“反映特定自然人活动情况”的信息纳入。 | 争议激烈。反对者认为不含姓名/身份证件的数据非个人信息；支持者及部分监管提议主张赋予拒绝权。 | **界定极为宽泛** 。只要能通过所有可能手段“挑出”个体，或通过额外信息追踪个体，匿名化/无姓名信息同样构成个人数据。 |
#### 三、匿名化行为信息性质的法律争议与思辨
##### 1. 支持纳入个人信息规制的理由
1. **行为本身即识别** ：在网络社会，通过 Cookie 收集的行为信息比姓名更容易精准筛选和识别特定个体。
2. **去匿名化风险** ：大数据时代“匿名化是一种神话”。保罗·欧姆（Paul Ohm）教授指出，技术专家可轻易实现匿名化信息的再识别（Re-identify）或去匿名化（De-anonymize）。
3. **风险防范功能** ：即使信息匿名，泄露后仍可能带来诈骗、违法营销等实质风险，个人信息保护法旨在规制这些风险。
4. **防止“寒蝉效应”** ：未经同意的画像会导致用户对网络丧失信任与预期，进而放弃搜索和使用。
##### 2. 反对纳入个人信息规制的理由
1. **削弱匿名化动力** ：若匿名数据受同等法律约束，企业将从成本角度放弃匿名化努力。
2. **妨碍创新与经济发展** ：收集行为信息能减少信息不对称，帮助中小企业打破流量垄断，使用户更快捷地获取所需。
3. **导致概念泛化与资源错配** ：若任何信息都变成个人信息，会导致保护范围无限扩大，分散监管资源，使真正需要保护的敏感信息得不到充分保护。
##### 3. 争议思辨
支持者准确指出了匿名数据具备识别能力和潜在风险；但反对者的担忧同样切中要害，合理利用匿名数据是互联网经济的基础。法律的规制应当是促进信任而非因噎废食，绝不能导致监管重心的偏差和保护资源的分配不均。
#### 四、个人信息 2.0：个人信息概念反思
##### 1. 传统二元划分的困境
信息隐私法早期以 **个人信息/非个人信息** 进行二元划分（主要针对档案类直观信息）。随着大数据发展，几乎所有信息都能通过交叉比对建立相关性并指向特定个体。坚持二元划分要么导致企业无法合理利用数据，要么导致用户面临隐私失控。
##### 2. 替代方案：保罗·施瓦茨与丹尼尔·索洛夫的“个人信息 2.0”理论
为打破二元僵局，学者提出 **个人可识别信息 2.0** （*Personally Identifiable Information, PII 2.0*）分类体系，将其分为三类并匹配不同责任：
1. **已识别个人的信息** （*identified information*）：已经确定能识别出特定人的信息。
* *规制要求*：企业必须严格遵守完整的“公平信息实践”责任，包括收集/使用/披露限制、质量保证、安全保护，以及赋予用户被通知权、访问权和更正权。
2. **可识别个人的信息** （*identifiable information*）：可能根据这些信息或结合其他信息识别个人的信息（ **匿名化行为信息归属于此** ）。
* *规制要求*：施加部分责任，如信息质量保证、透明性责任、安全保护责任，建立“跟踪—审查”模型。
* *责任豁免*： **豁免赋予用户被通知权、访问权与更正权** 。因为要求企业保障这些权利，反而迫使企业在个人与匿名信息间建立直接联系，制造新的隐私风险，且合规成本与风险不匹配。
3. **不可识别个人的信息** （*non-identifiable information*）：完全不可能识别个人的信息。
#### 五、用户匿名化行为信息的规制框架
基于“个人信息 2.0”理论，法律应将用户匿名行为信息视为“可识别的个人信息”这一独立类别，依据技术隐含的风险高低，采取基于标准和风险评估的规制进路：
##### 1. 信息收集阶段：坚守透明性与选择权
必须保障消费者的知情权与拒绝权，避免秘密和不合理的收集。
1. **HTTP Cookie** ：允许使用，因其符合合理预期且浏览器自带删除功能。但第三方跨站收集必须在隐私政策中明确告知。
2. **Flash Cookie / Ever Cookie / Fingerprinting** ：必须对用户进行更为明确的告知， **仅在用户明确选择同意加入（Opt-in）的前提下才允许使用** 。特别是 Ever Cookie 因剥夺用户删除权，除非获得明确无误的同意，否则应绝对禁止。
##### 2. 信息融合汇聚阶段：允许融合，强化安全保障
应当从总体上允许企业利用合法收集的数据进行融合与画像，发挥数据“化学反应”的商业价值。但进行数据融合的数据管理平台必须承担严格的数据安全保障义务，严防数据泄露带来的社会负面效应。
##### 3. 信息利用阶段：施加算法责任与敏感信息禁令
遵循风险规制原则，要求企业对相关推荐算法承担责任。
* **合法利用** ：允许利用一般消费偏好与习惯进行个性化推荐。
* **敏感禁令** ： **绝对禁止利用敏感类匿名行为信息（如人工流产等医疗隐私）进行用户画像与个性化推送** 。即使个人曾授权网站收集行为信息，也不代表其能对所有隐私利益做出合理判断，此类敏感推送会给个体带来巨大困扰。
#### 六、结论：迈向治理责任与信息伦理
用户画像与个性化推荐伴随互联网经济兴起，带来了全新的技术与法律挑战。
> **核心结论** ：法律既不能直接将匿名化的用户行为信息视为非个人信息，也不能将其完全等同于可直接识别的个人信息。
在规制框架上，应当在赋予消费者知情权和拒绝权的同时，更多地要求企业承担相应的 **治理责任与信息伦理** 。唯有确保用户画像的目的是为了提供更好的服务，符合具体场景中的合理预期，才能在保护公民权益的同时，为新技术的发展提供坚实的理论与规制基础。
## 结语 个人信息保护的三个特征与对法律制度的挑战
> **核心引言** ：个人信息保护这一看似微小的议题，吸引了从民商法、宪法行政法到社会法、经济法、刑法、知识产权法及法理学等几乎所有部门法与理论法学研究者的极大兴趣。其背后的根本原因在于，个人信息保护展现出独特的法律特征，并对一般法律制度提出了深远的挑战。
### 一、个人信息保护的三个核心特征
#### 1. 具有较为明显的外部性特征
个人信息保护不仅涉及信息主体与收集处理者，更会对不特定的第三者或社会产生广泛影响。
| 外部性类型 | 产生原因及表现形态 | 本质与法律后果 |
| :------- | :------------------------------------------------------------------- | :------------------------------------------------------ |
| **正外部性** | 企业在获取个人同意后收集敏感信息，若未尽合理保护义务导致信息进入公共流通领域，将使个人面临不特定威胁。合理的保护能够防止此类系统性风险。 | 类似于 **防止环境污染** ，保护行为能够惠及社会与大众。 |
| **负外部性** | 信息本身具有非稀缺性与公共属性，传统法律鼓励信息的自由流通与共享（如通过言论自由方式保护信息的合理收集与利用），这有利于减少信息不对称。 | 若简单将个人信息隔绝，则会妨碍信息主体与处理者之间的互惠合作，并 **妨碍国家、社会与市场对数据的合理使用** 。 |
#### 2. 处理的是不平等主体之间的关系
与假设“平等主体”的传统侵权隐私保护截然不同，个人信息保护的法律制度建立在拟制的 **不平等主体** （信息处理者与个人）关系之上。
1. **弱势群体赋权机制** ：法律赋予了个人以知情选择权、访问权、更正权、删除权、携带权等一系列信息权利。
2. **法理同源性** ：此类赋权逻辑类似于 **消费者保护法与劳动法** 等法律部门，旨在通过赋予弱势群体一系列专属权利，来矫正信息处理者与个人之间的不平等关系。
#### 3. 处理的是持续性的信息关系
个人信息保护的法律框架源自“公平信息实践”，其另一最大特征在于努力建立双方的 **良性互动** ，这种互动关系并非一次性，而是持续性的。
1. **信义法（Fiduciary Law）视角的引入** ：越来越多的学者倡导以信义法的框架保护个人信息。相对合同法，信义法框架更多建立在持续性的关系之上。
2. **社群主义与关系型契约** ：个人信息保护所要处理的关系更接近于 **婚姻法、劳动法** 等法律部门，高度强调双方的信任（Trust）而非单次的交易（Transaction）。
### 二、个人信息保护对法律制度提出的全面挑战
从制度设计与制度效果来看，上述三大特征对现行法律制度提出了全面的挑战：
#### 1. 私人属性与公共属性的平衡挑战
面对外部性特征，法律必须精准平衡个人信息的私人属性与公共属性。法律既要能够保护个人信息的相关权益，又必须确保国家、市场和他人对个人信息能够进行合理利用，这要求对法律制度进行重新设计。
#### 2. 不平等关系下的赋权落地难题
面对拟制不平等法律关系中的个人信息赋权，法律制度必须直面以下现实困境：
1. 个人可能没有能力合理行使此类信息权利。
2. 寻租者可能利用这一赋权框架进行搭便车甚至寻租。
3. 信息处理者可能陷入无法合理收集与利用信息的僵局。
#### 3. 迈向信任与双赢的制度重构挑战
面对持续性的信息关系，法律制度需要思考如何保证个人与信息处理者的合理自治，同时促使二者建立信任与实现双赢，而非陷入对抗与双输。这亟须超越传统法律框架，对法律制度进行重新想象。
### 三、个人信息保护研究的普遍性与辐射意义
> **总结论断** ：个人信息保护所提出的诸多挑战并非该领域所独有，而是对整个法律制度具有普遍性的意义。
正如个人信息保护一样，其他诸多法律部门与领域同样需要处理大量具有 **外部性、不平等性与持续性** 特征的法律关系。深化个人信息保护法的研究，不仅对于未来个人信息保护制度的理解与适用具有重要意义，更能为一般法律问题的学术探讨与制度建构提供不可或缺的借鉴，亟须每个部门法与理论法学认真对待。