在大數(shù)據(jù)時(shí)代，個(gè)人信息成為推動(dòng)數(shù)字經(jīng)濟(jì)快速發(fā)展的資源性要素?；ヂ?lián)網(wǎng)信息服務(wù)提供者（以下簡(jiǎn)稱(chēng)“企業(yè)”）通過(guò)對(duì)個(gè)人信息進(jìn)行處理分析，向用戶(hù)提供精準(zhǔn)化便捷化的互聯(lián)網(wǎng)信息服務(wù)。在實(shí)際應(yīng)用中，企業(yè)以知情同意框架——即告知用戶(hù)其個(gè)人信息的收集處理規(guī)則并獲得同意的方式，構(gòu)建收集和處理個(gè)人信息的合理性基礎(chǔ)。該框架目前雖被全球立法廣泛采納，但是其自身應(yīng)用困境在大數(shù)據(jù)時(shí)代也日趨明顯。本文將闡述知情同意框架的應(yīng)用困境，深入剖析其產(chǎn)生原因，并進(jìn)一步探析對(duì)策建議。知情同意源起醫(yī)療語(yǔ)境[1]，醫(yī)生充分告知患者相關(guān)治療方案的風(fēng)險(xiǎn)，患者在充分知情的前提下，選擇某種治療方案或者作出是否接受某種治療方案的決定。后這一理念應(yīng)用于個(gè)人信息保護(hù)領(lǐng)域，強(qiáng)調(diào)用戶(hù)在知悉企業(yè)收集其個(gè)人信息的目的、方式、內(nèi)容、數(shù)量、后續(xù)處理情況等的前提下，選擇是否同意企業(yè)收集處理其個(gè)人信息。在一定程度上，知情權(quán)為彌補(bǔ)用戶(hù)和企業(yè)在個(gè)人信息收集與處理方面存在的信息勢(shì)差提供了基礎(chǔ)，同意權(quán)提升了用戶(hù)對(duì)其個(gè)人信息的掌控能力。實(shí)踐中，企業(yè)和用戶(hù)常常通過(guò)隱私協(xié)議等形式締結(jié)合約，用戶(hù)通過(guò)閱讀相關(guān)協(xié)議內(nèi)容，了解其個(gè)人信息被收集處理以及后續(xù)流轉(zhuǎn)情況，并通過(guò)同意相關(guān)協(xié)議，授予企業(yè)收集處理其個(gè)人信息的權(quán)力。當(dāng)前，知情同意框架已經(jīng)成為個(gè)人信息保護(hù)相關(guān)法律的基本原則。2012年出臺(tái)的《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》在國(guó)內(nèi)首次提出知情同意原則[2]。2013年出臺(tái)的《電信和互聯(lián)網(wǎng)用戶(hù)個(gè)人信息保護(hù)規(guī)定》，明確強(qiáng)調(diào)企業(yè)在收集、使用用戶(hù)個(gè)人信息時(shí)必須遵守知情同意原則?！毒W(wǎng)絡(luò)安全法》《民法典》《個(gè)人信息保護(hù)法》均以知情同意原則作為企業(yè)個(gè)人信息收集處理行為的正當(dāng)性基礎(chǔ)。2 現(xiàn)實(shí)應(yīng)用困境盡管通過(guò)同意隱私協(xié)議進(jìn)而授權(quán)企業(yè)收集處理用戶(hù)的個(gè)人信息的做法十分普遍，幾乎成為互聯(lián)網(wǎng)時(shí)代所有應(yīng)用在個(gè)人信息收集處理方面的“公因式”，但在實(shí)際操作中，知情同意效果欠佳，對(duì)其的批評(píng)不絕于耳。當(dāng)前知情同意的現(xiàn)實(shí)應(yīng)用困境主要包括以下方面。一是隱私協(xié)議被閱讀率低，幾乎淪為形式主義產(chǎn)物。用戶(hù)使用某應(yīng)用，大多不會(huì)仔細(xì)閱讀相關(guān)隱私協(xié)議，而是直接選擇同意后繼續(xù)獲取服務(wù)。二是隱私協(xié)議條款較為模糊，指向性不明顯。企業(yè)往往在隱私協(xié)議中向用戶(hù)告知較為寬泛的信息收集使用情況，涵蓋范圍較廣，語(yǔ)義模糊。三是隱私協(xié)議多設(shè)置打包式同意模式。隱私協(xié)議條款眾多，包含個(gè)人信息從收集、傳輸?shù)绞褂?、共享、銷(xiāo)毀全流程的內(nèi)容，但僅提供一個(gè)整體“同意”或“不同意”選項(xiàng)。用戶(hù)可能對(duì)某些條款持不同意態(tài)度，但無(wú)法單獨(dú)反饋該部分意見(jiàn)，只能選擇全部同意或全部不同意。以上知情同意的現(xiàn)實(shí)應(yīng)用困境，使隱私協(xié)議等收集使用個(gè)人信息規(guī)則成為平衡專(zhuān)業(yè)化規(guī)避法律風(fēng)險(xiǎn)與普及式告知用戶(hù)相關(guān)概況的產(chǎn)物，僅從形式上約束企業(yè)收集處理個(gè)人信息行為，一旦其文字（例如涵蓋收集個(gè)人信息的目的、方式、范圍）及表達(dá)形式（例如易訪問(wèn)、易閱讀）層面達(dá)到合規(guī)要求，即成為企業(yè)對(duì)安全使用個(gè)人信息的承諾書(shū)，普通用戶(hù)既無(wú)核實(shí)企業(yè)個(gè)人信息保護(hù)情況的能力，在給出同意意見(jiàn)后也缺乏據(jù)此維權(quán)的依據(jù)，即知情同意框架難以約束企業(yè)的個(gè)人信息收集處理行為。用戶(hù)的知情同意是用戶(hù)就本人事務(wù)進(jìn)行自決的行為，只有在各有關(guān)主體在經(jīng)濟(jì)、社會(huì)等諸多方面力量均衡的條件下才能保證約束效果[3]。知情同意框架的應(yīng)用困境根本原因在于用戶(hù)和企業(yè)的信息不平等地位，這種不平等體現(xiàn)在三方面，一是信息獲取的不平等，用戶(hù)與企業(yè)相比，更難獲悉其個(gè)人信息的處理情況；二是信息掌控力的不平等，用戶(hù)對(duì)其個(gè)人信息的掌控力欠佳，作為實(shí)際處理者的企業(yè)卻可在授權(quán)下決定海量個(gè)人信息的處理方式；三是責(zé)任承擔(dān)的不平等，個(gè)人信息一旦泄露或?yàn)E用，用戶(hù)需承擔(dān)其對(duì)個(gè)人生活甚至人身財(cái)產(chǎn)安全造成的風(fēng)險(xiǎn)，企業(yè)的相關(guān)風(fēng)險(xiǎn)卻微乎其微。當(dāng)前，諸多因素共同決定了用戶(hù)和企業(yè)不平等的信息地位，因此用戶(hù)難以真正地在知情和理解的基礎(chǔ)上自主行使對(duì)于其信息采集和后續(xù)處理過(guò)程的自決權(quán)利。在實(shí)踐中，用戶(hù)不會(huì)按照既定期望行為行事，即認(rèn)真閱讀隱私協(xié)議→做出自主同意與否決定→使用該互聯(lián)網(wǎng)信息服務(wù)或更換其他服務(wù)。用戶(hù)通常以不辨別內(nèi)容即同意隱私協(xié)議為代價(jià)，換取選定的互聯(lián)網(wǎng)信息服務(wù)的快速即刻使用。該情況的出現(xiàn)源于以下兩方面原因。一是用戶(hù)的專(zhuān)業(yè)性意識(shí)不夠，對(duì)其個(gè)人信息保護(hù)的必要性認(rèn)識(shí)不充分。例如有些用戶(hù)的想法是“收集了一些不敏感的個(gè)人信息不會(huì)有太大影響”“手機(jī)號(hào)都是公開(kāi)的沒(méi)有問(wèn)題”“普通人的個(gè)人信息不會(huì)被關(guān)注”等，受非理性、樂(lè)觀意見(jiàn)引導(dǎo)，未能深刻認(rèn)識(shí)到在萬(wàn)物互聯(lián)的數(shù)字時(shí)代無(wú)數(shù)個(gè)普通人個(gè)人信息的泄露將可能對(duì)個(gè)人和對(duì)社會(huì)帶來(lái)怎樣的嚴(yán)重后果。二是用戶(hù)的個(gè)人信息保護(hù)專(zhuān)業(yè)性能力不足，難以?xún)H通過(guò)隱私協(xié)議等文件明白其個(gè)人信息被處理可能存在的風(fēng)險(xiǎn)。隱私協(xié)議同時(shí)兼任法律責(zé)任明確作用，故相關(guān)表述字句專(zhuān)業(yè)化程度較高，對(duì)于普通用戶(hù)而言，快速閱讀并準(zhǔn)確理解難度很大，遑論據(jù)此進(jìn)行同意與否的意見(jiàn)表達(dá)。在實(shí)踐中，企業(yè)作為營(yíng)利性機(jī)構(gòu)，一般選擇更有利于其經(jīng)濟(jì)利益發(fā)展的做法，也就是說(shuō)，在大數(shù)據(jù)時(shí)代，企業(yè)更有動(dòng)力去獲取大量用戶(hù)個(gè)人信息，通過(guò)分析挖掘進(jìn)而充分賦值數(shù)據(jù)。從企業(yè)角度，以下原因造成了知情同意框架的現(xiàn)實(shí)應(yīng)用困境。一是企業(yè)利用相對(duì)于用戶(hù)的信息不對(duì)等地位，更易制定利于己方的隱私協(xié)議。企業(yè)了解需要收集哪些必要個(gè)人信息,但是可出于其他目的（例如多收集信息以備不時(shí)之需、掌握更多個(gè)人信息進(jìn)行數(shù)據(jù)挖掘分析等）在隱私協(xié)議里列出多于其必要收集范圍的個(gè)人信息，而這一方式在知情同意框架下成為收集這些額外個(gè)人信息的最好方式，反向賦予企業(yè)行為合理性[4]——即企業(yè)基于用戶(hù)同意這一條萬(wàn)能理由，即可把不合理的收集范圍合理化。二是某些互聯(lián)網(wǎng)信息服務(wù)市場(chǎng)內(nèi)存在市場(chǎng)占有率極高的行業(yè)巨頭企業(yè)，用戶(hù)幾乎不具備服務(wù)選擇權(quán)。一些互聯(lián)網(wǎng)服務(wù)垂直領(lǐng)域內(nèi)已形成事實(shí)上的壟斷或寡頭現(xiàn)象，用戶(hù)面臨非此即彼的服務(wù)選擇或幾乎沒(méi)有可選擇范圍。行業(yè)巨頭在其服務(wù)領(lǐng)域內(nèi)具備顯著的締約優(yōu)勢(shì)，用戶(hù)拒絕隱私協(xié)議則不能使用服務(wù)，需承擔(dān)喪失便利生活、被隔絕于網(wǎng)絡(luò)社交之外的風(fēng)險(xiǎn)，其知情同意權(quán)幾乎形同虛設(shè)。三是業(yè)內(nèi)企業(yè)的知情同意框架設(shè)計(jì)向龍頭企業(yè)看齊，而非向規(guī)則看齊。在實(shí)際的調(diào)研中發(fā)現(xiàn)，即便是在一些新興的互聯(lián)網(wǎng)信息服務(wù)領(lǐng)域內(nèi)，業(yè)內(nèi)企業(yè)的知情同意框架也是參照其他互聯(lián)網(wǎng)信息服務(wù)龍頭企業(yè)的方式進(jìn)行設(shè)計(jì)，且企業(yè)以此作為相關(guān)機(jī)制合理性的支持依據(jù)。一旦龍頭企業(yè)的知情同意框架設(shè)計(jì)存在不足之處，將導(dǎo)致一大批企業(yè)的知情同意機(jī)制存在缺陷。此外，仍有一些客觀因素，導(dǎo)致知情同意框架存在應(yīng)用困境。一是針對(duì)隱私協(xié)議的部分要求存在內(nèi)在的矛盾和沖突。簡(jiǎn)短明了的內(nèi)容難以負(fù)載繁多的告知事項(xiàng)，追求授權(quán)程序的全面帶來(lái)不便捷的用戶(hù)體驗(yàn)，而規(guī)范專(zhuān)業(yè)的文字表述通常導(dǎo)致理解門(mén)檻的提升，這些矛盾點(diǎn)結(jié)合在一起，導(dǎo)致保障用戶(hù)知情權(quán)的隱私協(xié)議難以兼顧各方需求，只能尋找相對(duì)平衡點(diǎn)。二是人工智能算法等技術(shù)的學(xué)習(xí)能力增強(qiáng)個(gè)人信息后續(xù)處理的不可預(yù)測(cè)性。隨著人工智能、大數(shù)據(jù)分析等新技術(shù)和用戶(hù)畫(huà)像、個(gè)性化推薦等新應(yīng)用的不斷發(fā)展更新，個(gè)人信息的后續(xù)處理存在一定的不可預(yù)知性，即便是企業(yè)，對(duì)于收集而來(lái)的個(gè)人信息如何處理分析、應(yīng)用在哪些方面、涉及哪些主體等，也很難在用戶(hù)同意提供個(gè)人信息前進(jìn)行明確并且保證后續(xù)不會(huì)變動(dòng)。盡管企業(yè)隱私協(xié)議會(huì)不斷完善，內(nèi)容更加完整、表達(dá)形式更加生動(dòng)，但是以上因素將導(dǎo)致其保護(hù)個(gè)人信息的象征意義大于實(shí)際意義。近兩年來(lái)，相關(guān)監(jiān)管機(jī)構(gòu)充分關(guān)注用戶(hù)個(gè)人信息保護(hù)，出臺(tái)一系列管理舉措。其中，在個(gè)人信息收集環(huán)節(jié)，基于知情同意框架，對(duì)于隱私協(xié)議條款、提醒方式、同意方式、權(quán)限授予方式及頻度等進(jìn)行了詳細(xì)的規(guī)定，其隱含兩層含義——一是按照這樣的要求對(duì)用戶(hù)進(jìn)行告知，用戶(hù)能夠達(dá)到“知情”水平，并充分給予“同意”的自主性表達(dá)。二是默認(rèn)企業(yè)達(dá)到這樣的形式要求后，其個(gè)人信息收集處理行為即完全按照公開(kāi)的隱私協(xié)議進(jìn)行。其實(shí)這對(duì)用戶(hù)行為的理性期待和對(duì)企業(yè)行為的合規(guī)期待過(guò)高。以現(xiàn)實(shí)情況來(lái)看，僅以一些強(qiáng)制手段維系用戶(hù)的知情同意權(quán)意義極為有限，為實(shí)現(xiàn)用戶(hù)和企業(yè)雙方的信息地位均衡，可嘗試第三方力量干預(yù)、介入的路徑，在用戶(hù)和企業(yè)就信息收集和處理行為的潛在角力中，補(bǔ)充用戶(hù)這一弱勢(shì)方對(duì)其個(gè)人信息的控制能力。本文從降低用戶(hù)和企業(yè)的信息勢(shì)差，增加用戶(hù)對(duì)其個(gè)人信息收集處理的控制力出發(fā)，探析對(duì)知情同意框架的修改與完善。一是以法律規(guī)范明確個(gè)人信息收集處理規(guī)則和處罰措施，制約企業(yè)對(duì)于個(gè)人信息收集處理的自我合理化能力。政府可借助第三方獨(dú)立機(jī)構(gòu)的力量,深度介入專(zhuān)業(yè)領(lǐng)域，推動(dòng)出臺(tái)同時(shí)具有專(zhuān)業(yè)性和約束力的個(gè)人信息收集處理規(guī)則，明確核心業(yè)務(wù)功能、所需最小化個(gè)人信息范圍、頻次，厘清相關(guān)業(yè)務(wù)的必要性收集和非必要性收集范疇，并明確相關(guān)處罰措施。例如，《常見(jiàn)類(lèi)型移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序必要個(gè)人信息范圍規(guī)定》的印發(fā)有助于打破企業(yè)在個(gè)人信息收集處理領(lǐng)域的解釋權(quán)壟斷，使得企業(yè)在存在不合理收集處理信息行為時(shí)難以依靠技術(shù)和信息優(yōu)勢(shì)進(jìn)行自我行為合理性證明。二是深入企業(yè)內(nèi)部，強(qiáng)化個(gè)人信息處理后端環(huán)節(jié)的監(jiān)督檢查力度。以現(xiàn)有的個(gè)人信息保護(hù)專(zhuān)項(xiàng)工作來(lái)看，主要以遠(yuǎn)程測(cè)試方式對(duì)個(gè)人信息的收集、傳輸環(huán)節(jié)的違法違規(guī)行為進(jìn)行檢查，并且取得一定成效，但無(wú)法確定處理、存儲(chǔ)、刪除等后端環(huán)節(jié)的企業(yè)實(shí)際情況是否符合相關(guān)要求，未來(lái)亟需以現(xiàn)場(chǎng)問(wèn)詢(xún)、資料查看、系統(tǒng)演示、樣本測(cè)試等方式，在企業(yè)內(nèi)開(kāi)展穩(wěn)定、持續(xù)的個(gè)人信息安全保護(hù)能力檢查工作，以監(jiān)督檢查壓力促使企業(yè)提升個(gè)人信息保護(hù)能力。三是推進(jìn)信息披露市場(chǎng)化，引入競(jìng)爭(zhēng)機(jī)制約束企業(yè)行為。借鑒金融領(lǐng)域的上市公司財(cái)務(wù)報(bào)告和信用評(píng)級(jí)制度，推進(jìn)互聯(lián)網(wǎng)領(lǐng)域的個(gè)人信息收集處理相關(guān)信息披露的市場(chǎng)化，要求企業(yè)將個(gè)人信息收集處理情況以年報(bào)形式進(jìn)行公開(kāi)披露，接受公開(kāi)監(jiān)督，鼓勵(lì)第三方獨(dú)立機(jī)構(gòu)作為隱私協(xié)議的真正讀者群和企業(yè)信息行為的評(píng)估者，基于隱私協(xié)議和收集處理行為等出具對(duì)于相關(guān)企業(yè)的個(gè)人信息收集處理行為的“評(píng)級(jí)”報(bào)告，推動(dòng)用戶(hù)優(yōu)先選擇個(gè)人信息保護(hù)舉措到位、沒(méi)有泄露濫用信息記錄的企業(yè)推出的相關(guān)應(yīng)用，借助市場(chǎng)的力量推動(dòng)企業(yè)自發(fā)提升其個(gè)人信息保護(hù)水平。四是推動(dòng)企業(yè)探索建立個(gè)人信息收集處理的分層動(dòng)態(tài)同意機(jī)制，為用戶(hù)提供更大選擇范圍。一方面，探索為用戶(hù)提供針對(duì)不同功能、不同個(gè)人信息處理環(huán)節(jié)的分別告知和獲取同意方式，改善當(dāng)前以單個(gè)隱私協(xié)議的總體一次同意授予企業(yè)永久收集使用個(gè)人信息權(quán)利的現(xiàn)狀；另一方面，設(shè)置“同意自動(dòng)過(guò)期”[5]或“用戶(hù)選擇退出”等保障用戶(hù)被遺忘權(quán)實(shí)現(xiàn)的功能，暢通用戶(hù)收回同意的通道，并借助監(jiān)督檢查工作推動(dòng)個(gè)人信息的刪除銷(xiāo)毀工作落實(shí)到位。五是推進(jìn)事后救濟(jì)能力建設(shè)，降低用戶(hù)個(gè)人信息保護(hù)維權(quán)成本。推進(jìn)相關(guān)個(gè)人信息維權(quán)救濟(jì)組織建立，作為隱私協(xié)議的真正讀者群，在用戶(hù)個(gè)人信息泄露和濫用事件或者企業(yè)不合理信息行為發(fā)生后，能夠有效提供個(gè)人信息不當(dāng)收集利用的完整證據(jù)鏈條，幫助用戶(hù)提升索賠成功率，以個(gè)人信息侵權(quán)訴訟的壓力推動(dòng)企業(yè)加強(qiáng)個(gè)人信息保護(hù)及提升相關(guān)信息行為的規(guī)范性。知情同意框架在個(gè)人信息保護(hù)法理基礎(chǔ)方面具有不可替代的作用，為充分利用該框架約束企業(yè)收集處理個(gè)人信息行為，可嘗試從降低用戶(hù)和企業(yè)的信息勢(shì)差角度出發(fā)，引入政府和第三方機(jī)構(gòu)等其他力量進(jìn)行干預(yù)，降低企業(yè)利用其信息優(yōu)勢(shì)地位不合理獲取個(gè)人信息的可能性，使知情同意框架更好地實(shí)現(xiàn)其應(yīng)有之義。
參考文獻(xiàn)
[1] 郭旨龍, 李文慧. 數(shù)字化時(shí)代知情同意原則的適用困境與破局思路[J]. 法治社會(huì), 2021(1):26-36.
[2] 王文祥. 知情同意作為個(gè)人信息處理正當(dāng)性基礎(chǔ)的局限與出路[J]. 東南大學(xué)學(xué)報(bào)(哲學(xué)社會(huì)科學(xué)版), 2018,20(S1):142-146.
[3] 鄭佳寧. 知情同意原則在信息采集中的適用與規(guī)則構(gòu)建[J]. 東方法學(xué), 2020(2):198-208.
[4] 林凱, 張建肖. 知情同意權(quán)的功能失靈與應(yīng)對(duì)——兼評(píng)《數(shù)據(jù)安全管理辦法(征求意見(jiàn)稿)》相關(guān)規(guī)定[J]. 中國(guó)應(yīng)用法學(xué), 2020(2):162-186.
[5] 梅傲, 蘇建維. 數(shù)據(jù)治理中“打包式”知情同意模式的再檢視[J]. 情報(bào)雜志, 2021,40(2):154-160+122.
作者簡(jiǎn)介
中國(guó)信息通信研究院安全研究所工程師，主要從事個(gè)人信息保護(hù)、數(shù)據(jù)安全等方面的研究工作。
