个人信息使用的合法性基础——数据上利益分析视角

根据我国现行个人信息相关立法,知情同意是个人信息收集和使用的普遍前提。通过对个人信息需要保护的利益分析,我们发现,个人信息上不仅附着了信息主体的人格尊严和自由利益,个人信息使用者的利益和公共利益也是个人信息法律制度需要保护的重要利益。基于此,本文认为,知情同意不是且不应成为个人信息处理的唯一合法性基础,在个人信息保护法制定中应首先明确个人信息上的利益,然后根据个人信息上的利益之间的平衡建构个人信息的使用规则,建立多元的合法性基础。     

论个人信息主体基础法益的设定与实现——基于“个人信息处理规则”反射利益的视角

我国民法典和个人信息保护法并没有确立“个人信息权”概念，但有关条文使用了“个人信息权益”的概念表述，由此带来了关于“个人信息权益”的理解困惑。从法律实证的角度来说，现行法其实并未对个人信息主体基础法益进行直接确权，而是将其隐含规定在对“个人信息处理规则”为重心的体系设计之中，呈现为一种反射利益意义的基础法益设定。在这种意义上，可以将“个人信息处理规则”视为“以保护他人为目的的法律”。针对个人信息处理规则隐含个人信息基础法益的特点，我国个人信息保护法还引入了以强化多重治理体系、压实行为主体责任为内容的独特实现路径，具体包括“个人在个人信息处理活动中的权利”“、个人信息处理者的义务”“、履行个人信息保护职责的部门”“、法律责任”四个方面的合力。以此为分析，可知我国个人信息保护法第四章“个人在个人信息处理活动中的权利”，其所确立的多项个人信息保护权，属于强化治理体系结构中的机制内涵，而不可混同理解为基础法益。这些权利因具有请求权的形式，也称个人信息保护请求权，可以纳入广义人格权请求权的范畴。     

论个人信息保护中的人格保护与经济激励机制

个人信息保护制度中的"知情—同意"框架偏向于通过信息主体自治以保护个人信息,这一路径选择对信息的合理流通和利用构成了严苛的限制,实践中也存在形式化问题。从理论基础和经验逻辑看,"知情—同意"规则需要考虑更为具体的场景;而在具体场景中,对信息主体的经济激励机制可以引导和促成信息主体的"同意"。因此可以将经济激励作为同意的促成机制,这有助于在不偏离"知情—同意"规则的前提下,为个人信息保护与数据合理利用双重目标的实现提供一种平衡方案。通过经济激励机制,信息处理者可与信息主体共享数据利用产生的经济收益,由此适当突破"必要性原则",获得超出为信息主体提供服务之目的的数据处理权限。但经济激励机制亦需受到内容和形式上的限制,避免被泛化为普遍适用的数据处理后门。在当前我国个人信息保护法的制定中,可以考虑引入经济激励制度,构建人格保护与利益激励相结合的"二元机制",在坚持人格保护的原则下,通过经济激励机制有效平衡个人信息保护与信息的合理流通和利用。     

《个人信息保护法》具体适用中的若干问题探讨——基于《民法典》与《个人信息保护法》关联的视角

《个人信息保护法》中的私法规范与《民法典》属于特别法和一般法的关系.告知同意规则作为个人信息处理的核心规则,司法层面应当对"不同意就不提供服务"等违反自愿原则取得个人同意的效力予以否定评价.除个人同意外,法定许可也是个人信息处理的重要合法性基础.在信息处理者违法处理个人信息的归责原则上,《个人信息保护法》明确适用过错推...     

论国家机关处理个人信息的合法性基础

我国个人信息保护法对国家机关处理个人信息作出了特别规定,但未明文解释其适用对象或澄清处理的合法性基础。个人信息保护领域的国家机关应采广义,除了通常的国家机关,还包括法律、法规授权提供公共服务的组织和规章授权组织。根据我国个人信息保护法第13条和民法典第1036条,国家机关处理个人信息具有多元的合法性基础:法定基础包括履行法定职责所必需,订立、履行合同或人事管理所必需,为应急所必需,合理处理已自愿或合法公开的个人信息,法律、行政法规规定的其他情形;意定基础指取得个人同意;酌定基础指为维护公共利益或者信息主体合法权益而合理处理个人信息。不同的合法性基础对应不同的告知同意规则,需准确理解适用。     

大数据时代“知情—同意”机制的实践困境与制度优化

知情同意机制是个人信息保护制度的基石，其理论基础在于个人信息自决权。在大数据时代，模糊的个人信息内涵导致知情同意机制流于形式，僵化严苛的知情同意原则难以适应维护公共利益和发展数字经济的需要。因此，个人信息保护应从“自我控制”模式转向“社会控制”模式，根据具体应用场景和风险评估构建个人信息综合治理体系，与此相对应，知情同意机制应从前端、静态转向动态、灵活。革新传统个人信息知情同意机制并非舍弃知情同意原则，而是在坚持知情同意机制价值操守的前提下优化知情同意规则体系。具体而言，应当进一步完善匿名化规则，健全“同意规则”,细化知情同意豁免规则，实现信息安全与信息自由、个人利益与公共利益的平衡。     

实名制环境下个人信息保护的基本原则重构

传统个人信息保护原则是基于个人信息主体确定而义务主体不确定的对世权保护原则;而信息网络技术的普及应用,尤其是实名制的实施,导致基于信息收集契约关系的个人信息权利义务主体的确定性特征及其权利义务关系发生本质变化,并对个人信息权利保护原则提出新的挑战。经过对实名制环境下个人信息权的考察,我们应当重新构架新的个人信息保护原则。具体而言,实名制环境下的个人信息保护原则应当包括个人信息自决原则、信息收集处理合法原则、信息收集处理规则公开原则、信息收集处理双方地位平等原则、个人信息收集数量最小化原则、个人信息收集和利用有限原则、个人信息安全管理原则以及信息控制者的救济责任原则等八大基本原则。     

个人信息处理必要性原则的规范体系研究

我国《民法典》和《个人信息保护法》均规定个人信息处理应当遵循必要性原则,但是没有对必要性原则进行清晰地界定。必要性原则源于比例原则,个人信息处理行为反映了"禁止过度"的要求,应当适用必要性原则限制个人信息处理行为,以实现个人信息多元利益的平衡。必要性原则体现和渗透于目的限定规则、最小化处理规则、存储期限规则和删除规则。个人信息处理应当限于实现合乎法律规定的正当目的所必要之范围,个人信息处理的范围、数量应当与该处理目的相匹配或成比例,个人信息的存储期限应当为实现处理目的所必要的最短时间。个人信息的处理目的已经实现、期限届满或者处理目的无法实现时,信息主体有权请求删除个人信息。     

论《个人信息保护法》对医学科研的影响

《个人信息保护法》“强化两头,多方平衡”。医学科研中的个人信息处理应以保护受试者个人信息权益为前提,平衡好各方合法权益。个人信息的界定采关联说,编码信息属于个人信息。医学研究应遵守个人信息处理规则,处理个人信息应当有合法依据,要么取得受试者明确同意,要么有法律许可。医学研究中的个人信息往往既是敏感信息,也是私密信息,故对受试者个人权益往往有重大影响,需要在处理前进行评估,严格履行《个人信息保护法》规定的个人信息处理者义务,依法保障受试者在个人信息处理活动中的法定权利。《个人信息保护法》对科学研究中的泛化同意未予认可,不符合医学科研的特点,不利于科学创新,值得商榷。     

隐私政策“知情同意困境”的反思与出路

学界普遍认为，个人信息处理中知情同意规则的适用困境主要表现于隐私政策场景中。“信息区分说”“行为区分说”和“动态同意说”等既有学说旨在破解“知情同意困境”,但均存在难以克服的缺陷。作为知情同意规则的理论基础的“理性人假设”与“个人信息自我控制理论”均难以应用于隐私政策场景，其根源在于私法自治固有的限度。隐私政策的格式条款属性和“有限理性人”的理论假设表明，运用格式条款规则规制隐私政策是更好的解决方案。具体而言，一是运用订入规则，将网络服务者未履行提示义务的重大利害关系条款排除在合意之外；二是运用黑名单、灰名单制度和诚实信用原则控制隐私政策条款的效力；三是运用解释规则平衡网络服务者与信息主体之间的利益。     

风险与控制：论生成式人工智能应用的个人信息保护

生成式人工智能的技术跃进架空了个人信息处理的告知同意规制和最小必要原则，引发了虚假信息生成和个人信息泄漏的广泛风险迭代问题。传统个人信息的权利保护路径面临认知和结构困境，无法应对生成式人工智能给个人信息保护带来极大挑战。以风险控制为导向的个人信息保护机制不强调信息主体对个人信息的绝对控制，旨在通过识别、评估、分配和管理将风险控制在最小范围内，可以灵活和实用地平衡生成式人工智能应用中的信息利用和风险控制，提供有效的解决方案。在风险控制理念下，对告知同意规则和最小必要原则进行风险化解释与调试，并建立从预防到识别再到控制的虚假信息生成风险的全过程应对机制，以及基于风险的个人信息保护合规管理体系，是当前的最优选择。     

敏感个人信息告知同意规则的制度逻辑、规范解释与补强

《个人信息保护法》区分信息类型,为敏感个人信息配置了强告知同意规则。告知同意规则以信息自主、自决为首要价值基础,有其自身制度逻辑,但也有诸多自限性缺陷。在信息风险社会,告知同意规则对于敏感个人信息的保护具有重要意义,应进一步发掘并赋予其新的价值功能内涵,即风险的预防与分配。为准确适用敏感个人信息之告知同意规则,消弭法规范中诸多不确定性及该制度的自身缺陷,应对告知同意规则之适用范围、告知事项与标准、同意形式与要求等做出恰当解释,以期在实现信息自决的同时能更好地实现风险的控制;同时,基于敏感个人信息“敏感度”与“风险性”的动态特征,应对其告知同意规则做动态性机制补强,以使信息处理符合信息主体的风险预期。     

从对抗到合作:个人信息处理关系的范式转换

信息处理者在技术、资源等方面的巨大优势,导致其在事实上与个人信息主体之间形成了对抗的信息处理关系,这种对抗关系严重阻碍了个人信息的保护与利用。信任作为社会关系运行的基础,能在个人信息保护、利用与共享过程中发挥连接个人信息主体与信息处理者的桥梁作用。信任的建立有助于调整隐私政策的保护机制、优化隐私设计的内部体系、填补侵权救济规则的空缺,从而缓解个人信息主体与信息处理者之间的对抗关系。更重要的是,信任的建立可以将个人、信息处理者、政府等社会主体紧密团结起来,协调多元的社会规范,为个人信息保护与信息流通利用营造良好的数字生态环境。     

合同关系中个人信息处理同意撤回权的限制与展开

《个人信息保护法》第15条赋予信息主体随时无条件、无负担地撤回信息处理同意的权利。然而,当同意信息处理正是信息主体的合同义务时,撤回权对合同的拘束力和履行构成冲击,因此应当对现有规范进行妥适解释和调整,以限制撤回权制度对合同关系的影响。撤回权的适用范围应当限定于个人信息处理行为对人格和财产存在加害高风险且既有人格权保护规则对此存在保护不足的合同场景,即主要限定在消费者合同和劳动合同情形。人格标志商业利用并非需要个人信息保护法事先防范机制介入的风险领域,人格标志许可使用合同中的人格权人也非处于弱势地位,撤回权因此不适用于人格标志许可使用合同。信息主体有权事先放弃撤回权。在撤回权行使后,以同意信息处理为对待给付的双务合同的效力不受影响;撤回属于履行迟延型违约;信息主体因不具可归责事由而不承担违约损害赔偿责任,也无需赔偿信赖利益损失;合同相对人在一定条件下享有解除权。     

劳动者个人信息保护的法律价值、基本原则及立法路径

由于传统隐私权制度的局限性,我国应建立职场劳动者个人信息保护制度,以充分保护劳动者的隐私和个人信息权利.劳动者个人信息保护,除了具有个人信息保护的一般价值外,还有助于实现劳动者或求职者的平等权、言论自由权以及工作中的权利等.劳动者个人信息保护除了应遵循个人信息保护的一般原则,诸如合法、公正、必要和透明等原则外,应将比例原则确立为核心原则,在信息处理中平衡雇主合法利益和雇员隐私权利.由于劳动关系的性质以及雇主和雇员地位和实力的不平衡,知情同意原则的适用应严格限制,原则上,雇员同意不能单独作为雇主处理个人信息的合法性基础.借鉴国外尤其是欧洲国家的立法经验,我国应在个人信息保护法中规定劳动者个人信息保护的一般条款,并通过制定行政法规规定具体规则.同时,行政机关、工会或企业组织可发布职场个人信息处理的行为指引,企业和工会也可通过集体协议或规章制度约定或规定涉及个人信息保护的有关事项.     

个人信息保护中告知同意的开放结构及其公法实现

个人信息保护领域对告知同意的批评源于民法格式条款的路径依赖，将告知同意等同于实践中作为其表现形式之一的隐私政策，继而将隐私政策作为格式合同存在的弊病扩展为告知同意固有且不可避免的问题。事实上，个人信息保护中的告知同意呈现开放结构，包含复次的告知同意阶段，呈现多元的主体交互关系，强调行为授权的程序价值，为公法介入告知同意提供了基础。个人信息保护中告知同意的多元合作规制体系，按照政府规制、元规制和自我规制各自规制优势确立公法介入的形式和程度，在矫正信息主体与信息处理者之间的权力差距以确保意志自由的同时，促进信息流通与信息安全等信息处理社会价值的实现。     

劳动者个人信息处理中同意的适用与限制

劳动者个人信息处理中同意的内在困境比其他社会关系都更为鲜明。应打破劳动法、民法与个人信息保护法的理论藩篱,重视对劳动者同意的适用及体系性限制。劳动者信息处理的合法性来源存在两种替代个人同意的适用,分别为"订立或履行合同所必需"的默示同意及以集体合同或劳动规章制度为载体的集体合意。为促进信息利用,应允许雇主在超越"订立或履行劳动合同所必需"时,以劳动者明示同意作为信息处理的合法性来源。无论同意的性质为默示同意、集体合意或明示同意,均应强调对同意自治性的审查,利用"目的限制"与比例原则,丰富"合法、正当、必要"体系性限制的内涵,平衡劳动者个人信息权益保护与信息利用,从而纾解劳动关系下同意的困境。     

论个人信息主体同意的私法性质与规范适用——兼论《民法典》上同意的非统一性

个人信息主体同意通常属于准法律行为，在例外情况下也具有意思表示属性。当存在对价关系时，同意构成“承诺式同意”，合同关系与个人信息处理关系并存，数据交易的双重结构由此展开。作为准法律行为的同意能否参照适用法律行为规则，应结合特定利益状态进行判断。平台经营者与用户之间的不平等状态与格式条款提供方与相对方之间的关系类似，因此隐私政策、服务协议可以参照适用我国民法典合同编中的格式条款规则。具有意思表示属性的同意则同时受到法律行为规则与个人信息保护规则的双重规范。在民法典时代，法律人应克制体系化冲动，承认同意理论的非统一性，避免为了追求形式美感而忽视复杂规范框架的必要性与合理性。     

公共卫生突发事件中个人信息权的保护:以新型冠状病毒肺炎疫情为背景

在公共卫生突发事件应对中追踪检测、收集及分析大量的个人健康信息和流动信息是出于社会大多数公众的生命安全之考虑,是实现公共管理手段的体现,可以达到对传染疾病的有效防治目的.但个人信息收集主体不规范的行为可能会导致个人信息泄露之可能,造成相关当事人的利益受损,如何平衡个人信息采集与公共利益保护依旧悬而未决.以公共卫生突发事件中的个人信息利用为全新视角,对个人信息保护制度进行研究,对于破解个人信息保护面临的实践难题具有重要的现实意义.本文分析了突发公共卫生事件下个人信息保护的法律依据,结合我国突发公共卫生事件下个人信息保护豁免的域外实践,指出我国突发公共卫生事件下个人信息保护存在一些困境,如在突发公共卫生事件中,个人信息的保护缺乏专门的立法和事后具体的利用规则.未来我国在突发公共卫生事件中,应加快个人信息保护的专门立法,同时应确立合法性原则、目的限定原则、最小范围原则及保密性原则为内容的公共卫生突发事件个人信息处理原则来进一步规范信息控制主体的行为.     

论个人信息处理的“合同所必需”规则

《个人信息保护法》新增“合同所必需”作为合法处理个人信息的条件之一，但该规则在适用中存在个人信息处理者以增加服务内容、扩大个人信息需求以及降低信息处理透明度的方式侵害用户权益的风险。通过分析欧盟“合同所必需”规则的适用前提、适用标准、适用条件，思考对规则异化的风险进行控制与化解的路径，可为我国建立健全相关适用规则提供借鉴。“合同所必需”规则的适用基础仍是知情同意，其本身不应是一项单独的法定事由，在适用时必须明确“合同依法成立并生效”这一独特前提，在此基础上依托合同自由与公平原则建立相应适用规范，在合法与正当原则下确立“关联性”标准，在目的明确与最小化原则下确立“必需性”标准，在强化告知义务中确立“透明度”标准。同时，基于法律的禁止性规定，在敏感个人信息处理和利用信息进行自动化决策中不能适用该规则。