风险治理视角下的个人信息保护路径

数字时代应有效回应信息科技引发的新型信息风险。日益广泛的个人信息处理行为不仅可能会给个人带来多种风险,影响个人人格的全面自由发展,而且可能会对社会与国家造成重大安全隐患。有效保护个人信息,既需要公私主体消极不侵犯个人信息,又需要国家通过不断完善体制机制积极治理信息风险。在风险治理组织上,宜吸收大部制机构改革的历史经验,设立统一的个人信息保护专门机构实施“一站式监管”。在风险预防措施上,应对个人信息进行科学的分类分级以进行不同安全等级的信息风险预防,并以安全与效率的平衡为理念设计个人信息保护影响评估、个人信息出境安全评估等制度。由于个人信息保护执法裁量空间巨大,有必要努力制定个人信息保护处罚裁量基准,并探索执法和解机制以促进企业合规。为了更全面有效地进行信息风险治理,应逐步放宽个人信息保护民事公益诉讼,强化个人信息保护行政公益诉讼。     

风险与控制：论生成式人工智能应用的个人信息保护

生成式人工智能的技术跃进架空了个人信息处理的告知同意规制和最小必要原则，引发了虚假信息生成和个人信息泄漏的广泛风险迭代问题。传统个人信息的权利保护路径面临认知和结构困境，无法应对生成式人工智能给个人信息保护带来极大挑战。以风险控制为导向的个人信息保护机制不强调信息主体对个人信息的绝对控制，旨在通过识别、评估、分配和管理将风险控制在最小范围内，可以灵活和实用地平衡生成式人工智能应用中的信息利用和风险控制，提供有效的解决方案。在风险控制理念下，对告知同意规则和最小必要原则进行风险化解释与调试，并建立从预防到识别再到控制的虚假信息生成风险的全过程应对机制，以及基于风险的个人信息保护合规管理体系，是当前的最优选择。     

个人信息“合理利用”的规范分析

随着《个人信息保护法》的出台，个人信息“合理利用”的问题开始凸显。个人信息“合理利用”的提出，本质原因在于，个人信息并非是个人所控制的信息，而是与个人相关的信息。这导致，个人信息保护不能仅限于不受侵犯，还要求个人信息处理者(国家或者其他私主体)必须对个人信息进行“合理的”处理。个人信息保护的落脚点应该是隐与私，既包括对个体不欲为人知的私密信息的保护，也包括对个体个人信息自我决定权的保护。其规范基础分别是可以使个体隐于社会的内在尊严和使个体积极融入社会的人格自由发展权。个人信息包括私密信息与风险信息。数字时代个人信息保护的难点在于，不知道何种个人信息经过技术处理后会导致个体的人格受到侵害，这体现了个人信息处理的风险本质。这意味着，个人信息“合理利用”应该兼具不受侵犯和风险预防两个方面，在面对国家公权力和私主体两种不同的处理者时，应该具有不同的保护逻辑。     

“基于风险”的个人信息保护?

传统上，个人信息保护倚重个体行使控制性权利。近年来，在针对这一保护方法的批评中，一种基于风险的保护方法被提出，并在立法层面得到了一定程度的体现。这种基于风险的保护方法的潜力在于，在宏观层面，它有利于强调国家有义务为个体的自我发展创造结构性的环境，并适度关注一些集体层面的法益和损害；在微观层面，它有利于指导抽象的法律原则根据具体场景中的风险水平而合比例地适用。然而，与传统健康、环境等传统风险规制领域不同，个人信息保护领域引入基于风险的方法也面临风险预防缺乏焦点、风险评价无法客观量化、风险的功利考量与权利的道德边界需要协调等挑战。     

加强个人信息保护立法的设想

随着社会的发展以及人的自我保护意识的增强,很多国家都从本国的国情和利益出发,制定了个人信息保护的基本原则,形成了完善的个人信息保护制度。本文借鉴了国外的个人信息保护的相关法律、规定,根据我国的实际情况提出了加强个人信息保护立法的几点设想。     

社会风险控制抑或个人权益保护——理解个人信息保护法的两个维度

个人信息在《民法典》中被确认为一种人格法益,在理论和立法上确立了我国个人信息的私法保护面向。个人权益保护成为构建和理解个人信息保护的重要维度和线索。由于个人信息保护的公共目标和功能可能被个人私益保护的进路所覆盖或消解,因此有必要将社会风险控制作为个人信息保护的重要维度来对待。社会风险控制一直是电子化时代个人数据保护的基础性目的,它对于个人信息保护的相关理论和制度具有很强的解释力和动态构建作用。社会风险控制和个人权益保护两种进路在相关基础问题上出现分歧,如个人信息与隐私的基础关系、一般性保护与场景化保护以及本权与保护权的关系等。在《个人信息保护法》实施过程中,社会风险控制进路有助于合理解读和执行法律,把握风险大小与控制措施的合理匹配,以及在平衡相关立法价值的前提下,释放信息的流动性。     

数字时代隐私权保护的立法因应

数字技术在为人类生活带来便利、促进数字经济发展和数字服务能力及效率提升的同时,使自然人隐私权面临以保障安全和发展经济为名的潜在威胁、数字伦理缺失等多重消解风险。当下中国形成了以《数据安全法》保障数据安全、以《个人信息保护法》规制个人信息处理活动、以《民法典》保护自然人隐私权的立法模式。但在数字时代,上述立法模式存在对个人信息和隐私界定不明、缺少流动场景下对隐私权社会属性的重视、隐私权法律救济和责任规制缺失、国内外的隐私权保护立法衔接不足等问题。在数字时代,我国对隐私权保护立法的完善,应从法理和适用规则上界分隐私和个人信息,依群体分类保护隐私权,完善私密信息的法律救济规则,健全对重点场景和行业的法律责任追究机制,建立公平公正的数字贸易与隐私权保护国际规则,强化自然人对数字社会治理的参与等。     

数字人民币运营机构安全保障义务的廓清与实现

数字人民币运营机构泄露用户个人信息,以及个人信息处理过程中所面临的信息窃取风险引发了学界对用户个人信息权益保护的争论。数字人民币运营机构负有保护用户个人信息权益的义务,具体包括信息风险的消除、控制、预防三种类型,其法定化则可借由“危险源监控”型安全保障义务而实现。信息风险应采用动态模式加以消解,以衡平用户个人信息安全保障与共享利用。安全保障义务的归入标准与择出机制可借助场景分析与风险评估实现。在责任承担上,应以过错程度区分侵权人的连带责任与补充责任,并限定向第三人追偿的前提与比例,达致数字人民币运营机构与用户之间利益的最大化。     

大数据时代“知情—同意”机制的实践困境与制度优化

知情同意机制是个人信息保护制度的基石，其理论基础在于个人信息自决权。在大数据时代，模糊的个人信息内涵导致知情同意机制流于形式，僵化严苛的知情同意原则难以适应维护公共利益和发展数字经济的需要。因此，个人信息保护应从“自我控制”模式转向“社会控制”模式，根据具体应用场景和风险评估构建个人信息综合治理体系，与此相对应，知情同意机制应从前端、静态转向动态、灵活。革新传统个人信息知情同意机制并非舍弃知情同意原则，而是在坚持知情同意机制价值操守的前提下优化知情同意规则体系。具体而言，应当进一步完善匿名化规则，健全“同意规则”,细化知情同意豁免规则，实现信息安全与信息自由、个人利益与公共利益的平衡。     

论个人信息法律保护的思想渊源与基本原理——基于“公平信息实践”的分析

公平信息实践构成了全球个人信息保护的思想渊源与基本框架。对公平信息实践的演化和全球各个版本公平信息实践的原则进行总结,可以发现公平信息实践确立了以个人信息赋权与施加信息控制者责任的进路。但强化个人信息赋权却未必符合个人信息保护的基本原理,并不一定能够很好地保护个体的隐私权益。同时,对信息控制者施加某些责任也未必符合大数据的基本特征,不能恰当地利用与保护个人信息。本文提出大数据时代的公平信息实践版本,主张采取有限个体主义与动态化的个人信息保护。这一公平信息实践的版本强调平衡个人信息收集、处理和流通中的个体预期与社会预期,强调发挥个人信息的公共性价值与风险防范的个人信息保护进路。     

个人信息司法保护的利益衡量

在我国《个人信息保护法》已经颁布实施的情况下,个人信息司法保护的利益衡量更显重要,主要体现为个人信息利益与社会公共利益和企业数据利益之间的冲突与平衡。从法律依据看,我国法律文本中解决个人信息利益与其他利益冲突的规定主要体现为“数据条款”和“公共利益条款”。从司法实践看,公共利益界定的模糊导致了其与个人信息利益的紧张关系,公共利益代表机制的多元加剧了其与个人信息利益之间的冲突,且呈现出“重追责轻管理”“重刑轻民”、救济机制不畅等特点。实现个人信息司法保护的利益平衡,在解释论层面需要强化处理个人信息基本原则、保护责任机制和侵权法律责任,在立法论层面需要进一步明确界定相关核心概念、创新个人信息保护模式、建立专门个人信息保护机构以及健全个人信息权益救济规则。     

敏感个人信息告知同意规则的制度逻辑、规范解释与补强

《个人信息保护法》区分信息类型,为敏感个人信息配置了强告知同意规则。告知同意规则以信息自主、自决为首要价值基础,有其自身制度逻辑,但也有诸多自限性缺陷。在信息风险社会,告知同意规则对于敏感个人信息的保护具有重要意义,应进一步发掘并赋予其新的价值功能内涵,即风险的预防与分配。为准确适用敏感个人信息之告知同意规则,消弭法规范中诸多不确定性及该制度的自身缺陷,应对告知同意规则之适用范围、告知事项与标准、同意形式与要求等做出恰当解释,以期在实现信息自决的同时能更好地实现风险的控制;同时,基于敏感个人信息“敏感度”与“风险性”的动态特征,应对其告知同意规则做动态性机制补强,以使信息处理符合信息主体的风险预期。     

实名制环境下个人信息保护的基本原则重构

传统个人信息保护原则是基于个人信息主体确定而义务主体不确定的对世权保护原则;而信息网络技术的普及应用,尤其是实名制的实施,导致基于信息收集契约关系的个人信息权利义务主体的确定性特征及其权利义务关系发生本质变化,并对个人信息权利保护原则提出新的挑战。经过对实名制环境下个人信息权的考察,我们应当重新构架新的个人信息保护原则。具体而言,实名制环境下的个人信息保护原则应当包括个人信息自决原则、信息收集处理合法原则、信息收集处理规则公开原则、信息收集处理双方地位平等原则、个人信息收集数量最小化原则、个人信息收集和利用有限原则、个人信息安全管理原则以及信息控制者的救济责任原则等八大基本原则。     

大学生个人信息保护结构研究--基于系统理论的分析

为了进一步揭示高校大学生个人信息保护机制的基本结构，文章以系统论为主要研究视角分别对大学生个人信息的输入、运行和输出结构进行了初步分析。通过此项分析旨在为我们完善高校大学生个人信息保护机制建设，推动高校大学生的个人信息权益保护提供理论参考。     

公共卫生突发事件中个人信息权的保护:以新型冠状病毒肺炎疫情为背景

在公共卫生突发事件应对中追踪检测、收集及分析大量的个人健康信息和流动信息是出于社会大多数公众的生命安全之考虑,是实现公共管理手段的体现,可以达到对传染疾病的有效防治目的.但个人信息收集主体不规范的行为可能会导致个人信息泄露之可能,造成相关当事人的利益受损,如何平衡个人信息采集与公共利益保护依旧悬而未决.以公共卫生突发事件中的个人信息利用为全新视角,对个人信息保护制度进行研究,对于破解个人信息保护面临的实践难题具有重要的现实意义.本文分析了突发公共卫生事件下个人信息保护的法律依据,结合我国突发公共卫生事件下个人信息保护豁免的域外实践,指出我国突发公共卫生事件下个人信息保护存在一些困境,如在突发公共卫生事件中,个人信息的保护缺乏专门的立法和事后具体的利用规则.未来我国在突发公共卫生事件中,应加快个人信息保护的专门立法,同时应确立合法性原则、目的限定原则、最小范围原则及保密性原则为内容的公共卫生突发事件个人信息处理原则来进一步规范信息控制主体的行为.     

敏感个人信息保护的特殊制度逻辑及其规制策略

敏感个人信息因其对个人的人身和财产安全具有极端重要性,需要特别的法律保护。我国现行立法对敏感个人信息的特别保护存在制度供给不足。《个人信息保护法》虽秉持对一般个人信息和敏感个人信息区别规制的立法思路,但有关敏感个人信息特别保护的规范较为简略。从我国敏感个人信息保护的实践需求及域外立法经验来看,敏感个人信息保护在"知情同意"的适用、法定处理事由的明确、技术治理的实现、损害认定的完善等方面应有区别于一般个人信息保护的特殊制度逻辑。相应地,敏感个人信息保护也应有区别于一般个人信息保护的特殊规制策略。     

“个人信息侵权”方案的反思及其重塑

以个人信息自决权为理论基础、抽象风险损害化为构建策略的“个人信息侵权”方案,在司法实践中暴露出冲击侵权责任制度、不当限制行为自由、诱发诉讼泛滥等缺陷,正当性存疑。个人信息权益并非个人信息自决权,而是以控制处理风险为目的的工具性权利,其与私法人格权构成屏障结构而非并列关系。侵害个人信息权益仅造成抽象风险的,个人信息权益本身即可为个人提供控制手段,将抽象风险视为损害的侵权责任方案扩张失度且无必要。侵害个人信息权益的损害赔偿责任,仍应以损害发生为前提。当非法处理活动被主行为吸收时,不成立“个人信息侵权”的竞合形态与替代形态,侵权责任依主行为认定。单独的非法处理活动符合侵权责任的违法性要件,归责原则为过错推定原则。     

民法典编纂视野下的个人信息保护

个人信息的民法保护具有重要的作用与意义,对个人信息应采取公法与私法并重的综合性保护方法。我国民法典规定个人信息保护,不仅奠定了个人信息保护的正当性基础,也为个人信息保护立法提供了基本法律依据。自然人对个人信息并不享有绝对权和支配权,而只享有应受法律保护的利益。该利益是指自然人享有的防止因个人信息被非法收集、泄露、买卖或利用进而导致人身财产权益遭受侵害或人格尊严、个人自由受到损害的利益。只有行为人违反保护性法律侵害个人信息时,才产生侵害个人信息的侵权责任。民法典人格权编草案应区分隐私权与个人信息,并进一步完善侵害个人信息的民事责任规定,如归责原则、因果关系、损害的认定、减免责事由、责任承担方式等。     

我国个人信息匿名化的法律标准与规则重塑

大数据时代,匿名化规范既是个人信息保护中风险预防的手段,也是我国数据经济发展中数字流通的法律基础,但匿名化的法律标准在我国法律中还有待明确。欧盟已通过《一般数据保护条例》提出明确的匿名化标准,但该条例基于流程设置的标准适用于欧盟境内尚可,适用于我国或显得过于严苛,有碍数字经济的发展。我国个人信息匿名化法律标准与规则的重塑应当考虑环境、再识别风险,建议进行功能性匿名化。将比例原则应用到我国匿名化法律标准和规则的重塑之中,并将其引入到评估匿名信息接收者的风险等级,有助于降低个人信息被再识别的风险亦有利于匿名化的法律标准制定和规则构建。     

论数字时代个人信息的刑法保护路径选择

在数字经济时代,针对个人信息的保护存在两种路径,鉴于“基于权利的方法”存在一系列的缺陷,“基于风险的方法”正逐渐兴起。“基于风险的方法”的重点在于风险分析,其具有将个人信息保护从“纸面的官僚要求”向“实践中的合规”转变等优势。“基于风险的方法”将个人信息保护的责任更多地赋予信息处理者,这在我国《个人信息保护法》等法律法规中已有体现。“基于风险的方法”仅是对元监管的部分实施,其主要目标是改善、加强法律框架的合规内化与实施,更强调对信息处理者的问责,其并未将个人信息保护标准制定权授予信息处理者,故有必要引入“合规风险”的概念。在“基于风险的方法”的视域下,个人信息的界定与分类应根据场景作动态判断,侵犯公民个人信息罪之“违反国家有关规定”应是缺乏“同意”的上位概念,信息主体之同意并非判定是否构成本罪的唯一标准。同时,若信息处理者未制造、实现“合规风险”的“后果”要素,则不构成本罪。