网络环境下个人信息再利用的立法规制

时间：2024-05-08

李仪

摘要：个人信息承载着其主体尊严与自由等伦理价值。在网络因素作用下，这些价值的层次差异性凸显，而对该信息的再利用导致了前述价值的实现危机。为应对危机，立法者宜吸取美欧立法之精髓并结合中国特有的网络治理模式，统分结合地规制不同再利用者的行为：一方面，以尊严与自由为起点衍生出对应层级的规则，据此统一约束所有再利用者，进而分层次地关怀主体价值；另一方面为回应不同再利用者的具体诉求，依据价值排序原理对衍生于人格自由的规则予以限制。为此立法者需在分配正义尺度下作区分式的制度安排，对公共机关与私人机构等再利用者分别设定免受规则约束的例外情形，从而体现不同利益诉求下几者在角色与力量等方面的差异性。

关键词：个人信息；个人信息再利用；伦理价值；统分结合规制

中图分类号：DF49文献标志码：A文章编号：10085831（2014）03012906

一、个人信息再利用导致的主体伦理价值危机

（一）诠释个人信息及其再利用

在以信息化为本质特征的网络时代，自然人的人格正被越来越多地体现为表征主体特性的数字或者符号，即“个人信息”（personal information）。对这一舶来的术语，国内有学者将其译为“个人数据”或“个人资料”。表述的不同源于用语习惯上的差异，在指代的对象上并无二致。根据1995年欧盟个人数据保护指令（以下简称欧盟指令）第2条，一切能直接或间接识别主体的数据都属于个人信息，典型的有身份证号码、健康记录、家庭住址等。网络环境下，个人信息还表现为电子邮箱地址、个人网站的网址与域名、IP地址、网络用户名与密码等。

根据卡尔·夏皮诺阐发的“信息有价”（information is valuable）理论，个人信息能够为行政、司法机关以及经营者等提供宝贵的情报，帮助他们提高行政、司法与商事等活动的效率，由此具有显著的社会效用[1]。而根据欧盟委员会数据保护工作组于2005年修订的《关于公共部门信息和私人数据保护的第3/99号意见》，个人信息在被初始收集者激活的基础上，可被传输给其他用户超出初始目的作进一步利用。而在实践中，实施电子政务等职权行为的公共机关与从事征信服务和网络社交等活动的私人机构与个体在初始收集个人信息之上，也时常将该信息输给其他机构、组织与个人，从而通过分级与多层利用该信息来最大程度地发挥其效用，前述整个过程即为个人信息的“再利用” （re-utilization）。

（二）再利用引发的主体伦理价值危机

个人信息因识别着其主体（以下简称为“信息主体”或“主体”）身份而与之不可分离，并承载着内在于主体的尊严与自由等伦理价值，这已得到了中外立法界的广泛认同。欧盟指令引言即阐明：“member states shall protect the fundamental dignity and freedom of subject（意为成员国应保护信息主体的基本尊严与自由）。”作为欧盟成员国，德国在2003年联邦数据保护法第一节中表明了相同立场；而从美国公平信用报告法§ 602（4）以及2007年马里兰州“Personal Information Protection Act”（以下简称马里兰州法案）§14-3502观之，该国也是将个人信息保护建立在主体尊严与自由基础之上的。

然而在网络环境下，个人信息再利用对以上价值的实现构成了前所未有的障碍：一方面，根据美国心理学家亚伯拉罕·马斯洛的观点，人格标识（如个人信息——笔者注）的完整性与真实性是主体受到他人尊重的基本条件[2]。而在网络因素的影响下，若干有独立功能的计算机通过通讯线路与设备连接起来，再辅之以网络软件支持，个人信息再利用在传统空间所面临的诸多阻隔（譬如初始收集者与接收者之间的空间距离遥远、提供信息的程序繁冗）将被消除[3]。传输效率的提高以及传输环节的增多使得个人信息失真的几率剧增，加之初始收集者与接收者出于不同目的，往往不同程度地改变个人信息的内容，这又加剧了失真的程度。由此个人信息的完整性与真实性降低，这势必损及主体的人格尊严价值；另一方面，根据德国联邦法院于1983年对人口普查案做出的判决中所阐发的信息自决权原理，主体有权决定其个人信息是否以及如何被处理，从而实现其人格自由。美国哥伦比亚州于21世纪初修订的《图书馆流通机密记录政策》也阐明了类似观点[4-5]。然而在实践中，无论该信息的初始收集者还是接收者在传输个人信息之前，都很少征得信息主体同意，甚至不向其告知。尤其是随着云计算服务模式的逐渐普及，前述再利用者越来越多地通过按需与易扩展的方式获得资源与服务，由此主体更难以知悉再利用的具体情况，进而提出异议，这无疑危及到了其人格自由[6]。

二、对再利用的立法规制——应对危机的比较法取精

诚如国内一位学者所言：“如果法律中的人缺失一种伦理的根本地位，那么人格立法必将陷入利益的泥沼。”[7]为应对前述危机，中国需要通过立法这一强制的制度安排方式促使个人信息再利用者终极关怀主体的伦理价值，进而寻回信息时代人格立法应具备的人本理念。此前在对个人信息再利用进行立法规制的过程中，欧美已积累了较为丰富的经验，这对于中国立法而言具有借鉴意义从2009年到2013年，中国陆续出台了《中华人民共和国刑法修正案（七）》、《关于加强网络信息保护的决定》与《征信业管理条例》，这些法规虽包含了部分保护个人信息的规则，但失之于宽泛与原则；而对于个人信息再利用如何规制的问题，中国更是未作出立法回应。。

（一）美国例：区分规制初始收集者与接收者

初始收集者（不论其身份是公共机关还是私人机构）应确保个人信息的安全，这充分地体现在了美国联邦以及各州颁行的法律规范中。美国1974年隐私法案§ 552a.即规定，公共机关（public organ）在向他方传输个人信息时，有义务采取合理措施以确保信息处于真实、完整与可靠状态；而根据美国公平信用报告法§602到§609条以及马里兰州法案§14-3503、3504，私人机构（譬如征信服务机构与网络营销企业）在向他方传输个人信息前，原则上须经过主体授权，同时有义务防止信息被未取得授权者（unauthorized party）获得。按照隐私法案§ 552a.、公平信用报告法§616到§620、俄克拉何马州公共文件法§624A.17以及马里兰州法案§14-3508，违反前述义务的机构或组织应承担相应民事、行政甚至刑事责任。endprint

不同的是，对于从初始收集者处接收信息的机构、组织或个人应如何承担义务与责任的问题，美国联邦与州法律未作明确规定。在联邦法层面，根据隐私法案、信息自由法案与公平信用报告法等，受这些规范约束的主要是收集（collect）与传输（deliver）信息的机构或组织；在州法律层面，根据马里兰州法案§14-3501，受该法约束的主要是初始收集信息的商业机构（business）。俄克拉何马州公共文件法、南卡罗来纳州机动车管理办法等也作了类似规定。

（二）欧盟例：统合规制各再利用者

按照欧盟指令第一章第2条（d）的界定，受该指令约束的不仅包括个人信息初始收集与传输者，还涵盖了信息接收者。为确保信息的真实性与完整性，该指令第17条规定所有再利用者均有义务采取适当技术措施，从而防止个人信息被意外遗失、变更或被非法毁灭。而当再利用者在通过网络传输个人信息时，应履行更高的注意义务；同时为确保个人信息处于保密并为其主体可控制的状态，指令第7、12与14条规定：主体有权知悉其个人信息被他人再利用的相关情事（譬如事由、再利用者身份以及采取的信息技术等），并且在一般情况下得以反对他人未经其明确授权而实施上述行为；为使前述规范的实施得到强制保障，指令第三章“司法救济、责任与制裁”部分要求成员国设置司法与行政程序，追究违反了相关义务的再利用者责任，责任承担方式包括民事赔偿与行政处罚等。

在约束范围以及规制手段方面，欧盟成员国的法律规范与欧盟指令基本保持了一致。譬如根据法国2004年数据处理与个人自由法第3条与第五章第一节，所有参与再利用活动的机关、组织与个体都受该法约束，几者均需对个人信息安全履行义务；英国1998年数据保护法第一部分、瑞典1998年个人数据法第9条等也作了相似规定。

（三）比较与取精

通过比较可知，欧盟及其大多数成员国通过制定统一的规则，对所有再利用者（包括初始收集者、传输者与接收者）的行为作了同等约束；与此不同的是，美国立法者着重约束初始收集与传输者，而对接收者的行为鲜有规制。具体体现是，无论联邦隐私法案、信息自由法案还是各州立法中的规则几乎都不适用于接收者。

然而殊途同归的是，欧美立法者都以个人信息所蕴含的主体伦理价值为基点，衍生出了再利用者应遵守的规则。譬如美国隐私法案§ 552a.与欧盟指令第17条的规定是为了实现主体的人格尊严，而美国信息自由法案b（6）以及欧盟指令第7、12与14条则是为了实现主体保持以及发展其人格的自由。

三、统分结合规制——本国语境下的危机应对之道

（一）统：以网络治理模式下的伦理价值关怀为视点

在很大程度上，所有再利用者（包括初始收集、传输者以及接收者）的行为都影响着主体尊严与自由等价值的实现，由此他们的行为需要得到同等规制。毕竟在社会控制论（social cybernetics）视野里，网络社会是一个由公共机关、私人机构与个体构成的多层级系统，几者须通过信息双向共享来发挥或满足各自的职能或需求，从而共同改变着个人信息的内容、存储方式与运行状态[8]。一方面，在该系统中，公共机关通过初始收集个人信息形成控制策略，并凭借信息传输的途径将该策略传达给下层级（譬如私人机构与网络社交个体），从而发挥公共事务管理的职能；另一方面，私人机构与个体为了实现自身利益（譬如优化经营绩效与实现表达自由等），也时常收集个人信息并将信息传输给其他机构（包括公共机构）、组织与个体。譬如根据2013年颁行的征信业管理条例，征信服务机构得以将采集的信息传输给其他私人机构、信用交易者甚至公共机关。而2013年第31次CNNIC报告显示，近几年来私人机构（以私人企业为主）收集与传输个人信息的情形不断增多[9]。

在中国特殊语境下，个人信息再利用行为（包括由私人机构实施的）需要由正式立法来规制，而不宜依靠美国式的行业自律去约束。在国家与企业代表共同参与互联网管理的美国，私人机构的行为除了受前述法律的规制外，更主要地还是通过行业协会制定自律规范来调整。美国联邦贸易委员会（FTC）在1999年7月向国会提交的一份报告中即阐述道，行业自律是促使私人机构关怀个人信息主体价值最有效的手段[10]。与此不同，在政府主导型的互联网治理模式下，中国主要是由立法机关等公权力机构管制互联网活动（包括网络交易与社交）。从这个角度而言，中国通过立法手段约束私人机构与网络个人的行为更符合国情；另外根据社会学的新制度主义学派观点，制定法权威性、强制性与普遍适用性等优势是自律规范等非正式制度无法企及的，它能够为这些机构与个体建立稳定的预期从而更加有效地规制其行为[11]。尤其是在中国当下，商事行业自律机构的组织构建还不完善，其职能也无法充分发挥，故而立法规制尤为必要。

（二）分：以各网络领域的具体诉求为考量

按照亚里士多德所阐发的分配正义（distributive justice）标尺，中国在规制不同再利用者的行为时，应考察他们在身份、目的以及资源掌握等方面的差异，并在立法规范中体现这些差异[12]。按照身份不同，个人信息再利用者可分为实施电子行政与司法等行为的公共机关、从事电子商务交易等活动的私人机构以及参与网络社交活动的个体，三者参与再利用活动的目的包括：第一，提高行政与司法效率。根据德国学者京特·雅科布斯阐发的信息契约理论，公民应当向公共管理机构让渡其专有信息（如个人信息），从而便于国家利用这些信息来增进公共福祉[13]；第二，实现信息获取与表达的自由。20世纪末，美国宪法第一修正案学者托马斯·爱默生提出信息近用权（the right of access to information）学说，其核心内容是公民（包括网络社交中的个人）有权收集、利用与传播信息（包括他人的个人信息）从而接受与发表言论[14]；第三，优化经营绩效。电子商务经营者为拓宽销路掌握商情，同时防止“逆向选择”（adverse selection）与“道德风险”（moral hazard）等问题，需要分析消费者的消费偏好、信用状况等信息[15]。endprint

三者在身份与目的上的差异性决定了相对于个人信息主体而言他们的谈判力量和资源掌握能力不同（详见后文），同一个人信息对他们的效用也有异。譬如消费偏好信息主要对经营者而言作用显著，但对网络个人的作用甚微。因此正如欧洲法院在2004年对Lindqvist案做出的判决中阐述的：在计算机与网络时代已经不存在不重要的个人信息，只存在不同从业者对同一个人信息的不同需求Lindqvist， Case C-101/01，ECJ，[2004]1 C.M.L.R.20. 。考虑到前述差异，德国与美国立法者都对不同再利用者的行为作了区分式的规制。通过对比美国联邦信息自由法案§552条与马里兰州法案§14-3503、3505，我们可以看出美国对公共机关传输信息的行为规制得更为严格（相对于私人机构而言）；德国立法者也对公共机关与私人机构分别设置了实施再利用行为的不同条件，并将这些条件规定在了2003年联邦数据法第二编“公共机关的数据处理”与第三编“私人机构与参与竞争的公法企业的数据处理”中。

四、统分结合规制的立法实现——以伦理价值的层次性为起点

（一）统一约束各再利用者的规则

为回应尊严与自由的层次差异性问题，立法者宜以二者为起点，衍生出相应层级的规则以统合规制所有再利用者的行为。理由是，根据马斯洛于1943年阐发的人的需求层次理论（hierarchy of needs theory），生理、安全、社交、尊重以及自我实现的自由构成了人从下到上的五个基本需求层次，越靠下的需求越具有基础性与重要性，据此人格尊严较之于自我实现的自由更加重要[2]28-29。而无论从联合国《公民权利和政治权利国际公约》第9、10条以及德国2001年基本法第1、2条都可看出，立法者也对人格尊严赋予了优先于人格自由受保护的地位。尊严与自由之间的层次差异在网络时代显得尤为突出，前述CNNIC报告即显示，中国半数以上网民极度反感行政机关与商事机构任意篡改其个人信息进而损害其尊严的行为，却对他们擅自收集与传输个人信息从而限制网民自由选择空间的做法比较宽容[9]。

人格尊严（personality dignity）要求主体起码的社会地位受他人尊重。为实现这一价值，立法者需要对再利用者设定以下规则：第一，采取安全保护措施以确保个人信息处于完整与真实状态，进而维护主体所受社会评价的公正性；第二，向主体告知其个人信息被再利用的相关情事（譬如再利用者身份、目的、方式、期限以及被处理信息的范围等），从而为主体请求再利用者采取安全保护措施创造条件。经济合作与发展组织（OECD）《关于隐私保护与个人资料跨国流通的指针》第8、11、13条将上述内容归纳为信息品质原则（Information Quality Principle）、安全保障原则（Security Safeguard Principle）与主体参与原则（Subject Participation Principle）。根据德国宪法法院阐发的“权利核心领域”理论，每一项权利当中体现人格尊严价值的部分属于该项权利的本质内容，它不得在任何情况下以任何理由被克减，美国公平信用报告法§604条以及德国联邦宪法法院1989年日记证据案判决就淋漓尽致地体现了前述内容[16]；中国主流民法学家甚至将人格尊严视为主体首要的伦理价值[17]362。为体现尊严价值的根本性，以上规则的适用不容限制。当然为防止主体滥用这些规则阻碍信息合理流通，立法者应对其课以相关的义务，如证明个人信息错误方能更正、保守查询中获知的国家秘密与商业秘密等。

人格自由可以细分为保持人格的自由（freedom of personality maintenance）与发展人格的自由（freedom of personality development）[17]361。正如美国学者威斯汀与米拉所认为的，维护主体人格自由的关键在于使其能决定自己的个人信息是否被传播[18]。主体有权决定其个人信息是否以及如何被初始收集与传输，这是人格自由在网络社会中的重要体现。为实现这一价值，立法者宜对再利用者设定以下规则：第一，在初始收集之前，将相关情况告知信息主体并征得其同意，否则收集行为无效；第二，不得超出初始收集目的而将个人信息传输给他人再利用，除非主体同意或者符合法定条件。在比较法上，德国联邦宪法法院甚至在对前述人口普查案做出判决时，从尊重公民基本权利——信息自决权的高度阐释以上规则的重要性[4]；同时根据美国马里兰州法案§14-3504、3508，在初始收集之前，私人机构再利用信息的目的就应当明确，后续传输行为不得任意违背此目的，否则构成对主体自由权的侵害。

（二）分适于初始收集者与接收者的例外情形

根据利益位阶与价值排序原理，立法者为满足再利用者的利益，须限制对应人格自由的规则之适用。理由是，相对于人格尊严而言，前述同意与目的限定规则所承载的人格自由价值处于较低的层次，这可以从联合国《公民权利和政治权利国际公约》第9、10条以及瑞士民法典第27条等条文看出；而如前文所述，再利用所满足的目的涵盖了获取信息与表达的自由、提高经营绩效乃至维系社会与国家整体利益等。从法学方法论的角度而言，如何限制的问题牵涉到冲突利益的判断与衡量。立法者宜在分配正义的标尺下，具体考察不同再利用者在身份、目的以及资源掌握等方面的具体差异，作出区分式的制度安排。

公共机关系出于提高电子行政与司法活动效率等公共目的，而根据行政法学始祖德国学者麦耶阐发并在后来广为立法者采纳的比例原则（the principle of proportionality），它们得以限制相对人权益的情形必须被严格地控制于法定范围内 [19]；加之公共机关在谈判力量以及资源掌握能力等方面相对于个人信息主体而言处于绝对优势地位，故而其行为对主体人格自由所形成的潜在威胁远大于私人机构与个体。为防止该机关滥用这一地位对前述条件与情形作扩大解释，立法者有必要明确界定它们得以在实现“公共利益”的条件下径自收集与传输个人信息的情形，超出此范围擅自处理的行为被认定为无效。参照欧盟指令第7条、德国数据法第二编第一章第15节等条款，这些情形包括：实施电子政务活动、通过行使公诉权追究犯罪行为、维护信息主体本人及他人重大人身或财产利益、开展其他与处理者职权相关的活动（如科学研究以及社会调研）等。endprint

不同于公共机关的是，虽然私人机构与网络社交个体也时常对个人信息加以初始收集与传输，但二者在谈判力量等方面与主体大致对等，前述CNNIC报告结果证明了这一点[9]。由此相对于公共机关而言，私人机构与个体对个人信息安全以及主体人格利益带来的威胁较小；另外考虑到二者主要是为了提高商事效率与信息自由而再利用个人信息，根据私权可处分的法理与意思自治原则，只要二者与主体事后达成了免责协议，或者其所满足的利益明显大于主体的人格自由价值时，即得以对信息进行传输与再利用，即使他们在再利用时未经过主体同意也是如此。但他们向公共机关等调取个人信息之前，应当向该机关提交与以上事由相关的证据。前述内容在纽约州信息自由法689（2）（c）以及德国数据法第二编第一章第16、28节都有所体现。

参考文献：

[1]卡尔·夏皮诺.信息规则[M].北京：中国人民大学出版社，2000：17.

[2]亚伯拉罕·马斯洛.动机与人格[M]. 许金声，译.北京：中国人民大学出版社，2007：31.

[3]高富平.“云计算”的法律问题及其对策 [J].法学杂志，2012（6）：8-9.

[4]迪特尔·梅迪库斯.德国民法总论[M].邵建东，译.北京：法律出版社，2001：801.

[5]谢珺.图书馆的个人信息保护义务及立法完善[J].图书馆建设， 2011（8）：2.

[6]钟义信.信息科学原理[M].北京：北京邮电大学出版社，2002：115.

[7]胡平仁，梁晨.人的伦理价值与人的人格利益 [J].法律科学，2012（4）：19.

[8]GUIASU S . Information theory with applications [M]. New York ：McGraw Hill ，1977：171.

[9]中国互联网络信息中心.第29次中国互联网络发展状况统计报告[R/OL]. [2013-29-31].http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201301/t20130115_38508.htm 2013.

[10]WHITEMAN J Q.The two western culture of privacy： Dignity versus liberty[J].Connecticut The Yale L J，2004，1161：43-46.

[11]JAMES G， MATCH J P. Olen， Rediscovering institutions： The organization basis of politics [M]. New York： The Free Press， 1989：178.