高秦伟:个人信息概念之反思和重塑——立法与实践的理论起点
2021年4月2日      ( 正文字号: )
文章标签:基础理论   民法规范   个人信息   隐私权
[ 导语 ]
       如何有效保护个人信息无疑是当前以及未来一段时间的热点问题。中国虽无一部个人信息保护法,但却存在诸多相关的法律规范。不过,从全球个人信息保护立法的发展趋势来看,中国现行立法无论是在立法模式、权利建构、实施执行等层面,均需要进一步强化立法并加强实施。在这些问题中,有关“个人信息”概念的讨论构成了立法与实践的理论起点,系最为根本的议题。对此,中山大学法学院高秦伟教授在《个人信息概念之反思和重塑——立法与实践的理论起点》一文中,回顾个人信息概念的理论发展,总结中国个人信息概念的相关立法实践,对我国个人信息概念的重塑提供了立法建议,以期对司法实践中的难题有所回应。
一、个人信息概念的理论发展

(一)识别说

按照识别说,涉人信息可以分为个人信息和非个人信息,“可识别性”是个人信息最重要的特征,即判断信息是否属于个人信息,关键就在于通过该信息是否可以识别出个人的身份。识别说存在的前提条件在于,假设立法者有能力从信息的分类中评估内在风险,从而确定需要规制的信息类型。识别说的目的在于平衡个人信息保护和信息流动之间的张力,通过法律规制回应技术的发展。识别性依据识别程度分为直接识别和间接识别。一个“可识别”的个人信息需要考虑诸多的因素。由于操作缺少具体的指南,相关的争议不断产生。

自1970年世界范围内兴起个人信息保护立法,识别说一直作为界定个人信息概念的理论而长期存在,且在实践中发挥了重要作用。然而,该理论有时囿于立法列举的个人信息类型,而使个人信息保护不足;有时过于强调技术的作用,而忽略法律意义上的“识别”之意蕴,导致个人信息概念呈现静态化的特征。基于此,有必要关注其他的理论学说。

(二)关联说

美国在“识别说”之外提出了“关联说”。识别说主张从信息到个人的识别,一般是指可以明确直接辨识的信息;而关联说则主张从个人到信息的识别,即已知既定个人而知晓或者收集关于该个人的其他信息。关联说旨在突破传统二分法的局限,强调个人信息界定的动态性。关联说对于匿名化处理后依然能回溯到特定个人的信息,不视为有效的匿名化处理。同时,能够关联到特定个人的信息并不以特殊性为前提。

关联说反对将个人信息圈定一个固定范围进行抽象化、类型化的保护,而主张把握信息运作的动态化、场景化、周期性特点。关联识别时需考量个人信息概念高度依赖的语境,个人信息的概念并非不是一个“预先”的精准界定,而是一个动态的判断过程。抽象界定某些信息是否属于个人信息并无实质意义。关联说与间接识别的不同在于,一改后者过于强调技术的做法,关联说不仅强调双向度比对信息,而且还要考虑其他更广泛的因素,进行多方面的风险评估,并在此基础上,作出价值判断和抉择。

(三)废除静态概念说

网络信息技术的发展使得知情同意等传统个人信息保护原则难以有效落实。更重要的是,技术发展带来的直接后果是个人信息概念的模糊化,大量非个人信息在数据充分的前提下也可转换为个人信息。个人信息的属性动态变化,有学者指出传统二分法已无意义,个人信息不断扩张,直到其涵盖所有的信息。立法者会不断增加个人信息的列举类型,但是又会出现新的问题。基于此,其主张应当从法律制度体系中放弃和废除个人信息这一概念。

实际上,废除静态概念说提出了个人信息概念界定的新思路。持此论的学者指出, 立法者不仅要从信息本身来考量风险的问题,还要从更广阔的视角来探究问题,如信息管理者对降低去识别化的风险采取了什么的措施;更要从社会、心理、制度等层面去思考问题。与之相同的观点是隐私权的情境脉络完整性理论,其主张隐私权尤其是受到新兴科技影响的隐私权,不应仅是讨论对个人信息控制与存取的问题,而且也应考虑到隐私的期待不仅是因个人习惯或习俗,且是基于道德与政治原则所产生的整体信任而产生的。废除个人信息概念的问题在于,其可能导致个人信息的范围难以确定,或导致公私机构放弃对信息采取去识别华操作,致使信息面临更大的风险。

(四)新识别说

新识别说实在坚持传统识别说的基础上,将有关个人的信息理解为“光谱”,首先是不可识别的信息,其次为间接识别的个人信息,最后为直接识别的个人信息。技术的发展,使个人信息与非个人信息的区分极为困难,许多企业对非个人信息展开收集,实际也造成了个人隐私和信息的损害或者影响,因此,必须依赖语境、情景作出判断。在实践中,这3个子信息也不存在绝对的界线。

在这个理论中,许多学者建议应该考虑到信息潜在的识别风险,进而打破二分法的不足,用一种动态的保护方式,于整个信息运作过程中贯彻个人信息保护的相关原则和机制。

二、中国个人信息概念的立法和实践

2016年颁布的《网络安全法》第76条规定“个人信息,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”,并在其后进行列举。同时,第42条规定“经过处理无法识别特定个人且不能复原”的信息不属于个人信息之列。此种模式构成了中国立法的第一种模式,即概括加例示式。第二种立法模式是概括式,与前一种的差异在于,并未列举或者例示说明具体哪些信息属于个人信息。如2012年《规范互联网信息服务市场秩序若干规定》第11条。第三种立法模式是具名式,即在立法中仅仅提及“个人信息”的术语,但并未对是么是个人信息作出任何解释,个人信息保护的范畴也无从得知。一般情况下,需要由行政机关、司法机关在具体的执行和适用中加以细化。如2013年修订的《消费者权益保护法》第29条第1款,2017年《民法总则》第111条。第四种立法模式是区分式,即在界定个人信息的概念时区分了个人一般信息和个人敏感信息。如《信息安全技术公共及商用服务信息系统个人信息保护指南》中的规定。

这些立法模式受到国内学者研究以及域外立法技术的共同影响。结合其与中国个人信息保护的实践,未来中国个人信息保护立法需要考量和解决以下几项重点问题:第一,现代立法技术导致“个人信息”概念过于模糊,在概念的统一性、适用的一致性层面明显存在不足;第二,现行立法对“个人信息”概念的界定时使用的分类,影响了概念逻辑的自洽性和法的安定性;第三,支撑现行立法的理论讨论不够充分,导致个人信息概念的界定在保护强度的合比例性、保障的有效性层面有所欠缺;第四,技术发展导致“个人信息”概念的界定和适用无限扩张,致使个人信息保护和信息流动之间不再具有均衡性的特征。

三、个人信息概念的重塑及立法建议

(一)理论学说的重塑

前述第一种、第二种立法模式坚持了以识别说为主要的理论基础。考虑到中国行政、司法实践现状,首先,应继承这一立法思路。对于直接识别的问题,可以例示方式列举个人信息的范畴,从而体现法律概念的明确性要求。其次,对于间接识别的问题,应借鉴关联说的某些内容对传统识别说加以修正和重塑,要考量一个或多个与其身体、生理、精神、经济、文化或社会身份有关的特殊因素,动态评估信息所处的语境,进而界定个人信息的概念。总之,应基于识别说和关联说的结合,借鉴相关立法经验,展开立法工作

(二)界定个人信息概念的立法原则

无限扩张个人可识别信息的概念可能导致个人信息保护因为成本过高而不具有可操作性。为此,在立法原则上:一方面,应该对目前一些中国立法中试图为个人信息划定基于类型的固定范围的思路予以烦死和扬弃;另一方面,则应意识到如果不对个人信息类型化、例示化的话,可能会对行政机关执法和法院的法律适用的确定性产生影响,更有可能因为立法不予界定个人信息而导致信息收集环节出现失控的局面。未来中国的个人信息保护立法仍然要对个人信息的概念加以规定,应使“个人信息”这一概念兼具规范价值和叙事价值,促进权利保障和数据流动之间的价值平衡。

(三)与个人信息概念相适应的制度构建

如今,个人信息成为一个动态概念,会经过多方流转、比对、再识别、再利用等方式实现价值重塑,实现多重主体的关联。因此,有必要考虑个人信息全程的界定以及保护问题。与其他信息一样,个人信息具有生命周期,设计个人信息的收集、处理、利用等各个环节,每个阶段都应有不同的保护机制。对此,未来中国个人信息保护立法应在两方面予以重视:一是个人信息的识别问题要完全贯穿于信息生命周期的所有环节;二是要在信息生命周期的最开始就去思考个人信息和隐私保护的问题,而不是在事件发生后

(四)个人信息概念的类型化及保护强度

准确认知和把握个人信息概念的内涵,较为可行的办法还在于从分类上予以观察、对比,用以揭示概念的外延,进而在保护强度的分配上能够成比例性。行政实践和司法实践可依据不同类型的信息,构建不同梯次的保护强度。在中国在界定个人信息概念时,是否要规定敏感信息这一问题上,学术界存在争议。但从立法技术以及中国立法实践情况来看,如果要全面、体系地保护个人信息,就有必要对敏感信息加以规定。

四、结论

从目前各国的立法及实践来看,个人信息的概念是个人信息保护和信息隐私规制的起点,但目前的定义均不令人满意。完全放弃这个概念则意味着无法界定规制的边界,因此,理论界提出了许多的建议,尤其主张应动态、弹性地理解个人信息的概念,这给立法和实践带来了一定的困难。中国的个人信息保护立法目前已经启动,研究认为,应该坚持使用个人信息的概念,以识别说和关联说相结合为基础,将个人信息的识别贯穿整个信息生命周期,利用产业技术优势保护个人信息,利用类型化方法成比例地分配保护强度。



(本文文字编辑朱鸿嘉。本文未经原文作者审核。本文为中国民商法律网“原创标注”作品。凡未在中国民商法律网微信公众号发布的文章,一律不得转载。)



文献链接:《个人信息概念之反思和重塑——立法与实践的理论起点》

[ 参考文献 ]

本文选编自高秦伟:《个人信息概念之反思和重塑——立法与实践的理论起点》,载《人大法律评论》2019年卷第1辑。
【作者简介】高秦伟,中山大学法学院教授、博士研究生导师。

推荐阅读
姚明斌:《民法典》违约金规范的体系性发展
本文分析了《民法典》违约金规范中酌减规则的裁量特点和违约金约定的性质,分析了相关法律规则之间的关系。
朱晓喆:《民法典》合同法定解除权规则的体系重构
《民法典》对于合同法定解除权及解除权行使的规则作出了重要的制度变革,本文重点关注民法典视野下法定解除权规则体系
贺剑:对赌协议何以履行不能——一个公司法与民法的交叉研究
投资方与公司之间的对赌协议有效,违反资本维持原则构成一时履行不能。减资程序对股权回购的影响应区分层次判断。
热门排行
学术公告
问答集锦
相关文章
本期评价
1个赞
0个踩
敬请关注中国法学会民法典编纂项目领导小组组织撰写的《中华人民共和国民法典•民法总则专家建议稿(征求意见稿)》

编辑:朱鸿嘉

向编辑提问:

分享

扫二维码
用手机看民商
用微信扫描
还可以分享至
好友和朋友圈

中国民法学研究会
教育部人文社会科学重点研究基地
中国人民大学民商事法律科学研究中心

本网站由王利明教授创办并提供全部运作资金 Copyright◎2000-2021 All Rights Reserved  
E-mail: ccclarticles@126.com