SCI论文（www.lunwensci.com）
摘要 ：“ 告知 — 同意 ”规则作为个人信息保护的重要规范，是个人保护自身人格尊严实现自 由发展的重要工具，是个人信息自决理论下自决概念的重要体现，因此“ 告知 — 同意 ”规则在调 和个人信息保护与利用的冲突中必不可少。随着数字经济的快速发展，个人信息处理也愈发频繁 与复杂，“ 告知 — 同意 ”规则面临着适用困境，只有通过完善个人信息处理者的告知义务与个人 信息主体的同意行为，才能促进“ 告知 — 同意 ”规则的实施，从而更好地保护个人信息，维护个 人权益。
关键词 ：告知 — 同意规则,个人信息保护,信息自决理论
一 、问题的提出
“告知 — 同意 ”规则是个人信息保护的重要 基础，“ 告知 — 同意 ”规则，也被称作“知情同 意 ”规则，是指任何组织或者个人在处理个人信 息时应当充分告知信息主体及其个人信息被处理 的自然人，只有在取得同意之后才可进行相应的 个人信息处理行为，没有告知或未取得同意就进 行个人信息处理即为违法行为，除非法律、行政法 规另有规定。[1] 随着数据收集与挖掘技术的愈发 先进，数字经济时代的到来给个人信息保护带来 更多不稳定因素，例如出现过度收集、滥用以及泄 露个人信息的风险，这些风险都呈现不可控的状 态，“ 传统 ”的“告知 — 同意 ”规则已无法有效 规避这些风险。如若严格实施“告知 — 同意 ”规 则，也会对个人信息的流动造成一定的阻碍，从而 不利于当下依靠大数据的经济发展。因此，有学者 认为将“告知 — 同意 ”作为个人信息保护的正当 性基础并不恰当。[2] 诚然，“ 告知 — 同意 ”规则的 实施在大数据的冲击之下面临诸多困境，但是，设 置“告知 — 同意 ”规则对于保护个人的信息自决 权益，捍卫自身人格尊严，追求幸福与自由有着重 要意义，不能轻言摒弃。在西方多个国家的现行法 中，“ 告知 — 同意 ”也是作为首要的合法性基础 来建构个人信息保护的一般规则。
“告知 — 同意 ”规则包含了告知规则与同意 规则，没有进行告知，自然人就无法对是否同意其 个人信息被处理作出表示，且告知必须是充分、 清晰的告知，如若没有达到要求，便不能说明自然 人所作出的同意是真实有效的。相反，没有取得自然人的同意，仅仅进行充分、清晰的告知，也构 成对个人信息的非法处理。可见告知与同意相辅 相成、相互制约，要得出“告知 — 同意 ”规则的 优化路径也需从这两个规则分别入手，使得“告 知 — 同意 ”规则更能适应大数据时代的发展，继 续在个人信息保护中发挥调和冲突的重要作用。
二、“ 告知 — 同意 ”规则是个人信息保护的正 当性基础
( 一 ) 自由主义思想
“告知 — 同意 ”规则源于深刻的自由主义思 想。以约翰 · 洛克为代表的理论家们提出一系列自由主义的民主政治理论，着重强调天赋人权， 认为一切人生而享有一系列不可剥夺的权利，包 括生命、自由、平等、财产、追求幸福等权利，这 些权利不允许政府及任何人侵犯。[3] 该理论解放 了人们的思想，使人们从沉重的封建统治与宗教 思想的枷锁中逃离出来，鼓励人们把握自己的应 有权利。个人信息权益事关我们的财产安全，也事 关我们的人格尊严，我们理应牢牢把握住这一权 益，来实现自身的自由与幸福追求。
政治经济学家亚当 · 斯密认为，每个人最能 了解和判断自己的切身利益，社会应当允许个人 自主安排自身事务，自由选择自己的生活方式。[4] 个人信息作为个人事务，应受个人所支配，而“告 知 — 同意 ”规则便是我们支配个人信息的有效途 径。通过设置“告知 — 同意 ”规则，对信息处理 者施加告知义务保障信息主体的知情权，赋予信息主体在衡量与判断自己的利益之后选择是否行 使同意行为的权利。
( 二 ) 个人信息自决理论
1971 年，德国学者施泰姆勒提出了“信息人 格自决权 ”以及“个人信息自决权 ”概念，其描 述该项权利的内容是，人们有权自由决定周遭的 世界获知自己的思想以及行动的程度。在 1984 年 德国“人口普查案 ”的影响之下，越来越多的学 者才开始响应该观念。[5] 在个人信息自决权的理 论主张中，自决是核心概念，个人有权根据自己 的意志决定自己的信息是否能被收集、处理或者 利用，违反者则会侵犯个人的人格利益。具体到实 践，数字经济时代，个人信息被泄露、被不当利用 的风险急剧增加，相较于掌握大量信息，并能运用 技术对各种细微信息进行跟踪、收集和分析的信 息处理者来说，信息主体明显处于弱势地位。因 此，为了信息主体能与之抗衡，法律在个人信息自 决权的基础上，设置了诸多具体规则，“ 告知 — 同 意 ”规则就包含在其中。
此外，个人信息自决权并不意味着对个人信 息的绝对支配。德国联邦宪法法院作出的“人口 普查法 ”系违反宪法的判决，是限定在特殊的背 景之下的，即信息自决权仅针对国家强制性的信 息收集行为而不涉及私法领域，且只有自动化处 理之下，才“没有不重要的个人信息”， 法律才给 予特别关注，德国联邦宪法法院也明确拒绝一般 性、绝对性的个人信息自决权。可见，法院并没有 主张所有的信息收集与利用行为都侵犯个人信息自决权，都需要提供法律上的理由。个人作为人类 社会中的一员，在社会中活动，与他人密切往来， 在这些过程中所产生的个人信息很难说都归属于自己所有，如果要实行绝对的个人信息自决权，那 么很有可能会给个人信息交流造成障碍，人们无 法在社会中自由发展，人与人之间的沟通交流不 再具有正向的社会价值，就容易造成社会秩序的 混乱。同样，“ 告知 — 同意 ”规则绝不存在绝对的自由，其实施也需限定在一定的范围之内，在进行 个人信息处理时，当有类似为公共利益所需要的 法定豁免事由的出现，即可不必考虑信息主体是 否同意。
三、“ 告知 — 同意 ”规则面临的困境 ( 一 ) 信息处理者的告知困境
数字分析处理技术具有许多不确定性，甚至 在做数据分析之前可能根本不存在什么目的，只 是因为最终数据出现了相关性而创造出许多意想 不到的用途。受限于“ 目的限制原则 ”，个人信 息处理者仅能对已知的个人信息使用目的及过程 进行告知，而对于一些信息处理过程中衍生出的 创新用途或者潜藏的危害风险，亦要求其在收集 和使用数据之前给出明确的目的说明，有些强人 所难。
在个人信息流动中，往往牵涉多方利益。互联 网企业所收集的用户个人行为信息只有在进行匿 名化处理后，才能对其有完全的支配权，而这样的 处理是经过数据中间商进行的，其会将用户个人 在网络活动中的各种信息进行格式转化、内容萃 取等操作，再将其打包转卖。[6] 在这样的交易链 中，互联网企业会为获得更多的商业利益而选择 刻意隐瞒这一流通过程，且由于技术壁垒，有些小 型互联网企业也可能很难发现第三方数据处理所 存在的安全威胁，也就无从告知。
此外，尽管互联网企业声称已经对个人信息 进行了匿名化处理，但也并不百分百地保证个人 信息没有不被滥用和泄露的风险，大数据技术 能够轻易对各种数据进行结合检验，从而重新 识别出个人。而在我国的《个人信息保护法 》中 规定，匿名化后的个人信息因其无法识别出个人 不属于个人信息的范畴，也就很难得到相应的保 护，这种难以预测的风险存在显然给实施告知规 则带来不小的挑战。
( 二 ) 信息主体的同意困境
同意规则成立的前提是，信息主体作为一个 理性人在阅读并理解隐私政策内容之后，能够权 衡利益得失从而作出选择。然而在现实情况下，这 种前提却常常难以实现。2021 年，光明日报与武汉 大学法学院、网络治理研究院组成联合调研组针对 App 隐私协议存在的问题进行问卷调查发现， 77.8% 的用户在安装 App 时“很少或从未 ”阅读 过隐私协议，69.69% 的用户会忽略 App 隐私协议 的更新提示。联合调研组还发现，大多数用户认为 隐私协议内容文字过小，排版过密，且隐私协议充斥着大量专业法律术语，即使想阅读也因不理解 而直接放弃。
试想，一个 App 隐私政策的长度及专业内容 已足够让用户头疼，更何况一个用户可能要面对 几十甚至几百个软件的隐私政策告知，这就很容 易引发心理学上的边际递减效应。在前几次用户 可能还会较有耐心地去细看隐私政策，越往后便 越是麻木，为了能便捷地使用该 APP，就直接点击 同意了事。可见，用户连隐私政策都疲于对待，更 别说能够进行利益权衡，因此，信息主体的同意行 为在大多数情况下都不能说是理性的。
四、“ 告知 — 同意 ”规则的优化路径 ( 一 ) 完善告知义务
数字经济时代，隐私政策内容不应当仅仅停 留在告知采集、处理个人信息的方法与目的，还应 当揭示采集、处理个人信息后所潜在的风险。web 3.0 时代，多传感器信息融合已是大势所趋，电 脑、手机、智能家居设备等多方平台都记载有我们 的个人行为信息，互联网企业完全有能力将这些信息融合。这些融合后的信息可能会被用来构筑 用户的数据画像，从而进行个性化服务、推送定向 广告等等，类似的自动化决策是基于人工智能的 运算，而运算难免出现偏差，严重的偏差可能会给 用户带来隐私侵扰、价格歧视、广告骚扰等后果。 因此，如若互联网企业需要同时通过多种设备来 采集用户个人信息，则应当进行清晰告知，列明具 体采集了哪些设备上的哪些信息，以及信息的使 用目的及其经过人工智能处理而存在哪些风险。 此外，对于数据流向第三方而给个人带来的信息 安全威胁，互联网企业应当增加数据流通的透明 度，在条款中必须明确数据流向哪个第三方，第三 方处理目的、处理过程和潜在风险为何，充分保障 用户的知情权，同时要限制第三方再将数据在企 业和用户不知情的情况下超过处理目的再行转移 使用。
此外，大数据处理技术背景下很难有绝对完 美的匿名化，但匿名化在保护个人信息与促进数 据价值中仍发挥着积极作用，所以，针对个人信息 匿名化后仍存在安全威胁的问题，信息处理者可 根据定期的可能风险评估保持动态化告知。定期 的可能风险评估是指在特定情况下，对给定的匿 名化信息是否有可能潜在被识别的风险的评估， 每隔一段时间进行一次。当评估发现匿名化个人 信息存在去匿名化的可能，且该信息处理可能对 个人造成损害时，互联网企业应当有更严格的告 知程序，即告知信息主体其个人信息正处于风险 范围，其可以通过企业问询相关风险问题或直接 对涉险的个人信息进行删除。并且，企业在及时将 去匿名化的信息重新匿名化后，也应当将其操作 告知信息主体。
( 二 ) 强化“ 同意 ”行为
人们难以在众多网络平台的隐私政策或个人 信息保护政策告知中始终保持理性去阅读并作出 “ 同意 ”行为，为解决这一问题，除了前面所述的 在告知形式上下功夫外，人们的同意行为也需要 作出适当改变，使信息处理者能从信息主体处获 得更为审慎的同意，从而减少二者之间的纠纷。
一方面，根据《个人信息保护法 》规定，对于 不同类型的个人信息，同意行为应当有所区别。个 人信息中的敏感信息因包含有生物识别、金融账 户、行踪轨迹等十分重要的个人信息，很容易会导 致信息主体的人格权益以及财产权益受到侵害， 因此要单独征得信息主体的同意，即信息处理者 需提供弹窗特别告知要收集、使用该类信息，由信 息主体选择是否同意。对于个人信息中的非敏感 信息，因其重要程度及受安全威胁的程度较低， 只需征得信息主体的一般同意，即信息主体可通 过阅读隐私政策后对该类信息进行“一揽子同意 ”即可，无需点击弹窗告知选择同意。另外，对于委 托处理个人信息、向他人提供个人信息、公开处理 个人信息、向境外提供个人信息以及收集个人图 像、身份识别信息用于维护公共安全目的等其他 对个人权益有重大影响的个人信息处理活动，都 应当取得信息主体的单独同意。
另一方面，同意形式上可采用电子签名的办法，促进人们对于个人信息的处理能慎重对待。 实践中，网络平台大都以点击同意选项的方式来 取得用户的授权，这一点击方式在一定程度上能 提高个人信息处理的效率，但却不利于用户准确 表达自己的真实意思。而电子签名能使得同意形 式更为严肃和正式，更能使人们意识到自己是在 与网络企业签订一份合同，这份合同规定了自己 与企业之间的权利义务分配以及双方所要承担的 相关违约责任，从而提高对该同意行为的重视程 度。并且，电子签名的形式多样，越是敏感的信息 越应当采用更为严格的电子签名形式。
五 、结语
迈入数字经济时代后，“ 告知 — 同意 ”规则无 论是在告知程序上还是同意程序上都遭遇到了适 用困境，如果不及时进行改良很容易导致该规则 形同虚设，因此在寻找优化路径时也需分别从告 知规则和同意规则这两方面入手，完善个人信息 处理者的告知义务，对告知形式进行更新突出重 点，强化对风险内容的披露。另外，强化个人信息 主体的同意行为，通过分类型同意与电子签名同 意的形式要求个人对待信息处理时能更为审慎， 同时落实同意撤回权的行使更能为信息主体的同 意提供一份保障。当然，“ 告知 — 同意 ”并非万能 规则，要使个人信息得到更妥善的保护还需其他 规则、原则的相互配合，并且不论是个人信息主体 还是个人信息处理者都应提高保护个人信息的意 识，在自己的能力范围之内认真履行自己的权利 义务，由此个人信息保护才能真正赶上数字经济 发展的步伐。
参考文献
[1] 程啸.个人信息保护法理解与适用[M].北京：中国法制出版社，2021.
[2] 任龙龙.论同意不是个人信息处理的正当性基础[J].政治与法律，2016(1)：126-134.
[3] 洛克.政府论：下[M].叶启芳，瞿菊农，译.北京：商务印书馆，2013.
[4] 张文显.20世纪西方法哲学思潮研究[M].北京：法律出版社，2006.
[5] 杨芳.个人信息自决权理论及其检讨——兼论个人信息保护法之保护客体[J].比较法研究，2015(6)： 22-33.
[6] 郑佳宁.知情同意原则在信息采集中的适用与规则构建[J].东方法学，2020(2)：198-208.
关注SCI论文创作发表，寻求SCI论文修改润色、SCI论文代发表等服务支撑，请锁定SCI论文网！
文章出自SCI论文网转载请注明出处：https://www.lunwensci.com/falvlunwen/54906.html
