数字经济时代“告知—同意”规则的实施困境与优化路径

李奕凡

沈阳工业大学，辽宁 沈阳 110870

一、问题的提出

“告知—同意”规则是个人信息保护的重要基础，“告知—同意”规则，也被称作“知情同意”规则，是指任何组织或者个人在处理个人信息时应当充分告知信息主体及其个人信息被处理的自然人，只有在取得同意之后才可进行相应的个人信息处理行为，没有告知或未取得同意就进行个人信息处理即为违法行为，除非法律、行政法规另有规定。[1]随着数据收集与挖掘技术的愈发先进，数字经济时代的到来给个人信息保护带来更多不稳定因素，例如出现过度收集、滥用以及泄露个人信息的风险，这些风险都呈现不可控的状态，“传统”的“告知—同意”规则已无法有效规避这些风险。如若严格实施“告知—同意”规则，也会对个人信息的流动造成一定的阻碍，从而不利于当下依靠大数据的经济发展。因此，有学者认为将“告知—同意”作为个人信息保护的正当性基础并不恰当。[2]诚然，“告知—同意”规则的实施在大数据的冲击之下面临诸多困境，但是，设置“告知—同意”规则对于保护个人的信息自决权益，捍卫自身人格尊严，追求幸福与自由有着重要意义，不能轻言摒弃。在西方多个国家的现行法中，“告知—同意”也是作为首要的合法性基础来建构个人信息保护的一般规则。

“告知—同意”规则包含了告知规则与同意规则，没有进行告知，自然人就无法对是否同意其个人信息被处理作出表示，且告知必须是充分、清晰的告知，如若没有达到要求，便不能说明自然人所作出的同意是真实有效的。相反，没有取得自然人的同意，仅仅进行充分、清晰的告知，也构成对个人信息的非法处理。可见告知与同意相辅相成、相互制约，要得出“告知—同意”规则的优化路径也需从这两个规则分别入手，使得“告知—同意”规则更能适应大数据时代的发展，继续在个人信息保护中发挥调和冲突的重要作用。

二、“告知—同意”规则是个人信息保护的正当性基础

（一）自由主义思想

“告知—同意”规则源于深刻的自由主义思想。以约翰· 洛克为代表的理论家们提出一系列自由主义的民主政治理论，着重强调天赋人权，认为一切人生而享有一系列不可剥夺的权利，包括生命、自由、平等、财产、追求幸福等权利，这些权利不允许政府及任何人侵犯。[3]该理论解放了人们的思想，使人们从沉重的封建统治与宗教思想的枷锁中逃离出来，鼓励人们把握自己的应有权利。个人信息权益事关我们的财产安全，也事关我们的人格尊严，我们理应牢牢把握住这一权益，来实现自身的自由与幸福追求。

政治经济学家亚当· 斯密认为，每个人最能了解和判断自己的切身利益，社会应当允许个人自主安排自身事务，自由选择自己的生活方式。[4]个人信息作为个人事务，应受个人所支配，而“告知—同意”规则便是我们支配个人信息的有效途径。通过设置“告知—同意”规则，对信息处理者施加告知义务保障信息主体的知情权，赋予信息主体在衡量与判断自己的利益之后选择是否行使同意行为的权利。

（二）个人信息自决理论

1971年，德国学者施泰姆勒提出了“信息人格自决权”以及“个人信息自决权”概念，其描述该项权利的内容是，人们有权自由决定周遭的世界获知自己的思想以及行动的程度。在1984年德国“人口普查案”的影响之下，越来越多的学者才开始响应该观念。[5]在个人信息自决权的理论主张中，自决是核心概念，个人有权根据自己的意志决定自己的信息是否能被收集、处理或者利用，违反者则会侵犯个人的人格利益。具体到实践，数字经济时代，个人信息被泄露、被不当利用的风险急剧增加，相较于掌握大量信息，并能运用技术对各种细微信息进行跟踪、收集和分析的信息处理者来说，信息主体明显处于弱势地位。因此，为了信息主体能与之抗衡，法律在个人信息自决权的基础上，设置了诸多具体规则，“告知—同意”规则就包含在其中。

此外，个人信息自决权并不意味着对个人信息的绝对支配。德国联邦宪法法院作出的“人口普查法”系违反宪法的判决，是限定在特殊的背景之下的，即信息自决权仅针对国家强制性的信息收集行为而不涉及私法领域，且只有自动化处理之下，才“没有不重要的个人信息”，法律才给予特别关注，德国联邦宪法法院也明确拒绝一般性、绝对性的个人信息自决权。可见，法院并没有主张所有的信息收集与利用行为都侵犯个人信息自决权，都需要提供法律上的理由。个人作为人类社会中的一员，在社会中活动，与他人密切往来，在这些过程中所产生的个人信息很难说都归属于自己所有，如果要实行绝对的个人信息自决权，那么很有可能会给个人信息交流造成障碍，人们无法在社会中自由发展，人与人之间的沟通交流不再具有正向的社会价值，就容易造成社会秩序的混乱。同样，“告知—同意”规则绝不存在绝对的自由，其实施也需限定在一定的范围之内，在进行个人信息处理时，当有类似为公共利益所需要的法定豁免事由的出现，即可不必考虑信息主体是否同意。

三、“告知—同意”规则面临的困境

（一）信息处理者的告知困境

数字分析处理技术具有许多不确定性，甚至在做数据分析之前可能根本不存在什么目的，只是因为最终数据出现了相关性而创造出许多意想不到的用途。受限于“目的限制原则”，个人信息处理者仅能对已知的个人信息使用目的及过程进行告知，而对于一些信息处理过程中衍生出的创新用途或者潜藏的危害风险，亦要求其在收集和使用数据之前给出明确的目的说明，有些强人所难。

在个人信息流动中，往往牵涉多方利益。互联网企业所收集的用户个人行为信息只有在进行匿名化处理后，才能对其有完全的支配权，而这样的处理是经过数据中间商进行的，其会将用户个人在网络活动中的各种信息进行格式转化、内容萃取等操作，再将其打包转卖。[6]在这样的交易链中，互联网企业会为获得更多的商业利益而选择刻意隐瞒这一流通过程，且由于技术壁垒，有些小型互联网企业也可能很难发现第三方数据处理所存在的安全威胁，也就无从告知。

此外，尽管互联网企业声称已经对个人信息进行了匿名化处理，但也并不百分百地保证个人信息没有不被滥用和泄露的风险，大数据技术能够轻易对各种数据进行结合检验，从而重新识别出个人。而在我国的《个人信息保护法》中规定，匿名化后的个人信息因其无法识别出个人不属于个人信息的范畴，也就很难得到相应的保护，这种难以预测的风险存在显然给实施告知规则带来不小的挑战。

（二）信息主体的同意困境

同意规则成立的前提是，信息主体作为一个理性人在阅读并理解隐私政策内容之后，能够权衡利益得失从而作出选择。然而在现实情况下，这种前提却常常难以实现。2021年，光明日报与武汉大学法学院、网络治理研究院组成联合调研组针对App隐私协议存在的问题进行问卷调查发现，77．8%的用户在安装App时“很少或从未”阅读过隐私协议，69．69%的用户会忽略App隐私协议的更新提示。联合调研组还发现，大多数用户认为隐私协议内容文字过小，排版过密，且隐私协议充斥着大量专业法律术语，即使想阅读也因不理解而直接放弃。

试想，一个App隐私政策的长度及专业内容已足够让用户头疼，更何况一个用户可能要面对几十甚至几百个软件的隐私政策告知，这就很容易引发心理学上的边际递减效应。在前几次用户可能还会较有耐心地去细看隐私政策，越往后便越是麻木，为了能便捷地使用该APP，就直接点击同意了事。可见，用户连隐私政策都疲于对待，更别说能够进行利益权衡，因此，信息主体的同意行为在大多数情况下都不能说是理性的。

四、“告知—同意”规则的优化路径

（一）完善告知义务

数字经济时代，隐私政策内容不应当仅仅停留在告知采集、处理个人信息的方法与目的，还应当揭示采集、处理个人信息后所潜在的风险。web 3．0时代，多传感器信息融合已是大势所趋，电脑、手机、智能家居设备等多方平台都记载有我们的个人行为信息，互联网企业完全有能力将这些信息融合。这些融合后的信息可能会被用来构筑用户的数据画像，从而进行个性化服务、推送定向广告等等，类似的自动化决策是基于人工智能的运算，而运算难免出现偏差，严重的偏差可能会给用户带来隐私侵扰、价格歧视、广告骚扰等后果。因此，如若互联网企业需要同时通过多种设备来采集用户个人信息，则应当进行清晰告知，列明具体采集了哪些设备上的哪些信息，以及信息的使用目的及其经过人工智能处理而存在哪些风险。此外，对于数据流向第三方而给个人带来的信息安全威胁，互联网企业应当增加数据流通的透明度，在条款中必须明确数据流向哪个第三方，第三方处理目的、处理过程和潜在风险为何，充分保障用户的知情权，同时要限制第三方再将数据在企业和用户不知情的情况下超过处理目的再行转移使用。

此外，大数据处理技术背景下很难有绝对完美的匿名化，但匿名化在保护个人信息与促进数据价值中仍发挥着积极作用，所以，针对个人信息匿名化后仍存在安全威胁的问题，信息处理者可根据定期的可能风险评估保持动态化告知。定期的可能风险评估是指在特定情况下，对给定的匿名化信息是否有可能潜在被识别的风险的评估，每隔一段时间进行一次。当评估发现匿名化个人信息存在去匿名化的可能，且该信息处理可能对个人造成损害时，互联网企业应当有更严格的告知程序，即告知信息主体其个人信息正处于风险范围，其可以通过企业问询相关风险问题或直接对涉险的个人信息进行删除。并且，企业在及时将去匿名化的信息重新匿名化后，也应当将其操作告知信息主体。

（二）强化“同意”行为

人们难以在众多网络平台的隐私政策或个人信息保护政策告知中始终保持理性去阅读并作出“同意”行为，为解决这一问题，除了前面所述的在告知形式上下功夫外，人们的同意行为也需要作出适当改变，使信息处理者能从信息主体处获得更为审慎的同意，从而减少二者之间的纠纷。

一方面，根据《个人信息保护法》规定，对于不同类型的个人信息，同意行为应当有所区别。个人信息中的敏感信息因包含有生物识别、金融账户、行踪轨迹等十分重要的个人信息，很容易会导致信息主体的人格权益以及财产权益受到侵害，因此要单独征得信息主体的同意，即信息处理者需提供弹窗特别告知要收集、使用该类信息，由信息主体选择是否同意。对于个人信息中的非敏感信息，因其重要程度及受安全威胁的程度较低，只需征得信息主体的一般同意，即信息主体可通过阅读隐私政策后对该类信息进行“一揽子同意”即可，无需点击弹窗告知选择同意。另外，对于委托处理个人信息、向他人提供个人信息、公开处理个人信息、向境外提供个人信息以及收集个人图像、身份识别信息用于维护公共安全目的等其他对个人权益有重大影响的个人信息处理活动，都应当取得信息主体的单独同意。

另一方面，同意形式上可采用电子签名的办法，促进人们对于个人信息的处理能慎重对待。实践中，网络平台大都以点击同意选项的方式来取得用户的授权，这一点击方式在一定程度上能提高个人信息处理的效率，但却不利于用户准确表达自己的真实意思。而电子签名能使得同意形式更为严肃和正式，更能使人们意识到自己是在与网络企业签订一份合同，这份合同规定了自己与企业之间的权利义务分配以及双方所要承担的相关违约责任，从而提高对该同意行为的重视程度。并且，电子签名的形式多样，越是敏感的信息越应当采用更为严格的电子签名形式。

五、结语

迈入数字经济时代后，“告知—同意”规则无论是在告知程序上还是同意程序上都遭遇到了适用困境，如果不及时进行改良很容易导致该规则形同虚设，因此在寻找优化路径时也需分别从告知规则和同意规则这两方面入手，完善个人信息处理者的告知义务，对告知形式进行更新突出重点，强化对风险内容的披露。另外，强化个人信息主体的同意行为，通过分类型同意与电子签名同意的形式要求个人对待信息处理时能更为审慎，同时落实同意撤回权的行使更能为信息主体的同意提供一份保障。当然，“告知—同意”并非万能规则，要使个人信息得到更妥善的保护还需其他规则、原则的相互配合，并且不论是个人信息主体还是个人信息处理者都应提高保护个人信息的意识，在自己的能力范围之内认真履行自己的权利义务，由此个人信息保护才能真正赶上数字经济发展的步伐。