隐私法体系下政策的合规重心转向：破解知情同意困局（下）——学术之星法律研究系列②

随着《个人信息保护法》的正式发布及实施，笔者关注到目前实践中出现的新型问题在于，隐私政策的“告知同意”流于形式，面对冗长且专业性强的文字，一般个体知情的充分性难以确认；面对强势且“不提供退路”的平台方，用户授权同意的自愿性也被架空。
这不仅使规范上的个人信息保护的目的落空，也让企业面临着无法确定自身合规义务是否充分履行的未知风险，因此，本文将对法律进行实质解读，融贯私法与公法的视角，通过梳理现实的困境并结合域外针对隐私政策性质的相关讨论，提出隐私政策的设计应作为企业在未来履行合规义务的关键环节之主张。
另外，笔者认为企业将“有效性告知”的落实作为未来隐私政策合规的改进方向，既符合宏观立法层面的规范保护目的，也有助于激活隐私政策的多重功能价值，可以使企业、个人、国家实现共赢。
说明：为便于阅读，根据私法与公法的两重视角，本篇文章分为了两期刊登。
目次
一、观察：知情同意规则与隐私政策实践的背离
（一）困境的产生：知情的鸿沟与同意的失灵
（二）困境的延续：强调知情同意的私法属性
二、观点：横跨公私法的个人信息保护合规命题
（一）私法视角：非平等主体的限制意思自治
（二）公法视角：超脱自决权的个人信息保护
三、实践：从表面的形式同意到过程的实质同意
（一）立足于合规：激活多种面向的隐私政策
（二）依托于场景：设计有效告知的隐私政策
结语
二、观点：横跨公私法的个人信息保护合规命题
（二）公法视角：超脱自决权的个人信息保护
公法的保护程度一直在“家长主义”与“自由之间”尝试寻找一个平衡点。一方面，以刑法为例，要求自身保持谦抑，并不能主动干预私人自由的领域，只能作为次级保障法；另一方面，当前置法无法实现规范目标时，公法也没有必要“原地不动”，而应当主动介入以填补规范与现实之间衔接的漏洞。
早在《个人信息保护法》出台之前，刑法第253条之一就明确了对于侵犯公民个人信息的行为应当予以规制，12一直引发争议的是关于本罪保护的法益究竟是什么。如刘艳红教授所言，“如此跨度广泛内容争讼不断的各种法益说，在具体个罪中非常少见。”13
主张个人法益的有力观点立足于人格权，14基于受保护对象是“个人信息”这一论证逻辑，当然地推导出本罪要维系的是个人对信息的控制属性，要保护的法益是“个人信息自决权”15。然而该观点存在一些难以回答的问题：是否人际交往（如称呼姓名）过程中任何使用个人信息的行为都必须通过“征求主体同意”才能合法化；以及是否每一个经手处理信息的个体都要获得特定信息主体的知情同意——按照这种逻辑进行推演的话，会出现很多超出常理的困境。如果依然维系效率优先，就必然会造成知情同意规则的架空；如果充分尊重个体决定，就会使用户陷入海量“隐私政策”中。另外，基于信息自决权或者信息自主控制模式推演出来的个人信息保护逻辑，建立在每一个根据“通知-同意”机制作出判断的人都是充分知情且理性的人，以至于能够对各种不同形式的个人信息收集、存储、使用和披露作出适当的决定；既有的对于个人信息自决权的强调，对于用户有过高的不切实际的要求，认为只要经同意，则风险自负，这显然没有办法对复杂成因下的知情同意困境给出破局之法，如知情同意的结构问题、主体的认知理性有限问题。
主张超个人法益的学者认为，之所以保留了个人信息之前的修饰词“公民”没有删去，就是在暗指本罪的法益还需要从公民社会、国家的角度去解释16。这种观点也为司法实践所确认，该判决指出“本罪名侵犯的客体不仅仅是公民个人的人身权利和民主自由权利，还包括社会管理秩序”17。宪法学者对隐私观的论述颇有启发，芦部信喜教授认为，广义的隐私包括自我决定权和对个人隐私的保护，前者强调对信息行使的积极自由，后者不仅是一种排除妨害的消极自由，且还具有请求公权力协助保护的积极侧面。18
关注到刑法对于侵犯公民个人信息罪的表述使用了“违反法律规定”作为前置性入罪条件，因此，提示我们应当将有关公民个人信息的交互行为不仅放在私主体之间来理解，更应该引入社会的判断视角。以德国1969年宪法法院审理的“人口普查案”19为例，判决指出，社会共同体对公民最基本的承认，就是对于尊严的确认，即国家不能在未经同意的情况下，仅仅将公民视为被管理的“客体”（object）——即使该项统计调查以匿名形式进行，也冲破了人的尊严原则；因为国家没有任何正当权利来侵入被保护的隐私领域，国家必须给个人留有一片私人领域，使其能够自由发展其独立人格，成为自己的主人。20
按照该项判决的理论，个人在社会日常交往生活中一定会形成自己的“人格图像”，在他人心中留下自己的“行为痕迹”，但是这些具有主体关联性的信息内容，尽管为他人所见、所知、所感，也依然属于“私人领域”的内容，并不为数据处理者所有，而是为数据主体所有。回到当下所处的信息社会中来，其实也只是“人口普查案”的历史重演。未经充分知情同意地获取抑或无底线地滥用信息，并非人类社会的新问题，只是数据的自动化处理技术，使得信息的形成和保存更加便利和快捷，但是隐私背后的权源则依然不变，是社会所必须要维护的人对于私人领域的“自主权”。
是故，在眼下的信息社会里，想要阻断人与人交往的联系来保护隐私是不切实际的，个人信息本身就有参与社会性交往的功能性一面，强调个人对信息的“决定权”是表象，真正的本质是确认个人对信息的“自主权”。
因此，在个人信息的保护问题上存在着非常有趣的逻辑，即不能对私域自主的保护采取完全的“自主”保护模式。一方面是个人表示不同意时，可以通过消极自由权对抗侵犯行为；另一方面，即使当个人表示同意时，考虑到个人的同意可能并非“真意”或并不“充分知情”，仍需要公法介入判断，相对方是否履行了期待其应当履行的保护义务。这也能够说明为什么本罪入罪的前置性条件不仅仅是“违背意愿”，而是“违反国家有关规定”。与欧盟的数据保护思路相同，我国也为数据处理者设置了一系列合规“义务束”，经权利人同意只是获取行为合法化的其中一个条件，仅是作为“符合国家有关规定”的情形之一，行为人并不能一劳永逸地主张“免责”，而是要主动地承担起自己应当承担的保护义务。
三、实践：从表面的形式同意到过程的实质同意
（一）立足于合规：激活多种面向的隐私政策
走出宏观的讨论议题，回到微观的实践运转。站在企业的角度而言，一份合格的隐私政策不仅是指被动根据法律法规的要求提交一份内容完善、结构清晰的“作业”，更应当站在用户角度通过积极合规义务的履行提交一份形式妥当、措辞扼要的“作品”。
其一，一份用户友好型的隐私政策，能够为企业建立良好声誉，从而吸引更多用户。近几年来，工业和信息化部积极开展各项纵深推进APP侵害用户权益专项整治行动，也在一系列治理工作中“点名”了诸多我们平时频繁使用的软件。在如今功能趋同近乎保护的市场上，用户选择下载并使用哪一类地图、拍照、外卖软件，非常关注的一点就在于信息隐私的保护程度。因此，一份用户友好型隐私政策，既能避免惴惴不安于受到合规整改的处罚，也能留下更加忠实的用户群。
其二，一份更加清晰扼要的隐私政策，也能够作为企业自我规制的章程。实践中，因为互联网“大厂”的部门分工细化，不仅是用户不会阅读冗长的文字，甚至连多数员工都并不了解具体的信息处理规则和信息用途。因此，从阅读者的角度出发起草隐私政策，能够让企业形成个人信息处理的整体图景，形成处理个人信息的统一流程。譬如，隐私政策的起草往往需要集结法务、技术、人力、业务等诸多部门相互讨论，才能拟定条款，这一沟通过程，有助于信息处理者形成公司内部处理个人信息的统一流程。
其三，回归到隐私政策的本质，作为沟通用户与平台的桥梁，有着天然的互动性。尽管客观上用户在下载和使用软件时，可能确实无瑕阅读细致的信息处理规则，但是当个人信息真的受到侵犯，如果平台此时可以提供一份更加完整的信息保护流程，如包括联系人信息、申诉步骤、获取个人信息副本的方式，那么就相当于为个体提供了一份维权工具书，也能够使企业的社会责任感得以彰显。
（二）依托于场景：设计有效告知的隐私政策
笔者认为，当下的问题在于过度强调“同意”的有效性，而将判断视角全部集中在了信息主体这一方；但是实践中，更好判断的是信息处理者是否实现了“有效告知”。因此，将告知与同意适度解绑，避免同意要求对于用户的不断“升级加码”，将合规义务是否履行作为关注重心，应作为未来信息保护的发展方向，而隐私政策的设计无疑是企业完成信息合规中非常关键的一环，且如上所述，有着诸多裨益，关键在于如何设计一份更为有效的隐私政策以解决现有的知情同意困境。
在内容上，优先提炼信息处理核心规则，即用户最关心的问题，包括但不限于：主要业务功能收集和使用的必要个人信息、敏感个人信息情况以及用户关心的权限调用情况等。并在敏感个人信息的旁边都批注相应信息被泄露后可能造成的风险，同时增设多个勾选框，由用户自主决定每一项是否授权。
在形式上，形成多样分层的告知机制，依然维持并注重隐私政策实现用户与平台关于风险事项的沟通属性，关注实质的沟通性而非形式步骤，可以采取包括但不限于：超链接、弹窗、加粗下划线等不同警示度的呈现形式。在用户实际使用过程中，如涉及获取敏感个人信息，可以在收集时跳出“弹窗”，并采用更加明显的颜色，以引起用户的关注，同时也能督促企业建立数据分类分级保护机制，并有助于企业内部对获取的数据次数、频次等进行留档。但也需要注意过多的“警示”可能会形成“警示疲劳”。
在具体呈现上，可以考虑将简化版隐私政策放到完整版隐私政策正文的顶部，或与完整版隐私政策以并列超链接的形式在弹窗中展示。但是，应当注意，对于简化版隐私政策需要在显著位置说明该文本仅为简化版，不应被视为对用户进行告知的完整文件，并指引用户在需要时应当阅读完整的文件。
在业务流程上，可以考虑根据不同的义务场景，将隐私政策与部门负责领域深度交融，将隐私政策作为信息处理者内部的合规指引，内嵌到信息处理的不同部门，成为产品设计的一部分。因为隐私政策合规属于产品合规的重要部分，仅凭文本内容的表面合规并不能确保企业充分履行了个人信息保护合规义务。隐私政策的合规，依赖于业务流、个人信息流的梳理工作，过程中需要进行充分的调查，确保摸清每个业务、功能或场景下的个人信息处理情况。因此，单纯通过套用行业标杆的模板，或简单地仅通过自动化工具进行检测，都不能保证企业的隐私政策符合法律法规的基本要求。
隐私设计（privacy by design）的概念为加拿大渥太华信息与隐私委员会前主席安·卡沃基安（Ann Cavoukian）提出，他主张，当企业从源头对信息收集与处理的方式进行把关，可以同时实现个人与企业的双赢。21在《一般数据保护条例》也采纳了“数据保护设计和默认数据保护”（Data Protection by Design and by Default, DPbDD）原则，即全面、提前、主动将隐私保护融入业务和各项数据活动（包括通知数据主体，数据主体的选择和同意，收集，使用、留存和处置，向第三方披露，个人数据跨境转移，数据主体有权访问）中，使得组织在隐私保护中取得主动地位。
我国已有企业开始了初步探索，如华为在其网站中披露的“华为云个人数据保护实践”中指出其在产品设计中通过采取主动通知、选择和同意、收集最小化原则等方式，实现对个人数据处理活动的完整保护流程，参见下图。22

虽然我国《个人信息保护法》目前尚未明确规定隐私设计规则，但是如果企业能够提前预判法律的未来走向，并与该趋势相合，将隐私政策视为企业自身“合规的名片”，并激活合规的多重功能，作为自我规制的章程、市场声誉机制的媒介、司法诉讼与行政执法的依据、沟通信任与隐私教育的工具，23定能使“字面上的文字”实现力透纸背的效果。
结语
在《个人信息保护法》所采取的公私法结合模式下，告知的合规义务兼具公法属性与私法属性，与同意并非一一对应的关系，其目的并非均为取得私法上的同意，也需要满足公法对于公民基本权利保护的要求。基于隐私政策在个人信息保护一般规则中的重要地位，因此，隐私政策的编制核心应立足于企业角度的告知，并形成“告知→充分知情→同意”逐层递进的合规结构。
注释：
[12] 2009年2月28日《刑法修正案（七）》第7条增设了“出售、非法提供公民个人信息罪”和“非法获取公民个人信息罪”。2013年4月23日最高人民法院、最高人民检察院、公安部发布《关于依法惩处侵害公民个人信息犯罪活动的通知》。2015年8月29日《刑法修正案（九）》将前述两罪整合为《刑法》第二百五十三条之一“侵犯公民个人信息罪”。2017年5月8日最高人民法院和最高人民检察院发布了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》。
[13] 参见刘艳红：《民法编纂背景下侵犯公民个人信息罪的保护法益：信息自决权——以刑民一体化及<民法总则>第111条为视角》，载《浙江工商大学学报》2019年第11期；刘艳红：《侵犯公民个人信息罪法益：个人法益及新型权利之确证——以<个人信息保护法(草案)>为视角之分析》，载《中国刑事法杂志》2019年第10期。
[14] 参见张明楷：《刑法学》（第六版），法律出版社，第1199页。
[15] 有学者将之表述为“个人对其自身信息的控制权，定性为人格权的一种……具体表现为信息主体对个人信息的知情权、修改权、收集同意权、披露权以及使用权等一系列权利。”参见刘金瑞：《个人信息与权利配置——个人信息自决权的反思和出路》，法律出版社2017年版，第2页；冀洋：《法益自决权与侵犯公民个人信息罪的司法边界》，载《中国法学》2019年第8期。
[16] 参见曲新久：《论侵犯公民个人信息犯罪的超个人法益属性》，载《人民检察》2015年第11期；欧阳本祺：《侵犯公民个人信息罪的法益重构：从私法权利回归公法权利》，载《比较法研究》2021年第3期；崔雪岩：《侵犯公民个人信息罪的法益确证》，载《河南工程学院学报(社会科学版)》2023年第8期。
[17] (2018)粤07刑终267号刑事裁定书。
[18] 参见[日]芦部信喜：《宪法》，林来梵、凌伟慈、龙绚丽译，北京大学出版社2006年版，第107-109页。
[19] 1960年，德国修改一项联邦普查法，该法原来规定定期收集日常的家庭和工作情况的统计资料，修正案要求另外收集每户人口的假期以及旅行的信息。其中一名居民因为拒绝此类信息，而被处以100马克的罚款，他就此罚款提起宪法诉讼，主张即使系为了公共统计之目的，强制披露个人信息的行为依然侵犯了其在《基本法》第1条所享有的宪法权利之一，即人格尊严。
[20] Microcensus Case(1969), BVerfGE 27, 1。案情介绍即判决的总结参见Donald P. Kommers, Russel A. Miller: The Constitutional Jurisprudence of the Federal Republic of Germany: Revised and Expanded, 3rd ed., Duke University Press, 2012, pp. 356-358.
[21] Ira Rubinstein, Regulating Privacy by Design, 26 Berkeley Technology Law Journal 1409 (2012).
[22] 参见网址：https://www.huaweicloud.com/securecenter/privacy/pbd.html；https://www.yicai.com/news/101155531.html。
[23] 参见丁晓东：《基于信任的自动化决策：算法解释权的原理反思与制度重构》，载《中国法学》2022年第1期，第99-118页；丁晓东：《隐私政策的多维解读：告知同意性质的反思与制度重构》，载《现代法学》2023年第1期，第34-48页。