通讯录、社交关系的“双向性”特征及法律规则初探

编者按 与其他类型的个人信息相比，社交关系呈现出明显的“双向性”特征，因此其收集和使用规则面临着更为复杂的问题，日前垦丁律师张延来代理的法学博士诉抖音案中，北京互联网法院在一审判决中对此问题进行了着重阐释，值得业界参考，作为代理人也就这个问题继续做一些分析，供讨论。
个人信息按照现行法律的规定，其特征在于对信息主体身份的识别。而在林林总总的个人信息类型中，以通讯录、社交关系为代表的个人信息对主体身份的指向不是单独针对一个主体，而是双方主体，因此笔者在案件中提出社交关系的“双向性”概念，也就是说只有两个主体身份再加上两个主体间通过手机、社交应用等渠道建立起社交联系，才会形成一个完整的社交关系。
例如A和B是QQ好友，则首先要能识别A、B两个主体（不一定实名），同时A和B还应在QQ上互相建立了通信渠道，也就是A和B互相可以随时借助QQ与对方沟通、联系。手机通讯录的本质也是这样一种社交关系，只不过这种关系建立在手机这一通信工具之上。
在日常应用场景中，社交类及相关互联网应用往往要获取一方通讯录或者其他已经存在的社会关系信息，以便在当前的应用中进行好友匹配、推荐，让在其他社交渠道已经建立了社交关系的双方在当前应用中重新建立联系。此时的信息收集通常只面向社交关系中的一方，获得其同意后就可以查看通讯录或其他应用中的社交关系信息（例如QQ通讯录），于是问题就出现了，被收集的信息涉及双方主体，但同意和授权却只由一方作出，另一方的信息在其信息主体不知情的情况下也被收集了。
更值得一提的是，以手机通讯录为例，通常一个人的通讯录有上百个联系人，也就是上百个基于手机通讯录的社交关系，那只要这个人同意，这上百人的姓名、手机号以及他们与机主的社交关系就全部被第三方应用采集走。这上百人完全没有机会参与到个人信息授权的流程中来，他们是真正意义上“沉默的大多数”。
事实上，说“大多数”仍然是不准确的。我们的信息都不可避免地存在于其他人的手机里，其他人的信息也存在于我们的手机里。所以从全局来看，任何个体的信息都面临着被其他好友“出卖”的极大可能，只要他使用某个应用，就可能毫不犹豫地被“授权”出去，这种模式最终使得《网络安全法》、《消费者权益保护法》、《民法典》、《电子商务法》共同编织出的个人信息“先授权后使用”的规则变成了可以被彻底绕开的“马其诺”防线，即你本人同不同意没关系，只要搞定你好友就行，我们有那么多好友，第三方应用肯定能搞定一个。
对于这个问题，最直观能想到的策略是要求信息收集者必须在获得好友关系双方的授权之后方可收集和使用，但显然这种想法对网络服务提供者要求过于苛刻，也不符合借助通讯录进行裂变来依次建立社交关系的初衷。
所以，需要考虑在用户个人信息保护和商业创新发展之间寻求最大公约数。
这个公约数只能在通讯录和好友关系信息的收集、使用程度上找了，能考虑的维度包括：
1、对收集、使用目的进行限制
如前文所述，通讯录和社交关系的“双向性”特征，使得关系中的“另一方”几乎丧失了同意和授权的机会，因此必须对此类信息的收集、使用目的进行更加严格的限制，应当做到为实现应用基本功能所需才可收集，其他诸多完全不具备社交或通信属性的应用，如无特别理由不应查看和收集社交关系信息，这一个基本的前提性要求。
2、收集、使用、留存的方式和时间进行限制
对于符合上一条“必要性”的应用，还应在收集、使用过程中遵循“最小够用”原则，该原则在《信息安全技术个人信息安全规范》中5.2条有明确规定，简单理解就是最小频率、最小数量，例如如果应用服务收集到通讯录之后立即进行匹配和推荐是可以接受的（够用），但如果收集之后一直留存用于日后继续匹配推荐，则大大增加信息安全风险，也会让“沉默的一方”对自己的信息彻底失去控制能力。另外，“够用”还体现在可以将我推荐给好友而不是反过来把其他人推荐给我，因为授权用户更有权利将自己授权出去，而非把他人授权出去。所以单方授权情况下，推荐的方向性也应该明确，应该以授权方为原点对外推荐，而非将其他人默认为也接受同样的推荐方式。
3、给关系链中的双方主体一定的自主控制权限
应当为社交关系中双方主体设置一定的个人信息自主控制权限。
例如通讯录的控制者可以同意使用通讯录和撤回同意，可以选择是否接受对外推荐，关系中的另一方可以选择是否接收应用把其他好友推荐给自己等。这些权限的设置也可以在一定程度上恢复信息主体的控制能力，让信息主体在信息使用流程中有更多的参与度和话语权。
《民法典》将个人信息作为一项重要权益加以规定，《个人信息保护法》也呼之欲出，可以说公民个人信息保护的意识已经逐步觉醒，此时应当更加着眼于不同的具体场景、不同的信息类型，确立更加有针对性、有操作性且符合行业实践特色的规则和细则，在这方面，司法判例确实可以有效的弥补法律滞后于实践的不足，值得相关领域重视和研究。