张新宝 | 个人信息收集：告知同意原则适用的限制 | 比较法研究201906

【作者】张新宝（中国人民大学法学院教授，法学博士，网络和信息法研究中心主任，《中国法学》总编辑，中国法学会法学期刊研究会会长）

【来源】北大法宝法学期刊库《比较法研究》2019年第6期（文末附本期期刊要目）。因篇幅较长，已略去原文注释。

内容提要：利用手机App等互联网应用在收集用户个人信息时，应该对告知同意原则作出合理限制。具体而言，告知同意原则要受通信自由和通信秘密宪法权利的限制，要受隐私权的限制，还要受目的原则与必要原则的限制。因此，不能简单地以告知同意原则作为任何情况下不当收集个人信息的合格抗辩。在实践层面，对告知同意原则的合理限制，不应仅仅满足于对隐私政策的评估，更需要进行价值层面的衡量并做出执法和司法上的正确判断。同时，还可以从技术路径及信息主体的自主控制出发，加强对个人私密信息的保护，以实现信息主体个人权益与信息业者经营利益的平衡。关键词：个人信息保护；告知同意原则；通信自由和通信秘密；隐私权保护

 一

问题的提出

　　人类进入信息社会之后，如何在利用信息和保护自然人个人信息权益之间取得平衡的问题，在世界范围内引发个人信息保护立法热潮。及至我国，《全国人大关于加强网络信息保护的决定》、《网络安全法》、《民法总则》等均明确个人信息受法律保护，任何组织和个人需要获取他人个人信息的，应当依法取得，不得非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。对于“依法”与“非法”的判定，《网络安全法》第41条第1款划定了基本的边界，“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意”，也即我国个人信息收集、使用应遵循告知同意原则。

　　告知同意原则是指信息业者在收集个人信息之时，应当对信息主体就有关个人信息被收集、处理和利用的情况进行充分告知，并征得信息主体明确同意的原则。具体而言，告知即信息业者合理有效地使当事人了解其个人信息将会被如何收集和处理，该制度旨在实现信息业者收集和处理个人信息过程的透明化，以有利于当事人同意权之行使。告知同意原则源于人的信息自决权，同意乃信息主体个人意思自治的体现，能自主地对个人信息进行处分，恰如洛克在其《政府论》中所提及：“一切自然人都是自由的，除了他自己的同意以外，无论什么事情都不能使他受制于任何世俗权力。”

　　实际上，告知同意原则为全球范围内的个人信息保护立法普遍适用。20世纪70年代，国际社会关于个人信息保护的基本原则和理念初步形成。1970年欧洲的第一部个人信息保护立法《德国黑森州信息法》便将告知同意原则作为个人信息收集原则予以确定。1973年，美国政府成立的“关于个人数据自动系统的建议小组”发布“公平信息实践准则”报告，五项准则中便包含告知同意原则的内容，该准则在此后美国个人信息保护立法中具有关键性作用，基本确立了美国个人信息保护的基本框架，此后美国《公平信用报告法》、《儿童网络隐私保护法》等立法中均沿用了告知同意原则。除此之外，瑞典、奥地利、丹麦等国均在本国的个人信息保护的法律文件也有类似规定。

　　同时，告知同意原则也为个人信息保护相关国际性文件采纳。1980年，为协调数据跨境转移问题，世界经济合作与发展组织（OECD）颁布《关于隐私保护和个人数据跨境流通的指南》（以下简称《OECD指南》），指出在多数情况下个人数据的收集行为不仅要获得数据主体的同意，还要限于为实现征求同意通知书中所表明的目的之必要的最小数据量，且该数据在没有获得新的同意时不得用于其他不相关的目的。1981年，欧共体理事会颁布《关于个人数据自动处理过程中的个人保护公约》（以下简称《108号公约》），明确数据主体应有权知晓自动化处理个人数据的情形。1990年，欧共体委员会着手推动欧盟层面个人数据保护的统一立法，并于1995年发布《关于涉及个人数据处理的个人保护以及此类数据自由流通的指令》（以下简称《95指令》），明确数据控制者在获取数据主体明确同意后方可处理个人数据。近年，随着信息社会的进一步发展，上述文件纷纷进行了现代化更新，均保留或强化了告知同意原则的相关内容。2012年欧洲委员会修订《108号公约》，对于信息主体的同意作出了明确限制，即数据主体的同意必须是自由的、特定的、知晓的以及明确的、不含糊的接受。2013年，OECD发布《OECD隐私框架》对《OECD指南》进行大幅修改，但对告知同意原则相关内容予以保留。2016年欧盟颁布的《通用数据保护条例》（英文简称“GDPR”）不仅对告知同意原则做了进一步细化，增加了收集儿童数据时需要获取其监护人同意的特殊情形，还赋予了该原则以法律强制执行力度。由此可见，告知同意原则自发端以来便作为个人信息保护的基本原则，其内涵几乎是一脉相承，都反映了数据主体对个人数据享有自治、自决的权利。

　　但在实践中，信息业者将告知同意原则视为收集个人信息的“万能法则”，在个人信息收集活动中，存在不遵循告知同意原则，例如《华尔街日报》报道谷歌在美国21个州秘密收集了数百万份患者病历，谷歌多达150名员工可以访问这些数据，而医生和患者对谷歌这项计划都不知情。或者貌似遵循告知同意原则，但侵犯个人的通信自由和通信秘密、侵害个人的隐私权，或者曲解告知同意原则与其他原则的相互关系的现象。一些第三方应用软件如王者荣耀、腾讯视频、QQ音乐等登录时所唤起的微信登录授权页面均是默认获得“寻找与你共同适用该应用的好友”，即所要获取的“好友关系”并非是第三方应用软件提供服务所必要的，而一旦用户拒绝授权将无法使用该第三方应用。从表面上看，信息业者遵循了告知同意原则，实际上忽略了不同的权利关系之间因为内在的法理不一致，而不能通过统一适用告知同意原则得到豁免以及收集个人信息还需要符合正当目的和必要原则的问题。尤其是位阶低的法益不能用来对抗位阶高的法益。具体而言，民事权利（权益）不能用来对抗宪法保护的权利；同是民事权益中的个人的财产权益不能用来对抗个人的人格利益。告知同意作为一种民事法律行为不能为收集宪法保护的通信自由和通信秘密权利提供豁免，也不能通过收集个人信息获取经济利益而对抗个人的人格利益。因此，将告知同意原则作为信息业者在收集用户个人信息时的普遍“合格”抗辩，显然是不合理的。应当看到，“告知同意”作为个人信息业者的行为自由或者获取财产性权益的方式，要受宪法权利、民事权利和其他信息收集原则的限制。

　　本文不打算讨论信息业者收集个人信是否充分履行告知义务以及是否得到了信息主体同意的问题，而主要讨论哪些个人信息是不应当通过告知同意来取得，要对告知同意原则的适用范围进行限制，并探索这一理论的主要实现路径。限于篇幅原因，本文将重点讨论App等互联网应用收集用户“通讯录、短信、通话记录”等个人信息的情形。

 二

告知同意原则的适用受通信自由和通信秘密宪法权利的限制

　　（一）信息时代的通信方式

　　通信方式经历了三个历史阶段，即农耕时代、工业革命时代和信息时代的演变。通信方式在农耕时代主要表现为信鸽传书、驿站快马接力。进入工业革命时期，电缆技术的发展给通信带来了巨大的便利，电话、电报、广播成为人们主要的通信方式。到了信息时代，通信主要依托互联网技术来完成。与传统通信方式相比，信息时代的通信具备及时性、高效性、便捷性以及成本低等特性。不仅如此，通信方式在信息时代也变得多样化。信息时代的通信方式囊括传统通信方式和新型通信方式，新型通信方式出现了诸如微信、微博、脸书等极具沟通和分享功能的应用软件。然而，不管是在哪个历史时期，通信方式如何变换，人们对于通信的目的亘古不变：一方面是希望实现与人自由交流信息，另一方面又不希望通信内容被第三人知晓。

　　（二）作为宪法权利的通信自由和通信秘密

　　1.通信自由和通信秘密的含义

　　通信自由是指公民有通过传输媒介来表达自己意愿的自由，即公民可自由决定通信的时间、地点、内容和方式，通讯自由不受他人限制。通信秘密是指公民享有整个通信过程不被第三方知晓、刺探和侵扰的权利。不同于在公共场所里的信息交流没有秘密可言，通信主体之间的信息交流内容并不希望暴露于众，具有秘密性。因此，通信主体自由交流信息，又不希望第三人知道，这就是通信自由和通信秘密的本质所在。通信自由和通信秘密关涉人的尊严和隐私，属于个人人格自由发展的重要条件。对通信自由与通信秘密加以保护，既体现了国家对公民个人隐私权的保护，同时也是实现公民其他基本权利如言论自由和思想自由的一个重要形式。

　　2.作为基本权利的通信自由和通信秘密

　　自新中国成立以来，通信权利一直是宪法赋予公民的基本权利。如1954年新中国颁布的第一部《宪法》第90条第1款明确规定，“公民的通信秘密受法律的保护”；1975年《宪法》第28条规定，“公民有言论、通信、出版、集会、结社、游行、示威、罢工的自由，有信仰宗教的自由和不信仰宗教、宣传无神论的自由”；1978年《宪法》延续1975年《宪法》的规定。我国1982年《宪法》在总结前几次修宪经验的基础上，加强了对通信权利的保护。与此前的宪法规定相比，1982年《宪法》第40条不仅规定了对公民通信自由的保护，还明确规定了对通信秘密的保护，并以单独条款对通信权作出专门规定。可以看出，我国《宪法》的不断完善也使得通信自由和通信秘密作为基本权利的地位受到充分的重视和应有的保护。

　　各部门法在根本法的基础上，将通信自由和通信秘密的权利予以具体保护。如《刑法》第252条、第253条，《全国人大常委会关于维护互联网安全的决定》第4条第2项，《计算机信息网络国际联网安全保护管理办法》第7 条均规定了对公民通信自由和通信秘密权利的保护。

　　通信自由和通信秘密作为基本人权受到世界各国的普遍确认。如被誉为世界自由、正义与和平的基础的《世界人权宣言》第12条规定：“任何人的私生活、家庭、住宅和通信不得任意干涉。”《公民权利和政治权利国际公约》（以下简称《公约》）第17条规定：“任何人的私生活、家庭、住宅或通信不得加以任意或者非法干涉。”我国作为《世界人权宣言》的主要起草国之一，努力践行《世界人权宣言》的要求 ，积极保障本国公民的权利。尽管我国尚未批准《公民权利和政治权利国际公约》，但对于《公约》关于保护公民权利和政治权利的要求都无保留接受，中国宪法和法律赋予人民广泛的公民权利和政治权利，如通信自由和通信秘密，并且将不遗余力地在民主与法制建设道路上改善对公民权利和政治权利的法律保护，为我国加入《公约》及其后的履约创造良好条件。

　　（三）收集通讯录、短信内容、通话记录的行为性质

　　通讯录、短信内容、通话记录是否可以纳入宪法权利“通信自由和通信秘密”保护的范围之中？短信内容由于其包含通信具体内容，当然可以纳入其中。值得讨论的是通讯录和通话记录是否可以构成宪法意义上的“通信”。笔者认为，通讯录和通话记录在相当程度上可以构成“通信”。其理由在于，在传统认知中，宪法上“通信自由和通信秘密”所保护的似乎只是信封里面的信件内容，而并不必然包括信封上所记载的通信主体、地址等联络信息；或者说，传统上对于信件内容本身和信封所载之联络信息的保护程度存在一定的差别。一个十分容易在脑海中浮现的场景是：如果窥探某人信封中的信件内容，则当然会构成对于其通信自由和通信秘密的侵害；但如果仅仅是看到信封上的联络信息，似乎难以必然构成对通信自由和通信秘密的侵害。不过，这一认知有着深深的“前信息时代”烙印，原因在于，在以传统方式邮寄、递送信件时，信封所记载的联络信息是受限于其技术手段而不得不暴露于信封之上，而因为该联络信息暴露于信封之上这一事实，要“看到”该联络信息往往不需要采取积极的侵害行为，进而导致人们对于这一消极侵害行为的认定往往不自觉地会提高认定的门槛。可以通过想象一个场景来直观地体会这一细微差异：如果甲将其纸质信件放于其办公室的抽屉之中，乙未经甲同意，擅自打开甲的抽屉，拿出信封进而看到（阅读）了各个信封上的联络信息。那么，在这种情况下，即使乙没有查看信封之中的信件内容，恐怕我们还是会倾向于认为乙已经侵犯了甲的通信自由和通信秘密。换言之，传统宪法上的“通信自由和通信秘密”并不是不保护“与谁通信”这一权利内容，而只是限于当时的技术手段，暂时地无法给予“与谁通信”以完全的保护。但是，在信息手段下我们完全有技术能力来保护“与谁通信”这一权利内容。诚如日本学者所言，通信秘密不仅包括书信所写的内容、电话电报等谈到的内容，还包括了与通信本身相关的内容，包括信件电报收发人、收发时间、次数及电话通话人、通话时间、次数等。因此，通讯录与通话记录本身能够被纳入“通信”这一概念之中，也就不存在理论上的障碍。

　　那么，收集用户通讯录、短信内容、通话记录等信息的行为，是否已经构成对《宪法》所保障的通信自由和通信秘密权利的侵害？如前所述，通信主体对整个通信过程享有不被第三方知晓、刺探和侵扰的权利，通讯录、短信内容、通话记录属于通信主体交流的内容，是通信主体极不愿意公之于众或者说是不愿意让他人知晓的信息。如果通信主体的短信内容、通话记录能被第三方所知晓，意味着通信内容的秘密得不到保障，那么就会使通信主体谨慎地去限制通讯的对象和内容，通信自由也就无从谈起。又如通信主体的通讯录被第三方所收集，这不仅使得通信主体的秘密得不到保障，更会使通迅录上的联系人的秘密也得不到保障。毫无疑问，手机App等互联网应用擅自收集用户通讯录、短信内容、通话记录等信息的行为，已经侵犯《宪法》所保障的通信自由和通信秘密。

　　（四）宪法权利的优越地位与实现路径

　　信息业者收集用户通讯录、短信内容和通话记录等个人信息不能通过告知同意原则来主张免责。一方面，通信自由和通信秘密作为宪法保护的高位阶的权利，不应该受到简单告知同意法律行为的限制。宪法作为根本法，是实定法的基础与核心,在法律体系中处于最高的地位，这是宪法优位性的要求。通信自由和通信秘密作为宪法规定的公民的基本权利，作为绝对性和对世性的抵御权利，应该受到最高的尊重。我国《宪法》第40条仅规定了因国家安全或者追查刑事犯罪的需要经法定程序可以对通信进行检查，除此之外，任何因素都不能成为克减宪法权利的理由。其他法律规定尚不能成为克减宪法权利的理由，更何况是当事人的意思表示或双方的民事法律行为呢。因此，告知同意自然也不能成为克减宪法权利的理由。另一方面，告知同意作为实现经济利益的手段，不能用来抗衡宪法保护的人格利益。宪法的重要宗旨在于保障人权，最大限度地实现对人的尊重和关怀，实现人民的幸福生活。通信自由和通信秘密是宪法实现保障人权和对公民尊重、关怀的一种具体表现形式，具有人格利益。当宪法保护的人格利益与经济利益相冲突时，应当确认人格利益具备更高层面的利益，经济利益应该让位于人格利益。如德国学者迪里希所言，人的尊严不可侵犯是整个法秩序的最高构成原则。告知同意作为民法制度中实现经济利益的手段自然是不能用来限制宪法保护的人格利益的。

 三

告知同意原则的适用受隐私权保护制度的限制

　　（一）个人信息与隐私的关系

　　隐私主要包括私生活安宁和私生活秘密两个方面。个人信息被普遍接受为能单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。关于个人信息与隐私的关系，有学者认为既有明显的界分也存在部分重合的现象，当个人信息与隐私之间存在交叉关系时，制度的重心在于防范个人秘密不被非法披露。也有的学者认为个人信息可以归入隐私的范畴，不需对个人信息再单独作出规定。如按照Daniel J. Solove和Paul M. Schwartz的看法，个人信息本质上是一种隐私，法律上将其作为一种隐私加以保护，可以界定其权利范围。

　　笔者赞同前述观点，认为个人隐私与个人信息呈交叉关系，即有的个人隐私属于个人信息，而有的个人隐私则不属于个人信息（如个人想享有的私生活安宁不被他人打扰属于个人隐私，但却不属于个人信息）；有的个人信息特别是涉及个人私生活的私密信息属于个人隐私（如婚姻状况、身体健康情况、征信信息、行踪轨迹等），但也有一些个人信息因高度公开而不属于隐私（如姓名、性别、籍贯等）。个人隐私与个人信息交叉的部分就是个人敏感信息或者私密信息。

　　因此，私密信息既要受到个人信息的保护，还要受到隐私权的保护。适用个人信息的保护是一种弱保护，即有些一般个人信息可以通过告知同意来收集，有些甚至不需要告知同意也可能收集。例如某些公共路段安装了监控，行人信息将被自动收录，这个过程不需要告知行人，也不需要征得行人的同意。而隐私权作为一项具有排他性的人格权，相比个人信息保护是一种强保护，适用隐私权保护就不能仅通过告知同意来去攫取私密信息或者是隐私信息。个人信息是一种民事权益，而隐私权则是一种民事权利，从权利位阶上看，权利的位阶要高于权益，因此隐私权作为高位阶的权利，具有适用的优先性。或许正是基于这一原因，在我国司法实践中，法院经常采取隐私权的保护方法为个人信息的权利人提供救济。

　　（二）《民法总则》的制度安排

　　1.将隐私权作为重要的人格权加以保护

　　过去较长时间，我国都将隐私置于名誉权权利项下进行保护；2009年《侵权责任法》将隐私权作为一种独立的民事权利予以规定；2017年《民法总则》更是将隐私权上升至一项独立的人格权，与生命权、身体权、健康权、名誉权等人格权一并规定。可见，立法逐渐强化对隐私权的保护。

　　《民法总则》使得对于个人信息的保护和对于隐私的保护在民事权利一章里相遇：既设一个条文规定了对各种人格权利包括隐私权的保护，同时又设有专门条文规定对个人信息保护。可见，立法对隐私权和个人信息呈现出不同的保护路径。也就是说，个人信息的保护问题，如果落入了隐私权的保护范围，就要受第110条的保护，这就为敏感信息或者私密信息的保护提供必要的法律依据。

　　2.单独规定个人信息保护

　　尽管其他法律和立法性决定在此之前对个人信息保护作出过规定，但《民法总则》单独规定个人信息保护具有重要意义：首先，它从民事基本法的高度赋予自然人个人信息权益，也为个人信息保护在民法典人格权编里进一步细化，以及与侵权责任编、个人信息保护法相衔接奠定了基础。其次，它将个人信息保护与隐私权保护区别开来，使得个人信息保护获得独立的地位及救济基础。个人信息保护在民法领域的这一“成长”过程，与隐私权在我国立法和司法实践中的发展轨迹是极为相似的。尽管个人信息与隐私特别是私人信息类隐私有诸多重合和交叉之处，个人信息中的敏感信息往往也是隐私权保护的客体，但是，隐私权制度和个人信息保护制度毕竟有实质的差异性，这一差异主要体现在个人信息经过去个人化处理后的合理利用问题，以及与此关联的数据财产保护问题之上。

　　在欧洲经典民法典中，无论是《法国民法典》《德国民法典》《瑞士民法典》还是《荷兰民法典》都受制于当时的社会需求，没有也不可能对个人信息保护作出规定。在欧盟国家，个人信息保护形成了专门的法律体系，但基本上游离在民法体系之外。而美国则是将个人信息保护纳入隐私权保护体系，形成美国分散立法模式。我国台湾地区关于隐私权（尤其是信息隐私）保护已形成一个基本规范架构， 即以“个人资料保护法”作为基本规范，并选择若干重要个人资料在相关的法律加以规定，而建立了渐臻完备的法律秩序。不难发现，我国台湾地区似乎也采用隐私权吸收个人信息的保护模式。从比较法的角度来看，我国《民法总则》第111条从民事权益的角度保护自然人的个人信息，还规定了其他人的相关作为和不作为义务，这一制度安排不失为民事立法反映社会需求的一个创新之举。

　　（三）民法典人格权编的制度安排

　　1.在体系上沿用了《民法总则》的规定

　　从人格权编二次审议稿和三次审议稿对隐私权和个人信息的制度设计来看，人格权编对隐私权和个人信息保护都是分不同条文加以规定；另外，人格权编亦是将隐私权置于个人信息之前优先保护，突出隐私权的优越地位。这在体系上承接《民法总则》的制度安排，具有较高统一性。值得注意的是，隐私权与个人信息并没有分开在不同的章节进行规定，而是置于同一章节内分不同条文进行规定，类似于第三章的姓名权和名称权、第五章的名誉权和荣誉权，是因具有高度相关性才规定在同一章里。可见，人格权编制度的设计还有意反映隐私权和个人信息之间的高度相关性。

　　2.在内容上对隐私权和个人信息作了更全面的规定

　　《民法总则》第110条和第111条分别规定了隐私权与个人信息保护的基本内容，具有高度概括性。人格权编草案三次审议稿（以下简称“草案”）在总则的基础之上，对隐私权及个人信息的内涵、范围、保护方式等作出了细致的规定。一方面，为了加强对隐私权的保护，草案第811条规定自然人的隐私权是一种排他性的权利，即“任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权”；还明确规定“隐私是自然人不愿为他人知晓的私密空间、私密活动和私密信息等”。另外，草案通过设置不完全列举加兜底条款的方式，为目前尚未考虑到的以及未来可能会出现的新型的侵害个人隐私的行为之规制作了制度空间的预留，保持了权益保护的开放性，如此基本上构建了我国隐私权保护的法律规则。另一方面，草案在第813条统一了个人信息的概念内涵，明确规定：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱地址、行踪信息等”；还规定了收集个人信息的具体原则，信息主体享有的权利（如信息可携带权、更正权）以及收集个人信息的免责事由等，为使个人信息的保护得到更好的贯彻和实行提供了基础。

　　3.在隐私权与个人信息之间建立了一个制度桥梁——私密信息

　　《民法总则》用单独两个条文分别对隐私权等人格权的保护和对个人信息的保护加以规定，使得两个条文看似具有紧密联系，实际上又存在很多差异，但是《民法总则》对此并没有作出解释。然而，人格权编草案在个人信息与隐私权之间建立了一个制度桥梁，那就是“私密信息”。

　　（1）“私密信息”“敏感信息”“具有私密性的私人信息”的概念界定

　　对于个人信息与隐私权交叉的部分，人格权编草案二次审议稿第811条第2款使用了“具有私密性的私人信息”的表述，草案里则使用了“私密信息”的表述。而在此前，相关个人信息保护规范一直使用“个人敏感信息”的概念。自我国首部个人信息保护国家标准《个人信息保护指南》使用了“个人敏感信息”的概念以来，其后发布的个人信息保护国家标准及相关规范性文件征求意见稿也都延用了“个人敏感信息”的概念那么，“敏感信息”“私密信息”和“具有私密性的私人信息”这三个不同的概念具有何种联系？笔者认为，它们都属于个人信息，但是属于个人信息中比较特殊的部分，都涉及到了个人的隐私。从概念上看，个人敏感信息是指关涉个人隐私核心领域、具有高度私密性、对其公开或利用将会对个人造成重大影响的个人信息。私密信息，顾名思义就是与个人密切相关，隐私度高，个人极其不愿意将其暴露于公众视野之中的信息。私密信息是“具有私密性的私人信息”的提炼版。因此，从本质上而言，三个概念都是指信息主体不愿意为他人知晓的信息。尽管在概念上面可能不统一，但实际上表述的意思都是一致的，本文依习惯采用“私密信息”的表述。

　　（2）人格权编草案加强对私密信息的保护

　　人格权编草案之所以要出现“私密信息”概念，就是要强调对这一部分个人信息的特殊保护。个人信息保护法立足于对个人人格尊严和自由的保护，对人格尊严和自由的保护属于立法追求的目的价值，而对个人信息的利用则属立法追求的工具价值。相较之下，目的价值应优先于工具价值。大数据时代并没有削弱个人私密信息保护的基础价值，而我们更应在保护的种类和方法上予以变更，以回应时代的发展。

　　对于私密信息的保护规则，从比较法上的经验来看，欧盟在明确界定私密信息标准的基础上，原则性禁止对个人私密信息的收集和处理。例如德国立法明确列出了种族、宗教信仰、犯罪记录、政治观点等属于禁止收集的私密数据。而美国则认为数据并非本质上就是“私密的”，而是因为它们的内容和用途才具有私密属性，因此，美国的法律没有对私密信息作出明确的界定，而是在分散的法律中来加强对其的保护。但是，也存在一些类似的限制性规定，体现在不得以私密信息作为做出某些决定的依据，否则将被视为歧视性决定。例如，在美国征信行业中，征信机构虽然可以收集种族、国籍、婚姻状况等私密信息，但是不得进行传播，也不得在进行信用计分时加以考虑或计算，否则会被联邦贸易委员会视为歧视性决定而受到惩罚。

　　至于私密信息需要特别保护的原因，正如我国台湾地区学者所言：“DNA、病历、前科等公共性低、私密性高之资料，多属个人不欲为人所知之私生活领域资料，如他人得滥行搜集或利用，将造成该个人精神不安或被贴标签而致人格受损。”还有学者则更加明确地指出：“由于私密数据是个人数据中风险因素较大的部分，它的公开和传播不仅带来狭义的隐私权侵害，而且还带来政治或社会上的歧视，妨害人的尊严和基本权利，因此需采取比一般个人数据更加严格的安全措施。”美国法院对hiQ v. LinkedIn案的判决给我们的启示是，信息的性质往往决定了刑事法上对授权范围和有效性的认定，信息的独占性和价值越弱，法益的重要性就越低，其授权主张被刑法所保护的必要性就越小。也就是说，信息的性质往往决定其受到法律保护的程度。在刑事上如此，在民事上也是如此。作为人身专属性、独占性强的权益，私密信息若被非法收集或滥用将对个人的人身和财产带来极大的影响，因此，私密信息较一般个人信息而言具有更高的法益。那么对私密信息的授权范围和有效性的认定也应该高于一般个人信息。可见，某些信息具有高度私密性，一旦泄露可能导致人格受损、引发歧视和妨害人格尊严，是需对其进行特殊保护的根本原因。

　　（3）收集私密信息受到隐私权的限制

　　个人信息不仅具有人格尊严和自由价值，经过处理后还具有商业财产价值。在个人信息商业化利用的过程中，信息业者收集一般个人信息时，告知同意作为合格手段当无疑问。然而收集个人私密信息时，告知同意是否还是合格依据？

　　从价值衡量上看，个人私密信息的人格权益高于财产权益。有数据显示，收集单个个人的私密信息获取的财产利益微乎其微。例如，暗网一交易帖子号称其所贩卖的数据包含了16亿邮箱+密码数据，从商品单价来看售价为0.0005比特币，即价值3.25美元（约合人民币22元）。从“江阴市人民检察院诉被告人邱某某等侵犯公民个人信息案”又可以发现，被告人购买了他人利用黑客侵入手段获得的各类公民个人私密信息共计210余万条，后贩卖非法，获利人民币1300元。尽管非法产业链下信息交易不受法律的保护，但从中却能反映出个人信息的售价如此低廉。在实践中，绝大多数信息业者还能免费获取个人信息。而个人私密信息是与信息主体密切相关，是不想让他人知道的特定信息，且是关涉自然人人格尊严和自由以及财产安全的重要信息。以短信内容为例，短信内容覆盖个人生活的方方面面。掌握个人的短信内容不单极易还原个人的人格特征，从而使个人的行为计划暴露于外，影响信息主体的行为自由。不仅如此，还有可能暴露个人的财产信息，威胁财产安全。在当代民法中，人格权的地位已经越来越凸显，形成了与财产权相对立的权利体系和制度，且相较而言更加重要。个人信息的人格利益是其所追求的或者所凝固的核心价值，深刻地影响着个人信息保护制度的生存与发展，也是制度利益的根本属性的体现。因此，相比个人私密信息潜在的财产价值，人格尊严和人格自由方面的利益显然更高一筹。

　　从法律体系安排上看，《民法总则》对人格权的制度安排优先于财产权。《民法总则》第1章“基本规定”的第2条规定“民法调整平等主体的自然人、法人和非法人组织之间的人身关系和财产关系”。法律制度是理性构建的产物，也是利益平衡的产物。将“人身关系”置于“财产关系”之前，突出了民法构建制度上的价值选择，即优先保护个人的人身权益。《民法总则》第5章“民事权利”中第110条规定的是人格权利的保护，第127条规定的是对财产权利的保护。显然，人格尊严作为法律保护的更高价值，应当具有优先于财产利益和私法自治的价值。将其作为重要价值加以保护，也体现了民法的现代性。

　　因此，从价值衡量和民法制度上的安排可以看到，人格权益高于财产权益，即私密信息所蕴涵的人格权益高于其潜在的财产权益。当信息业者在收集个人私密信息时，告知同意作为信息业者实现经济利益的手段，并不具有普遍的合格依据，因而不能以告知同意来限制或者侵害他人的人格权益。也就是说，告知同意是一种弱保护，不能为收集私密信息提供必要的保护，收集私密信息应该适用隐私权保护规则。

　　（4）通讯录、短信内容、通话信息构成个人私密信息

　　通讯录、短信内容、通话记录等记载着通联双方的号码信息、姓名、通讯内容、社会交往网络等十分私密的信息，这些信息是个人通常极不愿意公开的。可以试想一个场景，如果一个自然人与哪些人曾经有过接触、其在某个具体的时间点与哪些具体的人有过何种方式的接触、接触的内容具体为何，这些信息都被第三方主体所清晰掌握的话，那么这样的场景无异于是对该自然人的一种“立体跟踪”。这将对自然人造成极大的恐惧心理与不安状态。目前尚在审议中的《民法典人格权编（草案三次审议稿）》第811条第2款规定，“隐私是自然人不愿为他人知晓的私密空间、私密活动和私密信息等”。从此规定来看，隐私的特征是具有相当的私密性。通迅录、短信内容、通话记录等由于存在于双方的互动关系中，能够反映出该通讯主体的不愿意为他人所知晓的社会交往情况，可以满足“私密性”这一要求，构成个人隐私。需要进一步指出的是，对于通讯录而言，其是各条通讯名片的集合，还关乎着他人不愿向第三人展示的私密信息，信息主体无权处分他人的私密信息，因而通迅录还是信息主体明确表示同意后也不能收集的私密信息。因此，收集个人通讯录、短信内容、通话记录时仅仅遵循告知同意原则是不够的，还应当遵循隐私权的保护规则。对某项涉嫌侵害该信息的行为只有在既满足个人信息权益侵害抗辩，又满足隐私权侵害抗辩的情况下，才能够真正免责。

　　综上，我国已有立法及法律草案重视对隐私权及个人信息的保护，尤其是重视对个人私密信息的保护。私密信息是个人信息与隐私交叉重叠的部分。这一部分既要受到个人信息的保护，还要受到隐私权的保护。当两种适用规则发生聚合时，需采取“就高不就低”的原则，适用于比“告知同意”更严格的标准，如此方能最大限度地保护信息主体的权益。

 四

正当目的原则和必要原则对告知同意的限制

　　（一）正当目的原则、必要原则与告知同意原则的关系

　　从我国有关个人信息保护的立法及国家标准文件来看，对个人信息保护的基本原则体系已经达成了初步共识，即个人信息保护的原则分为基本原则和具体原则。基本原则是具体原则的上位原则，指导具体原则的实践。具体原则是基本原则的具体化，配合基本原则的实施。不同层级的原则之间是指导与被指导的关系，相同层级之间是平行且互为补充的关系。

　　全国人大常委会《关于加强网络信息保护的决定》第2条表明：正当目的原则、必要原则与告知同意原则的关系，或是平行关系，或是指导与被指导的关系。当正当目的原则、必要原则与告知同意原则是平行关系的时候，相同层级之间是互为补充制衡的关系，在信息业者收集个人信息时，除了要受到告知同意的限制以外，还要受到目的原则和必要原则的限制。当正当目的原则、必要原则高于告知同意原则时，正当目的原则和必要原则作为基本原则指导告知同意原则的具体实施。信息业者在收集个人信息时，就需要先考虑目的正当性和必要性。只有在符合正当目的原则和必要原则的前提下，才能去考虑获取信息主体的同意。如果收集个人信息与使用目的无关，那就失去了要求信息主体同意的前提，如2015年荷兰数据保护局对谷歌数据融合事件的调查报告所指出的，“谷歌隐私政策中所阐述的目的是含糊不清的，违反《荷兰数据保护法》第7条；谷歌与被动用户之间不存在合同关系，但却收集了被动用户的个人数据，违反了必要原则”。谷歌数据融合事件表明，即便用户同意谷歌的隐私条款，但由于隐私政策本身违反目的原则和必要原则，谷歌收集用户信息的行为也不能合法。

　　总之，正当目的原则、必要原则与告知同意原则的关系，或是平行关系，或是指导与被指导关系。平行时，是互为补充的关系；于指导与被指导时，首先需要先考虑目的正当性和必要性。但无论正当目的原则、必要原则与告知同意原则是何种关系，正当目的原则、必要原则与告知同意原则都应当是结合适用，且告知同意原则都要受这两个原则的约束。

　　（二）告知同意原则受到正当目的原则和必要原则的限制

　　个人信息保护的原则并不是孤立适用的，基本原则与具体原则共同构成一个有机、协调的整体，控制收集、使用个人信息的整个过程。任何法律原则的使用都是有前提的，都需要与其他的原则相配合，或者是受较高位阶原则的制约，或是与同位阶的原则的相互制约。然而，在实践中过度强调告知同意原则在收集个人信息中的作用，不免让原则体系的天平出现倾斜，破坏了原则体系的立法平衡状态。应当看到，告知同意原则的适用，需要受到其他原则的限制。

　　1.告知同意原则要受到正当目的原则的制约

　　何谓正当目的原则？从国外立法来看，为全球个人信息保护原则奠定基础的《OECD指南》在第9条（Purpose Specification Principle）将正当目的原则定义为收集个人信息应当与使用的目的有关。2013年修订后的《OECD隐私框架》对信息收集的目的进行了严格的限制，从反向角度定义目的原则，即“违反法律规定的强制性限制不能收集个人数据”，政府收集个人信息的还需要再满足“不能超过法律授权的范围、具有合法目的”。欧盟的《通用数据保护条例》强调正当目的原则是指“个人数据的收集应当具有特定、明确且合法的目的，对个人数据的处理不应当违反初始目的”。从国内立法来看，2012全国人大常委会《关于加强网络信息保护的决定》首次对“正当目的原则”作了规范的表述，但却没有说明该原则的具体含义。正当目的原则的具体规范也见于有关个人信息保护的国家标准文件上，例如，《信息安全技术个人信息安全规范》第4条b项规定，“具有合法、正当、必要、明确的个人信息处理目的。”不难看出，我国国家标准在一定程度上吸收了国外正当目的原则的有关规定。

　　综观国际和国内有关的个人信息保护立法，目的正当性的要素包括：相关、特定、明确且合法。其中，“相关”是指信息业者收集的信息必须是与其提供的服务有关。“特定”是指目的应当在不迟于收集个人信息时确定下来，还意味着对目的描述必须提供足够的细节，使之具备辨识度。目的特定反映出信息主体对可预见性的期待，信息处理应当可由信息主体所预见，并且不得超出其合理预期。“明确”则是指，目的特定化之后，还应当明白无误地展现出来，应当尽量确保信息主体、信息控制主体乃至其他利用个人信息的第三方都能够对该目的具有一致的理解。这就要求信息控制主体在履行告知义务时，披露足够多的细节，以使双方能对约定目的和个人信息可能的使用范围产生一致的认识和预期。倘若对目的的规定过于简单、宽泛，如“提高服务质量”，就会使个人信息在一个极其宽广的范围内被使用，由此而产生的不确定性和风险敞口太大。“合法”是指收集个人信息必须符合相关法律法规的规定，不违反法律的禁止性规定。欧盟《通用数据保护条例》第6.1条对个人信息收集的合法性依据作了详细的规定：“（1）履行数据主体是一方当事人的合同，或为应签订合同之前数据主体的要求而采取措施之必要；（2）数据控制者遵从法律义务之必要；（3）为保护数据主体或另一个自然人核心利益之必要；（4）为履行有关公共利益或行使经官方当局授权于数据控制者的任务之必要；（5）数据控制者或第三方追求合法利益之必要，除非这些利益被数据主体要求保护个人数据之利益或基本权利和自由所超越，尤其当数据主体是儿童时。”

　　告知同意原则受正当目的原则的限制。这就要求信息业者收集数据之前，须确保收集信息的目的是具有正当性的，即收集的信息与提供服务具有相关性、特定性、明确性且合法性。除此之外，需要指出的是，正当目的原则应该合乎宪法规定，因为宪法规定的基本权利是设立主体权利、客观法律规范和一般解释原则的基础，对一切国家权力和国家机关具有直接的约束力，民法也不例外。例如，宪法保障公民的通信自由和通信秘密，禁止任何组织或者个人以任何理由侵犯公民的通信自由和通信秘密，收集个人信息只有在遵守通信自由和通信秘密宪法权利保护规则的情况下才具有正当性，才能在此基础上要求告知同意。又如宪法保障公民的人格尊严和人格自由不受侵犯，收集个人信息应合乎自然人基本的人格自由和尊严，否则将不具备收集的正当性。除符合宪法规定外，还应符合民法上的基本原则的规定，如公序良俗及诚实信用原则。就公序良俗原则而言，“裸贷”是非法分子借用互联网金融和社交工具为平台和幌子，以让贷款人拍摄“裸照”作“担保”，非法发放高息贷款的行为，以“裸”换“贷”，违反民法基本原则公序良俗的规定，当属无效。就诚实信用原则而言，信息业者在明确其与提供服务有关的个人信息收集范围后，应当言而有信，遵守双方对信息收集目的的约定，不应该收集与提供服务无关的个人信息。如新浪微博诉脉脉案，法院认定脉脉未经新浪微博用户的同意及新浪微博的授权，获取、使用脉脉用户手机通讯录中非脉脉用户联系人与新浪微博用户对应关系的行为，违反了诚实信用原则及公认的商业道德，破坏了0pen API的运行规则，最终判决脉脉败诉。因此，收集个人信息要确保收集信息的目的符合宪法的规定以及民法原则，不得违背公序良俗和违反诚实信用，只有如此才能最大限度地保证收集目的的正当性。具备目的正当性的前提下，才能确保告知同意原则的正当性。

　　2.告知同意原则要受到必要原则的制约

　　必要原则是指在从事某一特定活动可以使用也可以不使用个人信息时，应尽量不使用；在必须使用并征得权利人许可时，要尽量少使用；获取的信息量，以满足使用目的为必要；为达到目的只需要使用权利人的非私密个人信息的，就不应该扩大信息收集和使用的范围。《OECD指南》第7条规定：“个人数据的收集应受限制……”尽管条文较为抽象，这里对“限制”可以理解为收集行为应当限于实现特定目的的最小必要限度。《108号公约》第5.3条c项对必要原则的概念表述为：“充足、相关、不过量的，并且限于上述目的的最低必要限度。”《通用数据保护条例》第5.1条c项对必要原则的表述是：“数据应是充足的、相关的并且限于数据处理目的最小必要范围。”反观我国，《电信和互联网用户个人信息保护规定》第9条第3款明确规定“电信业务经营者、互联网信息服务提供者不得收集其提供服务所必需以外的用户个人信息或者将信息用于提供服务之外的目的。”《网络安全法》第41条第2款明确“网络运营者不得收集与其提供的服务无关的个人信息”。《信息安全技术个人信息安全规范》第4条d项规定：“除与个人信息主体另有约定外，只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量。”从国内外立法看出，必要原则具体包含充足、相关、不过量等要素。必要原则也应符合信息收集的比例原则。比例原则要求信息业者在收集个人信息时应兼顾收集目标的实现和保护信息主体的权益。

　　告知同意原则的适用受必要原则的限制。这就要求信息业者收集个人信息时，需要确保所收集的信息是实现其服务功能的最少信息。首先，收集的信息对实现正常服务而言是“充足”的，即信息业者收集的个人信息是保障某一服务类型正常运行所必需的个人信息，一旦缺少将导致该类型服务无法实现或无法正常运行。其次，收集的个人信息只能是用于与提供这项产品和服务密切关联的，例如一个导航App就不能去收集个人的通讯录、短信内容；一旦收集就明显违反了必要原则中的相关性。最后，应确保收集的个人信息“不过量”，即要求信息业者对信息的收集必须对实现其目的是必要且必需的，信息业者不能无限宽泛地去设定自己的营业目的，应当对营业目的作出必要的限制。在这一点上，2019年8月全国信息安全标准化技术委员会秘书处组织起草的《信息安全技术移动互联网应用（App）收集个人信息基本规范（征求意见稿）》，明确列举了21款常见App的服务类型以及服务类型对应的最少使用信息，且当用户同意 App收集某服务类型的最少信息时，App不得因用户拒绝提供最少信息之外的个人信息而拒绝提供该类型服务。因此，只有在收集信息符合必要性的前提下，告知同意才能变得有意义。

 五

执法检讨与改进：不应满足于“隐私政策”评估

　　（一）“告知同意原则”存在被滥用的现实风险

　　目前所谓的“已获得用户同意”（告知同意原则）存在着被滥用的现实风险，这主要体现在以下方面：

　　首先，很多情况下，手机App等互联网应用所谓的“告知”并不是真正的告知。这主要是指手机App等互联网应用在其格式化的“告知”过程中，只是机械地将一份早已拟就的、目的仅在于规避法律风险的所谓“告知”文件呈现在用户面前。真正的告知应当是指行使告知的主体将其内心真正的意思完整、准确、具体地告知用户。否则，这一所谓的告知过程就仅仅是形式，而如果肯认这样一种“走过场”的告知可以产生完全的抗辩效力，就无疑是赋予了信息业者完全规避法律监管的特权，这显然不是立法的本意。

　　其次，很多情况下，用户的“同意”并非真正的“同意”。一个不容忽视的现实是，在极大多数情况下，用户只要不同意手机App等互联网应用所要求的概括同意，就完全无法使用或在相当程度上无法使用该App的服务。在这一事实情况下，用户的“同意”只是一种无可奈何、不得不作出的“同意”，难谓用户的真实意思表示。

　　最后，不乏大量手机App等互联网应用采取隐瞒方式获取用户同意的情形。这是指一些手机App等互联网应用虽然在个人信息或隐私条款中详细罗列了其要收集的个人信息的范围、用途等需要用户予以同意的具体内容，但是其实际收集、上传、储存、使用的个人信息及其用途却与同意条款中的情形并不符合。用户在具有极大技术劣势的情况下，对于这样一种欺诈行为可以说是毫无招架之力。

　　（二）监管部门未能全面正确理解和适用告知同意原则

　　为了规制手机App等互联网应用滥用“告知同意”原则大肆搜集个人信息的问题，相关部门纷纷开展对隐私政策的评估工作。2017年7月，由中央网络信息办公室、工业和信息化部、公安部、国家标准化委员会等四部委组成的专家工作组对一些企业网络产品和服务的隐私政策展开了评审。2018年12月，全国信息安全标准化技术委员会在北京召开隐私条款专家评审会，会上专家依托隐私条款专项评审“工具”对第二批40款互联网产品和服务的隐私条款进行评审。另外2018年8月，中国消费者协会对百款App开展个人信息保护情况测评活动。2019年1月25日，中央网信办、工业和信息化部、公安部、国家市场监管总局联合发布公告，开展App违法违规收集使用个人信息保护专项治理行动，其中治理的重点内容便是对千款用户数量大、与民众生活密切相关的App隐私条款和个人信息收集使用情况进行测评，可见虽然监管部门一定程度上转变了监管思路，但隐私政策的评估和审查，也仍然是监管的重点内容。可见，我国网络信息监管部门主要通过对隐私条款的审查，来达到安全规范信息业者收集个人信息的目的。

　　在尚未出台个人信息保护法的背景之下，相关监管部门开展的隐私政策评审工作，对于减少互联网企业滥用“告知同意”原则收集个人信息的行为、推动互联网企业提高个人信息保护力度、保障信息主体的真实意愿，起到了重要作用。但是，监管部门对告知同意规则的认识仍然存在偏颇。具体而言，监管部门仅仅停留在审查信息业者在收集个人信息时有没有设置隐私政策，或者是隐私政策的设置是否符合收集个人信息的相关原则，并没有充分认识到告知同意的合宪性合法性以及与其他原则的相互关系。应当看到，告知同意原则要受到通信自由和通信秘密宪法权利的限制，要受到隐私权的限制，还要受到正当目的原则与必要原则的限制。只有全面准确认识和理解告知同意原则受到的限制，才能正确指导实践。

　　一方面，未来监管部门对隐私政策的评估，不能只局限于考察有没有隐私政策，以及其隐私政策是否符合评估标准，更重要的是区分哪些信息是不能收集的，哪些信息是即便履行告知同意也是不能收集的。另一方面，网络监管部门要严格地执法，对违规收集个人信息的行为不能仅限于责令下架整改，更要和企业信息信用系统关联，向社会公示企业违规收集行为，以此达到强化监管的目的。

　　（三）互联网企业未能全面正确理解和遵守告知同意原则

　　互联网企业一方面为了主动迎合信息时代的发展，另一方面是迫于被下架整顿的压力，不断调整向用户告知的方式。

　　在“告知”方面，相比传统的一键式授权隐私政策的模式：一是增加了弹窗等增强式告知的方式，该方式浓缩了隐私政策的核心内容，向用户展示了收集的个人信息类型、目的等用户最关心的事项……例如，某导航App采用图标简略告知的方式，免去繁杂的告知条款，让用户对收集信息类型一目了然。二是增加了即时提示，即在用户使用过程中以即时通知的方式向用户提供关于具体个人信息处理行为的提示。通常是及时告知用户，信息业者正在处理用户的私密信息，比如iOS标题栏显示正在使用位置信息。三是对开启具体业务功能的单独告知，平台式的应用集合很多功能时，可能会遵守同一份隐私政策，在用户点开某些具体业务时，产品和服务的提供者可能还会提供一次单独的告知，有针对性地告知用户，此时具体业务功能的个人信息处理也是遵从整体的隐私政策的，只是对隐私政策的内容进行细化。

　　在获取用户的“同意”方面，手机App等互联网应用也改变过去一揽子协议强迫用户同意，越来越注重用户自主的意思表达。如强调用户通过书面声明或主动做出肯定性动作，对收集和处理其个人信息的请求做出明确的授权。明确授权行为又可细化为：用户主动作出声明（电子或纸质形式）、主动勾选、主动点击“同意”“下一步”“注册”“发送”“拨打”等一系列肯定性动作。一些互联网企业还针对所需收集的用户个人信息设定隐私默认选项，适当赋予用户以选择权。例如，Facebook（脸书）此前曾因未能披露其面部识别业务而陷入法律麻烦。在这之后Facebook承诺将其在用户设备照片中进行人脸识别的功能由默认开启改进默认关闭，即Facebook的人脸识别设置不会自动开启，只有用户在新闻推送中打开通知并作出同意的选择，人脸识别系统才会打开。Facebook以此来保证选择开启功能是用户清晰的自主意思表达。

　　信息业者从提高自身服务的角度出发，因地制宜制定或修改隐私政策，这对消费者隐私权保护及数字经济发展是一个好的开端，它实现了由“自发”到“自觉”的转变。然而，信息业者自律改进隐私政策的措施，只是在履行一个更充分的告知、更明确的同意要求，并没考虑到履行告知同意的限制前提。如果信息业者收集的个人信息是宪法和法律所禁止的，是有损社会公共利益或者违背公序良俗的，那么即便信息主体对有关隐私政策作出清楚、明确同意的意思表示，那么该“同意”也不能被认定是有效的。实践中，不同信息业者的隐私政策可能存在巨大的差异。隐私政策的不规范性主要表现为不同信息处理者的隐私政策在具体标准、内容结构、呈现形式以及被查找的容易性等方面参差不齐。因此，还需要各个互联网信息行业达成基本的共识，在隐私政策中贯彻告知同意原则的限制收集精神，共同制定隐私政策，并予以统一实施。

 六

规范告知同意的若干技术路径

　　互联网企业的发展离不开对客户的隐私保护。为了提升隐私保护水平，首先需要互联网运营商具有自律意识，从战略高度认识隐私保护的重要性，同时从技术路径角度限制个人信息的收集，如此才能真正把发展愿景变为现实。

　　（一）操作系统的整体控制

　　操作系统作为控制收集用户信息权限的初始环节，对其进行隐私保护设计，更易达到从源头上规范个人信息收集的效果。从实践来看，欧盟《通用数据保护条例》以及美国《加利福尼亚州消费者隐私法案》都规定了隐私设计理论。与此同时，苹果、腾讯等一大批互联网巨头也纷纷在践行隐私设计理论。例如，苹果公司的Safari（浏览器）将阻止第三方Cookie的功能作为其默认设置，用户在初次使用Safari时就能有效避免其数据被第三方收集，实现在系统开发阶段限制个人信息收集的效果。近年来，安卓系统也通过不断更新版本，从实行授权机制是安装时一揽子授权，到敏感权限逐一授权，再到授权机制要求调用权限需要有必要的业务场景等安全举措，改进了收集个人信息的权限设置。此种机制的设置主要是将个人信息保护嵌入技术、商业准则和物理存在的基础设施的设计标准中并加以保护。此种风险预防、技术与法律互动的思路克服了过去仅在信息收集时单纯依赖告知与选择机制的不足，让信息管理者甚至信息主体参与到企业运作和个人信息保护的全过程，有利于提升企业个人信息保护的能力和主动性。

　　在规范个人信息收集的过程中，一方面要强化对个人隐私的保护，另一方面还要强化对个人一般信息的利用，因而在设计系统程序时要正确贯彻“两头强化”的理念。具体而言，可以预先在操作系统里嵌入分级管理程序，使其成为系统运行的默认规则。按照个人信息的私密程度不同，设置四个不同级别的管理程序。第一个级别是针对收集一般个人信息，获取用户的一般概括的同意即可；第二个级别是需要用户作出一般考量的；第三个级别是需要用户特别考量的；第四个级别是保障某类型服务正常运行所必需的最少系统权限后，默认禁止收集其他个人信息。这就使得信息业者要获取特殊权限的数据就会变得困难，一些信息根本收集不到，有一些是需要经过比较特别的程序才能收集到，而有的信息又是比较容易收集到。如此操作的意义在于：其一，在信息生命周期的最开始就去思考个人信息和隐私保护的问题，而不是在事件发生之后，更具保护效率；其二，将个人信息保护的需求设计为系统运行的默认规则，意味着用户无须采取过多额外的行动就可以维护个人信息的安全；其三，既满足了信息主体对隐私权保护的要求，也使得信息业者的收集活动变得简便且成本降低，实现信息主体与信息业者之间的共赢。

　　（二）应用软件运营者的自律

　　应用软件作为收集个人信息的直接载体，应该在实践中发挥自律规范作用。一方面，应用软件功能的实现依赖于操作系统的运行，应用软件运营者应该严格遵守操作系统的权限要求。对于违反操作系统权限要求的应用软件，操作系统可以对其进行下架处理。例如2019年1月，Facebook在苹果系统上发布的一款“市场研究”App，因该App后来用于跟踪用户使用其他App的历史记录、私人消息和位置数据，违反了双方关于允许Facebook收集用户各种个人数据的协议，最后遭到苹果系统的下架处理。而在此之前，Facebook就发布了一个名为Onavo Protect的独立App来收集类似的用户数据，结果因为违反苹果的指导原则，在2018年8月从苹果应用商店里被下架。苹果公司通过操作系统对违规应用软件做下架处理，保证自身系统安全性的同时，也使得广大苹果用户信息免于被非法收集。应用软件只有符合操作系统的要求，才能保证自身的正常运营，可见，操作系统的默认权限设置与应用软件自律并行不悖。

　　另一方面，依据收集限制原则，应用软件运营者必须严格依照系统本身的功能目的来收集、处理和流转数据。例如，运动健身类App，其只需要收集用户定位信息、个人运动信息、身高体重等个人信息为用户提供运动记录、健康建议服务，而对于个人的通讯录、通话记录、短信内容等无关信息不应进行收集。应用软件运营者在界定所需要收集、处理以及流转的数据范围和类型后，按个人信息的敏感或者私密程度限定收集信息的范围，设置App收集个人信息的权限。值得注意的是，在国外的司法实践中，欧盟将默认设置的预勾选功能界定为影响个人选择的诱导因素。例如，2019年10月欧盟法院（CJEU）就涉Cookies案件作出的判决显示：有关Cookies的预勾选并不自然等于权利人有效的同意。可见，欧盟在逐步强化个人信息的限制收集意识。有了前车之鉴，在我国应用软件的隐私设置中，对于需要获取的用户的重要信息权限、私密信息权限，原则上应该设置默认关闭功能，并且排除不必要的预勾选开启功能，由用户初次使用时手动开启权限，以尊重用户的完全自主权。当然，应用软件运营者也可以通过具体参数的设置，开启应用软件的私人定制服务，来迎合市场对隐私定义的不同需求。

　　（三）从个人端点限制个人信息的收集

　　操作系统、应用软件在开源阶段，对个人信息加以严格区分及作出不同的保护标准，大大提高了信息主体作出“同意”的有效性。对于个人而言，信息主体从个人端点限制个人信息的收集，是在终端保护个人信息（尤其是个人私密信息）的重要手段。

　　从个人端点限制个人信息的收集，应该做到：首先，用户加强个人信息的保护正确意识，提高警惕，防范个人隐私泄露。具体而言，用户要注意选用安全合规的操作系统和应用软件。安装和使用手机App等互联网应用时，注意认真阅读App的应用权限和用户协议或隐私政策说明。其次，用户需要养成定期管理手机的收集权限的习惯。不随意开放和同意非必要的读取权限，不随意输入个人隐私信息，定期维护和清理相关数据。安卓系统用户可以通过手机设置中的“权限管理”，IOS系统用户可以通过手机设置中“隐私”，看到自己下载的互联网应用软件都有哪些权限，权限中哪些是开启状态，将不相关的、涉及隐私的手动关闭。用户可定期筛选一遍，把所有不影响正常使用的授权全部关闭，避免“流氓软件”在不知情的情况下收集个人信息。最后，用户应积极通过有效手段及时主动维权。用户发现个人信息被过度收集时，要通过有效手段及时主动维权，必要时向有关部门反映或者向法院起诉，主动维护个人的合法权益。信息主体对个人信息的重视，也能倒逼互联网企业为获得用户的信任度而不断提高对个人信息的保护水平。如此，鼓励公民参与限制App等互联网应用对个人信息的收集，也是强化公民利益表达、救济和监督的有力手段。

　　当然，从个人端点进行信息收集的限制，保护个人隐私的同时，还要兼顾促进一般个人信息的流通。正如Facebook的创始人马克·扎克伯格所言，随着社交网络的盛行，隐私不再是社交的规范，分享个人信息才是新的潮流。因而，就个人一般信息而言，信息主体还需要做出一定让渡，让信息业者得到收集、处理和利用的更大自由，以利其经营。如此，方有利于调和个人信息保护与利用的需求冲突，实现利益平衡。

　　综上，在收集个人信息的过程中，信息业者自觉为信息主体的核心隐私提供保护，积极研发规范个人信息收集的操作系统、应用软件等多重技术；个人对信息收集进行概括控制并适当让渡一般个人信息的使用权，形成企业自律、公众参与的齐头并进模式，共同建立符合我国社会经济发展需要的个人信息保护制度体系。未来在个人信息的执法或者司法规范中，不应仅局限于对隐私政策的评估，还应发挥操作系统和应用软件设置默认限制个人信息收集的功能，在源头上规范个人信息过度收集现象。同时，鼓励公民参与限制手机App等互联网应用对个人信息的收集，强化公民利益表达、救济和监督手段，达到在个人信息发展的全过程规范个人信息的收集规则。

 七

结语

　　5G时代，万物为媒。新世界向人类开启无限机会的同时也时刻潜伏着危机，即人类和机器在挖掘信息价值的同时也对人类的隐私再次发起挑战。保护个人信息尤其是规范个人私密信息的收集，应该是当代法治的重要任务之一。

　　当下，利用手机App等互联网应用在收集用户个人信息时，应该对告知同意原则作出合理限制，以避免其滥用而侵害他人的宪法权利和其他合法权益。告知同意原则要受通信自由和通信秘密宪法权利的限制，要受隐私权保护的限制，还要受目的原则与必要原则的限制。因此，不能简单地以告知同意原则作为任何情况下不当收集个人信息的合格抗辩。在实践层面，对告知同意原则的合理限制，不应仅仅满足于对隐私政策的评估，更需要进行价值层面的衡量并作出执法和司法上的正确判断。同时，作为互联网企业，在竞争日益激烈的互联网生态环境中，应该根据占据的市场支配地位，从操作系统、应用软件技术路径着手，规范个人信息的收集类型，依法依规收集个人信息。作为信息主体，正确理解告知同意的限制，加强保护个人私密信息的意识，适度让渡一般个人信息，以使信息业者得到收集、处理和利用的更大自由，实现信息主体与信息业者经营利益的平衡。此外，从技术路径及信息主体的自主控制出发，加强对个人私密信息的保护，也是实现信息主体个人权益与信息业者经营利益的平衡的重要路径。

推荐阅读- 向上滑动，查看完整目录 -

《比较法研究》2019年第6期要目

【民法典编纂】

1.个人信息收集：告知同意原则适用的限制

张新宝（1）

2.“通知—移除”规则的应然定位与相关制度构造

周学峰（21）

3.违约方申请解除合同权：争议与回应

石佳友；高郦梅（36）

4.民法典物权编“三权分置”规范的体系设置和适用

龙卫球（53）

5.中国民法典应如何规定居住权？

申卫星；杨旭（65）

【论文】

6.作为科学的法教义学？

雷磊（84）

7.基因编辑的法哲学辨思

孙海波（105）

8.国家政治安全前提下法律服务市场开放的重心转移

许明月（121）

9.21世纪中外行政程序法发展述评

姜明安（130）

10.环境伦理之于国际环境立法

林灿铃；杜彩云（144）

11.危害原则与法益保护原则比较研究

姜敏（153）

12.刑事缺席审判的理论依据：类型及其运用

张吉喜（166）

13.人民陪审员评议规则的重构

樊传明（184）

14.2019年目录索引

（199）

《比较法研究》（双月刊）是中华人民共和国教育部主管、中国政法大学主办的法学期刊，由中国政法大学比较法学研究院编辑出版，创刊于1987年1月，1992年9月经国家新闻出版署批准于1993年起向国内外公开发行。原刊期为季刊，自2003年开始改为双月刊，逢单月25日出版发行。

责任编辑：郇雯倩

审核人员：张文硕

▼往期精彩回顾▼

客服 | 法小宝

微信 | pkulaw-kefu

微博 | @北大法宝

点击相应图片识别二维码

获取更多信息

北大法宝

北大法律信息网

法宝学堂

法宝智能