万方：如何应对告知同意原则的异化现象？ | 前沿

中国民商法律网

本文选编自万方：《隐私政策中的告知同意原则及其异化》，载《法律科学(西北政法大学学报)》2019年第2期。

【作者简介】万方，北京外国语大学法学院副教授，法学博士。

全文共2407字，阅读时间约8分钟。

2017年《网络安全法》规定网络运营者收集、使用个人信息，应当公开收集和使用的规则、目的、方式和范围，并经被收集者同意，由此确定了告知同意原则。这一原则在各国立法中被广泛采纳，但其自身异化现象也日趋严重。北京外国语大学法学院万方副教授在《隐私政策中的告知同意原则及其异化》一文中，分析了当前网站隐私政策中告知同意原则产生的异化现象，并提出了立法上的改进措施。

一、告知同意原则的现实困境

（一）以告知义务为中心的制度模式无法保障知情权的落实

告知同意原则的完整逻辑链条是：网络经营者主动将其收集、使用个人信息的情形告知网络用户，网络用户在充分知情的前提下做出自愿有效的同意允诺，并授权网络经营者在其同意的范围内处理其个人信息。但是目前的告知同意原则绕开了对于网络用户知情权的要求，仅仅从推理线索的逻辑两端来构建体系，容易出现中层断裂现象。故当告知义务而非知情权成为制度的核心时，网络用户的同意会面临被架空的危险。实际上网络用户并不知道自己的个人信息将会以何种方式何时向第三人披露，从某种程度上来说，告知同意原则已成为企业完成合规义务的“避风港”。

（二）全有全无的管理构架造成了实际适用中的高成本及低效率

告知同意原则在实际操作中留给用户两种选择，即对条款内容全盘接受或全部否定的同时推出交易，这种方式在实际中会带来很多问题。首先，权利让渡容易产生捆绑性效应。网络经营者为了满足各国的立法要求规避自身的法律风险，倾向于用“捆绑式”的方式列出内容冗长且繁琐的隐私政策条款，给用户带来阅读困难。在此前提下，很难认定用户选择的“同意”是基于阅读和完全理解而做出的意思表示，在捆绑性效应下，网络用户对于隐私政策没有实体控制权。其次，网络经营者为规避责任，会采取“合法手段”增加用户的负担，如用抽象的语言来描述隐私政策中对个人信息收集和使用的目的。此外，有些网络经营者会设置多种弹出窗口来提示用户选择，用户在不知情的情况下被暴露在网站层出不穷的同意弹窗中。因此，传统“告知同意”原则已经使得交易成本逐渐升高，为生活带来不便，其僵化的逻辑需要改革。

（三）落后于科技发展的潮流且与信息的固有性质相悖

在个人信息国家标准中，首次提出匿名化和去标识化。匿名化是指通过对个人信息的技术处理，使得个人信息主体无法被识别，且处理后的信息不能被复原的过程。被匿名化处理后的信息不再被认定为个人信息，相应的信息控制者无需受到告知同意原则的牵制。去标识化是指通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别个人信息主体的过程。匿名化与去标识化技术手段最大的效果区别在于最终是否可以被复原，这也成为该信息是否被认定为个人信息的标尺。

对于身份证号、指纹等可以直接关联到信息主体的生物信息，应该对其加密达到匿名化。目前的信息处理技术能够使得信息的可识别性在可直接识别与不可识别的双重维度中震荡，但是无论如何都无法达到匿名化的极值。而目前的告知同意原则建立在信息可被匿名化处理的构想基础上，其认为可被匿名化处理的信息不具备可识别性，属于告知同意的例外情形，但是匿名化技术缺乏技术支持，同时简单的告知同意模式无法应对信息的多层次性及动态性。因此，目前的告知同意原则并未正视匿名化信息最终会被识别的本质属性，需要变革。

二、告知同意原则异化体现及评述

（一）同意的方式更加多样化

旧有的告知同意模式存在最典型的问题，是给消费者带来无止尽的同意弹窗以及对消费者个性化隐私选择的限制。网络经营者出于优化用户体验的初衷对网站的隐私保护之同意方式进行改良，具体体现在：1.设置隐私设置选项，即允许用户选择自己的个性化隐私偏好设好，如可选择屏蔽第三方cookies以隔绝来自第三方的广告骚扰。2.“一站式”撤回和关闭授权，即在线访问、更正、删除其个人信息，在线注销账户等功能。商家自愿做出的“一站式”承诺可以维护其企业形象，提升其市场竞争力，因此，撤回权成为目前互联网服务竞争格局下产生的同意权能的新扩展。

（二）从择出到择入机制的转化

择出机制是指用户个体可自主选择从系统中退出的机制，即原始设定将用户自动纳入系统，同时告知用户退出系统的可能性及方式。择入机制是指系统的原始设定并不自动包括用户，用户若希望被纳入到系统之中需要以各种方法做出明示的意思表示，如在页面上选择或回复邮件、电话等。

按照择出机制被自动纳入到系统中意味着需要面对不胜其烦的弹出或邮件广告，不仅会耗费大量的私人时间，也会影响到生活和工作。因此，许多国家都在考虑以立法的形式对现状予以改良，在平衡商业发展需求和个人生活安宁的基础上制定出切实可行的新规则，其中最重要的一种模式就是从择出机制到择入机制的转化。但是，一刀切的转化模式会损害网络经营者的正当商业利益，因此合理界定择出机制与择入机制的适用场合及适用边界显得尤为重要。

不同类型信息所采用的消费者同意形式分为以下几个等级：1.当网络经营者收集或使用消费者敏感个人信息时，以及当网络经营者对其隐私政策进行有溯及力地实质性更改时，需要以择入式的方式获取消费者同意。2. 对于不属于消费者敏感个人信息的一般个人信息，网络经营者可采取获得消费者择出式授权。3. 根据法律的规定或者出于维护社会公共利益的需要，某些信息虽然属于消费者的个人信息，但是无需通过消费者同意即可由经营者直接获取，此类无需信息主体授权的情形应当属于例外情况并严格限制。

（三）引入隐私风险评估机制

隐私风险评估是指使用行业中的隐私风险评估工具来评估处理风险性与合理性，将最终的风险等级划分为高、中、低等三种类型，以对应不同级别的信息处理模式。风险性评估从理论上跨越了个人信息处理的“最小化应用”原则，突破了将信息的使用限定于“原始收集目的”的约束，能够让个人信息的价值在社会生活中产生最大化效应。

三、我国的路径选择

我国目前在立法上实现的改进措施建议如下：第一，摒弃现有的可识别性标准，根据数据的性质以及数据信息对于个人主体的影响程度，对个人信息类型进行基础性划分。第二，以行业规范的模式制定出该行业内部的隐私风险评估工具，引导企业在经营过程中以此为依据衡量其隐私政策以及服务中所产生的隐私风险及应对模式。第三，适度增加择入式同意的适用范畴，给予网络用户广泛的隐私设置选择权。对此，可由各行业协会牵头提供该行业内部通用的隐私政策模板，并允许网络经营者在此基础上进行修改适用。

推荐阅读

近期好文

责任编辑：张译丹、王嘉睿、袁玥

图片编辑：金今、张凌波