《民法总则》中关于个人信息收集合法性探讨

摘要：个人信息的合法收集应遵循告知同意原则, 信息不对称和个人信息的人格属性是该原则确立的基石。《民法总则》第111条的规定需要细化:信息主体作出同意应具有完全民事行为能力;不宜强制要求采取书面形式, 口头形式或其他形式亦无不可;同意须由信息主体自由作出, 否则应认定为无效;选择退出模式应予以摒弃。在某些法定情形, 收集者无需取得信息主体同意, 即可自由收集其个人信息。

　　关键词：大数据; 个人信息; 个人信息收集; 告知同意原则; 人格尊严;

　　On the Legitimate Collection of Personal Information——Expansion of article 111 of General Provisions of Civil Law

　　DU Huan-tao

　　School of Law, Shenyang Normal University

　　Abstract：Informed consent principle should be followed when the personal information is collected, which is based on information asymmetry as well as personal attribute.Article111 of General Provisions of Civil Law needs to be improved: the subject should has the full capcity; written form is not forcible, oral and other forms can also be accepted; consent should be made by the subject freely, otherwise it is infective;out-option mechanism should not be adopted. Under some specific contentions, the collectors are entitled to collect personal information freely without the consent of personal subject.

　　一、问题的提出

　　当今大数据时代, 数据的采集、存储与处理技术得到了巨大飞跃[1]。无处不在的信息采集终端每时每刻都在收集大量数据, 使我们犹如置身一个由数据构成的“数据空间”里。面对大数据技术对个人信息保护提出的挑战, 各国 (地区) 立法纷纷将保护手段前移至个人信息收集阶段, 核心内容是强调收集个人信息的合法性。我国立法也不例外。2017年3月15日制定的《中华人民共和国民法总则》 (以下简称《民法总则》) 第111条明确规定:“任何组织和个人需要获取他人个人信息的, 应当依法取得并确保信息安全, 不得非法收集、使用、加工、传输他人个人信息, 不得非法买卖、提供或者公开他人个人信息。”该条表述的特色在于, 不仅从正面要求获取个人信息必须“依法取得”, 还从反面禁止“非法收集”他人个人信息, 对于个人信息泄露较为严重的我国而言, 其重要意义不言而喻。然而, 有疑问的是, 究竟何谓“依法取得”?合法与否的判断基准是什么?收集者遵循何种规则收集个人信息方属“合法”?对此问题, 上述规定均未提供清晰的答案, 实际上属于立法活动的“未完成品”。本文不揣浅陋, 拟从比较法的视角对上述问题进行探讨, 以期对进一步完善个人信息保护立法有所裨益。

　　二、个人信息收集合法性的判断基准:告知同意原则

　　从制度起源来看, 告知同意原则发端于生命伦理, 核心内容是强调医务人员应当采取适当的方法, 向患者告知医疗行为、潜在风险和替代方案等信息, 在取得患者本人同意后, 医疗行为方可豁免其违法性。随着信息技术的发展, 该原则的适用范围逐步扩展至个人信息收集领域。从比较法角度来看, 众多的国际组织 (国家) 纷纷出台了规范性文件, 强调个人信息的收集原则上必须经过信息主体本人的同意。例如, 在国际法层面, 欧盟《基本权利宪章》第8条 (个人数据保护) 规定:“ (1) 1每个人都有权保护其个人数据。 (2) 2此类数据必须为了特定目的公平处理, 并须以当事人的同意或法律规定的其他合法依据为基础。”1新近通过的欧盟《一般数据保护条例》第6条 (处理的合法性) 规定:“ (1) 1只有当以下各项中至少一项满足时, 数据处理方为合法: (a) 数据主体已经同意为一个或多个特定目的同意处理个人数据……。”2经济合作与发展组织《隐私保护与个人数据跨界流动指南》第10条 (限制使用原则) 规定:“个人数据不得被披露和公开使用, 除非经过数据主体的同意或者经过法律的授权。”3亚太经合组织制定的《亚太经合组织隐私框架》第19条4也规定:“个人信息只能为了满足收集目的和相容或相关的目的而使用, 除非经过被收集者的同意、提供商品或者服务所必需或者法律机构有效力的宣告和公告。”在内国法层面, 德国《联邦资料保护法》第4 (1) 3条5规定:“个人资料的收集、处理和利用应经当事人同意或法律另有规定方属合法。”就我国立法而言, 《网络安全法》第41条规定:“网络运营者收集、使用个人信息, 应当遵循合法、正当、必要的原则, 公开收集、使用规则, 明示收集、使用信息的目的、方式和范围, 并经被收集者同意。”

　　从上述法律条文的文字表述来看, 一个显着的共同点是都特别要求收集个人信息时, 原则上必须遵循告知同意原则。易言之, 该原则是收集行为合法与否的判断基准。那么, 告知同意原则为何如此重要, 以致各国 (地区) 立法纷纷确立其基本原则地位?隐藏其后的根本原因是什么?

　　(一) 告知同意原则确立的缘由之一:信息不对称

　　信息不对称原本是微观经济学领域的专业术语。现代经济学认为, 在市场经济活动中, 各类市场主体对信息的掌握不仅是不完全的, 而且是不对称的, 某些参与人拥有另一些参与人不拥有的信息[2]。掌握信息比较充分的人往往处于比较有利的地位, 而信息贫乏的人员则处于不利的地位, 由此引发了逆向选择和道德风险问题[3]。如何解决逆向选择问题, 经济学家给出的思路是加强政府干预与设置有效的制度。例如, 在二手车交易场合, 如果法律强制性地要求旧车出售者必须向购买者告知旧车的质量信息, 包括提供旧车质量证明书、运行公里数以及大修次数等, 就能有效地克服逆向选择问题[4]。如果用经济学观点观察个人信息收集行为, 可以发现该领域也同样存在着严重的信息不对称问题。例如, 在网络空间中, 何人在收集用户的个人信息、为何收集个人信息、个人信息收集后如何进行处理、是否向第三人 (国外) 转移等问题, 对于欠缺计算机专业知识的普通大众而言, 往往存在相当大的不确定性和不可知性。质言之, 个人信息的处理者在其技术优势的基础上, 对广大的信息主体形成了显着而稳定的“信息优势”。以网上常见的Cookie跟踪为例, 它是跟踪者通过联盟或付费等方式, 将其跟踪代码嵌入大量网站中, 收集这些网站用户的浏览记录、停留时间、购物商品等个人信息[5]。跟踪者通过对Cookie数据的分析, 在一定程度上能够掌握用户的行为特征和上网偏好, 据此进行精准的广告投放, 从而谋取巨大的商业利益。据专业人士揭露, 网络跟踪如同在网民生活的每一个角落里安装了隐蔽的摄像头, 能够对上网者的一举一动进行全程监控。用户不仅对监控行为毫不知情, 而且他们对监控者的身份也一无所知。网络跟踪虽然已经广泛存在, 但目前仍然处于法律和监管的真空地带, 可能严重威胁用户的个人信息安全[6]。从我们的生活经验来看, 在现代信息社会, 微信、支付宝、淘宝、京东以及网上银行等应用平台, 已经深深地植入到每个人的生活之中, 如同水、食物和衣服等物品一样, 成为我们日常生活不可或缺的必需品。它们一方面为我们的日常生活提供了极大的便利, 另一方面也为其大量收集个人信息打开方便之门。由于已经形成了稳定的“生活依赖”和“人身依附”, 处理者即使不对用户告知个人信息安全保护事项, 用户也不得不屈从于处理者的强势地位, 违心而被动地接受对自己信息的处理活动。由此形成了一种非常奇特的“信息悖论”:一方面, 随着社会大众隐私权观念地日益提升, 人们非常关注和重视个人信息保护;另一方面, 用户在使用网络时, 很少甚至根本不去关注网络服务者发布的隐私政策。为何会出现这一怪象?究其根源, 在于信息主体与处理者之间天然存在着信息不对称, 由此导致双方法律地位不平等, 以及内在于这种不平等中的损害个体隐私的风险[7]。质言之, 现代信息社会, 网络服务对现代人具有“不可选择性”, 后者对前者具有“高度依赖性”, 由此从根本上决定了用户必然处于弱势地位。因此之故, 即使收集者选择不告知或者少告知收集个人信息的内容、目的和使用方法等事项, 被收集者也缺乏与之进行平等对抗的“有力武器”, 最终只能任由个人信息被他人收集、使用。如欲彻底解决双方掌握的信息不对称问题, 一个可行的思路是借鉴经济学中的经验, 强化处理者的告知义务, 强制其向用户披露收集个人信息的目的、用途、方式, 以及用户的权利等法定事项。通过这一正式制度的约束, 使本已失衡的双方地位处于大致平等状态, 从而为信息主体表示同意收集个人信息创造前提条件。

　　(二) 告知同意原则确立的缘由之二:个人信息的人格属性

　　从生活经验层面来看, 自然人的个人信息是随着其人格的产生和发展而不断丰富和拓展的。自然人一出生即拥有姓名、出生日期、家庭住址、基因编码等个人信息, 随着年龄的增长和社会关系的扩大, 又拥有电话号码、银行账号和密码, 网络IP地址等个人信息。在现代信息技术条件下, 互联网、移动智能终端、可穿戴设备的广泛使用, 使个人生活的方方面面都可能被记录下来。上述个人信息不仅是自然人融入社会的基本手段, 而且是形成其独立人格的必要条件。脱离了个人信息的个体, 不仅在日常生活中举步维艰, 而且难以与他人建立正常的社会关系, 也就谈不上自由发展其人格。例如, 没有姓名自然人难以完成社会化过程;没有学籍编码学生难以接受教育;没有特定住所通信自由将受限制;没有社会保障号码生存可能面临威胁……可见, 自然人的个人信息与其生命、身体、健康、名誉、自由等人格要素一样, 是构成完整法律人格不可或缺的基本要素[8]。缺乏个人信息的自然人, 其人格将是不完整的、残缺不全的。然而, 在现实生活中, 未经信息主体同意, 擅自大规模地收集、整理、加工、出售和向第三人传输他人信息的现象频频发生, 造成了极其严重的社会后果。究其根源, 在于个人信息促进自然人人格实现及自由发展的同时, 还表征和践行着财产利益内涵[9]。个人信息的处理已成为数据驱动经济商业模式的动力来源。例如, 个人的职业信息、健康信息、信用信息、上网浏览痕迹, 都可能被企业收集起来向用户定向投放营销广告, 或者将其转卖给其他企业, 获取巨额经济利益。在此过程中, 人格要素被他人任意收集和操作, 当事人成为他人谋取经济利益的工具和手段, 人的主体地位隐而不彰, 人格尊严被物质利益遮蔽。按照康德伦理哲学的观点, 没有理性的东西只具有相对的价值, 只能作为手段, 因此叫做物。有理性的生灵叫做人, 人是作为目的本身而存在的, 不仅仅是作为手段而供某个意志任意使用的。在人的一切行动中, 不论对于自己还是对于其他理性动物, 任何时候都必须把人当作目的来看待。人的行动, 要把自己人身中的人性, 和其他人身中的人性, 在任何时候都同样看作是目的, 永远不能只看作是手段[10]。康德关于“人是目的”的哲学论述, 核心思想在于人应当被当作“人”来看待, 应受到社会和他人最起码的尊重。由此可以推出, 人是法律的主体, 是法律的目的, 而不能作为法律的手段, 不能成为被利用的对象[11]。康德关于“人是主体而非手段”的哲学思想, 在大数据时代依然有其生命力, 是强化个人信息保护的理论依据。诚如学者所言, 生活在信息社会的现代人, 只有消除个人对“信息化形象”被他人操控的疑虑和恐慌, 保持其信息化人格与其自身的一致而不被扭曲, 才能有自尊并受到他人尊重地生存与生活[12]。

　　综上所述, 在个人信息收集过程中, 存在着一对基本矛盾:一方面信息主体需要维护个人信息的人格尊严价值, 否则人的主体地位将被贬低;另一方面收集者需要尽可能多地收集他人信息, 否则难以促进经济利益最大化。如何协调双方的利益冲突, 一个有效且可行的平衡机制即是信息主体的同意。它反映了作为目的性存在的人在私法上的主导地位, 限定了处理者的信息优势作用于信息主体的界限范围, 保护了个体的自由范围不受他人的违法侵入。由此产生的一个问题是, 信息主体如何表达其同意, 方属于有效的意思表示?

　　三、信息主体有效同意的规则

　　(一) 信息主体具有同意能力

　　根据《民法总则》第21条的规定, 无民事行为能力的成年人不能有效实施民事法律行为, 其作出的同意收集其个人信息的意思表示当然无效。有疑问的是, 限制民事行为能力的成年人作出的同意是否有效?对这一问题的回答, 依《民法总则》第22条的规定, 似乎取决于同意行为是否为纯获利益的民事法律行为, 或者与其智力、精神健康状况相适应的民事法律行为。笔者认为, 该条规定并不能当然适用于个人信息收集领域。原因在于, 个人信息依附于个体存在且与人身不可分离, 这一特性决定了它本身并不是财产, 而属于人格要素[13]。个人信息本身不具有独立的经济价值, 它依赖于载体、代码和其他诸种要素才能发挥工具性作用, 从来是作为系统要素而存在的, 不能单独发挥作用, 也不能直接产生经济利益[14]。人格要素作为静态的物质存在, 只有与人格权主体相分离, 由使用主体对其加以利用, 才能派生出财产利益[15]。信息主体允许他人使用自己的个人信息, 性质上属于人格要素的许可使用, 其情形类似于自然人肖像许可使用协议, 不同于一般的财产借用行为。在后者, 出借人对借用人尚享有返还原物请求权, 对标的物形成了间接占有, 仍具有一定控制能力。个人信息使用许可与之不同, 由于个人信息在理论上可以被无限复制和传播, 实际上脱离了信息主体的控制, 一旦泄露出去极易被他人滥用。若犯罪分子用于实施诈骗, 相对于完全民事行为能力人更容易得逞, 对信息主体的人身和财产安全的威胁更大。因此, 限制民事行为能力人许可他人使用自己的个人信息, 不宜评价为可以独立实施的法律行为。如确有必要收集其个人信息, 应经过其法定代理人的同意。

　　未成年人是伴随着互联网的发展而成长起来的一代人, 其生活方式以及思想意识受到互联网的深刻影响。与成年人相比, 未成年人由于心智尚未完全成熟, 对事物的认识和控制能力不足, 缺乏足够的自我保护能力, 其合法权益更易受到个人信息处理行为的侵害, 需要特别加以保护。比较法上, 美国《儿童网络隐私权保护法》规定:“网络运营者收集13周岁以下儿童的个人信息时, 应采取合理方式 (考虑现行可行技术) , 向儿童的父母通知并取得其关于收集、使用和公开儿童信息的授权。”6欧盟《一般数据保护条例》第8条规定处理16周岁以下未成年人的个人信息时, 必须得到其父母或其他监护人的同意, 同时授权成员国降低年龄下限, 但不得低于13周岁。在我国, 未成年人网民是不可忽视的群体。根据中国互联网络信息中心发布的《2015年中国青少年上网行为研究报告》, 截至2015年12月, 中国未成年网民规模为1.34亿, 未成年网民占青少年网民的46.6%, 上网行为涉及即时通信、搜索引擎、网络音乐、网络视频和网络新闻等方面。未成年人上网过程中, 也可能面临个人信息被收集的问题。如何合法地收集未成年人的个人信息, 《网络安全法》没有作出明确规定。工信部2012年发布的《信息安全技术公共及商用服务信息系统个人信息保护指南》第5.2.7条规定:“不直接向未满16周岁的未成年人等限制民事行为能力或无行为能力人收集个人敏感信息, 确需收集其个人敏感信息的, 要征得其法定监护人的明示同意。”据此规定, 未成年人的非敏感信息可以被任意收集, 无须取得其法定代理人的同意。笔者认为, 这一规范模式对未成年人的个人信息保护力度明显偏低。因为无论个人的敏感信息抑或一般信息, 均直接或间接地指向特定的未成年人, 一旦被他人滥用, 将会对未成人的身心健康造成难以估量的损害, 影响其未来的人格发展。未成年人的心智尚处于发展之中, 对收集个人信息的可能后果缺乏清醒的认识, 因而允许他人收集个人信息的行为, 宜被评价为不能独立实施, 应受到立法禁止。确需收集未成年人的个人信息时, 应得到其法定代理人的同意。

　　(二) 同意的形式可多元化

　　关于自然人同意收集其个人信息的形式, 比较法上一般不作特别要求。例如, 欧盟《一般数据保护条例》第4 (11) 条将同意定义为:数据主体依其意愿自由作出的、具体的、知情的及明确的指示。数据主体可通过陈述或明确肯定的行为, 表示同意处理其个人数据。欧盟资料保护小组指出, 取得资料主体的同意须采用毫无疑义的机制, 陈述和作为可以构成有效的同意。单纯的沉默不作为, 如资料主体注册社交网站, 系统默认设置其所有个人资料均可对所有朋友查看7, 则不符合有效同意的要求。《德国联邦数据保护法》第4a条要求同意原则上以书面为之, 在特殊情况需要场合, 如在科学研究领域, 如果采用书面形式会给既定的科研造成重大损害, 亦可采取其他形式8。类似地, 《日本个人资料保护法》第18条规定, 个人资料处理业者取得个人资料, 必须在书面中载明收集目的, 但急需保护人的生命、身体或财产情形不在此限9。



　　就我国法而言, 无论《网络安全法》第41条, 抑或《民法总则》第111条, 均未硬性规定同意应采取特定形式, 多数学者的观点亦是如此。例如, 周汉华教授起草的《中华人民共和国个人信息保护法 (专家建议稿) 》第43条的表述是必须“信息主体明确同意”[16], 杨立新教授主持起草的《中华人民共和国人格权法建议稿及立法理由书》第39条第2款规定须“被收集者同意”[17], 刘士国教授主编的《中华人民共和国人格权法律条文建议稿附理由》第52条第2款的表述是“取得本人同意”[18]。而齐爱民教授起草的《中华人民共和国个人信息保护法示范法学者建议稿》第26条第1款规定, 非国家机关收集个人信息时须取得“信息主体书面同意”[19], 以彰显这种民事法律关系的平等和意思自治原则[20]。个人信息收集采取书面形式, 一方面能够促使信息主体权衡利弊, 审慎作出同意的决定, 另一方面能够保存证据, 当发生法律纠纷时, 只要收集者不能提供信息主体提供的同意书, 即可认定为非法收集个人信息。但现实生活是复杂的, 书面形式往往刚性有余而灵活性不足, 难免有削足适履之嫌。例如, 在电话推销保险产品场合, 依交易习惯口头同意未尝不可, 若强使信息主体以书面形式表示同意, 不仅推销员难以操作, 被推销者也必然感到不便。特别是随着互联网技术的发展, 微信、QQ等现代通讯手段已经成为人们社会交往的重要载体, 在其上留言表示同意已不鲜见。某些网站在用户打开网址时自动弹跳出是否允许使用Cookie跟踪技术的对话框, 如果用户点选“同意”按钮, 也不属于传统意义上的书面形式。因此, 收集个人信息不宜要求必须采取书面形式, 否则不仅增加收集者的经营成本, 被收集者也可能感到不厌其烦, 从而人为地削弱了现代信息技术固有的便利优势。当然, 根据谁主张谁举证的举证规则, 法律纠纷发生时, 由自然人证明收集个人信息未经过其同意, 几乎不可能举证成功, 多样化的同意形式因而具有对信息主体保护不力的缺点。此时不妨创新法律制度, 实行举证责任倒置, 由收集者举证证明其已经取得了被收集者的同意, 降低信息主体的举证责任和维权成本, 切实加强对个人信息的法律保护[21]。

　　(三) 同意须依自由意志作出

　　信息主体的同意应出于其自由意志, 建立在能够真正选择的基础上。反之, 信息主体被欺诈、强迫或者不同意即遭受重大不利, 则选择自由受到侵害, 此时的“同意”只是徒具虚名, 并不是真正的同意。比较法上, 《德国联邦数据保护法》第4a条规定, 同意必须出自当事人的自由决定。依加拿大艾伯特省《个人资料保护法》第10条10, 任何组织通过提供错误、误导性信息, 或者使用欺诈、误导性惯例取得或者试图取得同意, 所取得的同意无效。我国《网络安全法》第41条只是笼统规定“经被收集者同意”, 未强调同意必须出自当事人的自由意志。《电信和互联网用户个人信息保护规定》第9条规定, 电信业务经营者、互联网信息服务提供者“不得以欺骗、误导或者强迫等方式”收集个人信息, 未涉及违反该规定的法律后果。依《民法总则》第147—152条规定, 受欺诈、胁迫实施的法律行为, 属于可撤销的民事法律行为, 撤销权受一年或者五年除斥期间的限制, 除斥期间内权利人未通过诉讼或仲裁途径行使撤销权的, 撤销权归于消灭。这一法律规则适用于财产交易领域尚无不可, 但延伸于个人信息保护领域则不妥当。因为个人信息除具有用益价值之外, 还蕴含着人格尊严价值, 这一复合的价值形态决定了个人信息保护的价值取向, 不能片面地限于交易效率的提升和交易安全的保护, 而应更多地偏向于人格尊严的维护, 《民法总则》第196条关于请求停止侵害的请求权不适用诉讼时效的规定, 也鲜明地体现了这一价值立场。准此以言, 信息主体的同意非自由地作出场合, 应归于自始无效而非可撤销, 被收集的个人信息应予以删除, 以充分保护个人信息安全和人的精神自由。

　　(四) 同意须以明确方式作出

　　比较法上, 同意的方式有两种不同模式, 即选择进入和选择退出模式。在前者, 未经信息主体明确、积极地同意不得处理个人信息, 有利于保护自然人对个人信息的实际控制;后者则相反, 信息主体未作反对表示即推定其同意处理个人信息, 有利于处理者收集个人和使用个人信息, 促进个人信息的自由流动。采取选择进入模式的立法, 如据欧盟《一般数据保护条例》第4 (11) 条。2004年, 选择退出模式被美国谷歌数字图书馆计划采用。若出版社或作者明确拒绝谷歌公司使用时, 将停止使用并承担侵权责任, 若未明确拒绝, 视为放弃了该权利。选择退出模式节约了成本, 有利于绝版作品进入公众视线, 促进了建设公共图书馆的数字图书馆[22]。

　　就我国法而言, 工信部发布的《信息安全技术公共及商用服务信息服务系统个人信息保护指南》第5.2.3规定, 收集个人一般信息时, 可认为个人信息主体默许同意, 如果个人信息主体明确反对, 要停止收集或删除个人信息;收集个人敏感信息时, 要得到个人信息主体的明示同意。有学者不采一般个人信息与敏感个人信息的分类, 而是将个人信息分为人格紧密型与人格疏远型, 主张对于前者的同意限定为积极同意、事前同意和书面同意, 对于后者而言, 信息主体在知情的前提下可以拒绝, 未拒绝的视为同意利用[23]。上述两种做法的共同点在于, 将个人信息区分为不同的类别, 个人敏感信息 (人格紧密型信息) 适用选择进入模式, 而个人一般信息 (人格疏远型信息) 适用选择退出模式。笔者认为, 如此处理并不妥当。首先, 何谓人格紧密?何谓人格疏远?论者并没有给出明确的区分标准。以内涵过于抽象、外延难以界定的概念为基础, 恐难以支撑起个人信息保护的法律体系。其次, 概念之间的界限不甚清晰, 不仅难以为当事人主张权利提供指引, 也不能为法官提供明确的裁判依据, 完全依赖于司法者的自由裁量, 这极容易引发同案不同判的现象出现, 导致司法实践的混乱。再次, 个人信息之所以具有经济价值, 根本原因在于其具有可识别性。人格疏远型个人信息固然距离自然人的人格较远, 但人格疏远型个人信息相结合, 仍然能够精准识别特定的自然人。例如, 通过反向身份识别技术, 仅需根据某人的邮政编码、生日和性别等个人信息, 特定自然人的身份即有可能被准确地识别。因此, 人格疏远型个人信息也同样蕴含着隐私权受侵犯的风险。第四, 个人信息作为人格要素, 与自然人的人格不可分割。若针对不同类型的个人信息适用不同的同意要件, 意味着人格将受到严密程度不等的保护。在此过程中, 处理者较为便利地取得个人信息, 并以之为经营手段获取经济利益;另一方面, 信息主体的人格要素被处理者无偿使用, 却没有分享处理者经济利益的权利, 出现个人信息被过度商业化利用的问题, 难以在维护人格尊严与促进经济发展之间取得平衡。第五, 从意思表示角度来看, 依据我国《民法总则》第140条的规定, 行为人可以明示或者默示作出意思表示, 沉默只有在有法律规定、当事人约定或者符合当事人之间的交易习惯时, 才可以视为意思表示。在个人信息处理领域, 自然人对处理者的告知单纯的沉默或者不作为, 并没有迹象表明有选择同意与否的意愿, 故一般不视为意愿的表达, 当然不等同于同意。这意味着有效的同意要求选择进入模式, 而非选择退出模式。第六, 在网络服务提供者处于强势地位而用户处于弱势地位情况下, 其发布的隐私条款往往用语晦涩模糊, 难以理解, 用户的同意明显带有强制色彩, 因为用户不表示同意就无法进一步享受服务。所以, 从生活经验来看, 用户大多并不认真阅读隐私条款。以此为由推定用户同意他人商业使用个人信息, 显然构成对用户意志的过度拟制, 并不一定符合用户的真实意愿。第七, 《网络安全法》等法律并没有明白指出信息主体的同意可为推定同意, 如果将信息主体的沉默解释为同意处理个人信息, 可能对我国的个人信息处理制度构成重大挑战, 这可能超出了立法者的愿意。

　　四、个人信息的法定收集

　　在民法中, 凡是权利皆受限制, 无不受限制的权利[24], 个人信息也不例外。一方面, 人天然地属于群居动物, 自古以来人与人之间的交往即是以个人信息的披露为纽带, 披露的多与少甚至成为人际关系亲疏的标志。在这种情况下, 个人信息的有限披露和传播不宜认定为侵犯个人信息权。另一方面, 社会对个人信息的自由流动具有正当需求, 若赋予信息主体绝对而完整的权利, 可能阻碍个人信息的自由流动。个体利益与其他利益发生冲突时, 如信息主体的利益与言论自由、国家安全、公共福祉、法律执行或科学研究发生冲突, 需要对个人自由加以适当的干预和限制, 以求得公共利益与个体利益的平衡[25]。在此情况下, 未取得信息主体同意收集其个人信息, 亦属合法行为。比较法上, 欧盟《一般数据保护条例》第9条 (特殊种类的个人数据处理) 规定, 对于民族、政治观点、宗教信仰等敏感资料禁止处理, 但在为履行合同所必须、保护数据主体本人或他人的重大利益所必须、未提出法律请求或辩护、为实现公共健康领域的公共利益所必须等情形, 则例外允许处理个人数据。日本《个人情报法》第15条第3款列举的情形包括:1.基于法律规定;2.为保护人的生命、身体或财产难以取得本人同意;3.需要改善公共卫生、促进儿童健全发育难以取得本人同意;4.国家机构或地方公共团体执行法定事务, 取得本人同意会对事务的执行造成障碍①。从我国的立法实践来看, 《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《网络安全法》和《民法总则》等法律, 均未规定不经本人同意即可收集个人信息的情形。对此, 有学者予以了关注, 如周汉华教授起草的《中华人民共和国个人信息保护法 (专家建议稿) 》第44条规定, 存在合同关系或类似关系、为完成合同义务必须进行个人信息处理;有利于保护信息主体的重要利益;有利于保护第三人的合法权益;有利于保护公共利益等情形, 可不经本人同意径行收集个人信息。齐爱民教授起草的《中华人民共和国个人信息保护法示范法学者建议稿》第26条规定的例外情形主要有:与信息主体有合同或类似合同的关系, 并不会损害信息主体的合法权益;已公开的个人信息并不会损害信息主体的合法权益;学术研究有必要且无害于信息主体重大利益等。

　　整合域外立法例和我国学者的建议稿, 笔者认为, 我国未来制定个人信息保护法时, 可考虑在下述情形, 收集者不经信息主体的同意, 亦可收集其个人信息, 不构成侵权责任:1.双方存在合同关系或者类似合同关系, 处理个人信息为履行合同义务所必须。例如, 用户通过网络购物场合, 须向卖方提供个人姓名、地址和电话等个人信息, 同时许可卖方将其提供给物流公司使用。但在雇佣关系等人身依附合同关系中, 受雇人基于对雇主的经济依赖, 担心拒绝雇主收集个人信息可能遭到事后报复, 甚至被解除雇佣关系丧失工作机会, 因此不能期待其自由作出拒绝处理个人信息的决定。这种情况下, 信息主体的同意不具有实际意义, 只能寻求其他合法化事由。2.信息主体已经公开的个人信息, 如高校教师在本单位网站公布的电话或者邮箱, 任何人都可以自行收集。3.为学术研究特别是统计学研究, 需要大量的数据作支撑, 有必要允许研究者自由收集。但在提供学术研究成果时, 必须采取措施对个人信息进行去身份化处理, 以防止损害信息主体的重大利益。例如, 医学研究中收集的患者资料, 往往都需要略去患者的姓名、年龄和性别等个人信息。4.信息主体的生命财产安全面临重大威胁, 而不能够及时取得其同意场合, 为保护被收集者本人的利益自然无需取得其同意。为维护他人的生命财产等重大权益但又不能及时取得信息主体同意场合, 基于紧急避险法理, 亦应允许收集个人信息。但信息主体没有必须承受他人损害的义务, 收集、使用其个人信息后, 应将被收集的个人信息及时予以删除。5.为了履行国际条约而必须向外国政府或国际组织提供个人信息。6.国家机关为了侦查犯罪、提起公诉或者当事人提起诉讼场合。7.司法机关执行刑罚或者监护人履行其监护职责场合。8.处理者为履行法律义务所必须。9.为了促进社会公共利益且在必要范围内处理个人信息。

　　结语

　　现代信息技术的迅速发展, 在给人类创造巨大便利的同时, 也给个人信息的安全保护提出了重大挑战。国际组织和众多国家 (地区) 纷纷制定法律加以应对, 其中个人信息的合法收集是必不可少的重要一环。相较于域外立法例而言, 我国的个人信息保护立法工作起步较晚, 现行立法体系对个人信息的收集着墨不多, 需要在未来制定个人信息保护法加以充实和完善。在此意义上, 本文的若干结论或可为立法作业提供一定的参考和借鉴。

　　参考文献

　　[1]韩旭至.论个人信息的形式要素[J].河北法学, 2018, (5) :150.
　　[2]曼昆.经济学原理[M].北京:清华大学出版社, 2006. 480.
　　[3]张维迎.博弈论与信息经济学[M].上海:上海人民出版社, 2004. 397-400.
　　[4]徐为列.微观经济学[M].杭州:浙江工商大学出版社, 2015. 227.
　　[5]Mohan Bharwaney and Azan Marwah. Personal Data Privacy in the Digital Age[J]. HKLJ. 2013, (Vol 43) :817.
　　[6] 贺雪晨.信息对抗与网络安全[M].北京:清华大学出版社, 2015. 321.
　　[7]Vera Bergelson. It’s Personal But Is It Mine? Toward Property Rights in Personal Information[J]. University of California. 2003, (Vol. 37) :379, 447.
　　[8]郑晓剑.人格权客体理论的反思[J].政治与法律, 2011, (3) :108.
　　[9]杨惟钦.价值维度中的个人信息权属模式考察[J].法学评论, 2016, (4) :71.
　　[10]康德.苗力田译.道德形而上学原理[M].上海:上海人民出版社, 1986. 80-81.
　　[11]王叶刚.人格权中经济价值“可让与性”之反思[J].广东社会科学, 2014, (2) :237.
　　[12]张新宝.从隐私到个人信息:利益再衡量的理论与制度安排[J].中国法学, 2015, (3) :45.
　　[13]崔聪聪.个人信息控制权法律属性考辨[J].社会科学家, 2014, (9) :99.
　　[14]梅夏英.数据的法律属性及其民法定位[J].中国社会科学, 2016, (9) :277.
　　[15]隋彭生.用益债权原论[M].北京:中国政法大学出版社, 2015. 6.
　　[16]周汉华.中华人民共和国个人信息保护法 (专家建议稿) 及立法报告研究[M].北京:法律出版社, 2006. 16.
　　[17]杨立新, 扈艳.《中华人民共和国人格权法专家建议稿》及立法理由书[J].财经法学, 2016, (4) :52.
　　[18]刘士国.中华人民共和国人格权法律条文建议稿附理由[M].北京:中国法制出版社, 2017. 5.
　　[19]齐爱民.中华人民共和国个人信息保护法示范法学者建议稿[J].河北法学, 2005, (6) :5.
　　[20]齐爱民.个人资料保护法原理及其跨国流通法律问题研究[M].武汉:武汉大学出版社, 2004. 172.
　　[21] 陈苏.民法总则评注·下册[M].北京:法律出版社, 2017. 789.
　　[22]童万菊.谷歌数字图书馆“选择退出” (opt-out) 机制的分析及思考[J].图书馆杂志, 2014, (6) :93.
　　[23]项定宜, 申建平.个人信息商业利益同意要件研究[J].北方法学, 2017, (5) :39.
　　[24]王泽鉴.民法总则[M].北京:中国政法大学出版社, 2001. 548.
　　[25]李延舜.个人信息权保护的法经济学分析及其限制[J].法学论坛, 2015, (3) :48-52.

　　注释

　　1 CHARTER OF FUNDERMENTAL RIGHTS OF THE EUROPEAN UNION, Article8.
　　2 General Data Protection Regulation, Art.6.
　　3 OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data, 10.
　　4 APEC Privacy Framework, 19.
　　5 Bundesdatenschutzgesetz (BDSG) §4a Einwilligung (1) .
　　6 Children’s Online Privacy Protection Act of 1998, SEC.1302.DEFINITIONS. (9) .
　　7 Article 29data Protection Working Party, Opinion on Consent, 14 July 2011.//ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm, 2018年6月22日最后访问。
　　8 Bundesdatenschutzgesetz§4a (1) (2) .
　　9 《个人情报の保护に関する法律》第17条。
　　10 Province of Alberta, PERSONAL INFORMATION PROTECTION ACT, 10.
　　11 《个人情报の保护に関する法律》第17条第2款。