张婉婷

内容提要:随着《个人信息保护法》的出台,个人信息“合理利用”的问题开始凸显。个人信息“合理利用”的提出,本质原因在于,个人信息并非是个人所控制的信息,而是与个人相关的信息。这导致,个人信息保护不能仅限于不受侵犯,还要求个人信息处理者(国家或者其他私主体)必须对个人信息进行“合理的”处理。个人信息保护的落脚点应该是隐与私,既包括对个体不欲为人知的私密信息的保护,也包括对个体个人信息自我决定权的保护。其规范基础分别是可以使个体隐于社会的内在尊严和使个体积极融入社会的人格自由发展权。个人信息包括私密信息与风险信息。数字时代个人信息保护的难点在于,不知道何种个人信息经过技术处理后会导致个体的人格受到侵害,这体现了个人信息处理的风险本质。这意味着,个人信息“合理利用”应该兼具不受侵犯和风险预防两个方面,在面对国家公权力和私主体两种不同的处理者时,应该具有不同的保护逻辑。

无论在传统社会、还是现代社会,沟通都是社会的基本单位,而信息则是沟通的必要前提。沟通是由信息、传达、理解三要素组成,缺一不可。(1)卢曼的社会系统论将沟通作为社会系统最基本的单元,类似于细胞之于生命,而沟通则由信息、传达、理解三要素来构成,参见[德]尼克拉斯·鲁曼:《社会系统:一个一般理论的大纲》,鲁贵显、汤志杰译,暖暖书屋文化事业有限公司2021年版,第184-203页。信息是沟通所必不可少的一环。如果没有信息,人类的沟通则难以为继,社会也不能称之为社会。信息是社会得以存续所必不可少的前提。可以说,无信息、则无沟通,而无沟通、则无社会。互联网社会,信息的重要性更是不言而喻,互联网的整个架构,即建立在信息共享的基础之上,这也是互联网社会又被称为信息社会的原因所在。

由此可见,信息是社会的石油,且信息必须能够得以流通,社会才能正常运转。传统社会,个人信息与社会信息的边界相对清晰,个人信息为个人所持有,社会信息则进入社会沟通的运作过程当中。随着大众传媒的出现,二者界限开始模糊,个人信息开始进入到社会公众的视野,对个人信息的保护也随之出现。此种保护在传统上主要以保护隐私的形式出现。进入到互联网社会,个人信息被提取、曝光、侵害的形式更加多样化,其密度和强度也与日俱增。对个人信息的保护,已不满足于仅限于私密信息的隐私,而是对所有个人信息都有潜在保护之必要,因为大数据、人工智能可能基于所有公之于众的个人信息而使个人人格或者财产受到损害。有鉴于此,《个人信息保护法》的出台就属现代社会之必然。

然而,个人信息保护的现状并不能令人满意,原因在于,《个人信息保护法》的出台并不能彻底解决个人信息保护当中所遇到的实践困境。首先遭遇的问题是:隐私与个人信息之间的关系究竟应如何处理?如果个人信息可以独立于隐私具有自身特殊的法益,那么个人信息保护所保护的到底是什么?保护个人信息的目的是什么?这是涉及到个人信息保护的根本问题。如果这一问题无法得到很好地解决,则个人信息保护的相关问题都无法得到妥善处理。

个人信息保护在实践中遇到的另外一个问题是,个人信息保护当中所蕴含的法益具有碎片化的特征。因而,有学者指出,个人信息保护应该是一个“权利束”,(2)关于个人信息保护权作为“权利束”,参见王锡锌:《国家保护视野中的个人信息权利束》,载《中国社会科学》2021年第11期;王利明:《论数据权益:以“权利束”为视角》,载《政治与法律》2022年第7期。而非单一化的权利。但“权利束”的属性界定,并不能解决个人信息保护在保护逻辑上的割裂。个人信息保护的碎片化,其法益难以统合,由此带来法律保护的困难。不同类型的个人信息在保护上很容易出现“张冠李戴”的错位情况。

此外,个人信息保护中遇到的最大难题是:《个人信息保护法》是以个人同意为基础构筑个人信息保护的体系。(3)参见程啸:《论个人信息处理中的个人同意》,载《环球法律评论》2021年第6期。但“同意”在个人信息保护当中却存在着“形同虚设”的困境。(4)张新宝:《个人信息收集:告知同意原则适用的限制》,载《比较法研究》2019年第6期;于海防:《个人信息处理同意的性质与有效条件》,载《法学》2022年第8期。当个体在“同意”个人信息处理者对其个人信息的处置时,个体并不真的知道会发生什么,但是“不同意”又会导致当下的各种不便利。这导致,所谓的“同意”并非真正的自我决定权。而“同意”的尴尬处境只是表面,实际上蕴含了风险社会的本质特征,即当下与未来的时间区隔,导致当下个体决定总是包含着未来损失的可能性。(5)参见[德]尼克拉斯·卢曼:《风险社会学》,孙一洲译,广西人民出版社2020年版,第42、68页。这种不确定的风险处境造成,个体在当下的“同意”决定总是蕴含着未来的风险,而在风险尚未出现时,又总是会倾向于“同意”。同时,信息处理者,又总是利用此种时间区隔,而在“同意”机制的设置上,倾向于诱导用户且尽可能的隐藏相关的风险信息。(6)参见万方:《隐私政策中的告知同意原则及其异化》,载《法律科学》2019年第2期。

一、名实之争:个人信息保护面临的困境与挑战

个人信息保护的上述困境,从“个人信息保护权”的名称之争中即可窥见一斑。目前学界关于这一权益的名称有“个人信息权”“个人信息保护权”“个人信息受保护权”等多种。名称背后表征的是对于这一权益属性认识上的分野。这其中尤以“个人信息受保护权”为典型。(7)参见王锡锌:《个人信息国家保护义务及展开》,载《中国法学》2021年第1期。之所以将之称为“个人信息受保护权”,原因是,大数据对个人信息搜集整理利用分析等损害的不是“个人信息”本身,而往往是附着于个人信息之上的人格或者财产。传统中,个人信息保护被视为是“自我决定权”的体现,展现的是个人对信息的控制与自决。但在现代社会,个人信息作为“自决/控制权”的属性却日渐削弱,附着于个人信息之上的“价值”得到实现的方式,不再是通过个人对信息的绝对控制,而是通过“保护”得以实现。从“控制/自决”到“保护”的转变,意味着个人信息保护方式的转型,同时也意味着蕴含于个人信息当中所受保护的“法益”的变迁。

客观的说,“个人信息保护”这一术语或者概念本身是中性化的,从“保护”这一词当中看不到到底要保护的是什么。“保护”一词只能反映出从消极到积极的转变,即个人信息保护的实现,需要从国家消极的不干涉,转向国家的积极作为。这意味着,个人信息“法益”的实现,不能仅依赖于个体的自我决定,还需要国家承担保护义务,提供积极的帮助。这也是目前学界普遍存在的共识,即对个人信息的保护,要超越个人对信息的“控制”这一简单化的方式,而是对之提出了更高的要求。

事实上,由要求不干预的消极防御权向要求创造条件的积极分享权的转变,是现代社会基本权利的一大特征。(8)参见[德]康拉德·黑塞:《联邦德国宪法纲要》,李辉译,商务印书馆2007年版,第235页。许多基本权利——如受教育权等——的实现,都不仅要求国家不去侵犯,还要求国家积极地创设权利实现的前提。因而,在基本权利的保护方面,不仅要求“禁止过度侵犯”,还要求“禁止保护不足”。(9)陈征:《宪法中的禁止保护不足原则——兼与比例原则对比论证》,载《法学研究》2021年第4期。不是每一项自由权的实现,都要求国家的积极作为,但至少一部分自由权如此。离开国家的积极保护,该权利则无法得到实现。

国家保护义务分为两个层次:其一是国家需要积极创设特定基本权利(尤其是自由权)实现之前提;其二是在私主体之间的基本权利冲突中,国家需要对非可归责为国家的基本权利侵犯,提供保护。前者是积极作为;后者是介入社会。在国家保护义务的双层构造当中,可以透视个人信息保护的宪法要求。(10)关于宪法中的国家保护义务,参见陈征:《基本权利的国家保护义务功能》,载《法学研究》2008年第1期;从国家保护义务角度对个人信息保护的界定,参见前注⑦,王锡锌文。

在现代社会,个人信息保护同样要求国家的积极介入,主要原因在于包括私主体在内的个体信息处理者所具有的优势地位,需要通过国家介入,以平衡此种结构性的不平等。这是蕴含于作为基本权利的个人信息保护权之“客观价值秩序”当中的题中应有之义。对个人信息的国家保护义务,是从个人信息保护权所蕴含的“客观价值”当中推导出来的。但由“客观价值秩序”推导而出的国家保护义务,是附着于一项独立的基本权利之上的,其能否再反过来成为一项主观请求权,本来就存有争议。客观价值秩序的再主观化,也要受到严格限定。(11)关于基本权利“客观价值秩序”及其问题,参见张翔:《基本权利的双重性质》,载《法学研究》2005年第3期。因而,由国家保护义务倒推出“个人信息受保护权”,本身就存在着逻辑倒置的问题。如果仅从字面意思理解,“个人信息受保护权”所请求的是国家的积极保护,即针对国家该保护而未保护的情形,这是从国家保护义务衍生而出的请求权(即客观价值的再主观化),是一种积极要求,而非要求国家对“个人信息领域”的不侵犯。(12)同前注⑦,王锡锌文。从这个角度来说,“个人信息受保护”作为防御的对象,显然在逻辑上有些难以自洽。

但“个人信息受保护权”也可以做另外一番理解,即“个人信息受保护”意味着“不去侵犯”和“积极保护”两个层次。“国家不侵犯”也是“受保护”之一种。(13)比如将“国家不侵犯”界定为“消极保护义务”,参见前注⑦,王锡锌文。但此种“受保护”的含义显然有扩大嫌疑,从通行的解释来看,消极的防御与积极的保护,二者之间存在差别,不能将消极的防御(不去侵犯)纳入到积极保护的范畴。比如财产权,保护财产不受侵犯与要求对财产提供积极保护,二者显然存在差异,也没有必要将之称为是“财产受保护权”。从基本权利的教义学体系来看,防御权之请求对应的是直接的国家侵犯,受保护之请求对应的则是国家应提供保护而未保护的情形。二者不应混同,其保护逻辑存在截然不同,是消极自由与积极自由之差别,不应将不侵犯纳入到受保护的范畴,形成语义上的混淆。个人信息保护之所以着重强调“保护”二字,原因在于:属于个人信息自我决定面向的内容,本应以国家“不侵犯”为重点,但如今越来越需要国家的介入,比如个人信息保护中的“删除权”,个人的请求往往难以实现,而需要国家提供配套保护措施。随着私主体在技术能力等各方面的发展,其侵入个人信息和隐私范围的能力也越来越强,国家需要介入的场景也日益频繁,对国家保护的需求也与日俱增。“不去侵犯”与“积极保护”的不同保护逻辑不容混淆,前者主要防范国家,后者主要要求国家介入防范私主体。

防御权的逻辑是“不受[国家]侵犯”,“受保护”是要求国家采取积极措施加以保护。“个人信息受保护”无法涵盖“个人信息不受侵犯”的保护领域。从“个人信息受保护权”作为主观防御权,是防范国家“对个人信息领域”的侵犯这一界定来看,其所保护的也是蕴含于“个人信息”当中的价值不受侵犯(消极要求),而不仅仅是防范“个人信息的受[积极]保护”不受保护(该保护而未保护这种积极要求)的情况。理解这一点,就可以得出如下结论,即无论采用何种名称,个人信息保护都应包含消极与积极的双重面向。

二、返璞归真:个人信息保护的规范本质

(一)“权利束”的本质:“关系”维度中的合理利用

“个人信息”兼具消极与积极的双重面向,决定了个人信息的规范本质需要被揭示出来。由于个人信息在现代社会的复杂特质,人们倾向于将“个人信息权”界定为“权利束”,而非一项单独的权利。(14)如有学者将个人信息权界定为“基本权利束”,参见张翔:《个人信息权的宪法(学)证成——基于对区分保护论和支配论的反思》,载《环球法律评论》2022年第1期。这凸显了个人信息保护的复杂之处:首先,个人信息之上附着着人格、财产、言论自由等多重宪法价值,而无法单独由“个人信息”所涵括。其次,“个人信息”不能通过个体拥有信息的简单方式来加以保护。“个人信息”所表达的更多是与个人相关的信息,但与个人有关的信息,并不意味着这些信息绝对由个人所支配。比如个人的档案,虽然其中全部都是个人信息,但并非是由个人所有或支配。又比如,个人的征信、违法、犯罪等信息,虽然属于个人信息,但并不为个人所掌握。

正是由于“个人信息≠个人所有的信息”,而是“与个人相关的信息”,导致个人信息保护领域存在着若干难以解开的谜团和争议。然而,不为个人所有或控制的个人信息,个人却可对之主张不受侵犯或者不受“不合理处理”的权利,这同样增加了个人信息保护的复杂程度。此外,个人信息始终介于秘密与公开之间,不是完全的私密性、也不是完全的向社会公开,而是居于二者之间不断摇摆,私密或者公开的幅度、范围、程度都不一而足,甚至言人人殊,这也为个人信息的保护带来了复杂性和难度。最后,技术为个人信息保护带来了前所未有之难题,个人信息在不知不觉间被各种采集、提取和处理,人们往往并不能预知这种个人信息处理所能产生的后果。

“权利束”并非是各种权利的简单叠加,而是需要一个共同的东西将这些权利串在一起,才能构成“束”。这个共同的东西,即为个人信息的规范本质。事实上,“权利束”的观念在经济学界讨论产权时便已出现,认为“产权是一束权利”。(15)关于“权利束”,参见周雪光:《“关系产权”:产权制度的一个社会学解释》,载《社会学研究》2005年第2期。但产权这束权利仍是围绕“控制”展开。就此而言,个人信息与财产权不同,个人信息的困境就在于“无法控制”,(16)有学者指出个人信息“权”,其客体指向的不是个人信息内容本身,而是与主体个人信息相关的利益(人格利益),个人信息并不一定“属于”信息主体,参见纪海龙:《数据的私法定位与保护》,载《法学研究》2018年第6期。由此产生出“权利束”的要求,并进而产生出个人信息处理者对个人信息要加以“合理利用”的要求。然而,附着于个人信息之上的这束权利究竟应该包括哪些权利,这些权利之间的关系彼此之间应该如何协调,本身仍存在着争论。(17)对此已经有学者指出了个人信息权利束私权化路径的局限,参见前注②,王锡锌文。“权利束”本身的范围、边界、保护程度不具有自明性,需引入一个外在的视角。从这个角度来说,“关系”是一个较好的维度。个人信息保护始终处于“关系”当中,甚至可以说,“个人信息保护是一束关系”。(18)同前注,周雪光文。个人信息的权利属性、保护范围和边界、保护程度都可以从“关系”的角度得到更好地阐发。

从“关系”的维度当中,也可以透视出个人信息保护与隐私保护之间的区别。隐私更多是个人对私密事务和私密信息的控制,而个人信息保护则处于社会交往和沟通的维度当中,处理的是何种个人信息可以进入到社会沟通当中、以何种方式进入、在多大程度上受到保护等问题。“关系”的维度可以超越个体控制的视角,更贴合个人信息保护的本质。(19)有学者也提到了个人信息保护要从个人控制走向社会控制,参见高富平:《个人信息保护:从个人控制到社会控制》,载《法学研究》2018年第3期。个人信息具有多面性,不同个人信息的属性并不相同,既具有私密性的隐私维度,还具有社会流通的财产属性,同时又具有公共性。只有在“关系”当中,才能对个人信息的多维属性有准确把握。只有在国家、社会、个体三方立体关系的维度中,具体而言,在国家与个体、个体与个体、个体与平台(社会主体)、平台与国家之间多维度的关系当中,才能更好地界定个人信息保护的“法益”,也才能更好地揭示此种法益的多样性,并在“关系”当中引入场景理论(20)关于个人信息的场景化规制,参见丁晓东:《个人信息保护:原理与实践》,法律出版社2021年版,第82-87页。给予个人信息以动态保护。(21)关于基本权利的动态保护,参见王贵松:《风险行政与基本权利的动态保护》,载《法商研究》2022年第4期。

在三方关系的立体维度中,可以看到个人信息保护的公私法交融的属性。既有防范国家公权力的公法属性,又有要求国家保护、防范第三方私主体侵害的公私融合属性,还有仅处于私主体关系内部的私法属性。仅从私法角度,难以洞悉个人信息保护的本质,不仅个人信息保护首先面临公权力主体的侵害(不能仅仅以知情同意作为个人信息处理的基础),还在于在私主体关系维度中,同样存在着大量要求国家积极保护的情况在内。在关系的维度当中,个人信息保护存在着多重变量。比如个人信息可能处于个体、社会主体、国家的多重掌控之中,由此产生了个人信息自决/处理的变量。还比如,个人信息具有人格/财产的不同属性,这构成了个人信息保护的又一重变量。又比如,个人信息可能处于秘密和公开的不同维度,且秘密/公开的程度又各不相同,这同样成为个人信息保护的变量。但无论是不是由自己控制、是不是要公开,个人信息保护的主体都始终是该信息所关联到的“个人”。总之,在不同关系当中,可以透视到,个人信息保护因不同场景、不同主体、不同信息处理者等因素而不同的情况。就此而言,“关系”的维度能够很好地说明个人信息保护所具有的动态性的、类型化的、场景化的本质。一方面,必须要将个人信息保护的规范本质说清楚;另一方面,又必须将个人信息保护的动态特征界定清楚。

从这个角度来说,目前的“权利束”的观点,虽然看到了个人信息保护的多维本质,但并未能很透彻地说清楚其背后的保护机理。比如,很多学者都将个人信息保护的“权利束”界定为知情权、决定权、查阅权、复制权、更正权、删除权、可携带权和信息权利救济权等一束权利。(22)参见程啸:《论大数据时代的个人数据权利》,载《中国社会科学》2018年第3期;汪庆华:《个人信息权的体系化解释——兼论〈个人信息保护法〉的公法属性》,载《环球法律评论》2022年第1期。但这些权利构成的“权利束”某种程度上都是人格权的具体展现。根据通说,个人信息是一种人格权益,其中同时包括精神利益和财产利益在内。(23)参见程啸:《个人信息保护法:理解与适用》,中国法制出版社2021年版,第31-36页。许多学者在讨论个人信息保护的宪法基础时,也是将之置于“人权”“人格尊严”等内容不具有确定性的抽象原则条款之上。(24)如张新宝:《论个人信息权益的构造》,载《中外法学》2021年第5期;王锡锌、彭錞:《个人信息保护法律体系的宪法基础》,载《清华法学》2021年第3期;张翔:《个人信息权的宪法(学)证成——基于对区分保护论和支配论的反思》,载《环球法律评论》2022年第1期;汪庆华:《个人信息权的体系化解释——兼论〈个人信息保护法〉的公法属性》,载《环球法律评论》2022年第1期。由此可见,个人信息保护的宪法属性仍是以强调其人格属性为主,这说明,对于个人信息保护的属性仍未超出“自我决定权”的范畴。但“权利束”观点的提出,又旨在摆脱以“个人控制”为基础的个人信息保护之旧路。这使得二者之间不可避免产生出了撕裂。

(二)个人信息保护的宪法规范本质:隐与私的双重属性

如前所述,个人信息保护无论其信息由谁掌握,归根结底所保护的仍然是与个人信息相关联的那个人,其权利主体是确定的、统一的。就此而言,个人信息对此个人的价值,就决定了个人信息保护的内容。就当前对个人信息保护的研究来看,对个人信息保护之本质的探讨,可谓众说纷纭。主流观点认为个人信息保护是人格权的范畴,但也有主张从财产权角度保护个人信息的观点,还有主张个人信息保护应从个人控制走向社会控制,强调其社会性和公共性的一面。有相当多的学者,认为应该从促进信息流通的角度,来界定个人信息保护的范围和边界。(25)同前注,高富平文。这些观点,各有其道理,各自道出了个人信息保护的不同侧面,但均未能更进一步洞悉个人信息的本质。比如,能否将“促进信息流通”界定为个人信息保护的本质?这一点就存有疑问。促进信息流通和个人信息保护确实是一个硬币的两个侧面,二者互相依存。前者进、则后者退,反之亦然。但决不能将二者等同。毋宁说,促进信息流通,只是个人信息保护当中所应考量的一个要素,而不能将二者等同视之。促进信息流通,是放置于经济系统、乃至社会系统的层面所考量的问题,而个人信息保护则与个人的人格息息相关,而人格则关涉到社会系统与心理系统的结构耦合。(26)参见李忠夏:《数字时代隐私权的宪法建构》,载《华东政法大学学报》2021年第3期。这意味着,个人信息保护本质上关涉社会系统当中人格的塑造,即个人在社会当中所想要呈现的面向,本质上,这关系到自我决定权的事宜。

与传统的一般人格权不同的是,个人信息保护涉及到数字人格的塑造。在数字社会当中,一个人的人格之塑造很大程度上取决于个人信息。互联网上出现何种个人信息、个人在大众心目中的形象之塑造、社会对一个人的评价,基本依赖于个人信息。无论是网络上的陌生人、还是公司对一个求职者的了解,都是基于个人信息。数字时代的发展,基于个体心理与社会实在的区分,一个人可以区分为真实的人、社会人格、数字人格这三重存在。从完全不可见的真实的人到社会人格和数字人格的呈现,这中间起决定作用的是人格的自我决定权。因而,人格不能被脸谱化,数字画像之不被允许,原因就在于,人格画像应保留给个体自己决定,而非外部的主体。个人以何种形象出现,依赖于个体的自我决定权,包括个人对个人信息的自我决定权。数字人格具有双重面向:对外的人格呈现和对内的人格隐匿。这两者都涉及自我决定权,前者涉及人格的信息是否以及如何公开,后者与前者是一体两面的关系,涉及个体可以在无形网络当中适度的隐藏自身以公开、自由地表达。

在笔者看来,个人信息保护的本质还是应该落脚于人格的自我描述(决定),即广义的隐私范畴,此种自我决定不等同于绝对控制,而是对个人信息公开与否、是否以及如何流通、如何在社会当中实现最大限度地隐藏等问题,通过个人信息保护权,实现一种相对化的个人控制。在这里,隐私应该是从一个广义的、既隐且私的角度理解,需要从宪法角度对之进行界定,而非像《民法典》一样采用一种只注重保护“隐”的狭义的理解。这个意义上的隐私,可以区分出不同的保护层次。相应地,要从不同层次、类型入手,讨论个人信息保护所具有的不同程度的人格利益,以及因此产生的不同程度的保护模式。

隐私与个人信息保护之间的关系剪不断、理还乱。目前民法学者和行政法学者多主张,隐私和个人信息分属不同的法益,二者是独立的。(27)参见周汉华:《平行还是交叉:个人信息保护与隐私权的关系》,载《中外法学》2021年第5期。也有学者分析了“从隐私到个人信息”的转变所产生的制度安排。(28)参见张新宝:《从隐私到个人信息:利益再衡量的理论与制度安排》,载《中国法学》2015年第3期。在互联网出现之前,个人信息基本保持为个人控制,纯粹私密的个人信息属于隐私范畴,外界窥伺的手段有限,窥探的成本相对较高,而宪法中关于隐私的保护即可涵盖个人信息的保护。虽然随着监听、监控技术的提升,国家侵犯隐私的威胁越来越大,但隐私的保护已经足够,而无需另外新增一项个人信息保护权。但进入到互联网社会以来,隐私的概念似乎已经无法涵摄对个人信息的保护。程啸认为,“法律不是为个人信息而保护个人信息的,个人信息上附着着需要法律保护的利益”,除隐私利益之外,“自然人对个人还享有一种单独的应受到法律保护的利益,此种利益是一种防御性或者保护性的利益,即自然人针对个人信息享有的防止因个人信息被非法收集、泄漏、买卖或利用而导致其既有人身、财产权益遭受侵害甚至人格尊严、个人自由受到损害的利益。该利益既无法为现有的人格权等民事权利所涵盖,又属于法律上应当保护的利益”。(29)比如与财产相关的很多信息就很难说是隐私利益,而更接近于财产利益,程啸:《论个人信息权益与隐私权的关系》,载《当代法学》2022年第4期。还有学者认为,个人信息保护之所以具有独立性,在于对不属于隐私的、已公开的个人信息的处理,同样可能会危及个体的人格尊严和其他权益,个人信息权益要解决的核心问题是个人信息的保护和社会利用,与隐私权要解决的私密性与公开性关系这一核心问题,“不是一个问题”。(30)同前注,周汉华文。

我国《民法典》采用的是隐私与个人信息保护二元并立的模式。《个人信息保护法》和《民法典》均对个人信息进行了界定。《个人信息保护法》第4条规定:个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、储存、使用、加工、传输、提供、公开、删除等。《民法典》第1034条第1款规定:个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息,包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。《民法典》第1034条第3款规定“个人信息中的私密信息,适用有关隐私权的规定;没有规定的,适用有关个人信息保护的规定。”《个人信息保护法》则没有采取此种区分,只是对敏感信息进行了规定。这表明,个人信息当然包括私密信息,但私密信息属于隐私保护的范畴。

从上述规定来看,我国对隐私概念采取了一种狭义的法律界定。从当前的研究来看,隐私(Privacy)的内涵存在广义狭义两种界定。广义的隐私,不拘于私密范畴的“隐”,而是扩展到一切涉及自我决定、自主事务的“私”的范畴之上。狭义的隐私,则仅限于私密事务。从趋势来看,许多国家都倾向于将隐私的内涵扩展到“私”的领域,美国无论在学理层面、还是在判例领域,都迎合了此种趋势,属于“自主”事务的堕胎等问题均纳入隐私的保护范围。(31)Alan F. Westin, Privacy and Freedom, Atheneum, 1967, p.7.这使得,个人信息保护本质上属于隐私的范畴,欧盟也将个人信息保护本质上视为是对隐私的保护。但我国采用狭义的隐私界定,使得隐私与个人信息保护的分立模式成为现实。

虽然采用一种分立模式,但也并不意味着隐私与个人信息保护之间毫无关联。保护个人信息的目的归根到底还是在保护隐私。直接具有隐私性的信息(如私密信息等)自不必言。其它虽然与隐私不具有直接相关性、甚至可能是已经公开的个人信息,之所以有保护的必要,乃是因为互联网和大数据时期,对于信息的整合能力,很容易通过对已公开信息的处理,获得个人隐私。因而,个人信息的保护,是一种预防性的保护,针对的是非直接隐私相关性、但却可能会给隐私带来风险的个人信息。这是为什么《个人信息保护法》当中使用了敏感信息、而非私密信息的概念。敏感信息不等于私密信息。敏感信息更能体现个人信息保护的本质,体现出非隐私直接相关性、但却可能会给隐私带来风险的敏感特质。就此而言,个人信息保护不是隐私、但同时又是隐私。毋宁说,狭义的隐私与个人信息保护分别代表了广义隐私中隐与私这两个不同的面向。

出于法律体系统一性的考量,《个人信息保护法》与《民法典》规定应尽可能协调。《民法典》关于私密信息和一般信息的二元划分,同样应该贯穿于《个人信息保护法》的理解与适用当中。就此而言,我国法律体系对于个人信息的界定,既是广义的、又是狭义的,《民法典》是狭义的、而《个人信息保护法》则是广义的,既涵盖了私密信息,但又与私密信息相区别。正是因为法律体系的此种安排,导致个人信息保护同时又落脚于隐私之保护。一方面,隐私的界定有广义、狭义之分,虽然《民法典》将之限缩为私密事务,但隐私却有一种由隐及私的发展趋势,宪法中隐私的界定,应该包含隐与私的两方面,将个人的“自我决定权”包含在内;(32)对此可参考德国做法,参见BVerfGE 65, 1 (1).另一方面,个人信息保护始终面临着到底在保护什么的追问,正是因为个人信息当中所蕴含的风险,使得对个人信息保护具有必要性,这一风险是对个人信息的不当处理会对个人造成人格或者财产上的损害。根据《民法典》和《个人信息保护法》对个人信息的界定,虽然有所区别,但共性都是“可识别特定自然人”的各种信息。这一界定的本质在于,防止个人信息的整合与叠加,导致特定自然人身份等私密信息或事务的泄露和公开化,最终保护的还是隐私,或者是隐,或者是私。

由此可见,个人信息保护权应该是一项宪法权利,并对整个法律体系产生辐射性影响,无论是《民法典》、还是《个人信息保护法》,均需在宪法的统摄下作出一致性的、体系化的协调安排。(33)比如针对《宪法》第40条关于通信自由和通信秘密的加重法律保留要求,《个人信息保护法》就需要与之协调,为个人通信信息提供更为严格地保护。学界普遍认为,《个人信息保护法》是领域法,不仅属于私法,而是公私法的融合。(34)参见王利明:《敏感个人信息保护的基本问题——以〈民法典〉和〈个人信息保护法〉的解释为背景》,载《当代法学》2022年第1期。前文指出,已经有很多学者将个人信息保护的宪法基础安置于《宪法》第33条第3款的人权条款和第38条的人格尊严条款之上。有学者从《宪法》第40条的通信自由和通信秘密以及人格尊严和人权条款当中,看到了个人信息作为“权利束”在宪法上的存在。从人格尊严出发,可以衍生出针对国家的诸多义务性要求,如不得侵犯的要求以及国家积极保护的要求,从而实现不受个人控制的个人信息,个人仍能保留适度的自我决定权。就此而言,自我决定并非等同于自我控制,自我决定同时包含了自我控制与合理利用的双重要求,这符合隐私中隐与私的双重面向,以及在保护逻辑上的不同。何种个人信息、何时交由个人自我控制、何时个人得请求“合理利用”,本质上取决于个人信息的不同类型。

三、个人信息保护的类型化分析

(一)个人信息保护的双重社会功能:人格保护与促进沟通

隐私作为一个一体化的概念,如今出现了隐与私的割裂。隐和私具有不同的价值属性。个人信息兼具隐与私的双重属性,这使得个人信息保护的特征变得难以界定。隐私中的隐是“个人在社会之内的隐匿或逃遁”,(35)同前注,李忠夏文。越是与心理系统更为靠近的私密事务和私密空间,则越应受到保护,其保障的是社会中的人不与外界沟通的权利。而私则涉及到如何进入社会,这种意义上的个人信息具有使个人更好的融入社会的功能,故而更多涉及到如何加以“合理利用”的问题。

因而,个人信息虽然是社会之产物,但隐与私两种意义上的个人信息却有不同的保护逻辑。个人进入社会系统:(1)有的个人信息需要严格保护;(2)有的个人信息需要放松管制。前者是作为社会沟通之前提的个人信息,尤其在互联网社会当中,如果没有对私密信息的严格保护,个人就难以安心进入到互联网;(36)关于隐私权对于言论自由的促进作用,可参见[荷兰]玛农·奥斯特芬:《数据的边界:隐私与个人数据保护》,曹博译,上海人民出版社2020年版,第11-13页。后者是作为社会沟通之一环的个人信息,此种意义上的个人信息在一定程度上具有公开性和可流通性。此外,还有一种作为公共产品的个人信息,即具有公共性的个人信息。此种个人信息超越了隐私的范畴,与国家安全、社会公共利益密切相关,原则上应该公开,应超越自我决定的范畴,与前述意义上的个人信息,又具有不同的保护逻辑。因而,无论是严格的隐私保护、还是对具有潜在风险的个人信息的保护、抑或是对于具有公共性和公开性的个人信息的放松规制,都直接或者间接具有促进社会沟通的功能。严格的隐私保护,虽然直接保护的是人格,但同样具有间接促进社会沟通的功用。

信息是个人进行社会沟通之前提,比如一项买卖交易的达成,或许需要对交易对方的个人信息加以充分了解。在互联网社会,信息是互联网得以存在的前提,如果没有信息的集成、交换、互动,互联网就无法存续。在以大数据和算法为基础的数字时代,如果没有个体让渡一部分个人信息,则所谓的共享经济也就无法存续。但与此同时,个人信息在社会沟通当中又具有另外一重特点,即个人信息需与特定行为脱钩,不能因为某些私人的问题而影响个人进入到特定社会系统当中,比如个人不能因为婚姻方面的问题或者性取向等私人问题,而被排除在经济交易或者政治系统(比如被剥夺公务员资格)之外。

就此而言,个人信息具有如下属性:(1)在社会之内与社会区隔的、狭义隐私范畴中的私密信息;(2)进入社会沟通、但容易因大数据的信息整合而给隐私带来潜在风险的个人信息;(3)进入社会沟通、作为社会沟通之前提的个人信息;(4)进入社会沟通、但应与特定行为脱钩的个人信息。个人信息的上述类型界分,是根据个人信息的社会功能所进行的分类。由此可以看到,不同于隐私,个人信息自身存在着内在的异质性。(37)隐私概念的扩展(从隐扩展至私),也使得隐私概念本身具有了内在的异质性,我国《民法典》对隐私的界定,没有采取此种扩展的概念,而是回归隐私的本质属性,应该说是正确的做法。这种异质性表现为区隔与沟通两种属性。一种是隐于社会的私密信息;一种是进入社会沟通的个人信息。这两种不同属性的个人信息,自然在保护方式上存在着显著不同。

(二)“合理利用”要求的提出:不受侵犯与风险预防

根据上述所区分的个人信息种类,可以依据风险防范的程度,将个人信息保护再度类型化。根据风险所能引发未来损失之可能性程度的高低,可以将风险划分为危险、风险、剩余风险三类。所谓危险,指的是人之行为引发未来损害的可能性最高;风险则相对概率较低;剩余风险则是不确定的。对于危险,应该采取最高程度的预防措施,风险次之,剩余风险则可不予规制。(38)参见[德]奥利弗·雷普希斯:《通过行政法的风险调控:对革新的促进还是限制?》,载刘刚编译:《风险规制:德国的理论与实践》,法律出版社2012年版,第180-190页。根据此种区分,对私密信息的侵害(窃取或者公开),会立即引发后果相对比较确定的损失,因而对隐私的侵害属于危险之列,应该给予最高程度的规制。隐私之外的、包含敏感信息在内的个人信息则不同,对此类个人信息的处理会给隐私带来潜在危险,即未来引发损失的可能性程度相对不高,属于风险行为,因而应该采取适当的预防措施(比如知情同意原则等)。对于其它个人信息的处理,因为与隐私的侵害并无直接或者间接的相关性,因而可以归属于剩余风险之列,而并无规制之必要。

根据上述区分,可以看到《个人信息保护法》虽然包含对私密信息的保护,但其主要目的在于保护那些潜在地、可能会对隐私带来损失的个人信息。越来越多的学者已经认识到个人信息保护的风险预防属性。(39)很多学者都认识到了个人信息保护所蕴含的风险防范的特质,参见梅夏英:《社会风险控制抑或个人权益保护——理解个人信息保护法的两个维度》,载《环球法律评论》2022年第1期;王锡锌:《国家保护视野中的个人信息权利束》,载《中国社会科学》2021年第11期;李忠夏:《数字时代隐私权的宪法建构》,载《华东政法大学学报》2021年第3期。个人信息领域的自我决定权意味着:不能利用“我的”合法的个人信息,反过来给我带来损害,包括人格和财产上的损害。个人的负面信息,其是否公开、公开程度也要受到特定的限制。个人信息保护具有隐与私的双面性,并暗含了两种不同的保护逻辑:不得侵犯与风险预防。隐表现出来的是社会之内的与世隔绝,私则是个人如何进入社会的自我决定。隐的面向主要体现的是不得侵犯的逻辑,而私的面向主要体现的则是风险防范的逻辑。私密信息属于损害概率较为确定的危险范畴,需要建立严格的不得侵犯的保护机制。而对于损害结果不确定的风险信息,则应该建立相应的风险预防机制,事先的风险预防对应的是相应的国家保护义务。《个人信息保护法》中规定的诸多措施,都属于事先的风险预防机制。隐的面向当中,同样也存在着风险预防的情况(比如公开的个人信息经过技术处理可能会造成个人隐私泄漏的风险)。私的面向中当然也存在着不得侵犯的情势(比如生育自主等国家不得侵犯的情况)。但相对来说,在个人信息保护领域,私密信息主要掌握在个人手中,其保护逻辑是不得侵犯,而风险信息则大多掌握在第三方手中,针对第三方的处理主要涉及的是风险预防。国家处理个人信息涉及到的是不得侵犯,即使涉及风险信息的处理,也适用不得侵犯的逻辑。第三方私主体处理个人信息,则涉及国家保护,即使涉及第三方对私密信息的侵犯,也适用国家保护义务的逻辑。至于第三方处理风险信息,则更需要国家保护的介入。

个人信息风险预防的本质在于:个人信息被处理可能导致的个人隐私或者人格自由发展遭受侵害,前者主要表现为大数据超强的运算和整合能力所带来的隐私泄漏,后者主要表现为个人信息的不当处理给个人带来的刻板印象以及所谓的人格画像等。个人对此类风险通常缺乏概念,简单的告知-同意也并不能等同于个人的自我决定,因为“告知”并不等于“理解”,“同意”并不代表真正的洞悉后果之后的“同意”。因而,国家需要介入其中,对其中的风险进行规制和监管,这使得个人信息保护当中体现出很强的国家保护面向。

问题在于,哪些信息可以归入到可能会给隐私带来潜在威胁的个人信息?由于风险的本质特征蕴含于当下与未来之间的不重合所导致的后果不确定性,这意味着,对哪些个人信息的何种处理方式会导致未来产生不利的后果,这一点在当下是未知的。这也给个人信息保护带来了困难,即过于狭窄的个人信息保护虽然会尽可能地保护个人隐私,但却不利于信息的流通,相反,过于宽松的个人信息保护,虽然有利于信息流通,但却不利于最大程度削减互联网社会给隐私带来的风险。正是由于个人信息保护的风险属性,造成了个人信息保护当中隐(隐私)与私(流通)之间的紧张关系。

(三)个人信息的类型化保护

根据上述分类,可以将个人信息区分为私密信息、风险信息、沟通信息三类。这三类个人信息介于隐私与流通之间,充分体现了个人信息所具有的人格性与开放性(流通性)的双重属性。这也是如今学界围绕个人信息保护所存在诸多争论的根源所在。藏于自身与进入社会的不同属性,构成了个人信息保护的逻辑分野。这也使得个人信息保护难以通过单一的逻辑得到全面实现,使个人信息保护难以用统一的价值/功能加以统摄,而是需要在这两种不同的逻辑视野中展现个人信息保护的双重功能。

个人信息三种类型的划分,彰显了个人之心理系统与社会系统的区隔程度。(40)同前注,李忠夏文。距离个人内心越近,则距离社会越远,与个人的人格关系越紧密,受保护程度越高,个人的自我控制程度就越高,反之亦然。个人信息在现代社会具有双重特质,而这双重特质之间又具有矛盾性。一方面,个人信息与人格保障密切相关;另一方面,个人信息又是互联网社会的基础,如果没有个人信息的分享,互联网就失去存在的基础,难以为继。如果不能洞察个人信息这两种带有内在矛盾性的双面特质,就无法对个人信息进行更好的保护。

对于个人信息究竟是以严格保护为主、还是以促进流通为主?对于这个问题的回答,有赖于从个人信息的两种不同功能出发,才能加以妥善解决。个人信息的两种不同功能,导致了个人信息保护的两种不同路径,不能一概而论。根据个人信息的两种功能——隐私功能和促进沟通之功能,只能通过对个人信息的类型化,并因应不同的类型采取不同的保护和规制手段,才能实现。相对于隐私功能,个人信息需区分为私密信息和风险信息。私密信息是狭义的隐私范畴,应严格属于个人控制范畴。风险信息则是能够对隐私带来潜在风险的信息,很多的敏感信息都属于此列。个人信息的沟通功能,对应的则是沟通信息,所谓沟通信息,应该是个人进入相关社会领域的前提,比如个人的兴趣爱好等信息。根据上述区分,不同的个人信息,其保护范围、程度、方式均应有所不同。

总结来说,个人信息保护的本质是:不受个人控制的个人信息,个人仍对此具有权益;支配着个人信息的所有者或处理者,其权限可能要受到特定的限定。所谓的个人信息权,指的是“个人信息权益”“个人信息受法律保护”“个人信息合理利用”“个人在个人信息处理活动中的权利”等一系列权益。有些不受个人控制/支配/所有的个人信息,需要通过对个人信息处理者提出“合理利用”的要求,方能得到保护。个人信息中的问题主要存在如下几点:(1)个人信息的双重功能以及蕴含在其中的双重保护逻辑;(2)个人信息不完全受自己控制;(3)个人信息的私密性和公开性具有相对性;(4)个人信息具有典型的风险特征,个人信息处理的风险后果相对不确定。要解决上述问题,就需要从个人信息的双重功能入手,建构起个人信息“合理利用”的规范体系。

四、个人信息的合理利用:以风险防范为基础的体系构建

(一)合理利用的三个层次

只有深入到个人信息的双面特质当中,才能理解何为对个人信息的“合理利用”。所有的个人信息都处于社会之内。但处于社会之内的个人信息,又可区分为个人不欲对社会公开的个人信息和可以进入到社会沟通领域的个人信息。还有一些介于这二者之间,属于虽然已经面向社会公开,但却可能会带来隐私风险的个人信息。从隐秘到公开,这中间区分很多层次。对于个人信息是否公开,没有一个绝对的客观标准。个人可能会随着时间、情境、心态的变化,而对某些个人信息是否公开的态度发生变化。不同的人,对于同一类型信息,是否想要公开的态度也不会相同。同样一个信息,在不同的领域,是否公开或者公开的程度可能各有不同。个人信息更多应该被视为是一种自我决定权,即由自己来决定,特定的个人信息是否要公开。困难之处在于,许多个人信息并不由个体自己来控制或者掌握,因而,自我决定权的实现不仅关涉自身,还需涉及处理者,建立新的请求权,要求对方“合理利用”个人信息。

个人信息无疑是一种人格上的保护。但这种人格保护具有两面性:一面是对个体想要在社会中隐匿自身心理世界的人格性;另一面则是个体自由地、不受阻碍地进入到社会沟通的权利。这两种人格性,是人格的两个侧面,即内在和外在的侧面。内在的人格性,是人的尊严;外在的人格性,是人格自由发展权。(41)参见王锴:《论宪法上的一般人格权及其对民法的影响》,载《中国法学》2017年第3期。个人信息当中同时蕴含着这两种人格价值。属于内在人格性的个人信息,需要做到的是使个人信息与社会区隔。而属于外在人格性的个人信息,需要实现的是使个人信息能够在社会当中合理的出现。因而,前者的实现路径是不受侵犯,后者的实现路径是合理利用。

根据上文的类型划分,个人信息合理利用可以区分为三个层次:符合隐私本质的个人信息,应该受到严格保护。对存在潜在风险的个人信息处理,应该采取适当的预防措施。符合流通本质的个人信息,应以促进流通为导向,对个人信息处理采取宽松标准,但需对之进行制度保障(符合目的和功能的个人信息利用)。比如对于平台经济和共享经济等互联网经济模式而言,海量的用户是根本,而用户个人信息的收集、利用是互联网经济得以运转的基础。只有用户放心让渡一部分信息,互联网经济才能得以良性运转,这就需要国家提供制度保障。

具体而言,合理利用应该包含下述方面:(1)不受侵犯(绝对的自我控制以及不受个人控制的私密信息不得超越用途被随意泄露或曝光,如流调信息和档案信息等)。(2)风险预防的相关措施。对于风险信息,应合乎目的和功能加以利用,(42)根据《个人信息保护法》第六条规定:处理个人信息应当具有明确、合理的目的,并应当与处理目的直接相关,采取对个人权益影响最小的方式。收集个人信息,应当限于实现处理目的的最小范围,不得过度收集个人信息。并采用相应的风险预防措施,比如对人脸信息的收集,就需要合乎目的,且要采取严格的措施,保障其安全性。(3)流通或者公开信息可以公开、收集、利用,但能够导致个人难以融入社会或者被排除在相应社会领域之外的相关负面信息(比如前科、征信等信息不能完全公开)不得随意披露。

在隐私之外,风险信息如何保护,是个人信息合理利用的难题,主要表现为大数据对个人信息的处理,其风险具有高度不确定性。对此,“去识别化”和“知情同意”是其中的关键,但即使如此,其风险仍是未知的。然而,以大数据为基础的平台经济如果离开个人信息的整合,则难以为继。因而,从经济运行的角度而言,在经济领域,对尚未有证据证明会对个人人格造成严重损害者,应该采取宽松审查的标准,以市场为导向,以企业和个体之间的合意为原则。国家在特定情势下可以采取保障措施,以实现个人信息保护方面的国家保护义务。该国家保护义务主要体现在:通过《个人信息保护法》对个人信息处理提供框架性保护,确立私主体处理个人信息的框架秩序;对平台企业的垄断性进行审查;对平台企业是否违规过度收集、处理个人信息进行审查;对大数据杀熟等现象进行审查等等。

此外,个人负面信息的征集、披露和公开应该符合法律保留原则和比例原则。一些“无关”信息,不应成为个人参与社会活动的不当限制。对个人信息的保护,除保障个体的自决权之外,还在于保障以特定的“行为预期”为定向的社会交往能够顺利实现,不因无关的个人信息而受到影响(比如跟谁交易,不会去看这个人的婚姻信息等等)。这是增加社会互容性的关键。通过对个人信息的保护,可以增进社会联系的灵活度,进而增加个体参与社会特定领域的自由度。在特定社会领域中,沟通的自由意味着一定程度上可以抛开其它与系统无关的信息,实现社会交往的灵活性。现代社会,随着信息的爆炸和信息传播更加广泛和快速,使得某些个人信息成为评价一个人的终极标准,进而可能导致该个人被排除在任何社会领域之外。此种现象应该得到纠正。纠正的关键在于对个人信息收集、使用方面的限制。比如,任何企业不得对得过新冠的人员加以歧视,而杜绝此种歧视的根本途径便是个人是否得过新冠的信息不应被公开或者被收集。政府防疫部门如果出现对个人流调信息的泄漏,则应追究其相应的责任。又比如,个人的违法信息不能一概予以公开,从而使其个人从事职业的自由遭到限制甚至被完全剥夺。在互联网社会,个人经常会因为信息的曝光、披露、公开而遭遇“社死”的情况,从而被排除在特定的职业、领域之外。对此问题,一方面需要对个人信息进行更严格地保护;另一方面,应建立相应的机制,使个体能够不受阻碍地被涵括到相应社会领域之内,参与相应的社会生活。私人当然可能因为个人的某种行为而拒绝与某部分人打交道,比如可能不会选择与一个有犯罪前科的人结婚,这是意思自治的体现。但国家不能通过特定的方式将某部分群体排除在特定社会领域之外,比如不能通过立法禁止有犯罪前科的人结婚。在现代社会,个人往往因为个人信息(尤其是负面信息)的公开而被排除在社会交往之外。因而,某些个人信息就不能被随意泄露或者公开,否则在互联网社会就可能会引起非常严重的社会后果。

(二)个人信息处理者的类型化考量:“合理利用”的不同要求

不同于《民法典》,《个人信息保护法》是公私融合的制度安排。《民法典》中隐私和个人信息保护针对的都是其它私主体的侵害,而《个人信息保护法》针对的是包括国家公权力在内的一切个人信息处理者。

私主体对个人信息的处理与国家对个人信息的处理,二者的要求截然不同。私主体对个人信息的处理,应以意思自治和契约自由为基础,以市场为导向。以平台经济为例,平台经济本质上是解决信息不对称的问题,极大降低交易的社会成本,去掉交易的若干中间环节,建立用户与平台的直接关联。比如网约车的出现,就改变了传统的出租车运营模式,以前在路上随机叫车的方式,如今已经逐渐被网络叫车的模式所取代,这带来了极大的便利,降低了很多的社会成本(比如叫车的时间成本)。但与之伴随的是,个人信息会被平台收集并加以处理,带来了个人信息处理过程中的各种风险。然而,这种个人信息的让渡换来叫车的便利,本质上是私人自治的事务,是一种市场选择的行为。国家仅应承担保障个人信息安全利用、网约车安全性等义务,即要求平台必须承担相应的风险预防义务和安全注意义务。也就说,国家需要保障私主体处理个人信息时不去侵犯个体的隐私以及采取了必要的风险防范措施。个人信息在面对私主体时,同样面临不得侵犯和风险防范的双重要求,但这双重要求都可以整合到国家保护义务当中。国家所负担的保护义务,是源于私主体之间在个人信息处理方面的实力不对等,因而需要国家介入。所以在个人信息保护的自我决定领域,如删除权等,都需国家提供积极保护。比如物业在居民小区安装人脸识别系统,同样应该是基于双方合意来达成,不能采取各种直接强制或间接强制的方式(比如将人脸识别系统作为进出小区的唯一方式)来推行。国家保护义务还体现于要求平台承担风险预防义务方面。私主体(平台企业)在对个人信息处理中出现的侵权情况,应适用侵权法的相关原理,应考虑到主体身份、行为性质、风险程度的高低、损害后果的严重程度等各种要素。

国家对个人信息的处理则不同。国家对个人信息的收集、利用和处理是国家公权力的行使。而个人信息保护权又具有宪法基础,是一项宪法权利。在面对国家对个人信息的处理时,个人信息保护权首先表现为消极防御权的属性,即要求国家不去侵犯。国家对个人信息的处理应该受到更严格的限制。首先,国家对个人信息的处理,需在形式上符合法律保留的要求,(43)比如国家对个人通信信息的收集应该符合《宪法》第40条的加重法律保留的要求。如无法律规定或者法律授权,则不得对个人信息进行处理,告知同意不能成为国家公权力收集个人相关信息的正当性基础;其次,在法律保留的基础上,国家对个人信息的处理,还需满足比例原则的要求,即必须符合《个人信息保护法》中提出的“必要”的要求。私主体处理个人信息时,固然也有比例原则适用的空间,但主要集中体现在处理方式方面,应注重处理合乎目的、符合比例,满足风险预防和安全注意义务,至于何种事项可以收集并处理个人信息,则主要基于合意来达成。国家收集并处理个人信息则不然,哪些领域可以收集并利用,应建立在法律保留+比例原则的基础之上。

总的来说,个人信息保护权,针对国家公权力,主要表现为消极防御权,要求国家不去侵犯,国家对个人信息的处理必须符合法律保留和比例原则的要求,在此基础上,才能实现“合理利用”;针对私主体,则衍生出国家保护义务,要求国家提供积极保护和制度保障,保证个人信息处理者在处理个人信息时实现“合理利用”。在个人信息当中存在隐私与风险信息的区分。针对隐私,主要涉及不受侵犯的问题,而针对风险属性的个人信息,则主要涉及合理利用。就此而言,国家也存在对个人信息合理利用的问题,而私主体也涉及不去侵犯个人信息的问题。但在表现形式上,国家对个人信息的合理利用仍在不得侵犯的教义学框架当中,以法律保留、比例原则等为基础。而私主体对个人信息的不侵犯,则整合到国家保护义务的框架当中。

结语:个人信息保护“合理利用”的多重变量

个人信息保护的核心在于:会对个人人格造成潜在风险者,该利用应该受到限制,除非是因个人本身的身份、个人的行为、行为造成的后果而导致该个人信息可以被公开或者被加以利用。围绕风险的程度,个人信息保护区分为不同的层次。比如公众人物,就需要让渡一部分自身的个人信息,其一言一行,均在媒体的关注之下,但与其个人无关的个人信息(如家庭成员信息)则应受到保护。又比如,对于官员而言,个人财产信息就并非像普通人一样,具有严格保护的必要。另外,个人行为的性质及其造成的后果,也会影响到个人信息保护,比如个人违法信息在某些特定情况下就有披露之必要(包括嫖娼、吸毒、犯罪前科等信息)。但这些信息的披露也不是毫无限制的,比如某个小区就不能将某个住户的犯罪前科等信息发布于业主群里。个人信息保护需要处理不同主体身份、不同关系维度、不同场景、不同个人信息类型的多重变量。要综合考量主体、个人信息类型、风险程度、侵害后果等多重要素。总结来说,个人信息保护需要针对个人信息的类型(属于隐私、还是风险信息)、结合不同个体的不同属性(是否属于公众人物)、根据相应的场景(是国家处理个人信息还是私主体处理)、综合判断风险后果(风险的强度和损害后果的大小)等各种因素,才能实现“合理利用”的保护目的。