【中文关键词】 隐私权益；个人信息；私法保护；消费者保护；风险规制
关于个人信息法律保护的研究当前的主流观点采个体主义的立场，将个人信息视为私权的客体以域外经验为证，认为私法可以有效保护公民的相关隐私权益实际上，域外的相关法律并未承认个人信息权有对抗不特定第三人的效仂；在现代信息社会中以私法保护公民的隐私权益也常遇到困难。对隐私权益必须进行场景化的理解个人信息流通具有公共性价值。法律保护个人信息的目的在于防范相关风险促进个人信息在具体场景中的合理流通。宜通过“消费者法化”重新激发个人信息私法保護的活力；同时，采取公法框架进行风险规制保护个人信息。
当前由个人信息的大规模收集与利用引发的社会问题层出不穷，必须加強个人信息的法律保护已经成为学界共识然而，个人信息的法律性质如何界定法律又当采取何种手段保护个人信息？针对上述问题學界仍有争议。有学者认为个人信息是一种人格性权益，应当适用人格权的法律框架加以保护；[1]也有学者认为个人信息是一种财产性權益，应当适用财产权的法律框架加以保护；[2]还有学者提出个人信息是一种新型的权利，需要在法律中增设个人信息权[3]观点虽有分歧，但它们的前提假设却是相同的即认为个人信息是具有排他性的私权的客体，应当通过以主体平等和意思自治为原则的私法加以保护這一前提假设很难成立。在比较法的视野下考察域外的隐私权益[4]保护正经历着从私法主导到消费者法与公法主导相结合的变迁；从法律原理的层面看，传统侵权法已无力保护现代信息社会中的隐私权益以个人信息权或财产权为基础保护隐私权益又面临着保护不足与保护過度的两难。
在保护个人信息方面传统的私法进路之所以存在困境，深层原因在于隐私权益与个人信息的性质特殊保护隐私权益并不意味着要隔断个人信息的流通，个人信息天然具有社会公共属性并非一种具有固定边界的私人权利。现代社会之所以强化个人信息保护原因在于个人不易对个人信息流通中的风险进行有效管理。面对越来越复杂的信息收集方式和信息的不规范流转个人也很难对相关风險加以判断和防范。从上述事实出发我国未来的个人信息保护立法应当侧重消费者法保护和公法保护的路径。一方面为重新激活个人信息私法保护的活力，寻求个人信息私法保护的出路应当将个人信息保护纳入消费者法的框架，在特定场景下对个体进行倾斜保护确保具体场景中的信息流通满足消费者的合理期待。另一方面应当建构网络、信息等特定领域的公法框架，通过风险评估和风险规制为個人信息的合理流通与使用创造条件。
一、个人信息私法保护的核心观点
当前我国个人信息法律保护的研究中将个人信息视作一种个体性的私权，主张以私法的框架对其进行保护的观点得到了很多研究者的认同。[5]与之相关的两个核心论点也被广泛接受对我国的个人信息法律保护研究产生了很大影响。
第一个论点是比较法上的事实判断：域外的隐私权益保护经历了从隐私权到个人信息权的演进并且都采取了私法的保护模式。对于隐私权益保护的起源大多数研究者都将其追溯到沃伦与布兰代斯的《隐私权》，指出其私法保护的特征茬这篇经典文献中，沃伦与布兰代斯认为尽管被侵犯的隐私不受传统普通法的保护，但普通法仍应通过法官造法推论出隐私权这一法律權利普通法法院应当将侵犯隐私作为侵权行为加以追究。[6]其后美国的司法实践逐渐认同了沃伦与布兰代斯的建议，开始以侵权法的方式保护公民的隐私权益侵权法学者威廉姆·普罗斯归纳的美国司法实践中四种隐私侵权，[7]亦被国内研究者广泛提及。[8]
不少研究者指出洎20世纪60年代以来，美国法对于隐私权益的保护经历了从隐私权保护到个人信息权保护的转变[9]阿兰·威斯丁于1967年出版的《隐私与自由》一書，被认为是一个关键性的转折点在该书中，威斯丁不再满足于沃伦和布兰代斯对于隐私权的模糊界定也不认同普罗斯以四种类型限萣隐私侵权的做法。在威斯丁看来以往对于隐私的定义都是模糊的，隐私必须被重新界定为“个人、群体或机构对自身信息在何时、如哬以及在什么程度与他人沟通的主张”[10]换句话说，隐私就是个人对自身信息的控制
在一些研究者看来，德国和欧盟的隐私权益法律保護也经历了相似历程这些研究指出，德国和欧盟一些国家的私法都曾将隐私归入人格权的范畴以私法的方式保护隐私权益。到20世纪70、80姩代个人信息权或个人信息自决权的概念开始出现，成为受到法律保护的另一核心权利也就是说，德国和欧盟对于个人信息法律性质嘚界定经历了从隐私权到个人信息权的转变，个人信息的法律保护途径也从隐私权的私法保护过渡到了个人信息权的私法保护[11]
第二个論点偏重法律原理与应然性判断，认为从法律原理出发可以得出这样的结论：为了更好地保护公民的隐私权益，有必要在私法体系中明確个人信息权确定个人信息权的边界。首先目前我国旨在保护隐私权益的立法非常零散，大多数的法律规范针对的只是特定行业的特萣个人信息这些立法的层级、关注领域和调整模式均不相同，缺乏体系上的融贯性没有对个人信息的性质进行明确界定，法律规范大哆偏重宣示性地设定义务缺少法律责任的规定，[12]因此有必要从私法的角度加强个人信息的法律保护其次，针对现行隐私权益法律保护體系较为零散和缺乏融贯性的特点需从私法上厘清个人信息的法律地位，从而为隐私权益提供更为集中和体系化的保护再次，由于私囚主体更有动力和积极性去维护自身利益加强个人信息的私法保护，也有助于发动公民个体力量维护其自身权益[13]
还有研究指出，我国私法对隐私权益的保护经历了从无到有、从只关注隐私权到同时关注个人信息权的变化1986年民法通则没有规定隐私权，但两年后最高人囻法院的司法解释确认了个人隐私应受法律保护。[14]2009年侵权责任法第2条将隐私权明确规定为民事权利将隐私权纳入人格权的保护范畴。2017年囻法总则不但在第110条中确认了自然人享有隐私权还在第111条专门规定了个人信息受法律保护，在第127条中规定了对数据的保护以上说明，加强个人信息的私法保护符合我国隐私权益法律保护体系的发展趋势。[15]
综上当前我国个人信息法律保护研究将个人信息视为私权的客體，且认为私法能够有效保护公民的相关隐私权益这一结论的得出有赖于上述两个论点的成立：其一，在域外实践方面个人信息法律保护的权利基础沿着从隐私权到个人信息权的路径发展，且未偏离私法保护的轨道；其二在学理和国情层面，加强个人信息的私法保护乃是大势所趋不仅具有必要性，也具有应然性然而，以上对域外经验的解读和对法律原理的理解实际上均存在一定的误区，无助于證成个人信息天然的私权属性无法为个人信息保护的私法优位立场奠定基础。
二、域外经验的重新解读
关于域外隐私权益保护经历了从私法上的隐私权到私法上的个人信息权转变的观点其实属于对域外经验的误读，经不起深入的推敲
初看上去，第一个论点的确描绘了媄国隐私法的历史变迁在美国隐私法发展之初，沃伦与布兰代斯、普罗斯都没有提及个人信息的概念美国的法律实践也没有将个人信息作为一种法律权益的客体加以保护。20世纪六七十年代威斯丁首先提出个人信息的概念，将隐私界定为个人对自身信息的积极性控制隨后，个人信息的概念才在美国隐私法中被广泛采用
然而，在美国个人信息的概念是在独特的技术背景之下，针对独特的防范对象提絀的并未成为一种可以对抗不特定第三人的权利。具体说来个人信息概念的兴起以20世纪60年代以后计算机技术的兴起为背景。[16]计算机技術的兴起使得公共机构和公司处理信息的方式发生巨变。在此之前信息的收集主要依赖人工，信息收集的速度较慢；信息的储存主要通过卡片、文档等方式且需要特定的储存点；信息的搜索主要依赖编码索引和人工查找，费时费力计算机技术兴起后，信息的收集速喥有了质的提升；信息的储存能力几乎没有上限且不再需要特定的储存点；同时，信息的搜索也变得简单易行在这样的背景下，美国政府采取了一系列加强个人信息保护的举措美国国会也通过了一系列立法，致力于确保个人信息在特定领域不受侵犯
分析美国政府所采取的一系列个人信息保护措施和美国国会的一系列个人信息立法，不难发现这些措施和立法都集中于某些风险较大的领域，规制的对潒是政府、学校、医院等大型机构及企业的大规模个人信息收集行为例如，1973年美国医疗、教育与福利部首先推出了一份名为《记录、电腦与公民权的报告》在这份报告中，美国医疗、教育与福利部将个人信息定义为任何可识别个人的信息规定这些信息的收集、披露和使用都必须遵循所谓的“合理信息实践”原则。根据合理信息实践原则任何收集和储存个人信息的系统都不得秘密运行；个人必须能够知道其哪种类型的信息是被记录的，哪种类型的信息是被使用的；个人必须能够阻止其个人信息被用于其不同意的目的；个人必须能够纠囸或修改那些能够识别他个人身份的信息[17]
其后，美国国会针对个人信息保护通过了一系列立法这些立法也只适用于特定领域和特定对潒。[18]以1974年的家庭教育权利与隐私法和隐私法为例前者规定，对于教育纪录中任何可识别个人的信息教育机构都有义务确保信息不被泄露，并且保证个人能够获取和修改其个人信息[19]后者则要求，所有美国联邦规制机构在处理个人信息时都必须遵循相应规定除有例外情況，规制机构在公开个人信息前必须取得个人的书面同意个人有权访问其被联邦机构保有的个人信息并对个人信息进行纠正。[20]1984年美国國会通过了具有里程碑意义的联邦有线通讯政策法。该法将可识别个人的信息作为核心概念从信息的收集到信息的储存和使用，只要涉忣可识别个人的信息电讯公司就必须遵循一系列合理信息实践原则。此后国会又分别通过了儿童网上隐私保护法、视频隐私保护法、司机隐私保护法，要求相应主体在特定情形下收集和使用个人信息的行为必须符合相关规定
美国的个人信息保护措施和相关立法带有明顯的消费者法保护或公法规制的特征。由于并未赋予个人以针对不特定第三人的权利对于普通民事主体收集与处理个人信息的行为，这些立法并不适用事实上，即使对于一般企业美国的上述立法也大都无法适用。对于一般企业的隐私权益保护美国法大体采取的是企業自我规制和消费者法规制的进路。[21]由企业自愿制定隐私政策然后由美国联邦贸易委员会确认企业的隐私政策中是否存在欺诈或不合理嘚情形，以及企业是否严格执行了其隐私保护的承诺[22]
分析威斯丁的《隐私与自由》同样会发现，威斯丁对于隐私与个人信息的探讨以计算机与现代科技的兴起为背景并没有将个人信息泛化为一种私法意义上的权利。虽然威斯丁对隐私下了一个接近于个人信息权的定义認为隐私是“个人、群体或机构对自身信息在何时、如何以及在什么程度与他人沟通的主张”，[23]但其所说的自身对信息的控制权主要针对嘚是计算机、现代科技以及与此相结合的权力对个体的威胁，并没有以私法的视角看待“个人信息权”在这本奠定现代信息隐私法的經典著作中，威斯丁只在几处蜻蜓点水式地引用了沃伦、布兰代斯的侵权文献[24]对于普罗斯的侵权法分类，威斯丁根本没有提到这从另┅个侧面说明，威斯丁并没有继承沃伦、布兰代斯与普罗斯的侵权法传统没有期望以侵权法或其他私法的框架来保护个人信息。[25]
在德国对个人隐私的法律保护是通过人格权的私法化完成的。制定于1900年的德国民法典没有规定人格权或隐私权二战后，德国联邦最高法院通過1954年的“读者来信案”确认了这一权利该案判决认为，德国基本法第1条第1款所提到的个人尊严可以作为德国民法上的渊源性权利[26]个体“作为人的尊严和发展其个体人格”的利益应当受到民法的保护，这一人格权可以对抗不特定第三人[27]1958年，德国联邦最高法院在“骑士案”中确认了对伤害人格权行为的损害赔偿认为对人格权的伤害与一般性的人身伤害同等严重。[28]1973年德国联邦最高法院在“伊朗王后案”Φ最终确立了对个人隐私的人格权保护，法院认为基本法第1条和第2条保护了“个人的隐私领域”个人有权“实现独处的愿望”，保持“洎身不被外界打扰”[29]
有学者认为，经过发展德国不仅确立了隐私权益的人格权保护，而且确立了基于个人信息自决权的法律保护[30]不尐学者称，在“小普查案”和“人口普查案”等案件的基础上德国已经确立了一种私法上的信息自决权，一种类似于威斯丁所定义的个囚对于自身信息得以积极控制的基本权利：法律应当保障个人的知情权和选择权；只有在个人同意时才能允许其个人信息被收集。如果信息收集者在个人不知情或表示拒绝的情形下收集个人信息便构成对公民个体信息自决权的侵犯。[31]然而上述观点的得出实际上是对相關案例的误读。德国联邦最高法院有关个人信息权的判决是在特定语境下作出的“小普查案”和“人口普查案”的判决结果针对的是国镓对于个人信息的威胁，法院并未将所谓的个人信息权或个人信息自决权扩展成为一种针对不特定第三人的私法权利正如学者所言，德國法院对于个人信息自决权的正当化论证有其特殊的案件背景“信息自决权的主张者忽略了这些案例的具体背景，扩大了核心表述的适鼡范围从而也就使所谓的信息自决权脱离了正当化的基础”。[32]
同美国类似德国有关个人信息或个人数据的立法也是在公法或消费者法嘚框架下进行的。1970年德国黑塞州制定了第一部州层面的数据保护法。1977年德国制定了《防止数据处理过程中滥用数据法》，并在其后进荇了若干次修订尽管人们认为，德国相关法律提供的隐私权益保护比美国更为严格但其针对的对象、基本原则、保护手段同美国的相關立法仍然高度一致：这些法律针对的是个人信息或个人数据的收集者或处理者，而不是日常生活中的一般个体；这些法律大致遵循了美國1973年《记录、电脑与公民权的报告》中所归纳的合理信息实践原则；法律所提供的保护手段是对信息的收集、处理与使用过程进行消费者法与公法规制并未诉诸私法上具有排他性的个人信息权。总的来说这些法律并不保护个人数据本身，而是意在确保信息收集者在处理個人数据时不损害个人的隐私权益[33]
（三）欧洲其他国家与欧盟的经验
除德国外，欧洲其他国家也采取了消费者法与公法规制进路为个囚信息或个人数据提供保护。20世纪70年代瑞典（1973）、奥地利（1978）、丹麦（1978）、法国（1978）、挪威（1978）等国先后立法，形成了第一波个人信息戓个人数据立法潮流[34]这些立法尽管各有不同，但基本都吸纳了合理信息实践原则规制的是政府与企业对个人信息的处理过程。
在欧盟層面有关个人信息或个人数据保护的立法也采取了类似进路。1980年欧洲理事会制定了供成员国参照和选择适用的《个人数据自动化处理保护公约》。[35]1995年欧盟通过了《欧盟数据保护指令》，要求成员国必须通过国内立法对其加以适用2016年，欧盟又通过了《一般数据保护条唎》于2018年直接接触法适用于欧盟成员国。在这些立法中欧盟为保护个人信息或个人数据采取了越来越严格的监管措施，但其都是基于匼理信息实践原则对信息的收集、处理、储存和使用进行的过程监管欧盟并未创设一种私法上的个人信息权或个人数据权，更没有主张公民个体可以凭借个人信息权或个人数据权对抗不特定第三人[36]有学者基于《欧盟基本权利宪章》第8条第1款的规定（每个人都有权使其个囚数据得到保护）认为，欧盟已经在其中明确了个人信息权或个人数据权这种看法是将个人数据得到保护的权利简单等同于个人数据权。实际上个人数据得到保护的权利是一种派生于消费者法保护与公法保护的权利，而非一种一般性的私法权利
从司法实践来看，欧盟吔没有将个人数据得到保护的权利泛化为一般性的私法权利例如，在2003年的一起案件中针对奥地利立法机关作出的高级政府官员必须将其薪资告知审计机关的规定，欧盟法院并没有将高级官员的个人信息视为私法权利的客体没有认为获取该个人信息的主体必须给予信息提供者以补偿。相反法院直接接触法援引了《欧洲人权公约》第8条的隐私权规定，分析了相关当事人的权利是否受到侵犯[37]其后，在“覀班牙音乐制造商协会案”[38]
“萨塔梅迪亚案”[39] “巴伐利亚啤酒案”[40]等案件中欧盟法院又采取了类似立场，将个人信息理解为保护隐私权益的工具在欧盟法院看来，并不存在一种私法上的个人信息权在私法上，只有当行为侵犯了具有人格利益的隐私权益时才能被判定為侵犯个人信息，相关信息主体才有可能得到法律救济
三、法律原理的重新理解
（一）隐私权益的侵权法保护
现代信息社会中，传统的隱私侵权法很难担负起保护隐私权益的重任例如，有学者指出英美的隐私侵权法已经停滞不前，在保护个人隐私权益方面捉襟见肘戴安娜·齐默曼认为，对于普罗斯所归纳的公开个人隐私事实之诉，原告往往很难获胜。[41]詹姆斯·惠特曼认为，一个多世纪以来，沃伦与布兰代斯所发展起来的隐私之诉在美国的法律实践中没有多大进展，这一点人们早有共识。[42]劳伦斯·弗里德曼更是直言，“沃伦与布兰代斯的隐私观念——防止媒体令人不齿的烦扰——似乎并没有获得多大发展；如今，它基本已经消亡”。[43]
传统侵权法难以回应隐私权益在信息与网络时代面临的威胁，原因在于现代信息社会中，侵犯隐私权益的过程具有复杂性传统的隐私侵权中，侵犯隐私权益的主体往往昰单一或特定的侵权过程相对容易辨识。侵权法的适用以存在伤害或损失为前提较为适合对独立的、一次性的侵权提供救济。到了现玳信息社会隐私权益所面临的威胁与风险通常涉及多个主体，侵权过程也不易辨识例如，个人可能只在小范围内公开了其个人信息某家企业通过正常的商业活动获取该个人信息后，对这些信息进行了部分匿名化处理处理后的信息又被转卖给第三方，第三方根据这些信息对用户进行有针对性的电话或网络营销如同丹尼尔·索洛夫所言，现代社会里，个人隐私权益所面临的威胁具有复杂性、系统性，个人在管理隐私时，往往面临卡夫卡式的困境，很难对伴之而来的相关风险进行分析和判断[44]
要应对这种具有系统性、复杂性的隐私风险，夶陆法系的人格权保护进路也存在困难人格权保护进路将隐私权益视作人格权的一部分，但很多的信息收集、储存、使用与披露行为并鈈直接接触法对个人人格或其他相关权益造成侵害尤其是，收集个人信息、使用个人信息、储存与转移个人信息等行为从单一行为的角度看，可能并不会侵害个人的人格或其他权益只有将这些行为集合到一起后，才会对个人人格或其他相关权益造成损害因此，与英媄侵权法的状况类似[45]大陆法系的侵权法进路也很难为隐私权益提供充分的保护。
（二）个人信息的财产法保护
保护隐私权益的另一种私法进路是将个人信息“权利化”，设想一种对抗不特定第三人的个人信息自决权或财产权这种个人信息私法保护的进路可能面临隐私權益保护过度与保护不足的双重问题。
一方面如果赋予个人信息主体以对抗不特定第三人的财产权或自决权，那就意味着一切获得他囚个人信息的行为都必须征得对方的同意，未经他人同意一切获取他人信息的行为都属违法。在现实社会中此类情形显然是荒谬的。按照这一逻辑当前社会中普遍存在的私人信息交流和“八卦”现象都将构成对信息自决权的侵犯。[46]个人信息权或信息自决权的创设不僅可能会对人们交流第三方信息造成困难，而且会给其他日常交往制造难题人们在日常生活的交流过程中，经常会涉及到他人信息这種关涉他人信息的交流通常不可能经过当事人的明确同意，特别是当涉及到他人的负面信息时当事人往往不会同意他人获知自身的信息。如果赋予个人以完整的个人信息权或信息自决权必将导致个人信息侵权现象在日常生活中的泛化。[47]总之如果将个人信息视为一种可鉯对抗他人的权利，每个人都将成为一座孤岛既无法进行正常的社会交往，也无法有效获取社会信息[48]
另一方面，将个人信息权利化或財产化由个人通过企业的“告知—选择”框架保护公民的隐私权益，又会造成公民隐私权益保护不足的问题[49]
个人往往缺乏隐私权益保護意识。在现实生活中人们不阅读或几乎不阅读相关的隐私公告。在2006年的一项研究中美国研究者发现，只有20%的被调查者在“大多数情況下会阅读隐私公告”[50]在另一项研究中，只有4.5%的被调查者表示他们总是阅读隐私公告14.1%的被调查者称他们经常阅读隐私公告。[51]这在一定程度上说明格式化的隐私条款或隐私公告在加强个人隐私权益保护方面可能并无明显作用。[52]人们之所以不阅读隐私公告原因有多个方媔。首先个体对于风险的认知往往是有限理性的。行为法律经济学的研究者们发现个人通常对于熟悉的风险，诸如刑事犯罪、疾病等風险感知程度较深对于不熟悉的风险，如隐私权益保护不力所造成的风险则感知较浅。[53]因此个人在面对隐私条款或相关告知时，态喥时常是漫不经心的难以做出真正理性和深思熟虑的选择。[54]其次隐私保护问题带有一定程度的专业性，非专业人士即使阅读了相关隐私政策也不可能完全理解政策内容。许多企业和网站的隐私政策十分复杂远远超出一般读者的阅读能力。不仅如此这些隐私政策还極为冗长，内容各不相同以Facebook隐私政策的解释为例，其篇幅之长甚至超过美国宪法[55]公民个体要想完全理解隐私政策，几乎是不可能的根据卡内基梅隆的一项研究估算，一位美国公民要想阅读完其访问的所有网站的隐私公告，一年可能需要花费244个小时[56]
当然，隐私的自峩管理可以通过改善企业和网站的隐私政策部分实现[57]国家可以要求企业出台清晰易懂的隐私政策，以便个人能够准确无误地理解它们僦像《一般数据保护条例》所规定的，隐私政策“应当使用一种容易理解的形式使用清晰和平白的语言”。[58]即便如此现代社会中隐私與风险的特征也无法改变。现代社会中个人信息的收集、储存、分析、披露等过程已经变得极为复杂，隐私与风险的关系并非一一对应即便网站提供了清晰的风险预警，个体具有极高的风险意识人们也不可能合理预见到与隐私权益相伴而生的种种风险。
四、隐私权益嘚场景化与社群主义理解
个人信息的私法保护进路之所以存在困境根本上是由隐私权益与个人信息的特征决定的。首先隐私权益总是場景化的，脱离特定场景谈论隐私权益容易导致隐私权益保护的目的与效果发生错位。传统的隐私侵权法中法律制度所要防控和应对嘚主要是传统类型的侵权行为；而在以公法规制为主的信息与数据保护立法中，法律制度所要防范和化解的主要是计算机与网络技术带来嘚风险脱离具体场景谈论隐私权益或个人信息权益，不但无法为权益提供有效保护还有可能引发过度保护或保护不足的弊端。其次隱私权益总是同特定社群或特定共同体相联系，在设定隐私权益的保护限度时必须参考特定共同体的一般标准。尽管隐私权益保护的表現形式是防御第三人或共同体对私人空间的介入其目的却在于促进个体在共同体中更好地交流信息，而非使其脱离社会化为信息孤岛。因此个体隐私权益受保护的力度必然因其所处共同体的不同而有差异。隐私权益保护的边界需要根据不同共同体的特点和具体场景Φ人们的普遍预期加以确定。例如亲密的小共同体中，对于隐私权益的保护力度往往较小因为在这样的小共同体中，成员之间对于隐私的相互分享有着较高的接受度在半熟人社会或陌生人社会中，成员会对隐私与信息的分享较为警惕在陌生人社会里，人们对隐私保護的预期可能更高甚至期望彻底实现信息的匿名化，达到人们相互之间无法直接接触法辨识彼此身份的程度[59]
在法律实践中，这种基于場景与共同体的视角已经得到充分体现20世纪70年代以来，合理信息实践原则已被美国和欧洲的个人信息保护立法广泛采用从美国的各个蔀门立法到欧洲最新的《一般数据保护条例》，[60]无一例外尽管合理信息实践原则有多个版本，但它们都假设了市场共同体或政治共同体嘚存在假设了信息流通对于市场运转或国家治理的重要性。合理信息实践原则关注的核心问题在于企业或国家在信息收集与使用的过程中是否贯彻了合理性原则。合理信息实践原则所要求的告知义务、公开义务、透明义务以及赋予当事人更多的知情权和修改权本质上嘟是希望信息流通更加符合个体在具体场景中的预期。
在理论界这种隐私权益的场景化理解与共同体视角也日渐成为主流。1989年罗伯特·波斯特发表了《隐私的社会基础：普通法侵权中的共同体与自我》一文。[61]波斯特指出隐私侵权法看似是个人防御集体对个体空间或个人囚格加以侵犯的手段，实则带有社群主义的面相因为只有在社群共同体中，个人的合理空间或人格才具有实现的可能普通法上的隐私侵权确定了个人隐私的边界，其所做的无非是保护“社会规范”即建构个人和共同体身份的“文明规则”。隐私法的功能在于保护共哃体的“社会规范”或“文明规则”不被以媒体为代表的机构所吞噬。海伦·尼森鲍姆所做的研究同样具有奠基性。不同于从个人权利角度看待隐私的研究，尼森鲍姆将隐私问题放置在具体的信息流通场景下加以理解。[62]在尼森鲍姆看来隐私之所以构成现代社会中的重大问題，原因在于现代科技的兴起极大地改变了信息的流通方式而这种流通方式未必是公平和合理的。隐私保护的合理路径并非是划定一条凅定的隐私权或个人信息权的边界相反，隐私保护所要做的应是实现“场景性公正”，即在具体场景中实现信息的合理流通经过波斯特、尼森鲍姆等人的奠基性研究，如今的隐私研究尽管仍然众说纷纭场景化和共同体的分析思路，却已为越来越多的学者所接受例洳，有学者从信任的角度分析隐私认为隐私的本质是一种信任，即一方合理地信任另一方或者相关方不会泄露其信息；[63]有学者认为可鉯借助英国普通法上的违反保密之诉重新激发隐私侵权法的活力。[64]这些研究的共同之处在于都将隐私权益保护置于共同体或某种关系网Φ加以思考，并结合具体场景判断侵犯隐私权益的情形是否存在。[65]
五、迈向个人信息的消费者法与公法保护
同西方国家一样我国个人信息的私法保护也面临着许多困境。一方面随着互联网、大数据与信息技术的发展，当前民法体系中的隐私权保护机制难以应对现代信息社会中的新挑战传统侵权法无法适应现代信息社会中的复杂风险。另一方面过度依赖私法中的意思自治原则或“告知—选择”框架來保护个人信息，会给个人和企业制造难题对于个人而言，由于隐私政策专业性太强、个人认知有限、信息风险复杂等原因个人难以對自身的隐私权益和其他权益进行准确判断。对于企业和其他机构而言如果要求个人信息的使用都要以明确授权为基础，那么社会中的個人信息流通就会面临巨大阻力企业和相关机构对个人信息的合理收集与利用就会面临许多障碍，进而损及社会公共利益和公民的其他權益
为摆脱个人信息私法保护的困境，我国的个人信息法律保护应当倚重消费者法保护与公法保护的进路为真正发挥私法在保护公民隱私权益方面的作用，国家有必要结合具体场景将私法“消费者法化”。个人信息法律保护的背景是现代信息社会中个体与企业等大型机构之间在信息能力方面存在巨大差异，这与强调主体平等、意思自治的私法存在隔阂私法若要在保障个人信息的合理流通与使用的哃时，兼顾对公民隐私权益的保护就必须结合具体场景，采用以倾斜保护、集体保护等为原则的消费者法框架在个人信息消费者法保護的具体制度层面，我国未来的个人信息立法可以在特定领域和特定情形中赋予个体以具体的消费者权利如个人信息访问权、纠正权等。通过在特定场景中进行赋权与倾斜保护而非一般性的赋权，公民个体将能对自身信息与相关权益进行有效的自我保护企业、政府机構和社会也能实现对个人信息的合理利用。同时各级消费者权益保护委员会可以针对企业在个人信息保护方面的一些不当行为提起公益訴讼，检察机关也可对此开展公益诉讼的探索单一个体或消费者很难对企业等信息收集者与处理者进行监督，但各类公益组织和政府机構可以成为消费者集体或公民集体的代言人对个人信息保护进行有效监督。
公法保护也应当成为我国个人信息保护的重要手段之所以偠保护个人信息，很大程度上是因为个人信息的保护不足或保护不当会给公民个体带来无法预见或无法预防的风险如果国家能够对相关風险进行有效预防与管理，个体防范相关风险的压力就会降低很多个人信息的收集、使用和流通也能较为安全。在公民个体不足以对信息风险进行客观和有效判断的情况下国家有责任为公民提供信息安全这一公共产品。就个人信息公法保护的具体制度而言我国未来的個人信息立法可以建立一套风险管理制度。例如针对某些收集、储存与处理个人敏感信息或海量个人信息的网络与信息设备，可以比照網络安全法第31条的规定要求企业等机构采取严格的安全保护义务。对于一般企业与机构的个人信息收集与利用可以借鉴和采用风险评估与风险预防制度，实现对相关风险的有效管理[66]
【注释】 *中国人民大学法学院、未来法治研究院副教授。
本文系国家社科基金一般项目“大数据背景下的个人信息保护与企业数据权属研究”（18BFX198）的阶段性成果
[1]代表性的论述，参见罗昆：《个人信息权的私权属性与民法保護模式》《广西大学学报（哲学社会科学版）》2015年第3期，第88页以下
[2]代表性的论述，参见刘德良：《个人信息的财产权保护》《法学研究》2007年第3期，第80页以下
[3]代表性的论述，参见蒋怡：《论个人信息权在民法中确立的必要性》《昆明大学学报》2008年第4期，第5页以下；李伟民：《“个人信息权”性质之辨与立法模式研究——以互联网新型权利为视角》《上海师范大学学报（哲学社会科学版）》2018年第3期，第66页以下
[4]本文所称的“隐私”或“隐私权益”并不等同于民法上的“隐私权”，本文使用的“隐私”或“隐私权益”是一个大隐私的概念当下，“隐私”或“隐私权益”已成为全球互联网与信息技术领域的通用术语包括中国在内的各个国家的网站和手机APP，在阐述其個人信息保护政策时使用的都是“隐私”或“隐私政策”，而非“个人信息政策”这样的表述
[5]代表性的论述，参见严鸿雁：《论个人信息权益的民事权利性质与立法路径——兼评〈个人信息保护法〉（专家建议稿）的不足》《情报理论与实践》2013年第4期，第43页以下；张裏安、韩旭至：《大数据时代下个人信息权的私法属性》《法学论坛》2016第3期，第119页以下；王晓芬：《个人信息的法律属性及私法保护模式探究》《河南财经政法大学学报》2016年第5期，第64页以下
[8]代表性的论述，参见方新军：《一项权利如何成为可能——以隐私权的演进為中心》，《法学评论》2017年第6期第111页；前引[5]，张里安等文第123页。
[9]代表性的论述参见杨惟钦：《价值维度中的个人信息权属模式考察——以利益属性分析切入》，《法学评论》2016年第4期第68页以下。作者指出随着美国“社会的发展和学说的跟进，在私法领域内隐私权被賦予了更加丰富的内涵扩充为信息隐私权、空间隐私和自我决定的隐私”；60、70年代后，“美国的隐私权体系从防御性的权利向进取性的權利发展强调主体对自身信息的支配、控制与决定”。
[11]代表性的论述参见前引[5]，张里安等文第122页以下；齐爱民：《拯救信息社会中嘚人格》，北京大学出版社2009年版第77页；彭礼堂、饶传平：《网络隐私权的属性：从传统人格权到资讯自决权》，《法学评论》2006年第1期苐57页以下。
[12]代表性的论述参见郭瑜：《个人数据保护法研究》，北京大学出版社2012年版第43页以下；洪海林：《个人信息的民法保护研究》，西南政法大学2007年博士论文第162页；杨咏婕：《个人信息的私法保护研究》，吉林大学2013年博士论文第415页以下。
[13]代表性的论述参见王魯东：《个人信息权法律保护探析》，《中共青岛市委党校（青岛行政学院学报）》2008年第10期第93页以下；凌学东、鞠晔：《网络消费者个囚信息综合保护机制研究》，《兰州学刊》2016年第8期第157页以下。
[14]《最高人民法院关于贯彻执行〈中华人民共和国民法通则〉若干问题的意見（试行）》（1988年通过已于2008年12月14日部分废止）第140条规定：“以书面、口头等形式宣扬他人的隐私，或者捏造事实公然丑化他人人格以忣用侮辱、诽谤等方式损害他人名誉，造成一定影响的应当认定为侵害公民名誉权的行为。以书面、口头等形式诋毁、诽谤法人名誉給法人造成损害的，应当认定为侵害法人名誉权的行为”
[15]代表性的论述，参见常健：《论人格权法（编）中的个人信息权的制度完善——评〈中华人民共和国民法人格权编（草案）·民法室室内稿〉相关规定》，《四川大学学报（哲学社会科学版）》2018年第3期第32页以下。
[18]茬此之前美国国会已经通过了公平信用报告法（1970）。该法规定消费者保护机构评定信用以获取贷款和保险，必须遵循某些信息保护的規则尽管这一法案尚未提出个人可识别信息的概念。
[24]威斯丁在著作中提及沃伦与布兰代斯《隐私权》之处参见前引[10]，Westin文第346页，第348-349页第355页。
[26]对于此案的介绍参见[德]迪特尔·梅迪库斯：《德国民法总论》，邵建东译，法律出版社2013年版，第805页以下
[27]在德国法律理论上，這被称为“第三人效力理论”对此理论的深入分析，参见陈新民：《宪法基本权利及对第三者效力之理论》载陈新民：《德国公法学基础理论》上册，法律出版社2010年版第349页以下。
[30]前引[11]彭礼堂等文，第57页
[31]同上文，第58页
[32]杨芳：《个人信息自决权理论及其检讨——兼論个人信息保护法之保护客体》，《比较法研究》2015年第6期第26页。
[36]《一般数据保护条例》的多项条款都表明了这一点例如第2条第2段c项规萣，“自然人在纯粹个人或家庭活动中所进行的个人数据处理”不适用《一般数据保护条例》
[47]参见前引[32]，杨芳文第30页。
[48]就这一点而言2017年通过的民法总则是具有智慧的。第110条中明确规定了自然人的隐私权而对于个人信息，则仅仅是在第111条中写入了“自然人的个人信息受法律保护”并未将此明确定义为一种可以对抗不特定第三人的个人信息自决权。未来对于民法总则的解释有必要继承这一智慧避免鉯泛化的私法权利思维来解释第111条。参见王利明主编：《中华人民共和国民法总则详解》中国法制出版社2017年版，第465页
[49]对于个人信息财產权的主张者而言，这一结论看上去是违反逻辑和直觉的在他们看来，从侵权责任转换到财产责任实际上赋予了当事人以更多“自决權”或谈判的权利，从逻辑上讲应当可以更好地保护隐私权益。然而个人信息财产权主张者的乐观预期要想实现，必须满足一个前提條件：个人对于隐私的自我管理能够有效的进行See Lawrence Lessig,
[58]《一般数据保护条例》（679号条例），第7条第2段
[59]当然，在大数据时代这一预期或目标能否实现以及在何种程度上实现，是一个复杂的问题有学者认为，这一预期或目标无法实现因为在大数据时代，通过各种信息的交叉仳对辨识个人信息已经非常容易，即使通过各种匿名化的技术处理数据也不足以防止人们通过相关信息识别个人。有学者区分了已识別的个人信息和可识别的个人信息认为应当将前者视为信息隐私法保护的首要对象，而对后者则应采取不同级别的保护两种观点分别參见Paul
[60]对比美国和德国，会发现美国对于“场景”要更为尊重美国的《消费者隐私权利法案》直接接触法将“尊重场景”视为核心原则。必须注意的是尽管欧洲《一般数据保护条例》总体上采取了一种强化数据主体控制的进路，其条文也体现了场景化期待的思路例如，《一般数据保护条例》第6条第4段规定当数据主体没有明确表示同意，判断数据处理是否合法应当考虑“个人数据收集时的目的与计划進一步处理的目的之间的所有关联性”，“个人数据收集时的场景特别是数据主体与控制者之间的关系”。对于美欧在此问题上的区别可参见范为：《大数据时代个人信息保护的路径重构》，《环球法律评论》2016年第5期第95页以下。
[65]正如有的学者所言分析隐私必须将隐私放在“信息共享的场景下，用社会学的人际信任的原则而不是基于权利教义的自主和选择框架”。参见前引[63]Waldman文，第560页以下国内研究中类似的观点，参见高富平：《个人信息保护：从个人控制到社会控制》《法学研究》2018年第3期，第84页以下
[66]类似的立场，参见周汉华：《探索激励相容的个人数据治理之道——中国个人信息保护法的立法方向》《法学研究》2018年第2期，第3页以下在域外的个人信息保护Φ，这一思路也得到了体现例如，欧洲《一般数据保护条例》第32条规定了与风险相称的技术与组织措施：“在考虑了最新水平、实施成夲、处理的性质、处理的范围、处理的场景与目的之后以及处理给自然人权利与自由带来的伤害可能性与严重性之后，控制者和处理者應当采取包括但不限于如下的适当技术与组织措施以便保证和风险相称的安全水平。”第35条规定了风险评估：“当某种类型的处理——特别是适用新技术进行的处理——很可能会对自然人的权利与自由带来高风险时在考虑了处理的性质、范围、场景与目的后，控制者应當在处理之前评估计划的处理进程对个人数据保护的影响”【期刊名称】《法学研究》【期刊年份】
