个人信息处理中的“同意”与“同意撤回”

一、个人信息处理中的“同意”

（一）“同意”的性质分析

目前，学界对于个人信息处理中信息主体的“同意”之性质认识存在差异。有的学者认为本人同意为人格法益商业化的行权模式，并将“同意”界定为法律行为性的许可，认为许可的内容为具排他性权能的债权性用益物权。也有学者遵循信托法保护的路径，主张对个人和信息收集者与处理者分别施加信息信托权利与信息信义义务。相比起传统的个人信息权利，信息信托权利常常需要结合场景与信息关系来确定权利的边界，此种关系中的个人信息主体之“同意”可被视为对信托之授权行为。还有学者主张，“同意”不同于合同中的“承诺”，“同意”应当被视为一种对信息主体的持续性代理行为（consent-as-ongoing-agency），且信息主体有随时撤回同意的权利，类似于撤回代理权限。亦有学者认为“同意”的性质应当视其情景而定，其在合同领域与在侵权领域中存在不同的涵义：在侵权领域中，“同意”作为侵权法上的免责事由归入“受害人同意”的范畴，在构成要件上包括必须有明确具体的内容、受害人须具有同意能力、同意必须真实自愿、加害人必须尽到充分的告知说明义务；而在合同领域中，同意可能成为相关合同给付内容的一部分。另有学者认为，鉴于“同意”的复杂性，不能完全从私法上获得理解；经过用户的同意，平台收集个人的信息既不能从私法上的交易来理解（其中没有有偿和对价因素），也不能从防御性的人格利益来理解，因为这种“同意”增加了人格遭到侵害的风险，更何况现实中存在诸多无须用户同意即可收集的情形。

笔者认为，对同意的性质判定要联系相关规定中“告知同意原则”进行梳理。我国制定了《信息安全技术个人信息安全规范》并在各企业中推广适用，随着国家各项治理的深入，用户对于企业数据收集的标准会有更为明确和集中的认识，而各行业的隐私协议也将逐渐模板化、统一化。因此，个人信息主体对信息处理者的信赖并不建立在其所阅读的隐私协议之上，而是基于对个人信息的处理标准的统一适用，换而言之，其信赖从根本而言是出于信息主体对国家治理能力的信任。因此，告知逐渐成为信息处理者的一种公法上的义务，而同意则仍属于私法上个人信息自决权益的核心。若细致梳理我国《个人信息保护法（草案）》（以下简称《草案》）中的告知义务可知，相对于个人信息处理者的身份等信息，仅有个人信息处理目的、处理方式及处理的个人信息种类存在可以与个人信息主体协商的空间。纳入告知范畴的其他部分仅具对告知义务的履行这一单一属性，而可协商部分的告知内容则另存在某种私法属性，维持了信息主体的个人信息自决权的行使空间。因此，“告知”实际融合了公法和私法的双重属性，而“同意”属于受限的私权处分。“告知”在所有场景之下均属必须，但是个人的信息自决权益在某些情境下受到一定限制，如涉及公共安全、与他人的合法权益或须履行的义务相冲突之时或有其他合法事由时，个人信息处理者可依法处理信息主体的个人信息，无论信息主体是否反对。

如上所述，“同意”是一种对于个人信息权益的处分，但是，这种处分不能脱离商品或服务合同的语境而单独存在，只能被视为个人信息主体为了获得相应的商品或服务而必须作出的权利处分。自然人对其个人信息享有的民事权益属于人格权益中的精神性人格权益。基于我国的历史和社会现实，赋予自然人对个人数据以民事权利的正当性或意义应当建立在维护人格尊严和人格自由的基础上。此外，鉴于个人信息处理的最小化原则，处理个人信息应当具有合理的目的并限于实现处理目的的最小范围，而每种处理目的之下对应的最小必要信息范围已相对确定，由此可以推论，个人信息主体与信息处理者仅可就信息处理的目的进行协商。但事实上，对此目的的协商本质并非个人信息主体对自身权利的主动处分，因为其在实现服务及商品交易合同之外一般并不具有更多可真实获利的处理目的。更多情况下，鉴于个人在个人信息处理流程中的弱势地位，可供其选择的信息处理目的并不具有明显的获益性，甚至有些表面的获益是以承担更多风险及代价所带来的（如个性化推荐，甚至“杀熟”），所以，个人信息主体通过对信息处理者的处理目的进行限制是行使自己防御性的个人信息权益，而非积极主动行使自己的信息权益。

（二）“告知—同意”模式的缺陷

虽然“同意”系以合同方式作出的处分，但是由于其客体的特殊性以及“告知同意”固有的制度性缺陷，会导致个人信息主体权利得不到有效救济。

1.难以获得无效力瑕疵的用户意思表示

意思表示是民事法律关系的核心。合同一方当事人作出意思表示的前提是对订立合同时之相关重要情事的知悉以及表意的自由。在个人信息处理的“告知—同意”模式之下，以上两项要求都无法全面实现。

（1）信息主体缺乏对重要情事的知悉

首先，无法期待网络用户认真仔细阅读隐私政策的全文。研究表明，如果认真仔细阅读所有隐私政策条文，用户仅阅读一年中所使用的网络服务的隐私政策就需要花费224个小时，因此，要求用户认真阅读每条隐私政策的要求既不合理也不可能。其次，考虑到用户的教育背景不一、对于各条款的理解能力有所偏差所带来的现实性困境，更无法确认用户是否真正知悉其同意的内容。

实际上，由于个人信息主体无法全面知悉其同意内容也导致其在实践中的损害救济陷入困境。例如，在“肖某与廊坊京东吉特贸易有限公司等网络侵权责任纠纷案”一审中，由于原告肖某注册时无法理解被告晦涩的信息分享安排而直接点击了同意，嗣后原告由于发现商品包装与描述不一致而找到被告投诉，被告直接安排供应商联系原告。原告认为被告将其个人信息交由其他供应商的行为存在不当。法院判决认为，鉴于电子商务平台上涉及海量的商品和服务，涉及的销售商、供应商等关联方的信息亦系海量的，不可能一一列出具体的名称，在相关条款中进行概括描述并无不当，原告作为具有完全民事行为能力的成年人足以理解上述条款的内容，故被告提供的隐私政策具有约束力，因此，被告有权依据隐私政策与第三方共享原告的个人信息。又如，在“淘宝（中国）软件有限公司诉安徽美景信息科技有限公司不正当竞争案”中，原告主张自己已经取消定位设置而被告依然对其进行定位严重侵害了其隐私权。法院认为，定位问题系安卓系统本身权限调用问题，被告的隐私政策已对此情形进行了提示，同时原告仅对其中某一项业务进行了定位限制，在选择其他业务类型时依然可以定位，因此被告的行为并非非法操作。

（2）信息主体缺乏表意自由

在个人信息处理的语境之下，信息主体本身存在对于信息处理者的服务依赖，导致信息主体缺乏表意自由。这种缺乏表意自由在以下几种场景中表现尤为明显。

首先，在许多场景之下，由于提供某种类型的个人信息属于提供产品或服务的必需——若不提供“同意”无法获得预期的服务。例如，在网约车的适用场景下，信息主体必须向信息处理者提供自己的手机号码和位置信息，否则网约车因基本功能受限而无法提供相应的服务。为维持服务或商品合同的可执行性而进行的授权同意本身不存在独立于合同可协商的空间（此种同意属于服务或商品合同的从给付义务，其撤回等同于直接撤销合同，因此不在本文的讨论范围之内）。

其次，在一些场景之下，用户个人信息的授权范围与其所获得的服务层次存在对等关系。理论上，个人信息主体仅提供自己的个人信息即可进入服务，但若要实质性利用平台的某些功能（如分群好友等），则需要提供更多数量的好友信息。此时个人信息用户主动性提供自己好友关系是基于对平台拓展性功能的需求。虽然获取拓展性功能在合同订立之时可能并非属于信息主体签订合同的主要目的，但是随着即时通信类产品适用的普及，若个人信息主体选择不使用某种平台，很可能会对其社交及工作生活产生重大影响。换言之，在已经开始使用某项服务之后，若信息处理者需要更新其隐私政策的内容，个人信息主体往往也仅仅能够选择同意来继续获取服务。

再次，在相关就业等场景之中，若不“同意”提供信息虽然不会导致义务的违反但可能会对雇佣关系产生负面影响。例如，在用人单位正式录用员工之前，公司往往要求求职者进行体检。在经历了数轮面试之后，体检的结果往往决定了该用人单位是否会最终录取该求职者。用人单位往往以在聘用合同中约定的方式将入职前体检结果无异常作为合同的生效条款，若求职人员拒绝体检或最后查出该求职人员身体存在任何异常则双方无法按照预期达成劳动合同关系。此种行为系变相的就业歧视行为，属用人单位利用其优势地位对求职者平等就业机会的不合理剥夺，于法无据且违反合同自由原则。因此，美国《就业法重述》中指出，同意只是衡量侵犯隐私是否具有高度冒犯性的众多因素之一，同意不能被视为雇主对所谓的隐私侵犯的完全防御。

最后，“同意”与单一买卖关系的日渐脱离，使得“同意”成为构建系列交易的信息基础。在会员制之下，个人主体即使完成了单个交易，信息处理者依然得以保有信息主体的“同意”，除非其主动要求撤回同意。在会员制的消费模式中，消费者与经营者达成了一种非一次性给付的继续性合同关系，有的会员制交易需要会员额外交付会费以获得更为优惠的价格或者其他便利，有的会员制交易只需要消费者提供基本信息进行注册。在以上两种情景之中，信息处理者均可通过会员制与个人信息主体产生捆绑关系而获得处理其个人信息的权限，且这种关系更为隐性，个人主体不易察觉自己的个人信息依然处于经营者手中，直到其注销会员资格。因此，就《草案》中“当个人信息处理者停止提供产品或服务时，信息处理者应当删除个人信息”的规定，在会员制的情景之下对于“服务”应作扩展理解，即将经营者为消费者提供的会员资格本身也视为一种服务。在此情形之下，应当允许信息处理者保留收集的个人信息，除非个人信息主体明确表示撤回同意或以实际行动注销会员资格。

除此以外，对于用户而言，其选择同意的时间窗口通常较为窄小，往往须在几秒之内迅速作出同意的选择以便进入实质性的主合同履行阶段。信息主体在作出“同意”的意思表示之时，实际上很难预料到当时的“同意”行为究竟会对其带来何种程度的影响，因此难谓表意自由。

意思表示本身分为两个方面：作为行动的意思表示以及作为客观逻辑的意义构造的意思表示，需要同时将这两个方面联系起来，以行动展现对一种指向引发某种法律效果之意愿的宣告。一方面，当个人信息主体欠缺对相关内容的知情时，其指向“同意”的法律效果即缺乏合法的基础。因此，虽然信息处理者提供了隐私政策，个人信息主体也表示了同意，但是并不能表明其行动展现了对指向引发特定法律效果意愿的宣告——个人信息主体有时难以理解描述过于概括性的隐私政策内容，更无从从技术性的层面知晓自己信息已被调取。此时实际出现了“告知义务”与“知情权”的断层。另一方面，基于对信息处理者服务的依赖，同意的意思表示并不一定是自由的表意，虽然上文列举的相对人意思表示不自由并不能简单等同于民法理论上的胁迫与欺诈，有些情形也确是网络交易本身的性质所致，但有些情况属于“胁迫”行为，例如，当个人信息主体不同意提供额外的个人信息则无法获取服务、甚或导致失去正常就业机会的情形。因此，“告知—同意”模式并不能真正全面保障信息主体作出不含效力瑕疵的真实意思表示。

以上内容摘自网络，若有侵权，请联系删除。

张梅律师网

个人信息处理中的“同意”与“同意撤回”

相关阅读