作者：潘靜，北京郵電大學(xué)法學(xué)系講師
摘要：個人信息保護(hù)關(guān)乎公眾信息安全，關(guān)乎社會治理體系和治理能力提升。大數(shù)據(jù)時代信息監(jiān)管的艱巨性、復(fù)雜性對現(xiàn)有執(zhí)法范式及資源配置提出了全新要求，個人信息安全需要優(yōu)化治理方式。對于個人信息違法違規(guī)行為如何有效威懾?是破解個人信息安全監(jiān)管困境的關(guān)鍵所在。聲譽(yù)機(jī)制的規(guī)制原理是通過信息傳播來威懾企業(yè)運(yùn)營最為核心的利益——用戶流量，有效阻卻企業(yè)決策執(zhí)行層的不法行為，以輔助政府監(jiān)管、分擔(dān)執(zhí)法負(fù)荷。威懾力有效的要義是信息適當(dāng)流入公眾的認(rèn)知結(jié)構(gòu)，建立數(shù)據(jù)企業(yè)信用檔案不失為治理良策，其涵蓋信息收集-評價-核實(shí)-披露-傳播等環(huán)節(jié)，為公眾啟動聲譽(yù)罰提供信息基礎(chǔ)。此外，因認(rèn)知粘性可能造成聲譽(yù)罰過度甚至異化，應(yīng)當(dāng)通過信息核實(shí)等制度設(shè)計，確保信息的準(zhǔn)確、可靠、適度，以糾正聲譽(yù)罰給企業(yè)帶來的“誤傷”，實(shí)現(xiàn)治理優(yōu)化。
一、 問題的緣起
華住集團(tuán)5億用戶信息疑似泄漏塵埃未定，網(wǎng)絡(luò)新媒體超30億條用戶數(shù)據(jù)泄露又突然爆出。在《中華人民共和國網(wǎng)絡(luò)安全法》（以下簡稱《網(wǎng)絡(luò)安全法》）頒布實(shí)施的三年間，信息泄漏數(shù)量未得到遏制反而上漲，其中APP個人信息泄漏已成為信息安全的重災(zāi)區(qū)。隨著移動互聯(lián)的高歌猛進(jìn)，手機(jī)承擔(dān)著越來越多的服務(wù)功能，也匯集了大量的個人隱私信息如衣食住行、社會關(guān)系、行動軌跡等，萬千信息匯于手機(jī)，信息安全問題凸顯，對當(dāng)前信息安全治理提出了頗為嚴(yán)峻的挑戰(zhàn)。從預(yù)防論視角來看，其挑戰(zhàn)歸結(jié)于如下追問：日益增長的信息泄漏行為如何得到有效威懾？何以在事前激勵信息控制者防止信息泄漏行為？
以聲譽(yù)機(jī)制理論切入，本文將從制度實(shí)踐角度回應(yīng)以上追問：基于新技術(shù)帶來新挑戰(zhàn)和公共執(zhí)法資源稀缺的雙重制約，制度設(shè)計上應(yīng)根據(jù)市場主體的效用函數(shù)選擇有針對性的激勵工具。聲譽(yù)是有關(guān)人、事、物的公共形象，是由社會形象、身份識別、集體認(rèn)知、群體分層等因素構(gòu)成的無形資產(chǎn)。它與韋伯提出的“地位”、“社會名譽(yù)”的概念十分接近，聲譽(yù)是一種社會現(xiàn)象、社會機(jī)制。引入聲譽(yù)機(jī)制，一方面，借助消費(fèi)者“用腳投票”，影響企業(yè)的核心利益，以有效引導(dǎo)企業(yè)對于信息泄漏盡到合理注意義務(wù)且威懾企業(yè)放棄潛在的違法行為，否則聲譽(yù)機(jī)制將啟動極其嚴(yán)厲的市場驅(qū)逐式懲罰。而另一方面，我們要意識到，聲譽(yù)罰對企業(yè)的殺傷力可能遠(yuǎn)遠(yuǎn)超過法律的強(qiáng)力規(guī)制：不良信息-消費(fèi)者認(rèn)知-放棄購買-市場抵制-退出市場，試想一旦信息發(fā)布失真將“誤傷”企業(yè)甚至帶來無法補(bǔ)救的后果�；诼曌u(yù)罰的兩面性，政府監(jiān)管機(jī)構(gòu)應(yīng)當(dāng)建立信息篩選、評價、核實(shí)、披露的制度系統(tǒng)，同時完善矯正聲譽(yù)罰錯誤的法律救濟(jì)渠道，在彌補(bǔ)消費(fèi)者認(rèn)知不足、保障聲譽(yù)順暢流轉(zhuǎn)的同時，預(yù)防聲譽(yù)罰過度或異化給企業(yè)帶來的傷害。當(dāng)前《中華人民共和國個人信息保護(hù)法（草案）》（以下簡稱《個人信息保護(hù)法（草案）》）已發(fā)布，縱觀法律條文除了傳統(tǒng)監(jiān)管手段外，也確立了擬建立信用檔案制度，此規(guī)定正是聲譽(yù)機(jī)制運(yùn)用的法律依據(jù)。
需要說明的是，個人信息保護(hù)是一項(xiàng)系統(tǒng)的工程，其既涉及到信息控制者的審慎經(jīng)營與惡意違法牟利行為的規(guī)制，又涉及到非信息控制者竊取信息及信息灰黑產(chǎn)業(yè)鏈條中的倒賣行為。前者是個人信息保護(hù)的源頭，也是“身在明處”的市場主體，易于使用聲譽(yù)機(jī)制對其激勵約束，而后者“藏身暗處”，不便于通過聲譽(yù)罰對其規(guī)制而是需嚴(yán)厲的刑罰制裁。為了盡力切斷信息泄漏源頭且有效使用聲譽(yù)治理工具，本文將規(guī)制對象集中于信息控制者，而身在暗處的個人信息竊取者以及類似非法主體不納入本文的分析框架。
二、 個人信息保護(hù)的雙重制約
立足于大數(shù)據(jù)時代個人信息領(lǐng)域的新風(fēng)險和新挑戰(zhàn)，進(jìn)一步探析已有法律規(guī)則對個人信息保護(hù)失靈的現(xiàn)狀，可以發(fā)現(xiàn)隨著數(shù)字科技在經(jīng)濟(jì)、文化、生活等領(lǐng)域的應(yīng)用日益深入，政府監(jiān)管面臨著日趨嚴(yán)峻的雙重制約：大數(shù)據(jù)技術(shù)給監(jiān)管帶來新挑戰(zhàn)；不確定性風(fēng)險加重執(zhí)法負(fù)荷。
（一）基于大數(shù)據(jù)技術(shù)給監(jiān)管帶來的新挑戰(zhàn)
為了充分保護(hù)個人信息，防止個人信息在收集、加工、使用、共享等環(huán)節(jié)被泄露或非法利用，法律做出了相應(yīng)的制度安排，如建立“知情同意”制度、設(shè)計“數(shù)據(jù)匿名化”和“被遺忘權(quán)”規(guī)則。這些規(guī)則對于個人信息的保護(hù)起到了一定的作用，然而在大數(shù)據(jù)技術(shù)不斷加深的信息化時代，這些制度的規(guī)制力度或多或少的受到限制。傳統(tǒng)的個人信息被侵犯一般是由于信息持有人對于相關(guān)信息處置不當(dāng)造成信息公開或者他人利用非法手段獲取信息。而在大數(shù)據(jù)時代，除了以上侵犯個人信息的方式外，個人信息將面臨著新風(fēng)險。因?yàn)�，大�?shù)據(jù)技術(shù)可以對信息進(jìn)行深度加工，在不用挖掘那些敏感信息或特定信息的情況下，計算機(jī)通過算法亦能搜集某一對象盡可能全面的信息，獲得特定結(jié)果或預(yù)測可能趨勢。從本質(zhì)上來看，大數(shù)據(jù)技術(shù)應(yīng)用到信息領(lǐng)域使得信息載體和處理環(huán)節(jié)獲得技術(shù)加持，進(jìn)而使互聯(lián)網(wǎng)環(huán)境下的個人信息保護(hù)和信息安全面臨全新的風(fēng)險和挑戰(zhàn)。
1.大數(shù)據(jù)挑戰(zhàn)知情同意制度
“知情同意”規(guī)則源于醫(yī)療領(lǐng)域，告知患者風(fēng)險進(jìn)而加強(qiáng)患者自決權(quán)。而后在個人信息保護(hù)領(lǐng)域確定為一項(xiàng)法定規(guī)則，即平臺經(jīng)營者通過發(fā)布隱私政策或用戶協(xié)議的方式，確定用戶的知情同意，進(jìn)而獲得用戶信息的收集和使用等權(quán)限。在數(shù)據(jù)技術(shù)驅(qū)動下的經(jīng)濟(jì)社會，數(shù)據(jù)已經(jīng)成為平臺企業(yè)的戰(zhàn)略資產(chǎn)，數(shù)據(jù)主體希望通過信息交換從平臺企業(yè)獲得更多的回報，可見知情同意不僅僅是數(shù)據(jù)主體自決權(quán)的表達(dá)，已經(jīng)成為數(shù)據(jù)主體換取個人信息經(jīng)濟(jì)價值的工具。然而，在大數(shù)據(jù)特征下知情同意規(guī)則可能部分喪失了原有的效用。首先，平臺企業(yè)經(jīng)常以免費(fèi)形式提供產(chǎn)品，或者采用社交網(wǎng)絡(luò)鎖入方式，即用戶注冊時只有選擇“同意”提交個人信息和授權(quán)，才能享受便利服務(wù)或參與社交網(wǎng)絡(luò)，甚至部分軟件在新用戶注冊時將“同意”和“注冊”按鈕合二為一，用戶在獲得便利服務(wù)的同時失去數(shù)據(jù)主體的自決權(quán)。既使平臺企業(yè)遵循數(shù)據(jù)保護(hù)條例，在隱私政策條款中清晰、明確的陳列數(shù)據(jù)主體個人信息保護(hù)的權(quán)利義務(wù)，個人用戶面對長篇累牘的信息專業(yè)術(shù)語未免也會無所適從，致使“知情同意”規(guī)則流于形式，反而有可能成為平臺企業(yè)任意收集、利用信息的“保護(hù)傘”。其次，知情同意規(guī)則作為個人信息收集利用的前端，其無法知曉個人信息在整個數(shù)據(jù)鏈中的權(quán)限能力，此制度安排終將湮沒在諸多數(shù)據(jù)技術(shù)之中，數(shù)據(jù)的收集、匯集、開發(fā)與利用形成一個體系，毋庸論數(shù)據(jù)主體是否清楚該體系，即便是數(shù)據(jù)收集者也并非完全能夠預(yù)知匯集的數(shù)據(jù)將如何被開發(fā)與利用。再次，大數(shù)據(jù)時代，除非能夠避免所有數(shù)據(jù)收集，否則將無法拒絕成為大數(shù)據(jù)技術(shù)的預(yù)測對象�！爸R欺負(fù)信息”“技術(shù)欺負(fù)信息”現(xiàn)象屢見不鮮，信息不對稱，知識、技術(shù)不對等將導(dǎo)致信息權(quán)利扭曲或者喪失。此外，數(shù)據(jù)平臺在設(shè)計上還有一些“誘導(dǎo)”的做法，例如：金融集團(tuán)內(nèi)關(guān)聯(lián)企業(yè)之間的信息共享，關(guān)聯(lián)公司不需要“知情同意”就能拿到集團(tuán)中其他公司的客戶數(shù)據(jù)。與此同時，事實(shí)上數(shù)據(jù)收集已不可逆轉(zhuǎn)，因?yàn)閿?shù)據(jù)收集者所控制的數(shù)據(jù)，可能源于網(wǎng)絡(luò)瀏覽器或者服務(wù)器的緩存，也有可能源于利用大數(shù)據(jù)分析技術(shù)生成的數(shù)據(jù)集合，從而繞過了知情同意的程序�？芍^之，萬物瞬間互聯(lián)，你的蛛絲馬跡都在僅次于上天的大數(shù)據(jù)觀察之中。
2.大數(shù)據(jù)挑戰(zhàn)匿名化制度
“匿名化”被寫入法律文本可見于歐洲《數(shù)據(jù)保護(hù)指令》（Data Protection Directive），而后該指令被《通用數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation，簡稱GDPR）所取代。GDPR的緒言第26條規(guī)定了數(shù)據(jù)的匿名化標(biāo)準(zhǔn)。我國《網(wǎng)絡(luò)安全法》第42條也確立了匿名化的兩個法律標(biāo)準(zhǔn)：一是，匿名化后無法識別特定個人；二是，經(jīng)過匿名化處理的數(shù)據(jù)不能被復(fù)原（一般概括為“不可識別、不可復(fù)原”）。《個人信息保護(hù)法（草案）》對于匿名化亦給予明確界定�？梢�，我國的個人信息匿名化屬于絕對的匿名化，其要求運(yùn)用技術(shù)處理使得數(shù)據(jù)不可能再復(fù)原。然而，技術(shù)語境下實(shí)現(xiàn)個人信息的絕對匿名化是不現(xiàn)實(shí)的，因?yàn)殡S著信息技術(shù)的發(fā)展，數(shù)據(jù)技術(shù)具有更強(qiáng)的應(yīng)用能級，試圖僅僅依靠技術(shù)實(shí)現(xiàn)匿名化仍然存在個人信息被破解和還原的可能性。僅從識別技術(shù)層面而言，“去識別”之后，運(yùn)用公開來源的信息，數(shù)據(jù)挖掘者就可能實(shí)現(xiàn)數(shù)據(jù)的“再識別”。例如，匿名化的車輛軌跡信息，借助于公開渠道獲得的名人活動信息或者具有時間戳的娛樂新聞，利用MD5加密算法的漏洞，一般就可能推測出名人的行動軌跡或住所地址等個人敏感信息。又如，每個人的行為都會留下數(shù)據(jù)指紋,專家們一般能夠通過收集公共信息，提取相應(yīng)的數(shù)據(jù)指紋，進(jìn)而可以識別特定自然人。
3.大數(shù)據(jù)挑戰(zhàn)被遺忘權(quán)規(guī)則
被遺忘權(quán)概念產(chǎn)生于歐盟，《一般數(shù)據(jù)保護(hù)條例》第17條首次明確提出被遺忘權(quán)。誠如有論者所言，被遺忘權(quán)是指“數(shù)據(jù)主體對已被發(fā)布在網(wǎng)絡(luò)上的，有關(guān)自身不恰當(dāng)?shù)�、過時的、繼續(xù)保留會導(dǎo)致其社會評價降低的信息，要求信息控制者予以刪除的權(quán)利�！笔紫纫鞔_歐盟所承認(rèn)的被遺忘權(quán)是針對搜索引擎而言的，即被遺忘權(quán)調(diào)整的僅僅是互聯(lián)網(wǎng)搜索服務(wù)這一特殊信息供給方式，這與元消息的根本性刪除不同，其顯然將刪除權(quán)限定在互聯(lián)網(wǎng)搜索引擎對于網(wǎng)絡(luò)信息的整理和提供范圍內(nèi)，僅對于搜索引擎提供商所提供的信息服務(wù)進(jìn)行審視。而未將被遺忘權(quán)擴(kuò)大適用到互聯(lián)網(wǎng)搜尋服務(wù)之外，否則不僅會導(dǎo)致刪除信息的成本增加，還可能會進(jìn)一步危機(jī)公共的知情權(quán)。然而，在大數(shù)據(jù)環(huán)境中，被遺忘權(quán)的適用場景將進(jìn)一步被壓縮，數(shù)據(jù)流通已經(jīng)不限于數(shù)據(jù)主體與數(shù)據(jù)控制者的直接交互，而海量的低價值數(shù)據(jù)通過大數(shù)據(jù)匯總、分析后將轉(zhuǎn)化為高價值數(shù)據(jù)，因此商業(yè)組織、社會組織、政府組織等主動收集、監(jiān)測個人在瀏覽器和服務(wù)器中緩存的數(shù)據(jù)，經(jīng)過多層次的傳播或交易，以及AI、區(qū)塊鏈等技術(shù)的加持，可以形成去中心化的存儲模式。數(shù)據(jù)主體恐怕難以確定數(shù)據(jù)信息被哪些實(shí)體所掌控，更難以利用“被遺忘權(quán)”徹底清除網(wǎng)絡(luò)中的數(shù)據(jù)。
（二）基于不確定性風(fēng)險加重執(zhí)法負(fù)荷
個人信息保護(hù)原則已被立法所確認(rèn)，此法律保護(hù)趨勢并無爭議，然而個人信息保護(hù)范圍的不確定性、個人信息立法細(xì)則的不明確以及公共執(zhí)法資源稀缺等客觀狀況的存在，加重了個人信息執(zhí)法保護(hù)的負(fù)荷。
首先，個人信息保護(hù)的范圍存在不確定的困境。數(shù)據(jù)開發(fā)、利用的重要目的之一即是為自然人提供各種精準(zhǔn)的生活和工作服務(wù)，而精準(zhǔn)服務(wù)的定位又可能觸及到自然人的個人信息權(quán)益，甚至侵犯隱私權(quán)。如果將自然人的信息劃分為個人信息的范疇，政府與企業(yè)之間的數(shù)據(jù)交易與共享都將面臨重大的法律困境，為了防止企業(yè)和政府在數(shù)據(jù)傳播和擴(kuò)散中侵犯個人信息權(quán)益，其引入了“匿名化”處理手段。然而，新問題也隨之而至，匿名化操作其直接目的即是避免自然人身份被識別，而身份識別標(biāo)準(zhǔn)屬于技術(shù)界定，隨著信息技術(shù)的研發(fā)本身處于不斷變動的狀態(tài)：“一方面，常規(guī)匿名化處理操作、差分隱私、零知識證明、全同態(tài)加密等處理技術(shù)力求切斷數(shù)據(jù)集的整體數(shù)學(xué)特征與個人信息、個人身份信息或公開活動信息與其他相關(guān)匿名化信息之間的關(guān)聯(lián)性;另一方面，數(shù)據(jù)挖掘與數(shù)據(jù)分析技術(shù)又不斷突破去識別技術(shù)的防御，信息技術(shù)的迅速發(fā)展和不斷交鋒使得對身份識別標(biāo)準(zhǔn)的把握變得更為復(fù)雜和專業(yè)�！币陨霞姺睆�(fù)雜的身份識別技術(shù)現(xiàn)狀影響到個人信息范圍的法律認(rèn)定，亦將直接影響到執(zhí)法、司法領(lǐng)域?qū)τ趥�人信息違法違規(guī)或者侵權(quán)的法律認(rèn)定。
其次，個人信息立法處于過于原則的狀態(tài)。目前，現(xiàn)行法律比較碎片化，相關(guān)立法散落在公法和私法中，包括但不限于:2009年《侵權(quán)責(zé)任法》首次確定隱私權(quán)，《刑法》修正案（七）確立了兩個有關(guān)個人信息的罪名，2013年《消費(fèi)者權(quán)益保護(hù)法》將個人信息保護(hù)列為一項(xiàng)消費(fèi)者權(quán)利，2015年《刑法》修正案（九）又新增拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪名，2016年《網(wǎng)絡(luò)安全法》要求網(wǎng)絡(luò)運(yùn)營商健全用戶信息保護(hù)制度，2017年《民法總則》將自然人的個人信息受法律保護(hù)寫入立法，另外，《征信業(yè)管理?xiàng)l例》《電信和互聯(lián)網(wǎng)用戶個人信息保護(hù)規(guī)定》《社會救助暫行辦法》《網(wǎng)絡(luò)預(yù)約出租汽車經(jīng)營服務(wù)管理暫行辦法》等行政法規(guī)和部門規(guī)章也涉及到個人信息保護(hù)的部分內(nèi)容�？傮w而言，近年來我國對于個人信息立法在逐漸加大力度，雖然2020年10月《個人信息保護(hù)法（草案）》已經(jīng)向社會征求意見，但畢竟還在擬定中，部分條款尚待完善，不能作為執(zhí)法、司法依據(jù)。盡管《網(wǎng)絡(luò)安全法》已算迄今為止我國對于個人信息保護(hù)最為全面的立法，然而也只是一些非常原則性的規(guī)定，在執(zhí)法層面缺乏可操作性。此外，研究以上立法進(jìn)程不難發(fā)現(xiàn)，針對侵犯公民個人信息行為，“我國刑法先于行政法、民事法亮劍”，具有“刑先民后”的特征，綜合國內(nèi)外的法律規(guī)律和經(jīng)驗(yàn)，執(zhí)法監(jiān)管應(yīng)該是保護(hù)公民個人信息最先介入和最主要的法律制裁手段，而在缺乏民事和行政立法作為基礎(chǔ)保護(hù)的情況下，刑事制裁將獨(dú)木難支，執(zhí)法效果必然事倍功半。
再次，個人信息保護(hù)的執(zhí)法資源稀缺。個人信息保護(hù)范圍不確定、立法過于原則化之外，信息安全的另一個硬約束是執(zhí)法資源的稀缺。從專門機(jī)構(gòu)到信息技術(shù)，從監(jiān)管手段到各地信息安全監(jiān)管的實(shí)況，普遍反應(yīng)執(zhí)法資源對于監(jiān)管實(shí)效的嚴(yán)重掣肘。據(jù)《2019年全國網(wǎng)民網(wǎng)絡(luò)安全感滿意度調(diào)查統(tǒng)計報告》顯示：“人員、專業(yè)技術(shù)能力被認(rèn)為是制約網(wǎng)絡(luò)安全執(zhí)法能力的主要因素”。一方面，我國沒有專門的信息保護(hù)監(jiān)管機(jī)構(gòu)。我國對于個人信息保護(hù)采取分散性執(zhí)法，相較于集中執(zhí)法，其也具有優(yōu)點(diǎn)和缺點(diǎn)，最為明顯的優(yōu)點(diǎn)即是分散性執(zhí)法能夠發(fā)揮各個主管部門的優(yōu)勢和特長。然而遺憾的是，分散執(zhí)法的優(yōu)勢在我國個人信息保護(hù)執(zhí)法中并未體現(xiàn)，各個主管部門的主要精力均放到其主管的傳統(tǒng)監(jiān)管任務(wù)中，對于個人信息保護(hù)方面并未發(fā)展出常態(tài)化的執(zhí)法手段。往往是在個人信息安全出現(xiàn)重大輿情后，才啟動針對涉事企業(yè)的審查和處罰。例如，2018年支付寶賬單事件引發(fā)全國范圍的強(qiáng)烈反響后，中國人民銀行杭州支行才做出反應(yīng)并做出行政處罰。另一方面，我國監(jiān)管機(jī)構(gòu)缺乏相應(yīng)的技術(shù)力量。我國互聯(lián)網(wǎng)行業(yè)迅猛發(fā)展，特別是大數(shù)據(jù)蘊(yùn)含著巨大的商業(yè)價值，大數(shù)據(jù)交易產(chǎn)業(yè)迅速膨脹，由于監(jiān)管機(jī)構(gòu)自身技術(shù)力量不足，其已經(jīng)開始要求平臺企業(yè)利用技術(shù)優(yōu)勢承當(dāng)起一定的監(jiān)管職能。例如，根據(jù)《互聯(lián)網(wǎng)信息服務(wù)管理辦法》的規(guī)定，通信管理局應(yīng)當(dāng)作為網(wǎng)絡(luò)內(nèi)容提供商信息真實(shí)性核驗(yàn)（Internet Content Provider，簡稱ICP備案）的行政監(jiān)管部門，但由于執(zhí)法人員、執(zhí)法能力等方面的掣肘，通信管理局將ICP備案信息真實(shí)性核驗(yàn)的權(quán)力和責(zé)任授權(quán)給接入服務(wù)商承擔(dān)。實(shí)踐中，行政管理機(jī)構(gòu)越發(fā)頻繁的要求互聯(lián)網(wǎng)企業(yè)制定管理標(biāo)準(zhǔn)、承擔(dān)監(jiān)管職責(zé)，在開拓市場的過程中代理行政機(jī)關(guān)承擔(dān)執(zhí)法角色的企業(yè)或許不可避免的引發(fā)道德風(fēng)險。由于技術(shù)力量薄弱、執(zhí)法人員缺乏等制約因素對于個人信息安全可能造成保護(hù)不力的影響。
三、聲譽(yù)機(jī)制：強(qiáng)化威懾力與聲譽(yù)罰過度
一方面，由大數(shù)據(jù)技術(shù)引發(fā)個人信息領(lǐng)域的新問題、新挑戰(zhàn)；另一方面，由不確定性風(fēng)險引致執(zhí)法負(fù)荷繁重，導(dǎo)致政府監(jiān)管的規(guī)制手段績效不佳。此雙重制約決定了實(shí)現(xiàn)個人信息保護(hù)需要強(qiáng)化對違法違規(guī)行為的有效威懾，同時也要意識到認(rèn)知粘性可能造成的聲譽(yù)罰過度或異化，力爭在目前的約束條件下最大限度提高懲罰效率，優(yōu)化執(zhí)法實(shí)效。
（一） 聲譽(yù)機(jī)制的威懾力
信息控制者是否損害個人信息與信息主體的自我保護(hù)意識、數(shù)據(jù)企業(yè)的法制意識、商業(yè)文明程度等等多種因素相關(guān)，按照預(yù)防論的分析路徑，若以上變量不變的情況下，監(jiān)管效果取決于查處概率和處罰力度。這兩個變量之間具有此消彼長的反向關(guān)聯(lián): 如果查處的效率不高，就需要有嚴(yán)厲的處罰相匹配，這樣才能保持威懾力; 只有當(dāng)查處的效率提高時，才能降低處罰的嚴(yán)厲程度。明確這一點(diǎn)對于個人信息保護(hù)具有重要的意義。個人信息安全監(jiān)管是一項(xiàng)系統(tǒng)性的執(zhí)法活動，技術(shù)風(fēng)險帶來的新挑戰(zhàn)加之繁重的執(zhí)法負(fù)擔(dān)影響查處概率，而概率的提高依賴于科學(xué)技術(shù)、社會經(jīng)濟(jì)等要素，既要有人力、財力、物力的加大投入，又要有技術(shù)設(shè)備穩(wěn)定支持。倘若在短期內(nèi)這些物質(zhì)技術(shù)要素不能有實(shí)質(zhì)性提高，那么，監(jiān)管實(shí)效的提升就要依靠于另一個變量——處罰的嚴(yán)厲程度的增強(qiáng)，以將個人信息保護(hù)機(jī)制的威懾力提升到合理的水平，阻卻信息控制者潛在的疏忽大意或惡意違法行為。進(jìn)而，需要思考的問題是，如何增強(qiáng)處罰的威懾力？
以上追問其實(shí)即是“規(guī)制工具的選擇”問題，不同主體對于同一種規(guī)制工具會產(chǎn)生截然不同的績效。正如有論者所言，“以對違法行為的處罰為例，我們一般較多地采用罰款的工具，在法律實(shí)踐中，1000元的罰款支出對富人來說可能無所謂，這種處罰對其行為的約束作用可能有限；對窮人來說由于其承受力有限，處罰對其約束作用可能較大�！闭\如，對于個人而言高額的罰款，而之于企業(yè)而言，尤其是知名企業(yè)、大型企業(yè)，此乃不痛不癢，對其威懾力很低。有鑒于此，在選擇規(guī)制工具時，需根據(jù)主體的效用函數(shù)來確定。此時可以借助博弈論來分析，一般將博弈做短期博弈和長期博弈之分。在短期博弈中，博弈方由于在未來缺乏與相對方再次相遇的機(jī)會，主體行事的機(jī)會主義衍生的空間較大，“撈一把就跑”的非合作心理誘導(dǎo)其行為短視。而在長期博弈中，博弈相對方之間將會在未來的大量交易中再次相遇，博弈主體過往的行為及其伴隨而來的聲譽(yù)將成為相對方行動決策的重要參數(shù)。較之于個人而言，企業(yè)因其組織化特征，將較長時間的從事某一行業(yè)的商業(yè)行為，與其博弈對手——客戶、上下游企業(yè)、監(jiān)管機(jī)構(gòu)等——將形成長期博弈關(guān)系。企業(yè)置身于長期博弈之中，未來的交易機(jī)會與過去的交易聲譽(yù)捆綁在一起，任何理性而富有聲望的信息控制企業(yè)，在享受聲望所帶來的用戶流量及其收益的同時，也會忌憚與聲譽(yù)毀損所可能帶來的嚴(yán)重后果，權(quán)衡利弊，明智的企業(yè)主不會為了蠅頭小利而失去更多的生意。
那么，聲譽(yù)機(jī)制將在多大程度上威懾企業(yè)行為以防止機(jī)會主義動機(jī)呢？在現(xiàn)代工商業(yè)中，企業(yè)活動在“陌生人交易”中進(jìn)行，各方處于高度的信息不對稱狀態(tài)。企業(yè)過往的信用行為構(gòu)成企業(yè)形象的重要印記，聲譽(yù)作為重要的公眾認(rèn)知，具有很強(qiáng)的信號顯示作用，能夠?yàn)橛脩籼峁┲匾臎Q策信息，倘若信號能夠真實(shí)、及時的流入公眾的認(rèn)知結(jié)構(gòu)，用戶更傾向于將其作為解決信息不對稱的工具。因此，一旦企業(yè)發(fā)生嚴(yán)重的聲譽(yù)問題，為數(shù)眾多的用戶或者投資者將會“用腳投票”，取消未來可能重復(fù)的交易機(jī)會，甚至?xí)_(dá)到被驅(qū)逐出局的程度。這種懲罰效果在食品安全、醫(yī)療安全等領(lǐng)域已經(jīng)得到明確的驗(yàn)證。實(shí)踐中，在信息安全領(lǐng)域盡管只是初見雛形，但也不乏聲譽(yù)罰的個案。2018年，F(xiàn)acebook5000萬用戶個人信息被泄漏的丑聞爆出，一周內(nèi)公司市值蒸發(fā)約580億美元，據(jù)不完全統(tǒng)計已有100萬用戶因?yàn)樵撌录x開Facebook平臺，若有更大規(guī)模用戶流失，將有更多廣告商離開該平臺。在國內(nèi)，企業(yè)因涉嫌個人信息泄漏或者管理漏洞導(dǎo)致信息被盜取、違法獲取的事件層出不窮，這些企業(yè)被公眾所知悉后大多亦受到聲譽(yù)乃至經(jīng)濟(jì)上的損失。如，2019年底，1億條個人信息泄漏案中涉案公司與某上市公司的全資子公司北京考某某公司有關(guān)，考某某公司違規(guī)出賣查詢并非法緩存?zhèn)�人信息牟利不但受到相應(yīng)刑事處罰，在該信息披露后作為考某某公司的法人股東某上市公司的股票立即跌停，社會公眾對于企業(yè)法人的聲譽(yù)懲罰力量可見一斑。
（二） 聲譽(yù)罰的過度與異化
在充分利用聲譽(yù)罰威懾信息控制人謹(jǐn)慎行事，防止信息控制方任意而為的同時，也要意識到聲譽(yù)罰運(yùn)用不當(dāng)有可能給企業(yè)帶來的傷害。聲譽(yù)機(jī)制不同于警告、罰金、上交違法所得、撤銷營業(yè)行為、吊銷營業(yè)執(zhí)照等傳統(tǒng)的行政處罰，其不會對企業(yè)的收入給予直接的罰沒，也不會直接限制或者禁止企業(yè)經(jīng)營行為，但其對于企業(yè)產(chǎn)生明顯的恥辱效應(yīng)。這種恥辱罰給企業(yè)帶來不利影響所波及的時間和范圍可能遠(yuǎn)大于行政處罰，這種影響不僅作用于涉事業(yè)務(wù)本身，也導(dǎo)致連帶效應(yīng)，波及到涉事主體相關(guān)業(yè)務(wù)。如若因個體認(rèn)知局限、錯誤或惡意信息造假，則基于恥辱效應(yīng)將給企業(yè)帶來難以挽回的不良影響。更有甚者，由于不正當(dāng)競爭者的惡意重傷導(dǎo)致市場抵制，進(jìn)而喪失更多的交易機(jī)會，甚至集體驅(qū)逐出交易市場。
聲譽(yù)機(jī)制可能造成懲罰過度。聲譽(yù)作為公眾對于商業(yè)的認(rèn)知具有粘性，其猶如一把雙刃劍，良好的商譽(yù)能夠激起消費(fèi)者的信任，幫助服務(wù)品牌樹立良好形象，品牌借助積極的消費(fèi)者評價獲得價格溢價；而不良的商譽(yù)作為恥辱標(biāo)識一旦成為消費(fèi)者集體記憶，將給企業(yè)帶來負(fù)面評價，而且在信息傳播、搜尋成本如此之低的網(wǎng)絡(luò)時代，想要將負(fù)面信息被遺忘并非易事，即使涉事企業(yè)通過努力能夠回歸良好的商品服務(wù)水準(zhǔn)，消費(fèi)者不良評價的認(rèn)知粘性將很難切斷該企業(yè)早先恥辱標(biāo)記的集體記憶，進(jìn)而直接影響消費(fèi)者的品牌選擇。進(jìn)一步而言，正是由于公共認(rèn)知對于企業(yè)聲譽(yù)的認(rèn)知粘性，當(dāng)對于企業(yè)評價失實(shí)或惡意詆毀的言辭進(jìn)入公眾認(rèn)知，消費(fèi)者受困于專業(yè)認(rèn)知和信息弱勢而缺乏客觀判斷信息真假的能力，在“好事不出門，壞事傳千里”的輿論傳播的助推下，蒙冤企業(yè)將會面臨百口莫辯的困境。而對于那些曾經(jīng)有不良聲譽(yù)的企業(yè)，即使規(guī)范經(jīng)營回歸正軌，公眾對于商譽(yù)的認(rèn)知粘性將強(qiáng)有力的阻卻企業(yè)“改過自新”的步伐。
此外，我們處在互聯(lián)網(wǎng)廣泛應(yīng)用的時代，網(wǎng)絡(luò)傳播亦加大聲譽(yù)異化的擴(kuò)散。一方面源于信息傳播工具的網(wǎng)絡(luò)化；另一方面歸咎于聲譽(yù)懲罰具有連帶效應(yīng)。首先，由于互聯(lián)網(wǎng)技術(shù)加持，信息傳播方式不僅限于熟人圈的互動傳播，陌生人之間借助互聯(lián)網(wǎng)工具也迅速鏈接起來。QQ、微博、微信的即時社交軟件以及抖音、頭條、百度百家號等自媒體軟件的廣泛應(yīng)用，迅速建立起一個個社交網(wǎng)絡(luò)，人們嵌入其中并緊密互動，信息以“漣漪”模式快速傳播共享。 然而，由于這種網(wǎng)絡(luò)媒體信息傳播方式具有跨時空、匿名化等特征，其信息內(nèi)容的真實(shí)性不易驗(yàn)證。網(wǎng)絡(luò)社交平臺上，難免會充斥著大量的虛假、惡意言辭和評論，躲在手機(jī)、電腦屏幕后面的信息分享者可以隨意發(fā)送信息，跟帖者、評論者可能毫無顧忌的暢所欲言，惡意對手方可能肆無忌憚的報復(fù)詆毀。進(jìn)而，可能導(dǎo)致流言蜚語伺機(jī)而起、難以甄別。雖然有網(wǎng)信部門的網(wǎng)絡(luò)監(jiān)督，《民法典》人格權(quán)編、侵權(quán)責(zé)任編等成文法的立法威懾和司法規(guī)制，但是監(jiān)管和司法的稀缺資源難以有效核查數(shù)以百億條的網(wǎng)絡(luò)信息，即使法律資源充裕，事后救濟(jì)也無法及時彌補(bǔ)惡意誹謗給良性企業(yè)帶來的信譽(yù)損害和流量喪失。其次，聲譽(yù)罰還有很強(qiáng)的連帶效應(yīng)，倘若沒有制度化的治理，某一個產(chǎn)品侵權(quán)，往往會波及到同一品牌下的不同產(chǎn)品，甚至導(dǎo)致該品牌企業(yè)中全線產(chǎn)品的商譽(yù)下降。
四、制度構(gòu)造：建立個人信息保護(hù)的聲譽(yù)機(jī)制
聲譽(yù)機(jī)制作為一種社會治理的方式，在個人信息保護(hù)中的運(yùn)用，恰恰可以迎合執(zhí)法活動所囿于的成本約束。然而，聲譽(yù)機(jī)制若要有效運(yùn)用到個人信息保護(hù)領(lǐng)域需要從整體主義視角出發(fā)，在充分考慮聲譽(yù)罰威懾力和聲譽(yù)粘性的特質(zhì)之上，還要進(jìn)一步探究聲譽(yù)機(jī)制功能在個人信息領(lǐng)域發(fā)揮作用所要滿足的社會條件，結(jié)合個人信息保護(hù)的雙重制約，進(jìn)行聲譽(yù)機(jī)制的建構(gòu)。
（一）聲譽(yù)機(jī)制功能發(fā)揮的社會條件
一個運(yùn)行良好的個人信息聲譽(yù)機(jī)制應(yīng)當(dāng)首先考察聲譽(yù)功能發(fā)揮作為的社會條件。事實(shí)上，在各種信息如潮水涌入的網(wǎng)絡(luò)時代，聲譽(yù)罰及時有效發(fā)揮功能，需要具備合格的社會條件，概括而言包括：信息要件、認(rèn)知要件、權(quán)利要件。
其一，信息要件。數(shù)據(jù)企業(yè)侵害個人信息權(quán)益的事實(shí)要充分及時進(jìn)入消費(fèi)者的認(rèn)知結(jié)構(gòu)，成為消費(fèi)選擇的公開信息；其二，認(rèn)知要件。公眾要充分認(rèn)識到個人信息保護(hù)的重要性，珍視個人信息安全，當(dāng)個人信息數(shù)據(jù)給付和免費(fèi)網(wǎng)絡(luò)服務(wù)便利相衡量時，能夠理性的評估風(fēng)險、判斷利弊；其三，權(quán)利要件，即消費(fèi)者選擇或拒絕某個數(shù)據(jù)企業(yè)服務(wù)的權(quán)利，當(dāng)消費(fèi)者得知某家數(shù)據(jù)企業(yè)對客戶的個人信息有損害或者有損害的風(fēng)險時，能夠以自己的消費(fèi)選擇使數(shù)據(jù)企業(yè)得不償失。
就權(quán)利要件而言，其是消費(fèi)者“用腳投票”逆轉(zhuǎn)數(shù)據(jù)企業(yè)的成本-收益對比關(guān)系的能力。從時間上來看，企業(yè)是將“一次性博弈”轉(zhuǎn)化為“重復(fù)博弈”的組織體，企業(yè)與消費(fèi)者之間可以形成長期博弈，消費(fèi)者通過雙方再次相遇的機(jī)會對企業(yè)的不法行為進(jìn)行懲罰。大部分的數(shù)據(jù)企業(yè)處于競爭性市場之中，消費(fèi)者可以通過不再購買、拒絕合作等方式制裁企業(yè)的不法行為，“不再購買”一旦從個體行為衍變成集體行為，形成集體抵制后，無異于顛覆企業(yè)成本-收益的對比關(guān)系，購買市場是企業(yè)的生命線，失去購買市場有可能迫使企業(yè)宣告破產(chǎn)。在開放的數(shù)據(jù)市場中，權(quán)利要件的實(shí)現(xiàn)并非難事，聲譽(yù)罰功能發(fā)揮作用的關(guān)鍵還是要看認(rèn)知要件和信息要件如何達(dá)成。
（二）認(rèn)知要件：建全信息安全教育體系
個人信息保護(hù)的提升不僅僅涉及到政府治理、社會治理方面，還涉及到社會認(rèn)知心理方面。個人信息濫用和泄漏防范于未然的良策首先是民眾對于個人信息保護(hù)意識的建立，倘若對待自己的信息甚至隱私的安全認(rèn)知不足，那么外部規(guī)制和事后救濟(jì)則多數(shù)效果不佳。現(xiàn)代社會中，網(wǎng)民的網(wǎng)絡(luò)安全意識雖有進(jìn)步但仍有待加強(qiáng)，《2019年全國網(wǎng)民網(wǎng)絡(luò)安全感滿意度調(diào)查統(tǒng)計報告》顯示“超過45%的網(wǎng)民近一年內(nèi)曾做過不安全的上網(wǎng)行為”，人們常常將個人信息作為“通貨”來交換生活便利，《國家治理》周刊于2020年4月發(fā)布“當(dāng)前公眾的信息安全意識與隱私觀念調(diào)查報告”中顯示民眾對于隱私泄漏行為意識比較薄弱（見圖1）。由此看見，當(dāng)個人信息能夠與收益、便利相交換時，部分民眾將個人信息視為一種資源，在數(shù)據(jù)企業(yè)供給一定經(jīng)濟(jì)補(bǔ)償或者提供服務(wù)便利時，可以考慮給付個人信息甚至隱私來獲取利益。即使不存在利益交換時，部分民眾對于個人信息泄漏的路徑缺乏認(rèn)知，特別是在移動互聯(lián)時代，“主動暴露”個人信息的現(xiàn)象比比皆是，如在微信、微博上分享照片、事件、定位等。該報告還調(diào)查了民眾的個人信息安全防范意識（見圖2）：從未意識到個人隱私需要保護(hù)的受訪者占比27.41%，有防范意識但未采取過保護(hù)措施的占比43.70%，而僅僅有28.89%的人主動采取過保護(hù)措施。
在網(wǎng)絡(luò)時代，數(shù)據(jù)科技開發(fā)與應(yīng)用將與日俱增，特別是隨著人臉識別的應(yīng)用場景日趨廣泛，個人面貌數(shù)據(jù)收集量將面臨著前所未有的激增。如地鐵站、火車站、飛機(jī)場、賓館、快遞、商場，甚至工作單位簽到、回家進(jìn)入小區(qū)都須經(jīng)人臉驗(yàn)證方可通過，在如今新冠疫情的特殊時期，人們對于身份識別應(yīng)用更加習(xí)以為常。為了滿足身份識別和信息采集的應(yīng)用，視頻監(jiān)控設(shè)備無論是在銷售數(shù)量還是在智能技術(shù)上均飛速提升。據(jù)IHS Markit咨詢公司2019年報告數(shù)據(jù)顯示，全球視頻監(jiān)控設(shè)備在2006年的出庫量為一千萬套，到2016年其數(shù)量翻了十倍，達(dá)一億萬套，而到2019年又達(dá)到一億八千萬套。這種身份識別的目的實(shí)則是一種監(jiān)控，即“個體或者組織通過身體本身的機(jī)能或者身體擴(kuò)展的機(jī)能記錄、儲存、處理和控制他人信息的過程，其結(jié)果是產(chǎn)生了對他人的有意或無意的控制。” 這種監(jiān)控不僅包括“由上而下的政治監(jiān)控、管理監(jiān)控或安全監(jiān)控，也包括由下而上的社會對公共權(quán)力機(jī)構(gòu)的監(jiān)控，以及個人或群體之間的平行監(jiān)控。”在進(jìn)行個人信息安全教育時，首先要讓民眾意識到個人信息收集的目的可能是對其進(jìn)行監(jiān)控。其次，要區(qū)分不同個人信息收集可能對應(yīng)的是不同的監(jiān)控關(guān)系，對于自上而下的國家安全、社會管理監(jiān)控，民眾履行配合義務(wù)的同時，也要意識到權(quán)力邊界，合理評判公權(quán)力侵入個人生活是否過度；有關(guān)企業(yè)與個人之間的平行監(jiān)控，個人要特別注意信息提供的風(fēng)險，信息儲存和處理中可能造成的危害，用戶信息泄漏或被截獲、遭遇“算法黑洞”“大數(shù)據(jù)殺熟”等直接的危害。再次，還要讓民眾認(rèn)識到個人信息的濫用也可能很大程度上影響人們的自由意志或自主選擇。例如，信息傳播類APP通過收集個人閱讀習(xí)慣和興趣，利用大數(shù)據(jù)計算和人工智能技術(shù)可以向客戶不斷推送其感興趣的內(nèi)容，鼓勵閱讀；購物APP根據(jù)客戶瀏覽信息、購物偏好等通過算法向其推送商品，刺激購買；游戲軟件基于目標(biāo)人群的喜好、心理需求設(shè)計游戲產(chǎn)品，吸引玩家。如此這般表面觀之，商家是迎合客戶需求，提供消費(fèi)便利，實(shí)則是商家在巨大的利益驅(qū)動下，不斷深入挖掘目標(biāo)客戶數(shù)據(jù)，個人手指的每一次滑動都會被追蹤，個人行為習(xí)慣、心理偏好等，人工智能通過數(shù)據(jù)分析的一清二楚，甚至“比你自己還要了解自己”。呈現(xiàn)在你的手機(jī)界面的信息是你最大概率會喜好閱讀的內(nèi)容、想要購買的商品或沉迷的游戲，信息推送到此種程度，到底是你自己選擇購買商品，還是商家引導(dǎo)你購買？到底是你自己想玩游戲，還是游戲商誘導(dǎo)，讓你欲罷不能？恐怕平凡大眾的自由意志會被數(shù)據(jù)公司“牽著鼻子走”。
由是觀之，培養(yǎng)民眾的個人信息安全意識迫在眉睫，尤其是建立系統(tǒng)的信息安全教育體系非常重要。通過多種渠道有必要使民眾充分了解信息泄露存在的風(fēng)險、信息濫用可能出現(xiàn)的后果，如借助網(wǎng)絡(luò)公益廣告、法律宣傳、違法事件披露等方式增強(qiáng)公眾的信息素養(yǎng)、樹立隱私習(xí)慣。當(dāng)然，這種安全意識的培養(yǎng)需要一個過程。事實(shí)上，隨著數(shù)據(jù)技術(shù)的研發(fā)和應(yīng)用，數(shù)據(jù)收集使用與個人信息保護(hù)之間的沖突將日趨得到公眾的關(guān)注，如被稱為“中國人臉識別第一案”的“郭兵起訴杭州野生動物世界案”，相繼又出現(xiàn)“抖音案”“微信讀書案”，在一定程度上也標(biāo)準(zhǔn)著中國用戶對于個人信息保護(hù)意識的覺醒。認(rèn)知要件和權(quán)利要件逐步建立和不斷滿足之際，接下來發(fā)揮聲譽(yù)機(jī)制功能的關(guān)注點(diǎn)要聚焦于信息要件，即信息能夠有效進(jìn)入廣大個人信息提供者的認(rèn)知結(jié)構(gòu)，其是否可以通過信用檔案迅捷、準(zhǔn)確的查清信息收集方是否為可信的服務(wù)提供商。倘若消費(fèi)者對于個人信息安全狀況毫不知情，聲譽(yù)罰的威懾力亦無從談起。
（三）信息要件：建立數(shù)據(jù)企業(yè)信用檔案
2017年以來我國陸續(xù)出臺了不少個人信息保護(hù)的政府監(jiān)管細(xì)則，特別是中央網(wǎng)信辦、工業(yè)和信息化部、公安部、市場監(jiān)管總局四部門于2019年1月聯(lián)合發(fā)布《關(guān)于開展APP違法違規(guī)收集使用個人信息專項(xiàng)治理的公告》，同時成立了APP違法違規(guī)收集使用個人信息專項(xiàng)治理工作組�！禔PP違法違規(guī)收集使用個人信息行為認(rèn)定方法》《個人信息安全規(guī)范》等標(biāo)準(zhǔn)規(guī)范相繼出臺，查處、曝光違法違規(guī)收集與使用個人信息并進(jìn)行約談、整改有問題的數(shù)據(jù)企業(yè)已成為重要的監(jiān)管手段。查閱APP專項(xiàng)治理工作組的工作動態(tài)不難發(fā)現(xiàn)，一年來工作組的查處力度很大，工作組也收到了大量關(guān)于App強(qiáng)制、超范圍索要權(quán)限等舉報信息，新聞媒體上也經(jīng)常可見某批問題APP被曝光，規(guī)范App申請收集使用個人信息相關(guān)權(quán)限，對于加強(qiáng)App個人信息保護(hù)作用明顯。立法層面上，建立“信用檔案”制度也予以明確，2020年發(fā)布的《個人信息保護(hù)法（草案）》第七章法律責(zé)任部分的第二個法條將數(shù)據(jù)產(chǎn)業(yè)違法行為“記入信用檔案，并予以公示”寫入立法草案。然而，建立信用檔案遠(yuǎn)比單一的查處、曝光某個或某批違法違規(guī)使用個人數(shù)據(jù)的企業(yè)要復(fù)雜得多，其不僅僅是信息簡單的匯總和發(fā)布，而是一個系統(tǒng)的個人信息安全信用檔案，涵蓋信息收集-評價-核實(shí)-披露-傳播等具體環(huán)節(jié)，建立起個人信息安全數(shù)據(jù)加工到傳播的體系，為公眾啟動對于數(shù)據(jù)企業(yè)的聲譽(yù)罰提供堅實(shí)基礎(chǔ)。從整體視角來看，建立一個以信用檔案為中心的個人信息保護(hù)體系，需要構(gòu)建以下幾個層次的規(guī)則。
1.統(tǒng)一信用評價規(guī)則
《個人信息保護(hù)法（草案）》明確了由國家網(wǎng)信辦和國務(wù)院有關(guān)部門制定有關(guān)個人信息保護(hù)的相關(guān)規(guī)則，以“推進(jìn)個人信息保護(hù)社會化服務(wù)體系建設(shè)，支持有關(guān)機(jī)構(gòu)開展個人信息保護(hù)評估、認(rèn)證服務(wù)”。該草案和《電子商務(wù)法》的法律條文亦均規(guī)定建立針對個人信息處理者或電子商務(wù)經(jīng)營者的“信用檔案系統(tǒng)”并公示。遵循立法，各地監(jiān)管部門將面向本管轄區(qū)的個人信息處理活動和行為建立信用系統(tǒng)，并在此基礎(chǔ)上形成全國個人信息信用檔案系統(tǒng)。這種自下而上信用系統(tǒng)的搭建為全國信用檔案的建立提供了便利，然而也不可避免的產(chǎn)生不同省市的多個信用信息采集、評價標(biāo)準(zhǔn)。在多元格局下，統(tǒng)一信用評價規(guī)則就顯得尤為重要，因?yàn)椤耙粋�領(lǐng)域中的評價機(jī)構(gòu)或標(biāo)準(zhǔn)越多、差異性越大，統(tǒng)一聲譽(yù)市場就越難產(chǎn)生，聲譽(yù)越不穩(wěn)定”。好比，我們通常能將葡萄酒放到一起品嘗評判，而不能將各種菜系放到一起評出優(yōu)劣，人們在評價葡萄酒時大多使用同一評判規(guī)則，而川菜、魯菜、粵菜、意大利菜、法國菜等不能用一個標(biāo)準(zhǔn)品評優(yōu)劣。這是因?yàn)槲覀儗ζ咸丫频钠穱L通常是長大后在社交場合培養(yǎng)的，是在一個制度化、社會化中產(chǎn)生的，而對于飲食的口味受到家庭、文化、環(huán)境的培養(yǎng)而形成，沒有統(tǒng)一化評判標(biāo)準(zhǔn)。因此，統(tǒng)一聲譽(yù)市場需要統(tǒng)一信用評價規(guī)則，不能出現(xiàn)相同行為在甲省份評價為高信用等級，而在乙省份評價為低信用等級的狀況，正如有學(xué)者云“推進(jìn)誠信的最重要原則是必須聯(lián)合行動，實(shí)現(xiàn)最大可能的信息共享，并在此基礎(chǔ)上形成共同的行動路線”。否則各地信用信息匯集到全國信用檔案系統(tǒng)中時，各地用戶在進(jìn)行跨地區(qū)查詢、使用數(shù)據(jù)的過程中，將對于所發(fā)現(xiàn)的信用規(guī)則不同而導(dǎo)致的信用評級差異無所適從，進(jìn)而影響信用檔案的公信力和聲譽(yù)罰效力。
2.建立牽頭和協(xié)商機(jī)制
倘若信息能夠被部分人以相對更低的監(jiān)管成本獲得，那么這部分人作為信息提供者是更優(yōu)的選擇�！皞�人信息保護(hù)職責(zé)部門”作為立法指定的行政監(jiān)管部門，由其提供企業(yè)信用信息無疑是一項(xiàng)效率型舉措，這些職責(zé)部門具有專業(yè)技術(shù)和信息獲取優(yōu)勢。但是，聲譽(yù)機(jī)制發(fā)揮良好效用的要義在于信用評價規(guī)則統(tǒng)一化，多元格局所造成的評價的不確定性會減弱個人信息安全信用檔案的區(qū)分功效，影響公眾對于企業(yè)信用等級形成穩(wěn)定的認(rèn)知。事實(shí)上，“個人信息保護(hù)職責(zé)部門”屬于“條塊管理”的監(jiān)管系統(tǒng)，包括國家網(wǎng)信辦、國務(wù)院有關(guān)部門和縣級以上地方政府有關(guān)部門，而統(tǒng)一的信用評價規(guī)則應(yīng)確定一個牽頭部門，不能籠統(tǒng)的將規(guī)則制定職責(zé)配置給一系列不同層次的職責(zé)部門。牽頭機(jī)構(gòu)應(yīng)具備充分信息，且具備社會公信力和法律正當(dāng)性。具有權(quán)威性的牽頭機(jī)構(gòu)對于消除分歧、達(dá)成共識起到關(guān)鍵作用，例如1978年英國設(shè)立的地方當(dāng)局貿(mào)易標(biāo)準(zhǔn)協(xié)調(diào)機(jī)構(gòu)，該機(jī)構(gòu)作為協(xié)調(diào)各地方層面開展工作的中心部門，其主要目的是為解決該國企業(yè)分歧。考量中國在個人信息保護(hù)實(shí)踐和制度安排，在個人信息保護(hù)職責(zé)部門中，國家網(wǎng)信辦承擔(dān)統(tǒng)籌協(xié)調(diào)的監(jiān)管責(zé)任，因此無論從管轄范圍還是權(quán)力位階上看，國家網(wǎng)信辦適合作為牽頭機(jī)構(gòu)，為有效協(xié)調(diào)統(tǒng)一信用規(guī)則奠定組織基礎(chǔ)。
統(tǒng)一信用評價規(guī)則也是一個協(xié)調(diào)各方利益的過程，通過個人信息所涉利益相關(guān)方的訴求表達(dá)和公平博弈，在有效協(xié)商的機(jī)制上建立信用規(guī)則，以防止因缺乏多元對話而導(dǎo)致的監(jiān)管部門“一言堂”、利益集團(tuán)游說過度或者用戶團(tuán)體“失聲”等問題。信用評價規(guī)則主要影響兩方利益：一方為用戶的個人信息安全；一方為個人信息處理者的經(jīng)濟(jì)利益。兩大利益如何均衡，既保障用戶團(tuán)體的信息安全，又為數(shù)據(jù)行業(yè)技術(shù)升級提供激勵，是統(tǒng)一信用評價規(guī)則是否成功的關(guān)鍵衡量。就此意義而言，國家網(wǎng)信辦在制定個人信息評價規(guī)則之時，應(yīng)明確用戶團(tuán)體和產(chǎn)業(yè)部門的參與資格，保障利益相關(guān)者“充分溝通”。一方面，用戶團(tuán)體參與�？梢韵M(fèi)者協(xié)會代表用戶團(tuán)體利益，直接參與信用評價規(guī)則的制定過程，成為規(guī)則制定中有影響力的組織參與者，其從本團(tuán)體利益出發(fā)所提出的建議被整合進(jìn)入制度結(jié)構(gòu)，具有了明確的決策參與職能，而不僅僅作為組織行動的接收端。另一方面，個人信息處理產(chǎn)業(yè)參與。個人信息處理產(chǎn)業(yè)作為信用評價規(guī)則的決策參與者，不僅能夠?yàn)楸O(jiān)管部門提供優(yōu)化產(chǎn)業(yè)規(guī)則的信息，降低信息監(jiān)管成本，而且部分產(chǎn)業(yè)為了樹立企業(yè)形象和提升同行競爭力，可能提供較之于公共標(biāo)準(zhǔn)更高的私人標(biāo)準(zhǔn)。這種競爭行為對于優(yōu)化信用標(biāo)準(zhǔn)、增強(qiáng)用戶信息保護(hù)具有能動性的保障，通過產(chǎn)業(yè)決策參與的過程就可能將更優(yōu)的私人標(biāo)準(zhǔn)轉(zhuǎn)化為公共標(biāo)準(zhǔn)。
3.促進(jìn)信息有效流入公眾認(rèn)知
在信息負(fù)荷過量的時代，要讓信息有效流入公眾認(rèn)知需要具備四方面的條件：一是信息流通渠道被公眾廣泛關(guān)注；二是信息披露內(nèi)容通俗易懂；三是信息來源準(zhǔn)確；四是信息傳播期限適度。首先，從注意力經(jīng)濟(jì)學(xué)視角觀察，面對過剩的信息，“有價值的不是信息，而是注意力”。公眾接受信息往往具有強(qiáng)烈的路徑依賴，人們總是根據(jù)自己的習(xí)慣方式關(guān)注信息、接受信息。正是由于這種慣性的存在，常常使那些“公之于眾”的信息，由于公布渠道缺乏廣泛性，而不能進(jìn)入大多數(shù)人的關(guān)注視野。事實(shí)上，個人信息違法違規(guī)收集使用問題也會在監(jiān)管部門的官網(wǎng)上定期或者不定期的公布，這些公布的信息本應(yīng)該被公眾所“知悉”，并依循聲譽(yù)罰機(jī)制，對違法違規(guī)的數(shù)據(jù)企業(yè)產(chǎn)生威懾，以提升數(shù)據(jù)企業(yè)安全責(zé)任意識。但事實(shí)并非如此，《2019年全國網(wǎng)民網(wǎng)絡(luò)安全感滿意度調(diào)查統(tǒng)計報告》顯示“互聯(lián)網(wǎng)企業(yè)履行安全責(zé)任情況評價一般，19.69%的網(wǎng)民認(rèn)為不太好或非常不好，其中77.78%以上公眾認(rèn)為互聯(lián)網(wǎng)企業(yè)存在有意不承擔(dān)或少承擔(dān)網(wǎng)絡(luò)安全責(zé)任的情況”，這也恰恰表明，已有的信息發(fā)布并未達(dá)到有效傳播目標(biāo)。究其原因，我們不難發(fā)現(xiàn)，以往個人信息安全事件的信息流通渠道均為專業(yè)網(wǎng)站，如國家網(wǎng)信辦、公安部、APP專項(xiàng)治理工作組等官網(wǎng)。但是問題就在于，普通大眾的注意力具有路徑依賴：往往駐足于大眾型信息載體或者本人職業(yè)相關(guān)的信息載體，本人職業(yè)外的專業(yè)型信息載體很難受到大眾的關(guān)注。那么，在專業(yè)網(wǎng)站發(fā)布的信息，難以獲得公眾的注意力，大眾用戶尚屬于“不知情”的狀態(tài)。因此，信息發(fā)布渠道要避免過于狹窄，應(yīng)當(dāng)契合大眾的信息接收規(guī)律，在現(xiàn)有的專業(yè)型傳播渠道之外，還應(yīng)當(dāng)選擇普通大眾經(jīng)常接觸的媒介，如與騰訊、抖音、新浪等巨大訪問量的門戶網(wǎng)站合作，作為信息發(fā)布渠道。
其次，除了信息發(fā)布渠道有專業(yè)型與大眾型之分，我們也要注意到信息內(nèi)容也有專業(yè)型與常識型的差別。專業(yè)型信息一般運(yùn)用專業(yè)術(shù)語進(jìn)行定義、描述，具備一定量的專業(yè)知識才能對這類信息正確解碼，而這些專業(yè)型信息很難進(jìn)入不具有專業(yè)知識儲備的普通大眾的認(rèn)知結(jié)構(gòu)。事實(shí)上，在專業(yè)網(wǎng)站上所披露的數(shù)據(jù)產(chǎn)業(yè)違法違規(guī)通報中，不乏專業(yè)信息，如經(jīng)常使用“第三方SDK”“收集IMEI號”“Alipay”“應(yīng)用程序列表”等專業(yè)術(shù)語，這些術(shù)語如果沒有通俗易懂的注解，進(jìn)入普通大眾的認(rèn)知結(jié)構(gòu)將非常困難。從知識社會學(xué)的觀察視角來看，能否正確解碼信息，取決于對問題的熟悉程度，由于社會分工的差異，公眾與監(jiān)管人員對于個人信息保護(hù)的認(rèn)知能力是不同的。因此，在日常監(jiān)管的違法違規(guī)信息通報、檢查指標(biāo)披露中，要避免使用過于專業(yè)性術(shù)語，或者對于專業(yè)術(shù)語進(jìn)行常識性解釋，讓普通公眾能夠正確解碼通報信息，為聲譽(yù)機(jī)制中所需的信息提供認(rèn)知保障。
再次，聲譽(yù)機(jī)制有效威懾違法企業(yè)和保護(hù)合法企業(yè)的前提是保障信息的準(zhǔn)確性、可靠性。信用檔案的信息來源除了監(jiān)管機(jī)構(gòu)查處數(shù)據(jù)企業(yè)違法違規(guī)行為以外，也要充分發(fā)揮媒體監(jiān)督、行業(yè)管理、群眾檢舉等社會治理的力量，豐富信息獲取的渠道。然而，在信息源豐富的同時，也會伴隨著信息失真的風(fēng)險。因此，在信用檔案記入、公示數(shù)據(jù)企業(yè)信用數(shù)據(jù)之前，應(yīng)當(dāng)由發(fā)布機(jī)關(guān)根據(jù)信用標(biāo)準(zhǔn)依法對錄入數(shù)據(jù)進(jìn)行核實(shí)，確保信息的準(zhǔn)確和可靠。除監(jiān)管機(jī)構(gòu)所提供的信用數(shù)據(jù)外，其他渠道上報的數(shù)據(jù)均應(yīng)通過核實(shí)程序，通過事先核查，將聲譽(yù)罰有可能給企業(yè)帶來的“誤傷”降到最低。
最后，聲譽(yù)罰的終極目的是激勵企業(yè)謹(jǐn)慎經(jīng)營或者改過自新，但由于聲譽(yù)粘性的特質(zhì)，很大程度上消除了企業(yè)積極矯正自身違法違規(guī)行為的動力，涉事企業(yè)或者“破罐子破摔”，或者“一蹶不振”，造成曾經(jīng)擁有巨額有形或無形財產(chǎn)的企業(yè)估值暴跌，導(dǎo)致社會財富的浪費(fèi)。為預(yù)防以上情況的出現(xiàn)應(yīng)該對于信息傳播確立一定的合理期限，以矯正聲譽(yù)機(jī)制過度懲罰之弊�？梢钥紤]在《個人信息保護(hù)法（草案）》第63條中增加考察期規(guī)則，即在一定時間的考察期中，涉事企業(yè)積極增改并未再發(fā)生違法違規(guī)行為，則在考察期屆滿后，應(yīng)當(dāng)在信用檔案中刪除該條違法記錄，其他社會主體再不能以公開方式傳播此條違法信息。這種違法規(guī)制方法能夠有效的糾正聲譽(yù)機(jī)制過度懲罰，已經(jīng)被不少國家在信用治理領(lǐng)域所應(yīng)用，如波斯納在其著作中分析“在某些國家，曾經(jīng)犯罪的人在犯罪記錄被刪除以后，如果有人公開提及他先前的犯罪的話，他都有權(quán)指控其誹謗”。這種信用管理技術(shù)也同樣適用于包括個人信息保護(hù)在內(nèi)的市場規(guī)制。
五、結(jié)束語：社會治理之道
個人信息保護(hù)的主力軍依然是諸如網(wǎng)信執(zhí)法、市場監(jiān)管、司法規(guī)制等公權(quán)力機(jī)關(guān)，而這種公共執(zhí)法活動無法回避的物質(zhì)挑戰(zhàn)即是資源約束，任何一個社會的公共執(zhí)法均建立在該社會有經(jīng)濟(jì)剩余的基礎(chǔ)之上，當(dāng)公共執(zhí)法資源受限于社會物質(zhì)技術(shù)水平而無法完全得到滿足時，借助于社會各方力量作為補(bǔ)充或者替代也不失為一條可行之道。這種社會治理方式在人類社會早期就已經(jīng)得到實(shí)際運(yùn)用，甚至要早于公權(quán)力執(zhí)法：“在好幾個世紀(jì)中，英國議會和市政當(dāng)局 （包括私人公司和個人）曾為查獲違法者和對其定罪支付補(bǔ)助。在違法行為被處以罰金的情況下，罰金就在英王和私人實(shí)施者之間分割。在此不存在任何公訴人，而且警察也只是在名義上是公共的”。進(jìn)入現(xiàn)代社會，公共執(zhí)法依然面臨著成本壓力，執(zhí)法體系不斷吸收了自我監(jiān)管、社會監(jiān)督等制度，其目的均是為了降低執(zhí)法投入的成本，輔助提高執(zhí)法資源使用的績效。
不可否認(rèn)的是，聲譽(yù)罰已經(jīng)逐步運(yùn)用到商業(yè)領(lǐng)域，如金融領(lǐng)域的三大評級機(jī)構(gòu)、食品領(lǐng)域的企業(yè)信用檔案等等，社會經(jīng)濟(jì)生活“公眾化”進(jìn)程的加快，事實(shí)上正在產(chǎn)生一種聲譽(yù)罰的自我利益激勵兼容約束機(jī)制，這種規(guī)制手段在社會治理中的分量已逐漸加重。正如有學(xué)者云“信息的廣泛傳播能夠普遍降低社會對違法者的評價，從而使該違法者在與他人交易時有障礙，由此使該違法者主動做出合法的行為選擇，從而也可以緩解公共機(jī)構(gòu)的執(zhí)法壓力。這種公示的價值在一個分工與交易發(fā)達(dá)的市場體制社會中尤其重要，其對法律實(shí)施的促進(jìn)作用在很多情形下是單純的罰款工具所無法比擬的”。正是由于聲譽(yù)罰的規(guī)制原理是通過信息傳播來威懾企業(yè)運(yùn)營最為核心的利益——客戶或者投資人，有效的阻卻企業(yè)決策執(zhí)行層的不法行為，進(jìn)而減輕了監(jiān)管機(jī)關(guān)的執(zhí)法負(fù)擔(dān)。借助廣大消費(fèi)者用腳投票，聲譽(yù)罰的威懾力甚至可能超過法律制裁：信息泄漏事件傳播—用戶獲知后放棄消費(fèi)—市場集體抵制—企業(yè)喪失甚至退出市場，以上商業(yè)邏輯很可能對處于白熱化競爭中的企業(yè)以致命打擊，這是在聲譽(yù)制度中產(chǎn)生的“有效治理”。當(dāng)然這種有效之治發(fā)揮效用需要滿足一系列的社會條件：信息要件、認(rèn)知要件、權(quán)利要件。在權(quán)利和認(rèn)知要件逐步實(shí)現(xiàn)之際，信息要件的實(shí)現(xiàn)就成為聲譽(yù)制度實(shí)現(xiàn)的關(guān)鍵，而建立一個涵蓋具備個人信息收集-評價-核實(shí)-披露-傳播全環(huán)節(jié)的信用檔案將是制度構(gòu)建的關(guān)鍵所在，是完善《個人信息保護(hù)法》的立法要求，也是優(yōu)化社會治理體系和治理能力的應(yīng)有之義。