作者簡介：謝宜璋，上海交通大學凱原法學院知識產(chǎn)權法專業(yè)博士研究生
內(nèi)容提要：運用卡-梅框架提供的理論工具對個人信息及其規(guī)制路徑進行分類是一種更充分且更符合問題本質(zhì)的個人信息保護探討路徑，既能夠維護個人信息的內(nèi)在同質(zhì)性，又能夠更清晰地展現(xiàn)不同場景下個人信息的利益保護訴求和處理規(guī)則�？�-梅框架下個人信息的規(guī)制路徑分為以隱私權保護為主的禁易規(guī)則，以公共利益為主要考量的責任規(guī)則以及以市場為導向的財產(chǎn)規(guī)則�！秱�人信息保護法》的制定旨在初步實現(xiàn)我國個人信息保護的體系化。在這一背景下，《個人信息保護法（草案）》應根據(jù)不同規(guī)則項下的利益訴求，對相關條文進行完善。
關鍵詞：卡-梅框架；個人信息；規(guī)制路徑；《個人信息保護法（草案）》
一、引言
在信息化時代，個人信息不僅只具有主體標識的功能，更是數(shù)據(jù)要素社會化利用的基礎性資源。2020年4月9日，國務院發(fā)布《中共中央國務院關于構建更加完善的要素市場化配置體制機制的意見》，明確指出要加快培育數(shù)據(jù)要素市場，提升社會數(shù)據(jù)資源價值。個人信息正以前所未有的方式對社會變革發(fā)揮著決定性作用。2021年4月29日，《個人信息保護法（草案）》（以下簡稱《個保法（草案）》）二審稿在一審稿的基礎上進行了多處修訂并全文公布，向社會公開征求意見，既表明了我國對個人信息保護立法的持續(xù)關注與重視，也再次凸顯個人信息保護在當今社會的重要性與急迫性。個人信息是互聯(lián)網(wǎng)時代社會的基礎性資源，若不能對個人信息的定位、保護利益和保護方式進行明晰，則難以在個人信息的基礎上對數(shù)據(jù)財產(chǎn)權、個人信息權等發(fā)展維度作出全面的判斷。鑒于此，本文擬運用以法律經(jīng)濟學為出發(fā)視角的“卡-梅框架”界定不同場景下個人信息的定義及邊界，厘清個人信息的多重法益衡量標準及不同類型個人信息利用的規(guī)制路徑，以此為個人信息保護問題提供一個新的視角與補充，并對《個人信息保護法》的制定獻計獻策。
二、個人信息的保護爭論及法律現(xiàn)狀
信息的可資產(chǎn)化賦予了個人信息以新的使命與意義。從用戶視角出發(fā)，個人信息涉及對用戶個人基本權利的保護問題。從產(chǎn)業(yè)視角，個人信息更多被視為一種無形的資產(chǎn)深刻影響著商業(yè)主體的競爭格局，具有重要的經(jīng)濟利益。從國家層面考慮，個人信息的開發(fā)利用具有信息共享和流通的社會利益，與國家在數(shù)字產(chǎn)業(yè)中的發(fā)展息息相關。個人信息具有多重權益保護訴求，這使得個人信息的保護問題愈加棘手與復雜。
鑒于個人信息的多重法律屬性，現(xiàn)階段，幾乎所有法學學科均從各自的視域探究個人信息的法律問題，但各學科之間、各研究者之間缺乏共同的話語體系，典型表現(xiàn)為使用相同的話術描述不同的個人信息內(nèi)容，或?qū)ν恍g語進行不同的解讀。例如，從保護用戶的個人利益出發(fā)，我國學者更多圍繞個人信息權來展開對個人信息保護的討論。從個人信息資產(chǎn)化的角度，有學者主張將個人信息整合而成的數(shù)據(jù)資源歸類為單獨的知識產(chǎn)權客體，另有觀點認為應將資產(chǎn)化的個人信息單獨成立為“數(shù)據(jù)權”，作為對世性的財產(chǎn)權。
而就目前立法現(xiàn)狀而言，我國法律對個人信息的權屬定性問題亦尚未有明確的立法態(tài)度，對個人信息的保護和利用規(guī)則分散于《刑法》《民法典》《網(wǎng)絡安全法》《消費者權益保護法》《電子商務法》等法律之中。我國個人信息的法律制度和規(guī)則具有分散立法、規(guī)則不統(tǒng)一的制度缺陷。
鑒于此，《個人信息保護法》被各界寄予厚望，渴望通過《個人信息保護法》的頒布來明確并統(tǒng)一個人信息的保護問題。就即將出臺的《個人信息保護法》而言，一方面，它將作為數(shù)字經(jīng)濟時代我國針對個人信息的專門法，在今后的法律適用上具有優(yōu)先于其他法律法規(guī)的特別法地位，因此，《個人信息保護法》必須在統(tǒng)籌現(xiàn)有分散的各項個人信息保護和利用規(guī)則上，對個人信息的使用場景、利用規(guī)則、保護方式等方面都進行全面、完備地設計，以此切實解決數(shù)字經(jīng)濟時代的個人信息問題。另一方面，基于《個人信息保護法》在個人信息保護和利用規(guī)則上的統(tǒng)籌地位，《個人信息保護法》的出臺還必須綜合考慮公民個人信息權益保障和信息數(shù)據(jù)利用的社會發(fā)展需求。在全國人大法工委2020年10月首次公布的《關于＜中華人民共和國個人信息保護法（草案）＞的說明》中就指出，制定《個人信息保護法》的必要性就在于在保護個人信息權益的基礎上，促進信息的有效利用，并推動數(shù)字經(jīng)濟的健康發(fā)展。該說明是對《個人信息保護法》的立法目的進行了闡釋，明確了該法綜合考量個人信息權益保障的用戶訴求、個人信息資產(chǎn)化利用的商業(yè)訴求以及個人信息綜合利用的社會訴求于一體的立法定位，是立法適應信息化時代變革的體現(xiàn)，并對《個人信息保護法》具體條文的制定具有重要的引領意義。
截至目前，我國相繼公布了《個保法（草案）》的一審稿和二審稿，可以看出，《個保法（草案）》二審稿在充分汲取各界智識的基礎上，更加強化了對個人信息保護的規(guī)定，相關條文較一審稿而言更為細化與完善。例如，《個保法（草案）》二審稿新增了第57條強化了對基礎性互聯(lián)網(wǎng)平臺處理個人信息的義務要求，再如，在第58條新增接受委托處理個人信息的受托方的相關義務，等等。更為值得關注的是，二審稿在總則第一條刪除了“保障個人信息依法有序自由流動”的內(nèi)容，似旨在總則部分更為突出個人信息權益保護的基本立法定位，但這一做法可能容易導致信息數(shù)據(jù)作為社會經(jīng)濟效益的關注度有所降低，而使市場經(jīng)營者未來面臨的信息處理合規(guī)壓力突增。另外，《個保法（草案）》二審稿仍有部分條文有待進一步細化和完善。比如，二審稿仍僅在第4條、第72條明確了個人信息的相關概念，主要以識別性來定義個人信息，這一規(guī)定容易導致泛在的個人信息范圍。同時，二審稿在第14至19條規(guī)定了個人信息的告知同意處理原則，但尚未對不同類型個人信息的使用規(guī)制路徑進行明確。承前所述，個人信息附著用戶權益、經(jīng)濟利益和社會利益等疊加性利益，“一刀切”地將個人信息規(guī)制于統(tǒng)一的裁判規(guī)則之下容易導致泛在的個人信息與泛在的個人信息管理，不利于各類型個人信息的保護與發(fā)展。
由此可見，雖然《個保法（草案）》二審稿在一審稿的基礎上進行了進一步修訂，相關表述更為精準，適用范圍也更加完整全面，但在立法定位上仍有動搖，也仍忽視了實踐中不同場景下個人信息的利益屬性及其內(nèi)涵的不確定性，相關概念之間的界限仍然模糊。
三、卡-梅框架對個人信息保護制度的適用價值
卡-梅框架（C&M Framework）是由美國學者卡拉布雷西（Guido Calabresi）和梅拉米德（Douglas Melamed）提出，從法律后果的角度對法律規(guī)則進行邏輯分類的分析方法,其著眼點并非傳統(tǒng)的行為模式，而是依據(jù)公民受法律保護的權益在遭受侵害時所能得到的不同法律救濟進行規(guī)則上的區(qū)分，這些法律救濟既可以來自公法領域，也可以來自私法領域，是包括刑事制裁、民事救濟、行政處罰以及經(jīng)濟補償?shù)仍趦?nèi)的所有救濟方式。因此，卡-梅框架可以突破單純從某一法律部門對權益保護和救濟進行探討的局限性，能夠?qū)⒎稚⒃诓煌刹块T中的規(guī)則置于同一個框架中進行分析探討，從而有助于厘清不同法律規(guī)則中的價值考量和保護意圖�？�-梅框架的適用邏輯即在于，只要一項利益能夠為法律所保護，則國家所規(guī)定的現(xiàn)有法律體系中必然有與之相對應的法律救濟，換言之，只要受法律保護的公民權益遭到了侵害，就能在現(xiàn)有法律體系中找到相應的法律責任。由此，卡-梅框架根據(jù)國家對當事主體法益保護和干預程度的不同，將法律規(guī)則劃分為財產(chǎn)規(guī)則（Property Rules）、責任規(guī)則（Liability Rules）和禁易規(guī)則（Inalienability）三類。
卡-梅框架具有兩重區(qū)分標準。其一，依據(jù)法律是否允許法益的交易與轉移，卡-梅框架劃分出了禁易原則。所謂禁易原則，是指法律禁止雙方當事人對相關法益進行轉讓，例如法律禁止對生命權的買賣。其二，在法律允許法益交易與轉移的基礎上，根據(jù)是否允許法益的自愿交易，卡-梅框架又分為財產(chǎn)規(guī)則和責任規(guī)則。所謂財產(chǎn)規(guī)則，是指法益的交易與轉移必須征得法益所有者的同意并由其決定法益的交易價格，例如商業(yè)主體在市場中對產(chǎn)品的自由買賣。而責任規(guī)則即指法益的轉移并不取決于法益所有者的同意，而是由國家設定交易價格。責任規(guī)則項下包含了意外事故等突發(fā)狀況，也包括了需要特別考量公共利益的常規(guī)情況。
運用卡-梅框架分析個人信息具有其獨特的價值和意義：其一，卡-梅框架根據(jù)國家干預程度的不同來劃分規(guī)則類型的理念在個人信息的類型化界定中具有借鑒意義。從反證的角度而言，根據(jù)不同的法律救濟途徑恰恰能夠反推出個人信息在市場交易時的狀態(tài)，從而將不同利用場景下的個人信息嚴格區(qū)分開來，避免一概而論地語義擴張。其二，卡-梅框架中所謂的“法益”（Legal Entitlement）并不局限于法律所明文規(guī)定的具體權利，其包含了受法律保護的所有權利和利益。對于個人信息而言，卡-梅框架并不要求個人信息具有法律明文規(guī)定的權利，能夠巧妙回避當前我國個人信息及數(shù)據(jù)權利屬性缺位的立法現(xiàn)狀。同時，卡-梅框架下的法益既能包括個人信息中所可能承載的人格權益、經(jīng)濟利益，也包括了信息共享需要考量的公共利益，能夠?qū)�人信息本體所疊加的三元法益都置于其框架中討論。其三，卡-梅框架著眼于法益受到侵害時能夠?qū)で蟮牟煌删葷��？?梅框架下的法律救濟具有寬泛的法律含義，無論來自公法或私法，包括民事救濟與刑事制裁、經(jīng)濟補償與行政處罰�？�-梅框架能夠?qū)⒛壳胺稚⒃诓煌梢?guī)則中的個人信息保護整合在同一個體系內(nèi)分析，有助于從更宏觀、全面的角度看待個人信息的救濟方式，從而檢視《個保法（草案）》針對個人信息保護的制度設計是否合理與準確。
四、卡-梅框架下個人信息的分類及規(guī)制路徑
承前所述，近期公布的《個保法（草案）》二審稿對于個人信息的規(guī)定仍過于泛化，容易忽視個人信息保護的不同情況。通過結合卡-梅框架下禁易規(guī)則、責任規(guī)則以及財產(chǎn)規(guī)則的基本內(nèi)涵和適用條件，能夠?qū)�人信息適用的不同場景涵蓋在同一體系下，從而更為清晰地展現(xiàn)不同類型個人信息的法益考量標準，劃清個人信息不同利用路徑的邊界。將卡-梅框架投射到我國個人信息使用場景中可以發(fā)現(xiàn)，以交易為視角可以劃分出禁易規(guī)則下的不可交易個人信息；而以自愿交易為再次劃分標準，則可將流通市場中的個人信息再次細分為非自愿交易個人信息與可自愿交易個人信息。
（一）禁易規(guī)則項下的不可交易個人信息
在卡-梅框架下，不可交易個人信息是指我國明確禁止交易的信息類型。根據(jù)我國法律規(guī)定，人格權不得進行處分，無論讓與、拋棄，皆不能發(fā)生任何法律效力。因此，本文所談論的不可交易個人信息體現(xiàn)為具有強烈人格利益的個人信息，主要包含隱私權、姓名權等性質(zhì)的內(nèi)容。[13]我國《個保法（草案）》二審稿將個人信息定位為“已識別或者可識別的自然人有關的各種信息”，從定義內(nèi)容來看，具有強烈人格利益的不可交易個人信息包含在我國《個保法（草案）》二審稿的個人信息含義之中。而根據(jù)我國《民法典》第111條規(guī)定，任何組織或個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。從該條文在《民法典》的編撰位置及行文表述可以看出，對該條文項下規(guī)定的個人信息依然傾向于適用人格權的保護。在這一語境下，不可交易的個人信息類型所體現(xiàn)的人格屬性遠強于財產(chǎn)屬性，表現(xiàn)為一種消極的、不可讓渡的權益，應以用戶人格利益受到侵害的方式給予直接保護，而不應適用《個保法（草案）》二審稿中規(guī)定的“告知同意原則”，但所公布的《個保法（草案）》二審稿并未對此進行例外規(guī)定或說明。
（二）財產(chǎn)規(guī)則項下的可自愿交易個人信息
可自愿交易個人信息是以市場為基礎的可資產(chǎn)化個人信息類型，適用財產(chǎn)規(guī)則。在財產(chǎn)規(guī)則項下，個人可以完全依照自身意愿與市場的相關主體就該類型信息進行交易活動，其交易基礎就在于個人信息能夠通過處理、加工與整合而在數(shù)字經(jīng)濟時代具有獨特的商業(yè)價值，體現(xiàn)的是個人信息可商品化的財產(chǎn)屬性。而之所以允許個人信息在市場上的交易活動，一方面在于從客觀上數(shù)字經(jīng)濟發(fā)展使得個人信息在市場上已然具有了事實上的財產(chǎn)價值，這是信息化社會不可逆轉的發(fā)展趨勢。另一方面，個人信息的社會經(jīng)濟價值也必須通過信息的流通與利用才能最大程度的發(fā)揮出來，只有正視個人信息的財產(chǎn)屬性，才能最大化地釋放信息紅利以促進經(jīng)濟社會的發(fā)展，從而使每位公民在數(shù)字經(jīng)濟中獲利。
根據(jù)《個保法（草案）》二審稿，納入《個人信息保護法》規(guī)制范圍的可自愿交易個人信息應具有可識別性，這意味著可自愿交易個人信息仍然附著一定的人格利益。但是，需要指出的是，在可自愿交易個人信息的討論框架下，可自愿交易個人信息應嚴格區(qū)別于上文所討論的具有強烈人格色彩的不可交易個人信息概念，對于具有人格權屬性的個人信息應直接以禁易規(guī)則進行保護。在財產(chǎn)規(guī)則項下，可自愿交易個人信息本身所承載的財產(chǎn)屬性要遠大于人格屬性，或者說，可自愿交易數(shù)據(jù)本身雖具有一定的人格利益，但其人格屬性并不明顯，尚未達到要適用人格權路徑予以保護的程度。[16]事實上，對可自愿交易個人信息所附著的人格利益而言，其立法關切在于對消費者在個人信息處理活動當中信息弱勢地位的保障。在大數(shù)據(jù)時代，多環(huán)節(jié)的個人信息處理是整個個人信息（數(shù)據(jù)）商業(yè)流程的普遍現(xiàn)象，而消費者僅參與了最初的個人信息交易環(huán)節(jié)，無法控制并知曉后續(xù)針對該個人信息的商業(yè)使用。也正是基于此，《個保法（草案）》引入告知同意規(guī)則以彌補消費者在可自愿交易個人信息商業(yè)流轉中的弱勢地位�？梢哉f，《個保法（草案）》中告知同意規(guī)則主要適用的個人信息類型即是可自愿交易個人信息。而在數(shù)字經(jīng)濟背景下，可自愿交易個人信息是信息自由流通市場的基礎，也是自然人真正有權自主選擇交易對象、交易模式和交易對價的客體，個人信息也必須通過市場的交易和流通才能發(fā)揮最大的社會經(jīng)濟效益。
（三）責任規(guī)則項下的非自愿交易個人信息
若僅以交易為視角將個人信息的使用劃分為不可交易與可交易兩種場景，雖然看似采取的是“P 與非 P”的完全列舉法，但實則只集中探討了個人信息上附著的人格利益與財產(chǎn)利益，而忽視了個人信息所具有的公共利益屬性。隨著信息技術的發(fā)展。個人信息不僅賦予了推動社會經(jīng)濟發(fā)展的財產(chǎn)效益，也能夠為國家制度安排與改善社會治理所用，發(fā)揮其公共屬性。對個人信息公共利益屬性的考量源于公民福利與社會整體福祉的需要。例如，為防控新冠肺炎疫情的需要，我國在疫情期間實行健康碼通行制度，每個公民需記錄其自身的健康信息與行動軌跡，而唯有出示綠碼的公民才能乘坐公共交通工具并出入公共場所。又如，新公布的《個保法（草案）》二審稿第13條第6款規(guī)定，個人信息處理者為滿足公共利益而進行的新聞報道、輿論監(jiān)督等行為，可以在合理范圍內(nèi)處理個人信息。在這一情境下，若仍適用財產(chǎn)規(guī)則取得每個公民的同意并由其確定交易定價，則與個人信息的公共利益屬性相悖，實踐中也可能導致國家部門在重大決策執(zhí)行中的效率低下與裹足不前，交易成本過于高昂。因此，在公共利益的考量下，從法律救濟方式的選擇出發(fā)，責任規(guī)則相比較于財產(chǎn)規(guī)則具有更為積極的效果，也為提高社會的公共管理效率保留了更充足的空間。責任規(guī)則項下的個人信息體現(xiàn)為非自愿交易的個人信息，即國家部門或相關機構基于公共利益的需要，在收集或利用公民個人信息時可以不以取得該公民個人同意為前提，而是通過賦予公民請求損害賠償?shù)木葷绞饺〉媒灰讓r。由于責任規(guī)則項下公民個人信息交易具有一定的強制性，在具體適用上應嚴格秉持謙抑的態(tài)度，清楚地劃定適用范圍和邊界，不可常態(tài)化和泛化。
（四）小結
“如果根本不知道路會導向何方，我們就不可能智慧地選擇路徑�！蓖ㄟ^將不同保護視角下的個人信息利用規(guī)則統(tǒng)一置于卡-梅框架內(nèi)，能夠清晰地看到不同類型個人信息保護爭論的緣由及演化路徑。
運用卡-梅框架提供的理論工具進行分析可知，對個人信息進行分類并不是將個人信息所附著的疊加法益分割開來，而是不同場景下對個人信息的利用具有不同的利益訴求，而利益考量偏重的不同所對應的司法保護路徑也并不相同。對于具有強烈隱私權色彩的個人信息應直接適用禁易規(guī)則，強調(diào)對個人隱私權等人格權利的絕對保護。而為滿足公共利益的需要，基于交易成本的分析，應適用責任規(guī)則，在必要時對公民個人信息的收集利用可不以用戶的同意為前提�？勺栽附灰讉�人信息是探討個人信息可資產(chǎn)化市場流通與利用的個人信息類型，對該類型個人信息的處理規(guī)則應以個人信息附著的財產(chǎn)利益為首要考量，是充分釋放信息資源紅利、促進個人信息社會經(jīng)濟效益的基本要素。
五、卡-梅框架視野下對《個保法（草案）》的檢視
（一）注意《民法典》與《個人信息保護法》的銜接
承前所述，根據(jù)個人信息的內(nèi)容及表現(xiàn)方式，個人信息所承載的人格利益主要分為兩大類：以隱私權為代表的人格權利和尚未達到人格權利高度的人格利益，由此在可識別性個人信息中劃分出具有強烈人格屬性的不可交易個人信息，適用人格權保護的禁易規(guī)則。
我國《民法典》第1034條第2款規(guī)定，“個人信息中的私密信息，適用有關隱私權的規(guī)定；沒有規(guī)定的，適用有關個人信息保護”。根據(jù)該款規(guī)定可知，隱私權保護路徑與個人信息保護路徑是并列關系，為根本不同的兩項規(guī)制制度。以隱私權保護個人信息的最大特性即為“防御性”，以個人人格權利切實遭到損害并具有損害后果來尋求救濟。而個人信息保護路徑則體現(xiàn)為信息處理者在處理個人信息中應當履行的相應法律義務，信息處理者不履行法律義務即視為對用戶個人信息權益的侵犯。因此，兩條保護路徑是本質(zhì)不同的兩套運行體系。新公布的《個保法（草案）》二審稿第29條第2款將本文所述具有強烈人格屬性的不可交易個人信息定義為“敏感個人信息”，意圖在第4條規(guī)定的可識別個人信息下進行種類的細分，似在回應上述《民法典》第1034條的相關規(guī)定。但詳讀《個保法（草案）》二審稿第30條至第32條所規(guī)定的敏感個人信息處理規(guī)則可以發(fā)現(xiàn)，該處理規(guī)則仍然遵循告知同意的總體原則，與《個保法（草案）》下的一般個人信息保護原則并無實質(zhì)性區(qū)別，而與《民法典》的相關條文規(guī)定存在立法上的矛盾。
因此，建議《個保法（草案）》在明確區(qū)分敏感個人信息和其他可識別性個人信息的基礎上，確立不同的保護規(guī)則。對于一般可識別性個人信息的保護應以自由流動、合理利用為原則。而對于具有強烈人格權屬性的敏感個人信息，在法律適用上應與一般可識別性個人信息相區(qū)別，明確適用禁易規(guī)則，與《民法典》第1034條規(guī)定相銜接，避免出現(xiàn)請求權并存的現(xiàn)象。
（二）責任規(guī)則項下個人信息處理的完善
《個保法（草案）》二審稿第13條第3、4、6款是責任規(guī)則在個人信息處理規(guī)則中的確立。從條文編撰位置及行文表述可知，第13條第3、4、6款與第13條第1款所規(guī)定的“取得個人的同意”條文應為并列關系。因此，在《個保法（草案）》第13條項下，以履行法定職責或法定義務（第3款）、應對突發(fā)公共衛(wèi)生事件（第4款）、為公共利益實施新聞報道及輿論監(jiān)督等行為（第6款）對用戶個人信息的使用并不以用戶同意為前提。
基于前述卡-梅框架分析可知，在個人信息處理中設置適用責任規(guī)則的條款是基于公共利益之需要，是在特定情況下國家公民必須以讓渡其個人信息權益的方式來獲得對整體公民福祉以及社會總體利益的保障。在責任規(guī)則項下，以保障公共利益為目的免除了個人同意的個人信息利用要件，實質(zhì)是擴張了國家政府部門的權力，侵蝕了用戶所擁有的個人信息權益。因此，對個人信息處理適用責任規(guī)則的具體規(guī)定必須堅持目的限定原則，防止因國家部門權力過大而打破公權與私權（益）的平衡。具體而言，在設定個人信息責任規(guī)則條款時，應將“最小夠用”原則貫穿于體現(xiàn)責任規(guī)則的每一項條款。目前，《個保法（草案）》二審稿主要在第二章第三節(jié)“國家機關處理個人信息的特別規(guī)定”中通過第33條至第37條對責任規(guī)則項下處理個人信息的范圍、方式及限度進行了嚴格限定，但未從期限維度進行相關規(guī)定�；趯τ脩暨x擇自由的實質(zhì)影響，為公共利益所采取的特定情況下的個人信息利用措施顯然不可常態(tài)化和無限期化。因此，建議在《個保法（草案）》第二章第三節(jié)的條文中增加規(guī)定，在法定職責或法定義務完成之后或應對突發(fā)緊急情況消除之后，應當對相關個人信息進行及時刪除或匿名化，以此限定基于公共利益使用公民個人信息的邊界，保障公民在個人信息面臨侵害風險時可尋求救濟的權利。
（三）財產(chǎn)規(guī)則下個人信息保護的應然立場
根據(jù)前述卡-梅框架分析可知，可自愿交易個人信息是信息市場流通的基礎，個人信息所蘊含的財產(chǎn)利益是大數(shù)據(jù)時代個人信息最典型的特征。在數(shù)字經(jīng)濟時代，以個人信息集合所產(chǎn)生的“大數(shù)據(jù)”已正式成為社會的關鍵生產(chǎn)要素，對未來各國的經(jīng)濟社會發(fā)展起著重要作用。根據(jù)國際權威機構 Statista 的統(tǒng)計，2020年全球數(shù)據(jù)產(chǎn)生量已達到47ZB，預計將在2035年達到2142ZB 的全球數(shù)據(jù)產(chǎn)生量。美國于2019年12月發(fā)布《聯(lián)邦數(shù)據(jù)戰(zhàn)略與2020年行動計劃》，將有效開發(fā)數(shù)據(jù)資源與促進數(shù)據(jù)的流通共享作為提升國家經(jīng)濟實力的重要舉措。歐盟亦在2020年公布了《歐盟數(shù)據(jù)戰(zhàn)略》，致力于通過數(shù)據(jù)流動和廣泛使用以確保歐盟在未來數(shù)據(jù)經(jīng)濟競爭中的領先地位。
個人信息是數(shù)據(jù)產(chǎn)生的基本單元，對個人信息的充分挖掘和有效利用是我國應對數(shù)據(jù)時代的發(fā)展與信息化的國際競爭不可避免的關鍵環(huán)節(jié)。我國是信息資源大國，然而，從目前來看，我國對以個人信息為基礎的數(shù)據(jù)開發(fā)與利用尚處于起步階段，大量信息資源還沒有得到充分有效的利用，信息價值還未得以充分釋放。在這一階段，如果一味強調(diào)個人信息或個人信息權益的保護問題，則可能使我國錯失數(shù)字經(jīng)濟發(fā)展的良機。因此，當前我國對個人信息及個人信息所附著權益的保護理念也必須從保障個人信息安全的絕對立場轉變?yōu)閭�人信息安全和個人信息可資產(chǎn)化交易齊頭并進的相對安全立場�！秱�保法（草案）》一審稿在總則第1條以“保護個人信息權益，規(guī)范個人信息處理活動”與“保障個人信息依法有序自由流動，促進個人信息合理使用”的表述明確了結合數(shù)字經(jīng)濟背景下個人信息處理的這兩個基本維度，是《個人信息保護法》結合國內(nèi)國際信息化時代大背景的重要體現(xiàn)。然而，近期公布的《個保法（草案）》二審稿第1條刪除了“保障個人信息依法有序自由流動”的表述，此處修改可能使我國在今后的數(shù)字經(jīng)濟發(fā)展中更傾向于嚴格實施個人信息權益保護的規(guī)制理念，過度強調(diào)了保護而忽視了信息自由流通的重要性，打破原有個人信息流通利用與個人信息權益保護的平衡立場。
事實上，保護個人信息權益與促進個人信息資源利用并不必然沖突，我國《個人信息保護法》完全可以通過規(guī)則設計平衡這兩個維度的發(fā)展。承前所述，財產(chǎn)規(guī)則項下的個人信息所承載的人格利益排除了以隱私權為代表的強烈人格權利，對可自愿交易個人信息的人格利益的保護核心在于彌補消費者在個人信息交易市場中的弱勢地位，保障的是與該人格利益密切相關的消費者個人的自決權益。為實現(xiàn)這一目的，《個保法（草案）》二審稿在第二章第14條至18條明確規(guī)定了個人信息處理的告知同意規(guī)則，要求個人信息處理者必須盡到充分的提醒與說明義務，確保個人信息擁有者在充分知情的前提下作出同意決定，這一規(guī)定可以看做是通過對個人信息處理者輔之以額外的信息義務來補足在信息交易環(huán)節(jié)中消費者的信息劣勢地位。同時，為更進一步確保消費者的個人信息自決權益，在告知同意規(guī)則的基礎上我國還引入了撤回制度以對消費者的個人信息安全進行雙重保障，消費者可以在個人信息處理活動的各個環(huán)節(jié)作出撤回同意的決定。為此，《個保法（草案）》二審稿在一審稿的基礎上對撤回制度進行了更細致化的規(guī)定，明確要求個人信息處理者提供“便捷的撤回同意方式”�？梢哉f，《個人信息保護法》相關條文對告知同意規(guī)則與撤回制度的設計為消費者在個人信息處理活動中的信息自決提供了充分的保護基礎，已然將個人信息交易風險的負擔轉嫁給了個人信息處理者，能夠平衡消費者與信息處理者在信息交易中的地位差。由此，我國對個人信息安全的保障既有嚴格的人格權保護路徑，又構建了以告知同意規(guī)則與撤回制度為基礎的個人信息處理規(guī)則，已然充分表達了對消費者個人信息權益的立法關切。在這一基礎上，《個人信息保護法》應以更為積極與坦然面對的姿態(tài)迎合數(shù)字經(jīng)濟時代的發(fā)展需求。從立法的必要性而言，個人信息的可資產(chǎn)化也正是催生《個人信息保護法》出臺的重要因素。在大數(shù)據(jù)時代，個人信息的財產(chǎn)屬性必然成為釋放數(shù)據(jù)紅利中最需著重考量的法益。據(jù)此，財產(chǎn)規(guī)則項下可自愿交易個人信息的應然立場仍應回歸上述兩個基本維度，即個人信息的權益保護與個人信息的社會經(jīng)濟效益開發(fā)。
個保法（草案）》總則第1條具有彰顯立法目的和法律定位的重要功能，對今后個人信息的法律適用具有舉足輕重的定性作用。因此，建議《個保法（草案）》總則第1條仍應恢復“保障個人信息依法有序自由流動”的條文表述，從而更好地平衡個人信息權益保護與個人信息流通利用的經(jīng)濟發(fā)展需求，促進我國數(shù)字經(jīng)濟的持續(xù)健康發(fā)展。
六、結語
在信息化時代，個人信息的保護問題與廣大人民群眾息息相關，個人信息的利用和處理也與國家在數(shù)字經(jīng)濟社會的發(fā)展緊密相連�！秱�保法（草案）》一審稿、二審稿的相繼公布進一步表明了國家為適應信息化時代變革的決心和態(tài)度�？梢灶A見，《個人信息保護法》立法之時，也是國家進行新一輪制度創(chuàng)新之際。為此，對《個人信息保護法》的制定更應謹慎周全。通過卡—梅框架將不同場景下的個人信息保護置于同一體系進行研究能夠更為清晰地界定個人信息的定位、利益訴求及規(guī)制路徑，對檢視和完善當前《個保法（草案）》的相關規(guī)則具有積極意義。