网络首发｜张硕：论个人信息处理中的优位利益豁免规则
编者按：
为贯彻落实中共中央宣传部 教育部 科技部印发的《关于推动学术期刊繁荣发展的意见》，顺应互联网时代数字化发展趋势，加强优质内容出版传播能力建设，提升学术引领能力，《行政法学研究》积极探索网络优先出版、数据出版等新型出版模式，于“中国知网”陆续推出网络首发文章，并于微信公众号同步推出，敬请关注!
论个人信息处理中的优位利益豁免规则
（张硕 中国政法大学法学院博士研究生）
目 次
一、知情同意规则的局限性
二、优位利益豁免规则的概念及意义
（一）优位利益豁免概念之澄清
（二）优位利益豁免规则的功能价值
三、优位利益豁免规则运行机制的构建
（一）优位利益的识别
（二）信息控制者的义务
（三）对优位利益豁免规则的制约
结 语
摘要与关键词
摘要：《个人信息保护法》第13条以开放列举的方式对个人信息处理的合法性基础做出了规定，并将“知情同意规则”确立为基本原则。但事实上该规则深陷传统财产规则的桎梏，过分强调个人对信息的控制，而忽视了信息的流通与利用。有鉴于此，我国可引入优位利益豁免规则，赋予信息控制者在经过利益识别，认定信息处理所保护之利益优于信息主体利益后，无需经过信息主体同意直接处理个人信息的权利，进而在知情同意规则之外对个人信息处理行为的合法性基础进行补充，平衡对信息主体的过度保护。与此同时，亦需要建立严格的优位利益识别机制、强化信息控制者义务，疏通信息主体的救济途径并加强政府监管，以防规则滥用。
关键词：优位利益豁免；知情同意；利益衡量；信息流通；个人信息保护
正 文
个人信息作为数据经济时代社会生产与发展的原料，是一种新型事物，它与传统的有体财产不同，在本质上有着强烈的共享性、流通性与非竞争性，并且承载着多方的多元化利益，包括但不限于“信息主体的个人利益，以及与个人信息处理紧密结合的信息使用者的利益和公共利益”，因此，除了对信息主体个人信息权益的保护，促进个人信息的流通与合理利用、保障个人信息之上其他主体的合法利益无疑是数据时代更高的追求。《个人信息保护法》第13条秉持传统财产规则的理念，以“知情同意”规则作为处理个人信息的基本原则，过于严苛地限制了个人信息的处理，无法满足现代数据治理的需求。实践中“知情同意”规则的内在缺陷与客观局限性也在日益凸显，“信息决策困境”、“损害制度失灵”、“责任错配”、“利益保护失衡”等问题使其很大程度上落入流于形式的窠臼，无法有效对个人信息提供充分的保护亦无法保障个人信息的流通与合理利用。有鉴于此，关于如何调整《个人信息保护法》第13条对于个人信息处理合法性基础的规定，以缓解“知情同意”规则的僵化，促进信息的流通利用，同时平衡并保护个人信息之上蕴含的多元利益，是亟需探讨的问题。本文认为我国可借鉴欧盟数据立法中的“合法利益豁免”规则，并通过在其基础上收缩规则入口，建立合理的利益衡量机制，加强信息控制者义务责任，疏通信息主体救济途径，健全监管制度，建立起一套适合我国现阶段国情的“优位利益豁免规则”以丰富和优化个人信息处理的合法性基础，收缩知情同意规则的适用边界，弱化个人对信息的控制。
一、知情同意规则的局限性
知情同意规则最早为1970年德国黑森州《数据保护法》所确认，而后具有代表性的欧盟1995年《个人数据保护指令》（下文简称“95指令”）；以及美国众多分散式立法，如《健康保险流通和责任法》(HIPAA)、《视频隐私保护法》(VPPA)等亦纷纷效仿。就我国立法来看，2012年全国人大常委会通过了《关于加强网络信息保护的决定》，首次在法律层面将信息主体的“同意”作为我国个人信息处理的合法性基础。而后，《消费者权益保护法》第29条、《网络安全法》第22条、《民法典》第1035条，《征信业管理条例》第12条、《关于加强网络信息保护的决定》第2条、《电信和互联网用户个人信息保护规定》第9条、以及作为推荐性国家标准的《个人信息安全规范》第4(c)条均对知情同意规则作出了明确规定。显而易见，知情同意规则在全球范围已经成为绝大多数国家个人信息保护领域立法所承认的基本规则，在我国更是覆盖网络安全、消费者权益保护等诸多领域，成为了占据主流的规范表达。但客观来看，该规则的内在缺陷与客观局限性导致其在实践中所发挥的作用乏善可陈。
首先从理论层面出发，个人信息在私权框架下的非客体性与知情同意规则本身存在矛盾。具言之，知情同意规则的制度设计系基于私法角度的“信息自决”理论，其在“卡——梅框架”（Calabresi-Melamed Framework）视域之下亦被界定为财产规则，即以法益拥有者（信息主体）的自愿让与作为该法益移转的前提条件。该规则肯定个人对其信息的绝对控制，推崇由个人的意思自治来决定个人信息的产生、处理与消灭，旨在最大限度地保护信息主体利益。它的适用前提是信息主体须对个人信息享有排他性的权利，且关于个人信息的“交易”成本极低。但从“主体—权利—客体”结构来看，个人信息缺乏民事客体须有确定性、特定性以及独立性的这一基本要求，并且想要满足信息主体与信息控制者就处理行为的目的、过程、结果、方式等达成一致成本极高，与知情同意规则所预设的适用情景并不契合。因此，像对待私权客体一般对待个人信息是不现实也是不合理的。亦有学者甚至认为，个人信息不仅不是私权客体，甚至可归于“公共物品”。
其次，个人信息具有显著的非竞争性，可以被无数次生产和使用，而不会消耗数据相关的对象。从经济学角度来看，“产权的概念仅仅是针对稀缺物品而言的，因为稀缺才有分配的效率问题，从而产生了产权与交易的需要，对于像阳光和空气这样不稀缺和不排他的充裕物品是没有竞争性的，因而也不需要产权制度来规范其使用”。因此，法律应当更多从规制信息使用的角度出发解决个人信息保护与利用的问题，而非妄图从权属角度出发，以知情同意规则这一保护财产等私权客体的方式赋予信息主体决策权来达到数据治理的目的。
最后，从社会实践来看，知情同意规则对信息主体的过度保护并未彰显成效，信息主体作为自然人的理性局限以及面对信息控制者的智识差距滋生了“决策困境”等问题，使得即使进一步赋予信息主体限制处理权等权利也未必能很好地保护其权益，严重阻碍了信息的流通利用。
二、优位利益豁免规则的概念及意义
（一）优位利益豁免概念之澄清
“优位利益豁免”是指当信息控制者处理个人信息为实现的利益优于信息主体的信息权益时，可不经后者同意对个人信息进行合法处理。该规则之下，个人信息的“交易”不再以信息主体的意思为准，而信息主体也只有在信息控制者违反相关法律法规的情况之下享有损害赔偿的请求权。从上文提及的卡梅框架视角来看，优位利益豁免规则属于责任规则，其目标取向是促进信息的流通与利用，其在体现个人信息的共享属性及发挥其社会价值方面有更为积极的效果。
从域外立法经验来看，欧盟早在95指令即对合法利益豁免规则作出了规定，赋予信息控制者及其他第三方主体为了实现合法利益所必须可不受知情同意规则限制而处理个人信息的权利。2018年5月生效的《通用数据保护条例》(General Data Protection Regulation，GDPR)就处理行为合法性基础问题亦沿用此规则。两文件原文中对信息控制者处理信息所要追求的“利益”均采用了“legitimate interests”一词，因此学者们多将此规则译为“合法利益豁免规则”。但该规则能够突破知情同意原则的基础并非处理行为所追求的利益合法，而在于条款的后半段，即处理行为所追求的利益优先于信息主体在个人信息之上的权益。因此，强调该规则中利益衡量的特点，将其称为“优位利益豁免规则”更能够突出其法理基础与底层逻辑。
综上，“优位利益豁免”与“合法利益豁免”在概念上具有相似性，只是后者将利益的优先性作为了规则适用的“条件”而没有在源头上对合法利益的范围加以限制，前者系将优位利益作为规则适用的“主体”加以控制，即将不具备优位性的利益直接排除在豁免规则之外。
（二）优位利益豁免规则的功能价值
知情同意规则在实质上是对个人信息主体的一种积极赋权，允许其对个人信息进行自我管理，在一定程度上具有尊重人权，防止信息主体权利受侵害的意义，且经过几十年的发展，这一思想已经成为很多个人信息立法和学术讨论的基本范式。但对个体信息的赋权应当以确保信息的合理流通为目标，兼顾个体对于其信息流通的预期与社会对于信息流通的预期。因此，将“优位利益豁免规则”作为与知情同意规则并列的个人信息处理的合法性基础之一也许是平衡知情同意规则，优化信息处理合法性基础的一剂良药。
首先，优位利益豁免规则可有效促进信息的有利流通。在数据领域，最为根本的矛盾即为对个人信息权益的保护与信息流通之间的冲突，这往往被人们视作一场零和博弈。但事实上，二者之间并非对立关系，反而是相辅相成的互益关系。个人面对信息数据处理的理性是非常有限的，甚至在一定程度上可以被视为数据领域的“非完全行为能力人”。个人实际需要有着专业判断与分析能力的主体代理其作出最优决策。优位利益豁免规则恰恰是将信息处理的决策权交由具备强大分析处理能力的信息控制者掌握，要求其以优位利益为本位，提升社会总体福祉为目标，对个人信息作出“最佳化处理”。该规则很大程度上杜绝了个人的非理性决策，促进了信息的流通共享，甚至在欧盟立法报告中被认为可作为大数据信息处理的默认适用路径。
其次，优位利益豁免规则可兼顾保护多方主体在个人信息之上的多元利益。法律保护个人信息并非旨在保护个人信息本身，而是对个人信息之上承载权益的保护。GDPR鉴于条款第4条规定，“个人数据保护不宜作为一种个人绝对权利。必须根据比例原则，考虑其在社会中的作用，并与其他的基本权利相较权衡”，由此可见就数据治理来说，如何保护信息主体一方的权益固然重要，但如何平衡个人信息所蕴含的多元利益才是更高层次的制度追求。
关于信息主体在个人信息之上所享有的权利众说纷纭，有学者观点认为保护个人信息的底层逻辑在于对个人基本权利以及自由的保护；这种观点与欧盟第GDPR第1.2条规定一致。有学者认为个人信息具有财产性系特殊的物权客体，信息主体对其享有所有权；亦有学者采德国通说，认为个人享有信息自决权，而该权利系一般人格权。对此，如上文所述，个人信息的财产属性本身有待商榷，况且不能以财产性推导出物权客体，因此“物权说”存在明显瑕疵。信息自决权系基于信息主体基本权利而产生的下位权利，亦非法律对信息主体权益保护的底层逻辑。因此，将信息主体享有的权益理解为基本权利及自由更为恰当且完整。
信息控制者对于个人信息的处理同样享有正当利益，如互联网公司为向用户提供更好地服务升级系统而收集、分析个人信息；公司为经营测算需要分析使用客户个人信息等，均属于宪法所承认的营商自由。承认信息控制者处理个人信息的正当性是实现个人信息社会价值的必然选择。个人信息保护制度不能扼杀个人信息的合理收集、利用和流通，法律必须在两者之间寻求一个平衡点；个人信息之上的公共利益更为广泛，社会秩序、公共安全、科技发展等均离不开对个人信息的处理利用。
单一利益的保护是可以通过极端方式轻易实现的,但个人信息所承载的利益是多元的。对此，法律需要平衡各种利益，以合理的方式作出最有效率的取舍，从而保障信息市场秩序，增进社会总体福利。不同于知情同意规则仅保护信息主体一方利益，优位利益豁免规则的一大优势就在于其所能保护的法益具有多样性，可根据具体情景变化衡量多种利益之间的优先顺序，从而对相对优位利益作出保护。
最后，优位利益豁免规则亦能够起到吸收整合既有规定的作用。从自下而上的立法技术来看，优位利益豁免规则更像是一种以提取公因式的方式抽象出的更加灵活且覆盖面更广的原则性规定；从自上而下的工具视角观察，其又能够发挥吸收整合既有个人信息处理行为合法性基础规定的功能。《个人信息保护法》第13条列举的部分例外情形本身即蕴含着优位利益豁免规则的价值逻辑，在本质上均是法律基于价值排序而做出的选择。具体来说，“公共卫生事件”之上承载的是社会公众的生命健康安全以及社会秩序等公共利益；“自然人的生命健康及财产权”属于基本人权，其中生命权更是人权法律保障的基点，居于首要地位，因此，以上权益的需受保护程度在紧急情况下明显优先于信息主体的信息权益。对于“新闻报道、舆论监督”，其蕴含着重大的公共利益以及言论自由，在“合理范围使用”的前提下，其对社会福利的总体增益要明显高于个人信息权益折损的风险。由此可见，上述例外情况有着利益衡量的逻辑共性，完全可以为优位利益豁免规则所吸收整合。这相较于现行的分散列举方式不仅可以促进规范的体系化，同时亦能扩展规则的适用情景，促进信息的合理利用。
三、优位利益豁免规则运行机制的构建
（一）优位利益的识别
个人信息之上承载的利益具有多元化的特点。在具体情境之下通过对诸多利益间的价值排序，确认需首要保障的优位利益是优位利益豁免规则适用的根本和前提。我国相较于西方国家网络信息技术的发展略显滞后，一直以来对个人信息的认识也多受西方理论影响。无论是大陆法系的信息自决理论抑或是普通法系的隐私理论都过分强调信息主体对个人信息的权益，而轻视了其上信息控制者、其他第三方以及公共面向的重大利益。如今，在优位利益豁免规则之下，需客观看待各方利益，甚至在一定程度上将信息的流通利用置于较个人信息保护更优先的位置，进而平衡知情同意规则对信息主体的侧重保护。
1.欧盟“平衡测试”之检视
从域外实践经验来看，为配套《数据保护指令》第7(f)款“合法利益豁免规则”的实施，欧盟第29条数据保护工作小组的第6-2014号意见书设计了较为细致完善的“平衡测试”(balancing test)机制，要求信息控制者必须通过平衡测试方可获得合法利益豁免。该测试主要包括四个方面的考察：“1.数据控制者合法利益的评估; 2.对数据主体的影响; 3.临时平衡(provisional balance); 4.数据控制者为防止对数据主体造成过度影响而采取的额外保障措施。”其中第1项测试内容主要是判断信息处理所要保护的合法利益是否相较于信息主体的信息权益更为重要，其在平衡测试体系中扮演着绝对核心的角色，同时亦是所有后续评估的前提。第3、4项测试内容看似合理，但事实上却存在逻辑无法自洽之处。合法利益豁免规则系处理个人信息的合法性基础，即应当满足此规则的要件要求后方可达到处理个人信息合法的效果，但第3第4项评估内容均是对处理过程中信息控制者是否履行了一般的或额外的保护义务的评估，即测试内容并未构成信息处理行为启动的条件。而第2项评估内容亦完全可作为一项考虑因素划入合法利益的评估环节。因此，欧盟平衡测试中真正值得参考借鉴的是对合法利益的评估。第29条工作组认为不可能对所有可能与信息主体信息权益产生冲突的合法利益进行价值判断，只能对此问题作出一些指引。因此，其依据《欧洲基本权利宪章》(European Charter of Fundamental Rights)以及《欧洲人权公约》(European Convention on Human Rights)列举出了表达和信息自由、艺术和科学自由等部分典型权益，并创设出了一些具体情境，为信息控制者的价值判断提供参考。欧盟的判例体系以及法律规范当中的情景范例是值得借鉴的。我国信息主管部门亦可出台相应规章、指引文件；法院亦可在指导案例中进行相应的指导。
2.动态价值秩序之建构
关于利益的冲突，实质上并不是逻辑上的矛盾而是事物之间的价值冲突。英国哲学家以赛亚·柏林于上世纪提出了一套价值理论，认为人类拥有的异质而基本的“价值”在终极层面上存在难以调和的冲突，人类无法逃避在价值与价值之间做出选择，但价值与价值之间却并不存在相容性和公度性，因而如何选择，是一个无解的难题。罗尔斯、克劳德对于此价值多元论以及利益衡量的公度性难题也持悲观态度，拉兹更是提出了经典的“拉兹疑问”，使得利益衡量似乎真的丧失了可能性。但这一价值论断是停留在哲学层面的，从日常生活以及法律适用的角度出发，异质性利益的衡量与位阶排序不仅是可能的，更是必然需要完成的，亦是法价值的重要体现，这种不同利益之间的取舍与选择，是法律科学本身得以存在的原因之一。关于价值秩序的构建，值得一提的是美国法学家庞德受植物学启发而建构的利益纲目表，他将利益大致分类为个人利益、公共利益与社会利益，并且主张利益的选择应该根据选择何种利益的结果可以使整个利益纲目内的最多数利益获得保障。庞德建构的利益纲目表在理论上一定是不周延的，且其对利益的分类很难达成社会共识。更重要的是，随着具体情景的转变，不同利益之间的位阶可能发生一定程度的改变，因此，在个人信息权益与其它利益的衡量问题上仍然需要回归基本价值的社会共识，辅以场景理论来保持利益衡量机制的可适用性。
本文所主张的动态价值秩序即是以不同位阶利益之间较为稳固的基本排序为躯干，以不断动态发展的个案判断经验为枝叶，协同构建的利益衡量之树。对于基本价值排序，生活在同一时代、同一社会的人们总有某种共同的价值追求，如自然人的生命利益优于隐私利益、公共安全利益优于表达自由利益、后代的生存利益优于当下资源开发利益等。因此，可通过成文的法律解释或相关指导意见对该基本排序进行确认。而对处于相同位阶的利益冲突，法律无法通过精确的公式来为所有利益进行周延的位阶排序，只能通过嵌入具体的情景，依据一定的价值准则进行个案判断。这些准则首先包括合法性原则，即要求利益衡量过程发生在法律的框架秩序之下；其次要以总体利益最大化为目标 ，尽可能减少利益摩擦；最后，需彰显优位利益豁免规则的制度原意，一定程度上偏向信息流通利用之利益。
（二）信息控制者的义务
在优位利益豁免规则之下，信息控制者集决策与行动于一身，无需获得信息主体的同意即可进行信息处理。因此为防止规则被滥用，在《个人信息保护法》现有一般性义务规定外，加强对信息控制者的义务规范是十分必要的。
首先，在优位利益识别阶段，要求信息控制者审慎开展利益识别工作，并将利益衡量的方式与过程进行公开。在信息处理活动过程中，有必要参照《个人信息保护法》中对敏感个人信息处理的规定，加强信息控制者的义务，要求其提供额外的安全措施予以保障，并在处理前书面告知信息主体其利益识别的结果、处理行为的必要性及对信息主体可能造成的影响。信息主体的知情在一定程度上能够提升其安全感与对信息控制者的信赖，更重要的是为其行使“反对权”提供基础。
其次，美国盛行的“数据信托”即“信息控制者的信义义务理论”在优位利益豁免规则之下显得更加具有借鉴意义。巴尔金指出“某些信息构成私人关注的问题，不是因为它们的内容，而是因为产生它们的社会关系”，合同关系模式具有局限性，而信义义务关系是更符合时代发展，有利于解决个人信息保护问题的合理进路。按照此理论，信息控制者作为信息受托人（Information Fiduciaries）对信息主体负有信义义务（fiduciary duties），包括注意义务（duty of care）和忠诚义务（duty of loyalty），具言之，即要求信息控制者在信息处理过程中“不得泄露和滥用个人信息，不背叛用户，不损害用户利益，不造成利益冲突，不以用户意想不到的或违反社会规范的方式使用个人信息”。在优位利益豁免规则之下，信息控制者与信息主体之间缺乏“知情同意”的基础，课以信息控制者对信息主体的信义义务能够有效平衡在推动数据流通背景下的个人信息保护。
最后，就程序方面来说，信息控制者对优位利益识别的过程及结果不仅需书面送达信息主体，同时应当以书面形式报送相关行业管理协会及县级以上信息主管部门进行备案登记，一方面便于事后的审查监督，另一方面也便于信息主体多渠道行使知情权、查阅权等相关权利。
（三）对优位利益豁免规则的制约
优位利益豁免规则的价值导向即为促进信息的流通利用而非信息保护，且信息主体并无决定个人信息处理行为的权利，处于相对弱势的地位。因此，通过疏通信息主体的救济途径以及加强信息控制者的决策监管，对本规则的适用进行有效制约是十分必要的。
信息主体基于对信息控制者利益识别过程及结果的知情，应享有对处理决定行使反对的权利。此处的“反对权”系借鉴GDPR第21条关于反对权的规定（right to object），与个保法第44条规定的“拒绝权”不同，即只有在信息控制者无法证明其信息处理利益优于信息主体的信息权益时才能够产生终止信息处理行为的效果。该制度相较目前的“拒绝权”更加柔和，不会因信息主体的反对而当然产生效果，但同时能够起到对信息控制者的监督作用，并且能够与行政及司法救济相衔接，是一种更加符合优位利益豁免规则的配套机制。
进一步来看，在信息主体提出反对的情况下，不能仅寄希望于信息控制者的自我规制，还应疏通行政及司法面向的救济途径。具言之，除了《个人信息保护法》第65条及70条规定的信息主体的投诉权以及公益诉讼的相关规定，还可配套引入“行政司法”的理念，“通过法律将具有‘审判’功能的权力授予行政机关。”在信息主体对信息控制者的信息处理决定存有异议时，允许其向信息主管行政部门申请介入调查，并在必要时对双方之间的争议作出裁决。在司法层面，为平衡利益，消除信息主体对让渡决策权的恐慌，可借鉴“人格权禁令”的理念，赋予信息主体在有证据证明信息控制者正在实施或者即将实施侵害其信息权益的违法行为，不及时制止将使其合法权益受到难以弥补的损害的情况下，向人民法院申请采取责令信息控制者停止有关处理行为措施的权利。事实上，2021年最高法出台的《关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》已经明确引入了禁令规则，相关解释及适用可直接借鉴。
结 语
个人信息的流通与利用是社会发展的趋势也是社会发展之必然选择。《个人信息保护法》作为数据领域目前最为重要和全面的立法需要回应社会需求，为信息处理提供更加合理和多元化的合法性基础，促进信息的流通与利用，平衡个人信息之上的多元利益。不可否认，知情同意规则对于个人信息的保护具有积极意义，但相较于降低信息处理效率的繁重成本，其所带来的“收益”并不可观。优位利益豁免规则可以丰富个人信息处理的合法性基础，弱化信息主体对信息的控制，同时将治理重心后移，加强信息处理后端的风险治理与相关主体的责任强化，在保障信息主体个人信息权益的同时重视个人信息的流通利用及其他相关主体权益的保护，是符合时代要求的数据治理进路。
（责任编辑：王青斌）
网络首发文章汇总：
网络首发｜杨曦：利用自动监控进行非现场执法的进路及规范构建——基于事实认定的视角
网络首发｜徐彤：个人信息保护制度的风险路径及其路径风险——以荷兰数字治理及SyRI案为例
网络首发｜叶秋艳：原告资格判断框架的延续与优化——“黄陆军案”新解
《行政法学研究》创刊于1993年，是由中华人民共和国教育部主管、中国政法大学主办、《行政法学研究》编辑部出版的国内外公开发行的我国首家部门法学杂志。本刊是国家社科基金资助期刊，已被列入“中国人文社科核心期刊”、“法律类中文核心期刊”、“中文社会科学引文索引（CSSCI）来源期刊”、“中国社会科学期刊精品数据库来源期刊”、“中国学术期刊综合评价数据库来源期刊”和“中国核心期刊（遴选）数据库”。
行政法学研究编辑部
欢迎您关注订阅赐稿！
欢迎各位读者通过全国各地邮局订阅！
地址：北京市海淀区西土城路25号
中国政法大学法治政府研究院
邮编：100088
座机：010-58902973
联系电话：13683175731
投稿网址：http://xzfx.cbpt.cnki.net