[生活]驱虎吞狼：个人信息保护的路径选择

[生活]驱虎吞狼：个人信息保护的路径选择 驱虎吞狼:个人信息保护的路径选择 刘明 如今，在巨大利益的诱惑和趋势下，侵害个人信息的违法行为已然十分猖獗，并大有积重难返的势头。在此种背景下，以法律手段加强对个人信息安全的保护，已经成为了社会各界的共识，制定一部《个人信息权保护法》，似乎更是势在必行。然而，在此种政治和道德都无比正确的共识面前，笔者却嗅到了一股“想当然”的味道，听到了一阵“拍脑袋”的声音。诸位看官，且听我细细道来。 一、侵权行为模式的转变:从单挑决斗到无差别轰炸 《孙子兵法》有云:知己知彼百战不殆，因此，在我们讨论应如何保护公民个人信息之前，有必要先对个人信息侵权行为的特征进行细致剖析，并找出其与传统人格权侵权行为之间的区别，以实现对症下药。 在笔者看来，传统的人格权侵权(如侵害肖像权、名誉权、隐私权)在行为模式上，像是一场一对一的单挑决斗。一方面，此类侵权行为通常是发生在侵权人与特定受害人之间的，而侵权人与被侵权人之间对于损害结果的分配，则存在着一种此消彼长的关系，赢者通吃，而败者一无所有;另一方面，此类侵权行为的受害人往往也是经过一定筛选的(如文体明星、政界要员等)，而作为路人的你我，被侵害人格权的几率其实并不太高，至于原因则很简单，因为既不值钱也不会引人关注嘛。 与之相比，个人信息侵权则像是侵权人所发动的一轮又一轮无差别轰炸。在这场轰炸中，侵权人针对的不再是某一个或几个经过筛选的特定受害人，而是其能力所及范围内的所有信息主体，不管你是平头百姓还是达官显贵，都将经受同样的“洗礼”。更为严重的是，这种无差别轰炸并非是毕其功于一役的偶发行为，而是一种新的常态，受害人一旦进入轰炸范围，就将被长期滋扰并难以脱身。 之所以个人信息侵权会在行为模式上发生如此翻天覆地的改变，主要原因就在于，对于 侵权人来说，个人信息上所附着的是一种统计学意义上的抽象价值，而非与特定权利主体直接相关的具体价值，因此，侵权人所关心的并不是侵害了谁的个人信息，而是侵害了多少个人的个人信息，毕竟，只有当侵权对象的人数和范围达到一定量级时，侵权行为才具有实际意义，这和大米只能论斤买而不能论粒买基本是一个道理。 总而言之，面对侵权行为模式上的巨大差异，法律是否有必要对传统的权利救济模式作出相应调整呢,用于决斗的手枪，是否真的能够如抗日神剧中那样打下敌人的轰炸机呢,值得我们进一步思考和讨论。 二、传统救济手段的没落 根据我国现行法律，在面对传统人格权侵权时，权利人所依赖的救济力量主要有二，一为公权执法，二为自力救济。然而，在面对无差别轰炸式的个人信息侵权时，这两种救济手段均在不同程度上表现出了力不从心的疲态。 (一)公权执法的困境:加大投入还是选择性执法, 我们都知道，公权力机关的执法是要有成本的，而当执法成本不足以覆盖全部或大部分违法行为时，选择性执法的情况就将出现，而有选择的进行执法，不仅难以有效惩处并预防违法行为，而且也给公权力的寻租留下了巨大空间。相信对于这一情况，作为天朝子民的你我都不会陌生。因此，当我们面对如黄河绝口一般泛滥的个人信息侵权时，要想依靠公权执法对其进行遏制，唯有不断加大投入，建立专门的个人信息保护机构，并赋予其更大的执法空间。然而，且不说以有限的财政预算去对抗在经济利益驱使下近乎无限的个人信息侵权行为是否可行，单从限制公权这一基础法治原则来看，这一路径也不甚现实。要知道，一旦让野兽逃出牢笼，就很难再将其关回来了。 总而言之，面对数量庞大的个人信息侵权行为，公权执法是具有较大局限性的，其主要精力只能集中在对大案要案的处理上面，而并无力逆转侵权行为不断泛滥的整体趋势。 (二)自力救济的无奈:以小博大基本无望 作为一项私权，当个人信息权遭受侵害时，权利人自然应该是其最为坚定的捍卫者。然 而，与公权机关执法一样，以自力救济方式对抗个人信息侵权也是需要进行成本收益考量的，而其结果并不乐观。详言之，以自力救济对抗个人信息侵权的路径主要有二: 第一，提高自身防范能力，从源头处阻止个人信息外泄。自我保护意识的提高，固然可以在一定程度上起到遏制个人信息侵权行为的作用，然而仅凭这一点改变，恐怕是杯水车薪的。主要原因有三:首先，个人信息的泄露已呈积重难返之势，即便从当下起处处谨小慎微，至多也只能起到亡羊补牢的效果，难以扭转大局;其次，大数据技术的快速发展，已经使得通过授权他人使用个人信息来换取更为便利的生活，成为了一种生活常态，此时，再以“闭关锁国”的态度对待个人信息，无异于因噎废食;复次，从实力对比上看，除了极少数技术达人以外，绝大多数信息主体无论再怎么提高警惕，也是难以与那些蓄意侵害个人信息的行为相对抗的，事实上，绝大多数侵权行为都是在我们不察觉的情况下发生的。 第二，以法律手段追究侵权者的侵权。法谚有云:“法律不保护权利上的睡眠者。”但是，当积极维权换来的是徒劳无功的结局时，睡眠反而成为了最好的止损选择，而在个人信息侵权中，恰恰就存在着此种让人颇感无奈的情况。具体来说，根据我国《侵权责任法》确立之损害填补原则，受害人只能就其实际遭受的损失向侵权人主张赔偿，惩罚性赔偿的适用空间相对较小，而在现实生活中，受害人因个人信息被侵害而遭受的实际经济损失(或侵权人因侵害特定个人信息而获得的经济收益)通常是很难计算的，即便能够计算，也不会是一个很大的数额，因此，在该数额范围内追究侵权人的法律责任，受害人是很难得到有效救济的。此外，受害人若想通过精神损害赔偿寻求救济，则需要证明其遭受了严重的精神痛苦。然而在大多数情况下，个人信息泄露除了会在心理上给受害人造成一定不适以外，并不会真的使其遭受多么严重的精神痛苦，因此，精神损害赔偿即使能够成立，赔偿数额相信也不会太大。 事实上，当权利人选择单挑个人信息侵权者时，后者的法律责任就将在相当程度上被化整为零，而权利人所能获得的最好结果，恐怕也就是侵权人主动停止侵害、删除个人信息，并赔偿其一笔不痛不痒的费用了。试问，又有几个人愿意为了这点利益而毫无顾忌的投身冗长的诉讼程序中来，并承担聘请律师、调查取证等一系列支出呢, 综上所述，在面对以巨大经济利益为支撑且有预谋、有组织的个人信息侵权行为时，无论是公权力机关的依法查处，还是权利人积极的私力救济，都不足以从根本上对其产生遏制 效果，并为权利人提供有效的保护，而在无人可以担此大任的情况下，越是在法律条文和宣传口号上强调个人信息权的“保护”面向，法律规范就越显得苍白与无力。 三、驱虎吞狼:个人信息保护的第三股力量 “时代在变，环境在变，潮流也在变”，面对无差别轰炸式的个人信息侵权，无论是公权机关还是私人主体，都不再可能凭借一己之力与其展开对抗，唯有指望第三股力量的加入来打破此种一边倒的格局。这股力量是什么呢,在给出答案之前，请容笔者先卖一个关子，并邀请大家一同思考下面这个问题: 到底是谁让广大网民基本免于了对病毒的恐惧呢, 是承担着打击网络犯罪职责的公安机关么,部分是，但并不是主要原因;是广大网民自身防毒能力突飞猛进，或者向病毒制造者发起了潮水般的诉讼攻势么,照照镜子就知道，显然也不是。其实，答案非常简单，看看您桌面右下角的角标(苹果用户不要偷着乐)就能明白，是360、腾讯、金山、瑞星这些在本质上与病毒制造者一样，都是以盈利为最终目标的商业机构。正是它们通过商业模式的创新，以免费方式让杀毒软件的装机量获得了质的提升，进而在整体上净化了网络环境，遏制了病毒的大规模传播。 明眼人到此早已猜到，笔者所说的这第三股力量，就是商业主体的力量。进一步说，笔者认为，唯有采用驱虎吞狼之计，激发市场主体对于公民个人信息保护的热情，方能从根本上改变侵权人与信息主体之间的实力对比，从而有效遏制侵权行为。更为重要的是，当有商业主体介入个人信息保护行业后，其天生的逐利特性，将促使其在个人信息保护与利用之间寻找平衡与调和之道，最终在个人信息主体、个人信息保护者与个人信息使用者之间，形成三方共赢的良性循环。 如果您觉得这听上去有些天方夜谭，不妨请先看一下下面这个商业模式是否可行: A公司(可假想为腾讯)以庞大的用户资源为基础，推出个人信息保护服务，服务内容主要包括:第一，A公司免费向用户提供专用软件，以技术手段防止用户的个人信息被第三方擅自收集和使用;第二，当A公司发现或用户报告其个人信息被第三方侵害时，A公司 将代表用户与侵权人进行协商，要求其立即停止侵权活动并追究相应的法律责任，如获得金钱赔偿，A公司将与用户进行分成;第三，在用户接受上述服务的同时，A公司将要求用户授权其在特定的范围和用途内，自行或授权第三方使用其个人信息。同时，A公司将根据个人信息使用情况，以现金或其他方式向用户支付报酬。当然，用户也有权拒绝A公司的要求，仅接受免费的个人信息保护服务。 在此种商业模式下，个人信息主体、个人信息保护服务经营者，以及第三方个人信息使用者之间的关系将得到充分理顺，并在相互交往过程中各得其所: 对于信息主体来说，A公司提供的服务将使其个人信息的受保护程度，在预防和救济两个层面都得到质的提升，而且，其非但不需要为此承担过重负担，而且还可能获得额外的经济利益，可谓一举两得。也许有人会质疑，靠“出卖”个人信息来实现对个人信息的保护，是否是一种自相矛盾的作法,笔者认为并非如此，一方面，在个体无力对抗侵权行为时，通过缴纳一定的“保护费”来寻求安全，无疑是一种更为务实的选择;另一方面，权利人对于A公司的授权，是在其知情权和自主选择权得到充分保障的基础上作出的，而尊重信息主体对其权利的处分权，同样是一种对于权利的周延保护。 对于个人信息保护服务的经营者来说，一方面，可以通过提供此类粘度较高的服务，获得更多稳定的用户资源，有利于其开拓其他项业务;另一方面，则可以合法的汇聚大量个人信息资源，并通过对这一资源的使用或授权许可获取收益，改进服务，亦是一石二鸟之事。 对于第三方个人信息使用者来说，相较于与信息主体进行直接磋商并获得授权，或者干脆以违法手段获取个人信息来说，通过与A公司合作获得大量能够合法使用的个人信息资源，成本无疑是较低的，特别是对于一个具有长远规划的负责人的企业来说，更是一个较为理想的选择。 毫不避讳的说，上述关于个人信息保护服务的商业模式，就是建立在经营者对其用户个人信息的使用基础之上的，毕竟，个人信息中所蕴含的巨大经济和社会价值，使得相较于单纯的保护服务，使用个人信息所获得的回报显然更高。虽然此种模式让市场主体对于个人信息的保护变得有些目的不纯，但残酷的现实早已教育了我们，在市场经济环境下，无论是一件多么利国利民的事情，如果缺少了足够的利益驱动，而仅凭一腔热血来支撑，其结果多半会是虎头蛇尾的。因此，如果我们选择了让商业主体这头虎来保护个人信息，就必须要有喂饱它的能力，让它在合法商业利益的驱动下与违法行为展开对决，否则，市场资源将自然流向那些具有更高投资回报的地方。 四、从保护到使用规则:以《个人信息权法》构建个人信息保护市场的制度基础 古语云:授之以鱼不如授之以渔。驱虎之关键，不在于直接对其进行利益输送，而在于为它创造一个良好的觅食环境。然而，如今占据主导地位的个人信息立法思路，却并不利于这一目标的实现，故有必要对其进行检讨和反思，并找出更为恰当的立法路径。 (一)保护规则立法模式难以调动市场主体的积极性 猖獗的个人信息侵权行为，使得我们在提到个人信息立法时，会很自然地将“保护”作为其首要目标，而制定一部《个人信息保护法》，似乎也已经成为了学界的共识。然而，在此种共识之下，却隐含着一种以“保护规则”为主导的立法思路，恰恰正是这种思路，阻碍了个人信息保护服务市场的形成。 具体来说，统观我国《环境保护法》、《消费者权益保护法》、《未成年人保护法》等以“保护”为名的法律法规可以发现，其核心内容主要是由一系列否定性规范(“不得”从事何种行为)和义务性规范(“应当”从事何种行为)构成的，因而其立法目的也主要是为了强制或限制义务主体为或不为一定行为。可以想见，如果立法机关最终选择制定了《个人信息保护法》，其立法风格也会大体如此，而在此种以“保护规则”为主导的法律规范中，个人信息的“使用规则”将很可能被忽略，这将在相当程度上使得市场主体对于个人信息的使用，依然处于无法可依、无矩可循的状态，而明确、可预期的使用规则的缺失，则将直接导致市场主体对于开发个人信息使用相关的服务意兴阑珊，进而让个人信息保护服务成为无本之木，无水之源。 这里需要说明的是，虽然本着“法不禁止即自由”的私法自治原则，以“保护规则”为主体的法律规范，能够在一定程度上起到从反面划定个人信息使用自由的效果，但有时候，过于宽泛的自由反而成为了一种限制，此种限制就是“建立秩序所需耗费的成本”。我们知道，市场经济就是法治经济，而之所以市场的发展需要有法治保驾护航，就是因为法治以相对低廉的成本，为市场建立起了必要的秩序，从而大大降低了市场主体在相互交往过程中的磋商成本。反之，如果让市场主体在一张白纸上自建个人信息的使用秩序，从现实情况来看， 其成本无疑是较高的，甚至很有可能高到将市场主体拒之门外的地步。 由此笔者认为，以保护规则为主体内容制定《个人信息保护法》，固然可以提高社会各界对于个人信息保护的重视程度，但却无法对市场主体参与个人信息保护提供充分的正向激励和必要的制度环境，同时，传统救济方法的日渐式微，也很难因为一部法律规范的出台而有根本性改变。因此，这样的一部法律，无论其在法条上对于个人信息的保护如何周延，恐怕都只能解决“有法可依”的问题，至于“有法必依、执法必严、违法必究”，则很难实现。此时，笔者不禁要质问立法者:你们占用了如此宝贵的立法资源，到底是真的想解决问题呢,还是只想交差了事,法律规范沦为具文的情况，在我国难道还少见吗, (二)制定使用规则和保护规则并重的《个人信息权法》 基于前述，笔者在此正式提出，在制定个人信息相关法律规范时，除了要从反面制定个人信息保护规则外，更应着重从正面制定个人信息的使用规则，使对个人信息的保护和使用真正成为个人信息权利的一体两面，为市场主体有序使用个人信息创造良好的制度环境。质言之，我们所要制定的将不再是一部《个人信息保护法》，而应该是一部使用规则与保护规则并重的《个人信息权法》。 鉴于立法论的论述是一项庞大的系统性工程，笔者亦尚未对该法的具体制度安排展开详细研究，故在此仅对《个人信息权法》使用规则的框架予以描述，以求教于方家。首先，在设权部分，个人信息权应根据市场实际需求和使用情况，解构成为多个具体的权利类型，如个人信息收集权、个人信息处理权、个人信息复制权、个人信息传播权等，并对其具体内容作出明确界定，以达到定纷止争，明晰产权的效果;其次，应制定各类个人信息权的归属和授权使用规则，为其在市场中的自由流动提供法律依据;复次，应对各类个人信息权的使用和处理规则进行，为个人信息使用者合法使用个人信息提供法律上的指引;再次，应对个人信息权设置必要的限制，以防止权利被滥用，并确保该项重要的社会资源得到合理的使用。总而言之，立法者应围绕如何促进和保障个人信息权的有序、安全和高效使用，来构建《个人信息权法》使用规则部分的具体法律制度。事实上，读者可将《著作权法》这一典型的使用规则法律规范作为参照，对笔者所主张的《个人信息权法》的内容和架构进行理解。 五、结语 行为至此，笔者只剩一些只言片语和大家分享: 1、个人信息中普遍蕴含的经济价值和社会价值，使得个人信息权不再是一项消极性的权利，对个人信息的合理使用与妥善保护，在社会生活中具有同等重要的价值。因此，在法律制度建构过程中，必须对保护规则和使用规则进行统筹考量，而不可厚此薄彼。 2、侵权人与信息主体之间悬殊的力量差距，决定了要想真正有限对抗此种侵权行为，就必须要相信并积极创造条件调动市场的力量，只要环境合适，那些正在或曾经以侵犯个人信息谋求非法利益的市场主体，也许就是未来公民个人信息权利的守护者。毕竟为了钱，人们又有什么事是干不出来的呢,是吧。 3、要想以个人信息的使用为“诱饵”，激励市场主体提供个人信息保护服务，就必须通过制度建构，为个人信息的使用创造规则，并将保护与使用打造成为利益共同体，形成保护个人信息权，就是对个人信息使用权的捍卫的良性循环局面。