本刊記者 何睿

　　數(shù)字時代，人們在使用各種商品與服務的同時，或主動或被動、或直接或間接、或知情或不知情地向經(jīng)營者提供著大量個人信息。獲得便利體驗的同時，模糊的安全邊界也造成了個人信息安全領域亂象叢生，引發(fā)了人們對技術濫用的隱憂。

　　近日，備受關注的“人臉識別第一案”——“郭兵訴杭州野生動物世界有限公司服務合同糾紛案”(以下簡稱“郭兵案”)二審落下帷幕。

　　2019年4月，郭兵支付1360元購買野生動物世界雙人年卡，確定指紋識別入園方式。2019年7月、10月，野生動物世界兩次向郭兵發(fā)送短信，通知年卡入園識別系統(tǒng)更換事宜，要求激活人臉識別系統(tǒng)，否則將無法正常入園。但是，郭兵認為人臉信息屬于高度敏感個人隱私，不同意接受人臉識別，要求園方退卡，終致雙方對簿公堂。

　　該案引發(fā)了人們對如何評價和規(guī)范經(jīng)營者處理消費者個人信息(尤其是指紋和人臉等生物識別信息)行為的探討，具有里程碑意義。

　　我國個人信息保護立法的現(xiàn)狀

　　個人信息保護發(fā)端于個人基本權利保護，但是自然人對個人信息并不享有絕對權和支配權，而只享有應受法律保護的利益，即防止因個人信息被非法收集、泄露、買賣或利用等進而導致人身、財產(chǎn)權益遭受侵害或人格尊嚴、個人自由受到損害的利益。

　　我國目前尚未出臺專門的個人信息保護法，個人信息保護法的最新進展為第十三屆全國人大常委會第二十二次會議審議的《中華人民共和國個人信息保護法(草案)》。我國現(xiàn)行法律尚未將自然人對個人信息享有的利益上升至一項獨立的法定權利——“個人信息權”，而只是強調“個人信息保護”，例如《中華人民共和國民法典》在人格權編中設專章規(guī)定了“隱私權和個人信息保護”;個人信息保護法(草案)也只是稱之為“個人信息權益”，而非獨立的“個人信息權”。

　　按照《中華人民共和國民法典》第一千零三十四條、《中華人民共和國網(wǎng)絡安全法》第七十六條、《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第一條、《互聯(lián)網(wǎng)個人信息安全保護指南》第3.1條等規(guī)定的定義，(自然人/公民的)個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。

　　從文本來看，民法典之前的相關立法規(guī)制的是經(jīng)營者“收集”“使用”個人信息的行為，而民法典將規(guī)制范圍擴張至所有處理個人信息的行為，包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等。那么，處理個人信息，應遵循什么樣的規(guī)范性要求呢?

　　個人信息保護與隱私權的區(qū)分

　　應根據(jù)個人信息的種類對處理個人信息行為科以不同的要求。民法典第一千零三十四條區(qū)分了個人信息中的私密信息與一般信息，其中私密信息適用有關隱私權的規(guī)定;沒有規(guī)定的，適用有關個人信息保護的規(guī)定。也就是說，個人隱私與個人信息呈交叉關系，二者既有各自的專屬領域，也有交叉領域，二者交叉的部分便是私密信息。

　　那么何為“私密信息”?可以參考個人信息保護法(草案)關于“敏感個人信息”的規(guī)定。個人信息保護法(草案)在明確個人信息處理的一般規(guī)則的同時，亦專門規(guī)定了敏感個人信息的處理規(guī)則，其第二十九條規(guī)定：“敏感個人信息是一旦泄露或者非法使用,可能導致個人受到歧視或者人身、財產(chǎn)安全受到嚴重危害的個人信息,包括種族、民族、宗教信仰、個人生物特征、醫(yī)療健康、金融賬戶、個人行蹤等信息?！笨梢?，體現(xiàn)個人生物特征的生物識別信息一般而言屬于敏感個人信息。在“郭兵案”中，二審法院亦在判決中多次強調，生物識別信息作為敏感的個人信息，深度體現(xiàn)自然人的生理和行為特征，具備較強的人格屬性，一旦被泄露或者非法使用，可能導致個人受到歧視或者人身、財產(chǎn)安全受到不測危害，更應謹慎處理和嚴格保護。

　　“合法、正當、必要”原則的理解與適用

　　無論是敏感個人信息還是一般個人信息，均需在處理目的、處理方式(手段)等方面遵循一定的原則與規(guī)則(當然，法律對敏感個人信息/私密信息的保護更加嚴格)。就現(xiàn)行法而言，民法典第一千零三十五條、網(wǎng)絡安全法第四十一條、消費者權益保護法第二十九條、《全國人民代表大會常務委員會關于加強網(wǎng)絡信息保護的決定》第二條、《互聯(lián)網(wǎng)個人信息安全保護指南》第6.1條等規(guī)定，確立了處理個人信息應當遵循“合法、正當、必要”之原則。在“郭兵案”中，一審法院亦在判決書中指出，我國法律對于個人信息在消費領域的收集、使用并未采取禁止的態(tài)度，而是強調對個人信息處理過程的監(jiān)督管理，即在前端收集個人信息階段需要遵循“合法、正當、必要”的原則和征得當事人同意的規(guī)則;在中端控制信息過程中需要遵循確保安全原則，不得泄露、出售或者非法向他人提供個人信息;在末端出現(xiàn)個人信息被侵害之時，經(jīng)營者依法需要承擔采取補救措施等相應的侵權責任。

　　“合法、正當、必要”原則本身具有抽象性，需要輔以相應的細化規(guī)則，以便司法適用?！昂戏ā痹瓌t自無需贅言，司法實踐中需要判斷具體處理行為是否符合法律法規(guī)的具體規(guī)定。就最寬泛意義而言，法律對處理個人信息行為所施加的具體規(guī)則，都可以納入“合法”原則的范疇內，即只要違背具體規(guī)則就意味著違背“合法”原則。當然，這樣理解也就意味著虛置“正當”與“必要”原則。因此，“合法”原則本身僅具有籠統(tǒng)的宣示意義，不具有對法律適用的直接指導意義。

　　就“正當”原則而言，“正當”是一個倫理(道德、價值)判斷意義上的詞匯，通常而言合法的即是正當?shù)?，例外情況是將倫理上不正當?shù)男袨樵u價為合法，而這種法通常會被認為是“惡法”?！罢敗笨梢岳斫鉃榻o“合法”提供兜底，即對于一些行為與目的，法律沒有給出明確的合法與否的評價，這時可以根據(jù)一般的倫理道德對其進行正當與否的評價。

　　就“必要”原則而言，“必要”即“不得過度處理”，應采用對個人侵害最小的方式處理個人信息，應限于實現(xiàn)處理目的的最小范圍，不得進行與處理目的無關的個人信息處理。由此也可以聯(lián)想到“比例原則”。誕生自德國公法的“比例原則”有三大派生子原則：(1)適當性原則(suitability，合目的性原則)：所采取的手段有助于實現(xiàn)目的;(2)必要性原則(necessity，最小侵害原則)：若有多種有助于實現(xiàn)目的之手段，應采取對權益侵害最小者;(3)狹義比例原則(proportionality in its narrow，衡平性原則、過度禁止原則)：所采取的手段造成的損害，與所欲實現(xiàn)的目的之間，必須是相稱的、成比例的，即兩者不能顯失均衡?？梢姡M義比例原則明顯不同于適當性與必要性這兩項要求，其必然包括對目的本身的評價，而不單純是對于手段的判斷。

　　由此可見，適當性原則是必要性原則在適用時的先決條件，即判斷手段必要性的前提是該手段有助于實現(xiàn)目的，因此適當性可以被必要性所吸收，從而將“比例原則”壓縮為兩個子原則。狹義“比例原則”的判斷內容具有倫理色彩，可將其與審查處理個人信息行為的“正當”原則相聯(lián)系;此外，近年來受到美國三重審查基準的影響，有些學者對“比例原則”的詮釋也作出調整，在三大派生子原則外增加“目的正當性原則”，意即所欲達到的目的須正當。綜上，“比例原則”所體現(xiàn)的審查步驟與審查內容，實質上可以納入審查處理個人信息行為的“合法、正當、必要”原則之中。

　　在“郭兵案”中，一審法院認定野生動物世界基于年卡用戶可在有效期內無限次入園暢游的實際情況，使用指紋識別、人臉識別等生物識別技術，以達到甄別年卡用戶身份、提高年卡用戶入園效率的目的，該行為本身符合前述法律規(guī)定的“合法、正當、必要”三原則的要求。但是合同當事人(郭兵及其妻子)在辦卡時簽訂的是采用指紋識別方式入園的服務合同，野生動物世界收集郭兵及其妻子的人臉識別信息，未獲取二人的同意，超出了必要原則的要求，不具有正當性;而除人臉識別信息之外的其他信息收集行為，符合法律規(guī)定的“合法、正當、必要”的原則。二審法院亦認定野生動物世界欲利用收集的照片擴大信息處理范圍(指獲取人臉識別信息)，超出事前收集目的，表明其存在侵害郭兵面部特征信息之人格利益的可能與危險(即不符合“必要”原則)。同時，鑒于野生動物世界停止使用指紋識別閘機，致使原約定的入園服務方式無法實現(xiàn)，故二審在原判決的基礎上增判野生動物世界刪除郭兵辦理指紋年卡時提交的指紋識別信息(因為此時作為手段的指紋識別信息，已無助于實現(xiàn)作為目的的原約定的入園服務方式，不符合“比例原則”的“適當性”要求)。

　　“知情同意”原則的限度

　　前述關于處理個人信息的相關規(guī)定在確立應當遵循“合法、正當、必要”原則的同時，亦要求符合“知情同意”原則(“告知同意”原則)。當個人信息的處理超出一個社會中正常理性個體的合理預期時，個人信息的處理者必須對個體進行顯著告知，確保個體理解伴隨此類處理的風險，并且在此類情形中獲得個體的明確授權。“知情(告知)”即要求處理個人信息的一方公開處理信息的規(guī)則，明示處理信息的目的、方式和范圍，“同意”即要求征得個人信息被處理的自然人或者其監(jiān)護人同意?！昂戏ā⒄?、必要”原則與“知情同意”原則應結合適用，且后者要受前者的約束。因此，不能簡單地以“知情同意”原則作為任何情況下不當收集個人信息的合格抗辯。

　　需要注意，征得同意并非處理個人信息的必要條件，民法典第一千零三十五條便為此設置了“但是法律、行政法規(guī)另有規(guī)定的除外”之但書條款。不需要征得同意的例外情況，包括合理處理該自然人自行公開的或者其他已經(jīng)合法公開的信息(但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外)、為維護公共利益或者該自然人合法權益合理實施的其他行為等。也就是說，對個人信息權益的主要限制在于公共利益考量。當然，如何判斷此間的“合理”也是需要進一步探討的問題。