个人信息与数据 双重法益的逻辑展开

上海法治报 2024年09月10日 陈佩莉

资料图片

  □  陈佩莉

  以电子形式记录的个人信息在形式上表现为数据,在内容上表现为自然人的生活状态或行动轨迹,表载体的数据和表内容的个人信息在客观上具有一体性。然而,个人信息和数据的属性却不相同,个人信息的内容直接与自然人人格尊严相关,是纯粹的人格权,而数据主要体现为经济价值,是一项财产权。因此,个人信息和数据具有“一体两面”特性,设定在同一对象上的人格权法益和财产权法益如何协调值得研究。笔者认为,个人信息的人格权法益和财产权法益具有动态变化特征。

  个人数据数量决定法益核心

  大数据时代,数据的价值取决于其混杂的全数据模式而非样本数据的精确性。单项个人信息的经济价值十分有限,所谓个人信息的经济价值,实质是以个人信息为内容的数据集合体的经济价值。学者普遍担忧的精准营销、算法推荐、价格歧视等个人信息滥用行为,虽然离不开每一条个人信息的作用,关键环节在于对无数条个人信息组成的大数据的分析和利用。简而言之,个人信息的经济价值是通过对集合数据的算法分析实现的,刑法保护单项个人信息的意义在于个人信息内容所体现的与自然人的人身安全、财产安全相关的部分。因此,单项个人信息仅作为人格法益予以保护。当表现为聚合的个人信息时,信息内容无疑具有人格权属性,同时作为数据集合具有财产属性,此时客观上表现为同一对象受到双重保护。

  何以单个数据不作为财产权的客体,而数据的集合却有作为财产权保护的必要?笔者认为,数据的价值是由数据本身及数据处理技术决定的。

  一方面,数据本身包含数量和内容两个要素。数据的数量和内容对数据价值具有动态影响的特征,数据数量越少,数据内容的重要性就越显现。当数据表现为单项个人信息的极端情况下,其价值便由内容决定,个人数据则更趋向于人格法益。数据数量越大,其所记载的内容对价值的贡献度就越低,故而数据更趋近于财产法益。另一方面,数据的价值受到包括采集、储存、分析等数据处理技术的限制。电子信息技术将个人信息从附着于自然人的状态分离、独立出来,使数据拥有独立保护的价值。随着信息处理活动加深,原本稀薄的财产价值密度不断升高,最终表现为大数据的财产价值。数据处理者解读、分析数据的能力越强,数据的作用被挖掘得更多,数据的价值也就越大。因此,个人数据的财产保护价值起始于数字化技术作用下数据脱离自然人的独立存在形态,数据数量、内容及数据处理能力均成为影响数据财产价值的重要因素,当数据聚合时,既要保护表内容的个人信息,也要保护表形式的个人数据。

  个人数据的识别能力决定法益核心

  聚合的经匿名化处理的个人信息失去识别功能,不再作为个人信息保护,属于一般数据,仅以财产权保护。

  根据《个人信息保护法》对个人信息的定义,我国采取个人信息-匿名信息二分法,匿名信息是指个人信息经过处理后无法识别特定自然人且不能复原的信息,由于个人信息经匿名化处理后失去了与特定自然人之间的相关性,使人格权益受损风险最小化,故法律免去了信息处理者的负担。匿名信息不属于个人信息,不再属于人格权的保护范围,但匿名数据作为一般数据仍应作为财产法益受到刑法保护。

  首先,匿名化具有相对性,是指人格权损害风险显著降低至最小,而不是完全消除风险。匿名信息不能识别特定自然人,但仍属于与某自然人有关联的信息,除非完全删除,否则不可能达到零风险的程度,所谓不能复原是指限定时间、范围内不能重新恢复识别能力。鉴于匿名化的相对性,数据处理者对匿名数据仍负有妥善保管的义务,根据利益和负担相一致的原理,匿名数据的财产权并未消灭。

  其次,即使是理想化的彻底无法复原的匿名信息,依然属于数据处理者的财产。数据资产具有非货币性、无形性的特征,其价值存在主观性、不确定性等特点,其价值的高低及有无应由财产权所有者来决定。此时,数据财产权的行使不再受到个人信息自决权的限制,但应无悖于法律规定且无害于他人权利。

  最后,匿名数据无法用于分析特定自然人的人格画像,但仍具有其他分析价值或技术价值。如数据经匿名化处理后失去了研究某一特定自然人行为特征、生活习惯的价值,却可以用来分析普遍意义上某群体某些方面的特征。结合前文论述,聚合数据的价值由内容、数量、技术等因素共同决定,匿名化使内容的价值降到最低,但数量和算法的结合使数据仍具有财产保护价值。

  双重法益的价值位序

  个人数据的双重法益造成个人信息主体和信息处理者之间权利冲突的局面,因此有必要探讨个人信息自决权和个人数据财产权如何双轨运行的问题。个人信息自决权是人格权,除非信息主体许可他人使用,否则该权利专属于信息主体享有。也就是说,无论个人信息如何流转,信息主体始终享有对个人信息的控制权,始终作为人格权法益受到保护。

  那么信息主体是否享有数据财产权?

  有学者主张个人应参与数据财产价值的分配,认为个人是信息的源头,没有源头便不会产生个人信息,更不会有后续的采集、分析和加工、利用,个人提供了财产价值生产的原材料,没有原料,个人数据的财产价值便不会产生。

  也有学者主张数据财产权应分配给数据处理者,认为数据处理者把原始信息变为数据过程是信息时代的一种新型劳动形态,根据洛克的劳动财产权理论数据处理者因其劳动付出而获得数据财产权。

  笔者赞成第二种观点,即数据财产权属于数据处理者。任何人在现实生活中都是社会化的人,作为信息主体的自然人是数字化社会的一员,数字技术已经渗透到生活的方方面面,让渡部分个人信息以此换取便捷的服务是数字化社会的生活常态,个人数据正是对自然人数字化生活的记录。在捕捉个人信息形成个人数据的过程中,自然人和数据处理者都是参与者,离开自然人或数据处理者任何一方,个人数据便无法形成,数据处理者基于“谁创造谁拥有”对该数据享有财产权,信息主体基于“出于我关于我”对该信息享有人格权。

  当两种权益分属两个主体,两者之间的冲突如何协调?笔者认为,双重保护之下,若发生价值冲突,人格权应优先于财产权,即个人数据的财产权实现受到个人信息人格权的限制,数据处理者行使财产权不应妨害信息主体个人信息自决权的行使。个人信息自决权为人格权益,其位阶应高于财产权,应当首先得到保护,信息处理者行使财产权应以信息主体的个人信息自决权为限。自然人为获取相应服务而让渡的个人信息可以理解为特殊目的及特定范围内的公开信息,信息处理者可以在“合理的范围内处理个人自行公开”的信息,如果需要改变信息用途、超出公开范围使用、转让或以其他方式处分信息的,应征得信息主体同意。

  综上所述,不同形态的个人信息在刑法中具有不同的法益。单条个人信息具有极大的主观性和个体差异性,因此经济价值难以衡量,不能成为市场交易的对象,其保护价值在于人格利益。个人数据的财产价值从数据聚合中产生,数据越充分,技术越先进,可能实现的经济价值也就越大,此时个人信息的人格利益和个人数据的财产利益并列存在。经匿名化处理后的个人数据仍具有财产属性,而不具有人格属性,作为一般数据得到财产权的保护。当个人信息人格权和数据财产权分属不同主体时,财产处分的自由应以人格权法益为限。

  (作者系华东政法大学刑法学博士研究生)