专题：公民个人信息保护之案例解读
责任编辑陈冰
THE CHINESE PIUX ：I HATORS
中冈捲當酉| 3
编者按：随着我国个人信息保护法律体系日趋成熟，尤其是民法典的颁布对公民个人信 息的保护有着里程碑式的意义。为贯彻落实最高人民检察院对全国检察机关实施民法典进行 再动员再部署的要求，《中国检察官》杂志社举办以“民法典与互联网时代个人信息保护”为
主题的征文活动。为更好转化征文活动成果，扩大会议的影响，杂志社撷取该征文活动的部
分分议题组成《公民个人信息保护之案例解读》专题 专题以案例为载体，多角度解读公民
本概念的厘清，也有对确定进路方法的解析；既有对实体适用的关注，也有对程序运用的研
究。以供读者思考。
隐私协议用户知情同意的认定
•李伟* **蒋文杰7文
*浙江财经大学法学院教授、博士生导师［310018］
**浙江财经大学民商法硕士研究生［310018］
摘 要：随着互联网的高速发展，个人数据在网络上的安全问题日益突出，如何在与网络服务商交往过程中保
护个人数据安全已成为学界热议之话题。隐私协议的存在为服务商与用户交往提供更多可能，由于隐私协议为 服务商单方提供，公平性存疑，故需采纳知情同意机制来维护用户的个人数据安全。事实上，用户知情同意的 认定标准非常模糊，需要对该标准进行明晰与厘清：隐私协议作为用户知情同意权行使的主要载体，其性质应
界定为合同。隐私协议不足的本质是违反了公平、诚信原则，具体体现为隐私协议保障用户知情同意不力；探 究知情同意的本质和表示方式有助于进一步了解知情同意；引入知情同意的构成要件作为认定标准，可以达到
较为清晰明确对知情同意进行认定的目的。
关键词：知情同意 用户数据保护 隐私协议 构成要件
［基本案情］
淘宝公司以公示的隐私协议为载体经用户同意后 收集、使用用户原始数据，经过淘宝公司一定的脱敏 化处理和信息深度挖掘后形成了 “生意参谋”产品，
以给用户提供更好的服务。美景公司则以提供远程登 录“生意参谋”数据产晶淘宝用户电脑的技术服务为 招揽，通过组织、帮助他人利用已订购“生意参谋”
产品服务的淘宝用户所提供的子账户获取“生意参谋” 数据产品中的数据内容，自己从中牟取商业利益。
淘宝公司以美景公司不正当竞争为由提起诉讼， 美景公司则认为淘宝公司所收集用户原始信息的行为 不合法，故以原始数据为基础的“生意参谋”产品不
能认为是淘宝公司的财产，美景公司的行为不构成不 正当竞争。2019年，杭州中级人民法院对淘宝软件 有限公司（简称淘宝）诉安徽美景信息科技有限公司
（简称美景）涉“生意参谋”零售电商数据平台不正当
2021/01 S3 （经典案例
总第356期
4中囲捲泪蕾THE CHINESE PROCI R ATORS专题：公民个人信息保护之案例解读
竞争纠纷案进行二审终审，维持一审杭州互联网法院判决。[1]
一、问题的提出
淘宝诉美景案被称为我国首例大数据产品不正当竞争纠纷案，对我国今后大数据纠纷的解决将会起着巨大影响。法院认定.数据公司在对网络用户浏览、搜索等行为痕迹所产生的巨量原始数据基础上，经过处理后形成的衍生数据依法享有合法权益。一般情况下，数据公司会通过与用户签订隐私协议进而取得对原始数据进行处理的权利。但此时是否能直接依据契约自由原则，视为用户已经知情同意数据公司取得对原始数据的处分，值得讨论。
在淘宝诉美景案中，法院明确涉案数据产品“生意参谋”不具备能够单独或者与其他信息结合识别自然人个人身份的可能性，故其不属于网络安全法中的用户个人信息，而属于用户非个人信息（单独或者与其他信息结合不能识别特定个人的信息）。事实上，“生意参谋”是淘宝公司通过收集用户原始数据加工处理后得到的，也就是说“生意参谋”的合法性与收集原始数据的方式具有关联性，收集原始数据的方式不
合法，那么“生意参谋”的合法性便存疑。法院在审理认定中并没有讨论“生意参谋”原始数据的收集方式是否合法，而是跳过该过程将“生意参谋”认定为非个人信息.相当于直接承认收集原始数据的方式是合法的，此处值得深入讨论。法院对收集、处理用户个人数据合法性的认定表明，法院对隐私协议是否合法合理没有进行审查，如此，服务商将会对隐私协议采取放任的态度.用户的知情同意权便会受到影响。因此，为了保护网络用户的知情同意权，对隐私协议的规范不可避免。对此.可以采取一套合理有效的知情同意认定标准，只有符合知情同意的隐私协议才能成为服务商收集、处理用户数据的依据。
就现行立法而言，知情同意的认定标准处于一种模糊不确定的状态。网络安全法第41条第1款规定：网络运营者收集、使用用户数据信息应遵循合法、正当、必要原则，告知收集使用方式、目的和范围，并经用户同意。其中的“正当”具体应如何理解.法条没有进一步明晰。消费者权益保护法第29条第1款与网络安全法的规定相类似.不是非常清晰。《信息安全技术—
—个人信息安全规范》（以下简称《规范》，该《规范》由全国信息安全标准化委员会2017年12月29日正式发布，2018年5月1日实施，该《规范》的目的在于.遏制个人信息非法收集、滥用、泄露等乱象.最大程度地保障个人合法权益和社会公共权益）对网络服务商收集、处理用户个人数据作出了较为明确的规定，但由于其是推荐性标准.所起的作用仅仅是执法参考和说理依据。所以，立法方面关于知情同意认定的规定不多.知情同意认定标准过于模糊、不确定，所以亟需对知情同意认定的有关规定进行完善、明晰。
综上，本文的研究重点是，网络服务商的隐私协议应当满足哪些条件，才可以视为符合知情同意。为此，文章先从隐私协议对知情同意保护的现实困境岀发，分析实践中隐私协议的不足表现，在隐私协议性质的界定基础上探究隐私协议不足的本质原因。然后，探究知情同意的本质与表示方式，以便知情同意认定标准的构建。最后，由于知情同意的成立需检视其构成要件是否满足，所以在知情同意认定标准问题上，引入知情同意的构成要件作为认定标准或许可以缓解知情同意认定标准较为模糊所带来的困境。
二、隐私协议对用户知情同意保护的现实困境
隐私协议作为用户与服务商沟通的“桥梁”，通过与用户建立信任来进一步影响用户提供个人数据的意愿。⑵可以说，隐私协议与知情同意的关系非常密切，在研究知情同意的认定上更是绕不开隐私协议.因为，对知情同意认定提出的建议最后均需要落实在隐私协议的设置上。通过对淘宝、京东、网易、百度、亚马
2021/01&（经典案例）总第356期
专题：公民个人信息保护之案例解读侵害公民个人信息
责任编辑陈冰THECHISESE PR(M I RAH>BS
中画捲泪蒼5
逊等著名网络服务商隐私协议的分析、总结.我们发现.由于服务商的优势地位和信息控制.往往会使得用户的知情同意难以得到有效保障。
（一）隐私协议保护用户知情同意不足之表现
首先，无论是国内的淘宝、百度、京东等大流量的服务商，还是国外亚马逊、Facebook等巨头.其隐私协议均存在内容繁杂、篇幅较长、表达过于专业化的现象。专业人士对这些隐私协议的理解尚不能以轻松形容，普通大众对其的理解则可以想象，这对用户知情权的实现造成了阻碍.进一步影响用户的具体特定同意。
其次，网络服务商对于隐私协议的更改比较频繁，很多情况下更改之后并不会提示用户，服务商更倾向于将更改后的协议放置在公告平台上，让用户自己去寻求有关更改信息，这一做法的实际效果与预想的相去甚远。原因在于用户在服务商的网站上寻求服务时并不会寻有关隐私协议的信息.即便愿意寻，公告平台处于网站上的位置也不明显.需要花费一定时间才能寻到，更不会关注隐私协议是否更改；还有就是一些服务商更改后的协议与之前的协议没有进行对照列示，这些原因导致用户对更改后隐私协议的忽视，也会影响用户知情权的保障。
再次，实践中隐私协议有关收集用户个人数据的内容并不全然与执行合同或提供服务之目的有着直接或间接的关系，与法律的规定相左。欧盟《一般数据保护条例》（GDPR）第7条第4款规定，在评估同意是不是自由作出时.应最大限度考虑合同的执行包括服务的提供是否以基于不必要的同意个人数据处理为条件。⑶有学者认为，服务商无需通过同意来获取与执行合同或提供服务所必需的个人数据.在收集、处理其他相关个人数据时.用户的知情同意为其提供了合法性基础。'我国网络安全法第41条第2款规定，收集的个人数据必须与所提供的服务相关。这样一来.法律的规定几乎没有给服务商获取执行合同或提供服务所必需的个人数据以外的数据空间，而现实中的隐私协议却依然存在获取非必要数据的现象。
最后，一些隐私协议的构造与设置存在不合理的地方，体现在选择-加入与选择-退岀机制的采用上。选择-加入机制，是指用户以积极方式，如勾选同意之方框，来表示允许服务商对该个人数据的收集、处理。选择-退出机制.就是服务商在隐私协议中预先拟定用户之同意，再由用户进行选择.若对某项表示反对.则通过删除或者勾选不同意之方框来表示不同意。"对比两种机制的优劣.选择-退出机制对用户个人数据的保护弱于选择-加入机制，因为在个人的信息数量一定的情形下，将较多的信息纳入到隐私协议中（即允许服务商进行收集、处理），势必增加该部分信息安全的风险。事实上，采用选择-退出机制的隐私协议中用户大多都会遗漏将一些不必要或者重要的信息排除出协议外，这些被遗漏排除出协议的信息将处于隐私协议内，其安全性由用户单独把握变成用户与服务商共同主导，而多一个信息主导者无疑增大了信息安全的风险。所以，在两者功能、提供难度等相似的情况下，前者的适用空间因对数据保护不
足必将被后者挤压。对此.欧盟也因选择-退出机制的劣势和其不符《一般数据保护条例》第4条第11款所要求“肯定”之方式.而将选择-退岀机制排除适用。⑹由于我国法律法规未规定隐私协议的采用机制.所以实践中，仍有部分服务商采用选择-退出机制，这对保护用户数据安全非常不利
（二）隐私协议的性质与困境之本质
实践中隐私协议中的问题更甚，上述是经过分析服务商隐私协议总结出来的几个主要问题。然而，这只是隐私协议对用户知情同意保护不力的外在表现，其保护不力的本质究竟为何？是否与隐私协议的性质相关？是接下来需要探讨的问题=
学术界关于隐私协议的性质界定有着不同看法，
2021/0113（经典案例
总第356期
6中画冷察•酉THE CHINESE PROCURATORS专题：公民个人信息保护之案例解读
责住绪辑：陈冰
主要分为两个学说.即合同说与规制工具说。
合同说，就是网络服务商与网络用户之间的隐私协议应定性为合同。这一学说仍然将隐私协议视为契约自由的产物，赞成这一学说的不仅有外国学者，⑺也有国内学者认为隐私协议不是一种声明，而是建立在双方合意基础上的协议。M司法实践中，也有法院将隐私协议视为合同的一种，例如，我国法院在审理卢星与小米科技有限责任公司网络购物合同纠纷案中，法院就将该案中的隐私协议视为合同。®在该案中，小米公司的隐私协议规定了管辖的条款.在卢星与小米公司发生纠纷向法院起诉后，一审法院直接裁定将案件移送至管辖条款规定的法院.二审法院适用民事诉讼法第34条的规定认为当事人间存在有效的管辖约定，进而维持原判。1，0]
规制工具说，该说认为：隐私协议是服务商进行告知与选择机制的主要方式，有效的告知要求满足用户的知情权，即须明确告知用户收集、使用个人信息的方式、范围、目的等，用户的选择依赖于告知和同意而作出。该机制的目的主要在于实现用户自己把握自身信息的被收集与使用，达到真正的个人信息自主，让希冀于收集使用用户信息的服务商限制自己不法收集使用用户信息的欲望。〔心还有一些支持规制工具说的学者认为隐私协议不仅有着灵活性强、易于执行、成本低廉的特点，甚至可以部分替代监管的作用。〔⑵
上述两种学说是从不同角度和关系进行探讨的，合同说从服务商与用户两者间的关系出发，规制工具说从服务商与规制机关的关系进行展开，"两者均具有一定争议。对于合同说，其比较符合生活中大众关于隐私协议的认知，但还是有部分学者对隐私协议视为合同，持反对意见。Daniel和Woodrow认为隐私协
议是指网络服务商以在线文件的方式自愿主动声明自己对消费者个人信息保护的原则和措施，他们认为隐私协议仅仅只是一种声明，并不是合同。：心还有部分反对合同说的学者认为，隐私协议不能视为合同，仅构成企业政策告知书，理由是合同乃当事人共同协商的产物，而如今的隐私协议基本由网络服务商提供，根本不是磋商的产物.且几乎没有给用户提供更改的空间，因此隐私协议不能被视为合同对于规制丁.具说，该学说存在不合理的地方，用户信息具有的商业价值对服务商来说具有极大的吸引力，隐私协议又为服务商所提供，仅寄希望于隐私协议发挥限制服务商的功能恐怕不太现实。本文认为，将隐私协议定性为合同更加合适，理由如下。
第一，隐私协议的成立是服务商要约与用户承诺的结果，符合合同属性的要求，且合同说在我国司法实践中被采纳过，也符合普通大众的认知，将其认定为合同具有正当性。至于学者对该学说的反对意见，若将隐私协议视为声明或政策告知书，那么服务商获取用户信息的合法性基础便会消失，因为声明与政策告知书仅具有告知功能，用户与服务商的交往系单向，自服务商指向用户，用户的同意便无以表达，没有用户的同意便收集使用用户信息实属于法无据，因此不能将隐私协议视为声明或政策告知书。至于规制工具说，其自身的缺陷太难弥补，仅关注隐私协议限制服务商这一功能，合同说也有着相似的功能，因为合同规定双方权利义务，根据权利义务相一致原则，在服务商享有收集使用用户信息权利的情形下，势必会被课与一定义务，以此达到权利义务相一致，所以规制工具说的部分限制功能合同说也同样具有。总而言之，两者相权，合同说更具有优势。
第二，从自由经济学派关于自由经济的观点探讨隐私协议的存在与本质。对于自由经济来说，其主要基于四个理论预设：理性人；完全竞争；法律上人格平等与行为自由；社会利益表现为个人利益的总和。血理性人可以具体为生产者、销售者与消费者，他们处于商品交换的两端，处于一端的生产者与销售者追求的是利益最大化，因而尽量降低成本获取最大利益;
2021/01S3（经典案例）总第356期
I专题：公民个人信息保护之案例解读
I责任编辑陈冰THE CHINESE PROCI RATORS中囿捲塞•百7
而处于另一端的消费者追求的则是效用最大化，使尽量低的成本获取好的商品或服务。：⑴现实中，网络服务商提供的是网络服务，网络用户的需求却不一定是网络服务，但其需求都得借助网络服务来实现。例如，若仅是浏览新闻，则供给与需求是一致的，此时用户的需求为服务商提供的网络服务，服务商为服务提供者；若为网购，用户的需求为商品或服务（非网络服务），服务商一般不直接提供商品与服务，而是作为平台提供网络服务来实现消费者的用户与卖方的交易，此时服务商提供的网络服务只是实现交易的工具，不是用户获取的目标。用户与服务商的交往，是建立在两者之间的数据流通上，主要方式包括浏览、点击、同意等。在民法总则明确了网络数据可作为财产权，我国民法典也明确了该项权利后，数据对数据权利者的意义就不再限于人格上，用户在网络上寻求服务时，所产生或提供的原始数
据（包括用户的各种信息）基本属于用户自身所有，服务商获取原始数据时须征得数据所有者的同意，否则获取数据于法无据。自此，用户寻求服务时离不开服务商，服务商获取用户的原始数据须征得用户的同意，这种关系需要稳定下来，就需要一种“契约”来实现。因为契约具有的法律价值之一便是有利于当事人形成权利义务的预期，当事人可以根据自己的选择预见法律行为的后果.维护交易关系的稳定性「叩这种契约就是人们熟知的隐私协议，因此将隐私协议视为“合同”具有充分的合理性。
明确隐私协议的合同属性，不难发现网络服务商的隐私协议是由服务商预先拟定，目的是提供给不特定的多数用户重复使用，无论是协议中的条款还是协议本身，均不存在用户与服务商的磋商的情形。格式条款的认定要从主客观两方面进行考察，并排除其消极要件，其中预先拟定与重复使用属于主观方面，单方提出是客观方面，自由磋商为消极要件。因此，隐私协议满足格式合同的要件，其性质可进一步定性为格式合同。
在前述基础上，探究保护知情同意的困境便容易了许多。我国法律对格式合同的规定主要集中在被废止的合同法中，而其中的内容已被民法典所承继，民法典对提供格式合同一方自由进行限制.要求提供的合同须遵循公平原则，合理、合法地设置双方权利义务，不能加重对方的义务或减少对方的权利。隐私协议作为格式合同的一种，须满足民法典中的第496条对提供格式条款一方所做的要求，即提供的隐私协议应满足公平原则，而从实践中隐私协议在此原则上表现不足的情况来看，隐私协议保障用户的知情同意并没有落到实处，其本质就是格式合同未能满足公平、诚信原则。
三、知情同意的本质与表示方式
在对知情同意本质研究的基础上，才可以更深层次地了解知情同意。而对表示方式的探究，是因为采用合适的表示方式对隐私协议的构造与设置有着决定性影响，进而更有利于知情同意的认定。对知情同意本质与表示方式的研究，是为知情同意认定标准引入构成要件进行铺垫。
（—）对质疑知情同意的回应
知情同意作为意思自治原则在网络服务商收集、使用网络用户个人数据的原则性条款，一直为人所诟病，甚至有人认为应放弃这一机制，寻求其他路径。质疑者认为，知情同意机制已经跟不上互联网、大数据的发展。首先，用户难以理解冗长的隐私协议，往往选择跳过阅读直接进行同意；其次，用户往往因为获取心仪服务而被迫同意；最后.用户经常对数据被收集不知情，难以向收集者甚至第三人主张权利。”2传统的知情同意机制虽有若干弊端，但并不能对其全盘否定，其仍有存续的必要。知情同意作为意思自治原则在数据收集领域的适用，体现的是用户的自由意志，其在网络数据收集领域重要性犹如意思自治在民法中的地位.具有不可替代性。皿而且，我国有关
2021/01S3（经典案例）
总第356期
发布评论