易江鹏丨|易江鹏丨个人信息保护中的知情同意原则：困境与出路( 六 ) 麦琪|行为

关于同意，学界对其性质和内容存在争议，但在民法中，同意是一项意思表示。依据民法典第140条，意思表示可以明示或默示做出，同时沉默在特定情形——即有法律规定、当事人约定或符合当事人之间的交易习惯——下也构成意思表示。在信息收集与利用中，当涉及签订隐私政策条款或用户协议时，此时为明示的意思表示无疑，从行为推断出意思表示的默示无从体现，遑论沉默之情形。值得注意的是，《草案》借鉴了GDPR中区分个人敏感信息与一般个人信息对同意施加不同的形式化要求，此为“一种着眼于客体的场景化区分对待的思路”，此种区分体现了同意的不同表现形式。
因此，在民法典现有的框架下，“知情”的实现是通过相对方履行合理的告知义务来推定的。同意作为一项意思表示是在知情的基础上做出的，当涉及签订隐私政策条款或用户协议，同意表现为明示的意思表示。由此，同意原则“信息他决”实为一种误解，其在一定程度上是被收集者在处理者充分履行告知义务后放弃阅读相关条款的结果，反倒可视为一种行使信息自决权益的意思自治行为。

文章插图
（三）匿名化个人信息的采纳
知情同意原则适用的民法典和《草案》均对个人信息做出了界定，也均采纳可识别性的标准。凡是单独可以识别出特定自然人的信息或者与其他信息结合后能够识别出自然人的数据，都是个人信息，反之，则为非个人信息。网络安全法第42条第1款规定网络运营者不得泄露、篡改、毁损其收集的个人信息，也不得未经同意向他人提供，但存在例外——经处理后无法识别出特定个人且不能复原的除外。原因在于，那些无法识别出特定自然人的数据即非个人信息不涉及对自然人权益的保护，个人信息经匿名化后完全不再留存身份标识且无法被重新识别。值得注意的是，虽然学界对保护个人信息的目的存在分歧，或认为保护个人信息是为保护其内涵的人格利益或隐私利益，或认为保护个人信息是保护其内涵的财产利益。但共识是保护个人信息本身不是目的，保护其背后的利益才是目的。而个人信息经过匿名化处理之后和其背后所牵连的利益割裂开来，二者不呈现出联动关系，原本的个人信息此时已经无法称为“个人信息”。由此，一旦个人信息被收集后，收集者对其进行处理后使得无法识别特定个人，在此基础上对其进行利用不构成对所保护的利益的侵害。
但值得注意的是，个人信息的匿名化并非绝对，当大量被匿名化的个人信息呈现在一个数据库之中，日益发达的算法也可能识别出特定个人。这就使得原本无法识别出特定个人的个人信息在特定情况下也存在重新具有可识别性的可能。这其中涉及对个人信息内涵的界定，即到底什么是“可识别”，单个匿名化信息不能识别出特定个人，而大量的匿名化信息叠加在一起具有识别特定个人的可能，此时能否认为所有叠加在一起的匿名化信息均构成间接识别特定个人的个人信息？可识别性的信息未必与他人有直接或人格性的关系，“个人信息向外扩展的范围究竟应该限定在何种程度”值得思考。因为“可识别”他人的信息并不一定与他人的个人有直接关系或人格性的关系，因此如果不将个人信息的限制在合理的范围之内，而将一些偶然性较强的信息归为个人信息，会产生诸多弊端。这些弊端体现在：其一，个人信息的范围过于广泛，从而将一些本不属于个人信息的信息纳入，导致保护过度。其二，这样的一些偶然性较强的信息往往与保护和保护个人信息的初衷——保护其背后的利益，相违背。