王利明

摘 要：隨著互聯(lián)網(wǎng)和大數(shù)據(jù)技術(shù)的發(fā)展，數(shù)據(jù)共享現(xiàn)象日益普遍。數(shù)據(jù)共享是一種重要的數(shù)據(jù)利用方式，也是數(shù)據(jù)流通和數(shù)據(jù)產(chǎn)業(yè)發(fā)展的重要基礎(chǔ)。數(shù)據(jù)共享中的個人信息仍然屬于信息權(quán)利人的權(quán)利，與個人信息的收集、利用行為一樣，數(shù)據(jù)共享也應(yīng)當(dāng)獲得信息權(quán)利人的授權(quán)。我國民法典人格權(quán)編在規(guī)定個人信息權(quán)利時，應(yīng)當(dāng)規(guī)定數(shù)據(jù)共享規(guī)則，數(shù)據(jù)共享規(guī)則的設(shè)計應(yīng)當(dāng)妥當(dāng)平衡數(shù)據(jù)流通與信息主體權(quán)利保護(hù)之間的關(guān)系，在具體設(shè)計數(shù)據(jù)共享規(guī)則時，應(yīng)當(dāng)在區(qū)分不同個人信息類型的基礎(chǔ)上，設(shè)計信息主體的授權(quán)規(guī)則。

關(guān)鍵詞：數(shù)據(jù)共享;個人信息;民法典

中圖分類號：DF49

文獻(xiàn)標(biāo)志碼：A?DOI：10.3969/j.issn.1001-2397.2019.01.04

一、問題的提出

我們已經(jīng)進(jìn)入到互聯(lián)網(wǎng)、大數(shù)據(jù)時代。在大數(shù)據(jù)時代，數(shù)據(jù)的開發(fā)與再次利用在很大程度上依賴于數(shù)據(jù)共享（Data sharing），數(shù)據(jù)共享成了大數(shù)據(jù)公司重要的盈利模式，沒有數(shù)據(jù)共享，將難以對數(shù)據(jù)進(jìn)行二次開發(fā)，數(shù)據(jù)也難以成為財產(chǎn)，數(shù)據(jù)產(chǎn)業(yè)也難以發(fā)展。目前，各個互聯(lián)網(wǎng)公司（如微軟、谷歌、騰訊、百度、淘寶等）競相推出自己的開放平臺戰(zhàn)略和開放平臺。最近，有“互聯(lián)網(wǎng)女皇”之稱的瑪麗米克爾在其發(fā)布的《全球互聯(lián)網(wǎng)趨勢報告》中指出，數(shù)據(jù)共享成為了互聯(lián)網(wǎng)和大數(shù)據(jù)發(fā)展的必然趨勢，全球數(shù)據(jù)采集的優(yōu)化在不斷加速，數(shù)據(jù)采集和共享的方式正在發(fā)生日新月異的變化，數(shù)據(jù)共享已經(jīng)成為信息數(shù)據(jù)利用的一種重要方式。數(shù)據(jù)共享能實(shí)現(xiàn)數(shù)據(jù)資源的重復(fù)利用，降低數(shù)據(jù)收集成本，實(shí)現(xiàn)同類數(shù)據(jù)社會效益的最大化。在大數(shù)據(jù)環(huán)境下，各主體可以更便捷地共享數(shù)據(jù)資源，這樣既能節(jié)省成本，又能創(chuàng)造更大的社會效益，最大限度地攫取“數(shù)據(jù)金礦”[1]。大數(shù)據(jù)開發(fā)成為一個重要的產(chǎn)業(yè)興起，很大程度上就是因為有數(shù)據(jù)共享。如果數(shù)據(jù)不能共享而只能自己利用，則數(shù)據(jù)本身就不能成為一項真正的財產(chǎn)，數(shù)據(jù)產(chǎn)業(yè)也不能發(fā)展。數(shù)據(jù)共享也會對經(jīng)濟(jì)運(yùn)行機(jī)制、社會生活方式和國家治理能力產(chǎn)生重要影響。但由此帶來的其與個人信息等人格權(quán)的保護(hù)之間的沖突越來越明顯。在實(shí)踐中，因數(shù)據(jù)共享造成個人信息被不當(dāng)使用，甚至造成信息的泄露，給信息權(quán)利人造成了損害，這就對數(shù)據(jù)共享中的個人信息保護(hù)提出了要求?？梢哉f，如果不強(qiáng)化數(shù)據(jù)共享中的個人信息保護(hù)，數(shù)據(jù)產(chǎn)業(yè)也難以健康發(fā)展。有鑒于此，本文擬對此談一點(diǎn)看法。

二、數(shù)據(jù)共享中應(yīng)當(dāng)強(qiáng)化個人信息的保護(hù)

數(shù)據(jù)是信息的表現(xiàn)形式。在互聯(lián)網(wǎng)時代，其主要就是指以電子化方式存儲的信息[2]。數(shù)據(jù)分享是數(shù)據(jù)控制者將自己所收集的信息與他人進(jìn)行分享，在數(shù)據(jù)控制者與分享者之間形成一種合同關(guān)系。相對方被稱為數(shù)據(jù)再使用（Data Re-use）方，即那些被授權(quán)訪問數(shù)據(jù)的需求方。數(shù)據(jù)共享概念主要是在機(jī)構(gòu)、平臺層面上使用[3]，它是指不同機(jī)構(gòu)、平臺之間的數(shù)據(jù)交換。數(shù)據(jù)共享可以是有償或無償?shù)?，但一般不包括政府的?shù)據(jù)公開行為。由政府統(tǒng)計部門公布的數(shù)據(jù)，都是公開的，除非涉及保密信息。已經(jīng)公開的個人信息，其共享和利用不應(yīng)當(dāng)受到嚴(yán)格的限制。政府向社會公眾開放其在執(zhí)行管理職責(zé)過程中收集的各項數(shù)據(jù)，本質(zhì)上是向公眾提供的一種公共服務(wù)，政府并不對數(shù)據(jù)本身享有獨(dú)占性權(quán)利，任何人都有權(quán)通過對這些數(shù)據(jù)資源的分析和使用，發(fā)掘其中蘊(yùn)含的社會和經(jīng)濟(jì)價值。質(zhì)言之，政府公開數(shù)據(jù)的行為并不涉及財產(chǎn)權(quán)的讓與，這是其與企業(yè)間數(shù)據(jù)共享行為最為本質(zhì)的區(qū)別。當(dāng)然，政府?dāng)?shù)據(jù)開放的政策并不意味著可以對數(shù)據(jù)進(jìn)行無限制地開放，如果涉及個人信息，則政府也應(yīng)當(dāng)采取必要的安全保障措施，防止個人信息的泄露，這與企業(yè)間數(shù)據(jù)共享的信息的要求是一致的。所以，許多國家在規(guī)定信息開放時，也都規(guī)定了強(qiáng)化個人信息保護(hù)的規(guī)則，即一方面強(qiáng)調(diào)信息的公開，另一方面強(qiáng)調(diào)對個人信息安全的保護(hù)。本文所探討的數(shù)據(jù)共享并不包括政府?dāng)?shù)據(jù)的共享，而僅限于商業(yè)組織之間出于商業(yè)目的而進(jìn)行的數(shù)據(jù)共享。

從法律上看，數(shù)據(jù)共享既是一種數(shù)據(jù)財產(chǎn)的利用和使用行為，也是一種數(shù)據(jù)開發(fā)與再利用行為，同時，數(shù)據(jù)共享也可能是一種個人信息的收集、儲存、利用問題。所以，數(shù)據(jù)共享并非單純的財產(chǎn)法問題，其也涉及個人信息權(quán)、隱私權(quán)等的保護(hù)問題。蓬勃興起的數(shù)據(jù)共享現(xiàn)象對人格權(quán)的保護(hù)提出了新的挑戰(zhàn)，這也是21世紀(jì)科學(xué)技術(shù)爆炸、大數(shù)據(jù)的發(fā)展所帶來的新問題。

數(shù)據(jù)共享的發(fā)展要求我們高度關(guān)注對個人信息的保護(hù)，在我國正在制定的民法典中，有必要設(shè)置專門的規(guī)則，規(guī)范數(shù)據(jù)共享行為，強(qiáng)化對個人信息權(quán)利的保護(hù)，其原因主要在于：

第一，數(shù)據(jù)中包括了大量的個人信息。從世界范圍來看，隨著新技術(shù)的發(fā)展，云計算、移動消費(fèi)、社交媒體上都不斷產(chǎn)生海量數(shù)據(jù)，數(shù)據(jù)的采集、共享和優(yōu)化的規(guī)模和速度都呈現(xiàn)出了井噴式的發(fā)展。在這些以電子化方式存在的信息中，確有一些數(shù)據(jù)屬于本來應(yīng)當(dāng)公開或者可以公開的信息，如教育普及狀況、大中小學(xué)生受教育的比例等方面的數(shù)據(jù)，或者學(xué)生的入學(xué)情況、脫貧的數(shù)據(jù)、適齡兒童入學(xué)或輟學(xué)等信息，即屬于可以公開而且應(yīng)當(dāng)公開的信息。但在數(shù)據(jù)中，大量的內(nèi)容包含了個人信息，即可以和某個特定的自然人相聯(lián)系的信息。大量的數(shù)據(jù)涉及個人的信息和隱私，甚至涉及個人的敏感信息和核心隱私。例如，將個人病歷資料開發(fā)成大數(shù)據(jù)，或者將個人的銀行存款信息匯總開發(fā)成大數(shù)據(jù)。如果對這些數(shù)據(jù)資料還沒有進(jìn)行脫敏化（Data Masking）處理，或者對脫敏化處理不完整，從相關(guān)的數(shù)據(jù)中仍然可以了解個人的相關(guān)信息和隱私，這就可能侵害個人信息權(quán)利和隱私權(quán)。通過大數(shù)據(jù)技術(shù)的運(yùn)用，一些機(jī)構(gòu)可以從相關(guān)的數(shù)據(jù)中分析出個人的身份、財產(chǎn)、消費(fèi)習(xí)慣等方面的信息[4]。即使這些信息經(jīng)過了匿名化處理，阻斷了信息數(shù)據(jù)與個人身份之間的關(guān)聯(lián)性，但由于數(shù)據(jù)共享涉及個人信息權(quán)的再利用問題，因此，相關(guān)主體在收集、利用個人信息數(shù)據(jù)的同時，應(yīng)當(dāng)以保護(hù)當(dāng)事人對個人信息的控制權(quán)和隱私權(quán)為前提，信息的收集者和利用者應(yīng)當(dāng)負(fù)有保護(hù)個人信息和隱私的責(zé)任。

第二，數(shù)據(jù)共享包括個人信息的收集和傳輸行為。所謂收集，是指相關(guān)主體獲取個人信息的行為。隨著現(xiàn)代科學(xué)技術(shù)的發(fā)展，使得個人信息的收集變得越來越容易，也越來越有效率。大數(shù)據(jù)技術(shù)能夠通過特定的算法從信息中不斷挖掘出新的信息，數(shù)據(jù)企業(yè)通過抓取信息，甚至通過機(jī)器深度學(xué)習(xí)，可以取得個人的大量信息。大數(shù)據(jù)掌握著我們的一舉一動，甚至能預(yù)測我們的未來軌跡。通過大數(shù)據(jù)技術(shù)的運(yùn)用，一些機(jī)構(gòu)可以從相關(guān)的數(shù)據(jù)中分析出個人的身份、財產(chǎn)、消費(fèi)習(xí)慣等方面的信息[4]。而在收集到這些信息之后，一旦將其共享，則共享也成為被共享者收集個人信息的一種方式。數(shù)據(jù)共享實(shí)際上是數(shù)據(jù)控制者范圍的擴(kuò)張。從數(shù)據(jù)主體的角度看，數(shù)據(jù)共享與重新收集數(shù)據(jù)并無本質(zhì)區(qū)別。所謂傳輸，是在特定主體之間進(jìn)行信息開放、披露。數(shù)據(jù)共享的過程就是數(shù)據(jù)開發(fā)者、控制者向被共享者傳輸數(shù)據(jù)的過程，被共享者如果再次將該數(shù)據(jù)共享，將導(dǎo)致數(shù)據(jù)的廣泛傳輸。這個過程既是數(shù)據(jù)財產(chǎn)的流轉(zhuǎn)行為，同時也涉及個人信息的反復(fù)收集、利用的過程。一旦缺乏規(guī)范，使數(shù)據(jù)的收集、傳輸失控，將導(dǎo)致大量的個人信息遭受不當(dāng)使用，甚至是泄露。所以，數(shù)據(jù)共享之所以要取得數(shù)據(jù)權(quán)利人的同意，是因為數(shù)據(jù)共享本質(zhì)上也是個人信息傳輸和收集的一種方式，是對個人信息的再次使用。由于共享的數(shù)據(jù)中包含了大量的個人信息，因此，合法的數(shù)據(jù)共享應(yīng)當(dāng)以合法的個人信息處理為前提。從某種程度上說，對數(shù)據(jù)主體來說，個人數(shù)據(jù)的受讓方是新的個人數(shù)據(jù)的收集者，其是否也應(yīng)遵循與個人數(shù)據(jù)出讓方相同的收集和利用規(guī)則，值得考慮。

第三，個人信息的共享也是個人信息的再利用方式。數(shù)據(jù)共享之所以是個人信息的再利用方式，除了共享本身是對個人信息的再利用，還有被共享者獲得了這些信息數(shù)據(jù)后，其可能對其進(jìn)行再次加工、利用，甚至再次進(jìn)行共享。所以，不能由信息持有者隨意共享給他人，被共享者也不能在獲得信息之后隨意再次共享或者允許他人利用，更不能將這些信息經(jīng)過整合后再投入數(shù)據(jù)黑市進(jìn)行交易。這些行為可能觸犯刑法的規(guī)定，構(gòu)成非法侵入計算機(jī)信息系統(tǒng)罪、侵犯公民個人信息罪等罪名[5]。當(dāng)然，即便行為人的上述行為不構(gòu)成犯罪，其也構(gòu)成對他人個人信息權(quán)利和隱私權(quán)的侵害。數(shù)據(jù)共享最大的法律障礙在于，共享人可以在多大范圍內(nèi)共享所獲得的數(shù)據(jù)，換言之，其可以將哪些數(shù)據(jù)提供給哪些主體并不確定。同時，其障礙還在于信息的被共享者在多大范圍內(nèi)使用和利用這些信息，而信息權(quán)利人能夠在多大程度上對共享的數(shù)據(jù)進(jìn)行追蹤和控制。如果在法律上缺乏規(guī)范，這些信息一旦被分享出去，將如脫韁的野馬一樣，信息權(quán)利人可能徹底喪失對其個人信息的控制。對信息主體而言，分享行為是否有償是分享者和被分享者之間的關(guān)系，對個人信息安全的保護(hù)不應(yīng)當(dāng)有所差異。問題的關(guān)鍵在于，在分享行為的過程中，信息主體對其個人信息的權(quán)利是否得到了充分的尊重。

從以上的分析可見，數(shù)據(jù)共享和個人信息保護(hù)的關(guān)系十分密切。如果數(shù)據(jù)共享涉及個人信息，在共享鏈條中缺乏對個人信息的全方位保護(hù)，一方面將會消解初始收集環(huán)節(jié)對個人信息的保護(hù)力度，這主要體現(xiàn)在不加限制的概括授權(quán)，將會使個人信息主體在初次授權(quán)后就喪失對個人信息的控制能力，難以確保個人信息的利用符合其預(yù)期。另一方面，缺少有效的授權(quán)機(jī)制，將會使受讓方對個人信息使用行為的合法性受到質(zhì)疑，從而影響個人信息共享的效率。當(dāng)然，保護(hù)個人信息并不影響數(shù)據(jù)交易合同的效力，即便在未經(jīng)數(shù)據(jù)主體同意的情形下，并不會當(dāng)然導(dǎo)致數(shù)據(jù)財產(chǎn)交易合同無效。除非構(gòu)成非法倒賣個人信息，否則，一般不應(yīng)當(dāng)影響合同的效力。

數(shù)據(jù)共享對個人信息保護(hù)提出了嚴(yán)峻的挑戰(zhàn)。大數(shù)據(jù)技術(shù)能夠通過特定的算法從信息中不斷挖掘出新的信息，這就可能侵害個人信息權(quán)利和隱私權(quán)，同時，個人信息利用和流轉(zhuǎn)過程中也存在多元的利益主體，這也可能構(gòu)成對個人信息權(quán)利和隱私權(quán)的威脅[6]。所以，在未來有必要規(guī)定大數(shù)據(jù)中個人信息和隱私的保護(hù)問題，這也是適應(yīng)信息社會、大數(shù)據(jù)時代的特殊要求和面向21世紀(jì)的當(dāng)然要求。百度公司董事長兼首席執(zhí)行官李彥宏曾經(jīng)指出，“中國的消費(fèi)者在隱私保護(hù)的前提下，很多時候是愿意以一定的個人數(shù)據(jù)授權(quán)使用，去換取更加便捷的服務(wù)”。這種說法也不無道理，確實(shí)，消費(fèi)者在下載相關(guān)的app軟件時，允許網(wǎng)絡(luò)服務(wù)提供者共享其信息數(shù)據(jù)，有利于數(shù)據(jù)的流通，但其也可能使相關(guān)信息數(shù)據(jù)的傳輸、共享、利用脫離信息權(quán)利人的控制。近幾年來，不斷爆發(fā)的一些國外的互聯(lián)網(wǎng)公司巨頭擅自共享個人信息、泄露個人信息的現(xiàn)象，也反映了這一問題的嚴(yán)重性。所以，我們不能簡單為了便利信息數(shù)據(jù)的流通而忽視個人信息權(quán)利的保護(hù)，在法律上應(yīng)當(dāng)實(shí)現(xiàn)二者的有效平衡。事實(shí)上，如果信息權(quán)利人自愿，應(yīng)當(dāng)允許，但很多情形下權(quán)利人并非出于自主自愿，而是超出合理范圍的同意，這樣雖然有很多便利，但信息主體的選擇并非真正有意義的選擇，并非真正意義上的交換。

三、數(shù)據(jù)共享中的個人信息仍然屬于信息權(quán)利人的權(quán)利

從比較法上來看，美國法更注重個人信息的利用，以促進(jìn)數(shù)據(jù)產(chǎn)業(yè)的發(fā)展，而歐盟則更注重個人信息權(quán)利保護(hù)。但美國法與歐洲法出現(xiàn)了共同的趨勢，即在數(shù)據(jù)的開發(fā)、共享中普遍重視對個人信息的保護(hù)。信息數(shù)據(jù)的收集、開發(fā)和利用應(yīng)當(dāng)以保護(hù)個人信息權(quán)利和隱私權(quán)為前提，忽視個人信息權(quán)利和隱私權(quán)保護(hù)的數(shù)據(jù)收集和開發(fā)行為就像一顆炸彈，將對個人權(quán)利保護(hù)構(gòu)成極大威脅[7]。之所以在數(shù)據(jù)共享中要強(qiáng)化對個人信息的保護(hù)，一個很重要的原因在于，維護(hù)個人對其信息的支配，維護(hù)私法自治，維護(hù)個人的人格尊嚴(yán)。因此，在數(shù)據(jù)開發(fā)中應(yīng)當(dāng)注重對個人信息的保護(hù)[8]，所以必須要在堅持保護(hù)個人信息基本權(quán)利的前提下，促進(jìn)數(shù)據(jù)開放與信息共享。

數(shù)據(jù)共享本質(zhì)上是由他人重新收集、利用個人信息。數(shù)據(jù)共享涉及兩個維度：一是從信息收集者的角度而言，數(shù)據(jù)共享實(shí)際上是信息收集者將其所收集的個人信息流轉(zhuǎn)出去，其可能是向特定的主體共享信息數(shù)據(jù)，也可能是向不特定的人開放和流轉(zhuǎn)數(shù)據(jù)，讓更多的主體占有這些信息數(shù)據(jù);二是從被共享者的角度而言，其在利用這些信息數(shù)據(jù)的同時，也可能將其再次共享。數(shù)據(jù)共享中的許多數(shù)據(jù)可能涉及個人信息和隱私，行為人在利用過程中可能多次利用此類信息，甚至將其公開。這就提出了一個問題，在數(shù)據(jù)共享中是否應(yīng)當(dāng)征得信息權(quán)利人同意？《網(wǎng)絡(luò)安全法》第41條規(guī)定：“網(wǎng)絡(luò)運(yùn)營者收集、使用個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，公開收集、使用規(guī)則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意。網(wǎng)絡(luò)運(yùn)營者不得收集與其提供的服務(wù)無關(guān)的個人信息，不得違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用個人信息，并應(yīng)當(dāng)依照法律、行政法規(guī)的規(guī)定和與用戶的約定，處理其保存的個人信息?！蓖瑫r，依據(jù)《民法典各分編（草案）》第814條規(guī)定，收集、使用個人信息也應(yīng)當(dāng)征得被收集者同意。依據(jù)上述規(guī)定，個人信息的收集和利用原則上應(yīng)當(dāng)征得個人的同意，但問題在于，上述規(guī)則是否僅適用于個人信息的初次收集行為，而不適用于信息共享行為？筆者認(rèn)為，信息收集的知情同意規(guī)則應(yīng)當(dāng)適用于所有個人信息收集的行為，而不僅限于個人信息的初次收集行為。在信息共享中，從被共享者的角度看，信息共享實(shí)際也是個人信息的收集行為，該行為也應(yīng)當(dāng)受到上述知情同意規(guī)則的調(diào)整。知情同意規(guī)則的目的在于保護(hù)信息權(quán)利人對其信息的支配權(quán)，信息權(quán)利人對于信息共享中的個人信息也應(yīng)當(dāng)享有支配權(quán)，《民法總則》對此并沒有作出規(guī)定。但依據(jù)《民法典各分編（草案）》第817條的規(guī)定，“未經(jīng)被收集者同意，不得向他人提供個人信息”，筆者認(rèn)為，該條主要適用于信息共享，也就是說，信息的收集者和持有者未經(jīng)信息權(quán)利人同意，不得實(shí)施信息共享行為。其主要理由在于：

第一，知情同意本身就是信息權(quán)利人對其個人信息支配權(quán)的具體體現(xiàn)，此種支配應(yīng)當(dāng)是一種獨(dú)占性的支配，其也可以成為信息自決的權(quán)利。個人信息自決屬于私人生活自主決定權(quán)的范疇，其目的在于保護(hù)個人對其私人生活事務(wù)的自主決定。在私人生活領(lǐng)域，只要不影響公共利益，就應(yīng)當(dāng)尊重個人對其私人生活的判斷和決定，這也是保障個人私人生活安寧和個人幸福生活的重要內(nèi)容。沃倫和布蘭代斯在1890年的論文就提出了這樣的觀點(diǎn)，即隱私是人類價值的縮影，這些價值可以概括為“個人自決”“個性”和“個人人格”[9]。近來，有不少學(xué)者呼吁，在法律上應(yīng)當(dāng)創(chuàng)設(shè)個人網(wǎng)絡(luò)隱私權(quán)（Internet Privacy Rights），尊重個人的隱私、信息自決，使每個人不受到網(wǎng)絡(luò)上各種信息的不當(dāng)影響[10]。這就使得權(quán)利人在私生活的領(lǐng)域內(nèi)獲得了自主發(fā)展其個性人格的可能。否則，個人生活長期處于社會公眾的注視之下，每個人的生活因時常受他人打擾而不能自主決定，其個性人格也將難以健全發(fā)展。因此，通過知情同意規(guī)則保障個人對其信息的支配，從根本上說也是為了尊重人的個性，促進(jìn)其全面發(fā)展。為強(qiáng)化對個人人格尊嚴(yán)的保護(hù)，知情同意規(guī)則應(yīng)當(dāng)貫穿于個人信息收集、利用的整個過程，如果信息共享不需要個人知情同意，則個人的一些核心隱私信息等可能脫離個人的控制，將對個人人格尊嚴(yán)造成重大影響。正是因為個人信息的權(quán)利是屬于權(quán)利人的，即便數(shù)據(jù)開發(fā)者經(jīng)過權(quán)利人同意對個人信息進(jìn)行了搜集、開發(fā)，將數(shù)據(jù)與他人共享之前，首先還需經(jīng)過當(dāng)事人的許可和授權(quán)。

第二，個人信息權(quán)利不可能完全轉(zhuǎn)讓，信息收集者不能隨意共享個人信息。從《民法總則》的規(guī)范設(shè)置來看，個人信息在性質(zhì)上應(yīng)當(dāng)屬于人格權(quán)益的范疇，其應(yīng)當(dāng)是人格權(quán)的客體。個人信息權(quán)利以主體對其個人信息所享有的人格利益為客體，人格利益在性質(zhì)上具有人身專屬性，并不具有可讓與性。關(guān)于個人信息的流轉(zhuǎn)，《網(wǎng)絡(luò)安全法》第44條規(guī)定：“任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息?！睆脑摋l規(guī)定來看，似乎允許個人信息的合法轉(zhuǎn)讓，這一規(guī)定與人格利益的人身專屬性存在一定的沖突。因此，《民法典各分編（草案）》并沒有采納《網(wǎng)絡(luò)安全法》的上述規(guī)則，并沒有規(guī)定個人信息的轉(zhuǎn)讓規(guī)則，這實(shí)際上是否定了個人信息的可轉(zhuǎn)讓性。個人信息的收集、利用在行為本質(zhì)上是信息主體許可信息收集者

、利用者在一定范圍內(nèi)收集、利用其個人信息，信息的收集者、利用者并不能獨(dú)占性地對個人信息享有權(quán)利，其應(yīng)當(dāng)在信息權(quán)利人許可的范圍內(nèi)收集、利用個人信息。從這一意義上說，信息收集者或者持有者在共享個人信息時，也應(yīng)當(dāng)在信息權(quán)利人的許可范圍內(nèi)進(jìn)行，而不能隨意共享個人信息。由于個人信息權(quán)利人對個人信息享有控制權(quán)，因此，即便主體允許數(shù)據(jù)控制者收集并共享相關(guān)個人信息，這也并不意味著其讓渡了所有個人信息權(quán)利。

第三，信息權(quán)利人允許信息收集并不等于允許信息分享。雖然數(shù)據(jù)的收集者、開發(fā)者在信息的收集和處理方面投入了一定的勞動，但這并不意味著其可以隨意共享個人信息。信息權(quán)利人對其個人信息享有獨(dú)占性的支配權(quán)，信息的收集、利用行為原則上都應(yīng)當(dāng)經(jīng)過信息權(quán)利人的同意，權(quán)利人有權(quán)決定其哪些個人信息可以被收集、哪些個人信息可以被利用以及在何種范圍內(nèi)以何種方式利用。因此，如果信息權(quán)利人只是允許信息收集者收集其個人信息，并不意味著其已經(jīng)將該權(quán)利全部轉(zhuǎn)讓給數(shù)據(jù)的收集者和開發(fā)者，更不能據(jù)此認(rèn)為，信息權(quán)利人已經(jīng)允許信息收集者共享其個人信息，信息權(quán)利人對其個人信息的支配也當(dāng)然涵蓋信息的共享階段。依據(jù)《民法典各分編（草案）》第814條、第816條，個人信息的收集、使用應(yīng)當(dāng)獲得被收集者的同意，并且只有在同意范圍內(nèi)實(shí)施的收集、使用和公開行為，才無須承擔(dān)民事責(zé)任。即便信息收集行為是合法的，在未經(jīng)信息權(quán)利人同意的情形下，信息共享行為也可能侵害信息權(quán)利人的權(quán)利，因為對信息權(quán)利人而言，信息共享行為與重新收集個人信息并無本質(zhì)區(qū)別，原則上應(yīng)當(dāng)征得其同意。

第四，必須保障信息權(quán)利人對個人信息流通過程的控制。知情同意規(guī)則也要求個人能夠控制其信息的流通過程，信息共享本質(zhì)上就是信息的流通，這一過程的鏈條可能很長，而且可能向公眾開放，在整個過程中，應(yīng)當(dāng)保障個人對其個人信息的控制。這就是說，信息無論向誰共享，在共享的范圍內(nèi)，都應(yīng)當(dāng)經(jīng)過信息權(quán)利人的知情、同意。雖然數(shù)據(jù)共享在形式上體現(xiàn)為信息共享者與被共享者的內(nèi)部關(guān)系，且此種內(nèi)部關(guān)系大多通過合同的形式連接，但由于信息共享行為也涉及個人信息的流通，因此，信息共享行為也應(yīng)當(dāng)受到信息權(quán)利人的控制。從這一意義上說，當(dāng)事人雖然可以在共享協(xié)議中就數(shù)據(jù)共享的形式、范圍、時間等做出約定，但數(shù)據(jù)共享一旦涉及個人信息，由于被共享者所享有的相關(guān)權(quán)利來源于共享方，除信息權(quán)利人對被共享方做出特別授權(quán)外，被共享方對相關(guān)數(shù)據(jù)所享有的權(quán)限不可能超過信息共享方。

即使在特殊情形下，信息共享行為難以完全實(shí)現(xiàn)個人的知情同意，也應(yīng)當(dāng)通過特殊的規(guī)則強(qiáng)化對信息權(quán)利人的保護(hù)，以彌補(bǔ)知情同意規(guī)則適用的不足。在這一點(diǎn)上，美國法提供了很好的借鑒。在美國法中，存在“合理預(yù)期”的概念。“合理預(yù)期”理論最早是在1967年的Katz v. United States案中產(chǎn)生的，聯(lián)邦最高法院Harlan大法官指出，“封閉的電話亭猶如個人的住宅，個人在該區(qū)域內(nèi)享有一種受憲法保護(hù)的對隱私的合理期待;不論是物理上的侵入，還是電子侵入該空間，都構(gòu)成對憲法第四修正案的違反”。其后，許多學(xué)者也主張以“合理預(yù)期”的標(biāo)準(zhǔn)來確定商業(yè)和其他領(lǐng)域的隱私保護(hù)。例如，曾經(jīng)對美國《消費(fèi)者隱私權(quán)利法案》（Consumer Bill of Privacy Rights）立法影響極大的海倫·尼森鮑姆（Helen Nissenbaum）指出，確定是否存在侵犯數(shù)據(jù)隱私，應(yīng)當(dāng)考慮不同場景中的“合理預(yù)期”[11]。這就是說，在某些情況下，即便沒有信息主體的明確許可，但只要相關(guān)的信息處理行為是當(dāng)事人在該情形下能夠合理預(yù)期的，且這種期待客觀上被社會認(rèn)為是合理的，就應(yīng)當(dāng)受到保護(hù)。例如，在自動駕駛等場景下，是存在對個人數(shù)據(jù)的收集行為的，但在這個場景下數(shù)據(jù)收集者與處理者通常無法征得個人同意。此時，判斷是否存在隱私侵權(quán)應(yīng)當(dāng)看數(shù)據(jù)的收集者和處理者是否盡了合理注意義務(wù)，是否符合社會認(rèn)可的數(shù)據(jù)被收集者的一般預(yù)期。數(shù)據(jù)共享行為同樣如此。也就是說，信息收集者究竟可以在何種范圍和程度上共享個人信息，除了信息主體的明確同意之外，也應(yīng)當(dāng)考慮“合理預(yù)期”的問題。例如，如果共享的信息屬于敏感個人信息，則信息主體的“合理預(yù)期”范圍就相當(dāng)有限，通常信息的控制方的處理行為也只能限定于主體的明示同意范圍之內(nèi)。但如果所收集、處理的僅僅是一般的個人信息，此時信息主體的“合理預(yù)期”就可以考慮在類似情況下社會上的一般認(rèn)知和期待，在主體的明示許可范圍之外，如果相關(guān)的數(shù)據(jù)處理和共享行為是數(shù)據(jù)控制者進(jìn)行經(jīng)營活動所必須的，或者是為了更好地實(shí)現(xiàn)主體的利益等原因，就可以在一定范圍內(nèi)對數(shù)據(jù)進(jìn)行共享。當(dāng)然，個人隱私和信息權(quán)利人對自己的隱私和信息保護(hù)的合理期待也必須得到社會的客觀認(rèn)可，符合社會公眾的一般觀念，否則也難以構(gòu)成對隱私和個人信息的侵害

參見：Katz v. United States， 389 U.S. 347 （1967）.。

四、數(shù)據(jù)共享必須要獲得個人信息權(quán)利人的授權(quán)

（一）應(yīng)當(dāng)有效規(guī)范信息主體的授權(quán)行為

強(qiáng)化對數(shù)據(jù)共享中的個人信息保護(hù)，是各國普遍的做法。從比較法上來看，在歐盟范圍內(nèi)，相關(guān)數(shù)據(jù)保護(hù)的規(guī)范包括《一般數(shù)據(jù)保護(hù)條例》（GDPR）、《電子隱私指令》（e-Privacy Directive）和《數(shù)據(jù)庫指令》（Database Directive）。依據(jù)《一般數(shù)據(jù)保護(hù)條例》第6條的規(guī)定，對個人信息的處理以同意為基礎(chǔ)。無論數(shù)據(jù)來源渠道是什么，是否通過自動化的數(shù)據(jù)處理，只要是個人信息，都要保護(hù)。同時也要求數(shù)據(jù)主體能夠較為方便地獲得授權(quán)，以訪問相關(guān)的個人數(shù)據(jù)并獲得其個人數(shù)據(jù)處理狀態(tài)的信息。而出于商業(yè)的便利，在跨境數(shù)據(jù)處理的情況下，采用“one-stop-shop（一站式）”的模式，即無論跨境幾次，其只服從于一個監(jiān)管機(jī)關(guān)（當(dāng)事人可以約定具體的管轄機(jī)關(guān)，那么在整個的數(shù)據(jù)處理、流轉(zhuǎn)過程中，無論數(shù)據(jù)具體存儲在哪里，都由此管轄機(jī)關(guān)監(jiān)管）。

《一般數(shù)據(jù)保護(hù)條例》對數(shù)據(jù)共享中數(shù)據(jù)保護(hù)的主要要求是：嚴(yán)格的知情同意規(guī)則，機(jī)制的設(shè)計要充分保護(hù)隱私，保證刪除權(quán)，保證攜帶權(quán)，一站式的跨境監(jiān)管，在不遵守時能夠保證實(shí)現(xiàn)罰則

參見：Everis. Study on data sharing between companies in Europe[R].European Union， 2018：76.。其中，知情同意規(guī)則是對個人信息保護(hù)的最基本的原則。

美國并沒有關(guān)于個人信息保護(hù)的一般立法，而是采用分散化立法的方式。1970年，美國制定了《公平信用報告法案》（The Fair Credit Reporting Act），首次對收集和使用個人信息進(jìn)行了規(guī)定。根據(jù)該法案，在收集和使用消費(fèi)者信息的時候，必須賦予消費(fèi)者一系列權(quán)利，如信用機(jī)構(gòu)對個人數(shù)據(jù)的存儲與處理應(yīng)當(dāng)是秘密的，消費(fèi)者有權(quán)訪問和修改信用機(jī)構(gòu)所使用的個人信息

參見：15 U.S.C. § 1681.。1974年，美國又通過了《家庭教育權(quán)利與隱私法》（Family Educational Rights and Privacy Act）和《隱私法》（The Privacy Act）這兩部法律。前者規(guī)定，在教育場景中使用個人信息應(yīng)當(dāng)獲得個人明確授權(quán)參見：20 U.S.C. § 1232g （2006）.;后者規(guī)定，美國聯(lián)邦規(guī)制機(jī)構(gòu)在處理個人信息時也應(yīng)當(dāng)獲得個人同意參見：5 U.S.C. § 552a （2006）.。此后，美國的一系列個人信息保護(hù)立法都遵循了這一規(guī)定，例如《聯(lián)邦有線通訊政策法案》（Cable Communications Policy Act）參見：47 U.S.C. ch. 5， subch. V–A.、《視頻隱私保護(hù)法》（Video Privacy Protection Act）

參見：18 U.S.C. § 2710.、《司機(jī)隱私保護(hù)法案》（Drivers Privacy Protection Act）

參見：18 U.S.C.§§2721-2725.都作出了規(guī)定，要求在法案所適用的情形中，收集和使用個人信息必須獲得個人明確授權(quán)，數(shù)據(jù)的收集者和使用者不得將個人信息隨意轉(zhuǎn)讓給他人使用。在涉及個人信息時，則需要個人進(jìn)行授權(quán)。

數(shù)據(jù)共享不等于數(shù)據(jù)倒賣，二者的根本區(qū)別在于是否獲得了信息主體的授權(quán)，如果沒有授權(quán)或者沒有獲得明確授權(quán)，則相關(guān)信息可能異化為一種數(shù)據(jù)買賣，可能是非法的。數(shù)據(jù)共享之所以需要授權(quán)，也是因為數(shù)據(jù)共享包括個人信息的傳輸和收集，共享過程中可能對個人的信息和隱私帶來一定的威脅甚至侵害，所以必須要獲得授權(quán)。當(dāng)然，數(shù)據(jù)控制者對個人信息進(jìn)行處置的時候，完全可以通過匿名化的方式處理，如果按照通常的技術(shù)手段已經(jīng)無法識別個人信息主體，很大程度上阻斷了相關(guān)信息和個人身份的關(guān)聯(lián)性，共享障礙已經(jīng)大大降低了，這種情況下通常不需要授權(quán)。筆者認(rèn)為，信息共享的授權(quán)應(yīng)當(dāng)注意如下幾個方面的問題：

第一，授權(quán)必須是明確的。也就是說，數(shù)據(jù)共享一旦涉及個人信息，則應(yīng)當(dāng)獲得信息主體的明確授權(quán)。從比較法上來看，在對數(shù)據(jù)共享的授權(quán)方面，美國和歐洲的做法并不相同。依據(jù)美國加州《消費(fèi)者隱私保護(hù)法案》第1798條的規(guī)定，應(yīng)采用“未反對即視為同意”的做法，也就是說，信息控制者在向第三方轉(zhuǎn)讓其個人信息時，要求必須向消費(fèi)者告知信息收集的類別、使用目的以及消費(fèi)者有權(quán)要求企業(yè)刪除信息，如果個人沒有作出選擇，則默示認(rèn)定個人同意數(shù)據(jù)可以分享。而歐盟《一般數(shù)據(jù)保護(hù)條例》第6條規(guī)定，“1.只有滿足至少如下一項條件時，處理才是合法的，且處理的合法性只限于滿足條件內(nèi)的處理：（a） 數(shù)據(jù)主體已經(jīng)同意基于一項或多項目的而對其個人數(shù)據(jù)進(jìn)行處理”。因此，信息控制者在處理個人信息時，應(yīng)當(dāng)考慮信息主體與數(shù)據(jù)控制者的關(guān)系，保護(hù)信息主體的合理期待，其目的在于確保信息主體基本權(quán)利與自由不受侵犯。在信息控制者分享個人信息時，應(yīng)當(dāng)取得個人的明確同意，“未明確同意即視為反對”[12]。從我國立法來看，我國《民法總則》第111條雖然規(guī)定了個人信息應(yīng)當(dāng)依法收集和利用，不得非法收集和利用。但何為合法？何為非法？《民法總則》并沒有作出規(guī)定。但《民法典各分編（草案）》第817條規(guī)定，“未經(jīng)被收集者同意，不得向他人提供個人信息”，是否應(yīng)當(dāng)將此處的“被收集者同意”解釋為原則上需要信息權(quán)利人的明示同意？從實(shí)踐來看，一些網(wǎng)絡(luò)服務(wù)提供者在提供app軟件時，往往會收集大量的個人信息，而且通常將信息主體的沉默解釋為同意信息的收集與共享。筆者認(rèn)為，此種做法并不妥當(dāng)，在缺乏信息主體的授權(quán)時，網(wǎng)絡(luò)服務(wù)提供者不得擅自共享相關(guān)的個人信息。例如，用戶在下載app軟件時，一般都會簽訂相關(guān)的個人信息、隱私利用與保護(hù)條款，其中就可能包括對數(shù)據(jù)分享的授權(quán)，缺乏此種授權(quán)，相關(guān)的信息控制者即無權(quán)進(jìn)行數(shù)據(jù)分享。也有不少授權(quán)條款寫得非常模糊，或者以過于復(fù)雜的表述使信息主體難以準(zhǔn)確把握其中的內(nèi)容。筆者認(rèn)為應(yīng)借鑒歐盟的經(jīng)驗。如果授權(quán)條款寫得不清楚，則即便獲得了個人同意，也不能認(rèn)為是獲得了授權(quán)。

第二，必須針對數(shù)據(jù)共享特別授權(quán)。在收集、利用個人信息時應(yīng)當(dāng)取得個人的授權(quán)，數(shù)據(jù)共享也應(yīng)當(dāng)取得信息主體的特別授權(quán)。從我國司法實(shí)踐來看，有的法院也采納了此種立場。例如，在“北京淘友天下技術(shù)有限公司等與北京微夢創(chuàng)科網(wǎng)絡(luò)技術(shù)有限公司不正當(dāng)競爭糾紛案”中，雙方當(dāng)事人通過OpenAPI開展合作，但被告在合作過程中不當(dāng)抓取原告的用戶個人信息。北京知識產(chǎn)權(quán)法院認(rèn)為：“OpenAPI開發(fā)合作模式中數(shù)據(jù)提供方向第三方開放數(shù)據(jù)的前提是數(shù)據(jù)提供方取得用戶同意，同時，第三方平臺在使用用戶信息時還應(yīng)當(dāng)明確告知用戶其使用的目的、方式和范圍，再次取得用戶的同意。因此，在OpenAPI開發(fā)合作模式中，第三方通過OpenAPI獲取用戶信息時應(yīng)堅持‘用戶授權(quán)+‘平臺授權(quán)+‘用戶授權(quán)的三重授權(quán)原則?！?/p>

參見：北京知識產(chǎn)權(quán)法院（2016）京73民終588號民事判決書。在該案中，北京知識產(chǎn)權(quán)法院提出了三重授權(quán)規(guī)則，即用戶授權(quán)+平臺授權(quán)+用戶授權(quán)。從信息權(quán)利人角度，實(shí)際上是雙重授權(quán)，即第一次如果數(shù)據(jù)的收集者在收集信息的時候必須獲得授權(quán)，第二次把收集到的信息進(jìn)行分享的時候還要獲得另一次授權(quán)，也就是數(shù)據(jù)的分享必須要再一次獲得個人信息權(quán)利人的同意。此種做法值得贊同。我國《民法典各分編（草案）》第817條規(guī)定：“未經(jīng)被收集者同意，不得向他人提供個人信息。但是經(jīng)過處理無法識別特定個人且不能復(fù)原的除外?！痹摋l實(shí)際上要求信息主體對信息共享本身進(jìn)行授權(quán)，而不限于對信息收集行為的授權(quán)。當(dāng)然，信息被共享者再次共享信息時，仍應(yīng)當(dāng)適用該規(guī)則。

第三，必須嚴(yán)格限制概括授權(quán)。從實(shí)踐來看，一些網(wǎng)絡(luò)服務(wù)提供者往往采用擬定概括授權(quán)條款的方式，取得個人信息共享的權(quán)利。在概括授權(quán)的情形下，信息權(quán)利人在進(jìn)行概括授權(quán)之時對于個人信息收集者以及其對個人信息的使用方式并不完全知曉，從某種程度上說，概括授權(quán)相當(dāng)于個人信息權(quán)利人將其對個人信息享有的權(quán)利完全委托給了被授權(quán)者。而鑒于個人信息與信息主體人格利益之間的緊密聯(lián)系，此種委托可能會造成信息主體對于個人信息的完全失控，從而帶來超出其合理預(yù)期的影響。例如，某企業(yè)通過健康手環(huán)收集到用戶個人的健康狀況信息，該信息屬于個人的敏感信息，如果允許該企業(yè)設(shè)置要求用戶對數(shù)據(jù)分享進(jìn)行概括授權(quán)的條款，信息收集者就可能把有關(guān)個人的健康信息共享給保險推銷者、養(yǎng)老產(chǎn)品的銷售者、醫(yī)療產(chǎn)品的生產(chǎn)者等，這就不利于個人隱私權(quán)、個人信息權(quán)的保護(hù)，甚至造成個人健康信息的泄露。因此，在規(guī)范數(shù)據(jù)共享時應(yīng)當(dāng)嚴(yán)格限制概括授權(quán)條款的運(yùn)用。

第四，不需要授權(quán)的情況應(yīng)該法定化。在信息時代，為了維護(hù)公共安全、公共利益，有必要賦予一些公權(quán)力機(jī)關(guān)收集、共享個人信息的權(quán)力，同時，為了促進(jìn)教學(xué)、科學(xué)研究的進(jìn)步，也有必要賦予相關(guān)主體共享個人信息的權(quán)利。但這有可能形成一把雙刃劍，如果對公權(quán)力缺乏必要的監(jiān)控和控制，或者對公權(quán)力機(jī)關(guān)收集、共享個人信息缺乏限制，都可能導(dǎo)致個人信息保護(hù)的失控。有觀點(diǎn)認(rèn)為，凡是為了公共利益而進(jìn)行數(shù)據(jù)共享，都不需要信息主體的授權(quán)。但“公共利益”的內(nèi)涵過于寬泛，不宜作為數(shù)據(jù)共享的充分條件，特別是個人賓館開房記錄、個人刷卡記錄等都涉及個人的核心隱私。那么，這些數(shù)據(jù)是不是所有的政府部門都可以利用，是不是從事教學(xué)科研等涉及公共利益的活動都可以利用？筆者認(rèn)為，不需要授權(quán)的情況應(yīng)當(dāng)由法律明確規(guī)定下來，做出明確列舉，這樣既可以保護(hù)個人信息的權(quán)利，也可以為數(shù)據(jù)產(chǎn)業(yè)的發(fā)展提供明確的行為標(biāo)準(zhǔn)和發(fā)展預(yù)期。《民法典各分編（草案）》第816條只是規(guī)定了在“為學(xué)術(shù)研究、課堂教學(xué)或者統(tǒng)計目的在合理范圍內(nèi)實(shí)施的行為”和“為維護(hù)公序良俗而實(shí)施的必要行為”兩種情形下實(shí)施收集、公開、共享個人信息的行為不承擔(dān)責(zé)任，但該規(guī)定過于寬泛，有必要作細(xì)化規(guī)定。凡是不需要授權(quán)的情形，應(yīng)當(dāng)做更詳細(xì)的列舉。

（二）共享者獲得信息后，應(yīng)當(dāng)在信息主體授權(quán)范圍內(nèi)使用

在取得信息主體的授權(quán)后，是否意味著分享行為不受限制？筆者認(rèn)為，數(shù)據(jù)共享行為應(yīng)當(dāng)嚴(yán)格限定在授權(quán)的范圍內(nèi)。一方面，除信息主體對被共享者有特別授權(quán)外，被共享者對相關(guān)信息所享有的權(quán)利不得超出信息共享者權(quán)利的范圍。信息主體在進(jìn)行初次授權(quán)時，實(shí)際上已經(jīng)有了用途限制，那么分享給第三方也要有用途限制。因為被共享者所享有的對個人信息進(jìn)行利用的權(quán)利范圍不得超過信息共享者的權(quán)利范圍。另一方面，如前所述，要使信息權(quán)利人控制信息共享的過程，使個人信息保護(hù)不至于失控，信息共享者應(yīng)當(dāng)在授權(quán)范圍內(nèi)共享信息。尤其應(yīng)當(dāng)看到，從實(shí)踐來看，許多侵害個人信息的行為都根源于信息權(quán)利人對其信息權(quán)利的失控。據(jù)報道，谷歌曾經(jīng)讓第三方開發(fā)者和服務(wù)提供商掃描幾百萬Gmail用戶的個人郵件，目的是推出其他針對性的互聯(lián)網(wǎng)服務(wù)。一家服務(wù)網(wǎng)絡(luò)廣告主、通過用戶郵件獲取信息的公司“Return Path”，對于200多萬Gmail用戶的信件進(jìn)行了軟件閱讀，另外該公司員工親自閱讀了8000封并未對敏感內(nèi)容進(jìn)行遮擋的信件。此種數(shù)據(jù)共享行為實(shí)際上已經(jīng)超出了郵件用戶的授權(quán)范圍。據(jù)報載，臉書軟件將5000多萬網(wǎng)民的信息泄露給英國的一家名為“劍橋分析”的數(shù)據(jù)分析公司，該公司利用大數(shù)據(jù)分析技術(shù)，對選民進(jìn)行精準(zhǔn)的信息投遞，影響選民的決策，從而幫助特朗普在選舉中勝出

新華網(wǎng).英國介入臉書用戶數(shù)據(jù)泄露案 搜查劍橋分析辦公室[EB/OL].[2018-09-12].http：//www.xinhuanet.com/world/2018-03/25/c_129836753.htm.。此種數(shù)據(jù)共享行為也超出了用戶授權(quán)的預(yù)期。

（三）數(shù)據(jù)共享應(yīng)遵循合法、正當(dāng)、必要、最小化使用的原則

相關(guān)主體在獲得數(shù)據(jù)共有的權(quán)利后，數(shù)據(jù)開發(fā)者能否無限制地共享相關(guān)的個人信息？筆者認(rèn)為，數(shù)據(jù)共享時仍應(yīng)當(dāng)遵循與初次收集個人信息相同的基本規(guī)則，包括遵循正當(dāng)、合法、必要等規(guī)則。《網(wǎng)絡(luò)安全法》第41條對此作出了規(guī)定?！睹穹ǖ涓鞣志帲ú莅福返?14條也規(guī)定，收集、使用自然人的個人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則。筆者認(rèn)為，除上述原則之外，個人信息的搜集、使用和共享還應(yīng)當(dāng)遵循“最小化使用原則”。它是指在從事某一特定活動時可以使用、也可以不使用個人信息時，要盡量不使用;在必須使用并征得權(quán)利人許可時，要盡量少使用。比如，在收集個人信息時，其所獲取的個人信息應(yīng)當(dāng)以滿足使用的目的為限，而不得超出該范圍收集個人信息。為達(dá)到目的如果只需要使用權(quán)利人的非敏感個人信息，則不應(yīng)該擴(kuò)大信息收集和使用的范圍[13]。再如，在論壇注冊賬號時，除非有正當(dāng)理由，否則不得要求用戶提供家庭地址和手機(jī)號碼等信息。畢竟個人不愿過多公布個人信息，過度利用也可能會侵害他人權(quán)利，構(gòu)成不必要的干擾。這一原則本來是信息收集和使用的規(guī)則，但同樣適用于信息共享行為。也就是說，數(shù)據(jù)共享的范圍應(yīng)當(dāng)受到限制，不能無限制地使用和分享。此外，數(shù)據(jù)共享過程中還應(yīng)當(dāng)尊重信息權(quán)利人的知情同意權(quán)、信息查詢權(quán)、安全維護(hù)權(quán)、信息刪除權(quán)等。

五、民法典編纂中應(yīng)進(jìn)一步強(qiáng)化對數(shù)據(jù)共享中個人信息的保護(hù)

法律應(yīng)當(dāng)與時俱進(jìn)，永葆時代性。我們要制定的民法典則應(yīng)當(dāng)成為21世紀(jì)互聯(lián)網(wǎng)、高科技時代民法典的代表，我國民法典應(yīng)當(dāng)充分反映時代精神和時代特征，真正體現(xiàn)法典與時俱進(jìn)的品格。就個人信息保護(hù)而言，民法典應(yīng)當(dāng)強(qiáng)化對數(shù)據(jù)共享中個人信息的保護(hù)，同時積極回應(yīng)數(shù)據(jù)共享中個人信息保護(hù)的問題。

（一）妥當(dāng)平衡數(shù)據(jù)流通與個人信息、數(shù)據(jù)權(quán)利之間的關(guān)系

從數(shù)據(jù)共享也可以看出，人格權(quán)已經(jīng)不再是單純消極防衛(wèi)性的權(quán)利，而包含了積極利用的權(quán)能。數(shù)據(jù)共享與個人信息權(quán)利保護(hù)之間存在一定的沖突與矛盾，主要表現(xiàn)在數(shù)據(jù)分享的效率和個人信息保護(hù)之間存在此消彼長的關(guān)系：如果從制度安排上，過度鼓勵共享，可能對個人隱私、個人信息等人格權(quán)保護(hù)帶來沖擊;而如果過度保護(hù)個人信息、數(shù)據(jù)權(quán)利，嚴(yán)格限制共享，也會對共享形成障礙，不利于發(fā)揮個人信息、數(shù)據(jù)的經(jīng)濟(jì)效用。從世界范圍來看，如何妥當(dāng)協(xié)調(diào)和處理二者之間的關(guān)系，是各國法律制度所面臨的共同難題?？傮w上看，美國法更注重個人信息利用，以提升數(shù)據(jù)產(chǎn)業(yè)的優(yōu)勢地位，歐盟更注重個人信息保護(hù)。但在數(shù)據(jù)的開發(fā)、共享中，兩大法系共同的趨勢是日益重視對個人信息權(quán)利的保護(hù)[14]。

我國正在編纂的民法典應(yīng)當(dāng)妥善平衡二者的關(guān)系，既要注重發(fā)揮個人信息的經(jīng)濟(jì)效用，也要注重保護(hù)信息主體的個人信息權(quán)利，不能因為過度保護(hù)個人信息等權(quán)利而限制了數(shù)據(jù)產(chǎn)業(yè)發(fā)展，也不能為發(fā)展數(shù)據(jù)產(chǎn)業(yè)而不考慮個人信息等權(quán)利的保護(hù)，民法典的相關(guān)規(guī)則設(shè)計應(yīng)當(dāng)妥善平衡二者之間的關(guān)系。既要強(qiáng)化對數(shù)據(jù)共享中個人信息權(quán)利的保護(hù)，也要避免個人信息、數(shù)據(jù)權(quán)利的泛化，不當(dāng)影響數(shù)據(jù)的流通。所謂權(quán)利泛化，就是指個人信息權(quán)的內(nèi)涵和外延缺乏明確的邊界。根據(jù)龐德的看法，在各種利益沖突的情況下，依據(jù)類似于比例原則的辦法，采取造成最少利益受損保全其他利益的解決方法最為妥當(dāng)[15]。他認(rèn)為，解決利益沖突的基本原則應(yīng)該是：“它通過社會控制的方式而不斷擴(kuò)大對人的需求、需要和欲望進(jìn)行承認(rèn)和滿足;對社會利益進(jìn)行日益廣泛和有效的保護(hù);更徹底和更有效地杜絕浪費(fèi)并防止人們在享受生活時發(fā)生沖突。”

轉(zhuǎn)引自：E.博登海默.法理學(xué)——法哲學(xué)及其方法[M].鄧正來，姬敬武，譯.北京：華夏出版社，1987：147.因而，最大限度使法律保障的利益得以實(shí)現(xiàn)，最大限度地減少利益的損失，是我們在處理利益沖突時應(yīng)遵循的基本原則。鑒于這一問題比較復(fù)雜，民法典作為民事基本法，可以只規(guī)定平衡人格權(quán)保護(hù)和數(shù)據(jù)流通之間關(guān)系的基礎(chǔ)性規(guī)則，或者作原則性規(guī)定，為有關(guān)單行法細(xì)化規(guī)定個人信息的保護(hù)提供依據(jù)。

（二）在區(qū)分個人信息類型的基礎(chǔ)上設(shè)計數(shù)據(jù)共享規(guī)則

信息蘊(yùn)含的價值是多方面的，對信息的使用方式是多樣化的，并非所有的利用方式都涉及人格利益，企業(yè)在進(jìn)行數(shù)據(jù)共享時，應(yīng)當(dāng)對其是否涉及人格利益進(jìn)行必要的審查，對于不涉及人格利益保護(hù)的情形，不應(yīng)當(dāng)嚴(yán)格限制數(shù)據(jù)的流通和共享。法律也應(yīng)當(dāng)建立明確的數(shù)據(jù)保密等級與公開等級，并保護(hù)公民、商業(yè)組織的數(shù)據(jù)隱私權(quán)或商業(yè)秘密，同時，也應(yīng)當(dāng)積極推動各類數(shù)據(jù)資源的社會共享[16]。不同類型的個人信息，社會公開性程度不同，與信息權(quán)利人私人生活和人格尊嚴(yán)的關(guān)聯(lián)程度也有所差異，有些數(shù)據(jù)屬于個人敏感數(shù)據(jù)，有些則屬于一般數(shù)據(jù)，在保護(hù)方面應(yīng)當(dāng)有所區(qū)別，例如，對敏感信息要進(jìn)行特殊保護(hù)

《歐盟數(shù)據(jù)保護(hù)一般規(guī)則》（EU-DSGVO）第8條和德國《聯(lián)邦數(shù)據(jù)保護(hù)法》（BDSG）第4a條第3款都對特殊類型個人信息的處理設(shè)置了特別規(guī)范。。因此，應(yīng)當(dāng)區(qū)分個人信息的不同類型，設(shè)計相應(yīng)的數(shù)據(jù)共享規(guī)則，對不同類型的個人信息而言，對信息主體同意的要求和形式也是不同的，不同類型的數(shù)據(jù)應(yīng)當(dāng)有不同的同意規(guī)則，具體而言：

一是共享敏感個人信息應(yīng)當(dāng)征得信息主體的明示同意。敏感個人信息是指與個人私人生活安寧等密切相關(guān)的信息，如個人的家庭住址、身份證號碼、銀行賬號、財產(chǎn)狀況、基因信息等。敏感個人信息的保護(hù)程度應(yīng)當(dāng)高于一般信息，敏感個人信息的共享應(yīng)當(dāng)征得個人的明示同意。

二是共享敏感個人信息之外的個人信息，應(yīng)當(dāng)相對弱化信息主體的同意要求。敏感個人信息之外的個人信息與個人私人生活的關(guān)聯(lián)程度較低，尤其是就個人教育信息、社會交往等一些已經(jīng)公開的個人信息而言，其數(shù)據(jù)共享的條件則應(yīng)當(dāng)相對寬松，應(yīng)當(dāng)盡量弱化個人同意的條件[17]。在某些情形下，僅要求信息權(quán)利人默示同意即可。

三是嚴(yán)格限制共享未成年人個人信息的行為。由于未成年人對其個人信息收集、利用后果的判斷能力較弱，需要強(qiáng)化對未成年人個人信息的保護(hù)，未成年人個人信息的共享應(yīng)當(dāng)取得其監(jiān)護(hù)人的明示同意。

（三）進(jìn)一步完善數(shù)據(jù)共享中的授權(quán)規(guī)則

雖然《民法典各分編（草案）》第817條規(guī)定了個人信息共享的規(guī)則，但該條規(guī)定過于簡略，難以有效規(guī)范數(shù)據(jù)共享行為，有待于進(jìn)一步地細(xì)化。如前所述，民法典編纂應(yīng)當(dāng)對數(shù)據(jù)共享的形式、數(shù)據(jù)共享的范圍等具體的數(shù)據(jù)共享規(guī)則作出規(guī)定;同時，為強(qiáng)化對信息權(quán)利人的保護(hù)，民法典分則應(yīng)當(dāng)明確規(guī)定，被共享者在獲得相關(guān)的個人信息后，再次共享仍應(yīng)當(dāng)經(jīng)過信息權(quán)利人的授權(quán)。另外，有必要確立個人信息匿名化處理的規(guī)則，因為如果信息控制者對個人信息進(jìn)行匿名化處理，按照通常的技術(shù)手段已經(jīng)識別不出信息主體，可以在很大程度上阻斷相關(guān)信息與個人身份的關(guān)聯(lián)性，在此情形下，數(shù)據(jù)共享的阻礙將大大降低。此時，數(shù)據(jù)共享原則上即不需要取得信息主體的同意?？梢?，匿名化可以在很大程度上將個人信息轉(zhuǎn)化為數(shù)據(jù)，降低個人信息共享中的隱私風(fēng)險，是促進(jìn)數(shù)據(jù)流通和共享的重要途徑。

（四）明確信息共享中信息收集人和持有人對個人信息的安全保障義務(wù)

《民法典各分編（草案）》第817條雖然規(guī)定了信息收集人、持有人保障個人信息安全的義務(wù)，但從該條規(guī)定來看，信息收集人、持有人保障個人信息安全的義務(wù)限于信息的收集和存儲階段，并不包含信息共享階段。而且與信息的收集和存儲相比，信息共享涉及個人信息的流動，更容易發(fā)生個人信息的泄露、毀損和丟失，民法典有必要對信息共享中信息收集人和持有人保障個人信息安全的義務(wù)作出規(guī)定。

（五）對信息共享中格式條款予以規(guī)范

在實(shí)踐中，用戶在安裝使用一些軟件和程序時，必須接受互聯(lián)網(wǎng)企業(yè)的格式條款，否則將無法安裝使用?；ヂ?lián)網(wǎng)企業(yè)可能會利用其經(jīng)營、技術(shù)上的優(yōu)勢地位，通過格式條款的形式設(shè)定不利于保護(hù)用戶隱私、個人信息等的數(shù)據(jù)共享條款[18]。這就需要有效規(guī)制此類格式條款，具體而言有如下幾點(diǎn)。第一，互聯(lián)網(wǎng)企業(yè)應(yīng)當(dāng)在協(xié)議中顯著標(biāo)識個人信息共享的條款，以提示用戶注意該條款的內(nèi)容。網(wǎng)絡(luò)服務(wù)提供者在獲得用戶的上述授權(quán)時，應(yīng)當(dāng)對網(wǎng)絡(luò)用戶盡到明確的提示說明義務(wù)，尤其是對數(shù)據(jù)共享條款而言，應(yīng)當(dāng)明確數(shù)據(jù)共享的方式、范圍等內(nèi)容，嚴(yán)格限制概括授權(quán)條款的適用。第二，對互聯(lián)網(wǎng)企業(yè)所擬定的數(shù)據(jù)共享的格式條款，可以由相關(guān)主管部門對該條款的合法性進(jìn)行事先審查，相關(guān)的行業(yè)協(xié)會也可以擬定數(shù)據(jù)共享的示范條款。第三，如果數(shù)據(jù)共享的格式條款明顯不利于保護(hù)用戶的隱私、個人信息等權(quán)利，則信息權(quán)利人應(yīng)當(dāng)有權(quán)否定該條款的效力，該條款也不能成為互聯(lián)網(wǎng)企業(yè)共享用戶個人信息的正當(dāng)性基礎(chǔ)和侵權(quán)的免責(zé)事由。

六、結(jié)語

“法與時轉(zhuǎn)則治”，在互聯(lián)網(wǎng)、大數(shù)據(jù)時代，數(shù)據(jù)共享對數(shù)據(jù)產(chǎn)業(yè)的發(fā)展具有基礎(chǔ)性的意義，數(shù)據(jù)共享需要妥當(dāng)平衡數(shù)據(jù)產(chǎn)業(yè)發(fā)展與個人信息、數(shù)據(jù)權(quán)利保護(hù)之間的關(guān)系。從促進(jìn)我國數(shù)據(jù)產(chǎn)業(yè)發(fā)展的現(xiàn)實(shí)需要出發(fā)，應(yīng)當(dāng)鼓勵數(shù)據(jù)共享行為，但數(shù)據(jù)共享又不能完全離開個人信息保護(hù)，否則，數(shù)據(jù)產(chǎn)業(yè)可能進(jìn)入野蠻生長狀態(tài)。為保障數(shù)據(jù)產(chǎn)業(yè)健康有序發(fā)展，應(yīng)當(dāng)在保護(hù)個人信息權(quán)利的前提下規(guī)范數(shù)據(jù)共享行為，這也是我國民法典編纂應(yīng)當(dāng)秉持的立法原則。

參考文獻(xiàn)：

[1]黃道麗，何治樂.歐美數(shù)據(jù)跨境流動監(jiān)管立法的“大數(shù)據(jù)現(xiàn)象”及中國策略[J].情報雜志，2017（4）：47-53.

[2]程嘯.論大數(shù)據(jù)時代的個人數(shù)據(jù)權(quán)利[J].中國社會科學(xué)，2018（3）：102-122.

[3]羅潔.網(wǎng)絡(luò)開放平臺用戶隱私權(quán)的風(fēng)險防范研究[J].理論月刊，2014（11）：173-176.

[4]Anita L. Allen. Protecting Ones Own Privacy in a Big Data Economy[J].Harvard Law Review Forum，2016，130（2）：71-78.

[5]葉竹盛.是時候給大數(shù)據(jù)套上法律籠頭了[N].新京報，2017-05-31（A04）.

[6]范為.大數(shù)據(jù)時代個人信息保護(hù)的路徑重構(gòu)[J].環(huán)球法律評論，2016（5）：92-115.

[7]西坡.隱私得不到保護(hù)的大數(shù)據(jù)無異于炸彈[N].新京報，2017-02-18（A02）.

[8]劉靜怡.從Cookies以及類似資訊科技的使用淺論因特網(wǎng)上個人資訊隱私權(quán)保護(hù)問題[J].科技資訊透析，1997（10）.

[9]阿麗塔·L·艾倫，等.美國隱私法：學(xué)說、判例與立法[M].馮建妹，等，譯.北京：中國民主法制出版社，2004：17.

[10]Paul Bernal. Internet Privacy Rights： Rights to Protect Autonomy[M].Cambridge University Press，2014：29-30.

[11]Helen Nissenbaum. Privacy in Context： Technology， Policy， and the Integrity of Social Life[M].Stanford University Press，2009：233.

[12]何穎.數(shù)據(jù)共享背景下的金融隱私保護(hù)[J].東南大學(xué)學(xué)報（哲學(xué)社會科學(xué)版），2017（1）：85-91.

[13]郭少峰，吳鵬.個人信息保護(hù)將出臺國標(biāo) 明確使用后立即刪除[N].新京報，2012-04-05（A06）.

[14]張禮洪.人格權(quán)的民法保護(hù)及其理論的歷史發(fā)展——兼議我國的立法模式選擇[J].中國政法大學(xué)學(xué)報，2018（4）：162-178.

[15]馬漢寶.法律思想與社會變遷[M].北京：清華大學(xué)出版社，2008：171.

[16]張玉潔.論人工智能時代的機(jī)器人權(quán)利及其風(fēng)險規(guī)制[J].東方法學(xué)，2017（6）：56-66.

[17]王葉剛.個人信息收集、利用行為合法性的判斷[J].甘肅社會科學(xué)，2018（1）：46-52.

[18]項定宜，申建平.個人信息商業(yè)利用同意要件研究——以個人信息類型化為視角[J].北方法學(xué)，2017（5）：30-39.