法官聊个保法落地多条款存适用争议，急需明确相关标准

　　自去年11月1日个人信息保护法（以下简称＂个保法＂）施行以来，个保法已走过一年有余。作为个人信息保护领域的专门性法律，个保法不仅回应了App过度收集个人信息、＂大数据杀熟＂、公共场所安装摄像头和人脸识别设备等社会热点问题，还重点加强了对头部互联网企业的监管。这部法律落地一年中司法实践情况如何？又有哪些争议焦点？杭州互联网法院互联网审判第一庭副庭长肖芄向南都记者表示，个保法的适用案件多与互联网平台相关，而个人起诉平台的案件也存在许多协商后撤诉的情况。
　　杭州互联网法院互联网审判第一庭副庭长肖芄
　　就具体条款而言，肖芄坦言，死者个人信息权利、删除权、取得个人同意的适用条件等条款都存在一定争议。不过他认为，个人信息保护法在本质上是一部行为规制法，应突出行政监管作用，通过搭建完善的个人信息处理行为规范体系，实现对信息处理行为的规制，充分实现对个人信息权益的保障。虽然目前适用个保法的案件还不太多，不过司法实践中也暴露了一些个保法适用的问题，在这种情况下，可以先积累司法实践经验，＂让子弹再飞一会＂，或者先由行政机关细化一些规章，再从司法层面明确相关标准，发挥司法指引功能。
　　什么才算取得个人同意？不同场景分歧大
　　南都：自去年11月1日个保法实施以来，杭州互联网法院受理、审结的个保法相关案件数量大约有多少？这类案件呈现怎样的特点？肖芄：总体来说，受理的案件数量不是特别多。从去年11月1日到现在，适用个保法的案件数量大概是二十件左右。从被诉主体来看，主要还是跟互联网平台相关。从趋势来看，个人告平台的案件撤诉情况比较多，其中一些案件是在起诉过程中，被起诉的平台和个人进行了一些协商，有些个人选择了撤诉。另外，公益诉讼也占有一定的比例。南都：在你办理过的案件中，适用哪些条款比较多？诉讼争议主要围绕哪些条款？肖芄：在我们办理过的个人信息保护纠纷案件中，往往涉及最多的就是个保法第13条，即个人信息处理者可以处理个人信息的合法性基础，包括取得个人同意、为订立合同所必需、实施人力资源管理所必需、处理公开个人信息等七种情形。对于取得个人同意的理解，在不同场景中分歧也蛮大的。比如取得个人同意的方式、范围以及个人同意是单方做出来的承诺，还是双方达成的协议，在现实中都存在一定争议。另外，对于签订合同所必需及用人单位实施人力资源管理所必要的情形，在现实生活中也存在不同的理解。南都：能否展开说一下签订劳动合同所必需收集个人信息存在的争议？可以举例说明吗？肖芄：个保法规定，为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，个人信息处理者方可处理个人信息。这一条规定得比较原则性，其实在现实生活中用人单位收集个人信息的边界是比较模糊的，急需在具体场景中厘清用人单位处理个人信息的边界。比如，有些用人单位会对员工的廉洁程度进行一些调查，用人单位以劳动者收到一笔供应商的转账为由对他处罚，认为他与供应商有不正当的资金来往。员工认为，用人单位无权调用他的支付宝的交易记录。用人单位否认了调用支付宝交易记录这一说法。目前这个案件还在审理过程中，不过其中无法回避的问题在于用人单位获取个人信息的边界如何界定，用人单位实施人力资源管理所必需收集个人信息是否遵守了比例原则，即在最小必要原则下去处理个人信息。
　　需权衡死者隐私权益与近亲属财产继承权
　　南都：对于个人在个人信息处理活动中的权利，个保法也作出了规定，比如查阅、复制权、删除权等。在这方面，你有哪些观察？肖芄：目前在查阅、复制、删除权方面，怎么出划分个人行使权利的层次和范围缺乏一个明确的标准。比如行使删除权，匿名化处理是否算是删除，还是说要把数据库中的数据完全清除算是删除，究竟将个人信息删除到什么程度算是删除这一点也有待明确。比如，用户要求平台删除交易记录，然而电商法要求企业保留个人信息三年，这就会产生一定的冲突。有时候平台采取的方式是先将用户的交易记录匿名化处理，或者放到加密池里保存三年，三年之后再彻底清除。南都：个保法规定，自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。这一条款在立法的过程中比较受关注，可以讲讲落地情况怎么样吗？肖芄：这一条款涉及到隐私权益和近亲属继承财产权之间的冲突。个人死亡之后还是有人格权益的，其中也包括隐私方面的权益，而且死者的一些个人信息可能与第三人的个人信息交织在一起，比如往来邮件、聊天记录等。在这种情况下，需要权衡死者的隐私权益以及近亲属的财产继承权。另外，死者生前另有安排也存在两种理解，一种是通过平台设置来安排死后个人信息的处理，另外一种是生前遗嘱的方式。这些具体的制度安排怎么落实，还有待进一步明确。
　　案件还不多，但暴露了一些适用问题
　　南都：用户在使用App过程中经常遇到自动化决策，喜欢的人会觉得这种算法推荐＂很懂我＂，但是讨厌的人会觉得有侵犯隐私之嫌。对于自动化决策，个保法规定个人信息处理者应该提供便捷的拒绝方式，同时应当保证拒绝的透明度和结果公平。这一条款落地的情况如何？肖芄：这一条款在落地的过程也有一些争议点。有些平台的核心功能就是由自动化决策完成的，按照规定如果用户拒绝自动化决策，不能影响核心功能的使用，但平台方会认为用户拒绝使用自动化决策后，他们也有拒绝缔约的权利。这种情况下，还需要根据应用的类别进行判别。另外，还有一个蛮大的问题，就是自动化决策中涉及到的算法歧视。在算法歧视问题上，可能用户感知度最高的是价格歧视。但实际上，不仅是价格歧视，可以说App的应用场景有多广，算法歧视的可能范围就有多广。比如我们以外卖平台为例，平台在派单的时候，可能根据骑手服从管理的程度、年龄、地域分布、用户好评度等维度设定算法从而偏向性地派单。由此，骑手付出的时间、获得的收益、面对的客户可能都会有所不同。但是被打上标签的骑手很难去平台追溯，也很难找到算法歧视的证据。南都：对于个保法的司法实践，您是否希望未来出台更加细化的法规、司法解释？肖芄：我们过去理解，主体对客体享有某种权利，首先会联想到物权、人身权等等，这类权利在前信息化时代往往具有绝对权的属性。简而言之，当事人所享有的此类权利的边界是非常明晰的，当事人对权利及客体的掌控、感知也非常的直观，对权利受到侵害的行为、损害结果、因果链等也很明了，但信息化时代中的个人信息权益与前述权利存在很大的差异。个人信息虽然缘起自个人、有个人的标签属性，但个人很难掌控个人信息，甚至难以直观产生对个人信息的感受。个人信息权益的客体上附着有多方主体，存在多方利益，在一定程度上还涉及到公共利益，因此个人信息权益的权利（益）边界是模糊不清的。与其通过划定权利（益）边界的方式保护个人权利，不如为信息处理行为划定规则，通过对行为的规制达到保护个人权利的效果。所以个人信息保护法更像是一部行为规制法，去帮助个人信息处理者划定行为的边界。当前需要形成以行政监管为主、行业自律为辅、司法保障兜底的多方协同治理的格局，特别是发挥公益诉讼制度安排，充分保障个人信息权益。虽然目前适用个保法的案件还不太多，不过司法实践中也暴露了一些个保法适用的问题，在这种情况下，可以先积累司法实践经验，＂让子弹再飞一会＂，或者先由行政机关细化一些规章，再从司法层面明确相关标准，发挥司法指引功能。出品：南都个人信息保护研究中心采写：南都记者 孙朝 刘嫚 潘珊菊