DPOHUB读书会第11期 | Solove：《隐私权局限性的成因与应对》

DPOHUB读书会是何渊老师和他的学生们定期学习和交流的机制，聚焦于数据法的理论及实践，每月一期，目前已进行到第11期。何渊老师期待通过这种教学相长的方式，督促他的学生们多读英文文献，多了解数据合规实务，多练习法学论文的写作，争取为数据法共同体培养更多优秀的储备人才。

Daniel J. Solove:隐私权局限性的成因与应对

研读人：帕格健，上海交通大学法学院硕士生

本文发表于《Notre Dame Law Review》2022年第98期，作者是乔治城大学法学院的Daniel J. Solove教授。本文正文内容由三部分构成：在第一章，作者概述了美国、欧盟和拉丁美洲各国的数据权利发展史，指出个人数据权在解决个人“数据失权”问题上的作用十分有限。在第二章，作者列举了个人数据权的三点局限，以说明权利为何无法为数据主体提供系统化的保护。在第三章，作者具体分析了《通用数据保护条例》（General Data Protection Regulation, GDPR）下的八项个人数据权利，并针对其局限性提出了更为系统和有效的应对措施。注：在本文中，“信息隐私”和“数据保护”同义。

个人数据权利的源起

个人数据权利一般被认为是数据保护法的核心内容。以欧盟的数据权利发展为例：1995年的欧盟《数据保护指令》就涵盖了知情权、获取权、更正权、删除权等7项个人数据权利；2014年，欧盟法院在谷歌诉冈萨雷斯案中确立了被遗忘权；2016年，GDPR又增加了可携带权，由此形成了较为完整的个人数据保护权利体系。其他国家的数据保护立法也往往以GDPR为范本，涵盖了大多数的数据权利。

作者认为，以GDPR为代表的数据保护法，旨在解决个人“数据失权”的问题。“数据失权”最早出现于1972年美国政府发布的一份报告，该报告指出“随着个人数据被收集、汇总、转移、分析和用于做出影响个人生活的决定，个体将变得微不足道。”因此，为弥合数据主体和拥有大量数据资源的组织之间的权力鸿沟，数据保护立法试图通过赋予数据主体权利，来让数据主体重新取回个人数据的掌控权。

个人数据权利的局限性

作者提出，个人数据权利无法为数据主体提供系统化的保护（systematic protection），主要基于以下三点理由：

其一，个人数据权利缺乏可操作性。个人数据权利从表面上看给予数据主体以广泛的选择空间，实则带来了沉重负担。个人数据权利以数据主体主动行权为必要条件，而权利的牵连性、侵权主体的多样性和数据的易变性，导致数据主体面临繁杂的、耗费大量时间的行权工作。

其二，隐私自我管理过于理想化。隐私自我管理是指数据主体享有数据控制权，以对个人信息作出有意义的成本-效益风险决策。然而，个人往往缺少衡量数据处理所带来的收益与潜在风险的专门知识。此外，由于数据收集者提供的隐私政策往往规范性不足或者未得到充分落实，个人无法预见数据处理行为，导致隐私自我管理沦为虚置。

其三，个人数据保护在原子化的个人层面无法实现。没有人完全享有数据，有关个人数据的任何决策都会对他人隐私产生影响。

1）数据具有社会价值。毋庸置疑，数据对于社会发展、民主政府的构建及个人自由的保护皆有重要意义。此外，由数据所引发的问题也超越了单独个体的范畴，如算法歧视和监视资本主义的出现。因此，应当在社会层面讨论个人数据保护的可行路径。

2）数据的共享。由于社会关系的复杂性，大多数类型的数据属于一个以上的个体，个体所做出的有关其个人信息的决定也可能会导致他人个人信息的暴露和处理。例如，一份聊天记录属于多个数据主体，个人不能行使可携带权转移聊天记录。因此，赋予个体数据权利无法解决数据共享面临的困境。

3）数据的关联性。得益于今天的“大数据经济”，机器学习和算法决策通过分析数据集来推测个人信息。单独个体的信息犹如巨大拼图中的一小块，通过分析一个人的信息可以推算出其他人的信息，反之亦然。因此，数据之间是交互联系的，有关个人数据的任何决策都会对他人隐私产生影响。

综上所述，个人或疲于繁重的行权工作、或缺少行权的相应技能、或囿于数据的社会效应，而不能完整地行使个人数据权利。因此，数据保护不应仅依靠个人的行权，而应该得到社会层面的支持。

个人数据权利局限性的成因及其应对

在本章，作者具体分析了GDPR下的八项个人数据权利，分别指出了这八项权利在个人数据保护方面的失败之处，并进一步提出了系统化的应对措施。

（一）知情权：知晓自身信息被收集和处理的权利

1.帮助数据主体做有意义的决策

知情权是数据保护的重要一环。知情权要求数据收集者向数据主体披露其隐私实践，包括收集的个人数据类型、个人数据的使用、转移和保护做法以及数据主体权利等。隐私实践通常通过发布隐私政策的方式告知数据主体。然而，单纯地向人们倾倒信息与告知数据主体信息以帮助他们做有意义的决策之间存在天壤之别。现有隐私政策存在更新快、内容多、语言晦涩难懂的问题，导致知情权实效不高。而且单纯的知晓自身信息被收集缺少意义，个人还应当知道自身信息将被如何利用以及其中存在的风险，如此才能对是否允许收集作合理决定。因此，知情权在帮助数据主体做有意义的决策方面力有不逮。

为解决隐私政策内容过多的问题，作者建议：制定通用的标准隐私政策作为默认条款，并将对标准条款的变通内容醒目地提示用户作为补充。对用户而言，审查与标准条款的差异远比阅读成千上万页的隐私政策要容易得多。此外，法律应对高风险的处理行为规定更高的通知要求，通知时间应与数据主体做出关键决定或风险可能发生的时间更相关。最重要的是，法律要为数据的收集和使用行为设立边界。

2.建立面向组织内部和外部监管的问责制度

完备的隐私政策不仅有利于组织内部监测数据处理活动，还有助于外部专家和监管机构的问责。为实现这个目标，隐私政策似乎越充分、越详实越好。如此分析，知情权想要实现的两个目标相互矛盾，两者之间的张力也使得知情权难以实现其应有价值。

为兼顾知情权想要实现的两个目标，作者提出可以将隐私政策拆分为两个文件：一个是用于问责的详细透明度报告，另一个则是面向用户的简单摘要。简单摘要可以帮助用户非常简略地了解组织在数据保护方面所做的工作；如果用户有兴趣深入了解处理活动，可以参阅详细报告。详细的透明度报告将用于组织内部问责和外部监管，以确保组织遵守相关规定。

（二）访问权：获取个人数据的权利

1.获悉处理者收集和处理的具体个人数据

访问权不同于知情权，访问权的对象是数据主体具体的被收集和使用的数据。作者认为访问权往往以零散的形式展示个人信息碎片，未交代这些个人信息是如何被处理的、得出何种结论以及最终服务于处理者的什么决策，而后者才是数据主体作出有意义同意的关键信息。此外，访问权也面临行权成本高的问题。因此，应当由法律来规范数据使用、算法和数据推算行为，为数据主体驻守权利底线。

（三）可携权：要求数据控制者传输数据给其他组织的权利

1.强化的数据访问能力

可携权又被称为强化的访问权，但其仍然存在局限性。首先，可携权的客体不包含数据控制者维护的所有个人数据，仅限于数据主体提供的数据，这消减了数据主体的行权意愿。其次，由于数据的关联性，可携权的行使会增加他人的数据安全风险。再次，为确保数据在不同组织之间的转移是安全、可读的，监管机构需要制定技术标准，而可携权相关的技术还未成熟。因此，可携权到目前为止更像是建议做法而非硬性要求。

2.促进竞争

可携权的另一目的在于促进竞争，以确保用户能够自由的选择网络服务提供商而不必担心数据被锁定在某一控制者。但作者认为，这一目标过于宏大。企业间竞争的场域并不局限于数据保护，价格和服务质量比数据保护更具有竞争力。此外，数据保护将提高企业运营成本，这反而可能导致企业陷入劣势。因此，可携权难以实现自身目的。作者认为，监管机构应负责阻止隐私实践有问题的企业参与竞争，以此来保护承担隐私成本的组织不会处于竞争劣势。

（四）更正权：更正错误个人数据的权利

1.确保数据的准确和完整

更正权的主要目标是确保数据的准确和完整。同其他权利面临的问题相同，个人没有足够的时间去校对和修改海量的错误信息。作者认为，收集并利用数据的企业应该保证数据的准确和安全。企业从信息中获得利润，也就应该为之负责。然而，美国法院的判例认为只有在错误信息造成实际损失时个人才能追究企业的责任，这让企业更加怠于承担保证信息准确的责任。

对于更正权，作者建议采用更系统化的应对措施：第一，落实数据质量原则，要求组织对数据的准确性承担责任，而更正权应作为数据质量原则的第二步保护措施，以修正偶尔出现的错误。第二，监管机构应定期审查数据库中的特殊类别数据、对数据准确性进行审计、建立数据准确性问责制度等。第三，针对无法行使更正权的预测性信息，法律可以对其作出一些最低限度的要求，如符合合理、透明度原则以及不违背公序良俗等。

（五）删除权：删除个人数据的权利

1.防止不当得利

删除权旨在解决企业数据不当得利的问题。作者认为，个体难以判断组织为实现特定目的所需必要信息的范围与需要保留该信息的具体时间，同样面临行权成本高的问题。而监管机构在解决企业不当得利方面有着丰富的经验和切实的手段，如美国联邦贸易委员会曾要求企业销毁通过不当得利得到的数据。因此，应当强化监管机构的执法，这样的方式比个人维权更具效率。

（六）被遗忘权：隐匿数据的权利

1.个人信息的模糊化

删除权与被遗忘权经常混为一谈，但其实是两个截然不同的权利。删除权是将数据销毁，而被遗忘权则是将数据隐匿，即再无法从搜索引擎中检索出相关数据，因此又被称为“断链权”。被遗忘权的设立目的在于隐匿过时的、不再必要的个人数据，以及给予数据主体第二次成长的机会。然而，被遗忘权存在内涵与外延过于模糊，与言论自由权相冲突以及行权成本高的问题，期待用被遗忘权隐匿过去的信息是不切实际的。美国的犯罪记录清除机制允许信息主体删除经过特定时间的犯罪记录。作者认为，相比赋予个人请求隐匿的权利，法律直接要求组织清除犯罪记录等对个人而言有害的信息将更为有效。

（七）拒绝权和限制处理权

1.数据控制权

拒绝权和限制处理权常常协同发生作用。限制权是指数据主体请求暂时或永久停止处理数据的权利，拒绝权则是数据主体基于特定理由，可以反对数据处理的权利。这两项权利同样面临行权成本高，以及个人无法完全获知组织利用信息的具体方式的问题。作者认为，数据的处理方式应与人们的期望一致。如前所述，大多数人不会阅读冗长的隐私政策。因此，法律应重点规制数据处理者的处理行为，为数据使用划定边界。同时，组织应该承担证明已采取合理措施的责任，以确保数据处理是符合人们预期的。

（八）免受自动化决策权：拒绝数据处理者基于个人数据作出自动决策的权利