摘 要 “支付宝年度账单”事件暴露出在大数据时代，知情同意制度所遭遇的理论基础不牢固、真实性无法保证、不符合经济考量等困境。但以上困境源自错误的理论基础和对该制度作用不切实际的期待。因此个人信息保护法应当回归传统的隐私权理论，坚持信息利用和隐私保护相平衡的理念。知情同意亦应回归一项工具性制度的定位，并结合大数据技术的特点对其具体规则、配套措施做出相应的改进。
关键词 知情同意制度 大数据 隐私权 敏感信息 一般信息
基金项目：本文系江苏高校哲学社会科学研究基金项目“大数据时代隐私保护的理论基础”（项目编号：2018SJA1085）的阶段性成果。
作者简介：戴中璧，江苏科技大学人文社科学院副教授，研究方向：经济法学。
中图分类号：D923 文献标识码：A DOI：10.19387/j.cnki.1009-0592.2019.03.123
一、从“支付宝年度账单”事件说起
2018年伊始，许多支付宝用户在各大网络社交平台分享了他们的年度消费账单。但很快有法律界人士指出，支付宝年度账单存在“授权漏洞”：如果用户没有注意到页面下端的一行晦暗小字并取消已经默认勾选的“我同意”按钮，晒出账单很可能意味着——在本人不知情的状态下——允许支付宝收集包括第三方保存的信息在内的个人信息……支付宝的上述做法立刻引起了广大用户的质疑与不安，也引起了央行、国家网信办的关注与强力监管。此事件以支付宝方面的迅速纠正并道歉作为终结。 但是，我国对个人信息处理“知情同意”的理论研究和制度完善却似乎远远没有终结。
笔者认为，上述事件暴露出我国个人信息保护立法中的两大不足：一是理论基础不明确，二是“知情同意”的执行标准较为模糊。目前，我国在该领域的立法首先是“一法一决定”，即《网络安全法》与《全国人大常委会关于加强网络信息保护的决定》;其次有行政法规《征信业管理条例》、部门规章《电信和互联网用户个人信息保护规定》和《网络交易管理办法》等。以上立法都大同小异的包含了旨在保护个人信息的“知情同意”制度，如《网络安全法》第41条规定“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。…”
然而，何谓“经被收集者同意”？除明示之外，理论上尚有“行为人以使人可推知的方式间接表示其内在意思的表意形式” ，即“默示同意”或“默许同意”，如明知信息被收集而继续使用服务的动作，明知预设同意勾选而不选择“退出”等情形。这些默许同意是否可以构成有效的同意？上述法律法规均未置可否。相关解释最早出现在一部不具有法律效力的国家指导标准《公共及商用服务信息系统个人信息保护指南》（GB/Z 28828-2012）中，根据该标准5.2.3条：“处理个人信息前要征得个人信息主体的同意，包括默许同意或明示同意。收集个人一般信息时，可认为个人信息主体默许同意，如果个人信息主体明确反对，要停止收集或删除个人信息;…”因而，在参照上述标准的前提下，如果确实仅涉及用户一般性的、非敏感信息，且保障了其选择退出（opt-out）的权利，支付宝从自身商业利益出发，通过默认勾选的方式取得用户默许同意的做法似乎也存在情有可原之处。
但是，新近制定的两部国家推荐标准《信息技术产品供应方行为安全准则》（GB/T 32921-2016）和《個人信息安全规范》（GB/T 35273—2017）并未再次明确规定可以对个人信息的处理进行默许同意，并强调了“明示同意”的核心地位。这是否意味着我国的个人信息保护立法彻底继受了个人信息自决权理论，试图通过更严格的同意标准建立起个人对其信息的全面支配？然而耐人寻味的是，与上述两部标准的理念相左，不少学者认为该做法与大数据时代的发展趋势背道而驰，甚至“知情同意”本身的作用和价值也受到了一定的质疑。那么，“知情同意”在个人信息保护法中究竟扮演着怎样的角色？它的正当性基础是否真的因大数据时代的到来而岌岌可危？抑或可以通过自身变革更好的发挥这一机制的独特价值？本文以“支付宝年度账单”事件为契机，试对上述问题进行一个初步的回答。
二、作为“工具”而非“原则”的知情同意制度
一般认为，知情同意的做法“已经为各国个人信息或隐私保护法律规范和实践所采用，构成了保护个人信息安全的‘告知同意’框架，已成为现代数据保护法的一个基础”。 甚至在不少文献中被称为“同意原则”，被赋予“核心”“首要基础”的地位。但是，通过比较法考察不难发现，尽管世界各国（地区）相关立法几乎无一例外的规定了该制度，但其重要性和所发挥作用在各国（地区）却表现出较大的差别。
