论文部分内容阅读
摘要：
电子商务环境中，经营者常利用其与消费者之间的非均衡博弈关系擅自处理后者的个人信息，这不但侵害了消费者的人格利益，而且阻碍了个人信息资源的高效配置。我国为促使经营者尊重消费者对个人信息的排他性产权，应强制经营者在处理个人信息前履行征得消费者许可等义务，进而改变这种不均衡状态。而立法者为了优化规制效果，宜立足于商业伦理与网络治理等因素构筑的特殊国情并重点借鉴欧盟的成例，凭借作为公共选择的立法活动将前述义务予以明确化。但刚性的法律规范又会不当限制经营者与消费者的决策自由，并阻碍个人信息的有效利用，对此，我国还需要参照美欧做法对经营者义务规则的适用设定例外情形。
关键词：消费者个人信息;个人信息处理;电子商务;经营者义务规则
中图分类号：D923.8
文献标识码：A
文章编号：1673-8268（2015）03-0039-05
一、危机探源：由非均衡博弈引发的利益失衡
（一）电子商务环境下个人信息面临的利益诉求
在以网络化与数字化为基本特征的电子商务活动当中，消费者的个体特征能通过一定的数字或者符号得到体现，这些数字与符号即为“个人信息”（personal information），它们一般表现为网络用户名、密码、消费记录、信用状况、电子邮箱地址以及IP地址等。在黑格尔笔下，个人信息属于具有意志与精神属性的人格价值载体[1]。据此，中外理论界与立法界也已基本达成共识，确保消费者本人对个人信息的自主支配，这是在信息时代终极关怀其人格的基本方式。同时，在电子商务环境下，消费者个人信息也是具有经济价值的重要资源。因为按照联合国国际贸易程序简化工作组的定义，电子商务是供应商、销售商与消费者等主体通过网络手段共享商务信息从而完成交易的过程，而消费者个人信息是商务信息中重要的一类。在实践活动中，经营者通过收集、分析、传输等方式对消费者个人信息进行处理，能够获取更多的商情（如消费者层次、所在地域以及消费倾向），从而拓宽销路实现利润增长;同时个人信息可以被不同经营者共享，这有助于社会整体效率提高，其经济价值由此得到体现。
（二）利益冲突与失衡导引的危机
在电子商务活动中，经营者出于追求营业效益的固有偏好，往往倾向于不征得消费者同意而擅自处理其个人信息。而以网络供销者为代表的经营者在谈判力量与获取资讯能力等方面明显强于消费者，按照日本学者青木昌彦的阐述，经营者与消费者之间存在非均衡博弈（unbalanced game）关系[2]。因而消费者在没有强有力的保护制度可依靠的情况下，很难以自身力量对抗经营者恣意处理其个人信息的行为。仅以我国为例，近年来通过搜索引擎处理消费者个人信息的注册商业机构的数量逐渐增多，其中多数机构在处理个人信息之前，并未征得消费者同意甚至根本未向其告知，这引起了消费者的不满与排斥，中国互联网络信息中心（CNNIC）于2012年1月发布的第29次中国互联网络发展状况统计报告即反映了这一问题。
上述现象不仅使消费者的人格尊严与自由面临前所未有的威胁，还导致了经营者因侵权而获利的不公平结果出现从而违反了正常的商业伦理秩序。与此同时，人格利益遭受侵害的消费者不再愿意与经营者分享其个人信息，这又阻碍了我国网络经济的发展进程。加拿大麦克马斯特电子商务研究中心（MERC）的调查报告即显示，在2008年到2010年间，有6.5%的加拿大成年人有过个人信息被网络营销商非法接触的经历，这些人当中有 20%拒绝再向网络服务者与经营者继续提供其个人信息[3];前述CNNIC第29次报告显示，我国也存在类似问题。
二、危机应对的比较法经验：对经营者处理行为的制度约束
在新制度经济学视野中，消费者个人信息保护的危机根源于电子商务环境下经营者通过处理信息提高经营绩效与消费者维护自身人格这两种利益之间的冲突。而有效的制度安排能迫使这些主体改变其不良偏好，并促使他们在尊重彼此利益的前提下展开合作博弈[4]。据此，社会治理者化解危机最有效的途径在于，通过设计与实施相应制度约束经营者与消费者（尤其是处于较强地位的前者）的行为，从而为二者通过合作方式共享个人信息之上的利益创造条件，由此在二者之间实现利益双赢并完成帕累托改进。在比较法上，美国与欧盟为实现这一目标已构建了较成熟的制度。这些成例如被我国适当借鉴，将有利于国内立法者汲取舶来制度文明精髓，同时也能避免制度构建中无谓的重新探索与反复试错，从而提高制度供给的效率。
（一）美国：立法放任附带行业自律
根据美国学者托马斯·I·爱默生的主张，商事主体有权收集、利用与传播信息（包括消费者的个人信息——笔者注）从而实现自身的经营自由[5]。据此，该国立法者在制定具有强制执行力的正式制度时，对经营者处理个人信息的行为大多采取了较为放任的态度。譬如1974年隐私法案第一部分与2007年联邦信息自由法案b（6）均规定，仅公共机关（public organ）负有对公民信息隐私的尊重义务，非经本人许可不得探知或利用其个人信息。根据反面解释，作为私人机构（private organ）的经营者不承担此义务;又如该国1984 年《电缆通讯政策法》（Cable Communications Policy Act）规定电缆通讯公司为了正当的商业活动，有权获取与活动相关的用户个人信息，而无须经过用户本人同意;再如1991 年《电话消费者保护法》（Telephone Consumer Protection Act）规定电话直接营销商在不经消费者允许的情况下可以处理其个人信息。
该国为了约束经营者的处理行为，一般授权立法机关以外的行业组织（如网络营销行业协会等）向业内经营者提供自律规范，并由该组织要求经营者尊重客户的人格利益。行业自律规范并非由立法机关制定，因而不具有强制约束力，消费者在绝大多数情况下也不能依据此规范提请司法救济，因此它属于非正式制度。影响较大的行业自律规范有美国网络联盟（W3C）制定的网络营销者规范以及计算机从业资格认证机构（ICCP）颁行的计算机从业者规范等。 （二）欧盟：以立法强制约束
与美国不同的是，欧盟及其成员国大多由立法机关制定正式制度，对处理消费者个人信息的经营者课以必须强制遵守的义务。欧盟个人数据保护委员会于2000年2月3日通过的《电子商务中某些方面数据保护的第1/2000号意见》即要求，各成员国立法者与司法者对于在国内处理消费者个人数据的经营组织，应强令其履行通知消费者本人等义务。这一立场在欧盟及其主要成员国的立法文件中也得到了充分体现。根据欧盟指令第一章第2条（b）与第3条规定，经营者收集与传输消费者个人信息的行为受该指令中义务性规范的制约。而根据指令第二章规定，经营者在实施上述行为之前不仅应告知个人信息本人并征得其同意，还应采取
适当措施保持个人信息的完整与最新状态。为保证这些规范的有效性与强制力，指令第三章授权消费者在经营者违反前述义务时，通过司法救济途径追究经营者责任。这些内容还体现在了德国2003年联邦个人数据保护法第三编、法国2004年数据处理与个人自由法第四章和第五章、英国1998年数据保护法第三部分当中。
三、确立强制性的经营者义务规则：我国的必由路径
（一）由产权与制度绩效理论所推导
按照科斯的解说，对产权的清晰界定有利于消除资源交易中的障碍，进而提高资源利用效率[6]。而在电子商务实践中，经营者往往凭借其较之于消费者的优势地位擅自处理后者个人信息，从而为他们有序交易与高效利用个人信息这一资源设置了障碍。对此，社会治理者有必要清晰界定消费者支配其个人信息并排除经营者侵害的产权，有效地制约经营者任意处理个人信息、侵害消费者的人格利益，促使经营者以合作方式与消费者共享个人信息之上的利益，从而通过消除交易障碍改变双方非均衡博弈的状态，实现对信息资源的优化配置，以此促进电子商务活动的有序开展并提高网络经济模式下的社会整体绩效。
正如学者H·德姆塞茨所阐述的那样，正式的产权制度更能使权利人的利益受到强有力的保障。[7]从制度绩效的角度分析，作为正式制度的法律基于其权威性，能够为经营者划定明确的行为界限;同时法律通过禁止性话语更能制约经营者擅自处理个人信息的行为，从而为消费者人格利益保护提供稳定的预期。相比较而言，行业自律规范实质上只是经营者所在行业的自律组织向消费者提供的契约。客户在繁复的电子商务交易活动中，很难尽知自律规范的内容并据以寻求保护。加之该规范的颁行者具有非权威性且效力带有非强制性，从而难以对经营者形成有效的约束。同时，因为颁行自律规范的行业协会地位非中立（常偏向于经营者），且规范中的用语往往较为模糊，所以使得行业自律规范容易沦为引起交易双方利益失衡的“不完全契约”（incomplete contract）[8]。由此以William J·Clinton为代表的美国学者在如何保护该国网络消费者信息隐私的问题上，也开始怀疑行业自律规范的有效性[9]。
（二）商业伦理与互联网治理模式语境中的抉择
中美商业伦理的差异性决定了美国立法者放任经营者处理行为的做法不宜为我国所采取。在崇尚个体自由而较少受集体主义影响的美国，立法者为满足个体经营者的营业自由利益而不限制其任意处理个人信息或许是正当的。美国大法官本杰明·卡多索以及哈兰·斯通就提出过信息自由权是“母体”权利的观点，并认为该权利优先于人格权New York Times Co. v. Sullivan， 367 U.S.254， 726 （1964）; Hustler Magazine， Inc. v. Falwell， 485 U.S.46-47。
。
然而根据我国几千年来形成的商事文化传统，商事活动参与者在追求个体自由与利润的同时，更应注重对社会伦理规则的遵守。经营者在处理消费者个人信息时，不仅应关注自身经营效益，而且还应对消费者人格尊严予以终极关怀从而遵循社会伦理秩序，后者甚至处于更重要的地位;因为按照哈耶克对目的价值与工具价值的划分标准，人格尊严是人之为人的根本从而属于目的价值，它比作为工具价值的信息自由更应处于被“择优录用”的地位[10]。因此，我国立法者也有必要用禁止性规范约束电子商务经营者的行为，从而防止其任意处理个人信息、侵害消费者人格。
在我国特有的互联网治理模式下，对经营者处理个人信息行为的规制也应当主要由立法机关制定正式制度来完成。正因为此，历来坚持通过行业自律方式约束经营者处理个人信息行为的美国也开始转向颁行正式制度。譬如该国于2000年颁行的《儿童在线隐私保护法》（COPPA）就明确地规定了网络营销商为向儿童提供服务而收集与传输后者个人信息时，应当履行征得儿童父母同意和采取安全措施从而保障个人信息正确与完整等义务;当营销商违反上述义务时，将被处以罚款、被责令停止营业并向儿童及家长承当相应损害赔偿责任。
四、义务规则的创构与实施
（一）公共选择理论视野中的经营者义务规则
虽然我国2009年《中华人民共和国刑法修正案（七）》第253条对经营者擅自处理消费者个人信息的行为予以了禁止，但这并不足以维护后者
的人格利益。因为按照道格拉斯·诺斯与巴泽尔等学者阐发的国家理论，国家在通过立法这一公共选择活动调和利益集团之间的矛盾时，应当赋予较弱势集团（如消费者）对抗较强势集团（如经营者）不当行为（如擅自处理个人信息）的权利，藉此消除不同集团之间的力量差距对比并兼顾双方利益诉求，最终实现社会整体效益的优化[11]。而根据公私法划分原理，消费者面临经营者侵害其个人信息之上的私益时，不能直接依据作为公法的刑法向经营者主张停止侵害与赔偿损害等责任，因此立法者还需要在作为私法的民商事法律规范中设定经营者应履行的义务，并在经营者在处理个人信息中违反这些义务时，为消费者提请法律救济提供正式制度中的依据。具体地，电子商务活动中的经营者在处理个人信息时，应当向消费者履行以下义务。 第一，处理之前将有关情况告知消费者并征得其同意。正如美国学者威斯汀与米拉所认为的，维护主体人格利益的关键在于使其能决定自己的个人信息是否被传播[12]。消费者有权决定其个人信息是否以及如何被处理，这是人格保护理念在网络经济中的重要体现。在比较法上，德国联邦宪法法院为了督促本国公共机关履行这一义务，甚至于1983年在对人口普查案做出判决时，从尊重公民基本权利——信息自决权的高度阐释该义务的重要性[13]。而消费者作出决定的前提是其事先知悉个人信息将被经营者处理。但是在电子商务环境下，消费者掌握资讯的能力明显弱于经营者，前者往往无法查知其个人信息将被处理，从而难以通过合理决策来决定是否同意处理行为。因此，立法者有必要制定规则强令经营者向消费者告知其个人信息将被处理的相关情况，以此拓展消费者理性进而维权。一般而言，经营者在实施通过收集、利用与传输等手段处理个人信息行为之前，应在以下情况预先告知作为本人的消费者：处理人身份，被处理个人信息的范围，处理目的、方式、期限，消费者享有的权利，消费者不予协助后果以及纠纷处理的方式等。
第二，对处理中的个人信息采取安全保护措施，确保信息处于准确、完整、最新与秘密状态。正如欧盟数据保护工作组在《关于公共部门信息和私人数据保护的第3/99号意见》中阐述的，无论个人信息流转于何处，它始终归属于信息本人。即使消费者同意经营者处理其个人信息，前者仍然处于对个人信息的支配地位。经营者出于对这一地位的尊重，有义务采取合理措施防止个人信息被非法篡改与披露，并对过时的个人信息实时地更新，从而使作为信息本人的消费者免受不正当的评价。
第三，向消费者支付对价。依据学者卡尔·夏皮诺阐释的根据信息有价（information is valuable）原理，消费者个人信息在网络交易中具有经济价值[14]。立法者要求处理该信息的经营者向消费者支付与信息价值相当的费用（此即“对价”），就承认了消费者在生成个人信息时的付出，同时也使个人信息之上的利益被分配得更加合理。美国法院早在1907 Edison v. Edison Polyform Mfg Co.一案的判例中就确立了这一义务;而欧盟个人保护数据委员会在前述第1/2000号意见中也要求，各成员国立法者在维护客户的人格尊严的同时，还应当确保其对个人信息之上的财产利益得到承认与保护。
（二）规则适用的例外——为实现商事自由与信息流通
如果以上义务性规则过于绝对地被实施，又将阻碍电子商务活动的正常开展与个人信息的有效利用。一方面，根据经济人假说理论，在网络时代的商事活动中，不论消费者还是经营者都有足够的理性去独立取舍与处分自身的利益，因此二者完全有能力通过协商方式就个人信息如何处理的问题达成一致意见，国家不宜过度干涉[15]。如若司法者过于严格地执行前述义务性规则，将不当地限缩消费者与经营者自由决策的空间，这有违意思自治这一民商事活动的基本理念;另一方面，根据产权约束与激励功能原理，国家如果过于极端地令经营者承担前述义务（尤其是经过消费者同意后方能处理个人信息），将会对经营者合理利用与传输个人信息形成负激励，从而阻碍个人信息的自由流通，甚至妨碍这一在网络与信息时代的重要资源被优化配置。为了防止以上两种情况的出现，我国需要对以经营者义务规则的适用规定例外情形，具体地有以下二方面。
第一，经营者与消费者达成了相关协议的，前者可免于在处理个人信息前告知后者和征得其许可。这是意思自治的体现，毕竟消费者可以在和经营者自愿协商的基础上处分其对个人信息享有的利益;同时这一规定有利于提高个人信息处理以及商事营运的效率。因为在电子商务实践中，经营者往往需要反复处理个人信息，这一规定可以省去经营者每次处理前均需征得消费者同意的繁复流程。因此我国可以参照前述美国COPPA第10部分，规定当个人信息本人以及监护人事前与经营者达成协议的，后者可以在协议约定的时间与地域范围内径自处理个人信息，而不再履行告知与征得许可的义务。当然经营者可能滥用其优势地位，预先在此类协议中拟定对消费者不公平的条款并迫使后者接受。针对此我国可借鉴美国的安全港规制（safety harbor regulation）方式，要求经营者将类似的协议提交相关监管机构审查，该协议经确认未侵害消费者意思自由与人格利益后方生效[16]。
第二，经营者为满足特定利益而处理个人信息时，无须经过消费者同意。正如欧盟数据保护指令引言所阐述的，在价值指向上，个人信息利用和消费者权益之间存在着一定矛盾：前者允许经营机构合理处理与利用信息，后者则为了确保消费者人格不受侵害而反对他人任意实施前述行为。如若我国绝对地保护消费者，则势必阻碍信息合理的处理与利用，进而产生阻碍信息公平的数字鸿沟。由此，我国立法者与司法者需要借鉴欧盟指令第二章以及德国联邦个人数据保护法第三编等经验，为经营者适当留出自由空间，从而激励其为满足（相对于消费者人格利益而言）更大的利益而处理个人信息。
参考文献
[1]HEGEL G W.Philosophy of Right[M].DYDE S W.Ontario：Batoche Books Kitchcener，2001：42-46.
[2]青木昌彦.经济体制的比较制度分析[M].北京：中国发展出版社，1999：264.
[3]SUSAN SPR OULE，NOR M AR CHER. Measuring Identity TheftinCanada：20082010 Consumer Survey-WorkingPaper[EB/OL].（2008-12-27）[2014-02-13].http：//www.merc -mcmaster.ca/ working -papers/ measuring -identity-theft-in-canada-2008-consumer-survey/. [4]柯武刚，史曼飞.制度经济学——社会秩序与公共政策[M].北京：商务印书馆，2000：56.
[5]WHITEMAN J Q.The Two Western Culture of Privacy：Dignity versus Liberty[J].The Yale L.J.2004，113（1161）.
[6]R·科斯.企业、市场与法律[M].盛洪，陈郁，译.上海：上海三联书店，1990：92.
[7]H·德姆塞茨.关于产权的理论[G]//R·科斯.财产权利与制度变迁——产权学派与新制度学派译文集.上海：上海三联书店，1991：98.
[8]MATCH J G，OLEN J P.Rediscovering Institutions：The Organization Basis of Politics[M].London：The Free Press，1989：178.
[9]CLINTON W J.Framework for Global Economic Commerce[M]//张平.网络法律评论：第1卷.北京：北京大学出版社，2001：65.
[10]哈耶克.法律、立法与自由[M].邓正来，译.北京：中国大百科全书出版社，2000：8-9.
[11]道格拉斯·诺斯.制度、制度变迁与经济绩效[M].杭行，译.上海：上海三联书店，1994：71.
[12]刘迪.现代西方新闻法制概述[M].北京：中国法制出版社，1998：119.
[13]LIEDTKE.Bundesdatenschutzgesetz：Eine Fallstudie zum[M].Muenchen：Gesetzgebungs Prozess，1980：321.
[14]卡尔·夏皮诺.信息规则：网络经济的策略指导[M].张帆，译.北京：中国人民大学出版社，2000：17.
[15]李瑞缘.我国金融消费者隐私权保护机制的制度构建——以个人隐私和信息保护为视角[J].重庆邮电大学学报：社会科学版，2014（1）：38-44.
[16]GORDON H R.Right of Property in Name，Likeness，Personality and History[J].Northwestern University Law Review（19601961），2004（55）：553-559.
Crisis and Settlement of Consumers’Personal
Information Protection in Settings of Electronic Commerce：
Mainly in View of New Institutional Economics Study
ZHANG Juan，LI Yi
（Chongqing Three Gorges University， Chongqing 404100， China）
Abstract：
In settings of electronic commerce， proprietors possess consumers’ personal information at their own will by way of unbalanced game with consumers， by which consumers’ personality is infringed and the maximized utilization of personal information resource is hindered. Proprietors should be obliged to ask for consumers’ authorization while processing compulsorily， so that they will be forced to cooperative with consumers in an equal way and protect consumers’ rights on personal information. And in order to maximize the effect of regulation and in the view of the legislation from EU， Chinese legislators should lay out above-mentioned obligatory rules in the statutes on the domestic background of commercial ethnics and network regulation. And in order to cope with the excessive forcible effect of statues， exemption clauses should also be set so as to protect the free will of proprietors as well as consumers and enhance the utilization of personal information.
Key words：
consumers’ personal information; processing of personal information; electronic commerce; operator’s rules of obligation
（编辑：刘仲秋）
电子商务环境中，经营者常利用其与消费者之间的非均衡博弈关系擅自处理后者的个人信息，这不但侵害了消费者的人格利益，而且阻碍了个人信息资源的高效配置。我国为促使经营者尊重消费者对个人信息的排他性产权，应强制经营者在处理个人信息前履行征得消费者许可等义务，进而改变这种不均衡状态。而立法者为了优化规制效果，宜立足于商业伦理与网络治理等因素构筑的特殊国情并重点借鉴欧盟的成例，凭借作为公共选择的立法活动将前述义务予以明确化。但刚性的法律规范又会不当限制经营者与消费者的决策自由，并阻碍个人信息的有效利用，对此，我国还需要参照美欧做法对经营者义务规则的适用设定例外情形。
关键词：消费者个人信息;个人信息处理;电子商务;经营者义务规则
中图分类号：D923.8
文献标识码：A
文章编号：1673-8268（2015）03-0039-05
一、危机探源：由非均衡博弈引发的利益失衡
（一）电子商务环境下个人信息面临的利益诉求
在以网络化与数字化为基本特征的电子商务活动当中，消费者的个体特征能通过一定的数字或者符号得到体现，这些数字与符号即为“个人信息”（personal information），它们一般表现为网络用户名、密码、消费记录、信用状况、电子邮箱地址以及IP地址等。在黑格尔笔下，个人信息属于具有意志与精神属性的人格价值载体[1]。据此，中外理论界与立法界也已基本达成共识，确保消费者本人对个人信息的自主支配，这是在信息时代终极关怀其人格的基本方式。同时，在电子商务环境下，消费者个人信息也是具有经济价值的重要资源。因为按照联合国国际贸易程序简化工作组的定义，电子商务是供应商、销售商与消费者等主体通过网络手段共享商务信息从而完成交易的过程，而消费者个人信息是商务信息中重要的一类。在实践活动中，经营者通过收集、分析、传输等方式对消费者个人信息进行处理，能够获取更多的商情（如消费者层次、所在地域以及消费倾向），从而拓宽销路实现利润增长;同时个人信息可以被不同经营者共享，这有助于社会整体效率提高，其经济价值由此得到体现。
（二）利益冲突与失衡导引的危机
在电子商务活动中，经营者出于追求营业效益的固有偏好，往往倾向于不征得消费者同意而擅自处理其个人信息。而以网络供销者为代表的经营者在谈判力量与获取资讯能力等方面明显强于消费者，按照日本学者青木昌彦的阐述，经营者与消费者之间存在非均衡博弈（unbalanced game）关系[2]。因而消费者在没有强有力的保护制度可依靠的情况下，很难以自身力量对抗经营者恣意处理其个人信息的行为。仅以我国为例，近年来通过搜索引擎处理消费者个人信息的注册商业机构的数量逐渐增多，其中多数机构在处理个人信息之前，并未征得消费者同意甚至根本未向其告知，这引起了消费者的不满与排斥，中国互联网络信息中心（CNNIC）于2012年1月发布的第29次中国互联网络发展状况统计报告即反映了这一问题。
上述现象不仅使消费者的人格尊严与自由面临前所未有的威胁，还导致了经营者因侵权而获利的不公平结果出现从而违反了正常的商业伦理秩序。与此同时，人格利益遭受侵害的消费者不再愿意与经营者分享其个人信息，这又阻碍了我国网络经济的发展进程。加拿大麦克马斯特电子商务研究中心（MERC）的调查报告即显示，在2008年到2010年间，有6.5%的加拿大成年人有过个人信息被网络营销商非法接触的经历，这些人当中有 20%拒绝再向网络服务者与经营者继续提供其个人信息[3];前述CNNIC第29次报告显示，我国也存在类似问题。
二、危机应对的比较法经验：对经营者处理行为的制度约束
在新制度经济学视野中，消费者个人信息保护的危机根源于电子商务环境下经营者通过处理信息提高经营绩效与消费者维护自身人格这两种利益之间的冲突。而有效的制度安排能迫使这些主体改变其不良偏好，并促使他们在尊重彼此利益的前提下展开合作博弈[4]。据此，社会治理者化解危机最有效的途径在于，通过设计与实施相应制度约束经营者与消费者（尤其是处于较强地位的前者）的行为，从而为二者通过合作方式共享个人信息之上的利益创造条件，由此在二者之间实现利益双赢并完成帕累托改进。在比较法上，美国与欧盟为实现这一目标已构建了较成熟的制度。这些成例如被我国适当借鉴，将有利于国内立法者汲取舶来制度文明精髓，同时也能避免制度构建中无谓的重新探索与反复试错，从而提高制度供给的效率。
（一）美国：立法放任附带行业自律
根据美国学者托马斯·I·爱默生的主张，商事主体有权收集、利用与传播信息（包括消费者的个人信息——笔者注）从而实现自身的经营自由[5]。据此，该国立法者在制定具有强制执行力的正式制度时，对经营者处理个人信息的行为大多采取了较为放任的态度。譬如1974年隐私法案第一部分与2007年联邦信息自由法案b（6）均规定，仅公共机关（public organ）负有对公民信息隐私的尊重义务，非经本人许可不得探知或利用其个人信息。根据反面解释，作为私人机构（private organ）的经营者不承担此义务;又如该国1984 年《电缆通讯政策法》（Cable Communications Policy Act）规定电缆通讯公司为了正当的商业活动，有权获取与活动相关的用户个人信息，而无须经过用户本人同意;再如1991 年《电话消费者保护法》（Telephone Consumer Protection Act）规定电话直接营销商在不经消费者允许的情况下可以处理其个人信息。
该国为了约束经营者的处理行为，一般授权立法机关以外的行业组织（如网络营销行业协会等）向业内经营者提供自律规范，并由该组织要求经营者尊重客户的人格利益。行业自律规范并非由立法机关制定，因而不具有强制约束力，消费者在绝大多数情况下也不能依据此规范提请司法救济，因此它属于非正式制度。影响较大的行业自律规范有美国网络联盟（W3C）制定的网络营销者规范以及计算机从业资格认证机构（ICCP）颁行的计算机从业者规范等。 （二）欧盟：以立法强制约束
与美国不同的是，欧盟及其成员国大多由立法机关制定正式制度，对处理消费者个人信息的经营者课以必须强制遵守的义务。欧盟个人数据保护委员会于2000年2月3日通过的《电子商务中某些方面数据保护的第1/2000号意见》即要求，各成员国立法者与司法者对于在国内处理消费者个人数据的经营组织，应强令其履行通知消费者本人等义务。这一立场在欧盟及其主要成员国的立法文件中也得到了充分体现。根据欧盟指令第一章第2条（b）与第3条规定，经营者收集与传输消费者个人信息的行为受该指令中义务性规范的制约。而根据指令第二章规定，经营者在实施上述行为之前不仅应告知个人信息本人并征得其同意，还应采取
适当措施保持个人信息的完整与最新状态。为保证这些规范的有效性与强制力，指令第三章授权消费者在经营者违反前述义务时，通过司法救济途径追究经营者责任。这些内容还体现在了德国2003年联邦个人数据保护法第三编、法国2004年数据处理与个人自由法第四章和第五章、英国1998年数据保护法第三部分当中。
三、确立强制性的经营者义务规则：我国的必由路径
（一）由产权与制度绩效理论所推导
按照科斯的解说，对产权的清晰界定有利于消除资源交易中的障碍，进而提高资源利用效率[6]。而在电子商务实践中，经营者往往凭借其较之于消费者的优势地位擅自处理后者个人信息，从而为他们有序交易与高效利用个人信息这一资源设置了障碍。对此，社会治理者有必要清晰界定消费者支配其个人信息并排除经营者侵害的产权，有效地制约经营者任意处理个人信息、侵害消费者的人格利益，促使经营者以合作方式与消费者共享个人信息之上的利益，从而通过消除交易障碍改变双方非均衡博弈的状态，实现对信息资源的优化配置，以此促进电子商务活动的有序开展并提高网络经济模式下的社会整体绩效。
正如学者H·德姆塞茨所阐述的那样，正式的产权制度更能使权利人的利益受到强有力的保障。[7]从制度绩效的角度分析，作为正式制度的法律基于其权威性，能够为经营者划定明确的行为界限;同时法律通过禁止性话语更能制约经营者擅自处理个人信息的行为，从而为消费者人格利益保护提供稳定的预期。相比较而言，行业自律规范实质上只是经营者所在行业的自律组织向消费者提供的契约。客户在繁复的电子商务交易活动中，很难尽知自律规范的内容并据以寻求保护。加之该规范的颁行者具有非权威性且效力带有非强制性，从而难以对经营者形成有效的约束。同时，因为颁行自律规范的行业协会地位非中立（常偏向于经营者），且规范中的用语往往较为模糊，所以使得行业自律规范容易沦为引起交易双方利益失衡的“不完全契约”（incomplete contract）[8]。由此以William J·Clinton为代表的美国学者在如何保护该国网络消费者信息隐私的问题上，也开始怀疑行业自律规范的有效性[9]。
（二）商业伦理与互联网治理模式语境中的抉择
中美商业伦理的差异性决定了美国立法者放任经营者处理行为的做法不宜为我国所采取。在崇尚个体自由而较少受集体主义影响的美国，立法者为满足个体经营者的营业自由利益而不限制其任意处理个人信息或许是正当的。美国大法官本杰明·卡多索以及哈兰·斯通就提出过信息自由权是“母体”权利的观点，并认为该权利优先于人格权New York Times Co. v. Sullivan， 367 U.S.254， 726 （1964）; Hustler Magazine， Inc. v. Falwell， 485 U.S.46-47。
。
然而根据我国几千年来形成的商事文化传统，商事活动参与者在追求个体自由与利润的同时，更应注重对社会伦理规则的遵守。经营者在处理消费者个人信息时，不仅应关注自身经营效益，而且还应对消费者人格尊严予以终极关怀从而遵循社会伦理秩序，后者甚至处于更重要的地位;因为按照哈耶克对目的价值与工具价值的划分标准，人格尊严是人之为人的根本从而属于目的价值，它比作为工具价值的信息自由更应处于被“择优录用”的地位[10]。因此，我国立法者也有必要用禁止性规范约束电子商务经营者的行为，从而防止其任意处理个人信息、侵害消费者人格。
在我国特有的互联网治理模式下，对经营者处理个人信息行为的规制也应当主要由立法机关制定正式制度来完成。正因为此，历来坚持通过行业自律方式约束经营者处理个人信息行为的美国也开始转向颁行正式制度。譬如该国于2000年颁行的《儿童在线隐私保护法》（COPPA）就明确地规定了网络营销商为向儿童提供服务而收集与传输后者个人信息时，应当履行征得儿童父母同意和采取安全措施从而保障个人信息正确与完整等义务;当营销商违反上述义务时，将被处以罚款、被责令停止营业并向儿童及家长承当相应损害赔偿责任。
四、义务规则的创构与实施
（一）公共选择理论视野中的经营者义务规则
虽然我国2009年《中华人民共和国刑法修正案（七）》第253条对经营者擅自处理消费者个人信息的行为予以了禁止，但这并不足以维护后者
的人格利益。因为按照道格拉斯·诺斯与巴泽尔等学者阐发的国家理论，国家在通过立法这一公共选择活动调和利益集团之间的矛盾时，应当赋予较弱势集团（如消费者）对抗较强势集团（如经营者）不当行为（如擅自处理个人信息）的权利，藉此消除不同集团之间的力量差距对比并兼顾双方利益诉求，最终实现社会整体效益的优化[11]。而根据公私法划分原理，消费者面临经营者侵害其个人信息之上的私益时，不能直接依据作为公法的刑法向经营者主张停止侵害与赔偿损害等责任，因此立法者还需要在作为私法的民商事法律规范中设定经营者应履行的义务，并在经营者在处理个人信息中违反这些义务时，为消费者提请法律救济提供正式制度中的依据。具体地，电子商务活动中的经营者在处理个人信息时，应当向消费者履行以下义务。 第一，处理之前将有关情况告知消费者并征得其同意。正如美国学者威斯汀与米拉所认为的，维护主体人格利益的关键在于使其能决定自己的个人信息是否被传播[12]。消费者有权决定其个人信息是否以及如何被处理，这是人格保护理念在网络经济中的重要体现。在比较法上，德国联邦宪法法院为了督促本国公共机关履行这一义务，甚至于1983年在对人口普查案做出判决时，从尊重公民基本权利——信息自决权的高度阐释该义务的重要性[13]。而消费者作出决定的前提是其事先知悉个人信息将被经营者处理。但是在电子商务环境下，消费者掌握资讯的能力明显弱于经营者，前者往往无法查知其个人信息将被处理，从而难以通过合理决策来决定是否同意处理行为。因此，立法者有必要制定规则强令经营者向消费者告知其个人信息将被处理的相关情况，以此拓展消费者理性进而维权。一般而言，经营者在实施通过收集、利用与传输等手段处理个人信息行为之前，应在以下情况预先告知作为本人的消费者：处理人身份，被处理个人信息的范围，处理目的、方式、期限，消费者享有的权利，消费者不予协助后果以及纠纷处理的方式等。
第二，对处理中的个人信息采取安全保护措施，确保信息处于准确、完整、最新与秘密状态。正如欧盟数据保护工作组在《关于公共部门信息和私人数据保护的第3/99号意见》中阐述的，无论个人信息流转于何处，它始终归属于信息本人。即使消费者同意经营者处理其个人信息，前者仍然处于对个人信息的支配地位。经营者出于对这一地位的尊重，有义务采取合理措施防止个人信息被非法篡改与披露，并对过时的个人信息实时地更新，从而使作为信息本人的消费者免受不正当的评价。
第三，向消费者支付对价。依据学者卡尔·夏皮诺阐释的根据信息有价（information is valuable）原理，消费者个人信息在网络交易中具有经济价值[14]。立法者要求处理该信息的经营者向消费者支付与信息价值相当的费用（此即“对价”），就承认了消费者在生成个人信息时的付出，同时也使个人信息之上的利益被分配得更加合理。美国法院早在1907 Edison v. Edison Polyform Mfg Co.一案的判例中就确立了这一义务;而欧盟个人保护数据委员会在前述第1/2000号意见中也要求，各成员国立法者在维护客户的人格尊严的同时，还应当确保其对个人信息之上的财产利益得到承认与保护。
（二）规则适用的例外——为实现商事自由与信息流通
如果以上义务性规则过于绝对地被实施，又将阻碍电子商务活动的正常开展与个人信息的有效利用。一方面，根据经济人假说理论，在网络时代的商事活动中，不论消费者还是经营者都有足够的理性去独立取舍与处分自身的利益，因此二者完全有能力通过协商方式就个人信息如何处理的问题达成一致意见，国家不宜过度干涉[15]。如若司法者过于严格地执行前述义务性规则，将不当地限缩消费者与经营者自由决策的空间，这有违意思自治这一民商事活动的基本理念;另一方面，根据产权约束与激励功能原理，国家如果过于极端地令经营者承担前述义务（尤其是经过消费者同意后方能处理个人信息），将会对经营者合理利用与传输个人信息形成负激励，从而阻碍个人信息的自由流通，甚至妨碍这一在网络与信息时代的重要资源被优化配置。为了防止以上两种情况的出现，我国需要对以经营者义务规则的适用规定例外情形，具体地有以下二方面。
第一，经营者与消费者达成了相关协议的，前者可免于在处理个人信息前告知后者和征得其许可。这是意思自治的体现，毕竟消费者可以在和经营者自愿协商的基础上处分其对个人信息享有的利益;同时这一规定有利于提高个人信息处理以及商事营运的效率。因为在电子商务实践中，经营者往往需要反复处理个人信息，这一规定可以省去经营者每次处理前均需征得消费者同意的繁复流程。因此我国可以参照前述美国COPPA第10部分，规定当个人信息本人以及监护人事前与经营者达成协议的，后者可以在协议约定的时间与地域范围内径自处理个人信息，而不再履行告知与征得许可的义务。当然经营者可能滥用其优势地位，预先在此类协议中拟定对消费者不公平的条款并迫使后者接受。针对此我国可借鉴美国的安全港规制（safety harbor regulation）方式，要求经营者将类似的协议提交相关监管机构审查，该协议经确认未侵害消费者意思自由与人格利益后方生效[16]。
第二，经营者为满足特定利益而处理个人信息时，无须经过消费者同意。正如欧盟数据保护指令引言所阐述的，在价值指向上，个人信息利用和消费者权益之间存在着一定矛盾：前者允许经营机构合理处理与利用信息，后者则为了确保消费者人格不受侵害而反对他人任意实施前述行为。如若我国绝对地保护消费者，则势必阻碍信息合理的处理与利用，进而产生阻碍信息公平的数字鸿沟。由此，我国立法者与司法者需要借鉴欧盟指令第二章以及德国联邦个人数据保护法第三编等经验，为经营者适当留出自由空间，从而激励其为满足（相对于消费者人格利益而言）更大的利益而处理个人信息。
参考文献
[1]HEGEL G W.Philosophy of Right[M].DYDE S W.Ontario：Batoche Books Kitchcener，2001：42-46.
[2]青木昌彦.经济体制的比较制度分析[M].北京：中国发展出版社，1999：264.
[3]SUSAN SPR OULE，NOR M AR CHER. Measuring Identity TheftinCanada：20082010 Consumer Survey-WorkingPaper[EB/OL].（2008-12-27）[2014-02-13].http：//www.merc -mcmaster.ca/ working -papers/ measuring -identity-theft-in-canada-2008-consumer-survey/. [4]柯武刚，史曼飞.制度经济学——社会秩序与公共政策[M].北京：商务印书馆，2000：56.
[5]WHITEMAN J Q.The Two Western Culture of Privacy：Dignity versus Liberty[J].The Yale L.J.2004，113（1161）.
[6]R·科斯.企业、市场与法律[M].盛洪，陈郁，译.上海：上海三联书店，1990：92.
[7]H·德姆塞茨.关于产权的理论[G]//R·科斯.财产权利与制度变迁——产权学派与新制度学派译文集.上海：上海三联书店，1991：98.
[8]MATCH J G，OLEN J P.Rediscovering Institutions：The Organization Basis of Politics[M].London：The Free Press，1989：178.
[9]CLINTON W J.Framework for Global Economic Commerce[M]//张平.网络法律评论：第1卷.北京：北京大学出版社，2001：65.
[10]哈耶克.法律、立法与自由[M].邓正来，译.北京：中国大百科全书出版社，2000：8-9.
[11]道格拉斯·诺斯.制度、制度变迁与经济绩效[M].杭行，译.上海：上海三联书店，1994：71.
[12]刘迪.现代西方新闻法制概述[M].北京：中国法制出版社，1998：119.
[13]LIEDTKE.Bundesdatenschutzgesetz：Eine Fallstudie zum[M].Muenchen：Gesetzgebungs Prozess，1980：321.
[14]卡尔·夏皮诺.信息规则：网络经济的策略指导[M].张帆，译.北京：中国人民大学出版社，2000：17.
[15]李瑞缘.我国金融消费者隐私权保护机制的制度构建——以个人隐私和信息保护为视角[J].重庆邮电大学学报：社会科学版，2014（1）：38-44.
[16]GORDON H R.Right of Property in Name，Likeness，Personality and History[J].Northwestern University Law Review（19601961），2004（55）：553-559.
Crisis and Settlement of Consumers’Personal
Information Protection in Settings of Electronic Commerce：
Mainly in View of New Institutional Economics Study
ZHANG Juan，LI Yi
（Chongqing Three Gorges University， Chongqing 404100， China）
Abstract：
In settings of electronic commerce， proprietors possess consumers’ personal information at their own will by way of unbalanced game with consumers， by which consumers’ personality is infringed and the maximized utilization of personal information resource is hindered. Proprietors should be obliged to ask for consumers’ authorization while processing compulsorily， so that they will be forced to cooperative with consumers in an equal way and protect consumers’ rights on personal information. And in order to maximize the effect of regulation and in the view of the legislation from EU， Chinese legislators should lay out above-mentioned obligatory rules in the statutes on the domestic background of commercial ethnics and network regulation. And in order to cope with the excessive forcible effect of statues， exemption clauses should also be set so as to protect the free will of proprietors as well as consumers and enhance the utilization of personal information.
Key words：
consumers’ personal information; processing of personal information; electronic commerce; operator’s rules of obligation
（编辑：刘仲秋）