个人信息匿名化主体法律义务与民事法律责任研究.pdf

摘 要 个人信息的匿名化可概括为将个人信息通过掩盖、去除、假名化等个人信息 的技术处理，让信息难以再识别出特定的个人，降低自然人个人信息权益被侵犯 的风险。个人信息匿名化主体的法律义务与民事责任指为最小化隐私风险，法律 规定信息控制者或者受委托处理者在对个人信息进行匿名化处理时应当承担的义 务，违反该义务时可能承担的民事责任。对个人信息匿名化主体的法律义务与责 任内容的研究与完善，有利于进一步发挥个人信息的匿名化在我国信息产业发展 中的重要作用。纵观国内外实践，要发挥个人信息匿名化的最大效用还存在许多 困境。一方面，我国匿名化强调的绝对无法再识别与再还原法律标准过高。技术 上达完美的匿名化水平十分困难，如此之高法律标准与匿名信息存在被再识别可 能的实际情况不相适应；另一方面，有关个人信息保护的法律法规不能规制经过 匿名化处理所得的匿名信息，但事实是任何匿名信息都是存在别再识别的剩余风 险，应当存在相应法律规制其隐私风险。 针对上述困境，从风险收益理论、社会成本控制理论、权利义务相一致的角 度分析，在重塑我国匿名化法律标准的基础上，通过对匿名化主体课以一定的法 律义务以最小化个人信息匿名化中存在的再识别风险是目前较为有效的方法。理 论分析中，不仅在个人信息保护、信息有效流通、司法审判实践三方面都体现了 匿名化主体法律义务设定的必要性，而且从法律义务设定原因的理论—— “集体 理性选择结果”分析，也佐证了个人信息匿名化主体法律义务设定的合理可行性， 且是承担法律责任的主要理由。因为匿名化主体与个人信息主体之间存在需求偏 好的冲突，法律义务的设定可以平衡二者偏好冲突，避免同归于尽。在此基础上， 以法律义务来源 “不得侵害他人”作为集体理性选择的共识基础，论证得出赋予 匿名化主体相应的法律义务较为合理。 具体而言，在论证设定法律义务存在必要性与可行性的基础上，对目前我国 匿名化主体法律义务与责任立法进行评析。法律义务方面，立法缺失、规范混乱、 效力低、针对性低；民事法律责任方面，违约责任与侵权责任的适用都存在一定 局限性。针对存在的问题，建议未来我国个人信息匿名化法律义务与民事责任价 值取向应为在优先保护公共利益的前提下，尽可能实现个人信息保护与信息有效 流通之价值衡平。立法模式的选择应注意单独立法与统一立法模式的优势互补， 将匿名化内涵、法律标准及法律地位写入我国未来的个人信息保护法，并出台具 I 有强制性法律效力的 《个人信息匿名化规范》具体规定匿名化主体法律义务，做 到顶层定义、整体关联、具体可操作。法律义务的内容应有：匿名化处理义务、 禁止再识别义务、信息删除义务、披露义务、审查义务。可能承担的民事责任包 括侵权责任和违约责任。侵权责任由传统的四要件构成，责任形式包括我国 《侵 权责任法》第15条规定中，除返还财产外其他七种责任形式。违约责任构成的原 因是当个人信息以其财产属性成为合同的标的物，被市场要素化之后，理所应当 可以通过合同法的责任形式对其予以保护，而且匿名化主法律义务的具体内容要 求要与个人信息主体以合同形式明确，即写入用户协议，因此可能引起违约责任。 责任形式应当包括停止违约行为、消除影响、恢复名誉、赔礼道歉、赔偿损失等 形式，注重侵权与违约责任形式的互补。 【关键词】匿名化 匿名化主体 再识别 法律义务 民事责任承担 II Abstract The anonymization of personal information can be summarized as the technical processing ofpersonal information, such asconcealing,removing andpseudonymizing, which makes it difficult to identify specific individuals and reduces the risk of infringement of personal information rights and interests of natural persons. The legal obligation and civil liability of the subject of