人大法学院未来法治研究院网络法第二次读书会于2017年9月27日在中国人民大学明法楼601室举行。与会人员围绕Vera Bergelson教授所著It's Personal but Is It Mine?Toward Property Rights in Personal Information和Paul M. Schwartz 与Karl-Nikolaus Peifer两位教授合写的Prosser's Privacy and the German Right of Personality: Are Four Privacy Torts Better than One Unitary Concept?两篇论文进行了主题报告和讨论。以下是整理的部分会议发言：

主持人熊丙万助理教授：各位朋友，晚上好！我们在第一次读书会中着重讨论了莱斯格的文献，特别是就网络法到底是否足以构成一个特殊的问题领域，是否有必要予以专门系统的关注进行了讨论。关于这个问题，上一次的讨论有分歧、也有共识。有共识的是，网络以及与网络相关的技术正在对我们的社会生活和交往方式带来重大变化，有必要予以特别的重视和关注。无论是在传统的法律知识和学说框架下来讨论这些问题，还是另起炉灶、换一种框架来重新认识和思考法律，我们都有必要积极的拥抱技术，主动地认识技术在社会组织中的角色、优势和风险，包括发掘和发挥网络等技术本身的社会治理功能。

我们今天进入一个具体的语境，即隐私、个人信息或者数据，通过对这一具体问题的文献阅读和讨论，来进一步认识网络法。在主题阅读报告之前，首先请本读书会的主要发起人晓东教授对本次的文献选取和后续的相关阅读文献做一下介绍。然后是两位朋友的阅读报告，一位报告人是人民大学法学院的邓矜婷副教授；另一位是法学院的硕士研究生钱坤同学。中间休息十分钟，接着进入下半场。在下半场，大家一起围绕今天的文献和社会现实问题展开讨论。希望大家积极分享这方面的阅读体验。下面请晓东老师介绍书目。

丁晓东副教授：今天的报告人是邓老师和钱坤同学，第一个主题就是个人信息或个人数据保护，这个问题非常复杂，涉及到各种方面，涉及到保护进路，涉及到如何保护隐私，涉及到公法与私法之间的交叉问题。我们从上百篇的隐私文献中选取了一些文献，组织了这个主题下的三次读书会。整个的思路是，第一次读书会是一个比较的视野，比较德国和美国，还涉及到隐私是作为财产权还是人格权的保护；第二次读书会是大数据时代的到来对隐私保护的影响；第三次是综合性原理的思考，我们也有很多案例。这些原理和案例是息息相关的。比如微信和华为之争。如果把隐私看做消极的权利，那么在平台收集信息和运算的过程中，我们作为权利人是很难说有人干扰到我们权利的行使。如果是给予积极的保护，那么别人对你的信息的掌握就是对你的打扰。如果把信息看做财产权，转让的时候就涉及到个人利益。如果是把信息看做人格权，这个问题就更为复杂了。今天，我们主要是看个人隐私保护和企业对隐私的利用之间的紧张关系。我们上次读书会主题较为宽泛，来了很多人，这次这么具体的问题还来了这么多同学和老师，很感动，谢谢大家!

熊丙万助理教授：谢谢丁老师的介绍。下面请钱坤同学分享第一篇文献的阅读体会。

主题报告

钱坤：大家好，我是宪法学和行政法专业的硕士钱坤，针对It's Personal but Is It Mine?Toward Property Rights in Personal Information做一个报告，希望大家多多批评指正。

这篇文章的主命题非常明确，即“为了保护隐私，个人必须透过成为信息的所有者，加强对个人信息的控制”，文章在呼吁一种对于个人信息的财产法的理解，这是有学术脉络可承的，之前1999年的莱斯格与之后2004年的Schwartz及至于最近的讨论。文章的背景也非常清晰，技术的发展使得信息的记录、储存与操作变得非常容易，信息出现了商品化的趋势，并进而形成了信息市场。文章用“secondary market”来形容这个市场，是因为除了初始的信息收集者，secondary collector在此市场中扮演非常重要之角色。在这样的链条下，个人的隐私受到严峻威胁，这是文章的背景。

那么，是何种程度的威胁呢？文章指明有二，其一是个人无力阻止未经授权的信息的传播，其二是个人被排除出个人信息商业流转的进程。这是我们理解文章关键所在。

基于这样的认识，文章有几个部分，第一部分，信息是如何被操作的。第二部分，现行法对个人信息的保护。第三部分，个人信息领域扩张权利会不会于宪法有违（美国宪法）。第四部分和第五部分提出了文章论证的两个核心命题，即其一，为何用财产权的保护方式是最适宜规制个人信息的？其二，为何在财产权范式下，相较于数据收集者，个人拥有更强的道德主张，第六部分介绍了社会公益、个人、数据收集者利益协调问题，第七部分是实践中的相关法律议题。

前两个部分是一种描述。个人信息的商业运用在当时社会情势中已非常普遍，而联邦缺乏统一立法，州层面的立法聚焦于产业规制，也是一种分散式的立法。制定法的层面更加关注个人同意的机制，对个人信息保护不力。普通法整体上应对乏力，案例较少，理论基础薄弱，法院甚至明言个人信息保护寄望于制定法保护。同时，美国还面临国际上个人信息保护的压力，主要面临来自欧洲的压力。

现状描述完之后，文章的第三部分处理的是隐私保护和数据自由流动的矛盾问题，具体在本文是言论自由的命题，而这是一个非常美国法的问题。当然，这种矛盾某种意义上也是一种非常刻板的美国法的理解，因为在言论自由丰富的理论体系里，商业言论的部分是允许正当化限制的。作者首先考量了将个人信息作为商业言论限制是有可行性的，然后核心论证是在如果限制是正当的，那么其实并无违反宪法的风险，比如限制具有实质甚至紧迫的政府利益，手段目的关联适当，限制措施必要等等，这是一种非常类似公法中比例原则的思考方式。这当然是一个非常美国法的问题，在我国可能就不会这么提问与论证。在经过了第一修正案的考验之后，就面临着怎样系统回应个人信息带来的隐私风险问题了。

所以，第四部分探究，究竟如何理解隐私较为合宜。这不仅是一个隐私何以重要，何以必要的问题，因为隐私背后的法理与个人信息保护的具体规则和保护模式是高度相关的。作者提供了两种对于隐私的理解方式，第一种隐私作为秘密的范式，第二种隐私是作为控制的范式。

第一种范式源头可以追溯到，1890年Warren与Brandeis借助personality的概念发展的“the right to be let alone”。不过，作者提供了非常强势的回应，她认为最近这些年，私密的模式已经不能适应社会的发展。即便是在当时（2003年前后）在人与人的交往中，将个人信息置于他人之手也是非常普遍的现象，这是当时的社会经济情势所决定的，抱持一种秘密的观念与当时的社会情势不符合。

第二种，隐私作为控制的观念，在1960年代Westin的Privacy and Freedom一书中已经有很全面的论述。这种控制观赋予个人权利以何种形式对隐私进行交换。不过有趣的是，就如邓老师一会要报告的比较法的论文，作为财产的隐私与作为人格的隐私看似不同，但一定意义上都会以人格为观念去支持控制的主张，表面上看，我们在人格权和财产权中发现了某种冲突的时候，但却发现论证的基础某些程度上是共享的。不过，这样一种作为控制的观念，也广受批评，被认为忽视了个人信息的社会维度，也忽略了政府在个人信息保护的作用。此外，一个很现实的问题，个人如此强势的自我决定模式，在实效层面出现很多质疑，这也是这几年美国法上文献着重反思的部分。

第四部分，就涉及到对当时美国的现行法的一个梳理工作。作者要回答，为何采财产法而不采侵权法的保护模式。作者有两个主要论点，第一个是对既有法的一个梳理，对财产法和侵权法的保护范围作了澄清，第二个是法律经济学里卡梅框架的分析。

首先，从财产法的角度，当时对个人信息的处理主要是“野生动物理论”，谁捕获，就归谁，所以导向的结果就是收集者对于数据享有财产权。从侵权法的维度，如邓老师之后要报告的，侵权法在Prosser教授之后采取了四类型的模式，作者就其中比较关涉的三者拿出来分析，发现侵入私密、揭露隐私与滥用姓名等三种模式都难以涵盖个人信息的保护，其分别在秘密的观念、理性预期以及专有利益的价值问题上均有障碍。由此观之，侵权法不能提供一贯的、可操作的框架，那么能否做适度扩张呢？作者基于自愿同意披露，以及理性预期概念的不确定以及专有利益不必以侵权法为第一位阶的保护规则，否定了侵权法路径扩张的可能。

之后运用卡梅框架对保护模式的选择做了分析。卡梅框架在法律经济学研究中具有非常重要的意义，Calabresi和Melamed就财产规则、责任规则（也有学者译作补偿规则）与禁易规则的划分非常具有启发性。自愿交易、合意定价的财产规则一般被认为最具效率，国家干预最小，他人改变权利（entitlement 有译作法授权利，也有译作应配份）的初始分配，并由第三方定价的责任规则则是国家干预更进一步的体现，而禁止特定权利交易的禁易规则则是干预最强的。三者除了在国家干预程度上成梯度排列，其背后的道理还有链条，即当财产规则之调整可能因为交易成本过高而不效率的时候，责任规则应当出场，当然出场的情形也不限于不效率，也可能基于其他分配目标与偏好的考量，采用责任规则或禁易规则。

作者基于卡梅框架大概讲了三层意思，第一层意思，一般而言财产规则最具效率，虽然有人认为财产规则在这里可能交易成本较高，但是责任规则下的侵权法保护是个案保护，个案中受害人证明损害发生，成本也非常高，会导向不效率。第二层意思，是从功利主义和自由主义的伤害原则的观点结合起来分析的， 大意即财产规则的不效率并没给社会公众或者特定个人带来显著的伤害，毋宁是一种为了众人的自由的必须容忍的牺牲，所以有一些不效率是没问题的。第三层意思是认为采取责任规则有一定的不协调，因为一方面承认了个人信息的流通属性，并赋予了初始权利但另一方面又允许他人决定权利的流通与定价。

解决了第四部分的核心命题之一，作者就在第五部分就个人为何就个人信息享有更强的道德主张这一核心命题，基于四个理由展开了论证。

首先就是洛克的劳动财产理论，因为一般认为，基于劳动应得的观点，洛克的理论会导向收集者享有财产权利，但是作者以洛克驳洛克，认为个人信息是先有所属的，并不符合劳动应得的范围。

其次，是功利主义的观点，作者主要透过反驳Posner完成自己的论证。实证层面，当时的法律将财产利益分配给收集者造成了严重的不效率，个人投入了大量成本用于防范隐私侵害，这在理论层面体现为外部性问题，而企业在信息挖掘与隐私保护技术上的投入不均也是不效率的体现。此外，从长期效率来看，缺乏隐私保护的社会对于人际关系建构等都是不效率的。而对应外部性的解决方案就是透过重新分配财产权完成外部性的内部化。

第三个理由是Hegel-Radin脉络中的人格财产的理论，大意即个人的自我发展，人格的维护需要控制外部资源，这在法律制度上要透过财产权制度完成。财产制度体现的是人与物的关系，基于人与物的联系，物或财产可以相应的分为与人紧密联系的，附着有人格利益的物或财产，以及与人格没有紧密联系的可以替代的财产。前者因为附着有人格利益，在救济上显然区分于后者，仅以等价赔偿即可满足的救济模式。个人信息显属前者。当然，Hegel-Radin的脉络会导向个人信息的禁止交易，所以作者基于Radin与现实情况，又做了缓和，承认了有限交易性。

第四个理由则是基于敲诈信理论，大意即在证明，即便收集者可以分享个人信息中的财产利益，在个人信息拥有者面前也应属较低位阶。

至于此，文章的基本论证完成。之后的部分主要在也已完成的归属于个人的财产权模型基础上，做一些和缓的工作。比如承认个人信息区别于传统财产权，因此在存续时间、基于公共利益的使用、基于数据收集者利益的使用方面应该充分协调各方利益。具体的制度，钱坤在这里就不报告了，基本上是在财产权模型基础上做的和缓化的修正工作。

最后，我提三个问题，请大家帮助解答疑惑。第一，在我看来，文章的支柱是建立在卡梅框架的基础上的，但是卡梅框架里的财产规则、责任规则真的和这里的财产法保护与侵权法保护一一对应么？这一方面是卡梅框架自身的问题，一方面也是本文的问题。第二，财产规则和责任规则交易成本问题在这里似乎难以比较，尤其是其他分配目标，比如隐私保护与自由这种分配目标在规则选择中扮演了很重要的角色，Calabresi与Melamed在“大教堂”一文中留下了空间，但作者这里显然也没有讲明白。第三，且不论人与人之间对个人信息的价值认定不同，这也涉及到之后Schwartz谈到的弹性问题，如果个人信息在数据收集者手中与在个人手中的经济价值就差异很大，那么如何指望财产规则进行有效交易呢？

熊丙万老师：谢谢钱坤的细致阅读和分享，刚刚的报告很全面、精要。这里简要补充几点相关阅读体验。一是关于本文所说的“个人信息”的界定问题。本文所讨论的个人信息，主要是指那种可识别个人身份的信息，identifiable personalinformation。这一点比较重要，但也是一个比较模糊的问题。因为，导读什么样的信息构成可以识别身份的信息，存在一些难题。例如，法学院图书馆的公共电脑，使用人员高度流动，单纯地网页浏览，通常不容易与某个人联系起来。但如果是家用电脑，以cookie技术为例，无论是一位女性曾搜索过关于避孕、堕胎的信息，还是一位男性搜索过关于红灯区或者类似方面的信息，下一次跳出来的广告都可能被夫妻另一方或者情侣所看到，并因此引起怀疑和纷争。那么，这究竟算不算identifiable的个人信息呢？

二是关于刚刚钱坤提到的财产权机制或者侵权机制可能造成的负外部性差异。如果采用财产权机制，那么信息归属个人所有，未经允许不得使用，商家也就不能随便发垃圾信息了；但如果采用侵权法机制，则个人信息就归信息收集者所有。收集者不仅可以收集，还可以转卖。文献中讨论了很多关于侵权责任机制的负外部性。但除了blackmail那一点之外，还有一点值得特别重视，就是文献里专门提到的垃圾广告信息问题。文献说，泛滥的垃圾广告信息不仅没有起到广告的作用，而且还给分散的个人造成了巨大的生活负担，是一项重大的社会负外部效应，需要予以特别重视。

三是关于文献所建议的财产权模式的限度问题。文献说将个人信息以财产权的模式进行保护能更好地保护个人信息，但文章也同时说这样的财产权需要接受来自多个方面的限制。第一个是财产权的存续时间限制，对个人信息的保护仅仅限于个人有生之年，与知识产权的规则要区分。第二个可以限制的理由是，个人信息的首次收集者可以对个人信息进行一定程度的处理和利用，但并不能随意出售。第三个限制是公共媒体，基于公共需要进行的使用。

四是文献中提到的强制缔约义务问题。文章建议采用财产机制，意味着使用网络的个人可以拒绝网络服务商在有限合理使用空间之外要求个人同意使用其信息。即便个人不同意，网络服务提供商也不能拒绝提供网络服务，负有强制缔约义务。这个说法的背后就是把网络视为一种公共基础设施，不能限制网络公众的使用。至少，作者认为那些具有公共设施属性的网络服务商应当是这样的。例如，腾讯、淘宝、百度等电商网络或者几大门户网站。

总体上看，这篇文章的讨论是在一个相对抽象的层面展开的。

第二篇文献则在风格上存在比较大的差异，涉及两个具体案子，分别发生在美国和德国。案情相似，即作者在自传作品中公开了与自己伴侣相关的性生活信息，且都是对伴侣的负面评价。但是，德国法院和美国法院做出了大相径庭的判决。这些判决分歧的背后，反映的不仅仅是隐私权制度体系的差异，而且还有国家法律文化和社会文化的差异。文章希望通过对美国和德国的比较，对不同隐私权制度体系的优劣做一次系统的比较。这是我大概的概括。下面请邓矜婷老师做报告。

邓矜婷副教授：大家好，我来给大家介绍第二篇文章。总的来说，这篇文章总结了10年以前美国和德国的隐私保护体系。题目：到底是美国四类隐私保护侵权保护体系更好还是德国的整体的保护体系更好呢？

到底是美国区分为四类的，中等抽象意义的保护体系好呢？还是说从最抽象的层次，先解释隐私，由此延伸出整体性的隐私保护体系更好？文章的答案是没有更好，而是适合。通过典型的比较法分析路径，从两个类似的隐私侵犯案件在美国、德国得到完全不同的判决结果出来，以解释不同结果为目的展开分析，最终得到是美德两套不同的隐私保护体系导致这种差异的结果，即在涉及对高度个人私密信息的侵犯案件中，美国采取的是利益平衡分析，且与隐私相对抗的是宪法第一修正案的言论自由和公众知晓的权利，而德国在这一领域不进行平衡分析，只要认定该侵犯对高度个人私密信息有显著影响，则否定侵犯，救济隐私。进一步讲，在美国，个人隐私是受各州侵权法的保护，私法保护，而在德国个人隐私受到其基本法的一般人格权的保护。

这也回应了钱坤所报告文章谈到的问题。根据美国这四类隐私权的规定，其中三类没有办法回应出现在垄断法中的个人信息保护。如果用德国同一人格权概念，可以进一步进行解释，所以可以在侵权法的体系内进行解决数据隐私利益的问题。

美国用了典型的功能主义的分析。这四类侵权能够被吸收，变成制定法，因为它适应了美国对这四个信息的态度。美国国土面积比较大，人也比较多，跟德国相比，人与人之间的关系更加混乱（原文如此形容），无法再这里面找到一个共性。

在1890年的时候，Warren教授就提出了要在财产权之外要有一种权利来保护个人信息，反映人的尊严和主体性。侵权法在美国的地位没有上升到宪法，所以对抗的是已经上升到宪法层面的言论自由。

在德国，二战之前已经有了个人权这个概念，但是希特勒强调的是民族意义上的个人权，是可以剥夺的，就是非我族类的人没有人格权，如果你对不同种族的人好的话，你就侵犯了自己的人格权。所以德国宪法规定集体不可侵犯个人的人格权。

所以在美国，没有办法用德国这一套保护制度。因为对于人格的概念，两国不能达成根本的认识。对人格权进行定义的时候，沃伦已经提出了这个问题。但是美国实务届和司法界也无法达成一致意见。Warren做了很多努力，发表了很多文章，来坚持自己的观点。德国宪法法院发展出来的人格权的定义很像美国的。但是，Prosser教授放弃了人格权的统一定义，他对当前几百个司法案件进行了类型化，提取出四大类在实践中对隐私侵犯的案件，但是他们是相互联系的，但是却不紧密的。

然后论述了美德不同的隐私保护导致了这种结果的不同，在此基础上，该文尝试分析美德这种不同的隐私保护是如何形成的。第一，认为是四类侵权构成的保护体系与单一概念延伸出的整体保护体系造成的。Prosser教授在Warren和Brandies教授的基础上提出的四类侵权。布鲁斯旦。单一概念的优越性(产生更多更全的隐私利益，更能得到更强的法律保护，失去了作为人格的根本性的意义，主体性)第二，虽然单一体系更优越，但是无法适应美国。该文由此反驳了其他多位教授对于Prosser教授的批判，从美国的文化制度特点，结合历史发展的过程，论述了正是Prosser教授的四类侵权的隐私保护适应了美国的这些特点，才能被广为接受，进而推动而不是阻碍了美国隐私保护体系的发展。由此也回答了文章题目的问题，即没有更好，只有适合。这也是一种典型的比较法分析方法，即功能分析法根据案例整理出四类案件情况：第一个典型的代表是偷窥；第二个典型的代表公开私密信息；第三类是传播谣言；第四类利用名字进行牟利，叫做公开权。这个和财产性利益很相关。延展到今天，比如猫王、杰克逊，他们的后人仍然可以通过授权使用他们的照片，并且可以每年从中获利几亿美金。而且进行这项规定的法律具有溯及既往的效力，出台之前出现的名人的权利后人仍然可以使用。

另一方面，在数据产业当中不断产生出新出现的利益，如果没有美国规定的这四种，就没有办法受到侵权法的保护。但是如果用布鲁斯教授的理论，则可以通过衍生出来的新的权利来进行讨论。这是一篇典型的比较法的案例，相似的案例得到不同的结果，并以不同的结果进行保护。从而进一步分析，从历史、文化、制度的特点进行解释。虽然是不同的保护体系，但是在各自国家发挥了相同的功能。

回归到文章的题目，文章的主旨是没有更好，只有适合。更针对这个文章的讨论。包括名誉、荣誉、隐私领域的隐私性主体性等，对于我们今天，我们出现的新形态的利益，二次转卖、信息收集者等。对于第一篇文章这两种范式，他都是支持的。作者既支持自主决定权，也支持支配权。我们讲的新型的利益属于这里面吗？

此外，文章还讲到个人同意的有效性。包括这篇文章也讲了到在自媒体时代，一个人参加真人秀之前会签订同意书，在这个过程中会暴露自己的隐私。那么参加人员的同意到底是否有效？是否可以在参加之后做出同意？

大数据时代同意的有效性基础更加薄弱，我们是否还能放在侵权里面讨论。今天隐私已经财产化了很多。隐私本身没有利益，但是数据经过很多处理就变得有利益了。真的将隐私转化为财产权就可以降低交易成本吗？

很多搞隐私保护的学者，都不愿意把隐私财产化。因为很多人认为隐私没有体现主体性，人格尊严。再者，回应到上次的讨论会，张翔老师讲到传统的法律提示，提出的疑问是“是否我们现在的法律前进一步就可以解决所有的问题？”美国和德国的比较法就是很典型的隐私保护体系，是不是走一步就可以保护新出现的网络利益，还是要走多步。这就进一步涉及到网络法的特殊性。回归到上一周的议题，网络法是不是应当成为独立学科的问题？而且上周给出的标准是什么时候具有颠覆性？标准就是人不是主体了。

人格权的缺失实际上是人主体性的丧失。这主要是在虚拟网络当中。而且本身意义上，我们的选择是物质社会提供给我们的选项，所以我们究竟是不是有选择的呢？

网络法的独立性在于，每个地方都弥漫着网络，它所调整的法律关系和性质发生变之后，这显然是已经走了很多步，所以需要原则性的问题。人已经被人工智能所取代。上周，大家争论了对Code is law 的理解，就是“代码是法律”到底怎么理解。许可老师讲到Code is law是以代码的形式呈现的法律。大部分人都否决了这个看法。现在看来，如果代码的阅读者已经不是人了，那么法律的执行是谁呢？人工智能方面，如果执法和司法层面已经智能化的时候，那么法律的执行主体、实施者又是谁？

代码是法律的理解是代码具有了法律具有的特征。大胆讲一句，代码是法律在一定程度上体现了修宪的感觉。包括我们刚刚讲到的隐私利益，到底是什么样的程序，确定隐私利益。

我的表述略显混乱。谢谢大家！

熊丙万：谢谢邓老师，很详细、深入的报告。我在稍微补充两点细节，也可能是比较重要的细节。一个，这两篇文献都谈到了隐私在性质上的重大历史变迁。从1890年的布兰代斯的文章，到1960年Prosser的文章，再到21世纪大数据时代的到来，隐私的含义发生了结构性变化。早期所说的隐私，主要强调的是一种私人生活的安宁和私密性，即privacy as secrecy。不过，在网络数据时代，人们一方面继续对大量信息持有生活安宁和私密性方面的关切，例如，刚刚说的堕胎、避孕产品或者服务信息；但另一方面，个人之所以对与自己相关的信息很在乎，不愿意让他人搜集和利用，特别是转卖之后用于一系列的后续利用活动，主要是因为，个人内心深处希望能够实现对信息的控制，而不是为了安宁和私密，即privacy as control。用不少网民的简单疑问来说：我的信息，凭什么给你用？这也是个人信息呈现出经典财产属性的一大原因。有一篇文献里打了一个比方，来说明这一点，即抛弃和丢失的区别，abandoned和lost的区别。一位女生把前男友送的戒指直接扔到垃圾桶，以消除情感负担，开启新生活。这叫抛弃。但另一位女生把前男友送的戒指不小心落在了咖啡厅，并没想抛弃，毕竟，可能还是初恋最好。她把戒指丢在了咖啡厅的桌子上，但并不等于她就送给了咖啡厅。类似地，一个人上一个网站，输入了自己的个人信息，目的是希望完成一项交往活动，但并没有把信息免费送给网络提供者使用的意思，并没有抛弃。

另一个细节是两个案件的案情，美国的案子中，原告或者说很受伤那位是一个性欲望十分强烈，且时常带有强迫女友发生关系的意思，至少被告即作者是这么说的。在美国，这个受害人败诉了。而德国的案子，原告或者很受伤的那位，是女性一方，结果胜诉了。但我在想，如果这两位当事人互换，男的受害人在德国，女的受害人在美国，两国法院的判决有可能对调么？这是一个十分值得进一步捉摸的细节。

好啦，接下来休息十分钟，然后讨论。

自由讨论

熊丙万助理教授：欢迎回来！谢谢两位报告人在上半场的分享。现在，请各位紧密结合文献展开讨论

丁晓东副教授：第一篇文章提到缺乏统一性的保护会存在问题，在一个国家内部可能不存在统一的保护，在不同的国家更会如此。比如欧洲的保护标准非常高，美国各个州的保护标准都不一样。到底需要不需要统一的保护标准？

第二个，隐私保护有两种，1890年是消极保护，到1960年是相对积极的保护。相对而言，哪种更能够贴近合理的隐私保护，会不会存在合适的保护标准呢？网络社会兴起之后，如果只设定消极的保护标准，可能不会存在侵扰。如果定义为积极的保护，那会不会赋予个人的权利保护过宽呢？

比如钱坤在这里发言，大家都看到了他的长相。可是钱坤不想让大家记住自己的长相，那可不可以要求别人遗忘他，行使对自己信息的积极控制呢？这里面有合理性的问题。

第三个问题，就是人格权和财产权的问题。人格权有财产利益，但是很多时候还是有很多问题。我记得湖北还是哪些地方，有个人去世，法院查封了他的手机，而且法院认为自己可以查看里面的信息。但是从人格权的角度，则可能出现法官在查找的过程中侵犯个人的隐私的问题？

当边界不清楚的时候，我们背后的理论基础到底建立在隐私权基础上还是人格权基础上，这个很重要。

熊丙万助理教授：的确，网络的出现给新型的以控制为目标的隐私权问题，privacy as control，带来了很大的挑战。不过，即便是对传统的隐私权，privacy as secrecy，挑战也很大。例如，重庆一位前高官雷某富的案子中涉及很多床照。今天在百度上一搜雷某富三个字，就会有大量床照图片出来。不管雷某富本人是否还关系这些照片，但如果有一天，雷某富的孙子上学去，有同学调侃他说：嘿，小伙子，你爷爷身体不错啊！那么，他是否可以要求传播者删除他爷爷的信息呢？

好了，下面请蔡克蒙律师发表高见。克蒙和我在美国读硕士时是同班同学哈佛法学院的硕士，目前在大成律师事务所，专门从事与网络数据、隐私政策相关的执业工作，包括给大型企业和国家机关提供咨询、意见和规则设计。

蔡克蒙律师：谢谢各位老师，即兴发言。我之前大概14年左右开始做数据保护，网络安全法出台前后还涉及了网络安全法的合规领域的实务工作。第一，隐私和个人信息是什么关系？理论界和实务届都有不同的解答。其实民法总则在这里留了一个open question，没有说明个人信息与侵权法中的隐私是什么关系。本身个人信息本身的范围就不明确。而且文章中的识别说在实践中存在很多争议。比如大量互联网企业都收集手机设备号（IMEI号），以此匹配个人的行为或特征信息，但是网络运营者可能无法对应到自然人，或者结合大量其他的数据能够识别出具体的个人，但对于电信运营商而言，这些信息又可能可以识别到个人。网络安全法作为实定法就采取的是识别标准，但这在实践中是非常有弹性的。是否可识别性是根据情景决定的，同样的信息对不同信息收集者是否意味着可识别也是不同的。很多互联网企业，只知道某台设备的cookie，cookie对应的用户的一些消费偏好，但到底对应的自然人是谁不知道，是否算是可识别就很有争议。所以美国隐私专家，Daniel Solove 教授曾经将信息分为identifiable personal information和identified personal information，前者只识别的抽象可能性，后者是确实可识别。

第二个问题，前一篇文章2015年的时候的写的，当时强调control很重要，但是带来一个问题，虚拟财产是没有唯一的、排他的支配。原始的收集者再去专卖和加工，个人无法预料也无法统一，所以同意和控制是一个很空的概念，有人说这是hollow consent。欧洲的GDPR，我们一般翻译成《一般数据保护条例》中就把control推到极致。比如规定了，被遗忘权和可携带权（right of portability）。但用户真的是读隐私权的政策吗？就算读了，律师总是能找到的方式和语言，让用户去同意很宽泛的个人信息使用和转移，比如用户不仅要同意收集者收集、使用信息，还需要同意收集者向其关联方、服务提供商、代理人甚至合作伙伴提供信息。政策写的复杂了用户看不懂也不看，政策写简单了又无法做到充分通知。最关键的客户并不是一个真正的关注，不会仔细阅读。因此，个人实际上很难进行有效的控制。前段时候网信办要求实际上体现了加强用户对其个人信息的同意和控制这一思路，比如对于某些条款要手动勾选，有些需要加粗、加黑的特殊设置。

第三个问题，即便control的要求被落实，有多少人去行使这个权利呢？美国的研究发现很少有人会真的行使这种权利。政府可能会说隐私很重要，用户不应该放弃，随意同意服务者使用其个人信息，美国有些州，要求比较严。但这又走到了隐私的反面，隐私是用户自决，但政府却在替用户做决定。大家可以去看，芝加哥大学有个教授叫做Omri，他进行实证研究，发现企业花费了很多时间和精力，做出来的让客户同意的隐私条款，很多人其实没有真的去看。而且Omri认为现在很多网络服务都是免费的，如果真的说个人有的时候可以不提供个人信息或撤回个人信息，就享有网络服务， 那么这个服务还能是免费的吗？比如之前GPS导航仪，一个可能卖200块钱，而现在网络地图服务，对于消费者是免费的，但是要求是记录你的位置信息。如果一旦政府强制不能用隐私换服务，比如用户可以删除其个人信息，那么可能网络服务就不是免费的了，可能就是侵犯穷人的使用权。比如现在美国的运营商Comcast的网络服务设置不同的档，一个档次是三十美元，对于消费者的什么信息都收集；另一个档次是五十美元，富人就选择这个，什么信息都不收集。

还有一点，至于刚刚提到的法经济学的规制（同意）和事后的规制（侵权）的模式，可能文章认为事后要证明侵害成本很高，因此应采用事前规制比较好，但我怀疑事前成本是否真的低。比如欧洲GDPR，事前要求很细，导致现在各大公司都是花费上百万上千万的律师费去做到合规。

熊丙万助理教授：谢谢克蒙！关于第一点，也就是定价问题，这两个文章都有讨论到。即什么样的定价机制能够有助于准确反映这条信息对个人的价值呢？如果一个法官可以定价，可以分别定价，那么，无论是财产规则，还是侵权规则，都无所谓。当然，司法成本另说。但现实是，很难分别定价。不过，刚刚克蒙介绍的那个区别付费机制很有启发。如果一个人不同意信息被搜集和利用，那这个人就得支付一定的、通常是更多的网络使用费。

背后的可能原理就是：互联网企业本身能够发展，能够提供大量的免费服务，并不是说天上有大馅饼掉了下来，而是将个人提供的信息作为了一种隐性的对价。换句话说，网络服务商提供服务，个人提供信息，从而实现一种相互合作互利。举个例子吧，关于百度地图为例。我们今天几乎在城市里的每一个地方都能在百度上找到相应的路线，但这些路线并不是百度公司一一现场测量绘制的，而是根据个人用户在反复的驾驶中的路线信息设计出来的。这个是利用大家分享的数据节省了大家的公共成本。

好，郭锐教授，请发表高见。

郭锐副教授：蔡律师带着宪法学的理论和视野分析问题入木三分。首先，控制这个概念强调的个人信息保护机制是否有用。我再提供一个语境，我在帮腾讯人工智能做白皮书的时候就讨论到这个问题，服务商提供的信息分为你同意收集的信息和你不同意收集的信息。从电子邮件收集的信息，你需要同意一个条款，分别是你的信息会这样被使用，也可以被那样使用，这是你可以使用免费的电子邮箱服务的前提。如果你不同意，就不用使用我的邮箱。

不论同意还是不同意收集的个人信息，在人工智能发展的条件下，到今天，可能没有看到这些技术发展的如此迅速。到了今天，以前我们认为无法追溯到你的信息，因为大数据，就都可以追溯到你了。如果连同使用你所收集的信息，给你画像，有你的身份证、手机信息，描述一下你的生活习惯，就能够精确到令你自己吃惊。

之前，我们管制上认为不需要你同意旧手机的信息，现在都是是非常有价值的。有时候简单的性别识别信息就是我们的信息被暴露。从我们同意收集的信息可以推导出我们的亲人、同事。比如通过你的性别信息，可能就能收集你的同事等信息。这个信息已经超过了起初个人同意的范围。

还有就是，很多年前的电影《全民公敌》，最早警告政府可以知道个人信息的时候能够对个人造成一个多么大的侵犯。我们的技术条件已经超过了电影讨论的技术，我们所担心的也不再是一个坏人去利用国家所掌握的信息去伤害无辜的人。我们现在担心国家的能力越来越强大的时候，我们怎么办？在未来社会，隐私权的对象不仅仅是对抗强大的互联网服务商，还有国家对我们的社会和谐是不是有威胁的。

熊丙万助理教授：谢谢！还是那个定价的问题。一个人通过数据库分析个人习惯，有些人很怕自己被分析，但是有些人可能非常乐意被分析。因为，可以借此机会帮助自己更好地了解自己，从而发现和改进自己的缺点。很明显，对这两类人，个人信息被网络服务商利用造成的影响是截然相反的。另外，郭教授谈到国家的角色问题，的确是一个很重要的问题。今天我们主要讨论个人和网络企业之间的关系问题，但在个人和网络服务商背后，还坐着另一尊神，即国家。相关的政府监管机构不仅在坐在后面观察，而且同样掌握了比谁都更大的个人信息数据。如果这些数据用来行善，一定会造福苍生百姓，但如果万一被利用或者背盗用作恶，那问题久远不至于企业的问题了。

下面，请中国社会科学院大学的刘晓春教授给我们分享一下。刘教授对网络法有很多研究和高见。

刘晓春助理教授：我第一次来参加这个读书会，个人的感受是这个读书会已经属于国内最高端的层次，考察的也是最经典的文章。本来我是来学习的，熊老师让我做讨论，我就简单分享一点感受。第一个问题是讨论美国法的隐私的时候，实际上把个人信息和隐私放在一块儿。由中国现在的制度来说，我们需要把个人信息和隐私分开。在中国，隐私权已经有现有的既定的制度基础，更多的是属于人格权。目前也已经有一些深入讨论隐私权和个人信息权区分的文章。在讨论中国的个人信息保护问题时，我们或许不用再重复个人隐私方面的保护，因为隐私是一种更加严格的关于人格利益的权利，体现的是私人生活的安宁，更多地是表现为不可让渡的权利。

在这个区分的基础上，我们再来讨论个人信息的属性，究竟属于可以让渡的财产权利，或者是人身专属性的权利。通常认为个人信息的范围比较广泛，包括上网记录、家庭住址、生活地理轨迹，当互联网运营商与用户签订隐私条款以让渡权利的时候，问题在于我们是否要限制这种权利的让渡，如果需要，那么如何限制。如果所有人都很情愿把自己的信息许可出去来换取一种便捷的互联网服务的时候，那么或许并没有制定限制让渡的公共政策的必要。

第二个感受就是信息可以让渡的时候，政府是在什么情况下要进行干预。在谈到交易成本的时候，我们可以考虑假设一个信息像财产一样可以许可和让渡，什么样的做法是交易成本最低的？在民法基本假定的角度来说，我们假定一个人作为理性人是有足够的能力去判断这样的做法是不是符合自己的利益。只有这个假定被打破的情况下，比如我们认为消费者不足够理性，比如信息披露的不透明，也不知道权利让渡出去之后会发生什么具体后果。那么此时或许需要一个父爱主义的政府来帮助他理解自己的处境。比如要求服务商在用户协议中对特定的内容加黑加粗、弹窗等，还有设置强迫用户点击许可程序，而非一揽子的许可，目的在于确保用户在点击同意时候已经明确了解了行为的真实含义和后果。如果能够保证用户足够理性，，实际上并不需要从制度上来纠结定价是否合理，或者个人信息是否被免费收集。可以把提供个人信息理解为获得服务的一种非金钱对价。或者换一个角度，我们把信息授权给运营商，运营商的服务是在补贴我们。如果用户明确清楚地知道自己披露的是什么的时候，政府更多的是保障个人的自决权是真正意义上实现的，而不是去限制这种自决权的范围。

另一方面，如果在机制设计的时候，也有一部分的用户不愿意让渡自己的信息，可能会面临选择有限的情形。现在所有的app都要求我们让渡个人信息，如果不让渡可能就无法取得很多服务，成为一种服务获取的门槛。那么，如果存在市场竞争不充分的情况下，或许可以要求市场上给出关于个人信息政策的多样性的选择。比如可以在给出更加严格的个人信息授权政策的情况下，，让用户得到一个品质较低的服务，而不是完全不提供服务。这样在市场竞争不够完备的时候，应该给与多样的选择，而非帮消费者做出决定。

最后想说的一点是，我们提出个人信息的时候，是把所有的信息都放在这个概念里面。概念创设是一件很神奇的事情，一旦这些信息都被称为个人信息，大家可能觉得它们就应该适用统一的规制框架。但是实际上这些信息之间可能存在很大的差别，有些不敏感的信息，用户就愿意分享，甚至希望别人知晓。而有些信息是你不愿意放的，比如私生活相关的信息，健康信息等。今天的第二篇文章里就提到了通过多元和分别的框架来规制的问题，这给我们一个启发，是否可以借鉴美国模式，使用不同的制度框架适用不同的信息。而不是设置一个统一的框架，对于所有的个人信息都一视同仁。以上是我的一点浅见，希望大家多指教。

熊丙万助理教授：感谢刘老师，非常有启发性的评论。特别是关于个人与网络服务商之间的交易对价问题，刚刚刘教授做了一个很好的补充，也提示我们去进一步关注文献中的一个地方。在第二份文献中，第424页的确也谈到了对价的问题，即那一页说的补贴问题。如果个人使用服务，个人又不愿意在一定程度上贡献自己的信息，那么，是否公平呢？这是一个很值得思考的问题。

另一个，关于中国现行民法在处理隐私权的路径问题。我自己的感受是，中国采用了一个实用主义导向的符合框架。一方面，我们有源自德国的一般人格权、人格尊严观念，一种自上而下的人格权认知模式。在这个观念下，有各种具体的人格权，包括传统意义上的隐私权，privacy as secrecy。但除此之外，我国还有名誉权、姓名权、肖像权等在隐私权之外单列的人格权，并没有像美国法那样纳入大的隐私权框架来处理。另一方，关于控制权意义上的隐私权问题，我国《民法总则》用特别的一条规定了“个人信息依法保护”。虽然没有明确说个人信息权，但无疑有这个意思，要不你保护它干啥？而这个权利，在分类上常常被认为跟财产权更近，而跟人格权更远，也就是更类似于美国的模式。中国同时采用了两个框架，是不是德国和美国之外更好的替代性框架，这也是值得讨论的问题。

喻文光副教授：今天研讨的第二篇文章讨论了美国和德国对隐私权保护的不同进路。正如作者强调指出的，美国和德国在这方面有一个显著区别，就是德国的隐私权保护具有宪法的维度和高度。在德国 ，隐私权属于人格权。而德国《基本法》第一条明确规定“人格尊严神圣不可侵犯。”一般认为，人格尊严是最为重要的基本权利。隐私权也因此得到了宪法高度的保护。而我们知道，基本权利具有两个基本功能——防御功能和请求权功能。基于防御权功能可以对抗对隐私权的侵犯。

虽然，这篇文章得出的结论是：两种保护进路没有更好，只有更合适。但从比较法的角度而言，我们总会考虑他山之石何以攻玉的问题。而基于本土的问题意识，我们要注意到，在中国侵犯隐私权的主体，除了平台，还有公权力机构。现在普遍实行的各种实名制，使得政府其实可以获取到很多个人信息和隐私。在大数据时代，公权力结构广泛收集了海量个人信息，平台收集的个人信息，与政府相比，都有可能是小巫见大巫。之前，已经发生过社保机构泄露个人疾病信息的案例。这是对个人隐私的侵犯。在公权力结构有可能侵犯公民隐私权的巨大风险下，民法对于隐私权能够提供全面有效的保护吗？民法总则111条规定了对个人信息的保护。实际上，就公权力结构对隐私权的侵犯而言，这样的规定还远远不够。再有，蔡老师刚提到，个人放弃保护自己的隐私权时，公权力机构还有点越俎代庖，要求平台制定完善的隐私权保护条款，并采取一定的监管措施。对于公权力机构介入公民和平台之间的民事关系，在公民不行使权利时，政府出场的正当性在哪里？这里可以解释的理论基础是，实际上这里发挥了隐私权作为基本权利的请求权功能，国家具有了保护隐私权的义务。所以，可以看出，进行隐私权的全面保护，宪法是不能缺位的。从宪法角度，基于基本权利的保护虽然是德国采取的保护路径，但却值得借鉴。这两个功能之外还有基本权利的第三人效力，通过基本权第三人效力理论可以约束私主体。实际上，在欧洲，2016年颁布的《一般数据保护条例》延续了德国的保护进路。与此相配套的，欧洲的学者、议员、专家在2016年底提出了《欧盟数据基本权利宪章（草案）》，建议基本权利不仅拘束所有国家机关，也同样对私主体具有直接的约束力。这样一来，平台在侵犯基本权利的时候也要承担法律责任。总之，德国的隐私权保护路径和理论可以给我们启发，而我国的隐私权保护也需要从宪法高度来进行理论和制度的建构。

熊丙万助理教授：谢谢喻老师的高见。有一点补充一下，《民法总则》开了一个头，但并没有提供具体的操作方案。克蒙有补充。

蔡律师：针对个人信息，国家的侵害是非常严峻。平台都面临一个问题，就是政府机关来要信息的时候，应该怎么办？前段时间，抄的很热的微信群的新闻，说微信群不是一个私密空间，而是一定程度上的公共空间。比如云服务的技术标准等，我们在制定规则的时候，都要给政府留借口，没有正当程序可言，只要政府要求，全部的数据都被政府拿走了。

张翔教授：讨论数据隐私权的保护，需要从国家、个人、平台三方关系去思考。一方面，国家可能对直接对个人隐私权构成威胁，比如对公民个人的数据收集，又或借助自己的公权力向平台索要数据，另一方面，国家在课以平台义务的时候，也可能侵犯平台的经营自主权，这就涉及到平台和国家之间的关系。而平台作为社会上具有结构性优势的主体，拥有非常强大的力量，相较而言，个人的力量显得非常薄弱。

网上有一个图片很有意思，大意是说 “我使用一个软件六个月后，一个人来我家把我的孩子带走了，这肯定是我同意的。”因为个人可能看都没有看网站的条款，就同意了。传统法律上将个人定义为理性人，但是在网络时代，概括性的同意是否足够？即便看了条款，又是否有能力抗衡？公民可能是受到支配的，这时候就又希望国家能够参与进来，避免结构性的不平等。所以我觉得这里的三方关系，是我们思考网络时代隐私权、个人信息权利没有办法回避的问题。

熊丙万助理教授：谢谢张老师。关于这里的格式合同问题，对于消费者根本都没有阅读的条款的效力问题，即便在民法领域，也存在不小的分歧。崔建远老师最近有一个评论，他说，消费者没有看的格式合同条款，不能简单地说有效，也不能简单说无效，而应被视为“未订如合同”。也就是说，这些条款拟处理的释义，需要重新判断。无论是从经济学说处理不完全合同的视角来看，还是从经典的消费者权益保护视角分析，无论如何，背后都有一个国家介入的问题。也就是说，网络关系，需要把个人、网络服务者和国家三方同时纳入一个框架来观察和讨论，不能仅仅讨论前两者。

张吉豫副教授：围绕文章卡-梅框架分析部分，如何正确评价交易成本，这是主讲人提给我们的问题。在互联网时代，技术和商业模式创新层出不穷，交易成本往往是动态变化的，由此更加难以计算。但可以预期在一些方面可能更容易通过技术发展获得降低。我们对这类问题的回应，有时可以回避当前如何最优这个问题，而去考虑一种“动态”的思路，去将制度设计为使更有能力降低交易成本的一方更有动力，从而不断地使交易成本获得降低。例如，在网络上，每个人都上传自己的照片视频等，渐渐很多人希望自己作品流传出去，愿意授权给他人，但苦于逐一建立联系交易成本过高，所以有了CC协议和一些支持用户便捷选用CC协议的作品分析网站。我们可以用发展的视野来看这个问题，看到技术发展的可能性，通过法律的一些机制，让适当主体更有动力去降低交易成本。这是更积极的面向未来的方式。

在此，我还想应和郭锐教授的观点，在大数据和人工智能时代，即使再理性的消费者，我们把自己的信息让渡的时候，我们可能不知道某一项当前孤立地看来看似微不足道的信息，最后会给自己的权益带来怎样的影响。如果仅仅从一个财产权的模式，来决定部分信息可以交给某些人进行使用，这也并不一定是一个特别合适的框架。因为这些信息被交叉认证等方式使用之后，也有可能曝露我们很多的信息。所以，我们至少需要丰富人格权制度或者需要其他形式的条款予以补充才能达到我们保护信息的目的。