个人数据权利体系论纲兼论《芝麻服务协议》的权利空白.pdf

个人数据权利体系论纲

——兼论《芝麻服务协议》的权利空白

温昱+

摘要：个人数据承载着数据主体的人格利益与财产利益，个人数据权利兼具人格权与

财产权双重面向。在廓清个人数据权利理论和规范性证成基础上，建构个人数据权利

体系可分为：个人数据人格权与个人数据财产权。个人数据人格权包括：自决权、同

意权、修改权和被遗忘权；个人数据财产权包括：使用权、收益权和数据可携权。以

个人数据权体系检视“支付宝年度账单事件”中《芝麻服务协议》，暴露出个人数据

控制企业与数据主体间权利义务失衡以及用户个人数据权的大面积缺位，凸显了我国

以立法形式确立个人数据权、保护个人数据的紧迫性。

关键词：个人数据；数据利益；个人数据权；个人数据权利体系；《芝麻服务协议》

2018年伊始，支付宝公布了一年一度的用户“年度个人账单”，网友们纷纷晒出自己2017

年年度账单。就在支付宝年度账单刷屏热潮之际，有法律界人士指出，支付宝用户在查看账单

时，就被默认勾选“同意”了《芝麻服务协议》。因选项字体非常小，设置居于页面左下端，

不易被发觉，所以网友一般都会默认同意这个协议，允许支付宝收集并处理用户的各种信息甚

至包括用户存储在第三方的信息，支付宝此举侵犯了用户多项权利。¨3作为回应芝麻信用发表

声明承认默认勾选“我同意《芝麻服务协议》”的行为不当并向广大用户致歉。在对“支付宝

年度账单事件”的讨论中，网民及法律界人士关注点都集中在“默认勾选侵犯消费者自主选择

*作者简介：温昱，吉林大学法学院法学理论专业博士研究生。

基金项目：本文系国家社会科学基金重大项目《马克思主义法学方法论研究》(项目编号：11ZD077)、教育部

人文社会科学重点研究基地重大项目《权利视野下法治政府建设的理论与实践研究》(项目编号：16JJD820005)

之阶段性成果。

[1]https：／／weibo．com／yueshenshan?is—all=18Lstat—date一201801

年2月26日最后访问。

·

·84

万方数据

个人数据权利体系论纲

权”、“有侵犯消费者网络隐私权之嫌”。[2]但鲜有人注意到《芝麻服务协议》文本中暴露出的

对用户个人数据权利的漠视以及个人数据控制公司与个人数据主体间权利义务显著不对等，凸

显出我国个人数据权的大面积空白。有鉴于此，本文以此次事件为契机，分析个人数据权的形

成逻辑与内容，建构个人数据权体系草图；并以个人数据权体系审视《芝麻服务协议》，在应

然权利层面揭示其文本中用户个人数据权保护的失位。

个人数据权的法理辨析

(一)个人数据的法益厘定

个人数据[3]的定义有“概括”式与“概括+列举”式两种。前者如欧盟《个人数据保护

指令》第2条定义：“个人数据是指关于已经识别或可识别的自然人的任何信息；可识别的个

人是指可以直接或间接、特别是通过身份证号码或身体、生理、精神、经济、文化或社会身份

之一或若干特定因素而可识别的人。”[4]日本《个人信息保护法》规定个人信息是指能够识别

特定个人的信息。既包括姓名等公开确定的信息，也包括能够容易与其他信息相比照并能够通

过比照确定特定个人的信息。[5]后者如我国《个人信息保护法(专家意见稿)》第9条给出

的定义：“个人信息是指个人姓名、住址、出生日期、身份证号码、医疗记录、人事记录、照

片等单独或与其他信息对照可以识别出特定的个人的信息。”[6]以及欧盟于2016年通过、已

据是指任何指向一个已识别或可识别的自然人的信息。该可识别的自然人能够被直接或者间接

的识别，尤其是通过参照如姓名、身份证号码、定位数据、在线身份识别此类标识，或通过参

照针对该自然人一个或多个如物理、生理、遗传、心理、经济、文化或社会身份的要素。”[7]

综上，个人数据关键在于“已识别或可识别”的特征，即“识别就是指个人信息与信息主

体存在于某一客观确定的可能性，简单的说就是通过这些个人信息能够把信息主体直接或间接

地认出来”[8]。个人数据能够与特定个人产生连接，对其处理会对该自然人的生活造成影响甚

至损害，这正是个人数据需要