意识到算法的力量并试图以法律的规则来施加控制，已经成为某种共识。欧盟《通用数据保护条例》（以下简称“GDPR”）虽未直接规定算法解释权，却设置了专门条款限制自动决策对个人的不利影响。1《中华人民共和国个人信息保护法》（以下简称为《个人信息保护法》）设置了自动化决策的限制与拒绝权。对于算法的规制从事前的告知义务到事中的访问权，贯穿到事后的解释权。在这场信息处理者与信息主体的博弈中，信息处理者始终牢牢占领着信息及技术优势。如何从制度设计上使这种有失偏颇的不平等状况得以调整？算法告知义务应当如何展开？其限度为何？其在知情权体系中应该如何适用？目前尚未从学理上进行清晰论证。本文试以算法告知义务为例，展开论述个人信息主体的知情权体系及其限制，并从与其他法律的关系及救济路径等层面全面理清算法告知义务在实际应用中的问题，进一步明确其纳入我国个人信息主体的知情权体系后的理论定位。

一、我国个人信息主体的知情权体系

（一）价值定位

我国的个人信息权益由其本权权益及保护本权权益的权利组成。前者主要包括人格尊严、人身财产安全及通信自由和通信秘密等利益，后者主要体现为主体的知情权及决定权[1](P.1165)。由此，我国信息主体的知情权在体系上的主要功能即是为了维护本权权益的实现。从这个角度来说，我国立法上的个人信息权益仍属于防御性的人格权，其实现防御的手段虽然表象更为积极，但其目的依然是在自身的权益被侵害时施以救济或存在侵害之虞时提前采取措施预防侵害。即使是决定权中最为积极面向的可携权，实际也是为反垄断规制手段的价值服务[2]。此时与其说是为信息主体提供了更多的信息控制权，毋宁说是为限制信息处理者对信息的垄断，体现为对信息主体权益的一种远期侵害防御手段。因此，知情权的价值定位应当是为保护人格尊严等本权权益而设立的防御性的权益。

（二）知情权体系

在个人信息保护领域，个人信息主体的知情权具有基础性的重要地位。知情权是决定权及限制、拒绝他人进行信息处理的基础。欧共体委员会在其报告《访问权的技术面向》中解释知情权是“旨在让数据主体能够自由访问或者获取他人存储的有关其个人的信息”的权利[3]。对于知情权的具体展开，报告做了四个方面的阐述，包括“公众有权知道或者有机会知道所有有关自然人信息的文档的存在，不论是由公共部门还是私营部门持有；个人有权被告知其个人信息存在于特定的文档；个人有权知道在特定系统中个人信息的具体内容，以及；基于以上知情权可对该部分个人信息请求修改的权利”2。后GDPR的数据主体3权利一章将数据控制者的告知义务及数据主体的访问权并行列入知情权体系。在我国个人信息保护领域，访问权主要体现为查阅权及复制权。

在个人信息处理之前，个人信息处理者须先承担向个人信息主体告知的义务。而一旦进入到后续的处理流程，个人信息主体需要以主动行权的方式来维护其知情权，这就包括前述的访问、查阅、抄录和复制等行为[5]。具体而言，查阅权是指个人信息主体确认及知晓其个人信息被处理的具体情况的权利。而复制权是指自然人有权通过技术设备留存信息处理者所提供的个人信息，是个人信息主体行使查阅权的辅助性权利，通过复制权可以有更多时间了解个人信息的情况，从而进一步判断个人信息处理行为是否符合本人意愿等[5]。无论是个人信息处理者的告知义务，还是包含查阅权与复制权在内的个人信息主体的访问权均是为保障个人信息主体的知情权所设，因此二者共同形成个人信息主体的知情权体系。

（三）知情权体系的层次性

由于个人信息主体和处理者持续性信息不平等的情形普遍存在[6]，无论是在涉及公权力领域还是私主体间的产品服务提供领域，法律的规制方向通常倾向于信息处理者义务的履行，如政务信息的主动公开，以及经营者的如实告知义务等。同样，我国个人信息领域主体的知情权也首先通过个人信息处理者的告知义务来体现。在个人信息处理的整体流程中，告知义务与访问权是一个动态的有机整体，协同为知情权体系发挥作用。但在具体的运行机制下，由于触发权利义务的时间节点和处理场景不同，告知义务与访问权的各层次之间存在明显的差异，体现在：

1. 时间点上的差异

一般来说，告知义务应当在相应的个人信息处理前履行。告知义务的主要作用是在个人信息处理前让个人信息主体对之后出现的风险及后果有所预判，并据此作出是否参与相关活动的决定，告知义务的设置需在实际信息处理之前方能实现该制度目标。实践中，个人信息处理者主要以隐私协议的方式履行其告知义务。但是，以隐私协议的方式进行告知也可能会面临个人信息主体无法知悉的指摘。在许多情况下，经营者虽然已经履行了告知义务，由于种种原因导致主体的知情权并未得到保障。这种种原因有时源于告知义务本身形式上的僵化属性[7]，也有时因具体的交易活动特质使得信息传递具有一定的滞后性而未能及时满足主体的知情权，甚至有时是因为不同类型的交易对告知的具体范围方式均有不同，规则无法就此做出相应的繁减调试，若整体提高告知义务的履行要求又会不恰当地抬高社会成本。由此，告知义务的有效性传达是制度设计的核心，可参考引入增强式的告知要求，从形式上来填补告知义务与知情权之间的断层。所谓的增强式告知，是指通过不可绕过的方式（如设置专门页面或单独步骤）向个人信息主体告知相关信息，以协助其作出是否同意的决定。在个人信息主体看到弹窗提示、提醒勾选、突出链接等明显方式，主动提示个人信息主体阅读个人信息保护政策之后可以视为信息处理者的告知义务已经履行。4

访问权一般在个人信息处理的过程中行使。只有当个人信息处理者开始处理信息，个人信息主体才有确认和访问的必要。因此，对于后续个人信息主体欲行使的更正、删除以及可携权都以主体的访问权为基础，即需要首先确认并知晓自己的个人信息被处理的范围，之后再对该部分个人信息行使相关权利。

2. 一般性及个体性差异

正是由于告知义务的履行程序在实际处理之前，因此其告知的内容仅涉及到一般性信息处理规则及个人行权的方式等内容，也正是因为这种告知往往是针对某一类服务或商品的接受者，因此告知可以视为对该群体发出的一般性通知。

与一般性的告知义务不同，个体化履行是访问权实现的必然路径。个人信息主体通过单独向个人信息处理者主张权利的方式获取自己的个人信息。因此，无论是访问行为还是行使权利后个人信息处理者的回复均具有特定性。由此也决定了其实现方式无法以告示或单方通知等方式达成，访问权的实现均属于“个案分析”的结果。这种行权方式可能带来个人信息处理者的履行成本过高的问题，因此需要特殊规则的介入来保证个体化的访问权与履行义务的成本之间的相对平衡。

3. 内容范围差异

如上所述，立法明确地界定了告知义务的内容及范围，但是访问权的范围并非自然而然地与其保持一致。目前隐私政策常常被视为合同，但是此类合同的双方不得以约定的方式排除对告知义务的履行。有时，经营者也选择以“常见问题”链接方式对处理信息的方式及目的进行告知。无论告知以何种形式作出，皆是为了履行《个人信息保护法》上的告知义务。因此，其内容需按照法律的规定作出，除了法律和行政法规明确规定之外，其他法律性文件也不宜额外为个人信息处理者设置新的告知义务。

由于访问权具有个体化特征，个人信息主体仅对已被收集部分的个人信息拥有访问权。因此，该部分权限会以实际收集信息为准，理论上不会比告知义务的范围更宽。同时，从单纯的个人信息查阅到个人信息的复制，权利内容涉及到的个人信息本身蕴含的信息密度越来越大，个人信息主体对其信息的可控性越来越强，其所可能面临的与其他利益的冲突越来越明显和激烈，故依照其所承载的信息密度对查阅权与复制权的行权限制逐渐升高。

二、知情权体系下的算法告知义务及其维度

我国学术界对于算法的告知义务之范围存在不同认知。有学者认为算法解释中涵盖部分告知义务。包括:“自动化决策系统的逻辑、意义、设想的后果和一般的功能，例如规范指南、决策树、预定义模型，标准和分类结构”等内容的说明[8]。在此种体系中，以算法系统功能为中心的解释权也属于事前的算法告知义务。实际上在美国《人工智能视频面试法》中也规定了雇主以事先履行告知义务来实现算法解释的途径[9]。还有学者认为算法解释不仅包括事前的说明，还涉及事后的包含异议、解释、更新、更正的一系列权利之总和[10]。

为避免概念上的混乱，确保行文严谨，本文的知情权体系仅包括信息处理者事前的告知及个人信息主体事中的访问。这是由于事后的解释涉及的问题更为复杂，往往涉及到对算法结果是否公平、参照因素是否需校准等主观性评价及说明解释义务，故而本文认为事后的算法解释不属于传统上仅为主体获取信息事实的知情权体系。

（一）算法提供者的告知义务

按照《个人信息保护法》的要求，个人信息处理者在处理个人信息前需要在个人信息主体充分知情的前提下获取其同意。因此，清晰、真实、准确、完整的告知是获取有效同意的前提。处理者即便基于法律、行政法规规定的情形处理个人信息，虽然不需要取得个人的同意，但是仍然要履行告知义务[11]。除有法律明确规定之外，在任何情况之下一般告知义务均须被履行。一般告知义务包括：告知个人信息处理者的名称或者姓名和联系方式；个人信息的处理目的、处理方式，处理的个人信息种类、保存期限以及个人行使本法规定权利的方式和程序。5

在普遍的机器学习背景下，个人信息处理者可能通过自动化决策的方式预测出个人信息主体使用产品或服务的特定行为模式或偏好，并以此为基础开展后续有针对性的服务。《个人信息保护法》对使用自动化决策的个人信息处理行为作出单独规定，要求个人信息处理者应当保证决策的透明度和结果的公平、公正。此外，若个人信息处理的流程中存在算法推荐服务时，2021年网信办发布的《互联网信息服务算法推荐管理规定（征求意见稿）》（以下简称《算法推荐规定》）要求算法服务提供者履行特殊的告知义务，以显著方式告知用户其提供算法推荐服务的情况，并以适当方式公示算法推荐服务的基本原理、目的意图、运行机制等。6

此告知义务是基于处理程序的特殊性而设置的特别告知义务，是《个人信息保护法》中设置的一般告知义务的具体化之体现。

首先，其目的意图虽然仍然属于一般告知义务的范畴，但是对于采用了算法的方式来处理个人信息的信息处理者而言，此时的目的意图告知义务应当有更为明确的要求。例如在上文提及的《人工智能视频面试法》，即需在面试前书面通知应聘者人工智能可用于分析应聘者的面部表情，以此作为判断其是否适合应聘职位的参考，同时还要求向申请人说明人工智能技术的大致工作原理及受评估的一般特殊类型。

其次，采用了算法处理个人信息的处理者还需披露算法的基本原理及运行机制等内容，此要求已经超出了一般告知义务仅对“处理方式”的告知要求。如前文所述处理信息目的的告知要求需伴随着对该类技术的大致工作原理解释才能具有实际意义，从而也决定了在算法的告知义务中个人信息的使用目的与工作原理匹配告知的必然要求。当然，此时更高的告知要求是源于算法活动与其他信息处理活动相比更高的风险性。这也同时会引发一系列的问题。诸如，应当以何种方式披露更利于实现告知的效果并保护主体的知情权？面对可能影响到信息处理者商业秘密、知识产权等权利冲突的情形，是否仍需要承担告知义务，等等。

主体的实际知情在涉及算法的场景之下，显得尤为困难。一般来说，为解决知情问题自动化决策算法也配套了不同的解释方式，包括内部解释与外部解释。内部解释和外部解释具有不同的制度功能，算法服务提供者的告知义务实际上属于算法的外部解释。外部解释指以精确的方式（忠实于自动化决策系统）和人类可理解的方式做出的自动化决策理由解释，用以建立公众对自动化决策的信任，验证其遵守了法规与政策的要求。7在形式上，外部解释并非提供算法源代码，而是需要算法设计层面的价值取向、决策各要素权重，或对算法运行层面的运行机制解释。这些功能性信息需要平台提供[12]，因此属于个人信息处理过程中的特殊程序。但是，每个用户可能拥有数以百万甚至上亿计的变量，任何输入或计算都难以被称为主要因素，全面概述或解释模型输出结果的影响变量、权重、逻辑在技术上是不可能的。即使是采用“反设事实解释”也无法回避这一难题，因为“反设事实解释”依然需要能够说明影响决策结果的关键值、主要特征、权重占比。8故而，如要真正实现把技术转换为可理解的语言可能尚存在鸿沟。理论上来说，如若仅以列举方式提供少数几种决策要素，易避重就轻对于信息主体而言并无实际意义。同时，要求披露算法的权重、评分公式、统计值和参考组的信息等也容易产生泄露商业秘密之虞[13]。同理，GDPR中规定的应向数据主体告知的自动化决策、涉及逻辑的有意义信息以及处理的重要性和后果等，是在个人信息的收集前进行，由于此时信息处理流程尚未开始，对数据主体的分析或其他自动化决策（如排序、打标等）尚未形成，因此，此时的算法告知义务只能以较为基础性和原则性的方式作出。

对于算法的事前告知，其更多的意义是披露算法模型的存在[14](P.167)并为信息主体是否决定参与自动化处理活动提供参考，而并非意在使主体完全理解自动化处理的流程及原理。以此目的为出发点来把握算法告知义务的范围具有重要意义。

（二）信息主体的访问权

私法上的知情权随着社会的发展，首先是在其权利的性质方面已经从单纯的消极权利逐步变成一种综合性的积极权利。从功能定位及实际需求的角度出发，知情权先是从一种依靠义务人主动履行告知义务的消极权利逐渐变为权利人请求公开信息的积极权利[15]。这种积极的权利行使方式在个人信息保护领域主要体现为个人信息主体的查阅权和复制权。

《个人信息保护法》上的信息主体访问权分为两部分：第一部分是对个人信息处理规则的查阅及复制，此时的查阅权与复制权是为了更好的督促信息处理者履行告知义务所设；而第二部分的查阅、复制是指个人有权向个人信息处理者查阅、复制其个人信息，此处的查阅及复制权的核心在于使其能确认信息已被处理并知晓处理者所处理信息是否准确（或在某些场景下要求最新可用）、完整。另外，个人信息主体有权从信息处理者处获取自己的个人信息。GDPR中访问权的范围也包括对个人数据本身及数据控制者的告知义务内容。

查阅权通常被认为是个人信息主体直接获知自身个人信息内容的权利。但是，根据该信息载体的差异，该权利的行使方式存在差别。一般而言，对于可独立出示的信息文件，个人信息主体可以直接获知其载体的全部内容。2018年美国加州消费者隐私法案规定信息处理者可通过邮件或电子方式告知个人信息主体其查阅的个人信息。另外还强调，如果以电子方式提供，信息应是便携式的，在技术上可行的范围内，以易于使用的格式。9《信息安全技术:个人信息安全规范》更进一步规定，个人信息处理者应向个人信息主体提供查询其所持有的关于该主体的个人信息或类型、信息的来源、目的以及已经获得上述个人信息的第三方身份或类型等信息。相比《个人信息保护法》的告知义务范围，此处的查询权的范围显然有所扩张。另外，《算法推荐规定》规定算法推荐服务提供者应当向用户提供选择、修改或者删除用于算法推荐服务的用户标签的功能。此时，为实现用户对标签的选择、修改或者删除权，应当首先满足个人信息主体的知情权。此时，由于个人信息主体标签的特异性，无法以统一告知的方式履行，仅可以主体单独查阅的方式实现，因此个人信息主体对其用户标签的知情权实现模式仅可以查阅权的方式进行，应当受到查阅权的相关限制。

在算法知情权的体系中复制权是指允许个人信息主体要求个人信息处理者提供所收集的供进行自动化决策信息的副本的权利。而这种副本取决于信息本身的处理载体，若以电子形式处理往往以电子形式提供，个人信息主体另有要求可以其他适当形式提供。10复制权对信息的获取最为全面，因此也有可能与其他人的合法利益产生冲突，故受到的限制最多。有的文件虽然可能包含部分个人信息，但是由于其性质可能属于需保密的文件或涉及他人信息等原因，无法向个人信息主体提供完整副本。复制权更强调对数据信息载体的原本的形式不加编辑地完整或部分获取，例如对监控视频图像的拷贝或翻拍，对电话录音的拷贝，对文件的复印等。

三、算法告知义务适用中的问题

（一）权益冲突限制过多，行权空间狭窄

个人信息主体的知情权是法律赋予的保护个人信息主体人格的“本权权益”的具体体现，但也应意识到法律对个人信息的保护需要识别多方主体的利益需求，在保护个人信息主体的核心人格利益的基础上，让渡部分非核心利益，使得个人对其个人信息享有的利益与其他主体的利益相平衡[1](P.1154)。因此，个人信息主体知情权的行使也需要受到相应的限制。这些限制，有的来自于实体上的利益冲突，有的源于程序上的制度安排。

《个人信息保护法》规定任何组织和个人不得从事危害国家安全、公共利益的个人信息处理活动。因此，若告知义务的履行会危害国家安全或涉及公共利益时，应当全部免除告知义务。作为公共利益的特殊情形，《中华人民共和国民法典》（以下简称《民法典》）规定为公共利益实施新闻报道、舆论监督等行为的合理使用原则。11依据该原则，若需维护新闻报道及舆论监督的社会功能，则要求个人信息处理者提前告知个人信息主体的告知义务无法履行，否则可能会产生与公共利益直接冲突的情形。

另外，个人信息主体行使访问权不得对他人的权利和自由造成不利影响[16](P.60)。这种影响可以体现在两个层面上。

第一，不得影响个人信息处理者的合法权利。GDPR中规定数据主体的访问权若涉及到商业秘密、知识产权、保护软件著作权等问题时，将受到相应限制。12欧洲学者提出主体行权与知识产权的冲突主要体现在个人信息处理者可能享有的数据库权利中。13如《欧盟数据库指令》中规定的特殊权利，是旨在保护为获取、验证或展示数据或数据库内容进行的投资的权利。在个人信息处理者对收集的个人信息投资大量人力物力进行加工处理，形成自己的数据库后，就可能获得提取或重新利用数据库的权利。在此意义上，数据库本身形成了一个单独的权利客体。

但在我国现有的法律规定中，大数据集合的数据库权利是否可以证成还存在不确定性。且数据库保护倾向于原创性数据集合，对于个人信息处理者通过动态信息收集阶段的数据库是否适用特殊权利的保护，欧盟和美国均逐渐持否定态度。此外，无论个别数据内容是否公开，数据库保护都无需搭具体内容保护之便车，除非当事人行为触犯了数据库的独创性和整体价值[17]。

第二，不得影响第三人的合法权利。主体要求查阅复制的个人信息的范围可能会包括：个人信息处理者持有的该主体的个人信息的副本；含有该主体个人信息的文件的副本。个人信息处理者可能会向个人信息主体提供整个文档的副本，例如标记列表、健康文档、电子邮件。此类文档可能受文学或艺术作品等版权保护。因此，在向个人信息主体提供文档副本之前，个人信息处理者必须考虑作品的作者的权益。实际上，算法作为商业秘密已经被正式列入信息技术的范畴。14我国法院在判决中也明确“算法”确实会涉及被告的商业秘密，告知和公开“算法”不属于对原告的个人信息进行保护的必要措施。15

此时就出现了公布算法会泄露商业秘密，而不公布会侵害知情权的权益两难冲突。根据《民法典》第998条规定，法益衡量应当考虑行为人和受害人的职业、影响范围、过错程度，以及行为的目的、方式、后果等因素。有学者认为，此时对法益的衡量应以侵害的严重程度为着眼点，在综合涉案考量因素的基础上确定相应的责任，从而平衡保护冲突的各方利益[18]。

由于我国并未认可个人信息权的概念，因此知情权作为个人信息权益的部分也仅能被视为主体的法益。法益的位阶相对权利而言更低，因此实际上算法告知义务受限也较多，造成其真正的行权空间较为狭窄的现状。

（二）救济路径——民事请求权缺失

依据《算法推荐规定》个人信息主体有权依据该规定要求个人信息处理者告知其提供算法推荐服务的情况，且可要求个人信息处理者修改或删除其用户标签。但是，当信息处理者拒绝履行时，民事救济路径存在困难。

1.《民法典》中的算法告知义务的请求权基础探寻

《民法典》为个人信息保护提供了三种不同的请求权进路，分别为传统的侵权责任请求权、人格权请求权，以及隐私协议下可能存在的合同上的请求权[19]。基于侵权行为的损害赔偿责任通常发生在个人信息权益被侵害且产生损害时，要求行为人举证过错和损害的存在。在个人信息处理者不向个人信息主体告知算法的具体内容时，个人信息主体很难证明个人信息处理者遭受的损害。由于损害要件的缺失，使得算法告知请求权难以在侵权责任的路径之中展开。

个人信息处理者的算法告知义务作为个人信息主体知情权的组成部分，是个人信息主体人格权益的体现。《民法典》人格权编第995条为人格权的请求权基础。在规范内容上，“停止侵害、排除妨碍、消除危险”，属于人格权的消极防御请求权，是绝对权请求权，不以过错与损害为前提[20]。但是《民法典》第1037条第规定的个人信息主体的查阅、复制等权利，均难以解释为“停止侵害、排除妨碍、消除危险”的具体化。当自然人发现其个人信息存在错误时，有权提出异议并请求个人信息处理者对错误的信息进行更正或删除。在算法推荐服务中，本条可以作为个人信息主体选择更正删除用户标签的独立的请求权基础自不存疑。但是，自然人查阅或复制其个人信息本身是否为独立的请求权基础，在个人信息处理者拒绝提供个人信息的访问时产生人格权的消极防御效力，还存在讨论空间。

合同上的请求权可以分为针对合同主给付义务的原合同请求权以及针对合同次给付义务的派生合同请求权，原合同请求权应先于派生合同请求权检索[21]。信息主体可以将自己的个人信息许可给他人使用，《民法典》第1035条与第1036条的规定也肯定了信息控制者对个人信息进行处理[22]。实践中，常常以隐私协议的方式作出。在此种协议中，个人信息处理者的主给付义务为通过收集和处理必要的个人信息来提供产品或服务，个人信息主体的主给付义务则为让渡部分个人信息权益，同意个人信息处理者对其个人进行信息处理的行为。而个人信息主体的算法知情权仅为个人信息处理者的附随义务，无法由此生成独立的合同请求权。另外，不向个人信息主体告知算法不属于履行不能或瑕疵履行的行为。《民法典》第577条、582条以及566条规定的合同履行不能、瑕疵履行和合同解除产生的损害赔偿请求权均针对合同的主给付义务，由于算法告知义务本不属于合同的主给付义务，自然也无法援引派生合同请求权作为请求权基础。故而，算法告知义务并无合同法上的请求权基础。

2.《个人信息保护法》上的算法告知义务请求权基础探寻

请求权规范须为包含成立该请求权的构成要件和法律效果的完全性法条，当构成要件所描述的事实存在，法效果即应发生[23]。《个人信息保护法》中的第44条、45条及48条均为不完全法条，只能与其他法条结合方能使得创设的法条产生预定效果。从规范的作用划分，可以将不完全法条分为说明性法条、限制性法条、指示参照性法条以及拟制类法条[24]。而上述法条对个人信息主体知情权的规定仅起到划定权利范围的说明性作用，即在个人信息主体侧的知情权体系包括访问权（复制和查阅）和对信息处理规则的知晓。因此，这三段规定是为请求权规范的辅助规范，阐释个人信息主体个人信息权益的具体内容。第45条第2款“个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供”也非完全性法条，仅为个人信息处理者履行义务提供参照和指导。正如拉伦茨所说，“结合构成要件与法律效果不是一种主张，毋宁是一种适用命令。制定规范者不是在陈述事实上如何，而是在指出法律上应如是，应予适用”。结构上，本句不具备“如果……那么”的条件程式[25]；解释上，通过本句规定也不能推出若个人信息处理者不及时提供的法律后果；性质上，本句是提倡和诱导个人信息主体履行义务的倡导性规范。16换言之，即使没有本句规范，根据个人信息主体对其信息享有的知情权益，在个人请求查阅、复制其个人信息时，个人信息处理者也应及时提供。当然，也不能因此完全否认本句的意义，此类倡导性规范也是督促当事人履行义务的立法技术的体现。

《个人信息保护法》第50条第2款规定的“个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼”并非直接的请求权规范，其在性质上只能作为其他请求权规范的辅助规范，发挥解释、协同和配合作用。不可因其表述形式为完全性法条，将其扩张认定为个人信息主体所有权益损害的请求权基础。由此可见，在《个人信息保护法》中也缺乏知情权的请求权基础。

虽然主体对于侵害个人信息知情权的行为没有独立的请求权基础，但是仍然可以依据《个人信息保护法》第65条对违法的个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。从实践上来看，各国信息主体的正当合理的访问要求被个人信息处理者拒绝时通常也选择向相关数据保护机构进行投诉。例如2020年6月，数据主体向西班牙数据保护机构投诉其向Iberia主张四段电话录音的请求被不合理拒绝。西班牙数据保护机构依据GDPR第15条对Iberia处以7.5万欧元的罚款。17

（三）告知义务的落地仍需细化标准

告知义务的设定是否合理能否最终落地，与其具体的内容设定存在直接关联。不同程度的算法透明具有不同的意涵，从算法运用的告知义务、报备参数、公开参数到公开源代码，算法透明不仅可能而且可行；算法透明对于用户的知情权以及其他权利的保障具有实质性意义。[14](P.165)合理界定算法告知义务的内容对于该制度的设立及主体的知情权保障具有重要意义。

因此，在明确我国信息处理者的告知义务时有两重路径可资参考。首先，从体系解释的角度明确告知义务的内容；其次，补益细化的标准以协助告知义务的具体操作。《个人信息保护法》仅以框架的形式确定了个人信息主体的知情权体系。但是，由于法律规范自身固有的抽象性导致面对具体的产品或服务时会产生规范性不足的问题[26]，因而需要在一定程度上参引某些标准辅助完善规制体系。例如对于信息处理者的告知义务具体应当如何履行，对于其内容及形式的实体要求仍然欠缺，还需通过具体的标准规则予以补充并试图在完整的立法框架内解决问题。

1. 体系化解释——个人信息概念的澄清

信息处理者的告知义务之履行首先取决于对于个人信息概念的理解与界定。《个人信息保护法》中的个人信息是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。因此，匿名化信息本身不属于个人信息的范畴，因此该部分信息亦不属于处理者需告知的部分。

在Whats App案18中，非Whats App注册用户的经过有损哈希（Lossy Hash）处理后是否构成匿名化信息成为该案件中Whats App是否需要承担告知义务的前提和主要争议点。最终，欧盟数据保护委员会（以下简称EDPB）认为认定何为个人数据时，不能“孤立地考虑（有损哈希）这一技术步骤”，而是需要考虑“所有的客观场景因素”、以判断识别或再识别的概率。在识别或重识别特定用户时，Whats App不仅使用了哈希值，还使用了基于号码存储而建立的社交关系数据，二者联合，可以构造出具备识别能力的“关系签名”。因此，有损哈希处理过的数据，从综合的客观场景来考量，仍然属于个人数据。

该案件值得审慎思考的部分是对个人信息（数据）概念的判断标准，实际上融入了客观场景化要求。单一判定某一类信息是否属于匿名化信息，从操作上来说易于实现，但是对于保护信息主体的利益而言难言有效。美国早有将场景化的理论引入隐私风险评估的尝试。19我国也有从不同场景出发推进算法治理的尝试，例如电子技术标准化研究院发布的《人工智能深度学习算法评估规范》，该规范以算法技术使用的具体场景为划分依据，确定了不同层级、不同数目的指标，搭建了初步的算法评估指标体系，成功地迈出了尝试和探索场景化、精细化的算法治理的第一步[27]。实际上，单一匿名化信息可能在与其他相关数据库进行匹配之后重新变为可识别信息。目前，甚至还有针对匿名化技术的去匿名化技术。去匿名化技术的发展，存在累加效应——去匿名化技术越发达，可利用的外部关联数据库就越多，去匿名化的效果越强。每一次个人信息去匿名化的胜利，都可能成为下一次个人信息去匿名化的垫脚石，而整个社会的个人信息风险也就因此越升越高[28]。理论上，任何被匿名化的信息都具有被再次识别的风险，因此《个人信息保护法》对于个人信息的匿名化要求与其说是对技术上的要求，不如说是对可被再次识别的难易程度要求。因此，对于告知义务的内容，不能仅仅只关注未被匿名化的个人信息，还需要考量匿名化处理过的个人信息在场景中是否仍然存在较高的可识别风险，并基于此完成对主体的告知义务。

2. 满足有意义的告知要求

首先，信息处理者不能采取过于宽泛的方式告知信息处理的目的。如果个人信息处理目的过于宽泛、抽象，不仅无法有效指引后续的个人信息处理活动，无法有力限制个人信息处理范围，而且也无法使个人形成合理预期而可能始终处于“信息惶恐”状态。限定个人信息处理目的，意味着在收集后进行的任何处理操作，必须与收集时明确表达的目的兼容[29]。例如为提供服务，又如为改善用户体验等等表述方式，对于信息主体而言并不能使其明确后续的处理行为。真正有意义的告知，需要让主体明确信息的具体用途，如为设立定价模型作参考，或为向用户提供个性化推送广告等。

其次，除了用语模糊之外，告知内容中若存在误导性内容或自相矛盾的内容也通常被视为告知义务未被合理履行。例如，在上文提到的Whats App案中，Whats App在隐私政策中数据保留到用户删除账号或满足处理目的，以先发生的为准。对于用户未删除部分，Whats App简单地说明保存期限基于逐案分析的方式判断，参考因素如数据类型、收集使用的原因以及相关法律要求保存期限。但是另外在常见问题中又说明了即使删除账号后，有部分数据仍然保存。两种说法存在矛盾，用户删除账号之后，数据是否依然保留存在疑问。同时，用户也无从知晓未被删除的信息的实际存储期限。因此该告知并不符合法律规定的要求。

最后，告知义务应当满足以显著方式、清晰易懂的语言进行告知的形式要求。目前，个人信息处理者除了会直接以隐私政策的方式告知主体其信息收集的情况及信息，往往还会通过设置链接访问其他网页或常见问题页面。因此，有效的信息往往互相之间呈现出一种分散化的方式，使得信息主体难以获取完整的信息概况，如EDPB所认为的“缺乏一个整合的文本或分层示意图”，提高了主体对于告知内容的理解难度，也使其难以注意到其中的不同表述内容之差异。

虽然，披露更多的处理信息更利于满足合规要求，但是某些内容的公布如涉及到信息处理者的商业秘密或其他主体的个人信息利益，则不应当再要求予以披露。在凌某某诉北京微播视界科技有限公司隐私权、个人信息权益网络侵权责任纠纷案案中，原告要求被告书面告知获取“可能认识的人”的具体方式及向原告推荐“可能认识的人”的详细算法的诉讼请求未被法院支持。

四、问题的回应与体系定位

传统而言，人格权的防御性体现在权利被侵犯或有被侵犯之虞时，才可向法律主张救济[30]。实际上，人格权的属性到底是积极利用还是消极防御应当做目的和手段的区分。应当意识到，随着社会生活的形态层层展开，即使是为实现消极防御的目的，也可以积极利用的手段达成。而手段本身并非对人格权属性应有的关切，仍然需要以其制度设计的目的出发。

权利和法益的主要特征之一，是其具有归属内容和排除功能。前者是指所有权人可自由处置其物，即所有权人对物享有从事实上和法律上施加影响的全面限制；后者则指向对他人干涉的排除，主要体现为消极权能[31]。虽然对于主体的姓名、肖像等权利进行商业化利用是精神性人格权发展的必然选择，对于姓名及肖像这类可完全归属于个人的、受限较少的权利来说，其积极利用成为必然。个人信息权益普遍承载了公共利益和其他主体应予承认的利益，可谓多元利益和价值的聚合体[32](P.23-24)。而这种聚合性使得其性质仍然应当属于防御性的人格利益。

首先，知情权作为一种人格权益，因其位阶劣于权利，因此产生冲突时需让位于其他权利，存在诸多受限。如上文所述，作为知情权体系中重要组成部分的算法告知义务也受到诸多限制，如若一味强调主体的知情利益而要求告知义务在信息更为细密的程度上履行，则会影响到其他主体的合法利益进而使得目前的社会秩序产生动荡。因此，对于知情保障的要求，实际上基于主体对信息处理者未来可能性侵害的预先防御及监督。

信息主体的知情权本身被法律认可的时间较短，作为后生性权益受限极多，同时还因为不同的信息密度之知情而产生出多层次化的特征。因此，从事实上来说，知情权无法回避与其他权利冲突时受限的客观现实，信息主体的可支配行权空间有限。

其次，其相应的救济途径也体现出配套性特征。应当将行政救济作为主要渠道，而在对主体权利能产生直接产出的重要权益上配置请求权作为司法救济的实现路径。以知情权为例，对于侵害知情权的行为，主体往往直接选择向相关个人信息保护机构投诉的方式解决。这是由于，一方面行政投诉的经济成本显著低于诉讼。另一方面从救济的效果而言，仅侵害知情权的行为往往不涉及损害赔偿，即使诉诸于司法程序最后的要求也是要求信息处理者进行强制披露，此效果与行政投诉效果无异；再次，个人信息上的知情的利益存在时间敏感性，越早获得知情权，主体的个人信息越有可能受到更为周全的保护，行政投诉在时间上的优先性甚至优于司法途径。因此，这也可以理解为何GDPR虽赋予了数据主体以私人诉权，但是在知情权领域却鲜有直接诉诸法院的实例。

另外，对损害的证明存在困难也是司法救济途径受阻的原因。在民法领域中，传统意义上的损害是经济损失、财产价值的减少，以及非经济意义上的痛苦、创伤及生活品质的降低[33]。而后者往往需要被证明对当事人造成了严重的精神痛苦。如产生个人信息泄露，主体由此承担的下游财产性损害需得到赔偿自不待言，但是在下游损害尚未发生时，主体由此产生的焦虑及防范措施等是否可以为损害仍然存在争议。若未来的下游损害必将发生，受害人可引入预期侵权制度提前主张赔偿未来发生的风险[32](P.35)。只有真正存在损害才能要求赔偿，是民法固守的边界。若引入不必然发生的风险作为损害，似乎有过于扩大解释之嫌[34]。司法救济的路径不宜铺设过宽，否则容易变防御为“进攻”。

结语

从知情权体系的展开论证个人信息权益是防御性的人格权益。这种防御性不仅体现在作为新生权益所受到的各种限制之上，也同时体现在其救济手段有限之中，另外合理设计标准亦是保障权利能实际落地的重要手段。知情权以维护主体的人格权，增进社会信任为目标。为了满足利益的多元化存在，制度的构建也将呈现出多层次的表达，在人格权保护之中，也多采取动态系统理论[35]。由于个人信息主体对其个人信息知情的权利被法律正式认可的时间较短，鉴于其历史使命甚巨，其延伸和解释势必会产生与他人相关权利相冲突的情形。多层次的权利表达能很好地弥合冲突化解矛盾，亦可能是未来个人信息保护理论探索的应然之路。

来源：政法论坛. 2021,39(06)