内容摘要：《中华人民共和国个人信息保护法》在个人信息处理中增设了诚信原则，有效应对了个人信息侵权无法穷举的情况，使个人信息处理标准更为严格，进一步保障了处理过程中的个人信息安全。诚信原则以告知同意原则为前提，要求信息处理主体必须诚恳坦白，信守诺言，充分保障信息主体的个人信息权益。个人信息处理者在实践适用时应注意规范公开信息处理过程，明确权利义务和算法透明等内容，并对敏感个人信息作特别规定。
关键词：个人信息保护法；个人信息处理；诚信原则
一、问题的缘起
诚实信用原则最早出现于债法领域，后逐渐沿用于合同法等其他私法之中，该原则有效维护了民事法律关系的成立和存续，是民法领域的“帝王条款”。随着我国法律体系的不断完善与融合，诚信原则便越来越广泛地出现在各个部门法中。
2021年8月正式公布的个人信息保护法第一次在个人信息保护领域就诚信原则进行了明确的法律规定。该法第一章第五条至第九条规定了信息处理原则——合法、正当、必要、诚信、目的、公开透明、质量和责任原则，进一步规范了处理个人信息的行为标准，增加了个人信息处理主体的法定义务，严格了个人信息处理过程中的法律责任，对个人信息权益起到了更为有效的保护作用。为了能够更好地发挥诚信原则在个人信息保护中的作用，应当基于法教义学对其制度价值、具体内涵和实践适用作出进一步的分析。
二、个人信息处理中诚信原则的制度价值
（一）诚信原则在个人信息保护领域的确立
我国个人信息保护规范虽数量众多，但基本法规范的长期空白使其缺乏相应的制度支撑。2021年正式生效的《中华人民共和国民法典》第一次较为详细地构建了个人信息保护的基本框架和遵循原则，为后续法律的制定与执行奠定了基础。民法典第四编第1035条规定，处理个人信息应当遵循合法、正当、必要原则，不得对合法获取的数据进行过度处理。这一条款延续了以往个人信息处理法律规范的立法宗旨，同时增加了信息处理的限制条件，使信息处理主体的行为标准更为严格。
在民法典的基础上，个人信息保护法进一步明确立法目的，凝练法理内涵，增设诚信原则。民法典第7条规定：“民事主体从事民事活动，应当遵循诚信原则，秉持诚实，恪守承诺。”这一原则要求民事主体必须信守承诺，不得欺骗对方，亦不得以消极形式进行误导，使对方产生误解。个人信息处理者则应当明确优先保障个人权益的价值取向，维护信息提供方的信赖利益。[1]
民法典个人信息处理的规范条款中已然隐含了诚信原则的要求，第1035条第二款要求信息处理规则公开，第三、四款也从不同角度对公开信息处理程序做出详细规定。而这些条款所体现的具体要求，都以诚信原则的名义延续到了个人信息保护法之中。
（二）进一步延伸了个人信息保护原则范围
数据技术的不断提升给个人信息保护不断带来新的难题。为了保障民法典、个人信息保护法等个人信息保护相关法律的稳定性和可持续性，为了尽可能妥善地保障个人信息安全，信息处理者的处理行为必须受到事前的严格规制。
在适用合法、正当、必要原则不能有效化解个人信息处理危机或导致价值失衡时，第5条所增加的诚信原则是应对无法穷举的信息处理方式和侵权形式的一种预先策略。第一，在实践中，即使信息处理行为同时符合前三条基本原则，也有可能发生难以进行法律适用的情况。为了最大程度地确保对自然人个人信息安全的保障，总则中加入诚信原则规定，要求个人信息处理者的行为必须诚实守信，不得因自身的不诚信行为而获利。第二，严格遵循告知同意原则是个人信息处理行为具有合法性的必要前提，个人信息处理主体具有将收集、使用、储存等环节信息如实告知用户的义务。因此信息处理者必须以诚信原则为基本遵循，确保用户信息安全。因此，诚信原则不仅与合法、正当、必要原则具有内在逻辑，同时也是对前三项原则的递进与延伸。
与此同时，诚信原则还对其他原则起到引领作用。公开透明原则要求明示处理目的、方式和范围，与诚信原则公开披露有关信息的要求不谋而合。诚信原则要求信息处理方对信息主体保持善意，这要求最大程度上保障个人信息安全，确保信息主体享有对应权益。无论是目的原则、信息质量原则还是责任原则，都体现明显的“行为人善意”要求，与诚信原则相呼应。信息主体行使决定权以熟知个人信息处理程序，以及信息处理方的善意为前提，以诚信原则为桥梁。如果没有诚信原则的保障，个人信息权益就无从谈起。
（三）诚信原则于个人信息处理的特殊性
此次个人信息保护法中其他新规定的原则，如公开透明原则、合目的性原则、责任原则在以往法律中均有所体现。个人信息保护法第一次将诚信原则运用于个人信息保护领域，对严格个人信息处理标准和完善个人信息保护制度具有特殊意义。
个人信息保护的最低原则是基于原则规范共识，并依据各国具体国情和原则的普遍性所总结出的个人信息保护最小合集。[2]公开性、限制性原则等基本原则是国际社会普遍认同的个人信息保护最低原则。在此基础上，各国会依据自身社会发展需要和经济发展状况制定更为严格的原则，诚信原则就是其一。这一原则在其他国家和地区的法律中时有出现。《巴西通用数据保护法》第6条规定，处理个人数据应当符合诚信和相应原则；我国台湾地区个人信息保护法也对诚信原则作出了规定。民法意义上的诚信原则通常指民事法律关系存续期间，当事人双方应当诚实守信、遵守诺言，不得以对方或第三方损失为代价谋求自身利益。[3] 与民法略有不同的是，个人信息保护法中的诚信原则内涵更为广博，包含公开透明、最小限度影响等多项内容，要求个人信息处理者公开个人信息处理过程，不得秘密进行有关活动。[4]
三、诚信原则在个人信息处理中的具体内涵
（一）诚信原则的一般内涵
第一，诚信原则与合法、正当、必要原则相互融洽、相辅相成。因此，符合诚信原则的行为必须首先遵循宪法、民法典、个人信息保护法等现行法律法规的明确要求，确保个人信息处理目的明确，处理行为确有必要。[5]
第二，诚信原则要求进行个人信息处理行为时必须真诚坦白。虽然个人信息处理方和信息提供方居于法律上的同等地位，但当信息主体为达成社交目的或获取生活用品而必须使用信息处理方所提供的网络产品及服务时，信息主体只能被动同意拟定的格式条款，且双方处于信息能力不对等地位。[6]因此，必须提升信息处理主体的法律责任，保证其如实披露个人信息处理信息，确保各环节安全可靠。个人信息处理方应当将自己所掌握的、涉及信息主体利益的信息以具体、明确的方式告知信息主体，并确保信息主体能够便捷获取有关信息，明晰处理情况，以保障信息主体行使知情权。
第三，诚信原则必须以告知同意原则为必要前提。告知同意原则是指处理者应当充分告知权利人个人信息收集使用情况，并以征得明确同意为信息采集前提。
[7]如有涉及特殊群体如未成年人，以及涉及健康医疗信息、地址信息、投资理财信息等敏感个人信息的，均应当另行列出，并在征得信息主体的明确同意后进行收集使用。诚信原则必须建立在告知同意原则的基础上，才能充分保障信息主体的“信息自决权”。
第四，诚信原则具备法律修正功能。当适用其他法律条款可能会导致个案不公，或出现规定的新问题时，审判人员可以依照诚信原则进行裁判，扩大裁量空间，灵活审判，维护案件公平公正。
[8]
（二）禁止误导、欺诈、胁迫的信息处理方式
《个人信息保护法》在规定诚信原则的同时，要求信息处理者 “不得通过误导、欺诈、胁迫等方式处理个人信息”，这显然是对民法典“不得过度处理个人信息”要求的延伸。个人信息处理行为应当遵循必要性原则和最低限度原则。必要性原则明确了处理个人信息的合理界限，
[9]最低限度原则提升了个人信息处理行为标准。只有当个人信息是信息处理主体为用户提供产品或服务所必要的时，才应当对相关个人信息进行采集使用，同时需尽可能降低个人信息采集数量、缩小采集范围。因此，民法典中的“不得过度处理”规定要求信息处理者不仅应当合法处理信息，还应当以提供服务为目的且尽可能少地收集信息为处理规则。
相较于民法典的表述，《个人信息保护法》的规定不仅符合原有的合法、正当、必要原则要求，同时也符合诚信原则所提出的诚实守诺要求。个人信息保护法第6条规定：个人信息的收集应当限于实现处理目的的最小范围。该条款是基于第5条进行的补充说明。因此，第5条——禁止“误导、欺诈、胁迫”行为是对于个人信息处理诚信原则基本内涵的进一步扩充。个人信息处理主体不得默认信息主体同意信息条款，不得以停止服务为由胁迫信息主体同意条款，更不得以虚假信息欺瞒、诈骗信息主体。
个人信息的获取基于告知同意原则。如果以误导、欺诈或胁迫的方式进行信息收集和使用，则侵害了信息主体对于自身信息的知情权和决定权，信息主体所作出的承诺亦非真实表意，个人信息处理主体亦不得根据无效的个人表意采集使用个人信息。
四、诚信原则在个人信息处理中的实践适用
（一）规范公开个人信息处理程序
诚信原则应当贯穿个人信息处理始终，这就要求个人信息处理主体规范公开个人信息处理程序。信息处理主体应当依照法律法规和行业要求制定符合企业个人信息及隐私保护条款，内容应包含信息安全保障、跨境传输管理、个人享有权利等。规范化的个人信息处理程序有助于企业高效应对大规模用户，减少企业运行成本，防范风险。同时，规范公开的信息处理程序能有效帮助信息主体掌握个人信息处理流程，确保其知悉自身信息在每个环节的处理流程和状态。
诚实原则还要求信息公示的可视化与便捷化。个人信息保护法第17条规定，个人信息处理者应当注意以显著方式公开信息处理程序，同时还应当使公告语言清晰易懂、真实、准确、完整。大量的学术专业用语会降低信息主体对信息的接受度，间接导致个人权益的不完全行使。因此，个人信息处理程序应当以贴近民众生活、通俗易懂的语言进行表述，确保信息主体能快速明晰信息处理程序。
加强外部监督是确保信息处理程序规范公开的必然途径，个人信息保护法第58条要求业务规模大、涉及领域广的个人信息处理主体必须成立由外部成员组成的独立机构，对其个人信息保护状况进行监督。同时，个人信息保护主体还应当定期公布社会责任报告，接受人民监督。
（二）明确个人信息处理主体权利与义务
个人信息处理者通过告知同意规则或其他符合法律法规的情形所获取的个人信息可以被合理使用。在确保个人信息安全可控的情况下，个人信息处理者可以依据事先约定将个人信息用于计算用户喜好、产品使用习惯、使用频率等途径，以提升用户体验、优化服务内容或达成其他商业目的。出于特殊需要由各渠道采集到的特殊个人信息只能用于专有用途，信息主体拒绝授权亦不得被限制正常的产品使用。
信息处理者处理个人信息前应当确保用户知情。如果违反这一前提，即使处理行为符合法律条款所规定的特殊情况，也应当选择影响尽可能小的处理方式，并在最小限度内进行活动。事后应当尽快告知信息主体，并采取相应措施，真诚、努力地采取补救措施，缩小影响范围、弥补信息主体损失。如果信息主体要求撤回或删除相关信息，应当通过合理手段进行，保障主体删除权等权益的行使。
获取信息主体同意或符合法律法规的其他规定，从而进行个人信息处理的，应当严格履行约定、遵循法规，不得做出任何违反事先约定的行为，包括但不限于扩大使用范围、更改利用手段、增加使用目的等。
[10]个人信息处理方在信息处理过程中，应当以保障个人信息安全为价值导向，审慎行使处理权力。
（三）对敏感个人信息进行特别规定
敏感个人信息相较一般信息而言对权利主体的影响更大，因此必须采取更为严格的处理规范。个人信息一经泄露，就会带来长久性的潜在危害。即使暂时未被恶意利用，侵害发生的可能性也不会降低，个人信息会被不同侵害主体反复利用。
[11]个人信息一旦泄露，公民的生活安宁便无法得到应有保障。如果作为核心个人信息的敏感个人信息遭受侵权，权利人必然会受到财产上和精神上的双重侵害，给被侵权人带来的伤害也要比一般情况来得更为严重。鉴于敏感个人信息的特殊性，应当对这类信息进行各方位的特别保护。在民事责任归责方面，立法者也应当以更为严格的标准对信息处理者加以限制并进行单独规定。
诚信原则要求个人信息处理者以更审慎的态度和更严格的标准收集、使用敏感信息。在收集敏感个人信息前，应对信息主体就信息的收集、储存和使用等进行特别告知，并在显眼处突出强调处理程序。当信息主体具有特别要求或是信息丧失使用目的时，个人信息处理者应当及时删除有关信息或进行匿名化处理。
（四）个人信息处理算法透明
《个人信息保护法》第24条第1款对自动化决策做出规范，要求个人信息处理主体在使用算法时应保证决策透明和结果公平、公正。算法透明是针对算法的一种事前规制方法，公开算法能有效阻止个人信息处理主体利用算法违法谋私。算法透明是为了确保决策结果的公平正义，而结果则取决于自动化决策的规制。
[12]算法的公开透明促使其接受更广泛的公共监督，算法应用对象对决策的基本知情，促使算法利用方保证算法在可视范围内的严谨规范。如果算法出现失灵或不公正等问题，监管机构也能依照公开披露的算法程序追究算法利用方的法律责任。诚信原则进一步要求算法利用方在进行算法创设、选择算法时应确保善意，尊重用户合理信赖，主动选择高安全性、高合理性、公正性的算法。
当然，算法作为一种人类智慧产品具有知识产权，复杂的算法程序属于商业机密。算法的完全透明显然并不利于算法行业的良好发展。因此，应当由专职监管机构对算法进行事前、事中审查，而非完全公开。同时，算法利用方应当将算法运行情况、结果制作可视化图文，附列于公开报告之中。
参考文献：
[1]张新宝.个人信息处理的基本原则[J].中国法律评论,2021(5):20-21.
[2]个人信息保护课题组.个人信息保护国际比较研究[M].北京:中国金融出版社,2017:49-51.
[3]梁慧星.民法总论 [M].北京:法律出版社,2001：288．
[4]程啸.论我国个人信息保护法的基本原则[J].国家检察官学院学报,2021(5):8.
[5]刘权.论个人信息处理的合法、正当、必要原则[J].法学家,2021(5):2-3.
[6]王苑.个人信息保护在民法中的表达——兼论民法与个人信息保护法之关系[J].华东政法大学学报,2021(2):72.
[7]齐爱民.信息法原论[M].武汉:武汉大学出版社,2010:76.
[8]李夏旭.诚信原则法律修正功能的适用及限度[J].法学,2021(2):58.
[9]刘忠炫.个人信息处理的合理限度——基于必要性原则的场景化分析[J].上海政法学院学报（政法论丛）,2021(7):1.
[10]程啸. 论我国个人信息保护法的基本原则[J].国家检察官学院学报,2021(5):9.
[11]商希雪.侵害公民个人信息民事归责路径的类型化分析[J].法学论坛,2021(4):104.
[12]沈伟伟.算法透明原则的迷思——算法规制理论的批判[J].环球法律评论,2019(6):23.
咨询电话 : 029-81130634
