假如谷歌事件发生在中国

2018年初的“支付宝年度账单事件”是我国个人信息保护的转折点。此后，不论是普罗大众，还是监管机构，对个人信息保护的关注点均从被动的“避免非法泄露”，向主动的“知情同意权利”迈进。我曾用“人民日益增长的个人信息安全需要与落后保护水平的矛盾”转向“人民日益增长的个人信息权利需求与不平衡不充分保护的矛盾”，来概括这一宏大趋势。

在刚刚发布的《关于开展App违法违规收集使用个人信息专项治理的公告》中，中央网信办、工业和信息化部、公安部、市场监管总局重申对App强制授权、过度索权、超范围收集个人信息的治理，要求收集个人信息时应以通俗易懂、简单明了的方式展示个人信息收集使用规则，并经个人信息主体自主选择同意；不以默认、捆绑、停止安装使用等手段变相强迫用户授权。显然，与法国CNIL相似，个人信息收集的透明度和一揽子捆绑同意亦是我国监管者关注的重点。

发现问题不难，难的是如何解决问题。最彻底的根治手段，莫过于在用户首次登录之时，巨细靡遗地列出所提供的不同服务、不同产品、不同业务功能及其相关的个人信息类型，并就各服务、产品、业务的信息处理规则（包括但不限于处理目的、方式、频率、存放地域、存储期限、对外共享、转让、披露的情形）一一告知用户，同时，针对每一项服务、产品、业务，向用户提供填写、点击或勾选的途径，以便于用户主动进入或退出。

然而，这样的解决方案一方面必然增加企业重新设计软件和用户界面的成本；另一方面，也必然大幅降低用户的使用体验。在以打造生态为目标的互联网上，纷繁复杂的产品、服务、功能往往关联到同一个账户。以百度为例，在“产品大全”的页面上就列出了搜索、导航、社区、游戏、移动、软件开发等八大类、百余种产品，更不用说这些产品中不断迭代的新业务了。面对数以百计的勾选窗口，估计任何一个正常的用户，都会选择直接关闭页面。

正是考虑到这一点，谷歌才通过一揽子的方式取得授权，而只有用户点击“更多选项”后，才能单独地选择同意接受数据处理的子项。除了给企业和用户带来不便，这样的全面披露甚至是“反人性的”。芝加哥大学教授欧姆瑞•本•沙哈尔在《过犹不及：强制披露的失败》充分揭示了信息披露的悖论。

在监管者看来，用户会感激涕零地利用披露信息进行审慎的决定，事实上，绝大多数人都是“决策厌恶”（decision averse）的：没有人愿意去做陌生而复杂的决策，他们总是希望利用更少的信息、花更少心思去做选择。所以，全面披露往往过犹不及。

那么，有没有更好的方案？

最容易想到的是“简化”全面披露。按照奥巴马政府的说法，这就是经由合理设计的“明智披露”（smart disclosure），“概括披露”即为最重要的典范。简单来说，我们可以将用户首要使用目的和最主要需求的基本业务信息（包括所处理的个人信息类型及其规则），打包提供给用户。同时，这些信息应当是标准化和简明的。

而针对上述“基本业务”以外的“扩展业务”，则应通过交互界面或设计向用户逐一告知并由其逐一选择同意与否。

显然，基本功能的概括披露和扩展功能的详细披露，减少了信息数量，大幅降低了企业和用户的负担。但这一区分的关键是：由谁以及如何判断基本业务？首先可以肯定的是，基本业务反映着企业和用户双方的合意，是企业和用户共同决定的结果。

为了避免企业利用自身优势，随意划定基本业务的范围，重蹈一揽子授权捆绑同意的覆辙，在企业和用户存在争议时，应当由国家执法机关或司法机关，基于企业的市场推广、商务定位、产品名称以及一般用户的理解与期待，加以综合判断。

与明智披露相比，超越披露的另一个思路是让专业信息中介机构来帮助用户。这里的“信息中介机构”可以是第三方测评机构，也可以是代表用户利益的消费者协会，甚至是职业的索赔者。它们在用户不愿或不能“知情同意”时，甄别隐私政策的优劣，矫正用户与企业之间关系的失衡，协助用户决策，并代替他们发出不平之声。

更重要的是，与一般的商品或服务不同，有关个人信息的规则是公共品，信息中介机构的任何努力、企业的任何改进，不仅仅为个别用户服务，而是会惠及我们每一个人。

我们深信，个人信息保护水平的提升，并不在于狂风暴雨的立法，而是蕴藏在点滴进步所汇聚的涓涓细流之中。