个人信息处理中的公开透明原则

个人信息处理中的公开透明原则引言随着数字技术深度融入社会生活的各个领域，个人信息已经成为重要的生产要素和社会资源，日常使用移动应用、办理政务服务、进出公共区域等场景都需要个人提交相关信息，个人信息处理的场景越来越多元、频次越来越高。但与此同时，个人信息泄露、滥用、大数据杀熟等侵权事件也频繁发生，严重侵害了公众的合法权益，而这类问题出现的核心原因之一，就是个人信息处理过程不透明，用户对自身信息的处理情况完全不知情。作为个人信息保护的核心原则之一，公开透明原则是打破信息处理者与信息主体之间信息不对称、保障用户知情权等核心权益的基础，也是整个个人信息保护体系得以落地的前提条件。正如相关立法说明中提到的，公开透明是个人信息处理活动应当遵循的核心准则，是保障个人知情权、决定权等权利实现的前提（全国人大常委会法制工作委员会经济法室，2021）。本文将围绕个人信息处理中的公开透明原则，从内涵界定、价值分析、现实痛点、落地路径四个层面展开论述，为该原则的有效实施提供参考。一、个人信息处理公开透明原则的基本内涵（一）原则的核心定义个人信息处理的公开透明原则，是指个人信息处理者在开展个人信息收集、存储、使用、加工、传输、提供、公开、删除等全流程处理活动时，应当将与个人信息处理相关的规则、实际处理情况，以清晰、准确、通俗易懂的方式向信息主体公开，保障信息主体能够及时、便捷地知晓自身个人信息的处理状态，为其行使各项个人信息权利提供基础。从权利属性来看，公开透明原则本质上是对信息主体知情权的制度保障，是对处理者天然具备的信息优势地位的平衡，避免信息处理者利用信息差侵害用户的合法权益（王利明，2020）。该原则贯穿个人信息处理的全生命周期，从信息收集前的告知，到处理过程中的可查询，再到处理结束后的删除告知，都需要符合公开透明的要求。（二）原则的两层核心维度公开透明原则包含“公开”和“透明”两个不可分割的维度，二者缺一不可。首先是“公开”的强制性要求，即处理者不能隐匿任何与用户权益相关的个人信息处理事项，凡是涉及个人信息的处理目的、处理方式、收集的信息类型、信息保存期限、信息共享或转让的对象及范围、个人行使权利的方式和流程等内容，都应当主动向用户披露，不能以“商业秘密”“内部管理规则”等理由拒绝公开，也不能仅在处理者的内部规则中列明而不告知用户。其次是“透明”的实质性要求，即公开的内容不能流于形式，要充分考虑普通信息主体的认知能力，避免使用过于晦涩的法律术语、技术术语，不能故意用冗长、模糊的表述混淆概念，要让不具备专业知识的普通用户也能准确理解信息处理的相关内容。比如部分处理者在隐私政策中写“我们将在合理范围内收集您的必要信息”，这种表述虽然完成了形式上的公开，但用户根本不知道“合理范围”“必要信息”的具体指向，完全不符合“透明”的实质性要求。（三）原则与其他个人信息保护原则的关联公开透明原则是个人信息保护体系的基础性原则，与合法、正当、必要、诚信原则，权责一致原则，目的限制原则等都存在紧密的关联。一方面，合法正当必要原则、目的限制原则的落地都需要以公开透明为前提，如果处理者不公开具体的处理规则，无论是信息主体还是监管部门，都无法判断其处理行为是否符合合法正当的要求，也无法判断其处理活动是否超出了事先约定的目的范围；另一方面，权责一致原则的落实也需要公开透明的支撑，只有处理行为全流程公开可查，出现侵权问题的时候才能准确溯源，清晰界定处理者应当承担的责任，避免处理者以“不知情”“未实施相关行为”等理由逃避责任。明确了公开透明原则的基本内涵和定位，我们需要进一步认识其在个人信息保护体系、数字生态建设乃至社会信任构建中的核心价值，才能真正理解落实该原则的重要意义。二、个人信息处理公开透明原则的核心价值（一）保障信息主体的人格权益个人信息是自然人人格权益的重要载体，信息主体对自身个人信息的处理享有知情权、决定权，是人格尊严的重要体现。如果信息主体连自己的个人信息被谁收集、收集了什么内容、用来做什么都不知道，本质上就是对人格尊严的漠视和侵害。比如不少消费者遭遇的大数据杀熟问题，同样的商品或服务，经常使用的老用户看到的价格比新用户更高，就是因为平台偷偷利用用户的消费记录、浏览偏好、消费能力等个人信息进行差异化定价，而整个处理规则完全不透明，用户根本不知情，也无法拒绝这种不公平的对待。根据消费者权益保护机构的调研，近六成的个人信息侵权纠纷起源于处理者未履行告知义务，用户对信息处理行为完全不知情（中国消费者协会，2022）。只有落实公开透明原则，让用户清楚知晓自身信息的处理情况，才能从根本上保障用户的人格权益不受侵害。（二）规范信息处理者的合规经营行为公开透明原则相当于给信息处理者的处理活动戴上了“紧箍咒”，一旦处理规则公之于众，处理者的所有处理行为都必须符合其公开的承诺，不能随意超出范围处理个人信息，也不能随意变更处理用途。比如处理者公开告知用户收集手机号仅用于账号登录和身份验证，就不能私自将手机号出售给第三方用于营销推广，否则就违反了自己公开的承诺，需要承担相应的法律责任。这种“阳光下的约束”能够有效倒逼处理者主动规范自身的处理行为，减少违规处理个人信息的动机，也能降低监管部门的监管成本，让监管部门可以通过对照公开的处理规则，快速判断处理者的行为是否合规。（三）筑牢数字经济发展的信任基础数字经济的发展高度依赖公众对数字服务的信任，根据相关调研，如果用户担心自己的个人信息被滥用，超过七成的用户会拒绝使用相关的数字服务。国际相关研究也指出，个人信息保护的透明程度，直接决定了公众对数字服务的信任度，是影响数字经济增长潜力的核心软性指标（联合国贸易和发展会议，2023）。如果公开透明原则能够全面落地，用户不用担心自己的信息被偷偷收集、滥用，就会更愿意使用数字服务，更愿意分享必要的个人信息，整个数字生态才能进入良性循环，数字经济的发展才有持续的动力。反之如果处理过程始终不透明，用户对数字服务的信任度持续下降，最终会制约整个数字产业的发展。尽管公开透明原则的重要性已经得到了立法、监管、学术等多个层面的广泛共识，但从当前的实践落地情况来看，该原则的实施仍然存在诸多痛点，很多要求还停留在纸面，没有真正转化为对用户权益的有效保障。三、当前个人信息处理公开透明原则落地的现实痛点（一）形式化公开问题普遍存在很多信息处理者将公开义务当成了应付合规检查的“走过场”，根本没有考虑用户的实际知情权。一方面，公开的入口极其隐蔽，不少移动应用将隐私政策放在三四级菜单中，用户需要点击四五次才能找到，部分应用甚至在首次安装之后就再也找不到隐私政策的入口；另一方面，公开的内容晦涩难懂，很多隐私政策长达数万字，充斥着大量的专业术语，普通用户看完需要几十分钟，根本没有耐心读完，还有的故意用模糊的表述掩盖真实的处理行为，比如用“为了改善服务质量”“提升用户体验”这种泛泛的表述，代替对具体处理用途、处理范围的说明，用户即使看完也不知道自己的信息到底会被如何处理。根据监管部门历年的合规检测结果，超过三成的移动应用存在隐私政策晦涩难懂、告知事项不完整的问题，部分应用甚至故意隐藏处理敏感个人信息的相关条款（国家互联网信息办公室，2023）。（二）全流程动态告知机制缺失很多处理者的告知行为只停留在用户首次使用产品或服务的阶段，之后处理规则发生变更、处理范围扩大等情况时，根本不会主动告知用户，只是偷偷修改隐私政策的内容，等着用户自己发现。比如部分应用在版本更新之后，默认新增了收集麦克风、相册、精准位置等敏感权限，用来收集用户的聊天内容、照片、行动轨迹等信息用于精准营销，但从来没有主动告知用户，也没有重新取得用户的同意，直到监管部门检测发现才被迫整改。还有很多处理者没有为用户提供查询个人信息处理记录的通道，用户根本不知道自己的信息被处理了多少次、被共享给了哪些第三方、具体用到了什么地方。（三）权利救济环节的透明度不足当用户发现自己的个人信息可能被违规处理，向处理者提出查询、复制、更正、删除个人信息的请求时，很多处理者要么拖延回复，要么给出的答复极其模糊，只用“相关信息已按照规定处理”“用于合法用途”这种套话应付用户，不会告知具体的处理情况。如果处理者拒绝用户的请求，也很少会给出具体的、有依据的理由，只是笼统地说“不符合相关规定”，用户根本不知道自己的请求为什么被拒绝，也不知道该通过什么渠道维权。还有部分投诉处理流程也不透明，用户提交投诉之后，不知道处理进度，也不知道处理结果的依据是什么，维权成本极高。（四）特殊场景存在公开透明真空除了市场化的商业服务场景之外，公共服务、公共空间管理等场景的公开透明义务落实情况更差。比如很多小区的智能门禁、单位的人脸识别打卡系统，收集了住户、员工的人脸信息这种敏感个人信息，但从来没有公开收集的主体是谁、信息会保存多久、会不会被共享给第三方，甚至很多用户根本不知道自己的人脸信息已经被收集了。还有部分政务服务部门在处理群众提交的个人信息时，也没有公开相关的处理规则，群众不知道自己提交的身份证、户口本、房产信息等会不会被共享给其他部门，会不会被用到办理业务之外的其他用途，存在很大的信息泄露风险。针对上述落地过程中存在的各类痛点，需要从制度细化、机制完善、场景覆盖、监督保障等多个维度共同发力，才能推动公开透明原则从纸面的法律要求，转化为全场景可落地、用户可感知的权益保障。四、个人信息处理公开透明原则的落地实施路径（一）细化公开内容的标准化、通俗化要求监管部门应当出台更加细化的公开内容指引，对个人信息处理者需要公开的事项进行明确的列举，比如收集的个人信息类型、每项信息的处理用途、保存期限、共享的第三方范围、第三方的使用用途、个人行使权利的方式和流程等，都要求必须明确列出，不能用模糊的表述。同时要明确要求公开的内容必须通俗易懂，对涉及敏感个人信息处理、信息共享等和用户权益密切相关的重点内容，要采用加粗、高亮、弹窗提示等方式突出显示，还要要求处理者提供极简版的隐私告知，比如将核心内容浓缩到几百字的篇幅，让用户在一分钟之内就能了解最关键的处理规则，降低用户的知情权行使成本。正如相关学术研究指出的，对公开内容进行标准化简化，是降低用户知情权行使成本的核心举措，既能够减少处理者的合规成本，也能真正实现告知的效果（张新宝，2022）。（二）构建全周期的动态告知机制要明确要求信息处理者的告知义务覆盖个人信息处理的全周期，而不仅仅是首次使用阶段。如果处理者要变更处理目的、处理方式、收集的信息类型、共享的第三方范围等内容，必须提前以弹窗、短信、站内信等显著方式主动告知用户，并且重新取得用户的明确同意，不能默认用户同意变更后的规则。同时要强制要求处理者为用户提供便捷的个人信息处理记录查询通道，用户可以随时在产品或服务中查询自己的个人信息在什么时间、被什么主体、用于什么用途、有没有被共享给第三方等详细记录，让用户对自己的个人信息处理情况一目了然。（三）完善透明度相关的权利救济机制要明确用户行使查询、复制、更正、删除个人信息权利的具体流程，要求处理者在收到用户的相关请求之后，在规定的时限内给出明确、具体的答复，不能用套话糊弄用户，如果拒绝用户的请求，必须给出具体的法律依据和事实理由，同时告知用户后续的投诉、维权渠道。监管部门也要畅通针对公开透明义务履行问题的投诉举报通道，对用户举报的未履行告知义务、模糊告知、拒绝提供处理记录等问题，要及时核查处理，对违规的处理者依法进行处罚，并且将处罚结果向社会公开，形成警示效应。还要探索建立集体诉讼、公益诉讼等机制，对大量用户遭遇的同类型不透明侵权问题，由消费者权益保护组织等机构提起公益诉讼，降低普通用户的维权成本。（四）强化特殊场景的公开透明义务履行针对公共空间管理、政务服务等之前公开义务落实不到位的场景，要出台专门的规则明确其公开义务。比如在公共区域安装收集个人信息的设备，比如公共摄像头、人脸识别门禁等，必须在设备旁边的显眼位置设置标识，明确告知收集的主体、收集的信息类型、处理用途、保存期限、联系方式等内容，让路过的群众都能清楚知晓。政务部门处理个人信息的时候，要专门公开本部门的个人信息处理规则，明确哪些信息会在部门之间共享、共享的用途是什么、信息的安全保障措施是什么，主动接受群