1. 问题的提出
无论是在《个人信息保护法》实施之前，抑或是其实施之后，理论界一直存在关于“个人信息知情同意”存废之争。肯定同意者基于信息自决权理论，以个人同意为核心，对个人信息的保护侧重事前预防；并认为同意的有效性缺失并不能否认其作为信息处理的合法性基础 [1] 。当然，也有学者意识到“同意”的适用模式应当转变。其一，提出“弱同意” [2] 。如果能够保证信息利用满足情景合理测试要求，同意可以推定的方式作出。但是推定同意缺乏规范性，在司法审判中很难判定信息主体是否存在同意。其二，弱化同意的功能并引入信义义务以强化对信息主体的保护。同意不产生绝对免责效力或承诺授权效力，其只起程序作用 [3] 。总之，在数字时代，同意机制不能兼顾信息自决与公共利益，退而求其次寻找同意的形式功能，仍绕不开同意效力弱化的趋势。其原因在于，信息主体很大程度上已经无法控制启动个人信息处理进程，“同意”条件自然形同虚设；况且，信息主体可依据信义义务下的删除权(下文赘述)阻却个人信息处理进程。否定同意者基于分享优先，强调信息的流动性以及公共属性，侧重通过事后救济方式来规制信息处理者的行为。即明确防止滥用应是个人信息处理行为规制的原则，对信息处理者滥用行为采取严格责任，并赋予信息主体必要的删除权 [4] 。笔者比较认同该制度建构，但是其并没有论证禁止滥用的理论基础、滥用的标准以及删除权行使的具体情形，缺乏实践上指导性。
据此，本文认为，有效同意只存于制度建构中，同意不能顺应数据共享时代个人信息多样化利用的趋势；反之，禁止滥用原则采取事后救济的方式也能充分保障个人信息。禁止滥用原则在理论上具有自洽性，实践上具有可行性。最后明确滥用行为的判断标准以及禁止滥用原则下删除权的定位，为司法实践提供指导。
2. 禁止滥用原则的引入
在互联网时代，个人同意有效性缺失，知情同意原则流于形式，甚至在一定程度上无法充分保障信息主体权益。并且在数字时代，个人信息处理行为大规模存在，知情同意原则注重对个人信息的自我控制，其势必会阻碍信息的充分流动，影响信息价值的实现，阻碍经济和社会的发展。因此有必要引入禁止滥用原则以实现信息的充分利用。
2.1. 同意不能有效保护个人信息权益
根据我国《个人信息保护法》第14条之规定，有效同意需满足两个标准：同意必须是信息主体在充分知情下作出的以及同意必须是自由且明确的。立法者引入理性经济人预设，假定信息主体能基于理性且知情，充分利用被告知的信息，在分享信息与否上作出利己的决策 [3] 。但在数字时代，有效同意只存于制度建构中，现实生活中的自然人并不具备完全理性，信息主体作出同意也并非完全出于理性，有很多因素都会影响其行为决策。其一，数据共享下信息主体并不享有足够分享信息的自由空间。若个体面临的选择是非此即彼的，那实质是一种变相的强迫。用户必须提供自己的信息和数据以换取网络服务和商品，尽管没有人强迫我们使用网络服务，但是实际上选择并非基于自由。在要么同意，要么无法使用服务的情况下，阅读隐私政策没有任何作用。其二，信息主体的充分知情无法有效保证。信息主体知情权的保障需要信息处理者的充分告知。但基于隐私政策和用户协议内容上的专业性、文本上的冗长性，信息主体没有时间成本以及耐心来仔细阅读该类文件，信息主体知情权没有获得实质保障。因此，有效同意在实际生活中无法实现。甚至，同意在一定程度上甚至会违背“保护个人信息权益”立法宗旨，成为信息处理者滥用信息的保护伞。在“肖某某与京东网络侵权责任纠纷”一案中1，法官认定隐私政策具有合同约束力。据此，信息主体点击同意的行为视为合意，这在一定程度上将导致个人信息处理行为利用正当性的泛化，同意的目的似乎不在严格保护个人信息，而是成为信息处理者用来规避其滥用信息的免责条款。
2.2. 同意与数据时代信息共享冲突
在传统信息时代，个人信息的定义深受洛克个人所有权思想以及康德的理性主义的影响，因此在对个人信息的传统理解上个人自治和选择成为其固有涵义。与此同时，个人信息的保护也围绕个人权利而建构，例如欧洲基于人的尊严保护的个人数据控制理论以及美国基于个人自由保护的隐私自治理论 [5] ，就是认为个人作为理性和自主的人，其有决定信息分享的自由。在这样的理论影响下，多数国家对公民个人信息的法律规制注重严格保护，因此建构了以知情同意原则为最基本的个人信息处理规则。例如，2004年法国颁布的《数据处理、数据文件及个人自由法》第7条规定：“个人数据处理必须得到数据主体的同意……”。
个人信息自决权存在基础在于信息主体有自决分享信息以及控制信息的能力，但是在数字时代，个人信息决定自由以及控制都将受到限制。首先，个人信息是信息主体参与社会互动时标识自己所必需的工具，因为他人有知道是在和谁打交道的权利 [6] 。从这一层面上而言，信息主体的决定自由就要受到限制。因为你必须披露一定的信息，以使得对方基于披露的信息进行有效识别。其次个人信息作为一种重要资源，起到维系经济正常运转所共生共存的重要作用 [7] 。因此个人信息的价值在于流动，若以同意作为信息收集的前提，将阻碍数据链条完整性的形成，不利于个人信息价值的实现。最后，数据共享是必然。随着算法技术的成熟运用，信息在数字时代下高速运转，信息的整合与分析带来了巨大的数据红利，推动了社会经济的发展与进步。打破数据壁垒，整合数据资源是数据共享时代必然的趋势。因此，个人信息保护保护领域的立法也必须适应现代社会、商业生活中对于信息共享的必要性。
2.3. 禁止滥用原则有效化解数字时代个人信息处理的矛盾
禁止滥用原则在个人信息处理领域的应用主要是指，信息主体基于信任分享个人信息，信息处理者负有信义义务，忠诚、谨慎处理个人信息，符合信息主体对信息处理者的合理期待，防止出现滥用信息行为以消解信息主体的信任。基于信任关系的禁止滥用原则何以有效化解数字时代个人信息在利用和保护之间的矛盾？首先，禁止滥用原则不再以同意为信息处理的前提。在数字时代，个人信息并非是实实在在的有形物，其以数据的形式存储于服务器、终端设备，信息主体很难现实占有并予以有效控制，信息主体的同意似乎也只是可有可无的存在。同意似乎如同“没有上锁的门”，信息处理者没有障碍便可进入房间(收集信息主体的个人信息)；而信息主体能做的也只是将其赶出房间(对信息处理者行为的规制)，再去追究未经同意擅自进入的责任似乎毫无意义。因此，对于存在制度建构中的同意规则，何不摒弃。其次，禁止滥用原则符合数字时代信息共享的需求。知情同意讲究个人信息的自我控制，势必与打破数据或信息孤岛，实现数据互联互通、高效共享的时代要求相悖。但滥用原则并不以同意为基础，信息主体基于信任分享其个人信息，信息处理者可以在信息主体的处理个人信息的合理期待范围内充分使用信息，发挥信息价值的最大化。再次，禁止滥用原则仍可以提供有效的事后救济方式来规制信息处理者的行为，即明确防止滥用应是个人信息处理行为规制的原则，对信息处理者滥用行为采取严格责任，并赋予信息主体删除权。这种保护模式更加贴合现实生活。例如在现实生活中，对于信息处理者擅自收集信息行为，绝大部分信息主体在信息权益未受实质损害的情况下并不会寻求司法救济以排除信息处理者收集行为。例如，淘宝会跟踪用户购买的商品，并利用这些信息来识别用户可能想购买的其他类似商品。网购平台并没有滥用用户的信息，而是更好的提供了用户体验。所以用户并不关心网购平台拥有以及怎样拥有其信息，问题是网购平台会怎么处理该信息。
3. 禁止滥用原则的证成
否定同意，确定禁止滥用原则，既是对数字时代个人信息同意制度形式化的回应，更是畅通大数据信息共享的必要，是有效化解个人信息充分利用与保障之间的矛盾的应有之策。笔者将从理论和实践两部分论证禁止滥用原则以信任关系为依托，可在保护个人信息的基础上实现信息利用的最大化。
3.1. 理论上的自洽性
3.1.1. 禁止滥用原则的理论依据
禁止滥用原则是信息处理者与信息主体信任关系下应有之义。信息主体与处理者作为私权利主体，处于平等地位，应处于一个相对稳定、彼此牵制的状态；但在数字时代，信息主体绝对依赖或者被迫依赖于信息处理者；信息处理者掌握庞大资源，依托算法技术，突破权利空间向权力转化，形成权力失衡的局面，而信任可以缓解这种紧张状态。个人自愿将信息分享于他人，期待他人会依据预测的方式行事，即信任他人会以合理的方式处理信息。
产生信任的四种主要方式是通过反复互动、显式或隐式线索、互惠以及信任转移 [8] 。他人通过与信息主体多次互动，并在互动中均以值得信赖的方式行事，信息主体将产生信任，增强与其分享的可能性。显式线索，例如保密条款；隐式线索，例如私密空间。互惠规范可以增强信息主体分享的信息的可能性。信任转移，即从已知的可信任方式转移到未知的陌生人或熟人，例如用户对网络平台的信任转移给其不了解的网络商家。虽然在互联网时代，产生信任的方式与上述四种方式并非完全相同，但有异曲同工之妙。我们作出在线共享决策(点击同意隐私政策、发布微博等)并非完全出于理性，因为个人分享信息时总是会依据自己的背景知识进行比较判断，并在达到一定信任度的情况下分享信息。网站数据使用惯例、网站外观与安全性、软件被下载次数以及评分等都会影响信息主体的信任，进而左右分享的意愿。
分享信息是信息处理的前提，信任是个人信息分享的最大动力，有助于我们与他人建立联系，并鼓励更大、更有意义的互动。信任作为一种有用性的资源，信息处理者应为信息主体提供有用的价值，制定公平透明的程序保护信息，保持自己的信誉，增强并维持用户信任感，进而提升信息主体的分享意愿。同时，信任也需要法律规范保护，防止信息处理者破坏信任。信息处理者不能以超出合理预期的方式使用数据，不能对信息主体产生不利影响或者违反规范的方式使用这些基于信任分享的信息。因此个人信息保护立法应成为保护和修护信任关系并促使信息共享的工具，规制个人信息的潜在滥用行为并给予救济，较之规制其收集和正当的使用行为，不仅可以实现信息保护，还可实现信息利用的最大化。
3.1.2. 禁止滥用原则的法律依据
在否定同意的基础上，服务协议以及隐私政策不再是信息主体与信息处理者之间的电子合同。因此，域外学者提出对信息处理者科以信义义务以保障信息主体权益。信息信义义务理论的首创者，杰克·巴尔金认为信息处理者对信息分享者，如医生对病人、代理人对被代理人一样负有特殊义务，这种特殊义务与传统受托人的信义义务类似，但也有不同之处。信息信义义务并不要求信息受托人以积极作为促使用户利益增长，只限于不得泄露和滥用个人信息 [9] 。自杰克·巴尔金首倡信义义务以来，信息处理者应否承担信义义务，我国理论界一直存有争议。支持者认为信义义务制度可以实现个人信息保护与利用的平衡 [10] ，但也有学者从传统信托理论分析信息信义义务理论在主体、客体以及内容方面均存在缺陷 [11] 。笔者主张将信义义务引入个人信息处理，正如上文所述，个人信息领域信赖关系的建立以及信义义务的内容均有其特定的含义，不同于传统的信托。因此，从传统信托上分析个人信息领域的信义义务，本身存在手段上不匹配，哪能得出正确的结论。不能以未明示的方式建立的理由而否定信息处理者与提供者之间的事实上的信义关系。
信息信义义务理论来源于美国默示或推定信托，在英美法系该理论有存在的基础 [11] 。作为大陆法系国家，我国法官依据法律规范进行裁判，因此信息处理者的信义义务也必须有法律上的依据。在《个人信息保护法》出台前，有学者认为，民法中诚实信用原则的一般条款可以为推定信托提供法律依据，由法官依职权在具体案件中引入 [12] 。《个人信息保护法》出台后，该法第5条新增诚信原则作为处理个人信息应当遵循的原则，此原则的确立为增加处理者的信义义务提供了法律依据 [13] 。诚信原则要求在不损害他人利益和社会利益的前提下，追求自身利益。信息处理者在收集与利用信息时应当符合诚信原则的要求；在信息侵权案件中，法官也应依职权对信息处理者的行为是否符合诚信原则，是否构成信息滥用进行审查。可以说个人信息保护领域诚信原则的确立为引入法定的信义义务提供了依据。甚至在一定程度上来说，大陆法系的诚信原则更适合作为信息信义义务理论基础，诚信原则仅要求当事人不得通过不正当手段损人利己，并不要求为相对方利益而行动，这与信息受托人“禁止滥用信息委托人权益”的义务内容一致。信义义务要求下的忠诚、谨慎内容也可被诚信原则涵盖在内。在否定同意的基础上，涉及信息侵权时法官可直接依据《个人信息保护法》第5条诚信原则裁判信息处理者是否构成滥用。
3.2. 实践上的可行性
3.2.1. 立法实践
考虑数字时代经济发展对信息的依赖性，部分国家立法上已将否认同意作为个人信息处理的合法性基础。美国的实务界及理论界均认为，数据共享、促进数据有序开发利用已经成为不可逆转的趋势。在这样的思想影响下，美国引入了以场景为主导的新机制。《消费者隐私权法案》规定，当数据使用目的与预期场景一致时，无须征得信息主体同意，可直接使用该信息 [14] 。这意味着，个人信息的使用并非只能基于信息主体同意，个人信息不再被视为对个人权益的绝对控制。场景机制实质是在判断特定应用场景下个人信息的收集与处理是否符合信息主体的合理期待，若符合合理期待，则信息处理者行为不构成滥用。因此，虽然美国并未直接规定禁止滥用原则，但场景机制与禁止滥用是对该问题从正反维度的解答，二者均可以将信息流转与信息保护从矛盾对立中解放出来。
从我国关于个人信息保护的立法情况来看，注重对信息的利用已是立法趋势。2017年实施的《网络安全法》第41条明确规定，网络运营者收集使用个人信息必须经过信息主体的同意，即将知情同意原则作为处理信息的唯一合法基础。2021年实施的《民法典》第999条以及第1036条，分别规定了基于公共利益可以合理使用民事主体个人信息行为以及个人信息合理使用的免责情形。之后实施的《个人信息保护法》第13条吸收了《民法典》的规定，并且进一步扩大了合理使用的情形。综合我国现行法律关于个人信息合理利用的规定，主要涉及以下方面：第一，为维护信息主体利益所必需，包括合同的订立与履行，人力资源管理，紧急情况下为保护自然人的生命健康和财产安全所必需；第二，基于公共目的所必需，包括应对突发公共卫生事件，实施新闻报道、舆论监督，履行法定职责与法定义务；第三，处理已合法公开的个人信息行为。最后规定的兜底条款更有进一步扩大合理利用情形之意。在涉及个人信息处理情形最多的商业领域，我国《个人信息保护法》第24条对自动化决策作出了特别规定。只要符合处理程序透明和结果公平合理原则的要求，信息处理者在利用个人信息自动化决策的首次推出不需要取得信息主体的同意。大范围的数据处理需要取得众人同意在实践上不仅不具有可操作性，赋予信息主体同意否决权还将导致数据链条断裂，数据分析无法进行。合理利用的范围不断扩张，个人信息获取需取得信息主体同意情形不断限缩，否定同意也将逐渐被普遍接受。因此，从我国立法实践来看，个人信息从强调对权利的尊重向鼓励信息利用而演变，这为在立法上直接规定信息处理者禁止滥用个人信息原则奠定基础。
3.2.2. 司法实践
在《个人信息保护法》对基于商业目的的自动化决策规制前，信息处理者未经信息主体同意且不构成合理利用情形时，应认定为个人信息侵权行为。但司法实践中却不尽如此。在凌某某诉抖音一案中2，原告凌某某在手机通讯录除本人外没有其他联系人的情况下，使用该手机号码注册登录抖音APP后，被推荐大量“可能认识的人”，其中有20位与原告存在社交关系。抖音之所以能向凌某某准确推荐其好友，是因为抖音从其他注册用户授权的信息库收集并存储了凌某某个人信息。法院认为，抖音虽未征得凌某某的同意，但法院在理论层面论证了本案中的收集行为构成对个人信息的合理使用，因此抖音从其好友的通讯录中收集原告姓名和手机号码的行为合法。在本案中，抖音为推送(自动化决策)而进行信息收集属于商业目的，不属于理论上为维护信息主体利益以及公共目的的合理利用情形，但法院仍认定其为“合理利用”，本意在于不想跳脱“同意—同意豁免”的法律框架，但基于商业目的考虑个人信息无需同意的例外情形已不符合合理利用理论。法院判决的深意在于平衡各方当事人在本案场景下的利益，尤其是信息产业界的利益 [15] 。信息是数据的基础，对个人信息过于绝对化的保护，可能导致个人信息处理和数据利用的成本过高，甚至阻碍信息产业的健康发展。此案，为个人信息保护确立禁止滥用原则提供了司法实践上的可行性，本案抖音手机行为并未对原告个人构成侵扰，也并未造成原告人身权益或财产权益的损害，认定收集行为合法符合禁止滥用的内涵。
4. 禁止滥用原则的适用
适用禁止滥用原则实现对个人信息处理行为的规制，应当明确个人信息处理过程中滥用行为的界定标准以及作为滥用信息行为致使信息主体受有损害或可能有损害之时，产生信息主体行使删除权的适用效果。
4.1. 滥用行为的判断
“滥用”属于抽象概念，必须进一步对其具体情形作出限定。《网络安全法》基于侵害个人信息自决权的定位，规定滥用行为包括未经同意收集使用以及虽然经过同意但超越使用规则、目的、方式和范围的非法使用。《个人信息保护法》对信息处理者违法处理个人信息的行为作了全面规定，包括事前、事中、事后三个环节，几乎覆盖了信息收集以及处理的各个环节 [16] 。但在数据共享时代下，否定同意具有现实必要性，滥用行为判断标准及具体情形也应有所变化，例如未经同意获取个人信息行为不应再属于滥用行为(违法行为)。在比较法视野上，参照各国或地区民法关于禁止权利滥用原则的认定标准。笔者将“滥用”定义为超越信息主体基于信任产生的容忍限度的行为。“容忍限度”因个人一般信息以及敏感信息而不同，从严认定一般信息的滥用，采超越界限以及利益损害综合说；而对敏感信息采取超越界限说。
4.1.1. 一般信息之超越界限以及利益损害综合说
根据损害风险程度，大部分国家或地区个人信息立法对个人敏感信息与一般信息进行区别保护。按照“两头强化，三方平衡”理论，敏感信息承载了更高的人格尊严，信息流通具有极大的损害风险，应予以强化保护；而一般信息披露对信息主体产生损害的可能性较小，保护的紧迫性或程度低，应侧重信息利用 [17] 。所以，对于一般信息的滥用应从严认定，采取超越界限以及利益损害综合说。超越界限说来源于《日本民法典》第1条关于禁止权利滥用原则的规定，“行使权利及履行义务必须遵守信义”。超越界限说侧重平衡私权的行使与社会共同生活、公共福祉维护之间的关系，注重对行为的规则。只要行为违反信义，达到社会一般人的忍受限度，行为便构成了权利滥用。在数字时代，一般信息是数据分析的基础与必要，若以超越界限认定向第三方转移一般信息行为便构成滥用，将不利于大规模的信息处理，因此有必要以利益损害予以填补，要求造成公共利益或信息主体合法权益损害。关于损害：首先，信息主体合法权益受到损害不仅是信息权益损害，更重要的是个人人身权益以及财产权益的损失。若人身财产权益没有损害，司法实践中难以认定利益克减。其次，损害不仅包括物质损害，还包括精神损害。例如自动化决策中针对信息主体个人特征进行相应的推送，虽然没有造成物质损害，但造成了包括歧视在内的无形损害。再次，损害原则上不包括下游损害。典型案例如信息主体一般信息被第三方窃取，信息主体因第三方诈骗而受有财产损失。虽然理论界和司法解释基本上都认可下游损害，但认可原因在于信息处理者对于一般信息具有安全保障义务 [18] 。在禁止滥用原则下，一般信息侧重于利用，下游的损害与一般信息披露行为的因果联系较为遥远，应由第三方直接承担。不能因下游损害认定信息处理者对于一般信息的披露行为属于滥用行为。但倘若，信息处理者受有直接经济利益，比如倒卖信息主体信息；或者与第三方恶意窜通，应认定信息处理者披露行为属于滥用。最后，利益损害认定要有信息处理者主观过错。根据《个人信息保护法》第69条规定，由信息处理者证明自己没有过错，否则应当认定为滥用行为。因此，“滥用”的认定是根据主客观一体化原则予以判定。
4.1.2. 个人敏感信息之超越界限说
个人敏感信息具有高度的私密性，一旦泄露将会给信息主体带来重大的权利损害风险。因此，个人信息保护立法在敏感信息上具有特殊要求，信息处理者负担更加严格的安全保护义务，不仅涉及信息利用，更重要是信息存储的要求。此外，较之于一般信息，对于敏感信息，信息主体对信息处理者容忍度较低，以及信任的对象也将限于分享的信息处理者。所以，敏感信息滥用行为的判断并不要求损害的存在，一旦信息处理者超越信息主体合理期待，违背忠诚、谨慎义务导致存有泄露风险，便超越了信息主体的容忍限度，构成滥用信息行为。因此，信息处理者未采取足够的安全保障措施导致个人敏感信息泄露或者被窃取、篡改、删除以及信息处理者主动将敏感信息公开或转移给第三方都属于滥用信息行为。敏感信息事关信息主体切身利益，信息主体的关注度较高；信息处理者应当采取风险评估，随风险等级变化灵活采取安全保障措施以降低风险，并且保障信息主体的知情权，为用户提供控制机制(即方便删除权行使)。当然，敏感信息的泄露本身是对信息权益的损害，但在滥用行为认定上，信息主体无须证明现实损害后果的存在。
敏感信息和一般信息滥用行为在形式上具有区别，主要是损害的证明上；但同时二者具有共同的实质判断标准，即超越信息主体容忍限度。换言之，敏感信息因事关更高的人格尊严，信息主体对于信息处理者行为容忍度较低；而信息处理者利用一般信息进行信息处理时，信息主体则负有较高的容忍限度。
4.2. 删除权的重构
删除权，顾名思义，是信息主体要求永久删除信息处理者储存的关于其个人信息的权利。在知情同意原则之下，个人信息删除权适用范围扩展，个人可基于同意撤回而主张行使删除权，将会加剧信息利用与保护的矛盾冲突。删除权应定性为一种人格权请求权，防御性、救济性权利，信息主体删除权行使应当以信息处理者滥用行为存在为前提。
4.2.1. 我国关于删除权的规定
2013年《信息安全技术公共及商用服务信息系统个人信息保护指南》第5条规定，数据主体有正当理由可要求删除其个人信息。《网络安全法》第43条规定，信息主体可在网络运营者违反法定或约定收集、使用其个人信息的情形下，要求网络运营商删除该信息。这是我国首次在法律层面规定信息主体的删除权。《民法典》关于信息主体删除权行使情形并未进一步细化，基本延续了《网络安全法》的相关规定，在法律用语上有些许不同。《个人信息保护法》第47条对个人信息删除权作出了更为细致的规定，在保留《民法典》关于删除权行使情形的基础上，增加“处理目的已实现、无法实现或实现处理目的不再必要”“个人信息处理者停止提供产品或服务，或者保存期限已届满”“个人撤回同意”等情形，并增加兜底条款扩大删除权适用情形。从我国关于删除权的法律规定来看，我国虽然并未采取欧盟法上被遗忘权模式，但删除权的适用范围扩展，其具体情形与欧盟被遗忘权高度相似。因此，有学者将被遗忘权与删除权等同 [19] 。无论是被遗忘权还是删除权的规定，其背后都是基于隐私控制或信息自决人格权(益)延伸出来的权利，并且在此基础上围绕知情同意原则进行制度设计。
4.2.2. 删除权正当性行使的重新界定
在传统信息自决权理论的影响下，个人对其信息的删除享有非常大的自主权，只要信息处理缺乏正当性基础且信息处理者没有履行主动删除义务，信息主体即可请求删除。因此有学者将删除权定义为一种为规范个人信息处理行为而确立的一项附条件的程序性权利 [20] 。但笔者认为，依据删除权行使的法定情形，与其说其目的是规范信息处理者行为，不如说是对信息主体的信息自决的“眷顾”或者说是对风险社会信息泄露的隐忧。极大肯定信息主体通过个人自由意志对个人信息处理行为施加影响，彰显人的存在和人的尊严。诚如上文所述，个人信息保护立法应主要规范的是个人信息处理行为，规制个人信息的潜在滥用行为并给予救济。但从《个人信息保护法》第47条来看，删除权规定的行使情形更多是对信息存储行为的规制。“处理目的已实现、无法实现或实现处理目的不再必要”“个人信息处理者停止提供产品或服务，或者保存期限已届满”均属于信息处理者不再需要利用该信息，法律要求其主动删除情形。这一规定与现实不符。其一，在大数据时代，信息主体对于信息控制能力下降，在其信息权益受损前，将不会过多关注信息处理者是否还有利用信息之必要。其二，信息主体基于信任分享其个人信息，信息处理者也采取足够安全的保护措施维护该信任，如同信息主体最可靠的朋友，信息主体也不会行使删除权。此外，赋予个人撤回同意与数据时代共享理念违背，极大阻碍信息流通与数据分析，此处不再赘述。
在否定同意的基础下，信息处理者收集和处理个人信息行为都可不经过信息主体的同意，信息主体权益遭受损害或风险的可能性增加。当信息处理者的滥用行为损害信息主体的信任时，信息主体有权收回信任，要求滥用信息者删除其储存的信息。笔者建议将删除权定性为人格权请求权，一种防御性、救济性权利，删除权的行使以损害或风险存在为前提。个人信息作为人格权益，可以通过扩张解释将其纳入人格权请求权的适用范围 [21] 。因此，删除权可以定义为，个人信息处理行为与信息主体信任下的合理期待不符，超出信息主体的容忍限度，使得信息主体合法权益处于风险或事实上造成损害时，信息主体有权提出删除要求的权利。根据上文对滥用行为的界定，删除权行使的具体情形包括：1) 未采取足够的安全保障措施导致个人敏感信息泄露或者被窃取、篡改；2) 信息处理者主动将敏感信息公开或转移给第三方；3) 处理个人信息侵害个人信息权益并造成损害。值得说明的是，作为人格权请求权，只要个人信息权益遭受损失(包括一般信息)或处于风险状态(限于敏感信息)，信息主体就可以行使删除权。
此外，禁止滥用原则侧重于对滥用个人信息的认定与事后救济，但并不是不要求保障信息主体的知情权。《个人信息保护法》规定了诸多要求信息处理者接受监管的规定，例如第54条规定，个人信息处理者应定期对其个人信息处理活动情况进行合规审计。信息处理者定期公布个人信息或数据使用惯例，不仅可充分保障信息主体的知情权，维持其信任，也是企业合规的必然要求。
5. 结语
在数字时代，大规模的数据处理与分析广泛存在，数据共享是趋势。以知情同意为原则的个人信息保护制度将加剧信息利用与保护之间的矛盾，个人信息保护规则完善刻不容缓。在一个技术不断发展的社会中，转变个人信息保护的观念尤为重要。值得监管的是信息的利用，而不是信息本身。所以，个人信息保护规则也应涉及信息的使用，而不是信息的所有权。本文目的在于，希望构建起适用禁止滥用原则来实现个人信息的充分利用与保护，为滥用个人信息行为的认定提供裁判依据。
NOTES
1参见北京互联网法院民事判决书，(2019)京0491民初313号。
2参见北京互联网法院民事判决书，(2019)京0491民初6694号。