企業(yè)所掌握的用戶信息是構(gòu)成企業(yè)價(jià)值的重要組成部分。在企業(yè)并購(gòu)時(shí)，投資者是否有權(quán)出售企業(yè)的全部資產(chǎn)，包括用戶信息在內(nèi)？用戶如何阻止自己的個(gè)人信息流向他人？對(duì)于這些問(wèn)題，我國(guó)在立法上還未涉及。本文將從前述問(wèn)題出發(fā)，介紹美國(guó)與歐盟的相關(guān)規(guī)則與法律實(shí)踐，并試圖為我國(guó)法律規(guī)則和實(shí)踐提供參考。

用戶同意是對(duì)個(gè)人信息進(jìn)行收集、使用、披露等操作的一般前提。若持有個(gè)人數(shù)據(jù)的主體發(fā)生變動(dòng)，則具有兩方面的意涵：第一，用戶此前對(duì)于相關(guān)主體收集與使用自己個(gè)人數(shù)據(jù)的同意不再適用；第二，兩個(gè)不同的法律主體間發(fā)生了數(shù)據(jù)的傳輸或披露。我國(guó)在立法上尚未嘗試對(duì)數(shù)據(jù)的“傳輸”進(jìn)行定義，但可以明確的是，法律意義上的數(shù)據(jù)傳輸，不應(yīng)采取物理上的或技術(shù)上的標(biāo)準(zhǔn)。因此，原則上說(shuō)，只有持有個(gè)人數(shù)據(jù)的主體發(fā)生變動(dòng)，才構(gòu)成個(gè)人信息保護(hù)相關(guān)法律的適用情形。

對(duì)于個(gè)人信息保護(hù)問(wèn)題而言，股權(quán)收購(gòu)與資產(chǎn)收購(gòu)的區(qū)分具有顯著的法律意義。股權(quán)收購(gòu)只導(dǎo)致持股的變化，而并不影響相關(guān)目標(biāo)企業(yè)在法律上的身份。因此，一方面，用戶對(duì)于該企業(yè)作出的數(shù)據(jù)收集與使用許可，或者法律上對(duì)該企業(yè)適用的許可，原則上可以繼續(xù)適用；另一方面，目標(biāo)公司的法律地位在并購(gòu)后并不自動(dòng)地?cái)U(kuò)展至其母公司或企業(yè)集團(tuán)中的其他成員。如果目標(biāo)公司將數(shù)據(jù)與母公司或其他關(guān)聯(lián)公司共享，則很可能發(fā)生個(gè)人信息保護(hù)法上的問(wèn)題。

根據(jù)歐盟法，在股權(quán)收購(gòu)模式下，用戶與企業(yè)之間的合同、用戶對(duì)企業(yè)作出的數(shù)據(jù)處理許可以及企業(yè)處理數(shù)據(jù)的法定許可，都保持不變。在美國(guó)法上，股權(quán)收購(gòu)有著類似的效果，除非被收購(gòu)的目標(biāo)公司在收購(gòu)時(shí)聲明改變隱私政策，否則也同樣繼續(xù)保持當(dāng)前的隱私政策與承諾；并購(gòu)后，被收購(gòu)的目標(biāo)公司也不得在未取得用戶同意的情況下，將個(gè)人數(shù)據(jù)與其母公司或其他第三方分享。

除了單純地形成控股關(guān)系外，股權(quán)收購(gòu)還是公司合并或分立時(shí)的操作步驟。此時(shí)應(yīng)當(dāng)主要考慮以下兩方面問(wèn)題：第一，公司合并、分立、形式變更時(shí)，法律主體間存在人格和財(cái)產(chǎn)上的連續(xù)性，因而變動(dòng)后的公司并非通常意義上的“他人”；第二，合并、分立時(shí)，發(fā)生的只是公司組織結(jié)構(gòu)的變化，并不存在積極的數(shù)據(jù)傳輸行為。因此一般認(rèn)為，在公司合并、分立、形式變更的場(chǎng)景下，原則上無(wú)需就個(gè)人信息傳輸問(wèn)題征得用戶同意。但此時(shí)主體身份發(fā)生變動(dòng)的相關(guān)企業(yè)，應(yīng)當(dāng)負(fù)有對(duì)用戶進(jìn)行通知的義務(wù)。

從流程上觀察，個(gè)人信息保護(hù)問(wèn)題在并購(gòu)前期就會(huì)發(fā)生，最主要的是收購(gòu)方所進(jìn)行的盡職調(diào)查。因?yàn)槭召?gòu)方要對(duì)目標(biāo)公司的資產(chǎn)進(jìn)行查看和審核，所以可能會(huì)涉及到個(gè)人信息的披露。為避免征求用戶同意可能產(chǎn)生的大量無(wú)必要開(kāi)銷，可以考慮的處理方式主要有兩種：在公開(kāi)的隱私政策中表明個(gè)人信息將用于盡職調(diào)查，或者對(duì)個(gè)人信息進(jìn)行去識(shí)別化處理。

在資產(chǎn)收購(gòu)的場(chǎng)景下，如果轉(zhuǎn)讓的資產(chǎn)中包含用戶個(gè)人信息，則構(gòu)成個(gè)人信息的披露、傳輸或處理。原則上，這一行為應(yīng)征得用戶的同意，或者符合公司的隱私政策。但在美國(guó)法與歐盟法上，均存在一定條件下的例外。在美國(guó)法上，如果并購(gòu)雙方符合一定條件，則可以直接或在事后征得用戶同意的前提下轉(zhuǎn)讓用戶個(gè)人數(shù)據(jù)；歐盟法則允許在履行合同必要的限度內(nèi)使用個(gè)人信息，或者基于利益衡量允許企業(yè)出售包含個(gè)人信息在內(nèi)的資產(chǎn)。

美國(guó)并不存在統(tǒng)一的隱私立法，個(gè)人數(shù)據(jù)與隱私保護(hù)在實(shí)踐中大多是通過(guò)行業(yè)標(biāo)準(zhǔn)、企業(yè)隱私政策等軟法的形式進(jìn)行，因而在實(shí)踐中，企業(yè)的隱私政策是衡量其行為合法與否的最重要標(biāo)準(zhǔn)。在美國(guó)法上，在資產(chǎn)收購(gòu)中引發(fā)隱私問(wèn)題的案件構(gòu)成往往是，公司在隱私政策中作出了不向他人披露用戶數(shù)據(jù)的承諾，但卻將數(shù)據(jù)單獨(dú)或與其他資產(chǎn)一起轉(zhuǎn)讓給了收購(gòu)方，或者至少試圖從事上述交易。與此相關(guān)的主要有以下三個(gè)案例。

資產(chǎn)收購(gòu)中的個(gè)人信息保護(hù)問(wèn)題，始于2000年的Toysmart案。Toysmart公司曾在其隱私聲明中承諾絕不與第三方分享用戶的個(gè)人信息，但該公司于進(jìn)入破產(chǎn)程序后，試圖出售其用戶數(shù)據(jù)庫(kù)中的內(nèi)容。之后Toysmart與聯(lián)邦貿(mào)易委員會(huì)達(dá)成了和解協(xié)議，該公司被允許出售客戶數(shù)據(jù)，但必須符合協(xié)議要求。

此外，在破產(chǎn)實(shí)踐中，還存在“退出權(quán)方案”，這一處理方式主要成型于Borders案和RadioShake案。2011年Borders公司進(jìn)入破產(chǎn)程序，其競(jìng)爭(zhēng)對(duì)手B&N公司收購(gòu)了部分資產(chǎn)，包括用戶的個(gè)人信息。破產(chǎn)法院許可了這一交易，并對(duì)交易事宜作了相關(guān)規(guī)定，即權(quán)利人有選擇退出相關(guān)變動(dòng)的權(quán)利。此后，RadioShake案也適用了這一退出權(quán)方案。

綜合上述案例，除事先征得用戶同意外，允許目標(biāo)企業(yè)在資產(chǎn)收購(gòu)中出售用戶數(shù)據(jù)的合法化路徑主要有以下兩種：（1）Toysmart方案，根據(jù)Toysmart案中和解協(xié)議的內(nèi)容，在特定條件下，企業(yè)可以轉(zhuǎn)讓用戶信息，而不需經(jīng)其同意。其前提是：a.收購(gòu)方與目標(biāo)公司來(lái)自同一行業(yè)；b.用戶數(shù)據(jù)不能單獨(dú)轉(zhuǎn)讓；c.收購(gòu)方必須采取與目標(biāo)公司實(shí)質(zhì)相同的隱私政策。（2）退出權(quán)方案，即在并購(gòu)交割后一定期限內(nèi)，允許用戶選擇“退出交易”。如果用戶選擇退出，則收購(gòu)方應(yīng)刪除其個(gè)人信息；如果用戶在期限內(nèi)沒(méi)有行使該權(quán)利或者表示同意，則交易正式完成，收購(gòu)方可以合法使用相關(guān)個(gè)人信息。其前提是：a.收購(gòu)方必須采取與目標(biāo)公司實(shí)質(zhì)相同的隱私政策；b.充分地提示用戶行使退出權(quán)。

當(dāng)然，無(wú)論哪種方案，都只能約束并購(gòu)時(shí)收購(gòu)方采取的隱私政策，如果隱私政策在未來(lái)發(fā)生實(shí)質(zhì)性變動(dòng)，則就那些在原隱私政策下收集的個(gè)人信息而言，必須征得用戶的同意。

到目前為止，兩種方案在具體案件中的實(shí)質(zhì)不同只有退出權(quán)方案要求收購(gòu)方向用戶提供行使退出權(quán)的機(jī)會(huì)，而Toysmart方案則沒(méi)有這一要求。在目前的判例中，退出權(quán)方案比Toysmart方案更為嚴(yán)格，因?yàn)榍罢咴诤笳叩幕A(chǔ)上，還要求取得用戶的事后同意。

根據(jù)《條例》第6條第1款的規(guī)定，數(shù)據(jù)主體的同意是數(shù)據(jù)處理最基本的合法化事由。除此之外，在并購(gòu)的場(chǎng)景下，其他的合法事由主要涉及兩類，即為履行合同所必需和為實(shí)現(xiàn)控制人或第三人的合理利益所必需。

1.為履行合同所必需

在企業(yè)轉(zhuǎn)讓資產(chǎn)的交易中，往往存在一些未履行完畢的合同。為履行合同需要而處理相關(guān)數(shù)據(jù)是法定事由，不需就此事先征得相關(guān)權(quán)利人同意。而且合同的轉(zhuǎn)讓本身就需要用戶的同意與配合，所以一般認(rèn)為不需要就數(shù)據(jù)使用問(wèn)題特別提示用戶；只要合同轉(zhuǎn)讓本身有效，相關(guān)權(quán)利人就不能阻止合同受讓人處理其數(shù)據(jù)。

2.收購(gòu)雙方具有合理利益

對(duì)于資產(chǎn)收購(gòu)具有普遍意義的合法事由是數(shù)據(jù)控制人或第三人的合理利益，這一條文給予司法機(jī)關(guān)和數(shù)據(jù)保護(hù)執(zhí)法機(jī)關(guān)廣闊的裁量空間。如果數(shù)據(jù)相關(guān)人的權(quán)利和利益不比數(shù)據(jù)控制人或第三人的合理利益更重要，則保護(hù)控制人或第三人的合理利益。

在衡量雙方利益時(shí)，應(yīng)當(dāng)考慮相關(guān)人的合理期待，合理期待基于其與控制人之間的關(guān)系產(chǎn)生。特別是當(dāng)相關(guān)人在其個(gè)人數(shù)據(jù)被處理的特定環(huán)境中，無(wú)法合理地預(yù)見(jiàn)到自己的個(gè)人數(shù)據(jù)將以其他方式進(jìn)一步處理時(shí)，可以認(rèn)為相關(guān)人的利益和基本權(quán)利高于控制人的利益。

在具體的衡量標(biāo)準(zhǔn)上，德國(guó)學(xué)界的通行觀點(diǎn)認(rèn)為，相關(guān)人的權(quán)益主要是信息自決權(quán)。具體到資產(chǎn)收購(gòu)的場(chǎng)景下，主要是相關(guān)人希望原則上應(yīng)當(dāng)由自己來(lái)決定是否向他人透露、允許他人使用自己的個(gè)人數(shù)據(jù)，防止自己的個(gè)人數(shù)據(jù)被隨意地交給第三方。偏向于收購(gòu)雙方合理利益的具體考慮主要有以下兩點(diǎn)：

第一，從資產(chǎn)收購(gòu)雙方的角度來(lái)說(shuō)，用戶數(shù)據(jù)對(duì)于保持經(jīng)營(yíng)結(jié)構(gòu)和工作崗位有重大意義。破產(chǎn)管理人的職責(zé)即在于盡可能將企業(yè)財(cái)產(chǎn)變價(jià)以使債權(quán)人獲得清償，將數(shù)據(jù)拆解出破產(chǎn)財(cái)產(chǎn)可能導(dǎo)致資產(chǎn)無(wú)法變賣(mài)，對(duì)企業(yè)債權(quán)人造成重大不利。

第二，從用戶的角度來(lái)說(shuō)，在企業(yè)資產(chǎn)整體轉(zhuǎn)讓、繼續(xù)經(jīng)營(yíng)的情況下，用戶的利益不會(huì) 受到太大影響。

3.合理利益下的異議方案

拜仁州數(shù)據(jù)保護(hù)監(jiān)管局推行的 “異議方案”，實(shí)質(zhì)上是認(rèn)為在并購(gòu)雙方對(duì)于數(shù)據(jù)轉(zhuǎn)讓具有合理利益時(shí)，可以弱化法律對(duì)于用戶同意的要求，即允許以沉默擬制同意。不過(guò)，這一處理方式的合理性仍然受到了質(zhì)疑。質(zhì)疑的理由主要有以下三方面：第一，該方案架空了法條原本應(yīng)當(dāng)具有靈活性的利益衡量機(jī)制，在理論上也難以與利益衡量機(jī)制互相銜接；第二，《條例》規(guī)定了一般性的反對(duì)權(quán)和同意撤回權(quán)，二者均可隨時(shí)行使，已為數(shù)據(jù)相關(guān)人提供了充分的保護(hù)；第三，具體操作持續(xù)時(shí)間過(guò)長(zhǎng)，導(dǎo)致增加新的債務(wù)，個(gè)別情況下相關(guān)交易甚至?xí)驗(yàn)橥涎佣　?/p>

我國(guó)現(xiàn)行個(gè)人信息保護(hù)法律規(guī)范中，沒(méi)有為資產(chǎn)收購(gòu)場(chǎng)合下企業(yè)合理利益的考量留下法律空間。雖然同意原則是個(gè)人信息收集與使用的基本原則，但也應(yīng)當(dāng)在一定情況下考慮企業(yè)在并購(gòu)場(chǎng)合下的合理利益。

資產(chǎn)收購(gòu)中個(gè)人信息范圍的把握，應(yīng)注意如下兩點(diǎn)。

第一，敏感信息的處理。我國(guó)現(xiàn)行法上對(duì)此尚無(wú)特別規(guī)定。但在歐盟法上，對(duì)于敏感信息，原則上禁止任何處理。美國(guó)法上沒(méi)有一般性的規(guī)定，但在具體的案件中也會(huì)有所區(qū)別。

第二，交易涉及信息的范圍。美國(guó)法在個(gè)案中進(jìn)一步區(qū)分允許轉(zhuǎn)讓的個(gè)人信息類別的做法值得借鑒，而不僅僅是判斷是否符合相關(guān)要件，進(jìn)而決定個(gè)人信息是否可以轉(zhuǎn)讓的“全由全無(wú)”式處理。

基于用戶的同意而轉(zhuǎn)讓其個(gè)人數(shù)據(jù)，是個(gè)人數(shù)據(jù)轉(zhuǎn)讓獲得許可的基本途徑。

在此需要注意的是“同意”的具體實(shí)現(xiàn)方式。在意思表示理論中，存在默示與沉默的區(qū)分。默示即為推知的意思表示，其效果與明示作出的意思表示并無(wú)二致。而單純的沉默在通常情況下，則不能被認(rèn)為是意思表示，除非雙方合意約定負(fù)有積極作出反對(duì)表示的義務(wù)，或者法律通過(guò)特別規(guī)定，將其擬制為意思表示。此外，在履行合同必要的范圍內(nèi)允許使用或轉(zhuǎn)讓合同相對(duì)方的個(gè)人信息，同樣可以歸為事先同意的轉(zhuǎn)讓的子類型。

比較法上，用戶同意原則的緩和或者例外處理方式，均以利益衡量及合理利益的存在為前提。美歐兩法域采取的標(biāo)準(zhǔn)雖然有所不同，但實(shí)際上均是對(duì)數(shù)據(jù)使用目的的尊重，是同意原則的延伸，體現(xiàn)的是用戶利益的保護(hù)。數(shù)據(jù)使用目的對(duì)收購(gòu)方和買(mǎi)賣(mài)的標(biāo)的進(jìn)行了約束，以保證即使在數(shù)據(jù)使用的主體發(fā)生改變的情況下，用戶數(shù)據(jù)也仍然被用于其最初許可的目的。反過(guò)來(lái)，這一約束也正是界定并購(gòu)雙方是否具有合理利益的標(biāo)準(zhǔn)。

我國(guó)相關(guān)規(guī)則的構(gòu)建，是否可以參考比較法上的處理方案？本文認(rèn)為，完全無(wú)需用戶同意的處理方式，在目前并非一個(gè)合理的選擇。相比之下，拜仁州數(shù)據(jù)保護(hù)監(jiān)管局的“異議方案”和美國(guó)破產(chǎn)法院的退出權(quán)方案則更為溫和。二者的實(shí)質(zhì)差別在于，同意或擬制的同意，發(fā)生在收購(gòu)交割完成前還是完成后。

綜上所述，合理利益規(guī)則的具體方案，應(yīng)根據(jù)破產(chǎn)情形與一般情形作區(qū)分處理。破產(chǎn)程序中的資產(chǎn)收購(gòu)，應(yīng)適用退出權(quán)方案。在實(shí)踐中，資本收購(gòu)多發(fā)生于破產(chǎn)的場(chǎng)合，不過(guò)并不排除一般情形下的資產(chǎn)收購(gòu)也可能符合合理利益的要件。此時(shí)應(yīng)適用異議方案，并允許以沉默擬制同意。

企業(yè)并購(gòu)中的個(gè)人信息保護(hù)問(wèn)題，視不同情形而定。在公司合并、分立、形式變更時(shí)， 因?yàn)榉珊蠊麨榉ǘǖ恼w承繼，所以原則上不構(gòu)成個(gè)人信息傳輸或披露；在股權(quán)收購(gòu)的其他情形下，原則上無(wú)需用戶同意，但目標(biāo)公司與其母公司或企業(yè)集團(tuán)中的其他成員分享用戶信息，同樣構(gòu)成向他人提供用戶信息的行為。

而在資產(chǎn)收購(gòu)中，個(gè)人數(shù)據(jù)的轉(zhuǎn)讓?xiě)?yīng)遵循如下規(guī)則。

第一，如果收購(gòu)雙方就數(shù)據(jù)的轉(zhuǎn)讓取得了用戶同意，則可以轉(zhuǎn)讓相關(guān)數(shù)據(jù)。在合同轉(zhuǎn)讓的場(chǎng)景下，無(wú)需就個(gè)人信息將用于合同履行作出特別同意。

第二，收購(gòu)雙方對(duì)于數(shù)據(jù)的轉(zhuǎn)讓具有合理利益的，一般情況下，應(yīng)當(dāng)由目標(biāo)公司事先通知用戶行使反對(duì)權(quán)，并設(shè)置一定期間；期間屆滿而未行使權(quán)利的，視為同意。企業(yè)處于破產(chǎn)程序中時(shí)，可以在交割完成后，由收購(gòu)方通知用戶行使退出權(quán)，并設(shè)定一定期間；期間屆滿而未行使權(quán)利的，視為同意。

第三，收購(gòu)雙方對(duì)于數(shù)據(jù)的轉(zhuǎn)讓是否具有合理利益，應(yīng)通過(guò)利益衡量確定。具體的參考標(biāo)準(zhǔn)包括但不限于：（1）資產(chǎn)收購(gòu)是否過(guò)度地改變了數(shù)據(jù)使用目的，而使用戶不再具有其最初許可目標(biāo)公司收集或使用數(shù)據(jù)時(shí)的利益；（2）數(shù)據(jù)是否與企業(yè)其他資產(chǎn)一并整體轉(zhuǎn)讓；（3）收購(gòu)方與目標(biāo)公司是否處于同一行業(yè)，收購(gòu)方在收購(gòu)相關(guān)資產(chǎn)后是否計(jì)劃繼續(xù)經(jīng)營(yíng)。

第四，在收購(gòu)中，可以根據(jù)使用目的與合理利益的判斷，對(duì)涉及交易的數(shù)據(jù)類別進(jìn)行限定。