我国《个人信息保护法》于2021年11月1日起生效，标志着对个人信息权益保护达到新的高度。根据《出版管理条例》第二条的规定，出版活动包括出版物的出版、印刷或者复制、进口、发行，而出版物是指报纸、期刊、图书、音像制品、电子出版物等。学界对此也有类似界定，出版活动是一个围绕出版产品——各种类型出版物的商品生产与流通进行一系列运作的过程。^[1]4出版活动中涉及作者信息、读者信息等诸多个人信息，特别是在大数据、信息技术日益成熟的背景下，出版机构也在进行着不同程度的数字化转型，出版活动中不可避免地会涉及个人信息。对此，出版机构主要面临三个方面的问题。一是如何有效保护个人信息，特别是在《个人信息保护法》生效的背景下，出版机构作为个人信息处理者，理应落实法律对个人信息保护的相关规定。二是个人信息的豁免，出版业承担着传递信息、繁荣文化、资政育人的重任，是中国特色社会主义文化强国建设的重要支撑。法律在赋予其个人信息保护义务的同时，基于出版活动顺利进行、公共利益等因素，也会在特定情形下豁免出版机构的相关义务。三是如何高效利用个人信息，大数据时代个人信息中蕴含着巨大价值，出版机构对相关个人信息进行深层次挖掘，以自动化决策、个性化服务等方式，能够有效提升自身影响力，实现社会效益与经济效益的双丰收。

根据《出版管理条例》第二条，出版物包括报纸、期刊、图书、音像制品、电子出版物等，而围绕出版物的出版、印刷复制、进口、发行等均为出版活动。出版传播的本质是“公之于众”式的社会传播，是信息整理、交换的活动。^[2]因此，出版活动并非《个人信息保护法》第七十二条第一款所规定的：“自然人因个人或者家庭事务处理个人信息的，不适用本法。”同时，根据《个人信息保护法》第四条的规定，“个人信息”与“个人信息处理”的含义非常广泛，自然人可识别或已识别的任何信息均属于个人信息的范畴，对个人信息的收集、存储、公开、加工等均属于个人信息处理行为。因此，可以说出版活动中不可避免地会涉及个人信息，出版机构就构成信息处理者，受到《个人信息保护法》的约束。探讨出版活动中个人信息的保护、豁免、利用，首先有必要厘清出版活动中涉及哪些类型的个人信息。

一是作者个人信息。在出版活动中，无论是与作者交流稿件的修改，还是签订合同、发放稿酬等环节，均会涉及作者的个人信息。当前，诸多出版机构均建立了在线投稿网站，如有学者统计中国科协915种期刊的网站上，具有在线投稿功能的达到84.4%。^[3]作者在投稿网站注册的过程中，系统就会要求填写姓名、性别、工作单位、出生年月、研究方向、学位等信息，部分网站还会要求填写银行卡号、身份证号码等信息用于支付稿费。此外，即便没有在线投稿网站的出版机构，其在征稿启事中也会要求作者提供相关的个人信息。

二是读者个人信息。随着互联网、大数据等新技术与出版业的深度融合，信息传播不再是传统的集中式、有中心的单向传播，即出版机构通过传统发行渠道销售图书。取而代之的是交互式、去中心化的传播，读者具有更大的主动性，可以通过搜索引擎等主动获取自己感兴趣的内容。因此，收集读者的喜好、阅读习惯等并进行针对性的内容提供，已经成为出版机构获取竞争优势的重要方面。同时，随着互联网的普及和信息技术的发展，诸多出版机构均进行数字化转型，构建自身的网站、App等，这也为广泛收集读者信息提供了可能。例如，当前以“今日头条”为代表的新闻资讯平台，会根据读者在特定网页的停留时间、分享转发的内容、搜索行为等，针对性地提供内容。

三是出版内容中包含的个人信息。除了作者信息与读者信息外，出版内容中同样可能涉及个人信息。例如，陈传席与人民文学出版社案中，简德才所著《沧海之后》一书由人民文学出版社出版，该书以纪实的手法描述了其在美术圈与人交往的事情。原告陈传席认为该书中以“陈月耕”之名，对其言论、行为、事件等进行了描述，法院也认为原告“陈传席”与书中人物“陈月耕”的身份具有关联性，原告的个人特征全部满足涉诉文字提供的相关个人信息。¹

从我国《个人信息保护法》的名称中便可得知，“保护”是个人信息相关法律问题中最为重要的一个方面，对于出版活动同样也是如此。出版机构应当遵循个人信息处理的知情同意原则与最小必要原则，并针对不同类型的个人信息设置分类管理机制。

知情同意原则是个人信息处理最为重要的原则之一，《个人信息保护法》第十三条第一款第一项将“取得个人的同意”作为个人信息处理的合法性基础，第四十四条中也明确规定个人享有知情权、决定权，与此相对应的则是信息处理者的告知义务。而告知义务在内容、形式、程序上均有更为具体的要求，需要出版机构在实践中进一步落实。

首先，在告知内容上要求全面、充分。根据《个人信息保护法》第十七条，个人信息处理者的名称、姓名、联系方式，信息处理的目的、方式、种类、保存期限，以及个人行使权利的方式和程序均属于告知的范围。但是目前实践中部分出版机构并没有履行告知义务，一是完全没有相关的告知内容。如有学者统计，23家法学核心期刊中，仅有两家在其投稿网站上提供了隐私保护政策，其余则未履行告知义务。^[4]二是告知内容不全面，出版机构在不同阶段对个人信息的处理目的并不完全一致，如在投稿中收集作者的电话号码、电子邮箱等联系方式，其目的在于进行沟通交流，作者通常也会有心理预期。但是，作者可能并不会意识到在最终出版的稿件中会公开其个人联系方式，因此出版机构在收集个人信息时，就有必要对其个人信息在出版各个阶段的利用方式进行充分告知。

其次，在告知形式上分为一般同意、单独同意、书面同意。根据《个人信息保护法》第二十八条，可将个人信息分为非敏感个人信息和敏感个人信息，后者主要指关涉个人人身、财产安全的重要信息，包括金融账户、生物识别等。对于敏感个人信息，《个人信息保护法》第二十九条规定，需要单独取得个人的同意。当前，诸多出版机构利用其内容资源开发在线知识付费产品，这其中便涉及用户的金融账号等敏感信息，因此即便在处理一般个人信息时取得了个人的同意，但是在涉及敏感个人信息时，依旧要再次单独取得同意。此外，《个人信息保护法》第十四条和第二十九条中还规定，法律、行政法规规定应当取得书面同意的从其规定。目前涉及出版的法律、行政法规并没有对个人信息应当取得书面授权的情形做出规定。

最后，在告知程序上要求便捷、通俗易懂，并且允许个人撤回同意。《个人信息保护法》第十七条中规定，信息处理者应当以显著方式、清晰易懂的语言履行告知义务。目前，多数出版机构采取的告知程序是，在其网站、App等在线平台中以格式条款的形式进行告知。此种方式通常并不显著，多数用户为了尽快使用相关功能，会直接勾选“同意”按钮，并不会完整阅读长篇累牍的个人信息保护说明。基于合规方面的考虑，出版机构可以采取“弹窗”“提示音”等方式，并将重要内容采取加粗、下划线等方式进行显著标明，以此对用户进行提示。此外，《个人信息保护法》第十五条规定，个人享有撤回同意的权利，个人信息处理者应当提供便捷的撤回同意的方式。目前出版机构对此也并没有足够的重视，多数出版机构的网站并未提供便捷的撤回渠道。

《个人信息保护法》第六条规定，个人信息处理应当遵循最小必要原则，采取对个人权益影响最小的方式，收集个人信息应当限于实现处理目的的最小范围，不得过度收集个人信息。收集个人信息是否必要，与信息处理的目的密切相关。

第一，不同出版机构对个人信息的处理目的不同，因此对个人信息的收集程度也存在差异。例如，报纸刊登寻人启事，为了准确反映相关信息，快速寻得失踪人员，就需要使用其肖像。但是对于期刊社而言，通常以文字形式呈现作品，并不需要收集作者的肖像。此时对于报纸，采集个人肖像并不属于过度收集，但是对于期刊社，这一情形则可能构成过度收集。因此，收集信息应当与出版机构的处理目的相一致。基于此，出版机构应当审视当前对个人信息收集是否过度。以期刊社为例，通常会收集作者三类个人信息：一是作者身份信息，包括姓名、性别、民族、年龄、籍贯、身份证号码、银行卡号码等；二是通信信息，包括联系电话、电子信箱、微信等社交账号、地址、邮编等；三是研究领域信息，包括作者的单位、职称、职务、学位、研究方向、擅长领域等。有学者对23种法学类CSSCI来源期刊进行统计，其中收集个人信息最多的达16项，最少的为2项，有20种以上的期刊会收集姓名、邮箱、手机号码。^[5]期刊社对个人信息的收集，主要目的是为了便于与作者沟通，并处理支付稿酬、邮寄样刊等相关事项。以此目的出发，是否需要全面收集上述三类信息就值得审视，如已经收集了电子邮箱、联系电话，就没有必要收集作者的个人社交账号。

第二，同一出版机构在进行不同阶段的信息处理目的不同，对是否必要也应当有差异性的检视。同样以期刊社为例，在编校阶段，主要是与作者的非公开交流，如针对稿件的修改、邮寄样刊等，因此收集作者的联系方式、邮编、地址等均具有一定的必要性。而当论文正式在出版物公开出版后，公开作者个人信息的主要目的在于方便读者知晓文章的作者，特定情况下方便与作者交流。根据国家标准《期刊编排格式（GB/T 3179-2009）》的要求，每篇文章应列出全部著者姓名及其所在单位、通信联络方式（必要时）。可见，正式出版的期刊所公开的个人信息应当限于姓名、单位、联络方式。对于作者的地址、邮编、籍贯、年龄等并非国家标准所要求的公开内容，也无助于读者与作者交流的目的。

为贯彻知情同意原则与最小必要原则，出版机构有必要针对个人信息构建分类管理机制。《个人信息保护法》第五十一条中规定，信息处理者应当建立管理制度与操作流程，对个人信息实行分类管理，合理确定操作权限，以及采取相应技术手段等，以确保个人信息处理的合法合规。

首先，针对不同目的分级设置所要收集的个人信息，正如上文所述，出版活动中主要涉及三类个人信息。收集作者个人信息主要是确定作品与作者的联系，并针对稿件修改进行沟通交流，因此就需要收集作者的姓名、联系方式等。对读者信息的收集，主要目的是根据读者的阅读兴趣、习惯等，对其添加“篮球迷”“历史迷”等标签，针对性地推送其感兴趣的内容，因此对姓名、联系方式的收集则无必要。对出版内容中包含的个人信息进行处理，目的在于避免侵权纠纷，因此在不影响出版内容的前提下，需要对相关个人信息进行匿名化处理。针对不同目的收集个人信息，意味着出版机构需要提供差别化的告知内容，这也是贯彻知情同意原则的需要。

其次，针对出版活动的不同阶段分级设置所要收集的个人信息。例如，论文的发表过程通常包括投稿、审稿、录用、编校、排版印刷等流程，接收到的大量稿件最终并非均会采纳，未录用的稿件就不会涉及支付稿酬、邮寄样刊等环节，因此在投稿阶段就没有必要收集作者的银行卡号、详细地址等信息。出版机构基于自身业务的需求，对整个出版活动进行精细化划分，每个阶段只收集本阶段所必要的个人信息，这也是最小必要原则的体现。

最后，对不同类型的个人信息应当设置合理的操作权限。出版物的出版包括策划、编辑生产、出版发行等主要阶段，编辑工作中又有审稿、校对、装帧设计等不同流程。^[1]178-179因此，整个出版活动是高度专业化分工的。对于不同的工作人员，应当设置不同的权限，其只能浏览与工作内容相关的个人信息。例如，负责文稿校对的编辑人员并不需要知道作者的银行卡、身份证等信息，这些信息通常仅需财务人员知晓即可。对于作者的联系方式等，编辑人员应当知晓，方便联系作者，但是对于出版物发行的工作人员而言，了解的必要性不大。

《个人信息保护法》第十三条第一款除了在第一项规定“知情同意”的合法性基础外，还在第二～五项中规定了例外情形，即出于履行合同所必需、履行法定职责或者法定义务所必需、应对突发公共事件与紧急情况、出于公共利益的新闻报道，可以不经过当事人同意而处理个人信息。我国《民法典》第一千零三十六条中也规定，为维护公共利益或该自然人的合法权益，在合理范围内处理个人信息则无须承担民事责任。

《个人信息保护法》第十三条第一款第二项中规定，为订立、履行个人作为一方当事人的合同所必需，可以不经个人同意而处理其个人信息。在出版活动中，出于出版业务的需要，如签订出版合同、代扣缴税费等，均会不可避免地使用到作者的个人信息。我国《著作权法》第三十二条也规定，图书出版者出版图书应当和著作权人订立出版合同。此时对个人信息的使用是出于出版活动的顺利进行考量的，并不会对个人信息权利产生损害，因此给予豁免具有正当性。需要注意的是，《个人信息保护法》第十三条第一款第三项“为履行法定职责或者法定义务所必需”，主要针对公权力主体在法律法规的授权下处理公民个人信息的行为^[5]，并不能理解为出版机构为行使出版职责而享有对个人信息保护义务豁免的权利。

个人信息权利并非是不受任何限制的绝对性权利，在基于公共利益的情况下，可以对个人信息处理者进行一定程度的豁免，出版机构承担着促进信息传播、文化繁荣兴盛等职能，《出版业“十四五”时期发展规划》中也强调，要坚持把社会效益放在首位，弘扬主旋律，传播正能量。因此，我国的出版机构具有更强的公益属性。特别是新闻出版机构，其承担着舆论监督、信息传递等职能，绝大部分的传媒活动在本质上是个人信息处理活动^[6]，如果严苛地依据知情同意原则，不仅无法满足新闻报道的时效性要求，更关涉对言论自由、新闻自由的限制。因此，各国均针对新闻报道中的个人信息保护义务豁免进行了特别规定。我国《个人信息保护法》第十三条第一款第五项中也规定，为公共利益实施新闻报道、舆论监督等行为，可以在合理的范围内处理个人信息。欧盟《一般数据保护条例（General Data Protection Regulation）》第85条也规定，当数据处理是出于新闻目的或者学术、艺术、文学表达的目的，如果协调个人数据保护的权利与言论和信息自由的关系是必要的，成员国应当提供对个人信息保护义务的豁免或克减。

当前我国司法实践中已经存在相关的判例，2021年在毛某与法制日报社名一案中，法制日报社刊登了《灵石县燃料公司如何不败》《捍卫国资何罪之有》等四篇文章，毛某认为文章中的“老子是国企经理，儿子是私企老板，父子互签协议，国资化为私产”等内容严重失实，并且使用了其姓名等个人信息，损害了其名誉。法制日报社则辩称，为公共利益实施新闻报道、舆论监督等行为的，可以合理使用民事主体的姓名、名称、肖像、个人信息等。最终法院认为报道内容并未失实，支持了法制日报社的主张。²需要注意的是，出版机构基于公共利益对个人信息保护义务进行豁免，一定要在合理范围内，这也是个人信息处理必要性原则的体现。例如，报社行使舆论监督职责，对涉嫌贪污受贿犯罪嫌疑人的个人信息进行公开报道，这同样体现着一定的公共利益，但是如果报社对该犯罪嫌疑人的家庭住址以及与案件无关的亲属信息也进行披露，则明显超出了合理范围，此时对其个人信息保护义务的豁免则缺乏正当性基础。

个人信息保护的另一个侧面在于促进个人信息的利用，我国《个人信息保护法》在第一条便开宗明义地指出“促进个人信息合理利用”。习近平总书记提出，要把握数字经济发展趋势和规律，推动我国数字经济健康发展^[7]，数据是数字经济发展的关键，已成为国家基础性战略资源^[8]，而个人数据（信息）又是数据的重要组成部分。《出版业“十四五”时期发展规划》中指出，出版机构要在坚持将社会效益放在首位的前提下，实现社会社会效益与经济效益的双跃升、双丰收。因此，出版机构应当积极探索对个人信息的利用方式，实现一定的经济效益。

在数字经济时代，读者的阅读方式产生了根本性变化。一是数字化阅读方式日益普及。2020年我国成年国民数字化阅读方式的接触率为79.4%，并且从人们对不同媒介接触时长来看，成年国民人均每天手机接触时间最长，达到100.75分钟。^[9]二是阅读碎片化现象日益普遍，即利用零碎的时间阅读零碎的文本。快节奏的生活与移动终端的普及，以及信息网络技术的发展，使得碎片化阅读已经成为生活的常态。以上两点共同促成读者个性化、多样性、灵活性的阅读需求。

读者的需求就是出版机构进行创新与改革的方向，也是同类型出版机构获取竞争优势的关键。传统以出版机构为核心的单向、无差别传播已经无法满足读者的需求，诸多大型出版机构已经积极探索构建数字化平台，并以此为依托利用个人信息进行自动化决策。根据《个人信息保护法》第七十三条规定，所谓自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。《出版业“十四五”时期发展规划》中提出，要推动大数据、云计算等新技术在出版领域的应用，实现出版企业的数字化转型。出版机构利用自动化决策的核心目的在于为读者提供个性化推送内容，从而获得市场竞争优势。如人民出版社的“党员小书包App”，可以对终端用户的使用行为进行数据采集，并对数据进行有效处理、存储、管理和分析，该App共定义采集事件183个，每天采集的自定义事件数量约为8万条，基于这些数据精准刻画用户标签画像，进行差异化服务。^[10]

当然，自动化决策依托于海量数据，而海量数据意味着负有更大的责任，因此《个人信息保护法》对自动化决策进行了更为严苛的规定。第一，根据《个人信息保护法》第五十五条的规定，利用个人信息进行自动化决策，需要事前进行个人信息保护影响评估。同时根据第五十六条的规定，评估主要包括处理的目的与方式、对个人权益的影响、保护措施等三个方面。第二，自动化决策禁止大数据“杀熟”。《个人信息保护法》第二十四条规定，自动化决策的结果应当公平公正，不能存在差别待遇，同时个人有权拒绝向其推送自动化决策结果。出版机构在提供知识付费产品时，不能依据读者的收入、身份等信息，设置不同的价格标准等。

自动化决策依托于大型信息化平台，如App、网站等，并且需要收集大量用户的个人信息。但是一般的出版机构并不具有资金、技术实力，以及海量个人信息，从而支撑自动化决策。例如，大多数的学术期刊通常为月刊或双月刊，出版的内容有限，受众也较为特定，通常为本领域研究人员。那么是否就意味着不存在个人信息利用的空间呢？

公众对大数据最为直观的印象是“海量数据”，这一认识具有一定的片面性。正如有学者所言，大数据真正的价值不在于它的大，而在于它的全。^[11]大数据的思维是，不是利用随机样本，而是全体数据。^[12]在小数据时代，由于对数据处理能力的局限性，通常会采取随机采样的方式，以有限数据获得结果。而随着科学技术的发展，获取并处理全部数据成为可能，全量数据分析所得出的结果准确性更高，这也是大数据的价值体现。因此，大数据思维是尽可能用更“全”的数据得出预测的结果。基于此，即便学术期刊所拥有的仅是“小数据”，即有限的用户个人信息，也可以充分加以挖掘利用，开展个性化服务，密切作者与读者的联系，提高期刊的影响力，从单纯的科研成果展示平台转变为学术研究的助推器。

第一，随着学术研究的深入与细分，学者对文献的获取也亟须全方位、多角度、便捷性的呈现。诸多学术期刊均拥有自身的信息化平台，提供在线投稿、在线浏览等功能，同时也有微信公众号、微博等社交平台。学术期刊网站可以根据读者的浏览记录、检索记录、投稿情况等信息，定期推送本领域的研究动态，如学者近期的选题偏好、本期刊过往发表的相关文章，以及相关研究方法等。从以往学者“寻热点”转变为出版机构“送热点”，一方面可以提高科研效率，另一方面也能增强读者与期刊间的黏性，也有助于进一步传播已发表文章，从而有利于下载率、引用率等期刊评价指标的提升。

第二，期刊可以利用其掌握的作者信息，构建学术交流平台。一方面，当前的学术研究在研究方法与研究视角等方面均呈现出交叉融合的趋势，但是不同领域的学者之间很难掌握彼此的联络方式，即便通过公开资料获取了电子邮箱、电话号码等，也缺乏交流平台对特定问题进行深入探讨。学术期刊掌握大量学者信息，即便是某一领域的专业期刊，也会刊登跨领域研究的文章，因此也掌握部分其他领域学者的信息。由此，期刊社可以利用其掌握的个人信息成为跨领域学者交流的纽带。另一方面，期刊社可以为老中青学者提供沟通交流的平台。习近平总书记在给《文史哲》编辑部的回信中指出，高品质的学术期刊要支持优秀学术人才成长。^[13]学术需要传承和发展，培养中青年学者，营造学术梯队，是学术期刊义不容辞的责任。^[14]学术期刊既刊登本领域权威学者的文章，也为青年学者开辟新人专栏，自然也掌握不同年龄段学者的信息，因此在组织青年学者与名师大家交流方面具有独特的优势。

《个人信息保护法》的出台对个人信息的使用和保护产生了全方位影响，出版活动中不可避免地会涉及个人信息。作为信息处理者，出版机构首先应当履行相应的个人信息保护义务，遵循知情同意原则、最小必要原则，并构建分类管理机制。当然，出版机构也承担着繁荣文化、促进信息传递等社会职能，基于出版业务需要或出于公共利益目的，可以对相关义务进行一定程度的豁免。此外，在大数据时代，出版机构要充分利用个人信息的潜在价值，以自动化决策与个性化服务盘活数据资源，实现社会效益与经济效益的双丰收。