个人信息保护问题探析——《民法总则》第111条司法适用

张红霞

（贵州民族大学，贵州 贵阳 550025）

一、司法适用现状及问题

（一）直接作为裁判依据，且不与第110条区分适用

在我国《民法总则》生效后，许多法院在裁判关于隐私和个人信息的案件时，均直接将第111条作为法院的裁判依据，例如在2017年12月作出判决的丁某与汪某隐私权纠纷案中，法院就本案的焦点问题进行详细分析，其中具体对个人信息和隐私权进行阐述，后结合案情，认为为了维护公平与正义等，强化对公民个人信息权的保护，依照第111条等作出判决。①再分析我国《民法总则》生效后的案件，许多皆与该法院的判决思路一致，直接将第111条作为裁判依据。值得注意的是，有许多法院在裁判依据中也会列明第110条，如周某与王某、李某等隐私权纠纷案中，法院直接依照《中华人民共和国民法总则》第110条、第111条及《中华人民共和国民事诉讼法》相关法条规定，作出判决。②

关于个人信息和隐私的界限，法院在裁判说理部分会说明隐私和个人信息以及隐私权和个人信息权的相关理论知识，在庞某与北京趣拿信息技术有限公司等隐私权纠纷案中，一审法院认为隐私权是一种人格权，是公民所享有的个人私生活安宁和私人的信息、秘密依法受保护，他人不得非法知悉、收集或利用。当事人对此有提供证据的责任。如果没有证据，或者证据不足，由负有举证责任的当事人承担不利后果。③明确了在个人信息或隐私侵权案件中，举证责任的分配应当“谁主张，谁举证”，而该案的原告庞某因提交的证据不足以证明其隐私权或个人信息权受侵犯，被法院驳回诉讼请求。在二审中，具体阐述了姓名、电话号码等是否属于个人信息以及相应的举证责任分配和证明程度。本文重点探讨关于个人信息和隐私的问题，在庞某的案件中，二审法院认为，姓名、电话号码等事项首先属于个人信息，可以通过隐私权予以保护。[1]但其认为，姓名和手机号单独是可以公示的，无需保密，只有以上单个信息被整合起来，可以定位到具体的自然人或是可以和特定的人匹配时，才考虑对隐私信息的侵犯，在这其中，涉及到信息整合这一问题。可以看出，该法院将个人信息归入个人隐私进行一体保护，而并未将隐私和个人信息进行严格区分。

（二）对个人信息进行权利保护或是法益保护

《民法总则》第111条规定了对个人信息进行保护，到底是一种民事权利还是法益呢？在周某与王某等隐私权纠纷案中，裁判文书中这样写：“公民的隐私权和个人信息权受法律保护，侵犯公民隐私权和个人信息权应承担侵权责任。”[2]在丁某与汪某隐私权纠纷案中，法院提到：“为了...强化对公民个人信息权的保护...”[3]不难发现许多法院在其自己的理解基础上认为《民法总则》第111条是对个人信息权的确立，而对个人信息权是否确立的问题，学术界分歧较大。总体上可分为权利说与法益说。主张权利说的学者认为，《民法总则》第111条是规定了个人信息权，而具体又有人格权说，近似人格权说以及新生独立权利说。杨立新教授认为，应将其认定为民事权利，第111条未明确规定对个人信息进行权利保护还是法益保护，就是因为个人信息与隐私联系紧密、容易混淆，两者虽然相似，但仍存在明确区别。[4]在《中华人民共和国民法总则释义》中，张新宝教授说：“个人信息权是公民在现代信息社会享有的重要权利......。”[5]在他看来，该条是对个人信息权的确立，采用近似人格权学说。还有部分学者采用新生独立权利说。不同于以上观点，王利明教授认为，《民法总则》第111条中明确了个人信息受法律的保护，但却未肯定“个人信息权”，亦未把其规定为一项具体人格权，但是，该法条确实对个人信息的保护提供了法律依据。个人信息在《民法总则》二审稿中被纳入，但因其复杂性，所以没有明确肯定个人信息是一项人格权，在现有的法律中，更偏向对个人信息进行法益保护。[6]

但对一项权利的设立，并非易事。如对于 “隐私”的保护，我国1982年《民事诉讼法（试行）》中，最早的提及“隐私”一词，1986年《民法通则》规定了对隐私应予以保护，但未确立其为隐私权，直到2009年《侵权责任法》隐私权才正式被确定为一项具体人格权。

（三）收集与利用个人信息行为合法性界定标准不明

《民法总则》第111条规定个人信息应“依法取得、不得非法收集”、“不得非法利用”等，其对于保护个人信息有着非常重要的意义。[7]那么，如何来判断收集、利用个人信息行为的合法性呢？在庞某的案件中，法官谈到，姓名手机号等个人信息在未经整合的情形下，并未侵犯个人信息，对个人信息的收集、利用是合法的。而在基于合理事由的基础上，对个人信息进行收集、利用后，有义务防止该信息被泄露。当然，裁判理由部分说理较为充分饱满，在丁某与汪某隐私权纠纷案中，提及案件中的个人信息仅是原告丁某身份证上载明的基本信息，且已公开，但其不足侵犯隐私权，原告丁某以被告汪某侵犯其隐私权为请求权基础不符合法律规定，本院不予采纳。但被告汪某的行为仍然违反了自然人的个人信息受保护的法律规范，被告汪某应当停止侵害并赔礼道歉。可见，法院在对个人信息的收集、利用的行为方式上，认定何时合法、何时违法并无统一界定标准，在第111条中所载明的行为方式认定上，司法实践中有待统一标准。

二、个人信息的保护的司法建议

（一）明确个人信息范围，与隐私严格区分

个人信息一词，早已出现在了人们的视野和生活中。在我国《网络安全法》中有具体的谈及，[8]关于学术界的观点，如张新宝教授认为，个人信息就是指和一个身份已被识别出或者是身份可以被识别出的自然人有关的任何信息，包括了自然人的姓名、住址和出生日期、身份证号码以及医疗记录、人事记录等，这些信息单独存在或是与几种并存即可以识别特定的个人。[9]杨立新教授则认为个人信息即为隐私权所保护的内容。关于对个人信息一词的定义，欧盟主张其是与确定或是可以确定自然人的身份相关的信息。这里的可以确定为直接或是间接的通过某些信息，如身体、经济、文化以及社会特征等，来确定自然人的身份。

在对个人信息进行保护的思路上，各国有不同看法，存在不同立法例。美国实行一体保护主义，隐私权之下可以对个人信息进行保护。而德国则直接规定个人信息权对个人信息进行保护。我国《民法总则》第111条和127条对个人信息和数据保护分别做出了规定，而对个人信息其内涵到底是什么这一问题没有涉及，在司法实践中也存在个人信息与隐私不做任何区分，两者部分重合和交叉。在法理上对二者进行分析，个人信息与隐私的联系：其一，两者主体均为自然人；其二，两者均体现对个人私生活享有的自主决定权；其三，两者在范围或内容上有交叉。隐私信息是个人信息，但个人信息不一定就是隐私信息。个人信息与隐私区别：首先，性质不同。虽然两者内容存在部分重合，但从本质来讲，基于隐私权保护的个人隐私属于一种不具有财产属性的精神人格权，而个人信息权同时具有人格利益和财产利益；其次，从内容来区分。隐私权保护强调维护公民个人私生活、私密领域的秘密性和自主性。但个人信息权更强调公民个人对自身信息的支配和决定，即未经公民个人允许，他人不得随意收集或支配公民的个人信息；其三，从救济保护方式来区分。公民个人隐私权的侵权案件一般以单一或少数一同发案的方式出现，因此在权利的救济方面强调对受害者个人的隐私权救济。而在公民个人信息受到侵犯的案件当中，在大数据发展的背景下，此类案件往往以成千上万的公民数据一同泄露的方式发生，一旦发生后果不堪设想。

在实践中，存在着大量公民隐私与个人信息被侵犯的现象，与此同时，在不同情况下，公民的个人信息和隐私信息的范围也随之变化，譬如，对于公民的工作单位或一般生活圈子而言，姓名、电话等信息就称不上隐私，而在公民预定酒店房间时，公民的姓名、电话信息又成为了酒店应当保护的隐私。为了更好的保障公民权益，厘清个人信息的范围，在法律上，严格区分个人信息与隐私，对其分开保护，这样才有利于个人信息受保护或被合理使用的良好秩序，更大发挥其价值。[10]

（二）统一个人信息非法收集与使用的标准

《民法总则》第111条确立了个人信息应“依法取得、不得非法收集”、“不得非法利用”等规则，其对于保护个人信息有着非常重要的意义。[11]那么，如何来确定非法收集、利用个人信息等侵犯行为的发生呢？首先，在个人信息收集行为是否合法的判断中，不能盲目的认定一切个人信息的收集都必须先经个人同意，但也不能认为，一切的个人信息的收集都不需要通过个人的同意。收集需经个人同意的信息才构成“非法收集”，要想从源头上规范个人信息的收集行为，需明确区分该项个人信息的收集是否需经信息主体的同意。笔者认为，要做到这种区别，应以被收集的信息是否属于隐私信息来作为判断的标准。隐私信息为自然人不愿意公开、透露的信息，在收集时原则上理应得到自然人的同意。而隐私信息以外的信息，如单独的姓名，则可以不以被收集者同意为条件，或者说可以尽量的简单化被收集的自然人的同意方式。[12]其二，对于个人信息利用行为是否合法的判断，应以以下两个方面着手：一是不得侵害该自然人的隐私权。就算是收集自然人信息合法的前提下，在对个人信息的利用过程中仍然存在侵犯信息主体隐私的风险。例如说，为工人分发工资的财务员，将填有工人姓名、身份证号、银行卡号的报表张贴于大街上，导致个人信息的泄露，构成了对他人隐私的侵害；二是个人信息不得不当使用而影响个人形象，损害信息主体的社会评价。部分个人信息单独或是相结合可以详细的展示自然人的各种生活轨迹、消费习惯等。如果使用该个人信息不当的展示个人形象，即可能侵害自然人的人格权和人格利益，导致其社会评价降低。如，对个人信息进行某种拼接，可能会构成对自然人名誉权的侵害。同时，根据该法条规定的“应当依法取得并确保信息安全”还能看出，信息主体对信息管理负有一定的义务。其实，在2013年新颁布的《中华人民共和国消费者权益保护法》有规定，经营者及其工作人员对个人信息的严格保密义务以及采取必要措施的义务等的强制性规定③。然而，即使有法律的相关规定，仍不足以明确行为合法性标准，在相关司法解释出台过程中，应注意细化行为方式，对个人信息收集、使用的行为界定出台一个明确又规范的司法标准，更好的对当事人利益进行保护。

三、个人信息的保护的立法建议

（一）确立个人信息权

如今大数据引领潮流，当代社会最显著的特征就是信息化、数据化，可以说，给人类的生产和生活带来了极大便利。但事物都具有两面性，伴随着大数据给予的便利，也会为信息主体造成一系列的困扰，最明显的就是个人信息的泄露。利用他人的个人信息可以得到巨大的利益，这一事实使得个人信息被泄露在当今社会成为了一种很普遍的现象，随着信息泄露给人们带来越来越多的不利后果，人们认识到个人信息的重要性，个人信息被泄露的严重危害性。

根据前文阐述，学者对于个人信息是一种民事权利保护还是一种法益保护有不同的解读，对此分别存在了人格权说、近似人格权说、新生独立权说、法益说的观点。在笔者看来，第111条的规定更偏向于对个人信息进行法益保护，而且该立法首次将个人信息的相关利益上升到法益对其进行保护，而不是直接的将个人信息作为权利保护，是因为司法实践中情况复杂，对个人信息进行权利予以保护，需要时间来过渡。但因社会的飞速发展，这对个人信息的保护力度显然不够，在接下来的立法，必然会将个人信息更加明确地规定为一种权利，且有责任条款，对侵犯他人个人信息权的行为做出具体的处罚规定，无论是自然人或者以营利为目的的各种民间组织组织，都将被“个人信息权”这一权利所束缚。同时也有利于司法机关在处理各种侵犯他人个人信息的案件中做出更加准确的判断和有利于保护当事人权益的处理。这样一来，在很大的程度上能够防止个人信息的泄露以及使用非法手段侵犯他人的个人信息。

（二）《民法典》中增设责任条款

虽 《民法总则》第111条首次将个人信息明确予以保护，但是单从该法条上看，仅就个人信息进行的一个表层保护规定，并没有相应的对个人信息非法收集或使用后的责任条款。也就是说，在司法实践中，侵害个人信息的案件需要法官具体案件具体处理，而司法领域出现涉及个人信息的案件，大多数的案件处理结果都是侵害人向信息主体公开道歉，除此之外的其他处理方式极其少见。笔者认为，既然个人信息应当作为一种人格权来保护，那么侵害个人信息的行为实际上就是侵权行为。因此，要对侵害个人信息权的行为做出民事责任规定，应当以我国《侵权责任法》为基础。根据《侵权责任法》第15条规定了十种具体的责任方式。[13]若行为人利用他人个人信息并未造成其他方面的损害，那么法院令侵害人公开的道歉的处理方式并无不妥。然而笔者通过对司法实践中涉及个人信息的众案件进行分析的结果来看，侵害个人信息往往伴随着侵害他人的其他人格权和造成他人财产损失。因此，笔者认为，在民事责任的方面，应当围绕者两个问题进行规定。首先，侵犯信息主体人格权时，实践中的处理方式一般是赔礼道歉和赔偿精神损失，但是，在侵害个人信息的基础上造成的人格权损害，有极大可能会导致信息主体在某些方面信誉受损。因此在前两种处理方式的基础上，应当要求侵害人在利用信息主体的个人信息造成影响的范围内消除影响。也就是说，侵害个人信息的同时造成他人人格权损害的，应当公开道歉、赔偿精神损失以及消除影响。其次，造成他人财产损失时，最能直观反映这种情况的就是很多电信诈骗案，因为个人信息的泄露而造成他人财产的严重损失。在此种情况下，应当在要求侵害人赔礼道歉的同时，对受侵害人的损失加倍赔偿。

四、结语

《民法总则》第111条的规定，在立法层面上对个人信息进行保护，但对该法条的理解及适用，存在一定的分歧，为了更好的对个人信息进行保护，势必设立个人信息权，在司法实践中明确个人信息的范围，合理判断个人信息收集使用的合法性，且在我国《民法典》的编纂过程中，增加侵犯个人信息权的责任条款，有力打击侵害个人信息的行为，只有这样，才可更好的降低侵害个人信息案件的发生率。

注：

①参见中国裁判文书网：丁芝玲与汪锡奎隐私权纠纷民事一审判决书（2017）川0603民初4743号。中国裁判文书网：庞理鹏与北京趣拿信息技术有限公司等隐私权纠纷二审民事判决书（2017）京01民终509号

②参见中国裁判文书网：周立荣与王茹香、李春香等隐私权纠纷一审民事判决书（2017）京0109民初4610号。

③《中华人民共和国消费者权益保护法》第二十九条第二款中明确规定，经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。