论人格权法(编)中的个人信息权的制度完善——评《中华人民共和国民法人格权编(草案)·民法室室内稿》相关规定

常 健

计算机技术和互联网技术的发展和普及应用开启了“信息革命”，世界由此进入了“信息社会”(information society)，这对人们的生产、生活方式产生了深刻的影响。个人信息(personal information)在“信息社会”被大规模收集、整理、传播、运用，“个人信息成为信息社会的一种重要的社会资源”。*齐爱民：《拯救信息社会中的人格——个人信息保护法总论》，北京：北京大学出版社，2009年，第20页。作为对社会生活的回应，保护个人信息的法律规则应运而生，尤其是2017年3月15日颁布的《中华人民共和国民法总则》第111条，明确规定“自然人的个人信息受法律保护”，开启了个人信息民事基本法律保护的时代。2017年11月15日，《中华人民共和国民法人格权编(草案)·民法室室内稿》(以下简称《人格权编草案(室内稿)》)发布，其第六章“隐私权和个人信息”共计8个条文(第42-49条)规定个人信息权制度，涉及到个人信息保护的基本概念、收集使用个人信息的基本原则与要求、信息收集人对个人信息的安全保障等义务、自然人对其个人信息的保有权等基本权利、对个人信息侵权责任的免责事由。《人格权编草案(室内稿)》的规定，大体确立了自然人个人信息保护的基本民事法律框架与制度；初步实现了与《民法总论》第111条的衔接，确立了个人信息作为一项具体人格权的法律属性。但毋庸讳言，《人格权编草案(室内稿)》作为征求意见稿，尚存在许多值得深入研究的问题，也需要在理论上进一步厘清，本文仅就其中的个人信息权制度完善的几个关键性问题展开探讨。

一、“个人信息”还是“个人信息权”

《民法总则》第111条规定“自然人的个人信息受法律保护”，其使用的是“个人信息”而不是“个人信息权”，这本身已经在理论界引起“个人信息”究竟是民事权利还是法益的争议。《人格权编草案(室内稿)》对“个人信息”的规定延续了《民法总则》的做法，其第六章规定“隐私权与个人信息”；且其第42条第2款还重述了《网络安全法》第76条对“个人信息”的定义，进一步混淆了“个人信息权”自身与作为权利客体的“个人信息”之间的界限。那么，《民法总则》和《人格权编草案(室内稿)》中规定的“个人信息”是一种民事权利吗？

第一，在我国，除《民法总则》第111条之外，涉及个人信息保护的法律规定散见于不同的法律之中，并多以间接保护的方式加以规定；*张平：《大数据时代个人信息保护的立法选择》，《北京大学学报》2017年第3期，第147页。而且大多数规范偏重宣誓性，拘束力有限，规定中个人信息与个人隐私的区分不清。*洪海林：《个人信息的民法保护研究》，博士学位论文，西南政法大学，2007年，第162页；郭瑜：《个人数据保护法》，北京：北京大学出版社，2012年，第43-44页；杨咏婕：《个人信息的私法保护研究》，博士学位论文，吉林大学，2013年，第415-422页。而在我国司法实践中，各级法院对于个人信息的法律性质认定也是五花八门，有的法院认为个人信息属于个人隐私的范畴，*参见上海市第一中级人民法院(2009)沪一中民二(民)终字第4042号民事判决书；深圳宝安区人民法院(2010)深宝法民一初字第1034号民事判决书；泰州市海陵区人民法院(2014)泰海民初字第1676号民事判决书等。有的认为个人信息属于名誉权的保护范围，*参见深圳市中级人民法院(2014)深中法民终字第3130号民事判决书；北京市丰台区人民法院(2014)丰民初字第589号民事判决书；南京市中级人民法院(2015)宁民终字第322号民事判决书等。还有的则直接认定为个人信息权。*参见广州市中级人民法院(2014)穗中法立民终字第2604号民事判决书；温州市中级人民法院(2015)浙温民终字第1712号民事判决书等。正是由于法律规定与司法实践的认识均不统一，所以在理论上个人信息权的法律属性也有多种学说，即宪法人权说、一般人格权说、隐私权说、财产权说、新型权利说、独立人格权说。*张里安、韩旭志：《大数据时代下个人信息权的私法属性》，《法学论坛》2016年第3期，第124-127页。但认可个人信息权是民事权利，是独立人格权，已然成为主流；*王利明：《论个人信息权在人格权法中的地位》，《苏州大学学报》2012年第6期，第68-72页；张新宝：《从隐私到个人信息：利益再衡量的理论与制度安排》，《中国法学》2015年第3期，第45页；张里安、韩旭志：《大数据时代下个人信息权的私法属性》，《法学论坛》2016年第3期，第127页；陈星：《大数据时代个人信息权在我国民法典中的确立及其地位》，《北京行政学院学报》2016年第6期，第2-4页；陈奇伟、刘倩阳：《大数据时代的个人信息权及其法律保护》，《江西社会科学》2017年第9期，第189-190页；王崇敏、郑志涛：《网络环境下个人信息的私法保护》，《海南大学学报》2017年第5期，第128页。尤其是《民法总则》颁布后，学界和立法机构对于第111条“个人信息”的解读，也认可“个人信息”是公民在现代社会享有的重要权利。*张新宝：《中华人民共和国民法总则释义》，北京：中国人民大学出版社，2017年，第220页；陈甦：《民法总则评注(下册)》，北京：法律出版社，2017年，第785页；杨立新：《中华人民共和国民法总则要义与案例解读》，北京：中国法制出版社，2017年，第413页；张荣顺：《中华人民共和国民法总则解读》，北京：中国法制出版社，2017年，第363页。

第二，正如人格权自身的发展，“由最初的生命权、健康权，扩展到名誉权、贞操权，到近代法律又确定了姓名权、肖像权等具体人格权，直到后来，才出现了一般人格权”，*齐爱民：《拯救信息社会中的人格——个人信息保护法总论》，第12页。“个人信息的法律规范并非自始基于一个预先设计的规划，而是因侵权形态、科技进步、保护必要性及人民的权利意识而形成，处于一种快速变动的发展过程”。*王泽鉴：《人格权的具体化及其保护范围·隐私权篇(中)》，《比较法研究》2009年第1期，第10页。个人信息权的发展演进过程，正是其逐步成熟融入人格权法律制度并成为独立的具体的人格权的过程。因为个人信息本身对于人格构建和发展也具有决定性意义；自我表现是个人和外界交流的唯一手段，自我表现的实质就是对个人信息的使用，而自我表现对于人格发展具有重要意义。*谢远扬：《信息论视角下个人信息的价值——兼对隐私权保护模式的检讨》，《清华法学》2015年第3期，第102-103页。所以，在人格发展过程中，对于个人信息价值的认知也将日新月异。“从比较法上看，有的国家通过单独立法，有的国家在民法典中予以规定，但都承认个人信息权。在欧洲，比较流行的观点仍然是将个人信息权作为一项独立的权利对待”。*王利明：《论个人信息权在人格权法中的地位》，《苏州大学学报》2012年第6期，第70页。可以说，将个人信息作为一种独立的权利是现代社会发展的一种趋势。*王利明：《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》，《现代法学》2013年第4期，第69页。

第三，仅从法律条文的逻辑上讲，《民法总则》将“个人信息”规定在“民事权利”一章，该章除“个人信息”之外，还具体规定了生命权、身体权、健康权、姓名权、肖像权、名誉权、荣誉权、隐私权、婚姻自主权、物权、债权、知识产权、股权等多种民事权利。在《人格权编草案(室内稿)》中，虽然第六章为“隐私权与个人信息”，但其他各章节均以“生命权”等“权利”命名。从法律规范的逻辑性讲，《民法总则》与《人格权编草案(室内稿)》中的“个人信息”，或规定于“民事权利”一章或与诸多“权利”并列，当然是受法律保护的“权”。*涉及同样问题的是，《民法总则》第109条规定的“自然人的人身自由、人格尊严受法律保护”，也只写了“人身自由”。但这不可能认为“人身自由”仅仅是一种法益，而不是公民重要的公权力和自然人的民事权利。参见杨立新：《个人信息：法益抑或民事权利——对〈民法总则〉第111条规定“个人信息”之解读》，《法学论坛》2018年第1期，第40页。“《民法总则》第111条之所以规定个人信息，又没有对其属于权利抑或法益作出明确规定，就是由于个人信息与隐私之间存在较强的关联性，对于是否能够划清其界限信心不足”。*杨立新：《个人信息：法益抑或民事权利——对〈民法总则〉第111条规定“个人信息”之解读》，《法学论坛》2018年第1期，第38页。而在《人格权编草案(室内稿)》中已经将“隐私权”与“个人信息”作了一定区分，理应理直气壮地明确“个人信息”的民事权利属性，以“个人信息权”直接取代定性不清的“个人信息”。

二、个人信息权与隐私权规定的界分

《人格权编草案(室内稿)》第六章“隐私权与个人信息”，该章共计11个条文，其中第39-41条规定“隐私权”，第42-49条规定“个人信息”。实际上，《民法总则》对于“隐私权”与“个人信息权”在第110条与第111条分别规定，明晰了隐私权与个人信息权是两个独立的概念。《人格权编草案(室内稿)》第六章的规则设计人为地混淆了《民法总则》第110条和第111条已经清晰的规划，造成“个人信息权”依附于“隐私权”的错觉。而且《人格权编草案(室内稿)》第39条第2款规定：“本编所称隐私，是指具有私密性的私人空间、私人活动和私人信息等。”其所使用的“私人信息”概念与“个人信息”之间难以区分，徒增概念上的混乱。

诚然，“世界上多数国家以隐私权保护为原点展开对个人信息的法律保护，”*张平：《大数据时代个人信息保护的立法选择》，《北京大学学报》2017年第3期，第148页。尤其是美国，对于个人信息的保护直接采用隐私权保护的模式，认为个人信息本质上是一种隐私权，是对自己所有信息的控制。*See Daniel J. Solove and Paul M. Schwartz， Information Privacy Law， 3rd edition， Austin: Wolters Kluwer， 2009， p.2.这对我国个人信息权的理论与实践都产生了影响。由于隐私权的法律规则相对完善，法院往往采取隐私权的保护方法为个人信息受到侵害的权利人提供救济。在《民法总则》立法过程中，其草案的“征求意见稿”“征求意见稿修改稿”“第一次审议稿”对个人信息权都没有做出规定。*杜涛主编：《民法总则的诞生——民法总则重要草案及立法过程背景介绍》，北京：北京大学出版社，2017年，第133页。但实际上美国法的隐私权与我国法律语境下的隐私权并不完全一致；其隐私权是一个框架性权利，类似德国的一般人格权。*谢远扬：《信息论视角下个人信息的价值——兼对隐私权保护模式的检讨》，《清华法学》2015年第3期，第108页。但“在学理上，确认一个人格利益能否构成一个人格权，最重要的标准就是这个人格利益是不是具有独立的属性，是不是能够被其他具体人格权所概括、所涵盖。如果一个具有独立意义的人格利益不能够被其他人格权所涵盖、所概括，并且与一般人格利益相比具有鲜明的特征和内容，就应当认为这个人格利益能够作为一个具体人格权”。*杨立新、袁雪石：《论声音权的独立及其民法保护》，《法商研究》2005年第4期，第105页。虽然有不少个人信息具有私密性，当事人本身并不想让其公开，许多个人隐私本身也是个人的基本信息。但个人信息权与隐私权在权利属性、权利客体、权利内容、保护方式等方面具有显著区别；*王利明：《论个人信息权的法律保护——以个人信息权与隐私权的界分为中心》，《现代法学》2013年第4期，第66-68页。随着信息社会的到来，个人信息的概念也已经远远超过了隐私信息的范畴。*任龙龙：《大数据时代的个人信息民法保护》，博士学位论文，对外经济贸易大学，2017年，第70-71页；李晓辉：《信息权利研究》，北京：知识产权出版社，2006年，第118-119页。所以，隐私权等人格权规则在信息时代早已无法有效保护个人信息；“在这个个人信息乃至个人自由均受到前所未有的威胁的时代中，对个人信息的保护已经无法停留在保护个人秘密或者事后寻求救济的层面”。*张里安、韩旭志：《大数据时代下个人信息权的私法属性》，《法学论坛》2016年第3期，第129页。那么，回归《民法总则》第110条和第111条的立法规划，将“个人信息权”与“隐私权”进行界分，在人格权法(编)中单独制定“个人信息权”一章，系统规定个人信息权的概念、基本原则、权利内容与限制，这样才能适应信息社会对个人信息权保护的基本需求。

三、个人信息权的基本内容

《人格权编草案(室内稿)》第42条第1款是对《民法总则》第111条的重述，第2款对“个人信息”的界定完全照搬了《网络安全法》第76条第5项的规定；其第43条是对《全国人民代表大会常务委员会关于加强网络信息保护的决定》第7条规定的重复；其第44条部分内容是对《网络安全法》第41条等规定的重复；其第45条内容是对《网络安全法》第42条等规定的重复；第46条内容与《网络安全法》第43条规定重复。人格权法(编)作为民法典的重要组成部分，其性质是民事基本法；但其规定的大量内容与行政法性质的网络安全治理专门法——《网络安全法》大量雷同，这本身就反映出《人格权编草案(室内稿)》具体规则设计的不严谨；尤其是《人格权编草案(室内稿)》直接照搬《网络安全法》中“个人信息”的界定，反映出该草案对“个人信息”理解的狭隘与偏差。*《网络安全法》对“个人信息”的界定出于网络社会安全治理的需要而更加强调电子化或网络化状态下的“个人信息”；而人格权编作为民事基本法，对“个人信息”进行界定则应该以更为开阔的视野进行全面系统的界定，其不仅包括自然人个人直接识别和间接识别的各种信息，还包括其家庭的相关信息(如配偶子女的出生日期、身高体重、种族、血型等)。参见齐爱民：《拯救信息社会中的人格——个人信息保护法总论》，第85页。严格意义上讲，人格权法(编)规定“个人信息权”，除明确界定个人信息权与个人信息之外，关键还要确定个人信息权的基本内容，这样才能构建相对完整的个人信息权规范体系。《人格权编草案(室内稿)》中分别规定了同意权、撤销权、保有权、更正权、删除权等个人信息权的基本内容，但其规定不仅分类不清晰不完整，也存在规定分散与其他法律大量重复的问题。

对于个人信息权的基本内容，各国(地区)个人信息保护的相关法律中均有规定。*美国《1974年隐私法》规定了决定权、知情权、更正权；欧盟的相关指令中规定了访问权、拒绝权、自主决策权、获得救济的权利；德国《联邦个人资料保护法》规定告知权、更正权、封锁权、删除权；英国《数据保护法》规定告知权、拒绝权、损害赔偿请求权、要求更正、封锁和删除权；法国《数据处理、数据文件及个人自由法》规定了反对处理权、获取权、更正权、间接获取权；西班牙《个人数据保护基本法》规定知情权、同意权、质疑评价权、查询权、信息获取权、修改与删除权、损害赔偿请求权；韩国《公共机关个人信息保护法》规定同意权、信息查询权、信息订正权、复议权；俄罗斯《个人资料法》规定个人资料接近权(知悉、更正、要求中止处理与销毁、采取自保措施等权利)、同意权、损害赔偿请求权；我国台湾地区“电脑处理个人资料保护法”规定查询及阅览请求权、复制本提供请求权、补充与更正请求权、电脑处理与停用的停止请求权、删除请求权、损害赔偿请求权；我国澳门地区“个人资料保护法”规定资讯权、查阅权、反对权、不受自动化决定约束的权利和损害赔偿权。参见刁胜先：《个人信息网络侵权问题研究》，上海：上海三联书店，2013年，第75-77页；陈星：《大数据时代个人信息权在我国民法典中的确立及其地位》，《北京行政学院学报》2016年第6期，第4页。在学理上，我国许多学者对此进行了深入研究，有学者认为个人信息权人享有的权利包括：处分权、要求更正权、更新权、了解信息用途的权利；*王利明：《人格权法制定中的几个问题》，《暨南学报》2012年第3期，第7页。有学者认为其包括：自决权、知情权、保密权、禁止权、收益权、救济权；*王崇敏、郑志涛：《网络环境下个人信息的私法保护》，《海南大学学报》2017年第5期，第129-130页。还有学者认为应包括：信息保有权、信息决定权、信息知情权、信息更正权、信息锁定权、个人信息保护权、被遗忘权。*杨立新：《个人信息：法益抑或民事权利——对〈民法总则〉第111条规定“个人信息”之解读》，《法学论坛》2018年第1期，第42页。那么，个人信息权作为一种新型人格权，本身具有一定的复杂性，且个人信息中包含大量敏感个人信息；基于个人信息收集的合法性原则、合目的性原则、最少使用原则、知情同意原则与效率原则的考量，*王利明：《论个人信息权在人格权法中的地位》，《苏州大学学报》2012年第6期，第74页。对个人信息的内容规定应该尽可能的全面细致，从而实现全面保障自然人的人格平等与尊严。首先，个人信息权中积极权能应该涵盖：知情权、保有权、处分收益权。即自然人对自身的个人信息具有了解、管控的权利，可以同意也可以不同意他人收集和使用并获取收益，“知情权是自然人行使个人信息决定权、处分权的前提，处分权、决定权则是当代人格权商品化发展的必然结果”。*张里安、韩旭志：《大数据时代下个人信息权的私法属性》，《法学论坛》2016年第3期，第128页。其次，个人信息权中消极权能应该涵盖：更正权、删除权、救济权。即他人收集或持有的个人信息有不实等情形，权利人得以请求更正或删除；当他人不当使用商品化的个人信息(人格权)，也应承担损害赔偿责任。*王利明：《试论人格权的新发展》，《法商研究》2006年第5期，第26页。此外，由于个人信息权为新型人格权利，为了便于理解适用和司法实践，在立法技术上对于个人信息权基本内容的规定应该采取“统分结合”的立法技术。即单独设置一个条款明确规定个人信息权的基本内容，使之成为总括性条款以指导具体的规则设定；在该总括性条款之后，再设定知情权、保有权等个人信息权内容的具体规则。这样才能使保障立法思路的连贯性、整体性与构建规则的适用便利性有机结合。

《中华人民共和国人格权编(草案)·民法室室内稿》发布，其中明确规定了“个人信息”制度；初步实现了与《民法总则》第111条的衔接。但作为征求意见稿在“个人信息”的法律性质、其与隐私权的界分、基本权利内容等关键问题的规定上存在缺憾。明确“个人信息”的民事权利属性，以“个人信息权”直接取代定性不清的“个人信息”；将“个人信息权”与隐私权清晰界分，在人格权法(编)独立成章；确立“个人信息权”的基本内容，采取总分结合的立法技术；这样将对人格权法(编)中的个人信息权制度的完善有所裨益。