个人一般信息侵权裁判规则研究*——基于68个案例样本的类型化分析

(西南政法大学民商法学院，重庆 401120)

一、问题的提出

我国《民法总则》第111条确立了对个人信息的保护，2019年4月26日全国人大公布的《民法典人格权编(草案二次审议稿)》(以下简称：人格权编二审稿)更为全面地规定了个人信息的保护体系。[注]参见《中华人民共和国民法典人格权编(草案二次审议稿)》，http://www.npc.gov.cn/COBRS_LFYJNEW/user/UserIndex1.jsp？ID=13240477，2019年5月1日访问。然而，两者均未对不同类型个人信息的保护规则作出区分。学界通说根据是否涉及个人隐私将个人信息分为敏感信息与一般信息。[注]参见齐爱民：《拯救信息社会中的人格》，北京大学出版社2009年版，第103～104页。由此个人信息与隐私权的保护范围在敏感信息部分存在交叉。[注]参见张新宝：《从隐私到个人信息：利益再衡量的理论与制度安排》，《中国法学》2015年第3期。我国《民法总则》同时规定了隐私权与个人信息，却未明确两者的关系，从两者条款并置的体系架构及其不同的功能定位出发，可在解释论上将敏感信息纳入隐私权保护范围，将一般信息交由个人信息条款予以专门保护。敏感信息具有高度私密性，保护程度相应较高；一般信息更侧重于保护与利用之间的利益平衡。[注]See Paul M.Schwartz,Daniel J Solove, Reconciling Personal Information in the United States and European Union, California Law Review,2014,102 (4):879.对一般信息的非法收集、使用等给权利人造成的侵害也不容小觑。近年来大量的个人一般信息泄露事件频发，如华住酒店5亿条个人信息外泄，[注]参见蔡文清：《华住酒店被曝5亿条个人信息泄露，网络安全问题怎么解决？》，http://www.takefoto.cn/viewnews-1558266.html，2019年2月20日访问。2018年Facebook泄露5000万用户数据等。[注]参见大成数据保护团队：《泄露5000万用户数据，Facebook面临2万亿美元罚款》，https://mp.weixin.qq.com/s/MUqnsmOhchyxQeT8-RaNxg， 2019年2月20日访问。这些事件凸显出个人一般信息亦亟需得到保护，具体规则如何展开尚待研究，有必要在总结相关理论研究成果与司法实践经验的基础上予以合理设计。

大量的司法案件反映出裁判者对个人一般信息项下的不同类型亦存在侵权保护程度与保护方式上的客观差异，为个人一般信息的保护规则提供了区分设计的思路，目前理论上对此种信息项下的具体分类鲜有涉及。[注]既有的个人信息类型化研究要么遵循传统分类标准将个人信息分为“直接个人信息与间接个人信息”或“敏感信息与一般信息”(参见韩旭至:《个人信息类型化研究》，《重庆邮电大学学报(社会科学版)》2017年第4期)，要么在此基础上作出突破，尝试提出新的分类形式——人格紧密型个人信息与人格疏远型个人信息(参见项定宜、申建平：《个人信息商业利用同意要件研究——以个人信息类型化为视角》，《北方法学》2017年第5期)。在此情况下，司法实践累积的经验可作为分析样本。区分标准的确定是类型化工作的关键问题。[注]参见黄茂荣：《法学方法与现代民法》，法律出版社2007年版，第577页。司法实务中对个人一般信息的区分保护可能系基于对信息与主体关联度差别的直接观察，此种差别较为准确地表现出每种信息类型在以信息主体为中心的同心圆上所处的位置，并从民事权利主体与民事权利对象的关系角度，[注]民事权利客体、民事权利对象、民事权利标的等与客体相关的概念在民法学界的使用较为混乱，其各自间的联系与区别亦未有定论，笔者于本文中采用“民事权利对象”系民事利益(即民事权利客体)之载体的观点。参见冷传莉：《“人格物”的司法困境与理论突围》，《中国法学》2018年第5期。反映了不同信息类型的本质区别。再者，以不同信息距离“圆心”的远近区分保护层次的做法也具有较强的可操作性。因此，可借鉴司法实践的经验将信息与主体的关联程度作为个人一般信息类型化之标准。

然而，这一标准仍较为模糊，需要在理论上进一步明确。实际上，个人信息与信息主体的关联程度具体可由信息是否具有唯一性、信息识别个人的可能性、信息滥用等行为对个人的影响程度这三项因素综合决定。上述因素又受到不同类型个人信息所承担功能的直接影响，具体包括区分功能、联络功能、标识功能与描述功能。根据对上述因素的综合考量，按信息与主体的关联程度高低可将个人一般信息划分为区分性信息、联络性信息及关联性信息。主要承担区分功能的个人信息为区分性信息，其识别个人的可能性以及对个人的影响程度均较高且具有唯一性，因此与信息主体之间具有很强的关联度。承担联络功能的个人信息为联络性信息，其虽不具有可识别性，但具有唯一性，对个人生活的影响度也较高，因此与信息主体关联较大。主要承担描述功能与标识功能的个人信息为关联性信息，一般不具有唯一性，识别个人的可能性与对个人的影响度均较低，因此与信息主体的关联最弱。据此，笔者将司法实践中较具代表性的68件相关案例对应地分为三类，其中，区分性信息类案件占样本总量的28.57%，联络性信息类案件占样本总量的30.36%，关联性信息类案件占样本总量的19.64%。[注]笔者本文所用裁判文书均来自“北大法宝数据库”与“威科先行法律信息库”。笔者以“个人信息”和“隐私”为关键词，以2000年至2018年为时间跨度进行检索，并剔除同院多判、错误适用或实质上涉及个人隐私与敏感信息的案件。需要说明的是，在我国《民法总则》施行前后，司法实践中普遍未将隐私与个人信息严格区分。在我国《民法总则》施行前，由于私法领域未明确对个人信息的保护，司法实践多采隐私权保护模式(参见冷传莉、李怡：《司法保护视角下的隐私权类型化》，《法律科学》2017年第5期)。即使在我国《民法总则》施行后，多数判决仍体现了以隐私权保护个人信息的做法，部分判决中还出现将两者混用不予区分的做法。因此，为保证样本完整性，笔者在检索案件时将“个人信息”和“隐私权”均列为关键词。在此基础上，笔者将于本文中具体分析每一类信息的属性定位、侵权判定、责任承担等裁判规则，既呈现司法实践的客观规律，又对具体的裁判观点进行研判，以期为民法典编纂中个人信息保护体系的完善提供规范类型的参考，防范因忽视类型差异而“一刀切”的规则设置可能带来的弊端。

二、区分性信息侵权纠纷的裁判规则评析

(一)区分性信息属性与外延的裁判立场考察

1.区分性信息是否属于个人信息或隐私权的保护范围

区分性信息是指可以将特定个人与其所在群体中的其他人“区分”开来的信息，虽然其识别个人的可能性较高，但它的主要功能不在于标识主体身份，而在于给予信息主体一个明确、专属的定位，这样的信息包括居民身份证号码、护照信息、车牌号码等。实践中，法院多认可该类信息受隐私权或个人信息保护。如孙蕾诉学集教育咨询(北京)有限公司隐私权、名誉权纠纷案(以下简称：“孙蕾案”)中，法院认为身份证号系与个人身份密切相关的信息，学集教育咨询(北京)有限公司作为孙蕾的用人单位应合理合法地持有和使用该身份信息。[注]参见北京市朝阳区人民法院(2018)京0105民初2738号民事判决书。然而，亦存在个别未将身份证号码等区分性信息作为个人隐私或信息保护的裁判。此种裁判认定大多出现在将针对他人的生效裁判文书公开的案件中。如汤嘉欣与佛山市南海区大沥镇河东村联胜一股份合作经济社、曾福堂隐私权纠纷案中，法院认为被告未经原告同意张贴的判决书中原告的身份证号等个人信息不具有明显的隐私性质，不过法院也指出应对所张贴文书中的身份证号码等信息进行一定遮蔽。[注]参见广东省佛山市南海区人民法院(2017)粤0605民初1231号民事判决书。可见，法院其实也认为不经处理地公开裁判文书中的当事人身份信息确有不妥，但认定该行为不构成侵权的原因是上述信息不属于隐私。这种认识实际上秉持的是隐私权与个人信息严格区分的保护模式。如前所述，以扩张隐私权外延的方式保护个人信息不但是我国《民法总则》施行前的权宜之计，甚至在我国《民法总则》施行后仍继续广泛地运用于个人信息的司法保护中。这可能源于当事人对个人信息概念的陌生以及对诉诸隐私权案由来保护个人信息的路径依赖。然而，无论如何，解释论上对个人信息保护路径的不同解读不应妨碍个案中对个人信息的保护，司法实践中的混同保护模式或隐私权保护模式都是功能导向的务实选择，不妨作为当前理论争议未决与立法不明背景下的暂行方案。与此同时，在学理上仍须对区分性信息的内涵与性质予以厘清，区分性信息系能够直接定位到个体的个人一般信息，对其进行非法收集、使用、公开等构成侵犯个人信息。因此，前述案件中的身份证号码等信息无论在个人信息的何种保护模式下都可以作为区分性信息受到个人信息或隐私权的保护。

2.区分性信息是否包括MAC编码

判定区分性信息的标准在于其能否表征出特定个人与其所在群体中其他个人的区别。在当今网络时代，个人通过互联网进行活动时也需要一种类似于身份证号的MAC编码(计算机终端网卡物理地址)。其作为硬件身份的唯一证明，承担着区分虚拟主体的功能。实践中法院对其未予保护。例如，在何涛与上海很棒信息技术有限公司隐私权纠纷案中，法院认为用户的电脑网卡物理地址不属于隐私，网站在记录用户的MAC编码和其键入的关键词等信息时并不能判断出用户身份，故其收集上述信息并提供给广告商的行为未侵犯用户隐私。[注]参见上海市第一中级人民法院(2007)沪一中民一(民)终1797号民事判决书。实际上，该判决的结论略显武断，MAC编码能否定位到信息主体应区分不同情况加以讨论。MAC编码作为每台计算机终端的专属身份证明具有唯一性，但其与现实操控主体的对应关系既不显见亦不确定，可能存在“一对一”、“一对多”甚至“多对一”、“多对多”的情形。在计算机为个人所有、使用的情况下，MAC编码就与信息主体一一对应，虽然仅通过单独的MAC编码不能直接识别出个人的现实身份，但却足以将特定个人与其他使用计算机网络的个人相区分。在一人使用多部计算机的情况下，多个MAC编码对应同一个信息主体，通过每个MAC编码都能定位到该信息主体。在多人使用单台计算机或多人使用多台计算机时，情况则有所不同。多人使用单台计算机时，单个MAC编码对应着多个信息主体，因此其并不能区分出特定个人。多人使用多台计算机时，单个MAC编码对应多个信息主体，同一信息主体也使用着多个MAC编码，凭借MAC编码并不能定位到信息主体。由此可见，按照信息能否区分出特定个人的标准，在单台或多台计算机仅为一人使用的情况下，MAC编码应作为区分性信息；在单台或多台计算机为多人使用的情况下，MAC编码不属于区分性信息。

(二)区分性信息侵权构成要件的裁判立场考察

1.认定区分性信息侵权是否要求实际损害发生

关于侵害此类信息的损害后果认定，法院往往只考虑行为是否导致信息处于不当公开的事实状态，而不要求行为造成权利人的社会评价降低、精神损害等。实际上，与信息主体因隐私曝光而遭受精神损害、财产损害这类典型的损害形式相比，信息泄露是一类侵犯个人信息的新型损害形式。司法实践中基于对区分性信息的高度保护而认可此种新型损害，对传统意义上的实际损害后果不作要求的做法，值得肯定。

2.认定区分性信息侵权是否要求行为人存在主观过错

对于行为人的主观过错，法院大多未予考察，部分法院则根据行为人在公开时是否尽到谨慎注意义务、公开的目是否合理正当等要素进行综合考察。如杨大虎与北京微梦创科网络技术有限公司等名誉权纠纷案中，法院认为，胡鼎宸在网上公布杨大虎的汽车牌号、身份证号码等信息，虽然是出于帮助涉案交通事故受害人寻找肇事逃逸者的正当目的，但因没有限制信息传播的范围而存在过错，构成侵权。[注]参见北京市海淀区人民法院(2013)海民初18653号民事判决书。尽管在大数据技术被广泛应用的情况下，个人一般信息侵权适用一般过错责任对信息主体的保护力度不足，但无过错责任与过错推定责任的适用应有其特殊条件，有学者认为对个人信息侵权应采三元归责体系，根据信息处理者的处理能力高低课以相应的注意义务标准。[注]参见叶名怡：《个人信息的侵权法保护》，《法学研究》2018年第4期。笔者认为此种方案可资借鉴，但亦应结合信息与主体的关联程度综合考虑，对于区分性信息这类与主体高度关联的信息，信息处理者的注意义务应相对更高。

(三)区分性信息侵权抗辩事由的裁判立场考察

在区分性信息侵权案件中为法院认可的免责事由有权利人主动公开，即信息已经处于公开状态且此种公开得到了权利人的同意。然而，值得注意的是，造成他人已在一定范围内公开的信息的公开范围不当扩大依然构成个人信息侵权。因此，在以信息已公开或权利人主动公开作为免责事由时，应当将权利人意图公开的范围及其已公开的范围作为考量因素。对于权利人的同意这一免责事由，实践中为法院认可的同意方式既包括明示同意亦包括默示同意。明示同意是指权利人通过书面或口头的方式明确表示同意。如夏欣与北京电视台隐私权纠纷案中，法院认为，被告对原告进行报道并拍摄其身份证件等均经其同意，如果原告主张其曾提出对摄制内容进行特别处理的要求，应对此负举证责任。[注]参见北京市朝阳区人民法院(2014)朝民初28219号民事判决书。默示同意系指通过权利人的积极行为推知其具有同意的意思。如陈A与上海教育电视台隐私权纠纷上诉案中，法院认为，陈A作为一名意思能力完备的成年人，在明确知晓被上诉人记者身份和来访缘由后应当对自己被采访时的言谈后果与影响有清楚的认知。因此，可以推断陈A同意在被上诉人的节目上公布含有其个人信息的采访内容。[注]参见上海市第二中级人民法院(2012)沪二中民一(民)终374号民事判决书。知情同意原则在个人信息保护中至关重要，但上述两则案例却反映出法院对知情同意要件的判定较为粗糙，就知情要件而言，法院未考察权利人是否知晓信息处理人使用信息的范围、目的、持续期间等；就同意要件而言，法院未查明权利人同意他人处理其个人信息的程度、公开的范围等。另外，法院认可经权利人的默示同意即可收集、利用区分性信息的做法也值得商榷，笔者认为，对于区分性信息这类与主体关系紧密，其泄露可能对主体影响较大的个人信息，应更多地将信息处理的控制权赋予当事人而非信息处理者。[注]See Christophe Lazaro,Daniel le Metayer, Consent to Personal Data Processing: A Comparative Perspective on Data Subject's Autonomy, Revue Juridique Themis, 2014,48 (3):765～ 816.这就要求当事人对信息处理的授权更为明确和直接。处理信息前应征得当事人明确、具体的同意且该意思表示应以明示的方式作出，都是确保这类信息受信息主体控制的手段，既能避免后续环节容易产生的风险，也不会占用信息主体过多的处理成本。

(四)区分性信息侵权责任方式的裁判立场考察

司法实践中，此类信息的侵权责任方式主要包括赔礼道歉、停止侵害、精神损害赔偿、消除影响等。其中前两者适用得较多，精神损害赔偿适用得较少。因为按照我国《侵权责任法》第22条之规定，当事人关于精神损害赔偿的请求只有在其所受精神损害达到“严重”程度时才能得到支持。实践中，法院大多认为个人信息的泄露并不会导致被害人严重的精神损害；个别裁判认定侵犯个人区分性信息造成精神损害的，也是因为在公开个人信息的同时侵犯了名誉权等其他人格权。前者如在庞理鹏与北京趣拿信息技术有限公司等隐私权纠纷案中，法院认为庞理鹏未因此次隐私信息被泄露而引发明显的精神痛苦，故不支持其精神损害赔偿请求。[注]参见北京市第一中级人民法院(2017)京01民终509号民事判决书。后者如在前述“孙蕾案”中，法院认为学集教育咨询(北京)有限公司的隐私侵权行为给孙某的情感和精神造成了一定伤害，酌情判令学集公司赔偿2000元。[注]参见北京市第一中级人民法院(2017)京01民终509号民事判决书。实际上，侵犯区分性信息是否造成权利人严重精神损害不能仅仅根据信息的性质本身判断，而应在个案中结合侵权情节、过错程度、损害后果等因素综合考量。基于个人信息一经公开即难以恢复的特性，赔礼道歉、消除影响的执行方式亦有其特殊性，法院大多判决侵权人在侵权行为的原公开范围内履行，以免公开范围的再次扩大。如在吴朝伟诉陆攀攀一般人格权纠纷案中，法院判决吴朝伟在其发布侵害陆攀攀隐私的微信朋友圈内发表向陆攀攀道歉的声明。[注]参见浙江省宁波市中级人民法院(2017)浙02民终1527号民事判决书。

在区分性信息类案件中，法院判决侵权的有17件，占此类案件总数的70.83%，可在一定程度上说明司法实践对此类信息的保护程度较高。认定为不构成侵权的判决大多并非否认此类信息应受保护，而是根据获取信息的手段、公开的范围与程度、公开的目的、处理信息时是否尽到合理的注意义务、损害后果等因素作出的综合判断。

三、联络性信息侵权纠纷的裁判规则评析

(一)联络性信息性质与范围的裁判立场考察

1.联络性信息是否属于个人信息

联络性信息是指电话号码、微信二维码、电子邮箱、住址等可以联络到特定个人的信息。我国《网络安全法》第72条及人格权编二审稿第813条均规定个人信息是可以直接或间接识别个人身份的信息。单独的联络性信息却往往难以定位到特定个人，不过他人可以通过该信息联络到个人从而对其产生直接影响，这就给个体的生活安宁、经济安全甚至人身安全都带来了潜在威胁，如强制推销、电信诈骗等。可见，以识别标准界定个人信息难以回应联络性信息保护的紧迫需求，而应以信息滥用是否会影响个人生活为标准判断个人信息的保护范围。[注]参见范为：《大数据时代个人信息定义的再审视》，《信息安全与通信保密》2016年第10期。部分司法判决也采取了这一立场。如在黄立红与付丽丽隐私权纠纷案中，法院认为，付丽丽未经黄立红许可在一些微信群中发布黄立红不愿公开的微信二维码、联系电话等个人信息，使社会不特定人得以知晓并对黄立红的个人生活产生了影响，构成侵权。[注]参见江苏省苏州市姑苏区人民法院(2018)苏0508民初1860号民事判决书。为数较多的司法裁判甚至将联络性信息纳入隐私权保护。在笔者检索到的32件相关案件中，仅有3件案例的裁判认为联络性信息不属于隐私或个人信息，其理由如下。其一，手机号码只是一串数字，当其与特定个人相关联后才成为个人信息。[注]参见广东省深圳市中级人民法院(2017)粤03民终7378号民事判决书。其二，联络性信息在日常民事交往中发挥着信息交流的重要作用。因此，孤立来看，手机号等信息不但不应保密，反而是需要向他人告示的。理由一局限于狭隘的个人信息识别标准，理由二错误适用隐私的判定标准来界定个人信息。这两点理由均忽视了联络性信息的泄露、滥用可能给权利人生活带来的负面影响，实际上联络性信息不仅对个人生活安宁影响较大，而且一般情况下具有专属性，因此其不仅属于个人信息的保护范围，而且是与信息主体关联度较高的信息类型。

2.联络性信息是否包括IP地址(Internet Protocol Address)

个体展开网络活动时亦需要类似于电话号码和住址的IP地址信息，其一方面具有唯一性从而与个体高度关联，另一方面又因承担着网络交互功能而具有较大的受侵害风险。[注]See Frederick Lah, Are IP Addresses "Personally Identifiable Information"?,A Journal of Law and Policy for the Information Society, 2008,4 (3):682.然而，司法实践中普遍对其重视不足，实际上IP地址的功能定位符合联络性信息的特征，生活中普遍发生的滥用、出售他人IP地址的行为亦亟待规制，因此宜将其纳入联络性信息的范畴受个人信息保护。[注]See Joshua J. McIntyre , Balancing Expectations of Online Privacy:Why Internet Protocol(IP) Addresses Should Be Protected as Personally Identifiable Information,DePaul Law Review, 2011,60 (3):897.

(二)联络性信息侵权构成要件的裁判立场考察

1.单独地获取他人联络性信息是否构成侵权行为[注]参见上海市青浦区人民法院(2017)沪0118民初6453号民事判决书。

对于单纯获取他人联络性信息而未进行公开或滥用的行为，实践中大多认为不构成侵犯隐私权或个人信息。[注]参见北京市大兴区人民法院(2017)京0115民初1958号民事判决书。这种立场值得肯定，联络性信息因其承担着社交功能，在人际交往中极易为他人获知，因此单独的获取行为一般难以认定为侵权，除非获取的途径不法。不过，对获取行为与收集行为应作出区分，收集是指较大规模地取得他人联系方式的行为，法律重点规制的是非法收集他人联系方式以及取得他人联系方式后的擅自泄露、不当公开、滥用等行为。

2.公开他人联络性信息达到何种程度构成侵权

司法实践中一般认为须向多数人或不特定第三人公布他人联络信息才构成侵权行为。如在焦洋与徐萍等隐私权纠纷案中，法院认为，悠恩齿科公司转发公布焦洋的病历上载有焦洋的电话号码、工作单位、家庭住址等信息，造成焦洋的身份信息为不特定第三人所知，该行为侵犯了焦洋的隐私权。[注]参见北京市第三中级人民法院(2018)京03民终3553号民事判决书。相反，若公开范围较为有限则往往不认定为侵权，如高淑琴与中国政法大学隐私权纠纷案中，法院认为，被告将印制有高淑琴姓名、电话、电子邮件和联系单位等信息的会议手册在仅50人左右的参会者中发放，未向不特定社会公众公开，不构成侵犯隐私。[注]参见北京市第一中级人民法院(2015)一中民终06880号民事判决书。

3.错误标记手机号码是否构成侵权行为

实践中还出现因软件标记手机号码信息引起的诉讼，在王刃与北京奇虎科技有限公司隐私权纠纷案中，原告作为公司负责人将其个人手机号码作为企业办公电话登记，被告运营的360手机卫士软件将该号码标记为企业号码，并在原告以该号码主叫或被叫时显示标记信息。法院以被告无侵权故意，标记信息无误，获取信息渠道合法，诉讼时标记已取消等理由判定被告行为不构成侵权。不过法院也对360手机卫士软件主动标记企业信息的功能提出了改进意见，建议其在标记号码时应向号码所有人发送短信进行确认。[注]参见北京市西城区人民法院(2015)西民初28460号民事判决书。该案被告系按照案涉号码的登记信息进行标记，因此并非错误标记，但倘若软件确实将个人所有的电话号码错误标记为企业电话，则行为人具有主观过错且该行为可能导致当事人遭受与其无关的电话或短信的骚扰，应当认定为侵权。

4.认定侵犯联络性信息是否要求行为人具有主观过错

关于联络性信息的侵权认定，法院大多未考察行为人的主观过错，认为鉴于个人信息的私密属性，只要存在未经权利人许可向他人披露其个人信息的事实就构成侵权。[注]参见山东省淄博市临淄区人民法院(2014)临民初2429号民事判决书。然而，这种认识有失偏颇。与区分性信息相比，联络性信息与主体的关联程度较低，因此对信息处理人的注意义务要求也相对较低，同时还应结合信息处理人的资源掌握范围、信息处理能力等进行综合考察。实践中也有部分法院根据行为人管理或公布他人联系方式时是否尽到注意义务、管理义务，公开联络性信息的目的是否正当等方面考察行为人的主观过错状态以判定侵权与否，[注]参见北京市海淀区人民法院(2013)海民初26952号民事判决书；北京市朝阳区人民法院(2014)朝民初00008号民事判决书。此种态度较为可取。

5.认定侵犯联络性信息是否要求实际损害发生

与区分性信息侵权仅要求信息处于公开的事实状态即构成损害不同，实践中对侵犯联络性信息的损害要件存在争议。大多数法院认为应具有泄露、滥用联络性信息引发的生活受到骚扰、精神受到伤害等实际后果。[注]参见湖南省郴州市北湖区人民法院(2014)郴北民二初947号民事判决书。然而，在个别判决中，法院认为只要行为人致使他人的联络信息被不确定的第三人知悉或处于不特定第三人可获知的状态，损害即成立。[注]参见北京市顺义区人民法院(2017)京0113民初2770号民事判决书；四川省成都市锦江区人民法院(2011)锦江民初2071号民事判决书。这一观点存在一定的合理性，虽然联络性信息尤其是联系电话、电子邮箱等作为现代人的通讯方式，基于社会交往的需要具有较高的公开程度和使用频率，仅仅为特定第三人获知难以认定为侵权，但是如果行为导致联络性信息为不特定第三人获知，会令权利人的生活安宁有受侵扰之虞，可能导致其遭受生活的不确定性带来的困扰。我国香港特别行政区的“香港法律改革委员会”建议，对于侵犯“私隐”的行为，原告无须证明有任何损害便可提起诉讼。[注]参见香港法律改革委员会：《侵犯私隐的民事责任报告书(2004)》，http://www.hkreform.gov.hk，2019年2月20日访问。虽然该建议针对的是保护程度较高的隐私受侵害时的起诉条件，但对个人一般信息的侵权保护也具有借鉴意义。当然，对于保护程度相对较低的联络性信息不必如此绝对，受害人虽无须证明侵害行为造成的实际损害，但应证明存在侵害行为被使联络性信息处于可为不特定第三人获知的事实状态。

(三)联络性信息侵权抗辩事由与责任形式的裁判立场考察

联络性信息的侵权抗辩事由包括权利人的主动公开及权利人的同意，在同意授权公开的对象上应予以明确。随着微信这一社交软件的普及，越来越多的隐私或个人信息侵权行为通过微信朋友圈、微信公众号、微信群等媒介予以实施。因此，该平台的运行机理对于侵权判定也会产生影响，比如在同意对象的界分上就应如此。在李蕾与上海映迪贸易商行、中视创艺(北京)影视文化传媒有限公司肖像权纠纷案中，法院认为，原告在“小小红领巾”订阅号上传个人信息并勾选“需要通过平台免费推广”的行为，应视为仅允许该订阅号获取、保存并对外推送原告个人信息。该订阅号与“小小红领巾”服务号的注册主体分别为企业和个人，原告对前者的授权不能当然视为对“小小红领巾”服务号的授权，因此，后者擅自抓取、保存原告个人信息并对外推送的行为构成侵权。[注]参见上注，香港法律改革委员会文。与区分性信息类似，联络性信息的侵权责任形式亦多为停止侵害和赔礼道歉，精神损害赔偿的适用较少，在笔者检索到的32件案例中仅有3件，且要求被侵权人受到严重的精神痛苦。如在赵圣祥与新丽传媒股份有限公司、山东影视传媒集团有限公司等隐私权纠纷案中，法院认为被告的行为致使原告在生活上长期受到困扰，且随着电视剧的播出，公开的电话号码信息已为不确定的大众获知，不能排除原告将来还会接到电话及短信等骚扰的可能，给原告的生活及精神造成了一定的伤害，应进行精神损害赔偿。[注]参见前注，香港法律改革委员会文。

在联络性信息类案件中，法院判决侵权的有18件，占此类案件总数的56.25%，这在一定意义上反映出其相对于区分性信息的司法保护程度较低，其原因在于，其一，部分法院对联络性信息的定位不清，认为其属于应公开的信息范畴，不作为个人信息受法律保护；其二，联络性信息承担的社会交往功能使其保密性应有所缩减，有限范围内的公开不一定构成侵权，这需要法院在个案中综合权衡。

四、关联性信息侵权纠纷的裁判规则评析

(一)关联性信息属性定位的裁判立场考察

1.单独的关联性信息是否属于个人一般信息

关联性信息包括以下两种。其一，无法直接识别到特定个人，但与其他信息结合后可以使人格图像更为清晰以提升识别个人可能性的信息，[注]此类信息可统摄于欧盟2018年5月生效的《一般数据保护条例》(General Data Protection Regulation，GDPR)所采用的较为宽泛的个人可识别信息定义中。如微信头像等。其二，能够使某个已知主体的人格图像更为丰满的信息，[注]这类信息可为美国法所采用的个人可识别信息概念所囊括。See Paul M.Schwartz,Daniel J.Solove,The PII Problem:Privacy and a New Concept of Personally Identifiable Information,New York University Law Review,2011,86(6):1873.例如，兴趣爱好、婚姻状况、性别、年龄、网络活动信息、购物偏好等均属此类。可见，关联性信息内部亦存在分类，上述前一种关联性信息主要承担标识主体的功能，后一种关联性信息主要发挥描述主体特征的功能。两者的共性在于，其单独存在都不符合个人一般信息的识别要件，只有在与其他信息结合后才能识别出特定个人或提供关于某个已知个人更为丰富的特征时才属于个人一般信息。因此，单独判断某个关联性信息是否属于个人信息不具有实际意义，而应将其性质置于动态变化的环境中考察。传统的关联性信息如肖镇诉陕西《收藏》杂志社侵害隐私权案中肖镇收藏佛像的爱好。被告在对当事人进行报道时擅自公布了其姓名、住址及上述兴趣爱好等信息。[注]参见江苏省徐州市中级人民法院(2000)徐民初1430号民事判决书。通过姓名与家庭住址实际上已能够识别或联络到特定个人，而其兴趣爱好若单独呈现尚不足以定位到特定个人，但在与上述信息相结合后却使得人物形象更加丰满，而恰恰是这一关键信息的公布使得全国各地佛像经销商或佛像爱好者向原告寄送大量的推销或咨询信件，极大地干扰了原告晚年生活的安宁。

2.网络空间中的关联性信息是否属于个人信息

随着互联网日益融入个人生活，个体在网络空间活动时留下的网络活动信息(如购物方式、访问次数)、社交账号头像与名称等信息塑造着个人在网络空间中的形象，其是否作为个人信息受到保护，既关系到个人在网络空间的安全性与自由度，又涉及网络中其他主体的行为边界，需要理论与立法的明确回应。司法实务中，当此类信息满足前述的关联性信息上升为个人一般信息之条件时，其受个人信息保护一般不存争议。如在张昊与张珊妮、王秀玲一般人格权纠纷案中，法院认为被告在其微信朋友圈公开张昊的微信头像、身份证信息、车牌号码等个人信息构成侵权。[注]参见安徽省淮北市相山区人民法院(2018)皖0603民初154号民事判决书。该案中当事人的身份证信息、车牌号码等作为区分性信息已经足以识别其身份。微信头像则系关联性信息，单独公布这一信息一般无法识别到特定个人，难以构成侵权，但其与上述区分性信息相结合能够构建出更为完整的人格图像，甚至能起到将虚拟人格形象与现实人格形象相连接的功能。此时，这些信息作为整体信息就应当受到个人信息保护。然而，单独的网络空间关联性信息是否属于个人信息或隐私在司法实践中存在争议。在朱烨与北京百度网讯科技有限公司(以下简称：“百度”)隐私权纠纷案中，一审法院认为，网络用户在互联网空间留下的私人活动轨迹是对其上网偏好、消费兴趣与需求等私人信息的折射，能够反映其人格图像与私人生活状况，属于个人隐私。[注]参见江苏省南京市鼓楼区人民法院(2013)鼓民初3031号民事判决书。该案二审法院则认为，网络活动轨迹信息不能与网络用户个人身份相对应，其匿名化特征不满足个人信息的可识别性要求，因此，其虽然反映了用户的上网偏好具有隐私属性，但一旦脱离用户身份就难以识别出信息背后的个人，因此不再属于个人信息。[注]参见江苏省南京市中级人民法院(2014)宁民终5028号民事判决书。还有法院直接否定此类信息的隐私属性，如在顾俊与奇智软件(北京)有限公司等隐私权纠纷案中，法院认为，个人是否安装计算机软件的信息难以认定为隐私。[注]参见浙江省杭州市中级人民法院(2014)浙杭民终字1813号民事判决书。上述案件发生于我国《民法总则》施行前，法院将个人信息纳入隐私权保护，故在判定此类信息属性时错误采用了隐私的界定标准。然而，抛开概念之分，大多数法院仍然认为单独的个人网络活动信息不属于隐私或个人信息。这一判断符合关联性信息动态定性的标准，孤立的网络活动信息通常不具备识别性，但其与其他信息相结合可以增加个人的可识别性或者丰富已知个人的特征。因此，网络活动信息的定性亦应根据其所处的环境和所结合的信息进行综合判断。

(二)关联性信息侵权构成要件的裁判立场考察

1.认定侵犯关联性信息是否要求公开行为

与区分性信息及联络性信息不同，侵犯关联性信息的行为除了公开外，更多体现为非法收集、使用、传输、买卖、提供他人个人信息的行为，尤其在网络活动信息上表现得更为明显。然而，在朱烨与“百度”隐私权纠纷案中，二审法院认为，公开行为是隐私或个人信息侵权的构成要件之一，“百度”并未将其收集的用户Cookie信息予以公开，故不构成侵权。[注]参见江苏省南京市中级人民法院(2014)宁民终5028号民事判决书。该法院将公开行为作为侵犯个人信息的必备要件，却未对“百度”收集用户Cookie信息并进行商业利用的行为作出评价，有避重就轻之嫌。实际上公开行为只是侵犯个人信息的典型行为类型之一，我国《民法总则》第111条已对其他个人信息侵权行为进行了详细列举，纠正了理论与实务中的偏差。

2.认定侵犯关联性信息是否要求行为人存在主观过错

大多数判决在考察此类侵权行为是否成立时，未专门就当事人是否存在过错予以说明，个别法院对此作出了认定。如在施某庭、张传霞、桂德聪诉徐锦尧肖像权、名誉权、隐私权纠纷案中，法院认为徐锦尧通过网络发布原告施某庭年龄、照片等信息的目的是为了揭露其遭受虐待的事实，以维护作为未成年人的施某庭本人利益以及社会公共利益，结合行为的情节严重性、行为后果等因素，法院认定徐锦尧未侵犯施某庭的隐私权。[注]参见南京市江宁区人民法院(2015)江宁少民初7号民事判决书。实际上，关联性信息与主体的关联程度较低，行为人的注意义务标准相应较低，应适用一般过错责任对行为人的过错予以考察。

(三)关联性信息侵权抗辩事由的裁判立场考察

侵犯关联性信息的免责事由亦包括信息主体的知情同意，只是在知情的判断与同意的方式上尚须厘清。

1.信息收集者承担的告知义务在范围与程度上有何要求

对于网络服务提供商应承担的告知义务的程度与范围司法实务中存在争议。在“百度”与朱烨隐私权纠纷案中，一审法院认为，网络用户在使用百度搜索引擎时可能并不知晓其个人信息被收集利用，更无从作出同意的意思表示，因此“百度”须承担更多、更严苛的说明提示义务，但“百度”关于说明和提示的内容使用户难以识别和引起注意，不足以保障其选择同意的权利。该案二审法院则认为，“百度”放置《使用百度前必读》链接的位置与行业通行设计位置相符，其字体虽小但足以引起网络用户注意。可见，告知义务的设置是为了保证信息被收集者在知情基础上作出选择，网络服务提供者只要对个人信息的保护与退出机制作出明确说明就足以保障用户的知情权。至于是否尽到该义务，应由法官综合考量告知方式、行业习惯、网络技术普及度等因素作出判断。[注]参见江苏省南京市中级人民法院(2014)宁民终5028号民事判决书。

2.收集、处理关联性信息应经过被收集者的明示同意还是默示同意

我国《网络安全法》第41条、全国人大法工委《关于加强网络信息保护的决定》第2条与人格权编二审稿第814条均规定了收集、使用个人信息的同意原则，但未明确被收集者的同意应为明示还是默示。2018年5月1日实施的国家标准《信息安全技术——个人信息安全规范》(GB/T 35273—2017)第3.6条规定处理个人信息应经过信息主体的明示同意，但该条未针对信息与主体的关联程度差异作出区别设计。可见，我国法与相关行业标准都未对处理关联性信息的同意规则予以明确，需要理论上的及时回应。实践中多数法院认为收集关联性信息仅须经过被收集者的默示同意，即只要网络服务提供商在用户使用服务时尽到了明示告知的义务(告知内容包括收集用户信息的范围、目的、用途等)，用户如果继续使用该服务就视为同意。这一态度值得借鉴。孤立的关联性信息因与信息主体的联系较弱，在与信息主体分离时无法识别主体身份，其被收集与处理对信息主体的侵扰风险相对较小，采取默示同意并提供明确的拒绝途径的方式足以保障信息主体的自主与安宁利益，是平衡互联网产业的自由发展与信息主体权益保护的可取之道。

司法实践对关联性信息的保护程度较弱，对于该类案件，法院判决侵权的仅有3件，占其总数的25%。其原因主要在于关联性信息一般不具有唯一性，识别个人的可能性与信息滥用给主体带来的负面影响均相对较低，因此其与主体的关联度相对较低，仅在与其他信息相结合并满足特定条件时才作为个人信息受法律保护。

五、对相关案例或新规则的总结

综上所述，个人一般信息可以进一步划分为区分性信息、联络性信息与关联性信息，这三类信息所涉案件法院判决侵权的比例悬殊较大，其中区分性信息类案件法院判决侵权的最多，联络性信息类案件次之，关联性信息类案件最少。上述裁判规律在客观上反映了裁判者对不同类型个人一般信息的区分保护倾向。这种倾向具体表现在不同类型信息的保护程度、保护范围、侵权认定、抗辩事由的差异上。其中，区分性信息的受保护程度最高，在保护范围上仅就裁判文书中的区分性信息是否受个人信息保护存在争议，侵权行为大多表现为不当公开或公开范围的扩大，侵权认定上仅要求信息被披露的事实状态存在即可，而不要求具体的损害后果，法院认可的免责事由中知情同意的形式包括明示与默示同意；联络性信息的保护程度次之，个别法院对其个人信息属性的质疑主要针对其具有的非识别性和社交功能，在侵权行为认定上，单纯获取联络性信息而未公开或滥用大多不构成侵权，公开亦须范围达到一定的广度，损害后果上多认为应造成实际损害后果；关联性信息的保护程度最低，其与其他信息相结合时若满足一定条件可作为整体中的一部分受到保护，但单独的关联性信息大多被认为不属于个人信息，与其相关的侵权行为更多表现为不当利用，侵权免责事由中的知情同意大多要求明示告知与默示同意。

司法实践中按照不同类型个人一般信息与信息主体的关联程度区分个人一般信息的保护程度具有一定的合理性，在此基础上更为重要的是应当对个人一般信息的保护规则作出区分设计。根据笔者于本文中对裁判规则的逐一分析，实践中对保护范围、过错要件、知情同意的裁判立场不尽适宜，且面对网络时代涌现的新型个人一般信息也有些进退失据。实际上，应准确把握不同信息类型的特征进行有针对性的规制，并应注意到网络环境中的MAC编码、IP地址、Cookie信息、社交软件用户名头像等信息与传统的个人一般信息类型的同质性而将其纳入对应的信息类型予以规范。

六、关于我国民法典中个人一般信息的保护规则的设计建议

我国民法典中个人一般信息的保护规则设计应坚持本土性与时代性的价值导向，一方面要总结司法裁判经验并反思其不足之处，另一方面要反映高科技时代的特征，适应互联网、大数据技术的发展。[注]参见王叶刚：《民法典人格权编的规则设计》，《政治与法律》2017年第8期。在此基础上，笔者结合我国民法典编纂的实际情况提出完善个人信息保护规则的设计建议。

日前，人格权编二审稿提请全国人大常委会审议，“个人信息保护”仍然规定在该编第六章中，共6条(第813条至第817条之一)。其中，第813条以识别标准界定个人信息并区分了直接识别信息与间接识别信息，列举的身份证件号码、个人生物识别信息属于区分性信息，姓名、出生日期属于关联性信息，住址、电话号码属于联络性信息。然而，如前所述，以能否识别个人身份作为个人信息的界定标准具有不周延性，直接识别与间接识别的分类标准也不尽科学。人格权编二审稿第814条第1项对收集使用无民事行为能力人或限制民事行为能力人个人信息的，增加了应当征得其监护人同意的规定。这有利于加强对未成年人等意思能力有限的自然人个人信息的保护，但在免责事由等规定中却未作出相应设计。有鉴于此，建议按照区分性信息、联络性信息、关联性信息相区分的思路修改人格权编二审稿中有关个人信息的条文，并对未成年人等无民事行为能力人或限制民事行为能力人的个人信息予以特殊处理，进而在同意、收集等具体规则层面进行区分设计，具体方案如下。

建议将人格权编二审稿第813条第2款修改为：“本法所称个人信息是以电子或者其他方式记录的自然人的区分性信息、联络性信息与关联性信息。区分性信息是能够单独区分特定自然人的个人信息，包括自然人的身份证件号码、个人生物识别信息、MAC编码等。联络性信息是能够联络到特定自然人的个人信息，包括自然人的住址、电话号码、IP地址等。关联性信息是与其他信息结合能够识别自然人个人身份或描述已识别的自然人特征的个人信息，包括自然人的姓名、出生日期、性别、年龄、社交软件用户名头像等。”建议将人格权编二审稿第814条修改为：“收集、使用自然人个人信息的，应当遵循合法、正当、必要原则，并应当符合下列条件：(一)区分性信息、联络性信息征得该自然人或者其监护人的明示同意，关联性信息征得该自然人或者其监护人的默示同意，……”建议将人格权编二审稿第816条修改为：“收集、使用或者公开自然人个人信息，有下列情形之一的，行为人不承担民事责任：(一)在该自然人或者其监护人明示同意的范围内实施的针对区分性信息及联络性信息的行为，在该自然人或者其监护人默示同意的范围内实施的针对关联性信息的行为；……”建议将人格权编二审稿第817条第1款修改为：“信息收集者、持有人不得泄露、篡改、毁损其收集、存储的个人信息。未经被收集者或者其监护人明示同意，不得向他人非法提供个人的区分性信息和联络性信息；未经被收集者或者其监护人默示同意，不得向他人非法提供个人的关联性信息……”

当然，在人格权编二审稿基础上修改的上述规范可能仍不足以应对司法实务中个人一般信息侵权的复杂情形，但将相关裁判规范全部纳入也不符合民法典的体系性要求。如何在精细化与统摄性之间寻求平衡是民法典个人信息保护规则设计的关键。其折衷方法是在我国民法典人格权编编纂时将核心的侵权裁判规则纳入隐私权与个人信息章节中，其他具体规则可纳入正在制定的我国《个人信息保护法》，由此形成包括民法典和民事特别法在内的个人一般信息保护体系。当个人一般信息受到不法侵害时，首先适用我国民法典人格权编与我国《个人信息保护法》关于侵害个人信息的规定；当出现两者未予规定的情形时，可以适用我国民法典侵权责任编的相关规定。这样就可以既解决司法实务中的纷繁问题，又兼顾民法典的“提取公因式”要求，并形成个人一般信息完备性与开放性并举的保护体系，切实保障自然人的个人信息权益。