在尊严性和资源性之间：《民法典》时代个人信息私密性检验难题

张建文

(西南政法大学 民商法学院 ，重庆 400031)

一、问题的提出

2020年7月30日，北京互联网法院针对微信读书软件未经用户同意收集用户个人信息而提起的网络侵权责任案件(以下简称“微信读书案”①(1)①参见北京互联网法院(2019)京0491民初16142号民事判决书。)所作出的判决，令人惊奇。

何出此言？一是由于这是在《中华人民共和国民法典》(以下简称“《民法典》”)已经通过但尚未生效之时所作出的判决，尽管此时《民法典》尚未生效，但该判决还是受到了《民法典》第四编“人格权”第六章“隐私权与个人信息保护”的重要影响，暗示了在《民法典》自2021年1月1日起正式生效后个人信息保护的共同性难题。首先，在隐私权和个人信息保护的基本理念上，过于强调隐私权与个人信息的相互独立性，甚至是有意或者无意地将二者作为两个近乎完全独立的民事(人格)权利，这就要求在司法实践中必须对同一行为认定为到底是侵犯两个本质相近的权利中的哪一个的问题进行判断；其次，在保护的强度和广度上，隐私权与个人信息保护日趋分裂，私密性标准成为区分二者的显性标准，隐私权更具有尊严性的特征，个人信息保护更具有资源性的特征，隐私权相比较于个人信息更具有人格特性，而个人信息则更具有资源性特征，保护强度上也有所区别，为打开所谓个人信息的合理使用的“潘多拉盒子”(Pandora’s Box)[1]121奠定了理念上的基础。

二是由于“作为集中管辖互联网案件的基层人民法院”[2]6的互联网法院在该案件中所使用的具体裁判方法和裁判逻辑，展示了在自《民法总则》实施以来已经开始，到《民法典》的实施作为高峰的“个人信息保护”的裁判方法和裁判逻辑难题。由于隐私权与个人信息在本质上的相同或者相近性，使得二者在司法保护的问题上如同“戈耳迪之结”(Gordian knot)[1]60那样紧密缠绕难以区分，导致司法实践在具体的个人信息保护案件中，不得不追问所遇到的信息是否为个人信息，是否具有私密性，以便区分是用隐私权去保护还是用个人信息去保护；更重要的是，司法裁判因此将不得不在所有可能遇到的个人信息保护个案中，反复地或者不断地对所有可能的个人信息进行“私密性判断”，亦可称之为“私密性检验”。这就是《民法典》第1034条第3款中“个人信息中的私密信息”的表述以及其优先“适用有关隐私权的规定”的规则所可能产生的令人始料不及的后果。

简而言之，在《民法典》作为保护隐私权与个人信息之立法基础的时代，个人信息保护的难题主要体现在两个方面：一是个人信息到底是资源性的，还是尊严性的？在大数据时代，个人只是作为大数据产业发展的“数据奶牛”，还是应当被保护的尊严享有者？二是将个人信息与隐私权严格区分开来，会导致司法机关在裁判个人信息案件时必须依照《民法典》第1034条第3款对个人信息进行必要的且全面的私密性检验，以便确定最终的权利保护的法律适用问题。

二、《民法典》时代的个人信息保护：私密性检验的来源

(一)个人信息保护与隐私权是否为两个完全独立的权利：问题史的考察

在本文所涉及的案例中，原告以侵犯隐私权与个人信息为由提起诉讼，法院分别对被告的行为是否构成对原告隐私权和个人信息权益的侵害进行审查，也就是说，在这个案件中，原告是以将隐私权与个人信息作为不同的权利，至少是可以在司法上得到主张的不同民事权利来对待的。这就涉及个人信息保护中的一个最基本的问题：个人信息与隐私权的关系如何处理？两者是否就是完全各自独立的权利？

该问题最初产生自《民法总则》第110条第1款和第111条的体系性结构[3]，民法总则形成了将隐私权与个人信息保护的并立结构[4]，似乎有意将个人信息与隐私权的保护相互独立[5]，由此埋下了个人信息保护与隐私权严格区分的伏笔。

在《民法总则》之前，在一般民事立法上，并没有独立的个人信息保护的规范，即使在《侵权责任法》上，也只有隐私权的规范(第2条第2款)，而没有个人信息保护的规范。因此，在自《民法通则》实施以来到《侵权责任法》实施前，在涉及个人信息保护的问题上，主要是用(非实在法意义上的)隐私权予以保护的，具体而言，主要用2001年有关精神损害赔偿司法解释所提出的“隐私”利益①(2)①参见《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释(法释〔2001〕7号)》第2条第2款。予以保护的。在《侵权责任法》实施之后，主要是用“隐私权”予以保护的。所以，在这个阶段，并不存在个人信息保护是否独立于隐私权的问题。这也符合人们对个人信息保护法律制度发展的认识，即隐私权在信息革命的影响下，因应信息社会的形成，从传统的隐私权概念，即“一个人独处的权利”(the right to be let alone)逐渐发展为现代隐私权概念，即自我资讯控制权说。[6]因此，“个人资料保护旨在维护个人隐私权中有关资料或资讯者，因此又称为资讯隐私权(Information Privacy),而该项权利在通讯科技发达时代不加以保护，将会侵及人性尊严及人格权”[7]。在我国的司法实践中，也主要是将个人信息用隐私权予以保护的[2]33，如在“庞某与北京趣拿信息技术有限公司等隐私权纠纷上诉案”中①(3)①二审法院明确指出：“隐私权于1890年提出后经过一百多年经济社会的发展，已经不再局限于提出时的内涵。随着对个人信息保护的重视，隐私权中已经被认为可以包括个人信息自主的内容，即个人有权自主决定是否公开及如何公开其整体的个人信息。”参见北京市第一中级人民法院(2017)京01民终509号民事判决书。；或者，对二者是否为独立权利的问题根本就不置一词，直接适用隐私权予以保护。②(4)②参见广西壮族自治区百色市中级人民法院(2015)百中民一终字第1199号民事判决书。在隐私权理论上，也将个人自身信息(数据)的控制权被侵犯定义为“隐私权的积极侵犯”[8]。

但是，在《民法总则》第五章“民事权利”中，隐私权和个人信息保护在不同的规范中被确立起来，有意无意地显示二者的独立性；而在《民法典》第四编第六章中，从“隐私权和个人信息保护”的标题中，可以看出在立法者眼中，二者应当是独立的。在规范设计上，首先是“隐私权”和“个人信息保护”在不同的条文中被宣示为受到法律保护；其次是具有统一的规范意义的“隐私”和“个人信息”的立法概念，也被分别规定；最后，对于二者可能的交叉重叠问题(“个人信息中的私密信息”问题)规定了专门的规范适用条款，即个人信息中的私密信息，优先适用隐私权的保护，只有在没有隐私权的规定的情况下，才兜底性适用个人信息保护的规定。这个规范是典型的裁判规范，作为对司法机关具有直接和刚性约束力的裁判规范，意味着对司法机关的裁判行为的硬约束。

值得注意的是，《民法典》的这个硬约束条款是《民法总则》中所没有的，所以，司法机关在《民法总则》生效前的具体的个案裁判中，对民法总则的隐私权与个人信息保护并立结构进行了评价，认为仅为“专业争鸣”的性质，似为不应具有硬约束的效力。③(5)③二审法院指出：“即将于2017年10月1日实施的《民法总则》第111条也明确规定自然人的个人信息受法律保护。但是，在对个人信息进行保护的思路上，各国却有不同看法，从而形成了不同的立法例。有的将个人信息归属于隐私权进行保护(美国)，有的则将个人信息归属于一般人格权或直接作为个人信息权进行保护(德国)。与国外的分歧一样，我国法律界对个人信息的保护思路也存在与上述情况相似的争鸣。然而，专业的争鸣本是为了更好地服务于权利保护的实践，如果因为专业争鸣未能达成共识就放弃对民事权益进行保护，岂非本末倒置？因此，无论对于个人信息的保护思路有如何的分歧，都不应妨碍对个人信息在个案中进行具体的保护。”参见北京市第一中级人民法院(2017)京01民终509号民事判决书。

由此，在逻辑上就会形成一种全面且必要的“私密性检验”情形：在《民法典》时代，在该硬约束条款下，司法机关在个人信息保护中可能就难以像此前那样，即使是在个人信息保护条款在形式上独立化的情况下，仍然可以自由地决定个人信息保护的方式，也就是说，适用隐私权的保护方式；相反，在《民法典》生效后，司法机关必须按照具有规范意义的“隐私”和“个人信息”的立法概念去决定个人信息保护的问题，特别是必须要对全部的个人信息进行“私密性检验”，以便确定最终到底是适用隐私权的规范去保护，还是适用个人信息的规范去保护。

(二)私密性检验：微信读书案的验证

在本文中，笔者无意去研究在微信读书案中司法机关对所涉及的具体信息是否为个人信息，是否具有私密性，以及如何保护的实体性问题，笔者所关心的是在这个案件中所展现的裁判方法。在这个案件中，法院在判决书的叙明理由部分，首先追问某项信息是否属于个人信息和隐私，然后判定同一信息是否为个人信息，再追问该信息是否为隐私。

在微信读书案中，《民法典》第1032条第2款关于隐私的立法定义和第1034条第2款关于个人信息的立法定义，发挥了极其重要的，甚至可以说是关键性的作用，尽管在判决书中适用的是《民法总则》的规定，但是司法机关认为：“现行法律中没有对隐私概念予以明确规定。《中华人民共和国民法典》对隐私的定义、类型予以明确，虽未正式施行，但其对法律概念的定义及相关规范精神可以在本案中作为参考。”④(6)④参见北京互联网法院(2019)京0491民初16142号民事判决书。在该案中，尽管司法机关言明对《民法典》相关规定是作为参考，但是，对《民法典》相关隐私权规定的重视程度远远高于一般作为司法裁判之参考的其他材料。

更为重要的是，在微信读书案中，司法机关明确指出：“《中华人民共和国民法典》第1034条第3款规定，个人信息中私密信息，适用有关隐私权的规定，因此，私密信息与个人信息之间的关系应予着重考量。”⑤(7)⑤参见北京互联网法院(2019)京0491民初16142号民事判决书。这就意味着在该案中司法机关试图而且也的确是参考《民法典》前述条款进行判决。

由此，在《民法典》具体实施之前，不仅是可以预见，而是的确遇到了对隐私权和个人信息保护之关系的难题。司法机关已经在沿着《民法总则》所开创的，又得到《民法典》进一步强化的坚定区分隐私权与个人信息保护的裁判道路上前行。司法机关以名为“参考”实为适用的方式，在《民法典》正式生效之前开始了一场对隐私权和个人信息保护规范适用方式的尝试与探索。

“微信读书案”的判决，昭示了中立意义上的《民法典》时代个人信息保护司法裁判方法与保护路径的显而易见的新变化。但是，变化并不一定就是革新，变化是否就是朝向更好的方向，仍有待进一步深入观察。对于“私密性检验”部分的具体评析留待下文细说。

三、《民法典》时代个人信息保护的悖论：尊严性与资源性

(一)重新认识《民法典》第1034条第3款的意义

《民法典》第1034条第3款的文本具有如下几重含义：

一是在原则上认为在隐私权与个人信息保护应当严格区分的前提下，承认了隐私权与个人信息可能具有相互交叉重叠的部分，即“个人信息中的私密信息”；

二是尽管承认个人信息与隐私权具有交叉重叠的部分，也就是说符合隐私权的保护对象的要求，即“他人的私密信息”，这并不意味着所有的个人信息都具有私密性，而是只有个人信息之一部分可能具有私密性，构成隐私权保护的对象；

三是在个人信息保护中，该规范作为具有约束力的裁判规则，对司法机关而言，既是积极确定对个人信息中的私密信息适用有关隐私权之规定的法律适用规则，也是消极排除对个人信息中的私密信息适用有关个人信息保护之规定的法律适用规则，它意味着要求面临具体的个人信息保护裁判任务的司法机关必须要确定而且须全面检讨所遭遇的个人信息是否具有私密性，是否构成隐私权的保护对象的问题；

四是对于“私密信息”的私密性，也就是“个人信息中的私密信息”的判定标准，无论是在“隐私”的定义中，还是在该条款中，并没有给予任何规定。

(二)“微信读书案”中对隐私权与个人信息的差别对待

有学者将广义的隐私区分为两类：资源隐私和尊严隐私。前者意味着隐私只是一种工具，具有某种工具价值，如“为了能够使用某项服务，我将向您提供一定程度的访问我私人信息的权限”；而后者意味着隐私承载着个人的人格尊严，“个人根据自认为合适的情况来确定自己的界限”[9]144。

在我国《民法典》对隐私权和个人信息保护的设计中，不无这种将广义的隐私做区分的意味，从对隐私的定义上可以看出来，隐私被更多地视为具有“私人”和“私密”的属性，而个人信息则仅仅强调了其“识别特定自然人”的功能。

在本文所研究的“微信读书案”中，司法机关已经充分地揭示了个人信息与私密信息的区分，姑且不论这种区分的可以进一步讨论和辨析的空间是否存在以及有多大空间的问题。在该案中，司法裁判从五个方面对二者进行区分①(8)①参见北京互联网法院(2019)京0491民初16142号民事判决书。，其实也是对《民法典》第1032条和第1034条的解读。

第一，从权利类型上看，“隐私权具有绝对权属性，个人信息是受法律保护的法益，尚未上升至权利”。笔者具有强烈的意愿想探讨，确切地说是想质疑这个裁判观点。

笔者认为，个人信息并非仅仅是“受法律保护的法益”，这个命题令我们想起极负盛名的耶林的关于权利的定义。此外，所谓的“受法律保护的法益”的提法，在司法裁判中意味着承认该法益具有可诉性，具有可以在司法上得到强制执行的可能性，而该表述，在立法上，更确切地说，在《民法典》第111条第1款和第1034条第1款两个完全相同的文本表述上，意味着立法者已经承认了个人信息就是法律保护的对象，个人信息就是权利的保护对象，个人信息已经被披上了一层法定权利的外衣[10]，意味着“人民基于法律规范所赋予之‘法律之力’(Rechtsmacht)，而可为自己之利益，请求他人为特定行为、容忍或不作为之地位”[11]143，包括“请求国家机关为特定作为”，也即保护自己的合法利益，具备了权利的两个本质性特征，即“‘权利’乃是一种法律地位，具有两种特质：一是‘于法有据’；二是‘可诉讼性’”[11]167。所遗憾的只是，立法者没有给这个已经被披上权利外衣的个人信息所代表的权利，给予一个适当的法定的名称而已，从这个意义上说，称之为“个人信息权”也不为错。个人信息明显与仅仅在个案的司法裁判中被承认的合法利益，甚至是在一般的司法解释中被承认的类型化的合法利益(如前述2001年精神损害赔偿司法解释中被承认的“隐私”利益)也完全不同，因为司法机关在此情况下根本没有对该立法条款——“自然人的个人信息受法律保护”——进行审查的余地，也没有对个人信息予以保护的必要性进行论证的余地，司法机关所能够也应当完成的就只能是在将其认定为构成个人信息的情况下，必须对其提供法律保护。

第二，从立法价值取向上看，“隐私权与个人信息权益根本上都体现自然人的人格尊严和个人自由价值，但个人信息权益同时涉及信息利用、流通价值”。

在对隐私权和个人信息区分中，就意味着，隐私权，其实也是指传统的隐私权，具有完全的至少是更强烈的人格尊严性，而个人信息则同时具有尊严性和资源性的双重价值。

在这个问题上，意味着个人信息的尊严性和资源性可能会存在冲突，具体到本文所研究的该案中，所体现的正是这种个人信息在人性尊严与作为资源价值上的冲突。个人信息的尊严性体现在“人性尊严是相关于人理性的自我决定”，“人性尊严在当代作为伦理的基础：它相关于当代正义的讨论，它决定当代科技与伦理的关系”。[12]

在该案中，原告所愤怒的正是被告未经其同意而收集和使用原告的微信好友关系数据、阅读信息，而这些信息属于“原告并不愿向他人展示的隐私信息”。

在这种情况下，司法机关所面临的必须做出的决断，就是这些信息到底是事关当事人的人格尊严的信息，还是仅仅是具有资源价值的信息，也就是说，“个人信息是数据的重要来源之一，而数据作为新型生产要素又是数字经济发展的基础，对于个人信息的采集和利用必然会带来商业价值和经济利益”①(9)①参见北京互联网法院(2019)京0491民初6694号民事判决书。。

第三，从利益内容看，“隐私权主要体现精神利益，而个人信息权益可能同时包括精神利益及财产利益”。

从这一点可以看出，在《民法典》第四编第六章的框架内，隐私权与个人信息保护的完全区别化在我国《民法典》意义上的，也就是说，在实在法意义上的隐私权，并不是至少不完全是现代隐私权的概念，恰恰相反更多的是传统的极具消极色彩和防御性功能的古典隐私权概念。以此将“可能同时包括精神利益与财产利益”的个人信息切割开来，形成独立的个人信息保护的领域，至少说也是要极力减少个人信息保护问题上隐私权所可能发挥的作用和空间。这也就意味着在《民法典》第1034条第3款的意义上，尽管规定个人信息中构成私密信息的个人信息优先而且专由隐私权规范予以保护，但是，这并不是要给予整个个人信息以更好的保护，而是要将这一小部分的由隐私权调整的个人信息切割出去，将更多的不属于私密信息的个人信息统统划归个人信息法律保护制度的适用范围之中，以便将其作为经济资源，降低其保护强度，从而促进所谓的大数据产业的发展。②(10)②法院在判决书中进一步指出：“如果把所有与公共事务无关的私人领域信息都纳入隐私范畴，给予绝对权保护，不利于正常的信息利用及流动，因此应对个人信息进行相对合理的层级划分。”参见北京互联网法院(2019)京0491民初16142号民事判决书。

第四， 从保护客体和损害后果来看，“隐私权保护具有私密性的信息，一经泄露极易导致个人人格利益受到损害；而非私密信息的个人信息，仅在被过度处理的情形下才可能使得信息主体受到人格或财产损害”。

这一论断，意味着在司法机关看来，私密信息具有完全的或者更强的人格尊严性，需要更高强度的保护，至少在理论上是这样的；而对不属于私密信息的个人信息来说，只有在构成“被过度处理”的情况下才能给予司法救济。这种所谓的“被过度处理”的表述，一方面意味着在不被认定为“过度处理”时，即在可能的“合理使用”的情况下，不会给予司法救济；而另一方面又意味着对“自然人的个人信息受法律保护”的一般性立法表述，附加了过重的条件，而且是限制性条件。这会使人怀疑：这种判断和裁判是否符合《民法典》立法者所规定的“自然人的个人信息受法律保护”的一般表述的原意。

第五，从权利特点和保护方式上看，“隐私权更注重消极性、防御性，保护更为严格；而个人信息权益在注重预防侵害的同时，还强调信息主体积极、自决的利用权益，如选择、访问、更正、删除等”。

这种强调分层级保护，更确切地说是，分差等保护在原初意义上相同或者极其相近的隐私权和个人信息的理论和论调，是令人震惊的。

在包括个人信息在内的广义隐私权的保护问题上，笔者观察到除了我国的一些司法机关和一些学者来说，包括俄罗斯在内的欧洲主要国家都没有提出过要严格区分隐私权和个人信息保护的范围，并要求对隐私权和个人信息进行分差等的保护，也就是“保护更为严格”和保护不那么严格。例如，《俄罗斯联邦民法典》第1522条将个人信息放在隐私权(公民私生活)的保护之中。[13]110英国的学者也认为，“主张拥有和控制我们的个人数据，以维护我们作为个人的尊严和完整性”[9]140。

值得注意的是，在隐私权和个人信息保护上，必须重申隐私权是个人信息保护的基础，个人信息保护的大厦是在古典隐私权的地基上建筑起来的。[14]个人信息保护法律制度，应朝向更好的方向变革，修正并适应在个人信息处理和流通背景下的对隐私权保护的需求，而不要试图独立于隐私权之外去构筑所谓的个人信息保护的孤堡。在个人信息保护问题的研究上，不能脱离隐私权的语境和地基去研究个人信息保护，个人信息保护本身就是一般意义上的隐私权保护对象明确化、具体化和权利内容体系化的一部分。正如2012年《关于个人数据自动化处理的个人保护公约》(ConventionfortheProtectionofIndividualswithregardtoAutomaticProcessingofPersonalData)修订之际，专家们否认了对数据保护和隐私权下定义的必要性，“在数据保护公约中试图界定隐私权是没有用的。因为隐私权本身是在不同的场景有不同表现方式的一组权益(a set of interests)，有时需要与其他权益进行平衡。将其表达为一组宽泛的原则更适当。存在其他公约(如《欧洲人权公约》等)和判例来解释它，采用宽泛的隐私保护表述是适当的，这样可以运用不同机制来实现保护”。[15]

(三) “微信读书案”中个人信息合理使用的扩大化倾向

在理论上，要求降低或者放松对个人信息保护的论调，来源于所谓的“隐私悖论”。一方面，担心隐私安全；另一方面，又热衷分享个人隐私信息，这种矛盾的行为即隐私悖论。[16]具体来说，体现为在信息化时代，用户利用个人信息换取各种服务[17]，同时又面对着隐私安全问题。笔者同意英国心理学家伊莱恩·卡斯凯特的说法，即尽管“在寻求即时满足的过程中，人们确实会为了相对微小的回报而交出自己的个人信息”，但是“不管我们在隐私问题上付出多大的代价，当隐私和公众的界限发生冲突时，当我们失去对信息的控制，发现我们选择共享的个人数据并没有如我们预期的那样得到妥善管理时，对我们来说显然很重要”。[9]141有学者也注意到以公共场所中的隐私期待的“消退”与“强化”现象，敏锐地指出“科技发展”“政府监控以及商业化信息的收集在不断增强”以及“直播成为潮流”导致国人对公共场所中的个人隐私期待的退化。同时，也意识到个人敏感信息保护意识的强化，即公民越发感受到“看见”与“拍照、摄影”之间的差别而拒绝“拍摄”，以及公民对自身形象和行为的“自治”意识的加强。[18]

在“微信读书案”中，司法机关，一方面，明确反对给予个人信息以绝对权的保护，“如果把所有与公共事务无关的私人领域信息都纳入隐私范畴，给予绝对权保护，不利于正常的信息利用及流动”，提出要对个人信息进行分级保护，即“应对个人信息进行相对合理的层级划分”；另一方面，含混地提出对被划入隐私的个人信息之外的“其他信息”，“信息处理者可以依法进行利用，进而可以通过加强科技研发、资金投入，为广大用户提供丰富、高质、价格低廉的互联网产品，或更好地维护公共利益”①(11)①参见北京互联网法院(2019)京0491民初16142号民事判决书。，更加凸显了个人信息作为资源的经济价值②(12)②在“抖音App案”中，司法机关明确提出：“被告对个人信息的采集和利用必然会为其商业运营带来利益。被告在未征得原告同意的情况下采集原告的个人信息并加以利用，应当进行一定的经济赔偿。”参见北京互联网法院(2019)京0491民初6694号民事判决书。，因此可以进行商业化利用。[19]221

笔者之所以认为这个裁判观点对“其他信息”保护较为含混，是因为它只强调信息处理者可以依法进行利用，这里的依法是否包含了权利保护的含义则并不明确，而且其保护的强度和力度也很难说清楚。如针对用户关系数据，法院就认为：“腾讯公司对成功开发及运营微信所积累的用户关系数据，可以在其关联产品中予以合理使用”，“仅就本案中微信读书收集原告好友列表信息的方式来看，腾讯公司不违反法律规定”①(13)①参见北京互联网法院(2019)京0491民初16142号民事判决书。。

结合判决书的裁判主文来看，在整个判决中，司法机关对于原告提出的侵犯隐私权主张全部没有予以认可，尽管法院也意识到了“微信读书存在较高的侵害用户隐私的风险”②(14)②参见北京互联网法院(2019)京0491民初16142号民事判决书。而在“抖音App案”中，司法机关明确提出与《民法典》第999条所规定的个人信息合理使用(立法上的个人信息合理使用)不同的，可以被称之为裁判上的个人信息合理使用的新主张：“在没有对信息主体造成不合理损害的前提下，认定某些个人信息的利用行为可以不必征得信息主体的同意。”参见北京互联网法院(2019)京0491民初6694号民事判决书。，并且鼓励和赞赏互联网公司“通过个性化设置不断完善用户个人信息及隐私保护功能”，“为用户宣告不愿为他人知晓提供清晰路径”③(15)③参见北京互联网法院(2019)京0491民初16142号民事判决书。，因此，很难不给读者和公众造成司法机关在此类裁判中对构成私密信息的私密性的要求极高，而对个人信息的保护力度较弱，不无为支持产业发展而动摇裁判中立，扩大所谓合理使用之范围的强烈观感。更为重要的是，对个人信息本身分级分层保护，如对较为重要的敏感个人信息的保护力度更强，这没有错；但是，因此降低对个人信息的保护力度，特别是相比较于隐私权的保护力度，则是极其罕见的。因为在个人信息法律制度内部，强化对特别类型个人信息的保护，是个人信息立法因应新技术发展和应用的体现，然而，人为地降低相对于隐私权保护的个人信息保护的力度，只会产生更为糟糕的影响。

在《民法典》中规定了对个人信息的合理使用制度和不承担民事责任的个人信息处理情形。前者局限于“为公共利益实施新闻报道、舆论监督等”(《民法典》第999条)较为有限的目的范围之内；而后者则也处于法律的严格限定之中，一方面是来自权利主体或其监护人的同意和自行或合法公开行为，另一方面来自保护公共利益或者权利主体的合法权益(《民法典》第1036条)。因第三方处理和流通个人信息，关涉权利主体的人格尊严与自我决定，对于个人信息的使用来说，不应在司法实践中扩大合理使用的情形和豁免民事责任的情形。

四、《民法典》时代个人信息保护的私密性判断

(一)个人信息的私密性判断义务的来源与范围

《民法典》第1034条第3款，关于“个人信息中的私密信息”的表述，构成了我国个人信息立法上对私密信息和非私密信息相区分的规范依据，而该款关于个人信息保护的法律适用的规定，则构成了在司法裁判中对个人信息是否具有私密性，也就是说，是否构成私密信息的私密性检验义务的来源，也是《民法典》相比较于《民法总则》的规定所做的进一步的创新，由此更加凸显了隐私权保护对象与个人信息保护对象的相互区别与独立，同时也将在之前的司法裁判中本属于司法机关在保护个人信息时所享有的选择保护方式的裁量自由，转变为司法机关必须选择对个人信息中的私密信息的隐私权保护方式的义务。④(16)④实际上，从《民法典》关于隐私权和个人信息保护的方式来说，在责任承担方式上，并未有明确的关于某种责任承担方式专门或者主要适用于哪一种权利之保护的规定。严格区别对隐私权的保护和个人信息的保护，在司法实践上到底有多大的好处，还是一个待明确的问题。

该条款意味着，对于司法机关来说，在个人信息保护中，有义务对所可能面临的所有个人信息必须进行私密性检验，以便最终确定对个人信息的法律适用问题。从“微信读书案”来看，司法实践也的确是按照这个思路在解释和适用该条款。

(二)“微信读书案”对个人信息私密性检验的判断标准

可以说，《民法典》试图用私密性标准来界定隐私的内涵⑤(17)⑤笔者认为，《民法典》一方面试图在内涵方面通过“私密性标准”界定隐私的本质性特征，另一方面希望通过对侵犯隐私权行为的类型化来实现在外延方面便利对侵犯隐私权行为的认定。考虑到隐私权概念本身的弹性和多样性，试图精准界定隐私之本质的努力，很大程度上注定是要落空的，而将侵权行为类型化则有助于在司法实践中减轻司法机关的裁判负担。，以便改正《侵权责任法》和《民法总则》没有规定隐私权之范围与内容这个“粗陋的缺陷”[20]，同时，实现精准切割和严格区分个人信息与隐私权保护对象，姑且不说这个标准是否能够完成《民法典》条文设计者所希望达到的功能和目的，实现科学且富有弹性地确定隐私权的保护对象，仅就“私密性标准”而言，它本身仍然是一个极具概括性的一般概念，仍然需要依赖司法实践的不断积累和阐明。

在“微信读书案”中，司法机关在《民法典》尚未生效的情况下，已经迫不及待地试图完成至少说也是探索对个人信息中的私密信息的界定问题。①(18)①笔者认为，在该案中，司法机关尽管是用了参考《民法典》有关隐私和个人信息的规定的名义，但是，在实质上，却是按照《民法典》相关条款的思路，进行了裁判，尤其是，在《民法典》尚未生效的情况下，司法机关在该案中按照《民法总则》其实并无必须对个人信息是否具有私密性进行检验的义务，仍然可以按照《民法总则》第110条和第111条进行裁判。再次重申，《民法典》与《民法总则》相比较而言，潜在地将司法机关本来享有的选择隐私权或者个人信息保护方式的自由，变成了司法机关必须进行个人信息私密性检验从而决定适用隐私权规范或者个人信息规范的义务。在该案中，似乎司法机关并未明确地意识到这一点，从而落入了本勿须遵守的《民法典》第1034条第3款的隐含义务之中，也有可能是司法机关乐意为之。

第一，面对数字化生存的社会生活现实，司法机关强调检验个人信息的私密性的目的在于，“划入隐私的个人信息，应强调其私密性，进而与其他层级的个人信息在收集、存储、使用、加工、传输、提供、公开等方面形成相区别的授权同意规范、技术安全规范、信息处理规范等”②(19)②参见北京互联网法院(2019)京0491民初16142号民事判决书。，也就是说，强调对此一小部分之具有隐私意义的个人信息的突出和保护，意在将其与没有被划入隐私的“其他信息”相区分，降低对“其他信息”的保护强度和力度，特别是暗示了对此类其他信息不会适用对“划入隐私的个人信息”所可能要适用的那些特殊规范，即“授权同意规范、技术安全规范、信息处理规范等”，再进一步说，就是对那些不具有尊严性意义的个人信息(没有“划入隐私的个人信息”)强化其资源性价值，“不具备私密性的一般信息，在征得信息主体的一般同意后，即可正当处理”，“信息处理者可以依法进行利用，进而可以通过加强科技研发、资金投入，为广大用户提供丰富、高质、价格低廉的互联网产品”③(20)③参见北京互联网法院(2019)京0491民初16142号民事判决书。而已。

第二，在该案中，司法机关遵循《民法典》第1032条第2款的规定，特别强调私密信息之“不愿为他人知晓的主观意愿”的层面。司法机关特别指出：“关于不愿为他人知晓的私密性，强调其主观意愿，该主观意见不完全取决于隐私诉求者的个体意志，应符合社会一般合理认知”。笔者认为，一是在《民法典》中“不愿为他人知晓”的“私密性”概念本身，也是一个价值判断工具，尤其是在司法机关将其不完全置于隐私诉求者的个人意愿之下；二是施加以“社会一般合理认知”的限制之下时，意味着对于这个所谓的以“不愿为他人知晓”为基本内容的“私密性”的判断本身，在不考虑或者不完全考虑隐私诉求者本人的意愿时，成为一个极其空洞甚至连司法机关自己都觉得不易把握的概念。

第三，根据司法机关的裁判立场，个人信息私密性的判断，要考虑以下因素：

首先，社会一般合理认知“可能受到地域、文化传统、法律传统、习惯风俗、经济发展状况、社会普遍价值观等因素的影响”④(21)④参见北京互联网法院(2019)京0491民初16142号民事判决书。。实际上，对该案中的司法机关而言，私密性就是指“符合社会一般合理认知下‘不愿为他人知晓’的标准”。

其次，司法机关更进一步描述了一种数字社会的现象，即“即使在相对统一的社会背景下，由于互联网产品的多元性和丰富性，用户的广泛性和差异性，不同用户就个人信息的期待也可能存在消极防御与积极利用的差异。如在具有社交功能的应用软件中，有用户厌烦‘可能认识的人’的推送，有用户则欢迎就此迅速建立软件上的社交关系；如在购物应用软件中，有用户反感基于用户画像的产品推送，有用户则享受该推送带来的便捷”，从而拒绝“将用户隐私期待强烈程度不同的信息笼统划入某相对固定的概念”，提出私密性检验的“场景化模式探讨”的方案。⑤(22)⑤参见北京互联网法院(2019)京0491民初16142号民事判决书。

最后，司法机关以“合理隐私期待”和“场景化模式探讨”方式，对个人信息进行类型化。从合理隐私期待的维度，实现了对三种个人信息的类型化及其法律地位：一是“符合社会一般合理认知下共识的私密信息”，从其用列举方式所表述的对象——“性取向、性生活、疾病史、未公开的违法犯罪记录”——来看，基本上与“特种个人资料(Специальные категории персональных данных)”[21]的范围相当，而且在其保护强度上与之相当，“此类信息要强化其防御性保护，非特定情形不得处理”①(23)①笔者认为，从这句话来自判决书原文而言，在某种意义上说，可以认为在我国的司法实践中承认“特种个人资料”，也就是所谓的“敏感个人信息”的制度。；二是所谓的“不具备私密性的一般信息”，此类个人信息“在征得信息主体的一般同意后，即可正当处理”，对这里所谓的“一般同意”的含义有待进一步明确②(24)②值得注意的是，在“抖音App案”中，司法机关明确提出某些个人信息的利用行为甚至可以被豁免一般同意的基本要求，即“在没有对信息主体造成不合理损害的前提下”，“可以不必征得信息主体的同意”。参见北京互联网法院(2019)京0491民初6694号民事判决书。；三是“兼具防御性期待及积极利用期待的个人信息”，“需要结合信息内容、处理场景、处理方式等，进行符合社会一般合理认知的判断”，司法机关进一步指出“对这类信息保护的重点在于赋予信息主体自主决定其消极防御或积极利用的权益”。③(25)③参见北京互联网法院(2019)京0491民初16142号民事判决书。笔者认为，从最后这句话判断，似乎不排除有将消极防御或者积极利用委之于信息主体的自主决定的意图，但是，在是否具有私密性之判断问题上，信息主体的自主决定能够发挥多大的作用，从“微信读书案”的判决书上看几乎不大，甚至可以直接了当地说，根本没有发挥作用。

以一般的用户读书信息为例，在该案中，司法机关根据场景化原则，对用户的读书信息是否具有私密性进行了判断。在两种情形下，用户的读书信息具有私密性：一是认为“某些特定的阅读信息落入了共识的私密信息范畴”；二是“虽然各阅读信息分别不属于共识的私密信息，但在积累到一定数量时，结合主体的身份，该信息组合可以达到对信息主体人格刻画的程度，则一经泄露可能造成其人格利益损害”。④(26)④参见北京互联网法院(2019)京0491民初16142号民事判决书。尽管司法机关提出了这样的标准，但是，在对该案所涉特定用户的读书信息的场景化分析时，法院否定了其具有私密性。

(三)个人信息的私密性判断的未来

个人信息的私密性检验的难题，一方面是由于隐私权本身的含义广泛，而且需要因应不同的技术发展与社会现实而不断扩展，隐私的含义本身也未能完全定型，对立法和司法来说，都是处在不断累积经验材料的过程中；另一方面由于我国《民法典》对“隐私”的定义本身所使用的“不愿为他人所知”和“私密”的表述本身的一般性和含混性，导致缺乏更多的指引。

在“微信读书案”中，尽管司法机关在《民法典》尚未正式生效的情况下，以参考相关规定之精神的名义，对个人信息的私密性检验问题进行的探索不无抢跑之嫌，但是，司法机关对该问题的尝试和探索却是最早的。司法机关所提出的“分层保护”裁判立场，在一定程度上弥补了我国立法缺乏特种个人资料制度(也即敏感个人资料制度)的缺憾，不排除将来建立司法实践上的“特种个人资料制度”的可能性；司法机关在该案的裁判中，使用了“合理隐私期待”的“框架性理论工具”[22]，试图填补“不愿为他人知晓”的内涵，不无积极意义，但是，司法裁判对“合理隐私期待”的理论内涵和具体操作方式，不无进一步充实和发掘的空间；司法机关也提出了“场景化模式探讨”具体个人信息的私密性问题，所谓的“场景化原则”不外乎就是具体问题具体分析而已(case by case)，其如何操作和实现的问题有待进一步开发和完善，从在该案中具体应用来说，效果难谓令人满意，足见该理论立意甚高，见效极难。

个人信息中的私密信息判定问题，无疑会成为《民法典》生效后个人信息保护司法实践中的重大且困难的问题。司法裁判中的价值立场问题，若隐若现，个人信息保护到底是保护个人的尊严，还是保护企业的资源，即使是在具体的个案中这个基本问题也是绕不开的。《民法典》关于个人信息保护所确立的保护方式模式，决定了个人信息保护司法实践的路径依赖。如何科学地和富有弹性地确定私密信息的构成问题，仍然是个人信息法学最根本最重大的任务。

五、结论

与《民法总则》时代不同，在《民法典》时代，个人信息的保护，由于《民法典》第1034条第3款所预先确定的个人信息保护与隐私权保护的刚性分野，导致司法裁判者在确定个人信息的保护方式时，不得不对个人信息进行所谓的私密性检验(由此产生了对裁判机关来说必要的而且须对所面临的提出保护要求的个人信息均进行私密性检验的义务)，以便确定在具体的保护方式的意义上，个人信息是属于《民法典》所确定的隐私权保护的对象——“个人信息中的私密信息”，还是《民法典》所规定的个人信息保护的对象，即前述“个人信息中的私密信息”之外的个人信息。然而，这种私密性检验义务，就本质意义上的个人信息之保护来说，其存在的必要性和正当性并非不容置疑。

这种保护的必要性和正当性，来自对个人信息所做的外在区分，特别是在产业发展视角下为了能够在产业竞争中胜出不得不或者是有意地降低个人信息的保护力度和强度而对个人信息所做的区分，这种区分在立法上体现为具有个人尊严保护价值的作为隐私权保护之一部分的“个人信息中的私密信息”，也就是说，是具有“尊严价值”的个人利息，和其他的不具有尊严性仅仅具有“资源价值”的个人信息①，这种区分不仅在立法上被承认，而且，更进一步，按照这种类型学的划分被作为权利客体保护方式差别化的基础，决定了本质上相同或者相近的事物——“在大数据时代，除表征功能外，个人信息人格利益仍应归入隐私范畴”[23]——的不同保护方式(力度)。

对个人信息的私密性检验所导致的后果，一方面是加大了裁判机关所面临的在保护个人信息时必须进行私密性检验的裁判负担，无谓耗费有限且宝贵的司法资源；而另一方面则不无降低对不具有私密性的个人信息的保护力度和强度之嫌，以便为互联网企业或者大数据产业的发展提供更多的数据原料，借助于所谓的“尊严性”个人信息和“资源性”个人信息的区分，强硬割裂和人为隔离隐私权和个人信息保护之间的本质性关联，打着分层保护的旗号，背离了《民法典》第111条第1句和第1034条第1款所承诺和宣示的“保护自然人的个人信息”的基本价值理念。

①在此时，重温司法机关在“庞某与北京趣拿信息技术有限公司等隐私权纠纷上诉案”中的裁判观点，是极其有益的：“在大数据时代，信息的收集和匹配成本越来越低，原来单个的、孤立的、可以公示的个人信息一旦被收集、提取和综合，就完全可以与特定的个人相匹配，从而形成某一特定个人的详细而准确的整体信息。此时，这些全方位、系统性的整体信息，就不再是单个的可以任意公示的个人信息，这些整体信息一旦被泄露扩散，任何人都将没有自己的私人空间，个人的隐私将遭受巨大威胁，人人将处于惶恐之中。因此，基于合理事由掌握上述整体信息的组织或个人应积极地、谨慎地采取有效措施防止信息泄露。任何他人未经权利人的允许，都不得扩散和不当利用能够指向特定个人的整体信息。”参见北京市第一中级人民法院(2017)京01民终509号民事判决书。