《民法典》中私密信息的内涵——兼论私密信息与敏感个人信息的关系

徐晓月

(华东政法大学法律学院，上海 200042)

一、问题的提出

由于隐私权与个人信息存在内在联系，在实践之中便存在区分二者的困难，反映在立法中便存在“一元模式”与“二元模式”。以美国为代表的立法采用“一元模式”，所谓“一元模式”是指用隐私权保护个人信息。在美国，隐私权概念被沃伦和布兰代斯提出后，其范围不断扩展、内容日益泛化，肖像、名誉、个人信息等人格利益都被纳入隐私权中进行保护[1]。与美国立法模式不同，欧洲立法采用个人信息与隐私权分别保护的“二元模式”[2]。

《中华人民共和国民法典》(以下简称“《民法典》”)采用了隐私权与个人信息并立保护的“二元模式”。《民法典》第1032条明确了自然人享有隐私权，并对“隐私权”作出界定。依据该条之规定，“隐私权”可进一步分为：抽象隐私利益(私人生活安宁)与具象隐私利益(包括：不愿为他人知晓的私密空间、私密活动、私密信息)[3]。《民法典》第1034条第1、2款明确了自然人的个人信息受法律保护，并对“个人信息”作出界定。由于个人信息与隐私在范围上存在交叉，秉承不减损权利原则以及人格尊严高于私法自治的保护原则[4]，《民法典》第1034条第3款规定了“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定”。如此便将个人信息划分为私密信息与一般个人信息，但是《民法典》未对何为“私密信息”作出界定。

2021年8月20日颁布的《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)对个人信息的划分有别于《民法典》(1)全国人大法工委于2020年10月21日公开的《中华人民共和国个人信息保护法(草案)》采用的是敏感个人信息与一般个人信息的划分。此后的《中华人民共和国个人信息保护法(草案二次审议稿)》延续了一审稿的分类方式。正式颁布的《个人信息保护法》仍然延续此种分类方式。。由于两部法律对个人信息采用了不同的分类方式，由此引发的疑问是《个人信息保护法》中的“敏感个人信息”与《民法典》中的“私密信息”究竟是什么关系？接下来的问题便是二者的关系是否影响《个人信息保护法》与《民法典》的衔接？特别是二者在侵权上的适用。囿于篇幅，本文旨在探讨“私密信息”的内涵，并在明确“私密信息”内涵的基础上讨论“私密信息”与“敏感个人信息”的关系。

二、私密信息：“个人信息保护”与“隐私权”二元并立的产物

(一)个人信息与隐私权的“纠葛”与“分离”

隐私权与个人信息难以明确区分、相互纠葛的状况始于隐私权的诞生。其本质在于二者之上皆承载着个人尊严与人格自由，因此人格尊严和人格自由成为隐私权与个人信息的价值公约数[5]。在比较法上，个人信息制度是从隐私权的框架内发展起来的，个人信息长期被视为隐私权的一个维度，是隐私权在信息化时代的应用和逻辑延伸[6]。作为隐私概念与隐私权的提出者，沃伦与布兰代斯指出，自然人的人格在“本地社区”(家庭、朋友圈、同事圈)中得以发展，隐私权的作用便是防止人格信息自由地流入外界社会，从而保证“本地化”社区正常地运行，免受外界力量的侵害[7]。当具有私密性的人格信息流入外界社会时，便不再受隐私权的保护，但是这些流入外界的信息仍具有保护之必要，为使这些信息与受到隐私保护的信息相区分，便将不受隐私保护的信息称为“个人信息”[8]。据此，从隐私权诞生之初便具有保障人格信息“安全”之作用，不受隐私保护的人格信息与受隐私保护的人格信息在起源上具有同一性，只是因为受众之转变而成为个人信息。

隐私权与个人信息的“分界线”并不清晰，从而导致实践之中采用间接模式保护个人信息[9]。所谓的“个人信息间接保护模式”即个人信息保护不存在确定且具体的请求权基础，个人信息保护的请求权基础既可能是姓名权，也可能是名誉权、荣誉权、肖像权或隐私权，在具体个案中，需要借助一般人格权、人格利益、名誉权、姓名权、隐私权等进行迂回说理[10]。

个人信息的“间接保护模式”与裁判思路深受前信息社会时代意识的影响。在前信息社会，个人信息的类型较为单一，产生的渠道非常有限，且个人信息的收集、存储和利用的手段和方法也较为单一，这时通过姓名权、名誉权、隐私权、肖像权等具体人格权的规定以及侵权法规范，就足以满足个人信息保护的需要[11]。个人信息在社会交往中具有媒介、工具价值，自古个人信息就处于公共领域，作为一种公共的资源，任何社会主体均可加以利用。囿于过去社会落后的发展水平和生产技术，人们往往局限在一定的地理范围之中(比如生活在闭塞的村落中)，个人信息无法实现向外的流通，因此个人无需关心其个人信息的流向，也无需主张对个人信息的权利。如今，人类已经进入大数据时代，个人信息或称个人数据成为重要的社会资源，人们开始关注并主张个人信息的权利。诚如波斯纳所言，信息流通是社会知识和财富积累与增加的必要条件之一，现代的富裕发达繁荣都建立在信息的自由流通之上，人们可以充分地利用这些信息作出对自己有利并可能对社会也有利的决策[12]。

然而，在大数据时代利用隐私权间接对个人信息进行保护的模式已呈现出明显不足。第一，“隐私”的范围难以涵盖全部的个人信息。隐私权以权利人的私人空间、私生活秘密为主，难以将隐私权的保护范围扩展至对一般个人信息的保护[13]。第二，“个人信息保护”与“隐私权”的差别日益凸显。就请求权的性质而言，个人信息需要积极的请求权，此种请求权的着眼点在于预防风险，并保证信息主体的知情权以及积极的干预权(其个人信息被他人处理时信息须是正确的)；而隐私权须以现实妨碍或侵害为前提，由此产生的排除妨碍请求权着眼于消除权利被妨害的状态，旨在恢复对权利的完满享有状态[14]。第三，个人信息蕴含多种法益，不仅涉及自然人的人格利益和财产利益，还牵涉技术和商业利益、社会公共利益、国家利益甚至民族种族利益，而隐私权一般只涉及自然人人格及财产利益[15]。因此，个人信息与隐私权相分离符合社会的发展趋势与现实的保护需要。

(二)《民法典》确立“二元并立”模式与“私密信息”的出现

我国《民法典》采用“隐私权”与“个人信息保护”并立的“二元模式”，未采用“一元模式”。在《民法典》的立法过程中，理论界与实务界对“将隐私和个人信息均应视为人格权益并受到保护”并无争议，存在争议的是应否分别保护的问题[16]。通过对域外立法例进行考察，在相当长的时期内，个人信息被隐私权的框架所囊括，个人信息被视为是隐私权在信息时代所发展出的新维度[17]。大数据时代，个人信息与隐私权已展现出不同维度发展之势，显然隐私权并不能为个人信息提供周延的保护。

我国《民法典》未采用一元保护模式，即以隐私权保护个人信息，原因在于：首先，我国不存在以隐私权保护个人信息的基础。在我国隐私权为具体人格权的一种，不同于美国的“大隐私权”概念，美国的“隐私权”充当的是一般人格权的“角色”。在美国，隐私权概念产生后，其范围不断扩展、内容日益泛化，将肖像、名誉、个人信息等人格利益纳入其中进行保护[18]。其次，隐私权无法涵盖全部的个人信息。作为隐私权客体的隐私和个人信息并不具有完全对应的关系，对于已经公开的隐私信息或者隐私信息之外的个人信息通常无法用隐私权来保护[19]。

我国《民法典》采用二元并立的保护模式，以强调隐私权与个人信息是相互独立的民事权利(益)[20]。首先，个人信息与隐私权的区别逐渐显现。隐私权要解决的核心问题是私密性与公开性的关系，而个人信息权益要解决的核心问题是个人信息的保护与社会利用[21]。其次，个人信息承载着多重利益，不仅承载着自然人的人格利益，同时作为一种可利用的资源存在财产利益，将隐私权与个人信息相分离有利于剥离个人信息之上的多种利益，实现个人信息的财产价值，助力大数据产业的发展。最后，个人信息具有社会属性，而隐私权更多是与公众利益无关的私人属性。个人信息本身只是一种可以识别某个人的事实或记录，并不当然地让个人拥有或控制个人信息；另外，信息(数据)之上承载着人类文化传承和社会运行发展的公共元素[22]。

虽然学者们为个人信息成为独立的受民法保护的客体找寻到了正当性基础，即隐私权所保护的利益无法涵盖个人信息中所蕴含的利益，但是如何处理二者的重叠部分仍是立法与实践中的难题[23]。以采用二元保护模式的欧洲为例，其在实践中也遇到隐私权与个人信息难以区分的困境，欧洲法院在一系列案件中，仍将个人信息与隐私权合二为一，并未将个人信息作为一项独立的权利进行保护(2)如Österreichischer Rundfunk案、Schecke案中，欧洲法院的落脚点仍是以隐私权保护信息主体的利益，参见：许可,孙铭溪.个人私密信息的再厘清——从隐私和个人信息的关系切入[J].中国应用法学,2021(1):3-19.。产生此种区分困境的原因在于个人信息与隐私权在范围上存在交叉。有些个人信息特别是涉及个人私生活的私密信息属于个人隐私，有些个人信息因高度公开而不属于隐私[24]。为破解区分的困境，明确二者的适用关系，我国《民法典》将隐私权与个人信息交叉的部分作为“私密信息”规定于《民法典》第1034条第3款，即“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定”。

(三)“私密信息”内涵之探讨

《民法典》未对何为“私密信息”作出明确的界定。现有的研究均认为“私密信息”是一种泛化的存在，应当动态判断，而判断的关键是“是否愿意为他人知悉”。然而，这种判断标准存在不足，原因在于“是否愿意为他人知悉”这一标准过于主观，“私密信息”的认定高度依赖权利人的主观意愿，因此，应当对“私密信息”的认定标准进行客观化“改造”。对此有观点认为，应当将“不愿为他人知晓的意愿”这一主观要件客观化，即“不愿为他人知晓”需要以社会一般人的合理认知来判断[25]。但是，一旦将认定“不愿为他人知晓”的标准客观化，其将成为一个连司法者都无法准确判断的标准，因为“不愿为他人知晓”需要考虑隐私诉求者本人意愿[26]。

另有学者提出，在“不愿为他人知晓”这一主观要件之外增加客观要件，即“信息的私密性”，这一要件要求信息应处于隐秘状态[27]。但是这种观点也存在不足之处，此种判断标准忽视了特殊情况下“私密信息”的认定，即已公开的个人信息结合后具有识别性，其内容侵犯个人隐私权。例如“庞某诉北京趣拿信息技术有限公司等隐私权纠纷案”中(3)参见：北京市第一中级人民法院(2017)京01民终509号民事判决书。，二审法院认为，姓名、电话号码、行程安排等属于个人信息，姓名、电话号码等个人信息孤立地看，的确不属于隐私权所应保护的范畴，但是姓名、手机号与庞理鹏的行程信息结合在一起时，整体上成为私密信息。

此外，另有学者从隐私与公共利益的角度提出，私密信息是具有隐私利益的信息，隐私利益可以拆分为“隐”(即不愿为他人所知的)与“私”(即与公共利益、他人利益无关的)，由此可将私密信息理解为秘密的私人信息，其判断标准为“私密性”与“私人性”[28]。

“私密信息”作为个人信息与隐私权的交叉部分，应具有“私密性”与“识别性”。所谓“私密性”，即该信息是信息主体“不愿为人所知晓”的信息。“识别性”为个人信息的本质属性，包括已识别和可识别至特定的自然人。在个人信息由自我控制的基础之上，自然人作为信息主体对其“私密信息”具有积极的控制权，可以控制信息公开的程度、范围。那么判断“私密信息”的关键因素之一便是信息主体是否将信息公开。一般情况下，信息主体自行将本属于隐私权范畴的个人信息公开，可以推知信息主体不具有“不愿为他人知晓”的意愿，此类信息通常无法被纳入“私密信息”的范围。

本文认为，“私密信息”的内涵为可直接或间接识别至特定自然人，且不愿为他人知晓的信息。在“私密信息”的认定上，首先应判断“识别性”，其次需要判断的是“私密性”即“不愿为他人知晓”，并且通常情况下该信息为信息主体所控制(未公开)。私密信息通常包括：健康信息、财务信息、家庭信息等。在特殊情况下，公开的个人信息仍具有成为“私密信息”的可能性，需要结合具体的场景进行综合判断。另外，“私密信息”应受到公共利益的限制，即私密信息与公共利益无关。

三、敏感个人信息：基于信息处理被提出

(一)个人信息保护法的定位

个人信息之上不仅存在多重值得法律保护的法益，而且承载着多重的利益主体。因此，“个人信息保护法”的制定应满足多重需求，不仅要满足我国政治、经济、文化的需求，更要满足数据成为资源、可被利用的时代需求[29]。首先，通过对域外立法例的考察，立法上需要保护的个人信息法益无外乎以下三类：第一，个人自治(自由)，即个人信息属于个人事务，个人事务应由自我决定；第二，身份(识别)利益，即法律保护身份(以姓名为核心)识别所产生的利益(精神以及经济利益)；第三，不歧视(平等)，即避免利用个人信息产生不合理的区别对待[30]。其次，个人信息之上承载着多重的利益主体，包括信息主体(自然人)、个人信息的处理者、国家。

利益与主体的多重性使得“个人信息保护法”立法需要平衡三重矛盾：自然人对其个人信息的保护与企业对个人信息利用之间的矛盾；权利保护与行政管理之间的矛盾；国内法律与国际法律之间的矛盾[31]。针对前两重矛盾衍生出的争议是“个人信息保护法”的定位。

首先，在“个人信息保护法”的公私属性上存在争议，产生了三种观点，即“私法说”“公法说”“折中说”。“私法说”从人格保护的角度出发认为“个人信息保护法”是私法，是民事特别法[32]。“公法说”认为，“个人信息保护法”之中存在大量纵向调整规范，因此属于公法，更进一步说属于行政部门法[33]。“折中说”认为，“个人信息保护法”是一部兼具公法与私法性质的法律，“个人信息保护法”不仅调整横向社会关系，即因经济活动而发生的民事主体之间的信息处理关系；也调整纵向社会关系，即因行政管理而发生的信息处理关系[34]。更有观点进一步认为，个人信息保护法是一部全面为个人信息提供保护的兼具公法与私法属性的法律，《个人信息保护法》并非《民法典》的特别法[35]。本文在同意“折中说”的基础上认为，在个人信息权益受到侵害时，被侵权人仍须回到《民法典》侵权责任编找寻相关救济的规定。因此，至少在私法领域，《个人信息保护法》应是《民法典》的特别法。

其次，从《个人信息保护法》的定位入手进行考察，域外较为先进的立法经验表明，“个人信息保护法”的定位有二：第一，保护自然人的基本人权；第二，明确个人信息的处理条件，规范个人信息否认处理程序与处理行为[36]。我国《民法典》从人格权角度对个人的基本权利进行保护，实现了“个人信息保护法”的人权保护的功能。因此，我国“个人信息保护法”的定位应是“明确个人信息的处理条件，规范个人信息否认处理程序与处理行为”。从正式颁布的《个人信息保护法》第一条之规定来看，其定位正是如此。《个人信息保护法》中的个人信息处理规则，仅是判断信息处理行为合法性的依据，而侵权行为损害后果及行为与损害之间因果关系的判断仍需依据《民法典》的规定[37]。从此意义上看，《个人信息保护法》是《民法典》关于个人信息保护的特别法。

(二)个人信息保护法的定位决定分类

个人信息的类型化不仅应具有类型学上的意义，更应具有法学上的意义[38]。以“识别”为标准认定个人信息将使得个人信息的范围极为广泛，为了平衡个人人格尊严与个人信息合理利用之间的关系，应当对个人信息进行分类，为不同类型的个人信息处理设定相应的规则[39]。目前，学界对个人信息的分类主要有两类，基于宏观的分类与基于微观的分类，前者主要是基于个人信息的来源作出的分类(如生物信息、教育信息、财务信息等)，后者分类的依据则具有多元性，如直接与间接个人信息、敏感与非敏感个人信息、自然属性与社会属性个人信息等[40]。当前，世界各国通行的做法是将个人信息划分为敏感个人信息与一般个人信息，我国《个人信息保护法》亦采用此种分类方式。

“敏感个人信息”值得特别保护的原因可追溯至20世纪的欧洲。历史经验表明滥用“敏感个人信息”(例如关于种族或宗教的信息)会助长大规模的侵犯人权的行为；对于个人而言，滥用“敏感个人信息”也会对个人造成严重后果(如不公平的歧视)，因此对“敏感个人信息”给予高度保护被认为是必要的，这类信息被值得特别保护[41]。随着科技的发展，与个人生物特征有关的信息被机器记录，使个人信息特征具有了“机器可读”性，并进一步被利用，从而对个人产生不利影响。这类个人信息之上承载着个人的数据(信息)权利与自由，处理此类信息将会对个人的基本权利与自由产生重大风险。

从立法上考察，首次采用敏感与一般个人信息分类的是1981年通过的《个人数据自动化处理中的个人保护公约》[42]。随后，将个人信息区分为敏感个人信息与一般个人信息成为比较法上通行的做法，如德国《联邦数据保护法》第46条第14款(special categories of personal data)(4)“Federal Data Protection Act”：Section 46 Definitions 14.‘special categories of personal data’a)data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership;b)genetic data;c)biometric data for the purpose of uniquely identifying a natural person;d)data concerning health; ande)data concerning a natural person’s sex life or sexual orientation.、韩国《个人信息保护法》第23条(处理敏感信息的限制)(5)韩国《个人信息保护法》第二十三条(处理敏感信息的限制)：(1)个人信息管理者可能担心严重侵犯其意识形态、信仰、工会会员资格、退出政党、政治见解、健康、性生活等。总统令规定的个人信息(以下称为“敏感信息”)不应进行处理。、日本《个人信息保护法》第2条(需注意的个人信息)(6)日本《个人信息保护法》第二条：本法所称的“需注意的个人信息”是指，含有政令规定的、为避免发生针对本人的人种、信条、社会身份、病历、犯罪经历、因犯罪而被害的事实及其他方面的不当歧视、偏见以及其他不利益而需要在处理上予以特别注意的记述等之个人信息。等。

“敏感个人信息”是一种事先作出的定性或分类，其依据是信息本身对个人隐私和安全的危害程度。此种分类源于信息安全管理实践中的惯例，其目的在于根据泄露之后可能对个人带来的危害而采取较高或最高的安全保障措施[43]。因此，敏感个人信息是与个人尊严和自由紧密相关的信息，在处理此类信息时须征得信息主体的明确同意，并且对此类信息的处理者苛加更重的义务。

(三)敏感个人信息的内涵

“敏感个人信息”的核心在于“敏感”，而所谓“敏感”是对特定因素出现时的高反应度，反映在个人信息中，“敏感度”是描述个人信息对主体造成损害或影响的程度[44]。然而，个人信息的“敏感”具有个体体验特征以及认知上的差别，随着科技的迭代发展和社会观念的持续革新，敏感个人信息的类型与范围会随之发生改变[45]。

由于各个国家和地区之间存在文化传统、社会习俗以及历史过往上的差异，因此对于“敏感”的认知也存在不同[46]。我国《个人信息保护法》第28条第1款采用“定义+列举”的方式对“敏感个人信息”作出界定，即“敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息”。据此，“敏感个人信息”中的“敏感”与自然人关联程度较高，将对自然人产生无法预知的、不可控的安全风险。

考察世界各国立法例，重叠度较高的敏感个人信息有：健康信息、宗教信仰、政治观点和党派、性生活、民族和种族、工会身份、科学或道德信仰、犯罪记录等[47]。其共性在于：第一，敏感个人信息一旦公开或泄露，将导致个人信息主体及收集、使用个人信息的组织和机构丧失对个人信息的控制能力，造成个人信息扩散范围和用途的不可控；第二，在信息主体授权同意的范围之外扩散，为个人信息主体权益带来重大风险；第三，某些个人信息在被超出授权合理界限时使用(如变更处理目的、扩大处理范围等)，可能对个人信息主体权益带来重大风险[48]。因此，本文认为“敏感个人信息”与“高度风险”相关联，在一定程度上可解释为对信息主体具有“高度风险”的个人信息，其“高度风险”在于此类信息被其他人获取或是不受控制地使用将对信息主体的人身、财产安全产生无法预知的风险。

四、二者关系之探讨

在论及“敏感个人信息”与“私密信息”的关系时，有“等同说”“交叉说”“包含说”。“等同说”认为“敏感个人信息”与“私密信息”实质相同，只是表述不同。“敏感个人信息”与“私密信息”都属于个人信息，并且二者都属于个人信息中比较特殊的部分，都涉及了个人的隐私，二者都是指信息主体不愿意为他人知晓的信息，二者的实质相同只是表述不同[49]。“交叉说”认为“敏感个人信息”与“私密信息”之间是交叉关系，有些个人信息既是“私密信息”又是“敏感个人信息”，如医疗健康信息；有些个人信息只属于“隐私信息”却不属于“敏感个人信息”，如个人的嗜好；而有些个人信息属于“敏感个人信息”却不是“私密信息”，例如宗教信仰[50]。“包含说”认为二者是包含与被包含的关系，“敏感个人信息”包含“私密信息”[51]。

本文赞同“包含说”，即“敏感个人信息”包含“私密信息”，二者的关系如下图所示：

图1 敏感个人信息与私密信息的关系

首先，可以明确的是二者在内涵上存在重叠。一方面，二者都与自然人的个人尊严与人格自由密切相关。尽管两者是基于不同的标准、规制目的对个人信息作出的划分，但二者都与自然人的人格尊严与人格自由具有高度密切的关系，且都可关联至特定的自然人。另一方面，二者都属于自然人个人控制的范畴。依据《个人信息保护法》第29条、《民法典》第1033条的规定，“私密信息”、“敏感个人信息”的处理需要经过信息主体同意。“同意”则意味着该信息属于个人控制的范畴，即建立在个人信息控制论的基础上。个人信息的使用需要经信息主体“同意”，信息主体享有该信息的使用决定权，包括是否允许他人使用、如何使用[52]。

其次，信息主体对“私密信息”的控制程度远高于“敏感个人信息”。“隐私权”从传统的“一个人独处的权利”逐渐发展为现代隐私权概念，即“自我资讯控制权说”[53]。依据传统隐私的观念，隐私是未被公开的秘密，一经公开便不再是隐私。随着隐私权理论的发展，隐私权的核心并非是限制他人对本人私人生活的干预，而是保护本人对其个人信息的控制权[54]。隐私权包含了隐私的享有权、隐私的维护权以及隐私的利用权；隐私权人有权利用自己的信息满足精神以及物质上的需要[55]。因此，隐私权人可以在公序良俗的限度内向他人公开自己的隐私。从这一意义上看，隐私侵权是对隐私权人隐私控制力的侵害。在“知情—同意”的框架下，对“敏感个人信息”的侵害同样也是对信息控制力的侵害，但是信息主体对“敏感个人信息”的控制力显然弱于“私密信息”。从《个人信息保护法》中对“敏感个人信息”的处理规则来看，仅对处理“敏感个人信息”的目的性与必要性(第28条第2款)、同意的方式(第29条)、告知义务(第30条)作出高于一般个人信息的特殊规定。处理“敏感个人信息”仍应遵照一般个人信息的处理规则，即《个人信息保护法》第13条的规定。《个人信息保护法》第13条第1款共规定了7种个人信息处理的合法性基础，信息主体的同意仅是其中的一种。依据《个人信息保护法》第13条第2款的规定，除信息主体同意外，第1款规定的其他6种情形不需要经过个人同意。由此可以看出，信息主体对“敏感个人信息”的控制力显然弱于“私密信息”。

最后，“敏感个人信息”的外延大于“私密信息”。“敏感个人信息”在“私密信息”的基础上，包含了体现自然人特征的客观信息，例如，身份证号、面目识别特征等信息。此类信息显然不属于“私密信息”但却构成“敏感个人信息”。另外，有学者通过对司法实践进行考察后提出，与“私密信息”对立的一般个人信息可进一步分类，根据信息与主体的关联程度可将个人一般信息划分为：区分性信息、联络性信息、关联性信息[56]。这三类信息与主体的关联程度逐渐降低，“区分性信息”承担的是区分功能，即此类信息具有唯一性，与信息主体具有很强的关联度，实践之中法院将此类信息作为隐私权或个人信息进行保护[57]。据此，所谓的“区分性信息”之中包含着“敏感个人信息”，因此“敏感个人信息”的外延大于“私密信息”。

五、结语

由于隐私权与个人信息存在内在联系，在实践之中便存在区分二者的困难，反映在立法中便存在“一元模式”与“二元模式”。由于个人信息与隐私权存在区别、个人信息的财产价值以及社会属性逐渐显现，我国《民法典》选择了隐私权与个人信息并立保护的“二元模式”，以强调隐私权与个人信息是相互独立的民事权利(益)。个人信息与隐私之间存在交叉关系成为学界共识，“私密信息”作为隐私权与个人信息交叉的部分被规定在《民法典》第1034条第3款。然而，《民法典》未对何为“私密信息”作出明确的界定。本文认为，“私密信息”的内涵为可直接或间接识别至特定自然人，且不愿为他人知晓的信息。在“私密信息”的认定上，首先应判断“识别性”，其次需要判断的是“私密性”即“不愿为他人知晓”，并且通常情况下该信息为信息主体所控制(未公开)。在特殊情况下，公开的个人信息仍具有成为“私密信息”的可能性，需要结合具体的场景进行综合判断。

与《民法典》的分类不同，我国《个人信息保护法》借鉴了国际主流的立法分类，即将个人信息分为敏感个人信息与一般个人信息。该分类是为了保障信息处理中信息主体的安全而提出的，其目的在于对信息处理者的处理行为施加更为严格的条件。本文认为，“敏感个人信息”不等于“私密信息”，二者之间是包含与被包含的关系：二者在内涵上存在重叠；信息主体对“私密信息”的控制程度远高于“敏感个人信息”；“敏感个人信息”的外延大于“私密信息”。