我国个人信息立法保护研究

摘  要：21世纪正在经历一场声势浩大的信息革命，随着大数据、人工智能等现代信息技术不断取得突破创新，科技和经济深度融合，带来了社会发展的巨大飞跃，而掩盖在蓬勃盛景下的是技术渗透引起的个人信息保护领域乱象丛生。为规范个人信息处理技术对人格的危害，我国在《中华人民共和国民法典》（以下简称《民法典》）中正式确立自然人的个人信息受法律保护的法律理念。此外，《中华人民共和国个人信息保护法（草案）》（以下简称《个人信息保护法（草案）》）的制定预示着信息主体救济的新路径。然而，规范间就个人信息法律保护背后的权利性质、法律关系类别认定仍不清晰，本文深入分析个人信息法律保护本质，厘清规范间的关系，对构建完善的个人信息法律保护体系有重大意义。

关键词：个人信息;立法保护;权利;权益;路径

中图分类号：D923 文献标识码：A 文章编号：2095-9052（2021）09-00-03

一、个人信息保护及立法现状

随着社会信息化进程的深入，信息技术的应用使得人们的生活更加智能化、便捷化，与之伴生的是过度收集、随意窃取、非法贩卖个人信息情况愈演愈烈，一系列个人信息安全问题逐渐暴露在大众视野之下。根据相关统计，2019年4月1日至9月30日，市场监管总局开展了为期6个月的“守护消费”暨打击侵害消费者个人信息违法行为专项执法行动，全国范围内共计查办各类侵害消费者个人信息案件1 474件，罚没款1 946.4万元。随着侵害个人信息事件影响范围广、威胁程度深，已然成为国家机关严厉防范打击的对象。由于信息化时代信息技术类别繁多，如人脸识别、虹膜识别、指纹识别等新型识别技术逐渐普及，产生了多种个人信息收集渠道，也增加了个人信息泄露的风险，因此依靠国家机关打击侵害个人信息违法行为无疑将会极大增加行政负担。同时，考虑到信息技术创新性和积极性发展的需要，国家在采取系列措施加强个人信息保护之余对相关立法留有余地。

事实上，为了防止侵害个人信息的行为泛滥，我国早在多部特别法中就对多种个人信息的保护作了规定，如《中华人民共和国消费者权益保护法》第十四条规定：“消费者在购买、使用商品和接受服务时，享有人格尊严、民族风俗习惯得到尊重的权利，享有个人信息依法得到保护的权利”。同类立法包括但不限于《中华人民共和国网络安全法》第4章和《电信和互联网用户个人信息保护规定》。纵观个人信息保护立法现状，虽然《个人信息保护法（草案）》作为我国第一部个人信息保护领域的专项立法，但其却尚未生效，且与《民法典》相关规定在位阶适用上多受质疑，其他特殊个人信息领域也尚未有配套立法。因此，总体上来说，我国关于个人信息保护仍呈现出分散式立法模式，尚未形成统一的立法体系。在个人信息保护的具体实践中，此种模式易导致“九龙治水”的困境。一方面，各个执法机关由于分工不明容易重复执法，损害其权威性;另一方面，相关监管机关也呈现出多部门分散监管的特征。美国法理学家埃德加·博登海默曾说过，法律是一个带有许多大厅、房间、凹角、拐角的大厦，在同一时间里想用一盏探照灯照亮每一间房间、凹角和拐角是极为困难的，尤其当技术知识和经验受到局限的情况下，照明系统不适当或不完备时，情形就更是如此了。因此，在立法尚未完全统一情况下，要解决上述问题，完善立法、构建独立专业的个人信息管理、备案、监督并行体系是不二选择。然而，在法律逻辑学的观点下，一项法律问题的研究奠基于法律概念及其中法律关系性质的明确。因此，在立法之前，我们有必要对个人信息之应有之义作准确的解释和概括，同时明确个人信息背后保护的权利究竟性质如何，立法规制的又是何种法律关系。

二、个人信息之应有之义

个人信息的界定是一个基础性的问题，其内涵和外延将直接影响法律规制何种行为。在既往的理论研究中，对个人信息的界定存在着关联说理论、隐私说理论和识别说理论三种学说，其中，识别说理论受到了世界大多数国家的认可。如欧盟在1995年即通过了《个人数据保护指令》（以下简称“95指令”），其第二条将个人数据界定为任何与已识别或可识别的自然人相关的信息。同样作为数据传输大国的美国，在界定个人信息时也将可識别性作为一项重要构成要件，其在COPPA中将个人信息概括为关于某个人的个人可识别信息。需要注意，欧盟关于个人信息的界定较为统一，直接导向其以侵犯可识别个人信息行为为规制对象;而美国无统一立法，且各州标准不一，多采用列举方式穷尽个人信息类型，因此尽管有采纳可识别标准的情况存在，总体上对侵犯个人信息行为的规制局限在“已识别”范围内。

毋庸置疑，识别说在世界范围内基本上受到认可，我国相关立法在界定个人信息时，事实上也将其作为一项重要标准。如《民法典》第一千零三十四条对个人信息作了如下定义：“个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”。

《个人信息保护法（草案）》第四条也作了类似规定。然而，在信息化时代，个人信息的界定仍面临着三个问题。一是基于信息技术，信息的收集利用已然按照一套新的规则进行，一些本身不能识别特定自然人的信息可能被技术拼凑起来，成为一种可识别性信息。二是匿名化处理后的个人信息也有可能被再识别而产生泄露的可能性，一些相关规范性文件明确点出了此项技术的风险。如我国在《中国互联网定向广告用户信息保护去身份化指引》中解释什么是去身份化时也指出，去身份化的某些信息在某些情况下，仍可能通过数据集或信息进行匹配，重新识别出身份关联信息。三是个人信息的界定具备一定的动态性和场景依赖，侵犯个人信息行为的认定可能会出现摇摆不定的局面。因此，要有效规制侵害个人信息行为，首先要对个人信息的应有之义作准确理解。

需知，法律界定“识别”的意义不在于是否将特定的某一个人从人群中区分出来，而是为了防范“识别”对人带来的影响，包括积极影响。因此，在对个人信息的界定中，我们应该将对识别的对象从信息本身转向对信息背后信息主体的关注，如若信息处理行为识别出了人，但并未将其置于可识别的风险中或造成其他影响，则不能理所当然地认为侵害了个人信息。此外，将个人信息划分为个人敏感信息和一般个人信息，不仅是当下最佳选择，也将有利于在具体个案中就双重属性进行衡量。值得提出的是，基于脱敏信息和匿名化处理信息的财产属性，我国立法将二者排除在个人信息之外也是综合考量了社情国情，在保证公民基本人格利益不受侵害的情况下顺应技术发展需求。

三、个人信息权及其性质之争

为了充分保护个人信息，应对立法分散的问题，我国早在《中华人民共和国民法总则》中就有相关规定，其第111条将个人信息明确为一项法律利益，而《民法典》则延续此种理念，正式确立了自然人个人信息受法律保护的法律理念。《个人信息保护法（草案）》的应运而生也是个人信息保护的一项重大突破，它积极响应了信息主体权益保护的需求，意味着我国在个人信息保护领域正式开启统一立法之路。

（一）权益之争

纵观《民法典》相关规定以及《个人信息保护法（草案）》，可以发现，二者规制的均是针对信息的处理行为，而非平等主体间的普通个人信息使用行为;二者在保护形式上均对弱势主体带有明显的偏向性。申言之，这归结于个人信息保护相关立法的立法初心。在相关规范制定之初，它们的主要立法宗旨就是防范信息处理技术给个人信息带来的风险。在信息处理行为中，信息技术掌握者，通常是企业或者国家机关，在信息的收集、存储、利用、加工、传输等各方面能力明显高于普通信息主体。在前述过程中，信息主体缺乏可触、可靠的途径参与其中，最终可能处于一种无知甚至无奈的状态。而平等主体间的普通个人信息使用行为一般建立在双方信息处理能力均衡的基础上，一方可能通过一般方式保护自己的个人信息，也能在侵害发生时及时发现，诉诸法律救济。

基于此，有学者认为，在对个人信息进行立法保护时，实质上是对信息处理关系中处于弱势一方的信息主体以保护倾斜，是赋予了信息主体一种支配性的个人信息权，是权利保护模式下直接将个人信息确立为一项民事权利。当然，理论界也存在相反观点，即个人信息的保护仍是一种行为规制保护模式，法律赋予自然人的只是一种民事权益。以上两种认识都有基于《民法典》的体系分析支撑。前者认为《民法典》虽然并未直接使用“个人信息权”之表述，但其条文实质上是一种确权式宣示，且其位置位于第六章“隐私权和个人信息保护”，从标题来看，是将二者置于具体人格权的同等地位;后者则认为《民法典》在其第990条对人格权进行具体列举时，都使用了“权”字，如生命权、健康权等，但在描述个人信息时，通篇仅谨慎使用“个人信息”“个人信息保护”等词眼，意味着立法者并无确立“个人信息权”之意。事实上，此类“权利抑或权益”之争并无太大意义，无论是权利还是权益，都仅是一种暂时性的区分。需知，权利是一个具有发展性的概念，当某种利益具有加以保护的必要时，得经由立法或判例学说赋予法律之力，使之成为权利。换而言之，要想在顺应信息化时代发展趋势之时防范个人信息侵害之风险，未来必然会将个人信息作为一项专门权利进行保护，从立法趋势来说，《个人信息保护法（草案）》的制定上可见一斑。申言之，隐私权最初也并非直接被确认为一项民事权利，而是经历了一系列立法变迁。从1993年《最高人民法院关于审理名誉权案件若干问题的解答》以及1988年最高人民法院《关于贯彻执行〈中华人民共和国民法通则〉若干问题的意见（试行）》最早将隐私纳入名誉权保护，到2001年《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释》第1条第2款将隐私利益独立化，至2009年《中华人民共和国侵权责任法》第2条第2款正式写入“隐私权”，其显然是从权益到权利成功转型的典范。可以预见，“个人信息权”完全可能在未来权利化。鉴于后文将就“个人信息权”究竟为一项民事权利还是宪法上的基本权利进行讨论，后文取“个人信息权”之表述进行具体论证。

（二）基本权利、民事权利之争

在具体个人信息保护实践中，有学者认为个人信息保护承载了自然人人格利益、企业经济利益、社会公共利益等多元法益。同时，由于民事权利通常只能用于平等主体间的对抗，无法与公权力机关相抗衡，而在信息处理关系中信息主体和信息处理主体（包含国家机关）往往地位不对等，且公权力机关一般不会就民事权利提供预先保护措施，因此不宜将个人信息权作为一项传统的民法权利。本文同意此种观点，且认为应该将“个人信息权”作为一项基本权利确立。宪法权利和民事权利最为根本的一点区别在于，前者是赋予权利人以直接针对国家滥用权力行为进行防御的能力，而非出于对无权力差异主体间关系的担心;后者则是赋予平等主体间针对侵害行为进行自我救济的资格。二者应该予以清晰界分，而此中界线即为侵害行为的边界。宪法权利直接以国家侵害行为为边界，民事权利则需判断侵害行为与义务人基本权利行使行为间是否越界。

因此，基于个人信息处理关系的不平等性，憲法权利的认定将更为有效于防范“强者”的侵害。值得提起的是，将个人信息权认定为一项基本权利并不意味着民法上个人信息保护的缺失。须知，基本权利和民事权利的区分仅仅存在于公权力侵害私主体之时方得显现出来，在民法层次，若个人信息受到侵害，完全可以以人格权请求权或侵权请求权寻求救济。此外，若在信息处理关系中确实出现平等主体间因一方信息处理能力高于另一方而侵害其个人信息的情形，也可将个人信息权这一基本权利理念直接引入民事领域。根据王轶的观点，现代民法分为“强式意义上的平等对待”和“弱式意义上的平等对待”，因此平等是一方处于强者地位的具有差异性的平等，故完全可以认定为弱势意义上的平等，需诉诸宪法权利的保护。

四、我国个人信息法律保护路径

正如上文提到的，我国就个人信息保护已经在进行相关统一立法工作，以《民法典》和《个人信息保护法（草案）》为个中代表，随之而来的是关于二者法律适用上的讨论。总体来说，就二者的适用，有两种观点：一是以《民法典》为总领，《个人信息保护法（草案）》作为民法的特别法来看待，之后建立系列特殊领域信息保护特别法;二是走公私并行路径。

公法上，以《个人信息保护法（草案）》作为个人信息保护公法领域的一般法，之后制定系列特殊领域信息保护特别法，建立“一般法+特别法”的保护体系。私法上，以《民法典》统摄个人信息私法保护。

笔者认为，第二种路径更契合法律实质以及社会现状。一是在具体司法审判实践中，援引公法性规范作为民事判决法律依据的情况常见，此为司法法律适用上的混淆，应在立法上予以明确区分，方便法官区分案件性质，准确适用法律，促进个人信息保护司法领域进步;二是以个人信息权之宪法基本权利作为公法保护的依据，有利于在后续设立独立专业的个人信息管理、备案、监督机关时充分贯彻依法行政原则，在尊重技术发展和市场规则的前提下以国家公权力有效防范个人信息侵害的发生;三是有利于建立清晰公私分明的救济途径，便于信息主体在受到不同性质侵害时有据可循。

五、结语

信息化时代，科学技术的应用从来都是利弊共存，信息类型的丰富和信息识别技术的革新，使得传统个人信息认定已经不能适应现代立法保护需要。深入个人信息立法保护研究，加快立法进程，将是促进信息共享和信息技术良性发展的必然渠道。然而，立法离不开行政和司法的支持，故建立起兼具独立性和专业性的信息保护机构已然刻不容缓，如此，我国应协调完备的公私并行路径，妥善处理好个人信息保护和科技价值的关系，让信息技术最大限度上促进人类福祉。

参考文献：

[1]张新宝.个人信息收集：告知同意原则适用的限制[J].比较法研究，2019（6）：1-20.

[2]迟铭.消费者人格权保护的法经济学分析——Calabresi与Melamed模型的一个应用[J].中共郑州市委党校学报，2010（6）：59-62.

[3]李东.论个人信息的刑法保护[D].青岛大学硕士论文，2018.

[4]唐国才.刚果（金）案对完善《香港基本法》解释机制的启示[J].战略决策研究，2012（2）：34-44+60.

[5]张建文，程海玲.“破碎的隐私承诺”之防范：匿名化处理再识别风险法律规则研究[J].西北民族大学学报：哲学社会科学版，2020（2）：76-86.

[6]傅之捷.論信息领域个人隐私权的法律保护[D].复旦大学硕士论文，2008.

（责任编辑：董维）

收稿日期：2021-04-21 修改日期：2021-07-06

作者简介：李颖杰（2001—），女，湖南邵阳人，湖南师范大学法学院2018级在读本科生，主要从事广化寺法学研究。