个人信息保护制度的基本内涵——从一宗隐私权纠纷案谈起

李祥硕

(衡水市公安局宣传处，河北 衡水 053000)

一、材料和问题

需要说明的是，对本案案件的记录和描述，仅依托于案件的二审、再审裁决，因此只是服务于目前分析路径的“拼贴”，不能穷尽构成此事件的全部关系。[1]案情是这样的：庞某某因与北京趣拿信息技术有限公司（以下简称趣拿公司）、中国东方航空股份有限公司（以下简称东航）隐私权纠纷一案，庞某某主张趣拿公司和东航泄露了其隐私信息，要求趣拿公司和东航承担连带赔偿责任和精神损害抚慰金。

一审法院认为：隐私权通常指公民享有的私人生活安宁与私人信息秘密依法受到保护，不被他人非法侵扰、知悉、搜集、利用和公开等的一种人格权，亦受法律所保护。当事人对自己提出的主张，有责任提供证据。趣拿公司和东航在本案机票订购时未获取庞某某号码，现无证据证明趣拿公司和东航将庞某某过往留存的手机号与本案机票信息匹配予以泄露，且趣拿公司和东航并非掌握庞某某个人信息的唯一介体，庞某某的诉讼请求缺乏事实依据，法院不予支持。判决：驳回庞某某的全部诉讼请求。庞某某不服一审判决，提出上诉。由此案引申出两个法律问题：其一姓名、电话号码、行程安排等个人信息是否是隐私权的保护范围。其二对个人信息的泄露由谁承担举证责任。

二、个人信息是不是隐私权的保护范围

此案二审是在2017 年。二审法院认为，姓名、电话号码及行程安排等事项首先属于个人信息。在现代信息社会，个人信息的不当扩散与不当利用已经越来越成为危害公民民事权利的一个社会性问题，因此，对于个人信息的保护已经成为全球共识。我国《全国人民代表大会常务委员会关于加强网络信息保护的决定》也明确提出要对个人信息进行保护。《民法总则》第一百一十一条也明确规定自然人的个人信息受法律保护。本案中，庞某某被泄露的信息包括姓名、手机号、行程安排（包括起落时间、地点、航班信息）等。根据《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第十二条的界定，自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等是属于隐私信息的。据此，庞某某被泄露的上述诸信息中，其行程安排无疑属于私人活动信息，从而应该属于隐私信息，可以通过本案的隐私权纠纷主张救济。

三、对个人信息的泄露由谁承担举证责任

在庞某某与东航、趣拿公司隐私权纠纷案中，一审法院采取由权利人证明东航和趣拿公司将庞某某过往留存的手机号与本案机票信息匹配予以泄露的路径，而二审法院认为，作为普通人的庞某某不具备对东航和趣拿公司内部数据信息管理是否存在漏洞等情况进行举证证明的能力，因此应当由信息控制者证明其行为与损害间无因果关系，若无法证明，则认定这一因果关系的存在[2]。二审法院撤销了一审判决，支持了庞某某的上诉请求。至此，案件还没有结束。东航公司向最高人民法院申请再审。最高人民法院经审查认为：“二审法院认为本案涉及的姓名、电话号码及行程安排等事项可以通过隐私权纠纷寻求救济，符合法律规定，并无不当。二审法院综合考虑本案的实际情况和相关证据，认定东航公司存在泄露庞某某隐私信息的高度可能，认定事实并无不当。东航公司应当承担侵犯隐私权的相应侵权责任。二审判决认定事实清楚，适用法律正确，处理并无不当。东航公司申请再审的理由均不能成立。驳回中国东方航空股份有限公司的再审申请。”

四、信息保护中各方的利益诉求与策略选择

笔者2020 年7 月31 日在北大法宝共检索到涉及个人信息保护的行政处罚决定书169 篇，行政判决书381 篇，个人信息保护案件日益增多，凸显了对公民个人信息保护的必要性。信息保护中各方的利益诉求不断，需要制定一部个人信息保护法，构建完整的个人信息保护法律体系，从个人信息保护义务及责任承担、行业信息安全标准及多主体规制的完备方面进行考量。根据《网络安全法》和相关规定的要求，个人信息境内存储和出境安全评估等法律规则的有效落实，也无法离开监管机构的认真履职和积极作为。在现实社会中，信息处理者有时通过技术手段隐蔽其真实身份，个人信息主体根本无法查实具体的责任人，从而寻求司法救济，作为“社会公平正义的最后一道防线”，司法救济能够为当事人提供最全面的权利保护和程序保障。[3]但是，司法救济通常只针对已经发生的侵害行为，无法对潜在的威胁进行预先防范。受害人想要通过诉讼手段获得司法救济，往往因为繁琐的程序而需要付出大量的时间和精力，不能对恶意侵害事件进行快速和有效的反应。[4]

结语

在大数据时代，个人信息的重要性愈发凸显。面对新兴科技的法律挑战与错综复杂的利益平衡需求，未来的个人信息保护立法应当明确行政监管的主要目标，建立统一和独立的监管机构，提升其专业性和行政级别，细化具体的监管措施，并协调不同保护程序之间的关系。