民法典个人信息保护条款的理解与适用

2023-01-08陈辉/文

中国检察官 2022年2期

● 陈辉/文

一、案例分析样本

（一）基本案情

刘某与沈某系邻居关系，双方均住西城区某小区17层，双方房门呈直角相邻。2018年底，沈某在更换家中的防盗门后，因防盗门没有猫眼，故在自家房门外墙上安装了一款360智能门铃。门铃可以记录门前的影像，有录像功能。刘某认为沈某安装的门铃记录了刘某家人员出入家门的信息，并且拍摄到了刘某家中摆设，侵害了刘某隐私权，故刘某诉至法院。［1］

（二）法院裁判

一审法院认为：公民的个人隐私及信息安全受法律保护。当事人没有证据或者提出的证据不足以证明其事实主张的，由负有举证责任的当事人承担不利后果。本案中，刘某称沈某安装智能门铃侵害了刘某的隐私权，应提交充分的证据。依据法院查明的事实，沈某安装的智能门铃无法拍摄到刘某的屋内情况，故法院对刘某陈述的智能门铃可拍摄到刘某屋内摆设的事实，不予认可。关于刘某陈述的智能门铃可拍摄到刘某出入房门的信息的问题，法院认为，依据现场勘查及庭审中沈某展示的相关的门铃软件，沈某安装的门铃拍摄并短暂存储影像的条件是，相关人员须在门铃前逗留一定时间，刘某自门铃前经过，并不必然被门铃录制。进一步讲，沈某对应自家门前的行人，亦有一定的知情权及基于房屋产权所享有的附属权利，沈某安装的门铃，即使录制了刘某及其家人进出家门的信息，也未对此进行传播，并且系统中只储存48小时，之后系统便会自动删除。刘某称沈某安装的智能门铃侵犯了刘某的隐私权，证据不足，法院不予支持。综上所述，一审法院于2019年12月判决：驳回刘某的诉讼请求。

二审法院认为，民事主体的人身权利、财产权利以及其他合法权益受法律保护，任何组织或者个人不得侵犯。根据查明的事实，沈某的门口系刘某出入家门的必经之地，沈某安装在门外的门铃带有摄像功能，摄像头可对刘某出入进行照摄，该处虽处于公共楼道，但亦对刘某及其家人的出行规律、人员流动等进行了记录，对于刘某及其家人的正常生活产生了一定影响，应予以拆除为宜。

（三）争议焦点

从本案的相关情况来看，当事人所主张的隐私权受侵害的核心要点在于他人对于自身行踪信息的摄取与记录。从一审法院裁判角度来看，法院认为业主对于自身门前公共区域的影像摄制存储是基于房屋产权附属权利以及对房屋周边情况知情权的需要，客观上记录的对门进出信息未进行传播和长时间存储，故不构成对隐私权的侵害。在这样的角度下，一审法院认为个人房屋进出的行踪信息实质上是一种公共信息，他人在没有恶意使用和传播的情况下不构成侵权。二审法院对一审裁判进行了撤销，显然是认识到一审法院对于这种个人行踪信息的定性有所偏差，但未从个人信息保护角度进行详细的裁判说理，而是以民事主体合法权益保护视角进行笼统概述。回归到案件本身，争议的焦点在于：自然人的行踪信息的具体定性和个人信息的保护范畴。同时，案件本身还涉及到对自然人行踪进行记录、存储、传输等的360软件平台。

二、隐私权与个人信息保护

民法典第四编人格权编第六章共八条对隐私权和个人信息保护进行了规定。其中详细规定了隐私权、隐私权侵害行为、个人信息的定义、个人信息处理的原则和条件、处理个人信息的免责事由、个人信息主体的权利、信息处理者的信息安全保障义务、国家机关、承担行政职能的法定机构及其工作人员的保密义务等。

（一）个人信息的定义

从民法总则到民法典，针对个人信息的规定发生了重大变化。民法总则第111条仅规定自然人的个人信息受法律规定，且赋予他人在依法取得并确保安全前提下的个人信息获取权。民法典颁布之前，学者对于个人信息的权利化还是权益化的发展进路选择存在担忧：在权利化进路下，个人信息主体能够享有对于个人信息的控制权；而权益化进路下，对于个人信息侵害只能事后追偿。［2］对于个人信息的立法保护有学者认为，如何对相关权利进行保护应该符合三个标准：一是该民事利益的独立性以及与其他民事利益之间的界限；二是该民事利益在实践中作为一项权利保护有无障碍；三是该民事利益在比较法上有无规定为法益或者权利的立法例。在第一个标准上，个人信息具备民事利益的独立性。个人信息利益与其他民事利益之间，最易发生混淆的是个人信息利益与隐私利益，因为个人信息和隐私在客体上的包含与被包含的关系，致使区分两者的界限有时会很困难，但两者并非浑然一体，在权利产生的背景、权利的性质等方面两者存在明显差异。在第二个标准上，隐私权原来所保护的个人信息，既包括了隐私信息，也包括了个人身份信息。［3］还有学者认为，自然人的个人信息利益保护是一种被动防御型的，非直接支配利益，应当采取最低限度保护来保障信息自由，只有在遭受侵害后才能寻求救济。个人信息利益的保护路径为在私法上赋予请求删除、更正的权利，在公法上加大对违法使用等的打击力度。从民法典的规定来看，明确了个人信息的定义及相关主体的权利义务，同时将个人私密信息置于隐私权保护范畴，对于个人信息的保护采取的是权利化的路径。

民法典第1034条对个人信息的定义进行了规定：自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定。在这里，民法典对个人信息的范畴进行了列举式的详细规定，且为适应科技发展的需要，对个人信息的电子记录方式进行了特别强调。从本文引用的案例分析样本来看，自然人进出家门等行踪信息显然属于个人信息的范畴，应当予以保护。在民法典颁布之前，司法实践中对于该类的个人行踪信息的保护多持肯定态度。如冯某与王某隐私权纠纷案中，二审法院认为楼道内安装摄像头能够记载同楼道内的其他住户的个人出行状况及户内人员状况，容易造成个人信息的泄露，对被上诉人的居住环境安宁造成了侵扰，构成民事侵权，应当承担侵权的民事责任。［4］在庞某与趣拿公司、东航隐私权纠纷案中，二审法院认为，姓名、电话号码及行程安排等事项首先属于个人信息。无论对于个人信息的保护思路有如何的分歧，都不应妨碍对个人信息在个案中进行具体的保护。［5］

（二）个人私密信息的隐私权保护

民法典第1032条规定，自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。从本条的规定来看，将个人的私密信息明确作为隐私权的保护范畴，同时强调了隐私权保护的重点在于对“私”的保护。在司法实践中，部分法院对于隐私权保护的价值内涵认识存在一定偏差。如在杨某与某小区业委会隐私权纠纷案中，二审法院认为，隐私权是指自然人享有的私人生活安宁与私人生活信息依法受到保护，不受他人侵扰、知悉、使用、披露和公开的权利。隐私权的核心在于“隐”，其客体主要是一种私密性的信息，主要是权利主体不愿意公开披露的且不涉及公共利益的信息。但个人信息，一般是指与公共利益没有直接关系但与个人相关的，并且能够借此识别自然人的身份的信息。个人信息虽与隐私权有密切联系，但个人信息不完全属于隐私的范畴，不能将其与隐私权混同。本案中所涉及的姓名信息、个人身份证信息、家庭地址等信息，是在社会交往和公共管理中必须在一定范围内为社会特定人或者不特定人所周知的，所以这些个人信息显然难以归入隐私权的范畴，而应界定为个人信息。［6］对于隐私权核心认定在“隐”还是“私”有着巨大的价值差别。“隐”是一种客观状态，即客观上不为他人所知的隐秘状态，而“私”则侧重权利人的主观选择，及不愿为他人所知的使用限制。在隐私权保护中，如果以“隐”为核心来认定，那么隐私权保护将没有现实意义，客观不为人所知的现实状态将不是隐私而是一种秘密，而隐私权保护的重点在于当事人的主观意愿，即该种的私密信息是否愿意为他人所见的情感选择。

在隐私权的侵权行为方面，民法典第1033条规定，除法律另有规定或者权利人明确同意外，任何组织或个人不得处理他人的私密信息。这里对于个人的私密信息的保护是一种完全的保护，即对于个人的私密信息，除法律规定或者权利人同意的情况下，所进行的不论是基于合法目的或者是非法目的的处理均属侵权行为。民法典对于个人信息的范畴已进行了明确的规定，但对于私密信息的范畴未进行明确的列举。结合隐私权保护的核心，私密信息的范畴应当是个人信息中相关权利人主观人不愿为他人所知所用的信息。这种私密信息的认定需要结合具体的适用情景。如在一般情况下，自然人对于自身的姓名、联系方式等未有隐私保护的需要，但在特定的情况下，如涉及矛盾纠纷、婚姻家庭等较为隐秘、敏感的情景时，主观上选择不为外人所知或完全公开。且该种主观的需求选择得到法律的支撑，如涉及婚姻家庭等诉讼时，当事人可以申请不公开庭审。在前文引用的杨某与某小区业委会隐私权纠纷案中，涉及的当事人的姓名、身份证等信息虽属个人信息，在一定范围内为他人所知，但法院忽略了对于该类信息的使用情景，姓名、身份证号码及家庭住址等结合形成特定权利人的个人私密信息，在案涉的《关于业委会被动应诉的公告（No.2019-074）》中公开披露相关当事人的个人身份信息，违背了权利人的主观选择，构成对权利主体的隐私权侵犯。

三、信息处理者的安全保障义务

（一）个人信息处理的限制

民法典第1035条规定，处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并要符合相关条件。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等；对个人信息处理的条件进行了有效限制，同时对信息处理者的定位进行了明确。在个人信息流转或接触的各个阶段，基于对个人信息的收集、存储、使用等均构成对个人信息的处理，属于信息处理者。如在司法实践中相关争议较多的物业与业主纠纷，物业、业委会等基于工作、诉讼等活动存储、收集业主信息，均应属于个人信息处理者的范畴。在网络环境下，个人信息通过网络流转的各个阶段和处理主体都负有对个人信息限制处理的义务。从本文引用的刘某与沈某隐私权纠纷案例来看，案件中忽略了作为重要的信息处理者的360公司，当个人行踪等信息被摄制并传输至线上，摄像头的使用者在一定程度上已经难以对该类信息进行有效的控制，个人信息面临着被泄露、盗取、分析等巨大风险。传统的摄影摄像设备的使用者主要为个人，但在新型网络技术和人工智能快速发展条件下，摄影摄像可以通过网络控制并能将相关摄取信息在网络上流通，在这样的条件下，产品的使用者、软硬件提供商、互联网平台乃至网络服务使用者都有可能成为个人信息的处理主体。对于个人信息的处理限制就不但作用于产品的使用者，同样适用于软件服务提供者、网络服务平台等。且在大数据时代，网络服务提供者等主体对于个人信息的不当处理所带来的影响和危害后果更严重。

（二）个人信息安全保障义务

民法典第1038条规定，信息处理者不得泄露或者篡改其收集、存储的个人信息；未经自然人同意，不得向他人非法提供其个人信息，但是经过加工无法识别特定个人且不能复原的除外。信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告。该条规定了信息处理者的个人信息安全保障义务。

在民法典颁布之前，对于个人信息保护的安全保障义务规定的相对较为简单，学界对于个人信息安全保障是属于手段义务还是结果义务存在一定争议。手段义务指的是义务人对特定的结果实现无义务，仅需采取适当必要的过程手段。结果义务是指义务人对某种结果出现或者不出现负有义务。手段义务和结果义务进行区分的一个重要标准在于，在受害人能够发挥积极作用的场合，即当他拥有一定的操作自由，他的积极参与构成整个活动的背景时，不可能承认存在一个结果安全义务，此时的安全保障义务为手段义务。只有当权利人存在一项正当信赖，相信自身不会遭受到任何特别的危险时，才存在一项结果安全义务。［7］个人信息安全义务的负担选择实质上是一种权益的平衡问题，即对个人信息安全的保护以及对个人信息的使用自由的权益平衡。在现代化的信息社会，选择结果义务无疑可以给个人信息安全以有效保护，但这无疑会加重信息处理者的责任负担，客观上限制了信息数据的有效流通和科技创新的有效实践。而从手段义务方面对信息处理者限定严格的安全保障义务，能够提升信息处理者对个人信息保护的主动性和针对性。

从具体条文来看，民法典规定的个人信息安全保障义务是一种手段义务，即信息处理者在个人信息处理过程中需遵循合法处理原则，同时还应采取必要措施来保障个人信息安全，并在个人信息安全受到威胁或损害时及时采取相关措施。虽然在这里并未规定个人信息处理者对个人信息安全损害的赔偿责任，但可以违反相应安全保障义务来推定信息处理者存在过错，从而承担相应的侵权责任，这在司法实践中已经得到论证和实践。如在庞某与趣拿公司、东航隐私权纠纷案中，二审法院认为从现有证据看，东航和趣拿公司在被媒体多次报道涉嫌泄露乘客隐私后，即应知晓其在信息安全管理方面存在漏洞，但是，该两家公司却并未举证证明其在媒体报道后迅速采取了专门的、有针对性的有效措施，以加强其信息安全保护。而本案泄露事件的发生，正是其疏于防范导致的结果，因而可以认定趣拿公司和东航具有过错，理应承担侵权责任。

一般来看，违反安全保障义务的侵权行为可以分为设施、设备未尽安全保护义务，管理、服务未尽安全保障义务以及防范、制止他人侵权没有尽到安全保障义务。［8］从民法典的规定来看，违反个人信息安全保障义务基本也涵盖以上三种类型，即使用、管理个人信息过程中未尽到安全保障义务，未采取有效措施确保个人信息安全，未及时对发生或可能发生的个人信息安全风险采取有效措施并履行告知、报告义务。有学者认为，个体的信息对于相对主体的价值极小，且侵害个人信息的行为往往是批量的，采取私法保护还是公法保护值得探讨。一些当事人基于个人信息泄露主张侵权损害赔偿，其遭受的损害价值的判断成为权利主张难点。如在庞某与趣拿公司、东航隐私权纠纷案中，因个人信息泄露而接收到诈骗短信，但当事人并未有财产上的损失。因此，个人信息遭受损害的财产价值并非安全保障义务的落脚点。个人信息安全保障义务在于维护个人信息安全的状态，包括个人信息的使用过程、个人信息使用的安全环境以及存在危险的救济措施。

四、个人信息侵权的归责原则

民法典中人格权与侵权责任均独立成编。对于个人信息侵权的民事责任该如何适用问题，有学者认为，民法典各编有其自身定位，人格权编是权利法，主要是通过列举的方式来正面规定各项人格权益的类型、内容，相关义务以及具体行使等；而侵权责任编是救济法，是对侵权责任的成立和承担进行具体的规定。因此，对于个人信息侵权的民事责任问题应当适用侵权责任编的规定。为此，有学者提出应当在侵权责任编中构建清晰的个人信息侵权规则，提高对个人信息的保护力度。［9］

从司法实践来看，侵害个人信息的隐私权纠纷适用过错原则没有太大争议。如在李某与瑞银信公司隐私权纠纷一案中，一审法院认为瑞银信公司违反相关规定，存在过错，对李某造成损害，应当承担侵权责任。［10］民法典第1165条对过错责任原则进行了规定：行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。依照法律规定推定行为人有过错的，其不能证明自己没有过错，应当承担侵权责任。从归责原则的类型来看，主要分为两大类，一类是无过错责任原则，另一类是过错责任原则。其中，依据举证责任的分配，过错责任细分为一般过错责任与过错推定责任。从民法典的相关规定来看，个人信息侵权属于一般侵权，应当适用过错责任原则。

（一）一般过错责任

有学者认为，个人信息权利的民法保护在于防范个人信息流通过程中存在的风险，促进信息的处理者合理、规范使用个人信息，确保个人信息的安全，基于此，对于个人信息侵权应当适用无过错责任原则，即个人信息的使用者对于其控制领域的个人信息损害，无论有无过错均应承担责任。无过错原则的观点实质上将个人信息的安全保障义务归结为结果义务，即确保个人信息不出现遭受侵害的结果，否则即承担侵权责任。结合前文的分析，这种观点偏离个人信息保护的立法本意。在信息化、数据化不断发展的进程中，法律对个人信息的保护不应是限制其合理流通、使用，而是应对个人信息的使用进行科学的规制和保护。在个人信息安全保障义务作为手段义务前提下，个人信息侵权与一般侵权责任在构成要件上并未有太大差别。同时无过错责任的适用有着严格的限定，必须是造成他人民事权益损害，不论有无过错，法律规定应当承担侵权责任的。

（二）过错推定责任

在信息传播与科技结合的程度不断加深的过程中，个人信息处理者的类型、种类和范围在不断变化，作为个人信息权利主体的自然人与信息处理者在信息掌握、处理等方面所处的地位存在较大差距。在个人信息侵权案件中，作为权利主体的自然人往往很难搜集到相关被信息处理者掌控以及科技性、专业性较高的证据。因此，需要对利益进行有效的平衡，对相关举证责任进行合理的分配。如在庞某与趣拿公司、东航隐私权纠纷案中，二审法院认为东航和趣拿公司在本案审理过程中都主张，庞某没有证据证明其个人信息是东航或趣拿公司泄露，因而东航和趣拿公司不存在侵犯隐私权的行为。但基于人类科学技术和认识手段的限制，现实中的客观事实经常不能通过事后的证明被完全还原。因此，诉讼中的证明活动，往往是一种受限制的认识活动，而并非无止境的绝对求真过程。基于这一认识，法律设计了证明标准规则，即对待证事实的证明达到何种程度即可确认该事实存在的规则。东航和趣拿公司作为各自行业的知名企业，一方面因其经营性质掌握了大量的个人信息，另一方面亦有相应的能力保护好消费者的个人信息免受泄露，这既是其社会责任，也是其应尽的法律义务。这在实质上是一种过错推定，即个人信息受到侵害，负有个人信息安全保障义务的信息处理者没有证据证明其没有过错，从而承当侵权责任。过错推定原则的适用对于网络信息传播快速发展背景下的个人信息保护有着重要的现实意义。