个人数据侵权法律适用的先决问题与本问题

许依怡

（华东政法大学国际法学院,上海 201100）

数据存储于网络服务商提供的服务终端或移动存储设备中，数据的可转移性必然使数据跨国处理的概率激增，这将极有可能导致跨国侵犯个人数据信息的问题发生。为了解决跨国个人数据侵权法律冲突问题，应当寻求更具科学性的冲突规范指引。现有冲突规范是否能够妥善解决个人数据侵权法律冲突，个人信息保护法律的域外效力能否取代冲突规范作为个人数据侵权主要规制手段，均有待进一步考察和论证。

1 个人数据侵权法律适用之先决问题：个人数据

1.1 个人数据与个人信息

厘清个人数据侵权法律适用的前提是厘清个人数据的内涵：什么是个人数据？个人信息又是什么？个人数据与个人信息是什么关系？

数据形式多样，广义的数据包括日常生活中通过纸质统计的数据，也包括通过网络传输存储于服务器终端的数据。狭义的数据，即电子数据，限于在计算机及网络上流通的在二进制的基础上以0和1的组合表现出来的比特形式[1]。广义的数据由于其载体形式多样，其中纸质数据由于其外部形状，大规模传输的可能性很低，针对此类数据的侵权大多由国内法调整，不在本文讨论的范畴。而狭义的数据，由于通过网络传输极易跨境流动，一国仅在本国范围内进行数据治理效果并不明显[2]，若此类数据未经授权跨境传播，则会引起跨境民商事法律冲突，亟待法律适用法进行调整，因此本文将重点讨论此类数据。

“个人数据”与“个人信息”二者概念看似等同，实则内涵不尽相同。个人信息指与特定个人相关联的、反映个体特征的、具有可识别性的符号系统[3]。从定义可知，个人信息是识别个人身份的要素，其表达方式包括数据形式，也包括其他传统媒体方式[4]。信息是数据的内容，数据是信息的形式[5]，由于个人信息通过数据表现，个人数据的内涵必定带有个人信息的特征，即可识别性。通常认为，凡是能单独或者与其他数据结合后识别出自然人的数据就是个人数据。二者概念虽不完全等同，但由于无法明确将其区分，甚至有学者将两者外延合并定义了“个人数据信息”[6]这一概念。二者概念混用对于个人数据侵权法律适用研究而言并没有造成实质影响。况且无论是个人信息侵权还是个人数据侵权，其争议焦点在于如何规制此类数据侵权行为，因此二者内涵的范围并不是本文讨论的对象。

为避免前后文不一致，本文采用“个人数据”指代以个人信息为内容表现为数据形式的这些数据。

1.2 个人数据的权利属性

问一位法学家“什么是权利？”就像问一位逻辑学家一个众所周知的问题“什么是真理？”同样使他感到为难[7]。权利的本质并非追究真实与否的逻辑问题，更多是表现立法者的价值取向[8]。对于个人数据而言，笔者认为应当从民事权利的要件入手，分析个人数据的权利属性，判断个人数据是否为权利。

1.2.1 个人数据的客体性

民事权利客体是指权利主体法律上的支配权所可能涉及的一切物[9]。德国民法将权利客体划分为物、精神财产和权利三种，此为支配权的客体，属于狭义的权利客体。还有一种民事权利依据民事法律行为、事实行为、法律规定的事件或者其他方式取得①，此类民事权利的客体包括权利和法律关系，其从属于上述狭义权利客体。也即民事主体拥有的物可作为狭义民事权利客体，而该物上的所有权等权利可作为从属性权利客体，二者由此产生联系。

如何看待数据的无体性？如果横向类比具有非物质性的作品、发明创造和商誉等知识产权的客体，知识产权的客体往往依附于物质载体[10]，其客体由物质载体所承载或体现。显然不能因为知识产权的客体通过物质载体体现就否定其客体性，正如不能因为数据由网络服务商建立的服务器终端传输、存储和处理就否定数据的客体性。

个人数据能够与特定个人相关联、反应特定个体特征，此类数据在收集阶段能够确定地由自然人主体控制，而在存储和处理阶段，个人数据的控制权从自然人非独占地转移给了网络服务商等权利主体。但这并不能说明个人数据无法被确定，相反，个人数据因其具有的可识别性使其与特定个人具有紧密联系。权利客体的确定性并不会因为多个主体同时享有而变动不居。权利客体的范围和界定是与立法者关于个人需要的认识联系在一起的，并随着认识的变化而发展变化[11]。随着大数据技术的发展，权利客体的内涵也不断丰富，个人数据作为大数据的产物被纳入私权客体正体现了现代社会立法者对私权神圣理论制度的价值再造。

个人数据虽无法脱离载体而存在，但以比特形式存在的个人数据必然通过包括代码等载体形式才能存储、处理、转让。个人数据通过计算机、网络等媒介进行收集、传输、存储、处理和转让，对此类数据是否要进行保护须由立法者判断其是否对国民的生存发展具有实际意义，不能仅因数据需要通过载体控制而否定其客体独立性。

1.2.2 个人数据的财产性与人身性

在法律上，权利与资格联系在一起。法律权利的性质和功能是由其客体的属性和功能所决定的[12]。对于个人数据的性质，主要存在财产权说和人格权说两种观点。否定财产权说的理由主要是个人数据权因其体现出的人格特征以及行政机构出于公共目的收集个人数据，难以被传统财产权体系接受。笔者认为，个人数据具有可识别性，能够独立或结合其他信息与特定个人建立联系不可否认，公权力机构为了打击犯罪等目的收集个人数据合理存储不容置疑，此种非传统财产权特征的确给其受侵害时损害的计量带来不确定性，但这些不足以否定其财产权属性。

诚然应当承认，法律保护个人数据的最终目的是为了维护公平与平等，但是如果具体考察个人数据权的客体功能的话，不难发现个人数据同时发挥着维护主体人格尊严和财产利益的价值或功能。应当承认个人数据的平等性，但不能否认具有人格权特性的个人数据可以产生积极财产权益。按照传统理论来说，人格权原则上不能转让，但在其被侵犯时，侵害身体权益的侵权人可以被判罚向被侵权人支付赔偿金，从这个角度看，人格权能够产生财产权益[13]。另外，诸如姓名权、肖像权之类的人格权，权利主体可以通过授权转让给其他主体使用的方式获取经济利益。这种非传统人格权都能够产生财产权益，更何况是具有人格权特性的个人数据。

个人数据权不仅具有人格权属性同时也具有财产权属性，不应当仅偏重其人格利益层面的保护，应当在权利属性上承认其人格权特征，并将其作为一种特殊人格权对待，同时给予其人格利益保护和财产利益保护。

2 个人数据侵权法律适用规则之本问题：特殊冲突规范的探寻

厘清个人数据权的相关权利属性之后，将焦点转向该种权利受到民事侵权时的法律规制问题上来。如同前文所述，个人数据能够将与个人有关的信息通过数据的形式展现，而现代社会，随着互联网的飞速发展和大数据技术的不断崛起，跨境侵犯个人数据行为屡见不鲜。

诸如Weltimmo案②，通过网络跨境倒卖个人数据的现象频繁发生，对于个人数据权作为私人财产性权利遭受跨境侵权的现象，如何才能有效规制？笔者将结合Weltimmo案分析传统冲突规范的适用困境，并探寻关于个人数据侵权特殊冲突规范。

2.1 传统冲突规范的适用困境

2.1.1 传统侵权行为地法保护个人数据权的困境

冲突法学说自法则区别说产生以来，经历了漫长的发展历程。传统学说大多主张采用一些固定、客观连接点来选择法律，强调法律适用的明确性、稳定性和一致性[14]。落实到侵权法律冲突领域中，侵权行为地法往往是最先用以解决侵权冲突的法律适用原则[15]。

正如前述，个人数据是更类似智力成果一般的无体物，对于个人数据权侵权，如果仅依靠传统加害行为地、损害发生地判断侵权行为地，就可能无法准确判断加害行为地或者损害发生地，或者说存在多个类似的侵权行为地。

结合Weltimmo案，对于通过运营的网站收集广告用户个人数据的Weltimmo公司将该数据转让给专门收债公司，应当如何判断这一加害行为的实施地和损害结果发生地？如果Weltimmo公司不仅收集了数据，而且还通过大数据分析技术，确定匈牙利某些地区居民对于房型的喜好，我们怎么认定加害行为呢？加害行为仅仅是转让行为吗？如果Weltimmo公司将这些个人数据原始材料转让给A国甲企业，将分析后的数据转让给B国乙企业，或者将这些原始材料同时转让给注册地位于不同国家的企业，那么怎么明确加害行为地和损害发生地呢？要解决这些问题，仅依靠传统僵化的侵权行为地判断举步维艰，更何况如果任由被侵权人从多个加害行为地或损害发生地中选择其一确定适用法律，不仅会助长当事人挑选法院的苗头，而且还会导致作为调整跨国民商事法律冲突的冲突规范无法保证双方法律主体的平等性。

2.1.2 人格权侵权冲突规范的适用困境

人格权是指以主体依法固有的人格利益为客体，以维护和实现人格平等、人格尊严、人身自由为目标的权利[16]。随着互联网的普及，人格权侵权行为随时随处发生，但损害结果很可能延伸至一国领土之外。其侵权行为实施地和损害结果发生地远比一般的侵权行为更难判断。

对于跨境人格权侵权行为，各国一般采取三种立法模式：一是仅采用单一客观连接点，但该种模式下存在属人因素和属地因素的冲突，表现为受害人属人法和侵权行为地法之间的博弈；二是为了更好地保护受害人的权利，避免属人和属地的冲突，立法采用多数连接点，同时规定于冲突规范之中；三是结合意思自治理论，授予被侵权人选择权利，同时考虑侵权人在行为实施地的抗辩权。

参考我国《中华人民共和国涉外民事关系法律适用法》（以下简称《法律适用法》）第四十六条规定的模式③，该模式考虑到了人格权与被侵权人的专属性特征，但似乎并未顾及肖像权等具体人格权在“互联网+”时代所具有的人身性与财产性双重属性，也没有设置“逃避条款”。

现实中，如果某经常居住地位于A国的国际明星在中国被侵犯肖像权在中国法院提告，根据《法律适用法》第四十六条之规定，应当适用被侵权人经常居所地法律。若A国的侵权实体法规定该行为不构成侵权，可能会造成按照中国实体法构成侵权，但根据A国实体法不构成侵权，最后中国法院适用A国侵权法，判决被侵权人败诉。暂且不谈中国法院对适用外国法的倾向，上述案例的结果根据现行法律规定，是极有可能发生的。更何况个人数据权作为一种新型具体人格权，其财产性权益与肖像权一样值得被法律保护。

如果将Weltimmo案的背景平移到中国的话，Weltimmo公司注册于中国，其运营网站收集A国居民出售房产的信息，未经同意将这些信息贩卖给注册地位于B国的机构。若A国居民根据《中华人民共和国民事诉讼法》第二百六十五条来到中国起诉Weltimmo公司侵犯个人数据权，会带来以下问题：根据《法律适用法》第八条之规定应以中国法定性，同时根据《中华人民共和国民法典》（以下简称《民法典》）规定，个人数据保护位列于人格权编，可看作具体人格权。人格权侵权适用《法律适用法》第四十六条，适用被侵权人经常居所地法律。与前案相同，A国居民的经常居所地为A国，A国侵权法律认定该行为不构成侵权，假设我国法律认为是侵权，那么最终结果依然是被侵权人败诉。

再假设，如果Weltimmo公司注册于斯洛伐克运营网站收集中国居民出售房产的信息，贩卖给B国机构。中国居民在中国向法院起诉，法院根据《法律适用法》第四十六条适用中国法。根据《民法典》第一千零三十四条第一款④、第一千一百九十四条⑤，以及《中华人民共和国网络安全法》第四十四条⑥之规定，该公司的行为能够在中国法院被认定为侵权行为。由此会造成法律适用内外不一致的困境，这是国际私法所不允许的。

2.2 个人数据侵权专门法律适用规则的建立

2.2.1 传统处理软化方法在个人数据侵权的应用

法律关系的本质是公平、合理、有序，它不取决于法律的内容，相反力求实现法律关系的公平、合理和有序应当是一般法律的追求目标。跨国民商事法律关系也不例外。国际私法的价值追求是在调整国际民商事关系时，再现其公平、合理的本质，引导国际民商事关系呈现有序的状态[17]。

为了解决上述传统冲突规范适用的困境，合理规制个人数据侵权法律适用问题，笔者认为首先应从颠覆客观连接点，试图追寻法律选择公平正义的最密切联系原则入手。

最密切联系原则在传统冲突规范中应用的缘起于传统僵化的客观连接点导致随着时间推移，不适应当时社会的发展变化，因此增加“最密切联系”概念使冲突规范更具有灵活性和开放性，从而使案件结果更合理、被侵权人更可能获得赔偿，比如美国两次冲突法重述中由“奥汀诉奥汀”案⑦，法官富德明确采用“重力中心地”概念，以及其后“巴布科诉杰克逊”案⑧提出“准据法应当是在解决某个特定问题时具有最大利益的那个州的法律”。

如果在互联网时代，将该原则运用到确定个人数据侵权法律适用规则，又将如何？有学者认为在互联网模式下，密切联系的范围可能被无限扩大，重心的位置不容易确定[18]。对此笔者表示认同。结合第四十六条来看，该条只规定了被侵权人经常居所地这一个连接点，笔者推测立法者可能推定其经常居所地与被侵权人联系最为密切。因此，侵犯人格权适用被侵权人的经常居所地法律是最符合被侵权人的利益的。但立法者忽略了在人格权侵权的情形下，损害结果可能在被侵权人国籍国、住所和惯常居所都遍及，其中最严重的结果并非在惯常居所，如果将被侵权人的经常居所地退一步改为损害结果发生地则更为妥当。此处的损害结果发生地应当排除间接损害，结合最密切联系原则确定。

尽管该原则需要法官的自由裁量，但我们可以通过预设当事人共同属人法间接应用最密切联系原则。若双方没有共同属人法，并不意味着《法律适用法》就无计可施。在这之后还有意思自治原则。需要特别明确，由于《法律适用法》第四十四条⑨规定的一般侵权行为冲突规范中已将意思自治纳入考虑侵权行为法律适用规则体系之中，虽然立法者为了保护经济或经验上的弱者而将法律选择的意思自治限定在侵权发生之后，但将其适用于个人数据侵权，特别是保护人格权属性而言，并无不可。

2.2.2 个人数据侵权法律适用特殊规则的探寻

区别于传统国际私法对个人数据保护规则的构建模式，由于个人数据权的财产权属性，权利主体通常是个人数据权保护法律关系中较为弱势的一方。此处的“弱势”应指在个人数据保护法律关系中，由于市场力量不平衡导致经济地位不平衡而处于弱势地位或者不利地位的当事人。对于个人数据财产权的保护，可以借鉴弱者权益保护原则，创建专门冲突规范。

法是普遍适用的行为规范，法的这种普遍性天然要求法平等对待全体社会成员。但社会上的强者和弱者都向法的普遍性提出挑战，要求法的例外对待[19]。为了平衡侵权关系主体之间由于财力差异、信息不对称导致的诉讼力量的悬殊，各国已经在一般侵权的冲突规范中结合保护弱者原则。

落实到个人数据的语境中，被侵权人对侵权人身份收集的困难、对其个人数据被侵害事实认知的滞后，导致被侵权人很难像侵权人那样平等地参与诉讼，其维护自身权益的成本通常要比侵权人高得多。冲突规范为满足实质正义的要求，赋予被侵权人特殊的选择权利，使被侵权人尽可能在被侵权之后得到救济的机会是法律的应有之意。同时，为维护实质正义，减少助长当事人挑选法院的风气，也应当注意侵权行为与被侵权人的从属性问题。并非个人数据所有可能的流转环节都与侵权人有关，因此对被侵权人选择准据法时也要设限，将一些与侵权人直接侵权无关的连接点排除在外。

体现弱者保护的法律选择方法直接关注的应当是如何帮助弱者实现法律保护的权利，这表现为政策定向的法律选择方法或规则[20]。使被侵权人得到应有赔偿，维护弱者实现自身权益，同时阻止别有用心之人“假扮”弱者利用规则获利，这应当是个人数据侵权冲突规范建立的目标。

在个人数据跨境流动的背景下，关于如何保护个人数据特别是针对财产性特征，笔者认为，个人数据的处理地以及其财产价值产生地值得我们关注。经济学家曼昆（N.Gregory Mankiw）通过分析Isoland国内纺织品出口前后的价格对一国的经济影响得出结论：贸易使一国的经济福利增加[21]。根据该经济学的理论，当商品在不断进行跨国贸易时，贸易能够为各主体带来经济利益，由此可以认为个人数据的价值能在持续交易中提升。但现实中，一般很难确定无形商品到底要转多少手才能体现出其最大价值。结合被诉侵权人身份主体确定的困难，这些都导致了个人数据财产价值难以客观量化。

不过，既然本文讨论的是中国《法律适用法》的条文问题，那么应当设置一个前提：被侵权人在向法院提告之前，至少能够确定一个直接侵权人。在此前提下，可认为被侵权人通过一定的努力可以确定侵权行为实施地，即个人数据处理行为地。而且就算被侵权人无法确定侵权人实际处理数据地或个人数据交易地，也能确定侵权人的主营业地、主要办事机构所在地等与侵权人实际经营有关联的连接点。目前，个人数据交易行为仍广泛存在于互联网和大数据技术发展迅猛的发达国家和部分发展中国家，为了更好地保护被侵权人利益，立法者应考虑将侵权人主营业地或者主要办事机构所在地法律归入法律适用体系中，供被侵权人选择，因为大部分此类机构所在地国赔偿标准更高。当然这需要添加“可预见性”的限制，这样更为合理。

3 结语

个人数据的权利属性一直以来为民法学界所争论不休，《民法典》赋予其新型具体人格权的归属算是为此类争议暂时定分止争。在大数据背景下，由于个人数据权特有的人格权和财产权双重属性，生搬硬套传统冲突规范规则并不能很好地解决跨境侵犯个人数据权的法律适用问题。在没有统一实体法的情况下，为了增强冲突规范的灵活性以应对个人数据侵权行为，无论是改良传统冲突规则来解决跨境侵权诉讼中内外国不一致问题，还是创新规则从个人数据权的财产价值入手，借鉴弱者保护原则，探寻新方法，都值得立法者尝试。

注释：

①参见《中华人民共和国民法典》第一百二十九条：“民事权利可以依据民事法律行为、事实行为、法律规定的事件或者法律规定的其他方式取得。”

②Case C-230/14 Weltimmo (CJEU,1 October 2015)ECLI:EU:C:201 5:639,para 11.Weltimmo是一家注册在斯洛伐克的房地产公司，运营一个房产交易网站，为坐落于匈牙利的房产打广告。许多广告用户在该网站第一个月免费使用时纷纷提出使用申请，而到了第二个月需要收费使用时发邮件退订该服务。Weltimmo公司无视用户的退订要求，继续提供服务并在用户不支付服务费的情况下，把用户相关的个人数据转卖给了专门收债公司。

③参见《中华人民共和国涉外民事关系法律适用法》第四十六条：“通过网络或者采用其他方式侵害姓名权、肖像权、名誉权、隐私权等人格权的，适用被侵权人经常居所地法律。”

④参见《中华人民共和国民法典》第一千零三十四条第一款：“自然人的个人信息受法律保护。”

⑤参见《中华人民共和国民法典》第一千一百九十四条：“网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。法律另有规定的，依照其规定。”

⑥参见《中华人民共和国网络安全法》第四十四条：“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。”

⑦Auten v.Auten,308 N.Y.155,124 N.E.2d 99 (1954).

⑧Babcock v.Jackson,12 N.Y.2d 473,191 N.E.2d 279(1963).

⑨参见《中华人民共和国涉外民事关系法律适用法》第四十四条：“侵权责任，适用侵权行为地法律，但当事人有共同经常居所地的，适用共同经常居所地法律。侵权行为发生后，当事人协议选择适用法律的，按照其协议。”