个人信息保护纠纷侵权救济路径探究

［摘 要］伴随着《中华人民共和国个人信息保护法》的出台，我国的个人信息保护请求权基础得到了进一步丰富，但是与同为含有规制个人信息法律关系的法律规范的《中华人民共和国民法典》相比，两部法律关于个人信息保护的请求权基础并不相同，进而导致在个人信息保护这一问题上存在两种救济路径，不同救济路径的选择导致不同的法律责任和法律后果，这会对自然人选择何种救济路径保护其个人信息权益产生影响，一般情况下，当两部法律对案涉个人信息有相同或相似规定时，应优先适用《中华人民共和国个人信息保护法》；没有相同或近似规定时，应优先适用对案涉个人信息有具体规定的法律，并结合立法目的、社会公共利益、行业与科技发展等因素综合考量是否有例外情况，属于个人信息保护纠纷的案件应适用过错推定责任原则。此外，区分私密与非私密个人信息、区分案涉具体人格权是否具有个人信息性质等都会对法律规范的适用产生影响，是确定救济路径选择的关键条件。

［关键词］个人信息;个人信息保护;个人信息侵权救济路径

［基金项目］2022年度国家社会科学基金项目“‘两险合并实施’背景下生育保险法律制度完善研究”（22BFX123）；2022年度中国法学会部级研究课题“中国特色社会主义法治体系体系建设中‘技术治理’与时偕行融入研究”（CLS（2022）D111）。

［作者简介］刘蓓（1983— ），女，民商法学博士，长春工业大学公共管理学院教授；闫明（2000— ），男，长春工业大学公共管理学院硕士研究生（长春 130012）。

一、《中华人民共和国民法典》与《中华人民共和国个人信息保护法》中不同的个人信息保护侵权救济路径

（一）立法中的不同救济路径

2021年《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）颁布实施，标志着我国有了第一部专门规范个人信息相关法律关系的法律。我国对于个人信息的法律保护力度进一步加强，大量法律空白得到填补，个人信息保护请求权基础得到丰富，并且《个人信息保护法》的法律条文也在诉讼中被大量援引，但《中华人民共和国民法典》（以下简称《民法典》）并未因此退出个人信息保护案件，相反，其相关条文在司法实践中仍具有活力，经常作为被侵害人主张自身权益时的请求权基础。

因此，在民事领域，《民法典》与《个人信息保护法》均为自然人提供了个人信息保护的事后救济路径，但由于两部法律的具体规定存在差异，其事后救济路径也有所不同。

1.个人信息与具体人格权存在交叉部分导致法律规范适用存在多种选择。

虽然《民法典》与《个人信息保护法》在个人信息保护的民事案件中共同发挥着作用，但针对个人信息保护却存在多种侵权救济路径。《民法典》第1034条对个人信息的定义是：“个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。”《个人信息保护法》第4条对个人信息的定义是：“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。”由此可见，《民法典》与《个人信息保护法》对个人信息的定义几无相差之处，自然人的部分隐私、肖像、姓名、声音等能用以识别自然人的信息均属于个人信息的范畴，均可以适用两部法律中关于个人信息的规定。但这并不意味着在所有情况下肖像、姓名、隐私、声音等都属于个人信息。因《民法典》人格权编同样对隐私权、肖像权、姓名权等具体人格权及自然人的声音保护做出了规制。而个人信息权益作为人格权的一部分，与隐私权并列在《民法典》第四编第六章，其与其他具体人格权是平等的并列关系，故只有在具体的法律关系中，起到识别自然人有关情况作用的信息，才属于个人信息，否则应属于具体人格权的规制范畴。综上，由于个人信息权益与具体人格权存在交集，故当某一具体人格权在具有个人信息性质时，其在《个人信息保护法》中属于个人信息，但在《民法典》中则也可以由其他具体人格权进行规制。【张璐：《请求权基础下个人信息权益保护的规范体系》，《科技与法律》2022年第2期。】

在立法层面，立法者尚未对此种情形做出具体且全面的规定，除涉及隐私权的因有《民法典》第1034条明确规制外【《民法典》第1034条：个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。】，其他的具体人格权尚无类似的规定。因此，对于自然人来说，当其个人信息权益受到侵害时，可能存在多种救济路径供其选择，既可以援引《个人信息保护法》，也可以援引《民法典》，或将二者皆作为其请求权基础。虽然如何选择救济路径应尊重自然人的意思自治，但为契合保护当事人合法权益的立法目的，也应存在选择效率更高、更为理想的救济路径的倾向。此时就出现了更进一步的问题，即两部法律的适用是否应有先后顺序及应如何选择归责原则。

2.归责原则的差异导致救济路径不同。

对于个人信息保护侵权救济的归责原则问题，两部法律的规定也有不同。《民法典》中并未明确规定个人信息及具体人格权相关侵权责任纠纷适用过错推定责任原则还是无过错责任原则，则应根据侵权责任编规定应适用过错责任原则。【《民法典》第1165条：行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。】但是《个人信息保护法》第69条则规定了个人信息保护纠纷适用过错推定责任【《个人信息保护法》第69条：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。】，因此如何选择救济路径及请求权基础，影响着应适用何种归责原则，进一步影响着司法实践中的举证责任、证据证明力的要求及最终侵害人向被侵害人进行损害赔偿的数额等问题。由于目前相关的界限较为模糊，在司法实践中当事人提出主张或法官进行裁判时，会出现同时援引《民法典》及《个人信息保护法》相关法条的情形。通常情况下，为了增强论述的说服力，此举并无不妥，但在某些案件中则会造成举证责任分配的不清晰。例如在“（2024）内0521民初1580号”【陈某某诉某某联社名誉权纠纷案，“（2024）内0521民初1580号”判决书，2024年4月26日。】案件中，法院以名誉权纠纷案由立案，裁判时同时援引了《民法典》及《个人信息保护法》的法条，在本院认为部分，法院认为涉案信息属于个人信息，并采用过错责任原则依据原告提交的证据认定被告存在过错并进行说理。既然法院认为涉案的信息属于《个人信息保护法》规制的个人信息，则应按照《个人信息保护法》所规定的过错推定责任进行认定，应由被告证明其不存在过错而非原告证明被告存在过错，但是法官却既没有阐明为何将名誉权纠纷案件中的信息解释为《个人信息保护法》中的个人信息而非名誉权的相关信息，也没有解释为何在依据《个人信息保护法》裁判的情况下仍采用过错责任原则。采用《民法典》的过错责任原则或许在个案中无足轻重，但从法理层面上加重了原告方的举证责任，减轻了被告一方的举证责任，实际上造成了举证层面的不公平。

综上，两部法律分别规定适用过错责任原则与过错推定责任原则，导致《民法典》救济路径与《个人信息保护法》救济路径产生差别，而归责原则对于举证责任的分配具有重要的影响，因此归责原则的差别也影响着实践中对于不同救济路径的选择。故，在个人信息保护的侵权救济中，应适用何种归责原则，也是需要解决的问题。

（二）个人信息侵权救济路径选择的一般原则与例外

按照《民法典》第1034条之规定，个人信息可以分为私密信息与非私密个人信息；根据《个人信息保护法》第28条【《个人信息保护法》第28条：敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。】之规定，个人信息可以分为敏感个人信息及一般个人信息。除《民法典》第1034条特殊规定的私密个人信息适用隐私权规定外，两部法律中对于其他类型的个人信息并无特殊规定。因此，非私密个人信息属于个人信息保护纠纷规制的个人信息范畴，是探究个人信息侵权救济路径的基础。

1.一般原则：均有规定的，《个人信息保护法》优先于《民法典》适用；规定不同的，优先适用对案涉个人信息有具体规定的法律。

《民法典》与《个人信息保护法》中关于个人信息的规定存在相同或相近的内容，具体见表1。

除以上内容外，《个人信息保护法》中的其他规定在《民法典》并无具体体现。有学者认为，《个人信息保护法》是保护个人信息领域的专门立法，应优先于《民法典》予以适用。因此，在判断个人信息权益侵权的案件中，应适用过错推定责任，而并非传统的过错责任。【张璐：《请求权基础下个人信息权益保护的规范体系》，《科技与法律》2022年第2期。】也有学者认为，《个人信息保护法》的规定在性质上属于独立的请求权基础，包含完整的构成要件与法律效果，无法与《民法典》侵权责任编的内容完美融洽适用。此外，在个人信息保护案件中，贸然引用其他法律条文，可能会损伤《个人信息保护法》的独立价值，并且可能将其他法律中的固有问题引至新法规范中。因此，《个人信息保护法》规范为特别法，应得到优先适用。【刘琬乔：《论共同处理个人信息的侵权损害赔偿责任》，《财经法学》2022年第5期。】还有学者认为，《民法典》人格权编存在大量关于姓名权、肖像权、隐私权及个人信息权益的宣示性条款，这些条款的裁判适用价值相对《个人信息保护法》较低。因此，自然人与信用信息处理者之间的关系，应适用个人信息保护规范。【吴香香：《请求权基础视角下〈民法典〉人格权的规范体系》，《中国高校社会科学》2021年第4期。】

综上，如案涉个人信息权益在《民法典》与《个人信息保护法》均有相同或近似规定，则按照特别法优于一般法的原则，可以优先适用《个人信息保护法》，在归责原则上偏向于选用《个人信息保护法》的过错推定责任原则。明确选用《个人信息保护法》的个人信息保护请求权救济路径，还有利于赔偿数额的确定，便于保护自然人的个人信息权益。【郭明龙、杨孝康：《论个人信息大规模微额损害的私法救济路径完善》，《天津法学》2023年第4期。】而对于案涉个人信息权益仅在《民法典》或《个人信息保护法》其中的一部法律中有所体现时，则应以有具体规定的法律为优先选择的救济路径，而另一部法律可做兜底补充。

因此，在司法实践中需明确案件是否为个人信息保护纠纷，这需要先厘清案涉信息是否为个人信息，以及案涉个人信息是否为私密个人信息、案涉具体人格权是否具有个人信息性质，以最终确定如何选择适用的法律及救济路径。

2.例外：以实现实质正义为价值导向。

在吴香香的文章中，还提出当人格权相关的合同条款存疑时，应做有利于人格权主体的解释【吴香香：《请求权基础视角下〈民法典〉人格权的规范体系》，《中国高校社会科学》2021年第4期。】，此观点与《民法典》及《个人信息保护法》保护民事主体合法权益与保护自然人个人信息权益的立法目的相契合，并在相关法条中也得以体现【《民法典》第1021条：当事人对肖像许可使用合同中关于肖像使用条款的理解有争议的，应当作出有利于肖像权人的解释。《民法典》第1023条：对姓名权及声音的保护适用肖像权的有关规定。】。在此观点的基础之上可以进一步延伸为，当个人信息保护纠纷存在一种以上的事后救济路径时，应选择有利于保护自然人合法权益的救济路径。通常情况下，自然人与个人信息处理者相比在个人信息保护案件中处于弱势地位，因此对自然人适当施加一些特殊保护符合立法者本意。但是个人信息产业作为近年来的新兴产业，也要考虑到过于严苛的司法对产业发展与技术进步的负面影响。故此，为了在保护自然人个人信息权益的同时保证行业与技术的健康发展，就需要在宏观上平衡双方的利益，在个案中追求实质正义。这意味着不能机械死板地优先适用《个人信息保护法》，而应允许例外存在。即综合有利于保护自然人的个人信息权益、促进行业与科技健康发展、保障社会公共利益等因素进行考量，最终实现个案中的实质正义。例如，当个人信息处理者与自然人之间具有合同关系时，如依据合同所约定的义务及违约条款即合同请求权，较之《个人信息保护法》的规定能够更为完善地保护自然人的个人信息权益，则在救济路径选择上应以《民法典》相关规定及合同约定为请求权基础，追究其违约责任。【丁宇翔：《民法典保护个人信息的三种请求权进路》，《人民法院报》2020年9月25日。】再如，自然人的声纹信息在一般情况下因属于“生物识别信息”而属于个人信息，但如果侵权人将职业配音演员的作品进行非法公开，此时案涉信息虽具有个人信息属性，但由于该作品属于文艺作品，通过著作权保护请求权对被侵权人进行救济显然更为便利与高效。

综上，在个人信息保护案件中，除法律有特别规定的隐私权外，一般应优先适用《个人信息保护法》或针对案涉个人信息有具体规定的法律，但也应以实现个案中的实质正义为价值导向，综合保护自然人个人信息权益，结合个人信息立法目的、社会公共利益等因素进行考量，以确定请求权基础及选择救济路径。

二、实践中的区分方法与需要注意的问题

（一）个人信息是否私密、具体人格权是否具有个人信息性质之区分

上文确定了个人信息侵权救济路径选择的一般原则与例外情况，下一步便进入到实践中如何判断案涉个人信息是否为私密个人信息，或案涉具体人格权是否具有个人信息的性质，以此确定该案是否为个人信息保护纠纷，是否应遵循该一般原则与例外。

1.私密个人信息与非私密个人信息的区分。

在隐私权的立法模式上，我国采取“二元论”【如果信息包含在隐私之中，则为“一元论”，如信息不包含在隐私之中，则为二元论，美国、日本、中国台湾等地采用“一元论”，中国大陆采用“二元论”。】，即信息并不被包含在隐私之中【李永军：《论〈民法总则〉中个人隐私与信息的“二元制”保护及请求权基础》，《浙江工商大学学报》2017年第3期。】；且由于《民法典》对隐私权纠纷适用法律规范问题做出了特殊规定，因此隐私权纠纷与个人信息保护纠纷应做以区分，这一点也体现在《民事案由规定》中，在第一部分人格权纠纷中的“8.隐私权、个人信息保护纠纷”中，二者在该项下被分列为“（1）隐私权纠纷”与“（2）个人信息保护纠纷”。【《最高人民法院关于印发修改后的〈民事案件案由规定〉的通知》（法〔2020〕347号），2020年12月29日发布。】这意味着需要对个人信息与隐私进行区分，因个人隐私与个人信息存在重合的部分，即隐私个人信息（或私密个人信息），故主要可以分为不包含个人信息的隐私、隐私个人信息、非隐私个人信息，需要做以区分的为隐私个人信息与非隐私个人信息。因此，区分的关键在于判断个人信息是否含有隐私性质，如含有则应选择《民法典》的xNxIhbL9ND1HRjX19c+Fj+zLOAf6rvXIVGSdWrObSYY=隐私权救济途径，不含有则应优先适用《个人信息保护法》。

根据《民法典》第1032条之规定，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。由此可见，隐私权侧重于对自然人生活安宁不受他人侵扰的保护，法律赋予自然人绝对权以划清自然人自身生活与他人的界限【蔡一博、郭福卿：《隐私与个人信息区分下的衔接保护》，《学术研究》2022年第12期。】，因此区分隐私个人信息与非隐私个人信息的界限应为该个人信息是否会直接侵扰自然人的生活安宁，是否在主客观两个层面都具备“不愿为他人所知晓”的隐私期待。【蔡一博、郭福卿：《隐私与个人信息区分下的衔接保护》，《学术研究》2022年第12期。】例如某明星的婚姻信息，由于其涉及自然人的生活安宁，应属隐私个人信息，但如果该明星对婚姻情况主动予以公开，为公众所知，则此时该信息的泄露无法直接侵扰自然人的生活安宁，就失去了隐私期待，不再属于隐私个人信息，而属于一般的个人信息。再如，公安机关对某自然人的违法行为进行处罚，并将包含该自然人所做的违法行为及相关个人信息进行公示，此举虽在主观上不符合自然人不愿此事为他人所知晓的期待，但在客观上则属于公安机关为公共利益依法执行公务的行为，不具有隐私期待，因此该信息不属于隐私个人信息。

2.个案中具体人格权是否具有个人信息性质之区分。

如前文所述，个人信息与隐私并不完全一致。与之相同，《民法典》所规定的肖像权、姓名权以及自然人的声音等具体人格权也并不一定在任何情况下都与个人信息有所重合，因此除区分私密与非私密个人信息外，还应对案涉的具体人格权是否在案涉具体情况下具有个人信息性质予以区分，以便于选择更为高效、契合的请求权规范基础及救济路径。

首先是依据个人信息的特征，将可识别性作为区分的标准。根据《个人信息保护法》第4条及《民法典》第1034条，个人信息的重要特征就是可以用于识别到特定的、唯一的自然人【《个人信息保护法》第4条：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。】。这说明法律对个人信息的核心要求就是可识别性。【沃耘、乔鹏飞：《〈民法典〉背景下个人信息保护的司法考察与制度完善》，《征信》2024年第5期。】可识别性不仅是个人信息的特征，也是侵权人侵害个人信息的目的，侵权人通过非法收集、处理个人信息，达到了解自然人的人身、财产情况的目的，以便于实施更进一步的侵害行为。故案涉信息是否具有可识别性，以及客观上侵权人侵害案涉信息的行为是否造成了自然人的人身、财产情况被泄露，是案涉信息是否属于个人信息的关键之处。因此，需要首先判断案涉人格权是否在案涉条件下具有可识别性，是否被用于了解被侵权的自然人的相关情况。

以冒名顶替上大学为例，侵权人侵犯被侵权人的姓名，冒用其身份信息进入大学就读，从主观层面上来看，侵权人的目的是侵犯被侵权人的受教育权和姓名权，用以为自己在高等教育中谋取非法利益，并非运用被侵权人的姓名实施侵害其人身财产安全的行为或非法处理其个人信息用以谋求经济利益；从客观层面上来看，侵权人的侵害行为也没有造成被侵权人的个人信息被他人非法处理的结果【因为侵权人以及学校获取被侵权人的个人信息的行为是合法所得，并非非法获取。】，故案涉个人信息在此情况下不具有可识别性。因此，虽然被侵权人的姓名受到了不法侵害，但应通过《民法典》姓名权之规定进行救济，而非《个人信息保护法》。

其次，具有可识别性的个人信息，也应考虑其是否具有其他权利属性或可通过其他更为完善的路径寻求救济，并结合相关要素进行考量，以最终实现个案中的实质正义为目的，选择救济路径。

（二）实践中需要注意的特殊问题

1.个人信息保护纠纷的归责原则问题。

个人信息保护纠纷中，可能会单独援引《民法典》或《个人信息保护法》的法条，也可能将二者均作为主张侵权损害赔偿的请求权基础，但由于两部法律对于归责原则的规定有所不同，因此需对其予以明确。由于《个人信息保护法》是专门规制个人信息处理者与自然人之间法律关系的特别法，因此对于经过前文所述方法界定后属于个人信息保护纠纷的案件，即便《个人信息保护法》中无具体、明确的规定，仍需《民法典》的相关规定予以补充；或完全没有援引《个人信息保护法》而只援引了《民法典》的法条，也不影响案件本身为个人信息保护纠纷的性质，即应适用过错推定责任原则【程啸：《论个人信息权益的行使与救济机制》，《中国应用法学》2022年第6期。】。

2.虚假个人信息的救济路径选择。

前文所述的个人信息保护纠纷侵权救济路径，一般针对真实的个人信息，对于虚假、错误的个人信息，则应分情况讨论。个人信息的特征是可识别性，但是由于虚假的个人信息与自然人的真实情况存在差异，因此其仅具有较弱的可识别性甚至不具有可识别性。对于虚假的个人信息造成自然人社会评价降低或荣誉受损等损害后果，可以适用《民法典》在第四编第五章中的名誉权与荣誉权相关规定，其内容较为具体翔实，而《个人信息保护法》在此并无特殊规定。因此，对于虚假个人信息的救济路径选择，应首先确定该虚假个人信息是否属于名誉权、荣誉权的规制范畴，即该虚假个人信息是否会在客观上使自然人的社会评价降低，或使自然人所获的荣誉称号在客观上受到贬损。如该虚假信息能导致名誉权、荣誉权受损的严重后果，则应优先适用《民法典》的名誉权、荣誉权之相关规定；如该虚假信息尚不能导致自然人名誉权、荣誉权受损的后果，而是产生其他损害后果，则可适用《个人信息保护法》的规定，寻求救济、请求赔偿。

以李海峰等诉叶集公安分局、安徽电视台等侵犯名誉权、肖像权纠纷案【《最高人民法院公报》2007年第2期。】为例，假设该案涉案人员均为成年人【该案涉案人员中有多名未成年人，根据《个人信息保护法》第28条，不满14周岁的未成年人的个人信息属于敏感个人信息，因此假设该案案涉全部为成年人，便于论证说理。】，涉案自然人配合警方办案，但因电视台对自然人的肖像进行处理时存在错误，自然人的肖像与电视台记者对于强奸犯的介绍同时出现在电视报道中，导致几名配合办案的热心群众被误认为是强奸犯。在该案中，公安机关邀请群众配合办案，其行为合法，但是电视台错误地匹配了热心群众的肖像和强奸犯的个人信息，其行为导致自然人的社会评价降低、名誉受损，故此种情况下应依据《民法典》名誉权的相关规定寻求救济，而不应优先适用《个人信息保护法》。

三、结语

《民法典》与《个人信息保护法》虽然存有相同或相似的规定，但总体上来看其差异仍然较大，因此不同的法律规范对民事领域的救济路径的选择仍存在较大影响【谢迪扬：《侵权抑或不当得利：个人信息泄露的民事救济路径之辨》，《北京工商大学学报（社会科学版）》2024年第2期。】，如未来能在立法中将该问题予以明确，或更进一步通过司法解释的形式对具体的判断流程及方法进行规定，则可以使问题得以解决。从微观层面来看，这有利于自然人维护自己的合法权益，提高维权的效率；从宏观层面来看，这是对于立法中的模糊问题的解决，有助于明晰个人信息保护相关问题的法理逻辑。