从民事立法的角度谈个人信息权的保护

2022-09-11

一、个人信息权的界定及其法律属性

(一) 在社科院2009年发布的《法治蓝皮书》中, 研究人员明确指出, 随着信息技术的不断发展, 个人信息的滥用现象正加速恶化;社科院组织专人在北京、西安、青岛、成都四个城市进行个人信息保护方面的调研, 发现我国公民的个人信息存在着被过度收集、擅自提供甚至非法买卖的情况, 且日趋普遍化, 在调研过程中, 有42.5%的受访群众表示, 自己的个人信息曾遭遇相关机构或者人员的不恰当处理, 然而有不少的受访者并不认为自己享有拒绝提供个人信息的权利。

个人信息权, 概括而言, 即是指权利人对于其个人信息依法享有的占有、处理、收益以及排除他人侵犯之权利;而所谓之个人信息, 则涵盖了个体的身体物理特征、身份信息、心理活动、工作状况、财务经济情况、家庭及社会关系等各方面的具有其特定标志的数据资料, 对于个人信息权的保护, 实际上是对于公民人格尊严的尊重。

(二) 一些学者认为, 在实践中, 对于个人信息权的保护是多方面的, 涉及到宪法、行政法、民法甚至刑法等多个领域, 例如《刑法》253条就规定:国家机关或者其他单位的工作人员不得将其在履行职务期间获取的公民个人信息, 非法出售或提供给他人, 或者非法窃取公民个人信息, 情节严重者将处三年以下有期徒刑或者拘役, 同时处以罚金;又如工信部2013年颁布的《信息安全技术公共及商用服务信息系统个人信息保护指南》, 试图从行政角度保护公民的个人信息。

但笔者认为, 上述这些保护个人信息的方式, 并不能改变个人信息权的民事权利属性, 因为从上述对于个人信息权的描述不难看出, 其主体为特定的民事主体, 内容属于私人利益, 个人信息权从本质上讲是一种民法意义上的绝对权, 应属民事权利的一种。

而在民法领域, 对于个人信息权的归属仍有争议, 一部分学者认为其属于财产权, 还有一些学者认为其属于人格权。笔者认为将个人信息权划入财产权, 难以自圆其说。其一、个人信息权虽然从某些层面上看具有一定的财产权特征, 例如可以流转交换, 产生经济利益, 但从其内涵而言, 具有明显的人格特征, 体现的是信息主体的个人标签, 其二、若将个人信息权视为财产权, 势必会具有财产的价值高低, 个人信息便会因为信息主体自身的差异而产生价值上的差异, 可能会出现经济情况越好、社会地位越高的人, 其个人信息价值也越大, 这有违民法上的平等原则, 其三, 很多情形之下, 一些机构对于公民个人信息的收集并非基于财产性的考虑, 例如公安机关收集嫌疑人信息, 户籍管理机关收集公民个人资料 (1) , 因而个人信息权不属于财产权之范畴。

笔者认为, 个人信息权应属人格权之范畴, 因其所保护的核心权益是人格利益, 而且其具体内容都直接或间接的指向信息主体的个人身份, 当属人格权之列。需要明确的是, 对于个人信息权的保护, 不应该适用一般人格权:其一是因为一般人格权是一项概括性、框架性的权利, 是对具体人格权的一种补充, 法官若以此来判定是否侵犯当事人的个人信息权, 势必会面临很大的不确定性与判决困难;其二, 一般人格权包含有人格独立、人格自由、人格尊严等, 这些是专属性的, 无法与权利主体相分离的, 而个人信息权是可以流转交易的, 一般人格权很显然无法给予个人信息以足够的保护;其三, 随着社会经济的日益发展以及公民权利意识的不断提高, 个人信息权的内容与范围势必不断扩展, 在这样的背景之下, 一般人格权已经不能满足对于个人信息的保护要求, 将其作为一项具体人格权进行专门的保护是必然之选。同时, 上述提到个人信息权具有一定的财产权之特征, 将其划为具体人格权, 有利于对其财产性跟人格性做两方面的确认与保护。

综上, 个人信息权当属人格权之范畴, 应将其视为一项新型的具体人格权。

二、个人信息权与隐私权之区分

(一) 在我国有一些学者认为, 我们应当借鉴美国立法之经验, 将个人信息权纳入隐私权之中, 笔者认为不可取。众所周知, 美国立法中所言之“隐私权”实则为广义上的隐私权, 类似于我国的一般人格权, 故其将个人信息纳入其中进行保护并无不妥, 而在我国的语境和立法思路之下, 隐私权只是狭义上的隐私权, 与个人信息权同属具体人格权, 二者有一定的联系与交叉, 但应视为两种独立的权利。

(二) 需要肯定的是, 个人信息权与隐私权具有一定的共同性和联系性。

其一, 个人信息权与隐私权的主体都是而且只能是自然人, 二者都是公民的私权利, 其权利主体相同, 不包括法人在内。

其二, 个人信息权与隐私权的调整对象有一定的交叉, 某些具有私密性质的个人信息亦可视之为隐私, 相应的具有身份识别度的某些隐私也可以称之为个人信息。

其三、对于个人信息权的侵犯形式, 一般还是违背信息主体的意愿而向特定人或者公众披露其个人信息, 这与隐私权被侵犯的形式是一致的, 相应的二者的救济方式在司法实践中也往往是一样的, 因而现阶段往往会采用保护隐私这一方式来保护公民的个人信息权。

其四、个人信息权与隐私权均体现了权利人对于自己个人生活的自主权, 二者都是对于自然人的人格尊严与个性之尊重。

其五, 个人信息权与隐私权的保护范围均在一定程度上受到公共利益的限制, 当二者与公共利益向冲突时, 都应服从与公共利益, 依照公共利益的需求而做适当的调整, 例如自然人的健康情况属于其个人信息, 也有权不对其他人进行披露, 但如果其患有的是高感染性、高致死率的传染疾病, 必然涉及公共利益, 此时

就不得以个人信息权或者隐私权为由而隐瞒了。

(三) 正是基于上述的相同之处, 一些学者认为个人信息权可由隐私权所涵盖, 还有一些学者主张隐私权属于个人信息权中的一部分, 笔者认为二者并不完全属于同一范畴, 是相互独立的两个具体人格权, 不应做混同处理。

第一, 二者的内涵与侧重点不同, 隐私权是自然人对其个人享有的、与公共利益无关的私人活动、个人信息和个人领域进行支配的权利, 虽然有一些个人隐私也具有个体的识别性 (通常情况下也不直接指向该权利人) , 但是核心内涵在于私密性, 这是其首要特征;而个人信息权既有一些与公共利益无关、权利人不愿意让其他主体获悉的内容, 也包含了许多一定程度上需要向社会公众或者特别人群披露的信息 (2) , 因而其核心特征在于识别性与自主性, 而非秘密性。

第二、二者的外延与调整范围虽有一定的重合, 但并不完全相同, 不能简单的进行相互的涵盖。一些学者认为个人信息应为隐私权之内容 (3) , 而笔者认为, 个人信息中很大一部分其表现形式并不具有私密性, 例如在网上发布求职、求租公告时附带的个人姓名、联系方式等, 因而不能完全划归入隐私之范畴;同时也有一些学者认为隐私即为自然人享有的与公共利益无关的、不愿向社会或特定人群披露之个人信息, 应属个人信息之子集, 笔者认为此种观点也值得商榷, 个人信息权之客体, 其表现形式通常为信息数据形态, 需要依托固化的信息而存在, 而隐私权则不限于此, 它通常还包括了权利人的私人空间、个人活动等, 例如自己的住所不受他人侵犯、个人未被数据记录的日常活动轨迹等, 这些是个人信息所不能涵盖的。

同时应当注意的是, 隐私权的客体是个人的、与公共利益无关之信息和私事, 诚然也受公共利益的限制 (例如公职人员) , 但通常并不涉及国家或者集体的安全, 而个人信息虽然是权利人自我信息, 但成千上万人的个人信息组成的数据, 则有可能会触及国家、集体的利益与安全, 此时, 有关、、相应的国家机关则可以出于公共安全之考虑, 收集、整理甚至存储必要的个人信息 (4) 。

第三, 二者价值实现方式不同。我国民法界通说观点按照权利客体的不同, 将人格权分为物质性人格权跟精神性人格权, 公民的隐私权即属于精神性人格权的类别, 也就是说隐私权的客体是精神性人格利益, 主要体现的是非财产性利益 (5) , 因而隐私权的价值之实现, 有赖于其他主体对其的尊重, 而非主动侵犯, 这同时也表明隐私权是消极权利, 权利人无法通过主动行使它来实现其价值, 只有自身的隐私权受侵害时, 才能主张这一权利来获得救济;而个人信息权则不同, 上文已阐述过有一些学者人文个人信息权应属于财产性权利, 笔者虽不完全赞同这一观点, 但可以肯定的是, 个人信息权具有较为明显的财产性特征, 也就是说它属于物质性人格权与精神性人格权的合体, 甚至可以说是兼具了人格权与财产权的特质, 因而对于这一权利的价值实现, 既需要其他主体消极的尊重其个人信息, 又要求权利人进行主动的利用, 在个人信息被他人无权收集时, 可以主动要求对方删除信息, 同时权利人也可以对个人信息进行有效的处分, 例如自己或授权他人使用其姓名、肖像、个人经历等信息进行商业活动, 获取经济效益。

第四、二者的保护方式不同。隐私权属于消极性权利, 因而对其的保护更侧重于对侵害行为加以判定, 以及事后的救济;而与隐私权不同的是, 个人信息权不仅仅包含个人的信息, 还会涉及到社会公共利益, 因而对其的保护应从预防着手, 着重考虑在个人信息在收集、使用、披露的过程中的各方面因素, 协调信息所有人与信息获取人之间的关系以及个人信息权主体利益与社会利益之间的平衡。

另一方面, 隐私权属于精神性人格权, 其权利客体主要体现非物质财产性的利益, 因而当隐私权受到侵时, 对于其的救济主要是精神性的方式, 例如赔礼道歉、停止侵害、消除影响、恢复名誉等, 而个人信息权因其具有财产性特征, 一旦遭受侵害, 则很有可能造成财产性的损失, 因此对其进行物质损害赔偿就很有必要了。当然需要指出的是, 隐私权等精神性人格权受到侵害之后, 也可以采取损害赔偿的救济形式, 对权利人遭受的创伤与精神损失予以补偿, 只是这一措施通常不被视为普遍性的救济方式。

三、我国个人信息权保障现状以及德国、美国的立法模式

(一) 在上文提到的社科院2009年发布的《法治蓝皮书》中, 研究小组指出在调研过程中, 知悉或者认为自己的个人信息遭到滥用的受访者, 仅有4%左右通过投诉或诉讼的形式尝试过维权, 这一方面说明公众的维权意识还有待提高, 而更重要的是受害者不知道该向哪些机构进行投诉, 投诉的对象应该是谁, 以及如何提供证据, 这其实恰恰说明了立法、司法、执法上对于个人信息权保护的缺失。

而事实也正是如此:目前我国虽已有部分法律法规涉及个人信息权保护, 但总体看来, 多数分散在不同的法律之中, 用以辅助或补充其他法条, 缺乏统一的体系, 而且多是事后救济性质的, 没有形成有效的预防性措施。

首先, 宪法层面的规定:《宪法》第三十三条第三款规定, 国家尊重和保障人权, 第三十八条规定公民的人格尊严不受任何人的侵犯, 第四十条规定非基于必要之情形, 任何机构或个人不得侵犯他人的通信自由与秘密。

其次, 在刑法体系中, 即是上文提到的《刑法》253条之规定:国家机关或者其他单位的工作人员不得将其在履行职务期间获取的公民个人信息, 非法出售或提供给他人, 或者非法窃取公民个人信息, 情节严重者将处三年以下有期徒刑或者拘役, 同时处以罚金。

再次, 从行政法律法规层面来看, 中国人民银行2005年颁布的《个人信用信息基础数据库管理暂行办法》以及上文提及的工信部2013年颁布的《信息安全技术公共及商用服务信息系统个人信息保护指南》, 都是特殊领域的对于公民个人信息权进行保护的立法措施, 同时, 《互联网信息服务管理办法》、《中华人民共和国电信条例》等对于个人信息权的保护也有所涉及。

最后关于民事立法而言, 个人信息权保护的规定也极其有限, 个人信息权在整个民法体系中并没有一个明确的法律地位, 权利的归属问题不清晰, 只能从人格自由、人格尊严、姓名权、隐私权等相关规定中进行引申, 例如《民法通则》规定未经公民本人允许, 不得以获利为目的擅自使用其肖像等。因而一旦公民的个人信息权受到侵害, 就很难得到应有的救济。

很显然, 我国的立法体系, 尤其是民事立法体系中, 并未明确个人信息权的法律地位, 对于个人信息权的内容、权利归属、法律保护与侵权赔偿措施等重要方面均未作出系统、条理、可操作性的规定。

(二) 对于如何从立法的角度保护个人信息权, 国际上有两种较为典型的思路。

美国:上文中谈到过, 美国法学界对于个人信息权保护的研究, 是基于隐私权之理论的, 这是由于美国语境所言之隐私权, 是广义上的隐私权。美国最初的隐私权概念, 是路易斯·D·布兰代斯和萨缪尔·D·沃伦于1890年在其合作的《论隐私权》一文中提出, 而1905的“帕维斯奇诉新英格兰人寿保险公司案”则是美国首次以判例的形式确立了隐私权在美国法律体系中的地位, 之后, 隐私权被写入美国宪法。1974年, 美国颁布了《隐私法》, 将个人信息纳入隐私之中进行保护, 这部法律对于个人信息权的保护, 更多的侧重于政府收集、存储公民信息时与信息所有人之间的利益平衡与纠纷处理, 而对于平等主体之间因个人信息产生的争执, 则交由各个行业制定具体的法规来自行解决, 因此不难看出, 美国对于个人信息权的保护, 其实是采取了分散立法之形式。

德国:与美国的价值取向不同, 德国对于个人信息权之保障是基于一般人格权的制度基础而进行的。1953年的“读者来信案”中, 联邦德国高等法院援引《联邦德国基本法》第一、二条之规定支持了原告的诉求, 标志着德国在司法实践中首次确认了一般人格权, 随后通过一系列著名的案件判例, 德国逐步建立起了完善的一般人格权制度。1977年德国正式颁布《数据保护法》, 这部法律中首次承认了个人信息权, 在一般人格权的基础之上, 分别制定了国家机构与公民之间、以及平等主体之间在利用个人信息时的行为准则和规范。不难看出, 德国法律对于个人信息权的保护, 主要是基于一般人格权理论, 采用统一立法之形式。

(三) 如果生硬的将以上两种国际上较为典型的立法形式移植到我国的法律体系中, 笔者认为都有待商榷。

正如上文所述, 美国立法所谓的隐私权, 是广义上的隐私权, 类同于我国的一般人格权, 而在我国立法语境之中, 隐私权只是狭义上的隐私权, 与个人信息权属于两个独立的具体人格权, 二者的内涵、外延、价值实现方式以及保护形式均有很大的差异, 不宜直接套用隐私权的规则来保护个人信息权。

德国以一般人格权作为基础来保护个人信息权, 对于现阶段的我国而言同样不适用, 因为德国这一做法是有长期研究、发展成熟的法学理论与法律制度作为依托的, 并且通过大量的经典案例对司法实践做指导, 而我国的一般人格权还仅仅是框架性的规则, 概念十分抽象, 可操作性并不强, 想要将其作为个人信息权的基础显得过于空泛, 而且用一般人格权来规范、保护具体人格权, 势必会给予法官很大的自由裁量权, 对于我国目前的法学研究水平以及司法实践环境而言, 难以实现其预期效果。

四、从民事立法的角度对我国个人信息权保护的建议

上文中笔者已阐述了美国、德国对于个人信息权的立法保护之模式并不适用于我国, 在我国现阶段的法学体系中已经对一般人格权与具体人格权做了较为明确的界定, 且个人信息权与其他的具体人格权有着明显的独立性, 并不存在互相涵盖的情形, 因而笔者认为个人信息权的立法保护应该以具体人格权理论作为基础, 建立系统性、可操作性的法律规范。

(一) 在民法体系中明确个人信息权的法律地位

个人信息权的内容有着较为明确的指向性, 实践中需要法律法规给予易操作性较强的指引与约束, 因而我国现阶段的一般人格权之规范难以对其进行全面、有效的保护, 同时个人信息权作为一项具体人格权有着独特的内涵与外延, 与其他的具体人格权之间有较为明显的区别, 因此想要明确个人信息权的法律地位、对其进行可靠的保护, 就不能将其纳入隐私权或者其他具体人格权之下, 而应该在立法体系中构建独立、完整的法律法规。对于个人信息权的应该以何种形式存在于我国的民事立法体系之中, 法学界有着不同的观点, 很多学者———例如王利明教授———认为应当制定人格权法以及个人信息保护法对其进行单独的法律规范, 笔者认为这种观点是可行的, 能够对于个人信息权进行集中且针对性很强的保护, 但是笔者认为当前的情形之下, 还是应该将个人信息权归于民法之中, 纳入正在讨论的《中华人民共和国民法典》的人格权编里, 这一方面是因为个人信息权应属人格权之范畴, 是民法的下位法, 归入民法典之内对于确立其权利归属与法律地位更为有利, 另一方面从已经出台的《民法典草案》来看, 立法者对于个人信息权保护已经有了很大的重视, 其中也有很多具体的条文对其进行保护, 这无疑较之编纂颁布独立的个人信息保护法能更快的构建个人信息权保护的法律体系, 同时也是之后出台个人信息保护法的有利基础。

而将个人信息权纳入民法典之中, 需要注意的一点是, 对于个人信息权的立法保障, 到底是应该以政府公权力监管为主, 还是以私权利保护为主?王利明教授支持后一种观点, 笔者对此表示赞成, 因为从上述可以看出, 个人信息权虽然也涉及公共利益, 但其带有浓厚的私权利色彩, 如果对个人信息缺乏足够的尊重与保护, 又何谈人格尊严与自由, 而且也势必会影响到公共利益, 同时, 将个人信息权定义为私权利去保护, 也能引导公民自觉主动的去维护自己的个人信息, 在个人信息权受到侵害是积极的去寻求法律救济。当然值得一提的是, 个人信息对于公共利益甚至国家安全有着一定的影响, 因而政府的监督管理也是不可或缺的。

(二) 在侵权责任法上明确对个人信息权的救济内容

英美法国家流传一句法律谚语, “无救济则无权利” (Remedy Precedes Rights) , 这说明对于个人信息权的保护也离不开侵权法上的救济性条款。目前我国的民法体系中尚未确立个人信息权, 因而现行的《侵权责任法》及其司法解释也仅仅是通过对其他具体人格权———如隐私权、姓名权等———的保护来引申对于个人信息的保护, 例如其中第六十二条规定, 医疗机构及其人员未经患者本人同意而公开其病历资料或者泄露其个人隐私而对其造成损害的, 应当承担相应的侵权责任, 但这些规定仅仅涉及个别领域, 未能对公民个人信息权进行全面的保护, 而且也没有涉及到具体的损害赔偿问题 (6) 。因此, 应当在侵权责任法中增加相应条款, 明确公民的个人信息权不受他人侵犯, 并对具体的损害赔偿问题做出相应的明示。

笔者认为, 《侵权责任法》第十五条所规定的承担侵权责任的方式之中, 对于个人信息权的侵权损害赔偿而言, 停止侵害、消除危险、排除妨害、消除影响、恢复名誉以及赔偿损失皆可适用;关于具体的损害赔偿标准, 由于个人信息权既属于人格权之范畴, 又具有财产权之特征, 权利属性上与知识产权相类似, 因而有学者认为可以类比立法上对于知识产权侵权案件的赔偿标准 (7) , 参考《最高人民法院关于审理涉及计算机网络著作权纠纷案件具体应用法律若干问题的解释》第七、第十条之规定, 笔者对此观点持赞成态度。

摘要：随着社会经济的不断发展以及信息化程度的日益加深, 公民个人信息越来越成为社会发展的重要资源之一。我国现阶段司法实践中对于个人信息的保护还仅仅只能依靠隐私权之规范来进行部分的救济, 而美国、德国的立法经验对于我国也同样难以适用, 如何从民事立法的角度构建个人信息权法律体系显得极为重要。

关键词：个人信息权,隐私权,一般人格权,民事立法