個人信息：法益抑或民事權利
——對《民法總則》第111條規定的“個人信息”之解讀

楊立新

(中國人民大學 民商事法律科學研究中心，北京 100872)

《中華人民共和國民法總則》(以下簡稱《民法總則》)第111條規定：“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得，并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。”對于這一條文規定的“個人信息”，究竟是個人信息法益，抑或個人信息權，學者有不同的解讀。筆者堅持認為，這一條文規定的是個人信息權，而不是個人信息利益，*參見《中華人民共和國民法總則要義與典型案例解讀》，中國法制出版社2017年版，第413頁。本文對此作出進一步的理論說明。

一、《民法總則》第111條規定個人信息保護的背景、形成及解讀

(一)《民法總則》第111條規定個人信息的社會背景

1.世界性的個人信息保護運動的社會背景。世界進入當代社會，最為顯著的特點就是信息化，表現為自動化機器大量處理信息，在不受時空限制的網絡空間中，各種信息被無限地生產、收集、使用、轉移等，既給人類生活帶來了巨大便利，同時也給信息主體造成了不必要的損害。因此，伴隨著信息化社會的不斷發展，對于個人信息的保護就顯得越來越重要，在世界范圍內形成了空前的個人信息保護運動。

以筆者所見，當代社會對個人信息的保護分為前后兩個階段：前一個階段，是信息化社會在互聯網普遍使用之前，信息的傳輸手段尚未被互聯網等網絡所統治，但是對于信息之于當代社會和個人的重要性，已經被充分認識，因而出現了個人信息保護運動。后一個階段，則是在互聯網等網絡普遍使用之后，信息傳播的速度加快，個人信息的重要性越來越被人們所認識，利用個人信息可以產生巨大的價值，因而保護個人信息的重要性為世界普遍認識，因而更加自覺地保護個人信息。至今，對于個人信息的保護已經成為勢不可擋的世界潮流。

前一個階段的個人信息保護，主要的代表法律是1970年德國黑森州制定的《黑森州數據保護法》，繼而在1973年出現了《瑞典數據法》，是世界上第一部全國性的個人數據保護法。美國在1974年制定了“隱私法案”，強調聯邦政府對個人信息收集和利用的公平性和正當性。1977年，德國制定了全國性的《聯邦數據保護法》。這些個人數據保護法就是當時的個人信息保護法，是個人信息保護法的立法先驅。

后一個階段的個人信息保護法的立法，首先是1984年英國通過了《英國數據保護法》。繼而在1995年，歐盟通過了《個人數據保護指令》，對全歐的個人數據保護作出了完整的規定。韓國于1994年制定了《公共機關保護個人信息的法律》，1995年制定了《信用信息的使用與保護法》，1999年制定了《有關普及、擴張和促進使用電子產品的法律》，并在2011年制定了一般性的《個人信息保護法》。這些國家制定的這些個人數據保護法，標志著世界性的個人信息保護法的完善。

2.我國對個人信息保護立法的社會背景。我國對個人信息保護的規范，并未隨著1980年代的世界個人信息保護運動的發展高潮而啟動，在1986年制定的《民法通則》規定了較多的人格權，但未規定個人信息權，也沒有規定隱私權。從立法層面上看，隨著1990年代后期我國互聯網興盛開始，出現了個人信息保護的法律，最早規定的是2000年12月28日《全國人大常委會關于維護互聯網安全的決定》，將信息安全視為互聯網安全的重要內容，采用刑事制裁手段來維護信息主體的個人信息權利，規定了非法收集、篡改、刪除他人電子郵件或者其他數據資料，侵犯公民通信自由和通信秘密，可構成犯罪，追究行為人的刑事責任。

2012年12月28日，全國人大常委會通過《關于加強網絡信息保護的決定》，明確規定，國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息，規定收集個人信息的要求，以及侵害個人信息的侵權責任。2014年10月25日，修訂后的《消費者權益保護法》，對消費者個人信息保護給予特別重視，作出3條規定，強調對消費者個人信息的保護，規定經營者對個人信息的保護義務，以及侵害消費者個人信息的侵權責任。2017年6月1日，立法機關制定了《網絡安全法》，第76條第5款規定：“自然人的個人信息是指以電子或者其他方式記錄的，能夠單獨或者與其他信息結合，識別的自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證號碼、個人生物識別信息、住址、電話號碼等?！钡?4條規定：“違反本法規定，給他人造成損害的，依法承擔民事責任?！?/p>

此外，在行政法規和行政規章層面，還有《征信管理條例》《工信部電信和互聯網用戶個人信息保護規定》《國家質量監督檢驗檢疫總局和國家標準化管理委員會信息安全技術公共及商用服務信息系統個人信息保護指南》等，都對保護個人信息作出了相應的規定。

(二)《民法總則》第111條規定個人信息的條文形成

互聯網的快速發展，帶來了信息的數據化，從而使人類生活的中心，從現實空間轉變為網上的虛擬空間。信息數據化在有助于人們收集、應用、傳輸信息的同時，也帶來了信息泄露的巨大可能性。在構成現代社會的大量信息資源中占據重要地位的個人信息，就不僅僅是個人領域的私事，而成為引起極大關注的重大社會問題。對個人信息利用的增加，不僅存在于公共領域，而且在以營利為目的的企業等民間領域，也存在著越來越多的收集、利用和保存，更進一步加劇了個人信息被誤用、濫用以及泄露等問題。中國同樣面臨著這樣的問題。正是在這樣的情況下，編纂我國民法典必須對個人信息的保護，以民法基本法的形式作出原則性的規定。

在《民法總則》的制定過程中，對于個人信息保護的規定，經歷了一個從無到有，逐步完善的過程。在最早的2015年8月28日《民法總則(草案)·民法室室內稿》中，沒有規定對個人信息的保護。隨后在 2015年“征求意見稿”、2016年5月27日“征求意見稿修改稿”，以及 2016年6月27日《民法總則(草案)》“第一次審議稿”，對個人信息保護都沒有作出規定。*參見杜濤主編：《民法總則的誕生——民法總則重要草稿及立法過程背景介紹》，北京大學出版社2017年版，第133頁。

在此期間，社會上發生了兩件事，引起了立法機關的高度重視。一是徐玉玉電信詐騙案。2016年，山東臨沂的貧困學生徐玉玉，以568分的成績被南京郵電大學英語專業錄取。8月21日，徐剛剛接到大學錄取通知書，就接到了詐騙電話，被告人陳文輝等人通過非法手段獲得徐的個人信息，借此以發放助學金的名義，騙走了其籌措的全部學費9900元。在此打擊下，徐在報警回家的路上，傷心欲絕，郁結于心，最終導致心臟驟停，雖經醫院全力搶救，仍不幸離世。*百度百科：徐玉玉，https://baike.baidu.com/item/徐玉玉/19919942，2017年10月9日訪問。經查，犯罪嫌疑人杜某利用技術手段攻擊了山東省2016高考網上報名信息系統，并在網站植入木馬病毒，獲取了網站后臺登錄權限，盜取了包括徐在內的大量考生報名信息。陳文輝從杜某手中以每條0.5元的價格購買了1800條上述高中畢業學生資料，對徐實施了電信詐騙，造成了嚴重后果。*參見陳甦主編：《民法總則評注(上冊)》，法律出版社2017年版，第460頁。二是清華大學某教授電信詐騙案。2016年8月29日晚23時許，中關村派出所110接報，海淀區藍旗營小區清華大學一老師，被冒充公檢法的人員電信詐騙人民幣1760萬元。*騰訊新聞：《清華大學一老師被電信詐騙1760萬 警方已介入調查》，http://news.qq.com/a/20160830/039876.htm，2017年10月9日訪問。

這兩件電信詐騙案使立法機關受到震動，促使在《民法總則(草案)》中增加了個人信息保護的內容。2010年9月13日，在《民法總則(草案)》“一審稿修改稿”中，第一次增加了個人信息的條文，即：“自然人的個人信息受法律保護。任何組織和個人不得非法獲取個人信息，不得非法出售或者提供個人信息?！?杜濤主編：《民法總則的誕生——民法總則重要草稿及立法過程背景介紹》，北京大學出版社2017年版，第200頁。對此，我們參與立法的專家都特別贊成，經過反復修改，形成了2016年12月25日《民法總則(草案)》“第二次審議稿”第109條：“自然人的個人信息受法律保護。任何組織和個人不得非法收集、利用、加工、傳輸個人信息，不得非法提供、公開或者出售個人信息?！边@個意見得到全國人大常委會的充分肯定。*杜濤主編：《民法總則的誕生——民法總則重要草稿及立法過程背景介紹》，北京大學出版社2017年版，第225頁。在《民法總則(草案)》第三次審議稿中，將其規定為第111條，內容基本相同。*杜濤主編：《民法總則的誕生——民法總則重要草稿及立法過程背景介紹》，北京大學出版社2017年版，第309頁。

全國人大常委會第三次審議《民法總則(草案)》之后，立法機關要求更加重視對個人信息的保護，于是，在2017年2月10日“第三次審議稿修改稿”中，對個人信息的規定改為兩個條文，第111條規定：“自然人的個人信息受法律保護、任何組織和個人不得非法收集、使用、加工、傳輸個人信息，不得非法買賣、提供或者公開個人信息。”第112條規定：“任何組織和個人都應當采取技術措施和其他必要措施，確保依法取得的個人信息安全，防止信息泄露。在發生或者可能發生信息泄露時，應當立即采取補救措施。”這樣的規定，更加強調了依法取得個人信息的組織和個人對于確保個人信息安全的法定義務。

在提交全國人民代表大會審議的《民法總則(草案)》“大會審議稿”中，*杜濤主編：《民法總則的誕生——民法總則重要草稿及立法過程背景介紹》，北京大學出版社2017年版，第388-389頁。將上述兩個條文合并成一個條文，即正式通過的《民法總則》第111條，形成了我國《民法總則》對個人信息保護的正式規定。

二、認定《民法總則》第111條規定的是個人信息權的理論依據

(一)對《民法總則》第111條規定的“個人信息”的不同解讀

對于《民法總則》第111條規定的“個人信息”，究竟是指一種法益，還是民事權利，有不同的意見。

1.法益說。王利明教授主編的《中華人民共和國民法總則詳解》認為：“本條只是規定了個人信息應當受到法律保護，而沒有使用個人信息權這一表述，表明民法總則并沒有將個人信息作為一項具體人格權利，但本條為自然人的個人信息保護提供了法律依據?！?王利明主編：《中華人民共和國民法總則詳解》，中國法制出版社2017年版，第465頁。

龍衛球教授與劉保玉教授主編的《中華人民共和國民法總則釋義與適用指導》認為：“二審稿開始納入個人信息問題，但考慮到個人信息的復雜性，也沒有簡單以單純民事權利特別是一種人格權的形式加以規定，而是籠統規定個人信息受法律保護，為未來個人信息如何在利益上兼顧財產化，以及與數據經濟的發展的關系配合預留了一定的解釋空間?！?龍衛球、劉寶玉：《中華人民共和國民法總則釋義與適用指導》，中國法制出版社2017年版，第404頁。

2.近似人格權說。陳甦教授主編的《民法總則評注》認為：“在隱私權之外，確立自然人對其個人信息享有的民事權利，在一定程度上明確了個人信息權。本條文雖然沒有直接規定自然人享有個人信息權，但對自然人而言，本條既是其具有民事權利的宣示性規定，也是確權性的規定?！?陳甦主編：《民法總則評注(下冊)》，法律出版社2017年版，第785頁。

張新寶教授在《中華人民共和國民法總則釋義》中認為：“法律委員會經研究認為，個人信息權利是公民在現代信息社會享有的重要權利，明確對個人信息的保護，對于保護公民的人格尊嚴，使公民免受非法侵擾，維護正常的社會秩序具有現實意義?！?張新寶：《中華人民共和國民法總則釋義》，中國人民大學出版社2017年版，第220頁。

3.人格權說。在解讀《民法總則》的著作中，只有筆者認為，《民法總則》第111條規定的是個人信息權。在筆者主編的《中華人民共和國民法總則要義與案例解讀》中，筆者提出：“本條是對自然人享有的個人信息權，以及義務人負有不得侵害個人信息權義務的規定?！?楊立新主編：《中華人民共和國民法總則要義與案例解讀》，中國法制出版社2017年版，第413頁；《民法總則條文背后的故事與難題》，法律出版社2017年版，第277頁。

4.立法機關的態度。立法機關的官員在解讀《民法總則》中，對《民法總則》第111條規定的個人信息，態度不夠明晰，但認可其為權利的意思比較明確。李適時主編的《中華人民共和國民法總則釋義》認為，雖然沒有規定個人信息是人格權，但是，“本條規定了其他民事主體對自然人個人信息保護的義務”，“違反個人信息保護義務的，應當承擔民事責任、行政責任甚至刑事責任”。*李適時主編：《中華人民共和國民法總則釋義》，法律出版社2017年版，第344、349頁。這意味著，對于個人信息雖然沒有規定權利，但是由于有特定的義務人，因而使個人信息成為民事權利。張榮順主編的《中華人民共和國民法總則解讀》態度比較明確，認為個人信息權利是公民在現代信息社會享有的重要權利，明確對個人信息的保護，對于保護公民的人格尊嚴，使公民免受非法侵擾，維護正常的社會秩序具有現實意義。據此，民法總則在民事權利一章中單列一條，對自然人的個人信息受法律保護，和其他民事主體對自然人個人信息保護的義務作出明確規定。*張榮順主編：《中華人民共和國民法總則解讀》，中國法制出版社2017年版，第363頁。在這一說法中，直接提到了“個人信息權利”的概念，這與張新寶教授的說法十分相似。相信這是法律委員會的真實意思。

(二)法律規定對一種權益保護的不同做法及真實含義的確定

《民法總則》第111條規定的“個人信息”，規定的究竟是法益，抑或權利，是對其理解和解讀的焦點問題，也是民法對個人信息保護立場的根本性問題。對此，必須有明確的界定。

在筆者看來，民事利益是民事主體之間為滿足自己的生存和發展而產生的，對一定對象需求的人身利害關系和財產利害關系。民事利益分為三個部分，第一部分是用民事權利保護的民事利益，例如，生命利益是生命權所保護的民事利益，遺產是繼承權保護的民事利益，等等。第二部分是法益保護的民事利益，例如對死者人格利益、胎兒利益的保護，以及對條形碼、二維碼的保護，等等，就是以法益保護的民事利益。第三部分，不受民事權利和法益保護的民事利益，例如所謂的親吻權等。*參見楊立新：《民法總則》，法律出版社2017年版，第171頁。

在我國的法律中，規定保護某種民事利益，通常采用以下三種做法：

第一，法律直接規定為權利。我國民法保護權利，通常直接規定為民事權利。例如姓名權、肖像權、名譽權等?！睹穹倓t》第110條所列舉的人格權，都直接規定為權利；其他的有物權、債權、知識產權、繼承權以及股權等，也都直接規定為權利。

第二，法律規定作為法益保護。不論是《民法總則》還是《侵權責任法》，都規定了對民事權益的保護，其中不僅包括權利，也包括民事利益。特別是《民法總則》第126條明確規定：“民事主體依法享有法律規定的其他民事權利和利益?！逼渲忻鞔_規定法律保護民事利益，其實就是法益。例如，《民法總則》第16條對于胎兒利益的保護，就明確規定“涉及遺產繼承、接受贈與等胎兒利益保護”，即為法益。

第三，對用權利還是用法益保護規定不明確。這種作法，最典型的是對“隱私”的保護。我國法律最早規定隱私的，是1982年的《民事訴訟法(試行)》。由于1986年《民法通則》沒有規定隱私權，因而接下來在《未成年人保護法》《婦女權益保護法》《殘疾人保護法》等法律中，都規定了對“隱私”的保護，都沒有使用“權”字。1988年最高人民法院制定《關于貫徹執行<民法通則>若干問題的意見(試行)》，對隱私權的保護就采用了間接保護方式。2002年《最高人民法院關于確定民事侵權精神損害賠償責任若干問題的解釋》，才將對隱私權的保護由間接保護改為直接保護方式，但仍然稱為對“隱私利益”的保護，而不是對隱私權的保護。直到2009年《侵權責任法》，才正式確定隱私權是一個具體人格權。顯而易見，法律如果對某種民事利益的保護沒有明確是權利還是法益，最好將其認定為民事權利，而不必像對隱私權那樣，費了幾十年的周折，才最后認定其為民事權利。對此，千萬應當引以為立法的教訓。

(三)《民法總則》第111條規定的“個人信息”是權利

對于《民法總則》第111條規定的“個人信息”究竟是權利，還是法益，還是要對法律規定進行具體分析。

1.法律有明確規定的應當依照規定確定。應當肯定的是，凡是法律規定為權利的，當然就是權利。例如，《民法總則》第五章“民事權利”中規定的其中民事權利，即人格權、身份權、物權、債權、知識產權、繼承權和股權等，都是民事權利。所以，法律凡是規定一種受到保護的民事利益為“權”的，當然就是民事權利。

同樣，凡是法律只規定為民事利益的，當然就是法益。例如，《民法總則》第16條規定的“胎兒利益”，就是法益，而不是權利；第185條規定的“英雄烈士等姓名、肖像、名譽、榮譽”，沒有說“權”，也不可能為權利，當然就是法益，而不是權利。

權利乃享受特定利益的法律之力。*參見王澤鑒：《民法總則》，三民書局2008年修訂版，第90～91頁。對于法益，我國大陸地區民法通常不重視，研究不夠。臺灣地區林誠二教授認為，法益為法律所保護之利益，但法益不全由權利而取得，法益有時因法律之反射作用而享有。權利性之法益被侵犯時，被害人得依法訴請救濟；反之，雖非權利性之法益，但屬直接之法益者，法律亦常加以保護。*林誠二：《民法總則(上冊)》，法律出版社2008年版，第102頁。依我之見，還是回到我的民事利益的三段論上來討論這個問題比較方便，即某種民事利益，法律規定以權利進行保護的，就是權利；某種民事利益法律予以保護，但未規定為權利者，即為法益。我的這種看法，似乎比林誠二教授的意見更為簡潔，亦更為實用。

2.對法律沒有明確規定為權利抑或法益的認定標準?，F在的問題是，對法律沒有明確規定為權利抑或法益的，例如《民法總則》第111條規定的“個人信息”，究竟應當如何認定，筆者認為有以下三個標準：

第一，確認法律規定保護的利益是否具有獨立性，與其相近的民事權利所保護的利益是否存在明顯的界分。民法確認某種民事權利時，必須存在兩個前提：一是該權利所保護的民事利益具有相當的獨立性。例如生命、身體和健康，同為三種民事權利，且都為物質性人格權，但是三者所保護的人格利益都是獨立的人格利益。即使姓名權、肖像權、名譽權所保護的姓名利益、肖像利益和名譽利益，也都是具有獨立性的人格利益。因此，法律對這幾種人格利益的保護，都確立為具體人格權。二是權利所保護的民事利益還必須與其相關的民事權利所保護的利益能夠做出明確界分，而不是相互混淆，無法劃分其界限。事實上，《民法總則》第111條之所以規定個人信息，又沒有對其屬于權利抑或法益作出明確規定，就是由于個人信息與隱私之間存在較強的相關性，對于是否能夠劃清其界限信心不足。筆者認為，個人信息權和隱私權在客體上盡管關聯相當緊密，但是并非渾然一體，而是在性質等方面存在明確的界分。隱私中的信息，主要是一種私密性的信息或者私人活動，例如個人身體狀況、家庭狀況、婚姻狀況等，凡是個人不愿意公開披露且不涉及公共利益的信息，都屬于個人隱私，而且單個的私密信息或私人活動并不直接指向自然人的主體身份。而個人信息注重的是身份識別性，此種意義上的身份識別應當作廣義的理解，即只要此種信息與個人人格、個人身份有一定的聯系，無論是直接指向個人，還是在信息組合之后指向個人，都可以認為其具有身份識別性，*參見王利明：《論個人信息權的法律保護——以個人信息權與隱私權的計分為中心》，載《現代法學》2013年第4期。屬于個人信息。由此可見，在隱私權所保護的隱私中的個人信息，與個人信息權所保護的個人信息，雖然存在較大的關聯性，都屬于個人信息，但是二者都是獨立的人格利益，相互之間的界分是明晰的。因此，《全國人大常委會關于加強網絡信息保護的決定》第1條就規定：“國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息?！边@就將個人信息區分為個人身份信息和個人隱私信息。進而言之，個人隱私信息就是隱私權保護的客體，個人身份信息就是個人信息權保護的客體。另外，個人隱私信息和個人身份信息也存在較大的區別。個人隱私信息更多的是涉及自然人個人的私密活動信息，具有的是精神方面的利益，而個人身份信息是可以識別個人身份的信息，作為個人人身、行為狀態的數據化表示，是個人自然痕跡和社會痕跡的記錄。個人信息指向信息主體，能夠顯現個人的生活軌跡，勾勒出個人的人格形象，作為信息主體人格的外在標志，形成個人信息化形象。隨著信息技術的進一步發展，使得商務智能分析成為現實，而將商務智能技術應用于經營者所掌握的消費者信息，幫助經營者以消費者整體需求為導向，進行未來產品和服務升級更新，大大提高了其決策的效率和理性，實現經營者和消費者之間有的放矢的互動。因此，個人身份信息既具有人格尊嚴和自由價值，也具有商業價值。*參見張新寶：《從隱私到個人信息：利益再衡量的理論與制度安排》，載《中國法學》2015年第3期。正因為如此，在個人隱私信息和個人身份信息之間，相互具有獨立性，能夠進行明晰的界分，因此，將個人信息界定為個人信息權，在這一點上是完全可以成立的。

第二，在實踐中，對于法律保護的某種具體民事利益，用權利保護抑或用法益保護，對于主體的保護是否存在較大差別。在我國民法中，隱私權所保護的隱私包含個人信息，在沒有規定個人信息權之前，對于個人身份信息的保護也是通過隱私權來實現的。但是在當代的網絡、數據社會，對個人信息保護的必要性得到了凸顯，在計算機誕生之后，信息技術獲得了空前的發展，20世紀80年代開始的全球信息化運動，使人類進入了一個信息化社會，個人信息成為一項重要的社會資源。實踐中，侵害個人信息權的現象時有發生，特別是在網絡環境下，個人信息權的保護顯得尤為必要。隱私權原來所保護的個人信息，既包括個人隱私信息，也包括個人身份信息。在信息化社會中，更需要加強保護的是個人身份信息，而對個人身份信息僅僅依照隱私權的保護方法予以保護，顯然不夠完善。這不僅是對隱私權的保護主要以精神損害賠償救濟方法進行，對于個人信息權的保護不僅要以精神損害賠償的救濟方法進行，還應當以財產損失賠償的救濟方法進行；特別是在個人身份信息日益受到威脅，電信詐騙愈演愈烈的情形下，對于個人身份信息以個人信息權予以保護更為重要，而以隱私權的保護救濟則顯然不周。顯然，在《民法總則》第111條規定了個人信息的保護原則之后，將其作為民事權利保護，比作為隱私權的組成部分予以保護，以及用個人信息法益保護，都更為妥善和周到。

第三，在比較法上，有無權利保護或者法益保護的立法例支持。在當代社會，各國保護個人信息多采用隱私權予以保護。首先，在美國，就是通過隱私權法案對個人信息進行保護。美國在1974年制定的隱私法案，針對的是聯邦行政機構的行為，并著力于各類信息的收集、持有、使用和傳輸，通過隱私權對個人信息加以保護。不過，在美國法，隱私權的性質與大陸法系的隱私權不同，在很大程度上具有一般人格權的性質，從隱私權的內容中不斷發展新的權利。例如，在美國的隱私權概念中，就不僅包含隱私權，還包括姓名權、肖像權、聲音權、形象權的保護內容。從這樣的意義上看，用隱私權保護個人信息，其實個人信息仍然具有具體權利的性質。在大陸法系，歐盟和歐洲國家在保護個人信息上，都制定個人信息保護法。德國1976年制定的《聯邦數據保護法》，第一次系統地、集中地規定保護個人信息，并且顯現出民事權利的屬性，盡管沒有認定個人信息是一個獨立的民事權利，而是用隱私權來保護，不過，在大陸法系的一些國家已經意識到該問題，并逐漸開始在判例學說中對隱私與個人信息二者之間的關系進行界分。德國聯邦憲法法院就將信息自決權作為隱私權的內容，雖然表明德國法中未嚴格區分個人信息與隱私，但在實踐中是將這兩者區別開來，而將個人信息稱之為信息自決權，即個人依照法律控制自己的個人信息，并決定是否被收集和利用的權利。*同①。特別是在歐盟法院確立對被遺忘權的保護之后，對網絡個人身份信息的刪除權，很難用隱私權來予以概括和保護，因為被遺忘權與隱私權保護的客體并不一致，隱私權保護的是信息不予以公開的利益，隱私信息一旦公開，就不再具有隱私性質了。而被遺忘權更多的是對已經公開的、過時的信息的利益保護。*參見高富平、王苑：《被遺忘權在我國移植的法律障礙——以任甲玉與百度公司被遺忘權案為例》，載《法律適用》2017年第16期。因而對這種信息的刪除權就稱之為被遺忘權，使其具有一定的權利屬性。基于以上分析，在比較法上，各國盡管多是把個人信息保護置于隱私權的功能之中，但是個人信息權作為獨立的權利，其發展趨勢越來越明顯；更重要的是，不管是用隱私權保護個人信息，還是用個人信息權保護個人信息，都是用權利來保護，而沒有用法益方法對個人信息予以保護的立法例。在這樣的比較法基礎上，來觀察對個人信息權保護的法律模式，顯然不能用法益保護方式，而應以權利保護方式進行。至于用隱私權保護好，還是用個人信息權保護好，其結論顯然是明確的，當然是后者。

3.討論結論。盡管《民法總則》第111條規定了“自然人的個人信息受法律保護”，卻沒有具體規定為法益保護抑或權利保護，但是，從法律所保護的客體即個人身份信息的獨立性、社會實踐保護個人身份信息的必要性，以及從比較法的基礎上進行分析，對于個人身份信息的保護，一是不能用法益保護方式，因為其顯然不如用權利保護為佳；二是不宜以隱私權保護方式予以保護，因為隱私權保護個人身份信息確有不完全、不完善的問題。例如，我國的被遺忘權第一案，即任甲玉訴百度公司搜索引擎的相關搜索侵害被遺忘權案，就已經提出了被遺忘權應當歸屬于個人信息權，而不應當作為隱私權內容的問題。*參見段衛利：《論被遺忘權的司法救濟——以國內“被遺忘權第一案”的判決書為切入點》，載《法律適用》2017年第16期。真正實現對個人信息的完善保護，就必須把《民法總則》第111條規定的個人信息解讀為個人信息權。

涉及同樣問題的，還有《民法總則》對“人身自由”的規定。《民法總則》第109條規定人身自由權，也只是寫了“人身自由”，沒有直接規定為人身自由權。之所以沒有寫人身自由權而僅僅寫人身自由，是因為《憲法》第37條規定的是“中華人民共和國公民的人身自由不受侵犯”，而不是規定公民的人身自由權不受侵犯?！睹穹倓t》在將憲法規定的人身自由規定為民法的人身自由權利時，是將公民的公權利轉化為民法上的自然人的私權利，囿于《憲法》的規定，而沒有規定為“人身自由權”。但是，這不能說人身自由只是一種利益，是法益，而不是公民的公權利、自然人的民事權利。《中華人民共和國民法總則釋義》的作者明確認為：“人身自由、人格尊嚴是自然人的重要權利?！?李適時主編：《中華人民共和國民法總則釋義》，法律出版社2017年版，第338頁。這里說的意見，在實際上是十分明確的，也是十分明白的。

基于以上分析和論述，可以確認，《民法總則》僅僅對“個人信息”作出規定，不能認為規定的就不是個人信息權，對個人信息的保護僅僅是一種法益保護。對于個人信息權是一種民事權利這個結論，不論是語焉不詳，還是根本予以否認，都沒有充分的法理和法律的根據。

三、個人信息權的概念界定以及內容與法律保護

在討論了《民法總則》第111條規定的個人信息究竟是法益抑或權利問題，并且得出確定結論之后，筆者就個人信息權的有關問題再作以下探討。

(一)對個人信息權的概念界定

對個人信息權究竟怎樣界定，首先要明確的是個人信息權是何種民事權利，即確定個人信息權的權利屬性。對此，盡管有“憲法人權說”、“一般人格權說”“隱私權說”“財產權說”“新型權利說”“獨立人格權說”等不同主張，*參見張里安、韓旭至：《大數據時代下個人信息權的私法屬性》，載《法學論壇》2016年第3期。但是，凡是主張個人信息權是民事權利的學者，主要意見基本上是一致的，即個人信息權的權利屬性是人格權，唯有獨立人格權說的主張符合個人信息權的內在屬性。*參見王利明：《論個人信息權在人格權法中的地位》，載《蘇州大學學報》2012年第6期；張里安、韓旭至：《大數據時代下個人信息權的私法屬性》，載《法學論壇》2016年第3期。

對個人信息權概念的界定，有人認為，個人信息權是指信息主體依法對其個人信息所享有的支配、控制并排除他人侵害的權利，其具有人格利益和財產利益雙重屬性，是人格權派生的權利，是一項獨立的權利。*參見齊愛民：《個人信息保護法原理及其跨國流通法律問題研究》，武漢大學出版社2004年版，第109～110頁。其權利內容，具體包括信息決定權、信息保密權、信息查詢權、信息更正權、信息封鎖權、信息刪除權和報酬請求權。*參見齊愛民：《論個人信息的法律保護》，載《蘇州大學學報》2005年第2期。對個人信息權作這樣的界定，還有值得改進之處。筆者認為，個人信息權是指自然人依法對其本人的個人身份信息所享有的支配并排除他人侵害的人格權。

這樣對個人信息權作出界定比較簡潔，而且也符合個人信息權的特征要求：第一，個人信息權是具體人格權，是以個人身份信息作為獨立的人格要素而設立的民事權利，既不是隱私權保護的隱私利益內容，也不是個人信息法益，而是一個獨立的具體人格權。第二，個人信息權的客體是個人身份信息這一人格利益要素，其與隱私權客體中的個人信息的區別是，隱私權所保護的個人信息是個人隱私信息，當把個人身份信息從隱私權所保護的個人信息中獨立出來，以獨立的人格要素作為權利客體，就構建了個人信息權，用獨立的個人信息權保護個人身份信息。第三，個人信息權的權利主體是自然人個人，不包括法人和非法人組織，因為法人和非法人組織很多信息是需要公開的，特別是上市公司企業的信息必須公開披露，只有那些需要特別保護的商業秘密，才采用商業秘密的權利予以保護，*根據《民法總則》第123條規定。而不是用個人信息權予以保護。第四，個人信息權的權利要求是，以自我決定權作為其權利基礎，自然人對于自己的個人信息，由自我占有、自我控制、自我支配，他人不得非法干涉，不得非法侵害，因而個人信息權是排他的自我支配權，是絕對權。

(二)個人信息權的客體

在界定個人信息權的客體時，有一個問題須事先確定下來，即個人信息權的客體究竟是個人信息，還是個人數據。在歐洲各國，關于個人信息的保護，在法律上通常稱之為個人數據，例如德國的《聯邦數據保護法》，歐盟的《個人數據保護指令》。從總體上說，使用個人信息和個人數據的概念，實際上并沒有原則區別，歐洲的個人數據保護其實說的就是個人信息保護。不過，在我國，對個人信息的保護稱之為個人信息，成為慣用的概念，已經被法律和社會所接受。特別是對于個人信息的保護，需要與對衍生數據的保護相區別，這在《民法總則》第111條和第127條規定中已經做了區別，因而，對于個人信息權的權利客體應當稱之為個人信息，而不應當稱為個人數據。

對于個人信息權的權利客體即個人信息，《網絡安全法》第76條第5款規定：“自然人的個人信息是指以電子或者其他方式記錄的，能夠單獨或者與其他信息結合，識別的自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證號碼、個人生物識別信息、住址、電話、號碼等?！狈蓪€人信息概念作這樣的界定，是準確的。在學說上，認為個人信息是指與特定個人相關聯的、反映個體特征的、具有可識別性的符號系統，包括個人身份、工作、家庭、財產、健康等各方面信息。*參見王利明：《論個人信息權在人格權法中的地位》，載《蘇州大學學報》2012年第6期。這樣的界定，也是妥當的。

對個人信息這一概念作出更準確的學術上的界定，應當是：個人信息是指與特定自然人相關聯，反映個體特征，具有個人身份可識別性，以電子或者其他方式記錄的，能夠單獨或者與其他信息結合識別的自然人個人身份的各種符號系統。個人信息的具體范圍廣泛，主要的個人信息是：姓名、出生日期、身份證號碼、個人生物識別信息、住址、電話號碼、工作、家庭、財產、健康、民族，等等。凡是符合個人信息概念定義所要求的，都是個人信息。

個人信息作為個人信息權的客體，應當看到的是，個人信息是人格權的客體，而不是財產權的客體。因此，作為人格權即個人信息權客體的個人信息，包含兩層人格利益：

首先，個人信息主要包含的是精神性人格利益，主要包括的是人格尊嚴、人格獨立和人格自由的內容。人格標識的完整性與真實性，是主體受到他人尊重的基本條件。個人作為目的性的存在，只有消除個人對信息化形象被他人操縱的疑慮和恐慌，保持信息化人格與其自身的一致性而不被扭曲，才能有自尊并受到他人尊重的生存與生活。*參見張新寶：《從隱私到個人信息：利益再衡量的理論與制度安排》，載《中國法學》2015年第3期。因此，個人信息對于信息主體的人格尊嚴、人格獨立和人格自由的價值，是個人信息保護立法中首要考慮的因素。這就是個人信息所包含的精神性人格利益的內容。

其次，個人信息還具有財產性的人格利益內容。在這一點上，個人信息與肖像權的客體肖像具有相似的內容。肖像具有美學價值，應用到市場經濟領域會轉化成為財產利益，這是不言而喻的。*參見楊立新：《侵害肖像權及其民事責任》，載《法學研究》1994年第1期。同樣，由于個人信息具有身份性的屬性，存在被利用于市場的可能，因而存在轉化為商業價值的可能性，對權利人發生財產的利益。這正是公開權的內容。對此，《侵權責任法》第20條已經做出了具體規定，保護人身權益中的財產利益，救濟其財產利益損失。同時，個人信息具有個人特征的可識別性，一旦被非法利用，不僅會為利用者發生財產利益，而且還會使權利人受到意想不到的財產損失。因此，個人信息與肖像雖然具有相似性，但是在具有財產價值這一方面，還存在較大的不同，更應當對個人信息權進行特別的保護。

(三)個人信息權的權利內容

個人信息權作為一個獨立的人格權，其權利內容包括以下內容:

1.信息保有權。信息保有權就是權利人對于個人信息完全由自己保有，他人不得非法占有，這是個人信息權的主要內容。信息的保有，是行使個人信息權的基礎權利，只有保有自己的個人身份信息，才能夠行使個人信息權的其他權利內容。

2.信息決定權。按照《民法總則》第130條規定，民事主體行使民事權利，完全由自己決定，他人不得干涉。這正是歐洲國家確認信息自決權的含義。權利人對于自己的個人信息是否使用，是否可以由他人獲取、利用，都屬于權利人自己的權利，只有權利人授權他人對自己的個人信息予以獲取和使用，他人才能夠獲取和使用其個人信息。任何人未經權利人的許可，無權獲取和使用他人的個人信息。

3.信息知情權。任何組織和個人在依法獲得和使用權利人的個人信息時，權利人對該組織和個人所占有、使用自己個人身份信息的情況，有權進行查詢，并有權要求予以答復。個人信息權的知情權的內容，主要是自己的哪些個人信息被收集、處理與使用，在此過程中，自己的個人身份信息是否被保持完整、正確，等等。個人信息權人對于該項知情權，必須予以保障，除非因公共利益或者保密的需要，任何機關不得剝奪權利人的知情權。

4.信息更正權。個人信息權的權利人在發現被他人獲取的個人身份信息有不正確之處，對占有和使用其個人身份信息的組織和個人，有權請求該主體對所占有和使用的有關自己不正確、不全面、不適當的個人信息進行更正。有權獲取和使用他人個人信息的組織和個人，須按照正確的信息進行更正。

5.信息鎖定權。信息鎖定權，是指在必要時，個人信息權的權利人有權請求獲取和使用自己的個人身份信息的組織和個人以一定的方式，暫停信息處理，在沒有獲得權利人的書面同意之前，該組織或者個人不可以將其為某種目的收集的信息為另一個目的而使用。有權獲取權利人個人身份信息的組織和個人超出使用范圍，或者未對權利人的鎖定請求采取必要措施予以鎖定的，應當承擔相應的責任。

6.個人信息保護權。個人信息保護權是人格權請求權的具體內容，*有關人格權請求權，請參見楊立新、袁雪石：《論人格權請求權》，載《法學研究》2003年第6期。權利人對于自己所享有的個人信息權，享有保護的權利，不僅有權保護自己的個人信息不受他人侵害，而且對自己的個人身份信息被他人依法獲取、占有后，仍然享有依法保護的權利。對于非法侵害自己個人信息權的行為，有權提出保護權利的請求。

7.被遺忘權。權利人對于自己已被發布在網絡上的，有關自身的不恰當的、過時的、繼續保留會導致其社會評價降低的信息，要求信息控制者予以刪除的權利。*參見楊立新、韓煦：《被遺忘權的中國本土化及法律適用》，載《法律適用》2015年第2期。這個權利，實際上就是對有關自身的不恰當的、過時的、繼續保留會導致其社會評價降低的個人信息的刪除權。對于歐盟法院確立的這個權利，我國學者見仁見智，看法不同，*對此，可以參見《法律適用》2017年第16期發表的幾篇文章：高富平、王苑：《被遺忘權在我國移植的法律障礙》，載《法律適用》2017年第16期，第40頁；梅夏英：《被遺忘權的法理定位與保護之限定》，載《法律適用》2017年第16期第48頁；段衛利：《論被遺忘權的司法救濟》，載《法律適用》2017年第16期，第55頁。筆者的意見非常明確，即在《民法總則》第111條規定了個人信息權的內容之后，被遺忘權就是個人信息權的具體權利內容。侵害個人信息的被遺忘權，也應當承擔民事責任。*參見楊立新主編：《中華人民共和國民法總則要義與案例解讀》，中國法制出版社2017年版，第415頁。

(四)個人信息權的義務內容

應當特別注意的是，《民法總則》第111條后段是對個人信息權的義務內容的規定，主要的內容是，依法獲得和已經取得個人信息的任何組織和個人，作為個人信息權的特別義務主體應當承擔特別義務的規定。應當補充的是，個人信息權作為具體人格權，是絕對權，權利人以外的其他任何主體都是其義務人，也都對個人信息權人負有不可侵義務。

1.個人信息權的一般義務主體負有一般保護義務。個人信息權的義務人是一般主體、普遍主體，即權利人之外的其他任何民事主體，包括自然人、法人和非法人組織，都對個人信息權人承擔一般保護義務，即《民法總則》第111條后段規定的內容：任何組織和個人應當不得非法收集、使用、加工、傳輸他人個人信息, 不得非法買賣、提供或者公開他人個人信息。違反該義務，應當承擔民事責任。

2.個人信息權的特殊義務主體負有特別保護義務。負有保護自然人個人信息權的特別義務主體,按照《民法總則》第111條的規定,是依法取得個人信息的任何組織和個人，仍然包括自然人、法人和非法人組織，只要是依法取得他人個人信息的，就是這種特殊義務主體。具體包括：

首先，是依法取得個人信息的網絡服務提供者、其他企業事業單位。法律規定，任何組織和個人不得竊取或者以其他非法方式獲取自然人個人信息，不得出售或者非法向他人提供自然人的個人信息。對于有權取得自然人個人信息的網絡服務提供者、其他企業事業單位等，承擔特別保護義務，如果對依法獲得的自然人個人信息非法使用、非法出售、非法提供，以及泄露、毀損、丟失，都構成民事責任。網絡服務提供者、其他企業事業單位及其工作人員，包括網站、銀行、電信、醫院、郵政等，都是重點單位，都應當加強防范，防止侵害個人信息權。

其次，是國家機關及工作人員。國家機關及其工作人員在履行職責中取得的自然人個人信息，應當善盡保密義務和謹慎注意義務，沒有盡到這種義務，實施了泄露、篡改、毀損以及出售或者非法向他人提供的行為，國家機關及其工作人員構成侵權行為主體。

最后，是其他任何組織或者個人。凡是依法取得自然人個人信息的任何法人、非法人組織和自然人，都是負有確保自然人個人信息安全，防止信息泄露的義務，一旦發生或者可能發生信息泄露時，都必須立即采取補救措施，防止擴大損害，如果未盡此義務，構成不作為的違法行為。

特殊義務主體承擔的特別義務是：確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開個人信息。

(五)個人信息權的一般義務主體和特殊義務主體違反義務的侵權行為

首先，任何組織和個人違反保護個人信息權的上述義務，都構成侵權責任，應當承擔損害賠償責任。

其次，任何組織和個人對于有權收集自然人個人信息的網絡服務提供者、其他企業事業單位以及其他任何單位和個人，如果對依法獲得的自然人個人信息非法使用、非法出售、非法提供，以及泄露、毀損、丟失，都構成侵權責任。即使國家機關及其工作人員在履行職責中知悉的自然人個人信息，未盡保密職責，非法泄露、篡改、毀損或者出售以及向他人非法提供的行為，也構成侵權責任，應當予以制裁。

再次，依法取得個人信息的任何組織和個人侵害個人信息權的主要表現是：

一是非法收集自然人個人信息。個人信息權的一般義務主體承擔的是不可侵義務，其中就包括不得非法收集他人個人信息。無權收集他人個人信息的，一旦予以收集，就構成這種違法行為。

二是非法使用自然人個人信息。對于他人個人信息不得非法使用，無論是無權取得他人個人信息，還是有權取得他人個人信息，凡是非法使用的，都構成違法行為，都侵害了個人信息權。

三是非法加工自然人個人信息。《民法總則》第111條也規定禁止非法加工自然人的個人信息，未經權利人同意，就對合法或者非法獲取的個人信息進行加工，也構成違法行為。

四是非法傳輸自然人個人信息。合法傳輸他人個人信息，是正當行為。但是非法傳輸他人個人信息，無論具有何種目的，都是違反個人信息權義務的行為，都侵害了個人信息權人的權利。

五是非法買賣自然人個人信息。出售個人信息是有償行為，行為人在出售行為中，以他人的個人信息為買賣的標的物，從中獲取非法利益，情節更為惡劣。例如在徐玉玉電信詐騙案中，行為人就以每條0.5元的價格非法出售個人信息，造成權利人的嚴重損害。非法出售自然人個人信息的行為人，是網絡服務提供者、其他企業事業單位、國家機關的工作人員，以及其他任何組織和個人。這些單位的工作人員個人私自非法出售，獲取私利，構成侵害個人信息權。

六是非法提供自然人個人信息。非法向他人提供自然人個人信息的，就是未經權利人本人同意，而將其個人信息提供給他人。非法提供一般是沒有獲取非法利益，因為獲取非法利益就是買賣行為，但是這也構成侵權行為。無償提供他人個人信息，雖無對價，但是有獲得其他利益者，也可以認定為非法提供行為。

七是非法公開自然人個人信息?！睹穹倓t》第111條規定的是非法公開他人個人信息，而《關于加強網絡信息安全的決定》規定的是泄露他人個人信息。泄露和公開的意思接近，可以統一使用《民法總則》規定的概念。網絡服務提供者、其他企業事業單位以及國家機關及其工作人員，都對其依法收集的個人信息負有保密義務。未盡保密義務，非法予以公開，不論是故意所為還是過失所致，都構成侵權責任。例如公安交警部門電子執法獲取的駕駛員違章同時涉及行為人的不雅照，將其公布，就構成非法泄露自然人個人信息的侵權行為。*有關典型案例及其分析，請參見楊立新：《“速度與激情”事件引發的民法思考》，載《河北法學》2012年第2期。

八是非法篡改自然人個人信息。《關于加強網絡信息安全的決定》規定，網絡服務提供者、其他企業事業單位以及國家機關及其工作人員，違反法律規定，非法對自己掌握的自然人個人信息進行篡改的，構成侵權行為。非法篡改個人信息行為須故意而為，而不是無意中弄錯。這種侵權行為應當造成相當的后果，即由于非法自然人個人信息被篡改而使其民事權益受到損害。對于未盡謹慎義務，無意中弄錯自然人個人信息，如果造成了嚴重損害后果，也構成侵權行為。

九是非法毀損自然人個人信息。《關于加強網絡信息安全的決定》規定，網絡服務提供者、其他企業事業單位以及國家機關及其工作人員違反法律規定，未盡謹慎注意義務，非法毀損自然人個人信息的，構成侵權責任。非法毀損包括故意和過失，是明知自然人個人信息而故意毀損，或因過失而毀損，造成受害人的民事權益損害，應當承擔侵權責任。

十是丟失自然人個人信息?！蛾P于加強網絡信息安全的決定》規定，網絡服務提供者、其他企業事業單位或者國家機關對于依法獲得的自然人個人信息，必須妥善保管，善盡保管責任，如果不慎造成個人信息丟失，也構成侵權責任。丟失是過失所為，并非故意，造成了受害人權益損害的，也應當承擔侵權責任。

十一是對泄露自然人個人信息未及時采取補救措施?！蛾P于加強網絡信息安全的決定》規定，權利人發現自己的個人信息被泄漏，有權要求依法取得個人信息的單位和個人刪除有關信息或者采取其他必要措施予以制止。如果沒有及時采取必要措施，應當承擔侵權責任。

(六)個人信息權的民法保護

個人信息權的保護方法有以下兩種：

第一，個人信息權對自己的保護方法，是人格權請求權。人格權請求權是指民事主體在其人格權的圓滿狀態受到妨害或者有妨害之虞時，得向加害人或者人民法院請求加害人為一定行為或者不為一定行為，以回復人格權的圓滿狀態或者防止妨害的權利。*參見楊立新、袁雪石：《論人格權請求權》，載《法學研究》2003年第6期。個人信息權是自然人對個人信息的權利，自然人的個人信息受到侵害，就是侵害了個人信息權，基于人格權請求權向法院起訴權利損害的救濟，是完全可以的。

第二，個人信息權的保護方法還有侵權責任請求權。我國《侵權責任法》第3條專門規定了侵權責任請求權，即：“被侵權人有權請求侵權人承擔侵權責任?！痹谇謾鄵p害賠償法律關系中，賠償權利人即被侵權人所享有的權利，是侵權損害賠償請求權。*楊立新：《侵權責任法》，法律出版社2012年版，第22頁。侵權請求權在發生之前，侵權請求權法律關系的雙方當事人之間并不存在相對的權利義務關系。只有發生了侵權行為，一方的行為造成了另一方的損害，才能在被侵權人一方發生侵權請求權。這個請求權是新生的權利，是原來所沒有的請求權。其基本功能，就是救濟受到損害的權利。在自然人個人信息受到侵害，被侵權人依法享有侵權損害賠償請求權，有權依法行使該請求權，請求侵權人承擔損害賠償責任包括精神損害賠償責任，保護自己的個人信息權，救濟自己的損害，預防并制裁違法行為人，促進社會和諧穩定。*參見《侵權責任法》第1條的內容。對于依照侵權損害賠償請求權救濟自己個人信息權受到侵害的，應當依照《侵權責任法》第6條第1款規定的過錯責任原則，證明行為人實施了侵害個人信息權的行為，行為具有違法性，造成了權利人的精神利益和財產利益的損害，存在因果關系，具有過失，就可以獲得侵權法的保護。

基于人格權請求權和侵權請求權的區別，當權利人的個人信息被侵害時，應當根據自己訴請的責任方式不同，而決定選擇行使何種請求權。如果只請求違法行為人承擔非財產性的責任，行使人格權請求權最為穩妥，效果也最好。如果權利人要請求被侵權人承擔損害賠償責任，則必須行使侵權請求權方可實現。

目前人民法院在民事審判中，對于人格權請求權和侵權請求權的區分并不嚴格。因此，在自然人個人信息權受到侵害后，權利人救濟自己的損害的最佳方法，就是行使侵權請求權，救濟損害，保護自己。同時，對于侵權人加以金錢制裁最為有效，行使侵權請求權對于侵權人的制裁最為有力，不僅有利于制裁違法行為人，而且能夠對社會進行一般的警示，預防侵權行為的發生，更好地維護社會和諧穩定。