信息社會背景下個人信息私法保護問題研究

王 涵

(中國政法大學 政治與公共管理學院， 北京 100088)

內容提要：網絡社會背景下個人信息具備人格精神權益和財產權益屬性，可單獨或相互配合而具備極強的人身識別性和商業價值，成為商企挖掘潛在客戶和商機的重要指向標，人格利益的商品化使其成為一種重要的商業競爭資源。因而個人信息被肆意違法收集、利用、出賣的現象層出不窮，已然成為一種社會公害。個人信息急需在法制視野內進行利益平衡與規范，從立法模式來看，宜采取民法典權利確認和個人信息保護法單行立法的模式，引入信息處理通報與預先審查制度，規范對個人信息的收集、加工、使用等行為，保護人們基于個人信息所享有的權益。

現代社會中個人信息已經成為一種重要的財富資源，特別是網絡經濟發展過程中使個人信息成為一種重要的鏈接媒介，并演變為商家拓展市場的重要工具。如今各大電子商務企業都設置了數據分析部門，通過數據分析開發客戶，拓展業務，一些商企鋌而走險違法收集出賣個人信息。某些消費者個人信息體現為核心隱私，不僅具有商業價值，也直接關系到其本人生活軌跡，涉及消費者生命財產安全。因而，信息社會背景下對個人信息的法律保護具有重大的現實意義。信息社會個人信息較之以往承載了更多的內容，在法律的視野內如何對于個人信息保護問題進行回應是我們在建設社會主義法治國家必須面對的重要課題。

一、個人信息侵害現狀分析

我國互聯網協會發布的《中國網民權益保護調查報告2016》顯示(參見圖1)：54%的網民認為個人信息泄露嚴重，其中21%的網民認為個人信息泄露問題非常嚴重；84%的網民親身感受到了個人信息泄露帶來的不良影響。最近一年來，我國公民僅因個人信息被泄露造成的直接經濟損失就高達915億元[1]；公安部刑偵局有關負責人介紹僅2016年上半年，電信詐騙發案就達28.7萬起，造成損失80余億元。調查問卷分析顯示，在遭遇個人信息侵害時，多達81%的參與調研者接到過知道自己的姓名或單位等個人信息的陌生來電，因網頁搜索和瀏覽時泄露個人信息的參與調研者占53%，經歷郵箱、微博等網絡賬號密碼被盜的參與調研者占40%，因房屋租買、購車、考試和升學等信息泄露，和因在網站留下個人電話和注冊網絡金融服務而遭遇各類騷擾和詐騙的參與調研者都在30%以上[2]。

中國青年政治學院互聯網法治研究中心與封面智庫于2016年10月24日聯合發起《你的隱私泄露了嗎？—個人信息保護情況調研》問卷調查，覆蓋全國各省、市，共回收問卷104萬8575份，在此基礎上形成了《中國個人信息安全和隱私保護報告》(參見圖2)：認為當前人們對個人信息保護的社會現狀安全感不高，超70%的參與調研者認為個人信息泄露安全問題嚴重，43%的參與調研者認為“嚴重”，認為“非常嚴重”的參與調研者占比達29%[2]。報告顯示，被問及被侵犯時沒有維權的原因時，60%的參與調研者表示不知道怎么維權，56%的參與調研者是因資金等個人利益未受損而放棄維權。參與調研者中有高達44%的人因維權程序太復雜、成本太高而放棄維權，另有34%的人因缺少維權證據而無奈放棄。最為消極的是“維權成功也沒有好處”選項，也有14%的選擇比例[2]。

目前我國個人信息泄露已經成為一種公害，人們普遍受到這種侵害行為的困擾，個人信息安全已成為社會普遍焦慮。

在我們所處的網絡時代，個人信息的傳播方式和速度更廣更快，由傳統轉向現代，由復雜轉向簡單，由困難轉向便捷。由于個人信息所承載的諸多價值，加之網絡的開放性，使得個人信息的泄露渠道愈加多元化，違法收集、使用、加工、出賣個人信息的違法行為屢禁不止。網絡社會背景下個人信息保護不僅僅是技術問題和法律問題，面對如此嚴峻的形勢，個人信息保護已成為社會生活安全的重大問題。

圖1 中國網民權益保護調查報告

圖2 中國個人信息安全和隱私保護報告

二、個人信息界定與特征解讀

網絡時代人們的生活總是被零散的數據清晰表達和顯現出來，并多以電子化、網絡化存在。

2016年我國《網絡安全法》第76條規定：“個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證號碼、個人生物識別信息、住址、電話號碼等”。我國《兩高關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》規定“公民個人信息”是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯系方式、住址、賬號密碼、財產狀況、行蹤軌跡等。

通過以上學者和各國法律法規以及司法文件對個人信息的界定我們可以看出個人信息的幾個特點：第一，個人信息具有極強的人身識別性。世間沒有同樣的兩片落葉，人也是一樣。個人信息直接反映了與之相關的自然人主體情況，尤其是相互印證，因而具備了顯明的主體人格色彩，具有可識別性，諸如身份證號、DNA信息等。第二，個人信息的內容具有廣泛性。其內涵外延將不斷延伸，并具有極強的發展性，在未來仍有無限的廣闊空間，尤其是未來科技的發展將會使人更多的信息化形式存在。第三，個人信息具有傳播的單向性。信息一旦進入傳播過程，將無法收回或消除影響，這也是法律對信息強化保護的主要原因之一。

我們認為對于個人信息的概念界定宜采用高度概括的方式進行，毋須強調以何種方式存在，因為我們不確定未來其還會以何種形式存在，因而，個人信息可以概指能夠獨立識別或與其他信息相互結合識別有關自然人個人情況或活動軌跡的一切數據資料或信息。

三、個人信息法律屬性

人格屬性：精神價值維度。個人信息的人格要素決定了其人格權屬性，同時它也保障了自然人社會存在的精神人格要素。個人信息歸根到底是關于自然人的人格的要素表達，它可以單獨識別人格屬性，或者通過相互疊加與配合凸顯指向明確的人格色彩，個人信息是自然人關于人格屬性的自然存在或社會存在，也正是因為如此方使得個人信息具有較強的可識別性。一方面，個人信息的存在和自然人對他的控制是人得以存在的依托。人的姓名、身份、隱私、榮譽、相貌等信息內容維系和承載著人的尊嚴、自由平等，它較之于人來講具有莫大的精神利益。馬斯洛認為安全需要是健康人格塑造的必要因素之一。對自身處于安全環境的認同所產生的心理寧靜是人社會存在的重要保障，對個人信息的利用愈發頻繁的前提下，一旦個人信息失控，便會對主體自身安全感造成極大的直接損傷。然而現代社會我們每一個人都不同程度的信息化存在著，體現在政府及各種商業機構的信息管理系統中，“如果這些信息丟失，就意味著這個人失去了信息存在，這個人可能在這個現實社會里也無法生存”[5]。

財產屬性：商業價值維度。王澤鑒先生認為“因社會經濟活動的擴大，科技的發展，特定人格權既已進入市場而商品化，……具有一定經濟利益的內涵，應肯定其兼具有財產權的性質”[6]。市場經濟條件下，任何具備財產屬性的權益只要不違法和有違公益都應當被承認并賦予流通的特性，人格利益、人格權的商品化是大勢所趨。個人信息根據自身屬性能夠滿足商業開發的需要，它能夠為信息的收集、持有人、使用人帶來利益，因而個人信息也具備了財產屬性。網絡經濟背景幾何級地放大了這種個人信息的財產價值。

四、個人信息的價值

社會交往價值。每一人都不是真正意義上單獨的存在，而是社會人的存在，溝通交流或信息互換是一種必然需求。社會生活中的每一個人在獲取他人信息的同時也會將自己的信息傳遞給他人，從而實現了以信息為載體的思維交流與人際關系的形成。從這個角度來看，個人信息具有促進保障人們正常社會生活，促進人與人之間進行社會交往的功能[7]。這一價值是個人信息所具有的最基本的價值屬性。

車牌識別技術可以準確地識別圖像中的阿拉伯數字、字母還有漢字，在識別了車輛之后，還能夠將車牌識別的結果傳送到云端的交通綜合系統，交通綜合系統就能夠確定車輛在校園內的停留時間，并提示對車輛進行收費。通過使用該機系統，能夠促進車輛監控管理進一步自動化和智能化，提高效率的同時，也能減少人力的投入。

公共管理價值。縱觀國家的產生與發展，政府或執政者為了實現對國家事務的管理無不對人民進行各種信息的收集和使用，從古代社會的記名造冊到現今全方位的人口普查，血型、指紋等復雜個人信息電子化存貯成為常態。國家收集個人信息之后，能夠據此掌握和了解人民的生活狀態與社會人口比例，據此制定和實施各項方針政策，加強社會管理。另外，對于人口的信息的掌握，在社會治安管理和社會監管等方面具有重要的價值，諸如我們在堅持計劃生育政策的基礎上逐步放開實施二孩政策就是通過對于人口的信息統計之后做出的應對策略。

商業交換價值。現代網絡社會背景下，個人信息已經成為一種重要的經濟資源。在商業競爭中，盲目的進行廣告投放效果不佳并且成本高，只有發掘那些對產品或服務有潛在需要的客戶定向營銷才是最行之有效的，這就需要對這些客戶的個人信息進行收集、加工整理，而往往這些個人信息都掌握在政府機構或壟斷性行業組織中，這也就不難理解某些案例中派出所公務人員為何違法出售個人信息而謀利了。

五、個人信息利用中的利益平衡

信息時代，尤其是在互聯網背景下，信息成為一種重要資源，是經濟競爭不可或缺的存在。因而，從社會層面而言其具有公益屬性，特別是跨境信息轉移成為跨國企業有效運作的生命線，國家對信息轉移的限制越來越少，這是不可逆轉的趨勢，這就決定了我們對個人信息的保護要進行必要的利益平衡，而不是一味地偏向制度一方而導致過度保護或信息被隨意侵害的問題發生。

(一)合理使用與信息自決

信息自決指個人在法律框架下依照本人意愿，決定是否同意他人或機構使用、保管自己的個人信息；政府機關、商業機構及其他有關部門在開展各項業務中可以合法獲取并正當使用所收集的個人信息，有權對其進行合法整理、存儲和管理。但對個人信息的合理使用有違自決權，兩者存在著沖突的一面，對此我們只能進行利益衡量，并將之約束在法律所允許的框架之內，否則任何躋越都將對私人利益造成無法彌補的傷害。如有案例中，公安派出所、電子商務網站等機構在收集了個人信息之后并未對之進行較好的保管，致使信息外泄，給私人造成諸多傷害。因而，我們為了更高的利益而進行限制私人的信息自決的同時，也要嚴格要求個人信息持有人負有保障不泄露的法定義務。

(二)商業利用與信息保護

消費者在電子商務網站的購物賬單、消費金額、聯系方式、收件地址、瀏覽記錄，甚至是商品評價和退換貨次數等，這些信息經過加工整理將成為重要的商業資源。法律的框架內允許對個人信息進行合法使用，尤其是互聯網+大數據的時代，如對信息予以嚴格保護，會不利于商家記載客戶、有效開拓市場等正常商業行為，也難以維護企業對合理使用個人信息進行商業活動的要求。基于此，我們認為，一方面商家未經許可不得擅自使用個人信息，包括將個人信息轉移至他人或挪作他用，其授權應是常態，除非基于公共利益的需要；另一方面商家對個人信息的使用不得侵害信息主體的合法權益，包括人身權利和財產權益，否則必須承擔損害賠償責任。

六、個人信息私法保護

(一)個人信息保護立法域外考察與借鑒

“歐盟強調資料或信息的政治屬性，突出其社會價值，將之視作為人權的重要組成部分，采取全面、統一的立法模式，并構建起以公權力為中心、自上而下的資料保護執行機制”[8]。美國主要通過隱私權保護法案等相關法律來對個人信息進行保護，1974年通過《隱私法》、1986年《電子通訊隱私法》、1994年《駕駛員隱私保護法》等法律，采取了分散立法模式，只對電信、金融、保險等行業與駕駛員信息、影響制品租賃信息、教育信息和兒童網上隱私等特定領域通過聯邦立法進行保護；其主要以市場為導向，以行業自治為中心的信息隱私政策，盡量減少政府干預。2003年，德國通過《聯邦數據保護法》保護互聯網和電信產生的個人信息，從隱私權入手，實質是將信息權利納入一般人格權框架中加以保護。1998年英國頒布《數據保護法案》，以國家強制力確保信息收集的合法性、收集資料的安全性、數據用途的合法性、數據內容的正確性。

以上對西方國家個人信息立法模式的考察，可以得到以下啟示：

個人信息保護立法須立足國情，以我國的法制傳統為依托。德、美等國對個人信息立法保護，無一不是根據本國國內實際情況、制定專項法律以保護個人信息權益。如德國曾經在制定個人信息保護法律期間擬采用英美的隱私權立法模式，但由于缺乏英美法系長期的法律文化底蘊，最終采取了人格權保護模式。

德國立法中一般規定與單行立法的保護模式，自上而下的對個人信息進行保護，值得我國借鑒。我國屬大陸法系國家，德國注重人格權保護的傳統與立法經驗與我國私法體系同根同源，以一般人格權為基礎，對信息保護采取統一立法模式，能避免分散式立法之間各自為營，重復立法問題的發生。另外，我們也可以通過案例指導制度來達到判例法靈活適應社會發展的特點來保護層出多變的個人信息。

美國注重發揮發揮市場調節作用與行業自律相互結合的實踐經驗，亦值得我們參考。尤其是高度的行業自律對于個人信息的保護意義重大，相較于法律保護這種后發性的事后救濟方式來講，行業自律更能做到自發性事前預防，更有利于保護個人信息。

(二)我國個人信息私法保護問題的思考

1.立法模式探討：一般規定與單行立法。個人信息具備人格要素，這種人格要素也決定了它具有人格屬性，當然也是其主要本質屬性，私法應予以更多的關懷與規范。《民法總則》第111條規定自然人的個人信息受法律保護①；《消費者權益保護法》第14、29、50條，規定了經營者收集、使用消費者個人信息時需要遵循的原則和承擔的義務②；《侵權責任法》第61、62條規定了相應的侵權責任；特別是2016年通過的《網絡安全法》，為個人信息保護立法奠定了良好的基礎，亦是首次在法律層面上確立了一般意義上“個人信息”的概念，為個人信息保護的體系化制度建設提供了起點③。

這些立法從宏觀層面概括性確定了個人信息權益，但對于個人信息的內涵和外延，以及如何保護并未規定，欠缺可操作性。再言之，諸多分散且立法層次較低的立法顯然無法起到應有的法律效果，也無法讓人們形成統一的觀念和認識，各種立法間的沖突與協調也大大減弱了規制效果。

《民法總則》中對個人信息進行了確權規定，這將從基本法的高度對個人信息進行保護，這無疑是意義重大的，預示著個人信息權益在民事權利的譜系之內得到應有的承認和尊重。私法對于權利的保護總是要在民法典或民法總則等基本法中首先予以明確規范的，這不僅僅是一種權利意義上的宣示，更是一種立法的高度。從目前我們的情況來看，僅僅在民法典或民法總則中對個人信息進行權利確認是遠遠不夠的，侵害個人信息的行為已然成為一種公害行為，對于我們每個人的精神和財產都影響甚大，這就要求我們必須制定專門的《個人信息保護法》來對個人信息的收集、利用、開發、轉讓、保護進行具體的規定。縱觀各國的情況，尤其是市場經濟發達國家，無不制定相應的單行立法來對個人信息或個人資料進行保護。

盡管民法總則對個人信息保護進行了原則性的規定，社會生活中絕大部分領域都已經有了個人信息保護的法律規范，規定了侵害個人信息需要承擔民事、行政乃至刑事責任。但這些規范在形式上過于分散，對于普通民眾和商家來說，難以形成直觀的認知。盡快出臺統一的《個人信息保護法》進行系統化梳理和整合，無論是從立法資源的節省、立法技術的提高、規則體系的優化，還是向民眾普及個人信息法律保護的常識和意識來看，都存在必要性和合理性。

具體來說，通過制定個人信息保護法，在法律層面明確線上線下及跨境數據傳輸過程中的各類個人信息采集及使用的方式、范圍及標準，并嚴格規范各類數據采集；制定使用主體在信息處理方面的細則；完善個人信息安全方面的保障要求與信息披露義務，充分保障用戶在信息層面的知情權、刪除權、更正權、保密權及安全權在內的各項基礎性權利。

2.法律適用分析：出臺個人信息司法解釋。從目前的立法來看，對個人信息的規定大多在基本概念與基本原則的宏觀層面，缺乏實踐指導性。在沒有出臺單行《個人信息保護法》的情況下，盡快出臺相關的司法解釋未免不是一種權宜之計。一方面能夠指導司法實踐，另一方面也能夠為我國《個人信息保護法》的立法積累經驗。除卻其內涵和外延外，個人信息目前最需要確認其權力本身的內容，我們認為個人信息主體應有控制權、收益權、刪改權、查詢權。

(1)控制權。個人信息控制權指信息主體對其控制的個人信息按照主體意愿自由處置的權利，信息主體可以對個人信息的存儲、收集的行為及范圍進行控制。信息主體可依個人信息控制權要求信息持有者對其個人信息進行更改、刪除。任何使用其個人信息的個人或機構須經享有個人信息控制權的信息主體的同意。

(2)收益權。個人信息收益權指根據個人信息所具有的財產權益屬性，個人信息主體有權要求使用其個人信息的個人或機構支付合理的報酬。由于個人信息表現為具有商業價值和使用價值，當信息使用者和持有者因收集、使用、存儲信息主體其個人信息產生某種利益時，信息主體有權要求使用者或持有者因其行為給予適當的報酬，這也符合法律公平原則。

(3)刪改權。個人信息刪改權指信息主體在法定情況下，有權要求信息持有者刪除或改正所持有的個人信息。一般來講刪改權應有以下兩種情況：信息持有者的所持有的信息的真實性、準確性存在錯誤；信息持有者非法或出于與信息主體商定以外的目的使用、儲存、收集其個人信息的。

(4)查詢權。個人信息查詢權又可稱“個人信息知情權”，指個人信息主體有了解、查閱信息持有者持有的信息主體的個人信息。信息主體知曉、查詢其個人信息是行使個人信息權、保障其他個人信息權利的前提。查詢權的內容包括查閱個人信息的持有人、使用范圍、存使用目的、存儲方式、存儲地點等。

3.建立信息處理通報和預先審查制度。“資料或信息處理的通報和預先審查制度是歐盟信息保護執行體制中的特色制度，該通報制度要求信息控制者在實施某些資料處理前，向國家信息保護機構或控制者自己的內部信息保護委員會通報相關情況，信息預先審查制度要求信息保護機構審批后，信息或資料控制者才可以實施某些資料的處理，尤其是因性質、范圍、目的和處理技術，某些信息更容易侵害信息當事人的基本權利和自由，致使個人無法享受某些利益或締約”[8]。

一方面，個人信息是一種重要的經濟資源，尤其是電子商務背景下，如果對其進行嚴格過度保護就會阻礙經濟的快速發展；另一方面，保護程度不夠，就會造成公眾的困擾和權益損害。建立第三方或信息處理機構內部的通報制度和預先審查制度能夠對影響到個人重大利害關系的信息處理進行必要的監督，提高信息處理的公開性和透明度，方便信息當事人行使權利，同時也能夠保護公民個人信息不被濫用，在二者中間形成較好的利益衡量。

4.提高保護意識與加強行業自律。在網絡社會背景下，任何技術保護措施或法律保護措施只能起外在保護作用，不可能從根本上杜絕非法使用公民個人信息的行為，公民自我保護仍是個人信息保護不可或缺的重要一節，因此提高公民個人的信息防范和保護意識顯得格為重要。包括不隨意透露自己的個人信息，遭受不法侵害時，及時向公安機關報案，養成良好保護習慣諸如及時刪除個人瀏覽記錄等。

一方面，制定行業內部自律機制。在借鑒歐美各國行業自律發展歷程的經驗上，制定有中國特色的企業行業規范。建立行業監管組織，定期對行業內信息的收集、使用進行監察，充分發揮行業自律的信息保護及時性和專業性。建立行業自律獎懲制度，社會公布違規企業名單，具體可以建立“警告”、“黑名單”等向社會公示，使其違規企業失去消費者信任，達到警示目的。另一方面，企業內部強化管理。應防止企業內部員工監守自盜，禁止企業員工將企業持有的個人信息轉售他人獲取非法利益。