個人信息權的界定與保護概述

安夢瑩 李宇航

[內容摘要]大數據技術廣泛應用，使得個人信息保護面臨極大威脅。當前對個人信息的開放式界定不利于數據的流通共享也不利于數據經濟的發展。在確定個人信息范圍時應當對個人信息進行合目的性限縮和場景化界定。個人信息具有人格利益，是人格權。個人信息雖具有財產利益，但不屬于財產權。我國目前對個人信息的法律保護主要限于公法領域，應當加強個人信息私法領域的保護，在構建個人信息私法保護體系時，應當區分人格權利和財產利益，采取個人信息人格權利保護與個人信息財產利益行為規制相結合的模式。

[關鍵詞]個人信息;人格權;財產利益;權利保護模式;行為規制模式

中圖分類號：D913 文獻標識碼：A 文章編號：2095-4379-（2020）20-0006-04

作者簡介：安夢瑩（1996-），女，漢族，河北定州人，河北大學法學院，2018級民商法專業碩士研究生，主要研究方向：民商法學;李宇航（1996-），男，漢族，河北徐水人，河北大學法學院，2018級民商法專業碩士研究生，主要研究方向：民商法學。

數據經濟的發展，個人信息的利用手段越來越豐富，個人信息的財產利益屬性也不斷顯現。大數據最初是在體育領域廣泛應用，在數據技術和數據經濟不斷發展的背景下，大數據逐漸應用在日常生活中。大數據背景下個人信息的商業利用已經成為一種常態，數據經濟的發展為我們帶來便利的同時，也對個人信息安全產生了威脅。近年來，個人信息保護問題成為行業間和學界討論的熱點。我們應當如何去定義個人信息，采用何種模式對個人信息進行保護，以及如何平衡個人信息保護與數據經濟發展之間的矛盾成為我們所迫切需要解決的問題。

一、個人信息的范圍界定

解決個人信息問題的前提是，明確哪些信息屬于個人信息。從比較法的角度來看，各國的立法中關于個人信息的范圍界定主要有兩種理論。一種是美國的“可識別標準”。以限縮解釋的方法將個人信息的保護范圍限定在確定能識別個人身份的信息上。另一種是德國的“確切和可能識別標準”。《德國聯邦數據保護法》將個人信息分為“確切可識別個人身份的信息”和“可能識別個人身份的信息”，以求在最大限度范圍內對個人信息提供保護。歐盟的《一般數據保護條例》在對個人數據的概念界定上，選擇了與德國相同的界定方式，將個人數據界定為“已識別（identified）”或“可識別（identifiabl）”數據主體的信息。相較于限縮界定模式，德國的模式則是開放了個人信息界定的邊界，能夠在最大限度內對個人信息進行保護。但在該種模式下隨之而來的問題是，大數據時代幾乎所有的信息都存在成為“可能識別個人身份的信息”的可能性，極易出現個人信息的過度保護。

（一）我國個人信息界定模式

我國在個人信息范圍的界定上，傾向于德國和歐盟的模式。《網絡安全法》、國家標準《信息安全技術：個人信息安全規范》（GB/T 35273-2020）等將個人信息劃分為兩類：一類是單獨可識別主體的信息;一類是與其他信息相結合后可識別主體的信息。我國堅持以人為本的理念，以開放式的個人信息保護邊界來確定個人信息的保護范圍。我國香港、澳門對于個人信息的界定也采取了相同的模式。

在個人信息開放式的界定模式下，判斷某一信息是否為個人信息將不再完全取決于信息本身所包含的內容，而是取決于所收集數據的完整性和技術的先進性。在該種模式下，如果對個人信息不加區別地進行保護，極易導致個人信息的過度保護，阻礙數據的流通，壓縮數據開發利用的空間，限制數據經濟的發展。因此，為兼顧信息開發利用和信息保護，對“結合可識別”個人信息的認定應做合目的性限縮和情境化界定。“合目的性限縮是指，從個人信息設定的目的出發，將受保護的個人信息限定在對人格利益造成影響的信息上。如果該條信息未對人格利益產生影響，即使與其他數據結合能識別信息主體也不應當認定其為個人信息。場景化判斷則是因為數據具有場景依賴性，應當結合應用場景對信息的屬性做個案判斷。即使同一信息在某些場景可能是作為個人信息出現，在某些場景可能只是一組普通數據。

（二）個人信息與數據

在對個人信息問題進行討論時，我們首先要在法律層面理清數據和個人信息的關系。在個人信息和數據的關系上存在多種學說，包括“等同說”、“區分說”“包含說”等多種理論學說，其中“區分說”與我國當前的法律環境和國際形勢最為相符。個人信息和數據“區分說”的觀點認為，保護個人數據安全和促進數據流動是數據經濟發展的兩個不同方面，應當嚴格進行區分。紀海龍利用符號語言學對數據和個人信息進行區分，認為個人信息和數據文件分別位于內容層和符號層。也有學者從法律層面論證，龍衛球認為法律意義上的數據不同于個人信息（數據），二者在法律上應當進行分別保護。龍衛球認為數據僅包括企業數據和非企業數據等公共數據。個人信息保護與非個人數據保護是兩個不同的層面，分別為民法111條和127條所規定，各屬人格權和財產權保護內容。

個人信息和數據“區分說”的觀點同我國當前的法律背景和立法趨勢相一致，我國今后在立法時采取該種觀點最為適宜。個人信息和數據的區分保護已成為當前立法的發展方向。《民法總則》11 1條和136條對個人信息和數據的分別規定，也為兩者的區分保護奠定法律基礎。在法律層面上數據和個人信息勢必要進行區分，按各自的法律性質進行保護。歐盟在個人信息保護方面依據主體是否具有識別性區分了“個人數據”和“非個人數據”，以不同的保護標準進行規定。因此當我們在法律層面討論個人信息時應當將其與數據相區分，經過處理不具有主體識別性的數據不屬于個人信息的討論范疇。

除此之外，個人信息和個人數據兩者之間的關系也存在不同看法。對于兩者的關系目前存“個人信息和個人數據區分說”、“個人信息和個人數據等同說”兩種觀點。劉德良教授持“個人信息和個人數據區分說”觀點，認為個人信息強調可直接識別性，而個人數據不強調可直接識別性。大部分學者認同“個人信息和個人數據等同說”，在立法層面上“個人數據”和“個人信息”實質上可理解為一回事。在我國“個人數據”一詞雖沒有出現在法律層面，但散見于《國家“十三五”規劃綱要》等各種工作文件行政法規、部門規章之中，究其內涵仍為個人信息。歐盟的《一般數據保護條例》即采用“個人數據”（personal data）一詞對可識別主體的信息進行保護。該詞的含義與我國“個人信息”一詞的概念在本質上是相同的，均是對單獨或結合可識別主體的信息進行保護。

二、個人信息的法律屬性

個人信息的法律保護將不斷完善是當前的立法趨勢，在對個人信息進行法律規制時，我們首先要明確個人信息究竟是權利還是利益。一項利益能否成為權利，取決于其自身的重要性與成熟度。如果一項利益“同時具備歸屬效能、排除效能和社會典型公開性的，為一種侵權法上的權利，反之則只能歸于一種利益”而個人信息所包含的利益內容確定、主體確定同時可以排除他人非法干涉可以認定為一項權利。個人信息規定在《民法總則》第111條，位于民事權利一章，雖然基于當前個人信息保護方面矛盾重重，未直接明確個人信息為權利，但是將個人信息作為一項權利進行規定和保護是我國立法的發展趨勢，也是數據經濟發展下個人信息保護的必然要求。

（一）個人信息的財產利益屬性

持個人信息“權利說”觀點的學者雖對個人信息的權利屬性進行了肯定，但對于個人信息究竟是何種性質的權利仍存在著許多不同觀點。基于對個人信息法律屬性的不同認識，存在“個人信息權否定說”、“基本權利和自由說”、“物權說或所有權說”、“隱私權說”、“一般人格權說”、“人格權兼財產權說”、“框架說”、“具體人格權說”等多種學說。其中以“個人信息人格權說”、“個人信息財產權說”和“人格權兼財產權說”最具有代表性。在判斷個人信息究竟為何種屬性的權利時，我們首先要判斷個人信息是否具有人格利益和財產利益。個人信息的人格權屬性已經被我國立法所確認，在學界也達成共識。個人信息與人格利益密切相關，對于保護公民人格尊嚴，維護社會秩序有著重要作用。但是對于個人信息是否具有財產利益，當前還未達成統一看法。劉德良教授在國內首次提出個人信息財產權保護理論，認為個人信息是一種支配權，是對個人信息商業價值享有的新型財產權。

（二）個人信息財產利益來源

個人信息財產利益的理論基礎是萊斯格“個人信息財產化”理論。信息財產化理論最早是由萊斯格在《代碼和網絡中的其他法律》一書提出的。萊斯格認為應將數據財產權賦予用戶，這更符合市場效率和提升數據產業的交易秩序。經濟學理論中，財產應當具有使用價值和交換價值，個人信息要成為財產首先需要具有價值和使用價值。在實踐中，個人信息已經作為商品進行交易，由于涉及人格利益，故當前的大量個人信息交易為非法交易行為。而個人信息的使用價值更是體現在我們生活的方方面面，從網頁的個l生化推薦、企業營銷策略的制定到對體育比賽發展趨勢的預測都是對個人信息進行的挖掘利用，個人信息的使用價值體現在各行各業，正是由于個人信息具有巨大的使用價值，數據經濟才得以繁榮發展，數據交易、保護、利用問題才不斷發生。

（三）個人信息財產利益分配

個人信息的財產利益屬性是在數據經濟發展中逐漸顯現出來的，對個人信息財產利益保護的前提是明確財產利益的歸屬，即個人信息財產利益應當由誰享有。當前存在著個人信息“個人所有”、“企業所有”、“個人和企業共有”、“公共所有”幾種觀點。

第一，個人信息財產利益應當歸個人所有。個人信息是數據的基礎，因此數據歸個人所有。例如有學者認為，權利的出發點是人而非物，數據主體應擁有優先的權利，法律有必要承認用戶個人對數據的財產權利。在數據產業生態系統中，能夠為企業帶來巨大價值的數據基本屬于用戶數據，而用戶便是這些數據的生產者。《GDPR》中規定的“個人信息攜帶權”可為這一觀點的佐證。企業雖然對數據的收集處理付出了一定成本，但企業不能對個人數據進行限制，還需要對個人數據的自由流動提供幫助。

第二，個人信息歸企業所有和由個人和企業共有的觀點。兩種觀點均是基于洛克的“勞動賦權”理論，只理解方向不同。勞動賦權源于由洛克在《政府論（下）》中提出勞動財產學說，該學說闡明了勞動在社會財富增加中的作用，被認為是取得物之所有權的法理基礎。個人信息由企業所有的觀點，注重企業在個人信息收集過程中所付出的勞動，企業基于其在數據收集、處理過程中所付出的成本而享有數據的財產權益。個人信息“從人身屬性匯集而變為財產屬性的關鍵正在于收集整理者在此過程中所付出的特定勞動、投資和成本”，個人信息的財產權應當由企業所有。同樣是基于“勞動賦權”理論，個人信息共有觀點認為，個人信息是有主物，個人信息的收集者不能優于個人獲得個人信息的財產權。除基本個人信息外的其它個人信息由企業和個人共有。

第三，個人信息公有觀點。互聯網是一個公共領域，一旦用戶或平臺將其自身置于公開的互聯網環境下，此時的個人信息就為公眾所有，不再為任何私人或企業所有。在“HIQ訴領英案”中，法院回應了爬取公開信息的法律問題。不同以往對未經授權的數據爬取行為的否定，在該案中法院認定了第三方爬取用戶向公眾公開的個人信息的合法性。承認了向公眾公開個人信息的公共屬性。

（四）個人信息財產權觀點的質疑

數據經濟下，個人信息的經濟價值逐漸顯現，但個人信息權不是財產權。權利人可以通個人信息使用權的讓渡獲取經濟利益，但個人信息不是財產權客體，無須賦予其財產權。

首先，單個個人信息價值低。除公眾人物外，個人信息對于信息主體的價值極小，通常為獲得免費的軟件和服務而放棄，普通個體信息保護的首要關切還是隱私利益和人格尊嚴。單個信息不具有價值，經收集、加工處理后的信息才具有價值。如果賦予個人信息以財產權，那么其他主體在使用個人信息的過程中就需要付費，在實行“個人信息付費”下還需要考慮如何實現付費的技術問題，從而使得企業對數據利用成本過高，技術過于復雜，不利于數據經濟的發展。

其次，可以通過個人信息使用權的讓渡來對個人信息進行保護，無須設定財產權。姓名、肖像等人格權也可以通過許可使用制度進行商業化利用，傳統民法理論也不認為這是財產權。不能因為個人信息的商業化利用而推論出其是財產權。

三、個人信息保護模式選擇

我國目前對個人信息的保護，主要是依據《刑法》、《行政法》等公法。個人信息公法領域的保護體系逐漸建立，但始終缺乏私法領域的保護，形成了“先刑后民”的立法現狀。在私法缺位的條件下，公民個人信息的內涵、外延及法律屬性均未能得到清晰地界定，由此又導致公民個人信息罪的適用存在困難。所以，我國迫切地需要加強個人信息在私法領域的保護，建立以民法為基礎的個人信息保護法律體系。民法在個人信息保護方面具有基礎作用，個人信息糾紛多是發生在平等主體之間，公法保護模式無法對個人信息實現全方位的保護。

在私法保護上，我國當前的司法實踐傾向于對個人信息采取間接保護模式。由于我國未直接對個人信息進行規定，只能借助其他受法律保護的權利來對個人信息進行保護。司法實踐中多是依據人格利益和財產利益來進行間接保護，在該種模式下“個人信息不能為獨立的受保護對象，不能被解釋為民事權利或法益，只有侵害個人信息的行為造成侵害其他權益的損害后果時，行為人才承擔責任”。我國的司法實踐中多為該種模式，借助隱私權、名譽權等對個人信息進行間接保護。

個人信息作為一項人格權利，我國在構建個人信息保護體系時，應當采取權利保護模式和行為規制模式共同保護的模式。在對個人信息進行保護時，應當區分個人信息的人格權利和財產利益，分別采取不同的保護規范。對于個人信息的人格權利，應當采取“權利保護模式”。從民事權利與利益的關系來看，權利化更有利于對個人信息的保護。權利保護模式具有確定性和穩定性，同時具有排他性，能夠為人格利益提供最完善的保護。該種保護模式也被許多學者所認可。

對個人信息財產利益的保護應當采取行為規制的模式，以行為規范達到對個人信息財產利益保護的目的。通過評估信息開發利用對個人信息主體的潛在影響來設定行為規范，以此為信息開發利用提供合規指引并間接保護個人信息。《德國聯邦數據保護法》、《美國兒童在線隱私保護法》、《歐盟個人信息保護指令》、《一般數據保護條例》都以大量篇幅構建行為規范體系。由于個人信息不具有財產權特征，以財產利益進行保護相較于抽象的確權立法，行為規范的設計直接以信息收集利用行為作為規制對象，這為行為人提供了相對清晰的合規指引，有助于彌補權利立法的模糊性弊端。但同時行為規范模式對具體行為進行規制，存在彈性不足的問題。

四、結語

我們在對個人信息進行法律體系構建時，要將個人信息和數據進行區分，二者代表的利益不同，所采取的規制方式也不相同。個人信息代表得是人格利益，其財產利益不外是對人格利益使用權的讓渡，其本身并不是財產權的主體。個人信息保護法律體系的構建，要堅持公法與私法相結合的共同保護模式。法律體系的建設要與實際情況相關聯，我國當前數據經濟中存在著諸多問題，例如作為個人信息收集利用依據的“知情同意原則”面臨著巨大考驗。“同意”是處理個人數據正當性的基礎，但現實情況是信息從業者通過各種方式對“知情同意原則”進行規避，導致該原則不斷通過默示等實踐機制而流于形式。此外，企業對個人信息收集后，個人則失去了對個人信息的控制權，后續利用途徑難以得到保障。這些問題地解決都依賴于一個完善的個人信息和數據保護體系的建立，我國應當加快立法進程盡快完善相關體系建設。