民法典時代，個人信息如何保護？

劉昊鈺

當前，我國正值工業社會向信息社會的轉型期，市場經濟體制已經確立，經濟發展進入新常態，社會生活進入全面依法治國新時期，尤其是人工智能、大數據、云計算的出現正改變著信息的收集與使用方式，無論是公共領域還是私人領域，個人信息的泄露與濫用逐漸成為常態，對個人信息保護帶來巨大挑戰。

2020年1月27日，《南方都市報》的一篇報道揭露有大量的湖北武漢返鄉者的信息遭到泄露，部分以表格形式在社交群組中被公布、轉發，這些信息不僅精確到個人姓名、身份證號，而且還涵蓋其電話號碼、列車信息、家庭住址等敏感信息。

個人信息的泄露不僅會導致個人隱私等人格權被侵犯，也會造成個人財產的損失。在日益強大的信息技術與個人信息大量泄露的現實面前，如何保護個人信息的立法提上日程，我國新發布的民法典對隱私權與個人信息保護的相關內容做出更多細節的規定，推動了個人信息保護頂層立法的完善。

民法典對個人信息保護有哪些新規定？

自2012年起，我國先后制定發布了《關于加強網絡信息保護的決定》、消費者權益保護法、網絡安全法等保護個人信息的法律法規。2020年民法典頒布，對個人信息保護作了更加細致的規定，其在“人格權編”專設“隱私和個人信息保護編”，突出了新時代對個人信息保護立法的重視。民法典的制定，對個人信息保護主要有五個方面的新變化：

第一，明確了自然人對其個人信息的權益屬于民事權益。處理自然人個人信息的主體無論是國家機關還是非國家機關（如企事業單位），也無論其處理的目的是行政管理、公共服務還是營利，處理者與自然人之間都屬于平等的民事主體。它們之間的權利義務關系屬于民事權利義務關系，自然人對其個人信息享有的屬于民事權益，而非公法上的權利。這對于后續制定個人信息保護法中解決政府數據處理活動的制度設計具有重要意義。

第二，明確了自然人的個人信息權益屬于人格權益。一直以來，學界對個人信息權屬性的法理基礎一直存在爭議。比如，憲法人權說認為個人信息權利應當被認為是一種“憲法基本權”；一般人格權說認為，個人信息權應當屬于一般人格權范疇；財產權說認為應以財產權保護個人信息；新型權利說認為個人信息權既不是人格權，也不是財產權，而是一種新型復合型權利；隱私權說認為個人信息權是隱私權的一種延伸；獨立人格權說認為個人信息權是一種獨立的人格權。民法典雖然沒有明確規定個人信息權的概念，但其明確了自然人的個人信息權益在性質上屬于人格權益，而非財產權益，明確地規定個人信息權益屬性的法理依據是對個人信息保護的重大進步。

第三，重新定義了隱私權與個人信息保護制度的關系。民法典人格權編將隱私權與個人信息保護合并規定在一起，同時還明確了個人信息中私密信息適用隱私權和個人信息保護的規定。這表明了我國法律明確區分了隱私權與個人信息，它們不是互相取代的關系，而是既有區別又密切聯系的兩種制度。如此一來，就更好地實現了保護自然人隱私權和個人信息的目的，貫徹了以人為本的立法精神。

第四，明確了處理個人信息的原則、條件以及免責事由。民法典對于處理個人信息的原則、條件、免責事由的規定使得產業發展與權益保護取得了一定的平衡，留下了更多的彈性空間。過于嚴苛的法律必然對當前大數據信息技術革命帶來的產業升級產生一定的沖擊，而過于空洞的法律規定也無法有效地保護個人信息權益。個人信息行為規制模式的規定有效彌補了個人信息人格權益的弱支配程度，同時這種側重于事后的行為規制模式也對數據企業使用個人信息畫出了紅線，為信息產業的發展提供了諸多可能性。

第五，闡明了自然人、數據收集者與控制者、國家機關及其工作人員的權利義務分配邊界。自然人具有查閱、抄錄、復制、請求更正、刪除個人信息的權利；數據收集者、控制者必須履行保護數據安全的義務；國家機關及其工作人員必須履行對個人隱私和個人信息的保密義務。

我國采用統一立法的模式保護個人信息，通過探究國外個人信息保護的制度模式，充分認識中國與他國個人信息保護制度的異同與制度的適用性。

國外怎么保護個人信息？

目前，世界上已有50多個國家和地區相繼建立了比較完善的個人信息保護法律制度體系。不同的法律體系和法律理念，使各國形成了不同的個人信息保護制度模式。一些國家由于相似的指導思想、法學理論和制度路徑，在具體制度存在差異的基礎上，總體上又形成了相似的保護模式。下面對具有代表性的美國、德國和日本三國的個人信息保護制度模式進行探析。

第一，美國采用分散立法和行業自律相結合的模式保護個人信息。1890年路易斯·布蘭代斯和塞繆爾·沃倫發表的《隱私權》一文中，把隱私定義為“免受外界干擾的、獨處的”權利，隱私權成為一個正式的法律概念并對美國立法產生了巨大影響。二十世紀六七十年代后，美國隱私權不斷向立法領域擴張。但美國并沒有形成一部保護個人信息的隱私權的綜合性法典，對個人信息的隱私權的保護仍散見于聯邦和州政府制定的各類隱私和安全條例中，如在兒童信息、醫療健康、金融數據等敏感領域，制定了《兒童在線隱私權保護法案》《健康保險攜帶和責任法》《金融服務現代化法案》等法律保護個人信息安全。除了分散立法保護個人信息之外，美國還采取行業自律的方式對個人信息提供保護，以滿足立法滯后于現實的需要，目前美國的行業自律形式有建議性的行業指引、網絡隱私認證、技術保護模式這三類。

第二，德國采用統一立法的模式保護個人信息。德國從“人格尊嚴”的視角來看待公民個人信息法律保護問題，將公民個人信息劃歸于人格權的基本權利范疇之中。德國聯邦法院通過人口普查第一案和第二案，在實踐中確認了公民個人信息的憲法權利地位。1970年德國黑森州頒布了《黑森州資料保護法》，這是一部關于公民個人信息法律保護的專門立法，但是這部法律沒有確立獨立的個人信息權，直到1978年生效的《聯邦數據保護法》，才正式賦予個人一般性的個人信息權利。同時，該法對侵犯公民個人信息的違法犯罪行為進行了詳細說明，并明確了對相關違法行為的處罰形式。統一立法模式通過國家在公私領域對公民個人信息進行統一保護，可以使公民個人信息權利成為一項具有絕對性的法律權利，同時有助于統一標準，又可以避免行業自律模式各行其是的弊端，更能助推公民權利的實現。

第三，日本采用統一立法和行業自控相結合的模式保護個人信息。日本政府對個人信息的保護始于日本推進政府辦公電子化。2005年正式實施的《個人信息保護法》是日本保護個人信息安全的基本法，該法的主要目的是個人信息的有效利用和保護。日本在制定個人信息保護法律法規的同時，充分借鑒美國的行業自律模式，通過行業自控來實現自我規范、自主規制。經過長期的實踐，日本形成了公共部門立法規制，非公共部門實行行業自控，特殊領域個別立法的個人信息保護基本原則。日本統一立法和行業自控相結合的個人信息保護制度模式在公民個人信息保護與公民個人信息流動之間找到了平衡點，既吸收了美國“隱私權”的內核，又尊重本國行業自律自控的特性，切實保護公民的個人信息。

我國采用統一立法的模式保護個人信息，通過探究國外個人信息保護的制度模式，充分認識中國與他國個人信息保護制度的異同與制度的適用性。目前，我國的信息市場處于快速發展壯大的階段，市場主體良莠不齊且主體間力量不均衡，同時尚未建立相應的隱私權制度，統一立法模式可以充分發揮制度性優勢，樹立起個人信息保護的法律權威，規制市場主體的行為，彌補我國在個人信息民法保護方面的不足。

個人信息受侵害如何保護？

理論需要通過制度形成體系而顯化，制度需要通過實踐檢驗而發揮實效，合理適用是個人信息的民法保護制度充分發揮作用的關鍵所在。

第一，對個人信息的侵害可以適用侵害人格權的保護制度。根據民法相關規定，侵權民事責任的構成要件包括違法行為、主觀過錯、損害結果、因果關系四個方面。在適用個人信息保護制度追究侵害個人信息權益的民事責任時，也要滿足以上四個方面。首先，要確定存在違法行為，違法行為是指侵害了信息權利人的個人信息權益或實施了會對信息權利人合法利益造成損害而被法律所禁止的行為。其次，行為人要存在主觀過錯，主觀過錯包括故意和過失，不管是故意還是過失，當侵犯個人信息權益時，都可能需要承擔侵犯個人信息權益的民事責任；第三，存在損害結果，即侵害個人信息權益的行為給信息權利人造成了某種不利的狀態或事實。最后，侵害個人信息權益的違法行為和損害結果之間要存在因果關系。個人信息保護的制度在此適用邏輯下，違法行為和損害結果存在因果關系，侵害個人信息權益的行為就成立，可追究相應的民事侵權責任。

第二，清晰界定個人信息權益保護和隱私權。民法典出臺前，個人信息權益在民法上確權的缺失使得個人信息權益與隱私權混為一談，導致我國法院對個人信息民事權益的法律屬性認定不一，有的法院認為個人信息權益屬于隱私權，有的法院認為屬于名譽權，有的則直接表述為個人信息權。隱私權發源于美國，由于國情的不同，我國的隱私權在語境和內涵上與美國的隱私權存在出入，我國的隱私權更傾向于隱與私，即不為他人知曉的私密的信息。個人信息中關于私生活的個人信息歸屬于隱私，這是個人信息權益與隱私權交叉的部分，但個人信息還包括可以公開的個人信息，如姓名、電話號碼等。所以，在適用個人信息保護規定的時候，要清晰界定個人信息權益保護和隱私權，依據民法典中“個人信息中的私密信息，適用有關隱私權的規定；沒有規定的，適用有關個人信息保護的規定”條款，正確適用個人信息保護制度。

第三，立法主體、信息處理主體和信息權利主體需形成合力。立法主體緊扣時代的脈搏，在民法典中制定了個人信息保護的相關規定。首先，立法主體應聯合其他相關部門，加強對個人信息保護制度的宣傳和實際運用，切實讓相關制度落到實處；在個人信息的民法保護制度的完善方面，應協調好經濟社會發展狀況和法律體系的關系；同時還要不斷更新法律體系與法律理念，協調好有關法律法規之間的關系。此外，信息處理主體應當遵守相應的法律法規，不得泄露或者篡改其收集、存儲的個人信息；采取技術措施和其他必要措施，確保其收集、存儲的個人信息安全；發生或者可能發生個人信息泄露、篡改、丟失的，應當及時采取補救措施；還應充分發揮自主能動性，制定相應的行業規范，加強行業自律。另外，信息權利主體需要增強個人信息的保護意識，特別是在網絡普及但安全技術措施缺乏、法律規范缺失的當下，信息權利主體的自我防范意識才是對個人信息最好的保護，在發現自己個人信息權益受到侵害時，要敢于運用個人信息的民法保護制度捍衛自己的合法權益。

唯其如此，個人信息安全才能得到真正的守護。