民法典如何保護個人信息？

程嘯

>>視覺中國供圖

現代社會中個人信息保護受到高度重視，我國民法典不僅在總則編的“民事權利”章在第一百一十一條對個人信息保護作出了規定，更重要的是在獨立成編的“人格權編”中，專章就個人信息保護作出了具體而又詳細的規定。詳言之：第一，明確了自然人的個人信息權益的性質，將之界定為人格權益；第二，區分私密信息與其他個人信息，明確私密信息的保護中，隱私權保護規則與個人信息保護規則的適用關系；第三，明確了個人信息權益的具體內容，有利于充分實現對自然人的人格尊嚴和人格自由的保護；第四，明確侵害個人信息的免責事由，有助于很好地實現權益保護與自由維護的協調。

我國民法典在個人信息保護上的創新與發展，勾勒出一個完整的個人信息保護框架，必將對個人信息保護制度的完善和發展產生深遠影響。

確認了自然人對其個人信息享有人格權益

>>視覺中國供圖

民法典第一百一十一條第1句與第一千零三十四條第1款明文規定：“自然人的個人信息受法律保護?！弊匀蝗藢ζ鋫€人信息享有的是何種民事權益呢？對此，理論界一直存在很大的爭議，有民事權利說與合法利益說（民事利益說）兩種不同的看法。在我國民法典編纂過程中，也有學者不斷呼吁民法典中應當明確規定“個人信息權”，而不應當僅使用“個人信息保護”這樣的表述。不過，民法典沒有使用“個人信息權”的表述，根本原因還在于：對于是否規定“個人信息權”的問題，存在很大的爭議。部分理論界和實務界的人士和有關部門擔心將自然人對個人信息的權益，直接確定為“個人信息權”，會導致自然人對其個人信息享有過于絕對的支配權和控制權，以致影響信息自由流動，不利于網絡信息社會和數字經濟的發展。這種爭議使得立法機關在是否規定個人信息權的問題上，決定采取比較穩健的態度。

事實上，自然人對個人信息的權益的名稱如何并不重要，重要的是對于該權益的性質、內容和保護方式加以明確，而正是后者決定了這種權益究竟是權利還是利益，如果是權利，究竟是效力多強的權利。因此，從這個角度上，立法者在民法典中回避關于個人信息權益的爭議而采取“個人信息保護”的表述，不失為明智之舉！

雖然民法典沒有使用“個人信息權”的表述，但是依然從以下三方面明確了個人信息權益的性質：（1）明確了自然人對其個人信息的權益屬于民事權益。民法典調整的是平等主體之間的人身關系和財產關系，無論處理個人信息的是國家機關，還是企業、事業單位，也無論處理個人信息的目的是行政管理、公共服務還是營利目的，信息處理者與自然人都屬于平等的民事主體。它們之間的法律關系屬于民事權利義務關系，自然人對其個人信息享有的也是民事權益，而非公法上的權利。（2）明確了自然人的個人信息權益屬于人格權益。民法典將個人信息保護的具體內容放在人格權編當中，與隱私權在同一章加以規定。故此，自然人對其個人信息享有的民事權益在性質上屬于人格權益。（3）民法典人格權編第6章將“隱私權與個人信息保護”作為章名并依次規定，同時還就個人信息中的私密信息優先適用隱私權保護作出了規定，這都表明了我國已經明確區分了隱私權與個人信息。

區分了不同類型的個人信息予以相應的規范

（一）私密信息與非私密信息及隱私權和個人信息保護的適用關系

>>資料圖

現代社會是信息社會，要維護自然人的隱私權不受侵害，就必須保護自然人的私密信息不被隨意收集、公開或者被濫用。自然人的私密信息的范圍十分廣泛，凡是自然人不愿意為他人知曉的信息，無論是婚姻信息、財產信息、健康信息、家庭住址、病歷資料、犯罪記錄、個人人生經歷、嗜好、性取向、日記、私人信件以及其他個人不愿公開的信息等，都可以納入私密信息。至于信息的內容，并非一定都是高尚的、道德所允許的，也包括那些為道德所譴責的、為人所不齒的內容。非私密的個人信息也屬于個人信息，可并不是自然人不愿意為他人知曉的信息，這些信息有些已經處于公開狀態，有些是自然人愿意且往往必須為他人所知的信息，才能使得自然人更好地參與社會交往活動。

在區分私密信息和非私密信息的基礎上，民法典第一千零三十四條第3款對隱私權和個人信息保護的關系作出了以下規定：（1）私密信息既受到隱私權保護，也受到個人信息保護規則的保護。（2）個人信息中的私密信息和非私密的處理規則存在區別。其一，在未經權利人同意的情形下，處理私密信息只能依據法律的規定，而處理非私密的個人信息可以依據法律和行政法規的規定。其二，處理私密信息必須取得權利人的同意，而處理非私密的個人信息可以取得自然人或者其監護人的同意。其三，處理私密信息必須取得的是權利人的“明確同意”，而處理非私密的個人信息是取得自然人或者其監護人的同意。所謂明確同意，是指自然人在被告知私密信息將被處理的前提下而作出的清晰、明確的允許處理的意思表示。此外，明確的同意應當是針對該私密信息被處理而單獨作出的同意的意思表示。（3）許可他人使用上的不同。隱私本身原則上是不能許可他人使用或商業化利用的。但是自然人完全可以許可他人使用個人信息尤其是非私密信息。

（二）公開的個人信息與非公開的個人信息

依據民法典第一千零三十六條第2項，合法公開的個人信息包括“該自然人自行公開的或者其他已經合法公開的信息”兩大類型：其一，自然人自行公開的個人信息，如某教授將自己的辦公室電話、手機號等在網頁上公開。其二，其他已經合法公開的個人信息，這主要包括兩種情形：一是依據行政行為而公開的個人信息，即因政府機關履行職責而依法加以公開的個人信息；二是依據司法行為而公開的個人信息，即因為法院的司法行為而公開法律文書，其中涉及的應當公開的個人信息。

區分公開的和非公開的個人信息的最主要的意義在于，處理這些個人信息是否需要得到自然人的同意上的不同。除非法律、行政法規另有規定，對于非公開的個人信息，必須告知且得到自然人或者其監護人的同意。然而，依據民法典第一千零三十六條第2項，合理處理已經合法公開的個人信息，原則上是無需告知并得到自然人同意的，除非“該自然人明確拒絕或者處理該信息侵害其重大利益”，否則該處理行為不構成侵害個人信息的侵權行為。

（三）關于敏感的與非敏感的個人信息的區分問題

個人信息中還有另外一個重要的分類：敏感的個人信息與非敏感的個人信息。我國民法典以及網絡安全法等法律都沒有對敏感的個人信息作出界定，只有一些標準中有相應的規定。雖然民法典沒有規定敏感的和非敏感的個人信息，但這并不意味著該分類就是不重要的。因為，民法典主要規定的是個人信息保護中的重大基本的問題，且區分敏感的和非敏感的個人信息主要是體現對個人信息的處理規則上，故此，可以交由個人信息保護法作出規定。

所謂敏感的個人信息主要是指，那些涉及自然人人格尊嚴、人格自由或者其他重大權益的個人信息，這些個人信息倘若被非法處理，將會對所涉自然人的人格尊嚴、人格自由或者其他重大的人身權益、財產權益造成嚴重的威脅或損害。依據這一界定，以下個人信息應當歸入敏感的個人信息：（1）種族或民族信息；（2）宗教信仰信息；（3）政治主張信息；（4）生物識別信息；（5）基因信息；（6）醫療健康信息；（7）性生活與性取向信息；（8）儲蓄、證券等金融賬戶信息。

>>資料圖

在個人信息保護法中，敏感個人信息的處理規則，應有別于非敏感個人信息的處理規則。一方面，為了更好地保護敏感的個人信息，對于這些個人信息采取的是原則上禁止處理，除非存在法定的例外情形，例如經過自然人的單獨同意，或者為了維護公共利益等。至于非敏感的個人信息，只要遵循告知同意規則即可。另一方面，即使信息處理者根據法律規定處理敏感信息的，也應當承擔更嚴格的注意義務。例如，對于敏感的個人信息的保管，信息處理者負有更高的注意義務，如必須進行風險評估等。

界定了自然人個人信息權益的內容

自然人對于個人信息享有相應的民事權益，確切地說，就是自然人享有防范因非法處理其個人信息而使自身人身財產權益和人格尊嚴、人格自由遭受侵害或損害的受法律保護的人格權益。我國民法典信息主體享有以下四項權能：

1.許可他人使用個人信息。在信息處理者履行告知同意規則的基礎上，自然人享有許可他人使用其個人信息的法律權能。所謂告知同意規則，包含了告知規則與同意規則，二者緊密聯系，不可分割。沒有告知，自然人無法就其個人信息被處理作出同意與否的表示；即便告知了，但沒有充分的、清晰的告知，自然人即便作出了同意的表示，該同意也并非是真實有效的同意。反之，雖然充分、清晰地告知了，可是并未取得自然人的同意，對個人信息的處理也是非法的。

有的觀點認為，建立在告知同意規則基礎上的個人信息保護和治理的框架，是不科學的也是無效的，而且還會阻礙數據的流轉和信息的流動。筆者認為，這些觀點是片面的。理由如下：首先，告知同意規則具體適用中的困難并不能改變該規則所蘊含的精神實質，即自然人有權決定對自己的個人信息的處理，信息的流動或者利用必須在尊重個人信息權益的前提進行。取消告知同意規則，勢必使得自然人對其個人信息完全失去控制力，自然人針對其個人信息的民事權益也不復存在。其次，告知同意規則的重心，不在于用戶是否真正了解個人信息處理的目的、方式或范圍等，而在于建立了處理個人信息的行為的合法性基礎。處理者遵循了告知同意的規則，并不意味著處理者的所有處理行為就一定是合法的，因為處理行為中仍然可能出現各種違法或者違約的情形。但是，如果處理者沒有遵循該規則且沒有法律或者行政法規的特別規定，則該處理行為一定是非法的。最后，告知同意規則也為個人信息保護機構對監管提供了正當性基礎，因為這種監管的目的在于保護廣大自然人的個人信息權益，具有充足的正當性。

2.查閱和復制個人信息的權利。我國民法典第一千零三十七條第1款第1句明確規定了自然人針對信息處理者享有依法查閱或者復制其個人信息的權利。該權利是自然人個人信息權益的重要組成部分。只不過，查閱和復制個人信息的權利具體的行使程序等，還需要由未來的個人信息保護法等法律法規作出更加細化的規定。其中特別值得注意的是：

一方面，關于信息處理者拒絕自然人查閱其個人信息時，自然人可以向法院提起訴訟的問題。一種觀點認為，如果允許起訴，可能會造成訴訟爆炸，給法院增加很多工作量。另一種觀點認為，查詢或者復制個人信息本來就是法律賦予自然人的權利，如果該權利受到侵害卻無法得到司法救濟，還不如不規定。對此，筆者認為，原則上必須是先向信息控制者提出請求且被無正當理由加以拒絕后，才能提起訴訟，否則容易導致自然人濫用該權利給信息控制者增加負擔。

另一方面，自然人查閱、復制其個人信息的權利是否包含了個人信息的可攜帶權，或者是否可以從其中解釋出該權利？這個問題在我國民法典編纂之前就已經存在很大的爭論。筆者認為，自然人的復制權可以解釋出個人信息的可攜帶權。這是因為，首先，既然自然人有權復制其個人信息，那么，信息處理者應當提供該自然人的個人信息的副本，其形式包括紙質也包括電子的，而電子的個人信息就是個人數據，其應當是結構化的、通用的、機器可讀的。其次，自然人雖然同意處理者處理其個人信息，但并不因此喪失對其個人信息的支配。第三，在競爭中，網絡企業等數字經濟主體當然可以竭盡全力去吸引用戶，將其在某個網絡企業中的個人數據轉移到自己這里來，這種競爭行為當然必須是合法的。如果是不正當競爭，自有反不正當競爭法加以規制。不能因為存在可能有人利用可攜帶權來進行不正當競爭，就反對這種權利本身。

3.針對錯誤信息提出異議及要求采取更正等必要措施的權利。依據民法典第一千零三十七條第1款第2句，自然人發現信息有錯誤的，有權提出異議并請求及時采取更正等必要措施。因為一旦個人信息錯誤而不及時更正，就會對自然人產生不利的影響，例如，基于錯誤個人信息進行的信用評價或自動化決策，會對自然人的民事權益造成損害。故此，法律上允許自然人在發現個人信息有錯誤后予以更正。

4.刪除個人信息的權利。民法典第一千零三十七條第2款規定了刪除權行使的具體情形：其一，信息處理者違反法律、行政法規的規定處理其個人信息的；其二，信息處理者違反雙方的約定使用其個人信息的。這兩種情形可以說涵蓋了需要刪除個人信息的全部情形。除此之外，是否還有必要規定被遺忘權？筆者認為，在我國法上，沒有必要單獨規定被遺忘權，理由在于：其一，如果網絡上發布的信息涉及侵害自然人的名譽權、隱私權等人格權益時，自然人基于名譽權、隱私權當然有權行使停止侵害、排除妨礙等人格權請求權，要求發布相關信息的網絡用戶刪除該等信息，同時也有權依據民法典第一千一百九十五條要求網絡服務提供者采取刪除、屏蔽、斷開鏈接等必要措施。其二，如果自然人發現信息控制者違反法律、行政法規的規定或者雙方的約定收集、處理其個人信息的，則依據民法典第一千零三十七條第2款有權請求信息控制者及時刪除。其三，如果允許自然人可以沒有任何正當性理由就要求刪除相關信息，勢必會出現歪曲真相，損害公眾的知情權，甚至構成對公眾的欺騙的不良后果。

民法典總則編規定的免責事由包括不可抗力、正當防衛、緊急避險。侵權責任編還規定了受害人故意、自甘冒險以及自助行為。這些免責事由也可以適用于侵害個人信息的民事責任。

明確了侵害個人信息的免責事由

民法典總則編規定的免責事由包括不可抗力、正當防衛、緊急避險。侵權責任編還規定了受害人故意、自甘冒險以及自助行為。這些免責事由也可以適用于侵害個人信息的民事責任。不過，因為正當防衛、緊急避險而侵害個人信息的情形較為少見，比較有可能的是因為不可抗力而導致處理者所儲存的個人信息丟失的情形，例如因為地震而導致存儲個人信息的設備損壞，此時處理者可以以不可抗力作為免責事由。

民法典第一千零三十六條對侵害個人信息的民事責任的免責事由作出了特別的規定，該規定用于違約責任也適用于侵權責任。具體闡述如下：

1.在該自然人或者其監護人同意的范圍內合理實施的行為。其個人信息被處理的自然人或者其監護人的同意是個人信息處理的合法性基礎，如果依法取得自然人或者其監護人的同意且在該同意的范圍內實施的個人信息處理行為，屬于合法的個人信息處理行為，處理者自然無需承擔民事責任。但是，沒有取得同意或者雖然取得同意但是超出了同意的范圍，如改變了同意的處理目的或處理方式等，依然構成侵害個人信息的違法行為，應當承擔民事責任。

2.合理處理該自然人自行公開的或者其他已經合法公開的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外。對于已經合法公開的個人信息，無論是自然人自行公開的還是其他已經合法公開的個人信息，原則上是可以無需告知并取得自然人的同意即能夠自由地進行處理，因為這有利于促進信息的流動與利用，對于網絡信息社會和數字經濟的發展是有利的。

3.為維護公共利益或者該自然人合法權益，合理實施的其他行為。所謂維護公共利益包括維護國家利益、社會利益等情形，例如，當大規模疫情或災難發生時，為了疫情防控和減災的需要對個人信息進行收集、使用等處理行為。所謂維護該自然人的合法權益，例如，甲突發疾病而生命垂危，急需在掌握其既往病史等個人信息的基礎上進行治療，而又無法取得其本人或近親屬的同意。此時，為了挽救甲的生命，可以實施個人信息處理行為。當然，無論是為了公共利益還是該自然人的合法權益，都必須是合理實施的行為，即不得違反個人信息處理的合法、正當、必要的原則。