新聞傳播侵害敏感個人信息的民事責任
——基于民法典和個人信息保護法（草案）相關規定的視角

內容提要 敏感個人信息包括具有私密性和不具私密性兩種，其與隱私既有交叉又有區別，其侵害糾紛未來將是不同于隱私權糾紛的新類型糾紛。我國民法典賦予個人信息主體知情同意權，個人信息保護法（草案）區分了一般個人信息與敏感個人信息，并對敏感個人信息的處理確立了保護規則，當新聞傳播者使用敏感個人信息時，應不超出公共利益、新聞價值及其基本要素之范圍。過錯責任原則并不適合個人信息權益糾紛，過錯推定、無過錯原則、損害推定、因果關系推定和法定賠償，都是未來個人信息保護制度的選項。盡量不公開采訪對象及他人的敏感個人信息，是信息時代對新聞傳播工作提出的更高層次要求，也是新聞傳播者避免侵權訴訟的理性之舉。

2020年10月21日全國人大公布的個人信息保護法（草案）將個人信息分為一般個人信息與敏感個人信息，后者指“一旦泄露或者非法使用，可能導致個人受到歧視或者人身、財產安全受到嚴重危害的個人信息，包括種族、民族、宗教信仰、個人生物特征、醫療健康、金融賬戶、個人行蹤等信息。”但民法典沒有區分一般個人信息與敏感個人信息，而是在其第一千零三十四條第二款中將個人信息區分為具有私密性和不具私密性兩種——如此，敏感個人信息與私密性個人信息是兩個不同的概念：前者可分為私密性和非私密性兩種（下文詳述）。

按照我國民法典相關規定，具有私密性的敏感個人信息侵害糾紛依照隱私權糾紛處理。目前，最高人民法院確立了個人信息糾紛這種新的案由，不具私密性的敏感個人信息侵害糾紛也在此案由下，這種新類型訴訟即將開始。而在新聞傳播工作中，通常認為只要不具私密性，即使是敏感個人信息也可進行傳播，這就很可能違反民法典關于個人信息權益保護的規定，導致侵害個人信息權益（而非侵害隱私權益）。本文主要探討新聞傳播侵害非私密性敏感個人信息可能導致的民事責任及相關構成要件等關鍵問題，以期為新聞傳播及相關立法、司法活動提供參考。

一、個人信息權益的法律性質及其與隱私權的關系

（一）個人信息權益的法律性質

學界對敏感個人信息權益的法律性質并沒有專門研究，但對于包括其在內的個人信息權益法律性質的研究比較充分，主要觀點有：（1）具體人格權說。認為個人信息權既非物權，也非債權，很難歸于傳統財產權體系，所以就其主要內容和特征而言，在民事權利體系中應屬于人格權的范疇。（2）一般人格權說。認為進入信息社會以后，因為涉及人的安全感、自決權與個人尊嚴，個人信息已經成為當今社會人們生存必不可少的重要組成部分，其與人的精神利益密切相關。（3）隱私權說。在美國，主流觀點認為個人信息是一種隱私，因為涉及人格尊嚴與隱私問題，無論聯邦層面還是州層面，立法都將其與隱私歸入同一法律中進行保護。（4）人格利益說。認為個人信息主體對信息并不享有絕對權和支配權，因此只享有法律保護的利益，即自然人享有的防止個人信息被非法收集、泄露、買賣或利用而導致人身、財產權益受到侵害的利益。（5）基本人權說。認為該權利源于信息革命、以雙重空間的生產生活關系為社會基礎、以智慧社會中人的全面發展為核心訴求，既包括前三代人權（實現自由平等權利、經濟社會文化權利、生存發展權利）在智慧發展條件下的數字化呈現及其相應保護，也包括日漸涌現的各種新興（新型）數據信息權利及其相應保護，其本質是在數字時代和智慧發展中作為人而應該享有的權利，即“數字人權”或“第四代人權”。（6）財產權說。認為包括敏感個人信息在內的個人信息具有商業利用價值。加工后的個人信息具有稀缺性，故其屬于財產權。

可見，雖然民法典已將個人信息權益列入“人格權編”中，即定位為人格權益，但其既涉及人身權、財產權，也涉及國家和公共安全、利益和秩序，在法理上是一種新型綜合性權益。

（二）敏感個人信息權益與隱私權的關系

事實上，敏感個人信息遠不止個人信息保護法（草案）第二十九條列舉的種族、民族、宗教信仰、個人生物特征、醫療健康、金融賬戶、個人行蹤。根據2017年6月1日起施行的最高人民法院、最高人民檢察院《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》第五條，與第一層次敏感信息“行蹤軌跡信息”并列的還包括通信內容、征信信息、財產信息，與第二層次敏感信息個人生物特征并列的還有住宿信息、通信記錄、生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息?？梢?，敏感個人信息是一個開放性概念，其內涵外延隨著情境的變化而變化、擴展，只要可能導致個人受到歧視或者人身、財產安全受到嚴重危害的個人信息，均在其涵攝之內。還有許多信息，其本身并不敏感，但進入網絡或被作為大規模收集使用的內容之一，便具備了敏感性，如自然人購買的豪華轎車、人臉信息等。

根據民法典第一千零三十二條，隱私是自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動、私密信息。顯然，前述敏感個人信息與隱私具有交叉性，即敏感個人信息一部分內容屬于私密信息，然而，其許多內容并不具備私密性，如人臉信息、民族、被公開的辦公電話號碼、車牌號等，可以說，“凡是必須在一定范圍內為社會特定人或者不特定人所周知的個人信息，都難以歸入到隱私權的范疇?！鄙暄灾翰痪邆渌矫苄缘膫€人信息不是隱私權客體，但它是個人信息權益的客體，而個人信息權益與隱私權是并列于《民法典·人格權編》第六章中的兩種權利（益）；而且，不具備私密性的個人信息也未必不是敏感信息。在已經制訂了個人信息保護法律的國家，包括在我國個人信息保護法（草案）中，敏感信息是受到和將要受到高于一般個人信息法律地位的特別保護的一種信息。

正如我國在相當長一個時期將隱私權“掛靠”在名譽權下進行保護一樣，目前，私密信息在《民法典·人格權編》第一千零三十四條第二款規定中，“掛靠”在隱私權下進行保護，而這種處理方法在理論上與法律上極易造成兩大問題：一是混淆了個人信息與隱私兩種權益客體，削弱個人信息這一獨特的具有綜合性內容的權益客體的保護；二是模糊了個人一般信息與個人敏感信息的區別，消弭了兩者保護方式的區別和保護程度的差異，不利于敏感個人信息的特殊保護地位和民事救濟。

沒有救濟就沒有權利（益），而在我國，民事司法救濟的“通行證”是民事案由。既然個人信息權益被《民法典·人格權編》列為一種新的與隱私權并列的人格權益，最高人民法院就應該確立一種新的案由——“個人信息糾紛”，將非私密信息保護作為一種新類型訴訟。

二、新聞傳播合理使用非私密性敏感個人信息的邊界

在新聞傳播實踐中，私密個人信息的保護已得到新聞傳播者的普遍理解和履行。但由于我國民法典等現行法律沒有區分一般個人信息與敏感個人信息，一部分不具備私密性的民族或種族信息、人臉等生物識別信息、部分財產信息（豪華車車牌號、房產信息）、個人行蹤、身體健康等敏感個人信息，經常在新聞傳播活動中被公開。如某報“三樓這戶人家火了告了樓上15個鄰居”為題的一篇報道，公開了一位市民的相關個人信息，包括其姓氏（徐某）、大概年齡、住宅位置與面積價格、月收入等信息，因此被起訴侵害徐某隱私權——這些信息中，有些有私密性，屬于隱私（如月收入）；有些很難歸入隱私但屬于敏感個人信息（如房產位置與價格）。由于當時沒有對個人信息保護的法律，法院以新聞報道未侵害徐某隱私權為由，判決徐某敗訴。

當然，新聞報道、輿論監督涉及公共利益，所以民法典第九百九十九條賦予新聞傳播者對個人信息、姓名、名稱、肖像的合理使用權。然而，需要強調的是：立法者這里要求的是“合理”使用，并規定“使用不合理侵害民事主體人格權的，應當依法承擔民事責任”。而且，民法典同樣賦予個人信息主體知情同意權，因此，當新聞傳播者履行新聞傳播職責時，在是否應當尊重民法典第一千零三十五條規定的信息主體的一系列權利，以及是否應當告知信息主體其準備處理（傳播）的信息的目的、方式和范圍等問題上，存在模糊區域——而這些落入法官自由裁量權范疇的模糊區域，恰恰是新聞傳播者可能承擔相關民事責任的法律源頭。

“合理使用”只是一個針對使用諸多人格權益客體的原則性要求。當涉及敏感個人信息時，許多國家確立了三大共同核心規則：“禁止處理”“明示同意”“法定必要”：“禁止處理”指原則上禁止信息主體以外的他人（企業和行政機關）僅以識別自然人為目的處理敏感個人信息，包括新聞傳播；“明示同意”即經信息主體明確以書面形式表示同意，信息的“控制者”“處理人”等方可在法定的范圍內處理此類信息；“法定必要”即法律規定的可以不經信息主體同意而處理此類信息的事由，通常包括為工作職責、社會重大利益、公共利益的必需，為法律原因的必需，為數據主體和第三人的重大利益的必需和特定協會、組織、非營利組織內部在適當的安全保障措施之下進行的數據處理——需要強調的是：上述三大規則，是以“禁止處理”為原則，以“明示同意”“法定必要”為例外。而我國個人信息保護法（草案）雖未規定處理敏感個人信息的“禁止處理”原則，但明確處理敏感個人信息的，應取得個人的單獨同意和書面同意，而且還應向個人告知處理敏感個人信息的必要性以及對個人的影響，而新聞傳播未來同樣需要遵守這些規定。當然，是明示同意還是默示同意，尚留有“余地”。

更為關鍵的是，個人信息權主要強調信息主體對信息的支配，其權能包括了知情權（查閱權）、更正權、封存權、刪除權（被遺忘權）與收益權。在融媒體環境下，敏感個人信息的主體完全可以向新聞媒體提出刪除個人信息的要求，而此種情況下，如果缺乏公共利益及新聞要素及價值的合法合理依據，新聞媒體將面臨成本、流量與侵權責任之間的抉擇。而考慮到新聞傳播的時效性及“慣例”，新聞傳播機構很難答應個人信息主體的要求，因此，當被起訴時，其是否承擔民事責任，關鍵在于法官如何平衡新聞傳播涉及的公共利益與個人信息主體利益。

上述處理敏感個人信息的核心規則及個人信息權的權能，事實上也為新聞傳播者劃出了“合理使用”的大致邊界，當然，這個邊界的清晰化還應當尊重新聞要素與新聞價值基本要求——考慮到新聞價值的彈性，在這個方面，未來更重要的可能是法官的利益平衡。

跨出“合理使用”的邊界可能會導致民事責任，但是否必然導致民事責任，還取決于立法規定的相關侵權責任構成要件及其司法適用。

三、新聞傳播侵害非私密性敏感個人信息民事責任的過錯要件

人格權益糾紛為適用過錯原則的一般侵權，其責任構成要件包括過錯、非法行為、損害、因果關系。我國《民法典·人格權編》將個人信息權（益）進一步定性為人格權益，相關侵權糾紛其無疑適用過錯歸責原則，需要包括過錯在內的四個構成要件，而且需要原告承擔證明責任。但如前所述，個人信息涉及人身權、財產權，也涉及國家和公共安全、利益和秩序，其性質在法理上是一種新型綜合性權益，而絕非以人格權可以簡單界定。

從民事歸責原理上，過錯責任原則也并不適合個人信息權益糾紛，這主要取決于兩大因素：

一是侵權客體的特征。在目前的人格權糾紛中，適用過錯歸責原則的糾紛主要是精神性人格權糾紛，如涉及姓名權、肖像權、名譽權、榮譽權等糾紛；過錯推定責任下的侵權行為，其侵權客體往往是侵權法上的物質性人格權即生命權、健康權和身體權，中外侵權法皆如此。而個人信息侵害糾紛中，盡管原告有人格尊嚴被侵害的感覺或認識，但其被侵害的更多是物質性人格權（人身安全）或財產權益。

目前，因違法收集個人信息而侵害或威脅他人人身甚至生命或財產權益的案件屢有發生。第一類是獲取他人敏感信息后在網上傳播，導致被侵權人自殺或死亡，前者如“花季少女不堪‘人肉’投河身亡”案；后者如“徐玉玉案”，因被侵害個人信息權益，致財產權損失，繼而導致死亡。第二類是威脅他人人身和財產安全，如武漢女大學生受淘寶店主威脅案，該案中，女大學生小付受到威脅的個人信息權益內容，主要是人身自由、財產，當然，也兼及姓名、名譽、隱私。因此，民法學界早有學者提出：“提供內容服務的網絡服務提供者，對權利人要求其提供侵權行為人在其網絡的注冊資料以追究行為人的侵權責任，無正當理由拒絕提供的，推定其有過錯，承擔相應的民事責任。”

二是個人信息侵權的特點：（1）包括新聞傳播機構在內的個人信息控制者和處理者對個人信息的處理和利用，可在不被個人信息主體知道的情況下秘密進行。（2）個人信息的收集、處理和利用，需依靠高新科技，行為人大多受過相關的專門訓練，手段隱蔽，而不具備此方面知識、技術的個人信息主體很難掌握。（3）對個人信息的侵犯往往有較寬廣的時間和空間跨度——上述特點，使個人信息主體證明個人信息控制者的過錯基本不可能。相反，包括新聞傳播機構在內的個人信息控制者和處理者在對個人信息的收集、處理和利用等環節，會遵循一定的程序，留下程序記錄，對其“不存在過錯”的舉證負擔較輕。因此，應當由行為人即個人信息控制者和處理者承擔沒有過錯的舉證責任。

由于將個人信息權作為一種新型綜合性權益，而非人格權，在已經制定了對個人信息權進行專門法律保護的歐洲國家，對包括新聞機構在內的信息控制者和處理者適用過錯推定歸責原則已成為主流趨勢。歐盟《通用數據保護條例》第82條第3款規定：“如果能證明對引起損失的事件沒有任何責任，那么其可以免除損害賠償責任。”——事實上，該規定一石二鳥：對損害也適用推定。

由上，對個人信息權益侵害糾紛，尤其是涉及個人敏感信息權益的侵權糾紛，不宜適用過錯責任原則。

由于目前我國個人信息保護法（草案）未就個人信息權益侵害糾紛的歸責原則進行規定，在訴訟中顯然有利于新聞傳播者。但鑒于個人信息權益糾紛的特點及學界的呼吁，未來《個人信息保護法》不排除采納過錯推定甚至無過錯原則的可能性——如此，新聞傳播者在此類糾紛中將面臨不利局面。

四、新聞傳播侵害非私密性敏感個人信息民事責任的損害認定

損害認定是新聞傳播侵害個人信息權益責任構成要件中另一個難點問題。個人敏感信息訴訟中的損害認定事實上涉及兩個問題：

（一）損害的認定

敏感信息處理侵權行為通常屬于“程序性違法”，例如作為信息控制者、使用者的新聞傳播機構，在采集、儲存、使用個人敏感信息中未履行通知、告知義務，侵害了信息主體的知情權、同意權，但這種違法行為并不一定對信息主體造成實際“損害”；即使有實際損害，是何種程度的損害，不僅信息主體在訴訟中很難證明，而且立法很難預判，只能在司法實踐中根據具體案情進行裁判——學界也認為，這種情況會造成損害賠償標準的不確定。

對于損害本身的認定，目前有效的法律處理方法是法定賠償和原告證明責任免除。美國伊利諾伊州的《生物識別信息隱私法案》在此方面的探索頗為典型：信息主體可申請實際損害賠償，也可申請法定賠償，以兩者間較大數額為準；法定賠償標準為最低1000美元，最高5000美元；訴訟費用由違約一方承擔；還可申請禁制令等其他救濟措施。例如，在著名的羅森巴茨訴六旗娛樂公司（Rosenbachv.SixFlagsEntertainmentCorp）案中，原告羅森巴茨指控被告六旗娛樂公司違法收集并傳播了其未成年兒子的指紋信息，因此要求賠償。而被告認為原告并未因此遭受“實際損害”，其提出要求賠償的依據僅僅是因為被告沒有遵守法定程序，不足以支持其賠償要求。伊利諾伊州最高法院認為《生物識別信息隱私法案》已經確定個人對于自己生物識別信息所享有的隱私權及信息控制權益，因此當企業不遵循該法規定的法定程序時，便損害或剝奪了信息主體的法定權益，而遭到侵害的信息主體依據該法尋求法律救濟時無需證明其他損害結果的存在。

（二）因果關系認定

在虛擬空間中的取證本身就有與現實不一樣的困難，而且，網絡活動的跨國界性，各國在證據法規定上的不同，都使個人信息侵權的取證極其困難，因果關系得到充分證明的可能性更為渺茫。對于因果關系的處理，證明責任倒置是有效的處理方法。歐盟《通用數據保護條例》中，將損害分為物質損害和非物質損害，規定信息主體對兩種損害都有機會提起賠償請求：對于信息控制者，其應當對所控制的個人信息的所有違法處理的損害承擔責任；對于信息處理者，其僅在違反對處理者特定要求或未遵守控制者指示范圍內承擔損害賠償責任。重要的是，如前所述：該條例不僅對過錯適用推定，對損害也適用推定：要求信息控制者和處理者證明對引起損失的事件沒有任何責任，方可以免除損害賠償責任。

我國將敏感個人信息定性為人格權益，從侵權責任構成要件來看，信息主體在訴訟中不僅要證明過錯，還要證明實質損害及因果關系，即從民法上找到損害賠償的具體“損害”。而隱私權糾紛中，除精神損害賠償外，物質性（財產性）的損害賠償是不存在的。因此，在個人信息糾紛中，損害要件的成立往往難以認定。在2013年我國發生的“2000萬開房信息泄露案”中，上述問題暴露無遺。法院認為，原告王金龍被泄露的信息，其擴散渠道不具有單一性和唯一性，難以僅憑部分信息的一致判斷網上流傳的信息就是被告漢庭酒店留存的信息，故駁回原告王金龍的訴訟請求。

因此，如果將個人敏感信息作為一種新型綜合性權利，對損害的認定可適用特殊的、不同于人格權糾紛的認定規則。

五、結論

個人信息保護水平與名譽、隱私、肖像保護一樣，是一個社會文明進步的表征。盡管目前我國尚未出現非私密性的個人敏感信息權益侵害訴訟，但基于個人信息權益被列入《民法典·人格權編》，最高人民法院已確立個人信息糾紛作為與隱私權并列的案由。新聞傳播者應該意識到：比起名譽權和隱私權糾紛，這種使新聞傳播與法庭關系更近的糾紛漸行漸近。

作為人格權益糾紛、掛靠在隱私權糾紛案由下的個人信息糾紛，適用過錯歸責原則，需要由原告證明侵權責任的四個構成要件，且民法典也規定有公共利益抗辯，這些都有利于新聞傳播者。然而，基于學界呼吁及對國外相關法律制度的借鑒，未來個人信息保護法律制度可能會做出修正。而且，在不影響新聞價值時，盡量不公開采訪對象及他人的非私密性敏感個人信息，是時代對新聞傳播工作提出的更高層次的要求，也是新聞傳播者避免侵權訴訟的理性之舉。

【注釋】

[1]個人信息保護法（草案）.第二十九條[Z].2020-10-21.

[2]民法典.第1034條第2款[Z].2021-01-01.

[3]王成.個人信息民法保護的模式選擇[J].中國社會科學，2019(06)：126；王利明.論個人信息權在人格權法中的地位[J].蘇州大學學報(哲學社會科學版)，2012(06)：70.

[4]陸小華.信息財產權——民法視角中新財富保護模式[M].北京：法律出版社，2009：67.

[5]潘林青.面部特征信息法律保護的技術誘因、理論基礎及其規范構造[J].西北民族大學學報(哲學社會科學版)，2020(06)：78.

[6]程嘯.民法典編纂視野下的個人信息保護[J].中國法學，2019(04)：26-43；包曉麗、熊丙萬.通訊錄數據中的社會關系資本——數據要素產權配置的研究范式[J].中國法律評論，2020(02)：150.

[7]馬長山.智慧社會背景下的“第四代人權”及其保障[J].中國法學，2019(05)：16.

[8]PamelaSamuelson.PrivacyasIntellectualProperty?[J].Stand fordLawRev，2000(05)：1126；JerryKang.InformationPrivacyinCybers paceTransactions[J].StandfordLawRev，1998(Vol.50)：1193，1246－1294；劉德良.個人信息的財產權保護[J].法學研究，2007(03)：81；姬蕾蕾.大數據時代個人信息財產權保護研究[J].河南社會科學.2020(11)：23.

[9]齊愛民.拯救信息社會中的人格：個人信息保護法總論[M].北京：北京大學出版社，2009：79.

[10]個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開等活動，此處的“公開”包括新聞傳播。

[11]民法典.第1035條[Z].2021-01-01.

[12]歐盟通用數據保護條例.第9條第2款[Z].2018-05-25.

[13]個人信息保護法（草案）.第30-31條[Z].2020-10-21.

[14]黃立靖.“廣東人肉搜索第一案”終審宣判[N].人民法院報，2014-09-07(01).

[15]沈寅飛.徐玉玉案調查[N].檢察日報，2016-10-12(03).

[16劉孝斌.女大學生網購遭威脅：不刪差評就把信息賣給色情網站[N].楚天都市報，2016-05-20(05).

[17王利明.中國民典學者建議稿及立法理由·侵權行為編[M].北京：法律出版社，2005：80.

[18]張濤.個人信息權的界定及其民法保護[D].吉林：吉林大學，2012：83.

[19]王峰.艱難維權：五起個人信息泄露案件分析[N].二十一世紀經濟報道，2015-01-19(05).

[20]Biometric Information Privacy Act.740ILL.COMP.STAT.§14/1（2008）.

[21]Rosenbachv.Six Flags Entertainment Corp.，2019IL1231 86，Supreme Court of Illinois.

[22]歐盟通用數據保護條例.第82條第23款[Z].2018-05-25.

[23]王巍.2000萬條開房信息泄露案：被告愿獎20萬查找真兇[N].法制晚報，2014-02-15(01).

[24]事實上，許多不具私密性的敏感個人信息侵害糾紛是以隱私權糾紛案由立案的。