大數據時代個人信息侵權責任研究

上海師范大學 孫銅

一、大數據時代個人信息概述

（一）個人信息的概念

個人信息是指依靠某些編號和身份因素可以直接或者間接鎖定到個人的任何信息。目前，有關個人信息的概念主要采納識別說的理論[1]。該學說從識別性角度界定個人信息，認為只要能通過直接或者間接的方式定位到某個特定個人的信息即可認定為個人信息。我國《網絡安全法》第76條也以識別說來定義個人信息，《民法典》也是如此定義，能夠直接或間接識別自然人身份的各類信息為個人信息[2]。

（二）個人信息權的法律屬性

學術界和法律界對個人信息權的法律屬性有各種討論，有人認為個人信息權是憲法基本權；有人認為個人信息是一種人格權；還有人認為個人信息權等同于隱私權；也有人認為個人信息權應在財產權范圍內。筆者贊同個人信息權是一種復合權利，個人信息權兼具人身和財產的屬性。個人信息權與人身自由、人格尊嚴等人格權特征相關，具有人格權屬性毋庸置疑。同時個人信息權還具備財產權屬性，隨著大數據時代的到來，個人信息的流通性增強，其潛在價值越來越明顯，個人信息逐漸趨向商品化，作為一項重要資源在市場進行交易。某些市場主體在利益驅動下，擅自收集并濫用個人信息來獲取巨額利潤，這正是個人信息具備財產屬性的表現[3]。

（三）大數據時代個人信息侵權的特殊性

1.侵權主體的虛擬性和廣泛性

在大數據背景之下，侵害個人信息的主體可能是某一網絡用戶、網絡服務提供者、網絡運營商、也可能是國家機關等。侵權人在網絡上收集、傳播他人的個人信息，從而造成損害信息主體的后果。計算機技術不斷發展與進步，網民人數不斷增加，任何人都可能變成隱形的個人信息網絡侵權主體。而被侵權人面對虛擬的互聯網和廣泛的網絡用戶卻難以確認個人信息是在何時被何人侵犯。

2.侵權行為方式的多樣性與技術性

與個人信息侵權相較，個人信息網絡侵權體現了更高的技術性。例如互聯網追蹤系統對個人信息的收集，針對個人的瀏覽喜好推送相關廣告信息，這種侵權行為很難被受害人發現。隱蔽性和技術性是個人信息網絡侵權的主要特征，這種特征使得我們在確定侵權主體、侵權行為時存在一定的困難，不利于被侵權人的權益救濟，不能盡快消除風險，難以對侵權人進行追責。

個人信息侵權行為和侵權結果之間具有非常復雜的因果關系。因為大數據時代掌握個人信息的主體廣泛，網絡主體在信息流通的各個環節都可能對個人信息進行非法收集、管理和使用。所以在侵權后果出現后，很難判斷個人信息的泄漏是發生在哪一流通過程。

二、大數據時代個人信息侵權責任的困境

（一）我國個人信息權的立法現狀

2017年我國《民法總則》第111條[4]提出對個人信息的保護，但僅僅是當作一種權益進行保護，既沒有明確信息主體對個人信息所享有的各項權利，也沒有規定侵權者應收到的處罰。即便個人信息權已經在學界得到普遍認可，但是在個人信息侵權判例中，沒有明確的法律可以依據[5]。我國《消費者權益保護法》第14條[6]也同樣明確了個人信息依法受到保護，第29條對信息控制主體收集、使用消費者個人信息方面的義務和準則作出了規定。《網絡安全法》第40條規定，信息控制主體對其收集的個人信息負有維持擁護個人信息隱秘性的義務，應當充分保障信息主體的個人信息不受非法侵害，并提出了信息控制主體應當建立個人信息保護制度的要求。

以上法律對個人信息保護作出規定，但關于侵權人所應收到的處罰仍處于空白狀態。個人信息受到侵權時，只能依靠隱私權或其他人格權的規定進行處理，但以上權利都無法完全包含個人信息權的特殊性。

（二）大數據時代個人信息侵權的困境

1.個人信息權的認定不統一

我國法律沒有明確規定個人信息權，僅在《民法總則》第 111條規定了個人信息的保護。司法實踐中存在個人信息侵權行為界定難的問題，因此信息主體往往通過隱私權、名譽權以及一般人格權糾紛向法院提起訴訟，但個人信息權與隱私權有很大的區別，其保護目的也不一致，權利界定不清會使信息主體的個人信息在遭受到侵權時無法根據個人信息權侵權進行權利的主張，損害難以得到救濟。

2.歸責原則較為單一

大數據時代個人信息侵權行為表現為多樣化、復雜化，僅靠過錯責任歸責原則來認定個人信息侵權責任過于單一，對信息主體來說明顯不利。《侵權責任法》確立的多元歸責原則，采取一般性原則規定加特殊類型侵權歸責原則的特別模式，具有一定合理性與實用性，能夠給個人信息侵權責任歸責原則認定提供部分法律依據，但實踐中仍有不足。

在某些發達國家，水果大約有90%以上、蔬菜約有70%是經運輸后進入銷售環節。近年來，隨著我國商品經濟的飛速發展，果蔬運輸也受到了前所未有的重視。

3.缺乏免責事由的規定

當前個人信息侵權歸責只能適用《侵權責任法》的一般規定。個人信息作為一項人格權具有人格利益毋庸置疑，同時個人信息還作為重要的商業資源在市場發揮重要作用，僅靠《侵權責任法》免責事由的一般規定無法平衡其中的利益關系，阻礙了個人信息的流通和利用，不利于公共管理和社會的健康發展，無法全面保障相關主體的合法權益。

三、大數據時代個人信息侵權責任的完善建議

（一）明確個人信息權利

我國目前對個人信息的保護立法散見于各層級的法律之中，但僅僅是將個人信息作為法律上所保護的利益，損害了個人信息權積極主動性所帶來的商業價值和信息市場流通價值。而且我國的司法實踐因缺乏個人信息救濟的法律依據，一般是通過隱私權或者一般人格權來保護個人信息，不全面且沒有針對性。因此，個人信息權作為一項兼具人格權益和財產權益的民事權利具有獨立的價值，應當單獨確立。若要更好地保護自然人的個人信息，當前我國需要進一步對個人信息權進行確定，使個人信息侵權責任認定有法可依。

（二）確立多元的個人信息侵權責任歸責原則

目前我國個人信息侵權責任認定的歸責原則適用一般過錯責任，單一的歸責原則不能協調侵權行為人和被侵權信息主體兩者間的利益關系，無法全面保障信息主體的合法權益，難以解決現實問題。本文認為我國可借鑒發達國家或者我國臺灣地區的規定，結合司法實踐對相關規定進行細致與完善。

1.公務機關及法律法規授權組織適用無過錯責任原則

對于公務機關和法律法規授權組織的個人信息侵權責任歸責原則可以借鑒德國和中國臺灣地區的規定，采取無過錯責任原則，即公務機關和法律法規授權組織的行為侵害了信息主體的個人信息權，無論主觀上存在過錯與否都要承擔侵權責任。采用此規定的原因在于：其一，處于弱勢地位的信息主體不僅難以在第一時間發現公務機關的權害行為且舉證也存在困難。其二，公務機關基于管理或政治目的之需要，在法律的授權之下往往會收集、管理和利用大量真實具體的個人信息，具有合法性與強制性，因此應當對公務機關的侵權責任規定得更加嚴格。其三，國家公務作為行使國家權力的機關，應保證其公信力。

2.非公務機關適用過錯推定責任原則

與一般侵權行為相比非公務機關的侵權行為具有隱蔽性，侵權人占據優勢地位，若由信息主體承擔舉證責任十分困難而且維權成本高昂，不利于維護信息主體合法權益。若統一便用無過錯責任原則，不符合公平原則。公務機關是在法律允許之下出于管理國家或者公共利益之目的對個人信息進行收集、處理和使用，而非公務機關是基于與信息主體的約定而進行，二者之間的侵權責任歸責原則應是不同的，若非公務機關適用無過錯責任原則，太過嚴格，重心完全偏向信息主體的個人權益會阻礙信息的利用。所以，非公務機關的個人信息侵權應適用過錯推定責任原則，實行舉證責任倒置，侵權人證明自己實施侵權行為主觀上不存在故或者過失。這樣的規定能很好解決司法實踐中受害人舉證困難等問題，平衡侵權主體和信息主體兩者的利益關系，有利于信息的流通與使用，促進信息產業的發展與進步，對社會影響深遠。

（三）明確規定個人信息侵權責任的免責事由

個人信息侵權責任免責事由的設立一方面是在形式上彌補概括式立法的不足，解決侵權歸責過程中的例外情形；另一方面是維持個人信息權利保護與信息資源利用流通的平衡。對個人信息權保護的是現實需求，但過度寬泛的保護對于信息的利用和流通存在一定的影響。因此需要明確免責事由來平衡兩方的矛盾。在大數據時代，僅采用侵權一般免責事由將不利于個人信息的開發和利用，還應從以下幾個方面對個人信息的免責事由做出補充。

1.被侵權人同意

被侵權人同意這一免責事由在許多國家信息保護法中都有所體現，只要被侵權主體在對個人信息處理時沒有做出明確反對的表示，被侵權主體就可以對一般信息收集和利用。對于個人敏感信息，收集和利用之前必須獲得個人信息主體的明確同意。如果個人信息主體在符合公序良俗的情況下，以明示或默示的方式同意公開其個人信息，信息主體因此會喪失對公開的部分信息的控制權，隨后他人再傳播、利用其信息也就不承擔責任。

2.新聞自由和學術研究需要

在大數據時代，新聞報道承擔及時收集和傳遞信息的責任，但難免造成個人信息暴露在公眾環境之下，與個人信息保護的目的相悖。若過度限制新聞報道，新聞自由的優勢和目的難以達成。因此，可以借鑒我國臺灣地區的規定，新聞工作者在工作范圍內有合理使用信息主體個人信息的權利，因工作目的合理使用給信息主體造成損害的，新聞工作者不承擔個人信息侵權的責任，但前提是新聞工作者不存在重大過失。

學術研究是建立在大量數據的統計分析基礎上的，必須在其研究目的框架內對個人信息進行收集使用，同時做好保密措施。學術研究使用的信息比較敏感，信息主體應及時的采取有效措施，對個人信息進行匿名化處理，防止對個人信息主體帶來負面影響。為學術研究的不斷進步，在不對個人信息造成重大影響下，免除侵權責任也是合理的。

3.公共利益需要

我們既要考慮法律對個人信息的保護也要考慮個人信息對社會發展的重要作用。基于國家安全或者社會管理等公共利益的需要個人需要作出一定讓步。基于公共利益的需要而收集、處理和使用個人信息的行為較為普遍。比如公安機關打擊犯罪行為，國家機關制定國家政策而收集、處理公民個人信息。因此，應將公共利益之需要作為個人信息侵權責任的免責事由，平衡個人信息的保護和維護公共利益兩者的關系，完善侵權責任認定制度。

四、結語

在大數據時代，個人信息侵權現象已經屢見不鮮，社會各界對個人信息保護的呼聲越來越高。我國應首先在立法上明確規定個人信息權，其次針對我國個人信息侵權的特點和問題，提出歸責原則和免責事由。完善個人信息侵權的法律規定，填補法律漏洞，就可以使科技變革與法制建設同步前進。