淺析敏感個人信息的民法保護

李芳

摘要：隨著大數據時代的發展，個人信息泄漏事件越來越頻繁，尤其侵害敏感個人信息對個人造成的損害難以彌補。2021年8月20日頒布的《個人信息保護法》，實現了對敏感個人信息的明確立法保護;為數字化時代又增添了一層保護膜。雖然個人敏感信息有了宏觀的立法規定，但是《個人信息保護法》處于起步階段，對于司法實踐的具體實施可能存在一定的過渡期。本文從敏感個人信息的立法現狀、概述、侵權責任保護方面闡述了對個人敏感信息的民法保護。

關鍵詞：敏感個人信息; 《個人信息保護法》; 侵權損害

1研究背景以及我國立法現狀

1.1問題的提出

隨著科學技術的發展，我們的生活越來越數字時代化。消費幾乎全靠手機支付。但是隨著支付app的不斷升級，人臉識別即可支付;除此之外，小區物業也通過安裝人臉識別系統方便業主進出小區。科技的進步是給我們的生活帶來了極大的便利，但也會危及我們的個人信息安全。去年，人臉識別第一案引起了社會的關注，這樣一個典型案例在學界引發了激烈的討論，人臉識別中對個人敏感信息的保護是否遵循了“合法、正當、必要”的原則【1】。

1.2我國立法現狀

2021年8月20日通過的《中華人民共和國個人信息保護法》對個人敏感信息進行了規定，體現在第二章第二節“敏感個人信息的處理規則”。首先規定了敏感個人信息的大致范疇，以人格尊嚴、財產安全為標準以及未成年人的個人信息;個人信息處理者需要在特定目的以及充分必要性且采取了嚴格的保護方案的前提下才可以處理敏感個人信息;其次，同意要件：要單獨取得個人的書面同意;對于未成年人個人信息，需要取得其父母或者其他監護人的同意，再之是一些其他規定。如果敏感個人信息遭受侵害，還可以結合《民法典》的侵權責任編、人格權編進行保護【2】。 在此之前，2012 年發布的《個人信息保護指南》明確規定“個人信息可以分為個人敏感信息和個人一般信息，”打開了我國敏感個人信息保護的閘門。

2敏感個人信息保護的問題

2.1敏感個人信息的定義

敏感個人信息如果按照個人的主觀理解就是“使人敏感的信息”。如果照此理解，每個人的主觀感知是不一樣的，就無法衡量標準。雖然法條并沒有明確“敏感”是以何種為標準來判定，但以主觀意識來判斷顯然是不符合立法意旨的。有學者提出以權益侵害風險為基準來判斷，即容易導致侵害的發生，即使不一定發生侵害，其一定存在侵害的風險【3】。 因為敏感個人信息的特殊性，所以其權益侵害的風險門檻自然很低，那么造成的損害標準只要達到一般即可。

有學者通過靜態列舉模式和動態情景模式來進行定義，靜態列舉其中一項標準就是上述的權益侵害風險，另外一項是指歧視標準，是指個人信息被泄漏之后暴露了信息主體，由此可能使個人遭受不平等對待;動態情景模式是指通過特定的場景來確定【4】。

2.2敏感個人信息的范圍

《個人信息保護法》第二十八條的規定，敏感個人信息涉及人格尊嚴、財產安全以及十四周歲未成年人的個人信息。首先，在《憲法》中對人格尊嚴進行了規定，由此可見它的重要性。其次，財產安全方面，當敏感個人信息受到侵害的時候，無疑會損失相應的財產。最后，未成年人個人信息保護，需要取得其父母或者監護人的同意，我認為應該和監護制度一樣，通過具體的規則來規制父母或者監護人，以防父母或者監護人濫用同意權，造成不可挽救的損失。

2.3敏感個人信息與隱私權的區別

隱私權屬于敏感個人信息？隱私權和敏感個人信息對我們來說都是同等的重要，同時也存在交叉，但并不代表二者就可以等同。二者的范圍不同， 隱私是完全不想讓人知道的，而敏感個人信息取得個人單獨的書面同意是可以進行處理的，也就是敏感個人信息在特定的條件下是可以公開的。二者的權利性質不同，從上述隱私權的不可公開性，具有排他性，隱私權是絕對性的權利。而個人敏感信息其歸屬于個人信息，《民法典》和《個人信息保護法》也沒有對其進行明確的規定，從體系解釋的角度來看，不能把它歸為權利【5】， 上述提到的敏感個人信息符合特定條件可以被處理，也就是其本質上具有公開性，這樣就不具備排他的絕對性 。二者的商業利用，隱私權的絕對性決定了其不得用于商業用途，而個人信息是在合理利用的條件下能發揮其相應的商業價值。但是，當隱私權在符合敏感個人信息所要求的侵害權益風險敏感度的時候就成為了敏感個人信息。

3敏感個人信息的侵權責任保護

3.1告知同意規則

《個人信息保護法》第29、30條規定了告知同意規則，這一規則從理論上來說是非常有利于保護敏感個人信息的。但是真正的落實到實踐的很少見。最典型的，我們手機上使用的各種軟件，在登陸使用前必須同意《用戶協議》《個人隱私政策》，其中的內容過于冗長，一般很多人都不會點進去仔細閱讀，如果不勾選同意，那這個軟件就用不了，所以每個人都不得不點擊同意。

3.2歸責原則

侵權責任規則原則分為無過錯原則、過錯原則以及過錯推定原則。《個人信息保護法》第69條第1款規定侵害個人信息的歸責原則為過錯推定。過錯推定舉證責任倒置，這樣就能減輕受害人的舉證負擔，更好的保護受害人的權益。并且個人信息處理者與個人存在地位的不對等，所以沒有采用過錯責任原則，否則不利于保護個人信息權人 。

但是，敏感個人信息的保護程度明顯就要高于其他一般個人信息，所以敏感個人信息的歸責原則就應該有所區分。采取無過錯歸責原則，敏感個人信息涉及個人的人格尊嚴、財產安全、未成年人個人信息等比較大的法益保護，對其的處理存在著高度危險性，那么一旦發生敏感個人信息的侵權，信息處理者就應當承擔較高的責任，適用無過錯歸責原則，還能避免雙方因為過錯與否引起的矛盾【6】， 促使個人信息處理者在對敏感個人信息處理的時候提高警惕。

3.3損害類型

在此損害的類型本文把它分為發生實際的損害和實際未發生損害。謝鴻飛教授在對敏感個人信息損害確定的文章中寫到了敏感個人信息損害出現與否的觀點，對于侵害敏感個人信息主要是三種途徑：第三人的欺詐導致財產的損害、發送垃圾短信、算法分選的歧視。一旦發生侵權，依據過錯推定原則來處理。最重要的便是侵權行為發生了，但是一直沒有出現損害后果，那么個人信息權人要么擔心未來遭受財產的損失，要么由此造成一種焦慮。這樣兩種不同對未來的擔憂是否可以算作財產損害、精神損害【7】。

3.4具體保護

敏感個人信息侵權依據《民法典》和《個人信息保護法》，在《個人信息保護法》中強調的是多元保護：民事責任、刑事責任、行政責任。第六十六條至第六十八條的行政處罰，對主管人員給予罰款，甚至吊銷營業執照;第六十九條民事侵權責任：損害賠償責任和獲利返還;第七十一條，構成犯罪的追究其刑事責任。《民法典》人格權編和侵權責任編也是可以適用保護敏感個人信息，敏感個人信息與人格尊嚴息息相關，可以適用人格權請求權、人格權禁令、精神損害賠償進行侵權保護。

4結語

上述提到的關于手機應用軟件的告知同意規則，各大應用軟件的《個人隱私保護政策》可以設置“不同意”選項，這樣就能充分保證用戶的同意權，并非強制同意;在內容排版上，把涉及敏感個人信息的內容設置成彈窗方式，自動彈出，讓用戶清晰明了的看到，充分落實告知同意規則。總之，《個人信息保護法》對敏感個人信息的保護發揮了重要的作用，隨著我國法治建設的高質量發展，未來對敏感個人信息的保護也會更完善。

參考文獻

[1]周健宇，周晨洋.淺析敏感個人信息的界定與保護[J/OL].征信，2021（11）：1-10[2021-11-25].

[2]王利明.《個人信息保護法》的亮點與創新[J/OL].重慶郵電大學學報（社會科學版）：1-16[2021-11-25].

[3]寧園.敏感個人信息的法律基準與范疇界定——以《個人信息保護法》第28條第1款為中心[J].比較法研究，2021（05）：33-49.

[4]姬蕾蕾.大數據時代個人敏感信息的法律保護[J].圖書館，2021（01）：99-106.

[5]張新寶.論個人信息權益的構造[J].中外法學，2021，33（05）：1144-1166.

[6]程嘯.論我國個人信息保護法中的個人信息處理規則[J].清華法學，2021，15（03）：55-73.

[7]謝鴻飛.個人信息泄露侵權責任構成中的“損害”——兼論風險社會中損害的觀念化[J].國家檢察官學院學報，2021，29（05）：21-37.