《個人信息保護法》的亮點條款與內容局限法律規制研究

□ 文 李 莉

0 引言

隨著大數據與互聯網時代的深度發展，網絡空間逐漸成為人們交流信息的平臺，在網絡帶來極大便利的同時，網民的個人信息也無處遁形，其中不乏市場主體實施非法搜集使用網民個人信息的違規違法行為，《個人信息保護法》的出臺不僅明確了舊法之規定，更是對時代的回應。其中首次適應個人信息未來流動趨勢將個人信息保護管轄范圍擴大至域外，區分并重點保護敏感個人信息，明確采用過錯推定歸責原則以填補侵權私法救濟缺陷，確立知情加同意原則更是使得個人信息保護落到實處。但目前個人信息法律屬性仍不明，應定位為一項法定權利而非法益，敏感個人信息不宜籠統照搬過錯推定責任原則，應與一般個人信息區分適用無過錯責任原則，網絡侵權具有開放流動特性嚴格比照侵權要件很大可能會使信息主體維權愿望落空，侵權因果關系可采用高度可能性標準加以判斷。

1 《個人信息保護法》的亮點條款解讀

1.1 適用范圍擴大至域外

已有的法律法規對個人信息的保護僅局限于境內，無法適用互聯網時代發展趨勢。根據《電信和互聯網用戶個人信息保護規定》第二條，“在中華人民共和國境內提供電信服務和互聯網信息服務過程中收集、使用用戶個人信息的活動,適用本規定。”是將個人信息保護的適用范圍，限制為域內，并不產生域外效力。其次，《網絡安全法》第二條也一并采用域內適用范圍，《民法典》對此沒有作出明確規定。

面對以上保護危機，《個人信息保護法》承擔了使命，首次明確了在境內使用個人信息的活動，受我國法律管轄，在境外使用個人信息的活動，我國同樣有權管轄。此項規定，不僅關注到網絡空間的域外性，個人信息既在國內流動也在國際流動，在國際交往中個人信息跨境流動更是隱患重重，稍有不慎網民的信息很容易被收集利用。《個人信息保護法》還明確了我國對個人信息的“長臂管轄”，為未來有效規制個人信息域外保護提供法律依據。

1.2 增加敏感個人信息的規定

《個人信息保護法》借鑒了歐盟《一般數據保護條例》的做法，首次將個人信息區別為敏感個人信息與非敏感個人信息。一方面，明確了敏感個人信息的范圍，敏感信息是指一旦泄露或被非法使用，將對人格尊嚴和人身財產安全造成嚴重侵害的信息。另一方面，將未滿十四周歲未成年人的個人信息，納入敏感信息范疇，加強了對未成年人的保護。

增加敏感個人信息規定，有利于保護網民個人信息的合法權益。正如前文提到，相較于非敏感個人信息，泄露或濫用敏感個人信息，對人格尊嚴和人身財產安全造成危害更大，因此將其區別對待，予以更嚴格的管理要求，是理所應當的。例如，網民的指紋等生物特征信息泄露時，必然會擔心諸如電子鎖被盜竊的危險，而此種心理的不安和壓力，人身財產安全的損失，是非敏感信息難以比擬的。《個人信息保護法》采用“單獨同意”與“書面同意”處理規則，以及“再次告知義務”，予以更嚴格、規范的適用要求，顯然，更加合理與必要。

其次，利于平衡個人信息利用與保護的關系。在互聯網時代，信息交流成為必要，完全禁止個人信息的利用是不現實的，如何規制個人信息的利用與保護成為核心問題，對個人信息敏感與否的區別，有利于進一步劃清保護與利用的邊界。

1.3 明確侵權責任歸責原則

侵權責任是個人信息權益的重要救濟途徑，法律應明確其歸責原則，合理對個人信息主體傾斜，為其提供有效私法保護路徑。個人信息之侵權責任，《民法典》人格權編僅作“個人信息應受法律保護”規定，將個人信息保護途徑指向了侵權責任；侵權責任編，又未具體規定歸責原則，按照一般侵權責任原則出發，侵權責任應為過錯責任原則。但是，在互聯網時代，網絡信息流動速度快，信息收集、儲存、處理、使用環節復雜，信息主體不再單一，且存在信息主體交叉現象，要求經濟、技術實力處于弱勢的網絡用戶，承擔證明信息處理者具有過錯的責任，責任較重，難度過大，網絡用戶甚至可能連基礎的證明事實都存在困難。如網絡用戶難以辨別和查清，究竟是誰客觀上實施了泄露信息的違法行為。

因此，《個人信息保護法》第六十九條，規定個人信息之歸責原則為過錯推定原則。一方面，減輕了被侵權人的舉證責任，利于網民個人信息權益保護。網民無須證明侵權人具有過錯，大大減輕了證明難度，極大提高信息主體維權積極性。另一方面，順應了互聯網時代發展潮流，一定程度上關注網絡行業發展需要。一是在過錯推定原則基礎上，網民雖不用證明信息處理者具有過錯，但仍需承擔基本事實的證明責任。二是與無過錯責任原則相比，只要信息處理者盡到了個人信息妥善保管、利用、處理義務，經過信息主體“知情同意”處理個人信息，非過失或故意的造成信息主體個人信息權益受損，信息主體者就不會面臨承擔侵權責任的法律風險。

侵權責任是個人信息權益的重要救濟途徑，法律應明確其歸責原則，合理對個人信息主體傾斜，為其提供有效私法保護路徑。

1.4 確立以“知情同意”為核心的個人信息處理規則

知情同意原則是指信息處理者在收集個人信息之前，須向信息主體充分說明，有關個人信息被收集、處理和利用的情況，并在知情的基礎上作出同意或拒絕的意思表示。《個人信息保護法》實際上細化了《民法典》關于知情同意原則的規定。《民法典》一千零三十五條、一千零三十六條，均明確收集個人信息應取得自然人同意，這兩條法條可視作確立了同意原則，但知情原則和拒絕權利無從依據。

《個人信息保護法》對此一一作了詳細明確規定，首先第十三條和第十四條分別確立了同意原則和知情原則。其次，第十五條、十六條賦予信息主體拒絕的權利，切實保障網民個人信息權益。而且，第十七條更是規定信息處理者應以簡單淺顯的文字履行告知義務，明確了告知何以達到知情權的標準。《個人保護法》通過較為完善的立法，確立“知情同意”個人信息處理規則，通過對信息處理者施加法律義務，賦予信息主體法律權利，指明了個人信息保護的請求權基礎，即“向哪個主體，依據什么法律規范，主張什么權利”的請求權基礎。

2 《個人信息保護法》的內容局限

2.1 個人信息作為民事權益不能實現完全保護

網絡用戶的個人信息不容網絡運營者侵犯，法律毋庸置疑應當保護，但將個人信息視為“權利”還是“法益”進行保護，存在學術爭議。筆者認為權益保護不能達到權利保護的效果。個人信息界定為一種民事權利，不僅在法律上受到保護，而且要求個人、企業、國家等都予以相當尊重，能夠達到個人和公權力都不受侵犯的地步。另外，個人信息權能夠為救濟提供法律依據，作為一項民事權利，自然適用侵權責任法有關救濟規則，這些都是作為權益保護所不具備的。

《個人信息保護法》將個人信息視為權益保護，可能意圖兼顧個人信息保護與利用的平衡，但這種關注網絡大數據行業發展的需求，是否意味著犧牲了網民的個人信息合法權益呢？因為，權利保護，要求任何人未經信息主體同意，不得進行任何收集和使用，享有一種絕對的、排他的支配權，在此種情況下，網民的個人信息很難受到侵犯。而作為權益保護，很難達到以上全面保護、完整保護的效果。

2.2 過錯推定原則不利于保護敏感個人信息

敏感個人信息與信息主體人身權益、財產權益緊密相關，對其收集、處理本身就具有高度危險性，一旦信息處理者管理不慎，造成的損害難以計算和彌補，采取過錯推定原則，其力度不足以保護敏感個人信息，否則，也不必將個人信息類型專作區分，因此對敏感個人信息的立法保護，理應設置更高的要求。根據《個人信息保護法》第六十九條規定，該條明確了個人信息侵權之歸責原則為過錯推定原則，主觀過錯采取一種責任倒置。也就是說，信息主體雖不用證明信息處理者主觀過錯，但仍有義務證明其他事實。

另外，許多情形下，過錯推定原則實際上給予了加害人逃避責任的機會。比如，身份證號碼、銀行賬戶等敏感個人信息，被泄露或者被非法利用，如果信息處理者能夠證明，非加害人過錯造成的，則無須承擔侵權責任，信息主體的權益無法得到維護，造成的巨大人身、財產損失無法彌補。因為，根據過錯推定責任，加害人想要證明其不具有過錯，尚屬可能，加之信息處理者往往是具有超強科技實力、證明能力的法人，證明不具有過錯的可能性更是大大提高。過錯推定責任原則實際上是國家給網絡大數據行業開了“一道口子”，一定程度上關注大數據產業進行信息利用的必須性，但這道“口子”不能延伸至敏感個人信息，敏感個人信息因其固有特性不宜適用過錯推定責任原則。

2.3 網絡侵權特性不適用傳統因果關系

由于網絡空間的開放性、流動性，信息主體很有可能在多個平臺上都填寫相關個人信息，當損害發生，難以唯一證明，某一個平臺具有因果關系，即無法向法院證明排除其他主體、其他渠道泄露的可能。侵犯個人信息因果關系證明難度，并不亞于證明主觀過錯的難度，正是由于個人信息因果關系難以證明，有學者統計司法實踐中導致接近一半的原告因此敗訴。

網絡空間侵犯個人信息權益，已無法照搬傳統的因果關系理論。另外，與傳統侵權不同，傳統模式下，侵權之因果關系較明晰，如食品質量不合格、侵犯肖像權、名譽權等。網絡侵犯個人信息的因果關系并不明顯，信息主體可能已經盡其全力證明，造成的損害，極有可能是某一個信息處理者實施的，如果嚴格按照傳統因果關系加以裁判，信息主體維權愿望將會落空，也不利于激發信息主體維權積極性。對因果關系證明標準，《個人信息保護法》并未作相關說明，筆者認為，《個人信息保護法》作為一部全方位、系統性保護個人信息的法律，應秉承其立法目的，指出合理有效的解決方式。

《個人信息保護法》作為一部全方位、系統性保護個人信息的法律，應秉承其立法目的，指出合理有效的解決方式。

3 《個人信息保護法》的未來完善趨勢

3.1 個人信息應權利化予以保護

個人信息法律屬性和民法定位學術存在爭議，《民法典》亦持謹慎態度較為保守稱之“個人信息”。有關法律屬性爭議首先是“權利”與“權益”二者的對立，其次是作為“一種新型權利”還是“獨立的人格權”之間的爭議。但無論是哪種說法，法益保護力度達不到個人信息保護需要亦無法有效解決現存侵害個人信息的行為，應賦予“個人信息權”的權利化定位。

有學者認為，從一個既存權利的具體化從而成立法律權利的合理性角度論證，證明難度較小，由此支持個人信息是一項獨立人格權,基于以色列學者Alon Harel論證一項新型權利方法論，個人信息正是人格權互聯網時代下的產物和網絡領域個人尊嚴的體現,并且二者內在理由高度一致，內涵價值都主張對人理性和權利的尊重。另有學者認為，個人信息應視為一種新興權利予以規制,首先個人信息權成立新興權利的判斷標準，一方面個人信息與已有的權利具有共同的法律基礎，人格權強調人的尊嚴和人的自由，個人信息同樣基于信息主體享有的信息自決權體現出對個人信息的尊重,另一方面，個人信息與已有權利又存在差異性，個人信息與隱私權相比具有明顯的財產屬性和一定程度上的可交流性。

無論以上“獨立人格權說”，還是“新型權利說”，都認同將個人信息視為某種權利作為民法定位，并且從域外經驗角度，“個人信息權”已經是國際主流趨勢，個人信息權權利化具有合理的法律理論基礎和正當性根據。

3.2 敏感個人信息應采用無過錯責任

敏感個人信息其本質上區別于一般的個人信息，若將一般個人信息保護方式籠統套用實在不妥，應根據個人信息的不同種類給予不同的保護。因此，一般個人信息應適用過錯推定原則，敏感個人信息適用無過錯責任原則。

一方面，為了協調社會各方利益，對一般個人信息采取過錯推定，能夠實現個人信息的保護與利用之間的平衡。基本事實證明責任由信息主體承擔，主觀過錯證明責任由信息處理者承擔，是較為公平地分配了雙方的權利與義務。其次，過錯推定，既能夠一定程度減輕信息主體的訴訟負擔，又能夠督促信息處理者足夠重視個人信息合法且合理的處理。

另一方面，關注到敏感個人信息對信息主體，人身權益、財產權益的重要意義，給予敏感個人信息更加嚴格的保護要求。過錯推定與無過錯責任的不同在于，證明的內容不同。過錯推定，加害人須證明，加害人沒有過錯；無過錯責任，加害人須證明，損害不是受害人的過錯引起的。信息處理者證明，沒有過錯，尚且容易，但證明個人信息的損害，不是信息主體過錯導致，實屬困難。這樣，對敏感個人信息的保護力度大大增強，又能在一定程度上，倒逼信息處理者謹慎對待敏感個人信息，有一定程度上預防敏感個人信息侵犯的作用。

3.3 因果關系宜采用高度可能性判斷標準

在司法實踐中，個人信息侵權之因果關系是成立侵權的一大難題，但也有法官適用“高度可能性標準”，認定信息處理者與個人信息遭受損害之間達到了一種高度可能性，破解了因果關系認定的謎題。

筆者認為，采用高度可能性判斷標準，認定個人信息因果關系，非常合理。第一，該標準仍然尊重原有的舉證原則，對原有的舉證制度不過多改變，由信息主體承擔舉證責任。第二，使得信息主體維權具有可實現性，網絡空間具有隱蔽性、匿名性，究竟是誰實施了侵害個人信息的行為，侵權人并不會留下姓名，且也無從查證，如果要求無論是技術還是經濟實力都較弱的信息主體，完全排除第三人渠道，去證明加害人侵權的唯一性，不具有現實性，違背法律不強人所難之原則精神。第三，信息處理者往往是具有較強證明能力的一方，要求承擔反證責任，并不會過于加重負擔，還會倒逼信息處理者更好地降低信息泄露的概率，利于個人信息的保護。

4 結束語

“法律的生命在于實施”。只有賦予個人信息權利化之保護，將一般個人信息與敏感個人信息分別適用過錯推定責任與無過錯責任歸責原則，結合事實根據采用高度可能性標準以認定侵權因果關系，才能真正促進個人信息全面保護，實現個人信息利用與保護之間的平衡，為個人信息保護構筑起一個更堅實縝密的屏障。■