《民法总则》第一百一十一条“个人信息权利”的性质与内容研究

管辉寰

摘 要：《民法总则》第一百一十一条中率先规定的“个人信息权利”，从法理与实践两方面出发，其强调“可识别性”的特征导致将该权利视为具体人格权的一种更为合理。其权利内容既包括支配权的属性也包括请求权的属性，但由于兼有财产性和可反复利用性，使其与隐私权又相互区别。在一般情况下，其权利主体为自然人，而同时在一定条件下，法人与非法人组织也应当享有信息权。考虑到区块链、物联网、人工智能等新技术对个人信息的收集、处理的新方式，在未来立法过程中还应当对相关概念进行新的解释。

关键词：个人信息权利；财产性；人格权

中图分类号：D923 文献标识码：A 文章编号：1009 — 2234（2018）01 — 0112 — 05

一、电子数据形式个人信息的财产性

通讯技术的发展为个人生活带来便利，同时也在逐步改变着人们的生产生活方式。大数据、云计算等技术的出现使得具有身份识别功能的个人信息产生了经济价值。目前，全球已有的数据中逾95%为非结构化数据，这些数据包括用户在Instagram、Twitter、微博等社交媒体上生成的文字内容、影音内容和地理位置等，也包括自然人在登记资料时填写的身份信息、住址、收入状况等。这些数据在通过人或计算机进行分析后可以发现潜在关系并建模，以此来实现传统方式无法发现的规律和模式。个人信息的价值即存在于这样的“相关性”中，潜在的统计学定律能够为企业、政府提供可资借鉴的外部条件分析报告，如市场趋势、消费者行为与运营效率间的逻辑关系①。

在这种前提下，个人信息成为“流通物”。一方面，各种服务可以就其开展，并促使更频繁的数据活动成为可能，另一方面，这也会带来個人信息的交易方式、数据所有权等需要明确的新问题，如美国学者Westin所言，个人信息“不但是个人的一种偏好，它更是社会结构有效运作的前提。②”而将个人信息作为“流通物”使用，在任何情况下都需要明确基本原则，不得规避个人信息和数据维护的数据主权原则、保护原则、自由流通原则和安全原则③。这就需要对相关立法进行相应的调整，因为“在一个变幻不定的世界中，如果把法律仅仅视为是一种永恒的工具，那么它就不可能有效地发挥作用。”④

另外，个人信息泄露等问题越来越严重⑤，针对这一现象，我国刑法上已进行了相关规定，在2016年至2017年上半年间，最高法、最高检陆续出台的司法解释中，数次提及个人信息的问题①，2017年1月最高人民检察院发布的《2016年度十大法律监督案例》也将“徐玉玉案”这一典型案例列入，同时针对该案的审理、判决，诸多学者也进行了深入的探讨②。

从国外立法的经验来看，OECD（Organization for Economic Cooperation and Development）于1980年通过的《关于隐私保护与个人资料跨国流通的指南》旨在建议保护个人资料的隐私与自由；在“人口普查法案”后， 1990年德国重新修订的《联邦个人资料保护法》将国家安全机关对个人信息的收集与处理纳入个人资料保护法中；欧盟1995年通过了《欧洲议会暨欧盟理事会关于保护个人资料处理与自由流通指令》用以增强个人相对于信息控制者的地位，主张在某些领域给予信息主体法律强制保护并不容许当事人放弃权利；英国2000年生效的新《个人资料保护法》创造性地对敏感性个人信息的保护问题做了专门规定；2003年日本通过的《个人信息保护法案》将个人信息资料视为个人隐私的一部分加以保护。

FinTech（Financial Technology）在全球范围内的革命性发展所带来的人工智能投顾等实际应用在消除信息不对称的方面有十分明显的优势，促使交易效率与交易安全都得到提升③。针对这些新技术，2016年5月至10月欧盟委员会法律事务委员会先后发布其针对人工智能的立法草案《就机器人民事法律规则向欧盟委员会提出立法建议的讲演草案》、《欧盟机器人民事法律规则》，建议赋予人工智能工人民事法律主体的地位、成立监管机构、重视隐私和数据保护④，通过设计维护隐私（privacy by design）、默许维护隐私（privacy by default）、知情赞成、加密等概念的标准，实现对数据的有效利用与保护。

需要特别指出的是，随着物联网技术、区块链技术和人工智能技术的发展，个人信息的产生、收集将发生两点较为重大的变化：

（1）个人信息产生的主体将由人转变为物。

（2）个人信息在产生的同时即完成收集和传输。

这些法律问题与通讯技术的发展息息相关，因此在这一领域的研究需要跨学科的知识结构与思维广度，对法学研究的方式方法提出了新的要求。在民法领域，制定《民法总则》的过程中，专家、学者对于个人信息、电子数据等问题仍存在许多争议⑤，其中最为重要的就是对于个人信息权利的权利属性确认问题，即个人信息权利的性质、内涵与外延。

二、个人信息权利的性质

对于个人信息权利的性质问题学界已展开了深入探讨与研究，个人信息具有财产性和人身性，但以人身性为主要部分，因此将其归入人格权的范畴更加合理。此次《民法总则》第一百一十一条虽然未直接采用“个人信息权”的表述，但通说观点认为个人信息权既区别于财产权又区别于隐私权，为了更好地保护权利主体的利益，且避免向一般人格权逃逸的现象发生，应当将其规定为一项具体的人格权。该问题作为研究个人信息权利的理论基础，有必要在此先进行总结梳理。

个人信息权利与财产权的区别较为明显。（1）个人信息权利表现为一系列能够反映并识别某一特定个体的信息，与人格权紧密相连，而财产权则不具有这样的特征；（2）在侵害财产权的情况下，除受损的是具有特殊含义的特定物外，被侵害人很难请求精神损害赔偿，而侵害个人信息权如盗用、出售他人个人信息的，按照常理，应当赋予被害人精神损害赔偿的请求权。

个人信息权利与隐私权在一定范围上存在重合，两者的区别一直是学术界研究的热点⑥。已有的研究成果可归纳为：（1）权利属性的不同。隐私权注重隐私性，在大多数情况下隐私一经暴露即不再是隐私①，其具有一次性和单向性的特征；个人信息权利则要求该数据或资料要能够反映特定主体的信息，即信息的可识别性，并且具有可反复利用的特征。值得探讨的是，在现实生活中网络用户在互联网上，尤其是社交软件中公布的资料许多并不是完全真实的，甚至一部分内容是用户本人杜撰、虚构的，该信息是否也属于个人信息，即信息的真实性是否能作为判断某一信息属于个人信息范畴的依据问题。笔者认为，只要该信息本身或与其他相关信息组合能够用于识别某一特定个人即可归为个人信息，就如内容的真实性不能成为侵害隐私权的抗辩理由一样②。（2）权利的行使方式不同。隐私权是一项消极的、防御性权利，强调他人未经允许不得擅自公开、传播他人的隐私；个人信息权是一项积极的、主动的权利，权利人有权主动公开、修改、传播及出售个人信息。

三、个人信息权利的内容

权利的内容即为其内涵与外延，通说观点认为个人信息权利是一项主动地、积极性的权利，包括权利人的支配权和请求权，根据已有的研究，笔者认为大致可以分为两个方面：

（1）信息主体的自主决定权。德国在1983年人口普查法案中确立了信息自决权，意为“个人依照法律控制自己的个人信息并决定是否被收集和利用的权利”③，结合学术观点与2016年12月全国人大常委会公布的《电子商务法（草案）征求意见》第四十七条至第五十二条的内容，可以将个人信息的自主决定权再分为产生权、查询权、更正补充权和删除权；

（2）权利人向信息控制方的请求权。我国一些法律已经规定了信息控制方保密的义务④，但对于信息主体而言，仍有权向信息控制方请求对已收集的信息进行删除、对未收集的信息停止收集等，在某些法定情况下，个人信息的主体可以请求信息控制方以“一定方式暂时停止个人信息处理和利用”⑤。此外，信息主体还享有“被遗忘权”，即请求网络服务商删除与自己相关信息的请求权⑥。但这些权利的内容包含哪些具体方面，在现有技术下如何有效的行使，都尚未明确。值得研究的是，在区块链技术不断发展应用的当下，“被遗忘权”在实行方面存在一定的技术障碍，如依《征信管理条例》第二十一条已过期的不良信用记录如何在区块链征信技术中实现“更正”、“删除”就存在技术上的难题，因为没有一个中心主体作为信用信息的储存方，信息控制方自然无法对已录入的信息进行删改，因为每一个链都记录着某一特定的信息，在这种情况下可能会导致对“更正权”、“删除权”等概念赋予新的解释⑦。

四、个人信息权利的主、客体范围

通说观点认为，个人信息权作为人格权利的一种，其主体只能为自然人。依拉伦茨的观点，私法上的人以伦理上的人格主义为基本形象⑧。但法人和非法人组织是否也享有信息权，尤其此次《民法总则》关于法人的规定有较大改动，在实践中也已经出现利用法人或非法人组织的对外行为资料建立数据库，分析并指导生产生活的情况，例如，（1）投资报告的制作。投资咨询公司统计整理相关投资方历年来对外股权投资的所有投资标的、投资金额与投资方式以向融资方提供项目设计咨询意见；（2）证券二级市场的“复盘”行为。尤其对机构方、散户主力等大额资金方的买卖行为的模式进行统计，建立的“模拟盘”以推演实盘操作；（3）人工智能的自我学习。IBM的“ROSS”人工智能系统以全美选定的律师事务所的所有已结案例为模板，通过自我学习机制实现对相似新案件生成法律意见。依通说观点，法人的数据由商业秘密或知识产权进行保护，但这些对外投资的行为、案件资料与商业秘密等财产权和知识产权仍有所区别：（1）这些行为不具有隐秘性，法人与非法人组织的行为是外在的、显著的、通过合法的公开渠道可以直接获得的；（2）这些行为不具有原创性，也很难从中剥离出含有技术革新、自发创设的内容。因此笔者认为，按照实践中的情况来看，凡符合“大数法则”的统计学规律，无论其信息来源为自然人或非自然人，都可以作为建立数据库的信息来源。这样一来，任意可反映某一特定主体（个人或团体）的信息数据就都有识别性与财产价值，那么，在信息技术不断发展的趋势下，法人与非法人组织享有信息权就有了技术基础的支撑。

当然，结合《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第一条、《网络安全法》第七十六条第五款、《电子商务法（草案）征求意见》第四十五条对“个人信息”的定义来看，我国立法采用列举式来定义“个人信息”的内涵与外延，即以电子或者其他方式记录的，能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息等。无论是电子形式或非电子形式，均要求具有“单独或者与其他信息结合识别自然人个人身份”这一特征①。

但这种依“识别性”进行判断的方式，其中存在两个值得探讨的问题：

（1）在电子形式个人信息的收集处理过程中常需经过“去个人化”的步骤，在“模糊”后录入数据库，如此一来数据便与某一特定人脱离了直接关系②，此时，个人信息权的客体仍是反映某一特定主体特征的内容，还是符合某一特殊排列的二进制代码？笔者认为，如将其归入个人信息权利的客体，则出于这样的考虑：即便完成“去个人化”的信息筛选步骤，其也仍是用于反映某一特定群体的特征，如某外卖网站A收集B高校所有在校生的点餐数据，在模糊了特定用户信息后，这些数据虽不再能够直指某个学生，但依然能够反映如“18-22岁月收入3000元以下的消费者”或“本科及以上学历消费者”等特定群体的消费习惯；如将其排除在个人信息权利客体的范围外，则主要考虑其已不具備某一个体的身份识别性，在性质上更接近于信息收集方的商业秘密，从权利保护的角度而言，以财产权进行保护更加有效。在未来立法工作中除列举式的定义外是否还可以采用概括式的方式确定一个判断的核心标准和兜底规则：即凡是能够单独或者与其他信息结合识别自然人个人身份的信息，不局限于法律的明确列举，即使没有在条文中列举出来，也属于个人信息。

（2）物联网技术中物物间产生与传输的数据信息是否也属于个人信息的范畴？麻省理工学院在2000年提出的“将机器或其他物体通过传感器等植入设备，经由互联网直接把相关数据传输给联网的机器”，这些传感器无须和人互动便能够产生数据并实现交互，如生活中使用的Fitbit和Fuelband等锻炼手环，Nest温控器和烟雾探测器等。这些信息常包含使用频率、时长、位置等与用户习惯有关的内容，但所涵盖的内容并非收集于某一特定主体，而是所有使用该设备的用户。这与由自然人生产生活活动主动产生、传播的信息不同。笔者认为，这些信息数据是属于用户个人还是属于法人或非法人组织，应当依据信息收集过程中服务方是否进行了收集、分析、再造等劳动的付出。如果服务方对该信息的产生起到了主要作用，则应将其视为服务方的财产，反之则应视为信息主体的个人信息。但这种劳动力的付出需要到达什么程度，是否被要求像类似于知识产权需要有一定的“创造性”呢？有些个人信息涉及到公共利益，或虽未涉及但实际上是共有的数据资料，如某一市区某行业消费群体的信息情况，有关金融安全、保险安全等消费群体信息情况等。这些信息在何种情形下属于信息主体何种情形下属于信息控制方何种情况下属于公众，都是需要明确一个判断标准，即个人信息权利的界限。这些需要相关立法机关进行解释或完善。值得肯定的是，此次《民法总则》在第一百一十一条和第一百二十七条中对个人信息、虚拟财产进行了明文规定，表明我国对于互联网技术中所产生的新的法律概念与法律问题给予了重视和进行法律保护的意愿。

〔参 考 文 献〕

〔1〕石宏.中华人民共和国民法总则条文说明、立法理由及相关规定〔M〕.北京：北京大学出版社，2017.

〔2〕齐爱民.大数据时代个人信息保护法国际比较研究〔M〕.北京：法律出版社，2015.

〔3〕杨东.链金有法——区块链商业实践与法律指南〔M〕.北京：北京航空航天大学出版社，2017：273.

〔4〕〔美〕James R. Kalyvas，Michael R.Overly：大数据商业应用的风险规避与法律指南〔M〕.陈婷，译.北京：人民邮电出版社，2016.

〔5〕齐爱民.个人信息保护法研究〔J〕.河北法学.，2008，（04）.

〔6〕王利明.论个人信息权的法律保护——一个人信息权与隐私权的界分为中心〔J〕.当代法学，2013，（07）.

〔7〕张新宝.从隐私到个人信息——利益再衡量的理论与制度安排〔J〕.中国法学，2015，（03）：50-54.

〔8〕杨立新，韩煦.被遗忘权的中国本土化及法律适用〔J〕.法律适用，2015，（02）.

〔9〕李欲晓.物联网安全相关法律问题研究〔J〕.法学论坛，2014，（11）.

〔10〕楊东，潘曌东.区块链带来金融与法律优化〔J〕.中国金融，2016，（04）.

〔责任编辑：陈玉荣〕