我国个人信息的民事保护研究

高一鹭

南京工业大学法学院，江苏 南京 211816

一、个人信息民事保护的现实必要性

在互联网和大数据环境下，任何一笔移动支付都在商家和支付系统处留下痕迹。2016年《中国个人信息安全和隐私保护报告》国内百万份问卷中，81%的参与调研者有接收过知悉自己姓名和单位的陌生电话。2019年1月，笔者在实习的某法院对包括法官、法官助理、书记员、人民陪审员、司法警察和装备保障人员共计192人的问卷调查中，在过去的2018年度工作中，接收到知晓自己姓名和工作单位甚至庭、处、室的陌生电话！日常生活中，人们通过手机接收到各种产品、服务推销司空见惯，诈骗电话也屡见不鲜，因个人信息泄露发生的诈骗刑事案件十分普遍，最为典型的是2016年8月徐某被诈骗致死案的发生。个人信息泄露问题严重成度可见一斑。

与此同时，大数据的发展应用与个人信息的保护出现了现实的冲突。积极协调个人信息保护与公共利益、国家利益之间的关系，合理利用个人信息与有效保护公民个人权益，成为民事立法司法的重要使命。

二、域外关于个人信息的法律保护

(一)美国的宪法性权利法律规定

1974年12月31日美国联邦参众两院通过的《隐私权法》，把关于该法指称的人的个人信息记录归为个人隐私权，并在1978年第95届国会修订的《联邦行政程序法》中其中，成为《美国法典》的重要内容。2018年6月28日由州长批准的《加州消费者隐私法案》明确了个人信息是加利福尼亚州宪法赋予的一项隐私权，作为消费者的一项权利，加利福尼亚人有权知晓其正在被收集的个人信息的处理结果，有权拒绝出售个人信息、有权享有平等服务与价格即使其行使隐私权、有权要求企业删除从该消费者处收集的个人信息。

(二)欧州联盟(EU)法律个人信息保护

欧州联盟现有28个国家，其中英国预计在2019年6月前脱离欧洲联盟。2016年4月14日欧盟议会通过、2018年5月25日生效的《一般数据保护条例》(GDPR)，已取代1995年《个人数据保护指令》。是目前为止最为全面、严格保护个人信息的法律文件，在欧洲联盟范围内具有法律效力，它要求欧洲联盟国家国内法关于个人数据的规定如与本条例相冲突的，优先适用本条例。该法律将个人数据确定为人格权益，规定了个人数据的权利主体和义务主体的权利义务及其保护规则。欧洲联盟把已识别或可识别的自然人相关信息定义为“个人数据”。

(三)德国法律个人信息保护

与欧洲联盟相一致，德国个人数据保护法以信息自决权为宪法基础，以一般人格权为民法基础，有完备的个人信息保护法律制度。2002年1月《德国联邦数据保护法》规定的关于个人信息与欧洲联盟定义一致，个人数据的侵权行为分为行政侵权行为和民事侵权行为，权利救济措施采取损害赔偿机制。

(四)日本法律个人信息保护

1975年，日本《关于涉及行政机关等利用电子计算机之隐私保护制度的存在方式的中间报告》、2005年《信息公开与个人信息保护审查会设置法》与《个人信息保护法》的实施，确立了个人信息保护的基本方针。其中《个人信息保护法》规定，个人信息是指活着的自然人之相关信息，据此信息包含的姓名、出生日期及其他内容，可以识别该特定的自然人。

(五)香港法律个人信息保护

香港法例第486章之《个人资料(隐私)条例》是香港关于个人信息保护的重要法例，于1995年制定，1996年实施。该条例2012年修订。该条例规定，“所有个人资料包括，但不限于姓名、国籍、护照号码、香港省份证号码、联络地址、公司地址、电话号码、传真号码及电邮地址。”该法例明确了个人资料属于个人隐私范畴，其他人对其使用“局限提供最佳服务所需的最低范围。”

三、我国个人信息民事法律保护

(一)关于个人信息的有关规定

何谓“个人信息”？目前我国法律文件没有给出一个统一的定义。上述国家和地区，因在语义表达的差异，“隐私权”、“个人数据”和“个人资料”涵盖的内容，与我国现行法律上“个人信息”一词含义最为相似，其中“可识别性”是最为本质的意涵。

关于个人信息，我国目前有如下不同的几种规定：一是在全国人大常委会《关于加强网络信息保护的决定》。该规定保护的是能够识别身份和个人隐私的电子信息。二是工信部《电信和互联网用户个人信息保护规定》。该规定所谓用户个人信息是经营者或服务者收集的用户信息，包括姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等识别用户的信息以及用户使用服务的时间、地点等信息。三是《中华人民共和国网络安全法》。附则规定了该法个人信息用语含义，以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。四是2017年“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》。该解释所谓刑法第二百五十三条之一规定的“公民个人信息”包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。由此可见，该法条所谓“个人信息”包括个人识别、隐私和活动三个方面信息。

最高人民法院民法典编纂工作研究小组编写的《<中华人民共和国民法总则>条文理解与适用》(下称《条文理解与适用》)中认为，能够将该自然人特定化的信息属于个人信息，包括包括自然人身份证信息、户籍信息、家庭结构、就业情况、社会交往、网络交易数据等物理性数据以及自然人机体基因组成、生物学、遗传学密码等信息。这一关于个人信息范围的界定，很可能成为未来民法分编立法时所采用，值得对于个人信息权利属性研究方向予以关注。

(二)《民法总则》关于个人信息规定之不足

《民法总则》第五章民事权利的规定开篇就是人格权之规定。其中第109条是一般人格权规定，第110条是特别人格权规定，第111条就是关于个人信息保护条文。应当认为个人信息在这里是作为特别人格权来规定的，尽管没有直接表述为“个人信息权”，也没有对个人信息加以定义。该条规定从结构上实际上分为两个部分：一是明确个人信息是公民的一项重要权利。二是其他组织和个人需依法获他人信息，负有确保已获取的他人信息安全之义务，并且禁止非法收集、使用、加工、传输、买卖、提供或者公开他人个人信息。因其权利属性在理论上的争议还没有完全解决，此条文没有明确个人信息为特别人格权。

民法总则第二条规定，民法调整平等主体的人身关系和财产关系。与《民法通则》相比较，把人身关系与财产关系的位置进行了对调，不论从主体意义还是客体意义上，都更加科学合理。何谓人身？在民法上，人即人格，身即身份。从民法总则民事权利专章的条文顺序看，也是遵循了先人格权利后财产权利之序的。作为一种新的权利客体的个人信息，因其与人格不可分离，又与财产利益有一定联系，一般认为个人信息具有自然人人身自由、人格尊严的当然利益属性，是其一般人格权的自然延伸。在此意义上，个人信息与个人隐私都属于自然人法定权利，个人信息中某些成分是无需本主体许可就可以公开的，如姓名、性别；有些是未经许可不能公开的，如个人生物识别信息、电话号码。2017年3月8日全国人民代表大会常务委员会《关于<中华人民共和国民法总则(草案)>的说明》指出，保护民事权利是民事立法的重要任务，草案由有针对行性地对个人信息保护作了规定。《条文理解与适用》特别说明，“对直接表述民事权利尚不成熟，但社会又十分需要的，则采用对客体进行表述的方式，为未来的社会发展和法治发展留足空间。”认为个人信息权属于人身权利权，并且民法总则是作为独立的人格权予以保护的。由此可见，最高司法机关对于个人信息的属性认识定位于特别人格权，并且是独立于民法总则现有已经定义的其他特别人格权的。

(三)个人信息保护立法保护前瞻

由于对个人信息权利属性认识的分歧，《民法总则》仅仅通过一个条文对其进行概括性规制，并没有给出有关责任承担的规则。个人认为，应当加快立法进程，建立起更加科学的个人信息保护体系。

1.建立民法上的个人信息权

个人信息与公民身份、生物特征、隐私密切相关，人格商品化不符合我国对于人权的基本认知。在2020年拟提交全国人大审议的民法相应分编中，应对个人信息加以定义，确立其人格权属性而不是财产权属性。由于民法总则第一百一十条已经规定了隐私权，因此构建个人信息权这一新的人格权规范就成为必要。

2.完善侵犯个人信息权的侵权民事责任

在民法分则侵权编中，明确个人信息侵权的民事责任承担、免责事由，进一步完善举证责任分配，加大侵权人的举证责任。民法总则规定了个人信息安全义务主体是任何组织和不特定其他人，并且义务主体获取他人信息需依法。这里的依法有两个方面：一是依合同，如注册购物账号、办理金融业务等留存的个人信息；二是法律授权留存合理使用个人信息，如个人征信有关个人信息。不论个人信息安全义务主体是政府机关、其他公共事务机构、社团企业还是其他个人，都有保证其安全义务；致使个人信息泄露的，需承担责任的，应当负有抗辩的举证责任。

3.制定统一的《个人信息保护法》

我国已经进入到大数据时代，数据安全风险显得十分突出。面对这一历史机遇与挑战，我国目前信息保护法律分散于各部门法律规范之中，对个人信息还没统一标准。制定个人信息保护法，建立科学合理的信息保护体系，健全社会管理制度，提高政府服务水平，加强互联网行业自律机制，提高互联网技术创新和公民个人信息保护意识，都具有十分重要的意义。