個人信息權(quán)的界定與保護概述

河北大學(xué)法學(xué)院，河北 保定 071002

數(shù)據(jù)經(jīng)濟的發(fā)展，個人信息的利用手段越來越豐富，個人信息的財產(chǎn)利益屬性也不斷顯現(xiàn)。大數(shù)據(jù)最初是在體育領(lǐng)域廣泛應(yīng)用，在數(shù)據(jù)技術(shù)和數(shù)據(jù)經(jīng)濟不斷發(fā)展的背景下，大數(shù)據(jù)逐漸應(yīng)用在日常生活中。大數(shù)據(jù)背景下個人信息的商業(yè)利用已經(jīng)成為一種常態(tài)，數(shù)據(jù)經(jīng)濟的發(fā)展為我們帶來便利的同時，也對個人信息安全產(chǎn)生了威脅。近年來，個人信息保護問題成為行業(yè)間和學(xué)界討論的熱點。我們應(yīng)當(dāng)如何去定義個人信息，采用何種模式對個人信息進行保護，以及如何平衡個人信息保護與數(shù)據(jù)經(jīng)濟發(fā)展之間的矛盾成為我們所迫切需要解決的問題。

一、個人信息的范圍界定

解決個人信息問題的前提是，明確哪些信息屬于個人信息。從比較法的角度來看，各國的立法中關(guān)于個人信息的范圍界定主要有兩種理論。一種是美國的“可識別標(biāo)準(zhǔn)”。以限縮解釋的方法將個人信息的保護范圍限定在確定能識別個人身份的信息上。另一種是德國的“確切和可能識別標(biāo)準(zhǔn)”。《德國聯(lián)邦數(shù)據(jù)保護法》將個人信息分為“確切可識別個人身份的信息”和“可能識別個人身份的信息”，以求在最大限度范圍內(nèi)對個人信息提供保護。歐盟的《一般數(shù)據(jù)保護條例》在對個人數(shù)據(jù)的概念界定上，選擇了與德國相同的界定方式，將個人數(shù)據(jù)界定為“已識別（identified）”或“可識別（identifiabl）”數(shù)據(jù)主體的信息。相較于限縮界定模式，德國的模式則是開放了個人信息界定的邊界，能夠在最大限度內(nèi)對個人信息進行保護。但在該種模式下隨之而來的問題是，大數(shù)據(jù)時代幾乎所有的信息都存在成為“可能識別個人身份的信息”的可能性，極易出現(xiàn)個人信息的過度保護。

（一）我國個人信息界定模式

我國在個人信息范圍的界定上，傾向于德國和歐盟的模式?！毒W(wǎng)絡(luò)安全法》、國家標(biāo)準(zhǔn)《信息安全技術(shù)：個人信息安全規(guī)范》（GB/T 35273-2020）等將個人信息劃分為兩類：一類是單獨可識別主體的信息；一類是與其他信息相結(jié)合后可識別主體的信息。我國堅持以人為本的理念，以開放式的個人信息保護邊界來確定個人信息的保護范圍。我國香港、澳門對于個人信息的界定也采取了相同的模式。①

在個人信息開放式的界定模式下，判斷某一信息是否為個人信息將不再完全取決于信息本身所包含的內(nèi)容，而是取決于所收集數(shù)據(jù)的完整性和技術(shù)的先進性。在該種模式下，如果對個人信息不加區(qū)別地進行保護，極易導(dǎo)致個人信息的過度保護，阻礙數(shù)據(jù)的流通，壓縮數(shù)據(jù)開發(fā)利用的空間，限制數(shù)據(jù)經(jīng)濟的發(fā)展。因此，為兼顧信息開發(fā)利用和信息保護，對“結(jié)合可識別”個人信息的認(rèn)定應(yīng)做合目的性限縮和情境化界定。［1］合目的性限縮是指，從個人信息設(shè)定的目的出發(fā)，將受保護的個人信息限定在對人格利益造成影響的信息上。如果該條信息未對人格利益產(chǎn)生影響，即使與其他數(shù)據(jù)結(jié)合能識別信息主體也不應(yīng)當(dāng)認(rèn)定其為個人信息。場景化判斷則是因為數(shù)據(jù)具有場景依賴性，應(yīng)當(dāng)結(jié)合應(yīng)用場景對信息的屬性做個案判斷。［2］即使同一信息在某些場景可能是作為個人信息出現(xiàn)，在某些場景可能只是一組普通數(shù)據(jù)。

（二）個人信息與數(shù)據(jù)

在對個人信息問題進行討論時，我們首先要在法律層面理清數(shù)據(jù)和個人信息的關(guān)系。在個人信息和數(shù)據(jù)的關(guān)系上存在多種學(xué)說，包括“等同說”、“區(qū)分說”“包含說”等多種理論學(xué)說，［3］其中“區(qū)分說”與我國當(dāng)前的法律環(huán)境和國際形勢最為相符。個人信息和數(shù)據(jù)“區(qū)分說”的觀點認(rèn)為，保護個人數(shù)據(jù)安全和促進數(shù)據(jù)流動是數(shù)據(jù)經(jīng)濟發(fā)展的兩個不同方面，應(yīng)當(dāng)嚴(yán)格進行區(qū)分。紀(jì)海龍利用符號語言學(xué)對數(shù)據(jù)和個人信息進行區(qū)分，認(rèn)為個人信息和數(shù)據(jù)文件分別位于內(nèi)容層和符號層。也有學(xué)者從法律層面論證，龍衛(wèi)球認(rèn)為法律意義上的數(shù)據(jù)不同于個人信息（數(shù)據(jù)），二者在法律上應(yīng)當(dāng)進行分別保護。龍衛(wèi)球認(rèn)為數(shù)據(jù)僅包括企業(yè)數(shù)據(jù)和非企業(yè)數(shù)據(jù)等公共數(shù)據(jù)。個人信息保護與非個人數(shù)據(jù)保護是兩個不同的層面，分別為民法111條和127條所規(guī)定，各屬人格權(quán)和財產(chǎn)權(quán)保護內(nèi)容。

個人信息和數(shù)據(jù)“區(qū)分說”的觀點同我國當(dāng)前的法律背景和立法趨勢相一致，我國今后在立法時采取該種觀點最為適宜。個人信息和數(shù)據(jù)的區(qū)分保護已成為當(dāng)前立法的發(fā)展方向?！睹穹倓t》111條和136條對個人信息和數(shù)據(jù)的分別規(guī)定，也為兩者的區(qū)分保護奠定法律基礎(chǔ)。在法律層面上數(shù)據(jù)和個人信息勢必要進行區(qū)分，按各自的法律性質(zhì)進行保護。歐盟在個人信息保護方面依據(jù)主體是否具有識別性區(qū)分了“個人數(shù)據(jù)”和“非個人數(shù)據(jù)”，以不同的保護標(biāo)準(zhǔn)進行規(guī)定。因此當(dāng)我們在法律層面討論個人信息時應(yīng)當(dāng)將其與數(shù)據(jù)相區(qū)分，經(jīng)過處理不具有主體識別性的數(shù)據(jù)不屬于個人信息的討論范疇。

除此之外，個人信息和個人數(shù)據(jù)兩者之間的關(guān)系也存在不同看法。對于兩者的關(guān)系目前存“個人信息和個人數(shù)據(jù)區(qū)分說”、“個人信息和個人數(shù)據(jù)等同說”兩種觀點。劉德良教授持“個人信息和個人數(shù)據(jù)區(qū)分說”觀點，認(rèn)為個人信息強調(diào)可直接識別性，而個人數(shù)據(jù)不強調(diào)可直接識別性。大部分學(xué)者認(rèn)同“個人信息和個人數(shù)據(jù)等同說”，在立法層面上“個人數(shù)據(jù)”和“個人信息”實質(zhì)上可理解為一回事。在我國“個人數(shù)據(jù)”一詞雖沒有出現(xiàn)在法律層面，但散見于《國家“十三五”規(guī)劃綱要》等各種工作文件行政法規(guī)、部門規(guī)章之中，究其內(nèi)涵仍為個人信息。歐盟的《一般數(shù)據(jù)保護條例》即采用“個人數(shù)據(jù)”（personal data）一詞對可識別主體的信息進行保護。該詞的含義與我國“個人信息”一詞的概念在本質(zhì)上是相同的，均是對單獨或結(jié)合可識別主體的信息進行保護。

二、個人信息的法律屬性

個人信息的法律保護將不斷完善是當(dāng)前的立法趨勢，在對個人信息進行法律規(guī)制時，我們首先要明確個人信息究竟是權(quán)利還是利益。一項利益能否成為權(quán)利，取決于其自身的重要性與成熟度。如果一項利益“同時具備歸屬效能、排除效能和社會典型公開性的，為一種侵權(quán)法上的權(quán)利，反之則只能歸于一種利益”［4］而個人信息所包含的利益內(nèi)容確定、主體確定同時可以排除他人非法干涉可以認(rèn)定為一項權(quán)利。個人信息規(guī)定在《民法總則》第111條，位于民事權(quán)利一章，雖然基于當(dāng)前個人信息保護方面矛盾重重，未直接明確個人信息為權(quán)利，但是將個人信息作為一項權(quán)利進行規(guī)定和保護是我國立法的發(fā)展趨勢，也是數(shù)據(jù)經(jīng)濟發(fā)展下個人信息保護的必然要求。

（一）個人信息的財產(chǎn)利益屬性

持個人信息“權(quán)利說”觀點的學(xué)者雖對個人信息的權(quán)利屬性進行了肯定，但對于個人信息究竟是何種性質(zhì)的權(quán)利仍存在著許多不同觀點?；趯€人信息法律屬性的不同認(rèn)識，存在“個人信息權(quán)否定說”、“基本權(quán)利和自由說”、“物權(quán)說或所有權(quán)說”、“隱私權(quán)說”、“一般人格權(quán)說”、“人格權(quán)兼財產(chǎn)權(quán)說”、“框架說”、“具體人格權(quán)說”等多種學(xué)說。［5］其中以“個人信息人格權(quán)說”、“個人信息財產(chǎn)權(quán)說”和“人格權(quán)兼財產(chǎn)權(quán)說”最具有代表性。在判斷個人信息究竟為何種屬性的權(quán)利時，我們首先要判斷個人信息是否具有人格利益和財產(chǎn)利益。個人信息的人格權(quán)屬性已經(jīng)被我國立法所確認(rèn)，在學(xué)界也達成共識。個人信息與人格利益密切相關(guān)，對于保護公民人格尊嚴(yán)，維護社會秩序有著重要作用。但是對于個人信息是否具有財產(chǎn)利益，當(dāng)前還未達成統(tǒng)一看法。劉德良教授在國內(nèi)首次提出個人信息財產(chǎn)權(quán)保護理論，認(rèn)為個人信息是一種支配權(quán)，是對個人信息商業(yè)價值享有的新型財產(chǎn)權(quán)。［6］

（二）個人信息財產(chǎn)利益來源

個人信息財產(chǎn)利益的理論基礎(chǔ)是萊斯格“個人信息財產(chǎn)化”理論。信息財產(chǎn)化理論最早是由萊斯格在《代碼和網(wǎng)絡(luò)中的其他法律》一書提出的。萊斯格認(rèn)為應(yīng)將數(shù)據(jù)財產(chǎn)權(quán)賦予用戶，這更符合市場效率和提升數(shù)據(jù)產(chǎn)業(yè)的交易秩序。經(jīng)濟學(xué)理論中，財產(chǎn)應(yīng)當(dāng)具有使用價值和交換價值，個人信息要成為財產(chǎn)首先需要具有價值和使用價值。在實踐中，個人信息已經(jīng)作為商品進行交易，由于涉及人格利益，故當(dāng)前的大量個人信息交易為非法交易行為。而個人信息的使用價值更是體現(xiàn)在我們生活的方方面面，從網(wǎng)頁的個性化推薦、企業(yè)營銷策略的制定到對體育比賽發(fā)展趨勢的預(yù)測都是對個人信息進行的挖掘利用，個人信息的使用價值體現(xiàn)在各行各業(yè)，正是由于個人信息具有巨大的使用價值，數(shù)據(jù)經(jīng)濟才得以繁榮發(fā)展，數(shù)據(jù)交易、保護、利用問題才不斷發(fā)生。

（三）個人信息財產(chǎn)利益分配

個人信息的財產(chǎn)利益屬性是在數(shù)據(jù)經(jīng)濟發(fā)展中逐漸顯現(xiàn)出來的，對個人信息財產(chǎn)利益保護的前提是明確財產(chǎn)利益的歸屬，即個人信息財產(chǎn)利益應(yīng)當(dāng)由誰享有。當(dāng)前存在著個人信息“個人所有”、“企業(yè)所有”、“個人和企業(yè)共有”、“公共所有”幾種觀點。

第一，個人信息財產(chǎn)利益應(yīng)當(dāng)歸個人所有。個人信息是數(shù)據(jù)的基礎(chǔ)，因此數(shù)據(jù)歸個人所有。例如有學(xué)者認(rèn)為，權(quán)利的出發(fā)點是人而非物，數(shù)據(jù)主體應(yīng)擁有優(yōu)先的權(quán)利，法律有必要承認(rèn)用戶個人對數(shù)據(jù)的財產(chǎn)權(quán)利。［7］在數(shù)據(jù)產(chǎn)業(yè)生態(tài)系統(tǒng)中，能夠為企業(yè)帶來巨大價值的數(shù)據(jù)基本屬于用戶數(shù)據(jù)，而用戶便是這些數(shù)據(jù)的生產(chǎn)者?！禛DPR》中規(guī)定的“個人信息攜帶權(quán)”可為這一觀點的佐證。企業(yè)雖然對數(shù)據(jù)的收集處理付出了一定成本，但企業(yè)不能對個人數(shù)據(jù)進行限制，還需要對個人數(shù)據(jù)的自由流動提供幫助。

第二，個人信息歸企業(yè)所有和由個人和企業(yè)共有的觀點。兩種觀點均是基于洛克的“勞動賦權(quán)”理論，只理解方向不同。勞動賦權(quán)源于由洛克在《政府論（下）》中提出勞動財產(chǎn)學(xué)說，該學(xué)說闡明了勞動在社會財富增加中的作用，被認(rèn)為是取得物之所有權(quán)的法理基礎(chǔ)。個人信息由企業(yè)所有的觀點，注重企業(yè)在個人信息收集過程中所付出的勞動，企業(yè)基于其在數(shù)據(jù)收集、處理過程中所付出的成本而享有數(shù)據(jù)的財產(chǎn)權(quán)益。個人信息“從人身屬性匯集而變?yōu)樨敭a(chǎn)屬性的關(guān)鍵正在于收集整理者在此過程中所付出的特定勞動、投資和成本”［8］，個人信息的財產(chǎn)權(quán)應(yīng)當(dāng)由企業(yè)所有。同樣是基于“勞動賦權(quán)”理論，個人信息共有觀點認(rèn)為，個人信息是有主物，個人信息的收集者不能優(yōu)于個人獲得個人信息的財產(chǎn)權(quán)。除基本個人信息外的其它個人信息由企業(yè)和個人共有。［9］

第三，個人信息公有觀點?；ヂ?lián)網(wǎng)是一個公共領(lǐng)域，一旦用戶或平臺將其自身置于公開的互聯(lián)網(wǎng)環(huán)境下，此時的個人信息就為公眾所有，不再為任何私人或企業(yè)所有。［2］在“HIQ訴領(lǐng)英案”中，法院回應(yīng)了爬取公開信息的法律問題。不同以往對未經(jīng)授權(quán)的數(shù)據(jù)爬取行為的否定，在該案中法院認(rèn)定了第三方爬取用戶向公眾公開的個人信息的合法性。承認(rèn)了向公眾公開個人信息的公共屬性。

（四）個人信息財產(chǎn)權(quán)觀點的質(zhì)疑

數(shù)據(jù)經(jīng)濟下，個人信息的經(jīng)濟價值逐漸顯現(xiàn)，但個人信息權(quán)不是財產(chǎn)權(quán)。權(quán)利人可以通個人信息使用權(quán)的讓渡獲取經(jīng)濟利益，但個人信息不是財產(chǎn)權(quán)客體，無須賦予其財產(chǎn)權(quán)。

首先，單個個人信息價值低。除公眾人物外，個人信息對于信息主體的價值極小，通常為獲得免費的軟件和服務(wù)而放棄，普通個體信息保護的首要關(guān)切還是隱私利益和人格尊嚴(yán)。單個信息不具有價值，經(jīng)收集、加工處理后的信息才具有價值。如果賦予個人信息以財產(chǎn)權(quán)，那么其他主體在使用個人信息的過程中就需要付費，在實行“個人信息付費”下還需要考慮如何實現(xiàn)付費的技術(shù)問題，從而使得企業(yè)對數(shù)據(jù)利用成本過高，技術(shù)過于復(fù)雜，不利于數(shù)據(jù)經(jīng)濟的發(fā)展。

其次，可以通過個人信息使用權(quán)的讓渡來對個人信息進行保護，無須設(shè)定財產(chǎn)權(quán)。姓名、肖像等人格權(quán)也可以通過許可使用制度進行商業(yè)化利用，傳統(tǒng)民法理論也不認(rèn)為這是財產(chǎn)權(quán)。不能因為個人信息的商業(yè)化利用而推論出其是財產(chǎn)權(quán)。［10］

三、個人信息保護模式選擇

我國目前對個人信息的保護，主要是依據(jù)《刑法》、《行政法》等公法。個人信息公法領(lǐng)域的保護體系逐漸建立，但始終缺乏私法領(lǐng)域的保護，形成了“先刑后民”的立法現(xiàn)狀。在私法缺位的條件下，公民個人信息的內(nèi)涵、外延及法律屬性均未能得到清晰地界定，由此又導(dǎo)致公民個人信息罪的適用存在困難。［11］所以，我國迫切地需要加強個人信息在私法領(lǐng)域的保護，建立以民法為基礎(chǔ)的個人信息保護法律體系。民法在個人信息保護方面具有基礎(chǔ)作用，個人信息糾紛多是發(fā)生在平等主體之間，公法保護模式無法對個人信息實現(xiàn)全方位的保護。

在私法保護上，我國當(dāng)前的司法實踐傾向于對個人信息采取間接保護模式。由于我國未直接對個人信息進行規(guī)定，只能借助其他受法律保護的權(quán)利來對個人信息進行保護。司法實踐中多是依據(jù)人格利益和財產(chǎn)利益來進行間接保護，在該種模式下“個人信息不能為獨立的受保護對象，不能被解釋為民事權(quán)利或法益，只有侵害個人信息的行為造成侵害其他權(quán)益的損害后果時，行為人才承擔(dān)責(zé)任”［12］。我國的司法實踐中多為該種模式，借助隱私權(quán)、名譽權(quán)等對個人信息進行間接保護。

個人信息作為一項人格權(quán)利，我國在構(gòu)建個人信息保護體系時，應(yīng)當(dāng)采取權(quán)利保護模式和行為規(guī)制模式共同保護的模式。在對個人信息進行保護時，應(yīng)當(dāng)區(qū)分個人信息的人格權(quán)利和財產(chǎn)利益，分別采取不同的保護規(guī)范。對于個人信息的人格權(quán)利，應(yīng)當(dāng)采取“權(quán)利保護模式”。從民事權(quán)利與利益的關(guān)系來看，權(quán)利化更有利于對個人信息的保護。權(quán)利保護模式具有確定性和穩(wěn)定性，同時具有排他性，能夠為人格利益提供最完善的保護。該種保護模式也被許多學(xué)者所認(rèn)可。

對個人信息財產(chǎn)利益的保護應(yīng)當(dāng)采取行為規(guī)制的模式，以行為規(guī)范達到對個人信息財產(chǎn)利益保護的目的。通過評估信息開發(fā)利用對個人信息主體的潛在影響來設(shè)定行為規(guī)范，以此為信息開發(fā)利用提供合規(guī)指引并間接保護個人信息?！兜聡?lián)邦數(shù)據(jù)保護法》、《美國兒童在線隱私保護法》、《歐盟個人信息保護指令》、《一般數(shù)據(jù)保護條例》都以大量篇幅構(gòu)建行為規(guī)范體系。由于個人信息不具有財產(chǎn)權(quán)特征，以財產(chǎn)利益進行保護相較于抽象的確權(quán)立法，行為規(guī)范的設(shè)計直接以信息收集利用行為作為規(guī)制對象，這為行為人提供了相對清晰的合規(guī)指引，有助于彌補權(quán)利立法的模糊性弊端。但同時行為規(guī)范模式對具體行為進行規(guī)制，存在彈性不足的問題。［1］

四、結(jié)語

我們在對個人信息進行法律體系構(gòu)建時，要將個人信息和數(shù)據(jù)進行區(qū)分，二者代表的利益不同，所采取的規(guī)制方式也不相同。個人信息代表得是人格利益，其財產(chǎn)利益不外是對人格利益使用權(quán)的讓渡，其本身并不是財產(chǎn)權(quán)的主體。個人信息保護法律體系的構(gòu)建，要堅持公法與私法相結(jié)合的共同保護模式。法律體系的建設(shè)要與實際情況相關(guān)聯(lián)，我國當(dāng)前數(shù)據(jù)經(jīng)濟中存在著諸多問題，例如作為個人信息收集利用依據(jù)的“知情同意原則”面臨著巨大考驗?！巴狻笔翘幚韨€人數(shù)據(jù)正當(dāng)性的基礎(chǔ)，但現(xiàn)實情況是信息從業(yè)者通過各種方式對“知情同意原則”進行規(guī)避，導(dǎo)致該原則不斷通過默示等實踐機制而流于形式。［13］此外，企業(yè)對個人信息收集后，個人則失去了對個人信息的控制權(quán)，后續(xù)利用途徑難以得到保障。這些問題地解決都依賴于一個完善的個人信息和數(shù)據(jù)保護體系的建立，我國應(yīng)當(dāng)加快立法進程盡快完善相關(guān)體系建設(shè)。

注釋：

①香港《個人資料（私隱）條例》、澳門《個人資料保護法》．