我國個人敏感信息的界分基礎(chǔ)及其立法表達
——兼評《民法典(草案)》第一千零三十四條

潘林青

(西南政法大學 民商法學院，重慶 401120)

一、問題的提出

繼2019年5月美國舊金山出臺法令禁止警方和其他政府機構(gòu)使用人臉識別技術(shù)之后，美國當?shù)貢r間6月27日上午，馬薩諸塞州的薩默維爾市也宣布禁止當?shù)鼐胶褪姓块T使用面部識別軟件，并且薩默維爾市議會以11-0的投票通過了這項法令[1]。前述舉措的出臺表明，政府高度重視對于作為公民個人敏感信息(personal sensitive information)(1)一些國家、地區(qū)和組織稱之為特殊個人信息或特種個人信息，其本質(zhì)上均表示個人敏感信息含義。筆者認為，以個人敏感信息命名，更能體現(xiàn)出敏感信息的特殊性以及其受到特別保護的必要性。中生物識別信息之面部特征的保護，也表明個人敏感信息的脆弱性及其與個人自由、人身和財產(chǎn)的緊密相關(guān)性。然而在我國，個人敏感信息的保護現(xiàn)狀不容樂觀。我國目前對于個人敏感信息并沒有一套完整的保護機制，甚至沒有合理界定個人敏感信息。不僅《民法總則》與《網(wǎng)絡安全法》沒有對于個人敏感信息作出規(guī)定，而且中華人民共和國全國人民代表大會(簡稱全國人大)于2019年12月16日對外公布的《民法典(草案)》依舊未重視個人敏感信息亟待法律保護的需求，對個人敏感信息只字未提，僅在第一千零三十四條第三款中強調(diào)了對于個人私密信息的法律保護。面對我國個人敏感信息保護的極端重要性和迫切需要法律保護的需求，以及我國《民法典(草案)》遲遲未對這一現(xiàn)實需求進行回應，本文將分析界定個人敏感信息的正當性基礎(chǔ)，介紹歐盟、美國、澳大利亞和加拿大的相關(guān)新近國際范例，立足我國個人敏感信息界分的規(guī)范現(xiàn)狀與裁判見解，評析我國《民法典(草案)》第一千零三十四條，提出我國個人敏感信息的立法表達。

二、個人敏感信息界分的正當性基礎(chǔ)

(一)個人信息存在敏感度差異

早在20世紀初，便有外國學者對于信息的敏感度進行了專門研究，指出“信息的敏感度是在某一特定情形下個人對提供某一類信息所受到的顧慮水平”[2]。國內(nèi)也有學者專門針對個人信息的敏感度進行研究，通過科學的問卷設(shè)計和調(diào)查實施來分析不同情境對信息敏感度產(chǎn)生的影響，明確不同種類信息之間的敏感度差異。如有學者認為，公眾對于與個人密切相關(guān)的身份、生活、工作和政務信息的敏感度高[3]。還有學者認為，身份證號碼和銀行卡號是網(wǎng)絡用戶最為敏感的兩項個人信息[4]?？梢哉f，個人敏感信息的敏感之處表現(xiàn)在兩個方面：一是此類信息的收集容易引起個體心理、生理上超乎尋常程度的感受與反應；二是此類信息的公開易受到外界迅速而強烈的是非反應。正因如此，個人敏感信息具有很大程度的脆弱性，其脆弱性來源于被收集公開后，容易造成信息主體隱私權(quán)、自由以及人格尊嚴的威脅與傷害，并有可能造成社會個體甚至群體的不安。因此，對于個人敏感信息的披露與使用，原則上應由信息主體自我決定，是“普遍的人格權(quán)與自我決定權(quán)在信息時代的體現(xiàn)和表達，反映了公民維護自身內(nèi)在同一性、精神自主和獨特人格的合理訴求”[5]。對于公眾來說，個人信息的敏感度具有個體體驗特征以及認知上的差別，隨著科技的迭代發(fā)展和社會觀念的持續(xù)革新，個人敏感信息的類型與范圍會隨之發(fā)生改變。

(二)個人信息內(nèi)部包含價值梯度

隨著個人信息從隱私權(quán)的附屬保護對象變?yōu)椤睹穹倓t》第一百一十一條的獨立保護客體，對于個人信息的保護問題已經(jīng)獲得越來越多的關(guān)注。“公民個人信息的收集、儲存、利用具有典型的聚合性、全面性特征”[6]。從個體層面看，個人信息代表著個人尊嚴與自由價值。從企業(yè)層面看，個人信息蘊藏著豐富的商業(yè)價值。從國家層面看，個人信息蘊含著巨大的公共管理價值。這表明，對于個人信息進行保護的同時，還應關(guān)注其不可估量的商業(yè)價值與公共管理價值，對其進行適度的開發(fā)與利用。張新寶[7]教授認為，個人信息保護法需要衡量多組利益關(guān)系，并且在利益衡量格局下，提出了“兩頭強化，三方平衡”的個人信息保護理論，即對于個人敏感信息進行強化保護，而對于一般個人信息則強調(diào)商業(yè)利用和國家基于公共管理目的的利用，最終實現(xiàn)個人、信息收集者和國家的三方利益平衡。因此，根據(jù)個人信息的多維價值將其類型化為個人敏感信息和一般個人信息，進而確立不同的保護規(guī)則尤為重要。類型化的意義在于相同事物相同處理，以提高規(guī)則建構(gòu)與規(guī)則適用的準度和效率。而個人信息類型化區(qū)分的重中之重，就是明確個人敏感信息的范疇與邊界。

(三)個人敏感信息侵害具有高度危險性

個人敏感信息的重要性體現(xiàn)在其與個人自由、人格尊嚴和基本權(quán)利緊密相關(guān)。英國個人信息與隱私保護的專職獨立機關(guān)信息專員辦公室(Information Commissioner′s Office，ICO)于2019年11月14日發(fā)布《特殊類別數(shù)據(jù)合法處理指南》(2)Information Commissioner’s Office，′Lawful basis for processing Special category data′，14 November 2019.。其中不僅強調(diào)了個人敏感信息的私密性，更強調(diào)了其對個人基本權(quán)利和自由干擾的危害性，并且指出個人敏感信息這一特殊類型的信息極易給個體造成真正的傷害和損害。1995年的歐盟《個人數(shù)據(jù)保護指令(95/46/EC)》則在序言中指出(3)Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data.，對于某類數(shù)據(jù)予以特殊保護，是基于此類數(shù)據(jù)的性質(zhì)極易造成侵害個人基本自由或隱私權(quán)的后果。個人敏感信息的泄露或濫用，往往會對信息主體造成不可逆的損害后果，尤其是個人生物識別信息。也正因為此，美國伊利諾伊州《生物識別信息隱私法案》(Biometric Information Privacy Act,簡稱BIPA)明文規(guī)定了公民基于其生物識別信息受到損害的個人訴權(quán)，使個人可以無需通過集體訴訟就可以維護其個人權(quán)益(4)Biometric Information Privacy Act, 740 ILL. COMP. STAT. §14/20 (2008).。同時，從2019年1月美國著名的Rosenbach v.Six Flags Entertainment Corporation 一案中可以看出，生物識別信息受到違法收集或處理的原告無需證明其實際損害即可獲得賠償(5)Rosenbach v. Six Flags Entertainment Corp., 2019 IL 123186，Supreme Court of Illinois，at33.。此外，個人敏感信息的極端重要性還體現(xiàn)在，對其公開容易使信息主體遭受社會的負面評價甚至歧視。正如有學者指出，“敏感個人信息本身固有的高度人格屬性是需對其特別保護的根本原因，在難以計數(shù)、范圍廣泛的個人信息中，敏感個人信息比一般個人信息承載了更高的人格尊嚴要素”[8]。

三、個人敏感信息界分的新近國際范例

(一)歐盟：應科技發(fā)展的個人敏感信息界分

2018年5月生效的歐盟《一般數(shù)據(jù)保護條例》(General Data Protection Regulation，GDPR)第9條(6)′General Data Protection Regulation′，Regulation(EU) 2016/679 of the European Parliament and of the Council of 27 April 2016.將個人敏感信息界定為：種族、民族、政治觀點、宗教或哲學信仰、工會成員資格、基因、生物特征、健康信息、與刑事定罪相關(guān)的信息、性生活或性取向信息。相較于1995年的歐盟《個人數(shù)據(jù)保護指令(95/46/EC)》第3節(jié)對于個人敏感信息的種類列舉(7)Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data，Section III.，新增了基因信息、生物特征信息和性生活或性取向信息，并完善了對于個人敏感信息的特殊保護機制，體現(xiàn)了個人信息保護法對于新的科技發(fā)展與社會現(xiàn)象的回應。在GDPR通過生效后，以英國為代表的一些歐洲國家，對本國的個人數(shù)據(jù)保護法進行了修正更新，力圖使本國的個人敏感信息界定與GDPR保持一致，并對個人敏感信息采取嚴格保護措施(8)′UK Data protection Bill′, Article 10&11.。

同時，2018年5月新修訂的《歐洲委員會關(guān)于個人數(shù)據(jù)自動化處理的個人保護公約》(簡稱為《新修訂108號公約》)第6條(9)Council of Europe:′convention for the protection of individuals with regard to the processing of personal data′(Convention 108+); 18 May 2018; Article 6.將個人敏感信息的范圍界定為“基因信息；有關(guān)違法、刑事訴訟、犯罪記錄以及保安處分的個人信息；獨特的識別個人的生物特征信息；涉及種族或種族信息、政見、工會會員、宗教或其他信仰、健康或性生活的信息的個人信息”，與1981年《第108號公約》第6條(10)Council of European，Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data，European Treaty Series-No. 108，Strasbourg, 28.I.1981，Article 6.對于個人敏感信息的種類規(guī)定相比較，新增了基因信息和個人生物識別特征信息兩項個人信息?！缎滦抻?08號公約》還在條文解釋部分特別強調(diào)敏感數(shù)據(jù)的處理可能會給數(shù)據(jù)主體的利益、權(quán)利和基本自由帶來的風險，特別是歧視的風險。

(二)美國：個人信息的敏感性與風險性并存

2019年1月，美國信息技術(shù)與創(chuàng)新基金會(Information Technology & Innovation Foundation，ITIF)出臺的《數(shù)據(jù)隱私立法協(xié)議》提到，不同類型的信息具有不同的敏感度，因此如何使用它們也具有不同的風險。一些隱私法采納了一個廣泛的敏感數(shù)據(jù)定義，也因此對一些不太敏感的數(shù)據(jù)采用了并不必要的嚴格標準。個人敏感信息模棱兩可的定義也造成了監(jiān)管不確定性，這使得合規(guī)性變得更加困難。此外，個人敏感信息的定義也忽視了收集信息時的情景[9]，如健康信息的定義寬泛地包括了個體從高度敏感的醫(yī)療記錄到社交軟件上發(fā)布的完成馬拉松的帖子。忽視收集和使用情景，而對所有類型的敏感信息進行相同的嚴格限制將會不必要地限制消費者的選擇。ITIF建議，聯(lián)邦隱私立法應區(qū)分非敏感個人信息(一般信息)與敏感個人信息，信息收集同樣也應區(qū)分關(guān)鍵服務與非關(guān)鍵服務。聯(lián)邦隱私立法應將敏感個人信息定義為：“個人可識別信息，其公開可能會給個人帶來高風險。例如與健康相關(guān)的信息，遺傳和生物識別信息，關(guān)于13歲以下兒童的信息以及個人精確的地理位置信息”[10]。聯(lián)邦隱私立法還應將關(guān)鍵服務定義為對個人的安全、健康和經(jīng)濟福祉至關(guān)重要的服務，例如銀行、公用事業(yè)、醫(yī)療保健和互聯(lián)網(wǎng)接入。對于上述兩項定義，聯(lián)邦隱私立法應授權(quán)聯(lián)邦貿(mào)易委員會確定敏感信息的類型以及關(guān)鍵服務供應商，并定期進行修訂。

這種做法的目標是，依據(jù)每種類型信息的敏感性和風險性而創(chuàng)建低、中、高三個級別的信息保護，這三種級別對應的情形分別是：第一，非關(guān)鍵服務收集非敏感個人信息，如視頻流服務媒體收集用戶的電影偏好；第二，關(guān)鍵服務收集的非敏感個人信息或非關(guān)鍵服務收集的個人敏感信息，如網(wǎng)絡服務提供者基于網(wǎng)絡流量分析的用戶視頻偏好，或電子商務平臺基于用戶的日常購買而分析的用戶健康狀況；第三，關(guān)鍵服務收集的個人敏感信息，如網(wǎng)絡服務提供者基于網(wǎng)絡流量分析得出的用戶健康信息。針對每一級別，都有不同類型的保護措施。

(三)澳大利亞：明定個人敏感信息的范圍并予以高級別保護

澳大利亞于1988年制定《隱私法》，隨著社會的發(fā)展經(jīng)歷了數(shù)次的修正，并設(shè)立澳大利亞信息專員辦公室(The Office of the Australian Information Commissioner，OAIC)專門針對個人的隱私以及個人信息進行全方位的保護。根據(jù)OAIC在2019年7月更新的資料，其明確規(guī)定個人敏感信息是指“關(guān)于個人意見或觀點的信息，包括種族或民族血統(tǒng)；政治觀點；政治性社團的成員資格；宗教信仰；哲學信仰；專業(yè)性或行業(yè)協(xié)會會員資格；工會會員資格；性取向或性行為；犯罪記錄；關(guān)于個人健康的信息；遺傳信息；生物辨識信息等”。OAIC認為，對于個人敏感信息處理不當可能會對個體或是與之相關(guān)的個體產(chǎn)生不利后果，例如歧視、羞辱或是個人尊嚴受損，因而規(guī)定應當對其提供比一般信息級別更高的保護措施[11]。

(四)加拿大：依據(jù)具體場景確定個人信息的敏感度

加拿大的個人信息保護體系則由《個人信息保護與電子文件法》(Personal Information Protection and Electronic Documents Act 2000, PIPEDA)與《隱私法》(Privacy Act, PA)共同構(gòu)成。前者主要規(guī)范商業(yè)化經(jīng)營的個人征信機構(gòu)、個人信息供應商、交換個人信息的機構(gòu)、個人信息使用機構(gòu)等私人機構(gòu)，對于通過商業(yè)渠道收集的個人信息進行強有力的保護，并且專門設(shè)有加拿大國會個人隱私權(quán)保護委員會對《個人信息保護與電子文件法》的實施進行監(jiān)督。兩部法律都沒有直接對個人敏感信息進行定義，《隱私法》第3條將個人信息定義為：“以任何形式記錄的個人信息”，并列舉了包含種族、宗教、婚姻狀況、醫(yī)療等在內(nèi)的13項個人信息(11)′Privacy Act′, Section 3, Interpretation.?！秱€人信息保護與電子文件法》將個人信息定義為“可以識別到個人的信息”。但是在《個人信息保護與電子文件法》第五部分的附則，《個人信息保護標準守則》(Model Code for the Protection of Personal Information)中，對于個人敏感信息的收集同意進行了特殊規(guī)定：根據(jù)個人信息的類型不同與使用情景不同，對于當事人同意收集個人信息的形式也會有所不同，而判斷標準恰恰正是信息的敏感性。雖然醫(yī)療記錄和收入記錄總是被認為是敏感信息，但是任何信息根據(jù)其使用情景不同，都可能是敏感信息。加拿大將依據(jù)使用情景而認定信息是否具備敏感性的權(quán)利賦予了私人機構(gòu)，進而對敏感信息的收集同意采取嚴格要求，并且由個人隱私權(quán)保護委員會進行監(jiān)督，以此來完成對于個人敏感信息的保護。

四、我國個人敏感信息界分的規(guī)范現(xiàn)狀與裁判見解

(一)行政法規(guī)的界分范圍過于狹窄

國務院于2013年1月發(fā)布的《征信業(yè)管理條例》禁止征信機構(gòu)采集“個人宗教信仰、基因、指紋、血型、疾病和病史信息”(12)中華人民共和國國務院令第631號《征信業(yè)管理條例》第14條：禁止征信機構(gòu)采集個人的宗教信仰、基因、指紋、血型、疾病和病史信息以及法律、行政法規(guī)規(guī)定禁止采集的其他個人信息。，此條例雖未明確將上述信息定義為個人敏感信息，但是實則表明了征信行業(yè)對于個人敏感信息的范圍認定，發(fā)揮了對此類個人敏感信息進行限制收集的功能。但是其中“疾病和病史信息”具有一定的局限性，范圍過窄。從二十世紀的最后十年開始，隨著健康信息的數(shù)字化和國家電子健康記錄基礎(chǔ)設(shè)施的建設(shè)，世界各國陸續(xù)走上了為實現(xiàn)個人健康管理和理療保健服務等公共衛(wèi)生目標的人口健康監(jiān)測之路，個人健康信息已不局限于病史等醫(yī)療信息。例如物聯(lián)網(wǎng)收集大量與個人連結(jié)的健康醫(yī)療信息，可以創(chuàng)建出對個人極具侵略性的聯(lián)系性活動記錄，對個人自由、隱私和人身安全產(chǎn)生極大的侵害風險[12]。個人健康信息具有高度敏感性，對其收集和處理將會使信息主體感到自己的權(quán)利和自主權(quán)受到嚴重侵犯[13]。因此，應將疾病、病史等信息納入個人健康信息的范疇而統(tǒng)一作為一項個人敏感信息予以特殊保護。此外，個人的指紋信息和基因信息均屬于個人生物識別信息，而隨著人臉識別技術(shù)的發(fā)展與應用，作為生物識別信息的個人面部信息也面臨著被不當收集和泄露的風險。世界首例警方使用人臉識別技術(shù)合法性判決中指出，個人生物識別信息具有本質(zhì)上的私人性(intrinsically private)(13)R (Bridges) v CCSWP and SSHD，Queen's Bench Division of the High Court, Case No: CO/4085/2018, ( 04/09/2019), at57.，是一項高敏感且高風險的個人信息，故應當將包含個人面部信息、基因信息和指紋信息等在內(nèi)的個人生物識別信息作為一項個人敏感信息，并對其進行嚴格保護。

(二)國家標準的界分內(nèi)容流于寬泛

2013年2月，我國首個個人信息保護國家標準《信息安全技術(shù)公共及商用服務信息系統(tǒng)個人信息保護指南》(以下簡稱《保護指南》)出臺，至今已實施6年有余。該文件首次以標準的文件形式將個人信息分為一般信息和個人敏感信息(14)《信息安全技術(shù)公共及商用服務信息系統(tǒng)個人信息保護指南》(GB/Z 28828—2012) 3.2條：個人信息(personal information)為信息系統(tǒng)所處理、與特定自然人相關(guān)、能夠單獨或通過與其他信息結(jié)合識別該特定自然人的計算機數(shù)據(jù)。個人信息可以分為個人敏感信息和個人一般信息。，并且首次規(guī)定個人敏感信息在收集和利用之前，必須首先獲得個人信息主體的明確授權(quán)。該《保護指南》適用于除政府機關(guān)等行使公共管理職責的機構(gòu)以外的各類組織和機構(gòu)，包括電信、金融、醫(yī)療等領(lǐng)域的服務機構(gòu)，開展信息系統(tǒng)的個人信息保護工作?！侗Ｗo指南》將敏感信息定義為：“一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息”， 此項定義突破了以往學者普遍認為個人敏感信息即涉及隱私的個人信息的觀點[14]，而認為個人敏感信息強調(diào)的是對“信息主體造成不良影響”的可能性[15]，一般個人信息與個人敏感信息之間的差異恰恰在于兩者的敏感度不同，厘清了一般個人信息、個人敏感信息以及個人隱私信息之間的關(guān)系。但是該《保護指南》認為各行業(yè)可以根據(jù)信息主體的意愿和各自業(yè)務特點來自行確定本行業(yè)的個人敏感信息，最后還舉例說明敏感信息范圍(15)《信息安全技術(shù)公共及商用服務信息系統(tǒng)個人信息保護指南》(GB/Z 28828—2012) 3.7條：個人敏感信息(personal sensitive information)一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息。各行業(yè)個人敏感信息的具體內(nèi)容根據(jù)接受服務的個人信息主體意愿和各自業(yè)務特點確定。例如個人敏感信息可以包括身份證號碼、手機號碼、種族、政治觀點、宗教信仰、基因、指紋等。。對個人敏感信息如此規(guī)定，將個人敏感信息的范圍增加了更多的不可確定性，賦予了電信、金融、醫(yī)療等行業(yè)較大的自我決定權(quán)，擴張了個人敏感信息的范圍，不利于對個人敏感信息的嚴格保護。

隨后，2017年12月由國家質(zhì)量監(jiān)督檢驗檢疫總局和國家標準化管理委員會聯(lián)合發(fā)布的《信息安全技術(shù)——個人信息安全規(guī)范》(GB/T 35273—2017)(以下簡稱《規(guī)范》)對于個人信息的收集、保存、使用、共享、轉(zhuǎn)讓和公開披露等環(huán)節(jié)進行了全面系統(tǒng)的規(guī)定。該標準將個人信息和個人敏感信息作為兩項重要的基礎(chǔ)詞匯，不但在正文中予以明確規(guī)定(16)《信息安全技術(shù)——個人信息安全規(guī)范》(GB/T 35273—2017)3.2條：個人敏感信息(personal sensitive information)一旦泄露、非法提供或濫用可能危害人身和財產(chǎn)安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息。注1:個人敏感信息包括身份證件號碼、個人生物識別信息、銀行賬號、通信記錄和內(nèi)容、財產(chǎn)信息、征信信息、 行蹤軌跡、住宿信息、健康生理信息、交易信息、14 歲以下(含)兒童的個人信息等。注2：關(guān)于個人敏感信息的范圍和類型可參見附錄B。，更是在附錄中分別予以詳細示例。《規(guī)范》在附錄中從“個人財產(chǎn)信息、個人生理健康信息、個人生物識別信息、個人身份信息、網(wǎng)絡身份表示信息和其他信息”等6個方面列舉了55項個人敏感信息(17)《信息安全技術(shù)——個人信息安全規(guī)范》(GB/T 35273—2017)附錄B。。該《規(guī)范》可以稱得上是我國目前對于個人敏感信息規(guī)定最為詳實的一項文件，為政府機關(guān)管理公共數(shù)據(jù)、司法機關(guān)審判案件和企業(yè)收集利用公民個人信息提供了指引。但是，該文件仍然存在不妥當之處。該文件規(guī)定：“通常情況下，14歲以下(含)兒童的個人信息和自然人的隱私信息屬于個人敏感信息”，此規(guī)定與美國ITIF的觀點一致，但筆者認為不宜如此，因為個人敏感信息與14歲以下的兒童信息并非一個范疇，對兩者確實都應給予特殊保護，但是卻不能在兩者之間劃等號。對兒童的個人信息進行嚴格保護是因為其并不具備完全的辨識能力，不能準確估量個人信息被收集處理后產(chǎn)生的風險，所以對兒童個人信息的收集處理需要經(jīng)過其監(jiān)護人的同意。兒童的個人信息確為一項特殊的個人信息類別，但這并不意味著兒童的所有信息都是敏感的，不能與個人敏感信息混為一談。對于兒童個人信息的收集處理應采納嚴格的限制條件，原因在于其信息主體的脆弱性，并非信息內(nèi)容的敏感性。所以筆者認為，對于兒童的個人信息進行特殊保護的規(guī)定應在信息收集時的同意方式上予以明確體現(xiàn)，而不應將其直接統(tǒng)一規(guī)定為個人敏感信息而進行特殊保護。

(三)司法裁判的界分標準缺乏統(tǒng)一

通過梳理自2016年以來的26起(18)筆者以“個人敏感信息”和“敏感個人信息”為關(guān)鍵詞，在北大法寶司法案例數(shù)據(jù)庫上進行了2016年以來的案例搜索，共搜集到26起涉及侵害公民個人敏感信息的代表性司法裁判。涉及侵害公民個人敏感信息的代表性司法裁判，并對其進行分析之后，筆者發(fā)現(xiàn)各個法院對于個人敏感信息的判定并沒有一套統(tǒng)一的標準，尤其是在民事案件中，對于個人敏感信息的認定標準參差不齊。例如，在夏某訴佛山市東順行汽車銷售有限公司名譽權(quán)糾紛一案中，廣東省佛山市中級人民法院認為，包括身份證號碼在內(nèi)的公民身份信息并不屬于公民的個人敏感信息范疇，僅為公民的一般個人信息，不具有敏感性和隱秘性的特點。另外，佛山法院認為，公民的敏感信息屬于隱私權(quán)的保護范疇，即公民的敏感信息是隱私信息，應附屬于隱私權(quán)進行保護(19)廣東省佛山市中級人民法院(2018)粵06民終3316號民事判決書。。由此可以看出，佛山市中級人民法院界分一般個人信息與個人敏感信息的標準為是否涉及隱私信息。在審理關(guān)麗君訴山東大眾傳媒股份有限公司煙臺分公司、山東大眾傳媒股份有限公司名譽權(quán)糾紛一案中，山東省煙臺市中級人民法院認為，公民的個人敏感信息包括事實與圖像等形式，如當事人的照片，若未經(jīng)合理的遮擋處理，應禁止被公開在報刊或網(wǎng)絡等新聞媒體上，否則會對公民的名譽權(quán)和隱私權(quán)造成侵害(20)山東省煙臺市中級人民法院(2014)煙民四終字第47號民事判決書。。杭州市鐵路運輸法院在審理淘寶(中國)軟件有限公司訴安徽美景信息科技有限公司不正當競爭一案時，認為個人信息包含一般個人信息和個人敏感信息，網(wǎng)絡用戶的個人偏好信息和身份信息屬于個人敏感信息，容易與特定主體發(fā)生對應聯(lián)系，會暴露網(wǎng)絡用戶的個人隱私或商業(yè)秘密(21)杭州鐵路運輸法院(2017)浙8601民初4034號民事判決書。。而在劉某某訴樂某某科技(北京)股份有限公司隱私權(quán)糾紛一案中，北京市石景山區(qū)人民法院則認定個人敏感信息包括位置信息、通訊錄信息和短信信息(22)北京石景山區(qū)人民法院(2018)京0107民初2442號民事判決書。。由此可見，司法實踐中對于個人敏感信息的認定并無統(tǒng)一標準，也未能將個人信息作為一項獨立的法益進行救濟[16]，往往僅在其造成隱私權(quán)、名譽權(quán)等其他人格權(quán)受損時，才對公民的個人敏感信息進行保護。

相比之下，在檢索到的10起(23)筆者以“個人敏感信息”和“敏感個人信息”為關(guān)鍵詞，在北大法寶司法案例數(shù)據(jù)庫上進行了2016年以來的案例搜索，共搜集到10起涉及侵害公民個人敏感信息的代表性刑事司法裁判。刑事案件中，司法機關(guān)均依據(jù)《檢察機關(guān)辦理侵犯公民個人信息案件指引》(24)《檢察機關(guān)辦理侵犯公民個人信息案件指引》(高檢發(fā)偵監(jiān)字[2018]13號)：(四)對“情節(jié)嚴重”和“情節(jié)特別嚴重”的審查認定：……對于財產(chǎn)信息，既包括銀行、第三方支付平臺、證券期貨等金融服務賬戶的身份認證信息(一組確認用戶操作權(quán)限的數(shù)據(jù)，包括賬號、口令、密碼、數(shù)字證書等)，也包括存款、房產(chǎn)、車輛等財產(chǎn)狀況信息?！瓕駛€人敏感信息進行了較為統(tǒng)一的認定，認為公民的“行蹤軌跡、通信內(nèi)容、征信信息和財產(chǎn)信息”等四類信息和公民人身安全、財產(chǎn)安全緊密相關(guān)，具有較大的社會危害性，因此被認為是個人敏感信息。不過，在實踐中也存在個人敏感信息的認定范圍過于寬泛的現(xiàn)象。例如，在賀某某、唐某某侵犯公民個人信息一案中，廣東省中山市第一人民法院認為，公民的車輛信息和房屋信息均能反映公民的財產(chǎn)狀況，因此包括“公民的姓名、手機號碼、車牌號、車型、車架號”和“房產(chǎn)信息樓盤名稱、樓棟號、樓層、面積等”在內(nèi)的車輛信息和房產(chǎn)信息，均為公民的個人敏感信息(25)廣東省中山市第一人民法院(2018)粵2071刑初192號民事判決書。。采納過于寬泛與具體的方式來界定個人敏感信息的范圍會加重政府和企業(yè)的信息管理成本，不利于我國信息產(chǎn)業(yè)的發(fā)展，也違背了個人信息類型化處理與保護的初衷。

五、我國個人敏感信息的界分路徑與立法表達

(一)個人敏感信息界分的模式選擇

縱觀前述國際組織條約和各國立法有關(guān)個人敏感信息的界定方法可知，個人敏感信息的界分模式可分為兩類，一是法律列舉模式，二是綜合考量模式。

1.法律列舉模式

對于法律列舉模式而言，其意味著以個人信息的內(nèi)容為依據(jù)來界定敏感信息，認為某些信息的內(nèi)容和性質(zhì)因與個人的人身、財產(chǎn)密切相關(guān)，一旦被公開就會對個人的人格尊嚴、隱私和自由等權(quán)益產(chǎn)生侵害，因此原則上應禁止收集、處理與利用。法律列舉模式為世界各國立法主流，英國、德國和澳大利亞等國家均采用此種模式對個人敏感信息進行立法。我國目前現(xiàn)有的對個人敏感信息進行規(guī)定的規(guī)范性文件也采納了此種方式，可以使信息主體、信息收集者和信息處理者迅速直觀地判斷何種個人信息可以收集處理，何種個人信息需要遵循更為嚴格的保護措施，既有利于信息主體獲得個人敏感信息的保護，又有利于企業(yè)和國家收集利用個人一般信息。但是，該模式也遭受一些學者的質(zhì)疑，例如加拿大學者Adams[17]認為，通過列舉的方式直接在立法中確定個人敏感信息的范圍，而并非依據(jù)具體情況考量信息主體的意愿，可能會造成過度保護，也可能會造成保護不足。此外，由于科技發(fā)展和社會變遷，個人信息的內(nèi)容與形式會隨著社會、歷史與文化而改變，社會主體的敏感觀也會發(fā)生相應變化，采用列舉的方式定義個人敏感信息并不能及時回應社會需求。

上述擔憂并非沒有道理，但也并非不可破解，至少有兩種方式可以應對：一是修改個人信息保護法或隱私法，增加個人敏感信息的類別，甚至可以就某些特殊信息制定特別法；二是司法機關(guān)通過發(fā)布司法解釋對個人敏感信息的類別進行新增或擴展。

2.綜合考量模式

(1)情景模式

情景模式意味著個人敏感信息并非先驗概念，信息的敏感性并非與生俱來，在特定的情境下，任何信息都可能具備敏感性[18]。例如，以指紋、虹膜等為代表的個人生物辨識信息，其本身為中性信息，并不具備任何敏感性。尤其是指紋，雖然觸物留痕并無處不在，但僅僅知悉個人指紋信息無法透露出任何其他與人身、財產(chǎn)相關(guān)的信息。只不過由于科技的發(fā)展，通過個人生物識別信息可以連接至信息主體的其他信息庫，進而識別出更多的個人信息，例如健康信息、醫(yī)療信息等個人敏感信息。因此，個人的生物識別信息僅在特定情境下才具備敏感性。

(2)目的模式

目的模式則強調(diào)信息的實際處理目的，而非信息內(nèi)容本身[19]。該模式認為，信息內(nèi)容本質(zhì)上并不含敏感性，因為信息處理者的意向與目的不同，所以同樣的信息在不同的情況下具備不同的敏感度。目的模式實際認為，敏感性并非絕對的而是相對的，取決于信息的處理目的是否含有揭露信息的敏感特質(zhì)。該模式發(fā)揮的作用在于限制信息處理者揭露、分析以及處理所具有的敏感特質(zhì)，根據(jù)信息處理者的處理目的不同而予以限制，防止對信息主體造成傷害。但是，該模式的缺點也顯而易見——其未對個人敏感信息進行定義，僅寬泛地在信息處理階段進行目的判斷，從而加大了企業(yè)和國家的管理負擔，同時不利于公民對于信息中是否具有敏感特質(zhì)進行判斷，不利于個人敏感信息保護。

(二)個人敏感信息的立法表達與規(guī)則設(shè)計

結(jié)合國內(nèi)外現(xiàn)有規(guī)范關(guān)于個人敏感信息的界定，以及我國司法實踐關(guān)于個人敏感信息的裁判觀點，我國對于個人敏感信息的界定應體現(xiàn)在未來的《民法典人格權(quán)編》和《個人信息保護法》中。

1.《民法典(草案)》第一千零三十四條文之評析與修改

《民法典人格權(quán)編(草案)》已經(jīng)歷三次審議，通過6個條文規(guī)定了對個人信息的系統(tǒng)保護，但仍然未對個人敏感信息與個人一般信息進行區(qū)分。雖然《民法典人格權(quán)編(草案第三次審議稿)》(以下簡稱人格權(quán)編三審稿)列舉出屬于個人敏感信息的身份證件號碼、生物識別信息和行蹤信息(26)《中華人民共和國民法典人格權(quán)編(草案第三次審議稿)》第八百一十三條第二款：個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱地址、行蹤信息等。，但仍未冠之以個人敏感信息之名。全國人大立法委員會曹建明[20]副委員長指出，人格權(quán)編三審稿擴大了個人信息的范圍，但是能察覺到對于個人信息的保護范圍仍有缺漏。而全國人大于2019年12月16日對外公布的《民法典(草案)》第一千零三十四條終于對個人信息進行了類型化區(qū)分(27)《中華人民共和國民法典(草案)》第一千零三十四條：自然人的個人信息受法律保護。個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息, 包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱地址、行蹤信息等。個人信息中的私密信息, 同時適用隱私權(quán)保護的有關(guān)規(guī)定。，卻并未取得突破性進展。《民法典(草案)》第一千零三十四條第二款列舉出“自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、 電子郵箱地址、 行蹤信息等”八類個人信息，又在第三款指出“個人信息中的私密信息, 同時適用隱私權(quán)保護的有關(guān)規(guī)定。”此舉無疑是表明將個人信息類型化為一般個人信息和個人私密信息，劃分的依據(jù)是個人信息的內(nèi)容是否涉及隱私，涉及隱私的個人信息被認為是私密信息。這確為個人信息的一種分類方式，但卻不是最適宜在我國《民法典》中體現(xiàn)的分類。首先，私密信息涉及個人隱私，故在當事人的私密信息遭到侵害時可以選擇隱私權(quán)保護抑或是個人信息權(quán)益保護的方式尋求救濟，并不需要專門在法律條文中進行說明。其次，正如上文所述，將個人信息類型化為一般個人信息與個人敏感信息，并在我國民事基本法中體現(xiàn)，是滿足我國目前對于個人敏感信息亟待保護的需求以及順應全球個人信息保護的趨勢，將個人敏感信息予以明確規(guī)定并加以特殊保護，是世界多數(shù)國家的普遍做法，值得中國借鑒。最后，對于一些并不私密但卻敏感的個人信息無法給予強有力的保護，例如個人生物識別信息。個人生物識別信息包含指紋、基因、面部信息和聲紋等，指紋信息并不是一項私密信息，因為人的手指觸物留痕，聲紋亦如此，每個社會個體在與他人交往過程中都會展現(xiàn)自己的聲音，并不屬于不愿被他人知曉的私密信息。但是包括指紋和聲紋在內(nèi)的個人生物識別信息卻是一項高度敏感信息，個人生物識別信息的泄露或濫用，將會對個體的自由與人格尊嚴造成極大威脅，極易給信息主體造成人身和財產(chǎn)損害。目前我國最恰當?shù)淖龇ㄊ窃凇睹穹ǖ洹方缍▊€人信息的基礎(chǔ)上，將個人信息類型化為個人敏感信息和個人一般信息，同時在《民法典》中進一步界定個人敏感信息的范圍種類。

有鑒于此，筆者建議刪除現(xiàn)有《民法典(草案)》第一千零三十四條第三款“個人信息中的私密信息, 同時適用隱私權(quán)保護的有關(guān)規(guī)定”，同時將民法典草案第一千零三十四條第二款修改為：“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息，分為一般個人信息和個人敏感信息。其中，個人敏感信息包括個人健康信息、生物識別信息、身份證件號碼、行蹤信息、財產(chǎn)信息、性生活和性取向等”。 刪除目前《民法典(草案)》第一千零三十四條第二款中對于個人信息的種類列舉，代之以對于個人敏感信息的種類列舉，主要是由于現(xiàn)有的種類列舉會模糊一般個人信息和個人敏感信息之間的界限，忽視兩者之間的差異。同時，就法律條文的邏輯周延性方面考慮，由于一般個人信息是除了個人敏感信息以外的其他個人信息，通過列舉個人敏感信息而確定一般個人信息的范圍，更具有嚴密的周延性。如此一來，既可以在民事基本法層面確立個人敏感信息保護的法律依據(jù)，也可以為后續(xù)《個人信息保護法》等涉及個人信息的特別法提供指引，還可以為涉及個人敏感信息的司法裁判提供清晰的法律適用指導，促進學術(shù)研究中對于一般個人信息和個人敏感信息類型化處理與保護規(guī)則的重視。

2.《個人信息保護法》之相關(guān)條文設(shè)計

民法典作為我國民事基本法對于個人敏感信息的規(guī)定簡短精煉，個人敏感信息更多的立法表達體現(xiàn)在個人信息保護專項立法，即我國未來的《個人信息保護法》之中。考慮到情景模式與目的模式等模式不能有效平衡個人敏感信息的主觀性與客觀性，如僅僅采納這類模式，往往須交由個人信息保護行政主管機關(guān)和人民法院來進行判斷。我國目前缺乏全國統(tǒng)一的個人信息保護行政主管機關(guān)，不能形成一套統(tǒng)一的判斷體系。若交由法院在司法裁判階段進行判斷，則不能對信息主體的權(quán)益進行事前保護，可能會對信息主體造成嚴重的人身、財產(chǎn)和精神上的損失。因此，我國應在法律明文列舉出個人敏感信息的種類之后，同時考量信息處理的情景與目的，主要是個人信息的內(nèi)容與性質(zhì)，其公開是否會對個體的自由、人身以及財產(chǎn)安全產(chǎn)生傷害。此舉措既與我國目前關(guān)于個人敏感信息的既有規(guī)定相適應，也是應對我國目前個人敏感信息保護混亂狀態(tài)的有效措施，能夠?qū)駛€人信息權(quán)利、隱私權(quán)以及人身財產(chǎn)相關(guān)權(quán)益提供強有力保障。

我國未來的《個人信息保護法》應分三步對個人敏感信息進行法律界定：第一步，在總體上將個人敏感信息定義為“一旦泄露或濫用，將會對個體的自由與人格尊嚴造成極大威脅，極易給信息主體造成人身和財產(chǎn)損害的個人信息”；第二步，具體操作上將個人健康信息、生物識別信息、身份證件號碼、行蹤信息、財產(chǎn)信息、性生活和性取向等個人敏感信息在法律條款中進行明文列舉；最后，輔之以提示性條款，規(guī)定個人信息保護行政主管機關(guān)和司法機關(guān)在判定個人敏感信息時需同時考量信息處理情景和信息處理目的等因素。

六、結(jié) 語

將個人信息區(qū)分為個人敏感信息和個人一般信息，既能落實個人信息保護法的立法精神，有效保護個人的人格尊嚴和自由，又能促進對一般個人信息的利用，推動技術(shù)創(chuàng)新，在兩者之間找到利益的最大公約數(shù)。合理界定個人敏感信息是對其進行特殊保護的第一步，選擇適合我國國情的界定模式，從現(xiàn)有的規(guī)范文件和司法裁判中提取出我國個人敏感信息的具體種類，同時考慮科技水平的不斷發(fā)展而可能擴充的種類，是最為恰當?shù)淖龇?。目前，我國《民法?草案)》第一千零三十四條的規(guī)定并不能達到保護個人敏感信息這一特殊類別個人信息的預期效果。在智能應用時代重視個人敏感信息的法律界分，并將其在我國未來《民法典人格權(quán)編》和《個人信息保護法》中進行合理表達，將有利于我國在把握科技發(fā)展新機遇、推動智能產(chǎn)業(yè)健康發(fā)展的同時，不斷增進人格保護與人民福祉。