解讀民法典“隱私權(quán)和個(gè)人信息保護(hù)”

王春暉 ，程 樂(lè)

1. 南京郵電大學(xué)信息產(chǎn)業(yè)發(fā)展戰(zhàn)略研究院,江蘇南京 210023

2. 浙江大學(xué)外國(guó)語(yǔ)言文化與國(guó)際交流學(xué)院,浙江杭州 310058

人格權(quán)是民事主體所固有而由《中華人民共和國(guó)民法典》(以下簡(jiǎn)稱《民法典》) 直接賦予民事主體所享有的各種人身權(quán)利，根據(jù)《民法典》第九百九十條“人格權(quán)定義”表述：“人格權(quán)是民事主體享有的生命權(quán)、身體權(quán)、健康權(quán)、姓名權(quán)、名稱權(quán)、肖像權(quán)、名譽(yù)權(quán)、榮譽(yù)權(quán)、隱私權(quán)等權(quán)利?！?/p>

除上述規(guī)定外，自然人享有的基于人身自由、人格尊嚴(yán)而產(chǎn)生的其他人格權(quán)益都屬于人格權(quán)的范疇?？梢?jiàn)，人格權(quán)屬于人身權(quán)利，而非財(cái)產(chǎn)權(quán)利。首先，人格權(quán)是一種支配權(quán)，具有排他的效力；其次，人格權(quán)是一種絕對(duì)權(quán)，任何人都不得妨礙其行使；再次，人格權(quán)是一種專屬權(quán)，他人不得代為行使。

《民法典》強(qiáng)化了對(duì)公民人格權(quán)的保護(hù)，使“人格權(quán)”獨(dú)立成編，恪守了“以民為本、立法為民”的理念，并以人格尊嚴(yán)的至高無(wú)上為根本出發(fā)點(diǎn)[1]，加大了對(duì)公民隱私權(quán)的保護(hù)力度，特別是構(gòu)筑了個(gè)人信息保護(hù)的防火墻。以下就作者參與《民法典·人格權(quán)編(草案)》第六章立法專家咨詢活動(dòng)的實(shí)踐與體會(huì)，特別對(duì)“隱私權(quán)和個(gè)人信息保護(hù)”各條款做如下分析和解讀。

一、自然人的“隱私權(quán)”

《民法典》第一千零三十二條【隱私權(quán)】自然人享有隱私權(quán)。任何組織或者個(gè)人不得以刺探、侵?jǐn)_、泄露、公開(kāi)等方式侵害他人的隱私權(quán)。隱私是自然人的私人生活安寧和不愿為他人知曉的私密空間、私密活動(dòng)、私密信息。

解讀：“隱私權(quán)”屬于《民法典》人格權(quán)中的一項(xiàng)重要權(quán)利，任何組織或者個(gè)人不得以刺探、侵?jǐn)_、泄露、公開(kāi)等方式侵害他人的隱私權(quán)。第一，不得暗中偵察和探聽(tīng)他人的隱私；第二，不得侵犯騷擾他人的私人安寧；第三，不得泄露他人的隱私信息；第四，不得公開(kāi)他人的隱私空間和活動(dòng)等。

本條中，自然人隱私主要有兩層含義，一是自然人的私人生活安寧；二是不愿為他人知曉的私密空間、私密活動(dòng)、私密信息。

1.關(guān)于私人生活的安寧權(quán)

自然人的私人生活安寧權(quán)，一直作為一個(gè)法學(xué)概念存在于民法理論的研究和討論中。由于處在“無(wú)法可依”的狀態(tài)，該權(quán)利長(zhǎng)期得不到法律的有效保護(hù)。私人生活的安寧是自然人的一項(xiàng)特殊隱私權(quán)，比如你中午午休，突然樓上發(fā)出了震耳欲聾的裝修噪音，以前遇到上述情形，你只能找物業(yè)服務(wù)機(jī)構(gòu)幫助解決或登門制止，沒(méi)有更好的辦法。

如今，《民法典》正式將自然人的“私人生活安寧權(quán)”納入隱私權(quán)的范疇，如果再遇到上文所述的被侵?jǐn)_的情況，對(duì)方就對(duì)你的私人生活安寧權(quán)構(gòu)成了侵害。如果鄰居不接受你的要求且繼續(xù)侵?jǐn)_，你就可以選擇報(bào)警，并視情節(jié)依法要求相應(yīng)的賠償。

2.自然人的“私事”嚴(yán)禁他人干擾

“不愿意他人知道或他人不便知道的私人空間、私密活動(dòng)和私密信息”，是《民法典》自然人隱私權(quán)的核心內(nèi)容，其中，私人空間、私密活動(dòng)和私密信息(“三私”)的核心是“不公開(kāi)性”和“私密性”。首先，自然人的隱私是與公共利益相對(duì)的一種私權(quán)，與公共利益和他人利益無(wú)關(guān)；其次，自然人的隱私是自然人不愿意他人知道或他人不便知道的。

該款中的“私人空間”除了物理空間，如個(gè)人的住所、賓館臨時(shí)居住的房間等，還包括個(gè)人的日記及虛擬空間。筆者曾就騰訊公司拒絕法院調(diào)取個(gè)人微信聊天記錄一事，在接受媒體采訪時(shí)表示：公民通信自由和通信秘密是憲法賦予公民的一項(xiàng)基本權(quán)利，對(duì)該權(quán)利的限制僅限于憲法明文規(guī)定的特殊情形，即因國(guó)家安全或者追查刑事犯罪的需要，由公安機(jī)關(guān)、國(guó)家安全機(jī)關(guān)、檢察機(jī)關(guān)依照法律規(guī)定的程序?qū)νㄐ胚M(jìn)行檢查；個(gè)人點(diǎn)對(duì)點(diǎn)的微信聊天記錄清楚地記錄了一個(gè)人的交流對(duì)象和內(nèi)容，涉及大量個(gè)人隱私和秘密，是憲法確立的通信內(nèi)容的重要組成部分，屬于憲法保護(hù)的通信秘密范疇；盡管依照《中華人民共和國(guó)民事訴訟法》的規(guī)定，人民法院有權(quán)調(diào)查取證，但其前提條件是必須符合憲法的上述規(guī)定，不得侵犯公民的基本權(quán)利，不得與憲法的精神相悖[2]。

二、對(duì)侵害自然人隱私權(quán)行為的規(guī)制

《民法典》第一千零三十三條【隱私權(quán)侵害行為】除法律另有規(guī)定或者權(quán)利人明確同意外,任何組織或者個(gè)人不得實(shí)施下列行為：

(一)以電話、短信、即時(shí)通訊工具、電子郵件、傳單等方式侵?jǐn)_他人的私人生活安寧；

(二)進(jìn)入、拍攝、窺視他人的住宅、賓館房間等私密空間；

(三)拍攝、窺視、竊聽(tīng)、公開(kāi)他人的私密活動(dòng)；

(四)拍攝、窺視他人身體的私密部位；

(五)處理他人的私密信息；

(六)以其他方式侵害他人的隱私權(quán)。

解讀：《民法典》第一千零三十三條，以列舉加兜底相結(jié)合的立法技術(shù)，列出了任何組織或者個(gè)人不得實(shí)施六類侵害自然人隱私權(quán)的行為：

1.不得以電話、短信、即時(shí)通訊工具、電子郵件、傳單等方式侵?jǐn)_他人的私人生活安寧

當(dāng)前，營(yíng)銷電話、惡意電話和短信騷擾，特別是網(wǎng)絡(luò)上的彈窗廣告等已經(jīng)成為公害，嚴(yán)重地影響了人民群眾的正常生活安寧。早在2012年，《全國(guó)人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》就明確規(guī)定，任何組織和個(gè)人未經(jīng)電子信息接收者同意或者請(qǐng)求，或者電子信息接收者明確表示拒絕的，不得向其固定電話、移動(dòng)電話或者個(gè)人電子郵箱發(fā)送商業(yè)性電子信息。這應(yīng)該是我國(guó)首次以法律的形式禁止第三方侵?jǐn)_他人。我國(guó)《消費(fèi)者權(quán)益保護(hù)法》也有類似的規(guī)定，即經(jīng)營(yíng)者未經(jīng)消費(fèi)者同意或者請(qǐng)求，或者消費(fèi)者明確表示拒絕的，不得向其發(fā)送商業(yè)性信息。

針對(duì)日益嚴(yán)重的擾民電話，2018年工業(yè)和信息化部、最高人民法院、最高人民檢察院、教育部、公安部、司法部、人力資源和社會(huì)保障部、住房和城鄉(xiāng)建設(shè)部、文化和旅游部、國(guó)家衛(wèi)生健康委員會(huì)、國(guó)家市場(chǎng)監(jiān)督管理總局、中國(guó)銀行保險(xiǎn)監(jiān)督管理委員會(huì)、中國(guó)證券監(jiān)督管理委員會(huì)等十三部門聯(lián)合發(fā)布了《綜合整治騷擾電話專項(xiàng)行動(dòng)方案》的通知(以下稱“《通知》”)，從五個(gè)方面提出了治理騷擾電話的綜合方案：一是嚴(yán)控騷擾電話傳播渠道；二是全面提升技術(shù)防范能力；三是規(guī)范重點(diǎn)行業(yè)商業(yè)營(yíng)銷行為；四是依法懲處違法犯罪；五是健全法規(guī)制度。

目前，自然人的通訊工具主要有兩類：一是電子類的通訊，如移動(dòng)或固定電話的語(yǔ)音通訊、手機(jī)短信(Short Message Service，SMS)、即時(shí)通信工具(Instant messaging，IM)、電子郵件等；二是傳統(tǒng)類的通訊，如通過(guò)郵政或快遞公司傳送給具體自然人的私人信件等?！睹穹ǖ洹穼ⅰ八饺松畎矊帯奔{入自然人隱私權(quán)的范疇，并嚴(yán)禁以電話、短信、即時(shí)通訊工具、電子郵件、傳單等方式侵?jǐn)_他人，這對(duì)維護(hù)自然人的私人生活安寧具有重要意義。

2.不得進(jìn)入、拍攝、窺視他人的住宅、賓館房間等私密空間

公民的住宅不受侵犯是憲法賦予的權(quán)利，我國(guó)《憲法》第三十九條規(guī)定，中華人民共和國(guó)公民的住宅不受侵犯。禁止非法搜查或者非法侵入公民的住宅。我國(guó)刑法專門規(guī)定了“非法侵入住宅罪”?！缎谭ā返诙偎氖鍡l規(guī)定，非法搜查他人身體、住宅，或者非法侵入他人住宅的，處三年以下有期徒刑或者拘役。司法工作人員濫用職權(quán)構(gòu)成此罪的從重處罰。我國(guó)《治安管理處罰法》第四十條對(duì)“非法侵入他人住宅”的行為將處十日以上十五日以下拘留，并處五百元以上一千元以下罰款；情節(jié)較輕的，處五日以上十日以下拘留，并處二百元以上五百元以下罰款。

公民的住宅屬于私人空間，這在法律上已有明確規(guī)定，但是把賓館房間也納入個(gè)人的私人空間加以保護(hù)，這是《民法典》對(duì)個(gè)人隱私權(quán)的升級(jí)保護(hù)。賓館房間在承租期內(nèi)屬于客人的私人空間，未經(jīng)允許，任何組織或個(gè)人，包括公安機(jī)關(guān)及其工作人員及賓館的服務(wù)人員，均不得進(jìn)入，否則將構(gòu)成侵犯公民隱私權(quán)?！睹穹ǖ洹凡粌H嚴(yán)禁任何組織或者個(gè)人進(jìn)入他人的住宅和賓館房間，而且還規(guī)定不得拍攝、窺視他人的住宅和賓館房間等私密空間。

3.不得拍攝、窺視、竊聽(tīng)、公開(kāi)他人的私密活動(dòng)

“私密活動(dòng)”是指自然人不愿為他人知曉，他人也不便知曉的個(gè)人隱秘活動(dòng)。自然人的“私密活動(dòng)”不僅存在于個(gè)人的私人空間，還存在于其他空間，甚至是公共場(chǎng)所。比如一對(duì)情侶在小區(qū)樓下的一個(gè)角落親吻，這是當(dāng)事人不愿為他人知曉的私密行為，卻被樓上的住戶拍攝、窺視，或被小區(qū)保安人員通過(guò)監(jiān)控探頭拍攝并將內(nèi)容向不特定的人公開(kāi)，這些行為將涉嫌構(gòu)成侵犯他人的隱私權(quán)。

遼寧葫蘆島市警方曾偵破一起通過(guò)非法控制計(jì)算機(jī)信息系統(tǒng)拍攝和窺視酒店客人私密活動(dòng)的案件。該案的嫌疑人是涉案酒店的電腦維護(hù)人員，其利用技術(shù)和職務(wù)之便，在酒店電腦內(nèi)非法安裝軟件，被一位客人發(fā)現(xiàn)[3]，這是一起典型的拍攝、窺視、竊聽(tīng)和公開(kāi)他人私密活動(dòng)的案件。

4.不得拍攝、窺視他人身體的私密部位

私密部位屬于個(gè)人不愿讓他人看到的且比較隱秘的部位。對(duì)自然人而言，脖子以下大腿以上的這個(gè)區(qū)間，也就是我們背心和內(nèi)褲蓋住的地方，都屬于身體的私密部位。侵害他人身體私密部位的事件較常發(fā)生在醫(yī)療機(jī)構(gòu)。在對(duì)患者進(jìn)行身體檢查時(shí)，醫(yī)護(hù)人員不可避免地會(huì)接觸患者的隱私部位，建議制定相應(yīng)的制度規(guī)制對(duì)患者私密部位的拍攝和窺視。

當(dāng)前，一些不法分子經(jīng)常在不同的場(chǎng)合，采取不同的手段拍攝和偷窺婦女的私密部位。我國(guó)《治安管理處罰法》對(duì)偷窺、偷拍、竊聽(tīng)、散布他人隱私的，處五日以下拘留或者五百元以下罰款；情節(jié)較重的，處五日以上十日以下拘留，可以并處五百元以下罰款?！睹穹ǖ洹穼⑴臄z、窺視他人身體的私密部位定性為侵犯?jìng)€(gè)人隱私，積極回應(yīng)了公民，特別是婦女，對(duì)身體私密部位保護(hù)的迫切需求。

5.不得處理他人的私密信息

私密信息往往涉及自然人的尊嚴(yán)、名譽(yù)等基本人格利益，甚至涉及生命權(quán)。在網(wǎng)絡(luò)信息技術(shù)飛速發(fā)展的時(shí)代，利用網(wǎng)絡(luò)侵害人身權(quán)益造成損害的深度、廣度和速度，與傳統(tǒng)的侵害手段不可同日而語(yǔ)?！度珖?guó)人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》第一條明確規(guī)定，國(guó)家保護(hù)能夠識(shí)別公民個(gè)人身份和涉及公民個(gè)人隱私的電子信息?！蹲罡呷嗣穹ㄔ宏P(guān)于審理利用信息網(wǎng)絡(luò)侵害人身權(quán)益民事糾紛案件適用法律若干問(wèn)題的規(guī)定》，對(duì)利用網(wǎng)絡(luò)侵害他人隱私權(quán)的行為做出了更為具體的規(guī)定。

個(gè)人信息的處理，包括個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)等，我國(guó)《網(wǎng)絡(luò)安全法》《消費(fèi)者權(quán)益保護(hù)法》等法律法規(guī)，對(duì)處理個(gè)人信息的原則是“遵循合法、正當(dāng)、必要原則”。然而，個(gè)人信息中的私密信息，屬于隱私權(quán)的范疇，是自然人的絕對(duì)權(quán)，各類組織或個(gè)人均負(fù)有消極地不刺探、不收集、不使用和不傳播的義務(wù)。民法典人格權(quán)編突破了以往立法對(duì)個(gè)人信息保護(hù)的規(guī)定，首次對(duì)處理他人的私密信息做出了禁止性規(guī)定，即“任何組織或者個(gè)人不得處理他人的私密信息”。

三、關(guān)于個(gè)人信息的定義

《民法典》第一千零三十四條【個(gè)人信息的定義】自然人的個(gè)人信息受法律保護(hù)。

個(gè)人信息是以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人的各種信息,包括自然人的姓名、出生日期、身份證件號(hào)碼、生物識(shí)別信息、住址、電話號(hào)碼、電子郵箱、健康信息、行蹤信息等。

個(gè)人信息中的私密信息,適用有關(guān)隱私權(quán)的規(guī)定；沒(méi)有規(guī)定的，適用有關(guān)個(gè)人信息保護(hù)的規(guī)定。

解讀：《民法典》關(guān)于個(gè)人信息的定義與《網(wǎng)絡(luò)安全法》確立的“個(gè)人信息的定義”基本相同，其基本要義是“以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人的各種信息”。我國(guó)《網(wǎng)絡(luò)安全法》第七十六條對(duì)“個(gè)人信息”的解釋是：“個(gè)人信息，是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別自然人個(gè)人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號(hào)碼、個(gè)人生物識(shí)別信息、住址、電話號(hào)碼等。”

從以上對(duì)個(gè)人信息的定義可以看出，《民法典》與《網(wǎng)絡(luò)安全法》對(duì)“識(shí)別自然人信息”的表述有所不同，《民法典》特別強(qiáng)調(diào)“識(shí)別特定自然人的各種信息”，《網(wǎng)絡(luò)安全法》則突出“識(shí)別自然人個(gè)人身份的各種信息”。事實(shí)上，自然人的個(gè)人信息不完全是與自然人個(gè)人身份有關(guān)的各種信息，還包括與自然人身份無(wú)關(guān)的信息。《民法典》將個(gè)人信息定義為“以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人的各種信息”，其保護(hù)的內(nèi)容和范圍比《網(wǎng)絡(luò)安全法》更寬泛。

《最高人民法院、最高人民檢察院關(guān)于辦理侵犯公民個(gè)人信息刑事案件適用法律若干問(wèn)題的解釋》第一條指出：《刑法》第二百五十三條之一規(guī)定的“公民個(gè)人信息”，是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人身份或者反映特定自然人活動(dòng)情況的各種信息，包括姓名、身份證件號(hào)碼、通信通訊聯(lián)系方式、住址、賬號(hào)密碼、財(cái)產(chǎn)狀況、行蹤軌跡等。

《民法典》第一千零三十四條中的“個(gè)人信息定義”在《網(wǎng)絡(luò)安全法》例舉的基礎(chǔ)上，增加了“電子郵箱、健康信息、行蹤信息”。電子郵箱，英語(yǔ)表述為“E-mail”，實(shí)質(zhì)上就是電子郵件的地址(Email address)，E-mail與普通郵件的區(qū)別在于其“地址”是以電子方式存在的虛擬地址；健康信息涉及個(gè)人的健康狀況、人體特征、遺傳基因等；行蹤信息反映了特定自然人的行蹤，比如個(gè)人交通出行、住宿信息、位置信息等，這些大多屬于具有隱私性質(zhì)的信息。

目前，已有的對(duì)于個(gè)人信息保護(hù)的立法比較狹窄，而且沒(méi)有突出有關(guān)個(gè)人隱私的內(nèi)容。事實(shí)上，個(gè)人信息權(quán)具有人格權(quán)和財(cái)產(chǎn)權(quán)的雙重屬性，但個(gè)人隱私信息權(quán)益只有人格權(quán)屬性，因此，我國(guó)個(gè)人信息保護(hù)的核心應(yīng)當(dāng)定位于對(duì)自然人隱私信息的保護(hù)?！睹穹ǖ洹吠怀隽藢?duì)個(gè)人信息中“私密信息”的保護(hù)，并適用有關(guān)隱私權(quán)的規(guī)定。

然而，《民法典》畢竟不屬于個(gè)人信息保護(hù)的專門法律，因此，涉及個(gè)人非隱私和非私密信息的請(qǐng)求權(quán)、救濟(jì)和保護(hù)機(jī)制以及流通交易，應(yīng)當(dāng)由個(gè)人信息保護(hù)的特別法《個(gè)人信息保護(hù)法》做出規(guī)定。對(duì)此，《民法典》規(guī)定：“個(gè)人信息中的私密信息，適用有關(guān)隱私權(quán)的規(guī)定；沒(méi)有規(guī)定的，適用有關(guān)個(gè)人信息保護(hù)的規(guī)定。”這樣就為《個(gè)人信息保護(hù)法》進(jìn)一步突出對(duì)自然人個(gè)人隱私信息的保護(hù)提供了立法空間。

四、處理個(gè)人信息的原則和條件

《民法典》第一千零三十五條【個(gè)人信息處理的原則和條件】處理個(gè)人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則,不得過(guò)度處理,并符合下列條件:

(一)征得該自然人或者其監(jiān)護(hù)人同意,但是法律、行政法規(guī)另有規(guī)定的除外；

(二)公開(kāi)處理信息的規(guī)則；

(三)明示處理信息的目的、方式和范圍；

(四)不違反法律、行政法規(guī)的規(guī)定和雙方的約定。

個(gè)人信息的處理包括個(gè)人信息的收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)等。

解讀：目前，我國(guó)有關(guān)個(gè)人信息保護(hù)的原則，主要采用“遵循合法、正當(dāng)、必要原則”。該原則最早以法律形式出現(xiàn)在2013年修訂的《消費(fèi)者權(quán)益保護(hù)法》第二十九條：“經(jīng)營(yíng)者收集、使用消費(fèi)者個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)消費(fèi)者同意?！敝?，2017年6月1日起施行的《網(wǎng)絡(luò)安全法》第四十一條采納了這一原則，“網(wǎng)絡(luò)運(yùn)營(yíng)者收集、使用個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則”。

《民法典》第一千零三十五條有關(guān)個(gè)人信息保護(hù)的原則與《網(wǎng)絡(luò)安全法》和《消費(fèi)者權(quán)益保護(hù)法》基本一致，采用了“應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則”，但是《網(wǎng)絡(luò)安全法》和《消費(fèi)者權(quán)益保護(hù)法》在“個(gè)人信息”之前使用了兩個(gè)動(dòng)詞“收集、使用”，即“收集、使用個(gè)人信息”，而《民法典》第一千零三十五條在“個(gè)人信息”之前只使用了一個(gè)動(dòng)詞“處理”，即“處理個(gè)人信息”。

其實(shí)，在《民法典(草案)》第三次審議稿中，仍然采用了“收集、處理自然人個(gè)人信息”的表述。對(duì)此，筆者曾于2019年9月向全國(guó)人大常委會(huì)法工委提交了修改意見(jiàn)，并發(fā)文提出，建議刪除“收集”，只保留“處理”，即“處理自然人個(gè)人信息”。因?yàn)椤疤幚怼笔且粋€(gè)過(guò)程，本身既包括“收集”，即收攏和聚合個(gè)人在電子信息系統(tǒng)載體上已經(jīng)留下的個(gè)人信息(數(shù)據(jù))，同時(shí)還涵蓋了“加工、傳輸、提供、公開(kāi)”等內(nèi)容[4]。

事實(shí)上，我國(guó)法律確定的“合法、正當(dāng)、必要”這一個(gè)人信息保護(hù)原則并未得到很好的執(zhí)行。實(shí)踐中，只要信息主體接受了信息控制者或處理者的 “隱私條款”，就算完成了所謂的“合法、正當(dāng)、必要”。在《民法典(草案)》征求意見(jiàn)期間，筆者曾向全國(guó)人大法工委建議，《民法典》人格權(quán)編中，有關(guān)個(gè)人信息保護(hù)的原則，除了應(yīng)當(dāng)“遵循合法、正當(dāng)、必要原則”,還應(yīng)當(dāng)附加條件，強(qiáng)調(diào)不得過(guò)度處理個(gè)人信息，并彰顯私法中的“契約精神”和“知情同意”在個(gè)人信息(數(shù)據(jù))保護(hù)中的法律地位，增加“遵照雙方的約定”和“知情同意”等必要的要件，這也是廣大網(wǎng)民的強(qiáng)烈要求。

《民法典》第一千零三十五條，除規(guī)定“處理個(gè)人信息的，應(yīng)當(dāng)遵循合法、正當(dāng)、必要原則”外，還在強(qiáng)調(diào)“不得過(guò)度處理”的基礎(chǔ)上，附帶了四個(gè)法定條件：一是征得該自然人或者其監(jiān)護(hù)人同意，但是法律、行政法規(guī)另有規(guī)定的除外；二是公開(kāi)處理信息的規(guī)則；三是明示處理信息的目的、方式和范圍；四是不違反法律、行政法規(guī)的規(guī)定和雙方的約定。

五、處理個(gè)人信息免責(zé)事由

《民法典》第一千零三十六條【處理個(gè)人信息免責(zé)事由】處理個(gè)人信息,有下列情形之一的,行為人不承擔(dān)民事責(zé)任:

(一)在該自然人或者其監(jiān)護(hù)人同意的范圍內(nèi)合理實(shí)施的行為；

(二)合理處理該自然人自行公開(kāi)的或者其他已經(jīng)合法公開(kāi)的信息,但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外；

(三)為維護(hù)公共利益或者該自然人合法權(quán)益,合理實(shí)施的其他行為。

解讀：《民法典》第一千零三十六條設(shè)定了三種處理個(gè)人信息可以不承擔(dān)民事責(zé)任的情形，其中第三種情形是“為維護(hù)公共利益或者該自然人合法權(quán)益，合理實(shí)施的其他行為”。整體上看，《民法典》設(shè)定的處理個(gè)人信息的免責(zé)事由是附條件的，且受到一定程度的限制。

1.在該自然人或者其監(jiān)護(hù)人同意的范圍內(nèi)合理實(shí)施的行為

該款“同意”的主體，既包括成年的自然人，又包括自然人中未成年人的監(jiān)護(hù)人或精神病人的監(jiān)護(hù)人，處理的個(gè)人信息僅限于自然人或其監(jiān)護(hù)人同意的范圍，不得過(guò)度處理。

2.合理處理該自然人自行公開(kāi)的或者其他已經(jīng)合法公開(kāi)的信息，但是該自然人明確拒絕或者處理該信息侵害其重大利益的除外

該款有兩層含義：首先，行為人可以處理自然人自行公開(kāi)的或者其他已經(jīng)合法公開(kāi)的信息，比如自然人向他人公開(kāi)姓名、電話號(hào)碼、電子郵箱，但是處理這些信息時(shí)應(yīng)當(dāng)符合“合法、正當(dāng)、必要”的原則；其次，即使是自然人自行公開(kāi)的或者其他已經(jīng)合法公開(kāi)的信息，但是自然人明確拒絕或者處理該信息侵害其重大利益的，行為人也不得處理。

3.為維護(hù)公共利益或者該自然人合法權(quán)益，合理實(shí)施的其他行為

“公共利益”是與“私人利益”相對(duì)的一種利益，《民法典》統(tǒng)一采用“公共利益”的表述較為妥當(dāng)。網(wǎng)絡(luò)時(shí)代，應(yīng)當(dāng)最大限度地限制利用“公共利益”免責(zé)，避免對(duì)自然人“隱私信息”的侵害?！睹穹ǖ洹吩陉P(guān)于“為了公共利益”的目的處理個(gè)人信息免責(zé)的問(wèn)題上，在“為了公共利益”與“維護(hù)該自然人合法權(quán)益”之間設(shè)定了一個(gè)選擇適用的情形，同時(shí)還設(shè)定了即便是“為維護(hù)公共利益或者該自然人合法權(quán)益”，也必須以合理的方式實(shí)施對(duì)個(gè)人信息處理才可以免責(zé)。

在2020年的新冠病毒疫情期間，國(guó)家為了疫情防控的需要，允許醫(yī)療防控機(jī)構(gòu)進(jìn)行了范圍最廣和人數(shù)最多的個(gè)人信息處理。在人群的選擇上，嚴(yán)格地限定為確診者、疑似者、密切接觸者等重點(diǎn)人群，一般不針對(duì)特定地區(qū)的所有人群，這也是防止形成對(duì)特定地域人群的事實(shí)上的歧視[5]。

六、個(gè)人信息主體的更正權(quán)與刪除權(quán)

《民法典》第一千零三十七條【個(gè)人信息主體的權(quán)利】自然人可以依法向信息處理者查閱或者復(fù)制其個(gè)人信息，發(fā)現(xiàn)信息有錯(cuò)誤的，有權(quán)提出異議并請(qǐng)求及時(shí)采取更正等必要措施。自然人發(fā)現(xiàn)信息處理者違反法律、行政法規(guī)的規(guī)定或者雙方的約定處理其個(gè)人信息的，有權(quán)請(qǐng)求信息處理者及時(shí)刪除。

解讀：我國(guó)《網(wǎng)絡(luò)安全法》最早以法律形式確認(rèn)了自然人對(duì)其個(gè)人信息的“刪除權(quán)”與“更正權(quán)”。《網(wǎng)絡(luò)安全法》規(guī)定的公民對(duì)其信息的刪除權(quán)主要有兩種情形，一是當(dāng)事人發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)商違反法律、行政法規(guī)或違反雙方的約定收集和使用其信息；二是網(wǎng)絡(luò)運(yùn)營(yíng)商所收集的個(gè)人信息的特定目的已經(jīng)完成或雙方約定的期限已經(jīng)屆滿。在這兩種情形下，當(dāng)事人均有權(quán)要求運(yùn)營(yíng)商刪除和停止使用其個(gè)人信息。公民對(duì)其錯(cuò)誤信息的更正權(quán)是指，當(dāng)事人發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)商收集、存儲(chǔ)的其個(gè)人信息有錯(cuò)誤或者有缺失的，有權(quán)要求其補(bǔ)充或更正[6]。《民法典》為個(gè)人信息主體設(shè)置了三項(xiàng)權(quán)利：

一是可以依法向信息處理者查閱或者復(fù)制其個(gè)人信息。這里的“信息處理者”是指“收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)”個(gè)人信息的網(wǎng)絡(luò)服務(wù)提供者，個(gè)人信息主體依法享有對(duì)其個(gè)人信息的查閱權(quán)和復(fù)制權(quán)。

二是發(fā)現(xiàn)其個(gè)人信息有錯(cuò)誤的，有權(quán)提出異議并請(qǐng)求及時(shí)更正。一般情況下，個(gè)人信息主體很難發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)者控制和處理其個(gè)人信息存在錯(cuò)誤，只有依法通過(guò)查詢或復(fù)制其個(gè)人信息，方能發(fā)現(xiàn)是否存在錯(cuò)誤?！睹穹ǖ洹返倪@一規(guī)定彌補(bǔ)了《網(wǎng)絡(luò)安全法》個(gè)人信息主體權(quán)利行使不充分的缺陷。

三是發(fā)現(xiàn)信息處理者違反法律、行政法規(guī)的規(guī)定或者雙方的約定處理其個(gè)人信息的，有權(quán)請(qǐng)求及時(shí)刪除?！睹穹ǖ洹窞閭€(gè)人信息主體設(shè)置的“刪除權(quán)”基于兩種法定情形：一種是信息處理者違反法律、行政法規(guī)的規(guī)定處理其個(gè)人信息；另一種是信息處理者違反與個(gè)人信息主體的約定。只要出現(xiàn)以上兩種情形之一，個(gè)人信息主體便有權(quán)要求信息處理者及時(shí)刪除。這里特別強(qiáng)調(diào)了“及時(shí)”，即“毫不遲延地”(without delay)，筆者曾建議該款增加一款信息處理者的義務(wù)，即“信息控制者在收到自然人上述更正或刪除其信息的請(qǐng)求后，應(yīng)當(dāng)立即采取措施在48小時(shí)內(nèi)予以更正或者刪除”。

考慮到網(wǎng)絡(luò)服務(wù)提供者很難發(fā)現(xiàn)其控制和處理的個(gè)人信息有誤，以及“刪除”其違反法律、行政法規(guī)的規(guī)定或者雙方約定處理的個(gè)人信息也有一定的難度，《民法典》與《網(wǎng)絡(luò)安全法》中個(gè)人信息主體的更正權(quán)與刪除權(quán)制度基本上采用了“避風(fēng)港”規(guī)則，即在網(wǎng)絡(luò)服務(wù)提供者被通知前提下的 “更正”或“刪除”，這是《網(wǎng)絡(luò)安全法》和《民法典》對(duì)網(wǎng)絡(luò)運(yùn)營(yíng)者或信息(數(shù)據(jù))服務(wù)提供者的一種寬容性規(guī)定[4]。

七、信息處理者的信息安全保障義務(wù)

《民法典》第一千零三十八條【信息處理者的信息安全保障義務(wù)】信息處理者不得泄露或者篡改其收集、存儲(chǔ)的個(gè)人信息；未經(jīng)自然人同意，不得向他人非法提供其個(gè)人信息,但是經(jīng)過(guò)加工無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外。

信息處理者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集、存儲(chǔ)的個(gè)人信息安全，防止信息泄露、篡改、丟失；發(fā)生或者可能發(fā)生個(gè)人信息泄露、篡改、丟失的，應(yīng)當(dāng)及時(shí)采取補(bǔ)救措施，按照規(guī)定告知自然人并向有關(guān)主管部門報(bào)告。

解讀：《網(wǎng)絡(luò)安全法》第四十二條規(guī)定，網(wǎng)絡(luò)運(yùn)營(yíng)者不得泄露、篡改、毀損其收集的個(gè)人信息；未經(jīng)被收集者同意，不得向他人提供個(gè)人信息。但經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外。

網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集的個(gè)人信息安全，防止信息泄露、毀損、丟失。在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí)，應(yīng)當(dāng)立即采取補(bǔ)救措施，按照規(guī)定及時(shí)告知用戶并向有關(guān)主管部門報(bào)告。《民法典》第一千零三十八條基本上沿用了《網(wǎng)絡(luò)安全法》第四十二條的規(guī)定，但是《民法典》在信息“收集”的基礎(chǔ)上，更強(qiáng)調(diào)對(duì)“儲(chǔ)存”信息的處理。信息和數(shù)據(jù)存儲(chǔ)服務(wù)是網(wǎng)絡(luò)運(yùn)營(yíng)者的一項(xiàng)重要業(yè)務(wù)，但對(duì)其進(jìn)行處理必須是基于對(duì)信息和數(shù)據(jù)實(shí)際控制下的處理。

數(shù)字經(jīng)濟(jì)時(shí)代，個(gè)人信息(數(shù)據(jù))已經(jīng)成為最寶貴的個(gè)人數(shù)據(jù)資產(chǎn)，不僅是各網(wǎng)絡(luò)運(yùn)營(yíng)者和商業(yè)競(jìng)爭(zhēng)者爭(zhēng)奪的數(shù)據(jù)“黃金”和“石油”，也是眾多違法犯罪活動(dòng)侵犯的主要領(lǐng)域和目標(biāo)。僅2019年，公安部門就偵破侵犯公民個(gè)人信息類案件2 868起，抓獲犯罪嫌疑人7 647名[7]。當(dāng)前，網(wǎng)絡(luò)運(yùn)營(yíng)者泄露或者篡改其收集、存儲(chǔ)的個(gè)人信息的事件觸目驚心，特別是內(nèi)部人員泄露個(gè)人信息的事件極為普遍。泄露源頭從傳統(tǒng)的銀行、電信、醫(yī)療等部門向教育、快遞、電商等各行各業(yè)迅速蔓延，涉及社會(huì)公眾工作、生活的方方面面，已經(jīng)形成了一條包括需求、盜取、交易等眾多環(huán)節(jié)的完整黑色鏈條，社會(huì)危害極其嚴(yán)重。為此，《民法典》和《網(wǎng)絡(luò)安全法》對(duì)網(wǎng)絡(luò)運(yùn)營(yíng)者或信息處理者的信息安全保障義務(wù)提出四項(xiàng)要求：

第一，信息處理者不得泄露或者篡改其收集、存儲(chǔ)的個(gè)人信息。信息處理者依法、依約收集和存儲(chǔ)的個(gè)人信息，應(yīng)當(dāng)屬于信息處理者與個(gè)人信息主體之間的托管法律關(guān)系，因此未經(jīng)個(gè)人信息主體或數(shù)據(jù)受托方的同意和許可，嚴(yán)禁信息處理者擅自泄露或者篡改其收集和存儲(chǔ)的個(gè)人信息。

第二，未經(jīng)自然人同意不得向他人非法提供其個(gè)人信息，但經(jīng)過(guò)加工無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外。信息處理者對(duì)于其依法、依約收集和存儲(chǔ)的個(gè)人信息，在未經(jīng)個(gè)人信息主體同意的情況下，嚴(yán)禁向任何第三人提供，這是一條不可觸碰的紅線。當(dāng)然，通過(guò)個(gè)人信息脫敏等技術(shù)手段對(duì)個(gè)人信息進(jìn)行去標(biāo)識(shí)化處理實(shí)現(xiàn)的無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的信息，不在限制的范圍內(nèi)。

第三，信息處理者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集、存儲(chǔ)的個(gè)人信息安全，防止信息泄露、篡改、丟失。這里的“采取技術(shù)措施和其他必要措施”主要包括兩個(gè)方面：一是個(gè)人信息防泄漏技術(shù)，主要是以加密技術(shù)為核心，如數(shù)據(jù)庫(kù)加密、數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)脫敏等；二是“其他必要措施”，主要是指防止信息泄露、篡改、丟失的各項(xiàng)制度和機(jī)制，如個(gè)人信息與數(shù)據(jù)的合規(guī)管理制度、個(gè)人信息與數(shù)據(jù)的安全審計(jì)機(jī)制、個(gè)人信息與數(shù)據(jù)的分類及個(gè)人重要信息與數(shù)據(jù)的備份等。

第四，發(fā)生或者可能發(fā)生個(gè)人信息泄露、篡改、丟失的，應(yīng)當(dāng)及時(shí)采取補(bǔ)救措施，按照規(guī)定告知自然人并向有關(guān)主管部門報(bào)告。信息泄露、篡改、丟失事件，有些是由網(wǎng)絡(luò)運(yùn)營(yíng)者主觀上的原因，也有一些是黑客利用網(wǎng)絡(luò)技術(shù)，非法入侵網(wǎng)絡(luò)運(yùn)營(yíng)者的數(shù)據(jù)系統(tǒng)竊取信息、篡改數(shù)據(jù)，造成數(shù)據(jù)毀損和丟失。

如果發(fā)生個(gè)人信息被泄露、篡改或丟失的情形，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)立即采取補(bǔ)救措施，特別是對(duì)造成或者可能造成嚴(yán)重后果的“泄露、篡改、丟失”個(gè)人信息的事件，應(yīng)當(dāng)立即向許可或者備案的主管機(jī)構(gòu)報(bào)告，及時(shí)配合相關(guān)部門進(jìn)行調(diào)查和處理。

當(dāng)前，我國(guó)加大了對(duì)公民個(gè)人信息保護(hù)的力度，尤其對(duì)泄露用戶個(gè)人信息的行為予以重拳打擊。對(duì)那些拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)的，達(dá)到一定的程度，將構(gòu)成“拒不履行公民個(gè)人信息安全管理義務(wù)罪”。2016年出臺(tái)的《刑法修正案(九)》專門設(shè)定了一個(gè)新的罪名“拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪”，增加規(guī)定，網(wǎng)絡(luò)服務(wù)提供者不履行網(wǎng)絡(luò)安全管理義務(wù)，經(jīng)監(jiān)管部門通知采取改正措施而拒絕執(zhí)行，致使違法信息大量傳播的，致使用戶信息泄露，造成嚴(yán)重后果的，或者致使刑事犯罪證據(jù)滅失的，嚴(yán)重妨害司法機(jī)關(guān)追究犯罪的，對(duì)其追究刑事責(zé)任。

八、法定機(jī)構(gòu)及其工作人員的保密義務(wù)

《民法典》第一千零三十九條【國(guó)家機(jī)關(guān)、承擔(dān)行政職能的法定機(jī)構(gòu)及其工作人員的保密義務(wù)】國(guó)家機(jī)關(guān)、承擔(dān)行政職能的法定機(jī)構(gòu)及其工作人員對(duì)于履行職責(zé)過(guò)程中知悉的自然人的隱私和個(gè)人信息,應(yīng)當(dāng)予以保密,不得泄露或者向他人非法提供。

解讀：根據(jù)《國(guó)務(wù)院關(guān)于在線政務(wù)服務(wù)的若干規(guī)定》(以下簡(jiǎn)稱《規(guī)定》)，我國(guó)正在加快建設(shè)一體化在線政務(wù)服務(wù)平臺(tái)，推進(jìn)各地區(qū)、各部門政務(wù)服務(wù)平臺(tái)規(guī)范化、標(biāo)準(zhǔn)化、集約化建設(shè)和互聯(lián)互通，推動(dòng)實(shí)現(xiàn)政務(wù)服務(wù)事項(xiàng)全國(guó)標(biāo)準(zhǔn)統(tǒng)一、全流程網(wǎng)上辦理。這將涉及大量公民個(gè)人信息和企業(yè)商業(yè)秘密，因此，控制“內(nèi)鬼”是關(guān)鍵。有人做過(guò)統(tǒng)計(jì)，大約85%的網(wǎng)絡(luò)安全事件來(lái)自內(nèi)部人的疏忽、大意和故意[8]。為此，《規(guī)定》第十四條要求，政務(wù)服務(wù)機(jī)構(gòu)及其工作人員泄露、出售或者非法向他人提供履行職責(zé)過(guò)程中知悉的個(gè)人信息、隱私和商業(yè)秘密，或者不依法履行職責(zé)，玩忽職守、濫用職權(quán)、徇私舞弊的，依法追究法律責(zé)任。

事實(shí)上，履行網(wǎng)絡(luò)監(jiān)管職能的機(jī)構(gòu)，除了國(guó)家機(jī)關(guān)及其工作人員外，還應(yīng)當(dāng)包括國(guó)家機(jī)關(guān)外的其他具有行政監(jiān)管職能的機(jī)構(gòu)，這些機(jī)構(gòu)主要是受國(guó)家監(jiān)管機(jī)關(guān)委托并承擔(dān)行政監(jiān)管職能的法定機(jī)構(gòu)。國(guó)家機(jī)關(guān)及其工作人員，以及受國(guó)家機(jī)關(guān)委托從事網(wǎng)絡(luò)監(jiān)管職能的機(jī)構(gòu)及其工作人員，在履行職務(wù)過(guò)程中會(huì)知曉大量的個(gè)人信息，特別是個(gè)人的隱私信息，對(duì)這些信息必須嚴(yán)格保密，嚴(yán)禁泄露或者向他人非法提供。

鑒于以上情況，2020年兩會(huì)期間，我們對(duì)《民法典(草案)》第一千零三十九條提出了完善意見(jiàn)，并發(fā)文提出:“國(guó)家機(jī)關(guān)及其工作人員以及國(guó)家機(jī)關(guān)的授權(quán)組織及其工作人員對(duì)于履行職責(zé)過(guò)程中知悉的自然人的隱私和個(gè)人信息，應(yīng)當(dāng)予以保密，不得泄露或者向他人非法提供?！盵9]《民法典(草案)》在2020年兩會(huì)期間做了四十多處實(shí)質(zhì)性修改，其中第一千零三十九條也做出了相應(yīng)的增補(bǔ)和完善，增加了“承擔(dān)行政職能的法定機(jī)構(gòu)及其工作人員” 。

事實(shí)上，個(gè)人信息權(quán)具有人格權(quán)和財(cái)產(chǎn)權(quán)的雙重屬性，但個(gè)人隱私信息權(quán)益只有人格權(quán)屬性，因此，我國(guó)個(gè)人信息保護(hù)的核心應(yīng)當(dāng)定位于對(duì)公民隱私(私密)信息的保護(hù)。《民法典》畢竟不屬于個(gè)人信息保護(hù)的專門法律，因此，涉及個(gè)人非隱私和非私密信息的請(qǐng)求權(quán)、救濟(jì)和保護(hù)機(jī)制，以及流通交易，應(yīng)當(dāng)由個(gè)人信息保護(hù)的特別法《個(gè)人信息保護(hù)法》做出規(guī)定。