個人信息權的體系化解釋

文/汪慶華

（作者系北京師范大學法學院教授；摘自《環(huán)球法律評論》2022年第1期；原題為《個人信息權的體系化解釋——兼論〈個人信息保護法〉的公法屬性》）

《個人信息保護法》通過前，我國學界就個人信息保護達成了廣泛的共識，但在具體的進路上存在一定的分歧。一部分學者主張采取私法的模式，另有學者主張采取公法的模式，也有學者倡導公私法共同協(xié)力的綜合進路。持私法保護進路的學者或主張將個人信息保護置于一般人格權之下，或認同個人信息商品化的實踐將個人信息財產權化，在救濟方式上采取侵權救濟的模式。持公法保護模式的學者認為，個人信息保護的私法模式存在困境，需借助公法機制才能夠超越?；诠ㄒ曇暗膫€人信息權利，在救濟模式上可以采取多元化的方式，在個案侵權救濟之外，更需要結合風險規(guī)制的手段，綜合采取行政執(zhí)法、公益訴訟等其他方式。

個人信息權的憲法規(guī)范基礎

第十三屆全國人大常委會第三十次會議于2021年8月20日通過《個人信息保護法》，對上述個人信息保護模式的爭論進行回應。《個人信息保護法》第一條規(guī)定，“根據(jù)憲法，制定本法。”《個人信息保護法》的法源在于《憲法》，并不在于《民法典》?！秱€人信息保護法》的憲法規(guī)范基礎在人權條款、人格尊嚴條款以及通信自由和通信秘密條款。這三個條款構成了公民個人信息權的規(guī)范基礎。在法律性質上，《個人信息保護法》是公法。在法律位階上，屬于個人信息保護的基本法。個人信息權也從未經列舉權利，而成為實證法意義上具有基本權利屬性的公法權利。

（一）人權條款是個人信息權作為公法權利的理論基石。2004年憲法修改增加了“國家尊重和保障人權”的內容，人權條款入憲使得我國憲法公民基本權利保護從列舉式的保護變成了“概括＋列舉式”的保護。人權是人之為人所應當享有的權利。從這一定義出發(fā)，人權條款具有自然法的意涵。尊重和保障人權成為憲法規(guī)范意味著人權的實證化。基于規(guī)范結構，除了憲法明確列舉的權利之外，人權條款賦予了理論上主張憲法上未列舉基本權利的空間。個人信息權的憲法規(guī)范除了人權條款之外，直接關聯(lián)的條款是《憲法》38條的規(guī)定。

（二）人格尊嚴是個人信息權作為積極權利的規(guī)范依據(jù)。“八二憲法”第38條規(guī)定了公民的人格尊嚴不受侵犯，這一條款是公民個人信息權的內在根據(jù)。在人權條款入憲之前，這一條也被視為具有憲法基本權利一般條款的地位。2004年人權條款入憲之后，人格尊嚴成為具體的憲法權利，不再承擔基本權利一般條款的使命。這一憲法規(guī)范在數(shù)字時代具有了新的內涵和外延。個人信息保護的客體是個人信息，但其目的在于實現(xiàn)基于個人信息建構的個人身份的自治、自主和自足。個人尊嚴作為個人信息權的規(guī)范依據(jù)，夯實了以個人數(shù)字身份建構社會秩序的憲法基礎。

用戶和平臺之間存在三個方面的不均衡：信息收集能力不均衡、信息處理能力不均衡、社會影響力不均衡。數(shù)字經濟條件下，個人和平臺的不均衡借由個人控制為中心的賦權體系仍嫌不足，需要在個人—平臺之外，增加政府的維度，直接介入個人平臺的信息關系。個人信息權利不僅為個人信息處理者和控制者設定義務，而且從具有社會意涵的積極權利的功能出發(fā)，為國家設定了保護義務。

（三）個人信息權進一步豐富通信自由和通信秘密內涵?！鞍硕椃ā钡?0條規(guī)定了公民的通信自由和通信秘密，這一條款為個人信息處理劃定了外部邊界和底線。憲法上的通信最初僅限于郵政通信，并不包括電子通信。隨著技術的發(fā)展，基于合目的性解釋，通信自由和通信秘密所指向的通信權應當同時包括電子通信、即時通信等當代最常見的通信方式。在數(shù)字時代，信息安全是通信自由權得以實現(xiàn)的技術前提。尤其要關注到個人信息安全已經躍遷到網(wǎng)絡安全和算法安全，公民通信自由和通信秘密是在這樣的三重安全架構之下展開的基本權。

個人信息權的確立與權利體系

《個人信息保護法》第四章專章規(guī)定了個人信息主體在信息處理活動中具有的各項具體權利，確立了完整的個人信息權利體系。

（一）知情權、決定權是個人信息權的基礎。知情決定是個人信息權的起點，其目的在于確立個人信息主體對于自身人格形塑的自主控制。知情決定意味著信息主體對個人信息的收集、使用、分析、共享、刪除的全生命周期的把握、選擇和決定。知情權作為個人信息權利體系的理論基礎具有指向明確、功能清晰、權利內容完整等優(yōu)勢。

《個人信息保護法》對敏感信息的處理采取了增強同意的立法思路，規(guī)定個人信息處理者處理敏感信息需要取得個人單獨同意。《個人信息保護法》在個人知情同意機制的設計上體現(xiàn)了個人自治和政府規(guī)制相結合，強化個人信息處理者責任，兼顧事后風險防范的特點，形成了權利建構為主、行政監(jiān)管協(xié)同的個人信息同意機制。就此而言，知情同意不僅具有私法上的合意的效果，它更是一項個人信息保護的公法制度。

（二）查閱權、復制權是個人信息權的核心?！秱€人信息保護法》第45條規(guī)定了個人信息主體對于信息的查閱權和復制權。查閱復制權可以說是個人信息權利束的核心內容，是落實個人信息保護原則的重要手段。個人信息主體經由查閱復制權的行使可以清晰了解到個人信息控制者所掌握的數(shù)據(jù)是否滿足了個人信息收集中的知情同意原則，可以衡量數(shù)據(jù)最小化原則、目的特定等個人信息保護的原則是否得到了遵守。查閱復制權具有核校數(shù)據(jù)處理者是否遵守了《個人信息保護法》所確立的系列原則的功能。

查閱復制權其實質就是個人信息訪問權。就規(guī)范效力而言，這一權利等同于歐盟《通用數(shù)據(jù)保護條例》所規(guī)定的訪問權。個人信息查閱復制權作為個人請求權基礎，其指向的對象不僅是一般的私人的信息處理者，也可能是國家機關。在刑事訴訟領域，司法信息化浪潮之下辯方的閱卷權受到沖擊，個人信息查閱復制權為取代閱卷權提供了可能性，可以從這一權利行使的方式、權利的限制等方面入手，實現(xiàn)該權利與刑事訴訟制度的協(xié)調。

（三）可攜帶權是個人信息自決的保障。個人信息可攜帶權為各國立法所普遍確認。歐盟、美國、印度、日本、新加坡等法域都引入了數(shù)據(jù)可攜帶權，它已經成為各國民眾普遍享有的一項個人信息權利。在《個人信息保護法》通過之前，我國規(guī)章和規(guī)范性文件層面已經建構了數(shù)據(jù)可攜帶權的雛形，在攜號轉網(wǎng)中形成數(shù)據(jù)可攜帶權的實踐。我國的《個人信息保護法》在三審稿的基礎上最終確立了可攜帶權，響應了個人信息保護立法的世界性趨勢，使得我國個人信息保護的水平和個人信息保護高水位的法律區(qū)域不相上下。

個人信息可攜權的確立有利于數(shù)據(jù)競爭，在實質意義上實現(xiàn)個人的信息自決權。《個人信息保護法》第45條第3款規(guī)定，“個人請求將個人信息轉移至其指定的個人信息處理者，符合國家網(wǎng)信部門規(guī)定條件的，個人信息處理者應當提供轉移的途徑”。這是《個人信息保護法》三審時增加的內容，在法律上明確了個人信息可攜帶權。這一權利對于互聯(lián)網(wǎng)產業(yè)的影響巨大，出于審慎的考量，立法者增加了個人信息主體行使該權利需要符合國家網(wǎng)信部門規(guī)定的條件，因此在《個人信息保護法》生效之后，需要網(wǎng)信辦出臺個人信息可攜帶權行使的細則，明確其范圍和實施的條件。

（四）刪除權體現(xiàn)了個人數(shù)字人格的完整。《個人信息保護法》確立了個人信息主體對于錯誤信息的更正權以及刪除權，這是為了保證個人信息的完整性和個人數(shù)字人格的整全性。刪除權體現(xiàn)在個人信息主體對于信息控制者的請求權，用戶對于數(shù)據(jù)控制者所控制和處理的不必要、不相關和過時的個人信息可以行使該請求權。刪除權確保個人在線下線上一體化的數(shù)字化生存中可以避開凝視的目光。這也是它被稱之為被遺忘權的原因。在涉及被遺忘的情形中，刪除權指向的對象往往是已經公開的信息，它并沒有獨立的人格法益，無法通過私法來保護，而只能通過個人信息保護法的賦權來實現(xiàn)。

個人信息權作為數(shù)字時代的人權，是人權觀念在數(shù)字時代的豐富?！秱€人信息保護法》建立了一個廣泛而全面的權利體系，對各項具體權利的結構、行使方式、信息控制者和處理者的義務、義務未履行的責任、相關訴訟的案由仍有待于執(zhí)法機構和司法部門通過立法解釋和司法個案的方式予以明確。

《個人信息保護法》與《民法典》的銜接

（一）幾個概念的厘清：數(shù)據(jù)、信息與隱私。我國的個人信息和數(shù)據(jù)區(qū)分保護的思路在《民法總則》中得以確立?！睹穹倓t》第111條規(guī)定，自然人的個人信息受法律保護；第127條規(guī)定，法律對數(shù)據(jù)、網(wǎng)絡虛擬財產的保護有規(guī)定的，依照其規(guī)定。個人信息和數(shù)據(jù)二分的做法為此后立法所遵循。隱私和個人信息有重疊之處，《民法典》將個人信息分為隱私信息、公開信息和一般信息，對隱私信息采取隱私權和個人信息的雙重保護，但這一區(qū)分實非必要，反生困擾。隱私和個人信息既有重合的地方，但又有不相隸屬的成分。在美國法上有信息隱私的概念，究其實質，它指向的是個人對于信息的知情控制權，類似于《個人信息保護法》中的知情決定權。

《個人信息保護法》采取了一般信息和敏感信息的分類。數(shù)據(jù)處理者必須是為了特定目的、充分必要而且采取保護措施的前提下才能處理敏感個人信息。敏感個人信息更容易和隱私重疊，但仍然無法完全等同。在司法實踐中，個人信息和隱私重疊，處理個人信息侵犯信息權和侵犯隱私權競合的時候，個人信息主體可以選擇個人信息權保護或者隱私權提起訴訟，從而解決部分個人信息兼具敏感個人信息和隱私的二重性問題。

（二）《個人信息保護法》與《民法典》在個人信息保護中的適用?！秱€人信息保護法》是個人信息領域的基本法，個人信息主體的權利構成的解釋、信息權利受到侵犯時所需的救濟都應當以《個人信息保護法》為出發(fā)點，該法關于個人信息權的規(guī)定超越了私法意義的權能或者刑法上的法益，它是具有憲法規(guī)范基礎的新型公法權利。

《民法典》無法作為《個人信息保護法》的一般法基礎。無論是個人信息法律屬性、權利構成、調整關系，還是回應的社會的能力等方面來說，《民法典》人格權編都無力單獨承擔這一使命。

《民法典》并不必然構成《個人信息保護法》的前理解。就民法和憲法的一般關系而言，我國的民法并不是在社會發(fā)展演進中先于憲法而形成的調整市民關系的一般準則，它是我國近代國家建構的一部分。《民法典》并不必然成為《個人信息保護法》的前理解，它是構成《個人信息保護法》前理解語境中的一個因素?！睹穹ǖ洹泛汀秱€人信息保護法》不一致時，優(yōu)先適用《個人信息保護法》。

（三）《個人信息保護法》的行政執(zhí)法體系?！秱€人信息保護法》在一定程度上吸收了之前個人信息保護行政執(zhí)法政出多門的局面，確定了國家網(wǎng)信部門統(tǒng)籌協(xié)調個人信息保護工作和相關監(jiān)督管理工作，國務院有關部門依法在各自職責范圍內負責個人信息保護和監(jiān)督管理工作?！秱€人信息保護法》在此基礎上建立了完整的行政執(zhí)法監(jiān)管體系。在行政監(jiān)管體系之外，《個人信息保護法》還建立了個人信息保護公益訴訟制度?！秱€人信息保護法》建立了以事前事中執(zhí)法為主、以公益訴訟和私人侵權救濟為輔助的體系完整的救濟機制。

《個人信息保護法》對公私主體的適用

我國《個人信息保護法》采取的是一種統(tǒng)合型的立法模式?！秱€人信息保護法》規(guī)定，國家機關處理個人信息的活動適用本法，同時考慮到國家機關處理個人信息的特殊性，在第二章第三節(jié)對國家機關處理個人信息進行了特別規(guī)定。在私主體處理個人信息的法律義務之外，更增加了公權力主體處理個人信息應當要符合正當程序要求，貫徹法律優(yōu)位、法律保留等原則的內容。

就國家保護義務而言，“公民人格尊嚴不得侵犯”的表述，從文義解釋的角度可以看成個人信息權利受國家保護的規(guī)范來源?；趪冶Ｗo義務，國家需要以一定的方式介入私人領域。國家介入的具體方式是由一國的憲法體制、國家機構之間的權力配置及其具體權限而定。全國人大基于憲法基本權利條款進行立法，可以是公法保護模式，也可以是私法保護模式，對于個人信息保護則兼采公私法協(xié)同模式，分別體現(xiàn)在《個人信息保護法》和《民法典》?！秱€人信息保護法》確立了個人信息保護的一般性規(guī)則，是個人信息保護的基本法，而《民法典》是私法領域的基本法，就個人信息保護而言，并無優(yōu)先適用的問題。從基本權利第三人效力理論出發(fā)，立法者制定民法上的概括性規(guī)定，以實現(xiàn)保護義務，法官在具體案件審理中參考國家保護義務之目的，適用該法規(guī)定，這是基本權利之間接第三人效力，實際上屬于國家保護義務理論適用的具體情形。

余論：走向個人信息權利的時代

信息技術的發(fā)展，推動了社會生產力的發(fā)展，也深刻地改變著生產關系。由于信息技術的廣泛運用以及對生產生活的深刻影響，我們需要從憲法時刻的視角和公民權利的雙重面向構建個人信息保護的法律框架，讓人的尊嚴和人性自主的價值引領技術發(fā)展?！秱€人信息保護法》的公法屬性、立法宗旨、權利體系、規(guī)制措施都體現(xiàn)了這一價值目標，它是數(shù)字時代公法秩序變遷的重要產物，它對公法邊界的塑造仍需通過其實施來確立。