應(yīng)盡快制定個保法司法解釋

程嘯

自2021年11月1日《個人信息保護法》（下稱“個保法”）正式施行，已過去一年半的時間，但法院受理的個人信息保護糾紛案件的總體數(shù)量依然較少。

最高人民法院副院長賀小榮曾介紹，2021年各地法院共受理個人信息保護糾紛案件307件，2022年為404件。與之相比，僅2021年，全國法院受理的一審人格權(quán)糾紛案件總量就達192675件。

一方面，這充分證明此前一些觀點實屬危言聳聽。例如，認(rèn)為法院會因過多訴訟不堪其擾，所以反對個保法所規(guī)定的，個人可以通過民事訴訟來維護個人信息權(quán)益。

另一方面，由于個保法起草時備受關(guān)注的一些規(guī)定并未出現(xiàn)預(yù)期的民事糾紛，如“敏感個人信息處理”“自動化決策”“大型平臺守門人義務(wù)”等，也導(dǎo)致一些人否定法院在個人信息保護中的作用。

更有觀點認(rèn)為，個人信息司法保護的重心應(yīng)從“個體救濟”轉(zhuǎn)向“公共治理”。個人向法院提起的個人信息侵權(quán)之訴，如果沒有損害的，則類似執(zhí)法舉報，法院應(yīng)當(dāng)承擔(dān)專業(yè)化監(jiān)管職能。

毋庸置疑，個人信息保護需要多部門的共同努力，并由公法與私法協(xié)力實現(xiàn)，但我們?nèi)詰?yīng)強調(diào)個人信息司法保護的重要作用。

通過個保法司法解釋對一些焦點、疑點與難點問題的科學(xué)系統(tǒng)規(guī)定，既可以為法院處理個人信息保護糾紛案件提供清晰準(zhǔn)確的裁判規(guī)范，也能為律師、法務(wù)人員等實務(wù)人士提供指引，更能促進行政執(zhí)法部門制定相應(yīng)的規(guī)章和文件。

未來，建議個保法的司法解釋圍繞個人信息處理規(guī)則、個人信息權(quán)益的行使與救濟、個人信息侵權(quán)責(zé)任等三大問題作出清晰具體的規(guī)定。

法院是審判機關(guān)，不能代替網(wǎng)信、工信、公安等履行個人信息保護職責(zé)的部門進行個人信息保護執(zhí)法監(jiān)管，查處違法行為。

法院應(yīng)當(dāng)做的是，正確理解與適用民法典、個保法等法律，居中裁判，公平公正的處理一個個具體的個人信息保護糾紛案件，從而實現(xiàn)保護個人信息權(quán)益、規(guī)范個人信息處理與促進個人信息的合理利用的法律目標(biāo)。

最高人民法院及地方法院發(fā)布的個人信息公益訴訟指導(dǎo)性案例，以及個人信息保護典型案件，如“人臉識別第一案”“強制掃碼點餐案”等，在宣傳個人信息保護觀念，明晰個人信息保護規(guī)范的適用方面起到了重要的作用。

除了發(fā)布更多指導(dǎo)案例和典型案例，建議未來最高人民法院針對個人信息保護實踐中的焦點、熱點以及疑難問題，通過制定個保法司法解釋，協(xié)調(diào)不同法律中的個人信息保護法律規(guī)范，將抽象的、原則性的法律規(guī)定加以具體化、明確化。

雖然中國個人信息保護法律體系已經(jīng)建立，但實踐中仍然有很多法律理解適用上的模糊、分歧之處。例如，如何區(qū)分“同意”“單獨同意”，以及“書面同意”？什么情形下構(gòu)成“共同處理個人信息”？如何認(rèn)定個保法中的“不合理的差別待遇”“對個人權(quán)益有重大影響”？怎樣判斷“個人明確解決處理其公開的個人信息”等。

相關(guān)部門除了制定部門規(guī)章或文件，往往不會針對以上問題作出專門解釋或正式答復(fù)。這些客觀存在的問題，遲遲得不到解決，對于個人信息保護的合規(guī)、律師執(zhí)業(yè)、法官審判以及行政執(zhí)法都造成了很大的困擾，不利于個人信息保護與合理使用。

因此，非常有必要通過制訂個保法司法解釋來解決這些問題。

個人信息處理規(guī)則是個保法的核心內(nèi)容之一。

個保法第二章“個人信息處理規(guī)則”采用了25個條文，對個人信息處理的合法性根據(jù)、告知同意規(guī)則、多人處理個人信息的四種情形，以及公開個人信息與敏感個人信息的處理、國家機關(guān)處理個人信息等內(nèi)容作出了系統(tǒng)的規(guī)定。個人信息處理規(guī)則對于行政執(zhí)法和司法審判中判斷個人信息處理活動是否為非法行為，以及是否侵害個人信息權(quán)益至關(guān)重要。

從實踐來看，個人信息處理規(guī)則中有以下問題需要明確：

“個人信息處理合法”的證明責(zé)任，即一旦發(fā)生個人信息保護糾紛，應(yīng)當(dāng)明確個人只要初步證明個人信息被處理的事實即可，處理者必須證明自己未實施處理活動，或者個人信息處理活動是合法的。

“告知義務(wù)履行”的證明責(zé)任。當(dāng)個人主張?zhí)幚碚咴谔幚韨€人信息前沒有依法履行告知義務(wù)的，應(yīng)當(dāng)由處理者對履行了告知義務(wù)承擔(dān)舉證證明責(zé)任。

“單獨同意”的認(rèn)定，這也是實踐中爭議最大的問題。建議法院在認(rèn)定處理者是否取得個人的單獨同意時，應(yīng)當(dāng)綜合考慮需要取得單獨同意的處理活動與其他處理活動的場景區(qū)分度、履行告知義務(wù)的方式、個人信息的處理方式等因素。對于制作專門的個人信息處理同意書，采取了單獨彈窗、單獨勾選、點擊跳轉(zhuǎn)鏈接等方式取得個人同意的，可以認(rèn)定為屬于單獨同意。

明確處理者雖有合法根據(jù)處理個人信息，但超出合理范圍的，仍要承擔(dān)民事責(zé)任。

對于“共同處理個人信息”的證明。在個人初步證明處理者屬于共同處理個人信息之后，建議由處理者來舉證推翻，不能舉證推翻的，即認(rèn)定為共同處理個人信息。

針對實踐中廣泛存在的“委托處理個人信息”的情形，建議依據(jù)處理事項合法與否以及委托人、受托人的過錯等情形，分別明確各自的義務(wù)與責(zé)任。

明確利用自動化決策對個人在交易條件上形成的哪些差別待遇屬于不合理的差別待遇。我們認(rèn)為，具有以下情形的，屬于不合理的差別待遇：

對同一產(chǎn)品或者服務(wù)，基于個人的支付能力、消費偏好、使用習(xí)慣等個人特征，針對個人采取不同的交易價格、交易方式或者其他交易條件；

對在交易安全、交易成本、信用狀況、交易環(huán)節(jié)、交易持續(xù)時間等方面不存在實質(zhì)性差別的個人，采取不同的交易價格、交易方式或其他交易條件；

基于有損人格尊嚴(yán)、人身自由的方式，或者違背誠信、公平原則而實施的交易條件上的差別待遇。

滿足下列情形之一的，建議認(rèn)定為具有合理的差別待遇：

根據(jù)交易相對人的實際需求，且符合正當(dāng)?shù)慕灰琢?xí)慣和行業(yè)慣例，實行不同的交易條件；

針對新用戶在合理期限內(nèi)開展的優(yōu)惠活動；

基于公平、合理、非歧視規(guī)則實施的隨機性交易；

法律、法規(guī)規(guī)定的其他情形。

個保法第24條、27條、55條中“對個人權(quán)益有重大影響”的判斷。建議參考民法典第496條-497條對格式條款中限制排除權(quán)利的規(guī)定的基礎(chǔ)上，結(jié)合個人的法律上的權(quán)利、義務(wù)、責(zé)任的角度作出相應(yīng)的判斷標(biāo)準(zhǔn)。具有以下情形之一的，應(yīng)當(dāng)認(rèn)定為對個人權(quán)益有重大影響：

排除或者限制個人的主要權(quán)利；

加重個人的義務(wù)或者法律責(zé)任；

導(dǎo)致個人的經(jīng)濟、社會地位發(fā)生了不合理的變化；

對于個人權(quán)益產(chǎn)生法律效力或造成重大影響的其他情形。

明確公開個人信息處理規(guī)則中“合理范圍”的認(rèn)定與“個人明確拒絕”的界定這倆問題。本文有兩條建議：

首先，具有以下情形之一的，可以認(rèn)定“在合理的范圍內(nèi)”：個人信息被公開時有明確的用途，處理者的處理目的和方式符合該用途；個人信息被公開時未明確用途，處理者遵循合法、正當(dāng)、必要、誠信、目的限制等原則，合理、謹(jǐn)慎地處理該信息。

其次，如果個人在自行公開其個人信息時，明確作出禁止他人處理的書面表示，或者個人以書面形式向處理者提出不得處理已公開的個人信息的，則法院可以認(rèn)定為構(gòu)成個保法第27條的“個人明確拒絕”。

個人信息權(quán)益是個人針對其個人信息享有的人格權(quán)益，個保法對于個人信息權(quán)益的內(nèi)容專章作出了詳細(xì)規(guī)定，明確了個人針對其個人信息處理享有知情權(quán)、決定權(quán)、查閱權(quán)、復(fù)制權(quán)、可攜帶權(quán)、更正權(quán)、補充權(quán)、刪除權(quán)、解釋說明權(quán)等。并且，個保法還專門規(guī)定，如果處理者拒絕個人行使權(quán)利的請求，個人可以依法向法院提起訴訟。

從實踐來看，圍繞著個人信息權(quán)益的行使與救濟問題產(chǎn)生了不少爭議，如個人是否必須先向處理者主張權(quán)利，甚至先向履行個人信息保護職責(zé)的部門投訴無果后，才能起訴等。建議司法解釋規(guī)定以下內(nèi)容：

明確個人向處理者行使查閱、復(fù)制其個人信息的范圍應(yīng)當(dāng)包含以下內(nèi)容：個人信息處理者是否處理其個人信息；個人信息的處理目的、方式；處理的個人信息種類、內(nèi)容、保存期限；個人信息的其他共同處理者、受托人；個人信息的提供方、接收方；處理的合法公開的個人信息及其來源；其他可以查閱、復(fù)制的個人信息。

對更正補充權(quán)的行使，以及錯誤更正補充的賠償責(zé)任加以明確，即個人發(fā)現(xiàn)其個人信息不準(zhǔn)確或者不完整的，請求處理者更正、補充；處理者怠于或者拒絕更正、補充，個人可以起訴；如因處理者怠于、拒絕，或者錯誤更正、補充不準(zhǔn)確或不完整的個人信息，侵害民事權(quán)益造成損害的，受害人可以請求處理者承擔(dān)民事責(zé)任。

明確刪除權(quán)的司法救濟以及民事責(zé)任，即存在法律、行政法規(guī)規(guī)定的應(yīng)當(dāng)刪除個人信息的情形，處理者未刪除，個人有權(quán)向法院起訴，要求處理者刪除，除非法律、行政法規(guī)另有規(guī)定；如果處理者違反法律、行政法規(guī)，或者違反約定處理個人信息的，個人可以請求處理者刪除，也可以向法院起訴。

明確個人針對處理者行使查閱、復(fù)制、補充、更正、補充等權(quán)利的，原則上在處理者拒絕的情形下，才可以向法院起訴。

界定死者的近親屬針對死者的個人信息行使查閱、復(fù)制、更正、刪除等權(quán)利的要件，即將以下情形認(rèn)定為，死者的近親屬是為了“自身的合法、正當(dāng)利益”：維護死者的名譽、隱私的需要；維護近親屬對死者的崇敬、追思之情的需要；其他維護近親屬自身的人身、財產(chǎn)權(quán)益的需要。

個人信息侵權(quán)責(zé)任涉及民法典與個保法的關(guān)系，以及個人信息權(quán)益與隱私權(quán)、肖像權(quán)等其他人格權(quán)益的適用，還包括對于個人信息侵權(quán)責(zé)任的構(gòu)成要件的理解與適用問題。

因此，建議司法解釋至少應(yīng)當(dāng)明確以下問題：

侵害隱私權(quán)與個人信息權(quán)益的歸責(zé)原則的適用關(guān)系。

一方面，處理者處理私密信息侵害個人信息權(quán)益造成損害的，個人有權(quán)請求處理者承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任的，此時適用的是個保法第69條第1款的過錯推定責(zé)任，必須由處理者舉證證明自己沒有過錯，才能不承擔(dān)責(zé)任。

另一方面，自然人因個人或者家庭事務(wù)處理個人信息時侵害了個人信息權(quán)益、隱私權(quán)等民事權(quán)益造成損害，不適用個保法的過錯推定責(zé)任，而應(yīng)適用民法典過錯責(zé)任，即具有過錯的處理者才需要承擔(dān)損害賠償責(zé)任。因為在個保法中，只有處理者才可能承擔(dān)損害賠償責(zé)任。

考慮到個人信息權(quán)益與肖像權(quán)、名譽權(quán)的重疊關(guān)系，應(yīng)當(dāng)尊重個人的選擇。即處理者處理人臉信息、信用信息等侵害個人信息權(quán)益造成損害的，個人當(dāng)然可以依據(jù)個保法第69條，要求處理者承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任；倘若個人信息處理活動同時也侵害了肖像權(quán)、名譽權(quán)造成損害的，個人可以依據(jù)民法典，要求具有過錯的處理者承擔(dān)損害賠償?shù)惹謾?quán)責(zé)任。

明確個人信息權(quán)益適用民法典第997條規(guī)定的人格權(quán)禁令。

實踐中個人信息被多個處理者所處理，一旦出現(xiàn)侵害個人信息權(quán)益的行為，往往很難判斷究竟是誰造成的問題。建議明確規(guī)定，兩個以上的處理者處理相同個人信息危及個人信息權(quán)益，個人不能確定具體侵權(quán)人，可以請求行為人承擔(dān)連帶責(zé)任，除非處理者能夠證明自己的處理行為與個人信息權(quán)益被侵害沒有因果關(guān)系。

就處理者泄露個人信息導(dǎo)致被第三人非法利用，進而侵害個人合法權(quán)益的情形，建議明確處理者對此種下游損害的賠償責(zé)任。該問題學(xué)界爭論很大。建議區(qū)分敏感與非敏感的個人信息，分別作出規(guī)定。

具體而言，如果處理者沒有依法采取相應(yīng)的措施保護敏感的個人信息安全，發(fā)生個人信息泄露、丟失，第三人利用該信息侵害個人的民事權(quán)益并造成損害，個人有權(quán)要求個人信息處理者與第三人承擔(dān)連帶責(zé)任；如果處理者沒有采取相應(yīng)的措施保護非敏感的個人信息安全，發(fā)生個人信息泄露、丟失，第三人利用該信息侵害個人民事權(quán)益造成損害，由實施侵權(quán)行為的第三人承擔(dān)賠償責(zé)任，處理者根據(jù)其過錯和原因來承擔(dān)相應(yīng)的賠償責(zé)任。

明確處理者如何推翻對其過錯的推定，即如果處理者能夠舉證證明其處理活動符合法律、行政法規(guī)規(guī)定的個人信息處理規(guī)則、履行了處理者義務(wù)，并滿足了個人行使權(quán)利的請求的，法院應(yīng)當(dāng)認(rèn)定處理者沒有過錯。

關(guān)于侵害個人信息權(quán)益的財產(chǎn)損害，建議規(guī)定處理者侵害個人信息權(quán)益，造成財產(chǎn)損失的，被侵權(quán)人有權(quán)依據(jù)個保法第69條第2款，要求處理者承擔(dān)賠償責(zé)任。同時，個人為制止侵權(quán)行為所支付的合理開支，如調(diào)查取證的費用、聘請律師的費用等，也屬于財產(chǎn)損失。

對于侵害個人信息權(quán)益的精神損害，建議明確，如果處理者侵害個人信息權(quán)益，造成個人嚴(yán)重精神損害的，被侵權(quán)人有權(quán)要求處理者承擔(dān)賠償責(zé)任。如果只是個人信息發(fā)生泄露、篡改、丟失，個人沒有證明其遭受實際損失，只以其將來遭受損失的風(fēng)險為由請求處理者賠償損失的，則不應(yīng)予以賠償。

明確侵害個人信息權(quán)益的法定賠償，即個人因個人信息權(quán)益被侵害而受到的損失，以及處理者因此獲得的利益難以確定的，法院可以根據(jù)實際情況在100萬元以下的范圍內(nèi)確定賠償數(shù)額。

（作者為清華大學(xué)法學(xué)院副院長、教授、博士生導(dǎo)師；編輯：郭麗琴）