论文部分内容阅读
摘 要：我国《民法典》将人格权独立成编，突出显示了大数据时代下以人为本的价值理念，尤其是在人格权编规定了个人信息保护，构建了个人信息保护的新机制。从对个人信息的人格权益性质分析入手，通过对个人信息保护的具体内容、法定范围、免责事由、处理原则以及与数据利用的冲突协调等方面进行分析，对我国民法典视角的个人信息保护进行探讨和思考，以期为我国个人信息保护的相关领域研究提供借鉴。
关键词：民法典;个人信息;人格权益
中图分类号：D922.8 文献标志码：A 文章编号：1673-291X（2021）27-0156-03
大数据时代个人信息保护制度日益受到重视，许多国家完善了个人信息保护的相关立法，如欧盟一般数据保护条例、日本个人信息保护法等。在个人信息保护立法方面，我国出台了《关于加强网络信息保护的决定》《消费者权益保护法》《网络安全法》和《民法总则》以及《电子商务法》等，《刑法修正案（七）》已经将非法获取公民个人信息纳入到刑事打击范围内。然而，真正系统规定个人信息保护制度的当属《民法典》。《民法典》在第一编总则部分对个人信息保护做了原则性的规定，在第四编人格权部分对个人信息保护做了详细、系统的规定。
一、明晰个人信息的人格权益性质
理论界关于自然人个人信息属于何种民事权益存有很大争议，在《民法典》编纂过程中，曾有多位学者呼吁在民法典中规定“个人信息权”，如王利明教授、杨立新教授、吕炳斌教授等。然而出台的《民法典》总则编和人格权编中均没有使用“个人信息权”这个概念，主要原因在于部分法律人士担心，若在法典中明确规定个人信息权的权利性质，可能导致自然人对个人信息享有绝对的支配权和控制权，反而不利于网络社会信息的自由流动、影响数字经济的快速发展。
关于个人信息的保护，《民法典》从以下三个方面明确了其人格权益性质。
第一，确认个人信息权益属于私权益。个人信息处理者与自然人属于平等的民事主体，两者之间的权利义务关系属于民事权利义务关系，尽管信息处理者可能是企业、事业单位，甚至可能是国家机关，这些都不影响个人信息权益的私权益性质。
第二，明确规定个人信息权益的性质。《民法典》首先在总则编中分别列举了自然人的各种具体人格权，在人格权编第六章规定了隐私权和个人信息保护，明确规定自然人的个人信息受法律保护。人格权编既调整各种具体人格权，也调整基于人身自由、人格尊严产生的其他人格权益，故《民法典》明确规定了个人信息的人格权益性质。
第三，《民法典》“隐私权与个人信息保护”部分规定个人信息中的私密信息优先适用隐私权保护，隐私权没有规定的，适用个人信息保护的规定，因此明确区分了个人信息与个人信息中的私密信息。《民法典》生效后，如何协调隐私权与个人信息之间的关系，还需要出台单行立法予以规范。
二、明确了个人信息权益的具体内容
《网络安全法》规定个人对其信息享有要求网络运营者删除和更正的权利。全国人民代表大会常务委员会通过的《关于加强网络信息保护的决定》规定，公民有权要求网络服务者删除相关信息。在此基础上，《民法典》明确了个人信息权益的具体内容包括同意他人使用个人信息的权利，以及查询复制权、更正权、删除权。
第一，许可他人使用个人信息。《民法典》第993条和第1035条确立了使用个人信息时要遵守告知同意规则。告知同意规则奠定了处理个人信息时的正当性与合法性的法律基础，许多国家和地区在个人信息立法中普遍确立了这一规则。如欧盟一般数据保护条例规定，个人在处理相关数据之前，必须征求数据权利人的同意，由权利人通过清晰明确的表示，表明其是在自由自愿的前提下同意对个人数据进行处理;日本在《个人信息保护法》中规定，个人信息处理业者在未事先取得本人同意之前处理其个人信息，不得超过达到业务承受所必要的范围，处理和利用个人信息。
第二，查阅和复制个人信息权。《民法典》第1037条规定了查阅和复制个人信息权，该规定属于自然人查阅和复制个人信息权利的一般性规定，如果有特别规定，适用特别的规定。《民法典》对这两项权利的特别规定有两处：一是第218条规定了利害关系人以及权利人对不动产登记资料的查询和复制权;二是第1029条规定了自然人对企业信用评价的查询权。至于个人信息查询复制权如何具体操作和行使，有待将来的《个人信息保护法》等专门性法律做出详细系统的规定。在将来的查阅复制权立法中，是否应当包含个人数据的可携带权，是目前业界争议较大的一个问题。欧盟在《一般数据条例》中首次提出了个人数据的“可携带权”，规定自然人对于其同意处理者处理的个人数据，享有要求该处理者以通用的以及机器可读的形式，加以提供的權利，并且自然人有将该数据信息转移给其他人使用的权利和自由。在我国的司法实践中，已经出现了大量涉及该类问题的案件，这些案件急需解决。
第三，异议更正权。《网络安全法》规定了自然人对个人信息有更正的权利和自由，《民法典》第1037条规定了自然人发现个人信息有错误，有异议更正权。因此，我国法律明确规定自然人有相应的证据证明个人信息确实存在错误时，有请求信息处理者予以及时更正的权利，并且对不同类型的网络服务区分不同的信息处理者进行更正。
第四，删除权。《民法典》和《国家安全法》分别规定了以下两种情形下，自然人有要求删除的权利：第一种情形是，当信息处理者违反法律以及行政法规的规定，处理个人信息时，自然人有权行使删除权;第二种情形是，信息处理者违反双方的约定使用个人信息时，自然人可以行使删除权。需要注意的是，这里的删除权不同于《民法典》侵权责任编第1195条的避风港规则下的删除权。这里的删除权是适用于所有个人信息处理者的情形，而避风港规则中的删除权只适用于网络服务提供者。 那么，删除权中是否应该包含被遗忘权？西班牙的“冈萨雷斯诉谷歌”案中确立首次确立了被遗忘权。2018年欧盟一般数据保护条例中规定，数据权利人有权要求控制者，及时删除个人数据，如果信息权利人已经请求控制者删除，则控制者应该立即采取措施，删除相关数据，但如果这些数据已经公开，控制者应该采取合理的措施，通知正在处理个人数据的控制者，这就是欧盟规定的被遗忘权。我国现行法律规定的删除权是否包括被遗忘权，理论界仍然存在很大争议，这一问题有待在未来的《个人信息保护法》中进行明确规定。
三、合理界定个人信息的范围，区分私密信息和其他个人信息
相比网络安全法的规定，《民法典》第1034条对个人信息的界定更加精准和具有可操作性。网络安全法中明确规定了姓名、出生日期、证件号码、家庭住址和联系电话等属于个人信息的范畴，鉴于新冠肺炎疫情事件的影响，《民法典》把个人信息的范围扩大到将自然人的行程信息、健康码以及出行码等纳入个人信息的范围。《民法典》明确规定了个人信息“识别”标准以及“去标识化”的方法，将具有识别性的个人信息与进入公共流通领域已经去标识化的信息区别开来。
《民法典》第1032条科学明确界定了隐私的含义，隐私具有私密性、不愿为他人知晓的明显特点。第1033条分别列举了如骚扰电话、垃圾短信、垃圾邮件等侵犯隐私权的禁止性行为，为大数据技术对人们私生活的界入划出了底线。《民法典》第1034条第3款区分了私密信息和非私密信息，明确隐私权与个人信息保护在适用上的区别。
由于民事基本法的性质，民法典对个人信息仅做了原则性的规定，没有详细区分个人信息中的敏感信息和非敏感信息，未来的《个人信息保护法》等专门性法律需要对个人信息的详细区分进行具体的可操作性的规定。
四、明确侵害个人信息的免责事由
除不可抗力、正当防卫以及紧急避险等适用于所有民事责任的免责事由和受害人故意、自甘风险以及自助行为等适用于侵权责任的免责事由外，《民法典》对侵害个人信息的免责事由作了以下三种特别规定。
第一，在自然人同意的合理范围内实施的行为，属于个人信息的合法处理行为，信息处理者不需要承担相应的民事责任。但如果超出同意的合理范围，依然构成侵权行为。
第二，对于自然人已经公开的信息，除非自然人明确拒绝或者对侵害自然人的重大利益外，可以合理处理。
第三，为了维护公共利益或自然人合法权益而合理实施的行为。必须是合法、合理实施的行为，不能违反合法、正当、必要的原则。如面对突如其来的新冠肺炎疫情，对个人行程信息，只能进行必要的收集和使用，不能侵害个人隐私，更不能泄露个人信息，防止出现过度收集、侵害个人利益的现象。
五、全面明確个人信息处理活动的原则
我国《民法典》首次提出了对个人信息处理的限制，明确规定不得过度处理个人信息。新冠肺炎疫情防控期间，通过健康码收集个人行踪信息属于正当必要的范围，但如果利用获取的个人信息，披露个人的隐私甚至将个人信息转卖给其他营利机构获利，则属于侵犯个人信息的违法行为。
第1035条规定，处理个人信息不得违反法律、行政法规规定的兜底式条款，为实践中处理个人信息纠纷提供了法律依据，也为单行立法预留了足够的空间。如突发公共卫生事件时，有关单位依据传染病防治以及突发公共卫生事件等相应的法律法规，在遵循必要原则的同时，有义务向省市区各级疾控中心上报员工的身份证号码、健康信息等个人信息。
关于侵害个人信息的免责事由，既要保护自然人的人格权益，又要兼顾大数据合理使用之间的平衡。如通过“人肉搜索”行为获取的个人公开信息，可能会给特定自然人的生活安宁带来意想不到的困扰，这就属于超过了合理必要的范围，可能构成侵权甚至违法。上述规定划定了处理个人信息的边界，因此公民一旦发现有上述行为时，应及时寻求相应的救济途径。
六、平衡个人信息保护与数据利用的冲突
一方面，个人信息的收集、使用、处理等数据共享成为互联网时代数据利用的重要方式。另一方面，加强对个人信息的保护，有利于促进数据产业的蓬勃发展，减少隐私权纠纷的发生。
我国法律在《民法典》之前，没有关于数据保护的基本法层面的规定，《民法典》的出台把数据和网络虚拟财产作为民事权利保护的内容，对数据保护的规定适应了高速信息化的发展要求，允许对数据合理使用，平衡了信息保护与数据利用之间的冲突和矛盾。在保护数据权利的同时，也为数据的合理流动和共享提供了法律上的空间。此外，《民法典》还对侵害个人信息的免责事由，做了明确的规定，为以后数据保护的单行立法提供了充分的基本法依据。
综上，我国从民事基本法层面，在《民法典》总则编部分和人格权编部分明确规定个人信息的性质、具体内容、基本原则以及免责事由，对个人信息保护具有重要的理论和现实意义。同时，也为下一步出台个人信息保护法等相关专门性法律奠定了基础，为司法实践提供了基本指南。
参考文献：
[1] 程啸.我国《民法典》个人信息保护制度的创新与发展[J].财经法学，2020，（4）.
[2] 何鹏，刘新宇.《民法典》：大数据时代下个人信息保护的民法基础[J].中国政协，2020，（14）.
[3] 丁晓东.个人信息权利的反思与重塑：论个人信息保护的适用前提与法益基础[J].中外法学，2020，（2）.
[4] 赵旭东.个人信息保护的立法创举与顶层设计[J].社会治理，2020，（7）.
[5] 包晓丽，熊丙万.通讯录数据中的社会关系资本—数据要素产权配置的研究范式[J].中国法学评论，2020，（2）.
[6] 漆彤，施小燕.大数据时代的个人信息“被遗忘权”——评冈萨雷斯诉谷歌案[J].财经法学，2015，（3）.
[责任编辑 百 合]
关键词：民法典;个人信息;人格权益
中图分类号：D922.8 文献标志码：A 文章编号：1673-291X（2021）27-0156-03
大数据时代个人信息保护制度日益受到重视，许多国家完善了个人信息保护的相关立法，如欧盟一般数据保护条例、日本个人信息保护法等。在个人信息保护立法方面，我国出台了《关于加强网络信息保护的决定》《消费者权益保护法》《网络安全法》和《民法总则》以及《电子商务法》等，《刑法修正案（七）》已经将非法获取公民个人信息纳入到刑事打击范围内。然而，真正系统规定个人信息保护制度的当属《民法典》。《民法典》在第一编总则部分对个人信息保护做了原则性的规定，在第四编人格权部分对个人信息保护做了详细、系统的规定。
一、明晰个人信息的人格权益性质
理论界关于自然人个人信息属于何种民事权益存有很大争议，在《民法典》编纂过程中，曾有多位学者呼吁在民法典中规定“个人信息权”，如王利明教授、杨立新教授、吕炳斌教授等。然而出台的《民法典》总则编和人格权编中均没有使用“个人信息权”这个概念，主要原因在于部分法律人士担心，若在法典中明确规定个人信息权的权利性质，可能导致自然人对个人信息享有绝对的支配权和控制权，反而不利于网络社会信息的自由流动、影响数字经济的快速发展。
关于个人信息的保护，《民法典》从以下三个方面明确了其人格权益性质。
第一，确认个人信息权益属于私权益。个人信息处理者与自然人属于平等的民事主体，两者之间的权利义务关系属于民事权利义务关系，尽管信息处理者可能是企业、事业单位，甚至可能是国家机关，这些都不影响个人信息权益的私权益性质。
第二，明确规定个人信息权益的性质。《民法典》首先在总则编中分别列举了自然人的各种具体人格权，在人格权编第六章规定了隐私权和个人信息保护，明确规定自然人的个人信息受法律保护。人格权编既调整各种具体人格权，也调整基于人身自由、人格尊严产生的其他人格权益，故《民法典》明确规定了个人信息的人格权益性质。
第三，《民法典》“隐私权与个人信息保护”部分规定个人信息中的私密信息优先适用隐私权保护，隐私权没有规定的，适用个人信息保护的规定，因此明确区分了个人信息与个人信息中的私密信息。《民法典》生效后，如何协调隐私权与个人信息之间的关系，还需要出台单行立法予以规范。
二、明确了个人信息权益的具体内容
《网络安全法》规定个人对其信息享有要求网络运营者删除和更正的权利。全国人民代表大会常务委员会通过的《关于加强网络信息保护的决定》规定，公民有权要求网络服务者删除相关信息。在此基础上，《民法典》明确了个人信息权益的具体内容包括同意他人使用个人信息的权利，以及查询复制权、更正权、删除权。
第一，许可他人使用个人信息。《民法典》第993条和第1035条确立了使用个人信息时要遵守告知同意规则。告知同意规则奠定了处理个人信息时的正当性与合法性的法律基础，许多国家和地区在个人信息立法中普遍确立了这一规则。如欧盟一般数据保护条例规定，个人在处理相关数据之前，必须征求数据权利人的同意，由权利人通过清晰明确的表示，表明其是在自由自愿的前提下同意对个人数据进行处理;日本在《个人信息保护法》中规定，个人信息处理业者在未事先取得本人同意之前处理其个人信息，不得超过达到业务承受所必要的范围，处理和利用个人信息。
第二，查阅和复制个人信息权。《民法典》第1037条规定了查阅和复制个人信息权，该规定属于自然人查阅和复制个人信息权利的一般性规定，如果有特别规定，适用特别的规定。《民法典》对这两项权利的特别规定有两处：一是第218条规定了利害关系人以及权利人对不动产登记资料的查询和复制权;二是第1029条规定了自然人对企业信用评价的查询权。至于个人信息查询复制权如何具体操作和行使，有待将来的《个人信息保护法》等专门性法律做出详细系统的规定。在将来的查阅复制权立法中，是否应当包含个人数据的可携带权，是目前业界争议较大的一个问题。欧盟在《一般数据条例》中首次提出了个人数据的“可携带权”，规定自然人对于其同意处理者处理的个人数据，享有要求该处理者以通用的以及机器可读的形式，加以提供的權利，并且自然人有将该数据信息转移给其他人使用的权利和自由。在我国的司法实践中，已经出现了大量涉及该类问题的案件，这些案件急需解决。
第三，异议更正权。《网络安全法》规定了自然人对个人信息有更正的权利和自由，《民法典》第1037条规定了自然人发现个人信息有错误，有异议更正权。因此，我国法律明确规定自然人有相应的证据证明个人信息确实存在错误时，有请求信息处理者予以及时更正的权利，并且对不同类型的网络服务区分不同的信息处理者进行更正。
第四，删除权。《民法典》和《国家安全法》分别规定了以下两种情形下，自然人有要求删除的权利：第一种情形是，当信息处理者违反法律以及行政法规的规定，处理个人信息时，自然人有权行使删除权;第二种情形是，信息处理者违反双方的约定使用个人信息时，自然人可以行使删除权。需要注意的是，这里的删除权不同于《民法典》侵权责任编第1195条的避风港规则下的删除权。这里的删除权是适用于所有个人信息处理者的情形，而避风港规则中的删除权只适用于网络服务提供者。 那么，删除权中是否应该包含被遗忘权？西班牙的“冈萨雷斯诉谷歌”案中确立首次确立了被遗忘权。2018年欧盟一般数据保护条例中规定，数据权利人有权要求控制者，及时删除个人数据，如果信息权利人已经请求控制者删除，则控制者应该立即采取措施，删除相关数据，但如果这些数据已经公开，控制者应该采取合理的措施，通知正在处理个人数据的控制者，这就是欧盟规定的被遗忘权。我国现行法律规定的删除权是否包括被遗忘权，理论界仍然存在很大争议，这一问题有待在未来的《个人信息保护法》中进行明确规定。
三、合理界定个人信息的范围，区分私密信息和其他个人信息
相比网络安全法的规定，《民法典》第1034条对个人信息的界定更加精准和具有可操作性。网络安全法中明确规定了姓名、出生日期、证件号码、家庭住址和联系电话等属于个人信息的范畴，鉴于新冠肺炎疫情事件的影响，《民法典》把个人信息的范围扩大到将自然人的行程信息、健康码以及出行码等纳入个人信息的范围。《民法典》明确规定了个人信息“识别”标准以及“去标识化”的方法，将具有识别性的个人信息与进入公共流通领域已经去标识化的信息区别开来。
《民法典》第1032条科学明确界定了隐私的含义，隐私具有私密性、不愿为他人知晓的明显特点。第1033条分别列举了如骚扰电话、垃圾短信、垃圾邮件等侵犯隐私权的禁止性行为，为大数据技术对人们私生活的界入划出了底线。《民法典》第1034条第3款区分了私密信息和非私密信息，明确隐私权与个人信息保护在适用上的区别。
由于民事基本法的性质，民法典对个人信息仅做了原则性的规定，没有详细区分个人信息中的敏感信息和非敏感信息，未来的《个人信息保护法》等专门性法律需要对个人信息的详细区分进行具体的可操作性的规定。
四、明确侵害个人信息的免责事由
除不可抗力、正当防卫以及紧急避险等适用于所有民事责任的免责事由和受害人故意、自甘风险以及自助行为等适用于侵权责任的免责事由外，《民法典》对侵害个人信息的免责事由作了以下三种特别规定。
第一，在自然人同意的合理范围内实施的行为，属于个人信息的合法处理行为，信息处理者不需要承担相应的民事责任。但如果超出同意的合理范围，依然构成侵权行为。
第二，对于自然人已经公开的信息，除非自然人明确拒绝或者对侵害自然人的重大利益外，可以合理处理。
第三，为了维护公共利益或自然人合法权益而合理实施的行为。必须是合法、合理实施的行为，不能违反合法、正当、必要的原则。如面对突如其来的新冠肺炎疫情，对个人行程信息，只能进行必要的收集和使用，不能侵害个人隐私，更不能泄露个人信息，防止出现过度收集、侵害个人利益的现象。
五、全面明確个人信息处理活动的原则
我国《民法典》首次提出了对个人信息处理的限制，明确规定不得过度处理个人信息。新冠肺炎疫情防控期间，通过健康码收集个人行踪信息属于正当必要的范围，但如果利用获取的个人信息，披露个人的隐私甚至将个人信息转卖给其他营利机构获利，则属于侵犯个人信息的违法行为。
第1035条规定，处理个人信息不得违反法律、行政法规规定的兜底式条款，为实践中处理个人信息纠纷提供了法律依据，也为单行立法预留了足够的空间。如突发公共卫生事件时，有关单位依据传染病防治以及突发公共卫生事件等相应的法律法规，在遵循必要原则的同时，有义务向省市区各级疾控中心上报员工的身份证号码、健康信息等个人信息。
关于侵害个人信息的免责事由，既要保护自然人的人格权益，又要兼顾大数据合理使用之间的平衡。如通过“人肉搜索”行为获取的个人公开信息，可能会给特定自然人的生活安宁带来意想不到的困扰，这就属于超过了合理必要的范围，可能构成侵权甚至违法。上述规定划定了处理个人信息的边界，因此公民一旦发现有上述行为时，应及时寻求相应的救济途径。
六、平衡个人信息保护与数据利用的冲突
一方面，个人信息的收集、使用、处理等数据共享成为互联网时代数据利用的重要方式。另一方面，加强对个人信息的保护，有利于促进数据产业的蓬勃发展，减少隐私权纠纷的发生。
我国法律在《民法典》之前，没有关于数据保护的基本法层面的规定，《民法典》的出台把数据和网络虚拟财产作为民事权利保护的内容，对数据保护的规定适应了高速信息化的发展要求，允许对数据合理使用，平衡了信息保护与数据利用之间的冲突和矛盾。在保护数据权利的同时，也为数据的合理流动和共享提供了法律上的空间。此外，《民法典》还对侵害个人信息的免责事由，做了明确的规定，为以后数据保护的单行立法提供了充分的基本法依据。
综上，我国从民事基本法层面，在《民法典》总则编部分和人格权编部分明确规定个人信息的性质、具体内容、基本原则以及免责事由，对个人信息保护具有重要的理论和现实意义。同时，也为下一步出台个人信息保护法等相关专门性法律奠定了基础，为司法实践提供了基本指南。
参考文献：
[1] 程啸.我国《民法典》个人信息保护制度的创新与发展[J].财经法学，2020，（4）.
[2] 何鹏，刘新宇.《民法典》：大数据时代下个人信息保护的民法基础[J].中国政协，2020，（14）.
[3] 丁晓东.个人信息权利的反思与重塑：论个人信息保护的适用前提与法益基础[J].中外法学，2020，（2）.
[4] 赵旭东.个人信息保护的立法创举与顶层设计[J].社会治理，2020，（7）.
[5] 包晓丽，熊丙万.通讯录数据中的社会关系资本—数据要素产权配置的研究范式[J].中国法学评论，2020，（2）.
[6] 漆彤，施小燕.大数据时代的个人信息“被遗忘权”——评冈萨雷斯诉谷歌案[J].财经法学，2015，（3）.
[责任编辑 百 合]