程啸：民法典编纂视野下的个人信息保护 | 前沿

中国民商法律网

本文选编自程啸：《民法典编纂视野下的个人信息保护》，载《中国法学》2019年第4期。
作者简介：程啸，清华大学法学院教授、博士生导师，中国民商法律网授权学者。

全文共3018字，阅读时间约7分钟。

随着网络信息技术的高速发展，个人信息的保护及其与信息自由、公共利益的关系成为现代各国法律中备受关注的问题。我国亦高度重视个人信息的民法保护，在《民法总则》第111条的基础上，民法典人格权编草案对个人信息的收集、使用、删除和更正等问题作出了细化规定。然而，理论界对于个人信息有无必要通过私法加以保护以及在民法典中如何规定个人信息保护等问题，仍然存在不同的认识。对此，清华大学法学院程啸教授在《民法典编纂视野下的个人信息保护》一文中，探讨了个人信息私法保护的功能与意义，并从利益和救济两个不同视角界定了个人信息上的民事权益，进而提出了完善人格权编草案个人信息保护规定的建议。

一、个人信息私法保护的功能与意义

（一）个人信息私法保护面临的挑战与公法保护的作用

随着信息网络科技尤其是大数据与人工智能的发展，个人信息的范围越来越广，种类也越来越多。Cookie技术和各种传感器可以自动收集与存储个人信息，大数据与人工智能技术的发展使得对海量数据的分析与使用变得非常简单，个人信息被滥用的可能性被极大地增加。在这种情形下，传统民法的人格权与侵权责任制度已难以满足有效保护个人信息、维护自然人人身财产安全的需要。

因此，个人信息保护的立法才从公法开始。一方面，对收集、存储、分析、使用个人信息的行为予以严格管理，从源头上遏制违法收集、使用个人信息的行为；同时惩治侵害个人信息的违法行为，并由此形成巨大的威慑作用。另一方面，借助《反垄断法》《个人信息保护法》《消费者权益保护法》等法律，对以个人信息数据为工具的各种算法垄断、侵害消费者权益的定价算法，予以规制，这在客观上起到了保护自然人不因个人信息被滥用而遭受损害的作用。

（二）个人信息私法保护的作用

尽管传统民法在个人信息保护上遭遇了新的挑战，但个人信息私法保护的作用和意义也不容忽视：

首先，体现个人信息保护的最终目的在于维护自然人的合法权益。通过私法保护个人信息可以更充分地调动自然人保护个人信息的积极性。这不仅可促使其在发现侵害个人信息的违法行为后及时向执法机关举报，也可以让其通过对侵权人提起民事诉讼获得补偿，进而对现实的和潜在的侵权人产生巨大的威慑作用。

其次，表明在任何个人信息保护与数据权属的立法中，都应始终关注自然人的民事权益保护与信息自由（信息的流动、共享与利用）这两个法律价值的权衡与协调。若一味基于公共秩序或公共利益而仅由公法保护个人信息，会使得个人信息保护问题被简单化为数据收集者、数据控制者的利益与公共秩序、公共利益的矛盾。由此可能造成立法最终沦落为利益相关方围绕着个人信息展开的争夺战，甚至使得法律规定成为限制竞争、维护信息垄断地位的手段，最终损害社会整体福利。故现代法律对个人信息的保护应当采取公法与私法并重的综合性保护方法，二者不可偏废。

二、个人信息上的民事权益之界定

（一）对《民法总则》第111条的理解

个人信息的民法保护涉及的核心问题是：自然人对个人信息享有的究竟是民事权利抑或仅仅是受保护的民事利益，而围绕该问题的争议集中体现在对《民法总则》第111条的解释之上。从法解释的角度来看，难以得出《民法总则》第111条确立了自然人对个人信息享有民事权利即个人信息权的结论。原因在于：其一，立法者并未将个人信息明确规定为“个人信息权”。其二，《民法总则》第五章是对我国侵权法保护的民事权益按照权益的位阶加以排序后的最详尽描述，不能认为凡是规定在这一章的都是民事权利。其三，《民法总则》紧接在具体人格权之后，身份权、财产权之前，对个人信息保护作出规定。可以认为，立法者更倾向于将个人信息作为一种需要保护的人格利益。

（二）研究自然人对个人信息的民事权益的两个视角

1. 利益的视角

除了相当一部分已经得到现行法上各种人格权保护的利益之外，现代社会的个人信息上还附着着一种应当受到保护的防御性或保护性利益，即自然人还享有防止因个人信息被非法收集、泄露、买卖或利用而导致其既有人身、财产权益遭受侵害，甚至人格尊严、个人自由受到损害的利益。该利益既无法为现有的人格权等民事权利所涵盖，又属于法律上有必要保护的合法利益。

此外，在社会交往过程中必须通过个人信息来互相识别，否则人和人就无法正常交往。个人信息本身具有全时性、无形性的特点，且信息仅在交流时才具有意义。由此，民法对个人信息的保护不能也不应使自然人个体对个人信息享有绝对的、排他的支配。

2. 救济的视角

民事权益可以分为民事权利与民事利益，民法对不同的民事权益提供保护的程度和救济方法存在不同。如前所述，自然人对个人信息的自主利益只是一种防御性利益，这种利益并非是对个人信息予以直接支配的利益。因此，对于个人信息的利益应当采取最低程度的保护，即将其仅作为一种民事利益给予保护，不将其固定为个人信息权并确定各项权能的模式。简言之，民法应当对自然人的个人信息采取两方面的保护：（1）赋予自然人对个人信息的某些控制性的权能，例如删除权、更正权等；（2）引入公法上的个人信息保护性法律规范确定侵害个人信息行为的违法性，并要求侵权人承担相应民事责任。

三、人格权编草案中个人信息保护规定的完善

（一）个人信息保护宜单独成章

在民法典人格权编草案中宜将个人信息保护规定单独成章，而不是将其与隐私权合并规定。一是因为隐私权与个人信息保护所关注的重点不同。隐私权侧重保护的是对人身体和家庭等私密空间或私生活安宁的决定自由，而个人信息保护关注的是那些将对个人自治产生扩张或者限制作用的信息应当如何使用的决定自由。侵害个人信息，不一定构成对隐私权的侵害，而侵害隐私权也可能并非因为非法收集并泄露个人信息所致。二是因为自《民法通则》始，法律确立的人格权主要是具体的人格权，依照此种立法传统，在我国民法典中也应区分隐私权与个人信息保护，不应将二者合并规定。

此外，人格权编草案合并规定隐私权与个人信息保护将产生两个弊端：其一，不符合《民法总则》确立的人格权益体系，以及将个人信息作为手段性权利或工具性权利给予保护的立法初衷。其二，容易模糊隐私权与个人信息的性质和法律保护方法，从而导致司法实践中给予两者同等程度的保护。

（二）宜完善对侵害个人信息民事责任的规定

未来民法典人格权编应当对侵害个人信息的民事责任的归责原则、构成要件、侵权责任的承担方式等作出更加具体的规定。侵害个人信息的民事责任应规定在人格权编，而不是规定在侵权责任编，原因在于：第一，侵害个人信息的侵权责任不同于一般的侵害人格权的侵权责任，无法通过侵权责任编的引致性规范对其给予相应的保护。如果在侵权责任编中对其进行单独规定，会破坏侵权责任编的体系。第二，侵害个人信息的民事责任在归责原则、因果关系证明、损害赔偿范围认定等方面有其特殊之处，无法适用侵权责任编的一般规定。第三，鉴于人格权编已经对个人信息保护的基本原则、主体和相对人的义务作出了规定，由其紧接着对侵害个人信息的民事责任作出规定，从体系上来说也更为协调。

推荐阅读

近期好文

责任编辑：许伟伟、宋昌训

图片编辑：金今、张凌波、林嘉悦