程啸：论我国民法典中的个人信息合理使用制度 | 前沿
中国民商法律网
为了能够科学有效地协调个人信息的保护与合理利用，我国《民法典》在确认个人信息权益性质、内容及其保护规则的同时，也规定了完善的个人信息合理使用制度。但是，若理论界与实务界要准确地理解并适用《民法典》中的个人信息合理使用制度，便仍需要对该制度作进一步地阐释。对此，清华大学法学院程啸教授在《论我国民法典中的个人信息合理使用制度》一文中，对我国《民法典》中个人信息合理使用的涵义、规范层次及具体适用情形等问题进行了详细的探讨，以供理论界与实务界参考。
一、个人信息合理使用的涵义
（一）个人信息合理使用无需取得自然人的同意
个人信息的合理使用不同于自然人同意他人处理其个人信息，其根本特征在于，处理者无须取得自然人或其监护人的同意就对个人信息进行各项处理行为。具体而言，一方面，个人信息合理使用中处理行为的合法性不是建立在自然人同意的基础上，法律的规定赋予此种未经自然人同意而处理个人信息的行为以合法性。另一方面，由于个人信息的合理使用不具违法性，故其产生的法律效果是可阻却相应民事、行政或刑事责任的产生。
个人信息合理使用的理论基础在于民事权益限制理论，即立法者基于价值考量通过法律对民事权益作出的正当与合理的限制。个人信息合理使用对个人信息的限制属基于维护公共利益等理由对民事权益作出限制，具体阐释如下：
其一，个人信息上存在的是自然人的民事权益。个人信息的根本特征在于识别性，其与特定的自然人相联系。除能够被识别的自然人外，其他民事主体针对该自然人的个人信息本身并不享有任何民事权益。
其二，自然人对其个人信息享有的民事权益属人格权益，而非财产权益。一方面，《民法典》总则编在列举了各项具体人格权后对个人信息的保护作了宣示性规定；另一方面，《民法典》明确将个人信息保护的内容放在第四编“人格权”中，并与隐私权合并在第6章，这更明确了自然人对其个人信息享有的民事权益乃人格权益。
其三，个人信息的合理使用在本质上是对自然人的人格权益的限制。一方面，自然人个体既无法了解自己总共产生了什么样的及多少数量的个人数据，亦不具就其个人数据的价值与处理者进行协商的空间和议价的能力。另一方面，我国对人格权益采取“一元化保护”模式，允许人格权的商业化利用，故将自然人的个人信息权益规定为人格权益不会对自然人以及企业对个人信息的商业利用产生障碍。
其四，对自然人个人信息权益的限制必须是基于维护公共利益等正当理由，同时要符合法律保留原则和比例原则。法律保留原则要求个人信息合理使用在内的个人信息保护的规则和制度必须制订法律，而比例原则要求合理使用需服务于法律规定合理使用所希望达到的目的，且手段和方式没有超过为实现该目的而可以采取的最缓和的方式。
二、个人信息合理使用的规范层次
（一）总则编的抽象规范
总则编确立了民事活动应遵循的各项基本原则，而个人信息的合理使用在性质上无疑属于民事活动，故其应遵循民法的基本原则。若对个人信息合理使用发生理解上的分歧，且法律没有规定或者规定不明确的，便应利用民法的基本原则加以判断。此外，总则编中规定的不可抗力等各项免责事由，原则上亦构成对个人信息权益的限制。
（二）人格权编的共通性规范
人格权编第一章从人格权共通性或一般性法律规范角度做出了关于人格权限制的规定，其同样适用于规范个人信息合理使用：
第一，第998条明确了明确了生命权、身体权、健康权三项人格权不得任意限制和克减的原则，体现了对这三类人格权的充分尊重和严格保护。同时，针对侵害除上述三项之外的人格权益，在认定民事责任时应考虑行为人和受害人的职业、影响范围、过错程度等各种因素。具体到个人信息领域，意味着法院在认定侵权责任时需将上述因素纳入考量。
第二，第999条明确了可以合理使用的人格权之客体，实际上便是对其作出了限制。就个人信息权益而言，一方面，只有基于公共利益而实施新闻报道、舆论监督等行为，才可使用自然人的个人信息；另一方面，即使基于此种目的，对自然人个人信息的使用亦应是合理使用。
《民法典》对个人信息合理使用的第三个层次的规范，是直接专门地针对个人信息作出的限制性规定。法律上规定合理使用包括积极角度和消极角度两种方法：前者规定民事权益主体之外的其他主体可在未取得其同意的前提下，使用民事权益的客体或干涉其权益的行使；后者规定即便行为人未经民事权益人同意而实施了某种客观上构成对民事权益侵害、妨碍或造成损害的行为，亦无需承担民事责任。一般而言，采取合理使用的方法来限制民事权益往往是在较为一般或抽象的层面上，故受到限制的民事权益的范围也较广。而免责事由比较具体，直接针对某个特定的民事权益而作出相应规定，故我国《民法典》第1036条直接采取了规定处理个人信息免责事由的方式。
三、个人信息合理使用的具体情形
（一）实施新闻报道、舆论监督等行为
《民法典》第999条明确了为公共利益实施新闻报道、舆论监督等行为可合理使用个人信息，因此种情形下不可避免的要涉及特定的自然人，会使用自然人的部分个人信息。若使用这些个人信息需逐一告知并征得自然人的同意，否则便不能使用的话，新闻报道就无法正常进行。尤其是为维护公共利益的舆论监督就是要揭露各种不道德的、违法和犯罪的人或事，以维护社会正义，此乃自由与法治的社会所不可或缺的。当然，需明确并非所有的新闻报道、舆论监督等行为都有权合理使用个人信息，其前提限于“为公共利益”。
（二）维护公共利益
《民法典》未界定个人信息合理使用中的公共利益的涵义和类型，该任务应交由现有的各法律和未来颁布的个人信息保护法等完成，依照现有规定，合理使用个人信息的公共利益包括：第一，国家利益，主要包括国家的安全利益、外交利益、军事利益以及意识形态利益等，具体又分为国家安全、经济安全、文化安全与环境安全。第二，社会公共利益。具体而言，允许合理使用个人信息的情形包括：基于社会治安即公共安全，维护其他社会安全利益如公共卫生安全等，为确保社会资源公平合理分配与使用，基于学术科研、文化艺术及公共教育发展的公共利益，为维护社会公共道德等方面。
（三）维护自然人的合法权益
《民法典》第1036条中的维护“该自然人合法权益”指为了维护作为个人信息主体的自然人的人身财产权益。当然，并非仅有维护个人信息或个人数据主体自身的合法权益才可实施对个人信息的合理使用，为了维护自然人之外的其他民事主体的合法权益亦可实施此种行为。尽管我国《民法典》未就此作明确说明，但这并不构成漏洞。若是为了维护其他民事主体的合法权益而需合理使用个人信息，即构成紧急避险，完全可适用《民法典》第182条。
（四）处理已合法公开的个人信息
合理处理自然人自行公开的或其他已合法公开的信息，即便未征得自然人同意，行为人原则上也不承担民事责任。合法公开的个人信息有两个特征：其一，合法性。包括自然人行使个人信息权益而针对个人信息进行处分，其对应的是自然人自行公开的个人信息；也包括依据法律、行政法规的规定被公开，其对应的是依据行政行为或者司法行为而公开的个人信息。其二，公开性。即个人信息被公之于众，不特定的人可以通过合法的途径而获悉。
但是，若自然人明确拒绝对已合法公开的个人信息进行处理或者处理该信息侵害其重大利益，则构成合理使用之例外。一方面，即便是已经合法公开的个人信息依旧受法律保护，自然人对这些个人信息并不因其公开而失去控制的权利；另一方面，因个人信息的保护对于维护自然人的人格尊严和人格自由具有重要意义，故即便是已经合法公开的个人信息亦不得任意进行处理，若处理该信息将侵害自然人的生命、身体、自由、财产等重大利益的，则需承担民事责任。
（五）其他问题
我国《民法典》及未来的《个人信息保护法》中，均无必要将“为履行合同而必须处理个人信息”规定为作为合理使用的情形,否则不仅违反私法自治原则，也不利于保护自然人的个人信息权益。
四、结语
我国法上的个人信息合理使用是对自然人享有的作为人格权益的个人信息权益的限制，无须征得自然人的同意。《民法典》从总则编、人格权编一般性规定及针对个人信息合理使用的具体规定三个层面对个人信息的合理使用进行了规范。具体而言，个人信息合理使用主要包括维护公共利益、保护个人信息权益主体的合法权益及合理处理已经合法公开的个人信息。
推荐阅读
王利明：数据共享与个人信息保护 | 前沿张新宝：个人信息保护的一个新思维 | 前沿
近期好文
责任编辑：陈猛、宋昌训
图片编辑：金今、张凌波、林嘉悦