【数据法学】李汶龙：民法典中的数据保护问题——评议隐私权和个人信息保护章节及修改意见
B D A I L C
欢 迎 关 注
Javid Tabatabaei
民法典中的数据保护问题——
评议隐私权和个人信息保护章节及修改意见
文 / 爱丁堡大学法学院讲师 信息科技法博士 李汶龙
受政治体制影响，民法在中国的法律秩序中举足轻重。新制度的建立多仰仗民法框架才有进展。虽未奉为根本法，民法作为其他特别规则之根本已成事实。
在民法典中设立数据保护的规则，国际视野下前所未有。即便是国内民法学者推崇的德国法、法国法，近年来也在欧盟一体化的进程中就数据保护设立特别法。美国联邦层面尚无建树，州法选择先行。如加州、内达华州等率先效仿欧洲制定了保护规则。在法律性质上美国州法有别于欧盟法。前者依照传统建于消费者保护框架之上，后者有《欧盟基本权利宪章》作为法律基础。
在中国的法律语境当中，民法典是否是数据保护规则的合适载体这一问题值得深究。草案引入数据保护规则，对这一价值及相关权利予以肯认，这一点是值得肯定的。与此同时，民法典体例之庞大，关系之复杂，也让数据保护规则的法律属性扑朔迷离。此外，《民法典》如何能够承前（网络安全法、侵权责任法、网信办规定等）启后（个人信息保护法），确保整个法律体系的自洽和协调，也是立法者所面临的问题。
鉴于民法在中国法律秩序中的重要性，个人信息保护的程度应当会在《民法典》落实后有所提升。制定如此庞大的一部法典，最大的难点在于法律体系的自洽和有序，这一点上尚有诸多难题亟待解决。首先，草案条文表述有诸多模糊之处，会给司法实践增加不确定性。纵观东西，数据保护的原则的设立和实施已有数十年，立法者应充分考虑并采纳既有成果，而非依仗宽泛、基础的民法规则。笔者认为这一问题是数据保护规则入典的一大负面影响。究竟民法典应以何种形式对数据保护予以认定和保护，与即将出台的《个人信息保护法》又有怎样的分工、协调，这些是立法者应当考虑的主要议题。其次，《民法典》草案对传统隐私理论，例如同意制度、第三人制度的过度依赖有将整套制度架空之虞。草案虽然尝试分立隐私权和个人信息保护规则，但后者的铺陈很大程度上还是基于前者的理论、思维和传统。欧盟法院已经开始对同意制度适用范围进行限缩，美国最高法院也对第三人理论展开批判和反思，我国立法者亦应对传统（甚至过时）理论采取审慎批判态度，并放眼于符合时代发展的新原则（例如GDPR中设立的Data Protection by Design, Accountability, Proportionality, Technology Neutrality等），如此才能真正实现对个人信息的保护。第三，草案中存在选择性定义的问题。核心概念不全，会导致适用范围不确定。当然，是否在民法典中予以定义是一个前提问题。本质上这也是《民法典》与《个人信息保护法》关系的问题。后者出台之前，前者率先亮相。二者的关系符合协调应成为下一轮《民法典》修改的重点。下文笔者将对《民法典》第四遍第六章“隐私权与个人信息保护”展开论述并提出修改建议。全文将分为理念辨析、条文评述和法域勾连三个部分。
一、理念辨析
（一）人格、隐私和数据保护
对草案条文展开论述之前，有必要对一些基本概念概括诠释。数据保护是欧盟提出的概念，与美国的隐私概念有所不同。在欧盟，数据保护作为一项基本权利有自己的发展里路，与传统的“隐私权”分立。实践中如何区分二者，如何证成新权利的附加价值，这些问题见诸于学术讨论。这些讨论可以给中国的立法提供参考，尤其是在处理隐私权和个人信息保护（权）之间的关系上。
中国采用个人信息保护的概念，似从2003年起草首部立法议案开始就一直沿用。但在定义上，《民法典》草案却效仿欧盟数据保护法中对个人数据 (personal data) 的定义。关于数据和信息的关系，有观点认为信息是数据处理的成果。数据可以是繁杂的、无序的、原始的，一般个人无法准确解读。相较而言，信息是个人可以理解的，有用的，通过对数据的处理和提炼而成。当然这只是一种理论解读，不具有规范意义。欧盟法在定义个人数据时也将其本质归纳为“信息”，因此二者在这一语境中近乎可以通用。
（二）财产与数据权属
庞大的民法体系下财产权与人格权分立，而数据保护归于人格权下。《民法典》形成之际，人格权独立成编成为了国内学界的主要议题。笔者认为，这一体例对于个人信息保护的法律属性认定也会带来深远影响。
国内近年来对数据权属的讨论此起彼伏，然而财产法的认知框架存在出多缺陷，也不符合数据保护的大势所趋。认可数据保护的人格权基础是一项立法进步，也应在未来形塑数据权属的讨论。人格的归人格，财产的归财产，《民法典》草案的相关条文可以视为对数据权属的一种背离。数据保护作为人格权的一部分意味着数据不应再被视为一种财产，保护的进路也应有别于财产权原则。这是《民法典》中增设个人信息保护条文的积极意义。
不可否认的是，数据权属的纷争对个人信息保护规则的形成所带来的影响已彰显于草案之中。个人信息保护是否属于一种权利？是否受到隐私权同等程度的保护？保护规则在多大程度上能够奏效？这些问题都未在民法典中得到澄清。鉴于人格权的独立以及隐私权和个人信息保护（权）的依附，笔者认为应该摈除数据权属带来的影响，按照人格权的发展里路重新构建第四编第六章。无论是在《民法典》还是在未来出台的《个人信息保护法》，个人信息保护应该根植于人格权，保护为先，经济和数据创新兼顾。
（二）合同与契约自由
合同与个人信息保护虽然分置两编，但二者也不无关联。第四编第六章若干条文提及了对数据处理的约定。例如，第1035条提到了数据的收集和处理“不违反双方约定”（原本应受合同编内容的调整）。第1036条规定了个人信息删除权，提及“信息控制者违反双方约定”的情形。此外，多大程度上《民法典》草案述及的同意制度可以视为一种合同形式也值得讨论。
数据保护法本质上是对契约自由的限缩。通过增设法律要求，个人信息保护规则限制企业或个人基于合同对数据进行滥用，侵犯隐私和其他人格利益。既然同一部法典中有一整编对合同行为作出统一规定，个人信息保护规则又分置于人格权编内，后者理应聚焦在合同自由之上的法律强制要求。
参考文献
[1] 李汶龙，爱丁堡大学法学院讲师，信息科技法博士，大数据与数据保护方向。[2] Comparing Privacy Laws: GDPR v. CCPA (FPF, November 2018) <https://fpf.org/wp-content/uploads/2018/11/GDPR_CCPA_Comparison-Guide.pdf>accessed 17 January 2020.[3] Alexandra Scott and Lindsey Tonsager, ‘Nevada’s New Consumer Privacy Law Departs Significantly From The California CCPA’ (Covington Inside Privacy, 10 June 2019) <https://www.insideprivacy.com/united-states/state-legislatures/nevadas-new-consumer-privacy-law-departs-significantly-from-the-california-ccpa/ >accessed 18 January 2020.[4]《欧盟基本权利宪章》第7条准确的翻译应该是尊重私生活的权利，全称为Right to Respect for Private Life；这一权利保护的范围也要比隐私宽泛许多。[5] Lee A. Bygrave, 'The Place of Privacy in Data Protection Law' (2001) 24 UNSW Law Journal 277-283. Maria Tzanou, ‘Data Protection as A Fundamental Right Next to Privacy? “Reconstructing” A Not So New Right’ (2013) 3(2) International Data Privacy Law 88-99. Orla Lynskey, ‘Deconstructing Data Protection: the ‘Added-Value’ of a Right to Data Protection in The EU Legal Order’ (2014) 63 International and Comparative Law Quarterly 569-597. Gloria González Fuster, The Emergence of Personal Data Protection as a Fundamental Right of the EU (Springer International Publishing, Law, Governance and Technology Series Vol.16, 2014). Maja Brkan, ‘The Essence of the Fundamental Rights to Privacy and Data Protection: Finding the Way Through the Maze of the CJEU’s Constitutional Reasoning’ (2019) 20 German Law Journal 864-883.仅作学习交流之用
Alvaro Castagnet
往期荐读
编辑：韩雨硕