清华申卫星详解：民法典和个人信息保护法草案如何衔接协调？

《个人信息保护法（草案）》（下称“草案”）面世后，面临的核心问题之一是其所规定的内容和《民法典》原有规定之间如何进行规范性的协调？

11月5日，第十一届中国信息安全法律大会在北京召开。清华大学法学院院长申卫星围绕这一问题，在大会“个人信息保护”分论坛上发表了题为“个人信息保护的规范协调与体系展开——从《民法典》到《个人信息保护法（草案）》”的演讲。

申卫星指出，上述问题既是立法者需要进一步回答的问题，也是未来法学研究和执法、司法的重点所在。“只有协调恰当，才能构建出一个科学的个人信息保护统一体系。”

文|白小皛 李慧琪
编辑|石莹

个人信息保护法与民法典的规定不一致，怎么办？

草案立法说明中强调，起草工作应把握权益保护的立法定位，特别是与《民法典》等有关法律规定相衔接，充实个人信息保护的制度规则。由此，申卫星提出了两个基础问题：“目前的草案与《民法典》之间在具体规范上如何衔接与协调？在规范协调的情况下，又如何进行个人信息保护的周密体系设计？”要判断如何协调两部法律之间的规定，需先确定两部法律的适用关系。而从立法时间上看，《民法典》制定在前，《个人信息保护法》制定在后，根据《立法法》规定，“新的规定与旧的规定不一致的，适用新的规定”，在二者重合的范围内，《个人信息保护法》的规定应当优先适用。

个人信息保护法与民法典的规范如何协调？

《个人信息保护法》与《民法典》之间的规范需要协调的主要原因，即为二者出现了不少针对“同一事项”的规定，比如个人信息的定义就在两部法律中有着不同的表述。

申卫星提到，《个人信息保护法》将定义从《民法典》的“识别说”拓展到“关联说”，并排除“匿名化信息”，总体而言扩大了个人信息保护的范围。

就拓展的理由，申卫星分析道，“个人信息保护法的定位是对个人信息进行保护的综合立法，它的保护手段包括但不限于民法中的授权，还包括行政处分。如果充实这些内容，我觉得个人信息保护范围的扩大不无道理。”

此外，两部法律对不完全行为能力人同意问题的定义与规定也存在差异。

《民法典》中要求行为能力不健全的自然人，不论成年与否均只能由其监护人同意。在草案中，上述主体则被具体化为“不满十四周岁的未成年人”，并不包括行为能力不健全的成年人。

“十四岁到十八岁之间的未成年人怎么办？”申卫星提出疑问，“这一部分未成年人是可以本人同意还是需要其监护人同意，立法者最好给出更明确的回答。”

除以上两个问题外，申卫星还提到，两部法律中关于个人信息的委托处理规定也值得进一步讨论。

草案第22条规定，个人信息处理者委托处理个人信息的，应当与受托方约定委托处理的目的、处理方式、个人信息的种类、保护措施以及双方的权利和义务等。并对受托方的个人信息处理活动进行监督。同时规定，未经个人信息处理者同意，受托方不得转委托他人处理个人信息。

“它没有明确在转委托时要不要得到信息来源主体的同意。”申卫星指出，“这也是立法中有必要解决的问题。”此外，据草案，受托者因不能“自主决定”个人信息处理事项，故不属于信息处理者，“告知—同意”的详细规则也无法适用。

而在《民法典》中，除有效的委托合同外，受托人处理个人信息需取得信息主体或其监护人的同意。“为了充分保护信息主体的个人信息权益，我觉得应该将委托处理纳入知情同意原则”，他表示。

个人信息保护的周密体系如何设计？

在规范协调了《个人信息保护法》与《民法典》等相关法律之后，又该如何进行个人信息保护的周密体系设计呢？换言之，草案如何在个人信息保护体系上对《民法典》作出进一步的发展呢？

“从《民法典》到《个人信息保护法》，其实都在变化的过程当中，在立法中进一步强化和细化对个人信息的保护。”申卫星说。

据草案总则第一条，立法目的是为了保护个人信息权益，规范个人信息处理活动，保障个人信息依法有序自由流动，促进个人信息合理利用。申卫星对此持肯定态度，他表示，“既要保护个人信息，更应该促进个人信息包括自由流通在内的利用，这是很必要的。”

他还将视线聚焦于法律对私密信息和敏感信息的定义和规定。“敏感信息的范围可能要比私密信息宽一些”，据《民法典》，私密信息被定义为具有“不愿为他人知晓”的性质，而草案将敏感个人信息定义为“一旦泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息”。

“我觉得要表扬《个人信息保护法》对敏感信息判断的基准，就是信息泄露导致的歧视问题，这是最核心的。”申卫星称，“这种敏感信息的敏感度就在于它本身会产生歧视。”

他还提出，敏感信息要不要受到与私密信息同等的保护程度，是值得思考的问题。私密信息在《民法典》中被纳入隐私保护的范围，而隐私的保护标准是最高的。同时，作为一项民事权利，它的要求是必须明确的。

相似的，草案中规定敏感信息是需要单独同意的。申卫星表示，“这所体现的就是敏感信息较高的保护标准。所以在敏感信息上，要明确目的和使用的充分必要性，同时强化告知义务和同意要求。”