个人信息权的图书馆例外规则*

陈 杰 （天津科技大学法政学院 天津 300222）

1 个人信息权保护与图书馆的侵权风险

个人信息权，是指自然人依法对其本人的个人信息所享有的支配并排除他人侵害的人格权[1]。其内容非常广泛，可以包括信息决定权、信息保密权、信息更正权、信息删除权（被遗忘权）等。这里的个人信息是指与特定个人相关联、反映个体特征的、具有可识别性的符号系统，包括个人身份、家庭、工作、财产、健康、性别、身高、宗教信仰、消费习惯等信息[2]。个人信息与权利人的名誉、姓名、肖像、隐私等人格要素密切相连，涉及权利人较多的人格利益。随着互联网等技术的发展，个人信息权的保护需求日益迫切。徐玉玉案中被害人因个人信息泄露而被诈骗数万元致死，这更是让个人信息权的保护成为社会关注的焦点[3]。因此，《中华人民共和国民法总则》（以下简称《民法总则》）第111条对个人信息权进行了专门规定：“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”《民法总则》第111条是我国个人信息权的一般条款，是对权利人个人信息权的全面保护。同时《消费者权益保护法》《网络安全法》等特别法在消费者权益保护、网络安全等易于侵害个人信息的领域规定了个人信息权保护的具体内容。总体而言，近年来我国个人信息权的保护正迅速兴起。

我国目前对图书馆与个人信息权关系的研究主要集中在图书馆对读者信息的收集、利用等方面的保护。2018年开始实施的《中华人民共和国公共图书馆法》第43条规定:“公共图书馆应当妥善保护读者的个人信息、借阅信息以及其他可能涉及读者隐私的信息，不得出售或者以其他方式非法向他人提供。”学界因此往往更加关注图书馆对个人信息权的保护，但对个人信息权保护的图书馆例外规则研究较少。“凡权利皆受限制”[4]，个人信息权也不例外。这既是实现权利保护目的的需要，也是个人权益和社会公益平衡的需要。但《民法总则》第111条个人信息权条款中只规定了个人信息权的保护，没有明确对个人信息权的限制。该条同时规定了第三人的义务，包括依法获取和使用、保密等义务。从该义务条款的反对解释①出发，可以解释为只要第三人获取、使用个人信息的行为是合法的，就不视为侵犯个人信息权。故也可以认为，个人信息权的限制为第三人合法行为。但合法性判断本身就是一个笼统的判断，在具体案件中，往往依赖于大量的民商事习惯和先行判决。这种笼统、模糊的例外规则无疑增加了不特定第三人尊重和规避个人信息权的避让成本和相应的法律风险。这种成本和风险对与信息、文化密切相关的民事主体尤为明显。

图书馆、档案馆、美术馆、纪念馆、博物馆等机构承担着文化保存、信息提供等社会职能。在文化保存和信息提供的过程中，难免会面临他人信息的保护问题。图书馆等机构为了文化保存和信息提供之需，获取、使用或公开他人个人信息时，法律并没有事先予以合法性的评价。所以当图书馆等机构的文化保存、信息提供的职能与个人信息权冲突时，图书馆等机构就会面临侵犯个人信息权的法律风险。

最常见的规避侵权风险的方法是权利人同意，即“自愿阻却违法”。《中华人民共和国消费者权益保护法》《中华人民共和国网络安全法》等规范性法律文件将自愿作为侵害个人信息权的违法性阻却事由。《中华人民共和国消费者权益保护法》第29条规定，经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意；《中华人民共和国网络安全法》第42条规定，网络运营者未经被收集者同意，不得向他人提供个人信息。

除了权利人事先同意，我国尚无明确的个人信息权保护的例外规则。所以，图书馆等机构在履行其职能时，收集、使用、公开他人的个人信息，最稳妥的方式是经过权利人事先同意。但图书馆等机构在征得权利人事先同意的成本方面远高于经营者、网络运营者等机构。经营者、网络运营者等机构可以将权利人同意作为其提供服务或提供优惠的先决条件，通过格式合同和格式条款来减少交易成本。在某些方面，图书馆等机构确实存在类似情况，诸如采取为读者办理借阅证等方式，通过格式合同和格式条款征得读者的事先同意。但在很多情况下，图书馆、档案馆等机构难以一一征得事先同意，诸如作品版本保存中涉及的作者信息、录音录像制品中涉及的个人信息、档案中涉及的个人信息、照片手稿等展品中涉及的个人信息等。这些个人信息一方面是当事人个人信息权所保护的范围，另一方面基于公益目的的图书馆等机构需要进行保存，甚至需要向读者、观众等不特定第三人提供。在难以一一征得事先同意的前提下，图书馆等机构将面临个人信息权保护带来的法律风险。此外，个人信息权包括信息删除权，而重要信息的删除也会影响到图书馆、档案馆的文化保存职能的实现，二者之间也存在法律上的冲突。

2 个人信息权保护的图书馆例外

图书馆、档案馆、美术馆、纪念馆、博物馆等机构在履行其文化保存、信息提供的社会职能时，往往会进行大量的信息收集和处理，这些信息可能是受个人信息权保护的个人信息，也可能是受知识产权保护的商业秘密、作品等信息。基于图书馆等机构的公益目的，法律往往对图书馆等机构获取、使用、保存、公开信息的行为予以一定的侵权豁免，即构成权利保护的图书馆例外规则。例如，《中华人民共和国著作权法》（以下简称《著作权法》）第22条第（8）项规定“图书馆、档案馆、纪念馆、博物馆、美术馆等为陈列或者保存版本的需要，复制本馆收藏的作品”，不视为侵犯著作权。美国著作权法第108条的规定更为繁杂，规定了图书馆、档案馆及其工作人员的符合法定条件的复制、提供等行为不视为侵犯著作权[5]。图书馆例外条款已经成为一种权利保护常见的例外情形。

个人信息权属于人格权。基于公益目的，人格权的保护也存在一定克减和限制的情形，以避免人格权的滥用。例如，德国《艺术与摄影作品著作权法》第23条规定，历史人物、偶然被摄入电影的人物等人的肖像可以未经肖像权人同意而使用、公开[6]；德国《联邦数据保护法》第40条规定，研究机构可以基于科学研究目的搜集、存储、使用个人信息[7]；英国1984年制定《数据保护法》并于1998年进行修订以完善个人信息权的保护，但该法第4部分单独规定了个人信息权保护的例外，包括国家安全、犯罪与税收、健康、教育、文学艺术、历史统计、家庭使用等情形[8]；日本2015年颁布的《个人信息保护法》第76条规定，新闻报道、作品著述、学术研究、宗教活动等情形属于个人信息权保护的例外[9]。我国学者齐爱民教授草拟的《个人信息保护法》（专家建议稿）中也将保护公共利益作为个人信息保护的例外规则[10]。总体而言，虽然个人信息权保护越发严格，但公益目的常被作为个人信息权保护的例外。其中，图书馆、档案馆等机构为了实现其文化保存、信息提供等功能，本身就具备公益属性，具有足够的正当性作为个人信息权保护的例外。例如，英国《数据保护法》第33条将统计和历史目的作为科研目的的例外，进而规定了一系列图书馆、档案馆等机构的例外规则，诸如这些个人信息可以被永久保留，权利人无权要求删除[8]。美国几乎所有的州都列举了图书馆例外的情形，如图书馆在去掉能够识别出具体个人的信息情况下，可以提交图书馆运作流通量等信息；为了追回逾期罚款或丢失的图书，可以提交相应个人信息[11]。加拿大图书馆也会基于维持图书馆服务的目的，披露相关的个人信息[12]。

所以，在保护个人信息权呼声日益高涨的社会背景下，我们不宜忽视图书馆、档案馆等机构为了履行其职能所需要的一系列例外规则。基于公益目的，在个人信息权被保护的同时，保留图书馆等机构的一定范围的例外十分有必要。近年来，我国也有不少专家学者建议制定《个人信息保护法》，但研究成果中有关图书馆等机构的例外规则又往往不够明确，所以本文对个人信息保护中的图书馆例外规则提出相应的立法建议。

3 图书馆例外规则的立法建议

为了保障图书馆等机构正常职能的履行，需要对个人信息权的保护设计一定的例外规则。这些例外规则可以是抽象、原则性的规定，也可以是明确、具体的规定。抽象、原则性的规定往往具有较大的弹性，可以更好地适应经济社会的变迁，但法律适用时会有较大的不确定性，难以给予当事人较准确的行为预期。例如，可以笼统地规定，图书馆等机构为履行其法定职责，获取、使用、披露、删除个人信息的，不视为侵犯个人信息权；图书馆等机构以履行其文化保存、信息提供等职责为目的实施的行为可以排除在个人信息权保护范围之外。但是在具体案件中，往往不得不依赖较多的行业惯例来判断图书馆等机构的权益和个人信息保护之间的界限，也因此会遗留较多问题，诸如图书馆是否应当保留读者检索、借阅的信息；图书馆等机构永久保存艺术品相关个人信息是否需要经过权利人同意；图书馆等机构所获取的个人信息中，哪些需要经过权利人同意，哪些可以不需要经过权利人同意；哪些机构可以属于图书馆、档案馆等机构，哪些机构不属于这类机构。所以，从立法技术上，本文建议对可以预见的这类问题事先进行明确规定，最大程度上减少法律调整的社会成本，同时留下一定的兜底条款。这样既保证了个人信息权保护例外条款的弹性，又减少了法律适用的模糊性。

首先是图书馆等机构的主体限定方面。对个人信息权的保护进行例外规定一般具有公益目的，而公益目的也常常体现在主体的限定方面。例如，法国知识产权法典L.133条所规定的图书馆条款仅限于向公众开放的图书馆。而美国的图书馆例外条款一般要求图书馆具有公共性。这种限定的目的在于排除私人图书馆。易言之，如果图书馆等机构与社会公益无关，也就没有进行特别规定的必要。所以，我国的图书馆例外条款也应当要求其公共性。此外，在图书馆等机构的界定方面可以有列举式和概括式两种方式，列举式就是明确列举这类机构的外延，如我国《著作权法》第22条第（8）项列举的图书馆、档案馆、纪念馆、博物馆、美术馆等。概括式就是概括出上述机构的共性，诸如将图书馆、档案馆等机构界定为文化保存机构或者教育文史机构等。从减少法律适用的成本和我国通俗化的立法传统出发，本文建议沿用《著作权法》第22条第（8）项的立法技术，通过列举来进行主体的限定。所以，本文建议将图书馆例外条款中的主体部分限定为“公共性的图书馆、档案馆、纪念馆、博物馆、美术馆等”。

其次是个人信息的获取方面。与有体物②的占有不同，信息可以被不同主体同时获取，他人获取之后的使用、披露等行为权利人往往难以控制。所以，在形式上权利人对个人信息的控制集中体现在禁止他人获取方面。权利人的个人信息区分为两类：第一类是权利人作为个人隐私保护的个人信息，包括个人的手机号、邮箱、家庭住址等信息。这类信息具有非公开性，他人无法从公开渠道获得。所以，图书馆等机构获取这类信息，需要经过权利人的同意，并附有保密义务。这类信息主要为图书馆等机构为了管理和统计的便利获取的读者个人信息，与权利人个人利益密切相关，与公益图书馆职能关系较小，所以往往对应更严格的保护规则。第二类是可以通过公开途径获得的个人信息，包括作品作者信息、艺术品相关个人信息、电影中人物形象、个人先进事迹等。其中，公开途径包括网络、出版物、展览会、发布会、新闻报道等。这些个人信息本身不属于隐私，不特定第三人可以自由获取，所以此类信息往往更接近于公益，与权利人个人利益关系较少，保护也较为宽松，无需经过权利人同意，图书馆等机构就可以通过公开途径获得。此类信息的获取、使用等行为中，图书馆等机构的主要责任在于保证信息的真实和完整。

第三是个人信息的使用和披露方面。从个人信息的保护方面，学界理论上通常对图书馆等机构使用个人信息有如下3个要求：首先是该信息获得的途径合法，通过非法途径获得的个人信息往往禁止使用；其次是使用不得超过正当目的所需，只有在图书馆等机构履行本身职能所需的范围内使用个人信息才具有正当性；最后是符合比例原则，不应对权利人造成不合理的损害，如使用图书馆读者数量等信息时，无需提供具体读者的个人信息，提供了具体读者的个人信息则造成了不应有的损害。披露也可以视为是一种使用信息的方式。图书馆等机构为了履行其职能，往往需要披露一定的信息，如为了追回逾期未归还的图书，图书馆往往可以未经借阅人同意披露其相关信息，以保障图书的归还。但这种披露的信息也需符合前述的3个要求。如上文所述，个人信息可以分为隐私和公开两类，对于个人隐私而言，这些信息披露往往需要受到较严格的限制；对于公开信息而言，这类信息的披露往往较为宽松。例如，手稿、书信等物品涉及当事人隐私，故其作为展品往往在期限上要求权利人去世若干年；但当事人已经公开的个人英雄事迹等个人信息则一般无期限上的要求。

第四是个人信息的删除方面。随着时代的发展，“被遗忘权”等权利逐步成为个人信息权的内容，即信息删除权。图书馆等机构在处理大量个人信息时，难免会遇到信息删除等内容，所以图书馆例外条款应当具有信息删除权例外的相应内容，以对抗权利人信息删除权的行使。这种例外包括两个方面：其一是图书馆等机构依据行业管理删除个人信息的情况。从运营的实际情况出发，图书馆等机构不可能永久保存全部个人信息，大量无用的个人信息往往在一定期限后被删除，诸如读者查询文献的记录、借阅记录、馆内的监控录像等。这类信息的保存和删除往往有一定的行业规范，同时对权利人影响较小，所以从维系图书馆等机构的实际运营出发，其需要依据行业惯例保存和删除个人信息。其二是图书馆、档案馆等机构基于公益目的长期保存个人信息的情况。例如，档案馆中对个人档案等个人信息的保存，博物馆、美术馆中对艺术品相关个人信息的保存，纪念馆中对个人先进事迹、个人肖像等个人信息的保存等情况。图书馆等机构对这些个人信息的长期保存具备较多公益目的，不宜依据权利人的要求而删除。

最后是兜底条款。随着经济社会生活的发展，图书馆等机构为了履行其职责往往还会产生新的权利保护的例外需求，所以从法律调整的弹性出发，应当规定一定的兜底条款。只要是与前述情形近似，是图书馆等机构在其履行职责需要使用他人个人信息的情形，都可以通过法院事后裁判归入图书馆例外条款之中。

4 结 语

随着《民法总则》的实施，个人信息权的保护逐渐成为理论研究和生活实务的热点。作为公益事业机构的图书馆、档案馆、纪念馆、博物馆、美术馆等对个人信息有着大量的收集、使用等需求。从维系公益目的出发，个人信息权的保护应当设立一定的图书馆例外条款，以保障图书馆等机构维系正常职能的正当需求。所以，在民法典制定之际，本文建议在个人信息权保护的基础上明确规定图书馆例外条款，包括明确图书馆等机构的范围、明确个人信息获取的条件、使用披露以及删除个人信息的相关要求、兜底条款等内容。

注 释：

①反对解释，是法律解释中的常见解释方法，是指通过法律条文的正面表述，推知其反面含义的解释方法。

②有体物，是指占有一定空间能为人所支配并且满足人某种需要的物质对象。

[1]杨立新.中华人民共和国民法总则要义与案例解读[M].北京:中国法制出版社,2017:414.

[2]王利明.中华人民共和国民法总则详解[M].北京:中国法制出版社,2017:456.

[3]沈寅飞.徐玉玉案调查[N].检察日报,2016-10-12(5).

[4]王泽鉴.民法总则[M].北京:北京大学出版社,2009:520.

[5]陈 杰.美国版权法图书馆例外条款的借鉴[J].图书馆,2017(9):55-60.

[6]马 特,袁雪石.人格权法教程[M].北京:中国人民大学出版社,2007: 70.

[7]Bundesdatenschutgesetz(BDSG) §40 Verarbeitung und Nutzung Personenbezogener Daten durch Forschwngseinrichtungen[EB/OL].[2017-12-16].http://www.gesetze-im-internet.de/bdsg_1990/__40.html.

[8]Data Protection Act 1998 [EB/OL].[2017-12-26].http://www.legislation.gov.uk/ukpga/1998/29/contents.

[9]个人情报の保护にする法律(平成15年5月30日法律第57号)[EB/OL].[2017-12-16].https://www.ppc.go.jp/personal/legal/.

[10]齐爱民.中华人民共和国个人信息保护法示范法草案学者建议稿[J].河北法学,2005(6):2-5.

[11]赵力沙.图书馆保护个人信息初探——美国个人信息保护法概述[C]//中国图书馆学会2007年年会论文集,北京:北京图书馆出版社,2007:95-101.

[12]唐开敏,郑晰少.加拿大图书馆个人信息保护政策研究[J].情报资料工作,2010(6):38-40.