人格权体系中的个人信息保护研究

刘康乐

（武汉大学，湖北 武汉 430000）

个人信息（personal information）是指一切直接或间接与一个明确可识别的自然人有关的信息。①个人信息又称为个人数据、个人资料等，虽称谓不同但含义差异不大。有鉴于大数据时代个人信息遭受侵犯的现象层出不穷，2017年10月1日实施的 《民法总则》于第111条将对个人信息的保护纳入其中。立法初衷虽可理解，然而对于个人信息在民法典中的定位，仍有探讨的余地。

一、个人信息性质的私法定位

权利以其标的物为标准，可以分为非财产权与财产权，前者以人格权为典型，尚包括身份权；后者指具有经济利益的权利，有债权、物权、无体财产权之分。[1]69个人信息究应置于非财产权或财产权之下进行保护，理论上存在争议。以波斯纳（Richard Posner）为代表的学者主张将其纳入财产权的保护范畴，并通过经济学的视角加以论证。[2]235;[3]从体系上看，《民法总则》第110条及第112条所规定的，是生命权、身体权等典型的人格权以及因身份关系产生的身份权，而个人信息保护居于其间，似乎是将个人信息纳入到非财产权的体系下，并且更贴近人格权。而就个人信息本身而言，其与人格尊严、自由和独立息息相关，它与生俱来，并随着人格的发展而逐渐丰富；除此之外，个人信息具有识别性，对其随意的收集处理将使个人完全暴露于他人视野中，其自主性将荡然无存。由此观之，立法对于个人信息的非财产权定位尚属准确，然而该条在人格权体系中仍然显得突兀，造成了解释与适用的混乱。

（一）个人信息无法纳入具体人格权

以王利明教授为代表的学者主张对个人信息的保护应以具体人格权的形式开展，赋予自然人以“个人信息权”。[4]个人信息权以德国法上所谓的信息自决权（das Recht auf informationelle Selbstbestimmung）为滥觞，意指个人依照法律控制自己的个人信息并决定是否被收集和利用的权利。在信息自决权的语境中，所有的个人信息皆与人格尊严相关，任由他人收集处理将使个人处于受他人支配的地位而沦为客体，因此有必要赋予个人对于其信息以控制权或支配权，始能实现人的自由发展。这种权利也是《基本法》上的基本权，不仅可以对抗国家行为，也可以影响私人行为。[5]信息自决权的确立是法院造法的成果，最为重要的判例是“人口普查案”②。于该案中，德国联邦宪法法院认为个人对于其信息是否为他人知晓或利用有自由决定的权利，并且此项权利是《基本法》第1条第1款和第2条第1款能够推导出的基本权利。我国学者以此判例为基础，似认为德国联邦宪法法院创造出了一种新的具体人格权，[6]我国应加以继受，然而这种认识似乎与对上述判决的理解有所偏差。

德国于上世纪六七十年代同样面临个人信息保护的困境，由于法典中缺乏对于个人信息保护的具体规定，如何认定人格权在私人生活的具体边界成为讨论的焦点。首先提出的是领域理论 （Spha¨rentheorie），即将个人生活分为隐秘领域（Intimspha¨re）、秘密领域（Geheimspha¨re）及个人领域（Individual-sph a¨re），以同心圆模式对于私人生活给予保护。[7]198-199居于核心领域的个人生活领域受到最高程度的保护，而随着同心圆向外发散保护力度逐渐减弱。然而领域理论本身过于模糊，因此受到诸多学者的批判，随后提出的是所谓的自我表现理论 （die Selbstdarstellung Theorie），即人格通过作为主体的人的行为表现体现出来，作为社会的个体，人的行为不仅对外部环境造成影响，同时又受到外部环境的作用，而这一相互的过程以个人信息为纽带，因此个人信息的传导应当是独立自主的，否则人格难以得到独立的发展，[8]信息自决由此应运而生。易言之，信息自决的产生系对于领域理论本身模糊性的修正与发展，它用以具体界定个人私生活领域受保护的范围，可谓是德国法上隐私权的发展由领域理论向信息自决的过渡，然而如不加以区分而直接继受，其后果可想而知：我们不仅在理论上，在立法中也区分了个人信息与隐私，[4]贸然规定一项个人信息权，实际上又将两者混为一谈。

再者，具体到案件的背景，信息自决的确立是针对国家公权力的信息收集行为。无独有偶，于美国信息隐私的确立也是针对政府的信息记录与存储行为。③将对抗国家公权的行为直接纳入私法领域显然是不妥当的，最直接的问题就在于个人信息的外延太过于广泛。将个人信息以个人信息权的模式加以保护，首先需要解决的就是这种权利的边界如何。权利的边界对于权利主体而言意味着自由，对于他人而言则意味着自由应止步之处。个人信息的外延不仅包含了姓名、肖像、隐私等既有的具体人格要素，将其承认为一种具体人格权容易导致人格权体系内部的矛盾与冲突；其暧昧不清的边界亦将不当限制他人自由行为的范围。正因为如此，在德国，法院的裁判也没有承认所谓的支配性的个人信息自决权，即使日后出台的《联邦个人信息保护法》也只被认为是《德国民法典》第823条第2款中“保护他人为目的的法律”，与将个人信息自决权认为是第1款中的“其他权利”大异旨趣。

（二）人格权立法无需规定一般人格权

如无法纳入具体人格权的范畴，是否可以将其纳入一般人格权的保护范围呢？一般人格权系德国民法为弥补成文法典范式对于人格利益保护之不足而经由法院造法确立。德国民法制定之初，囿于康德哲学观以及萨维尼的权利观，对于人格权未设一般规定，因德民对于权利的构建系以所有权为核心，而人格权被认为以自己的人格为内容，并无可支配的客体，如若承认人格权，将违反“人为目的而非工具”的价值取向。最后，德民仅有关于姓名权的规定，第823条第1款的 “生命、身体、健康”等均为法益（Rechtsgut），并非是具体人格权。[7]273-274然而，随着时代的发展，尤其是经历了“二战”对人格的践踏，对人格利益保护的呼声愈演愈烈。学理上对权利观念的改变，认为权利是特定利益的法律上之力，加上德国法院也经过百年造法，一般人格权得以产生并身兼双重职能：一为权利束的作用，为经具体确立的人格利益提供正当性基础；一为典型的权利，未经具体化的人格利益得以一般人格权为基础受到侵权行为的保护。[9]

一般人格权以《德国基本法》第1条第1款与第2条第1款的人之尊严不可侵性与人格自由发展为价值基础；除此之外，单以人格自由发展，德国宪法又创造出“一般行为自由”的基本权利。我国《宪法》第38条亦有人格尊严的规定，第37条又有人身自由的规定，能否以此为基础来移花接木呢？人之尊严与人格尊严虽一字之差，却失之千里。前者系认为尊严来自于人本身，它关注的是人的个体，具有普遍主义；后者认为尊严源于人格，然而人格以理性与道德能力为前提，关注的是人的社会本质。[10]而人身自由与 《德国基本法》中的人格自由发展含义显然不一致。虽然《民法总则》第109条规定自然人的人身自由、人格尊严受法律保护，然而以此作为一般人格权的依据，从涵摄的功能上讲，显然较德民的一般人格权较窄，二者之作用，不可同日而语。

从第111条后段的解释上来看，强调无论个人信息的收集、使用、加工与传输均需“依法”而为，除涉及公法上的关系，在平等的民事主体间，似以合意为前提。如《保险法》中保险人的保密义务虽为法定（《保险法》第32条），然而从契约角度而言，保险人获取个人信息以合同为之，其保密义务亦为契约上的附随义务；再如《律师法》第33条规定的保密义务亦可做相同解释；2012年全国人民代表大会常委会通过的 《关于加强网络信息保护的决定》第2条规定，个人信息收集者应取得被收集者的同意。由此而言，似乎是指个人对于其信息有决定是否被他人收集、利用以及如何利用的自由，得以为一般行为自由所包容，此与一般人格权尚属有别。

实际上一般人格权的创设被认为是违反逻辑体系的，其与具体人格权共同构成人格权的项下内容，却有重叠部分，此从一般人格权的双重功能即可发现。[11]一般人格权的创设系立法之初不承认人格权，而侵权行为又采取权利的保护模式，其本身可被称为德国民法上的“阿克琉斯之踵”；而在我国不仅各具体人格权得到了详细规定，并且《侵权责任法》从语义上也并未继受德民的权利保护模式。不承认一般人格权反而符合我国的人格权的架构，将个人信息纳入一般人格权的保护自属多此一举。

（三）个人信息于人格权体系的应然定位

如果将个人信息以一种权利的模式进行保护，它的权利范围可以包括隐私权、姓名权、肖像权等具体人格权，在功能上有重合之处，因此值得商榷。在我国人格权构建体系下，既需要已经成熟的具体人格权的规定，又需要能够发挥德国法上一般人格权造法功能的概念，以应对日益发展的人格观念。对个人信息的保护是信息时代的必然要求，在 《民法总则》民事权利一节，从解释上看，个人信息并不属于前条规定的“等权利”，立法者未径以“个人信息权”冠之，似有意而为。个人信息，借用《侵权责任法》的术语，应归入“等人身权益”的范畴，即以“其他人格利益”进行保护，用以“其他人格利益”的概念发挥广泛的涵摄作用。[9]在个人信息的内容符合姓名权、肖像权、隐私权等具体人格权的内容时，以具体人格权的规定加以保护；不能解释为具体人格权时，如认为有保护的必要，以“其他人格利益”进行保护。《民法总则》第111条虽注意到个人信息保护的急迫性，但忽略了条文之间的体系化，此种结果，似立法机关急功近利所致。

于《民法总则》出台前，对于个人信息的保护，我国司法多以隐私权为之。④于庞某某与北京趣拿信息技术有限公司等隐私权纠纷上诉案（(2017)京01民终509号）中，法院认为：在对个人信息进行保护的思路上，各国却有不同看法，无论对于个人信息的保护思路有如何的分歧，都不应妨碍对个人信息在个案中进行具体的保护。基于此，将姓名、手机号和行程信息结合起来的信息归入个人隐私进行一体保护，也符合信息时代个人隐私、个人信息电子化的趋势。然而，个人信息与隐私等诸概念有所不同，《民法总则》正本清源，但未兼顾体系，日后应有修改必要。因此，《民法总则》的规定，仅能认为是分则各编以及单行法出台之前对个人信息保护的最低限度。

二、个人信息的财产性利用进路

信息的价值在于交换，无论是对于人格的实现与发展，或对于民主社会的构建，信息的流转均发挥着重要的媒介作用。因此，个人信息不仅承载着一定的人格利益，还含有丰富的商业价值。然而囿于传统的人格权与财产权二分的权利体系，对于个人信息的侵害如若认为系一种人格利益受损，则对其赔偿主要采取精神损害赔偿的方式，而价值更大的财产利益往往遭受忽略。对此，如何对于个人信息的财产价值予以保护，比较法上美国与德国的实践可供参考。

（一）美国模式：公开权（the Right of Publicity）的创设

公开权的创设系美国隐私权对于名人或具有新闻价值的人保护不足的结果。由于此类人物的个人形象已广泛人知，因此进一步的传播并不会导致任何的隐私侵犯。[12]然而，1953年Haelan Labs.,Inc.v.Topps Chewing Gum,Inc.⑤一案中，原告基于一棒球运动员同意获得其姓名、肖像的专属使用权利，其后该运动员将该权利让与其经纪人，经纪人复让与被告，原被告均于各自产品上使用该运动员的姓名、肖像。Frank法官认为隐私权并不保护商业价值，但于隐私权之外个人具有公开其肖像的权利，例如专属授权他人得公开其肖像，并径以公开权称之。随后Nimmer氏即撰文对此表示赞同，他认为公开权本身具有经济合理性，人的姓名、肖像等个人特征本身即包含一定的商业价值，然而无论是隐私权、不正当竞争或其他法律都难以对此种价值进行保护。[13]联邦最高法院于Zacchini v.Scripps-Howard Broadcasting Co.⑥一案中，多次使用公开权（the Right of Publicity）的术语，并承认其是一项既有的法定原则（tenet），得独立于隐私权受到法律保护。

公开权系根植于人本身的对其个性和特点（identity）的商业利用进行控制的权利。[14]它是一种独立于隐私权的财产权，为提起公开权的诉讼，原告需证明对于其特征或形象有一项可强制执行的权利，被告未经允许利用了上述可识别的特征或形象，并造成了商业价值的损害。公开权保护的范围，不仅包括姓名、肖像等常见人格利益的商业价值，还包括声音⑦、角色⑧、可识别的服装或习惯⑨等，其范围之广难以列举。并且，非由于公开权的创设系补足隐私权对于名人保护的不足，仅名人享有公开权，判例学说均认为公开权的权利主体为所有人，它被视为一种知识产权，得为继承与转让，与一般财产权无异。

（二）德国模式：人格权的扩张

与美国为解决人格利益商品化问题而创设公开权不同，德国虽面临同样的困境，但并未遵循这一实用主义的思路，而是在既有的人格权体系下，承认人格权并不排斥财产利益的方法解决问题，即扩张人格权，使之兼容人格利益与财产利益。大陆法系传统思维坚持人格权与财产权二分，否认人格权的财产属性。但随着音像、录影技术发展，人的肖像及其他人格要素得脱离人之本体而存在，并用于商业用途。固守传统见解难以应对新形式的人格权侵害行为，因此于Paul Dahlke一案，法院就被告未经允许于广告中利用原告肖像肯定了肖像权系具有财产价值的排他性权利。⑩更于Nena Case⑪及Marlene Dietrich案⑫承认了此种财产利益可以继承。德国民法认为，人格权犹如树的茎干，精神利益与财产利益则为树根，二者具有同等价值，同受保护。[7]302

同样遵循德国模式的还有大陆法系代表的日本，于“麦克莱斯塔案”中，法院认为个人对自己的姓名或肖像拥有以获取对价为条件让第三者专用的利益，此种利益并非一项独立的权利，而系姓名权或肖像权的组成部分。[15]141-145

（三）我国的抉择

美国模式与德国模式所反映出的思维模式大相径庭，前者注重个人自由，后者关注人格尊严，[16]前者更为实用主义，后者更关注体系。二者于本土法域内均发挥着重要作用，无所谓优劣，因此我国学者也径分为两派观点。笔者认为，无论是继受何种模式，都需要兼顾到本国既有的法律体系，否则将导致既有体系的错乱，反而得不偿失。

美国采最大隐私权概念，无所谓具体人格权，因此与其对应的公开权要求个人的特征或特定具有可识别性（identifiable），此与个人信息颇为相似，能否以此为契机创设所谓的个人信息利用权？如果肯定，那么这种利用权应当如何定性呢？于美国，公开权被认为属于一种知识产权，理由在于个人对其姓名、肖像等付出时间及劳动加以经营，创造出无形的智力劳动成果，因此在判断侵权时也遵循知识产权侵权的思路进行。⑬然而于我国，个人信息并不完全符合知识产权客体的特征，因此这种新型的财产权利将栖身于何处，反而是不得不解决的另一大困境；学者有建议置于人格权编中，[17]这反而与其不承认人格权财产利益的初衷有所冲突。此外，个人信息本身外延十分丰富，在其上设立利用权，运用财产权的模式进行保护，能否完全适用财产权的规则仍存在疑问。例如在离婚与破产领域，公开权能否进行分配在美国即存在争议。[18]更为重要的是，个人信息所体现的人格利益与财产利益彼此间本身就相互纠缠，难以完全切割，如将对财产利益的保护独立出来，对于个人信息的保护反而可能并不周全。⑭对个人信息的利用本身即以个人信息的人格特质为前提，独立的利用权并未窥视到个人信息价值的全貌，忽略了同样重要的人格尊严成分。

对于个人信息的利用，无非就是将其中的使用价值通过让位使用等方式转化为具有流通性财产利益，进而为权利人现实享有。[19]这一目的的实现能否于人格权体系内部完成，应视人格权是否具有财产价值。人格权的专属性及不可转让性并不排斥其财产价值，财产价值的权利并不以可转让为前提。⑮个人信息的利用本身并非将个人信息让渡出去，个人信息虽为他人使用，然而仍指向该具体的个人，与本人的联系并未切断。对个人信息的利用，不仅并未损及人格尊严，反而有利于个人的目的实现，即个人的经济自主对于其人格自由发展有深远意义。[7]296据此，德国模式不至于对人格权体系造成过大冲击，同时有利于我们反思人格权与财产权的区分实质，就体系化而言，于我国人格权体系下更为妥适。

三、既有民法体系保护的不足与应对

《民法总则》确立了个人信息应当受到保护，但对其定位并未明确，学说上亦有争议，笔者认为应当将其归入“其他人格利益”进行保护；《侵权责任法》第20条就侵害人身权益造成财产损害赔偿作出规定，其获利剥夺（Gewinnabscho¨pfung）颇有承认人格权上财产利益之意味。就此而言，现有民法体系下对于个人信息保护主要有以下方面：总则部分对于个人信息的宣示性保护；合同法上的保护义务、无因管理、不当得利以及侵权行为的保护。

（一）既有体系保护的不足

《民法总则》中确立了对个人信息保护的一般标准，与“民事责任”部分停止侵害等责任承担方式相结合颇有人格权请求权之意味。合同法上保护义务于德国称为与给付无关之附随义务，[20]127-128如甲雇佣乙打扫，乙将得知甲的个人信息出卖于他人即构成保护义务违反。无因管理中的不法管理[21]332-333与不当得利中的权益侵害型不当得利[22]141-142着重于对个人信息的财产价值进行保护，侵权行为则兼有之，即人格利益与财产利益均予以保护。但以上保护模式具有以下不足之处：

1.重救济，非行权。人格权起初被视为一种消极防御性的权利，用于抵御他人的不法侵害，随着近代科技发展人格权中的商业价值被发现，此消极防御性权利开始转向积极利用型权利。个人信息在其中更是突显其利用的价值，不仅对于活络言论自由，构建民主社会具有积极意义，对于保障国家安全同样发挥着重要作用[23]。个人信息的主体如何去积极利用其信息，于现行法上仅有“意思自治”原则可供参考。

2.与国际立法衔接不足。个人信息的利用不仅局限于一国的领域，随着电子商务的开展及跨国贸易的活跃，个人信息的利用呈现出全球化的趋势，其根源在于个人信息本身具有极强的流动性。与世界诸多国家均有较成熟的个人信息保护立法不同，我国在此领域一直未能取得重大突破；诸多国内立法（如《侵权责任法》）虽有后发制人之优势，然而面临欧盟统一立法进程，仍有国际化不足憾。个人信息纠纷如若发生于不同国家信息主体与利用者之间，如何协调其间的法律关系，实现国内法与国际法之间的接轨，仍然存在疑问。

3.集体诉讼规定的缺失。个人信息纠纷往往并不发生于单一信息主体与利用者之间，通常是诸多信息主体的个人信息遭到未获同意的利用，单个个人信息的商业价值往往有限，如与其他多数个人信息聚合形成大数据，则将发挥更多的经济效益。因此有必要设置相应集体诉讼的规定，以免诉讼资源的浪费。《消费者权益保护法》第47条与《环境保护法》第58条均有关于集体诉讼的规定，《民事诉讼法》第55条所规定的集体诉讼也主要体现在上述法律规定中，有鉴于众多个人信息侵害有损社会公共利益，亦应由相当集体诉讼规定之必要。

（二）人格权编的制定

对于个人信息的保护不应仅局限于事后救济，而更应着眼于其积极利用，即将其中蕴含的财产利益转化为商业价值而为个人信息主体享受。就此而言，以“个人信息”观察整个人格权体系，其之于民法典的重要性不言而喻，民法典制定也应重视人格权独立成编的呼声，以此回应个人信息保护。

笔者认为，首先，我国人格权立法无需继受《德国民法典》具体人格权与一般人格权的结构，而是应当采纳具体人格权列举的方式以及“其他人格利益”的一般条款立法模式。业已成熟的具体人格权明示即可，其他正在发展中的人格权可由 “其他人格利益”进行涵摄。鉴于《民法总则》已明确提出个人信息受到保护，则人格权编立法中应当将其落实。对于个人信息的保护难以以具体人格权的形式开展，已如前述，笔者认为个人信息应当作为一种人格利益，以列举的方式（譬如“…个人信息及其他人格利益”）加以保护。

其次，个人信息作为一种人格利益，其折射出的财产价值亦应当得到积极性地确认，这有赖于人格权编立法中对于人格权商业化利用可能性的肯定。人格权编立法中应当明确权利人对于其人格利益的财产性价值享有垄断性的控制权，此不仅可以用作消极地抵御第三人的不法侵害，同时也可以作为该权利人积极使用的依据。从比较法而言，美国对于此种财产价值的肯定系通过创设独立的公开权制度，然而此种方法与我国既有的人格观念以及法律体系不相吻合；德国日本包括我国台湾地区民法皆通过判例的模式对于人格权进行扩张。我国民法典编纂中人格权独立成编既已提上日程，以立法对此财产利益予以肯定，当属世界领先。

再次，个人信息作为人自我实现的重要工具，一方面人格的独立发展离不开对于他人个人信息的掌握，以此作为对外界进行反应的基础；另一方面个人信息过分地为他人所控制，造成不合理的信息优势（information advantage），则难免沦为他人的附庸。此种矛盾的调和有赖于信息主体的许可。《民法总则》规定信息的取得应当“依法”，尚未将此“许可”原则加以明示。“许可”是意思自治原则具体化的结果，原则上应当以契约为之，单方允诺亦无不可。人格权编立法中有必要将此原则加以明确，以期能够完善对于个人信息的保护。

最后，关于个人信息侵害的集体诉讼规定，鉴于其他具体人格权非如个人信息一般容易遭受大规模的侵害，似不宜规定于人格权编中。有鉴于此，关于集体诉讼的规定，交由单行法去完善，似乎更为合理。

四、结语

个人信息于大数据时代的背景下呈现出愈发重要的发展趋势，对其进行立法保护具有相当的必要性与重要性。将其纳入人格权体系中进行保护，承认其为“人格利益”的一种，同时通过扩张人格权的方法对其财产价值予以承认，更为符合我国既有的民法体系。同时，民法典分编制定在即，如若人格权能够独立成编，则对于个人信息的保护将更为周全。另外值得注意的是，单行《个人信息保护法》已提上日程，其与民法典人格权体系对于个人信息的保护形成特别法与普通法的关系，未来实效如何，令人期待。

注释：

①See EC 95/46/Directive of Personal Data Protection,art 2（a）.

②BVerfG 65,1.

③Whalen v.Roe,429 U.S.589(1977).

④参见隆德县六盘水旅游产业有限责任公司与丁某某隐私权纠纷案（（2017）宁04民终165号）；李某诉黄某某隐私权纠纷再审案（（2016）粤民再464号）等。资料来源于北大法宝数据库http://iras.lib.whu.edu.cn:8080/rwt/PKULAW/http/P75YPLURNN4XZZLYF3SXP/，访问时间为2017年12月4日。

⑤202 F.2d 866（2d Cir.1953）.

⑥433 U.S.562,563-64(1977).

⑦Midler v.Ford Motor Co.,849 F.2d 460(9th Cir.1988);Waits v.Frito Lay,Inc.,978 F.2d 1093(9th Cir.1992).

⑧McFarland v.Miller,14 F.3d 912(C.A.1993).否定判决，参见Lugosi v.Universal Pictures,603 P.2d 425(Cal.1979).

⑨White v.Samsung Electronics America,Inc.,971 F.2d 1395(9th Cir.1992).

⑩BGHZ 20,345.

⑪BGH GRUR 1987,128.

⑫BGH NJW 2000,2195.

⑬See Comedy III v.Saderup,25 Cal.4th 387(2001).

⑭Winter v.DC Comics,30 Cal.4th 881(2003),该 案 中 被 告 以原告为原型创作半人半妖的漫画人物，原告以侵害公开权为由提起诉讼未获支持，虽未提及隐私权侵害，但该漫画人物能否视为对原告形象的丑化，仍值得考虑。

⑮BVerfG vom 9.1.1991,774,775.