个人信息权利的自决与平衡

(四川大学 法学院 四川 成都 610207)

一、菜鸟(菜鸟驿站)、顺丰“接口门”事件的信息流之争

2017年6月1日菜鸟通过官微发布消息称：顺丰关闭对菜鸟的数据接口，导致用户无法通过淘宝渠道查看顺丰订单的物流信息，建议商家暂时改用其他快递公司发货。随后，顺丰回应称：菜鸟事先切断了丰巢的信息接口，将顺丰剔除了阿里系平台的物流选项中，原因主要是顺丰拒绝向菜鸟提供无关的客户订单信息，至此顺丰和菜鸟的“接口门”事件正式进入公众视野，而互联网企业间信息流的争夺控制问题也正式暴露在公众视野。个人信息从单纯以识别个体特征为目的，逐渐被区别、划分、收集整合，精细挖掘，逐渐变成稀缺的社会资源，此次“接口门”让公众对电子商务交易过程中企业处理个人信息的行为有了更深的担忧，标识自身个人信息的权利属性该如何认定？企业之间交换用户信息的行为是否合法？如何才能确保用户个人信息不被滥用？等一系列问题也逐渐受到关注。

二、个人信息概述

(一)个人信息的发展过程

个人信息是指身份被识别的自然人相关的任何信息，包括自然人的姓名、出生年月日、身份证号码、户籍、遗传特征、指纹、婚姻、家庭、教育、职业、健康、病例、财务情况、社会活动等信息。①世界范围内关于个人信息权利的研究主要以美国、德国为主。德国1984的“人口普查案”将个人信息纳入一般人格权的保护范畴，认为要保护“每个人个人资料免受无限制收集、储存、运用、传递”，个人信息被认为是关乎个人尊严和自由的宪法性权利，并以此发展出“个人信息自决权”这一基本权利。②何为信息自决权？德国学者施泰姆勒最早对该权利的描述是：“人们有权自由决定周遭的世界在何种程度上获知自己的所思所想以及行动”。③“人口普查案”后他被归结为一般人格权的具体内容，即信息自决所产生的基础为一般人格权。④

相较德国而言，美国将个人信息作为一种隐私加以保护，是“隐私统一保护个人信息的模式”，这种模式使得个人信息以隐私权的属性被确立，个人信息被置入隐私的范畴加以保护,不做单独的权利界定。例如：美国1974年制定的《隐私法》，主要是针对联邦行政机构的行为制定，着力于各类信息的收集、持有、使用和传输，以隐私权保护为基础，进而对个人信息加以保护。⑤

比较两个国家的立法经验发现：无论是德国的基本人格权保护+信息自决权，还是美国的具体人格权——隐私权模式，关于个人信息权主要是作为一项宪法基本权利来加以保护。

(二)个人信息的性质

1、个人信息的基本权利地位

基本权利具有防御和保护的功能，前者可以对抗国家公权力的侵害，后者是国家有义务保护基本权利实现。将个人信息作为一项宪法基本权利加以保护，是主体对个人信息控制下人格独立和人格尊严的表现。只有将个人信息权纳入宪法基本权利，对他的保护措施才能全方位的落实。无论是防御功能或者保护义务、人身相关或是财产相关，具体权利的界限划分才得以继续进行。另一方面，网络信息的快速传播使对个人信息的保护无法局限于某一特定范畴，主体辐射范围更广，涉及自然人、企业、国家；内容更庞杂，可公开的、隐私的、紧密的、疏离的；各部门法背后的法理要求也不同，行政公法、民事法律、刑罚领域对个人信息的保护都有不同侧重。我国目前对个人信息的保护散见于各个部门法中，在这些立法中，个人信息被作为一般的权利予以保护，在特定的法域内发挥作用，未及于宪法基本权利的高度，而要实现对个人信息的全面保护，将其纳入宪法基本权利的保护是首要目标。

2、个人信息是人格权的客体

个人信息与人身不可分割，法律维护个人信息的中的人格平等与尊严，谁都不能对信息中所附属的人格利益加以侵害，其次，人格权体系下，到底是单独确立为具体人格权保护还是像美国一样以“隐私统一立法保护”理论界有不同观点，一般认为隐私和个人信息是不同的两项权利，要分别确立。虽然二者在一些情形会重合，但这种重合并非完全无法分离，两种不同权利的法理和立法目的可作为区分的标准，例如：隐私强调信息的私密性或私人活动，而个人信息注重的是身份识别性；隐私强调人格利益的实现，个人信息更为综合，除了人格利益还有从财产利益。⑥这一点和自然人的肖像权和姓名权有点类似，一定条件下，个人信息也可以用作商业或者国家行为。

但个人信息的财产属性并不能据此认定个人信息是一个物权，在大数据运营下，云存储的数据、第三方交易平台的用户资料、网页浏览痕迹、物流、通信记录等信息被收集处理后价值提升，有人认为此时的个人信息可以完全作为一项财产权利加以保护，这种理解直接忽略了个人信息最初产生的人身利益，个人信息的保障是以人格利益为首要目的，即每个人基于对自己人格的控制，享有对个人信息的决定、修改、查询、保密等多项权能，个人信息上的人格属性是最基础的存在。第三方对个人信息的收集、整理、分析是在以上基础的再加工、再劳动，具备一定财产利益，所以衍生出的某些权能会出现与信息主体暂时分开的情况，但这种财产利益并不能独立存在，他是以用户的个人信息权能为依附的。

另一方面，人格的完整性无法单纯依靠“财产权”保护，财产权的价值实现需要交换，需要主体积极的作为，这和人格利益的取向不同，大部分的人格权是消极的，对世的，绝对的，最终价值是维护人在法律上的独立人格。保障本人对个人信息的控制，是对其主体资格的尊重以及人生自由的维护。⑦总之，基本权利的法律地位和人格权客体的双重定位是实现个人信息权利基础所在。

三、个人信息权利的冲突与平衡

(一)个人信息权要符合权利的相互性

任何一项权利的行使都有相对应的义务，不存在无限制的权利，个人权利的膨胀必然会影响其他主体的权利行使，走向极端的绝对权利。为了保障权利的有效行使，明确权利的边界就显得至关重要，在这不做具体权利边界的划分，仅就在明确个人信息权时需要格外注意的点做了几点讨论：

第一、基本权利和人格权客体的法律地位是否意味着：只有当个人完全支配个人信息时，才能自由发展自己的人格，不然就是对“人主体本位”的否认。如果是这样，我们就不用划分隐私的界限，因为所有的与自己相关的信息均会受到法律保护，也就不存在不重要的和人格尊严无关的信息。⑧也不用划分“公”、“私”领域信息，因为只要是未经信息者本人许可均是违法的，当然也不需要划分基本权利和私法权利。

第二、“个人信息是人格权的客体”是否意味着：“统一人格权体系”的个人信息无需区分保护。例如：个人信息的获取、储存、复制、传播、查询各项权利不作具体划分，一揽子管理和保护，无关亲疏和重要程度，一样的享对抗私人行为和国家行为的保护力，完全的自我和绝对的自由。

第三、自然人与信息收集方、处理方的悬殊地位是否必须赋予信息主体对自身信息的绝对控制权。基于双方主体的强弱地位，在权利设计时必须倾斜保护，自然人的权属应该尽量广泛，而信息业者的权利必须获得于个人的许可，否则均是违法行为。以此认为为避免信息的滥用需要强调个人对自身信息的绝对控制和支配，信息主体的权利应该是统一的完全倾斜保护。

权利这一概念在近代社会才出现，无论是公权利还是私权利、基本权利还是一般权利，对权利的保护程度必定有界限的、有位阶的，所以个人信息被具体部门法确定后也并非是单一的、绝对的。

针对以上疑问，首先，基本权和人格权的地位并不意味着他具备绝对的对抗性和完全的自由，任何权利一经确定，就有了他相对应的义务，法律不允许不受限制的权利。我国《网络安全法》专章规定了网络产品、服务提供者、运营者的安保义务，网络安全等级制度等这些要求均体现了具体部门法下对个人信息权的保护偏向。

另外，信息业者和信息主体存在地位上的不平等，但对他的保护不是完全倾斜保护，其保护程度要根据信息的类型、与信息主体的亲疏远近、利用目的等做不同的程度的倾斜幅度。目前法律上的保护主要以行政手段和刑事手段为主，行政手段包括对网络运营者、网络产品、服务提供者以及私人主体的行政处罚措施；刑事手段主要针对有关机关单位的工作人员出售、非法提供的行为定罪处罚，民事责任目前没有具体的制度规范，但在《网络安全法》和《民法总则》均有提出：侵犯个人信息须承担民事责任。

(二)信息自决与信息自由

《欧盟人权公约》对信息自由的表述为：“人人均有言论自由的权利，此项权利包括保持主张的自由，以及不受公共机关干预和不分国界的情况下，接收和传播信息和思想的自由。”⑨信息自由所涉及的信息包括个人、政府和商业的信息，不同国家对信息自由的开放程度也不同。一般认为信息自由主要指信息的获取和传播的自由，表现在政治经济生活上主要是：人民有权利了解政府机关的行为，获取政府信息的自由，强调人民对自己建立的机构的知情权，包括行政机关的信息公开制度、官员财产、公益基金的援助状况等。但是，随着科学技术的发展，信息自由不再囿于政治，信息自由的传递给商品经济的发展提供了新的契机，企业可以利用大量的订单信息推荐消费者感兴趣的商品、消费者也有了更多新机会和新服务，市场经济的成本变低、效率提高。所以，信息自由也被认为是民主社会和市场经济的基石。⑩

维护信息的自由流动又要保障个人信息的“自决”是非常艰巨的任务，两种权利的实现既相互对立，又存在一定的一致性。只保护个人信息“自决”，最直接的后果就是权利被滥用且信息收集成本高，官员公布财产变成一项特别义务，因为他可以抗辩这会涉及他其他的个人信息；公司企业为获取、利用信息需取得每一个客户的允许，增加了交易成本，还会带来不必要的机会流失。如果只保护信息自由流转，因为自由流转的低成本、零风险，直接受损害的就是信息主体，信息主体为了自身安全会减少不必要的信息暴露，恶性循环由此产生，整个社会也会惶惶不安，不仅损害主体人格尊严，也不符合社会秩序、正义的要求。

平衡信息自决与信息流转的关系，需要根据我国的特定国情选择。欧盟与美国因为各自不同的文化背景，他们选择的保护倾向不同，欧盟经过二战纳粹德国的集权迫害后，更加警惕人与人之间的控制和奴役，在技术进步与人权保护上更偏向后者的保护；而美国作为一个新兴的资本主体强国，更强调发展信息技术，也更偏向保护信息自由的流转。我国是一个单一制的统一主权国家，由于我国长期历史文化的影响，民主与法治的在我国的发展还具有很大的进步空间，商品经济起步晚。为此，我们应当区分政府监督和经济发展，才能科学合理把握对两种权利的平衡。

对于政府行为，我们要追求信息自由，主张自己的知情权，保障公民获取政府信息的自由权利，完善政府信息公开制度，使政府执法更加透明和公正；另一方面，对于信息主体来说，自决信息的范围要更广泛，包括“同意权”、“更改权”、“拒绝权”，进而限制政府不必要的收集行为。在促进经济发展的时候，对互联网、高新技术产业应该允许他们不受严格个人信息法律的约束，个人信息的自决权应该在根据不同信息类型区分确定，让那些使用后不至于产生人格损害的常态信息被充分调动起来，对那些涉及个人隐私的，如医疗记录、家庭生活的私密信息进行信息等级分类保护，规范商事企业对这些个人信息、数据的使用行为，使用范围。目前我国用户数量比较庞大的互联网产品包括：淘宝、京东、支付宝、微信等等，这些APP上的每个账户均和企业平台订立了隐私条款。这种隐私政策的设计在2017年6月开始施行的《网络安全法》中予以了明确规定，《网络安全法》第41条“网络运营者收集、使用、个人信息，应当遵循合法、正当、必要的原则，公开收集、使用的规则，明示收集、使用的，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”所以，对于网络运营商来说，隐私政策是合规运营的必要文本。

四、结语

互联网时代，信息处理技术变革使得信息主体要承担的风险增加，构建成体系的个人信息保护制度已经是大势所趋，明确个人信息是人格权的客体，是每个人的基本权利，从根本上保护个人信息免受侵害。无论是信息自决、信息自由还是信息的公开，这个过程中的博弈必定会涉及各方主体的价值选择，平衡他们的关系才能为后续制度的构建和完善指明方向。

【注释】

①齐爱明：《中华人民共和国个人信息保护法示范法草案学者建议稿》第3条，《河北法学》2005年第23卷第6期

②张里安，韩旭至：《大数据时代下个人信息的私法属性》，《法学论坛》2016年5月第3期

③杨芳：《个人信息自决理论及其检讨——兼论个人信息保护法之保护客体》，《比较法研究》2015年第6期

④转引王利明：《论个人信息权的法律保护-做个人信息与隐私权的界分为中心》，《现代法学》，2013年7月第4期

⑤王利明：《论个人信息权的法律保护-做个人信息与隐私权的界分为中心》，《现代法学》，2013年7月第4期

⑥王利明：《论个人信息权的法律保护-做个人信息与隐私权的界分为中心》，《现代法学》，2013年7月第4期

⑦齐爱民，李仪：《论利益平衡视野下的个人信息权制度-在人格利益与信息自由之间》，《法学评论》2011年第3期

⑧杨芳：《个人信息自决理论及其检讨——兼论个人信息保护法之保护客体》，《比较法研究》2015年第6期

⑨李仪：《个人信息保护的价值困境与应对_以调和人格尊严与信息自由冲突为视角》，《河北法学》，2013年2月

⑩郭瑜：《个人数据保护法研究》第90页，北京大学出版社，2012年3月。

[1]郭瑜：《个人数据保护法研究》[J].北京大学出版社.2012年3月：第90页。

[2]李仪：《个人信息保护的价值困境与应对_以调和人格尊严与信息自由冲突为视角》[J].《河北法学》.2013年2月

[3]齐爱明：《中华人民共和国个人信息保护法示范法草案学者建议稿》第3条.《河北法学》.2005年第23卷第6期.

[4]杨芳：《个人信息自决理论及其检讨——兼论个人信息保护法之保护客体》[J].《比较法研究》2015年第6期.

[5]王利明：《论个人信息权的法律保护-做个人信息与隐私权的界分为中心》[J].《现代法学》，2013年7月第4期.

[6]齐爱民，李仪：《论利益平衡视野下的个人信息权制度-在人格利益与信息自由之间》[J].《法学评论》2011年第3期.

[7]张里安，韩旭至：《大数据时代下个人信息的私法属性》[J].《法学论坛》2016年5月第3期.

[8]孙平：《系统构筑个人信息保护立法的基本权利模式》[J].《法学》2016年第4期.

[9]张新宝：《从隐私到个人信息_利益再衡量的理论与制度安排》[J].《中国法学》.2015年第3期.