个人信息的民法保护研究

●王焕宇

近日，宁波市海曙区发布了“十大典型案例”，其中某房地产公司利用摄像头抓拍系统侵犯公民个人信息，引起广泛关注。该公司利用售楼处的抓拍系统，自动存储来访人群的人脸数据，根据这些数据识别来访者是否属于中介分销人群，截至案发时，已经收录了近10万条人脸数据。其行为未经来访者同意，严重侵犯个人信息，海曙区市场监管局根据《中华人民共和国消费者权益保护法》对其作出罚款25万元的行政处罚。这不是宁波市第一次大力打击非法采集公民个人信息的行为，早在2020年3月，宁波市在房地产领域展开了为期三个月的整治侵犯公民个人信息的专项活动，期间发现不少房地产公司和广告公司签订委托合同，由广告公司向不特定消费者发送房产商业广告内容的彩信，消费者的电话号码是广告公司通过号码魔方随机取得的，并且未经消费者的允许而向其发送商业性短信，消费者个人信息被严重泄露。宁波市市场监管局根据《中华人民共和国广告法》和《中华人民共和国消费者权益保护法》对其作出罚款108万元的行政处罚，并责令其改正。各种类似的事例体现了个人信息问题在行政领域中得到越来越多的关注。

公民个人信息被泄露的行为除了受到刑法和行政法等其他法律的保护外，民法的保护更加至关重要，确定公民个人信息的地位也愈加迫切。2017年的《民法总则》第一次明确了对公民个人信息的保护，《民法典》进一步将个人信息保护和隐私权一起置于人格权编进行保护，今年11月刚刚施行的《个人信息保护法》对个人信息的保护做出了更为明确的规定。但是对于个人信息保护仍然存在不足，至于如何解决这些问题，就要从个人信息自身开始进行探讨。

一、个人信息的概述

（一）个人信息的概念

欧盟是在美国的基础上进行了扩展，个人信息即可以直接或者间接识别到特定身份的信息，我国《网络安全法》是在欧盟的基础上作出的规定。个人信息是指能够通过直接或者间接的方式确定自然人身份的信息，并且这些信息与国家利益也有着间接关系。

（二）个人信息的分类

个人信息复杂繁多，按照不同的分类标准，有不同的分类方式，主要有以下三种分类方式：

1.直接个人信息与间接个人信息。根据是否能够直接识别到个人信息主体，可以分为直接个人信息和间接个人信息。直接个人信息是指根据直观的信息，就可以识别到特定的个人。间接个人信息是指需要两种及以上的信息结合才可以识别到信息主体。

2.一般个人信息与敏感个人信息。根据个人信息的敏感性程度可以分为一般个人信息和敏感个人信息。敏感个人信息是指涉及个人信息最隐蔽的领域，具有极高的私密性，如果一旦公开，将会给本人来带重大精神损害或者财产损失，如个人基因信息、财务信息等。

3.国家机关掌握的个人信息和其他企业掌握的个人信息。这种分类方式是根据掌握个人信息的主体不同。政府掌握的个人信息是指政府因履行职能而向公众收集的个人信息；其他企业掌握的个人信息，是指私人主体在进行民事活动时，因履行协议或进行其他活动的需要而透漏给企业的个人信息，如网络购物的收货地址及电话号码等。

根据国家机关掌握的个人信息和其他企业掌握的个人信息，这种分类方式更符合我国的立法趋势以及更好地分配举证责任。

（三）个人信息的法律属性

关于个人信息的法律属性问题是争议较大的方面，根据国内外学术分析与统计，主要有以下六种学说：

1.基本人权说。西班牙、奥地利等国家将个人信息视为一项宪法赋予的基本人权，这与欧洲一些国家设立宪法法院密切相关，通过宪法法院可以对个人信息进行专门保障。

2.隐私权说。美国隐私权的保护范围不断扩大，先是变为信息公开和人们之间的信任，直到后来形成个人信息和隐私融合在一起进行保护的局面，即“个人信息隐私”。我国台湾地区也在法律中确认了个人信息属于隐私权保护的一个方面。

3.财产权说。首先，从公平正义的角度出发，虽然是实施侵害行为的企业将个人信息出售获利，但是如果将这种商业价值归于他们，显示十分不公平，所以个人信息的商业价值应当属于个人，并且在企业和个人之间，无论是从经济实力还是汲取讯息的能力，个人都是弱小的一方，即使从保护弱者这一角度出发，也应当将商业价值归于个人；其次，在逻辑上，法律既然保护了商业秘密，那么个人信息作为自然人独有的信息也应该得到保护，并且我国宪法明确表示对私有财产给予保护，包括有形财产和无形财产，个人信息作为无形财产亦应得到保护；最后，因为个人信息具有人格权属性，所以当个人信息被侵害时，往往给予的是精神损害赔偿，如果承认个人信息具有财产权属性，那么将个人信息非法利用、出售的企业，将会除精神损害赔偿之外，还要承担财产赔偿责任，这样能更加强有力地打击非法利用、出售个人信息的行为，有利于维护个人信息安全，也能使个人信息受到侵害的人得到更多的赔偿。

4.双重属性说。个人信息一方面具有人格权的人身属性，另一方面因其所带来的商业价值也使得它具有财产属性。

5.一般人格权说。瑞典将个人信息视为一般人格权，因为个人信息属于人格完整的一个方面。我国也有学者认为在许多案件中出现了没有侵犯隐私权，但却侵害了受害人的个人信息权益的情况，如果将个人信息视为一般人格权可以弥补隐私权保护不足的问题。也有学者指出个人信息内容繁多，如果将其列为具体人格权会带来立法困难，所以不如将其归入一般人格权的保护范围。

6.具体人格权说。周汉华教授、齐爱民教授、尹田教授皆指出人格权是宪法赋予的一项公民基本权利，个人信息被利用关系到个人信息所有者的人格尊严，所以个人信息属于人格权。并且根据这种理论基础，周汉华教授还认为随着时代的发展，传统的隐私权不能涵盖个人信息的内容，王利明教授也认为应当将其单列出来。

具体人格权说更符合我国的立法趋势，在《民法典》人格权篇，隐私权和个人信息保护放在同样的位置上，大有将其作为一种具体人格权的倾向。并且它不同于名誉权、荣誉权等以停止侵害、消除影响、赔礼道歉等为主要赔偿方式的具体人格权，它的赔偿方式还可以通过财产赔偿，作为一种人格权，其人格属性不言自明，除此之外，其还具有财产属性，所以个人信息权是具有财产属性的具体人格权。

（四）区分个人信息与隐私权

在我国澳门地区，将个人信息称为“个人资料”，而后随着逐步发展，资料保护权已经不能准确地表达其含义，“资讯自决权”这一词汇出现了，并且在《澳门民法典》等法律中予以确立。有学者认为隐私权分为资讯自决权、匿退权和独处权三部分，还有学者将资讯自决纳入隐私权体系并且认为它是隐私权体系的主轴，更有学者认为资讯自决是隐私权的本质。但是这种观点明显不妥，我国有诸多学者认为二者有很大区别：

在权利属性上，隐私权虽然既有人身价值和财产价值，但是它的人身价值体现的更为明显，侵害他人隐私权往往导致他人受到精神损害；个人信息也具有人身价值和财产价值，但是因为个人信息的侵害方式主要是被出售、被利用等，出售方和利用方获得经济利益，所以其拥有财产价值，而且基于名人效应，名人的个人信息能带来更大的财富，其蕴含着更高的财产价值。

在权利主体上，隐私的主体有学者主张是个人，也有学者主张除自然人外，还应该有法人和非法人组织；但是个人信息的主体只有自然人。

在权利客体上，第一，隐私权往往涉及的是私密的，不愿为公众所知悉的领域，个人信息的根本特性是可识别性，往往依据个人信息可以直接指向特定的个人；第二，隐私权涉及的信息往往是未曾公开的，个人信息除未曾透露过的，还包括主动公开的，像身份证号、电话号码等，对这些信息进行非法收集、利用，当然构成侵犯个人信息；第三，隐私权一般涉及个人的私密空间，与国家安全的关联性程度很低，但是个人信息与国家安全的关联性程度很高，个人信息经过汇总形成大数据，国家公权力通过各种正当程序存储了公民的个人信息，如果这些信息遭到侵害，会使公民安全受到威胁，甚至危及到国家安全。

二、个人信息保护面临的问题

（一）个人信息的地位不明确

虽然我国《民法典》将个人信息放于人格权篇，而且还单独颁布《个人信息保护法》来对其进行保护，但是却没有说明其地位。并且在实务中，个人信息相关案件因为没有明确的权利保护，所以法院有的将其和隐私权混为一谈，有的将其视为一种具体人格权来进行处理，所以导致同样的侵犯个人信息案件，却有不同的处理。并且受害人能否要求精神损害赔偿，都是不明确的，只有明确个人信息的地位，才能有效解决以上问题。

（二）企业缺少道德意识和自制能力

不良商家为了盈利不择手段，辜负顾客的信任，将获得的个人信息拿去出售、利用，最常见的的情况就是我们不断接到诈骗电话和垃圾短信，在网店购物后，我们的电话、住址都被商家、快递公司所知悉，不良商家为了获得经济利益，将其转售给其他公司，完全忽视消费者的信任。还有在公司内部，员工没有抵住外界的不良诱惑，将公司通过正当营业行为获得的顾客个人信息，泄露、出售给外人，损害公司和消费者的利益。

（三）公民缺少信息保护意识

随着各种购物平台的蓬勃发展，各种购物节的产生，网络购物融入每个人的生活，同时几乎每个人都接到类似的电话，对方自称淘宝客服，并说出消费者的简单个人信息，然后说消费者的快递丢失，说要给予赔偿或者表示消费者所购买的物品出现问题，要求退回，配合公司调查，并会给予双倍赔偿，然后给消费者发送链接，在里面输入银行卡和密码。许多消费者因为轻信而造成财产损失，在乌鲁木齐市，半年期间就发生冒充淘宝客服诈骗案近300件。在2017年9月浙江省常山县人民法院宣判了全国首例冒充客服诈骗案，9名冒充人员诈骗金额总计达到110万元，涉案受害人达到350多人。

三、完善我国的个人信息保护

（一）确立个人信息权

第一，在我国，公民个人信息受到侵害，往往是通过对企业进行行政处罚，或者是对利用个人信息进行诈骗的犯罪分子进行刑事处罚，公民个人信息被非法收集、利用，在民法的层面上，应该将其确立为一项具体权利，才能够更好地受到民法保护，公民才能根据享有的权利进行诉讼或获得赔偿。第二，我国《民法典》将隐私权和个人信息共同列于人格权篇进行保护，颇有将个人信息和隐私权视为同等地位的趋向。第三，不同于一般人格权，也不同于生命权、身体权、健康权、姓名权等具体人格权，个人信息权有其自身的特点，应该将其单独列为一种具体人格权。

（二）企业必须进行自我规制

企业自身要针对个人信息方面加强预防与惩治，可以设立专门的调查小组，在企业内部由上到下地进行监督，防止非法泄露个人信息，企业也可以制定一些相应的规定，严格禁止泄露、倒卖个人信息，如果有违反者，将要受到相应的惩罚。除了企业自身，行业内部也要加强对个人信息问题的监督管理，可以成立行业监督组织，专门监督所有企业在个人信息方面的做法，如果哪个企业做的不好，就可以对其进行公示，使其失去顾客的信任并渐渐失去市场，监督组织如果在调查中发现企业或者其员工涉有严重出售、利用个人信息，就要及时向市场监管局举报。

（三）提高个人信息保护意识

公民在需要确认个人信息的地方一定要慎重签写，以及仔细检查合同条款。在可以删除的地方，要及时删除记录。《个人信息保护法》第四条第二款规定了个人信息的处理包括删除，并且第四十七条规定了个人信息处理者应当主动删除的情形，还有个人有权请求删除的情况。要提高防范意识，涉及财物往来，一定要增强辨识能力，不要轻信他人，要运用法律的武器保护自己。

四、结语

与国外相比，我国的个人信息立法起步晚，并且与刑法和行政法相比，民法与公民生活息息相关，民法最能关注每个人的切身利益，随着个人信息泄露问题日益严重，我国十分重视个人信息保护在民法方面的立法，因此《个人信息保护法》应运而生。但是《民法典》与《个人信息保护法》的衔接问题我们要处理好，并且这些法律虽然给予个人信息以保护地位，但却没有对其权利化，我们要承认个人信息权，这不但能解决司法实践中的问题，更能保护公民的权益。我们相信《个人信息保护法》的施行将对我国个人信息保护产生重大影响，并且在以后，我国的个人信息保护制度方面会更加完善。