区分于隐私的个人信息分级保护研究

裴俊晖 刘 柳

随着科学技术的发展，隐私及个人信息泄漏问题越发频繁，人们对各类能够单独或合并识别自己身份的个人信息以及自己不愿公开的个人隐私的保护意识不断增强。《中华人民共和国民法典》（以下简称《民法典》）和《中华人民共和国个人信息保护法》（以下简称《个保法》）对隐私权和个人信息进行了分级保护。《民法典》第1034 条第3 款规定：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”而《个保法》中又在第二章的第一、二节对个人信息保护作出了一般规定和敏感个人信息的处理规则。如此，我国构成了对公民隐私及个人信息的“隐私—敏感个人信息—一般个人信息”三级保护模式。这种将隐私与个人信息熔于一炉进行三级分级的保护模式易造成两个问题：一是概念混淆。三者之间的界限模糊，导致某些个人信息级别定位模棱两可，势必会造成保护模式适用的两难境地。特别是隐私和个人信息还在“私密信息”范畴交叉，易造成隐私与个人信息之间的概念混淆。二是单层模式。这一问题源自于界限模糊，忽视各类个人信息间，甚至个人信息与隐私之间的差距而采取“一刀切”的保护模式，使法律规定的正确保护方式被闲置。①如何解决这些问题，完善我国的隐私及个人信息的保护模式就是本文所要探讨的内容。

一、隐私及个人信息区分模糊与个人信息保护不周延问题

隐私和个人信息在“私密信息”这一范畴中形成交叉，易导致隐私和个人信息之间区分模糊。加之个人信息的二级分级结构简单，易造成分级保护不周延的问题。

（一）《民法典》规定导致的隐私及个人信息区分模糊

目前我国《民法典》在第110 条和第111 条中分别规定了隐私权与个人信息受法律保护②，虽均规定在民事权利一章，但个人信息是否应视为权利尚存在争议，学界对此也是众说纷纭。其中主要包括：法益说、近似人格权说以及人格权说三种学说观点。③由于本文主要讨论的是区分隐私及个人信息而非对个人信息的权利或权益性质进行定性，因此该争议问题本文不做赘述。但至少可以确定的是，《民法典》第110 条与第111 条已经将隐私与个人信息列为两种不同的权利或权益。同时，《民法典》通过第1032 条和第1034 条第2 款分别对“隐私”和“个人信息”进行区分定义。④然而，第1032 条中隐私定义所包含的“私密信息”以及第1034 条第二款规定的“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定”，却又使二者形成了隐私和个人信息两相区分又在“私密信息”这一部分相互交融的局面。⑤如此，《民法典》对隐私及个人信息的规定，无法明确二者之间的区分，易造成司法实践中“一刀切”的错误操作。

（二）《个保法》规定带来的个人信息保护不周延

《个保法》第二章个人信息处理规则共分为三节，分别是一般规定、敏感个人信息的处理规则以及国家机关处理个人信息的特别规定。从该分节方式中不难看出，作为我国对个人信息进行保护的特别法，《个保法》对个人信息作出了两级划分，即“一般个人信息—敏感个人信息”，并对二者的处理规则进行了区分规定。《个保法》第4 条对个人信息作出一般性的定义，其中“不包括匿名化处理后的信息”也说明我国所保护的个人信息只限于可单独识别或可合并识别的内容。⑥而《个保法》第28条通过可识别程度将“敏感个人信息”定义为一旦泄漏或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。但由于以下两点原因，这一分级模式容易使司法实务陷入混淆适用的泥潭。

1.二级保护模式带来个人信息保护泛化

《个保法》作为我国个人信息保护领域最高位阶的专门立法，它对个人信息的界定与分级势必具有深远的指导意义。然而对个人信息仅做二级区分是远远不够的，如此二级区分易造成：（1）对可识别程度极高的敏感信息保护不周延。敏感个人信息中有些信息对行为人的可识别性是极高的，不将这类个人信息区别于其他敏感个人信息，易造成保护泛化而不周延不精细。（2）对可识别程度处于中位的个人信息认定模糊。对于这类个人信息若认定为敏感信息则保护力度过大不利于信息流动，认定为一般个人信息则保护力度过轻不利于行为人维护自己的合法权益。二级保护模式易造成对个人信息级别认定非此即彼，保护力度不周延的问题。

2.“场景化”立法保护不周延

我国对个人信息的分级以可识别程度为分级标准，但各项个人信息带有的可识别程度在不同的场景下可能存在变化。由于这种变化，我国现有的个人信息保护相关的法律文件对各项个人信息的分级认定持有不同的观点，形成了表1 所示的个人信息分级认定结果。

表1 我国一般性法律文本对个人信息的分级认定⑦

由表1 可见，在大部分类型的个人信息的分级认定上，国内的法律文本达成了共识，只是在某些法律文本中形成了特别规定；但在某些信息的分级认定问题上，《个保法》和其他的一些法律文本的观点产生了矛盾。例如银行账户信息，《个保法》在第28 条明确规定为敏感个人信息，而在其他的一些法律文本中却认定为一般个人信息。这都是场景化特别立法模式下的正常现象。但需要注意的是由于某些法律文件发布时间较早，《个保法》作为最新立法其分级标准是否能够对其进行取代。

综上所述，《民法典》对隐私和个人信息的定义以及私密信息保护条文的表述易导致隐私及个人信息之间存在难以区分的问题；而《个保法》中对个人信息等级认定的规定与我国其他先行的关于个人信息等级认定的一般性法律文本产生了矛盾，该矛盾又与“可识别”标准带来的“场景化”差异一同导致了个人信息分级认定不明的问题。这两个问题就是我国隐私及个人信息的区分分级保护模式构建所面临的问题。

二、隐私及个人信息的概念厘定与区分之必要性

隐私与个人信息之间存在概念上的易混淆性，二者存在相联系之处，但也同样存在差异。本部分拟从二者的概念入手，厘清二者概念之间的联系与差异；再从对二者的保护价值差异入手，分析区分二者的必要性。

（一）隐私及个人信息的概念厘定

1.隐私：不愿为他人知晓

从词语意思的角度上来看，“隐私”一词的中文含义为：不愿告诉人的或不愿公开的个人的事；其在英文中的含义为：“Facts one wishes to hide”。两种语言中该词均包含着极为强烈的个人主观色彩，都强调“不愿意”这一主观态度。从《民法典》第1032 条对“隐私”的定义来看，“隐私”是指自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。这一定义可以解读为：隐私权在我国法律体系中实则包含两种不同的实体权利，一是自然人的私人生活安宁权；⑧二是狭义的隐私权，即不愿他人知晓的私人活动及信息等。前一层含义的法理来源是“贴身禁忌”这一规范性观念，“贴身”一词中的身体不仅是生理态的而且是沟通态的⑨，沟通态身体的“贴身禁忌”就形成了私人生活安宁不受他人侵害这一对世权。而后一层含义实则表述了狭义隐私权的两项特性：一是本质特性，即不愿为他人知晓；二是外延特性，即满足本质特性的私密空间、私密活动、私密信息。该定义虽然将“私密信息”这一个人信息类型设置于隐私的外延特性之中，但该定义的关键在于承认“不愿为他人知晓”这一本质特性。也就是说，即使是“私密信息”，但只要自然人愿意让他人知晓那它就不再是隐私。只要获得了自然人的同意，那么该“私密信息”的性质就发生了从“隐私”到“非隐私”的变化。但该“私密信息”本身并没有因此而发生属性的变化，依旧还是私密信息。在此语境中，“隐私”成为了“私密信息”的性质而非一个独立的概念。冉克平教授和丁超俊学者也持有类似的观点，“隐私的内容一旦被公开后其不再具有隐私的属性，而个人信息被公开或者利用后其仍然属于个人信息，不存在性质的改变。”⑩由此可见，我国《民法典》对“隐私”的定义中虽然将不愿为他人知晓的“私密信息”作为其外延之一，但该定义更加强调的应是“不愿为他人知晓”这一主观态度与本质特性。因为行为人不愿他人知晓，私密信息才能被认定为其隐私的一部分。

2.个人信息：可识别特定个人

从词语意思的角度上来看，“个人信息”一词中“个人”是相对于公家和他人而言的一个概念，而“信息”是指：（1）音信；消息；（2）通信系统传输和处理的对象，一般指事件或资料数据。此处应对“信息”一词作第二层含义的狭义理解，即“个人信息”这一词组的含义应是：相对于公家和他人而言，属于个人的通信系统传输和处理的对象。其英文含义为“Personal Information”。无论是中文还是英文含义，个人信息概念都不包含主观色彩，可见该概念描述的是一个纯粹的客观事物。

从《民法典》第1034 条第2 款对“个人信息”的定义来看⑪，该定义可以区分为两个部分，分别描述了个人信息概念的本质特性和外延特性。其中本质特性可表述为“可单独或合并识别特定个人”，而外延特性则是逗号之后被包括的内容。而“以电子或者其他方式记录的”是对个人信息可能载体的表述。从其本质特性的表述可以看出我国在个人信息保护上借鉴了“可识别说”。该学说由美国学者提出，他们将个人信息分为可识别个人信息（Personally Identifiable Information,PII）和不可识别个人信息（non-PII）。⑫在这种区分下，个人信息被依照“是否可以单独或与其他信息结合识别出特定个人”这一标准分成了两类，而只有PII 类个人信息才是美国个人信息保护的重要对象。⑬这一分类也一度被认为是美国与欧盟在信息保护上的最大分野。美国还将PII 依据违反保密性的后果依次分级为高级、中级和低级。低级为有限的不良影响，中级为严重的不良影响，高级为特别严重或灾难性的不良影响。由此可见，“个人信息”不论是在中英文中的语词含义，还是在我国法律体系中的定义，均不包含主观色彩，而是指可单独或合并识别特定个人的，相对于公家和他人而言属于个人的信息客体。

3.私密信息：隐私及个人信息的保护交叉地

从词语意思的角度上来看，“私密信息”一词中“私密”的中文含义为：一是属于个人而比较隐秘的；二是个人的秘密、隐私。其中第一层含义为形容词性，而第二层则为名词性质，结合“私密信息”这一词组本身，不难得出此处应当适用第一层含义的结论。英文含义为“Private”。二者表述含义均为属于个人比较隐秘的信息。我国现行法律文件中并没有对“私密信息”作特别定义。依照词义，私密信息的本质特性即为：属于个人而比较隐秘。可见，“私密信息”和“隐私”在本质特性上存在较大区别，而由于其本身就属于个人信息的一类，因而其本质特性和“个人信息”之间只多出了“比较隐秘”一点。且《民法典》第六章第1034 条中也指出“个人信息中的私密信息，适用有关隐私权的规定”⑭，该法条虽然指出“私密信息”可以适用有关隐私权的规定，但同时也承认了“私密信息”和“隐私”之间存在可以进行区别规定和保护的空间。

更需要注意区分的是私密信息与敏感个人信息这两个概念。对于个人信息的分级，我国现行法律中存在两套分级标准。《民法典》以个人信息是否足够隐秘为标准将个人信息分级为一般个人信息与私密（个人）信息；《个保法》将敏感个人信息表述为被泄露或非法使用后行为人易受到人格尊严侵害或人身、财产安全危害的各种个人信息。⑮这实际上是以信息的可识别程度对个人信息分级的结果，可识别程度低的为一般个人信息，程度高的则为敏感个人信息。对于敏感个人信息与私密（个人）信息之间究竟存在怎样的关系，学界存在三种观点：（1）同质说：认为二者之间并无实质区别，并强调其隐私性；⑯（2）交叉说：认为二者之间存在交叉重合；⑰（3）独立说：认为二者之间不存在任何交叉的可能。其中以第二种观点为主流，认为二者之间存在交叉关系，且认定为私密信息即具有隐私的属性。笔者也认同两者存在交叉重合的关系，因为两个概念是不同的分级标准下的产物，自然易存在内容上的重合。但对私密信息一定具有隐私属性这一观点存保留态度，认定为私密信息并不是认定隐私的充分条件，该部分留待下文详细阐述。如此，“隐私”具有较强的主观色彩，强调“不愿为他人知晓”这一本质特性；而“个人信息”包括“私密信息”都只具有客观属性而并不随自然人的意愿而发生性质上的变化。可见“隐私”与“个人信息”之间具有明显的本质特性区别，这就为我们明确二者之区分提供了概念层面的理论基础。

（二）隐私及个人信息区分的必要性

上文通过对隐私与个人信息概念的界定，论述了二者本质特性上的差别。隐私权和个人信息权（或权益）虽然在客体上存在着交错性，在侵害后果上存在着竞合性⑱，但二者在立法目的上依然存在差异。因此，厘清二者的立法目的差异对明确二者之区分十分必要。

首先，关于对隐私的保护。隐私保护更侧重于对当事人独处的生活状态的保护，因此隐私仅具有私密性。《民法典》通过第990 条第1 款将隐私权设立为一项法定人格权，其立法目的是保护公民的私人生活安宁不受侵犯和保持不欲为他人所知之事物的私密性质，是一种消极的对世保护性权利。其次，关于对个人信息的保护。个人信息与隐私不同，并非人天生就存在的权利，其产生与完善的过程是伴随着人类生长而推进的，主要价值就在于社会交往中的可识别性。⑲也并非所有个人信息权益都会得到保护，只有国家法律规定范围内的个人信息权益才是法律保护的对象。《民法典》通过第990条第2 款将个人信息设置为一项人格权益，并没有冠以“权”的称谓，注定了其应当适用权益的保护模式而非权利保护模式。⑳个人信息是通过数据收集、加工等步骤编排而成，这种生成路径使个人信息在保留了一定私密性的同时也获得了社会流动这一价值特性。因此，在立法目的层面，个人信息不像隐私只强调消极保护，而是更加强调其能够被合法地积极使用。综上所述，隐私及个人信息保护之间，不论是从概念出发还是从立法目的上考虑都存在较为明显的区别，存在明确二者之区分的空间。但我国现行法律对其区分较为模糊，还有着“私密信息”这一保护交叉地的存在，容易造成司法实务过程中的法律适用混淆等问题。

三、域外关于隐私及个人信息保护的规定

我国互联网等科技领域的发展起步较晚，国民对个人信息安全的重要性认识逐步提升。笔者拟从欧盟和美国的保护模式入手，分析两国家或地区对隐私及个人信息的区分分级保护，以借鉴其立法经验完善我国保护模式。

（一）欧盟：依处理程度分级保护

欧盟通过《基本权利宪章》（Charter of Fundamental Rights of the European Union）对隐私与个人信息进行了区分。其中第7 条对私人生活、家庭生活以及通信等提供保障㉑，该条被认为是欧盟对隐私权的赋权；而第8 条则对个人数据的保护、收集处理以及更正等提供保障㉒，数据是个人信息的载体，因此这条被认为是欧盟对个人信息权的赋权。通过《基本权利宪章》，欧盟将隐私权与个人信息权均赋权为公民的基本权利，并作出区分形成了其形式上的二元保护模式。然而，由于《基本权利宪章》第8 条未明确个人数据的权益边界，导致第7 条和第8 条规定的权利存在交叉。这导致欧盟的隐私及个人信息保护模式与美国只存在形式上的差异：欧盟将个人信息权从隐私权中分离而出，但在实质上却依旧共通，即均将个人信息权视作隐私权在信息数字时代的延伸。㉓不同于美国分散式立法现状，欧盟在隐私及个人信息保护方面已经采取统一立法的模式。《一般数据保护法案》（General Data Protection Regulation,GDPR）于2016 年通过并于2018 年正式实施。该法案对隐私与个人信息提供了一般性的保护，是欧盟对各领域进行个人数据的收集、处理、流动等行为的一般准则。其下还有《电子隐私指令》（Directive on Privacy and Electronic Communications,DPEC）等指令进行补充保障。

欧盟依照信息的被处理程度对个人信息的载体——数据进行了细化的分级保护，将其分级为：原始数据、预处理数据、经过处理的数据、数据驱动的见解四个等级。㉔这四类数据附加值依次递增，而保护强度依次递减。简单来说，原始数据是没有经过或经过较少处理的，零散的信息数据。但同时由于其内容可能涉及个人、企业甚至是行业的隐私、敏感信息或秘密，其所需要的保护力度往往是最大的。预处理数据是指经过初步处理，将原始数据中错误、冗余部分筛除、归类，方便下一步处理的信息。虽然该类数据已经进行了一定的处理，但此类数据所具有的敏感性依旧很强，因此保护力度依旧很高。在预处理数据的基础上再进行提炼和脱敏等程序，就形成了经过处理的数据，此类数据已经可以进入商业交易领域，自身的敏感度大大降低，具有了其独立的商业价值，故保护力度也随之减弱。数据驱动的见解是在对经过处理的数据进一步分析后形成的具有独特商业价值的建议和见解，该类数据已与原始数据关系不大，自身敏感性也大大降低，故保护力度也最低。欧盟将隐私与个人信息区分为不同的权利种类，从而区分对二者的保护。虽然因未明确个人信息的权利边界而导致二者依旧存在交叉，但依旧为我国明确二者之区分提供了思路。同时，对个人信息进行四级分级保护，保障可识别程度最高的原始数据不受侵犯的同时，也保持了脱敏数据的市场流动性。这种以赋权区分隐私权及个人信息权，并以被处理程度作为个人信息数据的分级标准的立法经验值得我国借鉴。

（二）美国：场景化特别立法保护

美国自布兰代斯和沃伦提出隐私权的概念以来㉕，美国隐私权的外延被不断扩充。例如Jerry Kang 教授就指出隐私权可以包括：（1）物理空间：个人独处的领域不受不欢迎的侵扰；（2）自主选择：个人重大选择不受侵扰；（3）个人信息流动：自己对个人信息的处理的可控制。㉖而Erwin Chemerinsky 也认为隐私权主要用于描述三种不同的权利：（1）与防止政府入侵个人家庭或个人人格相关；（2）与自主决定权相关；（3）保障个人能够拥有控制与自身有关的信息传播的能力。㉗可见，美国对隐私权的认定是较为宽泛的，隐私权在美国是一个更高层级的权利表述，类似于一个权利集合，个人信息权被包含于隐私权的集合之内。鉴于此，可以认定美国对隐私及个人信息在形式上采取的是一元保护的模式，个人信息权作为隐私权的一部分，受到隐私相关法案的保护。

美国与隐私权保护相关的法案十分繁杂，甚至可以说较为碎片化。联邦层面，1974 年美国国会通过了《个人隐私法案》，明确规定公民的隐私权受法律保护。㉘后通过《驾驶员隐私保护法》（Drivers Privacy Protection Act,DPPA）对各州机动车部门收集、处理驾驶员个人信息进行规制。㉙通过《电子通讯隐私法》（Electronic Communications Privacy Act，ECPA）禁止未经授权的第三方截取或泄露通讯信息。㉚通过《儿童在线隐私保护法》（Childrens’ Online Privacy Protection Act,COPPA）禁止各州收集13 岁以下儿童的个人信息，并要求在收集儿童个人信息时征求父母的同意。㉛还通过《金融隐私权法案》（Right to Financial Privacy Act,RFPA）规制金融交易过程中的信息收集、处理、披露等行为。㉜至于州层面的相关立法更是庞杂，涉及各行各业的具体隐私与个人信息的保护规则。美国如此碎片式的立法带有场景化的考量，这种重视“场景”导向的隐私及个人信息保护模式，能够根据用户的个人需求进行数据从业者的责任制度构建，对飞速发展的用户个人信息保护的不同需求响应极快。㉝通过对不同场景不同需求的特别规制，也较好地严密了隐私及个人信息的保护法网。同时，美国的隐私及个人信息的统一立法也已经处于萌芽阶段，2022 年美国联邦就《美国数据隐私保护法》（American Data Privacy and Protection Act,ADPPA）草案展开听证，可见美国希冀通过该法案统一自己隐私权保护相关的众多法案。这种前期通过各领域分散立法，待法网编制严密之后再统一整合各领域立法的方案值得我国参考。具体而言：一是可以针对各领域需求对症下药，严密法网；二是对新兴领域需求响应迅速，而不需如统一立法模式一般大动干戈。

综上所述，欧盟与美国对隐私及个人信息是否需要区分采取了不同的态度。欧盟通过《基本权利宪章》在不否定二者之联系的同时，明确了二者之区分。美国则认为个人信息是隐私权这一权利集合内的一项子权利。至于对二者的保护，美国虽尚处于分散立法的阶段，但也在尝试进行统一。欧盟已经通过GDPR 完成了统一立法。可以说从分散立法走向统一立法是隐私及个人保护立法模式的国际大趋势。

四、区分于隐私的个人信息分级保护之立法完善

通过上文的论述，隐私与个人信息在定义上就存在区分的空间。当行为人不希望某项带有可识别性的个人信息被他人知晓时，该个人信息同时也具有了隐私的性质。此时该信息如果被他人非法收集、处理，便同时侵犯了该行为人的隐私权与个人信息权益两项权益。而当行为人同意他人收集、处理自己某项带有可识别性的个人信息时，该个人信息对于被同意者而言就不属于隐私的范畴。但是被同意者如果在收集、处理此项个人信息时存在违反《个保法》或其他个人信息保护相关的法律文件的行为，则依旧构成对行为人个人信息权益的侵犯。简言之，隐私与个人信息虽然存在千丝万缕的关系，笔者依旧认为应当明确区分两项权益或权利，因为二者并非每种情形都纠缠不清。个人信息也需要对分级进行明确，区分各级别之间的保护力度。

（一）以《民法典》明确隐私及个人信息之区分

《民法典》作为我国的民事基本法，其在私法领域拥有绝对的引导地位，其第1032 条第2 款及第1034 条第3 款造成的隐私及个人信息易混淆的问题应当通过法律解释或修改法条表述予以解决。其中第1032 条第2 款可能存在的问题是将私密信息这一个人信息类型放置于隐私的定义范围之内，该问题可以通过法律解释的方式来解决。前文已述，私密信息是否属于隐私需要看行为人主观上是否愿意让他人知晓，只需在法律解释中强调隐私的本质特性——不愿为他人知晓即可。

《民法典》第1034 条第3 款所存在的问题较之前者显得更为严重。该条款将私密信息的保护完全归于隐私权保护之下。笔者认为对私密信息的保护应当分情况讨论，因为私密信息较之普通个人信息在本质特性上只多出了较为隐秘，该特性并不能排除行为人同意让特定的人收集或处理自己的私密信息的可能。诚然，在行为人不愿任何人知晓自己的私密信息时，该私密信息拥有隐私的属性，对该信息应当采取隐私权的私法保护模式。但由于此时私密信息的个人信息属性并没有被消灭，当他人对该信息的收集、处理等行为违反了《个保法》等个人信息保护相关的法律规定时，理应对该行为在采取隐私的私法保护模式的同时，追加个人信息的公法保护。但是，如果行为人同意了某特定的人知晓、收集甚至处理自己的某项私密信息，此项私密信息对于该特定的人就不再拥有隐私属性，自然也就不应当以隐私的保护模式加以保护。不过此时的私密信息依旧拥有个人信息的属性，所以该特定的人的收集或加工行为如果违反了行为人的同意（如超范围或超期限等）或《个保法》等个人信息保护相关的法律规定，则即使是对该特定的人也应当采取《民法典》对个人信息权益的保护模式㉞，通过人格权请求权或侵权请求权寻求法律救济，并加以个人信息权益的公法保护。而同样是行为人同意某特定的人知晓、收集甚至处理自己的某项私密信息的情况下，该特定人以外的第三人对该私密信息存在侵犯行为，其处理方式应当与行为人未作出同意的情形一致，即采取隐私的私法保护模式以及个人信息的公法保护。

因此，笔者认为私密信息在私法上是适用隐私的权利保护模式还是个人信息的权益保护模式，需要视行为人是否作出同意的意思表示，收集、处理该私密信息者是否为获得同意的第三人，以及收集、处理等行为是否超出行为人同意等因素而定。《民法典》第1034 条第3 款的条文表述容易造成“一刀切”的实务乱象，应当基于以上论述作出合理的法律解释或立法修改。如此，对于存在争议的私密信息就能较好地在私法层面上区分适用隐私权与个人信息权益的保护模式。

（二）以可识别程度为标准细化个人信息之分级

上文中提到我国个人信息存在两种分级标准，其一是《民法典》以隐秘程度对个人信息进行分级，其二是《个保法》以可识别程度对个人信息进行分级。受欧盟以被处理程度进行分级并权衡各级别保护力度与市场流动性的启发，笔者认为我国可以沿用《个保法》标准，以可识别程度作为标准并细化个人信息分级。因为被处理程度与可识别程度实际上息息相关，往往被处理程度越高可识别程度也就越低。而可识别程度低（被处理程度高）的个人信息才是对信息网络平台最有价值的信息，需要保障其一定的市场流动性；相反，可识别程度高（被处理程度低）的个人信息则更需要强调对信息安全的保护。

个人信息仅作二级分级对个人信息的保护是不周延的。应当在最高保护力度与最低保护力度之间设置一个中间项，以避免陷入非此即彼的尴尬境地。譬如将敏感个人信息进行细化，将其中直接能够单独识别出特定个人或与特定个人的人格尊严、人身及财产安全强相关的一类信息设置为最高保护力度的特别敏感个人信息；而将与特定个人的人格尊严、人身及财产安全弱相关但又明显需要设置比一般个人信息更高一级保护的一类信息设置为中位保护力度的普通敏感个人信息。如此，在“敏感个人信息—一般个人信息”二级分化内，将敏感个人信息又细化分为“特别敏感个人信息—普通敏感个人信息”二级，形成双层三级的个人信息保护模型。此方案只需参考最高人民法院、最高人民检察院发布的《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5 条第1 款第3、4、5项之区分㉟，通过法律解释的方式明确三级个人信息的外延即可。

（三）以《个保法》为中心完善场景化个人信息保护

《个保法》的颁布施行标志着我国个人信息保护事业已经从分散立法时期跨入了统一立法的新阶段，走在了世界前列。但作为个人信息统一立法的产物，《个保法》注定只能规定常态下的个人信息分级。面对特殊场景时，某些特殊个人信息的可识别程度或敏感度也许会出现变化。我国现行法律中不乏为适应不同场景需要特别制定的法律文件以修正某些特殊个人信息的保护力度，这些法律文件在上文中也有所提及。然而，这些文件亦存在局限。其一，有些文件颁布时间较早，在《个保法》颁布施行后应当及时修正。比如《征信业管理条例》发布实施于2013 年，远早于《个保法》的立法规划公布日。该场景下各项个人信息的保护力度需要视当今社会下的需求决定是否需要调整。其二，有些重点领域尚缺乏特殊立法对个人信息进行场景化保护。比如医疗领域内患者的各项个人信息应当放置在医疗这一特殊场景下进行级别检视。统一立法模式与场景化特别立法并不矛盾，应当修订现有下位法并根据特殊场景需求严密个人信息保护法网，从而形成以《个保法》分级为常态，各场景特别立法修正分级为例外的模型。如此既严密了个人信息保护法网，又满足了各领域的特殊需求，从而实现对个人信息的全面保护。

五、结语

《个保法》的颁布施行代表着我国个人信息保护已经走在了世界前列，体现了我国对数字信息时代到来的快速响应。《民法典》将隐私与个人信息相区分在一定程度上避免了二者概念带来的混淆，但是由于我国对隐私及个人信息尤其是后者的研究较晚，法条中难免存在一些易引起争议之处。不论如何，从民事基本法出发区分隐私与个人信息的方向没有问题，以《个保法》对个人信息进行分级保护更实为必要。需要以法律解释等方式明确隐私与个人信息尤其是其中私密信息之区分；对个人信息在现有分级基础上，延续依可识别程度为标准分类的思路，细化其中敏感个人信息一级。同时针对个人信息，完善其场景化特殊立法，根据各场景特殊需求调整各项信息的保护力度。如此形成隐私与个人信息相区分，个人信息总体呈双层三级的保护模型。至于《民法典》中所提及的私密信息则应先判断其是否具有隐私属性：如果具有隐私属性则通过隐私权保护模式解决；如果不具有隐私性质则先通过个人信息权益的保护模式寻求私法保护，再从其个人信息的属性出发加以行政法上的保护，并以刑法作为最后一道防线。