《个人信息保护法》视角下无人机拍摄负载应用的合法性边界

郭宏璟

（海南大学法学院,海南 海口 570228）

随着科技的飞速发展，无人机技术逐渐成熟并广泛应用于各个领域。如何在保障公民隐私权、个人信息安全等合法权益的同时，规范无人机的使用，防止其被用于非法活动，成为学界关注的焦点。《个人信息保护法》作为我国个人信息保护领域的基础性法律，为明确无人机拍摄负载应用的合法性边界提供了重要的法律依据。本文将在《个人信息保护法》视角下，探讨无人机拍摄负载应用的合法性边界，以期为相关法律制度的完善提供参考。

1 问题的提出

无人机的起源可以追溯到第一次世界大战时期，其最初应用于军事领域。现代意义上的无人机出现于第二次世界大战之后，在政策推动与生活需求增长的背景下，无人机产业迎来了蓬勃发展时期，产品定位与功能发生了巨变。消费级无人机①的出现极大丰富了人们的生产生活，但也带来了诸多法律风险。无人机系统由无人驾驶航空器以及与其有关的遥控台（站）、任务载荷和控制链路等共同组成②。不同系统作用下，侵害形式也有所差异，例如无人机坠落伤人、侵害财产权③、无人机相撞④以及利用无人机拍摄负载偷拍⑤等。

在无人机系统中，任务载荷是其重要的组成部分。其中，无人机的主要任务载荷是拍摄负载。有别于传统拍摄手法，无人机的高分辨率感应摄影拍摄负载及录音设备带来的摄录体验令人惊奇。但同时这也为无人机侵犯个人信息提供了技术便利。因此，无人机拍摄负载的广泛使用极易对个人信息权益造成侵害并可能进一步威胁隐私权等人格权利。然而，我国实证法对无人机的规范模式大多参照了传统航空器的监管模式，即注重“安全”而忽略“风险”防范。

而传统航空器的监管体系与无人机的监管之间存在诸多矛盾，需要进一步推动无人机监管体系的变革，提供有效可行的制度供给[1]。当前我国实证法上并未就无人机运行过程中产生的个人信息权益侵害等私法责任作出特别规范。有观点认为可通过完善隐私权救济路径为个人信息主体提供私权保护[2]，但仅提供事后救济措施，难以恢复个人权益的圆满状态。因此，如何在实证法的框架下探寻出无人机拍摄负载的私法规制路径，是当前亟待解决的重要问题。

2 无人机规范体系及实证法保护模式的不足

2.1 无人机规范体系漏洞

当前实证法上的无人机监管体系，可以分为无人机行业准入阶段与无人机运行阶段。其中，准入监管是指无人机需要满足一系列前提条件才具备进入空域的合法飞行身份，运行监管是指无人机在进入空域之后应当遵循的操作标准与运行规则[2]。以规范对象分类，可以分为对物的监管和对人的监管，二者分别就无人机的产品标准、准飞条件等和无人机运营主体资质、无人机驾驶员的操作资质等进行规范[3]。尽管规范无人机行业的法律文件数量众多，但是从宏观角度看，各个法律文件之间缺乏基本的联动和协调，体系性的缺失导致同义反复，无法有效填补法律漏洞，并且由于该类法律文件的法律位阶较低，法律效力较弱等因素，规范适用的实际效果也不甚理想[4]。

相较于私法规范，实证法中关于无人机法律责任多着墨于公法责任，以《无人驾驶航空器飞行管理暂行条例》⑥（以下简称《条例》）这一“有望成为我国对无人机飞行进行监管的高位阶、综合性、系统性、基础性的立法”[1]为例，《条例》采取罚款、吊销执照等行政处罚手段对无人机的准入和运行进行规范。而对无人机使用过程中可能产生的民事责任，则仅通过第五十六条⑦确认了损害赔偿责任，对于其他的私法责任未置一词。“这种立法实践不仅游离于社会公众的客观需求之外，也过度消耗了国家的公共资源。”[5]此类强制性手段难以为私人主体所享有，私人主体并不具有相应的权限，更无法应用某些监管工具[6]。科技发展带来的新型侵权样态，决定了这样的规定显然不利于私主体应对当前围绕无人机使用产生的纠纷。

纵观无人机规范体系，有关无人机拍摄负载的私法规范处于真空状态，未见直接规定之条款。相近规范以《条例》为例，第三十四条第（六）项规定禁止利用无人驾驶航空器非法采集信息。就《条例》第三十四条规范内容而言，“当前无人机监管法律体系通过飞行管理制度对驾驶员进行规制和约束，以规范其在驾驶无人机时对个人信息和公共数据的获取、储存、处理、传输和利用，但是这些对于智能化无人机来说却是由人工智能进行的，并不受制于驾驶员的直接指令[4]。”因而该条规定更多表现为倡议性规范，并不具有可操作性。《条例》第三十一条中的“集会人群”如何界定尚不明确，并且并未就拍摄负载的使用提出特殊要求。这也导致无人机拍摄负载的运行以及数据安全等问题的解决缺乏明确的指引。

2.2 私权救济路径狭窄

在当前司法实践中，无人机拍摄负载滥用所造成的权益侵害问题，隐私权保护模式作为可能的救济路径最常被援引。首先，就隐私权保护而言，由于传统的隐私保护法律是在前无人机时代制定的，因而很难直接引用其中的法条去解决无人机隐私侵权问题[7]。现有法条只有在无人机侵入私密空间、干扰私密生活抑或获取了私密信息的情况下才有适用空间。但在信息时代的背景下，如何理解上述概念是不断发展的过程，解释方法和目的的不同往往带来不同的认定结果。其次，就隐私权侵权来说，事后救济往往难以恢复私主体的圆满权益。例如，利用无人机携带拍摄负载于小区内航行对邻居进行偷拍监视甚至是网络直播⑥，虽然违法行为人被公安机关处以行政拘留，但涉案视频已广泛传播，当事人的权益侵害已难以挽救。最后，通过公权力机关监管“无人机侵犯隐私权”，其效果在很大程度上依赖于执法强度，良好的监管效果意味着大量公共资源的投入[6]，而公共资源投入与无人机数量呈正相关，随着无人机产业的高速发展，仅依靠公权力机关监管无人机使用实现对隐私权的妥善保护似乎越来越不可能。

因此，人格权的事后救济路径仅能在一定程度上遏制、阻却侵权行为的发生，并不足以妥善解决当下无人机拍摄负载滥用带来的权益侵害问题。在公法责任之外，私法责任同样值得被重视，只有通过公私法联动的综合治理体系才能够有效应对科技发展对传统法律体系带来的冲击。

3 无人机拍摄负载的规范体系建构

3.1 《个人信息保护法》第二十六条的扩张解释

《个人信息保护法》第二十六条规定，“在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。”该法条为图像采集设备的规范提供了制度基础，旨在规范公共场所中图像采集设备及个人身份识别设备的使用，维护个人信息主体权益。但其规范对象为“在公共场所安装的图像采集、个人身份识别设备”，似乎并无规范无人机拍摄负载等移动拍摄设备的空间。但本文结合立法目的以及从比较法的体系观察，认为该条作为移动拍摄设备的规范基础具有正当性。

3.1.1 《个人信息保护法》第二十六条的规范目的

现行规范中有关无人机拍摄负载的私法规范的缺失，可通过法律解释予以填补。自“人脸识别第一案”⑧后，学界和社会公众对于身份识别设备和图像采集设备的使用越发关注。如何确保该类设备的使用只对公众造成最低程度的侵扰，是摆在立法者面前的一道难题。在此种背景下，《个人信息保护法》第二十六条的规定即旨在应对日益增加的图像采集设备以及个人身份识别设备的滥用乱象，力争通过“两项合法性依据”将该类设备的使用限定在个人信息处理的最低限度内。在科技发展的同时尽力实现便利民众的预想，而非造成公众权益侵害的后果。因此，基于其规范目的，《个人信息保护法》第二十六条不应仅规范安装于公共场所的图像采集、个人身份识别设备，拍摄范围涉及公共区域的移动图像采集设备也应受到法律规范。试想，安装于公共场所的固定图像采集设备尚且需满足该行为要求，而拍摄范围更广，对于个人权益侵害可能性更大的移动式图像采集设备却无须受到规范，岂不是舍本逐末？

3.1.2 比较法上对无人机拍摄负载的规范

对于无人机的运行侵犯个人信息及隐私的风险，比较法上已有诸多有益尝试。欧盟法上，当前对无人机采取分类监管模式，就个人数据、隐私保护等问题授权成员国作出了细致的规定。并且《通用数据保护条例》（General Data Protection Regulation,GDPR）生效之后也影响着无人机领域处理个人信息的行为，这些法律均对个人数据保护进行了严格的要求。在未经许可的情况下，无人机拍摄负载的使用受到极大的限制。在欧盟（EU）2019/945和（EU）2019/947条例等无人机保护专项条例颁布之前，欧盟法上广泛认为，2000年《欧盟基本权利宪章》将公共场所的闭路监视系统的监视行为视为合法行为，那么如果使用摄像设备对个人在公共场所的行为仅是监控但未录制就不会侵害当事人的隐私权。如果无人机拍摄负载的使用仅仅监控但不录像，也应该属于合法行为（私人场所除外）。如果视频监控资料被记录下来，则属于1995年《欧盟数据保护指令》（95/EC/46）的调整范畴[7]。鉴于当前无人机拍摄负载对个人信息的高度采集以及本地储存+云储存模式，自应属于我国《个人信息保护法》的调整范围。

美国法认为，任何无人驾驶航空器或无人驾驶航空器系统的运行均应以尊重和保护个人隐私的方式进行，符合美国宪法以及联邦、州和地方法律⑨。联邦层面，以美国联邦航空管理局（Federal Aviation Administration,FAA）为代表的机构宏观地提出了无人机飞行的行为准则，各州在《无人机隐私和透明度法》《无人机飞行最佳行为准则》的框架之下，纷纷就无人机领域的隐私和个人信息问题作出各有特色的立法尝试，但总体呈现出对无人机拍摄负载应用的高度限制样态。加利福尼亚州规定，如果某人未经许可故意进入他人土地、他人土地上空或以其他方式非法侵入他人土地，以捕捉他人从事私人、个人或家庭活动的任何类型的视觉图像、声音记录或其他物理印象，且侵犯行为的方式对合理的人构成冒犯，则该行为人应对实际侵犯隐私行为负责⑩。因此，无论是从个人信息主体授权同意处理抑或具有合理隐私期待的拍摄范围限制，《个人信息保护法》第二十六条均契合对无人机拍摄负载采取严格规制措施的价值取向。

综上所述，采用《个人信息保护法》第二十六条对无人机拍摄负载予以规制均具有法理上之正当性。除非符合明令的两项合法性依据，否则不得在公共场所使用无人机进行航拍。通过对携带拍摄负载的无人机航行进行事前审查，可以为个人信息权益乃至人格权提供较为全面的保护，预防道德风险和法律风险。

3.2 无人机拍摄负载应用的其他合法性依据

比较法上，针对无人机使用场景的不同，监管上也相应有宽严有度的规定⑪。若忽略无人机的使用场景径直适用《个人信息保护法》第二十六条对无人机拍摄负载应用进行规范，似有过分妨碍自由之嫌。相较于飞行权利、产业科技发展等，个人信息权益并不具有天然的法益优越性。因此，宜在实证法中寻求划界条款，明确《个人信息保护法》第二十六条的适用范围以及借助弹性条款进行利益衡量以破除僵硬制度设计的窠臼，结合无人机的用途，分类监管和构建个人信息合理使用制度，以形成完善且张弛有度的规范体系。

3.2.1 私人事务例外规则

无人机的监管措施应充分平衡飞行权利、产业发展与飞行风险三者的关系。在制度设计中以无人机重量、用途、运行空域为重点对无人机风险予以评估，对不同风险的无人机设置差异化的准入条件和程序[8]。因此，无人机的监管体系本质上是利益衡量后的成果。实证法上的具体表现即为无人机的分类监管措施。全球范围内大部分国家和地区的无人机立法已采用分类监管的模式。《条例》中也按照性能指标对无人机进行了分类，并进一步采取不同的监管措施。但“微型、轻型、小型、中型、大型”的分类模式仍然是以重量为主，基于此展开的监管模式并未能全面考虑到无人机的使用场景等因素。公务、商业、娱乐休闲等用途产生的飞行风险显然是不同的。《条例》第五十七条规定的“无人驾驶航空器在室内飞行不适用本条例。”这显然是监管部门注意到无人机使用场景对监管措施的影响从而提出的豁免条款。

《个人信息保护法》第七十二条亦规定了“私人事务例外规则”以豁免《个人信息保护法》在“私人事务”领域的适用。该制度沿革自GDPR第2条之规定，其背后的法理在于“比例原则”在私法领域的适用。但相较于GDPR的规定，《个人信息保护法》第七十二条之规定缺少“纯粹”一词，随之带来的是法律适用解释立场的不同。因为“合法利益豁免”⑫条款的存在，欧盟裁判立场对“私人事务例外规则”的适用是十分谨慎的[9]。对“私人事务例外规则”持严格解释立场，“凡是涉及公共领域的图像采集——例如，涉及公共领域的私人行车记录仪和配备摄像头的无人机——无论目的如何，均非GDPR私人事务例外条款中的私人事务。”[10]但我国《个人信息保护法》中并不存在类似利益衡量条款，对“私人事务例外规则”的解释不宜采取严格解释立场。“尤其《个人信息保护法》第二十六条中将公共领域摄像头安装之合法处理理由仅限于‘公共安全’和‘同意’，如此规范背景下，实在不宜严格解释单独负担划界重任的私人事务例外规则。”[11]因而，若无人机使用行为可以被认定为“私人事务”，自然无须受《个人信息保护法》第二十六条的约束。

3.2.2 个人信息合理使用制度

无人机拍摄负载的应用若符合《个人信息保护法》或《中华人民共和国民法典》（以下简称《民法典》）所规定的个人信息合理使用情形，则无须受到《个人信息保护法》第二十六条的严格限制。

首先，从司法实践以及比较法视角观之，应肯定的是，个人信息的合理使用制度能够作为处理个人信息的合法性前提。在“伊某诉江苏苏州某公司个人信息权纠纷案”中，法院认为“被告的行为属于对已合法公开信息的合理使用”，在个人信息主体明确拒绝信息处理行为之前，该行为具有正当性。域外立法实践中多设定有利益衡量条款等弹性条款，以扩张个人信息处理行为的合法性依据。例如，GDPR规定的“四类目的条款”⑬和“合法利益豁免”等。无人机拍摄负载的使用涉及多项个人信息处理行为，因此，合理使用制度自然可以作为其应用的正当性基础。

其次，个人信息的合理使用制度的体系建构源于《个人信息保护法》与《民法典》的合力。有学者立足《民法典》之规范体系，建构了个人信息合理使用制度[11]；其中，普适性的合理使用制度主要见于《民法典》第九百九十八条及第九百九十九条规定的人格权合理使用制度、第一千零二十条规定的肖像权合理使用制度、第一千零二十三条规定的声音法益合理使用制度以及第一千零三十六条规定的个人信息合理使用制度。而《个人信息保护法》中的利益衡量条款集中于第十三条的规定，第一款第（一）项规定的知情同意规则以及第（二）项的合同所必需的规则，第（三）项至第（六）项蕴含个人信息处理中的利益衡量，在特定情形下能够为个人信息处理行为提供正当性基础。

最后，在规范适用中，《个人信息保护法》与《民法典》是平行适用关系，二者规范的对象不同。对于私法领域规范之冲突，应针对具体冲突事项结合立法目的及基本法律原则进行个别分析，以决定何者优先适用。本文所探讨的“无人机拍摄负载侵权问题”行为规范确属私法领域。当前司法实践所采用的肖像权、隐私权救济路径系对人格权益提供的事后救济，而对于私权保护而言，提前介入的《个人信息保护法》是防止危险发生，而非针对人格权益的现实加害或者威胁作出回应。所以理应优先适用《个人信息保护法》第二十六条的规定。但如前所述，该条文所确立的行为规范范围过大，制度适用十分僵化，应扩充个人信息处理行为的合法性依据。因此应充分激活《个人信息保护法》第十三条，发挥利益衡量条款的规范功能，突出第一款第（七）项“法律、行政法规规定的其他情形”的规范引致功能，将《民法典》中的个人信息合理使用制度引入个人信息处理行为的合法性评价体系。例如，并未取得各个信息主体的单独同意也不是出于维护公共安全的目的，使用无人机拍摄负载进行拍摄，若满足《民法典》第一千零二十条所规定的合理使用情形，则不应苛责其违法。

4 结语

科技的发展对法律体系带来的冲击不言而喻，无人机的出现无疑便利了人们的生产生活，但无人机产业的迅速扩张也意味着法律风险的剧增。对于实证法上规范体系中的无人机拍摄负载规范的私法缺位问题，可通过《个人信息保护法》予以填补。《个人信息保护法》第二十六条为规制“图像采集设备”提供了规范基础，应充分激活其规范效用，将移动图像采集设备纳入规范范畴。即除非符合两项合法性依据，否则不得使用移动拍摄设备进行摄录。但仍应注意的是，《个人信息保护法》第二十六条规范范围过大的问题，如果不加以限制容易造成其他法益侵害，应以“私人事务例外规则”作为划界条款限定《个人信息保护法》的适用范围。同时，应充分发挥引致条款的作用，以《民法典》的弹性条款扩充个人信息合理使用制度，从而在专门立法出台之前，构建周延完善的无人机拍摄负载的私法规范体系。

注释：

①按照无人机应用的不同领域可以分为军用无人机、民用无人机和消费级无人机。消费级无人机是指从功能上讲，适合普通消费者操作控制，入门简单，主要用于飞行和娱乐以及摄影领域的无人机。

②《无人驾驶航空器飞行管理暂行条例》第六十二条第（七）项：无人驾驶航空器系统，是指无人驾驶航空器以及与其有关的遥控台（站）、任务载荷和控制链路等组成的系统。其中，遥控台（站）是指遥控无人驾驶航空器的各种操控设备（手段）以及有关系统组成的整体。

③北京市第三中级人民法院（2022）京03民终716号民事判决书；河南省开封市中级人民法院（2017）豫02民终1186号民事判决书。

④辽宁省沈阳市和平区人民法院（2018）辽0102民初12288号民事判决书。

⑤《男子利用无人机直播女子裸居画面 被行拘10日》，载中国新闻网：https://www.chinanews.com.cn/sh/2017/07-06/8271018.shtml.最后访问时间：2023年8月13日。

⑥《无人驾驶航空器飞行管理暂行条例》（中华人民共和国国务院 中华人民共和国中央军事委员会令第761号）。

⑦《无人驾驶航空器飞行管理暂行条例》第五十六条规定：“造成人身、财产或者其他损害的，依法承担民事责任。”

⑧杭州市富阳区人民法院（2019）浙0111民初6971号民事判决书，杭州市中级人民法院（2020）浙01民终10940号民事判决书。

⑨FAA REAUTHORIZATION ACT OF 2018.SEC.357.UNMANNED AIRCRAFT SYSTEMS PRIVACY POLICY.It is the policy of the United States that the operation of any unmanned aircraft or unmanned aircraft system shall be carried out in a manner that respects and protects personal privacy consistent with the United States Constitution and Federal,State,and local law.

⑩Assembly Bill No.856.CHAPTER 521,An act to amend Section 1708.8 of the Civil Code,relating to privacy.

⑪例如，澳大利亚的无人机法案规定，将无人机飞行分为娱乐休闲飞行、商业飞行、在自己领地上空飞行三类，详细规定参见：https://www.casa.gov.au/knowyourdrone，最后访问时间：2023年8月21日；美国法上将无人机飞行分为公共运行、民用运行和娱乐行为，详细规定参见：https://www.faa.gov/uas，最后访问时间：2023年8月21日。

⑫GDPR第6条第1款规定“为实现数据控制者或第三方合法利益”，可无须征得数据主体同意而对数据主体的个人信息进行处理。

⑬GDPR第85条第1款授权成员国可以在新闻、学术、艺术和文学四种目的之下的个人信息处理领域，制定兼顾信息交流自由和本法所追求的个人信息保护之目的的规则。