我国个人信息民法保护的必要性及路径
熊 庄
（中山大学法学院 广东广州 510300）
【摘要】民法在保护个人信息中的作用具有无法取代的优势，应当得到加强和完善。民法对个人信息保护的路径应当包括事前保护与事后保护，其中事前保护以确立个人信息权为基础，事后保护包括侵权责任和违约责任。
【关键词】个人信息；民法保护；理论界定；必要性；路径
日常生活中，刚有宝宝出生的家庭常会接到推销保险的电话，房屋业主常被中介电话询问是否出售房屋。而保险公司、房屋中介何以知悉私人电话等信息，人们却蒙在鼓里。诸如此类个人信息被泄漏以至干扰人们正常生活的现象时有发生。人们在抱怨之后往往不了了之，而个人信息被侵犯的现象却在不断蔓延。抱怨不能从根本上解决问题，借助法律保护才是根本出路。目前我国各界对个人信息保护立法的呼声很高，相关专家建议稿已提交国务院，并引起广泛讨论。本文从对个人信息民法保护的必要性及路径进行探讨，期望对立法提供参考。
一、对个人信息的理论界定
理论与实务界对“个人信息”做出的界定不一，主要有‘隐私说’和‘识别说’两种观点。其中，“隐私说”认为，个人信息是指个人不愿向外透露的或是个人极为敏感而不愿他人知道的个人信息；“识别说”认为，个人信息是指一切足以构成对个人进行识别的信息，如姓名、性别、身高、血型、住所、职业、财产及婚姻状况等都包括在内”。[[1]]
本文认为，采用“识别说”来界定“个人信息”更为恰当，理由如下： 首先，“隐私”本身是一个不确定的概念。例如，美国法上的隐私权外延非常宽泛，其“功能相当于台湾法上的人格权”[[2]]，而台湾法上的隐私则是“一种个别人格权”。从通常理解来看，“隐私是指那些仅与特定人的利益或人身发生联系，且权利人不愿为他人所知晓，且不愿为他人所干涉的个人领域”[[3]]。用这样一个存在争议的词去界定另外一个词，无法将被界定者定义清楚。
其次，采用“识别说”对信息所属者的保护更为全面周到。按通常理解的隐私范围狭窄，具有客观性和主观性两个层面，客观性是指“尚未公开，涉及个人的私生活”，主观性是指“不确定性，公开会使人感到不快、不安”。[[4]]“识别说”下的个人信息外延显然大过“隐私”，有些信息的公开未必使人感到不快或者不安，只有被别人非法或者不合理利用时才产生心理上的不适感。例如，姓名一般不能作为隐私，却可成为“识别说”下的个人信息在必要时得到保护。 再者，采用“识别说”与世界上多数国家的通行做法相符，有助于与国际立法接轨。“识别说”已被诸多国际公约、国外立法采用。例如，我国台湾地区的《个人资料保护法》修正案第2条第一款规定，“个人资料指自然人之姓名、出生年月、国民身份证统一编号、护照号码、特征、指纹、婚姻、家庭、教育、职业、病历、基因、性生活、健康检查、犯罪前科、
联络方式、财务情况、社会活动及其他得以直接或间接方式识别该个人之数据。”日本、加拿大等国的相关立法中均采用“识别说”。我国《个人信息保护法》专家建议稿中也将“个人信息”界定为“个人姓名、住址、出生日期、身份证号码、
医疗记录、人事记录、照片等单独或与其他信息对照可以识别特定的个人的信息”[[5]]，应该继续采用这种界定方式。
二、个人信息民法保护的必要性
从我国《个人信息保护法》专家建议稿的内容来看，特别是从第四章法律的实施保障与救济、第五章法律责任来看，该稿侧重于从行政法角度对个人信息加以保护。有学者认为，“个人信息保护法实际上是有关个人信息的管理法或者有关个人信息处理者的管理法”[[6]]。笔者认为，除了运用行政法方法、刑法方法等保护个人信息外，更应突出民法方法对个人信息的保护。
有关个人信息产生、发送、传递和接受的许多行为都是民事行为。“个人信息的处理活动，尤其是各种非公共部门的个人信息处理活动涉及的是该部门同个人信息的本人之间的私人关系，本质上属于平等主体之间的民事关系”。现实生活中，直接侵犯个人信息的行为多表现为民法上的侵权行为，只是需要进一步论证这些行为究竟侵犯了何种权利。实践中，有些案例以侵犯名誉权定性，有些案例以侵犯隐私权定性，但还有一些案例却因为立法不完善而不能准确定性。对于民事行为的法律规制任务理应由民法方法承担。
与刑法方法、行政法方法相比，民法方法对个人信息进行保护具有成本低、效率高、灵活、便利等优势。
我国２００９年２月通过的刑法修正案七增加了“出售、非法提供公民个人信息罪”与“非法获取公民个人信息罪”。司法实践中也已出现以“非法获取公民个人信息罪”定罪的司法判例。然而，通过最严厉的刑法方法惩治侵犯个人信息的行为并非理想选择，它只能惩治社会危害性大、情节严重的犯罪行为，许多侵犯个人信息的行为尚达不到犯罪的程度，刑法对于生活中时时处处可能出现的泄漏或者非法获取个人信息但情节轻微的行为束手无策。
通过行政法方法规制涉及个人信息的相关行为具有合理性。一方面，行政机关自身会做出与个人信息相关的行为，“社会的进步和发展，使政府部门、非政府部门、授权行使一定行政职能的组织、商业部门、个人等，经常会收集、保存、处理大量的个人信息”；另一方面，当侵犯个人信息的行为无处不在，以至影响到人们的正常生活时，采用行政法方法加以适当干涉是必须的。但是，在行政法方法调整的过程中，由于行政机关牵涉其中，程序可能变得严格，解决问题的途径不如民法方法灵活，例如民法可以由当事双方互相协商解决，而行政法方法在解决问题的方式上可能受到行政机关地位与职能的限制。
另外，当前在我国通过宪法方法保护个人信息权也不现实，一方面我国宪法对公民基本权利的完善不是短时期内可以完成的事情，另一方面我国宪法缺乏可诉性，即便在宪法中明确规定个人信息权，如何落实也是个问题。
因此，民法方法具有无法取代的优势，民法方法在保护个人信息中的作用应当得到加强和完善。
三、个人信息的民法保护路径
目前，我国涉及个人信息民法保护的主要立法有《民法通则》、《侵权责任法》等法律及
最高人民法院相关司法解释。其中，《民法通则》第五条“公民、法人的合法的民事权益受法律保护，任何组织和个人不得侵犯”可以视为个人信息受民法保护的基本依据，第五章第四节人身权部分规定了个人信息的部分内容（如姓名权、肖像权等），第六章民事责任部分可以视为追究侵犯个人信息行为责任的依据。2009年12月通过、2010年7月1日起施行的《侵权责任法》是一部民事特别法，对侵权
责任的构成等作了更为详尽的规定，尽管该法第二条所列举的“民事权益”中并未出现“个人信息权”，但立法不可能穷尽一切，可以通过对该条作扩大解释将个人信息权纳入其中，追究侵犯个人信息行为的侵权责任时当然适用该法。值得一提的是，《侵权责任法》第３６条专门就网络侵权做出规定，为个人信息保护提供了更加有力的保障。司法解释主要有《最高人民法院关于审理名誉权案件若干问题的解答》，但其仅涉及个人信息中的一小部分。
纵观我国目前民事立法，对于个人信息的保护仍存在不足，主要表现为：对个人信息缺乏系统保护，只能从零散的法律规定中寻找依据；从现有条文看，民法对个人信息能够提供的保护主要是事后保护，缺乏事前保护；事后保护主要体现为侵权责任，形式单一。
民法对个人信息保护的路径应当包括事前保护与事后保护，其中事前保护以确立个人信息权为基础，事后保护包括侵权责任和违约责任。将个人信息权作为一种独立的权利通过立法加以明确有助于更好的保护个人合法权益，它不同于隐私权和人格权，对其内涵可进一步探讨。事后保护体现为责任救济制度。对于侵权责任，有必要进一步明确侵犯个人信息权责任的构成要件、规则原则及责任承担方式。此外，有必要引入违约责任，原因在于个人信息权包含权利主体对权利的处分，倘若权利人合法转让或其他方式处分个人信息，并与受让人形成双方合同关系时，若受转让人存在违约，即可通过违约责任的方式使权利人得到救济。
【参考文献】
[1]陈红. 个人信息保护的法律问题研究. 浙江学刊，2008年第3期
[2]王泽鉴.人格权的具体化及其保护范围·隐私权篇（中）.比较法研究. 2009年第1期
[3]李显冬.人身权法案里重述. 中国政法大学出版社，2007年3月.第226页
[4]田禾. 亚洲信息法研究. 中国人民公安大学出版社，2007年4月.第140页
[5]见中华人民共和国个人信息保护法（专家建议稿）.第九条
[6] [日]牧野二郎. 网络与个人信息. 法律时报（日本），第72卷第10号
【作者简介】
熊庄（1979—）男，湖北武汉人，中山大学民商法专业在职研究生。
我国个人信息民法保护的必要性及路径
熊 庄
（中山大学法学院 广东广州 510300）
【摘要】民法在保护个人信息中的作用具有无法取代的优势，应当得到加强和完善。民法对个人信息保护的路径应当包括事前保护与事后保护，其中事前保护以确立个人信息权为基础，事后保护包括侵权责任和违约责任。
【关键词】个人信息；民法保护；理论界定；必要性；路径
日常生活中，刚有宝宝出生的家庭常会接到推销保险的电话，房屋业主常被中介电话询问是否出售房屋。而保险公司、房屋中介何以知悉私人电话等信息，人们却蒙在鼓里。诸如此类个人信息被泄漏以至干扰人们正常生活的现象时有发生。人们在抱怨之后往往不了了之，而个人信息被侵犯的现象却在不断蔓延。抱怨不能从根本上解决问题，借助法律保护才是根本出路。目前我国各界对个人信息保护立法的呼声很高，相关专家建议稿已提交国务院，并引起广泛讨论。本文从对个人信息民法保护的必要性及路径进行探讨，期望对立法提供参考。
一、对个人信息的理论界定
理论与实务界对“个人信息”做出的界定不一，主要有‘隐私说’和‘识别说’两种观点。其中，“隐私说”认为，个人信息是指个人不愿向外透露的或是个人极为敏感而不愿他人知道的个人信息；“识别说”认为，个人信息是指一切足以构成对个人进行识别的信息，如姓名、性别、身高、血型、住所、职业、财产及婚姻状况等都包括在内”。[[1]]
本文认为，采用“识别说”来界定“个人信息”更为恰当，理由如下： 首先，“隐私”本身是一个不确定的概念。例如，美国法上的隐私权外延非常宽泛，其“功能相当于台湾法上的人格权”[[2]]，而台湾法上的隐私则是“一种个别人格权”。从通常理解来看，“隐私是指那些仅与特定人的利益或人身发生联系，且权利人不愿为他人所知晓，且不愿为他人所干涉的个人领域”[[3]]。用这样一个存在争议的词去界定另外一个词，无法将被界定者定义清楚。
其次，采用“识别说”对信息所属者的保护更为全面周到。按通常理解的隐私范围狭窄，具有客观性和主观性两个层面，客观性是指“尚未公开，涉及个人的私生活”，主观性是指“不确定性，公开会使人感到不快、不安”。[[4]]“识别说”下的个人信息外延显然大过“隐私”，有些信息的公开未必使人感到不快或者不安，只有被别人非法或者不合理利用时才产生心理上的不适感。例如，姓名一般不能作为隐私，却可成为“识别说”下的个人信息在必要时得到保护。 再者，采用“识别说”与世界上多数国家的通行做法相符，有助于与国际立法接轨。“识别说”已被诸多国际公约、国外立法采用。例如，我国台湾地区的《个人资料保护法》修正案第2条第一款规定，“个人资料指自然人之姓名、出生年月、国民身份证统一编号、护照号码、特征、指纹、婚姻、家庭、教育、职业、病历、基因、性生活、健康检查、犯罪前科、
联络方式、财务情况、社会活动及其他得以直接或间接方式识别该个人之数据。”日本、加拿大等国的相关立法中均采用“识别说”。我国《个人信息保护法》专家建议稿中也将“个人信息”界定为“个人姓名、住址、出生日期、身份证号码、
医疗记录、人事记录、照片等单独或与其他信息对照可以识别特定的个人的信息”[[5]]，应该继续采用这种界定方式。
二、个人信息民法保护的必要性
从我国《个人信息保护法》专家建议稿的内容来看，特别是从第四章法律的实施保障与救济、第五章法律责任来看，该稿侧重于从行政法角度对个人信息加以保护。有学者认为，“个人信息保护法实际上是有关个人信息的管理法或者有关个人信息处理者的管理法”[[6]]。笔者认为，除了运用行政法方法、刑法方法等保护个人信息外，更应突出民法方法对个人信息的保护。
有关个人信息产生、发送、传递和接受的许多行为都是民事行为。“个人信息的处理活动，尤其是各种非公共部门的个人信息处理活动涉及的是该部门同个人信息的本人之间的私人关系，本质上属于平等主体之间的民事关系”。现实生活中，直接侵犯个人信息的行为多表现为民法上的侵权行为，只是需要进一步论证这些行为究竟侵犯了何种权利。实践中，有些案例以侵犯名誉权定性，有些案例以侵犯隐私权定性，但还有一些案例却因为立法不完善而不能准确定性。对于民事行为的法律规制任务理应由民法方法承担。
与刑法方法、行政法方法相比，民法方法对个人信息进行保护具有成本低、效率高、灵活、便利等优势。
我国２００９年２月通过的刑法修正案七增加了“出售、非法提供公民个人信息罪”与“非法获取公民个人信息罪”。司法实践中也已出现以“非法获取公民个人信息罪”定罪的司法判例。然而，通过最严厉的刑法方法惩治侵犯个人信息的行为并非理想选择，它只能惩治社会危害性大、情节严重的犯罪行为，许多侵犯个人信息的行为尚达不到犯罪的程度，刑法对于生活中时时处处可能出现的泄漏或者非法获取个人信息但情节轻微的行为束手无策。
通过行政法方法规制涉及个人信息的相关行为具有合理性。一方面，行政机关自身会做出与个人信息相关的行为，“社会的进步和发展，使政府部门、非政府部门、授权行使一定行政职能的组织、商业部门、个人等，经常会收集、保存、处理大量的个人信息”；另一方面，当侵犯个人信息的行为无处不在，以至影响到人们的正常生活时，采用行政法方法加以适当干涉是必须的。但是，在行政法方法调整的过程中，由于行政机关牵涉其中，程序可能变得严格，解决问题的途径不如民法方法灵活，例如民法可以由当事双方互相协商解决，而行政法方法在解决问题的方式上可能受到行政机关地位与职能的限制。
另外，当前在我国通过宪法方法保护个人信息权也不现实，一方面我国宪法对公民基本权利的完善不是短时期内可以完成的事情，另一方面我国宪法缺乏可诉性，即便在宪法中明确规定个人信息权，如何落实也是个问题。
因此，民法方法具有无法取代的优势，民法方法在保护个人信息中的作用应当得到加强和完善。
三、个人信息的民法保护路径
目前，我国涉及个人信息民法保护的主要立法有《民法通则》、《侵权责任法》等法律及
最高人民法院相关司法解释。其中，《民法通则》第五条“公民、法人的合法的民事权益受法律保护，任何组织和个人不得侵犯”可以视为个人信息受民法保护的基本依据，第五章第四节人身权部分规定了个人信息的部分内容（如姓名权、肖像权等），第六章民事责任部分可以视为追究侵犯个人信息行为责任的依据。2009年12月通过、2010年7月1日起施行的《侵权责任法》是一部民事特别法，对侵权
责任的构成等作了更为详尽的规定，尽管该法第二条所列举的“民事权益”中并未出现“个人信息权”，但立法不可能穷尽一切，可以通过对该条作扩大解释将个人信息权纳入其中，追究侵犯个人信息行为的侵权责任时当然适用该法。值得一提的是，《侵权责任法》第３６条专门就网络侵权做出规定，为个人信息保护提供了更加有力的保障。司法解释主要有《最高人民法院关于审理名誉权案件若干问题的解答》，但其仅涉及个人信息中的一小部分。
纵观我国目前民事立法，对于个人信息的保护仍存在不足，主要表现为：对个人信息缺乏系统保护，只能从零散的法律规定中寻找依据；从现有条文看，民法对个人信息能够提供的保护主要是事后保护，缺乏事前保护；事后保护主要体现为侵权责任，形式单一。
民法对个人信息保护的路径应当包括事前保护与事后保护，其中事前保护以确立个人信息权为基础，事后保护包括侵权责任和违约责任。将个人信息权作为一种独立的权利通过立法加以明确有助于更好的保护个人合法权益，它不同于隐私权和人格权，对其内涵可进一步探讨。事后保护体现为责任救济制度。对于侵权责任，有必要进一步明确侵犯个人信息权责任的构成要件、规则原则及责任承担方式。此外，有必要引入违约责任，原因在于个人信息权包含权利主体对权利的处分，倘若权利人合法转让或其他方式处分个人信息，并与受让人形成双方合同关系时，若受转让人存在违约，即可通过违约责任的方式使权利人得到救济。
【参考文献】
[1]陈红. 个人信息保护的法律问题研究. 浙江学刊，2008年第3期
[2]王泽鉴.人格权的具体化及其保护范围·隐私权篇（中）.比较法研究. 2009年第1期
[3]李显冬.人身权法案里重述. 中国政法大学出版社，2007年3月.第226页
[4]田禾. 亚洲信息法研究. 中国人民公安大学出版社，2007年4月.第140页
[5]见中华人民共和国个人信息保护法（专家建议稿）.第九条
[6] [日]牧野二郎. 网络与个人信息. 法律时报（日本），第72卷第10号
【作者简介】
熊庄（1979—）男，湖北武汉人，中山大学民商法专业在职研究生。