王雨珊

天津市烟草专卖局，天津 300000

网络信息技术的发展、应用与成熟已经成为社会现代化的标志之一，因此，现今社会更加注重公共利益、信息自由、信息数据安全、个人信息使用与存储的保护。2021年施行的《中华人民共和国民法典》（以下简称《民法典》）对个人信息保护的一系列规定充分说明了最高立法机关对个人信息民法保护的高度重视。

在烟草行业在大力进行现代化烟草经济体系建设的同时，密切关注并着力进行电子商务终端运行的新模式的建设，随之而来的就是对信息化要求的逐步提高。行业也已经充分注意到加强零售终端系统数据尤其涉及零售客户个人信息数据安全性的工作的重要性，主动作为，积极开展对零售终端系统数据中涉及相关个人信息数据的保护工作。因此，本文以《民法典》颁布为契机，尝试探讨在《民法典》语境下烟草行业对零售客户个人信息保护工作的相关问题和完善方向，并以A省烟草行业零售终端的个人信息保护为例进行具体分析。

一、个人信息的基本理论

（一）个人信息的概念

2021年1月1日施行的《民法典》第一编总则第五章民事权利第一百一十一条中已经对“个人信息”的保护进行了明确规定。《民法典》对自然人的个人信息进行保护具有与时俱进的法律意义和社会意义，这表明民法已经认可了个人信息成为需要保护的自然人法益，体现出人格的尊严和自由受到法律的尊重。

在《民法典》第四编人格权编第六章中设置“隐私权和个人信息保护”一节，其中第一千零三十四条定义了个人信息，其内容基本沿袭的是《网络安全法》第七十六条中定义的个人信息的概念，但该条对个人信息的内涵和外延设定更加广泛，即不再限于网络语境下的个人信息保护。

同时，《民法典》第四编人格权编第六章“隐私权与个人信息保护”第一千零三十五条对于第一百一十一条中的“不得非法”做出了细化规定，第一千零三十六条还从抗辩事由的角度规定了不承担民事责任的情形，通过条文的规定与内部逻辑，我们不难得出一个结论：收集个人信息的行为只能在法律轨道上进行，而不能进行随意的收集。因此，这就为企业，尤其是具有专营专卖性质的烟草行业在收集、使用和处理零售客户个人信息的时候划出一道“底线”，这不仅是对经营对象的法定保护，更是对行业规范经营管理的一次法治自检。

（二）个人信息的特征

1.个人信息的主体是自然人

对个人信息主体的定义，仅限于自然人，法人、非法人组织不包含在内。根据相关法律规定，虽自然人、法人和非法人组织的数据权和网络虚拟财产权受到法律保护，但由于上文所述，法人和非法人组织并非个人信息保护主体，因此不享有个人信息的权利。进一步分析，当个人信息剥离了个人化或去掉可识别化后，即可被处理为数据或大数据，以这样的形态是可以成为财产权益客体的。我们知道，法人和非法人组织参加民事活动的“准入资格”与自然人不同，即需要以登记、公示等形式来进行。在社会运行过程中考虑到公共利益及交易安全，要求法人和非法人组织原则上要向社会公开自身相关信息。因此，无论从主体的受保护价值层面，还是从法律对所保护主体的要求层面，在保护的主体上区分自然人和法人、非法人组织是有一定意义的。诚然，法人和非法人组织在一些特定情形和环境中也享有人格权，例如，商誉、名誉等。但是应当认识到，个人信息是一项由自然人独特享有的人格权。［1］

2.个人信息所保护的法益是自然人的人格权利和财产利益的结合

《民法典》对个人信息保护体现在个人信息的收集、存储、利用，为了防止个人信息被非法收集、利用所产生的侵害自然人人格权益、自然人人身自由的风险，以及对自然人人格权和财产权进行侵害的危险而通过法律加以确定和保护。就自然人而言，其所在意并应当得到保护的是人格利益，尤其是当原始个人信息处于未被加工、分析时或利用的“静态”时，这样的数据被泄露、窃取等行为确实属于侵犯自然人的人格权。因此，个人信息的人格权益属性体现的是信息主体对于其个人信息的“支配性”。反之，通过大量的个人信息（数据）收集加工后可以形成大量的商业化利益，其商业化价值的实现是在个人信息产生的基础上实现的，而这样的财产利益，某种程度上是信息主体对个人信息的一种“限制”。

由此可见，在现代信息社会，个人信息不仅强调保护，更加强调利用；侵害这些人格权，不仅造成受害人精神损害，还可能造成受害人财产损害。个人信息既然用于识别信息主体，宜将其作为人格权保护，同时要充分认识其具备精神利益与物质利益双重属性，［2］因此，个人信息所保护的法益是自然人的人格权利和财产利益的结合，正是这样的结合才能构成支配程度与利用空间之间的平衡。

3.个人信息具有可支配性

保护自然人的个人信息，主要是保护其自身对个人信息的支配权。据此，自然人具有允许或不允许个人信息被他人收集的自由，也有请求他人对本人信息数据进行删除、断开链接或屏蔽的权利，从而保护自身信息的真实、完整和安全。

二、烟草行业对零售客户个人信息的保护

（一）烟草行业保护零售客户个人信息的必要性

随着网络信息技术时代的到来，信息及大数据赋予的价值也呈几何量级增长。面对井喷式的个人信息数据增长，某些不法分子非法攫取公民的个人信息的违法成本没有相应提升，这致使公民不仅遭受了侵害还要为上述的违法行为“埋单”。

因此，近几年我国愈发重视对公民个人信息的保护，分别颁布了《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》等多部法律法规，从公法及私法层面对个人信息的保护、信息管理者义务、信息处理的相关要求进行规制。我国烟草行业作为具有专营专卖特殊性质的企业，深入贯彻全面依法治国要求，以强烈的法律意识和社会责任感，不断加强数据安全和个人信息安全工作。本文在《民法典》语境下，分析A省烟草行业在零售终端加强个人信息安全工作的具体措施并提出相关完善建议。

（二）烟草行业保护零售客户个人信息的具体措施——以A省烟草行业零售终端的个人信息保护为例

A省烟草营销中心（以下简称“营销中心”）依据中国卷烟销售公司相关通知要求，升级改造其零售终端新商盟网站，自2020年5月27日起，通过零售终端“新商盟”向客户推送《A省新商盟关于推送〈新商盟网站信息保护说明〉的通知》。要求零售客户使用个人账号登录一次新商盟网站，阅读《新商盟网站信息保护说明》（以下简称《说明》）。在零售客户同意此政策，并点击同意后即可正常开始使用网站和服务。

营销中心按照《APP违法违规收集使用个人信息行为认定方法》第一条的相关规定，在首次运行时通过弹窗等明显方式提示用户阅读信息收集、使用和保护协议，并保证协议易于访问，在进入APP主界面后，不多于4次点击等操作即能够进行访问，在零售客户登录时即将在零售客户使用网站前收集、使用其个人信息事项以协议形式进行明示，并以说明形式加以具体介绍和解释。

从安全协议的性质来看，零售客户并没有支付金钱对价，在主观上也没有支付对价的意识，只是存在告知并征求零售客户收集其相关个人信息，因而用户和网络运营者，即营销中心之间形成的是一种合同。从利益的角度出发，由于双方并未支付对价，即此合同可理解为无偿合同。而《新商盟网站信息保护说明》可认为是对安全协议具体内容加以说明和明确双方权利与义务，并作为附件存在于合同中，属于合同的一部分。

（三）对应《民法典》中关于个人信息的规定对《说明》进行分析

《新商盟网站信息保护说明》共七条内容，其中第一至第五条分别为：1.用户信息收集方式；2.用户信息的使用；3.用户信息的存储；4.用户信息的共享、转让和披露；5.用户信息的管理。下面，笔者试对应《民法典》中关于个人信息的规定对《说明》进行分析：

对应《民法典》第一千零三十五条的相关规定，在《说明》的第一条所规定的用户信息的收集方式是对《民法典》第一千零三十五条第三款的呼应，与其说是“用户收集方式”的规定，其内容更主要的是明示了处理信息的范围。同时，《说明》第一条中也在明确营销中心收集范围同时列举了收集个人信息的方式。例如，第一条第一款：“当您在A省烟草专卖局办理烟草专卖零售许可证手续时，依据法律法规及监管规定，我们会收集您的姓名、身份证号、银行卡号、营业执照、经营地址、负责人电话等个人信息。”

《说明》第二条做出了“用户信息的使用”的相关规定，其实质是明示获取用户信息的用途，也就是对应了《民法典》第一千零三十五条第三款“明示处理信息的目的”的要求。

《说明》第三条“用户信息的存储”对应了《民法典》第一千零三十五条第三款“明示处理信息的方式”，其中的第三款“我们将遵守相关法律规定，采取合理措施保障用户信息的安全，以防止用户信息在意外的、未经授权的情况下被非法访问、复制、修改、传送、遗失、破坏、处理或使用。例如，使用加密技术进行信息传输、数据库加锁等手段来保护您的用户信息”。对应的是《民法典》第一千零三十八条“信息处理者应当采取技术措施和其他必要措施，确保其收集、存储的个人信息安全，防止信息泄露、篡改、丢失；发生或者可能发生个人信息泄露、篡改、丢失的，应当及时采取补救措施，按照规定告知自然人并向有关主管部门报告”的相关规定。在体例上，笔者认为第三款更多的说明了信息使用者妥善保存、管理的义务，因此，将其纳入“用户的信息管理”中更为完整和全面。

《说明》第四条“用户信息的共享、转让和披露”可以对应上文所提《民法典》第一千零三十八条“未经自然人同意，不得向他人非法提供其个人信息”的内容，把用户信息的共享、转让和披露的情况向零售客户进行了列举说明。

三、对A省烟草行业保护零售客户个人信息的措施的评价

通过以上的对照分析，A省烟草行业在保护零售客户个人信息的措施上是有很多值得肯定之处的，具体表现为以下三个方面：

（一）与《民法典》对个人信息的规定具有高度契合。从上文的条文分析中可看出，A省烟草行业零售终端推出的安全协议和《说明》基本符合了《民法典》对个人信息保护相关条文要求。并在要求的框架下扩展并严于《民法典》条文要求程度，同时参考了《中华人民共和国网络安全法》《中华人民共和国政府信息公开条例》《APP违法违规收集使用个人信息行为认定方法》《个人信息安全规范》等多部法律法规，尽可能列举信息收集的范围、方式及存在的风险等。

（二）体现了个人信息所保护法益的内在价值。A省烟草行业零售终端对零售客户个人信息的保护中，不仅体现了对零售客户个人信息的保护，还体现了对信息处理方的规制，一方面是维护了零售客户个人信息的安全，另一方面也是保护了由此信息产生的商业利益的安全，从而把导致的人格权利的侵害或商业利益的侵害风险降到较低的程度。这正好契合了上文所提及的个人信息所保护的法益是自然人的人格权利和财产利益的结合的理论。

（三）贯彻了民法的基本原则。贯彻了民法的平等原则。A省烟草行业零售终端向零售客户推送的《说明》中，在明示零售客户其个人信息收集、使用及使用目的外，还明确表示了作为信息管理方的义务，例如，《说明》第三条第三、四款对管理个人信息时的法律依据，采取措施以及严格限制信息访问权限、要求相关工作人员签署保密协议等。从这个角度来看，约束自身管理行为，承担管理义务也是对零售客户个人信息坚实的保护。

（四）贯彻了自愿原则。A省烟草行业零售终端在首页弹窗中明确表示在零售客户同意并授权的基础上，信息管理方可能会收集相关信息。“若同意此《说明》内容，请点击同意的形式进行明示，即可开始使用网站和服务”，这样把零售客户个人信息的处分权利交到零售客户自己手上，充分体现了自愿的原则。