任启朋

(郑州大学 法学院，河南 郑州 450001)

在现代社会，个人信息的不当扩散与利用已成为危害公民权利的社会性问题，对个人信息进行保护已成为全球共识。2012年《关于加强网络信息保护的规定》将个人信息的保护提上日程，之后的《网络安全法》《民法总则》都规定了有关个人信息保护的内容。2020年5月通过的《民法典》使个人信息保护又上了一个台阶，其不仅在总则中明确规定个人信息受到法律保护，还创新性地在“人格权编”中单设一章，以显示我国加强个人信息保护的决心。但由于缺乏明确的法律定位和配套保护规则，在司法实践中，个人信息被侵害的现象日益多发，个人信息保护机制亟需完善。

一、个人信息保护的双重属性

个人信息，是指可识别的具体个人的信息，“可识别性”是个人信息保护的重要特征。无论是直接还是间接方式，只要能通过该信息可以识别出特定自然人，该信息就被认作是个人信息。易与个人信息混淆的概念是“隐私”。隐私一般被认为是个人所拥有的不愿意被外界知悉、讨论等的隐秘内容。[1]新颁布的《民法典》将隐私权列为一项独立的具体人格权，是为了使隐私主体拥有法律赋予的请求权，要求侵害者停止侵害(侵害行为主要包括刺探、泄露等)并赔偿损失，因此该权利保护的内容更加强调私密性。但《民法典》并未将个人信息保护定义为一种具体人格权。由此可知，二者既非包含关系也非独立关系。个人信息保护与隐私保护规范存在交叉，个人信息中包含私密信息。

个人信息不仅是人与人交往时的必备载体，而且也体现了个人与社会的关系，具有双重属性。自由主义认为，个人所拥有的价值与目的都不及其自我本身。社群主义则认为，每个人都是由其所处的社会所决定，无数个人构成了社会整体。虽然两者分属于不同学派，但都认为每个人的形成离不开两部分，即自我与社会，即人具有双重属性。除此之外，桑德尔提出“自我感知”与“被感知的自我”概念，其认为：对每一个人的解释都被包含于相互一连串关系的解释之中，即必须身处于社群这个大环境中解释自我。[2]个人信息具有人身性，即自我解释，由桑德尔的观念可得出个人信息的解释不仅需要自我感知而且还需要社群感知，个人信息具有双重属性——个体性与社会性。前者是指个人信息是认识个人的重要参数，其来源于个人并代表个人；后者则是指个人信息是在个人参与社会活动与他人交往联系中形成的可代表个人属性的信息。个人直接信息与个人间接信息的分类是以个人信息的双重属性为依据划分的。[3]前者是指个人信息是源于信息主体本身，无需其他信息辅助即可识别信息主体的信息，体现个人信息的个体性；后者则体现个人信息的社会性，即该信息本身并不具备可识别性，需要与其他信息相联系从而识别主体信息，其使用可能会对社会产生一定的影响。将个人信息作如此区分，并非是将二者割裂开来，事实上，二者相辅相成，共同构成了个人信息的内涵。在不同历史时期，同一国家可能会采取不同模式来进行个人信息保护，有的时期可能侧重于个体性的保护，有的时期可能侧重于社会性的保护，但绝非是单边性保护。

二、域外个人信息保护之偏重

(一)美国个人信息保护之侧重

美国人权观念与自由平等思想的盛行，形成了美国特色的个人信息保护制度，即个人信息保护就是隐私保护。正如丁晓东学者所说：“虽然美国法上采取‘大隐私’的概念，将信息隐私也视为隐私保护的一种，但实际上美国的信息隐私与传统的侵权隐私具有结构性的差异，其等同于其他国家的个人信息权利保护。”[4]隐私权主要保护与人身密切相关的因素，如“Whalen v．Roe案”。①该案不仅主张保护“做出某些重要决定的独立性”的利益，还主张隐私权保护的利益包括“防止披露个人事务中所体现出的个人利益”，即“信息隐私的宪法权利”，又称“信息隐私权”。正是从该案开始，美国的个人信息开始与隐私权联系在一起，信息隐私权被正式纳入到了广义隐私权的框架之中。美国公民在民主文化的影响下，表现出较强的个人主义色彩。托克维尔曾论述过美国式文化背景下个人与社会之间的关系。[5]而隐私保护的客体恰好就是个人与社会这种较为疏远的关系以寻求实现个人主义。因此，美国将个人信息保护等同于隐私保护，展现出其个人信息保护的个体性偏向。[6]虽然在人权主义的影响下，在美国个人有权去做任何事情，但美国也要求个人作为社会一员牺牲某些权利以获得政府对其的保护，如“Commonwealt of Kentucky v．Jeffrey Wasson 案”。②由此可见，美国政府对个人信息保护的“隐私权路径”并非绝对性保护，而是建立在保护社会的基础上。

(二)德国个人信息保护之侧重

德国对个人信息的保护更加偏向于个人信息的公共性，更加重视个人信息在社会交往中所发挥的作用。但德国的个人信息保护并非是对社会性的一种单边保护，而是将“尊严”概念融入其保护模式之中，并形成其特有的“领域理论”。该理论是指每个人的人格产生于不同的领域，基于人具有个体性与社会性的双重特性，因此领域也被分为个体领域与社会领域。由于每个人的个人信息分属于领域之中，因此个人信息如同其所处的领域一样也具有双重属性，即个体性与社会性。因为私领域被定义为个人排除周边影响得以获得自我的领域。[7]因此可以得出，私领域范围的界定是以划定公领域从而排除得出的，所以德国在确定个人信息的保护范围时也是以其公共性为标准进行划定，即德国采取的是以社会性为主要偏向的个人信息保护模式。

三、我国个人信息保护之探究

我国是唯一在立法上明确在个人信息的收集与使用阶段将信息主体的同意普遍化的国家。根据现行法律，③我国有关个人信息的保护形成了以“知情—同意”原则为基础，辅以“必要性原则”④与“目的一致性原则”的基本模式。我国的“知情—同意”原则是指信息主体对个人信息的流通、使用等有支配的权利，从这一原则可以看出，我国现阶段对个人信息的保护还是侧重于对个体性的保护。虽然该原则是保护人权的具体体现，但是个人信息是否非要经信息主体同意后才能流通并得以使用，这是深化我国个人信息保护机制所必须回答的问题。有学者认为，“立法形成的知情同意原则及其附随原则共同削弱了我国个人信息的流通性，使得信息资源无法充分利用并转化为信息生产力，从而约束我国创建信息创新型社会的进程。”[8]应当承认，相关原则设立的初衷都是为了使个人信息得到更好地保护，但不可否认，该原则的适用无疑会对社会的整体发展起到抑制作用。在现实生活中，信息主体的时间与精力有限，且冗长的用户协议可能对信息主体的理解能力有较高的水平要求，因此很可能会出现信息主体不阅读或粗略阅读用户协议即同意的现象。[9]随着信息化的发展，越来越多的社交网络需要通过对个人信息的大数据运算来满足消费者的需求，而且大多数信息也都离不开社交网络，在这种情况下，信息主体的同意已经没有太大的实质意义。

在当今大数据时代背景下，个人信息除了其所蕴含的人格尊严以外，越来越多的与社会的企业利益、公共利益联系在一起。我国现今的“知情—同意”原则已经不能满足有关个人信息的双重属性的保护需求，个人信息保护的关键不再仅仅是有关人格尊严的保护，更多的是平衡个人利益与社会利益。而我国现行法律更加侧重于保护个人信息的个体性，个人信息的社会性则被忽略。因此，在深化个人信息保护的研究时，应从个人信息的双重属性出发，在个人信息保护中平衡个人利益与社会利益，以便为我国的信息化建设提供法律保障。

个人信息保护应建立在信息生命周期理论之上，该理论是指信息在被处理的各个阶段其所代表的价值并非一成不变而是不断增减变化以求与其所处阶段相契合。[10]我国现今对个人信息的保护是较为静态地对个人信息进行保护。因此，应考虑在信息的不同阶段采取不尽相同的保护途径以求更好地保护个人利益与社会利益。首先，信息收集阶段是个人信息进行流通的开端，各种个人信息在此阶段被信息收集者进行汇合聚集。虽然在信息收集过程中关系更多的是信息主体的个人利益，但是信息收集阶段与个人信息能否合理流通有很大关系，如果在收集过程中过度赋予信息主体的决定地位，则会造成信息收集者的收集成本与难度。因此，在信息收集阶段应当以“一般允许为原则，个人控制为例外”，而不应当以“知情—同意”为框架。[11]如果为一般个人信息，则适用于一般允许原则；如果为敏感个人信息，因为其自身蕴含较多的个人隐私，还是应当给予信息主体较高的控制权。其次，对于信息的使用、加工、传输等应当比信息的收集进行更为严格的控制，因为在此阶段更多体现的是个人信息的社会性。在信息的存储与公开阶段，信息处理者往往会存储大量的个人信息，一旦遭到泄露，则很有可能对有关个人及社会造成严重的潜在威胁，因此在该阶段应当采取严厉措施以预防此种情况的出现。

在对信息进行分类的同时还应结合场景以求个人信息保护的合理性。越来越多的学者提出基于场景化对个人信息进行分类保护，这与国际较为前沿的个人信息保护理论是一致的。以海伦·尼森鲍姆的场景理论为例，其核心就是批判脱离场景与信息关系谈论个人信息权利保护。[12]例如，当电商平台利用收集的个人信息为信息主体提供个性化需求时，如果推荐的是一般商品可推定为其具有一定的合理性，但如果推荐的是特殊商品，如医疗产品，则该行为有可能违法。因为医疗行业是一个技术性的行业，普通人的认知可能与实际差距很大，因此信息收集者与使用者很有可能为了获得收益而推荐一些并不适合信息主体的产品，后果严重时还有可能对人的生命造成威胁。

注释：

①参见Whalen v．Roe，429 U．S．589(1976)。

②参见Commonwealth of Kentucky v．Jeffrey Wasson，842 S．W．2d 487。

③参见《网络安全法》第四十一条。

④参见《民法典》第一千零三十五条。