商希雪

(中国政法大学 刑事司法学院，北京 100088)

一、问题的提出

2012年发布的《全国人民代表大会常务委员会关于加强网络信息保护的决定》(以下简称《决定》)第11条规定，违反本决定而侵害他人民事权益的行为应当承担民事责任。该决定原则上提供了确定网络服务提供者和其他企事业单位实施侵犯个人信息私人利益行为应承担民事责任的法律依据。《民法典》第999条规定了人格权的合理使用方式，为侵害个人信息的民事救济提供了明确的法律依据。《民法典》第1035条规定了个人信息处理的原则和条件，第1036条继续规定了处理个人信息的免责事由。两条规定有所重合又互相补充，第1035条主要针对数据控制者的数据安保义务，对应行政或刑事责任。第1036条则暗示了如果数据控制者违规做出信息处理则应承担民事责任，但在某些特定情形下存在责任豁免。《民法典》这样的规制方式事实上呈现了数据控制者的完整责任体系，包括行政责任、刑事责任与民事责任，同时适用公法与私法的规制体系。《个人信息保护法(草案)》第65条明确了侵害个人信息权益的主体应承担民事责任。由此，我国在规范层面明确了侵害个人信息行为的民事责任依据。

根据保护法益的具体内容，个人信息保护的民事责任体系由两个维度构成：信息安全保障与信息权利行使。两类规范体系在适用场景、法益性质、核心原则、责任主体、责任性质、责任模式、处理机关上存在差异。……