1. 问题的提出
2016年8月，家住山东省临沂市即将迈入大学校园的徐某某，因家境贫寒向学校申请了助学贷款，徐某某在临近开学时接到了“资助办”的电话，称要为其发放助学贷款，但前提是需要徐某某汇入激活资金。然而，徐某某将准备上学的全部积蓄10,000元汇入后，“资助办”的“工作人员”却消失得无影无踪。徐某某在案发两天后报警，在派出所门口心脏骤停，最终离世。“8.19电信诈骗案”1因受害人的离世这一严重后果引起轩然大波，让人们不得不重视对个人信息的保护。令人遗憾的是，现实生活中非法收集、泄露个人信息的情况往往是隐秘的、不为人知的，甚至有不法分子窃取用户数据等个人信息在“暗网”中公开售卖，“买家”在购买后将个人信息用作电信诈骗、网络诈骗、恶意营销。
公民自然是保护自己个人信息的最大责任主体，但由于个人信息泄露的隐蔽个人技术手段不足等，公民对个人信息的保护存在不可避免的局限性。为了回应人们对保护个人信息不受侵害的呼声，立法机关迅速做出反应，个人信息先后出现在《消费者权益保护法》《民法典》中，2021年我国正式出台《个人信息保护法》。个人信息被引入我国的私法规范，随之而来的基础问题也亟待解决——即个人信息在当前的私法框架中究竟应当被理解为一项权利还是一种法益[1]？《民法总则》第111条是个人信息保护相关规范首次进入我国私法规范体系中。《民法典》第111条是对该条款的直接沿用。在内容上，该条款仅对行为义务进行设定，并未指明个人信息在民法体系中的性质。因此，这一“留白”也为个人信息民法属性的确定、保护方式的选择等预留了解释空间，以应对不断变化的现实情况，但是极易引发理论上的分歧。
2. 学界观点
针对个人信息的民法属性定位学界主要存在两种意见，分别是以王利明教授等学者持“法益说”和以杨立新教授为代表的学者持“民事权利说”。王利明教授认为“《民法总则》第111条只是规定了个人信息应当受到法律保护，没有直接出现‘个人信息权’的概念，这代表立法上未将个人信息作为一项具体人格权。”[2]龙卫球教授也曾提到，“由于个人信息具有复杂性，因此并未以单纯的民事权利进行保护，而是在内容中进行笼统规定指出个人信息应受法律保护。”[3]
作为“民事权利说”的代表杨立新教授在文章中指出，“第111条规定的个人信息，就是规定的自然人享有的具体人格权之一。”[4]杨立新教授不仅对个人信息的民法属性进行明确，还进一步指出个人信息权应属于民事权利中的绝对权。部分学者选择援引德国法学家拉伦茨的观点——“德国在有关个人信息保护的联邦法案中，承认公民具有知情权、撤销权等具有一般人格权属性的权利，是一般人格权在德国立法中的具体化表现。”[5]以上学者主张将个人信息定位于一项独立的具体人格权，应对其进行赋权并在民事权利的层面加以保护。
3. 个人信息作为民事权利之疑
《民法典》第111条自实施至今已经五年之久，该概括性极强的条款在司法实践中适用情况有所不同，笔者以“《民法总则》第111条”“《民法总则》第一百一十一条”“《民法典》第111条”“《民法典》第一百一十一条”为关键词在中国裁判文书网中进行检索，共得内容与个人信息保护相关的文书127份，笔者选取了六篇裁判文书对个人信息司法实践中的适用进行总结。
Table 1. Cases applicable to the judicial practice of personal information
表1. 个人信息司法实践适用案例2
序号 |
案号 |
被诉行为 |
裁判依据 |
法院判决 |
1 |
(2022)豫16民终6436号 |
在村委会安装公用监控摄像头后，邻居为保证自家住宅安全安装个人监控摄像头，可以清晰地拍摄并监控原告家人每日进出状况。 |
《民法典》第1032条、第1167条 |
侵犯隐私权，要求被告三天内拆除摄像头。 |
2 |
(2021)粤0192民初928号 |
原告在某购车APP上发现其出售的车辆信息包括行驶数据、维保数据等信息被上传至平台并有偿向消费者提供。 |
《民法典》第1111条、第999条、第1032条、第1034条、第1165条、第1款 |
不构成侵犯隐私权，车辆历史车况信息不属于个人信息，不在个人信息保护范围内。 |
3 |
(2021)甘0191民初3353号 |
被告明知“上线”为其提供的电话号码为公民个人信息，仍然按照“上线”的要求向两千余名QQ用户发送网络赌博消息。 |
《民法典》第111条、第179条、第187条、第1165条、第1182条、第1194条 |
构成侵权，要求注销涉案QQ号码、删除所有个人信息数据并公开赔礼道歉。 |
4 |
(2020)浙01民终10940号 |
原告购买动物园年卡后因被告动物园将年卡用户入园方式从指纹识别变为人脸识别，原告与被告就入园方式以及被告是否有权收集游客人脸、指纹等生物信息发生争议。 |
《民法总则》第111条、第142条 《消费者权益保护法》第26条、第29条、 第40条 |
不构成侵犯隐私权，收集指纹、人脸识别信息征得了游客同意，且无证据表明被告方滥用原告个人信息。 |
5 |
(2019)鲁0212民初3207号 |
原告孩子班主任在班级群中发送在线表格，要求家长填写姓名、电话、住址、身份证号、银行卡号等敏感信息，后该在线表格被共享给全校甚至校外托管机构以及被告建设银行。 |
《民法总则》第111条 《侵权责任法》第15条 |
构成侵权，应承担赔偿责任并公开赔礼道歉。 |
6 |
(2017)川07民终2098号 |
原告与被告的另案物权纠纷起诉状副本等诉讼文书被被告发送至小区业主群聊之中，起诉状副本中原告姓名、详细住址、身份证号等所有个人信息公布。 |
《民法总则》第111条 |
侵犯隐私权，应承担赔偿责任，并公开赔礼道歉 |
3.1. “个人信息权”客体范围模糊
目前，我国学界普遍认可个人信息权这一新型权利，而且个人信息权的客体似乎是明确的——是指向具有私人属性的有关信息，但是现行法律规范中并没有对个人信息的范围进行明确，若为个人信息赋权，其权利客体难以与隐私权等现有权利客体划清界限。
从表1中可以看出，司法实践中的个人信息的类型五花八门。从最普遍的姓名、电话、住址、银行卡号至指纹、人脸等生物识别信息、车辆行驶数据、车辆维保信息等均出现在现实的争议之中。
同时，《民法典》第111条完全列举了侵害个人信息的其中行为方式，包括“收集”“使用”“加工”“传输”“买卖”“提供”“公开”。但在司法实践中，行为人对个人信息进行“买卖”“提供”等行为往往是有组织的、秘密地进行，很难为拥有相应个人信息的主体所知晓。在表1中，仅有案例3中对行为人“买卖”个人信息有所提及，而该案系公益诉讼，公益诉讼起诉人为兰州新区检察院，其侦查能力、技术手段等远在普通公民之上。因“公开”个人信息而引发的纠纷在司法实践中占比极高，“公开”个人信息的行为在裁判中又难以与隐私权纠纷、名誉权纠纷等作详细区分。无论从权利客体上还是行为上，姓名、住址、电话等个人信息与隐私权、姓名权、肖像权的权利客体存在重叠部分，“公开”个人信息的行为与侵犯隐私权的行为之间的界限极为模糊。同样，客体指向上的模糊不清，反映出法律对个人信息侵权行为规制的目的指向的并不是单一的利益，而是一种“利益群”[6]。
3.2. 司法实践中个人信息侵权难以单独发生
《民法典》第111条实施至今，裁判文书数量上相对较少，研究样本不够丰富，不能穷尽所有现实社会中所存在的问题。但根据对127份裁判文书的分析以及表1中的六份文书的裁判结果与裁判依据，可以窥见一些初步结论——司法实践中个人信息侵权难以独立发生。前文所述，法院援引第111条作为裁判依据的案件，绝大多数都是“公开”个人信息的行为，行为的发生往往与侵犯隐私权、名誉权等相互交叉，甚至与刑事犯罪相互牵连，个人信息侵权难以独立出现在司法实践中。案例6中，法院认为行为人在微信群聊中发布、转发起诉状副本详细内容的行为系侵犯了公民的隐私权和个人信息。关于个人信息与隐私权之间的区别，学界虽未达成一致观点，但基本上认为二者所保护的价值截然不同。个人信息初衷保护“个人自决权”或“人格尊严”[7]，隐私权的权利指向主要以“维持生活安宁”“私人秘密不被散播”为中心[8]。然而，从案例中不难看出，在司法实践中两者往往难以界分。加之民主法治理念不断深入人心，公民的权利意识加强，隐私权的范围也不断进行扩张，留给个人信息权益的空间大大缩减，使得个人信息侵权的独立性持续被削弱。这也导致在司法实践中，个人信息侵权纠纷都可以解释为隐私权纠纷，个人信息也默认为隐私信息，造成了长期以来司法实践中个人信息相对于隐私保护的“附属”地位[9]。
在理论上个人信息与隐私信息的范围并不等同，个人信息无法为隐私信息所囊括，但由于这些信息受到侵害时往往存在难以察觉侵权行为发生、难以确定侵权主体等问题。第111条个人信息的指向范围模糊，使得为个人信息赋权的行为成为无根之木，“个人信息权”也难以立足于民事权利之林中。
3.3. 为个人信息赋权易造成现实难题
绝大多数持有“民事权利说”的学者认为，只有将个人信息上升为一项法定的民事权利才能够使个人信息得到最为充分的保护，对于“个人信息权”应属于绝对权。诚然，对于民事权利的保护程度确实高于对利益的保护程度，只有违反相应的保护性法律规定或行为人故意实施侵害行为时，法益才能得到相应的保护，而对民事权利的保护并不受这些限制。但实际上个人无法对其个人信息享有绝对的排他权利，国家机关、企业等可以合法合规对个人信息进行收集，公民也会在日常生活中对个人信息进行授权。若将个人信息赋权，甚至将其定位为绝对权与物权“比肩”，国家出于公共安全考虑或实现社会治理的目的对个人信息进行收集，至少要做到像征收、征用公民财产一样严格。游戏实名认证需要收集公民的姓名、身份证号等信息达到防止未成年沉迷的目的，近年来逐渐兴起的跨境购物往往需要消费者上传身份证件正反面照片、家庭住址等、掌上银行、聊天软件为公众带来便捷的同时，无可避免地需要对个人信息进行收集。若对个人信息进行赋权，予以绝对权层面的保护，那么这些合法合理收集个人信息的行为也难以为继。《民法典》并未在《民法总则》第111条“个人信息保护”的措辞上进一步修改为“个人信息权”，旨在维持合理合法收集个人信息的行为与个人信息主体利益之间的动态平衡。
4. 个人信息法益立场之意义
4.1. 个人信息利益缺乏法定权利的外观
在民法体系中，如前文所述，对于法益的保护存在诸多限制，并不是所有法益民法都全部进行保护。近年来争议较多的数据、个人信息以及“被遗忘权”等均存在着判断标准不明确导致错误判断的风险提高。为了减少此种情况并进一步提升对法益的保护力度，学者们选择将现实中出现的新型利益进行赋权，转化为一项民事权利。借此方式，向学界输出自己的理念与观点，甚至企图用自己个人的价值取向影响立法、司法。这使得民事权利沦为学者宣示个人观点的“话筒”，与其存在的意义和价值背道而驰。权利的形式主义标准的具体含义是指只有民事法律明确规定的权利才是民法上的权利，其他的都是利益保护问题[10]。《民法典》第111条中并提到“个人信息权”这一概念，包括针对个人信息保护的综合性专门立法《个人信息保护法》中也未对个人信息是否具有民事权利属性加以指明。虽将个人信息规定在民事权利一章中，但相较于既有的民事权利，如物权、健康权、名誉权、知识产权等，立法者并没有赋予个人信息以相应的法定权利的外观。同时，在司法实践中，法院作为中立的裁判者在裁判文书中也极少使用“个人信息权”这一表达。若按照严格的权利形式主义标准，个人信息并不具备权利外观，不应成为一项民事权利。
“权”字的“遗漏”是否是立法者在立法时出现的过失，从条文内容上无从知晓。若存在立法上的“漏洞”，立法机关可以通过文义解释、体系解释、目的性扩张等方式进行解释对“漏洞”进行填补。2022年3月1日施行的《最高人民法院关于适用〈中华人民共和国民法典〉总则编若干问题的解释》中，亦未对《民法典》第111条进一步解释。《民法总则》第111条的相关立法者的观点可以在全国人大常委会法工委主要负责人所编写的《民法总则》释义文本探知，主要负责人编写的释义书中也未提及个人信息权。《民法典》释义书中，主要负责人也未在“个人信息”后加入“权”字，或选择“个人信息权”的表述。因此，依照民事权利所要求的形式主义标准出发，个人信息在现行法律法规中并不能被认当作一项权利[1]。笔者认为立法者在《民法典》第111条中并未提及“个人信息权”等具有权利外观属性的字眼，也许是立法者“有意为之”，而非粗心大意导致的表述上的疏漏，并期待借此“留白”对民事权利与合法权益在表达上作一定的区分。
4.2. 个人信息符合法益之构成要素与特征
通说认为，我国民法上的民事法益构成要素主要有三个：
第一，该法益并未被作为权利进行保护，这是民事法益构成要素中的消极要素。法益和权利都是对利益保护的工具，正如张文显教授所言“权利只是利益的表现与获得利益的手段，而不是利益本身。”[11]利益经过立法者的筛选，被确立为一项民事权利后，其上升至权利层面后，便没有必要使该利益以民事权益的形式而存在。
我国个人信息并未明确升格为一项民事权利，同时个人信息也无法被隐私权等其他具体人格权等全盘吸收，且暂时没有对其进行专门司法解释的趋向。其法律属性的认定仍然存在较大的解释与选择的空间。
第二，该法益所保护的利益满足社会学上利益之基本要求。所保护的利益具有有效性或实用性，就是在社会学层面上的基础性要求。“有意识的存在必然把它的需要想象为普遍性的需要，必须关心它的整个生存，它所争取的必然是持久的财产。”[12]根据黑格尔的观点，我们可以探知——并不是所有民法上的利益都能以法益的模式进行保护，该种利益必须为普遍的主体所需要。这种需要是大众的、普遍的、明确的，以社会一般人内心的标准为基准，显著区别于特殊群体、少数人的带有强烈主观意思的判断。若该利益的获得与侵害并不会引起社会一般人的关注，不被社会一般人而需要，即不存在成为法益之基础。
以法益的形式对个人信息进行保护满足了社会学上的基本要求，其包含的利益系一般人普遍关注并追求的。个人信息保护的关注度不断提升，渗透在生活的各个方面，选择更好的方式对个人信息这一利益进行保护。互联网技术的高速发展不仅为立法机关加强相关立法、相关网络安全机关提升监管力度提出更高要求，也已经成为全社会普通民众的共识与所需。
最后，该法益所保护的应是合法利益。个人信息的范围虽不尽明晰，但个人信息作为一项合法利益是毋庸置疑的。个人信息中不免涉及有具体人格权的内容，与部分人格权益在范围上存在交叉。判断个人信息利益是否合乎现行法律法规外，学者通常从利益的正当性方面加以论证，对善良风俗、习惯、伦理、道德等方面的论证往往是判断利益正当与否的关键所在[13]。个人信息与人格自由的实现密不可分，部分人格利益会被个人信息所包含，这些人格利益也有意无意地被个人信息条款所保护。判断个人信息这一利益的合法性应当论证个人信息的可保护性，我国针对个人信息保护的条款不仅出现在《民法典》等私法之中，存在于《消费者权益保护法》《网络安全法》等具有公法性质的法律文件中。个人信息当然地具有可保护性。
按照我国学者李岩的《民事法益的界定》中，提到民事法益的特征有：法益具有表现形式不明确性、法益具有能动性缺失性、法益具有弱稳定性[14]。
首先，在表现形式上，法益具有不明确性。民事权利为法律所规定其表现方式具体且清晰具有公示的效力，物权、知识产权等财产性权利，生命权、名誉权等具体人格权，都在《民法典》中进行了明确规定。但是，法益需要在司法审判中不断进行提炼和总结，极少在法律文件中直接进行规定，不具备权利所具有的公示功能。个人信息不具有法定权利的外观，不符合民事权利的构成要件，仅在司法审判中对个人信息进行提及，案由甚至与个人信息侵权无关，在表现形式上具有不确定性。
其次，法益具有能动性缺失性。相应地，权利具有能动性，民事主体享有民事权利就享有了在法律允许的范围内选择作为或不作为的方式行使权利或不行使民事权利，强调民事主体对民事权利的自由支配。但是法益在能动性方面存在缺失，法益难以在损害发生前提出保护主张。在《民法典》第111条的规定中，其内容仅仅是为行为人设定义务，难以在实践中援引此条款在个人信息受损害之前提出相应主张，显然其能动性存在缺失。
最后，法益的稳定性较弱。民事权利经法定程序记载于法律后，具有公示效力，将在一定的时间内具有较强的稳定性，不会轻易对条款进行变动。但法益的稳定性较弱，通常伴随着社会经济生活的变迁在不同时期出现全新的法益，短时间内变化较大，因此，有学者提出“部分法益所反映出的社会矛盾通常是社会发展过程中出现的新问题，这种社会矛盾并非空穴来风，而是社会发展的阶段性产物，随着社会发展最终走向消亡的概率极大，甚至部分法益在权利化过程中就已经消亡。”[15]在互联网信息普及程度不高的时期，使用网络、电子设备等侵犯个人信息的行为发生率极低，个人信息逐渐进入立法者和民众的视野是在二十一世纪之后，具有较强的时代性。《民法典》第111条内容尝试对将来可能出现的新问题进行囊括，具有较强的概括性。
4.3. 《民法典》第111条保护个人信息的目的在于安全
《民法典》第111条在制定过程中，经历了一个从无到有的过程。《民法总则》从2015年开始起草至2016年6月《民法总则(草案)》“第一次审议稿”的一年半时间，草案中对个人信息保护内容只字不提[16]。上文提到，侵犯个人信息的行为具有较强的时代性与不稳定性，为解决现实中出现的越来越多的个人信息滥用、非法收集等问题，加之2016年“8.19电信诈骗案”发生，立法者与普通民众都开始对个人保护条款存在的意义进行思考。个人信息保护条款最终首次“现身”于2010年的《民法总则(草案)》“一审稿修改稿”中。经过反复润色在“第三次审议稿修改稿”中定稿为第111条、第112条，在最后通过的《民法总则》文本中，在内容未变化的基础上，将两个条款合二为一。
在该条款中，明确信息获取人需确保信息安全，不能对个人信息进行非法收集使用、加工等。该条款对于确保信息安全的明确规定，展现出该条款的主旨在于维护我国个人信息安全，并未照搬德国模式下的“个人信息自决权”这一概念。信息安全、交易安全等并不是《民法典》的基本原则，但是向来是民法所追求的一个重要的目标价值。个人信息安全并没有像隐私权规定的那样直接，因为普通民众的个人信息本身的价值较小，但一旦被非法收集形成一定数量时，将会给主体带来极大的负面影响。第111条在主体层面对信息收集人提出了确保信息安全的标准，在行为层面提出了七项“侵害行为”其实质目的在于保护信息安全。将个人信息作为法益进行保护不仅能满足司法实践的需要，又能为将来可能发生的“侵害行为”留有空间，兼具了时代性与兼容性。
5. 结论
综上所述，学界围绕《民法典》第111条规定的个人信息产生的争议未曾停歇，在目前我国的社会现状的基础上，将个人信息这一新型利益的民法属性定位为法益更为合适。个人信息在权利外观上存在缺失的情况，现有的法律文件、释义书以及最新出台的《民法典总则编司法解释》均未明确规定“个人信息权”，且个人信息符合民事法益的构成要件与基本特征，《民法典》第111条的初衷亦是维护个人信息安全这一法益。法益保护模式下，能够在最大程度上对信息收集人的合理使用与个人信息安全进行兼顾。法益的不稳定性与不断变化着的社会需求契合，第111条也为不断发展变化的个人信息保护状态预留了灵活变动的空间。个人信息这一利益的民法属性应当被认定为是法益而非民事权利。后续无论是在何法律文件中对个人信息的属性进行明确界定，还是对个人信息范围等细节进行完善都应依照《民法典》第111条的保护个人信息安全这一宗旨进行。
NOTES
1百度百科，8·19徐玉玉电信诈骗案
https://baike.baidu.com/item/8%C2%B719%E5%BE%90%E7%8E%89%E7%8E%89%E7%94%B5%E4%BF%A1%E8%AF%88%E9%AA%97%E6%A1%88/20091304。
2引自裁判文书网，河南周口市中级人民法院(2022)豫16民终6436号、广州互联网法院(2021)粤0192民初928号、兰州新区人民法院(2021)甘0191民初3353号、浙江省杭州市中级人民法院(2020)浙01民终10940号、山东省青岛市崂山区人民法院(2019)鲁0212民初3207号、四川省绵阳市中级人民法院(2017)川07民终2098号。