個人信息保護立法模式選擇

張 靜

內容提要：云計算、大數據、人工智能的快速發展使加強個人信息保護的呼聲再次高漲。個人信息保護不僅涉及到對個人基本權利的保護，還涉及產業發展、國家安全和國家戰略安排，兩者之間存在著此消彼長的關系。歐洲和美國對個人信息保護的不同立法模式雖然有其產生的不同歷史社會原因，同時也有當前產業之爭的痕跡。我國個人信息保護立法應該在深入探尋、分析兩種立法模式產生原因，對經濟、社會產生的不同影響后，擯棄概念誤讀，以結果為導向選擇相對寬松的立法模式，堅持公法、私法相區分，事前、事后規制相結合的原則，構建符合我國經濟和社會發展需要的個人信息保護制度，以達到產業發展和個人信息保護之間的利益平衡。

一、問題的提出

個人信息保護問題，早在二十世紀七八十年代的歐美國家即已經引起了廣泛討論，并促成一系列相關法律法規的制定。目前，我國將大力發展包括云計算、大數據在內的信息技術產業確定為重要的國家戰略。隨著信息技術的大發展特別是云計算、大數據分析的廣泛使用以及國家鼓勵的 “雙創”產業特別是互聯網金融行業的快速發展，個人信息的獲取、收集、處理、使用呈現爆發性發展態勢，人們傳統的私生活領域時常受到侵犯。產業發展、國家需求與個體利益之間的沖突不斷。個人信息被盜取用以犯罪的事件時有發生，徐玉玉等悲慘事件的產生、發酵均刺激著覺醒中的民眾神經，社會上不斷出現 “個人信息保護”立法的呼聲，同時也引發學界的廣泛關注和討論，民法典草案中亦已然增加人格權編，以期加強對個人信息民法上的保護。

但是，情感永遠無法代替理性分析。個人信息保護不僅僅是涉及民法領域的個人利益保護的問題，還涉及到國家戰略、國家安全、產業發展、言論自由等多方面跨學科的問題，即使在法學學科中，也不僅僅是民法所能完全解決的問題。個人信息保護問題遠遠超出法律制度和技術層面，而涉及更深層的哲學思辨——人的問題。歐洲、美國等早已步入信息現代化發展的國家對于相同問題的立法處理方案對于我們具有很好的借鑒作用，但同時我們必須看到歐美法律制度架構的根基建立在其各自不同的法哲學基礎上，而這恰是長期以來我國法律制度構建所缺失的。因此個人信息保護立法必須運用科學方法分析不同立法模式產生的深層原因、現今變化及其現實困境，結合我國經濟發展階段、社會現狀，必要時修正我們曾經有所局限的法理認識，做出適合我國實際情況的立法方案，在個體權益保護與群體發展之間尋求到最佳利益平衡點。法律從來都不是能夠脫離客觀實際的虛幻存在。

二、主要國家個人信息保護立法現狀

無論政治體制異同，處于同一經濟、技術發展階段的國家所遇到的問題具有很多共性，因此借鑒信息技術發展早于我們國家的歐美國家對于相同問題的處理方式，有助于我們揚長避短。后發優勢不僅僅適用于產業發展也適用于社會制度建設，因此，在構建我們國家個人信息保護問題上，有必要對世界上主要國家的相關制度進行研究、分析。

從比較法角度看，個人信息保護多采用多部門法綜合調整的方法，所涉及的法律并不局限于民法。從立法模式來看，主要有歐洲模式和美國模式這兩種。歐洲國家的立法模式以制定統一的個人信息保護法為主要特征，美國則是通過制定不同的部門法方式建立個人信息保護體系。

（一）德國個人信息保護立法的發展歷程

從通過立法對個人信息提供保護的目的看，歐盟和德國不同于美國保護個人信息以人的自由為出發點，而是在于保護人的基本權利。二十世紀七十年代后，伴隨著信息技術的發展，政府以及商業團體廣泛對個人信息進行采集、使用并以此獲利，私人生活領域被嚴重侵犯。個體面對強大的政府以及信息不對稱的商家對個人生活領域的侵犯，愈發恐懼。過去基于一般人格權對自然人信息的保護被認為無法在信息技術大發展的時代給予個人全面充分的保護，專門的信息保護立法也就被提上日程。

歷史上第一部關于信息保護的專門立法是德國黑森州于1970年主要針對政府濫用個人信息而制定。該法明確了行政機關對個人信息予以保密的義務，重新劃分了地方團體和州級行政機關在個人信息使用中的權限和地位。隨后德國各聯邦州陸續開啟本州信息保護立法的進程。1971年德國內政部委托學者施泰姆勒提出了 《聯邦個人信息保護法草案》。施泰姆勒在該草案的說明中首次提到了 “個人信息自決權”和 “信息人格自決權”的概念。這兩項權利的內容是指個體有權自由、自主地決定周圍的世界可以在何種程度上獲知他自己的思想和行動，以此應對當時被廣泛采用的對個人信息進行的自動化處理方式對于個體人格的威脅。這實際上屬于德國 《基本法》第2條第1款中規定的人所享有的自由發展這一基本權的范疇。雖然該草案歷經波折，1976年11月通過，1978年1月才開始生效，但個人信息自決權卻成為后來歐洲個人信息保護的基本出發點?！堵摪顐€人信息保護法》共有47個法律條文，這些條文確立了 “任何形式的個人信息處理必須有法律上的許可或者經信息主體同意”①BDSG(1978)&4 Abs.1.的基本原則。這部法律主要是從消極防御的角度來防御對個人信息的濫用，因此只賦予信息主體少量權利，且沒有對個人信息與隱私權予以嚴格區分。

1983年，德國聯邦政府制定了 《人口普查法》，意在全德范圍內推行全面的人口普查，涉及到被調查人口的年齡、性別、住址、職業、教育程度、宗教信仰等詳細信息，這引起了德國民眾對國家強制收集、使用個人信息的強烈不滿，甚至有一百多位公民以該法案違反德國 《基本法》為由，起訴至聯邦憲法法院，請求判決該法案違憲。聯邦憲法法院經過審慎審查和論證后，判決該法案違憲，并以 《基本法》中一般人格權為基礎，正式提出了個人信息自決權的概念。聯邦憲法法院還提出三項基本原則，即：一、個人信息自決權是保護個人得以對抗無限制信息收集行為的有力工具；二、在自動化信息處理工具面前，不再有不重要的個人信息；三、個人對于自己的信息并沒有支配權，個人信息自決權受到公共利益的限制。②楊芳：《個人信息自決權理論及其檢討——兼論個人信息保護法之保護客體》，載 《比較法研究》2015年第6期。

經過這次的 “人口普查案”，聯邦德國信息保護的基本理念發生了重要轉變，并直接促成了《聯邦信息保護法》的第一次修改。修改后的 《聯邦信息保護法》一改對個人信息消極保護的態度，從防止公權力機關對個人信息的過度采集和濫用轉到注重合理應用個人信息，使個體免遭因個人信息被傳播而引起的人格侵犯。該法還明確了公法主體無過錯賠償責任機制。此后，德國 《聯邦信息保護法》又經過兩次修改。二十世紀八十年代歐盟開始實施的 《個人信息保護公約》，按照德國國內法的規定，應該在3年內將其轉化為國內法予以實施。但德國遲遲未采取行動，直到2001年，歐盟對德提起訴訟，德國政府迫于壓力，只得匆匆完成 《聯邦信息保護法》的第二次修訂。這次修改后的法案規定了信息經濟的原則，為減少對人格權的侵害，要求盡可能使用匿名信息。同時，該法案體現出意思自治在個人信息保護領域的作用，將權利人同意作為信息收集和處理的合法性來源，并詳細規定了未經信息主體同意進行信息采集和處理的條件。此后先是2006年，德國最大的電信服務商信息系統遭受黑客攻擊導致用戶敏感信息泄露，后來德國鐵路、大型的連鎖超市、德意志銀行等被指控涉嫌非法交易用戶信息等行為使得德國數萬名民眾街頭抗議，由此開啟了德國 《聯邦信息保護法》的第三次修訂。這一次的法案修訂擴大了信息主體信息自決權的權利范圍，增加了“被遺忘權”、信息泄露通知等新規定，將信息安全上升到基本原則高度，要求在現有技術可能范圍內，對個人信息進行匿名或者化名化處理。

（二）法國個人信息保護立法

以自然法構想為基礎的 《法國民法典》將 “人法”作為該法首編的名稱，但未涉及任何人格權的具體內容。這是因為法國1791年憲法及其他一些法律文件明確表明人格權是一種自然權利，這一權利被承認和尊重，天經地義，無需法律予以規定。但法國司法判例實際上一直保護著個人的各種人格利益如生命、身體、名譽、貞操、姓名、肖像、信用等幾乎所有的權利不受他人侵犯。③[德]薩維尼：《現代羅馬法體系 （第3卷）》，第345頁，轉引自龍衛球：《民法總論》，中國法制出版社2002年版，第266頁。1970年，法國基于實務界和理論界的呼聲，修正了 《法國民法典》，在民法上增加了自然人私生活受尊重的權利條款。④《法國民法典》，羅結珍譯，中國法制出版社1999年版，第3頁。二十世紀七十年代，法國擬定了數個個人信息保護及相關問題的法案，涉及到汽車司機、醫院、行政檔案與個人信息自動化處理系統、（數據）計算機處理及自由流通等領域。這些法案規定了個人信息主體的知悉權、修正權、刪除權、控制權等一系列權利。⑤Christopher Millard,Mark Ford,Date Protection laws of the World,London:Sweet&Maxwell,1998,p.France/1-24.轉載自洪海林：《個人信息的民法保護研究》，2010年版，第21頁。

（三）歐盟個人信息保護立法

德國個人信息保護法的后兩次修訂離不開歐盟相關立法運動對其的推定作用。歐盟個人信息保護立法與德國 《聯邦信息保護法》在基本思想上高度一致，都趨向保守，以人格保護為重點。歐盟最早的相關立法是1995年通過、1998年生效的 《歐洲議會暨歐盟理事會關于保護個人資料處理與自由流通指令》（以下簡稱 “歐盟 《個人信息保護指令》”），根據該指令第1條第1款的規定，成員國應保護個體的基本權利和自由，尤其是應當保護與個人信息相關的隱私權。

歐盟 《個人信息保護指令》中對個人信息被侵犯的案件適用一國國內法的原則是要求對個人信息的處理是 “在位于該國境內的信息控制者的營業機構的業務背景下”。這對于互聯網高速發展的情形下，跨國違法侵害個人信息案件中的被害人十分不利。2002年7月，歐盟發布 《隱私與電子通訊指令》，禁止在未征得用戶同意情況下，通信和互聯網服務商擅自存儲或者使用用戶數據；要求通信和互聯網服務商在存儲或者使用用戶數據時，必須告知用戶進一步處理其數據的意圖，同時用戶有權選擇是否同意，以此保障用戶的知情權等。該指令確定了互聯網個人數據保護的基本原則。

2009年11月，歐盟通過了 《歐洲Cookie指令》，要求在用戶初次使用某網站時，該網站必須關閉Cookie插件的使用，只有用戶明確同意啟用Cookie插件時，該網站才能開啟此項功能。這實際上改變了2002年的 《隱私與電子通訊指令》中的規定，即要求網站對其啟用Cookie插件所應承擔的告知用戶的義務，以及應告知用戶如何刪除或者作廢Cookie插件的規定。近些年來，云計算、大數據的飛速發展對個人信息保護提出了新的嚴峻挑戰。無論是云計算還是大數據業務都能夠直接獲取用戶信息并對其進行分析、整理甚至出讓，這實際上侵犯了用戶的合法權益。歐盟在承諾為云計算產業進行大額投資時，首先就必須解決云計算對個人信息保護所帶來的挑戰。為此，歐盟委員會于2012年發布了 《一般數據保護條例草案》，并于2015年通過了該條例。2016年，歐洲議會通過該條例。該條例于2018年正式生效。該條例將統一歐盟內此前各國零散發布的保護公民個人數據的規則。該條例以保護公民基本權利作為基本的立法理念，增加了很多具體的數據保護要求，被稱作歷史上最嚴格的數據保護條例。⑥方芳：《歐盟個人信息保護的發展路徑與經驗啟示》，載 《金融監管》2017年第5期。此外，該條例中運用了數據外泄通知、隱私影響評估、第三方認證等新機制，與美國2015年發布的 《消費者隱私權利法案 （草案）》同樣突出了 “場景導向”和“風險評估”的理念。

（四）美國個人信息保護的立法狀況

美國從未制定統一的個人信息保護法，其對公民個人信息的保護方式主要是通過由各個行業自行制定有關個人信息保護的法律規則、準則的方式來予以規范，同時特別注重行業自律的作用。美國是通過個人隱私保護的模式來統一保護個人信息的。隱私權這一概念最早是沃倫和布蘭代斯在1890年 《論隱私權》一文中提出的。該權利現在在美國不僅是普通法上的權利，甚至是憲法上的權利。美國1974年制定的 《隱私法》被公認為該國保護個人信息的基本法。該法主要是規范聯邦行政機關對各類信息的收集、持有、使用和傳輸的行為。該法以隱私權保護為基礎，通過對公民隱私權的保護對個人信息加以保護。此外美國還出臺了 《財務隱私權法》《健康信息隱私和安全法》為公民個人的財務信息、健康信息的安全性和保密性提供相應的保護。美國的隱私權的外延廣泛，這一權利具有很強的延展性，實際上包括了大陸法中的名譽權、肖像權、姓名權等具體人格權的內容，承擔了一般人格權的功能。⑦王利明：《論個人信息權的法律保護——以個人信息權與隱私權的界分為中心》，載 《現代法學》2013年第4期。美國是判例法國家，通過法官對個案中隱私權的解釋基本能很好的保護公民個人信息。這也是我國很多學者主張在我國也通過隱私權保護的方式對個人信息提供法律保護的原因。⑧筆者認為，我國學者主張以隱私權保護個人信息的觀點，實則是對美國隱私權的誤讀，在我國立法中也使用隱私權且具有特定意義的情況下，我國個人信息保護就不應再使用美國法中的隱私權概念。美國對個人信息的態度較之歐洲，更為寬松，為積極利用型的典范。對隱私權范圍的個案解釋，使得美國司法界得以靈活應對技術發展帶來的法律新問題。但大數據時代的來臨，美國以 “知情同意權”“目的限定原則”建立起來的對個人信息保護的法規、規則顯然面臨被架空之危險。在此情形下，美國于2015年發布了 《消費者隱私權利法案 （草案）》，為個人信息保護提供綱領性的基本保障，同時引入 “場景導向”及 “風險導向”的立法理念以平衡個人信息保護與數據自由流動之間的矛盾。

至此，歐美歷經半個世紀在個人信息保護方面的立法理念差異，因大數據等新技術的出現和快速發展對傳統法律規則的顛覆，最終通過引入 “場景導向”及 “風險導向”理念而達到異曲同工之妙。但一個更值得關注的現象是：2017年3月，美國參眾兩院則先后宣布廢除聯邦通訊委員會頒布的 《網絡用戶隱私權保護法案》，這意味著網絡公司可以不經過網絡用戶的許可，任意收集和出售用戶的瀏覽記錄、健康數據及其他上網信息等。這意味著在互聯網高速發展時期，美國在產業發展和公民個人信息保護之間的天平已然開始發生傾斜。

三、歐盟和美國個人信息保護不同立法模式原因及其之間產業之爭

歐洲和美國對個人信息保護模式自始不同的社會歷史原因是，德國納粹政權在二戰時期收集個人種族等信息以屠殺猶太人以及戰后部分東歐國家收集個人宗教、政治信仰等信息以侵犯個人基本權利的歷史事實，使歐洲人對政府無限制地收集個人信息的行為具有天然的恐懼和不信任感，總擔心歷史會重演。因此歐洲國家強調將個人信息作為一般人格權這一基本權利予以保護。這也決定了其對于隱私權這一概念與美國具有不同的理解。歐洲國家隱私權概念的核心是人格尊嚴得到充分尊重的權利。歐洲人意識中的隱私主要是指個人所不期望在公眾面前的曝光。歐洲人不喜歡媒體，認為媒體總是通過報道許多令人尷尬和不快的個體私密事件提高收視率而侵犯個體私生活空間。但對于政府，相較之美國，則顯得容忍度較高。

美國則不同，建國時的美國人自始就要擺脫作為英國附屬地的地位，追求自由，信奉自由的市場經濟，對政府天然持有懷疑和不信任的態度。因此美國的個人信息保護始終是建立在對自由的追求和信奉的基礎之上。美國人對隱私權的核心觀念也是建立在對自由的追求的基礎上。在美國人的觀念中，自由的最大敵人是政府，而媒體雖然也時常報道涉及個人隱私的新聞，但美國民眾對此表現出比歐洲人寬容多的態度。一方面緣于美國人極度信奉言論自由這一憲法權利，對于公眾人物的隱私權予以一定范圍的限縮，另一方面也緣于美國人相信 “陽光是最好的防腐劑，路燈是最好的警察”，民眾愿意甚至一定程度上依賴媒體對政府及官員的監督。

秉承不同的個人信息保護的立法理念，歐洲所采用的全面的、消極防御型的個人信息保護的立法模式在新興技術產業發展與個人信息保護之間更傾斜于對個人信息的保護。其立法規制的范圍涵蓋了所有數據采集、整理、使用主體，既包括國家和州各級公務機關也包括非公務機關；從主體行為角度看，其立法規制包含了從數據的收集、存儲、使用、刪除、轉讓等各個環節。歐盟甚至設立歐盟數據保護委員會作為專門的信息保護機構對企業或者組織的數據處理行為進行監督，對侵犯個人信息的違法行為進行調查、處罰。歐洲國家更注重個人信息的人格屬性。而數據產業發展的相對劣勢也使歐盟在與美國的產業之爭中更注重對個人信息的強力保護來遏制美國公司在歐洲的數據業務發展以及這些公司將在歐洲獲取到的數據進行跨境轉移。這在立法上的體現就是保護個人信息的立法愈來愈嚴格。

個人信息保護問題始終存在，只是云計算、大數據等產業的興起使過去信息主體與信息收集者、使用者之間的力量對比發生巨大變化，無論是歐洲傳統民法體系所確立的具體人格權的法律保護制度亦或是美國判例所形成的對個人隱私權保護的方式都無法均衡雙方之間利益，使得個人信息保護這一傳統問題再次突顯。對個人信息保護和產業發展之間的利益權衡的不同態度已然反映在各國立法中。在個人信息保護與產業發展之間，美國的利益天平更傾向于產業發展，無論是學術界還是實務界均表現出積極主動利用信息的態度。美國更關注個人信息的經濟價值，其行業自律的做法也更為高效、便捷，更加市場化。美國是世界上最大的數據進出口國，是信息技術強國，在數據收集、處理方面擁有世界領先的技術，在跨國數據流通中獲益最大。這使美國很多的商業產業因掌握翔實準確的數據，能夠對市場和行情作出準確研判而處于世界領先地位。因此美國的立法相對寬松，更加注重事后的補救措施。通過行業自律監管、信息使用者的自律以及信息所有者之間市場化的相互博弈，輔助以行業監管規則和事后補救所需的高昂的違法成本，盡量減少政府監管。

數據產業發展的不平衡，對產業發展和個人信息保護之間不同的利益平衡態度，使得美國和歐洲國家之間對個人信息予以保護的立法之爭愈來愈激烈。針對歐盟制定的嚴格的個人信息保護法對美國相關產業跨境數據傳輸的不利影響，美國自1998年就開始與歐盟就 “安全港”原則進行協商。2000年，歐盟正式與美國簽訂了 “安全港”協議。該協議中要求對于敏感信息，必須經過信息主體的明確同意，必須保證信息主體可以獲知有關他們的任何信息，并且確保信息主體有機會改正、修改或者刪除不準確的信息。“安全港”協議并未達到美國所需要的更加寬松的數據跨境傳輸需要，因為只有參加 “安全港”或者簽署保護數據合同的公司或者組織才可以接收傳輸的數據，因此這一協議簽署實際上是歐盟和美國互相妥協的結果。加入 “安全港”協議的美國公司可以不必逐個經信息主體授權而進行數據轉移。這有利于加入 “安全港”協議的美國公司一攬子解決其在歐洲的數據業務。同時，美國也部分接受了歐盟較為嚴格的個人信息保護規則。

2016年5月，歐盟落實 “被遺忘權”的司法判例，實施更為嚴格的 《一般數據保護法》。該法規定：獲取、處理個人信息的 “控制者”必須得到個人的明確同意，這種同意必須是事先且隨時可以撤銷的。這對于美國在歐洲的數據產業影響重大。更為重要的是，美國不希望其他國家效仿歐盟做法。為此，美國與歐盟于2016年2月達成新的數據跨境轉移協議——《歐盟和美國隱私盾協議》。這一協議加重了加入 《歐盟和美國隱私盾協議》的公司或者組織將個人信息轉移第三方的責任，要求這些公司或者組織信息處理業務限制在信息主體明確同意的范圍內，并確保接受信息移轉的第三方遵守信息轉移方承諾遵守的標準和內容。歐盟2016年的 《一般數據保護法》的出臺更多顯現的是產業之爭，體現出歐盟對其他國家特別是美國數據產業對本地區影響的抗爭，但最終歐盟和美國通過 《歐盟和美國隱私盾協議》達成新的相互妥協，“隱私盾”并未惠及其他國家。

四、個人信息的屬性

在欲將個人信息納入法律體系予以保護時，我們不可避免要首先解決其法律屬性問題，我們為什么要保護個人信息，其是否可以涵蓋在現有法律體系中的某個范疇中，如果是，其屬于哪個范疇。而后我們要審視其所屬的法律范疇中現有規范是否足以提供相應的規制原則和規則，最后再決定對其予以完善或者建立新規則的問題。對于個人信息的定義，多數學者最初都是從歐美相關法規、規則中摘取、概括而來。至今學者們對個人信息的定義仍存有諸多爭議，但也達成了基本的共識：即個人信息是指能夠單獨或者組合后識別特定個人的一切信息，包括姓名、性別、年齡、體重、檔案、醫療記錄、收入、家庭住址、電話號碼、汽車發動機號、電腦序列號，甚至是行走路線、消費習慣、上網瀏覽記錄等。個人信息最基本的特征是具有識別性，不論是直接的還是間接的、單一信息抑或組合信息，只要能夠判斷出特定個人的信息即認為屬于個人信息；個人信息的主體為個人，即自然人，社會組織、法人的數據信息不屬于個人信息范疇；個人信息包含個人隱私，兼有人格權與財產權雙重屬性。⑨張平：《大數據時代個人信息保護的立法選擇》，載 《北京大學學報 （哲學社會科學版）》2017年第3期。其他學者相似觀點可以參見任龍龍：《個人信息民法保護的理論基礎》，載 《河北法學》2017年第4期；劉德良：《構建個人信息保護的雙重模式》，載 《中國社會科學報》2012年4月2日第A07版。對此，筆者的觀點為：個人信息為自然人信息，不包括法人和其他社會組織的數據信息。法人和其他社會組織的數據信息因僅涉及到財產屬性，不涉及到法哲學上對人的倫理思考，由法人、組織名稱權、榮譽權、商業秘密等相關法律、法規從財產權角度予以保護已然足夠。因此確實不該將其納入個人信息保護范疇。但對于個人信息是否以對特定人的可識別性作為主要特征，卻有可探討之余地。

目前，我國學者對個人信息的法律屬性主要有如下觀點：

一是人格權客體。持有此種觀點的學者主要是受大陸法系的德國、法國相關立法影響，認為個人信息體現的是公民個人的人格尊嚴，在性質上屬于獨立的人格權，屬于個人信息自決權的范疇。王利明教授就主張在民法典中將人格權單獨成編，在人格權編中將個人信息作為一項單獨的具體人格權予以立法保護。⑩參見前引⑦，王利明文。

二是隱私權客體說。學者們得出這一結論主要是源于美國 《隱私權》法。例如陳紅教授就認為“個人信息屬于個人隱私。保護個人信息的目的就在于保護個人隱私。這是因為隱私權的基本內涵在信息社會條件下已融入了更多的積極因素，不僅限于私生活不被打擾的消極、被動、靜止的傳統范疇”。陳紅：《個人信息保護的法律問題研究》，載 《浙江學刊》2008年第3期。

三是綜合權利客體說。主張該說的學者認為個人信息既有人格屬性，也具有財產權屬性。據此，對個人信息的保護應該被分為兩類：一類是與人格利益有直接關系的，比如肖像、隱私、姓名等；一類是與人格利益沒有關系的，這些信息可以被正常利用，只要不被濫用或非法買賣，不會對我們的人格權造成損害。參見前引⑨，劉德良文。

四是所有權說。該說主張個人信息類似于物權，由信息主體享有所有權。因此，信息所有權人對個人信息享有占有、使用、收益和處分的權利，可以授權其他人收集、使用、處分其個人信息，對于他人未經授權的行為有權要求損害賠償。湯擎：《試論個人數據與相關的法律關系》，載 《華東政法學院學報》2000年第5期。

上述觀點都有其一定道理，但我國學者在從比較法角度研究個人信息保護問題時，似乎忽略了一個重要的概念研判。“隱私權”這個概念在我們國家有約定俗成的語義，但從前文印證的美國《隱私法》中對 “隱私”一詞的定義以及美國法院相關判例來看，美國法中所指稱的 “隱私”范圍遠遠超過我們國家隱私權概念的語義范圍，類似于大陸法系所指稱的一般人格權。顯然，我國學者將該法令中的個人信息保護主要限定為是對個人隱私權的保護，實際上限縮了個人信息的范圍。個人信息包含隱私信息還包含有非隱私信息。隱私信息一般與陰私相關，與性、家庭等個人私密生活相關，出自孫憲忠教授題為 《〈民法總則〉重點解讀與民法典立法前瞻》的講座內容。個人隱私這一概念具備強烈的社會屬性，在不同社會、不同時期其外延有所不同，但在一定時期一定的社會總有比較一致的觀點。而個人信息的范圍則要廣泛的多，除隱私外，還包含所有其他的個人信息，如電話號碼、工作單位、家庭住址、銀行賬戶等等。民法對隱私和個人信息的保護程度有所不同，對于隱私是絕對不容許其他人侵犯的，但對于個人其他一些信息，法律則允許其他人合法、合理予以使用，甚至有些個人信息是個人在現代社會必須讓渡給其他人或者組織知曉、采集或者使用的，如銀行貸款時，銀行有權要求自然人提供個人詳細信息，甚至包括個人的薪酬情況等以確定是否給予其貸款，醫生有權要求病人提供自身及家族病史等。因此，我們在做比較法研究和分析時，不能僅僅局限于概念的一般語境下的字面翻譯，而應該透過現象追求概念所蘊含的真正的法律含義。

個人信息，從語義上理解，應該為與自然人有關的全部信息。從力求概念精確性角度說，可識別性作為一個具有鮮明時代特征的詞語不應該作為個人信息的一個重要特征。在一個時代不可識別的內容可能會因為技術的發展在另一個時代具有可識別性。但這一信息或者內容卻始終是不以人的意志為轉移而存在，只是人寓于認識之有限性總是不斷發掘其外延。法律所保護的信息若不能單獨或者組合后可識別到個人，則信息主體便不能對抗其他主體的使用而已，但不能說法律就不認可這些信息構成個人信息的內容。

因此，筆者認為無論是歐盟亦或是美國的立法對個人信息的定義均具有一定的延展性，對于新技術日新月異的時代來說，更具有現實價值。歐盟和美國對個人信息的定義歐盟將個人信息界定為：個人數據是指一個數據主體相關的任何信息；數據主體是指一個可識別的自然人，或控制者、自然人、法人通過有效運用數據而識別的一個自然人，特別是運用這個人的身份證號碼、定位數據、網絡標識符、生理、心理、基因、精神、經濟、文化、社會身份。美國 《隱私法》中對個人信息的定義是：一個機構所持有的與一個人相關的單項信息、信息集合或一組信息，包括但不限于：他的教育、金融交易、醫療病史、包含姓名的犯罪前科或工作履歷、識別號碼、代號，以及其它專屬于一個人的標記，如指紋、聲紋或照片。參見黃藍：《個人信息保護的國際比較與啟示》，載《情報科學》2014年第1期。The Privacy Act of 1974[EB/OL].http://www.justice.gov/opcl/privstat.htm,2017-9-20.并沒有將可識別性作為信息的限定詞，而是作為信息主體的一個特征，將 “可識別性”作為個人信息的基本特征，應該是我國學者在比較法研究中的誤讀。

五、境外個人信息保護面臨的挑戰

當我們拋開對歐美法中一般人格權、隱私權的不同解讀時，我們會發現，歐美國家過去個人信息保護立法中對個人信息保護基于信息主體意思自治而確定的主要原則——“知情、同意”原則和“目的限定”原則正面臨被架空的危險。

首先，“知情、同意”原則面臨的現實困境。互聯網的出現和發展，對傳統民法中 “知情、同意”規則產生重大沖擊?；ヂ摼W技術出現之前，交易多為線下一對一談判式進行，雙方民事主體對交易的內容、客體、交易目的等具有清楚認知?！爸椤⑼狻币巹t在涉及任何一方主體重大認知事項時具有重要提示和許可作用，可以作為一方獲取充分知情權的證據，并可以據此免除另一方的民事責任。但互聯網技術的出現使得交易雙方之間對信息的獲取及力量對比不再對等，一對多的局面使商家可以以很低成本獲取大量客戶，作為個體消費者失去與商家談判的籌碼，很多時候處于不得不 “同意”的境地。“知情、同意”這一欲以知情權保護消費者的規則已經失去其意思自治的法律作用，反倒淪為商家以不對等的力量侵害消費者利益并豁免責任的工具。在大數據時代，個人信息通過信息技術的不同組合將產生不同的價值，無論是立法者還是信息采集者都很難事先完全預估合法授權的事由。政府機關同一項信息或者同幾項信息組合對不同部門均具有相應價值，而重復采集重復 “知情、同意”反倒造成社會成本的浪費。實踐中，信息收集者為能夠最大限度符合法律的要求，均盡可能在相關聲明所列出的事先的授權事由中對需要用戶讓渡的個人信息的內容進行詳細列舉闡述，并增加兜底規定，架空了 “知情、同意”規則，使依據該規則作出的司法判決面臨嚴重的非公平、非正義的責難。

其次，“目的限定”原則面臨困境。二十世紀六七十年代開始的歐美個人信息保護立法中均要求信息采集、使用者最晚要在信息開始采集時告知信息主體其個人信息被采集、使用的用途，并取得信息主體的許可。之后，其采集到的信息使用受到該目的的限制，信息控制者不能超出信息主體實現同意的信息使用范圍使用、處分信息。在大數據時代下，個人信息的挖掘、比對、再加工處理是這一產業創造價值的最主要方式。信息挖掘之前很難確定其最有價值的使用目的，限定目的的信息保護方式雖然能對信息主體提供更周全的保護方式，但對于大數據產業卻也是 “致命打擊”。為盡可能避免事先目的限定原則的限制，信息采集、使用者往往事先羅列出盡可能多的使用目的，增加了信息主體閱讀和理解負擔，增加了社會成本，造成不必要的資源浪費。

對此，歐美目前均引入 “場景導向”與 “風險評估”的新理念。所謂 “場景導向”，就是指要結合所處的具體環境、綜合各種因素對個人信息的采集、使用是否合理進行考察、判斷而非基于當事人的事先同意，也避免脫離具體的場景進行事先的預判。這就徹底改變了過去借助 “知情、同意”模式對個人信息保護的方式，而是根據信息采集和使用的具體場景進行動態分析和研判，以結果為導向，重點考核信息控制者的行為給信息主體所帶來的影響是否符合信息主體的合理預期?！帮L險評估”理念即在對個人信息采集、使用等行為進行個案分析的基礎上，將其可能給信息主體帶來的風險劃分為不同的風險等級，針對不同的風險等級采取不同的管理措施，使風險始終控制在信息主體可以接受的合理范圍內?！皥鼍皩颉焙?“風險評估”理念的引入，一方面規避了原有的個人信息保護方式被 “架空”的現實困境，另一方面通過對不同語境下個人信息采集、使用的動態風險管理，較好地平衡了個人信息保護與產業發展二者之間的利益。

六、我國個人信息保護的立法建議

個人信息保護不是個現代問題，其歸根究底是法律對人作為人的尊重，對人的尊嚴及自由的承認和保護問題。從羅馬法開始民法中就一直在尋求解決人的問題，從 《法國民法典》這部可與 《人權宣言》相媲美的如詩歌般的經典之作，再到 《德國民法典》這部特別強調歸納、演繹和法律技術的被認為極具科學性的民法典，實際都是要解決人的生存、發展問題?！斗▏穹ǖ洹奉C布19于世紀之初，帶著人們破除封建社會中人對人的壓迫、不平等的陰霾，帶著人們對自由、平等、個性彰顯的憧憬迎著19世紀之初的朝陽滿懷激情地來到世間?！斗▏穹ǖ洹返谝痪幘褪顷P于 “人”的內容，其所確定的 “所有權神圣”“契約自由”“過錯責任”原則完美地在私法中詮釋了個人自由理念。經過近一個世紀的洗禮，與社會現實的沖撞、磨合，頒布于19世紀末的 《德國民法典》在潘德克頓派法學家的筆下理性、抽象。國家干預經濟使德國在較短時間內完成工業革命，與美國一同成為超越英法的工業強國。國家與個人、社會組織與個人之間的張力在 《德國民法典》中均有所體現?！兜聡穹ǖ洹凡粌H僅創設了法律上擬制的人的概念，同時 “合意”被賦予至高無上的地位，人的意思表示被作為法律行為效力的重要判斷標準。秉承 “天賦人權”的思想，認為人的權利是天生而非法律所創設的?！斗▏穹ǖ洹窙]有對人格權作出規定。《德國民法典》制定前夕，對人格權是否予以規定的激烈爭論最終因受薩維尼 “人無法就自己的精神利益享有所有權，并且也無法占有自己的身體和肢體”，王利明：《民法典體系研究》，中國人民大學出版社2008年版，第423頁。而 “權利是人支配物的關系，不是人支配人的關系，所以無法規定人格權”王利明：《試論人格權的新發展 （上）》，北京仲裁委員會網：http://www.bjac.org.cn/news/view?id=1365，2017年9月20日訪問。的觀點而蓋棺定論。但二戰中納粹對猶太人的迫害使德國人始終處于擔心歷史重演的恐懼中，最終促使德國通過司法判例將一般人格權作為一項獨立的權利在民法中予以確認，但民法對一般人格權的保護主要是為了在權利主體被侵害時使權利主體能夠得到民法上的救濟。美國對人的自由的崇尚主要體現在憲法中，在私法領域則主要通過自由創設合同的方式予以體現。在計算機技術產生之前，法律就已經確認個人享有肖像權、姓名權、隱私權等權利并通過 《侵權責任法》對權利人遭受的損害予以法律救濟，甚至規定了精神損害賠償的內容。只是新技術的發展，使這些國家曾經確立的法律原則如 “知情、同意”標準在個體之間、個體與組織之間、個體與國家之間的利益天平發生了大幅度傾斜，使人在機器面前變得更為渺小，使人對自己被進一步物化的恐懼加深。在現代文明社會，人類絕地反擊的武器就是法律和規則。

人是自由的，但是每個人的自由都是有邊界的，都要受到他人自由、社會整體利益的制約。任何法律、政策的制定均無法脫離其所處的社會背景和政治訴求。恰如 《法國民法典》和 《德國民法典》制定的目的之一就是通過法律的統一促進國家的統一。彼時法律中所彰顯的個體自由恰是自由資本主義時期經濟的推動力。但人類社會進入后工業時代后，個體的力量變得微不足道，個體愈加需要組織體的庇護。個體為獲取國家長期提供的安全保障和社會福利，必要時必須犧牲部分自我利益和自由，如我們現在已經普遍接受的觀點，國家有權為公共利益的需要剝奪個人的財產權。國家產業發展和個人信息保護之間也存在著此消彼長的張力，政策松緊便是不同時期兩者之間天平兩側的籌碼。如下立法建議中寬松式立法模式選擇內容恰是建立在這樣的個人認識基礎上，針對我國經濟將長期處于L型發展階段而提出，其他兩方面內容則更多考慮到法律體系科學性的內容。

（一）我國個人信息保護立法需考慮國家戰略，采納相對寬松式立法模式

二十一世紀是云計算、大數據、人工智能產業的時代，這些技術不僅僅運用在我們的私人空間對個體權利義務產生巨大影響，而且常常運用在國家安全和社會發展層面，因此各國紛紛加大對這些領域的戰略投入。對于發展中國家來說，大力發展這些產業或是彎道超車的最佳機會，我國也已經將這些產業列入重要的國家戰略產業發展目錄中。云計算、大數據技術的發展和廣泛運用必將重塑我們這個時代的社會和我們的生活方式。過去我們必須依靠完善的法律規則予以解決的困擾我們很久的問題隨著技術的發展和使用已然被創造出很多無需借助法律的解決方案。同時隨著新技術的發展，又有很多新的領域需要以法律的名義建立新的規則予以規制。美國抓住了二十世紀互聯網產業飛速發展的時機，產生了很多引領世界潮流的互聯網公司，憑借自身技術和信息優勢，從其他國家獲取超額利潤，從而在二十世紀得以成為世界上最強大的國家，國民生活水平大幅度提高，社會保障完善。這與其寬松的法律環境，國家對產業發展的大力支持密不可分。2017年3月，美國參議院、眾議院先后宣布廢除網絡用戶隱私權保護法案。這意味著互聯網業務公司可以基于自身的商業發展，肆意收集和出售網絡用戶的瀏覽記錄、網絡信用記錄等所有上網信息而無需顧及網絡用戶自身的感受。但這并不意味著美國在這場產業之戰中獲取決勝地位后，不調整其個人信息保護政策，由對個人信息的寬松保護轉而傾向于突出對個人信息的嚴格保護。據相關媒體報道，我國在新興技術產業特別是云計算、大數據產業有望達到世界領先水平?，F階段，選擇美國式相對寬松的個人信息保護立法模式更有助于初創時期這些產業的發展，最終有利于個體人的全面發展。

現代社會資源緊缺愈加明顯，如何有效利用有限資源滿足盡可能多的人的需要是所有國家都必須面對且需要解決的重要問題。云計算、大數據的發展已呈不可抗拒之勢，其侵犯個人信息的風險不可避免。立法過度強調對個人信息保護，實則增加信息控制主體采集、使用個人信息的成本，最終這種成本又均將轉嫁于信息主體身上。由于信息不對稱、事先預防性機制的不可控性，成本在轉嫁的過程中大部分未產生實際效用，使得社會整體效率低下，浪費嚴重。以經濟效果作為立法導向，也表明我們應該選擇美國式相對寬松的個人信息保護立法模式。

（二）個人信息保護立法應側重由憲法、刑法、行政法和經濟法立法解決的模式

隨著云計算、大數據技術的深入發展，人對于技術的依賴性增強，這場盛宴中的個人都將愈來愈透明，而技術的掌控者都將愈來愈隱蔽。當自由競爭市場經濟的信奉者認識到國家適度宏觀調控的重要性時，主要調整形式上平等主體間的人身和財產關系的傳統民法已經無法完全實現社會生活中愈來愈多實質力量不平等的個體之間的公平、正義，帶有國家調控色彩的經濟法應運而生。

個人信息保護涉及到人格問題，涉及到對人格的尊重，對人的自由、尊嚴的保護，這需要在關涉人權的國家基本法——憲法中首先對其予以肯定。其次，個人信息保護目前的問題主要是信息采集、使用階段對信息主體利益的侵害問題，這需要從信息采集、使用的源頭事先予以規范。如前所述，傳統民法中 “知情、同意”規則對大數據時代個人信息保護問題呈現出無能為力之勢，必須借助國家力量根據不同行業、不同場景在信息主體和信息控制者之間事先重新分配法律資源，這恰是行政法、經濟法的任務。加緊進行個人信息保護單行法立法是行政法、經濟法學界當前的重要立法任務。最后，在行政法、經濟法已經建立了對個人信息保護的事前預防機制的情形下，對個人信息保護的事后救濟措施應該主要通過完善侵權責任法中侵權行為構成要件等內容對權益受到損害的民事主體予以民事賠償來解決。個人信息保護不僅關涉個人利益，同時牽涉到國家安全問題。信息控制者在個人信息采集、使用、轉讓行為過程中違反法律規定造成嚴重后果或者對國家、社會整體利益產生重大損害的，還應該在刑法中規定其應承擔的具體的刑罰責任。我國 《刑法修正案 （七）》已經將非法獲取、非法出售個人信息的行為規定為犯罪行為。

個人信息保護涉及到社會生活中人的最基本權利，對其完善的法律保護方式必須是在憲法統領下各部門法各司其職相互作用的結果。

（三）堅持民法中的個人信息保護主要由侵權法承擔的原則

首先，人本身是目的而不是手段，人作為人的基本權利是與生俱來的。個人信息作為與其主體“人”密切聯系的一類信息，范圍極其廣泛，其中有些信息如隱私權、肖像權、名譽權等涉及到個人私生活領域或者是涉及他人對個人的社會評價問題，對個人及其家庭生活十分重要。這類信息絕對不允許未經權利人同意予以公開、使用甚至是交換以換取經濟利益。而另一些個人信息則是個人在群體生活中必須予以公開，允許他人使用的，如姓名等。有些個人信息一般情況下不允許任意他人未經許可獲取、使用，但特殊情況下，無論權利主體是否允許都應該對特定人公開，如急救情況下，醫生未經病人許可調閱病人病例的情況；惡性突發事件中，警務人員調閱事發現場人員信息情況甚至監聽所有在場人員通話情況等。還有一類個人信息如個人信用信息，對個人的社會評價以及個人生活均有實質影響。但同時這一信息對于貸款銀行、民間借貸中的出借人是否給予借款人貸款、貸款利率及貸款周期的判斷亦有實質影響。因此我們不宜對個人信息中的具體信息不加區分一概以具體人格權的方式予以立法保護。

其次，我國 《民法總則》第一百一十一條規定 “自然人享有生命權、身體權、健康權、姓名權、肖像權、名譽權、榮譽權、隱私權、婚姻自主權等權利”。該條規定中的姓名權、肖像權、名譽權、榮譽權等具體人格權內容本身就是個人信息的一部分。若將個人信息權在未來的人格權法中確認為一項具體人格權，為求概念精確，體系完整，則必須在未來的民法典分編中改變我國剛剛出臺的 《民法總則》中具體人格權分類體例。

再次，如前所述，個人信息的外延范圍廣泛，法官對個人信息概念的理解不同，司法判決也就不同。為求司法實踐的統一性和可操作性，最佳解決方案就是立法規定盡可能地明確、具體。就像王利明教授所建議的：在將個人信息權作為具體人格權內容予以規定時，個人信息的概念 “應該盡可能地詳細列舉，以明確個人信息的范圍”，王利明：《論個人信息權在人格權法中的地位》，載 《蘇州大學學報 （哲學社會科學版）》2012年第6期。并建議參照我國臺灣地區2010年頒布的 “個人資料保護法”中對個人資料詳細、窮盡式列舉方式，以 “有利于明確個人信息權的權利保護范圍，在具體的司法實踐中，普通民眾可以清晰地了解個人信息權的保護對象，司法機關也能夠針對具體的對象準確適用法律，減少爭議”。參見前引，王利明文。但是，若果真需要如此規定，那么我們為何不將個人信息定義中的內容直接規定為具體人格權而一定要新引入 “個人信息權”的概念呢？法律對個人信息提供保護的主要原因在于個人信息與自然人人格聯系密切，與自然人有關的一切信息若被不當收集、使用而侵犯了該自然人利益，民法應該賦予他獲得法律保護的權利，列舉式的概念范圍劃定，實則限制了自然人權利的行使，反倒有違個人信息保護的立法本意。

因此，現有民法體系建立的一般人格權、具體人格權保護方式，通過侵權責任法對權利主體權利受到侵犯予以民事法律救濟的方式應該予以保持，并根據個人信息的特點和實踐需要在侵權責任法中確立和完善科學的個人信息侵權行為事后民事追責和救濟機制。