大數據時代下個人信息財產化的合理性
——以個人信息再定義為視角

(華南理工大學 廣東 廣州 511400)

一、大數據時代對個人信息的影響

個人信息的概念由來以久，并非根據大數據時代的發展而產生。個人身份證號、消費記錄等是個人信息，而個人的外形特征、姓名也是個人信息，這些個人信息一定程度上由民法的人格權、隱私權進行規制。本來在民法體系上各得其所的個人信息，如今其法律屬性為學界討論，是因為大數據時代的出現。大數據的定義比較權威的是麥肯錫公司的觀點：超過了典型數據庫軟件工具捕獲、存儲、管理和分析數據能力的數據集。例如，沃爾瑪每小時要處理上百萬的客戶事務，這些事務被導入數據庫，約有2.5PB的數據量。可以說大數據的產生是因為物理存儲器的性能每十八個月提升一次，但價格卻不斷降低，使信息的海量儲存成為可能。大數據時代下信息的數量已經超出人們的直接感知能力。信息數量的爆炸性增長顛覆了對個人信息定義及保護方式的理解。

(一)促進個人信息再定義

通過比對和概括1981年歐洲理事會通過《保護個人信息自動化處理公約》、1998年英國《數據保護法案》、1995年歐盟《個人數據保護指令》，以上文本均認為個人信息指可以直接或間接識別自然人身份的相關信息。大數據潮流從2009年逐步顯現，用二十世紀的定義理解數據革命后的個人信息含義會覺得十分抽象，此定義也難以在實踐中幫助認定個人信息。原因在于現在個人信息的界定需要基于動態場景：

首先，個人信息基數大但分布零散，有些信息孤立來看毫無用處，但在特定情形卻能識別個人。此時個人信息按照傳統概念，囊括范圍會變得非常大，似乎一切信息都可以成為個人信息。第二，信息的價值不再單純來自其基本用途，而更多源于對其二次利用，個人信息含藏在數據之中，信息收集者會將信息整合，這樣就不能單純看單個數據本身。第三，大數據環境下信息的相關性越顯重要。已知特定個人，信息使用者在進行數據挖掘的過程中有可能發現從傳統意義來說與個人無關的信息與該個人具有相關性。這種與個人不具有直接因果關系的信息原本不會成為個人信息，但在該動態場景下人與信息卻有了聯系，信息具備了識別功能。

(二)催生個人信息保護新方式

現今個人信息保護制度主要分為三個方面：第一，人格權法保護。運用隱私權、姓名權、肖像權、形象權和公開權對部分直接個人信息進行規制。但以上權利不能為所有個人信息提供保護，不是所有個人信息都涉及隱私、姓名、肖像的權利，或達到現行法的既定保護要求。第二，知識產權法保護。有學者認為，知識產品，或稱智力成果，實際也是一種信息形式。知識產品是因其具有獨創性，始得知識產權法的保護。但個人信息很大部分不具有創造性，這類個人信息不能適用知識產權法。第三，競爭法保護。商業秘密是具有經濟價值、未被公眾所知、被采取保密措施的信息。但是個人信息的對象為自然人，不屬于商業秘密的概念適用對象，因而不落入競爭法的保護范圍。現行法律架構對個人信息的保護方式為孤立而并非統一，不可避免在網絡這個虛擬環境下存在個人信息領域方面的權利真空。信息革命浪潮推動個人信息權這種新型權利發展起來，個人信息權的性質開始為人探討。

二、個人信息的再定義

(一)如何辨別個人信息

1.界定標準：識別個人

個人信息的范圍雖然在大數據的影響下有所擴大，但其界定標準仍然是能夠直接或間接地識別個人。對識別的理解應該為：可以將特定人從群體中區分出來；或者通過具體信息聯系上特定人。識別這個概念的最終關注點是具體個人——個人的利益和自由有沒有因為個人信息的利用受到不法侵害——而不在于信息本身。在大數據的環境下個人信息范圍大而邊界模糊，分布零散，因此僅糾結于信息的類型會讓個人信息的定義流于抽象，不具有操作性。當然筆者并不是認為個人信息不需要再進行分類分級，而是在大數據的發展下，直接識別信息可以識別個人毋庸置疑，與此同時還有一些邊緣性的信息可以識別個人，因此關注的重點就轉向比較具有爭議的間接識別信息。如果對零散信息的處理結果可以指向特定個人，或者對特定個人造成影響，也可以說構成了識別。

2.識別方法：以結果為導向的場景化思維

對于個人信息的定義，需要立足于具體的情況，在具體的場景(context)中進行判別。大數據的價值在于二次利用，其實個人信息的價值和風險也來自于利用，對信息的不同利用方式會構成不同的場景。個人信息尤其是不能夠直接識別出個人的信息的邊界是動態的，是否構成個人信息應視具體的場景而定。比如說，某小區的樓價是客觀的非個人信息，但已知甲剛在這個小區購置了一層樓房，則小區的房屋價格便成為甲的個人信息。從中可以看出，對于個人信息的定義是以結果為導向的。A信息在甲場景中是非個人信息，但是因為在乙場景中起到了識別個人的作用，就成為了個人信息。“場景”的構成要素是多元的，包括信息的敏感度、數量、收集方式、信息接收者的狀況、信息的使用目的與后果影響、與外部信息的比對情況，乃至科技的發展水平等。這種識別結果并不能構成侵犯個人信息的相關權利的充分必要條件，但是從識別結果的角度出發，在很多情況下可以反推出數據使用者具有識別特定人的故意，成為數據使用者侵犯個人信息權的其中一個構成要素。

3.識別方法：個人數據的相關性

有的信息可以直接識別出個人，比如說個人身份證號，而有的信息雖然不能直接識別個人，但是信息累積越多，該個人的具體形象就越豐滿，這些信息間就具有“相關性”。已知具體個人，然后進一步了解該個人的具體信息，可以使個人圖像愈趨完整化。比如說，婚姻的已婚未婚狀態，本來并不是個人信息，但如果知道是關于誰的，就會構成個人信息。此處的“關于”誰，就是信息的相關性。這種具有相關性的信息間本質上看具有因果關系，但是因果關系的重要性被淡化。就像啤酒與尿布的例子，父親們去買尿布，順便買瓶啤酒犒勞自己，因為是父親們去買尿布，所以啤酒的銷量才會增加，換成是母親去買尿布，可能啤酒的銷量不會因此增加。具有相關性的兩種信息不是不具有因果關系，而是在利用信息的時候，只要二者具有相關性就可以作出相應的經濟決策，而不需要花時間考慮二者的因果關系。

(二)擺脫對定義的路徑依賴

前文已述，大數據時代個人信息的界定以結果為導向。但過于強調這種定義可能會導致不公平：數據使用者即使是處理非個人信息，也可能在客觀結果上對個人造成了影響，此時數據使用者不能以處理的是非個人信息為理由進行抗辯，監管者也可能由結果反推數據使用者具有識別個人的故意，從而認定其侵權。其實定義只是一個中間手段，辨析個人信息是為了適用個人信息的法律，為用戶提供個人信息權利保護，以及相對應地明確數據使用者的義務。因此，需要更加強調明確權利和義務，一方面把個人信息的法律落到實處，另一方面對個人信息定義進行補強。

對個人信息定義進行補強，需要列舉排除法律適用的情況。符合法律規定的條件可以豁免相應的法律義務，屬于例外事由；即使不屬于例外事由，當數據使用者的行為構成對個人信息的合理使用，也不需要得到用戶授權。在這方面歐盟的《數據保護指令》及其改革法案《通用數據保護條例》(以下稱GDPR)以及美國的《消費者隱私權利法案》(以下稱CPBR)走在世界的前列。得到法律豁免的情形概括來說有日常交往以及動機合理。法律以日常交往的需要以及動機合理為出發點，對現實中需要豁免的情形進行列舉。關于適用例外事由，例如GDPR中規定，在個人信息被單純用于自然人或家庭活動目的時，豁免個人信息保護法的適用。關于適用合理使用，CPBR規定，個人信息處理行為在“特定場景中合理”時，無需取得用戶同意。雖然無具體的類型化規定，但2010年CPBR框架最初提出時，曾就場景中合理的標準具體列舉中五種普遍接受的應用實踐：提供產品和服務、內部運營、反欺詐、履行法定義務與實現公共利益，以及第一方產品營銷。

三、個人信息權財產化合理性

新出臺的《民法總則》把個人信息以及數據納入了保護范圍。第一百一十一條規定，自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。第一百二十七條規定，法律對數據、網絡虛擬財產的保護有規定的，依照其規定。個人信息和數據的規定作為單獨條文與人格權的規定并列，說明個人信息和數據不僅是人格權的指向對象之一，而且具有其特殊性。一直以來民法學界大多認為個人信息屬于人格權的內容，但筆者覺得財產觀開放性的性質可以使個人信息成為財產權的客體；并且在數據不斷增長、個人與企業乃至國家對數據越來越依賴、對數據利用的要求越來越高的現實下，個人信息的商品化程度實際上已經很高，個人信息實際已經在商品化過程中實現了財產化。堅持人格權的理論，認為信息不可成為交易的對象，這種說法是不現實的。現在條文只有概括性的兩條，個人信息的相關權利以后如何落實會涉及立法目標。傾向于人格權的消極保護還是財產權的積極保護是立法層需要考慮的問題。

(一)個人信息財產權主體：信息主體

討論個人信息財產權，首先需要明確主體為何人。前文已述，人格權規制部分直接個人信息，人格權的權利主體毫無疑問屬于信息主體，信息主體后續維權有明確的法律依據。筆者認為，個人信息的財產權也應該屬于信息主體。因為個人信息與該特定個人密不可分，會涉及信息主體的個人尊嚴，如果信息主體對個人信息不具有控制權，那么他人對個人信息進行處分不需要得到信息主體的同意，此時個人不可避免地成為了客體。但個人信息主體屬于誰沒有法律最終確定，在現實生活中個人信息由信息使用者掌握，而信息使用者如何對信息進行利用與商業性交換，信息主體很大程度上并不知悉。更為奇怪的是，信息主體作為信息的產生者，很多時候不僅不能分享信息利用帶來的收益，而且還受到信息濫用的侵擾。信息主體難以維權，一方面是因為不同的信息使用者各有各的數據庫，而且經過多重買賣，信息主體無從知曉有多少信息使用者掌握自己的信息。另一方面是信息主體對信息沒有財產權，不參與利潤分配，沒有動力求知有多少信息掌握在別人手中。信息使用者面對高額的利益回報與缺失的權利規制，任何一個理性經濟人必定不會與信息主體分享利益，并且會阻撓信息主體爭取其財產權。信息財產權應該回歸信息主體所有，由信息主體許可相關權利給信息使用者，可以實現保護信息主體權利和保障信息使用者利用信息的利益平衡。

(二)個人信息財產權客體：個人信息

從歷史的角度看，人類把什么作為財產并不是一成不變的，而是根據當時的生產力，結合人類自身需要，把具有稀缺性、有價值的東西作為財產。稀缺和價值是成為財產的根本性因素，因此即使傳統概念上財產是有形的，但只要人們需要，也會通過修改財產觀將無形的事物納入財產的外延。農耕時代的財產以土地等不動產為核心，在當時的法律上有著重要的體現：“對土地處分權的保護成為羅馬私法的核心使命”。(第一篇)此時的財產觀是一種有形財產觀。工業革命把人類推入工業社會，以手工勞動的生產被機器為主的生產代替，這時生產的目的主要不是為了滿足自我需求，而是為了交易，人們開始更關注物的利用和物的價值。人們發現并不只有實體物才具有經濟價值，智力成果在某種程度上性質與物相似，具有財產權的特性。經過財產觀的修正與擴展，知識產權作為一種權利成為了新的財產權客體，財產觀從有形向無形方面拓展。到了如今充分認識到信息資源的重要性的時代，人類很多活動都圍繞數據展開。從個人層面看，人們通過數據認識世界，利用數據的實證分析是表達觀點的重要方法。從國家層面看，國家經濟狀況的表現和經濟政策的指定皆需立足于數據。圍繞信息的利益關系變得越來越復雜，信息儼然成為利益的一種載體。信息就是在各種經濟活動中逐漸商品化，從而逐漸實現了財產化。

(三)個人信息權傾向：財產化

個人信息的價值和功能分為兩個方面的內容：維護主體的個人尊嚴和財產利益。在過去，由于社會經濟水平和技術水平不高，個人信息很少得到商業性利用，對個人信息的規制主要著重于人格保護，其余的個人信息暴露在外不需要權利保護，比如人的外表、出行路線，每個人都能看見。人格權的立法目的不包括維護主體的財產利益，因此滿足一定條件，信息主體的確可以要求一定精神損害賠償，但是精神損害賠償依據的是填平原則，信息主體并不能根據精神損害賠償獲利。而如今現實發生了改變。第一，個人信息被利用很多情況下并不造成精神損害，比如網上商城根據消費者的購買記錄得出其消費喜好對其進行商品推送，就不涉及精神創傷問題，這樣首先消費者就不能獲得賠償；第二，信息使用者通過利用信息獲得巨大利潤，從信息主體角度出發更急迫的是如何參與利潤分配，而不是如何維護個人尊嚴。個人信息肯定會存在人格保護問題，但是個人信息的爆炸性增長與使用方式的改變使人格權不能為其提供完整性保護。因此個人信息法應該以財產法為取向，個人信息財產性內容由個人信息法規制，個人信息人格權內容留給人格權保護。這是由個人信息權兼有財產權和人格權特性決定的，與民法的體系并不矛盾。

四、比較法角度：個人信息的立法建議

當前信息財產規定走得比較前沿的是俄羅斯和美國。

俄羅斯審議了《俄羅斯信息、信息化與信息保護法》，立法目的為通過所有權保護信息財產。該法規定，信息資源是財產的組成部分和所有權的客體。其法律指定的信息為廣義的信息，包括紙面信息和電子信息。同時還規定，有關信息資源所有權的關系由俄羅斯聯邦民法調整。

美國則通過了《統一計算機信息交易法》，目的在于建立一整套信息銷售的法律。該法第一次在立法上確立了計算機信息，指利用計算機生成的，或者可供計算機使用和處理的電子信息。該法還明確了信息財產作為一種獨立的民法法律關系客體的法律地位，把信息財產作為知識財產看待，并設計出和知識產權性質相一致的上位權利——信息產權來保護計算機信息。

綜合兩個國家的法律進行分析，筆者認為個人信息乃至于信息財產，是一種新類型的民事法律關系的客體，具有法律上的確定性和獨立性，是一種獨立的財產形式。信息的性質并非物，信息是與物并列的一種事物形態。信息也不一定具有獨創性，沒有獨創性的信息不受知識產權法保護。信息財產權、物權和知識產權各有其性質，不能互相取代，應為信息社會財產權的三大組成部分。目前，信息財產處于權利空白地帶，美國《統一計算機信息交易法》以知識產權保護為核心，沒有從根本上合理界定信息財產的法律屬性。個人信息屬于信息財產的內容，信息財產需要單行立法，在一般情況下準用物權法規定，涉及人格權時準用人格權法規定，單行法則對信息財產的特殊問題進行規定。

結語

個人信息的潛在價值巨大，而大數據、云計算仍然處于不斷發展的階段，可以預見，個人信息的研究現在雖然仍在比較淺顯的階段，但未來仍然會占據研究的熱點話題。個人信息講求利用和保護的平衡，在信息使用方利用信息獲得利潤的同時，信息主體有合理利潤分成的訴求。個人信息在商品化過程中實現了財產化，面對這種信息浪潮，我們處于浪潮的巔峰應該推動法律適應實踐發展。