論個人信息的界定、分類及流通體系陽

雪雅

內容摘要：《民法總則》第111條規定了個人信息，但是如何進行法律保護并沒有具體展開。“可識別性”界定個人信息更主要是從宏觀上厘清個人信息，很難從微觀上具體甄別出個人信息。因此根據個人信息不同階段評估其存在的風險來界定個人信息具有一定的合理性，只有存在主觀傷害風險或者客觀傷害風險的個人信息才是法律上界定的個人信息。信息主體具有多元性，保護也不限于排他性的方式。數據與信息既有聯系又有區別，個人信息與隱私存在交叉也存在不同，數據、個人信息、隱私的客體分別體現為利益、法定利益、權利。敏感信息與非敏感信息的區分是典型對極思考的方法，能窮盡所有個人信息，但是判斷“敏感性”的標準卻不夠具體。因為是否具有敏感性本身還要再進一步判斷，該種判斷主要是價值判斷，缺乏明確的衡量依據。清晰的分類可以直觀地發現個人信息流通的路徑，以個人信息形成為標準的志愿者信息、政府強制采集的個人信息、測量信息、推測信息更易于實現該目的。對個人信息的保護不能只強調事后救濟，要防止個人信息不當利用的重點還應規范個人信息的流通。

關鍵詞：個人信息信息 分類信息主體 個人信息處理 流通體系

中圖分類號：DF51文獻標識碼：A文章編號：1674-4039-（2019）04-0033-44

一、問題的提出

信息化已經成為時代的主旋律，這股浪潮不僅影響著我們的經濟方式、生活方式，還影響著我們的思維方式。無論政府等組織體還是個人都在大力挖掘個人信息的價值，法律滯后于實踐，法律應在信息社會中有所作為。法律規制個人信息，主要分為兩大模式：一種是以歐盟為主的嚴格管理模式，一種是以美國為主的行業自律模式。前一種模式將個人信息置于憲法人權保護的地位，個人信息流通須征得信息主體的同意。后一種模式允許個人信息有條件地自由流動，同時通過行業自律規制信息控制者行為。我國法學關注個人信息的相關成果主要集中在個人信息保護，對個人信息保護的研究視角強調個人信息對于自然人的重要價值，但也在一定程度上束縛了研究思路。主流觀點認為個人信息分為敏感信息與非敏感信息，對敏感信息的保護應強于對非敏感信息的保護，但是該種分類并不是很清晰，如何保護就成了研究熱點。〔1 〕我國相關立法遵循了歐盟的嚴格保護主義，對個人信息的收集、利用等環節必須征得信息主體同意，可是實踐中流于形式的同意和未征得同意十分普遍，這就直接導致了立法上對個人信息的高規格保護，但實踐中卻無法充分保護個人信息。為了解決個人信息保護的矛盾，制定符合信息社會發展的立法則成為了關鍵。

我國《民法總則》第111條規定：“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。”該條首次規定了個人信息，但是該條對個人信息的宣示價值大于對個人信息的規范意義。如何界定個人信息？個人信息如何進行分類？“依法”與“不得非法”應當遵循何種個人信息收集、利用、轉讓的規則，這些都是自然人個人信息保護亟需解決的問題。我國關于個人信息的規范比較零散，如《憲法》《民法總則》《侵權責任法》《消費者權益保護法》《郵政法》《互聯網電子郵件服務管理辦法》《刑法》《關于加強網絡信息保護的決定》《電信和互聯網用戶個人信息保護規定》等規范雖然都有對個人信息或者隱私的內容，但是缺乏全面細致的調整。

隨著社會的發展，個人信息適用的領域將越來越廣泛，《民法總則》對個人信息的規定體現了很強的時代性，但是個人信息與隱私、數據等概念之間存在什么樣的關系、如何多角度研究個人信息、如何更好地利用個人信息，現行規范還很單薄，在數據處理、交易、使用方面，現行法律制度都缺乏全面且明確的規定。〔2 〕學界對個人信息界定、分類、處理等環節雖有一些研究成果，但尚未達成共識。筆者在既有著述的基礎上，對個人信息的界定、分類及流通進行分析，以期進一步解釋《民法總則》第111條，從而為后續相關立法提供理論支撐。

二、個人信息界定

不可否認，自從有了人類，個人信息就已經存在，如姓名、住址、家庭成員情況、活動軌跡等。這些個人信息很長一段時間并沒有保護的必要，如姓名就是需要公開出來，被他人周知。直至近代，隱私的出現將一部分個人信息區隔出來，有了單獨保護的必要。保護隱私的本質在于對個人人格的尊重，這些信息是自然人不愿意被他人所知的內容，自然人可以通過隱私保護的方式實現自我控制。是否所有的個人信息都需要保護，很明顯過分擴大的保護容易混淆人與人之間的行動邊界。隱私權概念的出現，與19世紀20世紀初印刷技術的發展等為偷窺他人生活創造了條件不無關系，〔3 〕因此，也有學者認為，“隱私權的理論與法律，從一開始就是針對新聞出版界的”。〔4 〕有學者認為隱私屬于個人信息的一部分，其實個人信息與隱私之間并不是簡單的包含關系。個人信息與隱私的最大區別在于，隱私應該在性質上屬于個人未向社會公眾公開的信息。而個人信息則可能已經公開，或本來就屬于公共事務的范疇。〔5 〕半個世紀以來，隨著計算機技術全面融入社會生活，信息爆炸已經積累到了一個開始引發變革的程度，它不僅使世界充斥著比以往更多的信息，而其增長速度也在加快。〔6 〕不被隱私保護的個人信息在大數據時代具有了新的價值，甚至非個人信息經過相關數據分析后也能與個人關聯成為個人信息。對我們而言，危險不再是隱私的泄露，而是被預知的可能性——這些能預測我們可能生病、拖欠貨款和犯罪的算法會讓我們無法購買保險、無法貸款，甚至在實施犯罪前就被預先逮捕。〔7 〕合理利用個人信息成為大數據時代必須面對的課題。

可見個人信息的產生很早就已存在，法律最初是對個人信息中的隱私進行保護，發展到今天對隱私保護的思維和方式不足以應對個人信息的保護，個人信息就有了獨立存在的價值。我國《個人信息保護法》（專家意見稿）第9條規定：“個人信息是指個人姓名、住址、出生日期、身份證號碼、醫療記錄、人事記錄、照片等單獨或與其他信息對照可以識別特定的個人的信息。”《信息安全技術公共及商用服務信息系統個人信息保護指南》對個人信息（personal information）的界定是：“可為信息系統所處理、與特定自然人相關、能夠單獨或通過與其他信息結合識別該特定自然人的計算機數據。”上述兩種表達幾乎一致，不僅包括可以單獨識別到自然人的個人信息，還包括與其他信息結合識別到特定自然人的個人信息。不過指南中的個人信息更強調能被信息系統處理的計算機數據。是否為個人信息僅僅依賴于傳統的直觀考察并不全面，有時還需要借助技術，判別是否為個人信息。歐盟《個人數據保護法》中的“個人數據”是指與一個身份已被識別或可被識別的自然人相關的任何信息。通過可識別性判斷是否屬于個人信息雖然被很多國家立法例采用，但是這種判斷也存在以下困境：單獨一條信息并不能識別到個人，但是將所有信息集合在一起，可能就會識別到某個人。另外隨著數據相關性的研究和數據挖掘技術的發展，一個單一的、不重要的信息可能也會識別到個人。〔8 〕有趣的是，《瑞典1998年個人信息法案》將個人信息定義為“與一個活著的自然人直接或間接的相關的信息”。很明顯“可識別性”能靜態地確定個人信息。但是隨著新技術的發展，個人信息的表現形式也日益多元化，是否具有可識別性并不是很確定，更關鍵的是，對于處理個人信息的主體，有時候他們自己也并不知道處理的是否是個人信息。我國《信息安全技術個人信息安全規范》附錄A規定，判定某項信息是否屬于個人信息，應考慮兩條路徑：一是識別，即從信息到個人。二是關聯，即從個人到信息，如已知特定自然人，則由該特定自然人在其活動中產生的信息即為個人信息。“識別說”和“關聯說”進一步拓展了個人信息的范圍，但是判斷的不明確性并沒有解決。

由于研究個人信息的視角更多是采用賦權的方式，即賦予個人信息主體權利，但是個人信息本身的內涵和外延具有極大的彈性，靜態地以是否具有可識別性或關聯性并不能充分明確個人信息，還需要動態地體系化地認知個人信息。Eloise Gratton教授認為通過引起風險的不同來界定個人信息。收集個人信息階段主要評估是否存在主觀傷害，因為它常常涉及一種情感或心理的傷害。利用個人信息階段主要評估是否存在客觀傷害。如果使用信息的方式沒有影響到個人或者影響是積極的，那么該信息即使能識別到個人，也不屬于個人信息。〔9 〕當然收集階段就能界定出應屬于個人信息，則就不需要進行后續的評估。

筆者并不否認“可識別性”標準，但是該標準容易使個人信息的內涵和外延失之明確。法律上討論的個人信息是需要保護的個人信息，可以在“可識別性”標準基礎上，再從個人信息處理的不同階段評估其存在的風險，具有主觀傷害風險或者客觀傷害風險的個人信息才是法律上界定的個人信息。正如民事法益這個概念，并不是民事主體的任何利益或自由都屬于法益。只有具有合法性、確定性、可救濟性的利益才給予法律保護。但是如何進行具體判斷還需要放在具體案件中進行動態衡量。因此對個人信息的界定需要從靜態和動態兩種視角進行界定。

通過對個人信息的界定，個人信息的內涵和外延與隱私有聯系也有區別。隱私權的保護范圍傳統上包括侵入他人私生活（侵入類型）及公開私生活的事實（公開類型），近年來隱私權更擴張及于個人信息自主，而成為一種獨立的侵害類型。〔10 〕個人信息與隱私既有重合之處，也有不同的調整范圍。個人信息具有以下特殊性：（1）個人信息的財產性。（2）個人信息的可轉讓性。（3）個人信息匿名化利用的可能性。（4）個人信息整合的必要性。（5）個人信息產業化的時代性。相較于個人信息，隱私具有人格屬性，隱私在獲得隱私權人同意的基礎上須有限制地轉讓。隱私一旦被匿名化則不存在討論的價值，而個人信息匿名化后依然可以有利用價值。眾多個人隱私并沒有整合的必要，而個人信息經過整合、分析還會產生新的價值，如對自然人開車里程與行車驅間的整合便于車輛保險的評估。從社會政治、經濟發展的角度，大數據發展是時代的趨勢，而大數據中的個人信息不能僅僅依賴于小規模收集、分析、整理，應當使其產業化，真正服務于社會政治、經濟、環境、醫療、公共治理等領域的發展。考慮到個人信息的特殊性，個人信息從隱私中獨立出來實有必要。

我國《民法總則》對隱私與個人信息進行了區分，隱私權作為獨立的權利與其他人格權一起放在第110條，而個人信息單獨放在第111條，個人信息是否能作為獨立的權利存在一定爭議。毫不夸張地說，“權利”占據了當代法律、政治話語的中心地位。〔11 〕王利明教授在《論個人信息權在人格權法中的地位》一文中，將個人信息表述為“個人信息權”。〔12 〕但是民事權利的法定化須具備以下要件：（1）權利主體明確。（2）權能具體化。（3）權利具有可救濟性。如果上述三要件不足，就有可能影響權利的法定化。如德國法創設的一般人格權，權能過于彈性，不夠具體，只能稱之為框架性權利。如環境權作為獨立的權利，民法學界一直存在質疑，因為其權利主體不夠明確，權利內容也失之具體，當然并非一定是民事權利才能得到法律保護，利益在符合一定條件下也能得到法律的保護。《民法總則》規定了個人信息，是將個人信息視為法定權利還是法定利益？筆者更傾向于個人信息屬于法定利益。如果個人信息為權利，即權利人對個人信息享有支配權，但是個人信息的多重利用關系使之并不具備完全的支配性。個人信息是排他性指向個人的，但不必然由個人創設、占有或知悉。將個人信息作為利益調整則具有更強的靈活性。《民法總則》對個人信息進行了規定，個人信息呈現為法定利益，利益主體可以出現在不同階段，信息主體具有多元性，保護也不限于排他性的方式，這種思路有利于個人信息的不斷發展。

數據這個詞在拉丁文里是“已知”的意思，也可以理解為“事實”。如今數據代表著對某件事物的描述，數據可以記錄、分析和重組它。〔13 〕而信息也具有這樣的功能，因此信息與數據具有相通之處，數據更側重于通過技術的手段認知，這也契合了網絡社會的發展，因此大數據時代不僅指稱數據數量的龐大，還體現了一種數據化的時代，是一種把現象轉變為可制表分析的量化形式的過程。《民法總則》第127條規定：“法律對數據、網絡虛擬財產的保護有規定的，依照其規定。”《民法總則》第126條規定：“民事主體享有法律規定的其他民事權利和利益。”127條在126條民事權利和利益的兜底條款之后，其體系地位還值得商榷。根據《民法總則》的規定，數據既不是權利也不是利益，只有在有規定時才給予保護。毋庸置疑，數據具有財產價值，但是數據的外延十分寬泛，很難窮盡，并非所有的數據都要被法律保護，如何保護則需要其他規范進行細化。數據與信息既有聯系又有區別，數據是信息的具體表現形式，信息需要經過數字化轉變成數據才能存儲和運輸。當然從數據的內容層面來看，數據與信息可以互用。數據所承載的內容有信息和非信息。〔14 〕個人信息與隱私存在交叉也存在不同，數據、個人信息、隱私的客體分別體現為利益、法定利益、權利。《民法總則》將數據單獨規定具有妥當性，但是127條應放在126條之前，這樣《民法總則》第126條民事主體享有法律規定的其他民事權利和利益就真正發揮了兜底條款的功能。

三、個人信息的分類

個人信息的外延十分寬泛，我們在描述個人信息時，常常以個人參與的社會活動為參照，如購物信息、教育信息、交通信息、醫療信息、金融信息、社保信息等。這種分類有利于直觀地把握個人信息，但是卻無法窮盡個人信息，也不利于準確界分個人信息。類型化的方法是為了更充分全面認識某一范疇，因此選取何種標準進行分類則至關重要。學界通說認為，以個人信息與個人是否具有直接相關性，將個人信息區分為敏感信息與非敏感信息。敏感信息是指關涉個人隱私核心領域、具有高度私密性、對其公開或利用將會對個人造成重大影響的個人信息，如有關性生活、基因信息、醫療記錄、財務信息等個人信息。〔15 〕敏感信息應受嚴格保護，不能隨便公開。《信息安全技術公共及商用服務信息系統個人信息保護指南》認為個人敏感信息是指一旦遭到泄露或修改，會對標識的個人信息主體造成不良影響的個人信息。各行業個人敏感信息的具體內容根據接受服務的個人信息主體意愿和各自業務特點確定。例如個人敏感信息可以包括身份證號碼、手機號碼、種族、政治觀點、宗教信仰、基因、指紋等。該指南以是否造成不良影響作為區分標準。非敏感信息可以在一定程度上公開，在保護上前者嚴格于后者。〔16 〕敏感信息與非敏感信息的區分是典型對極思考的方法，能窮盡所有個人信息。但是判斷“敏感性”的標準卻不夠具體，因為是否具有敏感性本身還要再進一步判斷，該種判斷主要是價值判斷，缺乏明確的衡量依據，如財務信息應屬敏感信息，但在金融活動或者納稅活動時可以在一定范圍公開，則敏感性在不同環境中的表現并不統一。可見隨著環境的不同，個人信息是否具有敏感性也會發生變化。至今為止，該分類標準下的具體化并沒有完成，敏感與非敏感信息具有思維判斷的價值，但也存在不可彌補的漏洞。

根據掌握個人信息的主體不同，將個人信息區分為政府控制下的個人信息、自然人控制的個人信息以及其他組織體控制的個人信息，該分類標準也比較周延，但是三種類別下的個人信息存在交叉，個人信息如何進一步流通會發生沖突。如身份證號碼由政府提供，自然人自身也控制著身份證號碼，行政部門并不能隨意使用個人信息。個人信息與有體物區別之一就在于個人信息可以由多人共享，不存在可消耗性，因此有的個人信息可以由多個主體支配，但是如何支配應受相應的主體法調整，進而疏通個人信息流通的管道。如《政府信息公開條例》《網絡安全法》等規范對政府機關處理個人信息提供了依據。對于其他組織體控制的個人信息，主要從隱私權的角度，體現在金融部門、醫療部門、企業經營者等主體對消費者個人信息的保護，但是對于其他不能通過隱私權保護的個人信息則缺乏體系化的保護手段。

個人信息的分類標準，不僅要周延，還要能對個人信息的流通進行更深入的分析，從而提供法律的支撐。將個人信息類比為“新的石油”的觀點，日益得到了大眾的接受，個人信息會以新型資產的形式出現在社會的各個領域，以動態角度審視個人信息，我們會發現個人信息流通的軌跡存在差異。完全由自然人自己提供的個人信息，如果要流通，自然人進行干預則相對容易。筆者以個人信息的形成為標準，將個人信息分為四類：〔17 〕志愿者信息、政府強制采集的個人信息、測量信息、推測信息。志愿者信息是客戶自己提供的信息，如招聘網上公開的個人簡歷，在網絡購物中申請注冊賬號時所填寫的個人信息、信用卡賬號等。政府強制采集的個人信息是指政府基于公共管理職能收集的個人信息，如公安管理部門對戶籍的調查，統計部門的人口普查等。測量信息是指隨著個人活動而記錄的信息，如智能手機的GPS所記錄的位置信息、網頁瀏覽記錄、通話記錄等記錄信息等。推測信息是指通過對前三種信息分析而得到的信息，如商家根據消費者的購物記錄等分析提供的精準營銷。〔18 〕

該分類側重于個人信息的形成，從個人信息形成入手，更容易審視個人信息;該分類不僅可以更好地把握個人信息，還能便于從流通環節保護個人信息。該分類相較于敏感與非敏感的個人信息有以下便利之處：（1）從形成的角度分析，有利于明晰不同階段個人信息的權利主體。如銀行掌握的消費者的金融信息，在權利不得濫用的限制下，銀行在合理評價信息主體的基礎上，可以更好地為消費者進行服務。測量信息是通過一定技術手段獲得，其本身是價值中立的，但是該種信息經過處理后可能會對經濟、交通、醫療等領域產生價值，對于該種個人信息的流通也不能侵犯個人隱私權和人格尊嚴等人格利益。（2）產生的途徑不同也決定了信息獲取的不同。志愿者信息和測量信息是對客觀存在的反映，準確性較高，主要由信息自然人支配。而推測信息是對個人信息再分析挖掘處理而產生的，一般是由自然人之外的組織體完成，需要借助相對復雜的技術才能實現，是信息再加工的過程。（3）該種分類更加注重個人信息的不斷發展，以動態的視角對待個人信息。敏感與非敏感個人信息以“敏感性”作為標準，由存在“敏感性”進行判斷，這就容易陷入循環定義的困境，這是一種靜態分析個人信息的視角。但是以個人信息形成階段來區分個人信息，就可以比較清晰地發現個人信息產生的不同階段，哪些屬于原始個人信息，哪些屬于加工個人信息，哪些屬于客觀信息的記錄，哪些屬于主觀評價的個人信息，哪些屬于人們記錄的個人信息，哪些屬于技術形成的個人信息。

有學者提出，數據可以分為“原生數據”和“衍生數據”，〔19 〕或者稱之為基礎數據與增值數據，該種分類是從數據的產生角度進行劃分，比較周延。但是二分法過于簡單，哪些是原生數據，哪些是衍生數據，還需要進一步劃分，失之具體。也有學者提出個人信息來源主要有四類：一是由個人信息權利主體提供;二是網絡服務商通過Cookies等工具抓取;三是基于管理職能由數據控制人主動收集;四是通過不法手段惡意盜取。〔20 〕該分類標準并不明晰，前三種類別與第四種類別是合法與非法的區別，第二種類別與第四種類別是情形描述，非概括性分類，容易掛一漏萬。

對個人信息分類便于理順個人信息流通的權利義務關系，在敏感信息與非敏感信息分類體系下，前一種個人信息要流通，必須征得信息主體的同意，還要受嚴格的限制。后一種個人信息流通在征得信息主體同意的基礎上，可以自由流通。問題的焦點就在于非敏感個人信息流通應否取得同意，如果要取得同意，如何實現同意。可見在該種分類中，“同意”是問題的關鍵。但是該分類在區分標準上的循環定義所造成的模糊性使之存在天然不足。根據不同標準劃分的自然人支配的個人信息、政府支配的個人信息、其他組織體支配的個人信息，該分類忽略了個人信息可能會被多主體共享，如何流通不可避免存在權利義務沖突。

四、個人信息的流通體系

《民法總則》第111條規定，自然人的個人信息受法律保護。如果個人信息不流通，其法律風險也就不存在。因為個人信息不公開利用，即使由非信息權利主體控制，其危害性也很難證立。對個人信息的保護不能只強調事后救濟，要防止個人信息不當利用的重點還應規范個人信息的流通。雖然從個人信息產生之初，存在通過隱私來保護個人信息的觀點，但是發展到今天，個人信息的自身價值已被認可，我國《民法總則》又單獨規定了個人信息，這為個人信息的立法完善奠定了良好的基礎。但是個人信息流通的界定、流通原則、流通主體、流通程序等體系化的制度還尚付闕如，而這也是《民法總則》第111條所留下的立法空白。

（一）個人信息流通的界定

“流通”漢語的釋義是流動通行，包括商品買賣行為以及相互聯系、相互交錯的各個商品形態變化所形成的循環的總體。廣義的流通，還包括在商品流通領域中繼續進行的生產過程，如商品的運輸、檢驗、分類、包裝、儲存、保管等。個人信息涉及的環節非常多，《民法總則》第111條確立的環節包括收集、使用、加工、傳輸、買賣、提供或公開個人信息。《信息安全技術個人信息安全規范》具體規定了個人信息的收集、保存、使用、委托處理、共享、轉讓、公開披露。《個人信息保護指南》用個人信息處理來概括個人信息的收集、加工、轉移、刪除4個主要環節。也有學者用個人信息處理進行界定。〔21 〕但是“處理”的漢語釋義是指處置、安排、解決，不能很好地表達個人信息涉及的各種環節。而且2018年的《信息安全技術個人信息安全規范》將“處理”單獨規定，很明顯用“處理”指代個人信息的所有環節，很難得到一致認可。個人信息相關性、集合性等特質決定了對個人信息進行分析，個人信息的價值可以被提煉出來，因此個人信息流通過程中往往存在對個人信息的處理。高志明博士采用了“流轉”的表達。〔22 〕法律上的流轉主要適用于土地使用權的流轉，是指權利人將其土地權利全部或部分權能通過轉包、互換、出資、入股、轉讓等方式轉移給他人的行為。流轉側重于交易，但是個人信息涉及的環節并非都存在交易，可見用流轉外延過窄。本文采用“流通”來界定個人信息的各環節，不僅可以涵蓋個人信息的所有環節，而且不會產生歧義。流通相較于“處理”更便于接受，流通相較于“流轉”更清晰，個人信息流通包括個人信息的采集、保存、分析挖掘、轉讓及利用等整個環節。

（二）個人信息流通原則

個人信息流通原則是貫穿于個人信息流通整個環節的根本準則。根據《歐盟一般數據保護條例》等立法，歐盟個人信息流通原則主要包括：數據質量原則、目的限制原則、同意原則、透明原則、保密安全性原則。〔23 〕我國個人信息相關規范參考歐盟立法較多，《個人信息保護指南》規定個人信息管理者在使用信息系統對個人信息進行處理時，宜遵循以下基本原則：（1）目的明確原則。（2）最少夠用原則。（3）公開告知原則。（4）個人同意原則。（5）質量保證原則。（6）安全保障原則。（7）誠信履行原則。（8）責任明確原則。美國個人信息流動主要體現了合理使用信息原則，包括透明性、個人參與、明確用途、數據最小化、使用限制、數據質量和完整性、安全性、責任和審計原則。與歐盟相比，美國的隱私保護原則不再強調個人的權利，特別是個人對個人信息處理活動的控制力，而僅僅是弱化為透明性和個人的參與。美國的原則更多從企業的最低責任出發來規定，例如企業應當明確用途、提供安全保障等。〔24 〕我國未來的個人信息保護法是繼續借鑒歐盟的嚴格流通原則，還是借鑒美國較為寬松的流通原則，值得進一步思考。個人信息總體上兼有人格屬性與財產屬性，特別是個人信息類別的不同決定了其財產屬性的強弱，為了更好地利用個人信息，不能過分限制財產屬性較強的個人信息的流通。歐盟的目的限制原則強調收集個人信息應當出于特定的、明確的和合法的目的，但是一些個人信息的收集、保存行為之初并不明確個人信息處理的目的，個人信息也許僅僅作為特別的資產進行處理，其利用目的可能在后續流通過程中逐步凸顯出來。嚴格的目的限定往往會被信息處理者規避，就如同嚴格的同意原則未發揮實效。在整體的個人信息保護環境還沒有形成之前，這兩項基本原則往往流于形式。

我國未來的個人信息保護法在確立個人信息流通的基本原則方面應考慮以下兩方面：（1）個人信息流通制度不僅應當保護個人信息主體的合法利益，還應當激勵個人信息的有效流通，同時又不濫用權利，從而實現各方利益平衡。（2）個人信息流通還應助力共享經濟的發展。共享經濟作為市場經濟在信息化時代的高級形態，其通過互聯網平臺的運用能在第一時間發現并調整市場經濟實踐中出現的供需失衡現象，便于及時形成市場經濟的動態平衡，優化市場資源配置。〔25 〕個人信息收集、保存、分析、利用等環節都會傾注信息處理者的勞動，在某些領域，信息共享能帶來更大的收益，信息處理的成本可以由社會分擔。比如一些活動軌跡的測量信息既可以由個人信息主體利用，也可以由技術使用者的信息主體利用，但不能權利濫用。另外信息的自身性質也決定了可以共享。

可見，過去絕對保護個人信息主體的理念并不適合個人信息的最新發展，促進個人信息有序流通，實現個人信息合法共享應成為個人信息流通遵循的理念。

筆者認為個人信息流通的基本原則主要包括：（1）權利不得濫用原則。個人信息流通中不得侵犯個人信息主體的隱私權，不得違反公序良俗。（2）非歧視原則。個人信息在利用過程中，不能單純依據個人信息對信息主體提供不公平的待遇。（3）透明原則。信息利用者的信息公示義務，應向個人信息主體告知：信息的類型、信息處理者的身份、處理的目的、信息的接收方等。（4）嚴格禁止敏感個人信息處理原則。一般情況下禁止處理可能泄露個人種族、民族、政治觀點、宗教信仰、健康等方面的信息。（5）受益原則。個人信息一旦被信息主體利用，自然人對個人信息的控制將會減弱，但是個人信息與個人權利主體密切相關，利益共享機制應逐步建立，從而激勵個人信息更有效率地流動。

（三）個人信息流通主體

個人信息是對自然人情況的反映，自然人對其享有法定利益。從個人信息流通的環節來看，個人信息流通涉及多個主體。采集個人信息的環節包括公法采集主體與私法采集主體。公法主體主要是行政機關以及法律法規授權的具有管理公共事務職能的組織，公權力部門采集個人信息應遵循社會公共利益原則，不得濫用該權力。私法主體包括其他組織體，主要分為以下幾類：第一類是個人信息提供者，包括：（1）征信機構，是指依法設立，主要經營征信業務的機構。征信業務，是指對企業、事業單位等組織（以下統稱企業）的信用信息和個人的信用信息進行采集、整理、保存、加工，并向信息使用者提供的活動。（2）大數據交易平臺。比如2015年4月成立的貴陽大數據交易所，2014年4月成立的中關村大數據產業聯盟、中關村數據交易中心，2016年4月成立的上海大數據交易中心等。規范的數據流通平臺的搭建，對于抑制黑市信息交易，減少騷擾垃圾信息、規范數據交易行為，以及促進數據產業的發展意義深遠。〔26 〕由于個人信息保護的相關規范比較缺失，也有很多非法的信息提供者。認定主體非法的標準之一，就是其采集個人信息的范圍超越了法定范圍。如《征信業管理條例》第14條規定：“禁止征信機構采集個人的宗教信仰、基因、指紋、血型、疾病和病史信息以及法律、行政法規規定禁止采集的其他個人信息。征信機構不得采集個人的收入、存款、有價證券、商業保險、不動產的信息和納稅數額信息。但是，征信機構明確告知信息主體提供該信息可能產生的不利后果，并取得其書面同意的除外。”該規定同樣也適用于其他的信息提供者。認定非法信息提供者的標準之二，就是其設立不符合征信機構設立的條件。認定非法信息提供者的標準之三，就是其采集信息的程序未征得信息主體的同意。第三類是個人信息使用者。個人信息流通的最終目的就是利用個人信息。個人信息使用者往往就是個人信息流通的終端環節。個人信息使用者本身有可能就是個人信息的收集者，其使用個人信息應符合個人信息流通的基本原則。第四類是個人信息處理者。個人信息處理者可能是一個獨立的主體，也可能就是信息提供者，如貴州交易平臺可以對數據建模分析，協助大數據供應商將數據價值提煉出來，變成可以交易的數據資產。這時貴州交易平臺既是個人信息處理者也是個人信息使用者。

筆者對個人信息主體的劃分是根據個人信息流通環節進行的劃分，包括個人信息權利主體、個人信息提供者、個人信息處理者、個人信息使用者，上述主體可能獨立存在，也可能重合。

（四）個人信息流通程序

個人信息是對自然人情況的信息記錄，在流通過程中應遵守個人信息流通的基本原則。個人信息流通根據自然人是否為流通的主體，區分為一級市場流通與二級市場流通。一級市場是指自然人自己提供的個人信息被其他主體收集。二級市場是指其他主體將自己獲得的個人信息再次流通出去。一級市場中個人信息主要包括自己提供的個人信息、測量信息。根據《網絡安全法》等規范，我國收集個人信息，應征得自然人信息主體的同意。歐盟新頒布的《一般數據保護條例》進一步強化了信息主體同意規則。我國相關立法也遵循了同意規則。如《征信業管理條例》第13條規定：“采集個人信息應當經信息主體本人同意，未經本人同意不得采集。但是，依照法律、行政法規規定公開的信息除外。”第18條規定：“向征信機構查詢個人信息的，應當取得信息主體本人的書面同意并約定用途。但是，法律規定可以不經同意查詢的除外。征信機構不得違反前款規定提供個人信息。”第19條規定：“征信機構或者信息提供者、信息使用者采用格式合同條款取得個人信息主體同意的，應當在合同中作出足以引起信息主體注意的提示，并按照信息主體的要求作出明確說明。”第20條規定：“信息使用者應當按照與個人信息主體約定的用途使用個人信息，不得用作約定以外的用途，不得未經個人信息主體同意向第三方提供。”我國的同意規則表現為積極同意、格式條款規制、限定用途的特征。但是嚴格的同意規則在實踐中并沒有充分發揮作用，未征得同意或者流于形式的同意非常普遍。同意規則的理論基礎就是個人信息來源于自然人，因此自然人有權支配個人信息，該觀點仍有待商榷。民事主體對客體的支配主要基于生產、先占、交易等關系，人身權的支配也是對主體的保護，人格利益與主體是重合的，其實體現的是主體的自由。但是個人信息并不是自然人勞動獲得，有些個人信息還是有關組織體賦予的，如身份證號、社會保障號、電話號碼等。從主客體角度，個人信息與自然人并不存在主客體的支配關系。當然某些個人信息本身就是自然人人格權的體現，如姓名、肖像等，這時自然人的支配正是主體自由的表現。對有些信息，個人可能從來就不曾有過支配，如病人對自己的醫療記錄就未必了解。有的個人信息在被收集以前僅僅是一種客觀存在，由于被收集處理，才有了經濟價值，這時個人信息的“信息源”是個人，“價值源”卻是個人信息的處理者。〔27 〕從個人信息的經濟價值本身來看，個人信息的集合價值大于單個價值，而如何收集、整理、分析必然要付出一定的勞動，對于個人信息的經濟利益，個人信息處理者可以主張。如果一些個人信息本身體現了自然人的人格權，即使對其利用產生較大的經濟價值，也應對其限制利用或禁止利用。一級市場中即使直接針對自然人進行信息采集，信息主體的同意機制也不應絕對適用。禁止采集的個人信息是絕對不能流通，當然不適用同意規則;對于限制采集的個人信息，應征得信息主體同意。同意分為積極同意與消極同意，積極同意是明示表示同意。消極同意是指未反對，即視為同意。筆者認為對于限制采集的個人信息應遵循積極同意，但是對于其他的個人信息應以事后拒絕機制代替同意機制，同時受流通原則的規制，不僅要保證收集個人信息的程序透明，在技術上實現自然人信息主體行使事后拒絕權利時能倒追到信息收集者。

二級市場中自然人信息主體并不會介入個人信息的保存、利用、轉讓等流通程序中，《網絡安全法》第41條規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。《征信業管理條例》第20條規定，信息使用者應當按照與個人信息主體約定的用途使用個人信息，不得用作約定以外的用途，不得未經個人信息主體同意向第三方提供。現行規定并沒有區分是否有自然人個人信息主體，即使在二級市場，也要受同意規則、目的特定原則的限制。二級市場上真正能比較自由流通的信息主要是匿名數據，匿名數據本身已經不是個人信息了，不在本文探討范圍。對于非匿名信息，應在遵循個人信息流通的基本原則基礎上，由信息處理者自主決定。基于稟賦效應理論，人們在決策過程中對利害的權衡是不均衡的，對“避害”的考慮遠大于對“趨利”的考慮。出于對損失的畏懼，人們在出賣商品時往往索要過高的價格。產權初始配置很重要，如果個人信息流通適用同意規則，那么自然人信息主體出賣信息往往也會索要更高價格，不利于個人信息流通。簡而言之，二級市場的個人信息的價值應主要由信息處理者享有，在流通中發生的價值增值可以由自然人信息主體共享。

結語——回應實踐

我國個人信息的規定散見于法律、行政法規等規范性文件中，個人信息的界定、分類及流通還未達成理論共識。《民法總則》第111條關于個人信息的宣示性規定，急需要具體規定的細化，個人信息的內涵和外延需要明確化。本文在對個人信息界定的基礎上，將個人信息與隱私及數據進行了比較，并進行全面的分析，厘清了三者關系。接著又對個人信息的分類進行了梳理，提出以個人信息形成為標準的分類，彌補了敏感信息與非敏感信息分類的不足，從而為個人信息合理利用奠定基礎。最后從個人信息流通界定、個人信息流通原則、個人信息流通主體、個人信息流通程序四個方面對個人信息流通的體系進行了構建，從而為解釋《民法總則》第111條奠定了理論基礎，以期實現個人信息保護的法制化。