論技術鴻溝與個人信息保護

編者按：互聯網時代，網絡空間的數據源不斷豐富，越來越多的個人信息被記錄、挖掘和使用，這對社會治理提供諸多便利的同時，也給個人信息保護帶來了很多新問題、新要求和新挑戰。民法典的頒布，為個人信息保護和信息合理應用之間的適度平衡提供了法律依據。在民法典正式實施前夕，《中國檢察官》雜志社和浙江省人民檢察院聯合主辦了“民法典與互聯網時代個人信息保護”論壇。來自系統內外的專家學者共計 120 余人圍繞論壇主題，立足民法典貫徹實施，探討個人信息保護的價值與路徑，為檢察工作提供理論基礎和實踐支撐。本刊特選取論壇部分獲獎文章組織本期“聚焦”欄目，從“四大檢察”角度，對民法典實施和個人信息保護展開探討，以饗讀者。

摘 要：互聯網技術迅猛發展，引導技術理性創新的法律卻發展緩慢，民法的保守性與滯后性，決定其對個人信息的保護落后于社會發展和實際需要。司法裁判顯示，個人信息保護民事案件與刑事案件大多在兩個不同的“場域”展開，技術鴻溝造成了民事意義上的個人信息維權困境。個人信息應當以保護為主，尋求保護與利用的最大平衡;以民法典為基礎，密織個人信息保護綜合網;以《個人信息保護法》為重點，完善個人信息保護規則;探索和發展個人信息保護支持起訴與公益訴訟。

關鍵詞：民法典 個人信息保護 技術鴻溝 互聯網時代

一、繁榮的網絡、激進的技術與保守的民法

互聯網進入中國社會不過是新近二三十年才發生的事情，但也正是在這短短的二三十年之間，互聯網技術以磅礴之勢不斷推陳出新。高歌猛進的技術完全顛覆了人們對傳統世界與社會的認知，也深刻地改變了人們傳統的社會交往與行為方式。互聯網技術的革新，帶給人們無數便捷的紅利，越來越多的人已經或者正在加入網民的隊伍。截至2020年3月，我國網民規模達9.04億，互聯網普及率達64.5%。在技術的世界里，作為主體的人，只是網絡上的一個節點，是組成數據的一部分，是點擊率、流量、互聯網發展的“載體”。

相較于技術的狂飆突進，引導技術理性創新的法律的發展步伐卻是緩慢的。法律天然落后于社會生活發展，民法的保守也是與生俱來的，這是由民法的基本性質與民法的基本內容所決定的。在法典化時代，民事法律的穩定性與保守性就表現得更加突出，《法國民法典》于1804年生效，兩個多世紀以來，一直保持其穩定性，即便是整個社會歷經工業化、信息化的重大變革，《法國民法典》也并未被推倒重來，而是一如既往地保持其整體的穩定，其與社會變化的調適，則主要靠“法院制法”——由法院通過具體案例來解決這種利益沖突，使舊時代的法律符合新社會的要求。[1]個人信息保護的重要性是隨著互聯網的普及和網絡技術的迅猛發展而凸顯出來的，具有明顯的時代特征，這也導致民事法律這種基礎性法律很難及時對其作出全面、準確的規定，民法的保守性與滯后性，決定其對個人信息的保護落后于社會發展和實際需要。

通過對個人信息保護案件的民事裁判文書和刑事裁判文書進行分析、對比后可見，個人信息民事糾紛主要發生在傳統的與自然人有直接關聯的實體化場景中，侵權者與被侵權者之間存在特定關系，比如熟人之間、雇員與雇主之間、業主與物業服務企業之間等。而侵犯公民個人信息的刑事案件則主要發生于網絡環節，被告人一般是組織化、公司化運作的團體，遭受信息侵犯的個人通常是眾多的，被告人往往是通過網絡，利用專業技術等手段非法獲取大量公民個人信息并出售獲利。

由此可見，民事裁判與刑事裁判對個人信息的保護大多在兩個不同的“場域”展開，從法律邏輯上來說，這種異質化特征原本是不應該存在的，至少不應該這么明顯。具體而言，侵犯公民個人信息犯罪行為未被刑事查處之前，對于被侵犯對象而言，其個人信息無疑是遭受了民事侵權，但以此為民事糾紛進入法院裁判的卻微乎其微，這就導致對個人信息民事保護真空的存在。

這種真空狀態的出現，主要是由于技術鴻溝帶來的民事意義上的個體維權困境。對于侵權方而言，專業技術已經成為其獲取個人信息的必備工具，掌握爬蟲技術已經成為各大網站以及專業人士的必備技能。[2]而遭受侵權的個體顯然沒有對侵權行為和方式進行調查的技術能力。囿于技術鴻溝帶來的這種限制，對于那種大規模的網絡型、技術性侵權行為，在未被刑事立案之前，個人信息已經遭受侵犯的自然人實際上是無法保護自己的合法權益的，由此也導致民法意義上的個人信息保護立法目的較難實現。

二、民法典個人信息保護模式：立法價值及其局限

民法典對個人信息保護的法律規定有其創新與發展，但也還存在諸如性質模糊、保護方式有限、與技術發展不相適應等諸多局限。

（一）民法典中個人信息的性質

1.民法典沒有明確個人信息在性質上到底是屬于民事權利還是民事利益。民法典第111條基本沿襲了民法總則第111條的規定，作為編纂民法典的第一步[3]，民法總則于2017年通過后，關于第111條個人信息的性質就有大量討論，很多學者發表了大量論著認為該條個人信息的性質實際上就是一種民事權利，比如陳甦教授認為該條在一定程度上明確了個人信息權[4]，楊立新教授認為該條是對自然人享有的個人信息權的規定[5]。但不可否認的是，在“民事權利”一章中，民法總則在規定一項具體權利時，無不例外地都使用了“……權”的表述方式，唯獨對于個人信息，并沒有使用“個人信息權”的表述，這絕不是立法者的疏忽或遺漏，顯然是刻意為之。民法總則實施后的兩年多時間里，雖然諸多學者將“個人信息”解讀為“個人信息權”，但民法典對此并沒有作出回應，仍然繼承了民法總則中的差異化表達。對于立法機關這種刻意為之的差異化表達，研究者不應該有意或無意地忽視。

2.民法典中的個人信息屬于人格權益范疇。從民法典總則編來看，第111條承繼第109條、第110條，這意味著個人信息與人格權緊密相連，總則編中的這種體系性安排為自然人個人信息在民法典分編的具體規定中奠定了基礎。具體來說，自然人個人信息被放在民法典第四編（人格權）第六章（隱私權與個人信息保護）部分，明確個人信息屬于人格權益的范疇。

3.個人信息與隱私權既有聯系又有所區別。在民法典之前，有關個人信息保護，主要適用有關隱私權的法律規定，這也是上文涉個人信息保護民事糾紛司法裁判的案由主要為隱私權糾紛、名譽權糾紛的主要原因。隨著侵犯個人信息行為的日益增多、方式的日益多樣化以及個人信息保護重要性的日益凸顯，司法實踐越來越認識到個人信息與隱私權之間的差異性。正因為如此，民法典將個人信息保護從隱私權保護中分離出來，除第1034條第3款中的“私密信息”適用隱私權的規定外，其他則適用個人信息的保護。

（二）民法典個人信息保護的立法價值

1.個人信息被作為一種具有獨立價值的民事權益予以規定，體現了時代特征。民法典既原則性地指出“自然人的個人信息受法律保護”，又對個人信息的處理等提出了明確、具體的條件，個人信息第一次以一種獨立議題的身份進入民法典，這在我國以往的民事基礎法律規范中是沒有的，這是個人信息保護重要性的體現，是我國民法典在個人信息保護方面的一個飛躍式發展。而無論是《法國民法典》還是《德國民法典》《日本民法典》等早期具有代表性的民法典，受制于當時的社會發展，對個人信息保護都沒有作出具體規定，因此，個人信息保護進入民法典也是時代特征的體現。

2.將個人信息與隱私權相區分，具有積極意義。將個人信息與隱私權相區分，是民法典關于個人信息保護規定的另一個重大貢獻。在以往的司法實踐中，個人信息往往是作為隱私權的一部分，即便是民法總則正式實施后，在涉及個人信息保護的民事糾紛中，具體的民事案由仍然主要集中在隱私權糾紛、名譽權糾紛等。民法典明確將個人信息與隱私權相區分，指出“個人信息中的私密信息”才適用隱私權的規定，這無疑是科學的。

3.為其他法律進一步完善個人信息保護奠定基礎。實際上，在民法典對個人信息保護作出規定之前，《全國人大常委會關于加強網絡信息保護的決定》《中華人民共和國網絡安全法》《刑法修正案（七）》《刑法修正案（九）》等都已經對個人信息保護作出規定，民法典中有關個人信息保護的相關規定主要也是來源于《中華人民共和國網絡安全法》等法律規范。但民法典作為民事基本法，其地位之重要、影響范圍之廣泛，是其他法律規定所不可比擬的，民法典對個人信息保護作出明確規定，將極大提升對個人信息保護法律規范的發展和相關部門法律規范的完善。民法典將反過來影響有關個人信息保護專門立法和相關行政法規、行業標準的發展。

（三）民法典個人信息保護的局限性

1.個人信息的定義與技術發展不相適應。民法典繼受網絡安全法關于個人信息的定義，可識別性是其關鍵要素。但在當前技術迅猛發展的情勢下，可識別性是否構成個人信息的核心要素，已經出現了不同的看法，特別是當去識別化技術大行其道的時候[6]，可識別性是否具有其天然的合理性？這是值得懷疑的。除此之外，個人信息與個人數據有何差異？如何區分個人信息與網絡數據？臉部數據是否屬于個人信息？網絡賬號信息是否屬于個人信息？互聯網平臺交易信息是否屬于個人信息？這些無疑都是亟需明確的。

2.人格權保護模式的局限性。有學者認為，民法典為保護個人信息提供了三種請求權進路，包括侵權責任請求權、合同法上的請求權、人格權請求權等。[7]對侵權人加以金錢制裁最為有效，行使侵權請求權對于侵權人的制裁最為有力。[8]但也有研究者指出，傳統的侵權法手段難以提供對用戶信息利益的全面保護，適用侵權以及公法手段解決網絡信息糾紛是無效率的。[9]在人格權保護模式下，個人信息遭受損害的自然人所能主張的民事責任主要包括停止侵害、消除影響、恢復名譽等，賠償損失往往以精神損害賠償為主。對于因個人信息被泄露等對被侵權人造成的直接或間接的經濟損失，被侵權人主張賠償其難度是可想而知的。如果侵權行為人僅在人格權益方面承擔責任，不對侵權行為施加更為嚴厲的制裁，侵權行為不可能得到根本性的規制，個人信息遭受侵犯的嚴峻形勢也無法得到有效改觀。

3.自然人個體保護個人信息的能力不足。在大數據背景下，當個人信息被多環節轉售，自然人個人無法確定侵權源頭;當侵權者通過網絡爬蟲等技術、通過“黑灰產”等地下鏈條獲取個人信息時，個人信息遭受侵害的自然人很難對相關侵權行為進行取證。因此，面對這種公司化、團體化、產業化、信息化、技術化的侵權行為，自然人個人往往不具備保護其個人信息的能力。維權成本高、因果關系證明困難、賠償數額低可能是民事訴訟途徑保護個人信息不力的主要原因。[10]

4.“知情-同意”保護模式的缺陷。民法典第1036條規定，在自然人或者其監護人同意范圍內處理個人信息的，行為人不承擔民事責任。這是典型的“知情-同意”式保護模式，這種保護模式能否真正實現對個人信息的有效保護是值得質疑的。以APP信息收集為例，絕大多數APP在用戶下載安裝時都會提示是否允許讀取手機通訊錄、存儲卡、相冊等信息，如果用戶選擇不允許，要么不能使用該APP ，要么無法使用該APP的完整功能，最后導致用戶“被迫”或“不情愿”地點擊同意，這種綁架式的同意無疑會帶來嚴重的后果。在技術、平臺提供方主導的情形下，用戶的同意很多是虛假同意，這種“知情-同意”模式是無法對個人信息作出真正有效保護的。傳統的“知情-同意”框架在大數據時代面臨窮途末路：一方面隱私保護效率低下，用戶權利幾近架空;另一方面給企業造成沉重負擔，嚴重阻礙數據流通及創新應用。[11]

三、互聯網時代個人信息保護之展望

（一）以保護為主，尋求個人信息保護與利用的最大平衡

在數字經濟時代，數據已經成為最重要的生產資料，數據之于數字經濟，猶如土地之于農業、石油之于工業，是不可或缺的。而作為主體的人的信息必然包括在數據中，成為數據必不可少的組成部分。在社會治理領域，大數據早已成為政府提升社會治理效能的重要手段。中央社會治安防控體系建設也要求充分運用新一代互聯網、物聯網、大數據、云計算和職能傳感、遙感、衛星定位、地理信息系統等技術[12]，提升數字化、網絡化、智能化水平。行政管理的有效實施必然要求政府詳細、準確地掌握其管理對象與其職權范圍相關的個人信息。[13]因此，對個人信息的利用是必不可少的，禁止對個人信息的利用既不現實也不符合時代發展需要。當然，不管利用如何重要，保護永遠是第一位的，如果不強化數據共享中的個人信息保護，數據產業也難以健康發展。[14]在保護的同時，如何通過技術手段促進信息更合理地利用，在保護與利用之間實現最大平衡，是今后技術革新與立法著重需要解決的難題。

（二）以民法典為基礎，密織個人信息保護綜合網

對個人信息的保護，應當以民事法律規范為基礎、行政監管為重點、刑事法律為后盾，構建綜合保護格局。民法典于2021年1月1日正式實施，當前重點是要解釋好民法典，發揮民法典的基礎性作用，引導全社會、各行業重視個人信息保護。刑事法律領域應當著重關注技術的革新和侵犯個人信息犯罪行為的最新態勢，適時將新技術下新的犯罪方式和行為列入打擊范圍，防止侵犯個人信息犯罪打擊的真空存在。就全社會而言，最為重要的應當是行政監管的發展和企業個人信息保護合規的建立。行政監管要提高技術能力和水平，抓平臺、抓主體，對平臺違規收集、使用、出售、提供個人信息的行為加大處罰力度，提高打擊的有效性和高效性。

（三）以《個人信息保護法》為重點，完善個人信息保護規則

誠如上文所述，民法典對個人信息保護的作用是有限的，在網絡時代技術鴻溝背景下，自然人個體依靠民法典的規定保護個人信息權益難度極大。對個人信息的保護更需要專門性、綜合性法律規范的出臺。值得慶幸的是，《個人信息保護法》草案已于2020年10月13日提交十三屆全國人大常委會初次審議。作為專門性的個人信息保護法律，《個人信息保護法》應當重點在以下幾個方面取得突破：

1.對個人信息概念的優化完善。當前，個人信息的范圍越來越廣，種類越來越多[15]，但學界對于個人信息之概念的研究還是處于一個較為表面的階段[16]，在堅持可識別性核心要素的同時，注意去識別化技術發展背景下的個人信息保護。要注意個人信息與數據的同質性與區分，注重對民法典列舉情形之外的個人信息的保護，要深入研究優化個人信息概念的內涵與外延。

2.注重對個人信息權益的綜合保護。現代法律對個人信息的保護應當采取公法與私法并重的綜合性保護方法，二者不可偏廢。[17]民法典之所以不直接使用“個人信息權”，正是因為個人信息權益具有綜合屬性，單純的人格權保護模式不足以對個人信息提供充分、有效的保護，在突出個人信息的人格權屬性的同時，也要注重對個人信息財產權利益的保護。

3.區分公益目的型和商業目的型的個人信息利用，并設置不同規則。公、私部門處理個人信息的目的不同，前者通常是為了國家治理、社會管理和公共服務，后者是出于獲取經濟利益。[18]二者無論從信息獲取與利用的方式和手段、責任能力、后果承擔等方面都有較大區分，對兩種不同目的的利用，應當對獲取手段、知情同意、后果消除、懲罰賠償、責任承擔等方面分別設置不同法律規則。

4.對“知情-同意”模式的改造升級。“知情-同意”模式雖然從倫理上來說具有其正義性，但在平臺作主、技術為王的時代，“知情-同意”模式已經從侵犯個人信息的遮羞布淪為擋箭牌，很大程度上已經演變為對個人信息技術利用合理性的道具。一方面要加強對“知情-同意”模式的規則更新，突出“知情-同意”模式的實效性;另一方面要在“知情-同意”模式之外，探索既突出個人信息保護又強化對個人利用的有效規則。

5.突出對個人信息利用的行業監管與懲處。面對網絡時代的技術鴻溝，自然人個人依托民法典在民事法律范圍內保護個人信息的能力是有限的，民事法律對個人信息的保護規則也是有限的。必須依托“技術VS技術”式的行業監管，突出行業主管部門作用的發揮，提高對侵犯個人信息行為的行政處罰力度，只有讓侵權行為付出的代價比其獲得的利益更巨大，才能從源頭上遏制個人信息侵權行為的泛濫。

（四）探索開展個人信息保護支持起訴和公益訴訟

現代社會民事主體之間不對等、不平衡的訴訟能力，已經使民事法律關系越來越失衡。國家和社會有權對具有一定社會影響，特別是社會不良影響的民事糾紛給予一定干預，重新平衡訴訟主體之間的力量。[19]這種訴訟力量失衡在個人信息保護民事訴訟中尤為突出，由于技術鴻溝的存在，自然人個人沒有能力提出有效的個人信息保護民事訴訟，此時，應當由有關的國家機關介入干預。檢察機關作為國家的法律監督機關，有豐富的開展支持起訴的工作經驗，應當積極探索開展個人信息保護領域的民事支持起訴。

針對大規模的侵犯個人信息行為，在尚不構成刑事犯罪時，由單個的民事主體提起民事訴訟，效率是極為低下的。這種大規模侵犯個人信息的行為，實質上就是對不特定多數人利益的侵犯，是損害社會公共利益的行為。我國公益訴訟制度近年發展十分迅速，檢察機關開展民事、行政公益訴訟有明確的法律依據，也已經有全套制度規范和操作指南，順應社會發展變化，適時拓展辦案領域，將個人信息保護納入檢察公益訴訟范圍，將會是保護個人信息的有力手段。

注釋：

[1] 參見張千帆：《〈法國民法典〉的歷史演變》，《比較法研究》1999年第2期。

[2] 參見劉艷紅：《網絡爬蟲行為的刑事規制研究——以侵犯公民個人信息犯罪為視角》，《政治與法律》2019年第11期。

[3] 民法典編纂工作分兩步走，第一步編纂民法典總則編，即《中華人民共和國民法總則》;第二步編纂民法典各分編。

[4] 參見陳甦主編：《民法總則評注（下冊）》，法律出版社2017年版，第785頁。

[5] 參見楊立新主編：《中華人民共和國民法總則要義與案例解讀》，中國法制出版社2017年版，第413頁。

[6] 參見張勇：《個人信息去識別化的刑法應對》，《國家檢察官學院學報》2018年第4期。

[7] 參見丁宇翔：《民法典保護個人信息的三種請求權進路》，《人民法院報》2020年9月25日。

[8] 參見楊立新：《個人信息：法益抑或民事權利——對〈民法總則〉第111條規定的“個人信息”之解讀》，《法學論壇》2018年第1期。

[9] 參見孫南翔：《論網絡個人信息的商業化利用及其治理機制》，《河北法學》2020年第7期。

[10] 參見張新寶：《〈民法總則〉個人信息保護條文研究》，《中外法學》2019年第1期。

[11] 參見范為：《大數據時代個人信息保護的路徑重構》，《環球法律評論》2016年第5期。

[12] 參見中共中央辦公廳、國務院辦公廳《關于加強社會治安防控體系建設的意見》，中華人民共和國中央人民政府網http：//www.gov.cn，最后訪問日期：2020年11月16日。

[13] 參見林鴻潮：《個人信息在社會風險治理中的利用及其限制》，《政治與法律》2018年第4期。

[14] 參見王利明：《數據共享與個人信息保護》，《現代法學》2019年第1期。

[15] 參見程嘯：《民法典編纂視野下的個人信息保護》，《中國法學》2019年第4期。

[16] 同前注[10]。

[17] 同前注[15]。

[18] 同前注[13]。

[19] 參見江必新主編：《新民事訴訟法理解適用與實務指南》，法律出版社2012年版，第60頁。