個人信息保護制度的基本內涵
——從一宗隱私權糾紛案談起

李祥碩

(衡水市公安局宣傳處，河北 衡水 053000)

一、材料和問題

需要說明的是，對本案案件的記錄和描述，僅依托于案件的二審、再審裁決，因此只是服務于目前分析路徑的“拼貼”，不能窮盡構成此事件的全部關系。[1]案情是這樣的：龐某某因與北京趣拿信息技術有限公司（以下簡稱趣拿公司）、中國東方航空股份有限公司（以下簡稱東航）隱私權糾紛一案，龐某某主張趣拿公司和東航泄露了其隱私信息，要求趣拿公司和東航承擔連帶賠償責任和精神損害撫慰金。

一審法院認為：隱私權通常指公民享有的私人生活安寧與私人信息秘密依法受到保護，不被他人非法侵擾、知悉、搜集、利用和公開等的一種人格權，亦受法律所保護。當事人對自己提出的主張，有責任提供證據。趣拿公司和東航在本案機票訂購時未獲取龐某某號碼，現無證據證明趣拿公司和東航將龐某某過往留存的手機號與本案機票信息匹配予以泄露，且趣拿公司和東航并非掌握龐某某個人信息的唯一介體，龐某某的訴訟請求缺乏事實依據，法院不予支持。判決：駁回龐某某的全部訴訟請求。龐某某不服一審判決，提出上訴。由此案引申出兩個法律問題：其一姓名、電話號碼、行程安排等個人信息是否是隱私權的保護范圍。其二對個人信息的泄露由誰承擔舉證責任。

二、個人信息是不是隱私權的保護范圍

此案二審是在2017 年。二審法院認為，姓名、電話號碼及行程安排等事項首先屬于個人信息。在現代信息社會，個人信息的不當擴散與不當利用已經越來越成為危害公民民事權利的一個社會性問題，因此，對于個人信息的保護已經成為全球共識。我國《全國人民代表大會常務委員會關于加強網絡信息保護的決定》也明確提出要對個人信息進行保護。《民法總則》第一百一十一條也明確規定自然人的個人信息受法律保護。本案中，龐某某被泄露的信息包括姓名、手機號、行程安排（包括起落時間、地點、航班信息）等。根據《最高人民法院關于審理利用信息網絡侵害人身權益民事糾紛案件適用法律若干問題的規定》第十二條的界定，自然人基因信息、病歷資料、健康檢查資料、犯罪記錄、家庭住址、私人活動等是屬于隱私信息的。據此，龐某某被泄露的上述諸信息中，其行程安排無疑屬于私人活動信息，從而應該屬于隱私信息，可以通過本案的隱私權糾紛主張救濟。

三、對個人信息的泄露由誰承擔舉證責任

在龐某某與東航、趣拿公司隱私權糾紛案中，一審法院采取由權利人證明東航和趣拿公司將龐某某過往留存的手機號與本案機票信息匹配予以泄露的路徑，而二審法院認為，作為普通人的龐某某不具備對東航和趣拿公司內部數據信息管理是否存在漏洞等情況進行舉證證明的能力，因此應當由信息控制者證明其行為與損害間無因果關系，若無法證明，則認定這一因果關系的存在[2]。二審法院撤銷了一審判決，支持了龐某某的上訴請求。至此，案件還沒有結束。東航公司向最高人民法院申請再審。最高人民法院經審查認為：“二審法院認為本案涉及的姓名、電話號碼及行程安排等事項可以通過隱私權糾紛尋求救濟，符合法律規定，并無不當。二審法院綜合考慮本案的實際情況和相關證據，認定東航公司存在泄露龐某某隱私信息的高度可能，認定事實并無不當。東航公司應當承擔侵犯隱私權的相應侵權責任。二審判決認定事實清楚，適用法律正確，處理并無不當。東航公司申請再審的理由均不能成立。駁回中國東方航空股份有限公司的再審申請。”

四、信息保護中各方的利益訴求與策略選擇

筆者2020 年7 月31 日在北大法寶共檢索到涉及個人信息保護的行政處罰決定書169 篇，行政判決書381 篇，個人信息保護案件日益增多，凸顯了對公民個人信息保護的必要性。信息保護中各方的利益訴求不斷，需要制定一部個人信息保護法，構建完整的個人信息保護法律體系，從個人信息保護義務及責任承擔、行業信息安全標準及多主體規制的完備方面進行考量。根據《網絡安全法》和相關規定的要求，個人信息境內存儲和出境安全評估等法律規則的有效落實，也無法離開監管機構的認真履職和積極作為。在現實社會中，信息處理者有時通過技術手段隱蔽其真實身份，個人信息主體根本無法查實具體的責任人，從而尋求司法救濟，作為“社會公平正義的最后一道防線”，司法救濟能夠為當事人提供最全面的權利保護和程序保障。[3]但是，司法救濟通常只針對已經發生的侵害行為，無法對潛在的威脅進行預先防范。受害人想要通過訴訟手段獲得司法救濟，往往因為繁瑣的程序而需要付出大量的時間和精力，不能對惡意侵害事件進行快速和有效的反應。[4]

結語

在大數據時代，個人信息的重要性愈發凸顯。面對新興科技的法律挑戰與錯綜復雜的利益平衡需求，未來的個人信息保護立法應當明確行政監管的主要目標，建立統一和獨立的監管機構，提升其專業性和行政級別，細化具體的監管措施，并協調不同保護程序之間的關系。