侵權責任視角下個人信息處理合法性基礎的認定

□ 文 劉思婷

1 引言

在目前廣泛討論的個人信息賦權模式下，權利概念的形式理性的基本要求往往被忽視,即所謂的個人信息權是否達到了排除效能、歸屬效能，還有社會典型公開性的檢驗，是否達到形式理性所要求的權利特征。筆者認為，目前只是走在權利化的道路上，更多應從司法實踐上，即對《個人信息保護法》與《民法典》侵權責任編之間的邏輯關系如何，如何協調好個人信息保護的一般法與專門法的復雜關系，如何實現個案裁判中法律適用的統一等問題進行研究回答，以實現個人信息上承載的權益的保護實效性。

2 個人信息處理合法性基礎的法律規定及認定困境

2.1 個人信息處理合法性基礎的法律規定

我國個人信息處理合法性基礎主要規定于《個人信息保護法》第13條與《民法典》第1036條所規定的個人信息合理使用制度，兩者存在明顯差異。第一，合法性基礎規范的直接對象是“處理者”，而《民法典》規范的直接對象是“行為人”，兩者的差別主要體現在是否僅限于“自己責任”。《個人信息保護法》的效力還延及安全保障義務，危險責任與擔保責任，而《民法典》從行為人的角度進行規定，在效力范圍上存在差異。第二，合法性基礎規范采取“方可”處理的前因性判斷，處理行為最開始發生的場景，偏向于公共利益的管制型規范；而《民法典》采取“不承擔民事責任”的后果性判斷，屬于免責事由，是對于最終承擔的法律效果的直接規定，因此，整體而言，《民法典》的個人信息合理使用制度是對處理行為進行整體判斷的法律依據，而《個人信息保護法》的個人信息處理合法性基礎側重事前的，是結合處理行為目的與場景進行利益衡量的法律依據，更為完善。

合法性基礎規范根據利益保護的位階順序，成為司法裁判以及行政執法的決策依據之一。

2.2 個人信息處理的合法性基礎認定困境

合法性基礎規范根據利益保護的位階順序，成為司法裁判以及行政執法的決策依據之一。《民法典》第1036條雖規定了個人信息合理使用制度，但面對極其復雜的信息安全風險，在侵權責任成立上僅依靠該法律，采用單一私法規范將不可避免在合法性基礎的認定上存在困境。

首先，在法律適用中，法秩序是一個無矛盾而互統籌的規范體系。如將《個人信息保護法》與《民法典》二者割裂，就會破壞法秩序的和諧和法律適用的統一，不利于個人信息保護；其次，《個人信息保護法》第13條確立的合法性基礎，該條款確立了許可要求型管制型規范，與《民法典》第1036條規定的個人信息合理適用制度存在明顯差異。再次，合法性基礎是判斷個人信息處理是否合法與侵權責任是否成立的重要依據。若合法性基礎難以完整有效認定，則會導致司法實踐侵權責任是否成立處于模糊的狀態，個人信息難以得到切實完整的保護。因此，在侵權責任視角下解決個人信息處理合法性基礎的認定問題，才能實現裁判考量因素的統籌，厘清侵權責任構成要件，最終促進公私法體系和諧與適法統一。

3 個人信息處理合法性基礎認定困境根源

在個人信息處理合法性基礎方面，國際條約與國內立法均普遍體現個人數據中自然人最重要的法益：人的尊嚴。而在當前廣泛討論的賦權模式下，權利與自由的概念經常被混淆，以至于所有的個人信息都被一同視為私權的客體，即將合法性基礎認為是“同意授權”，但需明確的是，大部分個人信息都不滿足作為權利所要求的形式特征。若一味強加個人信息私權化，則會造成個人信息私權化的矛盾與困境，不僅在法理層面無法形成邏輯自洽，在具體實施的過程中也會面臨著巨大挑戰。

3.1 個人信息不具備權利的形式理性要求

處理者在使用個人信息時應當尊重信息主體的個人意愿。然而，在社會環境中，個人信息只有通過流動，才能創造出價值。基于此，個人信息并不足以完全歸屬于個人，因此不可能具有“歸屬效能”。而以“歸屬效能”為前提的“排他效能”也更無從談起了。個人信息也不具有“社會典型公開性”。綜上所述，個人信息不具備權利的形式理性要求，若盲目的偏向個人信息私權化，將會不利于個人信息的利用與保護。

3.2 個人信息無法發生授權效果

首先，《民法典》第111條規定:“自然人的個人信息受法律保護。”這就表明個人信息實質上并不屬于上述兩類“人格權”,而是一種十分重要的獨立民事權益類型。并且在比較法上，個人信息的同意向來不發生授權的效果。在歐盟層面，1950年頒布的《人權和基本自由歐洲公約》規定了對隱私的干預必須有正當理由，其理念是處理個人信息必須滿足特定條件；而在美國層面，為了鼓勵個人信息的自由流動，在“同意”規則上，美國只有在聯邦層面某些特定立法中規定了“事先同意”制度，如《健康保險攜帶和責任法》與《兒童在線隱私保護法》，均是為了保護特定私人信息或特定未成年人主體的個人信息而創設。

3.3 個人信息與隱私權聯系密切

由于法域間的隱私概念界定并不相同，英美法系在利益考量上側重數據的自由流動，主張推進較為開放的數字經濟制度建設。因此，所有與個人相關的權益保護都建立在隱私權的框架下進行討論，如美國并沒有對“隱私信息”與“個人信息”作出嚴格區分。而歐盟將個人信息與隱私權分開進行保護，其確立的個人信息合法性基礎的最終根源是對“人的尊嚴”的保護，體現了歐洲立法實踐中，由早期通過對權益的合法限制的立法思路逐步演化為對處理者行為的合法性基礎的規范。通過行為規制的方式避開了實踐中關于個人信息權利認定的難題。

不可否認的是，英美法系與歐盟立法均將個人信息作為一種民事權益而不是私權。若將個人信息視為私權，則會導致在個人信息私權與隱私權中存在難以分割認定的情形，造成權利的混淆。

3.4 單一私法保護難以應對信息安全風險

在過去幾年中，隱私和數據安全問題頻繁發生。愈繁雜的個人信息收集方式以及非規范化的個人信息流動導致用戶無法真實、合理地判斷和預防這些復雜的信息安全風險，即便受到侵害，也無法證實自身遭受的具體損害。

綜上，個人信息易于流通與分享，因此不能完全由信息主體排他性地占有和控制。在此背景下，公私法的整體運用成為大數據時代個人信息保護的必然選擇。

個人信息處理的合法性是侵權判斷的基礎。個人信息處理的合法性要求信息用戶的個人信息處理行為符合法律的規定。

4 個人信息處理合法性基礎認定銜接的可能性

4.1 個人信息處理合法性基礎的性質

個人信息處理的合法性是侵權判斷的基礎。個人信息處理的合法性要求信息用戶的個人信息處理行為符合法律的規定。

在很多情況下，合法性與正當性處于同義混用狀態。需要注意的是，合法性不等同于正當性。合法性基礎更偏向于形式理性的判斷，賦予個人信息處理者行為依據，引導和規范處理者的處理行為，而信息主體需要承擔法律規定的容忍義務，而這種容忍義務不是無限的，而是根據場景為利益平衡劃定了一個合理界限，那么這個界限就是正當性的限度。即正當性更多為實質理性的角度出發，而合法性更偏向于形式理性，即形式合法性，主要是指個人信息處理者處理信息時應遵循相關法律規定，如告知同意程序。

關于個人信息處理合法性基礎的性質確定，目前存在兩種學說：“許可說”與“賦權說”，“許可說”認為個人信息自始具有社會性與公共性，合法性基礎并不可能為使用人創設自由，因此，信息處理者雖處理信息符合第13條的情形，也不一定不侵權。而“賦權說”認為，勢必要產生個人信息權類似于著作權的權利化倒推結論，則會產生個人信息私權化的結果。筆者贊同前者。合法性基礎性質應界定為許可要求型制度。若將合法性基礎性質界定為賦權性質的法定許可制度，則會產生如前所述的個人信息私權化的矛盾與困境。

4.2 個人信息處理合法性基礎的立法定位

關于個人信息處理合法性性基礎的立法定位，主要體現在管道性功能：通過利益衡量情境的類型化梳理，聯通了《民法典》《網絡安全法》《消費者權益保護法》等的細化規定，確定了利益衡量的思路和方式，以及涉及的利益類型和影響程度。通過第五項兜底條款，連接了包括《個人信息保護法》《民法典》在內的關于“合法原則”判斷的特別條款。對“違法性”基于整體法秩序進行綜合判斷，為跨越法域實現統合式保護提供了路徑，即信息處理關系中行為合法性根據可通過將該條款引介至《民法典》侵權責任編進行援用保護。

4.3 “相互工具化”銜接理論

個人信息的快速發展必須通過綜合法域的體系保護，二者的銜接實際上體現了“相互工具化”理論。

合法性基礎作為個人信息處理的管制型規范，引導和規范信息處理者的處理行為并吸收可能產生的私法防范成本。即從綜合法域層面而言，合法性基礎是事前確定準入門檻、事中開展行為監管、事后進行責難處罰的法律依據，能夠引導和規范信息處理者的處理行為。

另一方面，合法性基礎作為侵權責任轉介條款的管道性規范，與侵權責任編中的一般侵權責任相連接，其第13條中的（七）法律、行政法規規定的其他情形與其他法領域的法律法規相連接，同時確定利益衡量和動態系統論的場景，作為法效果判斷的邏輯起點。從邏輯起點意義來看，連通了各個個人信息保護法制，通過私法工具將管制成本平均分散于個體，達成了整體法秩序的和諧。即從《民法典》侵權責任成立層面而言，合法性基礎根據場景理論，在一定程度上界定了具體私法案件中利益衡量所涉及到的利益主體、利益類型和范圍，以及動態系統論，有助于促進適法統一。

通過“相互工具化”理論，在《民法典》侵權責任成立中引入詳細的、可操作的合法性基礎認定規范，不僅可以豐富和完整侵權成立認定標準，還可以使個人信息保護的一般法與特別法相互支持，實現相互“工具化”。

5 侵權責任下認定個人信息處理合法性基礎的具體路徑

5.1 合法性基礎作為侵權責任成立階段違法性判斷的基礎標準之一

關于合法性基礎是否具有目的性的考量，目前存在兩種觀點，分別為“肯定說”與“否認說”。“肯定說”認為是合法性基礎作為一個前置性的判斷，具有目的性的考量，如《個人信息保護法》第13條所指出的為“為應對突發公共衛生事件”“為公共利益”等行為目的合法情形；“否定說”認為目的合法是適用法律的前提，即個人信息處理行為若目的非法，則應當由其他法律調整，《個人信息保護法》無法適用。筆者贊同前者，《個人信息保護法》中的合法性具有個人信息處理合法的目的考量，合法性基礎正是以處理目的為核心，合法性基礎提供了檢驗處理行為的前因性、基礎性的法律工具，應作為侵權責任成立階段違法性判斷的基礎標準之一。除了這一項基礎標準，個人信息處理行為還需要滿足“方式合法性”，以及“正當、必要、誠信”原則的檢驗，而這些原則所蘊含的利益衡量方法也需要在合法性基礎所確定的前因性框架內進行，從而實現法秩序整體的和諧統一。

5.2 以違法性的相關關系連接事實要件

圍繞著違法性的判斷，同時通過相關關系說，對事實要件產生影響。重點考察個人信息被侵害所涉及的利益種類與侵害行為樣態，并聯系侵權行為樣態與受侵害的民事權益兩者事實上的因果關系，即事實要件應當包括：侵害行為樣態、侵害的民事權益、事實上的因果關系，并將事實要件整體與過錯要件（違法性）相聯系，考察是否具有違法阻卻事由。以此實現對于一般違法性的認定判斷。

5.3 以違法性的行為可責難性連接過錯要件

通過采用緩和違法一元論判斷標準，應考慮“違法性＝一般違法性＋可罰違法性”，因此除需考慮一般違法性外，還需考慮行為的行為的可責難性，以事實要件行為的可責難性聯系過錯要件。我國《個人信息保護法》規定，侵害個人信息權益造成損害的侵權賠償責任適用過錯推定責任。

統籌裁判考量因素，確立個人信息侵權責任構成要件，促進適法統一。《個人信息保護法》第13條確立的合法性基礎通過“行為目的違法性”影響違法性判斷，通過“相關關系”影響“行為方式違法性”以及侵害行為樣態和侵害民事權益的類型的認定，并通過行為可責難性判斷間接影響過錯要件。需要注意的是，考慮侵權責任不僅需要考慮目的合法性，還需結合整體的法效果的判斷，如方式合法性。目的合法性與方式合法性共同決定了違法性的認定；其次，還需考慮《個人信息保護法》確定的正當必要誠信原則的檢驗；最終，需考慮侵權責任賠償范圍的特殊規定：《民法典》的合理使用制度通過法律上因果關系的阻斷實現了賠償范圍的限縮，如抗辯事由、過失相抵、損益相抵。需綜合考慮在司法實踐中確定司法決策的賠償范圍。

可以說，合法性基礎是動態系統論和利益衡量的邏輯起點，是個人信息侵權責任證立中牽一發而動全身的基礎性規范。

目前，個人信息賦權模式下所呈現出的私權化趨勢可歸因于未能深入理解個人信息的社會性與公共性。

6 結束語

目前，個人信息賦權模式下所呈現出的私權化趨勢可歸因于未能深入理解個人信息的社會性與公共性。傳統私法保護已不足以應對現代社會頻發大規模、復雜的信息安全風險，應考慮通過特別法《個人信息保護法》銜接來彌補不足。通過將《個人信息保護法》第13條確立的合法性基礎作為合法事由的引舉，以此建構合法性基礎在個人信息侵權責任認定中的整合保護模式，實現《個人信息保護法》與侵權責任成立階段的良好銜接，回應實踐訴求。■