鄭曉劍

現(xiàn)代以來，隨著信息技術(shù)的不斷發(fā)展，個人信息被他人非法收集、利用的現(xiàn)象愈演愈烈，個人信息的法律保護之網(wǎng)亟待建立。除了刑法、行政法等公法層面的保護，民法上的保護同樣必不可少。這一方面是因為“民法為眾法之基，私法固不待論，欲治公法者，亦應(yīng)對于民法有相當(dāng)了解，而后可得其真諦”，〔1〕史尚寬：《債法總論》，中國政法大學(xué)出版社2000 年版，自序。另一方面也是因為個人信息與每個自然人的主體性地位均有著密切關(guān)聯(lián)，而民法是維護個人主體性地位的最重要手段?！?〕參見王成：《個人信息民法保護的模式選擇》，載《中國社會科學(xué)》2019 年第6 期，第128 頁。

我國2017 年施行的《民法總則》（已廢止）首開先河，對個人信息的民法保護作出了原則性規(guī)定。〔3〕原《民法總則》第111 條規(guī)定：“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。”《民法典》第111 條完全沿襲了原《民法總則》的相關(guān)規(guī)范內(nèi)容，同時在人格權(quán)編對個人信息保護作出了更為具體的細(xì)化規(guī)定，從而系統(tǒng)地構(gòu)建了個人信息民法保護的規(guī)范體系。不過，圍繞個人信息的本質(zhì)屬性及其在我國民法上的定位，我國民法學(xué)界長期以來聚訟紛紜、莫衷一是，亟待澄清。

有部分學(xué)者認(rèn)為，關(guān)于個人信息的權(quán)屬爭議只是一種理論層面的學(xué)術(shù)爭鳴，其對于個人信息的具體保護而言影響并不大?！?〕參見張彤：《論〈民法典〉編纂視角下的個人信息保護立法》，載《行政管理改革》2020 年第2 期，第30 頁。這種觀點在我國民法學(xué)界非常具有代表性，很多學(xué)者往往有意無意地將“個人信息”“個人信息權(quán)”和“個人信息權(quán)益”等概念混同使用，〔5〕參見最高人民法院民法典貫徹實施工作領(lǐng)導(dǎo)小組主編：《中華人民共和國民法典總則編理解與適用》（下冊），人民法院出版社2020 年版，第555-562 頁。這也使得個人信息在我國民法上究竟應(yīng)被定位為“權(quán)利”抑或“法益”，迄今仍未有深入的檢討和澄清。事實上，在民法上選擇何種模式保護個人信息，取決于人們?nèi)绾握J(rèn)識和評價個人信息的本質(zhì)屬性及其在民法上的定位。

由是觀之，關(guān)于個人信息的權(quán)屬爭議，絕非單純的理論爭鳴，而是直接關(guān)乎《民法典》個人信息保護條款能否得到妥當(dāng)解釋及適用，直接關(guān)乎個人信息能否得到妥善保護及合理利用，其影響可謂大矣！有鑒于此，本文擬對個人信息的民法定位及保護模式進行專門探討，論證個人信息應(yīng)受民法保護的適當(dāng)方式及路徑，以期為《民法典》個人信息保護條款提供恰當(dāng)?shù)慕忉屨摶A(chǔ)和教義學(xué)分析框架?！?〕個人信息不僅需要刑法、行政法等提供公法層面的保護，民法上的保護同樣必不可少。這不僅是因為民法在個人信息法律保護體系中具有基礎(chǔ)性地位，也是因為民法乃維護個人主體性地位的最重要手段。正因為如此，我國《民法典》既在總則編確定了個人信息保護的一般原則，又在人格權(quán)編對具體的保護路徑作出了詳細(xì)規(guī)定，從而系統(tǒng)地構(gòu)建了個人信息民法保護的規(guī)范體系。

一、個人信息的民法定位

（一）個人信息權(quán)益屬性之爭

關(guān)于個人信息的權(quán)益屬性及其在我國民法上的定位，我國民法學(xué)界存在不同的主張。大體而言，可以將這些主張區(qū)分為“權(quán)利說”和“法益說”兩種。

主張“權(quán)利說”的學(xué)者認(rèn)為，個人信息具有權(quán)利地位，應(yīng)在民法上明確肯認(rèn)“個人信息權(quán)”。為此，有學(xué)者通過理論分析和參考比較法經(jīng)驗，認(rèn)為我國民法已經(jīng)實質(zhì)性地確立了個人信息權(quán)；〔7〕參見楊立新：《個人信息：法益抑或民事權(quán)利》，載《法學(xué)論壇》2018 年第1 期，第38-40 頁。有學(xué)者從“權(quán)益區(qū)分三標(biāo)準(zhǔn)”、個人信息作為權(quán)利客體的可行性、保護信息自由等十三個方面，對個人信息權(quán)作為一項具體人格權(quán)的論斷展開了深入論證；〔8〕參見葉名怡：《論個人信息權(quán)的基本范疇》，載《清華法學(xué)》2018 年第5 期，第146-150 頁。還有學(xué)者以知識產(chǎn)權(quán)為參照，從加強個人信息保護、提高行為預(yù)期等六個方面論證了有必要將個人信息權(quán)確定為一項民事權(quán)利?！?〕參見呂炳斌：《個人信息權(quán)作為民事權(quán)利之證成：以知識產(chǎn)權(quán)為參照》，載《中國法學(xué)》2019 年第4 期，第45-46 頁。

贊同“法益說”的學(xué)者則指出，我國《民法典》并沒有將個人信息明確設(shè)定為一項民事權(quán)利，個人信息宜被定位為應(yīng)受民法保護之法益。贊成“法益說”的學(xué)者所持的理由是，個人信息利益尚未達(dá)到權(quán)利的分配密度，故而不宜采用權(quán)利化模式而應(yīng)采用行為規(guī)制模式對個人信息主體提供一定程度的保護。〔10〕參見葉金強：《〈民法總則〉“民事權(quán)利章”的得與失》，載《中外法學(xué)》2017 年第3 期，第650-651 頁。也有學(xué)者主張，個人信息是一種新型的法益，對這種新型法益進行保護的理論基礎(chǔ)及具體方式并不能從私權(quán)角度得到有效解釋。〔11〕參見梅夏英：《民法權(quán)利思維的局限與社會公共維度的解釋展開》，載《法學(xué)家》2019 年第1 期，第19 頁。

由是觀之，關(guān)于個人信息的權(quán)益屬性，我國民法學(xué)者存在認(rèn)識上的顯著分歧。這種分歧并非單純的理論爭鳴，其對個人信息的民法保護實踐將產(chǎn)生重大而直接的影響：若采納“權(quán)利說”，那么個人信息將完全歸諸個人信息主體控制和支配，其他人均負(fù)有一般性的不作為義務(wù)；若采納“法益說”，則個人信息并非完全歸諸個人信息主體控制和支配，其他人在符合法律規(guī)定的原則和條件的前提下，可以對自然人的個人信息進行必要的收集和處理。由此可見，“權(quán)利說”側(cè)重于為個人信息主體提供全面的法律保護，而“法益說”則力圖權(quán)衡個人信息保護及利用之間的緊張關(guān)系。

贊成“權(quán)利說”的學(xué)者言之鑿鑿，而主張“法益說”的學(xué)者亦持之有故，一時間，似難有定論。不過，若無法對個人信息的權(quán)益屬性及其在民法上的定位作出科學(xué)、精準(zhǔn)的定性，那么個人信息的民法保護勢必成為無源之水、無本之木，而《民法典》中的個人信息保護條款亦無法得到準(zhǔn)確的解釋和適用。

（二）民法保護利益的兩種模式

1. 權(quán)利化模式

將特定的利益確認(rèn)為民法上的權(quán)利，乃傳統(tǒng)民法對利益進行保護的主要方式。這是由民法的權(quán)利本位和權(quán)利的本質(zhì)屬性所決定的。眾所周知，民法以權(quán)利為本位，民法的真諦就在于對權(quán)利的認(rèn)可和保護。〔12〕參見馬俊駒、余延滿：《民法原論》，法律出版社2010 年版，第9 頁。馮·圖爾（von Tuhr）指出，權(quán)利乃私法的核心概念（zentrale Begriff）?！?3〕Vgl. Andreas von Tuhr, Der Allgemeiner Teil des Deutschen Bürgerlichen Rechts, Erster Band, 1910, S. 53.當(dāng)然，關(guān)于權(quán)利的本質(zhì)屬性，歷來有不同的學(xué)說主張?！?4〕薩維尼將主觀權(quán)利界定為“意志支配的力量”；耶林則認(rèn)為，權(quán)利乃“受法律保護之利益”。德國民法通說認(rèn)為，權(quán)利應(yīng)被理解為“法律秩序賦予人們的旨在滿足其利益的意志力”。Vgl. Brox/Walker, Allgemeiner Teil des BGB, 41. Aufl., 2017, S. 276.不過，無論從哪個角度對權(quán)利進行定義和觀察，利益乃權(quán)利的內(nèi)核及目的，當(dāng)無疑問。

在權(quán)利化模式中，最為核心和關(guān)鍵的問題是，立法者依據(jù)何種標(biāo)準(zhǔn)對相關(guān)利益作出篩選并將其設(shè)定為民法上的權(quán)利。對此，比較法上并不存在所謂的“唯一正解”。參酌德國法上的權(quán)益區(qū)分理論，〔15〕德國侵權(quán)法通過三個小的一般條款建構(gòu)了權(quán)益區(qū)分的保護模式。為了對權(quán)益作出妥當(dāng)?shù)恼鐒e和界分，德國民法學(xué)界提出了“歸屬效能”“排他效能”和“社會典型公開性”等三項區(qū)分標(biāo)準(zhǔn)。Vgl. Larenz/Canaris, Lehrbuch des Schuldrechts, Band II: Besonderer Teil, Halbband 2, 13. Aufl., 1994, S. 373-374.一項利益能否被確定為民法上的權(quán)利，立法者需要斟酌以下要素：該利益能否被劃歸特定的主體享有；該利益有無具體特定的客體和清晰明了的表征方式；該利益可否被既有的權(quán)利體系或權(quán)利類型所涵蓋。

在前述諸項考量要素中，利益能否被劃歸特定的主體享有決定了將利益設(shè)定為權(quán)利是否合理；利益有無特定的客體和清晰的表征方式?jīng)Q定了將利益設(shè)定為權(quán)利是否可行；利益是否被既有的權(quán)利所涵蓋決定了將利益設(shè)定為權(quán)利是否必要。

因為在民法上設(shè)定一項權(quán)利之目的，就是為了將特定的利益劃歸特定的權(quán)利人享有和支配。若相關(guān)利益具有公共屬性，那么將其設(shè)定為一項民法上的權(quán)利，顯然并不合理。不過，即便某項利益能夠被分配給特定的主體享有，但是如果其并不具有明確、特定之客體，使得利益的內(nèi)容及范圍難以被清晰界定，那么同樣不應(yīng)將其設(shè)定為一項民事權(quán)利?！?6〕“營業(yè)權(quán)”可謂這方面的著例。德國通過判例創(chuàng)設(shè)了所謂的“營業(yè)權(quán)”，并對其給予侵權(quán)法上的保護。不過，這項權(quán)利的客體包羅萬象（包括了企業(yè)組織、顧客、商品、勞務(wù)等不同元素），且經(jīng)常處于變化之中，使得其客體難以被特定化，而且也欠缺權(quán)利所應(yīng)具有的社會典型公開性，導(dǎo)致這項權(quán)利在理論和實踐層面均存在很大爭論。事實上，所謂的“營業(yè)權(quán)”，至多是一種應(yīng)受法律保護之法益而非權(quán)利，故而拉倫茨和卡納里斯主張舍棄營業(yè)權(quán)之概念。同上注，Larenz、Canaris 書，第560 頁。此外，如果一項利益能夠被既有的權(quán)利體系所涵蓋，自然沒有創(chuàng)設(shè)一種新的民事權(quán)利之必要。

2. 行為規(guī)制模式

民法所保護的對象不止權(quán)利，還包括特定的利益。在傳統(tǒng)民法理論上，學(xué)者將能夠獲得民法保護但又沒有上升為權(quán)利的利益稱為“法益”。〔17〕參見楊立新：《中國民法總則研究》（下卷），中國人民大學(xué)出版社2017 年版，第630 頁。法益具有合法性和正當(dāng)性，但是其通常并無明確、特定之客體，利益邊界亦不清晰，故而難以透過權(quán)利化模式對其提供全面的法律保護。此時，立法者可從規(guī)制他人行為的角度，為相關(guān)法益提供適度且必要的保護，此種模式即行為規(guī)制模式?！?8〕例如，就商業(yè)秘密而言，其并不具有從外部可識別的利益客體和清晰的利益界限。如果在立法上貿(mào)然設(shè)立一項“商業(yè)秘密權(quán)”，無異于為他人設(shè)定了一項一般性的不作為義務(wù)和廣泛的行為禁區(qū)，顯非合理。不過，商業(yè)秘密可以給利益主體帶來可觀的經(jīng)濟利益，這種利益合法、正當(dāng)，立法者可通過行為規(guī)制模式為利益主體提供妥善的法律保護。這也正是我國《反不正當(dāng)競爭法》和《刑法》針對商業(yè)秘密所采取的保護模式。

與權(quán)利化模式從正面設(shè)權(quán)保護權(quán)利人的方式不同，行為規(guī)制模式“從他人行為控制的角度來構(gòu)建利益空間，通過他人特定行為的控制來維護利益享有者的利益”?！?9〕同前注〔10〕，葉金強文，第650 頁。由是觀之，行為規(guī)制模式并不旨在為特定法益提供全方位的法律保護，而是通過對他人行為予以必要的法律規(guī)制確保相關(guān)法益免受特定之侵害。當(dāng)然，如何對他人的行為及其邊界加以合理規(guī)制，是行為規(guī)制模式的重點和難點。

因為法益通常并不具有清晰的權(quán)利外觀，其界限亦難以被明確劃定，故而其不可避免地與其他的權(quán)利或法益存在牽連。此時，立法者“必須考慮各種沖突價值之間的協(xié)調(diào)問題，尤其是要權(quán)衡權(quán)益的保護與合理行為自由的維護之間的沖突”?！?0〕程嘯：《民法典編纂視野下的個人信息保護》，載《中國法學(xué)》2019 年第4 期，第36 頁。于此情形下，若徑行采用權(quán)利化模式，將相關(guān)法益直接劃歸特定主體享有和支配，勢必難以兼顧法益之上存在的其他主體的不同利益需求，難謂合理。與此不同，行為規(guī)制模式可以在法益保護與行為自由之間確定一個妥當(dāng)?shù)钠胶恻c，既可確保法益免受特定行為之侵害，亦可為行為人提供明確的行為指引，避免過度鉗制其行為自由空間。

3. 兩種模式區(qū)分之實質(zhì)

權(quán)利化模式和行為規(guī)制模式乃民法保護利益的兩種基本模式。在這兩種模式下，利益受民法保護的方式、范圍及程度均有明顯差異，立法者應(yīng)選擇妥當(dāng)?shù)哪Ｊ綄μ囟ǖ睦娼o予恰當(dāng)?shù)谋Ｗo。

具體言之，權(quán)利化模式通過將特定類型的利益確認(rèn)為法律上的權(quán)利，使利益的歸屬及其界限得以明確，從而對利益進行全面的法律保護。行為規(guī)制模式則是通過對他人行為予以妥善規(guī)范和控制，以保護法益不受特定行為之侵害，而并不試圖為法益構(gòu)筑一張全面的法律保護之網(wǎng)，行為人仍可享有相當(dāng)程度的行為自由空間。

權(quán)利化模式和行為規(guī)制模式之所以存在上述差別，究其根本在于：權(quán)利只能設(shè)定于特定的客體之上，而利益一般沒有客體或者客體并不確定?！?1〕參見李永軍：《民法總則》，中國法制出版社2018 年版，第544 頁。拉倫茨和沃爾夫指出，一項主觀權(quán)利的歸屬內(nèi)容必須客體特定且界限分明；法無禁止皆可為，這種表述雖然符合實際，但是由于欠缺客體的特定性，從這種表述中并不能得出（一項）主觀權(quán)利；只有當(dāng)權(quán)利人能夠支配一個特定之物且可排除他人對該物的使用時，或者在能夠向一個特定的債務(wù)人提出一項特定的給付請求時，一項特定的主觀權(quán)利才會被分配給一個特定的主體?！?2〕Vgl. Larenz/Wolf, Allgemeiner Teil des Bürgerlichen Rechts, 9. Aufl., 2004, S. 244.

由是觀之，客體是否明確、特定，是區(qū)分權(quán)利和利益（或法益）的基本依據(jù)，也是立法者進一步選擇權(quán)利化模式抑或行為規(guī)制模式的基本準(zhǔn)繩。只有在客體能夠被特定化的時候，權(quán)利的界限及范圍才能得到明確界定而不至于漫無邊際，由此亦可為他人劃定清晰的行為禁區(qū)。此時，采用權(quán)利化模式將相關(guān)利益分配給特定的權(quán)利主體，并要求他人承擔(dān)一般性的不作為義務(wù)，便具有了合理性和可操作性。若客體難以被特定化，那么利益的內(nèi)容及范圍勢必曖昧不明，此時選擇行為規(guī)制模式當(dāng)更為可取。

（三）“個人信息權(quán)”概念之否定

1. “個人信息”的內(nèi)涵及外延并不明確

前已述及，有無具體、特定之客體，乃權(quán)利與法益的一項重要區(qū)別。只有客體能夠具體化、特定化，才能于其上設(shè)定一項權(quán)利。因此，判斷個人信息的權(quán)益屬性，首先應(yīng)當(dāng)確定其有無具體、特定之客體。

主張“個人信息權(quán)”的學(xué)者認(rèn)為，這項權(quán)利的客體是特定的，其客體就是個人信息?！?3〕參見王曉芬：《個人信息的法律屬性及私法保護模式探究》，載《河南財經(jīng)政法大學(xué)學(xué)報》2016 年第5 期，第67 頁。如同物權(quán)的客體是物、隱私權(quán)的客體為隱私，認(rèn)為“個人信息權(quán)”的客體乃個人信息，在邏輯和法理上似乎順理成章，無可辯駁，但這實質(zhì)上是倒果為因的論證方法，經(jīng)不起推敲。

何謂“個人信息”？《民法典》第1034 條第2 款對此作了明確界定：“個人信息是以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人的各種信息，包括自然人的姓名、出生日期、身份證件號碼、生物識別信息、住址、電話號碼、電子郵箱、健康信息、行蹤信息等。”這條規(guī)定參考了《網(wǎng)絡(luò)安全法》第76 條對“個人信息”的定義，同時新增了“電子郵箱”“健康信息”“行蹤信息”等三類具體的個人信息。

依循上述立法界定，只要能夠單獨識別或者與其他信息結(jié)合識別特定自然人的各種信息，都可以被歸入到個人信息的范疇。因此，個人信息的本質(zhì)特征在于“可識別性”?！?4〕參見葉名怡：《個人信息的侵權(quán)法保護》，載《法學(xué)研究》2018 年第4 期，第84 頁。這樣一來，個人信息的特定化似乎不成問題。不過，個人信息的內(nèi)涵及外延并非如其概念表述那樣簡潔明了。

就個人信息的內(nèi)涵而言，“可識別性”標(biāo)準(zhǔn)并不能精準(zhǔn)地闡釋個人信息的本質(zhì)，也無法合理說明為何相關(guān)信息因具有“可識別性”而被納入“個人信息”概念下統(tǒng)一加以保護?！?5〕參見張新寶：《〈民法總則〉個人信息保護條文研究》，載《中外法學(xué)》2019 年第1 期，第65 頁。因為“在大數(shù)據(jù)時代，通過對數(shù)據(jù)進行融合與交叉驗證，可以通過多重不能識別信息主體的信息識別信息主體”?！?6〕劉迎霜：《大數(shù)據(jù)時代個人信息保護再思考》，載《社會科學(xué)》2019 年第3 期，第103 頁。隨著大數(shù)據(jù)分析技術(shù)深度嵌入社會生活以及信息共享技術(shù)的廣泛運用，大量不具有可識別性的信息能夠按照特定的算法被關(guān)聯(lián)、融合，進而能夠?qū)⑾嚓P(guān)信息與特定的個人相聯(lián)系。對此，如果按照“可識別性”標(biāo)準(zhǔn)，勢必?zé)o法予以準(zhǔn)確應(yīng)對和規(guī)制。

就個人信息的外延而言，鑒于新型的個人信息將隨著大數(shù)據(jù)技術(shù)的不斷發(fā)展而層出不窮，立法者只能對個人信息的類型作出不完全列舉，而無法對個人信息的范圍和邊界作出周延之限定?！?7〕例如，《民法典》第1034 條第2 款雖然對個人信息的具體類型作出了較為全面的列舉，但是這種列舉并不具有周延性，故而立法者在該款的末尾使用了“等”字，其目的就是為將來可能產(chǎn)生的新型個人信息預(yù)留立法空間。如此一來，個人信息的類型和范圍難免寬泛無際，難以完全將其特定化。

由于個人信息的內(nèi)涵既不明確，外延亦不清晰，使得個人信息難以達(dá)到權(quán)利客體所應(yīng)具有的具體特定且界限分明的品質(zhì)要求。在這樣一個不確定的法律概念之上，設(shè)定一個權(quán)利內(nèi)容明確、界限清晰的“個人信息權(quán)”，其難度不亞于登天。

2. 個人信息與其他人格權(quán)客體存在廣泛交叉、重合

個人信息并非單一、特定的存在，而是包括了姓名、身份證件號碼、生物識別信息、住址、電話號碼等諸多具有可識別性的信息類型。在這些信息類型中，有很多是既有的人格權(quán)之客體。例如，姓名是姓名權(quán)的客體，肖像是肖像權(quán)的客體，身份證件號碼、生物識別信息、住址等私密信息是隱私權(quán)的客體。因此，個人信息與既有的人格權(quán)客體之間存在廣泛的交叉、重合。

此時，若在包含其他人格權(quán)客體的個人信息之上再設(shè)定一項具有絕對性和支配性的“個人信息權(quán)”，無疑會沖淡甚至瓦解既有的人格權(quán)體系?！皞€人信息非常普遍地包括了姓名、肖像、隱私以及其他與人格相關(guān)的信息，因而個人信息權(quán)在外部性人格載體上與姓名權(quán)、肖像權(quán)以及隱私權(quán)等存在廣泛重合，如果將其認(rèn)定為獨立的人格權(quán)必然造成與這些人格權(quán)的重合與沖突。”〔28〕劉召成：《論具體人格權(quán)的生成》，載《法學(xué)》2016 年第3 期，第32 頁。不僅如此，這種做法還將引起復(fù)雜的法律解釋及適用問題，影響法律適用的安定、統(tǒng)一。

我國立法者顯然注意到了將個人信息權(quán)利化可能產(chǎn)生的上述風(fēng)險，因而在立法術(shù)語的選擇上非常慎重，并沒有使用“個人信息權(quán)”之表述，從而有助于避免其與既有人格權(quán)之間發(fā)生進一步的混淆和沖突。〔29〕參見李宇：《民法總則要義：規(guī)范釋論與判解集注》，法律出版社2017 年版，第341 頁。對于我國立法者的這種謹(jǐn)慎之舉，自應(yīng)予以充分肯定?！?0〕為了避免個人信息保護制度與隱私權(quán)制度在適用上發(fā)生抵觸，我國《民法典》第1034 條第3 款規(guī)定：“個人信息中的私密信息，適用有關(guān)隱私權(quán)的規(guī)定；沒有規(guī)定的，適用有關(guān)個人信息保護的規(guī)定?！碑?dāng)然，強調(diào)個人信息與既有的人格權(quán)客體存在廣泛的交叉、重合，其目的旨在證明試圖將個人信息權(quán)利化的主張和做法實在是得不償失，而并不是反對民法應(yīng)當(dāng)為個人信息主體提供必要的保護。事實上，個人信息之上負(fù)載了眾多主體的利益需求，如信息主體對個人信息的保護需求、信息業(yè)者對個人信息的利用需求以及政府對個人信息的利用需求等?！?1〕參見張新寶：《從隱私到個人信息：利益再衡量的理論與制度安排》，載《中國法學(xué)》2015 年第3 期，第47-49 頁。

就信息主體對個人信息的保護需求而言，現(xiàn)行法上的各種人格權(quán)制度雖然能夠為信息主體提供一定的法律保護，但是無法完全滿足個人信息主體對其個人信息所享有的防御性利益或保護性利益，即“自然人針對個人信息還享有防止因個人信息被非法收集、泄露、買賣或利用而導(dǎo)致其既有人身、財產(chǎn)權(quán)益遭受侵害甚至人格尊嚴(yán)、個人自由受到損害的利益”?！?2〕同前注〔20〕，程嘯文，第37 頁。這種利益合法、正當(dāng)，同時無法為既有的民事權(quán)利類型及權(quán)利內(nèi)容所完全涵蓋，故而有對其加以保護之必要?？紤]到這種利益沒有確切的客體和邊界，同時為了盡可能地協(xié)調(diào)眾多利益主體的多元利益需求，我國立法者并未采納權(quán)利化模式構(gòu)建個人信息的民法保護體系。

3. 權(quán)利化模式難以舒緩多元利益需求之間的張力

前已述及，個人信息之上負(fù)載了眾多利益主體的多元利益需求，對這些不同的利益需求立法者應(yīng)加以妥善之權(quán)衡，在不同的行為場合應(yīng)給予不同程度的協(xié)調(diào)。之所以如此，是由個人信息的本質(zhì)屬性所決定的，即個人信息不僅具有個人屬性，而且蘊含了一定的共享屬性或者公共屬性。因為在大數(shù)據(jù)時代，“個人信息不僅僅與個人利益有關(guān)，同時還是大數(shù)據(jù)時代的重要社會資源，它對企業(yè)的技術(shù)創(chuàng)新、商業(yè)模式創(chuàng)新及政府的治理方式創(chuàng)新均是至關(guān)重要的”?！?3〕郭春鎮(zhèn)、馬磊：《大數(shù)據(jù)時代個人信息問題的回應(yīng)型治理》，載《法制與社會發(fā)展》2020 年第2 期，第184 頁。

基于個人信息的雙重屬性，立法者在構(gòu)建個人信息的民法保護框架時，既要為個人信息主體提供適度的、必要的保護，也要確保個人信息能夠得到合理的、有序的流通，而不能對某一種屬性有所偏廢?！昂唵蔚貜娬{(diào)個人信息的某一種屬性均不足以闡述個人信息的本質(zhì)特征，也不足以為個人信息保護搭建合理的法律框架。”〔34〕丁曉東：《個人信息的雙重屬性與行為主義規(guī)制》，載《法學(xué)家》2020 年第1 期，第65 頁。權(quán)利化模式過于強調(diào)個人信息的個人屬性，漠視了個人信息同時所蘊含的公共屬性，在價值取向上過于偏頗，難以妥善協(xié)調(diào)不同利益主體的利益需求。

首先，對個人信息主體而言，將個人信息權(quán)利化將同時產(chǎn)生“保護過度”和“保護不足”的雙重問題?！?5〕參見丁曉東：《個人信息私法保護的困境與出路》，載《法學(xué)研究》2018 年第6 期，第202-203 頁。所謂“保護過度”，是指個人信息主體對其個人信息擁有絕對控制和支配的權(quán)利，其他人未經(jīng)權(quán)利人同意，不得對其個人信息進行任何形式的開發(fā)利用。如此一來，個人信息的利用成本勢必急劇增加，同時也將對正常的社會交往和信息流通制造障礙，從而產(chǎn)生所謂的“信息孤島”現(xiàn)象。

所謂“保護不足”，是指囿于有限理性、認(rèn)知局限、專業(yè)知識欠缺等方面的原因，個人信息主體往往難以充分而有效地控制、利用其個人信息。一方面，個人信息主體可能沒有足夠的耐心和知識閱讀冗長、繁復(fù)的隱私政策，從而有可能作出錯誤的授權(quán)決定；另一方面，在很多時候，為了能夠接受或者利用相關(guān)服務(wù)，人們往往被迫同意服務(wù)提供者使用自己的個人信息，從而可能導(dǎo)致其個人信息被他人不當(dāng)?shù)厥占?、利用。此外，大量的個人信息侵權(quán)行為出現(xiàn)在個人信息的二次利用環(huán)節(jié)，由于這種行為已經(jīng)超出了個人信息主體對其個人信息能夠自主控制的范疇，使其難以對這種行為進行有效防范和控制?！?6〕同前注〔26〕，劉迎霜文，第104 頁。由是觀之，認(rèn)可“個人信息權(quán)”，除了可能造成“信息孤島”的困局，在實踐中也難以為個人信息主體提供周全之保護。

其次，對個人信息的利用者而言，將個人信息權(quán)利化既增加了其收集、利用個人信息的成本，也無法為其提供清晰的合規(guī)指引和明確的行為預(yù)期?！?7〕參見宋亞輝：《個人信息的私法保護模式研究》，載《比較法研究》2019 年第2 期，第96 頁。具體言之，若按照權(quán)利化模式保護個人信息，意味著個人信息之上的利益內(nèi)容完全歸諸個人信息主體，并由其自主控制和支配，其他任何人均無權(quán)干涉。由于個人信息由信息主體完全控制，意味著“基于每一個目的開展的每一次信息收集或使用行為均需征得信息主體的同意”?！?8〕高富平：《個人信息使用的合法性基礎(chǔ)》，載《比較法研究》2019 年第2 期，第80 頁。如此一來，勢必增加信息利用者收集、處理個人信息的成本，并且在實踐中可能誘發(fā)如下問題。其一，信息利用者為了避免承擔(dān)高昂的成本，被迫放棄對個人信息的收集、利用，但這種做法有可能對公共利益造成損害，因為“公法上公民的知情權(quán)、私法上民事主體的自主決定，均有賴于信息的自由流通和獲取”?！?9〕同前注〔29〕，李宇書，第346 頁。其二，信息利用者為了降低成本和風(fēng)險，往往預(yù)先擬定了復(fù)雜、冗長的隱私政策或隱私保護條款，并將其與服務(wù)的提供或利用相掛鉤，用戶只有作出同意才能獲取或者利用相關(guān)服務(wù)，這樣一來，個人信息的法律保護最終可能流于形式。

最后，對于國家的數(shù)據(jù)產(chǎn)業(yè)發(fā)展而言，將個人信息權(quán)利化絕非可取之道。數(shù)據(jù)是信息的表現(xiàn)形式，信息是數(shù)據(jù)中蘊含的內(nèi)容。〔40〕參見紀(jì)海龍：《數(shù)據(jù)的私法定位與保護》，載《法學(xué)研究》2018 年第6 期，第72 頁。在信息時代，數(shù)據(jù)已經(jīng)成為重要的戰(zhàn)略性資源，成為推動企業(yè)競爭和國家發(fā)展的關(guān)鍵要素?！?1〕2017 年5 月6 日，《經(jīng)濟學(xué)人》雜志刊發(fā)封面文章，專門聚焦數(shù)據(jù)經(jīng)濟和信息產(chǎn)業(yè)發(fā)展。文章指出，數(shù)據(jù)乃數(shù)字時代的“石油”，是當(dāng)今之世最有價值的資源。See The Economist, May 6th, 2017, p. 7, 14.黨的十八屆五中全會公報明確提出：“實施國家大數(shù)據(jù)戰(zhàn)略，推進數(shù)據(jù)資源開放共享?！?015 年8 月31 日國務(wù)院印發(fā)的《促進大數(shù)據(jù)發(fā)展行動綱要》對我國大數(shù)據(jù)產(chǎn)業(yè)的發(fā)展和應(yīng)用進行了全面布局。

大數(shù)據(jù)分析處理技術(shù)的推廣應(yīng)用離不開大量數(shù)據(jù)的采集、聚合?！皢渭兊膫€人信息不足以稱為資源（名人的信息除外），只有大數(shù)據(jù)才有可挖掘的價值和不斷衍生出新的商業(yè)服務(wù)模式的可能。”〔42〕張平：《大數(shù)據(jù)時代個人信息保護的立法選擇》，載《北京大學(xué)學(xué)報》2017 年第3 期，第145 頁。若在民法上設(shè)定一項個人信息權(quán)，賦予信息主體對其個人信息的獨占性控制權(quán)，無疑會增加數(shù)據(jù)采集的成本，阻礙大數(shù)據(jù)產(chǎn)業(yè)的發(fā)展。因此，將個人信息權(quán)利化，“既無法為公民隱私提供實質(zhì)性保障，又成為制約數(shù)據(jù)價值開發(fā)的重要掣肘”?！?3〕范為：《大數(shù)據(jù)時代個人信息保護的路徑重構(gòu)》，載《環(huán)球法律評論》2016 年第5 期，第92 頁。

事實上，這也是我國《民法典》為何沒有明確設(shè)立“個人信息權(quán)”的一項重要的考量因素。在民法典編纂過程中，有很多學(xué)者從不同角度對“個人信息權(quán)”之概念及價值進行了闡述和論證。不過，我國《民法典》并沒有采納這種觀點，而是采用了“個人信息保護”的表述。對此，我國立法機關(guān)在其民法典人格權(quán)編條文釋義書中作了明確說明：“個人信息的保護要適當(dāng)平衡信息主體的利益與數(shù)據(jù)共享利用之間的關(guān)系。用‘個人信息保護’的表述既強調(diào)了對信息主體利益的保護，又可以避免不必要的誤解，避免妨礙數(shù)據(jù)的共享、利用以及大數(shù)據(jù)產(chǎn)業(yè)在我國的發(fā)展。”〔44〕黃薇主編：《中華人民共和國民法典人格權(quán)編釋義》，法律出版社2020 年版，第196 頁。這也說明將個人信息權(quán)利化的主張和做法無論在民法理論層面抑或在實踐操作層面均難稱妥適。

二、個人信息民法保護模式之構(gòu)建

（一）行為規(guī)制模式之提倡

由于個人信息的內(nèi)涵模糊、外延寬泛，并不符合權(quán)利客體所應(yīng)具有的具體特定且界限分明的品質(zhì)要求，同時個人信息之上又負(fù)載了眾多利益主體的多元利益需求，因此，通過權(quán)利化模式保護個人信息，無論在理論層面抑或在實踐層面均有諸多不足。衡諸民法原理和社會現(xiàn)實，應(yīng)當(dāng)采用行為規(guī)制模式為個人信息主體提供必要的、適度的民法保護。

1. 行為規(guī)制模式能夠妥善協(xié)調(diào)不同利益主體的利益需求

首先，行為規(guī)制模式能夠為個人信息主體提供更具針對性的保護措施。行為規(guī)制模式通過對他人收集、利用個人信息的行為予以合規(guī)控制，能夠有效地防止自然人的個人信息被他人非法收集或不當(dāng)利用，確保自然人在個人信息之上所享有的、難以被現(xiàn)有權(quán)利所涵蓋的相關(guān)法益不被侵害。前已述及，自然人在其個人信息之上享有一種防御性利益或保護性利益而非支配性利益，這種法益產(chǎn)生于防止因個人信息被他人非法收集、利用，進而導(dǎo)致其權(quán)益受損的正當(dāng)需求。因此，通過對他人收集、利用個人信息的行為作出明確而具體的法律規(guī)制，能夠確保上述法益得到妥善之維護。

其次，行為規(guī)制模式有助于促進個人信息的合理流通與開發(fā)利用。“個人信息是個人在社會中標(biāo)識自己、建立聯(lián)系的工具，也是社會了解和識別每一個體并開展活動的依據(jù)。”〔45〕高富平：《個人信息保護：從個人控制到社會控制》，載《法學(xué)研究》2018 年第3 期，第84 頁。只有在自然人參與社會交往時，個人信息才有其存在的意義和價值，才有受法律保護之必要。離開社會交往和公共交流，討論個人信息的法律保護毫無意義。因此，個人信息天然地具有流通和共享的屬性，確保個人信息的合理流通，對于企業(yè)、政府和社會而言均有著十分重要的意義?！皞€人信息共享是發(fā)揮個人信息經(jīng)濟效用的主要方式，個人信息共享有利于消除‘信息孤島’現(xiàn)象，從而更好地發(fā)揮個人信息的使用價值?！薄?6〕王利明：《民法典人格權(quán)編的亮點與創(chuàng)新》，載《中國法學(xué)》2020 年第4 期，第21 頁。行為規(guī)制模式明確規(guī)定了他人收集、利用個人信息所必須遵循的法律原則和行為規(guī)則，有助于促進個人信息的有序流通及合規(guī)利用。

最后，行為規(guī)制模式能夠舒緩個人信息保護與利用之間的張力，有助于促進大數(shù)據(jù)產(chǎn)業(yè)的有序發(fā)展。大數(shù)據(jù)產(chǎn)業(yè)的發(fā)展、壯大離不開個人信息的收集和利用，若對個人信息施加過度的法律保護，難免會增加個人信息的收集、利用成本，抑制大數(shù)據(jù)產(chǎn)業(yè)的發(fā)展。因此，立法者需要在個人信息保護與利用之間進行調(diào)適，“既要注重發(fā)揮個人信息的經(jīng)濟效用，也要注重保護信息主體的個人信息權(quán)利，不能因為過度保護個人信息等權(quán)利而限制了數(shù)據(jù)產(chǎn)業(yè)發(fā)展，也不能為發(fā)展數(shù)據(jù)產(chǎn)業(yè)而不考慮個人信息等權(quán)利的保護”?！?7〕王利明：《數(shù)據(jù)共享與個人信息保護》，載《現(xiàn)代法學(xué)》2019 年第1 期，第55 頁。行為規(guī)制模式通過控制他人行為建構(gòu)法益保護空間，使個人信息的收集、利用始終處于法律的規(guī)制之下，各方主體的權(quán)限和責(zé)任亦能得到明確界定。這樣就可以破解權(quán)利化模式下對個人信息開發(fā)、利用所面臨的諸多困局，為大數(shù)據(jù)產(chǎn)業(yè)的良性發(fā)展奠定堅實的法律基礎(chǔ)。

2. 行為規(guī)制模式有助于為行為人提供清晰的合規(guī)指引

權(quán)利化模式直接在模糊、籠統(tǒng)的個人信息之上設(shè)權(quán)，使得此項權(quán)利的內(nèi)容及界限難以在立法上被明確界定，既阻礙了個人信息的合理流動，也無法為行為人提供明晰的行為指引，在實踐中難以操作和適用。與之不同，行為規(guī)制模式直接以個人信息的收集、利用等行為作為規(guī)制對象，從而為行為人提供了較為清晰的合規(guī)指引以及較為確定的行為預(yù)期?！?8〕同前注〔37〕，宋亞輝文，第97 頁。因為只有在知道“什么可以做”以及“如何做”的時候，人們才能對相關(guān)行為的法律后果有所預(yù)期，進而才能對自己的行為方式作出恰當(dāng)?shù)倪x擇。若相關(guān)行為缺乏明確的合規(guī)指引，人們將難以預(yù)知自己所為行為的法律后果，也無法對相關(guān)行為予以妥當(dāng)?shù)姆稍u價。

在絕對權(quán)模式下，因權(quán)利客體十分具體、特定，權(quán)利本身具有較為清晰的外觀和較為明確的界限，可以為他人設(shè)定清晰的行為禁區(qū)。在行為禁區(qū)之內(nèi)，其他人均負(fù)有一般性的不作為義務(wù)。不過，就個人信息的民法保護而言，將個人信息權(quán)利化并不能為行為人設(shè)定清晰的行為禁區(qū)，也無法為行為人提供清晰的合規(guī)指引。于此情形下，他人的行為自由空間難免被極度壓縮，而個人信息主體亦難以獲得穩(wěn)妥的法律保護。

行為規(guī)制模式主張，“應(yīng)當(dāng)對個人信息收集、儲存、處理的各個環(huán)節(jié)進行行為主義的規(guī)制，確保個人信息流通的各個環(huán)節(jié)都能得到法律的合理介入”。〔49〕同前注〔34〕，丁曉東文，第73 頁。這樣一來，無論處于哪一個環(huán)節(jié)，行為人都能夠獲得清晰的合規(guī)指引，從而能夠獲得確定的行為預(yù)期。不僅如此，“不同于權(quán)利化模式之下的一般性不作為義務(wù)，（行為規(guī)制模式之下）行為人的行為約束也相應(yīng)有所限定，限定于立法列舉的方式”?！?0〕同前注〔10〕，葉金強文，第651 頁。因此，行為規(guī)制模式可為個人信息的保護與利用建立一個穩(wěn)定的、具有可操作性的法律框架。

3. 行為規(guī)制模式具有兼容性

前已述及，個人信息的內(nèi)涵模糊、外延寬泛，而且與姓名、名譽、隱私等既有的人格權(quán)客體之間存在廣泛的交叉、重合。若在民法上設(shè)定一項個人信息權(quán)，在適用中有可能與已有的人格權(quán)體系產(chǎn)生混淆、沖突，“既不利于現(xiàn)有規(guī)則的穩(wěn)定，也不利于對未來相應(yīng)立法規(guī)則的回應(yīng)”?！?1〕彭誠信、向秦：《“信息”與“數(shù)據(jù)”的私法界定》，載《河南社會科學(xué)》2019 年第11 期，第27 頁。

行為規(guī)制模式從他人行為的合法性控制角度構(gòu)建個人信息的法律保護框架。與權(quán)利化模式相比，這種做法并不會對現(xiàn)有的人格權(quán)體系形成沖擊，同時能夠最大限度地與現(xiàn)有的人格權(quán)體系相兼容。具體言之，行為規(guī)制模式從控制他人行為的角度，為個人信息主體提供適度的民法保護。與此同時，姓名權(quán)、肖像權(quán)、隱私權(quán)等現(xiàn)有人格權(quán)制度可為姓名、肖像、隱私等特定類型的個人信息提供更高程度的、專門性的法律保護。這兩種保護模式并行不悖、相得益彰，有助于形成完整的、嚴(yán)密的個人信息民法保護體系。

在實踐中，行為規(guī)制模式為行為人提供了基本的法律遵循，即無論收集、利用何種類型的個人信息，均須嚴(yán)格地遵守相應(yīng)的法律原則及合規(guī)條件，確保個人信息流通的任何一個環(huán)節(jié)都能處于法律的合理控制之下。不過，個人信息的范圍非常寬泛，種類十分繁多，有些特定類型的個人信息由于和自然人的人格之間關(guān)聯(lián)十分密切，已經(jīng)作為具體的人格要素而獲得了相關(guān)人格權(quán)的專門保護。此時，若對這些具有人格要素性質(zhì)的個人信息進行收集、利用，行為人必須遵循相關(guān)人格權(quán)的規(guī)定及要求，取得權(quán)利主體的明確許可。

至于其他尚不具有人格要素性質(zhì)的個人信息，因其并未被賦予更高強度的民法保護，故而立法者需要在個人信息保護與利用之間作出適當(dāng)權(quán)衡。此時，透過行為規(guī)制模式，既可為個人信息主體提供必要的保護，也可確保個人信息具有一定程度的流動性。這樣，行為規(guī)制模式便可與現(xiàn)有的人格權(quán)體系有機兼容，二者分工協(xié)力，共同完成個人信息的民法保護任務(wù)。

（二）行為規(guī)制模式之展開

依據(jù)行為規(guī)制模式，立法者應(yīng)明確設(shè)定收集、利用個人信息必須遵循的法律原則及行為規(guī)則，以實現(xiàn)個人信息保護和利用之間的協(xié)調(diào)與衡平。在比較法上，舍棄傳統(tǒng)的權(quán)利化模式而采用行為規(guī)制模式構(gòu)建個人信息的法律保護機制，已然成為一種新的潮流和趨向。

鑒于個人信息被他人不當(dāng)利用的情形日益嚴(yán)重，2017 年6 月，日本內(nèi)閣會議通過《2017 年未來投資戰(zhàn)略》，決定修訂其《反不正當(dāng)競爭法》，從立法上對不當(dāng)利用個人信息的行為加以及時應(yīng)對。在保護模式的立法選擇上，法案修訂機構(gòu)對不同保護模式的特性及其優(yōu)劣進行了深入剖析，認(rèn)為權(quán)利化模式對信息主體施加了過度保護，有礙于數(shù)據(jù)的合理流動，不能實現(xiàn)多種利益之間的恰當(dāng)衡平，最終在增設(shè)的“限定提供數(shù)據(jù)”條款及相關(guān)條款中選擇了行為規(guī)制模式?！?2〕參見劉影、眭紀(jì)剛：《日本大數(shù)據(jù)立法增設(shè)“限定提供數(shù)據(jù)”條款及其對我國的啟示》，載《知識產(chǎn)權(quán)》2019 年第4 期，第93-96 頁。

就我國而言，原《民法總則》同樣采用了行為規(guī)制模式為個人信息主體提供民法層面的保護，《民法典》人格權(quán)編進一步延續(xù)并充實了行為規(guī)制模式的制度內(nèi)容，使其更具有針對性和可操作性。

事實上，即便在傾向于采用權(quán)利化模式保護個人信息的歐美國家，相關(guān)立法也在很大程度上采用了行為規(guī)制模式的做法，對個人信息的收集、利用行為給予不同程度的法律規(guī)制。例如，1998 年頒布的美國《兒童在線隱私保護法》（COPPA）、2018 年生效的德國《聯(lián)邦數(shù)據(jù)保護法》（BDSG）、2018 年生效的歐盟《一般數(shù)據(jù)保護條例》（GDPR）等法律文件，既規(guī)定了信息主體對其個人信息（或數(shù)據(jù)）享有一定的權(quán)利，同時也以較大的篇幅對信息收集者、處理者的行為予以合法性規(guī)制，從而構(gòu)建了“權(quán)利化+行為規(guī)制”相結(jié)合的模式?！?3〕例如，2018 年生效的歐盟《一般數(shù)據(jù)保護條例》第三章對數(shù)據(jù)主體的權(quán)利作了詳細(xì)規(guī)定，第四章從行為控制的角度對數(shù)據(jù)控制者和處理者所應(yīng)承擔(dān)的法律義務(wù)和法律責(zé)任作出了專門規(guī)定。

行為規(guī)制模式之所以在比較法上被廣泛采用，除了這種模式具有前述之優(yōu)點，還在于這種模式下法律可合理地介入個人信息流通的各個環(huán)節(jié)，并且針對不同類型的信息處理行為采取不同程度的規(guī)制策略，從而能夠更有針對性地對相關(guān)行為予以合規(guī)控制。

其一，針對個人信息的收集行為，應(yīng)當(dāng)在類型區(qū)分的基礎(chǔ)上予以合理規(guī)制：對于具有人格要素性質(zhì)的個人信息，因其已經(jīng)落入相關(guān)人格權(quán)的保護范疇，故而收集此類信息必須取得信息主體明確同意；對于其他不具有人格要素性質(zhì)的個人信息，則應(yīng)采取較為寬松的規(guī)制策略，否則會阻礙個人信息的合理流通與利用，不利于充分發(fā)揮個人信息所蘊含的公共屬性價值。

其二，針對個人信息的使用、加工等行為，因其對個人信息主體的人身權(quán)、財產(chǎn)權(quán)乃至人格自由、人格尊嚴(yán)等有著直接影響，故而應(yīng)采取更為具體、明確的行為規(guī)制策略，對行為人提出更為嚴(yán)格、清晰的合規(guī)要求。

其三，針對個人信息的儲存和披露行為，則應(yīng)采取最為嚴(yán)格的規(guī)制手段。因為一旦發(fā)生信息泄露，不僅會損及個人信息主體的個人利益，還將造成公共安全風(fēng)險，必須加以最高程度的防范?！?4〕同前注〔34〕，丁曉東文，第73 頁。

當(dāng)然，對個人信息作出必要的類型區(qū)分，進而采取寬嚴(yán)程度不同的規(guī)制策略，并非僅限于個人信息收集行為，其也同樣適用于其他類型的個人信息處理行為。唯有如此，才能適當(dāng)舒緩個人信息保護與利用之間的張力，妥善協(xié)調(diào)個人信息之上所負(fù)載的多元利益需求，避免形成嚴(yán)格、僵化之結(jié)果。事實上，將個人信息區(qū)分為隱私信息和一般信息，并分別提供不同程度的法律保護，乃比較法上的通行做法。〔55〕同前注〔24〕，葉名怡文，第85-86 頁。我國民法學(xué)界的主流觀點也認(rèn)為，應(yīng)將個人信息區(qū)分為個人敏感信息和個人一般信息兩類，并據(jù)此構(gòu)建個人信息的法律保護機制?！?6〕同前注〔31〕，張新寶文，第50-52 頁。

筆者贊成在立法上對個人信息作出必要的類型區(qū)分，但是對于上述類型化方案持保留意見。因為“個人敏感信息”的判斷具有較強的主觀性，不同的人對于相同種類個人信息的敏感度可能并不相同，故而個人敏感信息在具體認(rèn)定上較為困難，難以為行為人提供明確的行為預(yù)期，也無法對相關(guān)行為作出恰當(dāng)?shù)姆梢?guī)制?！?7〕參見王葉剛：《個人信息收集、利用行為合法性的判斷》，載《甘肅社會科學(xué)》2018 年第1 期，第50 頁。

在比較法上，關(guān)于個人敏感信息的立法界定，主要有法律列舉模式和綜合考量模式兩種代表性模式。前者是根據(jù)個人信息的內(nèi)容，在立法上對敏感信息的種類進行明確列舉；后者則主張應(yīng)綜合考量信息處理的情境、目的等因素判定某一信息是否為敏感信息?！?8〕參見胡文濤：《我國個人敏感信息界定之構(gòu)想》，載《中國法學(xué)》2018 年第5 期，第245-246 頁。不過，法律列舉模式難以在立法上對個人敏感信息的種類作出全面規(guī)定，難免掛一漏萬；綜合考量模式雖更具有彈性和包容性，不過在具體認(rèn)定時亦難免發(fā)生爭議。因此，這兩種模式均存在某種不足。

就我國而言，《民法典》人格權(quán)編將個人信息區(qū)分為私密信息和非私密信息兩類，并規(guī)定私密信息適用有關(guān)隱私權(quán)的規(guī)定，只有在欠缺隱私權(quán)規(guī)定的情況下，才適用有關(guān)個人信息保護的規(guī)定（《民法典》第1034 條第3 款）。我國《民法典》 的上述規(guī)定試圖在個人信息與隱私權(quán)之間建立一個制度橋梁，〔59〕參見張新寶：《個人信息收集：告知同意原則適用的限制》，載《比較法研究》2019 年第6 期，第8 頁。同時又盡量避免二者在法律適用上發(fā)生沖突、抵牾，有助于加強個人信息保護規(guī)則與隱私權(quán)制度在價值及適用上的溝通與協(xié)調(diào)，自應(yīng)予以充分肯定。

不過，個人信息不僅包含私密信息，而且包括姓名、肖像等不具有私密性但受到姓名權(quán)、肖像權(quán)等人格權(quán)保護的個人信息，此時如何妥善協(xié)調(diào)個人信息保護規(guī)則與相關(guān)人格權(quán)制度之間的適用關(guān)系，勢成漏洞。筆者主張，此時可類推適用《民法典》第1034 條第3 款之規(guī)定，即優(yōu)先適用姓名權(quán)、肖像權(quán)等相關(guān)人格權(quán)之規(guī)定，只有在欠缺相關(guān)人格權(quán)規(guī)定的情況下，方可適用個人信息保護的相關(guān)規(guī)定。

當(dāng)然，在立法論層面，更為簡潔、妥適的分類是，將個人信息區(qū)分為具有人格要素性質(zhì)的個人信息和不具有人格要素性質(zhì)的個人信息兩類，進而分別提供寬嚴(yán)程度不同的民法保護，以利于法律適用的明確、安定。囿于主題和篇幅，本文不再詳細(xì)展開。

三、可能招致的質(zhì)疑及回應(yīng)

前文已指出，“個人信息權(quán)”之概念及主張在理論上難以被證成，在實踐層面亦將窒礙難行。無可諱言，本文的上述論斷將會遭遇諸多質(zhì)疑和挑戰(zhàn)。因此，下文對此等質(zhì)疑進行必要的梳理和評析，以期更為深入地揭示個人信息在我國民法上的定位及保護模式。

（一）質(zhì)疑理由之一：規(guī)定“個人信息權(quán)”乃順應(yīng)比較法的發(fā)展趨勢

在我國民法學(xué)界，一種頗有影響的觀點認(rèn)為，歐美都從權(quán)利化的角度對個人信息主體給予保護，我國也要順應(yīng)比較法發(fā)展趨勢，在民法上確立個人信息權(quán)。〔60〕同前注〔7〕，楊立新文，第39-40 頁。應(yīng)當(dāng)說這種觀點具有一定的道理。放眼世界，歐美紛紛通過立法或判例等方式賦予個人信息主體相應(yīng)的權(quán)利，以對抗特定主體的信息收集、利用等行為，但是若認(rèn)為個人信息權(quán)利化乃比較法的發(fā)展趨勢，則未免言過其實。

在比較法上，關(guān)于個人信息的法律保護存在兩種典型模式，即歐洲模式和美國模式。歐洲模式以制定統(tǒng)一的個人信息保護法為特征，而美國模式則是以分散立法為特點?！?1〕參見王利明：《論個人信息權(quán)的法律保護》，載《現(xiàn)代法學(xué)》2013 年第4 期，第62-63 頁。雖然這兩種模式在個人信息法律保護的立法形式上有所不同，但是均認(rèn)可個人信息主體享有一定的權(quán)利。美國法通過擴大隱私權(quán)的保護領(lǐng)域，將個人信息納入隱私權(quán)的保護范疇，提出了“個人信息隱私權(quán)”的概念。作為歐洲模式的典范，德國通過判例和立法創(chuàng)設(shè)了“個人信息自決權(quán)”這一新型權(quán)利，并由一項民法上的人格權(quán)發(fā)展成為一項受憲法保護的基本權(quán)利?！?2〕參見賀栩栩：《比較法上的個人數(shù)據(jù)信息自決權(quán)》，載《比較法研究》2013 年第2 期，第61-76 頁。

不過，無論是美國，還是德國，相關(guān)的立法及判例均沒有創(chuàng)設(shè)出一項具有絕對性和排他性的“個人信息權(quán)”。有學(xué)者指出，美國法上的個人信息保護路徑有其產(chǎn)生的特定技術(shù)背景和時代背景，上世紀(jì)六七十年代，隨著計算機技術(shù)的興起，相關(guān)公共機構(gòu)和公司收集、利用個人信息的速度及方式相較以往有了質(zhì)的提升，由此產(chǎn)生了對個人信息加強立法保護的必要，故而相關(guān)立法所規(guī)制的對象主要是政府、學(xué)校、企業(yè)等組織大規(guī)模收集個人信息的行為，相關(guān)信息主體對其個人信息并不享有一種可以對抗不特定第三人的權(quán)利?！?3〕同前注〔35〕，丁曉東文，第197-198 頁。

不僅如此，我國學(xué)者對源于德國法的“個人信息自決權(quán)”同樣存在一定程度的誤讀。根據(jù)楊芳博士的研究，“個人信息自決權(quán)”概念的提出同樣有其特定的德國法上的背景：這項權(quán)利針對的是德國聯(lián)邦政府，對抗的是國家在人口普查工作中采取的強制性的信息收集行為；據(jù)此，個人既不享有廣泛的、一般性的個人自決權(quán)，對其個人信息也不享有絕對的排他性支配權(quán)?！?4〕參見楊芳：《個人信息自決權(quán)理論及其檢討》，載《比較法研究》2015 年第6 期，第26-29 頁。因此，如果忽視“個人信息自決權(quán)”賴以產(chǎn)生的特定歷史背景和文化背景，主張在我國民法上確立一項具有支配性和對世性的“個人信息自決權(quán)”乃至“個人信息權(quán)”，勢必會產(chǎn)生謬誤。

由此可見，在比較法上，“個人對個人信息的控制只是實現(xiàn)保護的手段，根本沒有上升為一種排他性的個人權(quán)利”?！?5〕同前注〔45〕，高富平文，第92 頁。誠然，就個人信息的法律保護而言，歐美歷經(jīng)了幾十年的發(fā)展，累積了豐富的經(jīng)驗，個人信息不僅受到了私法上的嚴(yán)格保護，而且獲得了憲法層面的保障。不過，我們也應(yīng)清醒地看到歐美的相關(guān)立法既有上述優(yōu)點，同時也存在一定的時代局限，主要表現(xiàn)在歐美的相關(guān)立法受到路徑依賴的嚴(yán)重制約，很多內(nèi)容實際上是早期互聯(lián)網(wǎng)思維和背景下的產(chǎn)物，并沒有全面反映現(xiàn)今大數(shù)據(jù)背景下關(guān)于個人信息之保護和利用的時代特點?！?6〕參見龍衛(wèi)球：《數(shù)據(jù)新型財產(chǎn)權(quán)構(gòu)建及其體系研究》，載《政法論壇》2017 年第4 期，第70 頁。有學(xué)者甚至斷言：“面對信息技術(shù)的迅猛發(fā)展，歐美‘前信息時代’的制度、理論和經(jīng)驗都變得過時，傳統(tǒng)個人信息保護制度架構(gòu)已經(jīng)落后于時代發(fā)展需求。”〔67〕同前注〔26〕，劉迎霜文，第107 頁。當(dāng)然，這種說法未免有些絕對，不過道出了問題的實質(zhì)。

畢竟，比較法上的相關(guān)主張和做法都有其特定的社會背景和獨特的問題意識，由此也不可避免地帶有一定的局限。目前，我國正處于信息科技一日千里的大數(shù)據(jù)時代，在個人信息保護的規(guī)范設(shè)計和制度架構(gòu)上理應(yīng)發(fā)揮后發(fā)優(yōu)勢，而非墨守比較法上之成規(guī)。況且，權(quán)利化模式在比較法上絕非一統(tǒng)天下，行為規(guī)制模式已成鼎立之勢。有鑒于此，我們應(yīng)當(dāng)立足自身國情和時代背景，舍棄過時且低效的權(quán)利化模式，從行為規(guī)制的角度，為個人信息的收集、利用行為設(shè)定明確的法律原則及合規(guī)條件，構(gòu)建能夠妥善協(xié)調(diào)不同主體利益的個人信息民法保護框架。

（二）質(zhì)疑理由之二：規(guī)定“個人信息權(quán)”有助于強化個人信息保護

在主張設(shè)立“個人信息權(quán)”的眾多理由中，有一種理由頗為流行：在個人信息的多方利益主體中，唯有個人信息主體處于最弱勢的地位，最容易受到他人的侵害；為此，只有在民法上設(shè)定“個人信息權(quán)”，增強個人信息主體的權(quán)重，才能實現(xiàn)各方利益的妥當(dāng)平衡?！?8〕同前注〔2〕，王成文，第142 頁。事實上，這種觀點似是而非，承認(rèn)和加強個人信息的民法保護，并不等于需要在民法上設(shè)定一項“個人信息權(quán)”，權(quán)利化模式絕非民法保護個人信息的最優(yōu)方案。

誠然，在消費者權(quán)益保護法、勞動法等社會法領(lǐng)域，因消費者、勞動者處于結(jié)構(gòu)性弱勢地位，需要在立法上對其作出相應(yīng)的傾斜性保護，增強消費者、勞動者的權(quán)重。但是，這并不意味著個人信息的民法保護亦應(yīng)如此。一方面，消費者權(quán)益保護法、勞動法已經(jīng)脫離傳統(tǒng)民法體系，消費者、勞動者所享有的相關(guān)權(quán)利已然自成一體，以此為由主張民法上應(yīng)設(shè)定“個人信息權(quán)”，理由并不充分；另一方面，個人信息并非內(nèi)涵十分明確、外延十分清晰的法律概念，若在民法上將其權(quán)利化，勢必難以確定此項權(quán)利的存在及其界限，從而給行為人帶來不可預(yù)料之損害，顯非合理。

不僅如此，將個人信息權(quán)利化并不能為個人信息主體提供切實有效的法律保護。由于“理性人”只是一種假設(shè)，生活于現(xiàn)實中的人因知識、信息、經(jīng)驗等方面的局限，往往難以作出客觀、理性的決策，這就決定了即便在民法上設(shè)定一項個人信息權(quán)，在實踐中仍然難免會出現(xiàn)“保護不足”的情形。況且，個人信息不僅具有個人屬性，其同時蘊含了一定的公共屬性，這就決定了個人信息不宜被劃歸特定主體控制與支配而應(yīng)得到適當(dāng)?shù)牧魍ㄅc利用。

“個人信息權(quán)”之主張實質(zhì)上是權(quán)利泛化的一種具體表現(xiàn)。目前，權(quán)利泛化已然成為一種社會現(xiàn)象，仿佛只要一“祭出”權(quán)利，相關(guān)問題即可迎刃而解。不僅“悼念權(quán)”“親吻權(quán)”“安寧權(quán)”等新名詞頻繁見諸報端，而且學(xué)者也極力提出并證成所謂的“環(huán)境權(quán)”“被遺忘權(quán)”“個人信息權(quán)”等新型權(quán)利。這些主張有的難以從理論層面予以證成，有的難以融入現(xiàn)有的權(quán)利體系，有的則可為相關(guān)權(quán)利所涵括，故而并不符合權(quán)利生成的內(nèi)在邏輯要求。

關(guān)于民法領(lǐng)域的權(quán)利泛化問題，有學(xué)者指出：“權(quán)利的泛化與民法權(quán)利思維中的‘唯名化’表征直接相關(guān)，它更多地體現(xiàn)為個人主義權(quán)利觀與現(xiàn)實利益訴求之間的簡單結(jié)合，它以某種權(quán)利名義將個人的訴求人為納入合法的法律救濟軌道，而忽視了權(quán)利的內(nèi)在倫理性基礎(chǔ)和社會資源的支持?！薄?9〕同前注〔11〕，梅夏英文，第19-20 頁。權(quán)利的生成及設(shè)定固然需要考量現(xiàn)實利益訴求，但同時也應(yīng)顧及權(quán)利的內(nèi)在倫理屬性和權(quán)利體系的融貫協(xié)調(diào)，自然須審慎而為。由是觀之，在民法上，“個人信息權(quán)”之創(chuàng)設(shè)是否可行，有無必要，殊值反思?！?0〕也有個別學(xué)者認(rèn)為，個人信息權(quán)并非民法上的權(quán)利或法益，而是一種新型的公法權(quán)利，應(yīng)由《個人信息保護法》加以明確規(guī)定。參見周漢華：《個人信息保護的法律定位》，載《法商研究》2020 年第3 期，第52-53 頁。對此，需要說明的是，個人信息的法律保護涉及眾多法律部門，各個部門法所提供的保護機制均有著不同的內(nèi)在邏輯機理及價值考量，不同的保護機制之間理應(yīng)相互補充、相互配合而非相互排斥。因此，我國《民法典》雖然并沒有將個人信息明確設(shè)定為民法上的權(quán)利，但這并不影響在《個人信息保護法》中設(shè)定一項公法性質(zhì)的個人信息權(quán)。

（三）質(zhì)疑理由之三：規(guī)定“個人信息權(quán)”能夠統(tǒng)合相關(guān)權(quán)能

這種觀點認(rèn)為，個人信息權(quán)包含諸如知情同意權(quán)、更正權(quán)、刪除權(quán)等多種權(quán)能，若不規(guī)定“個人信息權(quán)”，將導(dǎo)致上述權(quán)能無法被恰當(dāng)?shù)亟y(tǒng)攝及解釋?！?1〕同前注〔8〕，葉名怡文，第147 頁。應(yīng)當(dāng)承認(rèn)，這種質(zhì)疑的確很有“殺傷力”。因為如果我們一方面認(rèn)為個人信息主體對其個人信息享有一系列權(quán)利或權(quán)能，另一方面又否認(rèn)個人信息主體享有個人信息權(quán)，難免自相矛盾。事實上，這種質(zhì)疑看似很有道理，實則難有充分的說服力。

依據(jù)我國《民法典》第1035 條和第1037 條之規(guī)定，處理個人信息需要征得該自然人或者其監(jiān)護人的同意；若發(fā)現(xiàn)信息有錯誤，該自然人有權(quán)提出異議并請求更正；若信息處理者違反法律、行政法規(guī)的規(guī)定或者雙方的約定處理其個人信息，該自然人有權(quán)請求刪除該信息。那么，能否據(jù)此斷言個人信息主體對其個人信息當(dāng)然享有知情同意權(quán)、更正權(quán)、刪除權(quán)等權(quán)利或權(quán)能呢？對此，下文嘗試以所謂的“知情同意權(quán)”為例進行說明。

誠然，知情同意是確保個人信息處理行為具有合法性的一項重要基礎(chǔ)，不過，其并非唯一之基礎(chǔ)。〔72〕同前注〔38〕，高富平文，第72 頁。依據(jù)《民法典》第1036 條之規(guī)定，若個人信息處理者所處理的信息是已經(jīng)公開的信息或者是為了維護公共利益之目的，即便沒有經(jīng)過該自然人或其監(jiān)護人的同意，行為人同樣不承擔(dān)民事責(zé)任。事實上，《民法典》第1035 條第1 項在規(guī)定知情同意規(guī)則的同時又增加了一項但書要求，即“但是法律、行政法規(guī)另有規(guī)定的除外”，以此避免該規(guī)則在實踐中被濫用。

因為一概以知情同意作為收集、利用個人信息的合法性條件，將會對個人信息的合理利用、社會公共治理等構(gòu)成嚴(yán)重掣肘?！?3〕同前注〔57〕，王葉剛文，第47-48 頁。不僅如此，知情同意規(guī)則在具體適用中也要受到一系列限制，如“受到通信自由和通信秘密憲法權(quán)利的限制，要受隱私權(quán)的限制，還要受目的原則與必要原則的限制”?！?4〕同前注〔59〕，張新寶文，第1 頁。因此，個人信息并非信息主體所能完全控制和支配，其他主體在個人信息保護法律框架下可對個人信息進行必要的收集、處理。既然如此，那種認(rèn)為個人信息主體當(dāng)然享有“知情同意權(quán)”的主張實有可商榷之余地。

退而言之，即便認(rèn)為個人信息主體享有知情同意權(quán)、更正權(quán)、刪除權(quán)等權(quán)利或權(quán)能，那么是不是就必須要在民法上規(guī)定或認(rèn)可“個人信息權(quán)”呢？事實上，這種見解同樣難以成立。在民法上，主體并不享有權(quán)利但是享有權(quán)能的現(xiàn)象所在多有。例如，我國民法學(xué)者普遍認(rèn)為，占有在本質(zhì)上并非權(quán)利，而是占有人對于物具有管領(lǐng)力的事實。為了保護此等事實狀態(tài)，使其免受他人不法侵害，法律賦予占有人一定的權(quán)能。例如，《民法典》第462 條規(guī)定，在占有物被他人侵占、占有受到妨害等情形下，占有人享有返還原物請求權(quán)、排除妨害請求權(quán)、消除危險請求權(quán)以及侵權(quán)損害賠償請求權(quán)。這樣，即便占有人并不享有占有之本權(quán)，其依然能夠享有一系列權(quán)能，以確保其占有不被他人侵害。由此可見，以權(quán)利與權(quán)能不可分離為由嘗試證成“個人信息權(quán)”的做法，在理論和邏輯上并非無懈可擊。

那么，我國《民法典》究竟有沒有規(guī)定個人信息主體對其個人信息享有一系列權(quán)利或權(quán)能呢？筆者以為，部分學(xué)者所主張的知情同意權(quán)、更正權(quán)、刪除權(quán)等權(quán)利或權(quán)能，實則是立法者針對行為人的信息處理行為所作的具體法律規(guī)制，其目的是明確行為人在處理他人信息時必須遵循的行為邊界和行為要求，從而確保個人信息主體對其個人信息所享有的防御性利益或保護性利益不受他人非法行為的侵害。一言以蔽之，個人信息主體并不享有所謂的知情同意權(quán)、更正權(quán)、刪除權(quán)等權(quán)利或權(quán)能，我國《民法典》亦沒有規(guī)定個人信息主體對其個人信息享有支配性和排他性的權(quán)利或權(quán)能。

四、結(jié)語

個人信息是自然人參與社會交往、標(biāo)識自身價值的工具，也是大數(shù)據(jù)時代的重要社會資源，其負(fù)載了眾多利益主體的不同利益需求。由于個人信息同時蘊含了個人屬性和公共屬性，故而立法者在構(gòu)建個人信息的民法保護框架時，既要為個人信息主體提供必要的保護，也要確保個人信息得到合理的流通與利用。這也說明“承認(rèn)個人信息的民法保護，并不當(dāng)然意味著民法上就要承認(rèn)自然人對個人信息的權(quán)利，更不等于必須將自然人對個人信息的權(quán)利界定為如同所有權(quán)那樣的絕對權(quán)與支配權(quán)”?！?5〕同前注〔20〕，程嘯文，第32 頁。

承認(rèn)個人信息的民法保護與承認(rèn)“個人信息權(quán)”之間之所以不能畫等號，是因為個人信息的內(nèi)涵模糊、外延寬泛，難以達(dá)到權(quán)利客體所應(yīng)具有的具體特定且界限分明的品質(zhì)要求。若在模糊、籠統(tǒng)的個人信息之上設(shè)定一項具有絕對性和排他性的“個人信息權(quán)”，勢必難以確定此項權(quán)利的內(nèi)容及界限，一方面無法為行為人劃定清晰的行為禁區(qū)，另一方面在具體適用中難免與已有的人格權(quán)體系發(fā)生混淆、沖突。因此，不宜將個人信息定性為民法上的“權(quán)利”，而應(yīng)將其界定為須受民法保護之“法益”。

在對個人信息的民法定位作出界定之后，衡諸民法原理和社會現(xiàn)實，應(yīng)當(dāng)采用行為規(guī)制模式為個人信息主體提供必要的、適度的民法保護。行為規(guī)制模式強調(diào)個人信息流通的各個環(huán)節(jié)都應(yīng)得到法律的合理介入和規(guī)制，確保個人信息不被他人非法收集或不當(dāng)利用。不僅如此，行為規(guī)制模式能夠針對不同類型的個人信息收集、利用行為采取不同程度的規(guī)制策略。這樣，既可為個人信息主體提供適度的保護，也可為行為人提供明確的合規(guī)指引和行為預(yù)期，從而能夠較好地實現(xiàn)個人信息保護和利用之間的協(xié)調(diào)與衡平。此外，行為規(guī)制模式并不會對現(xiàn)有的人格權(quán)體系形成沖擊，二者并行不悖，共同構(gòu)成完整的、嚴(yán)密的個人信息民法保護體系。