【智庫研究】王利明：個人資訊與隱私為何要區別保護

文 | 王利明 中國人民大學一級教授

隱私作為一項重要的人格權，主要是通過《民法典》人格權編的規則予以保護，並輔之以相應的單行法和司法解釋，形成周延的保護。對於個人資訊而言，由於對此種權益的保護具有公法與私法的雙重屬性，完全通過私法的保護是不全面的，其中涉及公法的管理性規範，需要公法上的協同。因此，有必要制定一部集公法規範與私法規範于一體、全面保護個人資訊的法律。2021年8月20日，十三屆全國人大常委會第三十次會議表決通過《個人資訊保護法》，並將於2021年11月1日起施行。《個人資訊保護法》是我國第一部系統、全面保護個人資訊的專門性法律，其在性質上屬於公法、私法的組合。但就《個人資訊保護法》的內容而言，大多是關於民事權利和義務的規定，就民事規範而言，《個人資訊保護法》和民法典之間的關係就是特別法與基礎法的關係，或者説是特別法與普通法的關係。

個人資訊與隱私確實存在交叉重合關係。《民法典》在第1032條關於隱私概念的規定中，已經明確提出了私密資訊的概念，並將其作為隱私權保護的重要內容之一。而《個人資訊保護法》第二章專門規定了敏感資訊處理的特殊規則，其實，敏感資訊大多屬於私密資訊。雖然如此，個人資訊不同於隱私，需要通過特別立法予以規範和保護。

二者的範圍並非完全等同。依據《民法典》第1032條第2款，“隱私是自然人的私人生活安寧和不願為他人知曉的私密空間、私密活動、私密資訊。”除私密資訊涉及敏感個人資訊以外，其他類型的隱私不涉及個人資訊。即使就部分敏感個人資訊而言，權利人可能出於特定的目的而願意公開，或已經進行了公開。這些資訊可能已經不再構成隱私，但仍然屬於敏感個人資訊。

個人資訊具有集合性。隱私通常很難具有集合性，其本身是單個主體享有的權益。基於人權保護的原因，許多國家將隱私作為基本人權對待，故一般不允許將隱私作集合化處理。而個人資訊通常可以集合在一起形成數據，無論是匿名化還是非匿名化處理，個人資訊都可成為數據。這就決定了個人資訊與大數據的關聯非常密切。從全球範圍來看，許多法律文件均採用的是個人數據權的表述，且這一術語的使用已基本在歐盟層面的立法中達成了一致。故對於個人資訊也要強調數據的流通與共用，因此，也會出現對個人資訊的匿名化處理，此時會形成純粹的數據。

個人資訊具有可利用性。與數據具有流通價值不同，隱私原則上不能利用，即使實踐中已經産生了利用隱私的情況，但利用範圍極其狹窄，並且一般也不得違背公序良俗。隱私權更強調私密性，故隱私權規則對隱私的保護程度要更強。而對於個人資訊而言，法律對於其保護與應用是並重的，既強調保護，也要注重利用和流通，故在個人資訊保護的場合利益權衡的空間要大得多。所以，對個人資訊的規範，法律要注重規範的收集、利用、儲存等處理行為。《民法典》第993條的規定中，有關人格權的商業化利用刻意未將隱私權納入，因此，原則上隱私權不得進行商業化利用。

個人資訊具有自動處理性。隱私通常不涉及大規模處理的問題，侵犯隱私通常具有個別性。現代社會中，為了社會組織、運作與管理現代化，個人資訊的大規模收集和自動處理是必須的，而社會的良序運作不以隱私的收集與自動化處理為必要。這種個人資訊的自動化處理又可能會出現演算法歧視、演算法黑箱、網路畫像的濫用等問題。有的企業採集、獲取消費者的瀏覽偏好、消費習慣等資訊，利用大數據分析、用戶畫像等方式，向消費者推送相關資訊，支配甚至誤導消費者。此類行為違反了誠實信用原則，損害了公平交易，因此，《個人資訊保護法》第24條規定，利用個人資訊進行自動化決策，不得對個人在交易價格等交易條件上實行不合理的差別待遇。通過自動化決策方式向個人進行資訊推送、商業行銷，應當同時提供不針對其個人特徵的選項，或者向個人提供便捷的拒絕方式。這就明確規定了禁止“大數據殺熟”。但隱私在一般情形下不具有上述特點，對其處理一般具有個別性和非自動處理性。故對隱私的保護需要行政介入的程度相較個人資訊更小。

個人資訊洩露的程式法應對具有特殊性。由於個人資訊往往以集合的方式出現，一旦其洩露可能會涉及大規模侵權問題，因而需要進行特殊的訴訟制度與行政的介入來處理。正是由於個人資訊具有規模性，所以個人資訊的訴訟可能會採取集體訴訟的方式來處理，也可以通過公益訴訟方式解決個人訴訟動因不足的問題，我國《個人資訊保護法》第71條專門規定了公益訴訟。

總之，由於個人資訊具有上述特殊性，難以在單一部門法中完全實現，故需要民法與行政法的結合來進行保護，這就産生了《個人資訊保護法》，它在本質上屬於領域立法。雖然隱私與個人資訊天然具有重合性，但是，這兩者具有明顯的區別，《民法典》和《個人資訊保護法》對它們進行了明確的規則界分，設置了不同的保護規則，並在適用中將産生不同的法律效果。正確理解並適用隱私權和個人資訊的規則界分，對保護人民群眾的切身利益，維護個人人格尊嚴具有重要意義。