大数据时代下敏感个人信息的私法保护研究
时间：2022-11-18 18:35:03 来源：雅意学习网 本文已影响 人 
刘宇程 闫 港
安徽大学，安徽 合肥 230031
由于数字社会的不断发展，个人信息逐渐成为一种财产资源，在各数据平台中飞速流动，为人们提供生活便利的同时，也造成了严重的信息侵权问题。《个人信息保护法》细化了个人信息民事救济，也构建了国家监管部门的行政监管机制，具有公法和私法双重属性。其私法规范又与《民法典》存在一般和特别的关系。在《个人信息保护法》出台之前，《民法典》在民事权利中已经明确规定个人信息权益受法律保护，同时还在人格权编中将个人信息与隐私权作为并列的权益进行区别保护。
个人信息权益作为民事权益的重要组成部分，对其进行保护适用于《民法典》的有关私法规范。《个人信息保护法》主要目的在于平衡信息利用与信息保护之间的矛盾。其公法内容中明确规定国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。但其主要目的为造成信息损害后的行政机关追责。虽然对于敏感个人信息规定了特殊的单独同意处理规则，但是在同意之后的信息利用，依旧只能靠行政部门的被动监管。敏感个人信息与人格权益具有更加密切的联系，如果遭到非法利用更容易导致自然人的人格权益和财产权益受到损害。因此，对于敏感个人信息私法保护的问题，《个人信息保护法》有规定时应优先适用，对于信息处理前保护、严重精神损害赔偿等没有相关规定的，需要在《民法典》的框架之下开展保护。
我国《个人信息保护法》采取敏感和一般的分类方式，二者区分的关键在于所蕴含信息的敏感度，即该信息对于个人容易造成损害的程度。敏感度受不同的社会背景和历史文化传统影响具有一定的差异性，因此对于敏感个人信息的内容，各国的规定也不尽相同。我国《个人信息保护法》第28条根据实际保护需求，在总结其他国家立法经验的基础之上，对敏感个人信息的界定采用“概括+列举”的方式规定，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满14周岁未成年人的个人信息。敏感个人信息与特定语境和信息社会发展密切相关，立法难以穷尽所有敏感个人信息的种类。对于敏感个人信息的内涵确定，应当结合其本质，制定动态标准。
2.1 可识别性
个人信息之所以需要被保护，就在于通过其能够识别特定人的身份，当泄露或非法利用时可能会扰乱他人生活安宁，损害他人人格权益。可识别性是个人信息的最主要特征，如果通过某些信息无法识别特定的人，就不能称为个人信息，更不属于敏感个人信息。为保护个人信息在各数据平台利用、共享、提取过程中不受侵害，《个人信息保护法》规定在处理个人信息时应当采取相应的加密、去标识化等安全技术措施。
但是随着大数据时代的发展，各数据平台为吸引更多顾客流量，逐渐形成数据共享和数据提取机制。当单个平台收集的部分个人信息汇聚在同一信息系统内，通过收集、提取、匹配等综合手段从而识别特定的自然人，根据个人综合信息为其推送相应的服务，从而提高经济效益。虽然个人信息处理者在处理个人信息时会与用户签订信息使用许可协议，但是在实际的信息利用过程中，处理者极易根据所获取的信息，通过提取、分析等信息手段掌握其他个人信息。例如，地图应用获取的最直接信息为个人行踪轨迹，同时通过个人所经过的医院、宗教场所极易判断个人的宗教信仰、医疗健康等敏感个人信息。因此，在保护敏感个人信息时，不能采用全有全无的方式，而应当结合特定的信息处理背景，判断敏感个人信息是否受到侵害。
2.2 易受侵害性
我国《个人信息保护法》第28条关于敏感个人信息明确规定，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息属于敏感信息。在信息处理者对数据处理过程中，敏感个人信息相较于一般个人信息往往具有更高的利用价值，受侵害的可能性也更大。例如，如果仅掌握个人姓名、联系方式等一般信息，对于购物平台信息处理者而言，很难判断个人信息所蕴含的经济价值。但是结合金融账户、特定身份等敏感个人信息，可进一步推断购买能力，从而通过向特定人推送相匹配的产品和服务，实现经济效益最大化。敏感个人信息蕴含着更大的经济价值，使得敏感个人信息的非法买卖相对于一般个人信息更加猖獗，同时对自然人的人格尊严和人格自由危害性也更大。
在《个人信息保护法》实施之前，生物识别信息只能引用其他法律规范进行保护。但是随着人脸识别技术的普及，传统的保护标准很难实现对生物识别信息的有效保护。在《信息安全技术个人信息安全规范》中初步规定了生物识别信息的具体内涵，表示生物识别信息所蕴含的人格权益内容更加丰富，但是易受侵害的可能性和损害后果也更大。无论是一般个人信息还是敏感个人信息，都有可能在信息处理过程中造成泄漏或者滥用，但是一般个人信息可能仅仅会导致生活安宁受到轻微的干扰，而敏感个人信息的侵害可能会导致人格权益严重受损，甚至还可能对自然人精神造成严重损害。
2.3 结合特定场景性
敏感个人信息是数据社会时代不断发展的产物，对于其特殊性内容应当按照实际的保护需要制定动态标准。信息的敏感性并非与生俱来的，而是由一定的社会背景和历史传统所赋予的。例如，美国为防止出现种族歧视现象，在制定有关个人信息保护的法律时，往往会将“人种和种族”纳入敏感个人信息的范畴。由于我国未成年网民的数量不断增加且网民逐渐呈现“低龄化”的趋势，在敏感个人信息内涵的举例过程中，就明确规定不满14周岁的未成年的个人信息属于敏感个人信息。
在《信息安全技术公共及商用服务信息系统个人信息保护指南》中首次对敏感个人信息进行了明确规定，即一旦泄露或者修改会对标识的个人信息主体造成不良影响的个人信息，如身份号码、手机号码、种族、政治观点、宗教信仰、基因、指纹等。在人脸识别、语音解锁等信息技术出现后，为满足实际的信息保护需要，《个人信息保护法》又将生物识别信息纳入敏感个人信息之中。因此，在敏感个人信息的界定过程中应当结合实际的社会场景，如信息利用主体、利用目的、损害可能性、损害后果等众多内容。在法律的实际适用中判断侵犯的是否属于敏感个人信息，应当牢牢把握该信息泄露是否容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害这一核心概念，并结合信息实际利用场景以及社会所公认的危害程度进行认定。
随着《民法典》与《个人信息保护法》的相继出台，我国的个人信息保护体系逐步构建起来。但是在实践中，个人信息的法律属性存在争议，敏感个人信息作为特殊类型的个人信息，其保护方式也间接受到影响。敏感个人信息法律属性的确定，尤其探究私法属性内涵，对于敏感个人信息保护具有十分重要的意义。
3.1 人格权益属性
敏感个人信息天然具备人格属性，原因在于敏感个人信息具备识别、标表特定自然人的特性，如姓名、肖像、个人自由、人格利益等多与敏感个人信息密切相关，并且个人信息部分也被编入《民法典》人格权编。但是，与传统民法所探讨的人格权相比，敏感个人信息又具有其自身特征。传统人格权强调依附于人本身，敏感个人信息不仅独立于人本身，而且在数字社会，与对个人外在的自然评价和社会认同也密切相关。
3.2 财产利益属性
大数据时代的互联网是开放和流通的，信息处理者可以利用网络技术手段，实现敏感个人信息跨越时间和空间因素的快速流动。流动是商业上交换价值产生的基础，敏感个人信息在经过信息化流动处理后便具备了经济价值。相较于传统民法所讨论的财产权，敏感个人信息的财产属性具有新特点，当个人单独拥有时，这些信息是不会产生经济价值的，只有信息经过采集分析和加工利用等活动并且进行一定的流通后，敏感个人信息的财产价值才会凸显出来。换言之，流通性是信息财产化的必要条件，敏感个人信息只有在独立于人的身体之外，同时经过信息化流通处理后才具有财产性。
3.3 双重利益属性
对于敏感个人信息的法律属性，单纯地认定为人格权益或者财产权益都可能有失偏颇。首先，《民法典》对个人信息范畴中私密信息的保护虽参照了隐私权的规定，但私密信息和敏感个人信息的概念和范围存在争议，将敏感个人信息盲目纳入隐私权的范畴，存在一定的缺陷。其次，敏感个人信息自身蕴含着人格利益和财产利益，将敏感个人信息的法律属性片面认定为人格权益或财产权益都难以服众。只有将两种学说相互结合，才能全面体现敏感个人信息的法律属性，从而达到对其周密的保护。最后，从事实角度来看，敏感个人信息必须依附于特定的人，具有人格特征。从法律角度来看，《民法典》将个人信息置于人格权编，认可个人信息的人格权特征。从两个角度都能体现个人信息的人格权属性。另外，在大数据时代，敏感个人信息在被商业化利用后，信息处理者将信息以商品数据的形式进行交易从而获得经济利润，其财产价值日益凸显。敏感个人信息是独立于人的身体以外可以识别特定自然人的信息，它与对人的个体评价和社会认同相关；
同时流动是信息财产化的必要条件，敏感个人信息只有在加工、利用和整合等活动的信息化处理后，被二次利用或者买卖时才会体现财产属性。因此，只有在人格权益和财产权权益结合的背景下，才能更好认定敏感个人信息的法律属性，进而实现敏感个人信息保护和利用之间的平衡。
4.1 敏感个人信息的人格权禁令适用
我国《民法典》为充分保护人格权，在借鉴《反家庭暴力法》的基础之上，从人身安全保护令的制度之中，探索出人格权禁令制度。人格权禁令并不是对《民法典》第995条关于人格权请求权的重复，其并未规定明确的过错和损害要件内容，它是为高效率的预防侵害人格权行为所构建的新型保护机制。对于人格权禁令适用的范围，还存在较大争议。程啸认为，人格权益与人格权的范围不同，人格权禁令适用于具体的人格权而非宽泛的人格权益，对于个人信息以及其他基于人格自由和人格尊严产生的权益不能适用人格权禁令。朱虎认为，如果人格权禁令适用范围仅仅局限于几种具体人格权，不包括其他人格利益，可能会导致个人信息、声音等人格利益需要高效保护时无法获得及时救济。
关于人格权禁令的适用范围，大多数学者都考虑到了个人信息保护的问题，但是大部分都过于笼统，并未对个人信息不同分类展开讨论。《民法典》将个人信息分为一般个人信息和私密信息，《个人信息保护法》将个人信息分为敏感个人信息和非敏感个人信息，其分类标准都与人格权紧密相关。尤其是私密信息，《民法典》明确规定对私密信息保护优先适用隐私权的内容，其与人格权的关系极为密切。同时对于敏感个人信息而言，正是因为其与人格尊严具有更加密切的联系，《个人信息保护法》才对其予以特殊规定。敏感个人信息的利用虽然规定了事前同意原则，但对于受到现实、紧迫的侵害行为，需要寻求高效、便捷的保护路径时，人格权禁令可能成为最优选择。
4.2 敏感个人信息的精神损害赔偿适用
我国《个人信息保护法》第69条明确规定处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。该条款对于侵权责任人以及归责原则都做出了具体规定，这为被侵权的人举证提供了便利，但是就具体的赔偿内容并未做出更加细致的规定，尤其是在精神损害赔偿方面。对于个人信息权益的精神损害赔偿，一般认为必须在达到严重精神损害时才可以适用《民法典》第1183条的规定。但是在个人信息权益的精神损害适用过程中，依旧存在一些困境。关键在于精神损害赔偿认定标准，必须达到严重程度，相较于具体人格权，个人信息权益在实际的法院判决中很难被认定为有严重精神损害的可能性。例如，在“朱某与某公司隐私纠纷案”中，法院认为朱某无法提供该公司的信息服务行为对其造成严重精神损害的事实，驳回其精神损害的主张。
为更好地保护个人信息权益，适用精神损害赔偿具有一定的必要性。个人信息作为一种社会资源，在数据时代呈现碎片化流通状态，但是如果将其汇聚，就极易识别特定人的身份、行动轨迹、财政状况等隐私。个人信息权益与人格尊严、人格自由等人格权直接相关，当受到侵害时极易造成自然人的严重精神痛苦。就敏感个人信息与私密信息而言，二者都体现着更高的人格尊严，因此所造成的精神损害程度极易达到严重程度。因此，在个人信息尤其是敏感个人信息受损时，应当根据实际的损害后果来确定财产损害赔偿和精神损害赔偿。对于个人信息侵权的精神损害赔偿，《个人信息保护法》并未明确规定，但是在实际的应用中可以在《民法典》第1183条的框架之下进行应用。
4.3 敏感个人信息的侵权责任原则适用
《民法典》第1165条规定了“过错推定原则”，而《个人信息保护法》第69条的规定就属于过错推定原则的具体适用，该规则与《民法典》相衔接，共同构成了个人信息权益侵权的归责原则。《个人信息保护法》充分结合信息处理中的保护困境，规定了过错推定的归责原则，对于个人信息保护具有重要意义。在信息社会，自然人通过为信息处理者提供个人信息，从而获得便利的网络服务。但是信息运营具有一定的专业性和隐蔽性，当个人信息权益受到损害时，自然人很难举证信息处理者在处理信息过程中有侵权行为。因此，通过举证责任倒置，要求信息处理者举证其在信息处理过程中没有过错，更有利于个人信息权益的保护。同时为平衡个人信息处理和保护的关系，提高信息利用者的创新积极性和信息处理效率，个人信息权益保护的侵权归责原则，并未采用无过错原则。《个人信息保护法》的过错推定原则只是《民法典》中关于侵权责任原则的具体化，关于其他个人信息保护的责任成立依旧要在《民法典》侵权责任编的内容下展开。
由于敏感个人信息具有特殊性，其所蕴含的个人信息价值较一般个人信息大。因此，在各信息处理者处理个人信息过程中，极易产生共同侵权问题。《个人信息保护法》第20条明确规定了共同信息侵权的连带责任，但该规定应当在《民法典》的侵权责任编之下展开。《民法典》第1168条至1172条对于共同侵权问题做出了更加细致的规定，因此，对于敏感个人信息的共同侵权问题可以援引《民法典》的相关保护规定。
猜你喜欢 人格权信息处理保护法 《中华人民共和国湿地保护法》6月1日起正式实施现代经济信息(2022年16期)2022-11-13我国将加快制定耕地保护法今日农业(2022年13期)2022-11-10民法典人格权编的重要社会价值浙江人大(2020年7期)2020-08-03人格权是民法典分则编纂的重中之重中国经济报告(2018年6期)2018-11-06管好“熊孩子”，人人有责瞭望东方周刊(2017年20期)2017-06-07人格权的商业价值怎样体现人民论坛(2016年29期)2016-12-22电子信息工程与计算机网络技术艺术科技(2016年9期)2016-11-18S模式空管二次雷达询问与监视技术研究数字技术与应用(2016年9期)2016-11-09大数据时代下计算机信息处理技术的应用数字技术与应用(2016年9期)2016-11-09
