个人信息权之私权属性与内涵思辨——以实现个人信息权益的合理保护为视角
|
摘要
个人信息与主体相关联,反映着特定自然人的身份特征,并可直接或间接地将其从群体中区分并识别出来。个人信息具有"非实体性"、"可处理性"、"可转移性"、"可反复使用与可共享性"等特征。个人信息的保护涉及信息主体利益维护与社会信息自由流动间的博弈,因此需要进行更多的利益衡量。为实现信息主体利益的恰当保护并为各方当事人提供行为指引,私法上应当将个人信息主体享有的权利确定为一项包含人身权益与财产权益的新型权利,并在宏观层面上赋予信息权利主体个人信息告知权、个人信息处理权、个人信息利用权与个人信息救济权等4个权项。
引文
[1]张里安,韩旭至.大数据时代下个人信息权的私法属性[J].法学论坛,2016(03):119.
[2][美]E·博登海默.法理学——法律哲学与法律方法[M].邓正来译.北京:中国政法大学出版社,2004:504.
[3]齐爱民.拯救信息社会中的人格[M].北京:北京大学出版社,2009:48,84-85.
[4]范为.大数据时代个人信息保护的路径重构[J].环球法律评论,2016(05):100-101.
[5]高富平,王文祥.出售或提供公民个人信息入罪的边界──以侵犯公民个人信息罪所保护的法益为视角[J].政治与法律,2017(02):48.
[6] Jay M. Feinman, Doctrinal Classification and Economic Negligence”[J].33SanDiegoL.Rev.137(1996):138-139.
[7]郭明龙.个人信息权利的侵权法保护[M].北京:中国法制出版社出版社,2012:37.
[8]王泽鉴.人格权法[M].北京:北京大学出版社,2013:198-199.
[9][德]迪特尔·梅迪库斯.德国民法总论[M].邵建东译.北京:法律出版社,2000:62.
[10]吴文嫔.论民法法益[J].国家检察官学院学报.2004(04):8.
[11][英]边沁.道德与立法原理导论[M].时殷弘译.北京:商务印书馆,2000:58.
[12]程啸.论大数据时代的个人数据权利[J].中国社会科学,2018(03):114.
[13]王泽鉴.民法总则[M].北京:中国政法大学出版社,2001:121.
[14][美]罗斯科·庞德.通过法律的社会控制[M].沈宗灵,等译.北京:商务印书馆,1984:58.
[15][德]伯恩·魏德士.法律学[M].丁晓春,吴越译.北京:法律出版社,2013:中文导读部分Ⅻ.
[16] Warrant&Brandies. The right to privacy[J]. 4 Harv L.Rev, 193(1890):195.
[17] Dan B.Dobbs, The Law of Torts[M].West Group, 2000:1197.
[18] Victor E. Schwartz. Case and Materials-prosser, Wade and Schwartz’s Torts[M].11th ed. Foundation Press, NY,2005:943-948.
[19]王利明.隐私权概念的再界定[J].法学家,2012(01):108.
[20]尹志强.网络环境下侵害个人信息的民法救济[J].法律适用,2013(08):10-11.
[21]马特.个人资料保护之辩[J].苏州大学学报,2012(06):82-83.
[22] Daniel J. Solove, Conceptualizing Privacy[J]. 90 Cal.L.Rev.1087(2002):1099-1117.
[23]王利明.论个人信息权在人格权法中的地位[J].苏州大学学报,2012(06):73.
[24][德]卡尔·拉伦茨.德国民法通论[M].王晓哗,等译.北京:法律出版社,2003:171.
[25]Vgl. Buchner, Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, 2006:30-31.
[26]王利明.论个人信息权的法律保护──以个人信息权与隐私权的界分为中心[J].现代法学,2013(04):64.
[27]王泽鉴.人格权的具体化及其保护范围·隐私权篇(中)[J].比较法研究,2009(01):8.
[28]贺栩栩.比较法上的个人数据信息自决权[J].比较法研究,2013(02):64.
[29]杨芳.个人信息自决权理论及其检讨——兼论个人信息保护法之保护客体[J].比较法研究,2015(06):28.
[30]张里安,韩旭至.大数据时代下个人信息权的私法属性[J].法学论坛,2016(03):120.
[31]Pamela Samuelson,Privacy as intellectual property[J].52 Stanford law review. 1125(2000):1125.
[32]Marshall Mcluhan,Understanding Media:The Extensions of Man[M].Mentor Books, New York, 1964:4.
(1)我国法律已经确认,“个人信息”仅指自然人之信息,不包括法人及其他组织的信息,参见《公共及商用服务信息系统个人信息保护指南》等法律文件。
(1)被各国法律文件广泛认可的个人信息通常包括:姓名、电话号码、住址、民族、护照号、身份证号码、驾驶证号、婚育情况、家庭成员、教育背景、职业违法犯罪记录等个人社会存在、交往信息;IP地址、登陆账户、邮件地址、浏览网页、私人活动、运动轨迹等社会活动信息;出生日期、性别、血型、指纹、基因、缺陷等生物特征信息;账单、收入、负债、财产状况、信用评级、消费记录、银行账号等财产信息;健康检查资料、病历资料等医疗信息。
(2)近年来,我国司法实践中已经出现利用“可识别性”标准来判断涉诉信息是否属于个人信息的诸多案例。如江苏朱某诉北京某度网讯科技有限公司案”中,二审法院认为本案中的cookie技术是一项合法的、基础性的、中立的工具,某度公司所搜集的仅是不可识别的网络行为碎片化信息,而非现实世界中具体的个人信息,根本不可能与朱某发生对应识别关系。即某度公司获得的搜索关键词是被匿名化的信息。据此可以推断“不具有识别性的信息”的案件事实成为本案裁判的关键。详见:江苏省南京市中级人民法院民事判决书(2014)宁民终字第5028号。
(3)参见《欧盟数据保护指令》前言部分。
(1)该《指南》3.7中规定:“个人敏感信息(personal sensitive information)一旦遭到泄露或修改,会对标识的个人信息主体造成不良影响的个人信息。各行业个人敏感信息的具体内容根据接受服务的个人信息主体意愿和各自业务特点确定。例如个人敏感信息可以包括身份证号码、手机号码、种族、政治观点、宗教信仰、基因、指纹等。”3.8中规定:“个人一般信息(personal general information)除个人敏感信息以外的个人信息。”
(2)详见《指南》:5.2.3:处理个人信息前要征得个人信息主体的同意,包括默许同意或明示同意。收集个人一般信息时,可认为个人信息主体默许同意,如果个人信息主体明确反对,要停止收集或删除个人信息;收集个人敏感信息时,要得到个人信息主体的明示同意。5.2.7:不直接向未满16周岁的未成年人等限制民事行为能力或无行为能力人收集个人敏感信息,确需收集其个人敏感信息的,要征得其法定监护人的明示同意。
(3)我国的《征信业管理条例》就有针对敏感信息禁止采集的规定,第十四条:“禁止征信机构采集个人的宗教信仰、基因、指纹、血型、疾病和病史信息以及法律、行政法规规定禁止采集的其他个人信息。”
(1)也有学者将其称为:“私密领域”、“私人领域”、“个人领域”,其中“个人领域”主要涉及个人自主、自决的权利,特别是个人可以自我决定在大众面前的自我面貌和表现方式;“私人领域”主要涉及私人的生活空间与住宅、个人与家人的关系;“私密领域”涉及个人思想、情感与认知的表达,通常如信件、日记等。参见:贺栩栩《比较法上的个人数据信息自决》,载《比较法研究》,2013年第2期,第67页。
(2)在《欧盟通用数据保护条例》中,该方案被描述为“消费者预期与风险规制”的方案。参见丁晓东《什么是数据权利?——从欧洲,<一般数据保护条例>看数据隐私的保护》,载《华东政法大学学报》,2018年第4期,第50-53页。
(1)已有众多国内外学者论证了仅仅通过侵权法对个人信息进行消极救济的弊端,著名如美国学者Lawrence lessig。
(1)美国法上“隐私权”一词肇始于De May v. Roberts11(46 Mich. 160, 9 N.W. 146 Mich(.1881))一案。
(1)我国司法实践中,亦有诸多案例通过将相关涉诉法益划归为“隐私权”、“隐私信息”或“隐私利益”来进行裁判者,例如:江苏省“戴某某与汤某某名誉权纠纷案”(2014)泰海民初字第1676号,涉诉信息包括个人身份信息、家庭地址、工作电话、单位电话、住房公积金等信息,最终法院以隐私信息进行裁判。但笔者认为此案仅仅具有个案意义,并不可从其中窥见立法倾向。况且,某些个案中之所以选择隐私信息、隐私资料的原因在于我国目前缺乏《个人信息保护法》,立法上缺乏个人信息私权定性的明确法律指引,而此时的隐私路径可谓一种路径依赖和折中之选。
(2)NJW1984,419.该案的基本案情是:1983年,政府依据此前颁行的《人口普查法》全面收集相关公民信息,调查内容包括姓名、年龄、住所、职业、信仰等,范围甚广,引发民众极其不安和不满,便以《人口普查法》违反宪法为由提起违宪审查。
(1)《欧盟数据指南》第十二条就是对访问权的规定,而在《欧盟通用数据保护条例》中则反映于第十五条。
[2][美]E·博登海默.法理学——法律哲学与法律方法[M].邓正来译.北京:中国政法大学出版社,2004:504.
[3]齐爱民.拯救信息社会中的人格[M].北京:北京大学出版社,2009:48,84-85.
[4]范为.大数据时代个人信息保护的路径重构[J].环球法律评论,2016(05):100-101.
[5]高富平,王文祥.出售或提供公民个人信息入罪的边界──以侵犯公民个人信息罪所保护的法益为视角[J].政治与法律,2017(02):48.
[6] Jay M. Feinman, Doctrinal Classification and Economic Negligence”[J].33SanDiegoL.Rev.137(1996):138-139.
[7]郭明龙.个人信息权利的侵权法保护[M].北京:中国法制出版社出版社,2012:37.
[8]王泽鉴.人格权法[M].北京:北京大学出版社,2013:198-199.
[9][德]迪特尔·梅迪库斯.德国民法总论[M].邵建东译.北京:法律出版社,2000:62.
[10]吴文嫔.论民法法益[J].国家检察官学院学报.2004(04):8.
[11][英]边沁.道德与立法原理导论[M].时殷弘译.北京:商务印书馆,2000:58.
[12]程啸.论大数据时代的个人数据权利[J].中国社会科学,2018(03):114.
[13]王泽鉴.民法总则[M].北京:中国政法大学出版社,2001:121.
[14][美]罗斯科·庞德.通过法律的社会控制[M].沈宗灵,等译.北京:商务印书馆,1984:58.
[15][德]伯恩·魏德士.法律学[M].丁晓春,吴越译.北京:法律出版社,2013:中文导读部分Ⅻ.
[16] Warrant&Brandies. The right to privacy[J]. 4 Harv L.Rev, 193(1890):195.
[17] Dan B.Dobbs, The Law of Torts[M].West Group, 2000:1197.
[18] Victor E. Schwartz. Case and Materials-prosser, Wade and Schwartz’s Torts[M].11th ed. Foundation Press, NY,2005:943-948.
[19]王利明.隐私权概念的再界定[J].法学家,2012(01):108.
[20]尹志强.网络环境下侵害个人信息的民法救济[J].法律适用,2013(08):10-11.
[21]马特.个人资料保护之辩[J].苏州大学学报,2012(06):82-83.
[22] Daniel J. Solove, Conceptualizing Privacy[J]. 90 Cal.L.Rev.1087(2002):1099-1117.
[23]王利明.论个人信息权在人格权法中的地位[J].苏州大学学报,2012(06):73.
[24][德]卡尔·拉伦茨.德国民法通论[M].王晓哗,等译.北京:法律出版社,2003:171.
[25]Vgl. Buchner, Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, 2006:30-31.
[26]王利明.论个人信息权的法律保护──以个人信息权与隐私权的界分为中心[J].现代法学,2013(04):64.
[27]王泽鉴.人格权的具体化及其保护范围·隐私权篇(中)[J].比较法研究,2009(01):8.
[28]贺栩栩.比较法上的个人数据信息自决权[J].比较法研究,2013(02):64.
[29]杨芳.个人信息自决权理论及其检讨——兼论个人信息保护法之保护客体[J].比较法研究,2015(06):28.
[30]张里安,韩旭至.大数据时代下个人信息权的私法属性[J].法学论坛,2016(03):120.
[31]Pamela Samuelson,Privacy as intellectual property[J].52 Stanford law review. 1125(2000):1125.
[32]Marshall Mcluhan,Understanding Media:The Extensions of Man[M].Mentor Books, New York, 1964:4.
(1)我国法律已经确认,“个人信息”仅指自然人之信息,不包括法人及其他组织的信息,参见《公共及商用服务信息系统个人信息保护指南》等法律文件。
(1)被各国法律文件广泛认可的个人信息通常包括:姓名、电话号码、住址、民族、护照号、身份证号码、驾驶证号、婚育情况、家庭成员、教育背景、职业违法犯罪记录等个人社会存在、交往信息;IP地址、登陆账户、邮件地址、浏览网页、私人活动、运动轨迹等社会活动信息;出生日期、性别、血型、指纹、基因、缺陷等生物特征信息;账单、收入、负债、财产状况、信用评级、消费记录、银行账号等财产信息;健康检查资料、病历资料等医疗信息。
(2)近年来,我国司法实践中已经出现利用“可识别性”标准来判断涉诉信息是否属于个人信息的诸多案例。如江苏朱某诉北京某度网讯科技有限公司案”中,二审法院认为本案中的cookie技术是一项合法的、基础性的、中立的工具,某度公司所搜集的仅是不可识别的网络行为碎片化信息,而非现实世界中具体的个人信息,根本不可能与朱某发生对应识别关系。即某度公司获得的搜索关键词是被匿名化的信息。据此可以推断“不具有识别性的信息”的案件事实成为本案裁判的关键。详见:江苏省南京市中级人民法院民事判决书(2014)宁民终字第5028号。
(3)参见《欧盟数据保护指令》前言部分。
(1)该《指南》3.7中规定:“个人敏感信息(personal sensitive information)一旦遭到泄露或修改,会对标识的个人信息主体造成不良影响的个人信息。各行业个人敏感信息的具体内容根据接受服务的个人信息主体意愿和各自业务特点确定。例如个人敏感信息可以包括身份证号码、手机号码、种族、政治观点、宗教信仰、基因、指纹等。”3.8中规定:“个人一般信息(personal general information)除个人敏感信息以外的个人信息。”
(2)详见《指南》:5.2.3:处理个人信息前要征得个人信息主体的同意,包括默许同意或明示同意。收集个人一般信息时,可认为个人信息主体默许同意,如果个人信息主体明确反对,要停止收集或删除个人信息;收集个人敏感信息时,要得到个人信息主体的明示同意。5.2.7:不直接向未满16周岁的未成年人等限制民事行为能力或无行为能力人收集个人敏感信息,确需收集其个人敏感信息的,要征得其法定监护人的明示同意。
(3)我国的《征信业管理条例》就有针对敏感信息禁止采集的规定,第十四条:“禁止征信机构采集个人的宗教信仰、基因、指纹、血型、疾病和病史信息以及法律、行政法规规定禁止采集的其他个人信息。”
(1)也有学者将其称为:“私密领域”、“私人领域”、“个人领域”,其中“个人领域”主要涉及个人自主、自决的权利,特别是个人可以自我决定在大众面前的自我面貌和表现方式;“私人领域”主要涉及私人的生活空间与住宅、个人与家人的关系;“私密领域”涉及个人思想、情感与认知的表达,通常如信件、日记等。参见:贺栩栩《比较法上的个人数据信息自决》,载《比较法研究》,2013年第2期,第67页。
(2)在《欧盟通用数据保护条例》中,该方案被描述为“消费者预期与风险规制”的方案。参见丁晓东《什么是数据权利?——从欧洲,<一般数据保护条例>看数据隐私的保护》,载《华东政法大学学报》,2018年第4期,第50-53页。
(1)已有众多国内外学者论证了仅仅通过侵权法对个人信息进行消极救济的弊端,著名如美国学者Lawrence lessig。
(1)美国法上“隐私权”一词肇始于De May v. Roberts11(46 Mich. 160, 9 N.W. 146 Mich(.1881))一案。
(1)我国司法实践中,亦有诸多案例通过将相关涉诉法益划归为“隐私权”、“隐私信息”或“隐私利益”来进行裁判者,例如:江苏省“戴某某与汤某某名誉权纠纷案”(2014)泰海民初字第1676号,涉诉信息包括个人身份信息、家庭地址、工作电话、单位电话、住房公积金等信息,最终法院以隐私信息进行裁判。但笔者认为此案仅仅具有个案意义,并不可从其中窥见立法倾向。况且,某些个案中之所以选择隐私信息、隐私资料的原因在于我国目前缺乏《个人信息保护法》,立法上缺乏个人信息私权定性的明确法律指引,而此时的隐私路径可谓一种路径依赖和折中之选。
(2)NJW1984,419.该案的基本案情是:1983年,政府依据此前颁行的《人口普查法》全面收集相关公民信息,调查内容包括姓名、年龄、住所、职业、信仰等,范围甚广,引发民众极其不安和不满,便以《人口普查法》违反宪法为由提起违宪审查。
(1)《欧盟数据指南》第十二条就是对访问权的规定,而在《欧盟通用数据保护条例》中则反映于第十五条。