論個人信息保護的目的
——以個人信息保護法益區分為核心

伴隨大數據時代的到來，個人信息（又稱“個人數據”，本文混同使用）保護問題成為熱點話題?！蛾P于加強網絡信息保護的決定》《中華人民共和國消費者權益保護法》（以下簡稱《消費者權益保護法》）、《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》）等法律確立了一個基本規則：未經同意不得收集和使用個人信息。該規則暗含著個人對于個人信息具有支配權，未經同意收集和使用個人信息即屬于侵權。2014年最高人民法院公布《關于審理利用信息網絡侵害人身、權益民事糾紛案件適用法律若干問題的規定》（以下簡稱《信息網絡侵權規定》），試圖將侵犯個人信息作為獨立的侵權類型，公開個人信息致人損害即構成侵權。以公開作為侵犯個人信息的加害行為，暗示著《信息網絡侵權規定》將個人信息保護等同于隱私保護?！吨腥A人民共和國民法總則》（以下簡稱《民法總則》）只是宣布個人信息應當受法律的保護，并未將個人信息明確為一種具體人格權。

那么，個人信息保護與隱私保護是否為一回事，擅自公開個人信息或者未經同意使用個人信息是否都構成侵權？這涉及個人信息的法律定性以及個人信息上需要保護的法益問題，而回答這個問題又關系著對個人信息保護的理解和個人信息保護法的定位。

個人信息及其法律屬性

個人信息是指可識別具體個人（僅指自然人）的信息。在美國，個人信息被稱為“個人可識別信息”，歐盟《統一數據保護條例》（以下簡稱《條例》）將個人數據定義為“與已識別或者可識別數據主體相關的任何數據”。識別指的是根據與特定人有關的信息來認識、辨識或指認該特定個人，英文統一表述為“Identity”，包括識別個人身份和個性特征兩個方面。

個人信息是社會交往和社會運行的必要工具或媒介。個人需要運用一些信息標識其為某人，而社會也需要利用信息來識別某個特定個人，這兩個方面構成個人信息應用的基本場景。工具性質決定了個人信息的社會性、公共性。網絡、傳感器等記錄的與個人有關的活動、瀏覽記錄，只是與特定個人產生了聯系，賦予該信息某種含義，而不足以使該個人對該記錄信息擁有排他支配權。即使直接可以標識個人身份的信息，個人也不享有支配權。以姓名為例，姓名是最直接標識自然人的標識符（文字），它具有等同于本人或代表本人的功能，雖然法律賦予個人以姓名權，但并不包括對姓名信息的支配權。與特定個人有聯系并不足以導致個人對該信息的壟斷，法律沒有理由賦予個人對個人信息的排他支配權。恰恰相反，一個人的聯系方式、過往經歷、性格習慣等一直被認為是認識和了解一個人的途徑。

因此，個人信息的識別功能決定的是個人信息本身的社會屬性而非個人屬性，個人對個人信息并不當然地享有支配性權利。對于個人信息保護而言，需要尋找其他的法益來奠定個人保護的正當性基礎。

個人信息保護的基本目的：保護人的尊嚴

在尋求個人數據保護的法律理由方面，權威的國際立法文件和主要國家的立法均將個人數據保護定位于對人的尊嚴的保護，認為在個人數據上存在一個自然人最值得受法律保護、最重要的法益，即人的尊嚴。聯合國1948年發布的《世界人權宣言》第12條被普遍視作保護個人信息的法律淵源。歐洲委員會于1981年發布了《個人數據自動化處理中的個人保護公約》（以下簡稱《公約》），《公約》2012年修改后，取消了“尤其是隱私權”，表述為“捍衛每個人的個人尊嚴和保護基本人權和基本自由，尤其是通過對其數據及其處理的控制權來實現保護”，也就是借助“個人數據及其處理的控制權”手段，實現“保護基本人權和基本自由”的目的?！稓W盟基本人權憲章》（以下簡稱《憲章》）明確地將“個人數據保護權”作為一項獨立的基本權利加以保護。歐盟1995年《數據保護指令》（以下簡稱《指令》）和2016年《條例》，均肯定“保護自然人的基本權利和自由”，只是“尤其”表述不一致，由“尤其保護有關個人數據處理中的隱私權”改為“尤其保護個人數據的權利”。個人數據保護的目的是人權法或憲法意義上的“個人基本權利和自由”，它最終根源于對“人的尊嚴”的保護。

“人的尊嚴”源自人應當被獨立、平等、有尊嚴地對待的普遍價值觀。我們不能抽象地講保護個人信息是保護個人基本權利、保護自由和平等，而是要找到個人信息與這些普遍價值的聯系，尋找這些普遍價值與私人權益的聯系。筆者將個人信息上存在的受法律保護的基本權益歸類為以下三個方面：

1. 個人自治（自由）

個人雖然不能阻止他人使用其個人信息，但是，由于個人信息關涉到個人利益，因此其應當屬于個人事務，屬于個人獨立自主決定的范疇。1983年德國聯邦憲法法院在“人口普查案”中確立的“信息自決權”，開啟了個人有權決定個人數據如何被使用的先河。個人信息自決權實際上是為了防止個人信息“被處理”，個人享有不受自動化處理結果約束的權利。如果商業機構隨意自動地收集個人信息并對個人作出決定，就等于將人（主體）作為被動的可“被處理”的東西，這是對人的獨立自主的蔑視，是對人的尊嚴和自由的侵犯。

2. 身份（識別）利益

由于身份（以姓名為核心的識別體系）是一個人開展社會活動的前提，也是社會將其活動結果歸屬于特定主體的工具，身份利益使得個人有權使用標識自己身份的符號開展社會活動并將其活動結果歸屬于其本人。例如，以姓名為核心的身份識別體系是一個人在社會中生存的根基，法律需要保護這種身份識別所產生的利益（包括精神利益和經濟利益）。廣泛存在的“用戶畫像”行為利用自動化分析工具得出的結論不全面、不正確、不符合真實個體的現實情況，會產生身份認知上的錯誤，還有可能損害相應個人的名譽，對其人格、信譽等方面產生負面影響。

3. 不歧視（平等）

在網絡環境下，個人很難再有真正的隱私，每個人都變得透明。而這樣一個透明的社會，更容易產生深層次的歧視，有些個人情況會成為企業招聘時考量一個人的隱形標準，如性取向、政治傾向、宗教信仰、星座等。通過對每個用戶進行全面深度的了解，數據控制人還可以制定不同的交易價格。最近熱議的大數據“殺熟”，就屬于不合商業倫理的一種個人信息利用行為。在數據帶給人們精準決定權的同時，如何防止新型歧視也成為數據保護研究者所關注的領域。

我國立法沒有對個人數據保護的這三類權益進行明確闡釋，至少現行個人信息保護立法缺少對這些法益的揭示，而隱私和安全利益反倒成為我國個人信息保護立法的關注焦點。因此，筆者認為個人信息保護與隱私保護以及安全利益之間的關系需要進一步澄清。

個人信息保護與隱私保護

個人信息保護與隱私保護有著復雜的聯系，這主要是因為不同法域對隱私有著不同的理解，甚至在相同法域隱私規范也不盡相同。美國法在隱私保護下討論個人信息保護，形成美國特有的個人信息保護，即信息隱私。而在大陸法的語境下，隱私只是一種具體人格利益，隱私保護區別于個人信息保護。筆者將結合我國對隱私保護的認知，在大陸法語境下討論個人信息保護與隱私保護的關系。

隱私指個人不愿公開或為他人知悉的秘密，這個秘密可能是文字記載事實、通信，也可以是個人行為或活動過程。因而，隱私侵權行為可以類型化為兩種：一是公開泄露個人不愿意讓人知曉且不涉及公共利益的生活事實（私密信息）；二是刺探他人私密活動（跟蹤監視他人行蹤、窺探私人活動或侵入私密空間等）。從概念上來看，個人信息與隱私具有明顯區別，前者強調可識別性，后者強調私密性。但是，個人信息保護與隱私保護規范也存在交叉，主要體現在兩個方面。其一，個人信息中包含私密信息，而這是隱私權保護的重要內容。識別個人的信息并不一定都具有隱私利益，但是，越私密性的信息與特定個人的聯系就越強，或者說該信息的個人屬性就越強，其可識別性就越高，因而私密性信息均可落入個人信息范疇。對于落入隱私范疇的個人信息，需要賦予個人以控制權，使用屬于隱私范疇的個人信息應當事先征得個人同意。其二，個人信息的利用可能造成隱私侵權。在網絡化、數據化時代，個人的一切行為過程、行為時間地點甚至目的都可能被收集和分析。這樣，個人信息的收集和利用也有可能對個人行為隱私造成侵犯。

但是，在大陸法的語境下，我們不能將隱私保護作為個人數據保護法的目的。以歐盟立法為例，無論是各成員國國內的個人數據保護法還是最新的《條例》，總體上都屬于公民基本權利（人權）法，而非私法，且隱私保護也只是作為人格尊嚴不可或缺的內容被放進法律規范中；在個人信息保護方面，并沒有建立公開個人信息就構成侵權的規范，更沒有建立未經同意不得使用個人信息的規范。歐洲個人數據保護法內含隱私保護，但其規范體系不能對應到私法上的隱私權保護規范。

個人信息保護與個人安全利益

個人信息本身是社會交往的工具，其本身沒有社會危害性。但是，這種識別和聯系的功能被“不法分子”利用，用于違法犯罪活動，就會危害到個人安全。確保個人信息安全也是個人信息保護法的重要立法目標，因為個人信息不安全就會給“壞人”可乘之機，增加個人人身和財產方面的安全風險?！鞍踩Ｗo原則”是經濟合作與發展組織在《隱私保護與個人數據跨境流通指南》中提出的個人信息保護8大基本原則之一，并將之表述為：“個人數據應當得到合理的安全保護，防止丟失或未經授權的訪問、毀壞、使用、修改或泄露?！卑踩瓌t已經成為世界普遍接受的個人信息保護原則?！稐l例》除了要求數據控制人在系統設計時即考慮個人數據保護以實現數據的系統保護和默認保護外，還詳細規定了數據控制人的安全保障義務（第32條、33條、34條）。除了從信息安全的角度保障個人信息安全外，要求數據控制人的數據處理行為合規合法也是確保個人信息安全的重要方面。在這個意義上，維護個人信息的安全也是個人數據保護法的基本宗旨。

我國《網絡安全法》“網絡信息安全”一章對個人信息安全的規范，顯然屬于針對網絡運營者個人信息安全保障義務的立法規范，該規范主要是保護個人信息在存儲、運營和利用過程中的安全，而非針對非法利用個人信息進行犯罪中的安全?！缎谭ā吠ㄟ^兩次修正案確立的“侵犯個人信息罪”（《刑法》第253條之一）是針對我國目前極其嚴重的個人信息買賣、盜用現象而設計的，該保護旨在制止脫離具體應用場景的買賣、非法提供和盜用個人信息的行為，因為這樣的利用行為本身即具有社會危害性。

個人數據保護法規范的是個人數據的正當使用行為，即在特定場景中為開展社會交往、實施社會活動（包括商業、公共管理等特定目的）而進行的收集和使用個人信息的行為。電信詐騙、恐嚇等行為已經脫離了正常個人信息社會利用的范疇，構成違法犯罪行為，不屬于個人信息保護法調整的對象，而是屬于刑法的調整對象。因此，個人數據保護法所保護的安全是個人數據本身的安全，而不是針對利用個人數據從事違法犯罪的社會危害行為。

代結論：保護目的決定個人信息保護的定位

個人信息保護成為一個法律問題肇始于個人信息電子化和自動化處理，而不斷強化于網絡日益普及和智能化的今天。在現今時代，全息性個人信息被自動處理和使用導致個人逐漸失去對其個人信息的控制，給個人的基本權利和自由帶來前所未有的挑戰。因此，個人信息保護成為這個時代各國立法必須要解決的問題。對于形成于西方社會的個人信息保護制度必須要有正確的理解和定位，只有這樣才能移植和構筑適合于我國國情的個人信息保護法律體系?；谏鲜鰧€人信息上需要保護的法益論述，我們可以初步得出以下結論：

首先，個人信息是識別特定個人的信息，而識別個人是社會交往和運營的工具，因此個人信息并非屬于個人所有，個人不享有排他支配的權利。個人信息保護旨在保護個人在信息上的利益，而這些利益保護不足以也不可能賦予個人對該信息的絕對控制。因此，目前我國立法規范中確立的“非經個人同意不得收集和使用個人信息”的規則，實際上隱性地賦予了個人對個人信息的支配權，這既與個人信息的社會地位不吻合，也不具有法律上的正當性。

其次，個人數據保護是在憲法層面對個人基本權利的保護，其保護人的尊嚴所派生出的個人自治（自由）、身份利益（正確識別）、不歧視（平等）利益。歐盟立法雖然將之抽象為個人數據保護權，但只是對個人數據受法律保護的簡要表達，并不是一種單一權利保護，更不是一種私權保護。若要放入民法人格權編的話，應當作為一般人格權加以保護，而不宜直接視為一項具體人格權。也就是說，個人信息保護本質上還是法益保護，而不是賦予個人對個人信息享有某種權利來實現保護。

再次，在大陸法語境下，個人信息并不等于隱私，個人信息保護規范也不等同于隱私保護規范。盡管隱私保護貫穿于歐盟數據保護法的始終，歐盟的立法沒有將個人信息保護置于人格權（尤其隱私權）意義上來設計保護規則。但是，保護隱私是個人信息利用的前提，因而，特定情形下征求數據主體的同意和防止個人信息泄露是個人信息保護法的重要內容。

最后，個人信息本身并不具有危害性，但個人信息的不法利用具有危害性。這里應當區分兩類不法和危害，一類是為了實現正當合法的用途或目的，但沒有遵循個人信息保護規范，侵害了個人基本權利（人的尊嚴）；另一類是個人信息被用于不法行為，這種不法行為不僅侵害個人權益，而且具有社會危害性，因而需要法律制裁。前者是個人信息安全問題，屬于個人信息保護法范疇；利用個人信息從事詐騙犯罪則屬于后者，需由刑法調整，不是個人信息保護法的任務。

在人類社會進入網絡化、數據化和智能化的時代，數據成為經濟和社會運行的“新能源”?？勺R別個人的數據既要能夠為社會所利用，又必須確保該利用行為不侵犯個人權益。形成于20世紀80年代基于個人基本權利保護理念的個人數據保護法，試圖構筑保護人權高度下的個人數據利用規范，為我們提供了可供參考的藍本。為順應大數據時代的到來，我國立法開始探索和建立我國的個人信息保護制度，但是并未真正地從源頭上回答為什么要保護個人信息的問題，導致我國個人信息保護法的定位存在偏差。我們必須正本清源，厘清個人信息上存在的值得法律保護的個人利益，這是準確定位個人信息保護立法目的的基礎。