【《民法典》中的个人信息保护制度浅析10000字】

《民法典》中的个人信息保护制度浅析摘要：在这数字信息高度发达的今天，个人信息的价值越来越突出，而经济信息具有很大的价值，而社会价值又是公司竞争的中心。海量的数据背后蕴藏着丰富而又有商业价值的内容。大数据已经成为信息时代最热门的词汇之一。对个人信息进行采集，分析，在为人类的生活提供高效、人性化的服务的同时，存储和分享已成为一种普遍现象。过度收集、大量泄露、非法滥用等问题，对人民群众的工作、生活造成了极大的影响，给社会造成巨大损失，威胁人们的人身财产和人身安全。保护得到加强，已成为世界共识。个人信息与个人生活的安宁息息相关，个人信息的泄露在一定程度上损害了个人生活的安宁。因此，本论文旨在以《民法典》为背景来探讨我国个人信息保护中的有关法律问题。并结合之前我国个人信息案件来了解我国个人信息民法保护的现状，发现我国个人信息保护立法存在个人信息边界模糊、缺乏完善系统的个人信息法治体系、信息侵犯证据采集困难等缺陷，基于存在的缺陷，参考国外国家有关法律中的优点，并结合我国的实际情况，提出适度划定个体权利空间、完善个人信息处理者权责内容的规定、完善信息侵犯证据收集渠道等策略。希望能保障我国个人信息的合法权益。关键词：民法典；个人信息；立法保护目录TOC\o"1-3"\h\u21058引言 引言虽然我国已经制定了《民法典》等相关的法律，但是有关个人信息的法律规定仍然存在着一定的缺陷。纵观世界各国，欧盟早在1995年就制定了这一规则，并要求各成员国进一步完善和适用于本国的法律，因而在欧洲国家中，个人信息的保护更为广泛。美国从隐私权角度建立了个人信息的隐私权保护体系。国外有关个人资料的立法已比较成熟，为各国法院的诉讼提供了理论基础，对我国的法制建设具有重要的参考价值[1]。本文拟从《民法典》的角度对我国公民信息保护的相关法律问题进行论述，并从以往的案例中分析我国公民信息保护的缺陷，借鉴国外相关立法的有益经验，为我国的个人信息保护提出一些建议。1个人信息保护概述1.1个人信息概述1.1.1个人信息的概念学界对个人信息的定义有：一是从隐私权角度出发，主张个人数据与公共利益无关；第二个定义是基于关联的，认为个人资料包含了一切关于心，身，认同等人类事实和对一切个人事务进行判断与评价。第三个定义是基于社会交换理论，个人资料在满足了一定条件后可以用于交换，并具有价值性。第四个定义是基于社会学习理论，个人资料能够为他人提供帮助。这就是指个人的个人信息，包括社会文化活动、团体活动和其它与其相关的信息。欧洲议会和委员会在1995年十月提出的关于这种资料的自由流通、个人资料保护和个人资料处理的指示中所提出的“识别理论”，即“个人数据”是所有能够被确认的资料。可辨认的人是指可以直接或间接辨认的人[2]。个人信息涉及到个人的隐私，是个人的商业活动，在一般情况下，如果不涉及公众利益，那么每个人的个人资料都会得到应有的尊重和保护，以避免外泄[3]。1.1.2大数据个人信息的特征大数据时代的来临，人们的个人信息以几何级数的速度增加，同时，大数据技术的发展与运用，也使得整个社会发生了翻天覆地的变化。当前，大数据技术的迅猛发展，在信息科学的背景下，个体信息的表现越来越突出[4]。首先，把个人信息以数码的形式储存起来。不管是原始社会、农业社会、工业社会、信息社会，信息传播都需要媒介的支撑，例如原始社会的口口相传、农业社会的书面传播、工业社会的电波传播、信息社会的信息存储与传播。随着大数据的不断发展，海量的个人信息被存储到网上，形成了海量的数据，为数据的共享奠定了坚实的基础。在大数据时代，个人的名字，手机号码，身份证号码，家庭住址，个人喜好，社交范围，购物习惯等，都能被数字化，这使得个人资料变得更为易受伤害。其次，侵犯个人信息的方式多种多样。在传统的信息传播方式中，由于技术水平的限制，人们的信息传递空间受到了极大的限制，只能在一定范围内使用。然而，在大数据时代，互联网正以一种开放、包容的姿态进入人们的视线，而在传统的信息传播模式中，一些特定的群体会被放大。随着新型的网络社交平台如微博、微信、脸谱等用户数量的增长，人们习惯将自己的个人生活放在网络上，与朋友交流，有些人甚至会在网络上匿名发表自己的私事。我们接受了互联网的开放姿态，同时也将自己的资料放到了这里，如果有人用大量的资料去挖掘我们的资料，那么我们的个人资料就会被曝光。因此，在今天的资讯社会，侵犯个人资讯的途径会越来越多，而且会越来越迅速。最后，收集个人信息的方法比较简单。在各种新技术的不断发展下，数据采集已不再是固有的限制，移动支付、云计算、新型社交媒体等都会带来海量的数据，而这些数据是可以轻易获取和采集的[5]。1.2个人信息保护的必要性1.2.1个人信息保护的价值近几年来，我国学者对个人资料的法律保护问题十分重视。《刑法修正案(七)》第253条对刑事法律的保护构成了侵犯公民个人信息的犯罪。除知情权、参与权、申请权之外，受保护的私权也包括隐私权[6]。个人信息的司法保护主要集中在隐私权、姓名权、肖像权、荣誉权等人格尊严权。在民事诉讼中，刑事法律主要是为了维护公众利益，保障数据的权利。这是一种矛盾。关于公民个人信息的法律保护问题，学术界也有争论。在刑事保护方面，《刑法修正案》第253条对公民个人信息的保护作出了明确的规定；2008年5月1日实施，《中华人民共和国政府公开信息内容管理办法》明确界定了公共和私人权力之间的关系，并包括个人信息。《中华人民共和国民法总则》还明确承认“个人信息”是公民权利之一。这些立法对于加强公民个人信息安全意识以及维护社会和谐稳定都具有重要意义。但是，目前的法律法规还不完善。但是在立法上还存在着一些不足：从法律上看，个人信息民事保护的相关规定不充分，为了保护《刑法》规定的数据主体的合法权益，并未将数据主体排除在外。个人资料侵害公民的隐私权，涉及到公众利益和财产权的关系。资料使用者、资料处理人员与资料处理人员不相容及不公平。当民法调整平等实体之间的人身和财产关系时，立足于个人信息有关权益保护，对于因侵权，合同，不当得利乃至继承而引起的争议均能找到解决办法。但是，由于立法技术上存在不足以及司法实践中出现了滥用公权以损害私权利的情况，导致信息被非法利用成为可能。因此，有必要将民法引入到个人信息保护制度之中。利用民事法律来保护个人信息，就相当于选择一种更灵活地调整途径，为信息主体和信息控制者或者信息处理者提供协商，和解和诉讼等多种手段，可以在很大程度上促进纠纷解决效率，能够在很大程度上推动纠纷解决效率的提高[7]。1.2.2个人信息保护面临的挑战作为个人资料的真正拥有者，资料管理人员必须时刻注意资料储存状况的安全。在大数据时代，如何保证个人信息的安全是一个非常关键的问题。现在，越来越多的人把自己的个人资料储存在云端。但是，因特网的数据存储技术不稳定，使得大部分用户的个人信息出现了大量的泄露。基于此，本文对基于大数据的个人信息保护进行了理论与实践上的探讨。当前我国大数据环境下的个人信息安全问题。根据中国消费者协会网站发布的2018年度用户个人信息披露情况，80%以上的用户在使用手机软件时曾遭遇过隐私问题。该调查的细节表明，手机软件的使用造成了大量的个人资料泄漏，85.2%为受害人。敏感的个人资料是很难避免的，从目前的固态存储器和云端存储器的角度来看，其市场的总体成本要高于一般的个人资讯。因此在进行个人数据存储时，必须确保敏感数据能够得到有效保护，这也是个人数据备份系统（PDS）的主要目标之一。但是，传统的加密方式无法保证其安全性。考虑到储存成本，信息控制者不使用附加加密技术以确保敏感个人信息存储安全，而这种安全保障极易造成敏感个人信息泄漏[9]。2014年，携程的安全问题被曝光，原因是携程的支付记录存在着安全隐患，携程的工作人员还没来得及采取应急措施，就有很多携程的用户支付信息被泄露，其中有用户的银行卡、手机、密码、密码等，这些都会对用户的支付信息泄露造成了极大的威胁。2我国个人信息保护立法及缺陷2.1我国个人信息民法保护的现状随着信息技术的飞速发展，我国公民个人信息的法律保障体系还不健全，而这种间接的法律保障并不能完全保障公民的信息安全。我国的齐爱敏教授曾经对数据的使用者进行了保护，这实际上是一种保护信息的途径，即保证了信息的当事人可以查阅，处理和排除对自己个人资料进行侵害的任何权利。在民法上，个人信息属于人格权范畴。我国民法通则第125条规定，个人有收集、处理和分发信息的权利和义务，国家执行个人信息保密原则[10]。虽然我国法律对个人信息没有得到足够的重视和保护，近年来，我国学者对公民个人资料的民事权益有了新的理解。物质上的好处。《民法典》第111条对个人资料的保护作出了明确的规定，但仍存在需要完善和补充的问题，其中最重要的是在法律上进行原则性界定[11]。本条规定了保护自然人个人数据的义务。个人数据的范围和对数据的责任的定义就是所谓的“合法获得”，是指法律上允许的行为。第二部分则从“依法取得”角度出发，通过对《中华人民共和国网络安全法（草案）》（以下简称《网络安全法》）第41条中关于资料当事人的规定进行分析，认为在保护资料当事人合法权益方面，应以保护个人资料为主，同时兼顾其他类型的资料当事人的合法权益，而《民法典》第111条对信息提供方的法律利益的保障，则与对其进行保护的内容相似；但是，该规定过于笼统和强制性，并不适用于所有类型的侵犯个人资料案件中。隐私与个人信息在《民法典》中都有明确的规定，但由于立法上对个人信息的界定过于笼统，导致实践中出现了“二元制”现象。从体系解释上看，《民法典（草案）》第109条以尊重和保障个人的个性人格权利为立法目的，第110条至第111条及112条至113、114条则分别规定了财产权利和财产权[12]。《民法典(草案)》中也对个人信息的法律地位作出了明确的规定：个人信息是一种隐私，而不是一种财产权，所以，立法机关在立法时要注意区分两者，不能将两者混为一谈，以免混淆财产的性质。立法机关在保护个人信息方面也是一种新的尝试，但是，由于民法中的个人信息保护具有其特殊性和复杂性。《民法典》第111条对“个人信息权利”作出了立法上的规定[13]。然而，就我国目前的社会现实而言，对于个人信息的保护仍然面临着一些问题需要解决：一是个人信息权主体不清晰；二是缺乏专门针对个人信息的法律规范。梁慧星教授主张《民法典》第一百二十一条此立法旨在宣示个人资料法律保护之原则，以提供法院判决违反个人资料制度案件之参考。但仅凭《民法典》（以下简称《民法典》）第111条之规定仍有不足，由于该条未对与其有关的主体作出明确的规定，即未对其特定的涵义、外延及相关的法律后果作出界定，因此该条难以在司法实践中发挥其应有制约作用[14]。2.2案例分析个人信息采集范围难以回避敏感个人信息参与。目前主流的基于固态存储和云存储的方法可以保护用户的隐私，但由于市场成本高，用户在获取此类个人信息时面临很大的风险。因为在计算储存费用时，资讯控制者没有采用附加的密码技术来储存敏感的私人资料，所以很容易泄漏敏感的私人资料。携程于2013年推出《关于加强旅游在线服务信息安全管理的通知》（“《通知》”），要求所有提供在线旅游服务的网站对用户的身份和个人信息进行加密保护。2014年，网上流传的一条安全漏洞，导致携程网平台用户支付日志中存在一些潜在的安全漏洞，导致携程网平台的许多用户在携程网工作人员采取紧急恢复措施之前，先将银行卡拿走。支付信息泄露，包括电话交易信息和网上支付安全验证保密信息。以携程为例，不难看出骗子是直接导致用户信息泄露的“元凶”。但仔细一想，不难猜出骗子是如何得到这些信息的，许多信息被犯罪分子“出卖”，落入骗子之手，造成了这场悲剧。泄密者与骗子一样令人痛恨，所以必须采用法律武器严惩倒卖私人信息的不法分子。2.3我国个人信息保护立法的缺陷2.3.1个人信息边界模糊目前，《民法典》是我国目前最重要的法律制度。第1034条-1039条和1034条中所述的自然人的个人资料，是指可以通过电子或其它方法记录的能够独立地或与其它资料相结合地识别自然人的各种资料[15]。这样一来，个人数据最显著的特征应该是它必须是可识别的，并且可以单独或与其他信息结合发送给自然人。这些信息既具有法律意义上的隐私性，又具有经济价值上的实用性；既能满足个人的私密性需要，又能满足社会公共利益需要。但在对个人信息权属定性上亦未给予清晰划分，仅将“个人信息”单列于“民事权利”，未对其属性进行认定，尚存边界不清现象。2.3.2缺乏完善系统的个人信息法治体系在网络泄露之后，由于法律、法规的落后，无法与网络的发展速度相适应，导致责任的主体与责任划分很难确定[16]。实际上，法律思维是一种思维方式与方法的有机结合，因此，它所包含的基本理念和原则具有可复制性。同时，在遇到法律问题时，要从容应对，使立法、执法、司法等一系列工作能够更迅速、更好地完成。就《个人资料保护法》而言，仅就其法律关系而言，其存在着两方面的缺陷：首先，我国的传统法律理念认为，只有在发展过程中遇到问题时，才会对法律进行规制。所以，就私人资料而言，很多个人信息泄露事故的发生是因为我国没有得到足够的重视，如果不加以管理，就会影响社会发展。同时，我们可以明确，发展实践重在形式，信息监管者不能更好地保护个人信息，因此有必要在隐私法政策出台之前，进一步完善相关法规。因此，有必要制定适合我国发展的法律。第二，我国在制定法律时不关心法律条文能起到的作用。相对而言，《个人信息保护法》的法律内容比较丰富，规范性制度虽多，却并没有发挥实际作用。同时，我们可以明确指出，政府监管比自我监管更重要，依靠个人力量无法更有效地保护个人数据。在法律保障方面，加强社会保障才能维持社会秩序。2.3.3信息侵犯证据采集困难大数据技术使人们的“浏览轨迹”得到了数字化和记录。随着网络虚拟空间的不断发展与普及，信息的爆炸性增长。这些行为给用户带来了巨大的损失。对个人资料侵权，需要从海量资料来源获取相关证据，依据这些证据链整体相关性分析，获得能否以电子数据形式公开价值。面对信息主体多，对象不明确，已经遗失等问题，申请网络平台调取资料的主体复杂多样，资料收集缺乏针对性，造成调查取证难度不断加大。3我国个人信息保护的立法完善3.1发达国家个人信息保护的立法及借鉴3.1.1美国美国最著名的是案例法。美国的个人资料主要有两种，一种是个人资料，一种是公司资料。为了保护产业，美国采用了一种分权立法的方式来处理个人数据[17]。个人资料的个别保护，主要是由诸如因特网产业协会这样的自律机构来完成；针对个人信息某些含有敏感信息之处，将其归为侵害人隐私权并以隐私权法加以限制。只有在个人信息遇到危险或存在因滥用而造成伤害的情况下才会采取专门立法的方式进行保护。3.1.2德国德国法的共同人格法弥补了姓名权、肖像权等某些人格权的不足，具有互补性和广泛性，加强了对公民人格特定利益的全面保护，承认公民的人格权[18]。在多元化社会中，个人自由和尊严的享有补充了具体人身权利中不包含的内容，实现了人身权利的整体维护功能。精神权利是法律赋予人民的基本权利之一，在大数据背景下，通过对个人信息的有效保护，可以促进人民精神权利的实现，从而可以有效地促进人们对个人信息的正确使用与利用。因此，《德国联邦个人信息权法》的第一条也随之产生。《公民个人资料》将个人资料划分为两大类：自然人资料与法人单位资料。其中自然人个人信息又可进一步细分为自然人姓名、肖像、身体等信息；法人机构组织信息包括法人身份、企业名称等等信息。德国人格权利通论是建立在人格权利普遍性与多元性基础之上，维护人格普遍与普遍利益。3.1.3欧盟给予个人权利应仅以减少个人信息滥用风险为目的，个人信息保护并非以持续让位于他方利益而成全他方，而应是以保护他方核心信息为前提[19]。立法层面上，应明确个人信息绝对支配权的法律地位，区分其社会属性和经济属性；而我国目前对于个人的隐私权仍采取了严格限制的态度。欧盟虽然没有明文规定个人信息主体享有个人信息排他权，但其立法目的是限制美国对个人信息在特定领域内的垄断，保护私人主体的合法权益。个人信息权利与其他物权一样属于“私权”范畴，但由于个人信息具有特殊的价值，因此对个人信息主体进行限制是为了更好地适应信息社会化和市场化发展要求。因此，应在尊重个体权利空间的前提下，平衡个人利益、企业利益和公共利益。3.2个人信息保护的立法完善3.2.1适度划定个体权利空间个人的权利应该仅仅是为了减少被滥用的危险，而非以牺牲他人的利益为代价，以维护他人的核心信息为前提，以维护他人的利益。实际上，各国都没有在法律层面上明确地承认个体拥有信息的绝对支配权利，这与其所蕴涵的社会、经济性质相违背。美国法律对公民个人信息的法律保护仅限于教育、医疗等涉及民生的领域，而不能完全针对私人。一旦系统把“私权”的信息权定义为一种与财产权相似的“私权”，那么，信息的利用就必须与信息的主体进行协商，并以交易的形式来达成交易，从而使信息社会化和市场化进程变得十分困难。在这一背景下，我国必须对个人的权利进行适当的限制，而个人利益的实现不能忽视公司与公众的利益[20]。第一，对个人信息的范围、种类进行了合理的定义。从狭义的财产权、广义的人格权、乃至基本人权等方面来看，都需要对其进行合理的界定。但盲目保护、忽视重点的保护，极有可能造成个人、政府、企业“三败俱伤”。为了实现个人利益、企业利益与社会利益的和谐发展，必须将利益与个人利益进行分类，把握好保护的重点，并使其在经济上发挥作用。就当前而言，《个人信息保护法》对敏感个人资料的列举方式还较为粗糙，存在着过度保护边缘信息和核心信息未得到充分保护的两难境地。但在现实中，既要强化公民的个人信息权利，又要从企业的利益出发，合理界定政府的权利范围。在法治体制下，要实现多元权益的均衡，以资讯利益的类型化来规范权力与权利，是较为恰当的解决办法。3.2.2完善个人信息处理者权责内容的规定一方面，个人信息处理人在民事诉讼中享有以平等为基础的权利，从而制约了个人的权利。在个人资料的发展和运用中，由于个人的信息权利或人格权利受到损害，需要其停止处理的时候，个人信息处理者可以提出正当的辩护。个人信息处理者利用个人资料进行利用，会对个体的利益产生一定的影响，但这些影响并不完全是针对个体的，在某些情况下，个体的行为可以为个体创造更多的价值。在欧洲，如果涉及到信息自由、公共利益等法律问题，上述内容可能会阻碍其权利的行使，而个人利益也不能得到完全的保护。在美国，个人资讯处理者以自由、公正、公平等价值衡量个人资讯的权益，即便个人资讯应用情境改变，只要其行为合理，仍可视为适当之行为。可见，个人权利的空间不能太大，在各种情况下，应当适当地限制个人的权利，并给予其抗辩权，防止个人信息保护的规范成为一种仅保护个人的准则，这不仅会影响到三方的利益平衡，而且还会阻碍个人信息的开发应用，从而削弱数字经济和数字政府的发展动能。另一方面，对个人信息处理人员的责任规范也需要进一步完善。首先，将“个体与组织”作为信息处理的整体，将造成执法目标不明确、社会治安管理费用普遍上升。因此，可以从国外的经验中，考虑把“个人”排除在信息处理的范围之外，不承担对其进行信息处理的法律义务，而是根据《中华人民共和国侵权责任法》、《治安管理处罚法》等现有的相关法律、法规，采取了对个人信息侵犯行为的处罚措施。此外，要区别对待“组织”，设置适当的准入标准。鉴于某些企业的信息获取和处理能力相对薄弱，如果对它们进行同等的法律责任，势必会打击它们的工作热情，削弱它们的市场活力。所以，要尽可能地从大到小，把重点放在市场上的龙头企业，集中精力保护公共利益，同时也要为那些资讯不发达的公司提供一些发展空间。其次，尽管《个人信息保护法》中有一节专门规定了国家机构从事信息处理的活动，但条款仍然是以原则为主，范围比较广，并未明确说明政府与企业在信息处理方面的角色。当政企合作现象普遍存在时，可以参考欧盟GDPR的有关条款，把政府作为信息数据的“控制者”，把企业作为信息“处理者”，企业为政府提供数据技术的支撑，政府是最终的责任方，不能只由行政内部处罚造成的法律后果；同时，由于企业作为信息流通的直接主体，无法将现有的政府信息（特别是个人信息）与企业自身的数据进行商业利用，一旦发生信息泄露、侵权，应当负主要责任。尤其是在新冠病毒爆发的时候，国家允许某些公司收集了大量的个人资料，这里面牵扯到了许多个人的隐私。的确，在紧急情况下，出于对公共健康的强制法定理由，这种行为是可以理解的。但在疫情爆发后，由于新冠病毒的流行已经被控制，公司丧失了公众利益的合法来源，因此，这些信息不能直接转化为商业用途，必须尽快予以封存和销毁。如果因其它原因需要再进行一次的收集，则需要获得一个重新的批准。企业在经营活动中要明确与政府的信息界限，明确其职责，树立良好的信誉形象。《个人信息保护法》已经规定了个人信息的保护、监督和执法机构，但总体结构还需要进一步细化，否则就会被执法部门、执法部门完全束缚。此外，加强个人资讯处理中最少必要原则的构建，要求资讯处理者在所处理之个人资讯之限度及时限之内，以达到授权之目的，并注重事中与事后之保护。3.2.3完善信息侵犯证据收集渠道由于个人信息的采集和利用主要是基于信息主体的利益，因此，在获取个人信息时，必须征得当事人的同意。如果是在特殊的情况下，那么就必须要按照法律的要求，进行严格的控制，才能顺利地进行。一般情况下，在进行信息收集前，需要对其进行详细的收集和使用，以便让其对其有所认识，并与其享有知情权相一致。个人资料的搜集必须限于达成既定目标。一旦目标达成，个人信息就会被冻结、删除，只能在重新讨论并获得对方同意后再进行存储。对不合格的个人资料，应立即予以删除，或将资料编码搞混。在此过程中，不能在相同的用途下重新进行回收。4结论根据2017年《民法通则》和2019年《民法典》的相关规定，为我国公民信息保护立法打下了坚实的基础。由于人们对个人信息的保护意识不够，通信部门没有职业道德准则来出售和出售数据，因此，在很小的经济和法律资料费用低廉的情况下，从事与贩卖公民个人信息相关的活动得以开展，而这些活动已构成一条完整的信息链条。要想突破这一链条，必须从源头、信息平台、社会调研三方面着手，要从制度建设、提高自身防护意识、培育职业道德、切断利益链条等方面入手。从各个层面来看，每个人的个人资料都是受到保护的，不会受到任何侵害。综上所述，在信息技术快速发展的今天，个人和社会对个人信息的保护日益受到关注。我们应在社会中推行资讯与交流，以增进对个人信息的保护，并增强民众的意识，并要求各国主管部门改善资讯立法及强化体制，使全社会都能齐心协力保护公民的资料。参考文献[1]鲁丹.大数据时代个人信息保护的困境与民事纠纷解决思路[J]