河北大學法學院，河北 保定 071002

數(shù)據(jù)經(jīng)濟的發(fā)展，個人信息的利用手段越來越豐富，個人信息的財產(chǎn)利益屬性也不斷顯現(xiàn)。大數(shù)據(jù)最初是在體育領域廣泛應用，在數(shù)據(jù)技術和數(shù)據(jù)經(jīng)濟不斷發(fā)展的背景下，大數(shù)據(jù)逐漸應用在日常生活中。大數(shù)據(jù)背景下個人信息的商業(yè)利用已經(jīng)成為一種常態(tài)，數(shù)據(jù)經(jīng)濟的發(fā)展為我們帶來便利的同時，也對個人信息安全產(chǎn)生了威脅。近年來，個人信息保護問題成為行業(yè)間和學界討論的熱點。我們應當如何去定義個人信息，采用何種模式對個人信息進行保護，以及如何平衡個人信息保護與數(shù)據(jù)經(jīng)濟發(fā)展之間的矛盾成為我們所迫切需要解決的問題。

一、個人信息的范圍界定

解決個人信息問題的前提是，明確哪些信息屬于個人信息。從比較法的角度來看，各國的立法中關于個人信息的范圍界定主要有兩種理論。一種是美國的“可識別標準”。以限縮解釋的方法將個人信息的保護范圍限定在確定能識別個人身份的信息上。另一種是德國的“確切和可能識別標準”?！兜聡?lián)邦數(shù)據(jù)保護法》將個人信息分為“確切可識別個人身份的信息”和“可能識別個人身份的信息”，以求在最大限度范圍內(nèi)對個人信息提供保護。歐盟的《一般數(shù)據(jù)保護條例》在對個人數(shù)據(jù)的概念界定上，選擇了與德國相同的界定方式，將個人數(shù)據(jù)界定為“已識別（identified）”或“可識別（identifiabl）”數(shù)據(jù)主體的信息。相較于限縮界定模式，德國的模式則是開放了個人信息界定的邊界，能夠在最大限度內(nèi)對個人信息進行保護。但在該種模式下隨之而來的問題是，大數(shù)據(jù)時代幾乎所有的信息都存在成為“可能識別個人身份的信息”的可能性，極易出現(xiàn)個人信息的過度保護。

（一）我國個人信息界定模式

我國在個人信息范圍的界定上，傾向于德國和歐盟的模式?！毒W(wǎng)絡安全法》、國家標準《信息安全技術：個人信息安全規(guī)范》（GB/T 35273-2020）等將個人信息劃分為兩類：一類是單獨可識別主體的信息；一類是與其他信息相結合后可識別主體的信息。我國堅持以人為本的理念，以開放式的個人信息保護邊界來確定個人信息的保護范圍。我國香港、澳門對于個人信息的界定也采取了相同的模式。①

在個人信息開放式的界定模式下，判斷某一信息是否為個人信息將不再完全取決于信息本身所包含的內(nèi)容，而是取決于所收集數(shù)據(jù)的完整性和技術的先進性。在該種模式下，如果對個人信息不加區(qū)別地進行保護，極易導致個人信息的過度保護，阻礙數(shù)據(jù)的流通，壓縮數(shù)據(jù)開發(fā)利用的空間，限制數(shù)據(jù)經(jīng)濟的發(fā)展。因此，為兼顧信息開發(fā)利用和信息保護，對“結合可識別”個人信息的認定應做合目的性限縮和情境化界定。［1］合目的性限縮是指，從個人信息設定的目的出發(fā)，將受保護的個人信息限定在對人格利益造成影響的信息上。如果該條信息未對人格利益產(chǎn)生影響，即使與其他數(shù)據(jù)結合能識別信息主體也不應當認定其為個人信息。場景化判斷則是因為數(shù)據(jù)具有場景依賴性，應當結合應用場景對信息的屬性做個案判斷。［2］即使同一信息在某些場景可能是作為個人信息出現(xiàn)，在某些場景可能只是一組普通數(shù)據(jù)。

（二）個人信息與數(shù)據(jù)

在對個人信息問題進行討論時，我們首先要在法律層面理清數(shù)據(jù)和個人信息的關系。在個人信息和數(shù)據(jù)的關系上存在多種學說，包括“等同說”、“區(qū)分說”“包含說”等多種理論學說，［3］其中“區(qū)分說”與我國當前的法律環(huán)境和國際形勢最為相符。個人信息和數(shù)據(jù)“區(qū)分說”的觀點認為，保護個人數(shù)據(jù)安全和促進數(shù)據(jù)流動是數(shù)據(jù)經(jīng)濟發(fā)展的兩個不同方面，應當嚴格進行區(qū)分。紀海龍利用符號語言學對數(shù)據(jù)和個人信息進行區(qū)分，認為個人信息和數(shù)據(jù)文件分別位于內(nèi)容層和符號層。也有學者從法律層面論證，龍衛(wèi)球認為法律意義上的數(shù)據(jù)不同于個人信息（數(shù)據(jù)），二者在法律上應當進行分別保護。龍衛(wèi)球認為數(shù)據(jù)僅包括企業(yè)數(shù)據(jù)和非企業(yè)數(shù)據(jù)等公共數(shù)據(jù)。個人信息保護與非個人數(shù)據(jù)保護是兩個不同的層面，分別為民法111條和127條所規(guī)定，各屬人格權和財產(chǎn)權保護內(nèi)容。

個人信息和數(shù)據(jù)“區(qū)分說”的觀點同我國當前的法律背景和立法趨勢相一致，我國今后在立法時采取該種觀點最為適宜。個人信息和數(shù)據(jù)的區(qū)分保護已成為當前立法的發(fā)展方向?！睹穹倓t》111條和136條對個人信息和數(shù)據(jù)的分別規(guī)定，也為兩者的區(qū)分保護奠定法律基礎。在法律層面上數(shù)據(jù)和個人信息勢必要進行區(qū)分，按各自的法律性質(zhì)進行保護。歐盟在個人信息保護方面依據(jù)主體是否具有識別性區(qū)分了“個人數(shù)據(jù)”和“非個人數(shù)據(jù)”，以不同的保護標準進行規(guī)定。因此當我們在法律層面討論個人信息時應當將其與數(shù)據(jù)相區(qū)分，經(jīng)過處理不具有主體識別性的數(shù)據(jù)不屬于個人信息的討論范疇。

除此之外，個人信息和個人數(shù)據(jù)兩者之間的關系也存在不同看法。對于兩者的關系目前存“個人信息和個人數(shù)據(jù)區(qū)分說”、“個人信息和個人數(shù)據(jù)等同說”兩種觀點。劉德良教授持“個人信息和個人數(shù)據(jù)區(qū)分說”觀點，認為個人信息強調(diào)可直接識別性，而個人數(shù)據(jù)不強調(diào)可直接識別性。大部分學者認同“個人信息和個人數(shù)據(jù)等同說”，在立法層面上“個人數(shù)據(jù)”和“個人信息”實質(zhì)上可理解為一回事。在我國“個人數(shù)據(jù)”一詞雖沒有出現(xiàn)在法律層面，但散見于《國家“十三五”規(guī)劃綱要》等各種工作文件行政法規(guī)、部門規(guī)章之中，究其內(nèi)涵仍為個人信息。歐盟的《一般數(shù)據(jù)保護條例》即采用“個人數(shù)據(jù)”（personal data）一詞對可識別主體的信息進行保護。該詞的含義與我國“個人信息”一詞的概念在本質(zhì)上是相同的，均是對單獨或結合可識別主體的信息進行保護。

二、個人信息的法律屬性

個人信息的法律保護將不斷完善是當前的立法趨勢，在對個人信息進行法律規(guī)制時，我們首先要明確個人信息究竟是權利還是利益。一項利益能否成為權利，取決于其自身的重要性與成熟度。如果一項利益“同時具備歸屬效能、排除效能和社會典型公開性的，為一種侵權法上的權利，反之則只能歸于一種利益”［4］而個人信息所包含的利益內(nèi)容確定、主體確定同時可以排除他人非法干涉可以認定為一項權利。個人信息規(guī)定在《民法總則》第111條，位于民事權利一章，雖然基于當前個人信息保護方面矛盾重重，未直接明確個人信息為權利，但是將個人信息作為一項權利進行規(guī)定和保護是我國立法的發(fā)展趨勢，也是數(shù)據(jù)經(jīng)濟發(fā)展下個人信息保護的必然要求。

（一）個人信息的財產(chǎn)利益屬性

持個人信息“權利說”觀點的學者雖對個人信息的權利屬性進行了肯定，但對于個人信息究竟是何種性質(zhì)的權利仍存在著許多不同觀點?；趯€人信息法律屬性的不同認識，存在“個人信息權否定說”、“基本權利和自由說”、“物權說或所有權說”、“隱私權說”、“一般人格權說”、“人格權兼財產(chǎn)權說”、“框架說”、“具體人格權說”等多種學說。［5］其中以“個人信息人格權說”、“個人信息財產(chǎn)權說”和“人格權兼財產(chǎn)權說”最具有代表性。在判斷個人信息究竟為何種屬性的權利時，我們首先要判斷個人信息是否具有人格利益和財產(chǎn)利益。個人信息的人格權屬性已經(jīng)被我國立法所確認，在學界也達成共識。個人信息與人格利益密切相關，對于保護公民人格尊嚴，維護社會秩序有著重要作用。但是對于個人信息是否具有財產(chǎn)利益，當前還未達成統(tǒng)一看法。劉德良教授在國內(nèi)首次提出個人信息財產(chǎn)權保護理論，認為個人信息是一種支配權，是對個人信息商業(yè)價值享有的新型財產(chǎn)權。［6］

（二）個人信息財產(chǎn)利益來源

個人信息財產(chǎn)利益的理論基礎是萊斯格“個人信息財產(chǎn)化”理論。信息財產(chǎn)化理論最早是由萊斯格在《代碼和網(wǎng)絡中的其他法律》一書提出的。萊斯格認為應將數(shù)據(jù)財產(chǎn)權賦予用戶，這更符合市場效率和提升數(shù)據(jù)產(chǎn)業(yè)的交易秩序。經(jīng)濟學理論中，財產(chǎn)應當具有使用價值和交換價值，個人信息要成為財產(chǎn)首先需要具有價值和使用價值。在實踐中，個人信息已經(jīng)作為商品進行交易，由于涉及人格利益，故當前的大量個人信息交易為非法交易行為。而個人信息的使用價值更是體現(xiàn)在我們生活的方方面面，從網(wǎng)頁的個性化推薦、企業(yè)營銷策略的制定到對體育比賽發(fā)展趨勢的預測都是對個人信息進行的挖掘利用，個人信息的使用價值體現(xiàn)在各行各業(yè)，正是由于個人信息具有巨大的使用價值，數(shù)據(jù)經(jīng)濟才得以繁榮發(fā)展，數(shù)據(jù)交易、保護、利用問題才不斷發(fā)生。

（三）個人信息財產(chǎn)利益分配

個人信息的財產(chǎn)利益屬性是在數(shù)據(jù)經(jīng)濟發(fā)展中逐漸顯現(xiàn)出來的，對個人信息財產(chǎn)利益保護的前提是明確財產(chǎn)利益的歸屬，即個人信息財產(chǎn)利益應當由誰享有。當前存在著個人信息“個人所有”、“企業(yè)所有”、“個人和企業(yè)共有”、“公共所有”幾種觀點。

第一，個人信息財產(chǎn)利益應當歸個人所有。個人信息是數(shù)據(jù)的基礎，因此數(shù)據(jù)歸個人所有。例如有學者認為，權利的出發(fā)點是人而非物，數(shù)據(jù)主體應擁有優(yōu)先的權利，法律有必要承認用戶個人對數(shù)據(jù)的財產(chǎn)權利。［7］在數(shù)據(jù)產(chǎn)業(yè)生態(tài)系統(tǒng)中，能夠為企業(yè)帶來巨大價值的數(shù)據(jù)基本屬于用戶數(shù)據(jù)，而用戶便是這些數(shù)據(jù)的生產(chǎn)者?！禛DPR》中規(guī)定的“個人信息攜帶權”可為這一觀點的佐證。企業(yè)雖然對數(shù)據(jù)的收集處理付出了一定成本，但企業(yè)不能對個人數(shù)據(jù)進行限制，還需要對個人數(shù)據(jù)的自由流動提供幫助。

第二，個人信息歸企業(yè)所有和由個人和企業(yè)共有的觀點。兩種觀點均是基于洛克的“勞動賦權”理論，只理解方向不同。勞動賦權源于由洛克在《政府論（下）》中提出勞動財產(chǎn)學說，該學說闡明了勞動在社會財富增加中的作用，被認為是取得物之所有權的法理基礎。個人信息由企業(yè)所有的觀點，注重企業(yè)在個人信息收集過程中所付出的勞動，企業(yè)基于其在數(shù)據(jù)收集、處理過程中所付出的成本而享有數(shù)據(jù)的財產(chǎn)權益。個人信息“從人身屬性匯集而變?yōu)樨敭a(chǎn)屬性的關鍵正在于收集整理者在此過程中所付出的特定勞動、投資和成本”［8］，個人信息的財產(chǎn)權應當由企業(yè)所有。同樣是基于“勞動賦權”理論，個人信息共有觀點認為，個人信息是有主物，個人信息的收集者不能優(yōu)于個人獲得個人信息的財產(chǎn)權。除基本個人信息外的其它個人信息由企業(yè)和個人共有。［9］

第三，個人信息公有觀點?；ヂ?lián)網(wǎng)是一個公共領域，一旦用戶或平臺將其自身置于公開的互聯(lián)網(wǎng)環(huán)境下，此時的個人信息就為公眾所有，不再為任何私人或企業(yè)所有。［2］在“HIQ訴領英案”中，法院回應了爬取公開信息的法律問題。不同以往對未經(jīng)授權的數(shù)據(jù)爬取行為的否定，在該案中法院認定了第三方爬取用戶向公眾公開的個人信息的合法性。承認了向公眾公開個人信息的公共屬性。

（四）個人信息財產(chǎn)權觀點的質(zhì)疑

數(shù)據(jù)經(jīng)濟下，個人信息的經(jīng)濟價值逐漸顯現(xiàn)，但個人信息權不是財產(chǎn)權。權利人可以通個人信息使用權的讓渡獲取經(jīng)濟利益，但個人信息不是財產(chǎn)權客體，無須賦予其財產(chǎn)權。

首先，單個個人信息價值低。除公眾人物外，個人信息對于信息主體的價值極小，通常為獲得免費的軟件和服務而放棄，普通個體信息保護的首要關切還是隱私利益和人格尊嚴。單個信息不具有價值，經(jīng)收集、加工處理后的信息才具有價值。如果賦予個人信息以財產(chǎn)權，那么其他主體在使用個人信息的過程中就需要付費，在實行“個人信息付費”下還需要考慮如何實現(xiàn)付費的技術問題，從而使得企業(yè)對數(shù)據(jù)利用成本過高，技術過于復雜，不利于數(shù)據(jù)經(jīng)濟的發(fā)展。

其次，可以通過個人信息使用權的讓渡來對個人信息進行保護，無須設定財產(chǎn)權。姓名、肖像等人格權也可以通過許可使用制度進行商業(yè)化利用，傳統(tǒng)民法理論也不認為這是財產(chǎn)權。不能因為個人信息的商業(yè)化利用而推論出其是財產(chǎn)權。［10］

三、個人信息保護模式選擇

我國目前對個人信息的保護，主要是依據(jù)《刑法》、《行政法》等公法。個人信息公法領域的保護體系逐漸建立，但始終缺乏私法領域的保護，形成了“先刑后民”的立法現(xiàn)狀。在私法缺位的條件下，公民個人信息的內(nèi)涵、外延及法律屬性均未能得到清晰地界定，由此又導致公民個人信息罪的適用存在困難。［11］所以，我國迫切地需要加強個人信息在私法領域的保護，建立以民法為基礎的個人信息保護法律體系。民法在個人信息保護方面具有基礎作用，個人信息糾紛多是發(fā)生在平等主體之間，公法保護模式無法對個人信息實現(xiàn)全方位的保護。

在私法保護上，我國當前的司法實踐傾向于對個人信息采取間接保護模式。由于我國未直接對個人信息進行規(guī)定，只能借助其他受法律保護的權利來對個人信息進行保護。司法實踐中多是依據(jù)人格利益和財產(chǎn)利益來進行間接保護，在該種模式下“個人信息不能為獨立的受保護對象，不能被解釋為民事權利或法益，只有侵害個人信息的行為造成侵害其他權益的損害后果時，行為人才承擔責任”［12］。我國的司法實踐中多為該種模式，借助隱私權、名譽權等對個人信息進行間接保護。

個人信息作為一項人格權利，我國在構建個人信息保護體系時，應當采取權利保護模式和行為規(guī)制模式共同保護的模式。在對個人信息進行保護時，應當區(qū)分個人信息的人格權利和財產(chǎn)利益，分別采取不同的保護規(guī)范。對于個人信息的人格權利，應當采取“權利保護模式”。從民事權利與利益的關系來看，權利化更有利于對個人信息的保護。權利保護模式具有確定性和穩(wěn)定性，同時具有排他性，能夠為人格利益提供最完善的保護。該種保護模式也被許多學者所認可。

對個人信息財產(chǎn)利益的保護應當采取行為規(guī)制的模式，以行為規(guī)范達到對個人信息財產(chǎn)利益保護的目的。通過評估信息開發(fā)利用對個人信息主體的潛在影響來設定行為規(guī)范，以此為信息開發(fā)利用提供合規(guī)指引并間接保護個人信息?！兜聡?lián)邦數(shù)據(jù)保護法》、《美國兒童在線隱私保護法》、《歐盟個人信息保護指令》、《一般數(shù)據(jù)保護條例》都以大量篇幅構建行為規(guī)范體系。由于個人信息不具有財產(chǎn)權特征，以財產(chǎn)利益進行保護相較于抽象的確權立法，行為規(guī)范的設計直接以信息收集利用行為作為規(guī)制對象，這為行為人提供了相對清晰的合規(guī)指引，有助于彌補權利立法的模糊性弊端。但同時行為規(guī)范模式對具體行為進行規(guī)制，存在彈性不足的問題。［1］

四、結語

我們在對個人信息進行法律體系構建時，要將個人信息和數(shù)據(jù)進行區(qū)分，二者代表的利益不同，所采取的規(guī)制方式也不相同。個人信息代表得是人格利益，其財產(chǎn)利益不外是對人格利益使用權的讓渡，其本身并不是財產(chǎn)權的主體。個人信息保護法律體系的構建，要堅持公法與私法相結合的共同保護模式。法律體系的建設要與實際情況相關聯(lián)，我國當前數(shù)據(jù)經(jīng)濟中存在著諸多問題，例如作為個人信息收集利用依據(jù)的“知情同意原則”面臨著巨大考驗?！巴狻笔翘幚韨€人數(shù)據(jù)正當性的基礎，但現(xiàn)實情況是信息從業(yè)者通過各種方式對“知情同意原則”進行規(guī)避，導致該原則不斷通過默示等實踐機制而流于形式。［13］此外，企業(yè)對個人信息收集后，個人則失去了對個人信息的控制權，后續(xù)利用途徑難以得到保障。這些問題地解決都依賴于一個完善的個人信息和數(shù)據(jù)保護體系的建立，我國應當加快立法進程盡快完善相關體系建設。

注釋：

①香港《個人資料（私隱）條例》、澳門《個人資料保護法》．