数字经济视角下侵害个人信息权益的民事司法救济

文 | 中国应用法学研究所互联网司法研究中心 宋建宝

随着数字技术的普遍应用，网络空间成为人们生产活动、生活交往的重要场所与场景。人们在网络空间的各种活动轨迹，经电子或者其他方式记录后形成了海量数据。在数据的驱动下，新经济、新业态、新模式不断涌现。数据成为继土地、劳动力、资本、技术之后的一种新型生产要素。作为生产要素的数据可以划分为公共数据、企业数据和个人数据，其中，个人数据即承载个人信息的数据，实质上就是个人信息。

个人信息是数据要素的重要来源和组成部分。因此，保护个人信息不仅包括保护个人信息权益这个目的，还要同时兼顾规范个人信息处理活动和促进个人信息的合理利用。保护个人信息权益属于私法范畴，并不局限于个人与个人信息处理者之间的关系。规范个人信息处理活动则属于公法范畴，也不局限于个人信息处理行为在公共管理秩序中的正确性。促进个人信息合理利用则直接体现了整体经济的正确性。保护个人信息权益和规范个人信息处理活动不仅要融入促进个人信息合理利用中，还要融入整个数字经济的正确性中。

党的十八大以来，全国人民代表大会及其常务委员会在《关于加强网络信息保护的决定》《中华人民共和国网络安全法》《中华人民共和国电子商务法》等法律法规中确立了个人信息保护的主要规则。《中华人民共和国民法典》（以下简称《民法典》）将个人信息受法律保护作为一项重要民事权利进行规定，同时又专门制定《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》）。至此，我国关于个人信息保护的中心任务已经由加快立法完善转变为加强法律实施。

个人信息保护的法律实施应该遵循数据法治的基本原则，从而保障数字经济的正确性，促进个人信息的合理有效利用，推动数据要素高效流通。为此，本文立足数字经济发展背景，重点讨论侵害个人信息权益民事司法救济的相关问题，以期为相关法律实施提供参考。

《民法典》“总则编”第一百零九条至第一百一十二条构建了我国人身权利体系，第一百一十三条至第一百二十五条构建了我国财产权利体系，第一百二十六条是我国民事权利的兜底条款。因此，《民法典》比较完整地构建了我国民事权利的基本框架和体系。个人信息法律保护规定在人身权利体系中，因此，个人信息属于人身权利客体范畴。《民法典》“人格权编”第九百九十条第一款规定了具体人格权，并明确列举生命权、身体权等具体人格权，但是并未提及个人信息权或个人信息保护。第九百九十条第二款规定了一般人格权，即自然人享有基于人身自由、人格尊严产生的其他人格权益。对于个人信息的法律保护，《民法典》“总则编”并未采取权利化方式予以规定，“人格权编”也未将个人信息权益明确列举为一种具体人格权。因此，个人信息权益不属于具体人格权，而应当属于一般人格权。

个人信息权益的法律之力主要是请求权。《民法典》“人格权编”第一千零三十七条分两款规定了自然人基于其个人信息可以采取的保护措施。第一款规定，自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。第二款规定，自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。无论是查阅或者复制其个人信息，还是更正或删除其个人信息，都是自然人向个人信息处理者提出的一种具体请求。《个人信息保护法》在第四章“个人在个人信息处理活动中的权利”中规定，个人基于其个人信息享有查阅、复制、转移、更正、补充、删除、解释说明等权利。但是，这些权利实质上只是个人基于其个人信息向个人信息处理者提出查阅、复制等各种具体请求。换言之，这些权利都是特定人（个人信息主体）向特定人（个人信息处理者）提出的一种具体请求。权利是法律所赋予的、满足一定利益的强制力，法律之力是权利的核心要素。综上所述，《民法典》赋予自然人基于其个人信息的法律之力主要是请求，而非支配。这是由个人信息保护的法律机制决定的，下文将进一步阐述。

从目前立法看，法律保护个人信息，保护的是个人信息所承载的人格利益。换言之，即使个人信息可能承载一定的财产利益，但是，目前法律只保护个人信息所承载的人格利益。这是《个人信息保护法》作为经济法，为实现整体经济的正确秩序，要求自然人作出的必要容忍和让步。法律保护数据，恰恰在于保护数据所承载的财产利益。数据可能包含了大量的个人信息，甚至在个别情况下可能就是大量个人信息的聚合。但是，这种聚合不仅是量的积累，更是质的骤变。从功能来说，由大量分散的个人信息聚合而成的数据，才能成为一种新型的生产要素。从法律性质来说，分散的个人信息属于人格权客体，但大量个人信息聚合而成的数据，则成为财产权客体。在处理个人信息保护时，不仅要认识到个人信息与数据的法律性质不同，更要厘清法律对二者权益的保护边界。

综上所述，个人信息属于人格权客体，个人信息权益属于一般人格权，法律保护个人信息所承载的人格利益而非财产利益，法律赋予个人基于其个人信息的法律之力主要是请求权而非支配权。

《个人信息保护法》建立了我国个人信息法律保护的基本框架，“告知—同意”是处理个人信息的主要机制，也是个人信息保护的核心机制。同时，《个人信息保护法》规定了无须采取“告知—同意”机制的一些例外情形。换言之，个人信息处理者无须通过“告知—同意”机制即可处理个人信息的法定许可情形，例如，为应对突发公共卫生事件或紧急情况下为保护自然人的生命健康和财产安全所必需，为公共利益实施新闻报道、舆论监督等在合理的范围内处理个人信息，在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息等。

“告知—同意”机制实质上是一种缔约机制。个人信息处理者应当事先告知个人，拟处理其个人信息，例如，收集、存储、使用、加工、传输、提供、公开、删除其个人信息等。如果该个人同意的，那么该个人与个人信息处理者之间就形成个人信息处理合同关系，并就处理个人信息的目的、方式和范围等主要问题达成一致。针对这份个人与个人信息处理者之间的个人信息处理合同，国家通过立法对合同的一般条款、双方的权利义务及相应的法律责任作了规定。

《个人信息保护法》规定的这些个人信息处理规则、个人所享有的权利、个人信息处理者所承担的义务及法律责任等，都是法定权利、法定义务及法定责任。这是立法为个人与个人信息处理者之间的个人信息处理合同规定的最低要求。无论个人与个人信息处理者之间的个人信息处理合同是否约定这些权利、义务及责任，法律都会视为已经约定。当然，在此基础上，个人与个人信息处理者可以另行约定其他内容。

综上所述，个人信息保护的法律机制主要是合同机制。《个人信息保护法》是一部规范个人信息处理合同的法律并以强制性规定和禁止性规定明确规定了个人基于个人信息处理合同应当享有的基本权利、个人信息处理者基于个人信息处理合同应当承担的基本义务及相应的法律责任。

权利是一个具有发展性的概念，某种利益具有加以保护的必要时，得经立法赋予法律之力，使其成为权利。在权利体系中，请求权处于枢纽地位。任何权利，无论是财产权还是人身权，为了发挥权利的功能，或者停止正在遭受的侵害、预防未来可能遭受的侵害、恢复遭受侵害之前的原状，都需要借助请求权的行使。请求权是由原始权利派生而来的，是原始权利的转换，与原始权利并不是同一事物。依据请求权所依据的原始权利不同，可以将其分为人格权上的请求权、债权上的请求权、物权上的请求权等。因此，行使请求权本身就是一种救济措施。

如前所述，个人信息保护的法律机制主要是合同机制。法律赋予个人基于其个人信息的法律之力主要是请求。因此，当个人认为其个人信息权益受到侵害，拟就其个人信息行使权利时，应当首先向其个人信息处理合同的相对人（某个特定的个人信息处理者）提出请求。为保障个人能够便捷地行使请求权，《个人信息保护法》专门要求个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。

个人就其个人信息向个人信息处理者行使其请求权而被拒绝时，个人与个人信息处理者之间才会产生争议。当个人与个人信息处理者无法自行解决二者之间争议时，个人可以请求公权力机构介入，例如，向负有个人信息保护职责的行政机关进行投诉或者向人民法院提起诉讼。仅就诉讼来说，个人行使其请求权被拒绝后，个人与个人信息处理者之间才会产生“讼”，进而满足由讼成诉的诉讼生成过程。因此，个人拟就其个人信息行使权利时，应当先行向个人信息处理者提出请求，而不能径行提起民事诉讼。如果个人信息处理者拒绝个人提出的有关请求的，个人则可以依法向有管辖权的人民法院提起诉讼，并提供个人信息处理者拒绝其请求的相应证据。

当个人基于其与个人信息处理者之间的个人信息处理合同向个人信息处理者提出请求遭到拒绝时，个人可以依法向人民法院提起诉讼。人民法院应当如何依法满足个人提出的诉讼请求，这就涉及人民法院保护个人信息权益的司法救济措施问题。

关于个人信息权益的救济，个人信息保护制度的作用是事前预防大规模、技术化的个人信息分析评估活动给既有一切民事权益造成系统性风险。因此，《个人信息保护法》中的个人权利被解释为程序性权利。个人基于信息享有的各种权利应当依附于其他既有民事权益，是保护其他民事权益的程序性措施。

依据《个人信息保护法》及基于个人与个人信息处理者之间的个人信息处理合同，信息分析评估场景下个人享有多种程序性权利。在符合法定或约定的条件下，个人有权基于其个人信息向个人信息处理者提出多种请求，例如，有权向个人信息处理者查阅、复制其个人信息，有权请求个人信息处理者更正、补充其个人信息，有权请求删除其个人信息等。同时，《个人信息保护法》也专门要求个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制，以保障个人能够便捷地行使这些请求权。

因此，个人提起民事诉讼，请求人民法院保护基于其个人信息的各种请求权的，人民法院应当重点审查相关请求是否符合请求权行使的要件。例如，个人请求更正、补充其个人信息权的，应当满足“个人信息不准确或者不完整”的要件；个人请求删除其个人信息权的，是否属于法律、行政法规规定的情形。经审查以后，如果个人相关请求符合请求权行使的法定要件或者约定要件的，法院判令个人信息处理者满足该个人的特定请求即可，例如，允许个人查阅、复制个人信息，或者及时更正、补充个人信息，或者及时删除个人信息等。

关于个人信息权益的损害赔偿，个人信息保护制度是事前预防大规模、技术化的个人信息处理活动带来的风险，特别是防止个人信息处理者过度处理个人信息，因此，确保个人信息权益的程序性权利能够得到有效行使是个人信息权益的核心要义，也应当是民事司法救济的重中之重。当个案中个别人确有实际损失的，法院可以适用填平原则判令个人信息处理者给予相应补偿。具体而言，包括以下三方面内容：

第一，个人信息损害赔偿的法律适用。个人信息保护制度的作用是事前预防大规模、技术化的个人信息分析评估活动给既有一切民事权益造成系统性风险，因此，个人信息权益因大规模、技术化信息分析评估而受侵害并造成损害时应当适用《个人信息保护法》第六十九条，非因大规模、技术化信息分析评估而受侵害并造成损害时则应当适用《民法典》第一千一百六十五条第一款，二者不存在竞合或聚合关系。

第二，个人信息损害赔偿的归责原则。《民法典》第一千一百六十五条第二款规定，依照法律规定推定行为人有过错，其不能证明自己没有过错的，应当承担侵权责任。《个人信息保护法》第六十九条第一款规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。由此可见，个人信息处理者大规模处理个人信息造成他人损害、个人请求损害赔偿的，应当适用《个人信息保护法》规定的过错推定原则，即个人须就侵害行为、损害及因果关系等进行举证，而无须举证证明个人信息处理者主观上具有过错。个人信息非因大规模、技术化处理个人信息而受侵害并造成损害的，则应当适用《民法典》第一千一百六十五条第一款规定的过错责任原则，即个人须就侵害行为、个人信息处理者的过错、损害及因果关系等进行举证。

第三，个人信息损害赔偿的计算依据。损害是所有损害赔偿责任的必备要件，没有损害就没有赔偿。通常来说，赔偿数额以受害人所遭受的实际损害为标准。依据《个人信息保护法》第六十九条第二款的规定，侵害个人信息权益的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。此处的“损失”，应当指个人信息权益以外的其他既有民事权益的减损，而且主要是财产上的损失。当然，在个别案件中，如果个人确因个人信息处理者的个人信息处理行为而遭受侵害并造成严重精神损害的，相关个人可以请求精神损害赔偿。

综上所述，笔者认为，要在保障个人信息权益的基础上，通过建立权责明确、保护有效、利用规范的制度规则，从而促进个人信息合理有效利用，推动数字经济健康发展。

本期封面及目录

《中国审判》杂志2024年第1期

中国审判新闻半月刊·总第335期

（关注“中国审判”微信号，获取更多精彩资讯）

编辑/徐畅