文 | 黃熊律師
自然人的“個人信息”，需要進行法律保護，此點各界看法從來一致，《民法典》第111條、第1034條中也已有明定。但是，到底應當以“權(quán)利”的方式，還是“法益”的方式來保護，到底是制定單行法保護，還是在《民法典》中規(guī)定足矣，卻有不同識見。隨著《個人信息保護法》的公布實施，上述問題的答案似已明確，爭議將逐漸消除。本文就個人信息主體的權(quán)利內(nèi)容和受到侵害時如何救濟，進行簡要探討。一、個人信息主體的
“十項”基本權(quán)利內(nèi)容
個人信息主體對與自身相關的個人信息，享有支配并排除他人侵害的權(quán)利，該權(quán)利屬于具體人格權(quán)的一種。在各種具體應用場景中，包含至少如下10項具體內(nèi)容：1、知情權(quán)。《民法典》并未規(guī)定這些權(quán)利，而是《個人信息保護法》第45條進行了規(guī)定：個人對其個人信息的處理享有知情權(quán)、決定權(quán)，有權(quán)限制或者拒絕他人對其個人信息進行處理。在個人信息處理中，同意規(guī)則是“帝王規(guī)則”，而“同意”的前提是“知情”。由此，知情權(quán)是最為基本的內(nèi)容。根據(jù)《個人信息保護法》第17條規(guī)定，個人信息處理者在處理個人信息之前，應當以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知個人信息相關事項，包括：（一）個人信息處理者的名稱或者姓名和聯(lián)系方式；（二）個人信息的處理目的、處理方式，處理的個人信息種類、保存期限；（四）法律、行政法規(guī)規(guī)定應當告知的其他事項。除普通的個人信息處理者要履行告知義務，使得個人信息主體得以享有知情權(quán)外，即便國家機關為履行法定職責處理個人信息，根據(jù)《個人信息保護法》第35條規(guī)定，也應當履行告知義務，除非屬于保密、不需要告知或者告知將妨礙國家機關履行法定職責三個例外。2、決定權(quán)、限制權(quán)以及拒絕權(quán)。與知情權(quán)類似，《民法典》也未規(guī)定這些權(quán)利。個人信息主體對自己的個人信息享有權(quán)利，最根本的內(nèi)容是決定權(quán)。個人享有對自己的個人信息是否利用、以何種方式利用、利用深度和范圍等事項的決定自由?！皼Q定”更多在己，“限制”和“拒絕”則更具有權(quán)利保護作為性質(zhì)。個人信息主體對他人進行個人信息處理，享有限制目的、方式、范圍等權(quán)利，甚至在必要時，直接拒絕的權(quán)利。3、查閱權(quán)。不僅《民法典》（第1037條），而且《個人信息保護法》（第45條），都規(guī)定了該項權(quán)，即“個人有權(quán)向個人信息處理者查閱、復制其個人信息”、“個人請求查閱、復制其個人信息的，個人信息處理者應當及時提供”，也就是說，該項權(quán)利的權(quán)利主體是“個人信息”中的“個人”，義務主體是個人信息處理者，包括對個人信息進行收集、存儲、使用、加工、傳輸、提供、公開等操作中的一個主體或多個主體。查閱權(quán)的行使，不僅保證個人信息處理的基本原則即“公開透明原則”的落地，更是行使其他輔助性權(quán)利的前提，比如知情權(quán)、更正補充權(quán)、刪除權(quán)等。因此，查閱個人信息的權(quán)利，在整個個人信息保護權(quán)利體系中具有重要地位。根據(jù)《信息技術(shù)安全 個人信息安全規(guī)范》（GB/T 35273-2020）的規(guī)定，個人信息控制者應向個人信息主體提供查詢下列信息的方法：a)其所持有的關于該主體的個人信息或者個人信息的類型；c)已經(jīng)獲得上述個人信息的第三方身份或類型。4、復制權(quán)。《民法典》（第1037條）和《個人信息保護法》（第45條），均規(guī)定了復制權(quán)。由于個人信息保護的關鍵在于個人對自己相關信息的控制與利用，因此，個人信息主體享有復制權(quán)，可以使個人有可能獲取和移植自身數(shù)據(jù)，從而對實現(xiàn)個人信息自決權(quán)益具有決定意義。按照《信息技術(shù)安全 個人信息安全規(guī)范》（GB/T 35273-2020）的規(guī)定，應個人信息主體的請求，個人信息控制者宜為個人信息主體提供獲取以下類型個人信息副本的方法，或者在技術(shù)可行的前提下直接將以下類型個人信息的副本傳輸給個人信息主體指定的第三方：在行使復制權(quán)過程中，要注意復制權(quán)的相對性。根據(jù)《個人信息保護法》規(guī)定，如果個人信息處理者沒有告知義務，則無接受復制、查詢請求的義務。在依據(jù)法律、行政法規(guī)規(guī)定應當保密或者不需要告知的情形，或者告知個人信息將妨礙國家機關履行法定職責三種情形下，則個人信息處理者不承擔復制、查詢義務，即個人此情形下將不再享有復制、查詢權(quán)。5、可攜帶權(quán)。《民法典》及其之前的法律法規(guī)，未明確記載此項權(quán)利，《個人信息保護法》首次予以規(guī)定，即個人可以請求將自己的個人信息轉(zhuǎn)移到指定的個人信息處理者中。該項權(quán)利實現(xiàn)了“數(shù)據(jù)跟我走”的自由流動目的。傳統(tǒng)做法中，要將個人信息由一個主體流轉(zhuǎn)到另一個主體，需要個人信息主體分別對數(shù)據(jù)托管方企業(yè)、數(shù)據(jù)應用方企業(yè)進行授權(quán)，且通常要求兩個企業(yè)（平臺）之間簽署個人信息處置的相關協(xié)議，這種“三角授權(quán)”模式，給數(shù)據(jù)流動增加了障礙?？蓴y帶權(quán)的規(guī)定，沖破了這種舊模式，使數(shù)據(jù)價值得以充分釋放。6、更正補充請求權(quán)。保護個人信息的相關規(guī)定位于《民法典》人格權(quán)編，關涉人格尊嚴，任何個人信息的不實、錯誤或者對其內(nèi)容的扭曲都會或多或少影響個人社會形象的塑造，讓個人在社會中的發(fā)展，偏離自己的預期。根據(jù)《民法典》第1037條規(guī)定：“發(fā)現(xiàn)信息有錯誤的，有權(quán)提出異議并請求及時采取更正等必要措施”，以及《個人信息保護法》第46條規(guī)定：“不準確或者不完整的，有權(quán)請求個人信息處理者更正、補充”，可知，在個人信息記載錯誤、不準確兩種情形下，個人信息主體有權(quán)請求更正，在個人信息記載不完整的情形下，有權(quán)請求補充。7、刪除請求權(quán)。《民法典》第1037條規(guī)定了刪除請求權(quán)，個人信息主體有權(quán)請求信息處理者及時刪除的條件，是“發(fā)現(xiàn)信息處理者違反法律、行政法規(guī)的規(guī)定或者雙方的約定處理個人信息”。《個人信息保護法》在此基礎上，進一步擴展了適用的條件，其47條規(guī)定：“（一）處理目的已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要；（二）個人信息處理者停止提供產(chǎn)品或者服務，或者保存期限已屆滿；（三）個人撤回同意；（四）個人信息處理者違反法律、行政法規(guī)或者違反約定處理個人信息；（五）法律、行政法規(guī)規(guī)定的其他情形”也屬于個人可以請求刪除的情形。當然，在上述情形下，個人信息處理者應當主動刪除，確保個人信息主體的刪除請求權(quán)實現(xiàn)。需要注意的是，如前所述，刪除請求權(quán)的行使是有條件的，不同于遺忘權(quán)，且刪除請求權(quán)性質(zhì)是一項請求權(quán)，而不是絕對性質(zhì)的權(quán)利。8、解釋說明請求權(quán)。《民法典》第1035條中規(guī)定，處理個人信息要公開處理信息的規(guī)則，明示處理信息的目的、方式和范圍。《個人信息保護法》在此基礎上更進一步，不僅規(guī)定信息處理者具有公示規(guī)則的義務，而且要求在個人對個人信息處理者提出要求時，予以解釋說明的義務。個人信息主體享有的個人信息權(quán)益（包括但不限于上述內(nèi)容），如果遭遇侵害，當有法律救濟途徑。法諺有云：“無救濟，則無權(quán)利”。對權(quán)利最重要的救濟方式，就是要求破壞權(quán)利者承擔侵權(quán)責任。《民法典》作為實體法，未規(guī)定實現(xiàn)權(quán)利內(nèi)容的程序，而《個人信息保護法》則是實體權(quán)利與程序規(guī)范的合一，為權(quán)利的救濟提供的請求權(quán)基礎。根據(jù)《個人信息保護法》第50條規(guī)定：“個人信息處理者拒絕個人行使權(quán)利的請求的，個人可以依法向人民法院提起訴訟”，以及第69條規(guī)定：“處理個人信息侵害個人信息權(quán)益造成損害，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償?shù)惹謾?quán)責任?！?/span>可知，無論是前述提到的10項權(quán)利遭遇行使障礙，還是個人權(quán)益遭受損害，均具有可訴性。但是，從上述兩個條文來看，其反映的請求權(quán)性質(zhì)不同：前者應歸于人格權(quán)請求權(quán)，后者應歸于損害賠償請求權(quán)，兩者的侵權(quán)構(gòu)成要件不同。“人格權(quán)請求權(quán)”規(guī)定于《民法典》人格權(quán)編第995條。該條規(guī)定：“人格權(quán)受到侵害的，受害人有權(quán)依照本法和其他法律的規(guī)定請求行為人承擔民事責任。受害人的停止侵害、排除妨礙、消除危險、消除影響、恢復名譽、賠禮道歉請求權(quán)，不適用訴訟時效的規(guī)定?！?/span>個人信息權(quán)益作為具體人格權(quán)的一種，當遭受侵害時，當然可以依賴于人格權(quán)請求權(quán)進行救濟。個人信息處理者如果拒絕個人行使復制權(quán)、查詢權(quán)、更正補充權(quán)、刪除請求權(quán)等，則構(gòu)成侵權(quán)，即依據(jù)《個人信息保護法》第50條以及《民法典》第995條規(guī)定，行使人格權(quán)請求權(quán)，要求個人信息處理者承擔停止侵害、排除妨礙、消除影響等民事責任。需要注意的是，這里并未考察個人信息處理者是否存在過錯、個人信息主體是否遭受到損害后果以及個人信息處理者行為與后果之間是否存在因果關系，這正是人格權(quán)侵權(quán)和損害賠償請求權(quán)的重要區(qū)別。由此，基于人格請求權(quán)維護個人信息權(quán)利的構(gòu)成要件，通常只有一個，即個人信息處理者“拒絕”個人行使權(quán)利。在訴訟中，保有被拒絕的證據(jù)，已為具足。“損害賠償侵權(quán)請求權(quán)”規(guī)定于《民法典》侵權(quán)責任編第1165條。該條規(guī)定：“行為人因過錯侵害他人民事權(quán)益造成損害的，應當承擔侵權(quán)責任?！?/span>根據(jù)前述《個人信息保護法》第69條和《民法典》的上述規(guī)定，個人信息侵權(quán)行為的構(gòu)成要件包括：違法行為、損害后果、因果關系和主觀過錯。侵權(quán)行為的非法性，是受到法律責難的基礎。侵害個人信息的行為的違法性體現(xiàn)在違反法律、行政法規(guī)、部門規(guī)章等的規(guī)定，并不局限于《民法典》人格權(quán)編、《個人信息保護法》的規(guī)定。這些違法行為包括非法獲取、非法出售、非法向他人提供、非法泄露、非法篡改、非法毀損等。侵權(quán)責任的損害后果，是損害賠償請求權(quán)的重要因素。損害后果表現(xiàn)在兩個方面：財產(chǎn)損害和精神損害。對于敏感信息，泄露后可能給當事人帶來較大的物質(zhì)損害，也可能帶來精神損害。財產(chǎn)損失包括被侵權(quán)人為制止侵權(quán)行為所支付的合理開支，被侵權(quán)人或者委托代理人對侵權(quán)進行調(diào)查取證的合理費用，諸如律師費等均在賠償范圍之內(nèi)。但是無所質(zhì)疑的是，在個人信息侵權(quán)案件中，個人信息主體無論要證明財產(chǎn)損害，還是證明精神損害，都具有相當難度。根據(jù)《個人信息保護法》第69條第2款的規(guī)定，損害賠償?shù)臄?shù)額分兩層次考慮：一是考慮個人因此受到的損失或者個人信息處理者因此獲得的利益；二是考慮實際情況來確定賠償數(shù)額。第一層次優(yōu)先，第二層次保底。根據(jù)《最高人民法院關于審理利用信息網(wǎng)絡侵害人身權(quán)益民事糾紛案件適用法律若干問題的規(guī)定》，人民法院可以根據(jù)具體案情在50萬元以下的范圍內(nèi)確定賠償數(shù)額。侵權(quán)責任的因果關系，是連接“違法行為”和“損害后果”的紐帶。損害后果的確定具有較高難度，因果關系的確定難度亦然較大，主要表現(xiàn)在：第一，個人信息處理包括收集、存儲、使用、加工、傳輸、提供、公開等多個環(huán)節(jié)、多個主體，每個環(huán)節(jié)都可能發(fā)生侵權(quán)行為，受害者很難準確獲知誰是真正的直接侵權(quán)人，侵權(quán)行為真正發(fā)生在哪個環(huán)節(jié)，繼而無法確定誰的行為與損害后果有因果關系。第二，個人信息侵權(quán)可能存在諸如泄露個人信息的直接侵權(quán)者，也可能存在為泄露者創(chuàng)造條件的間接侵權(quán)者，如何確定直接侵權(quán)和間接侵權(quán)與損害后果的原因力大小，繼而確定因果關系的成立與否，亦有難度。盡管基于個人信息損害賠償請求權(quán)主張權(quán)利有難度，但在具體認定侵權(quán)行為時，仍然應當全面考察包括過錯在內(nèi)的上述四個要件。對于證明責任的分配，可以充分利用個人信息侵權(quán)的特殊舉證規(guī)則，即后續(xù)將敘述的過錯推定原則。侵權(quán)行為成立與否、侵權(quán)責任是否最終需要承擔，除了考察其依據(jù)不同的請求權(quán)基礎而形成的各自構(gòu)成要件是否得到滿足外，還需要分析是否存在免責事由。對于免責事由，除《民法典》總則編“民事責任”一章以及侵權(quán)責任編“一般規(guī)定”一章的常規(guī)免責事由外，更重要的是關注《民法典》中針對個人信息保護規(guī)定的專門免責事由。即《民法典》第1036條規(guī)定了三種法定免責事由：一是知情同意后合理實施免責；二是合理處理已合法公開信息免責；三是基于公共利益或維護自然人合法權(quán)益合理實施免責。對于第一個免責事由：知情同意。對他人個人信息進行利用，最廣泛、最基本的合法依據(jù)是知情同意。個人信息處理者在權(quán)利人授權(quán)同意的范圍內(nèi)使用個人信息，則不承擔侵權(quán)責任。但是，對于該免責事由，要注意法律規(guī)定的限制性條件，即即便已知情同意，但仍有實施“范圍”之大小的限定和“合理”之程度限制，只有三個條件同時滿足，才能排除侵權(quán)而歸于無責。此外，如果個人信息權(quán)利主體是無民事行為能力或限制無民事行為能力，“知情同意者”并非個人信息主體本人，而是取得其監(jiān)護人的同意。對于第二個免責事由：合法公開合理處理。自然人自行公開或者經(jīng)合法程序公開個人信息，表明個人信息主體已經(jīng)對個人信息可能遭遇的利用產(chǎn)生的利益得失進行過權(quán)衡，在合法公開后，被第二次合理利用，通常情況則不能再行要求“知情同意”。只要進行個人信息處理者是合理處理，當構(gòu)成免責。當然，如果自然人明確拒絕或者處理該信息侵害其重大利益，則表明個人信息權(quán)利主體已對前次的同意予以否決，重新表達了新的意見，應當尊重該新意見，在此情形下，如果再擅自處理個人信息，應當屬于侵權(quán)，不在免責范圍內(nèi)。對于第三個免責事由：維護公共利益或自然人利益。公共利益涉及更廣泛人員，在中國傳統(tǒng)觀念之下，應當充分考慮公共利益與個人利益之間的平衡。此處的公共利益，包括國家公權(quán)力機關為了制定國家經(jīng)濟、社會政策的需要而處理有關公民的個人信息，或是為了國家安全、公共安全、公共衛(wèi)生等處理相關個人信息，以及與刑事偵查、起訴、審判和判決執(zhí)行相關等事務而需要處理的個人信息。在司法實務中，需要注意要避免以公共利益為名濫用該免責事由，以及具體運用時超出“合理”范疇。《民法典》對個人信息侵權(quán)中舉證責任的承擔，未進行規(guī)定，而是規(guī)定于《個人信息保護法》。該法第69條規(guī)定：“處理個人信息侵害個人信息權(quán)益造成損害，個人信息處理者不能證明沒有過錯的，應當承擔損害賠償?shù)惹謾?quán)責任”。根據(jù)《民法典》第1165條規(guī)定：“行為人因過錯侵害他人民事權(quán)益造成損害的，應當承擔侵權(quán)責任；依照法律規(guī)定推定行為人有過錯，其不能證明自己沒有過錯的，應當承擔侵權(quán)責任”。由此，過錯原則是基本的侵權(quán)歸責原則，在法律未有特別規(guī)定的情況下，舉證責任分配應當貫徹“誰主張、誰舉證”的規(guī)則。要適用過錯推定原則，必須有法律的明確規(guī)定。個人信息侵權(quán)適用過錯推定原則，《個人信息保護法》則提供了明確的法律依據(jù)。個人信息侵權(quán)適用過錯推定原則，要求在舉證責任承擔上，個人信息處理者應當主動證明自身沒有過錯，如果能夠證明自身沒有過錯，則不承擔侵權(quán)責任，否則，應當承擔侵權(quán)責任。這種侵權(quán)責任的分配原則，是充分考慮個人信息侵權(quán)的實際情況，權(quán)利主體與信息處理者在經(jīng)濟實力、舉證能力、信息對稱程度等方面的差異，而規(guī)定的符合實際的規(guī)則。盡管在個人信息侵權(quán)上適用過錯推定原則，但并非否定個人信息主體在維權(quán)中的“零”舉證。通常，個人信息主體仍要提供證據(jù)證明如下事項：（1）個人信息權(quán)利主體的身份情況；（2）個人信息受到侵害的起因、經(jīng)過等事實內(nèi)容；（3）個人信息權(quán)益受到侵害造成的損害情況；（4）信息收集者、持有者違反法律、法規(guī)收集、使用信息的其他情形。同樣地，個人信息收集者主張自己無過錯不構(gòu)成侵權(quán)，或者具有免責事由不承擔責任，也應當舉證證明：（1）收集使用自然人個人信息遵循了合法、正當、必要的原則；（2）明示了收集、使用信息的目的、方式和范圍；（3）征得該自然人或者其監(jiān)護人同意，法律、行政法規(guī)規(guī)定無須征得自然人或者其監(jiān)護人同意的除外；（4）采用了確保個人信息安全的嚴格技術(shù)措施和其他必要措施；（5）其他已經(jīng)履行法律、行政法規(guī)或者雙方約定規(guī)定的合法收集、使用個人信息義務的情形。總之，舉證責任的分配，關乎當事人維權(quán)勝敗，應當結(jié)合個人信息侵權(quán)案件的特點、雙方舉證能力強弱、舉證成本大小等多種因素，依據(jù)《民法典》《個人信息保護法》的規(guī)定，審慎分配舉證責任。
黃熊律師
京師律所IP訴訟法律事務部主任
黃熊律師，京師律所合伙人律師、京師律所新聯(lián)會常務副會長，北京互聯(lián)網(wǎng)法院、廣州互聯(lián)網(wǎng)法院特邀調(diào)解員、中國中小企業(yè)協(xié)會調(diào)解中心調(diào)解律師、法治網(wǎng)優(yōu)秀合作律師、北京市律師協(xié)會第十一屆專利法律委員會委員、北京市朝陽區(qū)律師協(xié)會知識產(chǎn)權(quán)委員會委員、中央電視臺CCTV公益律師、CCTV“十大人氣律師”；為阿里巴巴、華為、360、騰訊、網(wǎng)易、搜狗、錘子科技、國家電網(wǎng)系統(tǒng)、國電能源研究院等一大批知名公司提供全項或知識產(chǎn)權(quán)專項法律服務；撰寫理論或?qū)崉仗接懳恼聰?shù)十篇，被國家知識產(chǎn)權(quán)局、專利復審委網(wǎng)站、各大法律公眾號以及各類專業(yè)期刊、報紙持續(xù)登載，廣受好評。
核心業(yè)務領域：知識產(chǎn)權(quán)、合同、侵權(quán)、勞動以及婚姻家事等民商事領域，集團訴訟、行政訴訟以及重點刑事案件。
本微信公眾號對所有原創(chuàng)、轉(zhuǎn)載、分享的內(nèi)容、陳述、觀點判斷均保持中立，推送文章僅供讀者參考。本公眾號發(fā)布的文章、圖片如有作者來源標記有誤或涉及侵權(quán)，請原創(chuàng)作者友情提醒并聯(lián)系小編刪除。
關注京師律所各大官方平臺
聯(lián)系我們
地址：北京市朝陽區(qū)東四環(huán)中路37號
本站僅提供存儲服務，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請
點擊舉報。
