论个人信息保护请求权的行使_张新宝.pdf

第 41 卷第 2 期2023 年 3 月政 法 论 坛Tribune of Political Science and LawVol.41,No.2Mar.2023论个人信息保护请求权的行使张新宝摘 要：个人信息保护请求权是为保护个人的知情权、决定权等个人信息权益及其最终保护的若干基本人权、宪法上的权利与自由、民法上的人格权等而设立的程序性权利。个人信息保护法第 50 条规定了个人信息保护请求权的具体行使方式。个人就个人信息保护请求权提起诉讼的，应以个人信息处理者拒绝其行使权利的请求为前提。人民法院处理个人信息保护请求权纠纷，应依据法律、行政法规的规定对个人信息处理者拒绝个人行使权利的正当性进行审查。符合行使个人信息保护请求权的起诉条件的，个人可以就维护权利的合理费用一并提出损害赔偿请求。个人因个人信息被侵害受到人身、财产损害的，可依据个人信息保护法第 69 条的规定直接提起诉讼，不以向个人信息处理者先行提出损害赔偿请求为前提。关键词：个人信息保护请求权；个人信息保护法第 50 条；前置程序；损害赔偿请求权引 言中华人民共和国民法典（以下简称民法典）明确自然人的个人信息受法律保护，初步规定了自然人向信息处理者请求查阅、复制、更正、删除其个人信息的权利，但却未使用个人信息“权”抑或“权益”对个人信息的性质进行界定。中华人民共和国个人信息保护法（以下简称 个人信息保护法）更进一步，设专章规定“个人在个人信息处理活动中的权利”，系统规定了个人享有的知情权、决定权以及查阅、复制、更正、删除等权利，并明确使用“个人信息权益”对个人就个人信息享有的法益类型进行界定。从民法典到个人信息保护法，作为权益的个人信息在法律上的定位逐渐清晰，个人信息权益的内涵逐渐明晰，对个人在个人信息处理活动中的权利进行类型化建构的认识前提已经具备。近来，一些法院对个人行使个人信息保护请求权的案件和个人主张损害赔偿的案件做出判决，在理论界和实务界均已产生较大影响，也有一些问题需要在理论上厘清：第一，个人行使个人信息保护请求权案件的起诉是否存在前置条件。第二，法院应当采用何种标准审查个人信息处理者拒绝个人行使权利的理由是否具有合法性。第三，个人在行使个人信息保护请求权的案件中提出损害赔偿请求的，该损害赔偿的性质与法律适用问题。针对上述问题，本文拟从个人信息权益的本权权益与请求权的区分出发，说明个人信息保护请求权的程序性权利属性，并进一步明确其行使条件，梳理个人信息保护请求权与相关损害赔偿请求权的关系，以期有助于个人信息保护法相关规定的理解适用，推动个人信息保护纠纷的高效处理。作者简介：张新宝，中国人民大学法学院教授。基金项目：本文系国家社科基金重大项目“民法在建设职责明确、依法行政的政府治理体系中的作用研究”（21ZDA050）的阶段性成果。参见任甲玉与北京百度网讯科技有限公司名誉权纠纷案，北京市第一中级人民法院（2015）一中民终字第09558号民事判决书；王淼与北京淘友天下科技发展有限公司隐私权纠纷案，北京市海淀区人民法院(2018)京 0108 民初 25154 号民事判决书；马晓东与重庆两江新区盛际小额贷款有限公司等网络侵权责任纠纷案，北京互联网法院(2021)京 0491 民初 17909 号民事判决书；周彦聪与广州唯品会电子商务有限公司个人信息保护纠纷案，广州互联网法院（2021）粤 0192 民初 17422 号民事判决书；梁某等与某科技有限公司网络侵权责任纠纷案，参见广州互联网法院（2021）粤 0192 民初 14729 号民事判决书。第 2 期27张新宝：论个人信息保护请求权的行使 一、作为权利实现方式的个人信息保护请求权依据权利的功能对权利进行划分，可以得出请求权这一子类型。请求权是指权利主体对义务主体提出请求以满足其利益需求的权利。请求权的行使不形成新的权利义务关系，但可以推动其他实体性权益或权利的实现，因而居于权利体系的枢纽地位。这种意义上的请求权，不是一项民事实体权利，而是其他民事权利的实现方法。任何包含实体权益内涵的权利都需要借助此类请求权实现其本权，这在绝对权中体现得尤为明显，如物权请求权之于物权、人格权请求权之于人格权。个人信息权益内部同样存在实体权益与推动其实现的请求权的结构关系。个人信息权益的内涵具有复杂性，存在多方利益主体和多层次的利益结构，立法直接难以规定个人信息权益的实体内涵，只得规定这一内涵的外在表现及其实现、保护方法。具体而言，个人信息保护法对个人在个人信息处理活动中的权利作了列举性规定，包括知情权、决定权、限制或者拒绝权（第 44 条），以及一系列个人信息保护请求权，包括查阅和复制、转移、更正和补充、删除等权利（第 45-48 条）。这些规范呈现的权利群表现为实体性权益的反映和保护实体性权益的权利。个人信息保护法规定的查阅、复制、转移、更正和补充、删除等权利，具备请求权的权利外观：这些权利是个人请求个人信息处理者为一定行为的权利；个人的此等权利之实现，有赖于个人信息处理者的一定行为。从功能上来说，这些请求权本身并不包含独立的实体性权益，而发挥着推动个人信息权益中的实体内容实现的作用。学界对个人信息权益包含的实体权益或者说本权权益已经进行了较为充分的系统讨论。本文仅以“个人自治个人的知情权个人的查阅权”为例，尝试说明个人信息保护请求权在个人信息权益体系中的地位及其行使路径。个人信息权益包含的实体权益，是指个人信息上承载的受法律保护的人格、财产等私法利益以及平等、通信自由等公法权利。个人自治指个人自主决定个人事务，是个人信息权益的重要组成部分。信息社会背景下的自治危机更具隐蔽性，它并不通过外力强迫干涉个人的自主选择，而是通过对个人提供特定内容的信息使个体陷入“信息茧房”，引导个人作出特定选择。有观点认为，在信息社会法律秩序下，算法对资源分配中的作用日益凸显，算法在成为影响资源分配的主导因素的同时，加剧了信息不对称，引发了意思自治危机。要推动个人在信息社会实现个人自治，就需要消解信息壁垒、对抗算法对个人的控制倾向，故法律有必要赋予个人以知情权。通过知情权，个人得以知晓在个人信息处理活动中与其自身利益密切相关的事项，这是个人实现个人自治、维持其人格尊严的先决条件。就此而言，知情权是个人信息权益中的基础性权利，它直接与个人信息承载的法益相关联。查阅权本身并不包含独立的实体权益内容，而是被类型化的知情权实现方式。知情权描述了权利主体对其个人信息应享有的支配状态，而欲达成这一状态，个人还需享有向个人信息处理者提出主张的请求权，查阅权即为之一。一方面，查阅权的行使不是权利人维持对其个人信息的知情状态的唯一路径，查阅权所能推动实现的实体权益无法完全涵盖知情权的范围，知情权存在创设出其他类型请求权的可能。另一方面，查阅权所能推动实现的实体权益亦无法超出知情权的范围，个人能否、如何向信息主体提出查阅请求应被包含于对知情权条款的解释结果之中。从权利生成历史来看，个人的知情权是个人的控制性信息权利，其内涵形成可追溯到 1973 年美国“个人数据自动系统建议工作组”提出的“公平信息实践准则报告”，并较早在制定法中作为原则性规定出现（1974 年美国隐私法案）；而具备程序性内涵的查阅权（“访问权”）参见王泽鉴：民法总则，北京大学出版社 2009 年版，第 101 页。参见杨立新：民法典对我国民事法律权利保护方法的成功改造，国家检察官学院学报2022 年第 4 期。参见程啸：论我国民法典中个人信息权益的性质，政治与法律2020 年第 8 期；王锡锌：个人信息权益的三层构造及保护机制，现代法学2021 年第 5 期；高富平、尹腊梅：数据上个人信息权益：从保护到治理的范式转变，浙江社会科学2022 年第 1 期；王利明：论数据权益：以“权利束”为视角，政治与法律2022 年第 7 期。参见 荷 玛农奥斯特芬：数据的边界：隐私与个人信息保护，曹博译，上海人民出版社 2020 版，第 45 页。参见张文显：构建智能社会的法律秩序，东方法学2020 年第 5 期。参见万方：算法告知义务在知情权体系中的适用，政法论坛2021 年第 6 期。决定权与更正权、删除权之间也存在类似关系。有学者指出，更正权与删除权之间存在“权利空隙”，基于个人信息权益的内涵，尚有解释出其他类型权利如“数据限制处理权”的可能。参见崔聪聪：数据限制处理权的法理基础与制度建构，比较法研究2022 年第 5 期。28政 法 论 坛2023 年的提出则晚于知情权，见诸 2000 年美国联邦贸易委员会提出的“四项广为接受的公平信息实践”。可见，查阅权本质上是基于知情权的内涵，由知情权创设出来的权利实现方式。在法律已对知情权作出明确规定的情况下，法律仍将查阅行为类型化为一项请求权，包括以下两点理由。其一，查阅行为是信息社会个人易于主张的最普遍、最有效的实现个人知情权的路径，法律将其规定为查阅权，能够降低信息社会的运行成本。其二，个人查阅个人信息需符合法定程序、借助于相对人的配合完成，这是一种温和有序的权利实现方式。法律规定查阅权，能够引导权利主体规范行使权利。个人信息保护法第 50 条进一步对个人行使查阅权等权利的具体程序作出了规定。法律在规定查阅权及其行使程序的同时，也暗含了个人通过侵入信息系统等方式自行获取个人信息等行为的非法性，划定了权利行使的边界。从这个角度来说，查阅权的规定包含了对实现知情权的正当程序要求，即个人在个人信息处理中的实体性权利，只有在明确、相称的程序支持下才能达成其目的。此外，查阅权作为法定的知情权实现方式之一，构成了对知情权内涵的限制，避免了知情权成为一项泛化的绝对权利、进而阻碍正常的社会交往和信息处理需要。概言之，法律规定查阅权，并非基于查阅权包含独立的实体权益，而是基于查阅权在推动知情权实现、引导权利规范行使方面的积极功能。在这对权利关系中，知情权是具备概括性的实体权益内涵、借助其他程序性权利实现的权利，本文称之为个人信息权益中的“本权”；查阅权是推动知情权实现的权利，其与物权请求权、人格权请求权等在外观上存在相似性，本文称之为“个人信息保护请求权”。基于对知情权与查阅权关系的认识，不难对个人信息保护法第四章“个人在个人信息处理活动中的权利”进行本权与个人信息保护请求权的区分。第 44 条规定的知情权、决定权、限制或者拒绝权，均具备独立的实体权益内容，无法被其他权利所涵盖，是个人信息权益中的本权。第 4548 条规定的一系列请求权，或体现为前述权利的实现方法（如查阅权），或是前述权利的保护方法（如更正权），是个人信息保护请求权。尽管个人信息保护请求权在推动本权实现的作用方式上与民法上的绝对权请求权类似，其本质上仍然不同于民法上的请求权，更不是一种人格权请求权。个人信息保护请求权是个人的知情权、决定权、限制或拒绝权等本权衍生出来的程序性权利，其推动实现的实体权益与人格权相比更加丰富：基于个人信息处理带来的个人自治危机、个人信息化形象失真、数字隐性歧视、私密信息泄露等风险，个人对个人信息的控制体现了其人格尊严；个人信息可能成为他人侵害信息主体人身财产安全的媒介，个人对个人信息的控制是维护其人身财产安全所必需；信息的分享交流与通信活动密切相关，个人对个人信息的控制是保有其通信自由、通信秘密的前提条件。另外，从作用方式上看，民法上的绝对权请求权多体现为一种防御性质的权利，而个人信息保护请求权还发挥了积极推动本权实现的作用，如查阅权、复制权之于知情权。二、个人信息保护请求权的行使程序个人信息保护法第 50 条规定了个人信息处理者的程序义务和个人的起诉权利。从整体看，本条分两款规定了个人行使个人信息保护请求权的路径，分为两个阶段：（1）向相关的个人信息处理者提出请求。个人行使查阅、复制、转移、删除、要求说明等权利，应先向个人信息处理者提出请求。在此等请求得到实现的情况下，个人自无进一步寻求司法保护的必要。（2）于个人信息处理者拒绝之情形，个人的个人信息保护请求权无法在个人与个人信息处理者之间实现，此时个人可以依法向人民法院提起诉讼。（一）个人信息处理者的程序义