论敏感个人信息的侵权保护_王鹏鹏.pdf

第 卷 第 期总第一八期 作者简介：王鹏鹏，福建师范大学法学院副教授基金项目：中国博士后基金第 批面上资助项目“大数据时代下个人信息保护法律问题研究”（）收稿日期：，（）；，（）如杭州互联网法院（）浙 民初 号民事判决书、西安市中级人民法院（）陕 民初 号民事判决书等。：论敏感个人信息的侵权保护王鹏鹏摘要：敏感个人信息与私密信息之间存在区分，“敏感性”需要客观的法律标准予以认定，“私密性”是主观认识。场景理论的引入将缓和敏感个人信息界定的僵化。敏感个人信息侵权的主要表现形式为对隐私权的侵害、诱发下游犯罪以及引起不必要的歧视。这些损失发生需要通过精神损害赔偿和财产性损害赔进行弥补。其中，损失可以通过缓和“严重的精神损害”、延伸“差额说”、信息主体获得利益等规则立体确定。个人信息保护法第二章规定的“敏感个人信息的处理规则”是事前防御性规则，处理敏感信息时违反该规定将被认为有过错。个人信息保护法中规定的过错推定原则与民法典中的过错原则并不存在实质冲突，而是协调统一的。关键词：敏感个人信息；私密信息；场景理论；信息侵权；归责原则中图分类号：文献标识码：文章编号：（）一、问题的提出大数据时代，个人信息侵权已经成为当下普遍且广泛存在的新型侵权类型。其中，敏感个人信息泄露或者非法使用，将导致更为严重的损害结果。敏感个人信息的保护力度应该比一般个人信息的保护力度更大。中华人民共和国民法典（以下简称民法典）并没有对敏感个人信息进行界定，在立法上存在缺失和留白。个人信息保护法填补了法律对于敏感个人信息保护的空白。个人信息保护法第二章专门规定了“敏感个人信息的处理原则”，为敏感个人信息的处理提供了基本的指引，但也没有就敏感个人信息侵权责任的承担提出更为详细的规定。敏感个人信息侵权的立法缺失导致司法裁判的困惑。信息处理者在个人信息处理过程中，利用自身的技术优势，包括信息收集、算法技术，不断地加工和处理与个人紧密相关的信息，从而做出有利于特定目的的决策结果，实现商业需求。商业行为本身的趋利性，将诱使信息处理者在处理个人信息的过程中，损害个人的信息权益。信息处理者在不当使用敏感个人信息时，不仅可能会侵犯信息主体的隐私，而且还可能诱发下游犯罪以及社会分选歧视等。如，大量的酒店住宿信息被不当泄露、人脸识别信息被不当采集、防疫核酸检测信息被贩卖等。同时，敏感个人信息侵权的损害认定过于严苛，信息主体无法证明其因信息泄露而遭受财产侵害，无法获得赔偿；部分法院甚至以信息处理者侵犯信息主体的敏感信息并没有达到严重的损害结果为由，不支持信息主体的侵权责任主张。此外，信息主体对于敏感个人信息侵权发生的损害结果不知悉，造成大量的敏感个人信息侵权事件得不到有效的救济。这都在客观上降低了信息处理者侵权的成本。敏感个人信息损害是一种新型的侵权类型，需要在理论上予以探讨。敏感个人信息损害的私法保护有如下问题亟待明确：一是敏感个人信息的界定。尽管个人信息保护法在第 条对敏感个人信息进行了规定，但是其和民法典上的私密信息关系是怎样的？二是敏感个人信息侵权的损害结果认社会科学版 定。敏感个人信息侵权结果就是出现损害，但是，敏感个人信息侵权的损害结果往往并不是侵犯个人信息权益本身所造成的，更多的是侵犯信息主体的隐私、下游犯罪、不必要的歧视等，这些损害该如何确定？三是敏感个人信息侵权保护。个人信息保护法专门规定了“敏感个人信息的处理原则”，违反上述原则是否就可以认定行为人的“过错”？同时，个人信息保护法第 条对于一般个人信息侵权的归责路径采取过错推定原则，而民法典对于私密信息侵权的归责原则似乎采取的是过错原则，那么，敏感个人信息侵权的归责原则该采取何种模式？上述这些问题亟待进一步研究。二、敏感个人信息认定标准的检视敏感个人信息的侵权责任承担的前提是对其内涵和外延有清晰的认识。个人信息保护法第 条第 款对敏感个人信息作出了界定，描述了敏感个人信息的风险内容、风险程度以及风险发生的可能，具有一定的进步意义。（一）敏感个人信息的“敏感性”考量敏感个人信息的界定在个人信息保护法中采取的是“概括列举”相结合的方式，这不仅为理解敏感个人信息提供了一定的弹性，而且还明确了若干常见的类型。但是，敏感个人信息的“敏感”更多的是主观上的认识，并没有具体的标准，存在极大的主观评价空间，给司法实践以及法律适用带来一定的困惑。敏感个人信息的“敏感”程度的主观标准不具有科学性。敏感个人信息的“敏感性”的主观标准因不同个体有不同的感知。如婚恋信息，有些人将此类信息视为极为敏感的信息，而有些人则将此类信息对外公开，并不认为是敏感个人信息。据此，有学者认为敏感个人信息是用户真正关心的个人信息。也有学者认为，技术驱动下的信息都带有一定的敏感性。但是，敏感个人信息若如此界定将会造成概念泛化，导致个人信息的“敏感”范围无限扩大。敏感个人信息若受到“敏感”这一语义的束缚，将无法走出主观认知的泥潭。信息主体对于“敏感性”的认识，具有较大的主观评价空间，需要较为准确的法律实证资料以及客观的评价标准进行界定。敏感个人信息的“敏感”界定需要客观评价标准。敏感个人信息的界定通过列举的方式进行界定存在困难。目前，在个人信息保护法上规定的“生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的个人信息”七种类型的信息，显然无法满足社会生活的现实需要。立法机构在概括的标准中提出了对信息主体容易造成危险的信息。敏感个人信息的高风险性且容易造成信息主体的人格、财产、人身受到威胁，该规定具有一定的兜底性作用。从敏感个人信息不当使用的结果看，可以有以下的判断维度：首先，敏感个人信息造成人格尊严的损害。人格尊严作为人生存的基本前提，需要法律予以特殊的保护。敏感个人信息的泄露，如医疗健康信息，可能造成不必要的就业歧视。其次，敏感个人信息造成的人身损害。人身损害是基于敏感个人信息被不当的适用所造成的。如信息主体的行踪轨迹被非法使用，造成的损害结果可能被下游犯罪利用，如故意伤害、非法拘禁绑架等。最后，敏感个人信息造成的财产损失。敏感个人信息被不当使用，如金融账户信息，将极易导致信息主体的财产损失。敏感个人信息在实务中的“敏感性”判定需要遵循一定的逻辑递进层次。首先，敏感信息应该是个人信息，只有能够识别出信息主体的身份，才有进一步讨论和识别的必要。如果一个信息无法识别出特定的身份，则就不能称之为“敏感个人信息”。如基因片段都蕴含着巨大医疗健康信息，但是如果没有同特定的主体进行链接，则也很难作为敏感个人信息。其次，敏感个人信息并不是个人主观的心理要素判断，而是具有客观法律保护标准的特定客体。现有法律所界定的容易造成人格尊严、人身、财产受到损害的个人信息，是以损害结果为导向所做的判断。最后，敏感个人信息的判断标准需要兼采具体场景进行判断。随着信息技术的不断发展以及应用场景的不断丰富，敏感个人信息的外延将不断扩展，此时就需要引入具体的场景进行判断。（二）信息“敏感性”与“私密性”的区分民法典上将个人信息区分为私密信息与非私密信息，但个人信息保护法并没有延续民法第 卷 第 期总第一八期 典对于个人信息的区分，而是将个人信息区分为敏感信息和非敏感信息。这就带来一大疑惑：私密信息与敏感信息关系如何？是否为同一法律客体？敏感个人信息与私密信息属于法律保护的不同客体。个人信息保护法的立法目的在于“规范个人信息处理活动”，调整的是信息主体与信息处理者之间的权利义务。敏感个人信息主体与处理者之间，二者在专业、技术以及资金上都存在显著的差距。个人信息保护法通过权利义务的分配，更为注重保护敏感个人信息主体的信息利益。民法典将私密信息置于人格权编中，并且将其作为一种隐私权保护的具体类型，调整的是平等主体之间的权利义务，在法律上并不需要实质的利益的倾斜保护。从个人敏感信息与隐私权的实践上看，随着信息社会的不断推进，敏感个人信息和隐私权的内涵和外延将不断的融合。敏感个人信息与私密信息的关系在理论上也有不同的认识。有学者认为，敏感个人信息与私密信息之间是交叉重合的，一些信息可以同时是敏感个人信息和私密信息；也有学者认为二者是相互分离且独立的；还有学者认为，敏感个人信息被私密信息所包含。笔者认为，敏感个人信息与私密信息是基于不同的标准来对个人信息的分类，其中，敏感个人信息重点关注该信息的泄露是否容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害，而私密信息则更为关注信息主体的生活安宁不受侵扰的隐私。在敏感个人信息与私密信息的区分中，敏感个人信息不仅有主观的“敏感性”要素考虑，更有客观危险的法律要素的评价；私密信息则更多的是主观认知表现，并没有实质性的标准评价。个人信息的“敏感性”与“私密性”属于不同维度的两个评价标准，二者存在交叉重叠之处。敏感个人信息与私密信息是基于不同的标准进行分类，在内容上必然存在部分交叉但并非完全融合。敏感个人信息的判断原则是以国家法律或者标准予以确定，个人信息保护法认为是“容易产生危害”。敏感个人信息原则上是禁止处理的，信息主体授权处理并不会导致信息本身失去敏感性。但是，私密信息则是从社会公众的认知角度出发，经过公开之后将不再具有私密性。如，信息主体的行踪轨迹，既属于敏感个人信息，也属于私密信息。信息主体基于特定的目的将行踪轨迹公开，此时在法律上就不会被评价为私密信息，但依然属于敏感信息。同时，私密信息在隐私人格权中予以保护，更为关注生活的安宁以及人身财产安全不受侵扰。敏感个人信息的认定需要有一定的客观标准，从法律规定上以损害发生的容易程度作为判断依据，即“容易”损害。总之，个人信息在“敏感性”与“私密性”之间的区分，将个人信息作为不同的法律客体进行保护，但是二者之间又存在交叉和重叠的部分。对个人信息的“敏感性”和“私密性”区分的不同法律评价标准的界定，显示出对敏感个人信息而言，目前的法律标准的规定具有一定的局限性，需要结合具体的应用场景进行认定。（三）敏感个人信息认定的场景理论个人信息保护法采用“概括列举”的方式对敏感个人信息进行界定，并不能满足个人信息日益丰富的应用场景需要。如征信业管理条例将个人征信信息列为敏感个人信息，最高人民法院颁布的关于审理使用人脸识别技术处理个人信息相关民事案件使用法律若干问题的规定认为人脸信息是敏感个人信息，敏感个人信息在不同的场景下将不断丰富。因此，个人信息也会随着应用场景的不同而作出不同的敏感性评价，这就需要引入场景理论进行认定。场景理论是对个人信息在不同情境的信息要素进行评价。个人信息处理的场景理论参与要素有信息主体、信息处理者、第三方主体、信息性质以及信息的处理目的等。其中，信息主体、信息处理者以及信息处理目的对敏感信息的评价具有明显的影响作用。第一，信息主体要素，主要是基于不同的主体标准进行的评价，如信息主体的年龄。我国已经将不满十四周岁的个人信息统一列为敏感个人信息。第二，信息处理者基于何种身份处理该信息，敏感性也将不一样。如医生使用患者的医疗信息，就不存在敏感性。但是，如果其他主体使用该信息，则存在敏感性的问题。第三，信息处理的目的，考虑信息处理者处理信息的目的，若违反特定目的来对信息进行处理，则会对敏感个人信息的主体造成侵害。总之，场景理论引入之后，对敏感个人信息进行评价，主要就是围绕信息主体、信息处理者、信息处理的目的进行综合考量。社会科学版 场景理论扩展和丰富了敏感个人信息的范畴。场景理论的信息主体、信息处理者以及信息处理目的等要素的引入，有效地缓解了立法上的僵化，丰富和扩展了敏感个人信息的外延。敏感个人信息的判定不能简单地按照信息的性质进行判断，而是应该将其置于具体的应用场景中进行综合评价。信息公开的规模大小以及信息存续长短也可以成为敏感程度判断的间接因素。以汽车信息为例，显然它并不是个人信息保护法中所规定的具体类型，但是基于场景理论，一定规模且持续一段时间的信息被信息处理者采集，非法使用或者泄露，将很容易分析出驾驶员的行车轨迹、司乘情况以及出行规律等，这对驾驶员的人格尊严、人身财产都将产生极大的潜在危险。此外，场景理论可以通过具体的应用场景剔除一些非敏感信息的认定