安全作为个人信息保护的法益.pdf

*贺彤,东南大学法学院博士研究生、东南大学人权研究基地研究人员。本文为江苏高校项目“人格权重大疑难问题研究”(2 0 2 0 S J Z D A 0 9 1)、江苏省研究生科研创新计划项目“个人信息公法保护机制研究”(KY C X 2 1_0 0 7 2)的阶段性成果。1 参见 通用数据保护条例,载h t t p s:/g d p r.e u/t a g/g d p r/,最后访问时间:2 0 2 1年1 2月2 6日。2 参见高富平:论个人信息处理中的个人权益保护 “个保法”立法定位,载 学术月刊2 0 2 1年第2期。N o.3,2 0 2 3p p.1 1 0 1 2 5安全作为个人信息保护的法益贺 彤*内容提要:法律创设的查阅、更正、删除等权利不是个人信息保护的目的。人格、财产权利损害非由违法处理个人信息直接、定然造成,而应归咎于后续独立的实害行为,故人格、财产权利非违法处理的侵害对象,亦非个人信息保护的直接目的。违法处理的直接后果是使权利被侵害的风险升高,其侵犯的利益是安全。安全减损引起注意义务的增加和法律资源的消耗等利益变动,但由于此等利益差额无法举证和计算,亦未产生可预见的危险,故无法适用侵权救济。与侵权保护相区别,个人信息保护法设置了处理规则、权利义务、职权和责任等规范,其目的并非弥补损失,而是保护和恢复安全法益。个人信息保护与侵权保护相对独立,个人信息保护法第6 9条是两种保护规范的衔接规定。关键词:违法处理个人信息 实害行为 识别性 侵权保护 安全法益一、问题的提出:个人信息保护到底保护什么?自2 0世纪7 0年代始,国外便已探索个人信息保护模式,防范泄露、篡改或过度利用个人信息对个人利益的损害。2 0 1 8年欧盟出台了严格保护个人信息的 通用数据保护条例(以下简称G D P R),赋予信息主体知情、更正、数据移转和清除等8种权利,1使信息主体在一定情形和条件下对个人信息处理全过程进行控制或干预。2 中华人民共和国个人信息保护法(以下简称 个保法)也规定了查阅、复制、更正、删除等权利(束),信息主体得以请求的方式向信息处011贺 彤:安全作为个人信息保护的法益理者行使之。但个人信息保护所保护的是这些请求权利吗?显然,它们本身没有分离或单独转让的价值,3非人身、财产等实体权利,而只是制定法所创设的、用以制衡信息处理者的工具。4假设这些请求权利未被设立,个人信息保护的利益依然存在。况且,个人信息保护更多依靠公权力来规制处理活动,无论是欧盟的G D P R、美国的信息隐私保护执法实践,还是我国个人信息保护制度,行政监管占据了主导地位。5可见,个保法中的请求权利,不是法律所保护的利益目的,而只是保护利益的一种工具。根据 个保法第1条“为了保护个人信息权益制定本法”可知,保护个人信息的目的是保护“个人信息权益”。但这一答案仍不清晰。目前,我国学者对个人信息权益的属性和内涵已作了大量讨论,主要思路是将之定性为财产、人格等权利:或认为个人信息是有价值的商品,需给予财产权(主要是知识产权)保护;6或认为个人信息是人格尊严的体现,主张权利人对个人信息享有支配与自主决定的权利,依人格权获得救济;7或持人格权兼财产权的观点,认为个人信息兼具人格要素和财产要素。8与其陷入理论争执,不如观察生活实践。法律所保护的“利益本身并不是立法者创造的,立法者只是在法律中确认和保护某种利益”9。个保法的制定是为了规制个人信息被不当处理而引发利益侵害的失序状态,故违法处理侵害的对象就等于 个保法所保护的利益。因此,可以通过考察实践中违法处理“侵害了什么”,来解答“个人信息权益是什么”。如果个人信息权益是人格、财产权利,那么违法处理个人信息将会造成信息主体权利受损的结果;而若违法处理不会造成信息主体上述权利受损,那么个人信息权益的财产权说、人格权说则值得怀疑。在著名的“人脸识别第一案”中,原告在事实理由中表达了对被告强制收集和利用个人信息所产生的安全隐患的担忧,法院在判决中未判定被告存在欺诈等权利侵害行为。因此,有关个人信息权益是权利的学说尚且存疑,个人信息权益是什么的问题,有待进一步发现。二、违法处理未必损害权利但直接减损安全违法处理个人信息一般包括对个人信息的非法收集、利用、买卖与泄露、篡改、丢失等。实1113456789参见叶名怡:论个人信息权的基本范畴,载 清华法学2 0 1 8年第5期。参见王锡锌:国家保护视野中的个人信息权利束,载 中国社会科学2 0 2 1年第1 1期。参见王锡锌:重思个人信息权利束的保障机制:行政监管还是民事诉讼,载 法学研究2 0 2 2年第5期。参见谢立斌、李艺:个人信息的宪法财产权保护,载 江西财经大学学报2 0 2 1年第5期;任丹丽:民法典框架下个人数据财产法益的体系构建,载 法学论坛2 0 2 1年第2期。参见程啸:论个人信息权益,载 华东政法大学学报2 0 2 3年第1期;张新宝:论个人信息权益的构造,载 中外法学2 0 2 1年第5期;程啸:论我国民法典中个人信息权益的性质,载 政治与法律2 0 2 0年第8期;程啸:民法典编纂视野下的个人信息保护,载 中国法学2 0 1 9年第4期;杨立新:个人信息:法益抑或民事权利 对 第1 1 1条规定的“个人信息”之解读,载 法学论坛2 0 1 8年第1期;王利明:论个人信息权的法律保护 以个人信息权与隐私权的界分为中心,载 现代法学2 0 1 3年第4期。参见彭诚信:论个人信息的双重法律属性,载 清华法学2 0 2 1年第6期;前引 3,叶名怡文;任龙龙:个人信息民法保护的理论基础,载 河北法学2 0 1 7年第4期;刘德良:个人信息的财产权保护,载 法学研究2 0 0 7年第3期。张明楷:法益初论(上),商务印书馆2 0 2 1年版,第1 8 0页。2 0 2 3年第3期践中,违法处理并不直接、定然造成权利损害,二者之间隔着“风险的发生”这一条件。权利损害实际由违法处理之后的实害行为所致,而实害行为并不定然发生,违法处理只是为其提供了条件和可能性。故违法处理的直接后果是增加权利受损风险,易言之,减损安全。(一)违法处理未必直接、定然造成权利损害考察案例中“行为损害”的因果关系可知,违法处理与权利损害之间并无直接因果关系。首先考察违法处理个人信息引发财产权利受损的情况,以“周裕婵诉广东快客电子商务有限公司、东莞市易得网络科技有限公司网络侵权责任纠纷案”为例。1 0该案中,法院在认定第三人诈骗的基础上,以侵权规则来解决该民事纠纷,认为个人信息处理者违反了 中华人民共和国网络安全法第4 0条的“用户信息严格保密”义务,使第三人利用获得的个人信息实施诈骗,遂应承担侵权赔偿责任。这一判决看似是将周某被诈骗的财产损失结果直接归因于个人信息的泄露,实则非也。根据法院的事实认定和判决结果可知,法院认为泄露信息与财产损失之间具有“间接”的因果关系:(1)法院将泄露用户信息的举证责任倒置于快客公司,而快客公司因无法排除自己的责任而被推定存在泄露用户信息的事实;(2)网名为“售后楚楚”者利用从快客公司获取的用户信息,以快客公司“售后”的名义欺诈周某,这种表见的代理行为使周某有理由产生合理信赖并向其转账,故造成周某财产损害的直接原因是“售后楚楚”的诈骗行为,这是独立于泄露行为的、另一主体实施的实害行为;(3)法院在判决书中认定,“快客公司作为网络运营者未能履行保护用户信息的义务,对于因此给周裕婵造成的损失负有一定的过错”,可见,法院并未将周某财产损害的结果直接、完全归因于个人信息泄露,而是认为泄露行为与财产损失之间具有间接、“一定”的因果关系。由此可见,利用个人信息实施诈骗,使被害人遭受财产损失,这一结果的直接原因是诈骗行为而非泄露行为。将诈骗行为造成的财产损害完全归责于泄露个人信息的行为,有悖法院判决的本意。其次考察违法处理个人信息引发人格权利受损的情况,以“蔡小燕与赵延安个人信息保护纠纷案”为例。1 1该案中,法院认为,被告未经原告同意将原告及其两子的户籍与二孩出生证明泄露,侵害了原告及其两子的隐私权。显然,法院在明确被告泄露原告个人信息的事实后,却以隐私规则裁判案件,其间的因果关系需补充说明。本案中,被告除了泄露原告及其子女的个人信息外,还张贴了“寻找原告之子蔡子明生父”的寻人启事,据此宣扬蔡某二孩非婚内所生,有损原告及二孩的名誉,也构成对原告隐私的泄露、刺探。可见,户籍登记与出生证明中的信息都是能够为人共享的个人信息,而真正带给原告精神痛苦的则是“寻人启事”的发布,人们据此对蔡某的私生活品头论足或猜测打听,造成对蔡某名誉和隐私权的侵害。因此,人格权受损与违法处理是间接而非直接的因果关系,两者之间还存在独立实施的人格侵权行为。通过分析上述案例可知,在违法处理个人信息引发的财产、人格侵权案件中,还存在独立的实害行为。违法处理行为只是为后续实害行为提供条件,本身并非造成权利损害的直接原因,故不能将权利损害直接归咎于违法处理。2111 01 1参见广东省深圳市中级人民法院(2 0 1 9)粤0 3民终3 9 5 4号民事判决书。参见湖南省益阳市中级人民法院(2 0 2 1)湘0 9民终1 5 8 5号民事判决书。贺 彤:安全作为个人信息保护的法益此外,在现实生活中,大多数违法处理个人信息行为并未引发财产、人格权利致损的结果,这充分证明违法处理与权利损害之间不是直接、定然的因果关系。如在“陈瑜婷与上海瑞慈瑞兆门诊部有限公司隐私权纠纷案”1 2中,原告虽认为被告对其个人信息的泄露造成其在“信息安全及居住安全”方面的较大精神及心理压力,但没有表示有关隐私、名誉以及财产等权利受到损害。法院审理后认为,本案因所涉个人信息“难以归入隐私权的私密信息范畴”,故不构成隐私侵权;尽管“被告在处理原告个人信息的过程中确实存在不妥之处”,但并未造成权利损害结果,遂驳回其精神损害赔偿的诉讼请求;判决被告赔礼道歉,并非有充分事实、法律依据,只是因为“被告愿意”且“于法不悖”。可见,违法处理有时并不会造成人格、财产权利的损害,既然如此,个人信息权益并不等同于人格或财产权利。有学者已注意到违法处理个人信息行为并不直接、定然造成权利损害,但仍将权利损害视为违法处理的危害后果,称作“下游损害”。1 3谢鸿飞教授表示:“当下游损害发生时,信息泄露本身造成的权益损害往往被司法实践忽视,它往往被下游损害所吸收。”1 4这一观点已认识到违法处理带来的权益侵害与权利损害有所区别,但仍将二者合一,将权利损害直接归责于违法处理行为。对违法处理侵害权益的忽视,导致个人信息保护与侵权保护难以界分。显然,这种认识不符合“行为结果”一一对应的逻辑关系,也有悖于法治的基本精神,容易带来“连坐”之后果,即虽未实施欺诈等后续行为,却因具有一定关系而要连带承担欺诈等行为所对应的责任。总之,在违法处理与权利损害之间,还有实害行为的介入,故须严格区分违法处理行为与后续实害行为。违法处理行为具有独立的侵害后果,不应将之与权利损害结果混为一谈,否则无法辨别个人信息上真正被侵害(或受保护)的对象。(二)违法处理的直接后果是减损安全既然违法处理个人信息实施了独立的侵害,那其直接后果是什么?违法处理在客观上为后续可能的实害行为提供了有利条件,使权利更容易、更可能受到损害,即“风险升高”。有学者认为,个人信息的暴露本身即为损害,无须再寻找其他的损害,1 5这种观点较为极端。个人信息暴露必然会带来风险,但人们早已习惯或需要被陌生人了解,若将个人信息的暴露当作损害而排除个人信息上的任何风险,那么人类交往将局限在熟人社会而无法进入开放市场,故不能直接将之当作损害。此外,更多学者认为应当对个人信息的无形损害实行损害的推定,1 6或将风险升高视为损害,1 7由此适用侵权救济。尽管这些观点有待推敲,但违法处理所致风险升高的不利益性,显然已被较多人接受。风险升高只是描述了不利益状态,与之相对应的利益应当是3111 21 31 41 51 61 7参见上海市普陀区人民法院(2 0 2 0)沪0 1 0 7民初5 9 3 4号民事判决书。参见商希雪:侵害公