2023年民法典信息处理者内涵界定及司法应对.docx

民法典信息处理者内涵界定及司法应对 （）信息权益纠纷的解决依靠于主体概念的明晰和责任的划定。民法典中接受“信息处理者〞统称式一元概念对信息利用主体进行规定，但实践中存在简洁多元的信息利用主体。有鉴于此，司法应在梳理不同主体之间异同的根底上精确     理解立法原意，以发挥其定分止争和价值引导的司法职能，妥当实现信息疼惜的多重法治目标。 （关键词）民法典;信息处理者;司法应对 一、背景综述:信息纠纷解决难的逆境 对主体的区分是相应法律权利和义务得以认定的前提，也是主体本身合规责任得以履行的根底，信息疼惜中亦是如此。当下我国相继公布各类法律、标准性文件及行业技术标准对信息疼惜作出规定，如网络平安法APP违法违规收集使用个人信息行为认定方法信息平安技术个人信息平安标准(2023年版)等。在特殊法个人信息疼惜法尚未正式施行的背景下，民法典以市场经济根本法的视角明确规定信息疼惜原那么、个人信息处理者的义务和责任，为特殊法的制定奠定法律根底，具有重要的指导意义和现实意义。但反观民法典及其他标准性文件，与其他国家立法中将信息利用主体划分为信息把握者和信息处理者不同，民法典对信息利用主体接受统一、一元“信息处理者〞的概念，在此背景下，以信息处理者为主要信息疼惜义务和责任主体的体系渐渐成型，司法如何在遵循立法原意的根底上对简洁的信息实践纠纷作出回应，是司法的应有之意和时代要求。实践中，信息侵权案件频发，信息侵权行为屡禁不止。依据第45次中国互联网络进展状况统计报告统计，至2023年3月我国网络平安大事中信息平安问题凸显——位居第一(见表1)。［1］但与此同时，信息侵权纠纷得以解决的较少，进入司法程序那么更少。究其缘由，主要有以下三个缘由:首先，信息侵权行为的发生较为隐匿，加之信息主体习惯“以隐私换便利〞，缺乏信息疼惜意识，加剧了主体自身的弱势地位;其次，与信息处理者相比，信息主体在信息处理技术和信息利用周期的把握上均处于弱势地位，主体在侵权发生后往往难以固定证据，而现有举证责任对个体来说难度较大;最终，信息侵权行为发生以后往往会给信息主体带来不行逆转的影响，但在其进行举证的过程中被侵权人不能有效通过法律对自身进行疼惜，在进入司法程序后该影响也没有统一的衡量标准，在当下对信息疼惜的立法体系中缺乏对精神损害的规定，如传统民法中的“损害差额说〞理论中受害人甚至连所患病的损害到底是什么都无法证明。［2］有鉴于此，司法机关应作出有效应对，发挥司法机关的能动性，为妥当实现信息疼惜的法治目标供给可能路径。 二、立法打量:民法典关于信息处理者的立法定位 (一)信息处理者与信息把握者的概念梳理 1．信息把握者。从概念进展的历程看，数据把握者的概念最早源于1981年欧洲理事会的108号公约①之中，表现形式为“文档把握者〞(controllerofthefile)。之后在欧盟数据疼惜指令(以下简称指令)中确立了数据把握者(controller)的概念，一般数据疼惜条例出台后沿袭指令关于数据把握者的界定。对信息把握者的理解可以从其把握力来理解，具体而言，其把握力可通过两种形式表现出来:其一，法律条文的规定，不管是在欧盟的“权力话语〞视域下的赋权模式还是美国“市场话语〞视域下的有用主义，②局部国家的法律或标准性文件会直接对信息把握者进行规定;其二，在没有任何法律规定的状况下可通过事实推断推定信息把握者，但需要结合个案进行分析，如某金融平台将其营销推送的广告业务与不同的组织签订合同，即明确需要投放的广告、客户群体等，各公司有确定的裁量权，但最终的数据把握者照旧是该金融平台，但假设其中A公司为了生成附加值而对个人信息进行处理，那么A公司因该行为成为新的信息把握者。2．信息处理者。信息处理者的产生依靠于信息把握者。欧盟在指令中第一次在数据疼惜法律中适用该概念。信息把握者可确定由哪些人对信息进行加工处理，可以是自然人、法人、公共权力机关或外部机构。由此观之，信息处理者的主体广泛，但信息处理的方式由信息把握者确定，具体而言，信息处理者根本特点之一即为相对信息把握者而言具有法律上独立的实体(separatelegalentitywithrespecttothecontroller)，特点之二即为其代表信息把握者具体处理个人信息，此处的“代表〞意味着为了他人的利益而效劳，与托付法律关系相像。对于各信息利用者而言，其在个人信息的收集、使用、处理的各个阶段中均有可能是信息把握者，也可能被认定为信息处理者，主要依其心理利用的行为而转变，如当信息主体在银行开立账户时银行对其进行金融信息的收集，并确定这些金融信息的处理方式，假设信息处理者的信息利用方式超出与把握者的预先商定，那么其有可能会成为新的信息把握者，甚至有可能消逝共同把握者的状况。3．差异之思辨。特定的法律概念表征着立法的法律疼惜对象及其法律关系。由信息把握者和信息处理者的概念差异可窥见两者的差异:其一，作为核心词语，“把握〞意味着主体能自主确定信息处理的目的、方式、信息处理的用途，并能自主确定收集哪类信息、由谁收集、是否告知个人信息主体或重新征求其同意，以及信息利用之后的保存时间等，“处理〞那么蕴含着该主体能确定信息的进一步加工处理的环节，可确定信息将如何存储、以何种方式共享等;其二，主体概念的不同确定其义务的不同，该点主要表达在法律或标准性文件对两者进行界分的状况下，如我国在个人信息标准中规定了信息把握者应担当全面的义务和责任，其中包括原那么性、一般性义务、风险管理等，［3］而信息处理者的义务主要是合同义务，又如欧盟一般数据疼惜条例中对处理者规定了合同义务，也规定了需担当与其权限、处理行为相匹配的合规义务及责任。 (二)民法典对信息处理者规定的立法选择 1．“处理行为〞的内涵。法律假设要安定，概念的构成与特征就应尽可能被精确地确定，由于不确定的法律概念及概括性条款易生歧见，进而危害法律的安定性。［4］承前所述，对信息利用主体存在信息把握者与信息处理者之说，但我国民法典中接受了一元的信息处理者的概念，对该概念的理解确定了信息利用主体的义务和责任，同时也将影响司法对信息纠纷的处理。而对该概念的理解又将基于对“处理行为〞的理解。首先，应明确的是信息处理的“原料〞是数据、信息、学问，也即信息是处理行为的客体和根本资源，是之后业务得以创新、共享的根底;其次，处理行为的合理性和合法性的推断需要基于特定的事实，如企业通过爬虫的方式爬取网页自行公开或其他合法公开的信息，那么对于个体的信息主体而言应当属于合理处理，但对于公开信息的网页而言那么有可能构成不正值竞争行为;最终，民法典吸取学者意见，对处理行为作出了扩展，参照GDPＲ的规定，①将对信息的收集、存储、使用、加工、传输、供给、公开等包含在“处理〞行为之中。2．信息处理者的界定。依据民法典第一千零三十七条、第一千零三十八条的表述来看，我国民法典笼统的赐予信息利用主体义务，接受“信息处理者〞这一概念，未区分“信息处理者〞“信息把握者〞“受托付者〞等概念。作为对信息负有平安保障义务的主体，信息处理者涵盖了信息收集者、信息把握者的概念。依据民法典的规定，可进一步对信息处理者的义务体系和责任进行细化理解，即民法典第一千零三十五条同样适用于信息把握者。实践中“处理者〞一般对应的概念是受信息把握者托付处理个人信息的主体，局部行业中甚至已经形成“处理者〞和“把握者〞的实质分工，［5］“把握者〞和“处理者〞的行为所受规制不同，信息把握者往往担当更多的义务，义务源于要在个人信息把握者商定范围内处理信息。由此可见，实践中的信息把握者对信息有着重要确实定权，不仅会处理信息，更影响着信息处理的方法和目的。这种确定权或把握权可能源于明示或默示的法律职责，但不作为其排解对民法典规定义务履行的事由。此外，应客观的看到，不管民法典实行何种概念界定，“信息把握者〞与“信息处理者〞的概念区分在立法选择与司法实践中更为重要的是明确各概念客体的内涵与外延，以期实现对信息侵权大事或信息权益纠纷作出回应，供给可操作的指引。 三、策略选择:信息纠纷案件中司法机关的应对 (一)发挥司法定分止争的作用 1．坚持信息纠纷处理中的根本原那么。信息利用的原那么是信息利用“法规精神所生之原那么〞。［6］民法典第一千零三十五条明确规定了处理个人信息应遵循合法、正值、必要的原那么。依据立法可窥见在处理简洁信息纠纷案件时，假设无明确法律依据，可依据以上原那么进行判决，这也是司法发挥其职能的应有之义。依据现有规定可从以下三点对信息疼惜原那么进行理解:其一，合法性原那么，合法性是信息处理者进行信息利用行为的前提，合法性的根底一方面源于信息主体的知情同意，另一方面源于法律明文规定;其二，正值性原那么，即信息收集和处理过程中手段和目的正值，手段、目的的正值性不仅要求其不违法，更要求手段、目的应符合恳切信用原那么，以个体易于理解的、透亮     的方式进行告知;［7］其三，必要性原那么，必要即处理者所收集和处理的信息仅限于实现正值目所必需。此外，民法典中还新增“不得过度处理〞个人信息的要求，也是对“必要原那么〞的深化。2．厘清信息处理者的责任及其例外。信息处理者对信息的处理有条件要求和例外。是否满足条件或例外是司法机关推断其责任及其责任轻重的重要依据，假设不能满足条件的那么应担当责任，符合例外情形那么可成为其免责事由。其一，同意是信息得以处理的合法性根底，但同意之外存在“法律、行政法规另有规定的除外〞的情形，这一看似兜底式的规定，为司法实践中处理个人信息权益与衡平其他合法利益供给了法律依据。当然，应辩证的看到，例外的消逝应遵循必要性原那么。例如，肺炎疫情严控期间依据中华人民共和国传染病防治法突发公共卫生大事应急条例等法律、行政法规的规定，有关单位可收集信息主体的信息，该例外仅限于法律和行政法规的规定。其二，在利用民法典第一千零三十六条时，需要考量个人利益的疼惜和信息流转的价值，在解决信息纠纷过程中应兼顾个人利益的疼惜和社会进展对个人信息合理使用的需求。3．明晰信息纠纷案件中的举证责任问题。民法典对信息纠纷解决中举证责任的规定仍适用一般侵权的路径。故对于信息纠纷中的举证责任，仍适用“谁主见、谁举证〞的原那么，也即原告需对侵权责任的构成要件(侵权行为、损害后果、因果联系以及侵权人存在过错)担当举证责任。在司法实践过程中，第一批最高人民法院互联网典型案例将“去哪儿网案〞列入个人信息疼惜领域的典型案例，该案中法院没有突破“谁主见、谁举证〞原那么，但侵权事实的认定层面，将具有“高度盖然性〞即认定为原告完成举证责任。但“高度盖然性〞的认定不管在学理层面还是司法实践层面都极为简洁，难以得出统一认定标准。“去哪儿网案〞发生前后，很多法院在裁判过程中都是依据传统的“谁主见、谁举证〞的原那么支配举证责任，诸如“苏宁易购案〞“京东案〞等。法院依据恳切信用和公正原那么要求被告企业担当自己旅行信息平安保障义务的举证责任，但这种方式在法律规章上可能会存在问题。假设大量推行这种规章可能增加企业的诉讼压力和合规本钱。如何降低起诉难度，同时又不给信息处理者带来过重的压力，是个人信息疼惜法及最高人民法院关于审理个人信息权纠纷案件适用法律假设干问题的解释理应明确的问题，也是司法机关在个案审判中应不断探究的重任。 (二)强化司法价值引导效应 1．为信息平安划定利用底线。信息平安底线的遵循是一切信息处理行为得以开展的根底。任何信息利用活动的进行均不能突破信息平安底线，信息平安底线可具体划分为国家平安底线、行业进展底线、个人信息平安底线。在具体的案件处理过程中，国家平安层面可遵循数据平安法中构架的国家层面的数据平安制度进行推断，其中可能包括信息跨境等问题;在行业层面上的信息平安，应以保障行业平安进展，避开信息风险的传递，如金融信息平安大事的发生，不仅关系金融行业的稳定，也涉及国家经济民生等的平安;在个人信息平安层面，主要从信息处理行为