一、引言

　　现代社会中个人信息保护受到高度重视，而真正在我国法上系统地确立个人信息保护制度并明确自然人个人信息权益的是《中华人民共和国民法典》(以下简称《民法典》)。为了更好地理解与适用《民法典》关于个人信息保护的规定，笔者在本文中拟就我国《民法典》在个人信息保护上的创新与发展之处加以论述。

　　二、自然人对其个人信息享有人格权益

　　《民法典》第111条第1句与第1034条第1款明文规定：“自然人的个人信息受法律保护。”对于是否规定“个人信息权”的问题，存在很大的争议，因此立法机关最终没有采取“个人信息权”的表述，但是《民法典》对个人信息保护的规定依然从以下三方面明确了自然人个人信息权益的性质。

　　1.明确了自然人对其个人信息的权益属于民事权益，是私权益。自然人对于其个人信息享有的权益属于民事权益，因为其处理者与自然人属于平等的民事主体。他们之间的权利义务关系属于民事权利义务关系，自然人对其个人信息享有的也是民事权益，而非公法上的权利。

　　2.明确了自然人的个人信息权益属于人格权益。一方面，《民法典》总则编第5章 “民事权利”在列举了自然人的生命权、身体权、健康权等具体人格权后，在第111条对个人信息的保护作出规定。另一方面，《民法典》将个人信息保护的具体内容放在人格权编当中，与隐私权在同一章加以规定。

　　3.《民法典》人格权编第6章将“隐私权与个人信息保护”作为章名并依次规定，同时还对个人信息中的私密信息优先适用隐私权保护作出了规定(第1034条第3款)，这都表明了我国法上已经明确区分了隐私权与个人信息。

　　三、区分个人信息类型并予以相应规范

　　《民法典》对个人信息进行两类重要的类型划分并作出了不同的规范。

　　(一)私密信息与非私密信息及隐私权和个人信息保护的适用关系

　　自然人的私密信息的范围十分广泛，凡是自然人不愿意为他人知晓的信息，都可以纳入私密信息的范围。《民法典》第1034条第3款对隐私权和个人信息保护的关系作出了以下规定：

　　1.私密信息既受到隐私权保护，也受到个人信息保护规则的保护。私密信息是自然人不愿意为他人知晓的私人生活的各种相关信息。这些私密信息是隐私，属于隐私权的客体，同时也属于个人信息，受个人信息保护规则的保护。

　　2.个人信息中的私密信息和非私密的信息处理规则存在区别。在处理私密信息时，首先要适用的是《民法典》关于隐私权的规定，然后才能适用《民法典》关于个人信息保护的规定。

　　3.许可他人使用上的不同。隐私权人可以自行处分权利，如自行在网络上或向媒体公开其私密信息。但是，隐私本身原则上是不能许可他人使用或商业化利用的。

　　(二)公开的个人信息与非公开的个人信息

　　公开的个人信息是指已经合法公开的个人信息，至于那些因他人泄露或非法公开的个人信息，虽然客观上确实处于公开的状态，但不属于法律上的公开的个人信息。除非法律、行政法规另有规定，对于非公开的个人信息，必须告知自然人且得到该自然人或者其监护人的同意。而合理处理已经合法公开的个人信息，原则上是无需告知自然人并得到其同意的，除非该自然人明确拒绝或者处理该信息侵害其重大利益，否则该处理行为不构成侵害个人信息的侵权行为。

　　(三)关于敏感的与非敏感的个人信息的区分问题

　　依据个人信息对自然人人身财产安全的敏感程度，可以将之分为敏感的个人信息与非敏感的个人信息。我国《民法典》以及《网络安全法》等法律都没有对敏感的个人信息作出界定，只有一些标准中有相应的规定。笔者认为，虽然《民法典》没有规定敏感的和非敏感的个人信息，但这并不意味着该分类就不重要。《民法典》主要规定的是个人信息保护中的重大的基本的问题，且区分敏感的和非敏感的个人信息主要是体现在对个人信息的处理规则上，故此，可以交由未来的 《个人信息保护法》对此作出规定。

　　四、统一采用“个人信息的处理”与“处理者”表述

　　(一)统一使用“个人信息处理”的表述

　　在《民法典》颁布之前，我国法律对于与个人信息相关的行为，基本上采用的都是“收集、使用个人信息”的表述。我国《民法典》没有区分“收集”与“处理”，而是以“处理”一词来统称对个人信息的收集、存储、使用、加工、传输、提供、公开等活动。

　　(二)“个人信息处理者”概念的采用

　　个人信息处理的行为类型很多，因此也会涉及不同的主体。在我国《民法典》颁布之前，对于这些个人信息处理行为的主体，基本上是由各个法律从自身调整范围出发分别使用不同的名称。我国正式颁布的 《民法典》采取了“处理者”的概念。一方面，《民法典》统一使用了“处理”的概念来统摄围绕着个人信息开展的一系列行为，因此，使用“处理者”的概念来涵盖从事这些行为的所有主体，显然更为合理。另一方面，就个人信息的 “控制者”与“处理者”这两个概念而言，实际上也完全没有必要加以区分。因为无论信息控制者与信息处理者是否为同一主体，二者都负有相同的个人信息保护的法定义务。

　　五、界定了自然人个人信息权益的内容

　　自然人对于个人信息享有相应的民事权益，确切地说，这种民事权益就是自然人享有防范因非法收集、处理其个人信息而使自身人身财产权益和人格尊严、人格自由遭受侵害或损害的受法律保护的人格权益。我国 《民法典》明确了自然人就其个人信息享有以下三项权能：

　　(一)许可他人使用个人信息

　　依据《民法典》第111条、第1034条第1款，自然人的个人信息受法律保护。这种保护不仅仅体现在自然人的个人信息遭受侵害后，自然人有权要求侵害人承担侵权责任，还包括自然人有权对其个人信息进行积极的支配和利用。由此可见，自然人完全可以在不违反法律的规定或者个人信息性质的情形下，许可他人使用自己的个人信息。当然，前提是处理者依据告知同意的规则履行了相应的义务。

　　(二)查阅和复制个人信息的权利

　　我国《民法典》第1037条第1款第1句明确规定了自然人针对信息处理者享有依法查阅或者复制其个人信息的权利。该权利是自然人个人信息权益的重要组成部分。一方面，如果不能查询或者复制其个人信息，则自然人在其个人信息被合法收集后就完全丧失了对个人信息的控制力。另一方面，如果没有查阅、复制个人信息的权利，自然人无法知悉其被收集的个人信息是否有误，也就难以在发现错误后，依据 《民法典》第1037条第1款的规定，提出异议并请求处理者及时采取更正等必要措施。

　　(三)针对错误信息的提出异议及要求采取更正等必要措施的权利

　　依据《民法典》第1037条第1款第2句，自然人发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。个人信息在收集后要进行处理，如存储、使用、加工、传输、共享等，因此一旦个人信息错误而不能及时更正，就会对自然人产生不利的影响，如基于此种错误的个人信息进行信用评价包括自动化决策，会对自然人的民事权益造成损害。故此，法律上允许自然人在发现个人信息有错误后予以更正。所谓更正，既包括对不符合事实的错误信息予以正确化，也应当包括对不完整的个人信息予以补充。

　　(四)删除个人信息的权利

　　《民法典》第1037 条第2款和《网络安全法》第43条规定了删除权行使的具体情形，其一，信息处理者违反法律、行政法规的规定处理其个人信息的;其二，信息处理者违反双方的约定使用其个人信息的。在这两种情形下，自然人有权请求处理者删除这些个人信息，否则就等于认可了此等违法或违约行为的存在，承认了处理者有权侵害自然人的个人信息。

　　六、明确了侵害个人信息的免责事由

　　《民法典》总则编规定的免责事由包括不可抗力、正当防卫、紧急避险 (第180-182条)。同时，《民法典》侵权责任编还对侵权责任的免责事由作出了规定，具体包括:受害人故意 (第1174条)、自甘冒险 (第1176条)以及自助行为 (第1177条)。上述免责事由可以适用于侵害个人信息的民事责任。

　　《民法典》第1036条对侵害个人信息的民事责任的免责事由作出了特别的规定，该规定用于违约责任也适用于侵权责任。具体阐述如下：

　　1. 在该自然人或者其监护人同意的范围内合理实施的行为。

　　其个人信息被处理的自然人或者其监护人的同意是个人信息处理的合法性基础，如果依法取得自然人或者其监护人的同意且在该同意的范围内实施个人信息处理行为，属于合法的个人信息处理行为，处理者无需承担民事责任。

　　2. 合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外。

　　对于已经合法公开的个人信息，原则上是可以无需告知并取得自然人的同意即能够自由进行处理，但是自然人对这些个人信息并不因其公开而失去控制的权利，其有权拒绝他人对这些信息进行处理。另外，由于个人信息的保护对于维护自然人的人格尊严和人格自由具有很重要的意义，所以即便是已经合法公开的个人信息，也不得任意进行处理，如果处理该信息将侵害自然人的重大利益，也要承担民事责任。

　　3. 为维护公共利益或者该自然人合法权益而合理实施的其他行为。

　　所谓维护公共利益包括维护国家利益、社会利益等情形。所谓维护该自然人的合法权益，是指为了维护个人信息被处理者的合法权益而在不经过其本人或监护人同意的情形下处理个人信息。当然，无论是为了公共利益还是该自然人的合法权益，都必须是合理实施的行为，即不违反个人信息处理的合法、正当、必要的原则。

　　(本文经过作者授权许可，精选自作者发表于《财经法学》2020年04期的论文“我国《民法典》个人信息保护制度的创新与发展”。)