个人信息侵权的司法认定丨法律讲堂

上海一中院

民事庭审判长、四级高级法官 何建

本期法律讲堂，上海市第一中级人民法院民事庭审判长、四级高级法官何建和大家一起探讨个人信息侵权的司法认定。

大家好，我是上海市第一中级人民法院的何建。今天和大家交流的主题是个人信息侵权的司法认定。

在开始讨论之前，我们不妨先来看两个案例：

案例1

业委会在以其名义注册的小区公众号发布业主诉业委会的民事起诉状，起诉状中涉及业主的姓名、家庭住址、身份证号等信息，嗣后业主以侵犯隐私权为由向法院提起诉讼。

案例2

某体检中心将A女士体检时填写的作废表格当作模板展示。模板中所示的信息包括会员号、真实姓名、出生年月、手机号码以及家庭住址。A女士认为体检中心侵犯隐私权，故将其诉至法院。

两起案例集中反映的问题是：1.被告侵犯了隐私还是个人信息，个人信息与隐私如何区分？2.个人信息是一项具体人格权，还是民事权益？3.司法实践中，如何认定个人信息侵权？针对这些问题，我将从两个方面展开今天的讨论：一是个人信息概念及法律定位；二是个人信息侵权的民事救济。

01

个人信息概念及法律定位

首先，我们来看个人信息概念及法律定位。

个人信息是指“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”。依文义解释，“人格权编”未对个人信息的范围做穷尽式列举，第1034条第2款规定的“行踪信息等”，其中的“等”字属于等外，不是等内，像车牌号码、浏览记录、职业身份等具有可识别性的信息均可构成个人信息，都应当属于该条保护的范围。

构成个人信息需要满足三个要件：

01

一是具有识别性。识别包括直接识别和间接识别，所谓直接识别是指通过该信息可以直接确认某一自然人的身份，不需要其他信息的辅助，如某人的身份证号、基因信息等；所谓间接识别，是指通过该信息虽不能直接确定某人的身份，但可以借助其他信息确定某人的身份。

02

二是要有一定的载体，这是个人信息的形式要件。个人信息必须以电子或者其他方式记录下来，没有以一定载体记录的信息不是个人信息。与《网络安全法》第76条相比，《民法典》的规定增加了电子邮箱、行踪信息、健康信息等类型，个人信息的定义更适应互联网时代和大数据时代的发展需要。

03

三是个人信息的主体只能是自然人，法人或者非法人组织不是个人信息的主体。

那么，如何区分个人信息与隐私呢？我们知道，

《民法典》第1032条第2款规定“隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”。

个人隐私兼具秘密性与身份识别性。隐私包括私人的生活安宁和生活秘密两个方面，而个人信息强调公开的“可识别性”。无论是已经被识别的直接识别，还是可以被识别的间接识别，凡是能够识别特定个人相关的任何信息，均为个人信息。据此，我们可以看到，按照个人信息的特性，可以做如上不同的分类。

我国对个人信息的法律定位，从立法上看，有关个人信息保护的规定体现在法律、行政法规、部门规章、地方性法规以及各类规范性文件等多层次、宽领域的规范当中，形成了一个内容分散、体系庞杂的个人信息保护模式。

从体系上看，《民法典》“总则编”将个人信息和隐私归属于民事权利一章，而“侵权责任编”改变了《侵权责任法》不完全列举民事权利的做法，以民事权益作为侵权保护对象。“人格权编”列举了包括隐私权在内的具体人格权的同时，对其他人格权益作了兜底规定，并将隐私和个人信息并列为一章予以专门规定。

那么，个人信息究竟是与隐私权并列的具体人格权，还是属于民事权益的一般人格利益？虽然学界存在不同的看法，但目前大家形成共识的是，个人信息有别于个人隐私。我们从立法机关使用个人信息保护而非个人信息权的表述看，强调对信息主体利益的保护，为了避免妨碍数据的共享、利用以及大数据产业在我国的发展，个人信息应属于民事权益，不宜直接视为一项具体人格权。

02

个人信息侵权的民事救济

其次，我们来看个人信息侵权后如何获得民事上的救济。“有权利必有救济。”因侵权行为提起的诉讼，由侵权行为地或者被告住所地人民法院管辖。而此处的侵权行为地，则包括侵权行为实施地和侵权结果发生地。对于因实施信息网络侵权所产生的行为地则包括实施被诉侵权行为的计算机等信息设备所在地，而侵权结果发生地包括被侵权人住所地。

在全球化时代，个人信息会散至每个角落，不论是个人信息侵权行为的实施，还是被侵权人，存在跨越国境的情形。当发生涉外的个人信息侵权时，首先要对具有涉外因素的侵权民事法律关系的准据法作出认定。

我国《涉外民事关系法律适用法》第15条规定，人格权的内容，要适用权利人经常居所地法律；第44条规定，对于侵权责任，则适用侵权行为地法律，但当事人有共同经常居所地的，适用共同经常居所地法律。侵权行为发生后，当事人协议选择适用法律的，按照其协议；第46条规定，对于通过网络或者采用其他方式侵害姓名权、肖像权、名誉权、隐私权等人格权的，适用被侵权人经常居所地法律。

也就是说，在具有涉外因素的侵犯人格权纠纷案件中，应当将被侵权人经常居所地的法律作为准据法，除非各方当事人援引相同国家的法律且未提出法律适用异议的，人民法院可以认定当事人已经就涉外民事关系适用的法律作出了选择。“人格权编”调整因人格权的享有和保护产生的民事关系，而对于因此产生的涉外民事关系的法律适用只字未提。不管《涉外民事关系法律适用法》第15条规定的人格权内容是否包含个人信息，还是第46条对隐私权等人格权作不完全列举，从体系上解释，应同样适用跨境的个人信息侵权案件。

从现有民事案由规定看，人格权纠纷分为具体人格权纠纷和一般人格权纠纷，其中具体人格权纠纷包括了生命权、健康权、身体权纠纷等10种案由。早期，对于个人信息侵权纠纷案件，人民法院大都是以名誉权纠纷、一般人格权纠纷或隐私权纠纷等案由进行立案审查。随着《民法总则》确立个人信息受保护之后，人民法院的案由选择已从名誉权纠纷或一般人格权纠纷，发展到隐私权纠纷和一般人格权纠纷并列的逐步变化过程。

个人信息属于独立的民事权益类型，不属于隐私权，故难以归入隐私权纠纷案由之下，但也有别于一般人格权，其应作为一种区分于隐私权的新型人格权益而存在。我们注意到，最高人民法院在《民法典》颁布实施后，对案由也予以了及时调整，在人格权纠纷的二级案由下，增加个人信息保护纠纷，明确隐私和个人信息的区分，从而方便法官适用法律。

从侵权行为的发生空间看，包括了线下和线上，侵犯个人信息的行为可能会发生在“收集、存储、使用、加工、传输、提供、公开”等任何一个环节，涉及信息的收集者、提供者、使用者（传输者）、储存者等，结合“侵权责任编”第1194条的规定，侵害个人信息的主体还涉及网络用户和网络服务提供者。

在现有立法下，只能是自然人个人主张个人信息被侵权，该自然人则包括中国人、外国人和无国籍人等。由于自然人的姓名也属于个人信息的一部分，在姓名权、肖像权、隐私权等人格权纠纷案件中，会出现个人信息与前述权利相互吸收或法律规范竞合并存的现象。一方面，可按照既有法律规定，对照相应人格权的侵权构成要件进行判断，使个人信息在已被类型化的人格权中受到更全面周到的有效保护；另一方面，可向当事人进行释明，让其明确要求保护的权利或请求权基础规范。

我们注意到，正在审议的《个人信息保护法》（草案）对个人信息侵权采用的是过错推定原则，但在现行法下，个人信息侵权属于一般侵权而非特殊侵权，请求权基础是《民法典》第1165条第1款，按照过错责任原则，适用一般的侵权责任构成要件，即行为人因过错侵害他人个人信息造成损害的，应当承担侵权责任，除非行为人能证明其自身不存在过错。

而关于个人信息侵权的责任承担，《民法典》“侵权责任编”采用“侵权责任”的表述，而“人格权编”则使用了“民事责任”的表述，实际上两者共同指向“总则编”第179条规定的民事责任。

需要注意的是，侵权造成的损害赔偿请求权与人格权请求权在内容和责任承担上存在重大区别，人格权请求权属于绝对权，不以过错和造成实际损害后果为必要，只要有妨害之虞，即可请求停止侵害、排除妨碍、消除危险等。比如，在原告请求被告删除网上个人信息的案件中，鉴于个人信息载体的特殊性，可考虑追加储存信息的平台作为第三人参加诉讼，判决被告承担责任的同时，第三人协助删除。

填平损失是侵权损害赔偿的基本原则，通常由被侵权人举证证明实际损失或侵权人的获益。我们知道，个人信息兼具精神利益和财产属性是区别于隐私的要点所在，因线下个人信息侵权所造成的财产损害，可以根据实际损失确定赔偿数额；对于线上因网络侵害个人信息所造成的财产损害，可按照《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第12条规定，确定赔偿范围和损失金额。而对于精神上的不愉快或苦痛，特别是诸如隐私权、名誉权、个人信息等遭受的损害，则难以用财产进行衡量。在个人信息方面，有时财产损失非常小甚至没有，重点仍是在人身安全、人身权益方面，尤其是精神利益方面的损害，可按照《最高人民法院关于确定民事侵权精神损害赔偿责任若干问题的解释》第5条的规定确定赔偿数额。

以上是关于个人信息侵权的司法认定。今天的讨论就到这里，感谢您的收听。

来源｜上海市第一中级人民法院

作者：何建

责任编辑| 邱悦

声明｜转载请注明来自“浦江天平”公众号