哪些信息属于个人信息？使用个人信息该注意什么？

目 录

一、个人信息的定义

二、 个人信息的限定

（一）个人信息权利虽未被《民法典》规定为具体的人格权，但在性质上将之作为人格权益予以保护

（二）个人信息的分类

三、《民法典》时代下的债权人如何签署保证合同

四、个人信息使用的免责事由

五、政府部门收集个人信息的要求

六、个人信息与隐私权的界限

民法典系列之个人信息保护条款浅谈

众所周知，2020年5月28日，第十三届全国人大三次会议表决通过《中华人民共和国民法典》（简称“《民法典》”），并将于2021年1月1日起实施。

《民法典》颁布前，我国有关个人信息保护的立法比较碎片和凌乱，零散分布在《网络安全法》《电子商务法》《刑法修正案（九）》《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》《征信业管理条例》GB/T35273-2020《个人信息安全规范》《全国人民代表大会常务委员会关于加强网络信息保护的决定》，以及正在立法规划中的《个人信息保护法》《数据安全法》等法律法规及规章中，主要由公法和公权力机关依据公法提供保护为主，私法上缺乏一定的有效救济手段。

在此背景下，《民法典》人格权编单独成章地规定了个人信息的内容，在民事私法领域为个人信息作出了相应的规定以及救济基础，弥补部分公法的保护不足，也为我国后续的司法审判提供了基本裁判规则和原理，有效契合了新时代人民对司法的需求，具有重大意义。

本文将以《民法典》中有关个人信息保护条款的部分亮点展开探讨，以供各位读者参阅、指正。

一、个人信息的定义

《民法典》对于个人信息的定义主要集中于第一千零三十四条中， 其关于个人信息的定义与《网络安全法》确立的“个人信息的定义”基本相同，基本要义为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息”，除此之外，该条款的亮点在于在列举个人信息的类型时，点出了电子邮箱和行踪信息两个新的类型。

二、个人信息的限定

（一）个人信息权利虽未被《民法典》规定为具体的人格权，但在性质上将之作为人格权益予以保护

在《民法典》颁布之前，部分学者认为个人信息不属于民事基本权利的范畴，因为个人信息是人社会交往必须“让渡”的，无法从传统民法权利的角度界定个人信息权利属性，非财产权，也无法从具体人格权角度解释。

此次《民法典》颁布后，个人信息权利作为人格权益之一，被纳入此次《民法典》人格权编之中，其应受到法律的尊重与保护。但是，在基于社会公共利益或其他特殊原因的情形下，确需使用个人信息时，也应当得到法律的支持。

（二）个人信息的分类

个人信息的种类很多，《民法典》第一千零三十四条对个人信息做出了列举，即：自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。

依据清华大学法学院程啸教授的观点，在个人信息分类中，最为重要的分类有三种：

1. 依据个人信息是否属于隐私权所保护的范畴，可分为私密信息和非私密信息；

《民法典》第一千零三十三条第五项将没有法律规定或者未取得权利人明确同意，处理他人的私密信息，作为侵害隐私权的行为。

由此可见，区分私密信息与非私密信息很重要，可能会直接涉及到原告被侵害的权益类型的不同以及适用不同的法律规范等情形。

2. 依据个人信息对自然人人身财产安全的敏感程度，可将之分为敏感个人信息与非敏感个人信息；

对于敏感的个人信息，我国《信息安全技术个人信息安全规范》的界定是“一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。”

依据这一界定，以下个人信息应当归入敏感的个人信息：（1）种族或民族信息；（2）宗教信仰信息；（3）政治主张信息；（4）生物识别信息；（5）基因信息；（6）医疗健康信息；（7）性生活与性取向信息；（6）储蓄、证券等金融账户信息。

3. 依据个人信息是否已经合法公开，可以分为公开的个人信息与非公开的个人信息。

公开的个人信息是指已经合法公开的个人信息，至于那些因他人泄露或非法公开的个人信息，虽然客观上确实处于公开的状态，但不属于法律上所谓的公开的个人信息，对于该类信息的使用应取得原始所有权人的同意，企业、个人不得擅自使用。

综上所述，在《民法典》正式生效后，实践中应用时应参考个人信息的不同分类方式，从而才能对个人信息有一个全面的把握。

三、企业、个人合理使用个人信息的原则及条件

为了避免企业或个人在使用他人个人信息时肆意滥用甚至损害他人的合法权利，《民法典》对个人信息权的合理使用也作出了明确的原则和条件。《民法典》第一千零三十五条规定，“处理个人信息的,应当遵循合法、正当、必要原则,不得过度处理,并符合下列条件:(1)征得该自然人或者其监护人同意,但是法律、行政法规另有规定的除外;(2)公开处理信息的规则;(3)明示处理信息的目的、方式和范围;(4)不违反法律、行政法规的规定和双方的约定。”

从该条款我们可以看出，合理处理（包括但不限于：收集、存储、使用、加工、传输、提供、公开等）个人信息的原则和前提条件为主体要合法、理由要正当且必要、处理要有限度。如处理个人信息不符合上述规则，则很可能构成侵犯个人信息权利，相关当事人应当承担相应的法律责任。

四、个人信息使用的免责事由

2014年通过生效的《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》[1]中第十二条对于公开个人信息不构成侵权的情形已作出了规定,此次《民法典》大部分沿用了该条条款的精神，并且是以法律的形式予以确定。除此之外，《民法典》也对自然人已公开的信息做了但书的限制，从而给予自然人自行公开的信息更多的保护 。

《民法典》第一千零三十六条规定，处理个人信息,有下列情形之一的,行为人不承担民事责任:(1)在该自然人或者其监护人同意的范围内合理实施的行为;(2)合理处理该自然人自行公开的或者其他已经合法公开的信息,但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外;(3)为维护公共利益或者该自然人合法权益,合理实施的其他行为。

《民法典》第一千零三十六条一方面保护了个人利益，另一方面兼顾了对于个人数据的合理使用需求，数据处理者在获取用户同意后，在与其约定的范围内处理个人信息，将享有民事责任豁免；而对于已经公开的个人信息，在用户并不明确反对的情形下，数据处理者可以用于合法正当目的，这将积极鼓励大数据、人工智能的开发利用，释放以数据为核心生产资料的数字经济发展潜力。

五、政府部门收集个人信息的要求

为防止发生国家公权机构泄露公民个人信息的风险，本次《民法典》亦对国家机关、政府部门获取的个人信息的保护做出明确规定：第一千零三十九条国家机关、担任行政职能的法定机构及其工作人员对于履行职责过程中知悉的自然人的隐私和个人信息，应当予以保密，不得泄露或者向他人非法提供。该条款明确从民事角度强调了国家机关及其工作人员对个人信息的保密义务，这意味着公权机构对个人信息的侵害也可被纳入民事责任追究的范围。

六、个人信息与隐私权的界限

个人信息权利并非绝对权和支配权,只是一种受到法律保护的人格权益。而隐私权作为一项具体的人格权,性质上属于绝对权和支配权,具有对世效力。[2]任何组织或个人都必须尊重隐私权,不得对之加以侵害或妨碍。这一性质上的差异决定了二者在保护的强度和密度上存在差异 。

在《民法典》颁布前，对于个人信息侵权的案件，法院一般通过归结为侵犯具体人格权，如姓名权、肖像权、名誉权或隐私权来进行保护，并可以适用精神损害赔偿。但违反约定处理不涉及上述具体人格权的个人信息行为屡见不鲜，如单纯倒卖个人信息，法院目前一般不会直接认定侵犯个人信息的侵权责任，从而在一定程度上忽略对个人信息的保护。

《民法典》第一千零三十二条规定：隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。第一千零三十四条规定个人信息的定义，明确个人信息包含个人私密信息，对于个人信息中的私密信息，适用有关隐私权的规定，隐私权保护没有规定的，适用有关个人信息保护的规定。可见，隐私权和个人信息两者存在重叠和交叉，但两者功能不同。隐私权保护的是人们私生活安宁，重点在不被他人知晓；而个人信息保护的是人们在社会交往过程中对个人信息的控制权，侧重于控制，并不排斥个人信息的合法转移。

如上所述，既然《民法典》明确个人信息属于人格权益，也明确个人信息与隐私权的区分，意味着侵犯个人信息将直接承担侵权责任。《民法典》上述规定为后续构建个人信息侵权制度，包括归责原则、举证规则和损害赔偿等奠定了基础。

以上几点为我们总结的《民法典》个人信息条款的部分亮点。由于《民法典》尚未生效，还没有在司法实践中适用，对于个人信息权利的证明、个人信息权利和隐私权的区别或竞合，如何认定处理、侵犯个人信息权利所承担侵权责任，如何主张等实践问题都需要在今后司法实践中进一步的探索。

即便如此，《民法典》能对个人信息权利给予单独且相对具体的规定，后续我国也将正式出台《个人信息保护法》《数据安全法》等法律，这现了法律会随时代的需求而进步发展。《民法典》的颁布，不仅让执法部门与司法机关在面对侵犯个人信息方面有法可依，也使得相关企业在获取和使用个人信息时能够更加规范。在此基础之上，企业与个人在使用他人个人信息时需更加谨慎，避免因不合理使用而被追究相应的法律责任。

参考资料

[1]《最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》第十二条：网络用户或者网络服务提供者利用网络公开自然人基因信息、病历资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息，造成他人损害，被侵权人请求其承担侵权责任的，人民法院应予支持。但下列情形除外：

（一）经自然人书面同意且在约定范围内公开；

（二）为促进社会公共利益且在必要范围内；

（三）学校、科研机构等基于公共利益为学术研究或者统计的目的，经自然人书面同意，且公开的方式不足以识别特定自然人；

（四）自然人自行在网络上公开的信息或者其他已合法公开的个人信息；

（五）以合法渠道获取的个人信息；

（六）法律或者行政法规另有规定。

网络用户或者网络服务提供者以违反社会公共利益、社会公德的方式公开前款第四项、第五项规定的个人信息，或者公开该信息侵害权利人值得保护的重大利益，权利人请求网络用户或者网络服务提供者承担侵权责任的，人民法院应予以支持。国家机关行使职权公开个人信息的，不适用本条规定

[2]《我国民法典对隐私权和个人信息的保护》清华大学法学院教授 程 啸

作者：马林艳 刘华伟

来源：微信公众号“晏林談LAW”