关于女生的生理知识真实但奇怪的冷知识

　　“有了民法典以后，应当说个人信息保护的顶层立法设计就基本完成了

　　“有了民法典以后，应当说个人信息保护的顶层立法设计就基本完成了。”参与了民法典编纂的专家程啸如是说。2000年左右，程啸就参与到民法典草案学者建议稿的起草工作中。近年来真实但奇怪的冷知识，他也全程参与了全国会法工委组织的民法典草案人格权编和侵权责任编草案的相关讨论。在程啸看来，保护个人信息的根本出发点在于落实《宪法》的规定，维护自然人的人格尊严和自由。

　　近日，全国会法工委相关负责人介绍，个人信息保草案稿已形成。那么，即将提请十三届全国三次会议审议的民法典草案，将如何在更基础的权利层面对个人信息保护进行规制？民法典和个人信息保的内容将如何协调？对此，南都记者专访了清华大学法学院教授、副院长程啸。

　　程啸：一个是个人信息的范围问题。民法典人格权编草案一直在根据各方面的意见不断做出完善。现行法中，《网络安全法》对个人信息的概念做了界定，人格权编在此基础上进行了完善，基本的标准还是采取识别标准，即凡是可以直接或间接识别出特定自然人的信息作为个人信息，同时对于个人信息的范围做了更多的列举，包括自然人的姓名、出生日期、身份证号、住址、电话号码等。因为无法穷尽，所以最后定义中用了一个“等”字来兜底真实但奇怪的冷知识。

　　在讨论过程中，不少代表、专家提出来行踪轨迹、电子邮箱地址、生物识别信息也应纳入保护范围，比如GPS定位可以对他人进行跟踪，邮箱地址泄露可能会导致人身财产受损的风险，这些都是对近年实践出现的各种问题和人民群众关切的立法回应。

　　另一个争论点是关于隐私权和个人信息保护的关系。根据目前人格权编草案中对“隐私”的定义，它包括两方面，一是私人生活安宁，二是私生活秘密。私生活秘密还包括了私密空间，私密活动和私密信息。这里面争议最大的就是私密信息，因为它既是个人信息，又属于隐私范围，所以就涉及到隐私权和个人信息保护两个制度相协调的问题。

　　程啸：隐私权和个人信息保护的关系，在比较法上有不同的规定。在有的国家如美国，隐私权的范围非常广，大体相当于我国法律中的人格权，比如肖像权、姓名权等都被放在隐私权中进行保护，因此，在美国是扩张隐私权的范围，通过确立所谓信息隐私的概念来实现对个人信息的保护。

　　但是，在我国的法律体系中，隐私的概念相对没有那么大，肖像权、姓名权、名誉权和隐私权等也都属于具体的人格权。因此，在人格权编草案中，隐私权与个人信息保护是两个不同的人格权益，它们既存在密切的联系，又是分别独立的，不能相互替代。

　　民法典人格权编关于隐私权的规定很清楚，即未经隐私权人的明确同意，收集、处理他人私密信息的行为属于侵害他人隐私权；同时，在个人信息保护部分，人格权编又规定个人信息中的私密信息也适用隐私权保护的有关规定。这样就很好地协调了隐私权与个人信息保护之间的关系。

　　此外，隐私权侧重的是保护自然人的隐私不受他人侵害，而个人信息保护不仅要保护自然人的个人信息不受侵害，还要实现对个人信息的合理使用。正因如此，人格权编草案虽然将隐私权和个人信息保护规定在同一章，但也通过对隐私和个人信息的界定明确了二者的区别。

　　南都：有专家认为，应将个人的健康信息也纳入法律保护范围。民法典草案是否还会对个人信息保护的范围做调整？

　　程啸：一方面，处理个人信息的主要是医疗机构，民法典侵权责任编中已经对医疗信息的保护作出了规定。民法典草案第一千二百二十六条规定，医疗机构及其医务人员应当对患者的隐私和个人信息保密关于女生的生理知识。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。

　　另一方面，我们现在也正在制定个人信息保，这届全国会也把个人信息保纳入了立法规划。在正在制定的个人信息保中，可以进一步列举出这类敏感的个人信息并对其处理作出特别规范。

　　南都：有专家学者建议，应该为“个人信息”加一个“权”字，为个人信息保提供上位法依据。你怎么看？

　　程啸：我觉得写不写“权”字并不是特别重要。所谓权利，就是由所保护的利益和提供的救济措施构成的。因此，重要的是怎么规定个人信息的民事权益内容，以及侵害个人信息的救济措施。明确这一点之后，加不加“权”字只是一个学术上的分歧而已。

　　比如，我们现在说民法典草案规定了个人信息权也没问题，因为它规定了个人信息的删除权、更正权等内容，这些都是对于个人信息权利内容或权能的规定。我们把个人信息保护的问题放在民法典中规定，很重要。因为这意味着：一方面，自然人对个人信息享有的是民事权益，具体来说就是人格权益，而非什么公法上的权利。另一方面，人格权编规定的人格权请求权和侵权责任编中的侵权赔偿责任等救济方式，都可以用于个人信息的保护。

　　所以，我觉得不必纠结于这一点。在民法学界，学者们可能普遍希望规定个人信息权，但也有一些研究法理或者行政法的学者是比较抗拒把个人信息规定为权利的。他们担心会造成信息孤岛的问题，认为确权可能会导致信息主体对个人信息的绝对支配，以至于产生信息无法自由流动等弊端。

　　其实，就算称个人信息为“个人信息权”，它也绝不可能与所有权一样，是对个人信息的绝对地、排他地支配。事实上也做不到，因为信息本身就具有无形性和共享性的特点，可以在不同的地点、由不同的人同时加以利用，根本没办法像作为有体物的动产或不动产那样进行绝对的和排他的支配控制。因此，这些担忧是完全没有必要的。

　　所以，关键的问题是在于怎么协调自然利的保护和信息的自由流动、合理使用。其实，这种协调的方式有很多，比如区分私密信息、非私密信息等不同类型的个人信息，区分不同的个人信息处理行为，如收集、提供、公开等而分别加以规范。

　　程啸：第一个创新点，也是最重要的一点，就是把自然人的个人信息作为一项民事权益，而且明确规定成“人格权益”关于女生的生理知识。

　　我们以前保护个人信息关于女生的生理知识，有一些人老是忘了一个基本的出发点，就是保护个人信息的根本目的是什么。我认为，个人信息与自然人切身权益息息相关，保护个人信息的目的绝非单纯地管理，而是在于贯彻落实《宪法》的规定，维护自然人的人格尊严和自由。

　　民法典之前，《网络安全法》中有个人信息保护的规定，但主要是从网络安全管理的角度来规定的；《消费者权益保》中也提及了消费者“享有个人信息依法得到保护的权利”，但其性质是什么并不明确。民法典草案解决了这个问题。

　　最后一点是，明确了对个人信息的合理使用规则，有利于自然人合法权益的保护与公共利益的协调。比如民法典对侵害个人信息免责事由的规定就很重要。依据这一规定，为了维护公共利益或自然人的合法权益等情形下，可以不经过自然人的同意关于女生的生理知识，就处理自然人的个人信息，行为人不需要为此承担民事责任。

　　程啸：中国的个人信息保护问题一开始出现很突然，也很必然，它是我国网络信息产业和数字经济发展的必然产物。在初期网络经济“野蛮生长”的过程中，出现了很多的问题，大家意识到问题的严重性。因此，整体的趋势是从实践产生问题，到理论上研究，最后进行立法规范的过程。而且立法也是一个从低阶位的立法慢慢往高位阶立法发展的进程，实际上，这也是一个摸着石头过河的过程。

　　民法典作为民商事领域的基本法，其对个人信息保护的规定，应当说只能是确立大的原则方向和规定最基本的问题。实践中要具体适用的话，肯定还是要有更多具体细致的规定的。但是，有了民法典，既可以对其他立法提供基本依据，同时又为将来的发展留有空间真实但奇怪的冷知识。

　　个人信息保护的具体规则随着网络信息科技和数字经济的发展，会有不断的发展和变化。如果民法典规定得过于详细甚至琐碎，就会导致民法典的相关规定很快落伍于这个时代，而民法典又不可能经常去修订。

　　个人信息保应当是公法和私法的混合体，其中既有个人信息保护机构如何通过行政手段加强个人信息保护、信息处理者如何在个人信息保护上进行自律规范等问题，也要遵循民法典的规定详细规定处理个人信息的告知同意规则、自然人的个人信息权益内容以及侵害个人信息的民事责任（如归责原则、赔偿范围、惩罚性赔偿）等。

　　民法典是市民社会的基本法。有了民法典后，个人信息保护的顶层立法设计基本完成了，之后就可以依据民法典来制定个人信息保、数据安全法，未来也许还会出台数据资产法、政府政务数据公开法等各种相关立法。从《宪法》保护人格尊严，到民法典《刑法》《网络安全法》、个人信息保以及相关的行政法规、司法解释以及部门规章，我国已经逐渐构建出了一个科学完善的个人信息保律体系。

　　程啸：在我国，目前一个很大的问题是在于没有专门、独立的个人信息保护机构。对个人信息保护的监管，基本上是按照个人信息所涉及的领域来划分的，比如网络运营中的个人信息保护归网信办监管，而金融信息真实但奇怪的冷知识、医疗信息、市场交易信息等分别由其他不同的主管部门来监管。

　　我认为，将来我国建立专门的个人信息保护机构是很有必要的。有了这个机构之后，它的立法权关于女生的生理知识、执法权、具体的处罚等就能规定得比较详细。这样的话，执法依据不统一、法律责任适用不清晰等问题就能得到解决。

　　南都：有法官指出，在打击侵犯个人信息犯罪的法律适用上，我国存在着刑法在先、民法及行政法在后的问题，你认为这个问题应该如何解决？

　　程啸：不管是刑法还是民法，刑事责任还是民事责任，实际上都属于事后的，即产生了违法犯罪或侵权行为之后，再追究行为人的责任。但是，目前更需要建立起一种事前、事中和事后的全方位的、动态的个人信息保护制度。

　　所以，建立个人信息保护机构之后，可以针对个人信息的收集、加工、使用、传输、提供等行为事先就加强监管，比如对App违法违规收集个人信息问题的日常监管，这样很大程度上就可以未雨绸缪，起到防患于未然的作用。

　　另外，可以进一步明确个人信息保护的相关法律规范和执法尺度，这样的话，也为追究刑事责任和民事责任提供了很大的便利。

　　一是党和国家高度重视个人信息保护的问题，刚颁布的《中央国务院关于新时代加快完善社会主义市场经济体制的意见》再次明确要求“依法保护个人信息”。网信办等相关主管部门也不断加大个人信息保护的执法力度；二是随着民法典的颁布，我国的个人信息保护的法律体系正在不断健全和完善；三是广大人民群众对个人信息保护的意识也在增强。

　　当然，在个人信息保护中也会不断产生各种新问题，出现各种新情况，需要及时应对，同时，也要注意过犹不及的问题，目前我国的网络经济也在蓬勃发展，在保护个人信息的同时也要高度注意信息的合理使用和产业经济的发展。

　　另外，我始终想强调的一点是，保护个人信息的基本出发点就是落实我国《宪法》的规定，充分保障自然人的人格尊严和自由。

　　重要的是怎么规定个人信息的民事权益内容，以及侵害个人信息的救济措施。明确这一点之后，加不加“权”字只是一个学术上的分歧而已。

　　我认为，个人信息与自然人切身权益息息相关，保护个人信息的目的绝非单纯地管理，而是在于贯彻落实《宪法》的规定，维护自然人的人格尊严和自由。