【作者】王利明（中国人民大学民商事法律科学研究中心研究员，中国人民大学法学院教授）

内容提要：从比较法的经验来看，个人信息和隐私的界分一直不明确，导致两者之间的权利保护规则的区分并不清晰，我国《民法典·人格权编》分别规定了隐私权与个人信息保护，并且规定了在两者发生重复情形下应优先适用隐私规则，但因为个人信息和隐私具有重合性，因此必须在法律上对其进行区分。隐私权规则优先适用的原因在于：权利不得减损、人格尊严高于私法自治。由于个人信息具有集合性、可利用性、自动处理性等性质，因此有必要在立法上制定专门的《个人信息保护法》，对个人信息予以全面保护。

关键词：《民法典》；隐私权；个人信息；规则界分

一、问题的提出：隐私与个人信息的重合

　　比较两大法系的经验可以看出，隐私和个人信息之间的界限一直未能得到准确区分。例如，基于美国法的大隐私的概念，个人信息被纳入隐私权保护的范畴。而在德国，个人信息权得到最早承认。德国《联邦数据保护法》第1条规定：“本法制定的目的是保护个人隐私权使其不因个人资料的处理而受到侵害”。在司法实践中，德国联邦宪法法院也将“信息自决权”作为隐私权的内容。而德国宪法法院实则将信息自决权代替了隐私权（Recht auf Privatsph?re）。以德国法为代表的欧盟法建构了独立的个人信息保护法体系，《欧洲一般数据保护原则》（GDPR）就是迄今为止在全球范围内对个人信息保护层次最高、最全面的法律制度，其中包括了对隐私的保护。对比来看，GDPR规定的敏感信息也属于美国法中隐私权保护的内容。同样，日本2003年通过的《个人信息保护法案》将个人信息资料视为个人隐私的一部分。可见，在现有的诸多立法中，个人信息与隐私之间的界限并不清晰，如何妥当处理两者之间的关系也仍然是尚未解决的问题。

　　在我国《民法典》编纂过程中，有关隐私和个人信息都应当视为人格权益，并受到保护这一点上，理论界和实务界没有争议，但对两者如何界分，是否需要分别保护的问题，一直存在争议。《民法典》对这些争议予以一定程度的回应，它虽然将隐私与个人信息都置于人格权编第六章，但实则对两者作出了明确界分。《民法典》第1032条、1033条规定了隐私的概念和侵害隐私的具体形态，第1034至1038条对个人信息的保护作出了较为完整的规定。不过，仔细推敲前述规定，可以看出，第1032条在对隐私进行定义时，将不愿为他人知悉的私密信息定义为隐私，而私密信息本身作为个人信息的组成部分，其和第1034条所规定的个人的生物识别信息、健康信息、行踪信息等形成了交叉和重叠。从《民法典》的上述规则来看，我国的隐私和个人信息存在重合，因此《民法典》适用的一项重要任务，就是在准确厘定隐私和个人信息关系的基础上，对它们加以准确而全面的保护。

　　隐私权与个人信息之所以未完全得以界分，存在相当程度上的重合，原因主要在于：

　　第一，隐私权与个人信息都属于人格权益的范畴，我国《民法典》之所以将隐私权与个人信息置于同一章规定，就是考虑到了其天然的联系。在《民法典》颁布之前，我国司法对于这两者一直存在交叉混用的情况。例如，在“廖萍诉曾军隐私权案”中，被告通过非法手段获得了原告银行账户的资金往来信息，并将其在董事会上公布。法院认为“（未经本人许可）取得私人信息的单位、个人必须得到法律的许可，即有法律赋予的相应权利，而且获取手段、途径亦应符合法律规定”，但在本案中被告无法出示其合法获得原告个人账户信息的相关证据，因此“（在没有本人许可的情况下）没有合法授权、合法手段与途径而取得私人信息，没有合法理由即将该私人信息予以公开的行为，侵犯了权利人的隐私权”。从该案中不难发现，在司法实践中，有的法院曾经将个人信息纳入隐私权的保护范围，采取隐私权的保护方法为个人信息的权利人提供救济。但是在另一些案例中，法院则将隐私作为个人信息对待。

　　第二，两者的客体本身具有重合性，在外延上往往存在交叉，这尤其体现在私密的隐私信息与个人信息可能存在高度重合。例如，个人的银行账户、房屋家庭住址、身体私密信息、健康信息等既是个人敏感信息，也是个人的私密隐私。这些私密信息都有可能受到隐私的保护。

　　第三，隐私权与个人信息在侵害方式上虽有区别，但都包括非法收集、转让、泄露等形式。特别是随着互联网、数据库、云计算等高新技术的发展，个人信息的保护成为现代社会所面临的新挑战，而法律还未对此挑战做好充足的应对。实际上，信息科技所引发的个人信息保护问题，主要还是最近一二十年信息科技变革所引发的问题，相关的学术理论认知和制度建构都还处于不断探索的阶段。这对任何一个法域来说，都没有成熟的现成答案，以至于个人信息只能按照隐私保护的规范加以保护，并在逐渐成熟后构成了独立的保护体系，这就导致了个人信息的保护在现阶段难以与隐私权作出清晰界分。

　　第四，隐私权与个人信息还存在功能上的交互性。个人信息的保护范围可大体界定为与公民个体的独立意志和交互行为的独立自主具有密切联系的信息。个人信息发挥自身作用的空间主要是信息主体与外界的交互过程，信息主体的权益在于依循自身的意愿对个人信息进行合理的利用，以充分实现信息权利人的意志和利益。隐私主要保护个人的私密信息不受到他人的打扰与干涉，是对个人私生活的安宁的维护。但隐私在某些特定场景下同样具有信息的交互性。例如，患者就医过程中，必需将自己的身体和健康信息对医生进行说明，以实现诊疗的目的。因此，个人信息和隐私都具有信息的交互性，只是二者的交互范围并不相同。就私密信息与个人信息的关系而言，个人信息能够实现的交互范围更大，而私密信息则通常在某些特定的场景中实现信息交互。

　　上述原因的共同作用导致了个人信息与隐私权在界分上的问题，但如果不对二者进行界分，却又无法实现对二者不同程度的保护。因此，在全面贯彻实施《民法典》中，有必要在准确厘清个人信息与隐私权的基础上，确立对二者适用的不同保护规则。

二、隐私与个人信息的规则界分

　　从制度发展角度来看，隐私概念产生的时间远远先于个人信息。隐私权概念始于19世纪末期，1890年两位美国学者Samuel D.warren与Louis D. Brandeis在他们所著的《论隐私权》（the right to privacy）一文中，提出了隐私权的概念，并认为人们应有“远离世事纷扰”、“个人独处”的权利（the right of the individual to be let alone），以应对电气时代中的新闻出版商、摄影者以及其他人对个人私生活安宁的打扰。如果再进行追溯，会发现隐私权的法理基础可追溯至古代的罗马法、希腊法甚至盎格鲁撒克逊普通法。受时代和观念的制约，隐私权的侵害方式通常是披露、刺探等行为方式，而不是采用数据收集、泄露等技术手段，由此对隐私信息的侵害通常具有特定性，具有明确的侵害对象。

　　相较隐私权而言，个人信息权益则是在信息时代中涌现的新型人格权益，个人信息保护是上世纪六十至七十年代在欧洲产生，其产生的背景首先是因为广大民众对政府大规模收集信息、担心信息被泄露而产生的质疑，需要通过法律制度对个人信息加以保护从而应对信息泄露的可能。为了缓解民众的这种担忧，法学界提出了个人信息保护这一概念，以在方便国家利用个人信息的同时，保护民众的个人信息权益不为国家公权力所侵害。随后这种保护的范围逐渐从公法领域向私法领域扩展，直到现在成为了具有社会普遍适用性的制度。从时代需求来看，此种权益的产生主要是法律为了应对互联网的发展以及电子信息技术、数据技术、计算机技术、人工智能技术等尖端科技发展所带来的负面影响，以及大数据的发展对个人信息的收集与分析处理引发的各种问题。因此，法律对个人信息权益的规范面临着更为多元化的利益冲突，相对于隐私而言，个人信息仍然属于一种崭新的权益类型。

　　我国自《民法通则》开始，就构建了人格权益保护制度。虽然《民法通则》中没有明文对隐私提供保护，但针对实践中出现的大量有关隐私保护的纠纷，最高人民法院通过司法解释的方式，将隐私纳入名誉权的保护范围，直至2009年的《侵权责任法》明确规定了对隐私权的保护。与此同时，我国的相关特别法律，也已经出现了对个人信息进行保护的具体规范，比如，《加强网络信息保护的决定》是关于保护个人电子信息的相关规定，《居民身份证法》是关于个人身份信息的特别规定，《律师法》规定了律师对其在执业活动中掌握的当事人信息负有保密义务等。由此可见，在《民法典》颁布之前，我国法律已经将隐私和个人信息作为两种不同的人格权益进行了区分，但对于二者界分的标准则并未明确。《民法典》在制定中总结了现行立法和司法实践的经验，《民法典》在人格权编中单设第六章规定了隐私权和个人信息的保护，将这两种人格权益合并在一章中进行规定本身就表明了二者之间具有内在的联系，很难截然分开，但同时《民法典》又将二者作为不同的权益类型进行规定，这就说明二者之间也存在着一定的区别。《民法典》明确区别了隐私和个人信息，分别设定了不同规则，主要原因在于：

　　第一，权利性质不同。隐私权主要是一种精神性的人格权，虽然可以被利用，但其财产价值并非十分突出。而个人信息权益在性质上属于一种综合性的权益，同时包含精神利益和财产利益，而且对其的利用和保护应当并重。另外，就形态载体而言，个人信息通常是被记载或以数字化形式表现出来的信息；而隐私则不局限于以信息呈现的形态，如《民法典》所述，隐私还可以是私密的空间、活动或私人生活安宁。作为隐私权之客体的私密信息，除了具备“隐”与“私”两大示明种差的内涵之外，还包含“不愿为他人知晓”的主观要件，因此，只有非法披露不愿为他人知晓的私密才构成侵害隐私。

　　第二，权利内容不同。隐私权主要是一种被动性的人格权，其内容主要包括维护个人的私生活安宁、个人私密不被公开、个人私生活自主决定等。故而，隐私权制度的重心在于防范个人的秘密不被披露，而不在于保护这种秘密的控制与利用，因此权利人通常只有在隐私遭受侵害时才能提出主张。与此不同，个人信息权益主要是一种主动性人格权，主要是指对个人信息的支配和自主决定，权利人除了被动防御第三人的侵害之外，还可以对其进行排他地、积极地、能动地控制和利用。

　　第三，权利保护强度不同。我国《民法典》和其他法律在权益保护上没有明确的限制，但是在涉及到隐私和个人信息保护时，《民法典》的规定是有区别的。如第1033条在规定侵害隐私权的免责事由时，要求必须经过“权利人明确同意”；但第1038条关于个人信息处理的免责事由里，则要求须经自然人或者其监护人“同意”，没有“明确”两个字。这并非立法的疏漏，而是立法者经过反复研究的结果。加上“明确”二字，表明对隐私信息的收集必须是明示同意的，不能采用默示同意的方法，而对个人信息的收集，不一定必须取得权利人明示的同意，默示的同意也可以。

　　第四，侵害方式不同。《民法典》第1033条详细列举了侵害隐私权的各种方式，此种列举是和1032条关于隐私的内涵相对应的，即分别针对私生活安宁、私密空间、私密活动、私密信息四种类型规定了不同的侵害模式。归纳而言，其基本包括了两种类型，一是非法披露他人不愿为他人知晓的隐私；二是采用非法披露以外的其他侵害方式，如非法拍摄、私闯民宅、非法窥视、非法窃听等。但《民法典》关于个人信息的侵害方式主要体现为未经许可非法处理他人个人信息，以及因过错导致个人信息的泄露、篡改和丢失。在现实中，侵害个人信息主要表现为非法搜集、非法利用、非法存储、非法加工或非法倒卖个人信息等行为形态，可以说，个人信息的规模化收集和利用、个人信息的跨境流动、将个人信息用于个性化的广告推荐等等，都是隐私保护场景中未曾面临的问题。

　　第五，保护方式不同。通常来说，隐私权更多的是一种不受他人侵害的消极防御权利，即权利人在受到侵害时可基于《民法典》第995条的规定，行使人格权请求权，要求停止侵害、排除妨碍等，并可基于侵权责任编的规则请求损害赔偿。在侵害隐私权的情况下，可以采用精神损害赔偿的方式加以救济。而个人信息权益的保护则包含要求更新、更正等救济方式。但对个人信息的保护，是否可以适用《民法典》第995条关于人格权请求权的规定则存在争议，因为该条的适用前提是“人格权”的表述，由于个人信息在性质上并不属于一项权利，因此难以为“人格权”的表述涵盖，笔者认为，可以考虑目的性扩张的方式将该条的规则适用于个人信息的保护之中。除了采用精神损害赔偿的方式外，也可以采用财产救济的方法。由于个人信息可以进行商业化利用，因而在侵害个人信息权益的情况下，也有可能造成权利人财产利益的损失，从而有必要采取财产损害赔偿的方法对受害人进行救济。有时，即便受害人难以证明自己所遭受的损失，也可以根据“所获利益视为损失”的规则，通过证明行为人所获得的利益，对受害人所遭受的损害进行推定，从而确定损害赔偿的数额。

　　第六，是否需要证明损害不同。侵害不同类型的隐私要求满足不同的侵权要件，但侵害隐私权并不必然要求受害人必须证明有损害的发生。如非法跟踪、非法窥探，只要证明行为人实施了该行为，且没有法定免责事由（如不是出于公共利益需要等），行为人就应当承担责任。但是对于个人信息的侵害，究竟如何承担证明责任，是一个难题。但通常认为，受害人应当证明实际损害的发生，无论是财产的损害还是精神的损害，都应该伴随着有损害发生的证明。

　　第七，对隐私的保护主要借助于民法的方法保护，而对个人信息的保护则要考虑综合治理的问题，仅仅依靠民法对其进行保护是不完全的，还应当结合行政法等公法的相关规定来判断。隐私本身为个人私领域的体现，原则上不涉及大规模流转与共享，因此法律上要通过民事的手段为其提供必要的保护而并无必要通过行政的手段对其进行专门的管理。与此不同，个人信息可以进行大规模的流转与共享，甚至是跨境流动，它还涉及社会管理的问题，除了民法之外还需要有特别法进行单独规定。可以说，个人信息保护涉及到多种价值之间的协调，多种手段之间的运用，以及各种复杂的内部区分，所以需要突破传统的部门法界限，综合运用多种法律手段，整体性、系统性地进行规范。这也意味着，个人信息保护的法律制度体系需要在传统的民事救济框架基础上进行特别立法，需要在民法确立了私权确认体系的基础上，探索和发展出一套切实有效的保护机制，包括公共监管与私权损害救济双管齐下的综合治理体系。即便在民事救济领域内，救济的手段和工具也可以有所创新，例如，借鉴和引入我国在消费者权益保护法领域内已经有较为丰富经验的惩罚性赔偿制度。总之，需要建构一套有助于实现个人信息保护目标的综合治理方案。

　　正因为隐私与个人信息之间存在诸多区别，所以我国《民法典》设计出两套不同的规则，分别适用于隐私与个人信息的保护，此种界分很大程度上是要解决两者重合的矛盾，从而正确处理有关隐私和个人信息的纠纷。

三、隐私权与个人信息的规则适用

　　（一）隐私权规则的优先适用

　　前文指出，家庭住址、个人的银行存款、健康信息等体现了隐私和个人信息的重合，当它们受到侵害，究竟应该适用隐私的保护规则，还是适用个人信息的保护规则，是突出的问题。对此，《民法典》第1034条第3款规定：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”据此，应先适用隐私的保护，然后再适用个人信息的保护。之所以确立这样的适用规则，主要基于两个原因：权利不得减损原则和人格尊严高于私法自治的保护原则。

　　1.权利不得减损原则

　　隐私权以保护个人远离他人的侵扰为核心，因而作为一种法律上的权利要受到绝对的保护。而个人信息虽然也关系到私主体的人格利益，但是另一方面，其也可能成为公共利益的承载者，因而对个人信息的保护往往需要在利益的平衡中进行，其作为一种法律保护的利益，不能像隐私权一样受到绝对的保护。在《民法典》的编纂过程中，“隐私”和“个人信息”之后是否需要加上“权”字，是一个争议很大的问题。《民法典》采取了“隐私权”和“个人信息”的表达方式。这说明隐私权是一项独立的人格权，而个人信息后面没有“权”字，说明个人信息只是一项人格权益，并不是一项独立的权利。在法律保护上，对权利的保护程度应该高于权益。德国法就严格区分了权利的保护和权益的保护。对于权利的保护，通常按照一般的侵权规则来进行，但是利益的保护是有限制的，以防止利益保护过于宽泛，而影响他人的行为自由。例如，德国法在追究侵害民事权益的加害人责任时，通常还要求满足一定的主观要件，如只有在故意或重大过失的情形下，才能追究加害人的责任；或者用是否违反善良风俗等标准限制对加害人的追责。这实际提出了权利不得减损原则，即法律不应当减损一般主体对于权利的保护要求，只有这样，才能实现对权利主体的完全保护，这可谓法律最基础的要求。与此相应，隐私权的保护程度高于个人信息的保护程度，在它们二者重合时，应优先适用隐私权保护规则，实现更高程度的保护。

　　2.人格尊严高于私法自治的保护原则

　　两大法系比较普遍接受的观念是，隐私体现的是一种人格尊严，但个人信息体现的是个人对自己信息的自决权，所以个人信息的各项规则都是建立在“信息自决”的基础上的，彰显的是私法自治。从人的法律保护价值导向来看，对人格尊严的保护要高于私法自治，此即人格尊严高于私法自治的保护原则。

　　沃伦和布兰代斯在1890年的论文中就提出，隐私是人类价值的缩影，它更强调人格尊严。美国学者惠特曼（Whitman）认为，除法律明确规定和权利人明确同意外，整个欧洲的隐私概念都是奠基于人格尊严之上的，隐私既是人格尊严的具体展开，也是以维护人格尊严为目的的。故而，隐私权是抵挡“贬损个人认定的行为”或“对人格尊严的侮辱”的权利。在此意义上看，隐私权存在的基础是个人人格的尊严，其实际上彰显了个人人格尊严。换言之，隐私体现了个人的人格尊严，其不受侵犯是人格尊严的重要体现。尊重个人隐私，实际上也是尊重个人的尊严；尊重人格尊严，就要尊重个人的私生活安宁，使个人对自身及其私人空间享有充分的支配，并排除他人的干涉和妨碍。在此基础上，人们相互之间才能尊重彼此的私生活。特别是与身体有关的私生活隐私，都与个人尊严相联系，如果暴露这些隐私，将严重损害个人人格尊严。

　　个人信息也常常被称为“信息自决权”，早在1971年德国学者Wilhelm Steinmüller和Bernd Lutterbeck便提出了个人信息保护对于人格自由发展的重要性，随后，1976年Christoph Mallmann第一次提出了“信息自决”的概念。1983年，德国宪法法院的人口普查法案判决将个人信息权称为“资讯自决权”（Recht auf informationelle Selbstbestimmung），在该判决之后，不少德国学者将资讯自决权归结为一般人格权的具体内容。在德国法的语境中，该权利是指“个人依照法律控制自己的个人信息，并决定是否被收集和利用的权利。”依据德国联邦宪法法院的观点，这一权利是所谓的“基本权利”，其产生的基础为一般人格权。在英美法系，个人信息也被称为“信息自决权（informational self-determination right）”，以体现对个人自决等人格利益的保护。个人信息对流通的要求更高，背后彰显的是个人自决的价值取向，在本质上是私法自治的体现。

　　隐私虽然也是一般人格权的具体内容之一，但体现了人格尊严，而人格尊严是不能随意放弃的，否则，个人在自治过程中会不理性地放弃或者减损人之为人的个人尊严，个人的一些核心隐私信息等将可能脱离个人的控制，如此将对个人人格造成重大影响。与此不同，个人信息主要体现了私人自治，即个人对个人信息享有自我决定权。众所周知，正是因为个人信息的权利是属于权利人的，即便数据开发者经过权利人同意对个人信息进行了搜集、开发，但在其将数据与他人共享之前，还得经过当事人的许可和授权。通过保护个人信息不受信息数据处理等技术的侵害，就可以发挥保护个人人格尊严和人格自由的效果。对于每个人来说，无论是穷人还是富人、是名人还是普通百姓，都享有对自己信息的自主决定权利，任何人不得非法收集、利用和传送该信息。个人信息权益符合人格权益的本质特征，因为个人信息与个人人格密不可分，个人信息主要体现的是一个人的各种人格特征。法律保护个人信息，虽然以禁止披露相关信息为其表现形式，但背后突出反映了对个人控制其信息资料的权利或者说个人自主决策的充分尊重。个人信息保护的基础是个人的自决权，权利人同意他人搜集、利用或采取何种利用方式，都是个人自决权的具体表现。从这个意义上说，法律上保护个人信息的宗旨和目的在很大程度上是为了维护对个人信息的自主决定，而对于隐私的保护则是以维护个人的人格尊严为目的，个人信息主要涉及私法自治，而个人的人格尊严相较于私法自治则处于更高的位阶。因此，在个人信息与隐私信息发生交叉时，应当优先保护隐私信息。

　　（二）个人信息保护的规定对隐私权的适用

　　《民法典》第1034条第3款规定：“个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。”可见，对于隐私权中没有规定的个人私密信息，可以适用个人信息保护的规则。虽然隐私与个人信息之间存在着诸多的不同之处，但个人私密信息在本质上仍然属于个人信息，只不过个人信息主体希望使其保持于私密状态而已。这也意味着，对于私密信息这类特殊的信息，在隐私权没有具体规定时，应当适用个人信息保护的一般性规则。例如，《民法典》并未就数据企业利用个人隐私信息进行自动化决策（如个性化推送）的问题予以具体规定，但数据企业却有可能利用个人私密信息进行自动化决策。这时就涉及到对于算法体制的规制问题，甚至可以考虑在具体规则上做特殊安排，并且有必要对自动处理与非自动处理进行区分。如果利用个人信息进行自动化处理的，应当保证此自动化处理的透明度与处理结果本身要公平合理。通过自动化处理以营利性目的向个人进行商业化信息推送的，应当同时提供不具有特定性的个人特征的选项，以充分保障其权利。上述规则，事实上在隐私领域也具有适用的空间。但由于隐私权对此没有明确规定，可以适用个人信息保护规则。值得注意的是，《民法典》人格权编对隐私权和个人信息的保护规则只是存在强度上的差异，因此即使对隐私权适用个人信息保护规则，也可以起到基本的保护和救济作用。

　　（三）某些人格权一般保护规则的统一适用

　　既然在我国《民法典》中隐私权和个人信息都属于人格权益的重要类型，因此，《民法典》人格权编第一章关于人格权保护的一般规则大都可以适用于对这两种人格权益的保护。问题在于，对于个人信息这类尚未上升为有名“权利”的民事权益，在关于个人信息的具体规则供给不足时，是否也能够像隐私权利那样适用人格权编中的一般性人格权保护规则？例如，《民法典》第997条规定：“民事主体有证据证明行为人正在实施或者即将实施侵害其人格权的违法行为，不及时制止将使其合法权益受到难以弥补的损害的，有权依法向人民法院申请采取责令行为人停止有关行为的措施。”该条确立了对于人格权益保护的禁令制度，本条提供的临时禁令救济对象是“人格权”，但此处所说的“人格权”是否包括个人信息权益呢？实际上，这是在关于人格权编的立法学术研讨中重点讨论的问题，这里到底是采用“人格权”还是“人格权益”，应当说反映了立法过程中的一种取向。如果采用前者而不是后者，意味着这里的“人格权”应当从“人格权益”的角度来理解，而不能理解为狭义的“人格权利”。也就是说，个人信息权益是包括在其中的。但笔者认为，本条后半段关于“不及时制止将使其合法权益受到难以弥补的损害的”之规定，也说明本条致力于保护的是包括人格权益在内的各种人格权，也包括个人信息权益。

　　总之，无论是隐私权，还是个人信息利益，在相关具体规则不明确时，除了法律明确规定不宜适用某一种权益的规则之外（如《民法典》第993条关于许可使用并没有明确规定隐私），应当统一适用人格权编中的一般性保护规则。

四、个人信息与隐私区分的立法实现

　　在现代科技社会，“如何收集、保存、维护、管理、分析、共享正在呈指数级增长的数据是我们必须面对的一个重要挑战。从网络摄像头、博客、天文望远镜到超级计算机的仿真，来自于不同渠道的数据以不同的形式如潮水一般向我们涌来”。大量的信息中又包含许多个人私密信息，这是现代社会法律面临的新课题，需要今后随着社会生活和科技的进一步发展而总结和摸索立法经验，并予以不断完善。个人信息与隐私权在权利内容、权利边界等方面存在一定交叉，不过，就隐私权而言，由于既有的民法学说、司法实践和立法已经将其纳入了保护范围，尤其是《民法典》通过第1032和1033条对隐私保护作出了较为全面的规定，《民法典》第1032条确认了隐私权的基本规则，同时将判断隐私的基本标准做了规定；第1033条对隐私侵害行为做了比较系统的类型区分和界定；另外人格权编的一般规定中所设立的人格权保护方式，也给隐私权的有效保护和救济提供了具有可操作性的基本规则，这些规定能够比较好地应对当前和未来可能发生的隐私权侵害风险。《民法典》实施后，尽管会出现各类新型的隐私侵害纠纷，但可以在现有的规则体系框架下，通过司法解释、指导性案例等方式予以不断丰富和发展。可以说，《民法典》已构建了一个相对比较完善、具有适用弹性的规则框架和体系。

　　然而，与此相比，信息科技时代所面临的个人信息保护问题，远不限于隐私这一类信息的保护问题，在隐私信息之外还涉及到大量非隐私类的信息的收集和处理问题，蕴含着难以预知的风险。还要看到，隐私不仅强调对私密信息的保护，还强调对私密空间、私密活动和私生活安宁的维护，这些则又是个人信息保护所不包含的。

　　因此，《民法典》不仅要在概念上区分隐私和个人信息，也要准确区分隐私与个人信息的不同保护规则，而这则有待于特别法的进一步制定与完善。截止2020年4月，全球已经有132个国家进行了个人信息保护的立法。我国立法机关也已经将个人信息保护立法提上了议事日程，笔者认为，个人信息立法应当以《民法典》确立的个人信息的基本框架为基础，并将《民法典》的相关规范予以细化，结合有关行政法等公法规范进行综合协调，在此基础上制定一部系统完整的、全面保护个人信息的法律。

　　（一）未来立法应以《民法典》中个人信息与隐私概念的界分为基础

　　在我国《民法典》中，从概念上来看，隐私权与个人信息权益虽然在外延上存在重合，但是二者的内涵仍然可以予以澄清和界分。依据《民法典》的规定，在未来的立法或司法解释中，主要可以从以下角度区分个人信息与隐私的概念。

　　首先，个人信息权是一种主动性的、能够积极行使利用的权利，其体现为对个人信息的支配和自主决定，而隐私权则是一种被动性的、消极的排他性权利，例如《民法典》第993条规定了对于属于个人信息的姓名、名称、肖像等可以许可他人使用，但并不包括隐私。当然，该条采用“等”的表述，其中是否可包括隐私仍值得探讨。无论如何，隐私不如个人信息那样可以许可他人利用。

　　其次，隐私权的客体强调“隐”这一属性，表现为个人不愿意公开的私密性，且单个私密信息并不必然指向权利主体的身份；而个人信息则强调身份的识别性，即能够直接或经组合后，被信息控制人或他人合理利用以识别权利主体身份。根据《民法典》第1034条第2款，个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，以“可识别性”为核心特征，其包括仅凭该信息本身即可直接锁定某特定自然人的“单独识别性信息”和需结合其他信息方可将某自然人与一切其他人区分开来的“间接识别性信息”。

　　再次，从侵害的形态来看，隐私主要包括了非法披露他人不愿为他人知晓的私密信息以及采用非法拍摄、私闯民宅、非法窃听、非法窥视等方式侵害他人的隐私，但一般并不包括非法利用他人的私密信息。而对个人信息而言，其侵害的形态除了非法收集、买卖等外，主要强调的是对于个人信息的非法利用。

　　最后，在责任形态上，隐私作为一种精神性人格权，主要是适用的是侵害人格权的一般保护方法与精神损害赔偿，而由于个人信息具有可利用性，因此对其侵害，更加注重实际损失的发生与财产损害赔偿。

　　总之，《民法典》的规定为界分个人信息与隐私提供了基本标准，通过上述的基本界分，可以将隐私与个人信息进行区分，作为分别适用不同保护规则的前提，并在此基础上设置不同的保护规则。未来我国立法和司法解释仍然应以《民法典》的界分为基本依据，从而完善我国个人信息与隐私的制度。

　　（二）个人信息与隐私区别保护的立法实现

　　隐私作为一项重要的人格权，主要是通过《民法典》人格权编的规则予以保护，并辅之以相应的司法解释，则可以形成周延的保护。而对于个人信息而言，由于对此种权益的保护具有公法与私法的双重属性，完全通过私法的保护是不全面的，其中涉及公法的管理性规范，需要公法上的协同。民法上的个人信息保护，主要奠定了私法地位，而对于其中的公法保护手段，《民法典》并不能予以实现，因而需要通过特别法的立法达成。除此之外，个人信息不同于隐私，需要通过特别立法予以规范和保护之处还在于：

　　第一，个人信息具有集合性，隐私通常很难具有集合性，其本身是单个主体享有的权益。基于人权保护的原因，许多国家将隐私作为基本人权对待。例如《欧洲人权公约》第8条、《法国民法典》第9条即将隐私作为基本人权对待，故禁止对个人隐私进行侵害，故一般不允许将隐私作集合化处理，这也在某种程度上决定了欧洲隐私的立法路径，故不允许将隐私进行大规模处理，而个人信息通常可以集合在一起形成数据，无论是匿名化还是非匿名化处理，个人信息都可成为数据。这点就决定了个人信息与大数据的关联非常密切。从全球范围来看，许多法律文件均采用的是个人数据权的表述（right to protection of personal data ），且这一术语的使用已基本在欧盟层面的立法中达成了一致。隐私一般涉及到人格尊严问题，个人信息往往与大数据发生联系。因此，侵犯隐私的形式是多元化的，而针对个人信息恰恰是在数据应用的前提下才产生个人信息保护的问题。故对于个人信息也要强调数据的流通与共享，因此也会出现对个人信息的匿名化处理，此时会形成纯粹的数据。

　　第二，个人信息具有可利用性。与数据具有流通价值不同，隐私原则上不能利用，即使实践中已经产生了利用隐私的情况，但利用范围极其狭窄，并且一般也不得违背公序良俗。而对于个人信息而言，法律对于其保护与应用是并重的，故在个人信息保护的场合利益权衡的空间要大得多。在此意义上隐私权更强调私密性，故隐私权规则对隐私的保护程度要更强。而一般的个人信息可以为他人知晓，但是强调的是不能未经个人信息权利人同意而收集、利用个人信息。《民法典》第993条在人格权的商业化利用上刻意未将隐私权纳入，因此原则上隐私权不得进行商业化利用。

　　第三，个人信息具有自动处理性。隐私通常不涉及大规模处理的问题，侵犯隐私通常具有个别性。因为对个人信息处理有集合性与自动化的特点，个人信息的保护还会涉及到跨境流动的问题。根据有关国家法律规定如果个人信息的处理者需要向境外进行传输个人信息，应当向个人告知境外接收方相关身份信息以及处理方式、处理目的等，以更好的保护个人的合法权益。而隐私权一般不涉及跨境流动与跨境处理的问题，因为隐私权禁止大规模收集，更难以进行大规模处理，如果将隐私进行大规模处理，后果将是不可想象的。现代社会中，为了社会组织、运行与管理现代化，个人信息的大规模收集和自动处理是必须的，而社会的良序运行不以隐私的收集与自动化处理为必要。随着现代数字化技术的发展，借助于算法等自动化技术处理手段，可以进行各种网络画像、精准画像的推送，这些都是对个人信息的自动化处理的体现。这种个人信息的自动化处理又可能会出现算法歧视、算法黑箱、网络画像的滥用等问题。

　　第四，个人信息泄露的程序法应对具有特殊性。由于个人信息往往以集合的方式出现，一旦其泄露可能会涉及大规模侵权问题，因而需要进行特殊的诉讼制度与行政的介入来处理，这也是为防止个人信息的泄露需要行政介入的原因。正是由于个人信息具有规模性，所以个人信息的诉讼可能会采取集体诉讼的方式来处理，但集体诉讼仍然是以对个人利益的保护为基础的，集体诉讼旨在解决个人诉讼动因不足的问题。因此，在法律上应当有专门的规则来应对个人信息的特殊管理与保护可能产生的大规模侵权问题，建立相应的集体诉讼规则。

　　因为信息具有集合性，会将涉及到某个人的个人信息进行用户画像特点；因为个人信息具有可利用性，故需要涉及到数据流通的问题；因为个人信息具有规模性，所以要涉及到个人信息的行政管理以及特殊诉讼处理的问题；因为个人信息具有自动处理性，所以会涉及到对于算法体制的规制问题，甚至可以考虑在具体规则上做特殊安排，并且有必要对自动处理与非自动处理进行区分。如果利用个人信息进行自动化处理的，应当保证此自动化处理的透明度与处理结果本身要公平合理。通过自动化处理以营利性目的向个人进行商业化信息推送的，应当同时提供不具有特定性的个人特征的选项，以充分保障其权利。而隐私在一般情形下不具有上述特点，对其处理一般具有个别性和非自动处理性。故对隐私的保护需要行政介入的程度相较个人信息更小。因为个人信息具有上述特殊性，难以在单一部门法中完全实现，故需要民法与行政法的结合来进行保护，这就产生了《个人信息保护法》，它在本质上属于领域立法。

结语

　　从内涵和外延上讲，隐私与个人信息天然具有重合性。但是，这两者具有明显的区别，《民法典》对它们进行了明确的规则界分，这导致隐私权和个人信息保护制度有不同的法律适用规则，并产生不同的法律效果。正确理解隐私权和个人信息的规则界分，并在此基础上准确适用相关规则，对于正确认识隐私权和个人信息制度的内部体系和外部构造，科学地制定《个人信息保护法》十分必要。