【作者】彭诚信
【内容提要】
论个人信息权与传统人格权的实质性区分
彭诚信 上海交通大学凯原法学院院长、教授 数据法律研究中心主任
摘要：个人信息权作为一项独立的具体人格权，应能与隐私权等传统人格权相区分，目前司法裁判中出现的二者频繁重叠应予否定。个人信息权与传统人格权适用混乱的根源是，学界误认为二者的并存可通过权利竞合予以解决，忽视了数字社会是适用个人信息权的必要前提，也未能意识到个人信息权的核心问题与制度关怀。个人信息作为权利客体的本质特征是算法识别，由此决定了个人信息权的法律属性及其规则内容的特殊性，这成为区分个人信息权与传统人格权的实质要素。据此，并非所有“可识别”的信息都是个人信息权意义上的个人信息，亦非所有涉个人信息的纠纷都可以适用个人信息权予以解决。只有“算法识别”的信息才属于个人信息权客体范围内的个人信息；只有运用了算法技术的个人信息纠纷，才能适用个人信息权。
自原《民法总则》第111条确立对个人信息的保护以来，我国个人信息纠纷案件逐渐增多。涉个人信息案件呈现出的一个现象是，权利人往往同时主张其隐私权/名誉权和个人信息权受到了侵害，法院也总是在判决说理中分别说明案涉行为是否侵害了隐私权/名誉权和个人信息权。该现象提出的一个重要问题是：如果个人信息权总是和隐私权等传统人格权发生重叠，那么个人信息权何以成为一项独立的具体人格权？详言之，个人信息权与传统人格权的频繁重叠通过权利竞合便能解决吗？若无法通过权利竞合解决，应如何有效区分两者？更根本地，区分个人信息权和传统人格权的理论根基是什么？个人信息权与传统人格权重叠问题会导致理论和实践难题，毕竟诸如姓名、名誉、荣誉、隐私等传统人格权其实都是以“信息”的方式呈现，对这些权利的侵害也多表现为对相关“信息”的公开或不当使用。二者的重叠将会导致司法实践中人格权保护的“泛个人信息化”，即侵害传统人格权的案件也往往会以“个人信息侵权”之名加以裁判。同时，若无法从根本上解决二者重叠的问题，便难以证成个人信息权作为一项具体人格权利的独立价值，无法准确刻画其权利内容和保护边界等基本问题，而且还会侵蚀传统人格权的边界，导致人格权内部在价值和逻辑体系上的混乱。这也是本文试图在基础理论层面澄清个人信息权与传统人格权根本差异的原因。
一、个人信息权与传统人格权并存的迷思
自个人信息在法律上被确认以来，便不断出现同一案件中侵害个人信息权与侵害传统人格权“并存”的现象，试举例说明。
（一）小区张贴判决书案
翟某与徐某系夫妻关系，物业公司起诉翟某支付物业费，徐某作为翟某的委托诉讼代理人参与诉讼。判决后，物业公司将判决书张贴于小区门口等位置。张贴时物业公司已将判决书中的翟某和徐某字样用“3—14—4”予以替代，但并未隐去二人的出生日期、身份证号码和居住地址。徐某以侵害人格权为由对物业公司提起诉讼。一审法院认为，公众可以查阅发生法律效力的判决书，本案所涉判决书载明的事实并不存在不适宜对外公开的个人隐私内容，不会造成徐某社会评价的降低，故被告不构成对原告人格权的侵害。但二审法院认为，依据原《民法总则》第111条的规定，自然人的个人信息受法律保护。故被告张贴判决书时未隐去原告身份证号码、出生日期和地址的行为，侵害了原告个人信息受法律保护的权利。
本案是一起典型的传统人格权纠纷，在法律规定个人信息权前，在小区等线下区域张贴他人信息，引发隐私权、名誉权等人格权纠纷案件亦非罕见。根据传统人格权的构成要件，若张贴的内容存在侮辱诽谤等言论，可主张侵害名誉权；若存在私密内容等，可主张侵害隐私权；若都不存在，则难以主张侵权。被公布者不能仅因自己的信息被公布，便可要求行为人承担责任，因为信息的流动是社会常态，也是法律需保护的重要利益之一。名誉权、隐私权等规则正是法律经长期实践后逐渐沉淀而成的利益衡量结果。若绕开传统人格权构成要件的分析，而径直以未经同意的个人信息使用为由主张权利受侵害，则相当于架空了传统人格权的制度设计，颠覆了人格权法律中的一系列价值和利益衡量。
（二）线上发布判决书案
“贝尔塔案”与“汇法正信案”是个人信息领域引起广泛关注的两个案件。两案的案情相似：被告都是提供信息查询等服务的公司，被告将来源于中国裁判文书网的法院裁判文书上传到自己网站，供客户查询。被告网站的裁判文书中包括了原告与第三人间的诉讼文书，文书中涉及原告姓名、纠纷过程等信息。原告以侵害个人信息、名誉权、隐私权等为由提起诉讼，法院亦均详细分析了涉案个人信息问题。在“贝尔塔案”中，一审法院认为，被告贝尔塔公司的行为侵犯了个人信息权，因为其未征得当事人同意，以营利为目的转载案涉法律文书的行为已构成非法使用他人个人信息。二审法院也认为，在原告联系贝尔塔公司要求删除文书后，贝尔塔公司仍以中国裁判文书网已公开诉争文书为由拒绝删除该文书，构成对原告个人信息非法公开使用。类似地，在“汇法正信案”中，法院也详细分析了被告行为是否构成对原告个人信息权的侵害，包括是否属于违法使用个人信息的行为等。但其结论与“贝尔塔案”相反，法院认为被告的行为并不侵犯原告的个人信息权，故两案常被视为“同案不同判”的典型案例。
两案判决的共同点是，法院均将其定性为个人信息纠纷案件，并在判决中作了相关分析。但问题在于未经许可而在网上发布涉他人信息的纠纷并非罕见。我国传统的网络人格权侵权纠纷，都涉及个人信息。如在被称为我国“人肉搜索”第一案的“王菲案”中，被告在网站上公布了原告的姓名、工作单位、婚外情等信息。一直以来，此类案件适用隐私权、名誉权等传统人格权即可解决，个人信息往往是认定能否构成隐私权、名誉权侵权的判断因素。法院在本案判决中指出，“在社会生活中，公民为了交往的需要，常常主动将姓名、工作单位、家庭住址等个人信息告知他人，这些个人信息有时也会被他人通过一定途径知晓和利用。这些个人信息的披露、使用等行为是否构成侵犯隐私权，应当视行为人对这些信息的取得方式、披露方式、披露范围、披露目的及披露后果等因素综合认定。”若可以跳过隐私权等传统人格权而径直适用个人信息权，意味着传统人格权制度将被架空。其实，案涉个人信息被发布在网上，并不必然意味着可适用个人信息权。至于具备何种条件才应适用个人信息权，正是下文予以着力讨论的内容。
（三）庞某信息泄露案
本案在个人信息领域被广泛讨论。原告庞某委托鲁某通过“去哪儿网”平台订购了东航机票一张，订票所使用的是鲁某的手机号；两天后，庞某的手机号收到了航班取消的诈骗短信。原告以被告趣拿公司和东航公司泄露其隐私信息（包括姓名、手机号码、行程安排等）为由，要求两被告承担赔礼道歉、赔偿精神损害抚慰金的连带责任。一审法院认为，原告未能证明两被告存在泄露其隐私信息的行为，故应承担举证不能的不利后果，驳回了原告的诉讼请求。二审法院则认为，原告提供的证据已经表明，两被告存在泄露原告个人隐私信息的高度可能且被告未能举证推翻，根据事实认定的高度盖然性规则，应认定两被告泄露了原告信息。案涉姓名、电话号码和行程安排等信息均属于原《民法总则》第111条规定的个人信息。虽然原告的姓名和手机号码等信息孤立地看不应保密，但是将这些信息和隐私信息（行程信息）结合在一起时，该整体信息因包含了隐私内容便成为隐私信息。据此，二审法院判决两被告侵害了原告隐私权。
本案二审法院的裁判说理存在诸多令人困惑之处。既然法院最终认定两被告侵害了原告的隐私权，那就应在说理中围绕侵害隐私权的构成要件和法律后果展开分析。案涉原告的行程安排等个人信息，应作为判断侵害隐私权是否成立的因素。但法院并没有如此说理，而是基于似乎相反的说理逻辑指出：鉴于原《民法总则》已确立了对个人信息的保护，为有效保护个人信息，可通过隐私权来间接实现对个人信息的保护。这一“喧宾夺主”的说理着实令人费解。隐私权在历史上先于个人信息权产生，在面对纠纷时，个人信息权理应是在隐私权难以有效解决时，作为“补漏者”来适用。何以会将二者颠倒过来，通过隐私权解决个人信息保护的问题？且从个人信息权与隐私权规则的适用关系来看，隐私权规则应优先适用（《民法典》第1034条第3款），完全没有必要舍近求远地凭借个人信息来论证保护隐私权。何况这种论证还违反了两种制度的适用逻辑：对于受保护的具体信息内容来说，侵害了隐私便可证成侵害了个人信息，这叫举重以明轻，在法律适用逻辑上是成立的；但却不能说证成了侵害个人信息便构成侵害隐私，因为侵害隐私的程度性要求更高。可见，本案虽被广泛视为个人信息纠纷典型案件，但从裁判说理来看，本案适用隐私权即可解决，没有必要讨论个人信息。本案对个人信息保护的突出强调，反而让人产生了主次不分的困惑。
本案呈现的混杂不清的说理现象在我国司法实践中并非孤例。在我国涉个人信息的案件中，原告经常同时主张个人信息权和隐私权/名誉权，法院的说理也往往针对被控行为分别分析是否侵害各类具体人格权。面对这些案件，如果传统人格权和个人信息权同时成立，那么在已经有传统人格权给予保护的情况下，再适用个人信息权保护便存在重复保护之嫌；如果传统人格权无法成立，而宽泛的个人信息权可以成立，那么又会存在以个人信息权架空传统人格权所欲实现的利益平衡之嫌；如果传统人格权成立，而个人信息权不成立，则意味着侵害个人信息权的构成要件应作出一定限制，至少不能如当下判决一般，将未经许可的个人信息处理行为原则上都认定为侵害个人信息权。问题是，对此种现象应如何限制，限制规则的理论基础何在？要回答这些问题，需厘清个人信息权与传统人格权混淆的根源何在。
二、个人信息权与传统人格权适用混乱的理论根源
侵害个人信息权与侵害传统人格权两类案件之所以在实践中难以区分，表面原因是个人信息权与传统人格权在呈现方式和侵害方式上存在重叠，即隐私权、名誉权等传统人格权皆是以“信息”方式呈现，且加害行为往往表现为对“个人信息”的处理。而在理论层面，学界忽视二者并存问题的直接原因在于误认为该问题运用权利竞合理论即可解决，其根本原因则在于理论上未能充分揭示个人信息权得以存在的数字环境，未能有效厘清个人信息权的核心问题与制度关怀，没有真正把握区分个人信息权与传统人格权的实质要素。
（一）误认为权利竞合可解决个人信息权与传统人格权并存问题
目前，学界通常认为个人信息权与传统人格权的重叠可通过运用权利竞合加以解决。“个人信息的内容十分丰富，包含私密信息、肖像信息、姓名信息等内容，而这些个人信息内容同时也属于隐私权、肖像权、姓名权等具体人格权的保护对象，因此《个人信息保护法》中的个人信息侵权不可避免会和《民法典》规定的具体人格权侵权发生保护上的竞合问题。”但试图运用择一竞合理论解决二者并存问题并不妥当，因为这将导致传统人格权被个人信息权架空。
一般认为，界定个人信息的关键是可识别，即凡能够单独或与其他信息结合识别特定自然人的各种信息便是个人信息。但传统人格权通常也以信息方式呈现，且必然与特定自然人相关联，否则所谓的姓名、隐私、名誉等人格利益便无从谈起。若以权利竞合解决二者并存问题，将意味着个人信息权几乎可全面覆盖传统精神性人格权所调整的范围。但是，法律所设计的个人信息权规则与传统人格权规则存在很大差异。举例来说，根据《个人信息保护法》第69条，侵害个人信息权采过错推定责任，而侵害传统人格权采过错责任。人格权益保护固然重要，但言论自由等价值亦弥足珍贵。采何种归责原则是法律在权衡各种价值和利益后作出的抉择。整体而言，我国在设计个人信息权制度时，给予信息主体适度倾斜，而传统人格权制度设计并未如此。若采择一竞合理论解决个人信息权与传统人格权并存问题，则可合理推测，权利人将会更多选择个人信息权而非传统人格权提出诉请，传统人格权被个人信息权所架空将成为不可避免的结果。
但此种选择结果不应为法律所期待。原因在于：其一，就制度设计理念而言，将个人信息权的倾斜性保护理念适用于调整传统人格权纠纷的场合，价值选择上并不适合。因为在私法理念中，扩张而非限制行为自由才是基本原则。其二，无论是从比较法还是从我国人格权发展史来看，法律在保护人格利益问题上，一直采取谨慎、渐进的步伐。若以个人信息保护为名对各类“信息”都予以保护，将意味着法律一改传统的审慎态度，对各种“人格利益”给予“大水漫灌”般广泛、普遍的无差别保护。其三，在制度的具体实施效果上，以个人信息权制度取代传统人格权制度，面临严重的合理性诘难。典型表现是，侵害个人信息权采过错推定原则，若对传统人格权所调整的纠纷情形普遍采过错推定原则，无疑是对当事人利益平衡的重大调整，而此种调整在理论上未能、也难以给出正当性论证。其四，以个人信息权制度取代传统人格权制度，还将导致人格权理论体系上的混乱，不仅个人信息权与传统人格权的边界将模糊不清，而且传统人格权多年来所沉淀的利益平衡、精巧制度设计和理论积累，也将被目前尚较粗糙的个人信息权制度所替代。
权利的择一竞合理论无力解决个人信息权与传统人格权的并存问题。当然，面对并存问题，另一种可能是同时适用个人信息权和传统人格权（权利聚合）。事实上，作为多是普通民众而非法律专业人士的受害人在诉讼中同时主张个人信息权和传统人格权受侵害是现实生活中的常态，他们期许得到更为全面的法律保护，但裁判者却不能基于当事人的诉请而作出权利聚合或择一竞合的裁判。同时给予支持不仅面临着择一竞合所遇到的多数诘难，而且还可能给予受害人重复保护。这也说明，问题的根源不在于当事人提出何种诉求，而在于裁判者没有在理论上厘清个人信息权与传统人格权侵权在本质上的不同。
（二）忽视了数字社会是适用个人信息权的必要前提
既然个人信息权与传统人格权并存问题无法通过权利竞合或权利聚合加以解决，故如何合理区分二者的边界便成为理论上必须回答的问题。确立个人信息权的边界须根基于法律保护个人信息的规范目的思考，而对其规范目的的分析又要立基于历史发展过程的考察。如果说，个人信息的界定仅以“可识别”为核心要素，那么个人信息的存在会与人类历史一样悠久。即便是在人类社会之初，也会有区分“你我他”的个人信息，但此类信息并未立刻进入法律视野。法律最先承认和保护的是生命、身体、健康等物质性人格利益以及自由、名誉等精神性人格利益。现代法律真正意识到需要对个人信息予以专门保护，是因数字社会的到来。二战后以信息技术为标志之一的第三次工业革命促使数字社会诞生并加快其发展进程，从而完全改变了传统线下社会中个人信息的记录、传播和利用方式。在传统的线下社会，信息的记录“平台”是自然人的大脑，传播方式多是口口相传，利用方式也多限于少量的、难以规模化的使用。虽然之后出现了纸张、印刷术、照相机、广播等，大大拓展了信息的记录平台和传播途径，但对信息的利用仍然脱离不了人脑的“亲自”处理。无论是信息的处理规模还是处理深度，都受到人脑自然属性的限制，这使得个人信息难以被大规模收集和利用，难以成为影响主体利益的重要因素。
在数字社会中，个人信息被广泛收集和利用，无论是由此引发的人格尊严担忧，还是个人信息呈现的巨大商业价值，都引起了法律对个人信息的关注。“数据隐私法发端于1960年代，是为了应对计算机对个人数据的处理。”为此，美国通过了一系列成文法，并逐渐形成了数字时代保护数据隐私的基本原则，即“公平信息实践原则”（Fair Information Practice Principles，FIPPs）。随后，为了确保数据的跨境流通，美国开始将其规则向世界推广。“自20世纪70年代中期开始，欧洲国家开始在美国的领导下保护隐私利益。”可以说，国际层面在提出个人数据保护之初就有着统一各国数据保护规则，以免各国各自为政，阻碍数据跨境流通和数字经济发展的强烈目标。没有数据跨境流通，就不会有国际层面个人数据保护问题的提出，而数据跨境流通问题正是源于数字社会的到来。在此意义上，数字社会是个人信息法律制度得以生成和存在的前提，脱离了数字社会，个人信息不会进入法律视野；脱离了数字社会，法律上难以生发出个人信息权；脱离了数字社会，法律只需以传统人格权（包括特殊情况下的一般人格权）保护个人信息即可。一句话，没有数字社会，就没有法律上的个人信息权。
（三）未能厘清个人信息权的核心问题与制度关怀
虽然个人信息权的制度根基在于数字社会，但并非所有发生于网络空间的个人信息纠纷，都应适用个人信息权。个人信息权之所以能成为一项具体人格权，除了数字社会的到来之外，传统人格权难以有效应对数字社会也是另一前提条件，否则只需将传统人格权拓展适用于网络空间即可。从历史发展看，在互联网产生之初，传统人格权尚可有效回应网络空间中的个人信息保护需求。我国互联网普及始于2000年前后，那时发布的《最高人民法院关于审理涉及计算机网络著作权纠纷案件适用法律若干问题的解释》（2000年）便是沿用传统侵权制度解决网络侵权问题。此时以名誉权等传统人格权保护网络环境中的个人信息并无任何“违和感”，从而没有必要将个人信息权确立为一项具体人格权。
个人信息保护问题引起社会关注并进入立法者视野，是在大数据、云计算等数据收集和挖掘技术得到广泛应用之后。大数据具有数据体量大、种类多、更新快等特点，在云计算等数据处理技术的“加持”下，信息技术创造出了以人工智能为代表的许多全新可能。信息技术给社会带来的影响也从初始简单的空间转换深化为对人类物质和精神层面的深刻影响。在物质层面，信息技术为人类带来了巨大财富。传统上难以具有财产价值的个人信息，通过计算机自动收集、加工、挖掘，并加以匹配、推送等，实现了信息价值的变现。信息技术使得传统上并不具备或难以实现财产价值的个人信息，在客观上具备了财产价值。在精神层面，信息技术也带来了巨大挑战。自由意志是人类珍视并为法律保护的重要价值追求，但人工智能技术却充斥着对自由意志的侵蚀，典型的表现是人类被数据欺骗、形塑、控制乃至奴役。美国2016总统大选中的Facebook剑桥分析事件，我国商业中的“大数据杀熟”等现象，便是适例。因此，“信息隐私关切的核心问题之一是，商业实体和政府在个人自治和决策方面存在的权力。隐私同时也关切那些允许商业实体和政府获得个人信息的规则对个人自治和决策可能造成的限制。”显然，这一系列问题远非隐私权等传统人格权所能解决。
个人信息权制度的核心问题，应是回应以人工智能为典型代表的数据处理技术带来的机遇和挑战。机遇主要体现为个人信息财产价值的实现，挑战则主要是个人信息的不当处理给个人信息安全以及人的自由意志与人格尊严带来的威胁。个人信息权的核心关怀，是维护个人对其个人信息的自主控制和决定，并实现个人信息的财产价值。这与传统人格权有着显著不同。若个人信息被发布于网络空间，但该信息并未被算法技术所处理，此时仍应适用传统人格权；反之，则应适用个人信息权。因此，“算法识别”才是个人信息的本质特征。
三、算法识别是个人信息权区别于
传统人格权的实质要素
从个人信息权的演变过程可知，其出现正是源于数字社会的到来，尤其是借助算法技术对个人信息的自动化决策，导致传统线上零散、与人格关联较弱、难以有财产价值的个人信息蜕变为规模化、与人格关联密切、有着巨大财产价值的客体。这一变化在法律上的体现是，个人信息的客体属性、权利属性以及保护规则的具体设计，都被深深打上了数字时代“算法”的烙印。
（一）个人信息作为权利客体的特征是算法识别
在不同属性的客体之上会生发出不同的权利，故要真正区分个人信息权与传统人格权，首先应厘清二者在客体层面的差异及其对两种权利产生的影响。在传统社会，个人信息难以成为人格权的客体。传统法律只保护与主体人格尊严关系密切的部分个人信息，如姓名、肖像、名誉、隐私等。此时，与其说法律是在保护某些个人信息，不如说是在保护承载于个人信息之上的自由与尊严等人格价值。也正因此，传统人格权的客体是体现人格尊严的社会评价利益。传统人格权客体往往是基于某一利益之于人格尊严的意义角度来界定，个人信息作为一种事实层面的客观存在，难以成为人格权的客体。个人信息之所以能从“幕后”走到“台前”，成为人格权的客体之一，正是源于数字社会的到来，尤其是其中算法技术的运用。数字社会中信息的收集、储存、使用等发生了质变，导致个人信息之于人格尊严的意义也发生了巨变，至少体现在以下三个方面：
1. 识别个人的方式从传统人之大脑的自然识别转变为计算机的算法识别。可识别是个人信息得以表征主体人格属性的必要前提。在传统线下社会，个人信息可通过口头、符号、文字、图画，乃至拍照和摄像等多种方式获取和保存。对这些信息的识别，需依赖于人脑等来完成。在数字社会中，电子形式是个人信息存在的主要形态，通过对电子化的个人信息采取结构化的处理，使所有信息被还原为一些基本的衡量标准，从而实现了对个人信息的算法识别。比如，人脑和算法对人脸信息的识别方式便迥然不同：人脑在识别人脸信息时，是通过人脸的“可视化”特征，比如头发的疏密、眼睛的大小等面部特征来实现；但算法对人脸的识别，则是通过计算头发、眼睛等各部位在坐标系中的位置和长度等来实现。
2. 基于个人信息的社会评价，从传统的自然评价转变为算法评价。在传统线下社会，不仅个人的识别有赖于人脑，而且基于信息对人的评价也有赖于人脑来实现。如某企业对求职者的评价，无论是基于其简历信息，还是基于其面试表现，主考官都需结合自身的经验、偏好等作出判断。在数字社会中，个人信息通过算法技术被自动化处理，个人的资信如何，是否符合相关要求，能获得怎样的待遇，都借助算法自动生成。如果说，传统线下社会中人格评价的形成，是基于评价者自身的经验和被评价者的信息而作出的“自然评价”的话，那么数字社会中人格评价的形成，则是基于算法和个人信息而作出的“算法评价”，即基于算法计算出的人格画像。算法评价既可能与自然评价一致，也可能不一致，甚至可能会导致他人对个人认知的偏差。此外，从评价对个人造成的影响看，二者也不完全相同。在传统线下社会中，社会评价的降低首先造成的是个人精神上的痛苦，其次是因社会评价而可能带来的利益减损；而在数字社会中，算法评价的直接结果是个人在自动化推荐等利益方面被差别对待，而非精神痛苦。
3. 个人信息的财产价值从难以实现到得以实现。在传统线下社会中，对个人信息的收集往往是偶发、零散、局部、阶段性的，对信息的处理也有赖于人脑来实现，但人脑所能同时处理的信息规模易受自然人生理上的限制，信息传播也容易出现差错，在传播链条增多时尤其如此，这也导致线下个人信息的财产价值难以得到真正实现。而数字社会中的信息收集持续、全面、永久、规模化，甚至无处不在、无时不在，且实现了对海量信息的算法识别和自动化决策。由于技术的通用性，数字社会中的信息传播一般不会因技术而发生差错，若采区块链技术，信息甚至不可更改。因此，个人信息背后的财产价值在数字社会得以发掘和真正实现。当前互联网公司的高额市值，正是对个人信息财产价值的一种肯定。尽管个人信息的财产价值多体现在规模化数据上，但由于规模化数据是由一条条个人信息所组成，故参与其中的每一条个人信息其实也都有其独立价值，尽管其财产价值可能极其微小。
综上，个人信息之于个人的意义，在数字社会发生了重大变化。传统意义上的个人信息难以成为人格权的客体。而在数字社会，算法技术带来了个人信息识别与评价方式的改变以及个人信息财产价值的实现，使得传统上对人格尊严“无足轻重”的个人信息在数字社会则处于“举足轻重”的地位。正如德国联邦宪法法院在“人口普查案”中指出的，“在自动化资料处理的条件下，不再有不重要的资料。”据此，作为个人信息权客体意义上的个人信息，应体现为由算法识别与评价的个人信息，是能实现财产价值的个人信息。
（二）个人信息权的法律属性根植于算法识别
个人信息权作为一项新兴的人格权，其之所以被法律认可，正是因为数字社会的到来。可以说，若没有算法技术的运用，便不可能出现个人信息权，个人信息权的法律属性与算法识别紧密相关。
1. 个人信息权是一项具体人格权。个人信息是标表特定自然人特征的信息，体现着对人的个体评价和社会认同，具有精神性人格属性。但客观上标表特定自然人的信息，并不意味着法律必然将其确认为一项具体人格权利予以保护。传统法律仅保护名誉、隐私等重要的人格利益，相反，若在我国的法律体系中嵌入不同于传统人格权的新的个人信息保护，就必须找到其区别于既有保护的特殊之处，即计算机应用引发的新的人格权益保护，概括新人格权益的基础概念便是算法技术处理。算法技术的运用导致传统上零散、局部、难以产生重要人格利益影响的个人信息，在数字社会中成为可被机读、计算、用于自动化决策的信息源泉，算法技术奠定了个人信息成为一项具体人格权的基础。个人信息所涉的人格利益并不必然与隐私等传统人格权所保护的利益相关，当然也不排斥隐私等人格利益。详言之，基于个人信息而产生的算法评价，并不必然贬低对信息主体的自然评价，也并不必然涉及信息主体的隐私利益，更与传统肖像权所涉及的利益无关。当然，在通过算法得出个人私密信息等例外情况下，也会出现个人信息权与隐私权重叠的现象。
2. 个人信息权是一种天然内含财产价值的人格权。一般而言，人格权不含，也不应含有财产价值。即便某一人格利益在现实中存在财产化的可能，法律上也不允许该财产价值的实现，否则人格尊严将成为一种可以交易的存在。但个人信息内含的财产基因是一种与生俱来的、难以脱离的属性，而其出现正是源于算法技术的运用。在数字社会中，通过对个人信息进行算法分析，可以计算出专属于信息主体的个性化服务，从而解决了商业实践中的信息不对称等难题，有着巨大的财产价值。就商业实践逻辑而言，个人信息天然内含财产价值的属性是比其人格属性更为根本的属性。正是因为个人信息内含财产价值，企业才投入大量资本设计和优化算法，从而更大程度地挖掘出其财产价值。虽然个人信息的人格利益属性在法律上是更优位的保护对象，但从其生成逻辑看，个人信息内含的财产价值是更根本的动因。可以说，没有个人信息内含的财产基因，就不会存在个人信息的人格利益属性。
（三）个人信息权规则的特殊性源于算法识别
我国《个人信息保护法》详细规定了个人信息权规则，透过这些规则可发现算法识别的身影。试举例说明如下。
1. 处理个人信息的告知同意规则。告知同意规则被认为是个人信息保护中的基本规则，但其与传统法律规则截然相反，仅适用于数字社会。在线下社会，信息原则上可自由流动，除非该信息的传播侵害了他人的隐私等人格利益。“德国法上传统的信息秩序建立在信息自由的基础之上，亦即，原则上人们可以任意获取、处理和利用他人的信息。……隐私权诉求不过只是‘信息交流自由之海中的个别保护岛屿’罢了。”若传统线下社会采告知同意规则，信息流动无疑会凝固，人类社会也将无法运转。但在数字社会中，由个人享有自我控制信息的权利却有必要，原因在于：通过算法技术，数字社会中的信息处理可以无时不在、无处不在。如果不赋予个人对其信息的自我控制权，放任信息处理者对个人信息的处理，则个人将在数字社会中成为透明人，个人的人格利益和财产利益都将面临巨大的受侵风险。因此，传统人格权纠纷中的受害人有义务证明相关信息传播的违法性，而在个人信息权纠纷中，则由信息处理者来证明其信息处理行为的合法性、正当性、必要性。
2. 侵害个人信息权采过错推定责任。《个人信息保护法》第69条第1款确立了侵害个人信息权的过错推定责任。这与侵害传统人格权的过错责任原则不同。侵害个人信息权采过错推定责任是因为“个人信息处理活动具有很强的专业性和技术性，个人难以了解个人信息处理者的过错何在，更无法提出证据加以证明”。而个人信息处理者距证据较近，且专业较强，采用过错推定有利于强化信息处理者的举证义务，从而对受害人提供有效的救济。因此，数据企业对于算法技术的运用是证成侵害个人信息权采过错推定责任的正当理由，否则即如前述“王菲案”，尽管原告婚外情等信息被发布在网络中，但由于没有采用算法技术，仍应依照传统人格权侵权适用过错责任原则。
3. 个人信息权侵权损害赔偿的普适性。传统精神性人格权侵权的救济，主要关注受害人的精神利益，故责任承担方式以消除影响、恢复名誉、赔礼道歉等为主，损害赔偿仅在造成严重精神损害的情况下才适用。但侵害个人信息权的损害赔偿并不以严重精神损害为前提，而应普遍适用损害赔偿，赔偿金额按照个人受到的损失或者个人信息处理者获得的利益确定；损失或获益难以确定的，根据实际情况确定赔偿数额（《个人信息保护法》第69条）。可见，无论是损害赔偿的普适性，还是损害赔偿的计算方式，侵害个人信息权的损害赔偿都呈现出财产赔偿特征。之所以如此，正是源于个人信息权是天然内含财产利益的人格权。
四、个人信息权与传统人格权区分的实践应用
数字社会是个人信息权得以存在的空间，算法识别是个人信息权区别于传统人格权的实质要素。实践中涉个人信息的案件，可基于算法技术的应用与否来决定是否适用个人信息权。
（一）不应适用个人信息权的情形
不应适用个人信息权的情形主要有两类案件。
1. 完全发生于线下社会的纠纷，不应适用个人信息权，而应适用传统人格权。如前述“小区张贴判决书案”，二审法院误认为只要是涉及个人信息，便可适用个人信息权。其实，本案所涉信息无须也不应适用个人信息权加以保护。有学者认为，个人信息权虽然生发于数字社会，但是其一旦产生便不再受限于数字社会，而是可以延伸适用于线下社会，进而线下社会涉个人信息纠纷也可适用个人信息权。该观点实质上与前述“误认为权利竞合可解决个人信息权与传统人格权并存问题”的观点一致，但由于二者并存不应通过权利竞合解决，故个人信息权可延伸适用于传统线下社会亦无法成立。不可否认的是，在双层空间、虚实同构的数字社会，发生了从自然人向信息人的角色延伸。即便是纯粹线下的涉个人信息行为，也因数字社会的到来而受到影响。但数字社会对传统线下社会的影响，应通过扩张传统人格权的保护范围加以解决，而非将个人信息权适用于传统线下社会。个人信息权的这一适用条件主要体现在个人信息的“电子”要素中。无论是《民法典》第1034条第2款，还是《个人信息保护法》第4条第1款，都将“电子或者其他方式记录”作为定义个人信息的要素之一。此处的“其他方式”应解释为类似于“电子”的方式，是一种可以被计算机识别和计算的信息载体，以便为将来技术的发展预留空间，而不应解释为包括纸质等传统线下的信息记录方式。
2. 网络仅作为发布个人信息的空间时，不应适用个人信息权。典型情形是在网络空间发布涉他人的信息，意图侮辱诽谤他人或博取社会关注等。如“王菲案”中的原告不仅起诉了直接发布其婚外情等信息的张某，而且还另案分别起诉了发布该信息的平台“天涯网”和“大旗网”。在后两个案件中，网络平台只是作为个人信息的发布平台，并未采用算法技术对原告信息加以分析，故应适用隐私权等传统人格权解决。法院也正是从传统人格权角度作了说理，“大旗网在进行此项报道时，未对当事人姓名等个人信息及照片进行技术处理，使王菲的隐私权及名誉权受到侵害。”
个人信息权的这一适用条件体现在《个人信息保护法》第72条第1款，即“自然人因个人或者家庭事务处理个人信息的，不适用本法。”在私法上侵害个人信息权场合，本款“个人或者家庭事务”应采宽泛解释，将个人出于侮辱诽谤等自身目的而在网络上发布他人个人信息的行为也纳入其中，从而避免个人信息权在这些情形下的适用。这与比较法上的经验一致。美国“数据隐私法律原则”第1条对数据隐私原则的规范目的和适用范围作了规定。根据该“原则”，在社交媒体等平台传播谣言或从事网络骚扰不适用数据隐私原则，而是适用《侵权法重述（第二版）》所提供的隐私侵权规则等。数据隐私原则的规则设计是针对专业性和商业性的关系。欧盟GDPR第2条第2款（c）项也作了类似规定，即其不适用于“自然人纯粹个人或者同住者行为”。根据GDPR“说明（recital）”第18点，此类行为包括通信和持有地址，或在此类活动场景下的社交和在线行为。GDPR不适用于不具备专业性或商业性行为的情形。
值得指出的是，欧盟法院的相关判决似存在不同理解。如在“Lindqvist案”中，被告Lindqvist在网站发布了同事的个人信息（如姓名、工作分工等），法院认为，被告将数据发布于不特定人都能接触到的网站，不能适用“纯粹个人或者同住者行为”的抗辩。类似的，在“耶和华见证人（Jehovah's Witnesses）案”中，传教人员在挨家挨户传教过程中将与他们交谈或不交谈的人都作了记录。法院认为，该传教行为已经超出了教徒内部的布道，故不属于“纯粹个人或者同住者活动”。可见，欧盟法院在这两个案件中都对“纯粹个人或者同住者活动”采取了严格解释，非专业性或非商业性行为仍可能受个人数据法律的调整。上述案件并不能否定本文的观点，理由在于：这些案件并非民事纠纷案件，故法院对“纯粹个人或者同住者行为”的解释，是出于与本文所讨论的问题完全不同的规范目的。在“Lindqvist案”中，Lindqvist因其发布信息前未事先告知瑞典个人数据保护监管部门而被处罚4000瑞典克朗，并被检察官提起刑事诉讼。本案欧盟法院面临的问题是，在行政处罚和刑事追责意义上，Lindqvist是否违反了个人数据保护规则。类似地，在“耶和华见证人案”中，是芬兰隐私保护专员提起了诉讼，试图禁止传教人员的行为，相关裁决也是由芬兰最高行政法院作出。故该案涉及的是对个人数据的行政保护问题。需特别强调的是，个人信息规则在刑法、行政法和民法上有着不同的规范目的，相关概念术语的理解有所不同。举例而言，构成《刑法》第253条之一的侵犯公民个人信息罪并不以个人信息“算法识别”为限，单纯以电子文档形式提供的个人信息，甚至以传统纸质形式提供的个人信息，都应纳入本条“个人信息”含义之内。事实上，公法对个人信息的界定通常要比私法宽泛。欧盟法院在刑事和行政案件中对个人数据保护规则的适用范围采宽泛理解，并不意味着对民事案件亦应如此。相反，在适用个人信息权抑或传统人格权的问题上，应对个人信息采算法识别的解释，《个人信息保护法》中的“个人或者家庭事务”亦应采广义理解。
（二）适用个人信息权的典型情形
由算法技术处理的个人信息是适用个人信息权的典型情形，如“凌某某诉抖音案”“微信读书案”。在“凌某某诉抖音案”中，原告凌某某在手机通讯录没有其他联系人的情况下，用手机号首次注册并登录了被告提供的抖音软件。登录之后，在抖音软件“你可能认识的人”项下，显示有30位抖音用户，原告与其中20位存在社交关系（微信好友、QQ好友等）。而被告之所以能向原告准确推荐与其存在社交关系的好友，是因为此20人曾授权被告收集的通讯录中有原告的手机号码，被告将原告的手机号码与上述20位抖音用户的手机通讯录匹配之后，将该20位抖音用户推荐给原告。鉴于被告从原告好友通讯录中获得其姓名和手机号码等信息的行为未经原告同意，原告以侵害隐私权和个人信息权益为由，诉请被告停止其于原告注册抖音账户前收集、存储、使用原告姓名和手机号码的行为，并删除未经原告明确授权而收集、存储的原告个人信息，包括姓名、手机号码、社交关系、地理位置信息等。类似地，在“微信读书案”中，原告黄某通过微信授权方式登录微信读书软件，发现微信读书获取了其微信好友列表，并自动为其关注了共同使用该软件的微信好友，且其读书信息（包括读书时长、书架、正在阅读的读物等）默认对这些好友可见；即便原告没有与微信好友在微信读书软件相互关注，该微信好友也能通过微信读书软件看到其读书信息。原告以被告腾讯公司侵害其个人信息和隐私权为由，请求停止微信读书软件获取、使用其微信好友信息，解除自动生成的微信读书关注关系，停止将其微信读书信息向微信好友展示等。
这两个案件中的被告都使用了算法技术收集、分析原告的个人信息，并据此作出了匹配、推荐等自动化决策。这正是个人信息权规则所欲应对的智能化数字环境，是适用个人信息权的典型情形。两案的法院判决，也正确地将核心争议焦点归纳为被告行为是否侵害了原告的个人信息权益。个人信息的算法处理，不仅包括个人信息已经被算法技术处理，而且包括个人信息将要被算法技术处理。只要信息处理者具备以算法技术处理个人信息的能力，即便纠纷行为本身与算法技术关联不大，如仅就信息收集行为发生纠纷，也应适用个人信息权。此时的个人信息权，便体现出显著的“预防性”功能。这也契合了诸如德国学界将《联邦个人信息保护法》中的规则解释为防止个人信息被滥用的事先防范规范的观念。
（三）能否适用个人信息权不明的情形及其处理
实务中还存在能否适用个人信息权不明的模糊地带，主要有两种情形。第一种情形，所采取的信息处理技术并不复杂，如仅是将个人信息做了汇总或简单的归类（如依字母顺序），或个人信息并非处理行为的直接对象，而只是在处理其他对象时“附带”涉及，“线上发布判决书案”便是适例。第二种情形，所采取的信息处理技术不明，存在多种可能。如“庞某信息泄露案”中个人信息的获取、传播、利用等具体情况难以查明，应否适用个人信息权需视证据证明的具体情形而定。
1. 在“贝尔塔案”“汇法正信案”等因收录的判决书涉及个人信息引发的纠纷中，是否适用个人信息权与被告所采取的技术密切相关。（1）假如，企业爬取了中国裁判文书网上公开的判决书并收录于自己网站，而没有作出更多的技术处理，或只是做了案件名、案号、审级等分类编排上的处理，此时便不应适用个人信息权。（2）假如，企业在提供判决书的同时，还一并提供了企业工商注册信息、行政处罚文书、全国失信被执行人名单等，并将这些信息汇总在一个平台提供给客户。此时虽然不同类型信息的汇总有助于增加平台的吸引力，但是并没有改变个人信息的处理方式，故仍应适用传统人格权来处理。（3）假如，企业通过技术手段提取了判决书、企业工商注册信息、行政处罚文书、失信被执行人名单中的当事人信息，并将这些信息相关联，比如在查看企业工商注册信息时能看到该企业股东的判决书和行政处罚文书，将被纳入失信被执行人名单的股东重点标注，并在数据分析基础上提供企业或个人信用等级、交易风险预警等“增值”服务，此时适用个人信息权的可能性便明显加大，因为企业存在对个人信息的自动化处理。（4）假如，企业通过收集判决书、企业工商注册信息、行政处罚文书、失信被执行人名单来源中的当事人信息，通过算法形成当事人画像，并利用该数字画像自动向当事人或客户推荐商品或服务，此时便构成适用个人信息权的典型场景。可见，涉个人信息纠纷能否适用个人信息权并非一概而论，而是要视企业所采取的技术、所运用的数据处理方式以及所提供的产品和服务等而定，其中核心的判断标准在于，企业是否运用了算法等自动化信息处理技术。
基于上述分析，对“贝尔塔案”和“汇法正信案”为何会出现不同判决结果可作出合理解释。目前学界多认为两案是“同案不同判”，而分歧的核心是个人信息合理使用问题。其实，个人信息合理使用并非区分两案的关键，真正的关键在于两案事实上的差异。在“贝尔塔案”中，被告提供的是企业征信、企业信用评估、信用管理咨询、企业管理咨询等服务，用户可以通过其网站查询企业工商登记、涉讼裁判文书等，即被告将企业（包括股东）信息与裁判文书等做了关联，使用户在查看企业信息时能同时看到和链接到与之相关的裁判文书，故此案件事实属于前述情形（3）。相反，在“汇法正信案”中，被告是法律资讯信息网站，其网站提供了法律法规、司法案例、合同文本、律所律师、司法院校等信息。其对司法案例的编排采取的是案由、文书类型、审理机构等常见的编排方式，此案件事实属于前述情形（2）。因此，“贝尔塔案”可以适用个人信息权，“汇法正信案”则不应适用个人信息权。据此，两案尽管裁判结果合理，但裁判说理皆存在不周延之处。在“汇法正信案”中，法院的说理部分主要笔墨于分析被告处理个人信息的行为是否合法，但这些分析并非必要。法院真正需要说明的是，本案不应适用个人信息权，继而分析被告是否侵害了原告的名誉权等传统人格权。在“贝尔塔案”中，法院适用个人信息权这一结论可取，但其理由仅是因案涉信息与原告相关，而未意识到被告将企业和裁判文书相关联的“增值”服务行为才是导致本案可适用个人信息权的决定性因素。
2. 因案件事实不明造成能否适用个人信息权难题是另一情形。如在“庞某信息泄露案”中，原告庞某的手机号等信息如何被泄露存在无数种可能。既可能是庞某自己信息保管不当而泄露，也可能是从代其订票的鲁某处泄露，还可能是从订票平台趣拿公司或东航公司处泄露。即便认为是趣拿公司或东航公司泄露，仍存在多种泄露方式，如可能是公司员工看到原告信息后，采口头、手写、拍照、截图等方式记录或提供给他人，也可能是被黑客侵入而导致数据泄露，还可能是公司通过算法等加工而成的数据产品泄露所致。上述诸多可能中，有些情形不应适用个人信息权，有些可以适用个人信息权。对于原告信息究竟如何被泄露与利用等无法查明的客观事实，此类案件应选择适用传统人格权还是个人信息权？
从有利于保护受害人的角度考虑，采个人信息权对受害人更有利，但过多强调受害人的保护亦可能悖于侵权法的基本理念。民法旨在保障人的自由与尊严，其以意思自治和行为自由为基本价值选择。这在侵权法中的体现是，侵权法在平衡行为自由和受害人保护时，原则上优先考虑行为自由，“损害原则上应停留于其发生之处”是这一选择的经典表达。具体到个人信息纠纷，由于信息泄露途径和方式不明，故不宜认定企业存在“过错”；否则，若仅以信息泄露的事实直接认定为企业的“过错”，便在事实上令企业承担了无过错责任。在司法裁判和学理充分证成此类场合应适用个人信息权之前，基于侵权法的基本理念，适用传统人格权解决此类纠纷应是较为稳妥的解决方案。由此，“庞某信息泄露案”便不应适用个人信息权。本案两审法院的判决结论尽管有所不同，但都基于传统人格权侵权作出了较为合理的论证，最高人民法院却将本案列为“第一批涉互联网典型案例”，对其后理论界与实务界将本案作为个人信息保护的典型案件起了误导作用。
结语
个人信息权与传统人格权在司法裁判中频繁重叠的现象表明，实务界与学界尚未厘清二者的本质区别，其背后的原因是未能理解个人信息权在法律上何以成为一项独立于传统人格权的具体人格权。当下对个人信息“可识别”性的强调，既无力承担界分个人信息权与传统人格权的任务，也易于导致线下、线上与算法技术无关的涉个人信息纠纷陷入适用个人信息权的误区。只有意识到数字社会是个人信息权得以存在的前提，意识到算法识别是生成个人信息权的技术根基，才能真正理解个人信息权与传统人格权的本质区别。并非所有“可识别”的信息都是个人信息权意义上的个人信息，亦非所有涉个人信息的纠纷皆可适用个人信息权予以保护，只有“算法识别”的信息才是个人信息权意义上的个人信息，只有运用了算法技术的个人信息纠纷才能适用个人信息权予以解决。“算法识别”才是个人信息权区别于传统人格权的实质要素。
以“算法识别”为基本特征界定的个人信息，尽管满足了区分民法中个人信息权与传统人格权的理论和实践需求，但该结论未必适用于所有涉个人信息场景，尤其是公法保护场合。基于不同的规范目的，个人信息一直在不同含义下被使用。我国《个人信息保护法》和欧盟GDPR都是关于个人信息的综合性立法，这些法律对个人信息采可识别的广义定义应是妥当选择。只不过在适用个人信息规则时，仍需根据具体场景作更为准确的界定。本文试图证成，至少在个人信息权与传统人格权的民法内部区分上，个人信息应以“算法识别”为限。期待该结论对其他场景个人信息的理解及相关规则的适用，也有一定的启示与参考价值。
原文刊载于《法学家》2023年第4期，感谢微信公众号“法学家杂志”授权推送！