个人敏感信息与隐私权初探

在民法典出台之前，我国关于隐私权的说法很多，特别是隐私权究竟是一般人格权还是特殊人格权（具体人格权）存在争论，主流观点认为是具体人格权，而这个主流观点显然得到了民法典的认可。民法典将隐私权与其他具体人格权例如姓名权、肖像权置于第四编人格权之下，显然是作为具体人格权处理。

《民法典》第一千零三十二条第一款规定，自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。第二款规定，隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。

《民法典》关于隐私的定义显见是区分为私人生活安宁和私密情形两种，对于后一种即私密空间、私密活动、私密信息的界定尽管会存在模棱两可之处，但是基本是清晰的，私密空间除了物理空间，如个人的住所、宾馆的临时居住的房间等，还包括个人的日记及虚拟空间。^v私密活动比如情侣之间悄悄说的甜言蜜语。私密信息例如个人信息中秘密的内容。对于私人生活安宁，直接起草《民法典》人格权编的学者王利明撰文指出，私人生活安宁包括个人住宅安宁、个人住宅以外其他私人空间安宁（例如办公室、汽车、酒店房间、学生的书包和口袋、日记甚至网络虚拟空间）、日常生活安宁和通讯安宁。^vi

但是，隐私权还有一个非常重要的问题没有在立法中解决，即美国隐私权领域中的个人自决权是否被包括在隐私权内。例如，篡改他人的考试志愿，干涉别人的职业选择都是侵犯了个人自决权的典型情形。由于隐私权的第二种情形即私密空间、私密活动、私密信息往往无法对个人自决权提供保护，隐私权中的第一种情形私人生活安宁就成为了必然的选择，而且从字面含义而言，干涉别人的事务自然会破坏别人的生活安宁，这种日常经验逻辑上的通顺是通过私人生活安宁保护个人自决权的起步。但是这还不够，还要看法律自身的逻辑是否讲得通。笔者认为，这完全是讲得通的。理由在于，按照《民法典》，个人信息的权利内涵包括了个人信息自决权，那么作为个人信息下位概念的私密信息自然也享有个人信息自决权。进一步的，由于《民法典》把私密信息作为隐私权进行保护，那么在私密信息方面，隐私权的保护就含有了个人自决权。

是否可以因此推论，中国的隐私权也包括了美国隐私权上的个人自决权，这是一个非常值得研究的课题。但是无论如何，个人自决权在隐私权的保护中，只有私人生活安宁才有可能将其包括其中，隐私权的其他方面私密空间、私密活动、私密信息无论是从语义还是体系上，都很难解释出个人自决权。

基本权利是指，“那些对于任何公民不可或缺的、不可取代的、不可转让的、稳定的、具有母体性的共同权利。”^vii一般而言，基本权利就是宪法中规定的各种权利，也就是人权。各个国家宪法对基本权利的规定并不完全相同。《欧洲联盟基本权利宪章》确定了六大类五十种基本权利，这六大类是尊严、自由、平等、团结、公民权和司法。其中，人格尊严是尊严类基本权利，个人数据保护是自由类基本权利。^viii我国宪法赋予公民的基本权利包括，平等权，政治权利即选举权和被选举权、言论、出版、集会、结社、游行、示威自由，精神和文化活动的自由即宗教信仰自由、文化活动自由、通信自由和秘密，人身自由和人格尊严，社会经济权利即财产权、劳动权、休息权和生存权，获得权利救济的权利即提出申诉和控告的权利、获得国家赔偿及赔偿请求权。自由是每个人都具有的一种自然的和基本的权利。^ix因此，自由的范围要小于基本权利，会作为基本权利进行保护。既然自由作为基本权利进行保护，那么为何不直接用基本权利作为标准，而是要使用基本权利和自由的表述方式，原因在于，由于基本权利是要通过宪法或者宪法性质的联盟条约予以明确规定，为了避免遗漏没有写入宪法的自由，才使用基本权利和自由的方式。自由不只是排除外部约束和免受专制垄断，而且还包括了在服务于被称之为人类文明的伟大事业中发挥个人的天赋和习得的技术的机会。前者就是不受干预的否定性自由，后者是实现个人能力和社会能力的肯定性自由。^x二者之间有时候可能会存在冲突。

著名法理学学者博登海默给出了一个例子，一个强迫父母让孩子上学念书并让他们一直学习到一定年龄的法律，无论是对父母来讲还是对孩子来讲，都没有增进他们免受限制的自由；但是毋庸置疑，这种法律有助于自我实现的自由，而且还扩大了孩子在日后生活中的各种机会，特别是他们自由选择执业的机会。这是对自由进行限制的一个方面。另外，每个人都不能完全实施自己想要的自由，否则整体社会就会陷入混乱，因此每个人都要牺牲自己的部分自由，以塑造一个安宁有序的社会环境，并最终从中受益。这是常识，也是对自由进行限制的第二个方面。从法理学的角度，这实际上奠定了个人信息，不仅仅是个人敏感信息，保护的最基本理念，即个人信息是自由的一种，受到保护，但是也受到限制。

欧盟的《通用数据保护条例》在前言（51）指出，“性质上与基本权利和自由相关的极其敏感的个人数据，由于对其的处理可能对数据主体基本权利和自由产生重大风险，因此需要受到特别保护。”第九条则具体明确了这种极其敏感的个人数据的具体内涵，“显示种族或民族出身、政治观点、宗教或哲学信仰、工会会员资格的个人数据；为识别特定自然人为目的对基因数据、生物学数据；健康有关数据或者特定自然人的性生活或性取向的数据。”我国台湾地区和澳门似乎也是采取了基本权利与自由标准。我国台湾地区《个人资料保护法》将下列信息规定为个人敏感信息，“医疗、基因、性生活、健康检查、犯罪前科、病例信息。”我国澳门《个人资料保护法》将下列信息规定为个人敏感信息，“世界观、政治或宗教信仰、政治社团或工会关系、种族或民族起源、遗传信息、私人生活、健康和性生活。”^xi美国在个人信息保护方面立法分散，以州法为主。美国和欧盟签署的《隐私盾框架原则》，个人敏感信息包括“医疗与健康状况、种族与民族血统、政治观点、宗教或哲学信仰、工会会员资格的个人信息或性生活相关信息。”^xii这可以视为代表美国国家层面对于个人敏感信息的意见，明显也带有基本权利与自由的意思。

我国对个人敏感信息采取的标准既不是基本权利与自由标准，也不是歧视性标准，而是独树一帜的“高风险”标准。该标准虽然并不是孤例，但是鲜见其他国家或地区采用该标准。美国信息技术与创新基金会对个人敏感信息提议了类似的标准，“个人可识别信息，其公开可能会给个人带来高风险，例如与健康相关的信息，遗传和生物识别信息，关于13岁以下儿童的信息以及个人精确的地理位置信息。”^xvii

根据《信息安全技术公共及商用服务信息系统个人信息保护指南》GB/Z28828-2012（简称2012保护指南），个人敏感信息是指，一旦遭到泄露或被修改，会对标识的个人信息主体造成不良影响的个人信息。《2012保护指南》同时备注，各行业个人敏感信息的具体内容根据接受服务的个人信息主体意愿和各行业业务特点确定，个人敏感信息可以包括身份证号码、手机号码、种族、政治观点、宗教信仰、基因指纹等。

【参考资料】