宁波仲裁委员会

个人信息作为一种法律关系的客体，关系到每个人的信息安全和生活安宁，现实地位日渐重要，各地法院也纷纷发布个人信息保护相关的典型案例。个人信息古已有之，但其开始成为重大价值的载体，却是在互联网、大数据与算法技术兴起之后的信息时代。从个人信息保护的全生命周期来看，收集是个人信息处理的最初环节。在个人信息处理行为及其规则体系的产生初期，收集环节通常会承载信息侵权的较大压力。收集个人信息与获取隐私，在行为外延上存在交集关系，在法律定性上存在竞合关系。考察现有判决发现，民事司法对个人信息纠纷的处理，虽受限于功能与成本等因素，但依然具有积累场景素材与设定底线规则的积极作用。

　　一、个人信息收集民事类案的实践情况考察

　　考察近六年的个人信息收集民事类案发现，企业与非营利法人日益取代自然人，成为最重要的信息收集者与纠纷制造者：2017年至2020年的主要信息收集者是自然人，收集行为以居民在房屋附近安装摄像头、律师或保险公司职员取证行为、偷阅手机等类型为主；2021年至2023年的信息收集主力仍是自然人，但法人收集行为的数量、所占比例与行为类型都显著增加。变化的主要原因在于随着算法的提升与大数据策略的普及，企业对个人信息的需求度大幅提升，不仅以线上运营为主的企业设置专业的隐私政策以最大化采集用户数据，物业公司、动物园、房地产销售企业等线下运营企业也在收集用户的指纹、面部识别信息等各类信息。“从自然人收集到企业收集”的变化趋势意味着个人信息收集从生活伦理行为向商业经营与社会管理行为转换，从纯粹侵权行为向经济理性行为转换。

　　与自然人零星收集行为所带来的威胁相比，给个人信息法益带来较大威胁的显然是法人以积极利用为目的的批量化、持续性收集。类似偷看手机、街头拍摄、职务窃取、拍照取证固然普遍、高频，而且牵连着结构性的道德伦理及社会治理问题，但本质上与个人信息利益关系较弱，更多是隐私权问题。在信息时代，个人信息不仅是普通的权利客体，而是与农业文明的土地、工业文明的能源同一级别，属于被竞相争夺控制权的战略性生产资料。法人收集个人信息的纠纷数将持续增加，因为当前社会发展阶段下，企业与公共机构都同样缺乏收集个人信息的自我抑制激励，而且当前生产力水平下，缺乏适度抑制大数据产业过快发展的手段。

　　二、个人信息收集民事类案的裁判情况分析

　　考察近六年的个人信息收集民事类案发现，个人信息收集民事类案裁判的变化趋势有三个：一是经比例折算后，居民住户安装摄像头类纠纷数量增长超过300%。其本质上反映了城镇化进程中陌生人社会的形成，以及居住空间、公共治安等生活要素资源配置或分配的相对匮乏问题。二是在电信、证券、物业、置业等个人信息集中的领域，从业人员利用职务之便非法查询获取个人信息类纠纷数量增长超过500%。三是动物园、小区物业、药店等公共或准公共机构加入被告行列。在某些特殊时期，经营性的法人机构一定程度上被赋予了参与基层社会治理的角色。在特殊因素消失后，在有关人脸识别门禁纠纷类案中，个人信息主体的诉求更多地获得了法院的支持。

　　值得关注的是，在个人信息收集类案裁判中，针对知情同意机制及隐私政策，法院已经从形式审查升级到实质审查，从核实授权的有无深入到追究授权的合理性，这很大程度上是立法发展的反映。民法典第一千零三十五条、个人信息保护法第五条和第六条、数据安全法第三十二条、网络安全法第四十一条等在规范信息收集行为时，使用了正当性、必要性、明确合理的目的、直接相关、对个人权益影响最小、限于实现处理目的的最小范围、不得过度收集等表述，包含实质合理性的原则。这一定程度上反映了知情同意权类案件中，信息收集中的利益冲突不太可能完全在私法框架内解决。私法的功能边界止于治理非平等主体的社会关系，此处的平等是指主体在社会现实力量、资源支配与影响力维度的真实平等。形式平等的主体间权力势差悬殊时，民法实际上让位于公法、社会法处理，意思自治与责任自负原则让位于非对称保护与比例原则机制。某种意义上说，企业收集个人信息的威胁不在于有没有取得授权，而在于即使有授权机制，也可能是形同虚设。即使法院判如所请，强制要求企业提供第三选项或者放弃收集非必要信息，“主要功能”“必要信息”“直接相关”等关键词的解释权也将经历争夺。

　　另外一类值得关注的类案是摄像头安装纠纷。根据民法典第一千零三十三条第二项的规定，拍摄他人的住宅、宾馆房间等私密空间的行为侵犯个人信息权益。司法裁判中，没有争议的是面向私人区域的拍摄行为一律构成侵权，争议在于针对私人活动区域紧邻区域的拍摄行为的定性。“紧邻区域定性难题”在逻辑上属于典型的谷堆悖论问题。2017年至2020年的裁判相对简单和模糊，一些判决书回避是否侵权的明确认定而仅表述为“应属不当”。2021年至2023年的裁判则相对明确细致，并逐渐形成模式化判决思路：此类拍摄行为侵害隐私权与个人信息权益，认为摄像头可拍摄到的出行人员、出行规律、访客情况等日常进出信息属于隐私范畴。对此类案件，笔者认为，有两个问题需要进一步明确：其一，拍摄日常进出信息未必构成隐私侵权，因为此类信息的私密性不足，个人信息而非隐私侵权可能是更妥当的定性。其二，调整可旋转摄像头方向的行为不宜判定为停止侵害。摄像头始终在加害人控制之下，调整后当事人的个人信息权益仍受威胁，而且监督和再起诉成本极高。故针对摄像头拍摄类加害行为的有效救济，责令拆除可能更为妥当。

　　三、个人信息收集民事类案裁判的特殊价值

　　有观点认为，单独原始的个人信息主要承载人格尊严与自由价值，同时承载有限的财产价值，集成性数据化的个人信息则承载重大的商业利用与社会控制价值。价值不由客体自身决定，而由特定时代下主体的需求赋予。正如石油的价值取决于机械动力技术的发明以及工业文明的生产生活方式，信息技术对市民社会的楔入与改造越深，个人信息就越会成为土地、石油、核能式的战略资源。民法典将个人信息权益归于人格权是合乎逻辑的，个人信息权益具有特殊性，作为一种底层权利的个人信息属于民事权利范畴，而其衍生的复杂权利群则超出了民事边界。

　　与健康权、隐私权、名誉权等具有单一个人法益的人格权不同，个人信息权益同时含有个人法益与超个人法益。个人信息多维、高频、持续的产生、收集、存储、转让，并与多元的应用场景连接，交互成前所未有的新型利益客体，生成深度威胁人格尊严与自由的精准个人画像，可能诱发公共安全秩序中的“灰犀牛”“黑天鹅”事件。个人信息的非法收集、滥用、泄露、误载等行为比传统行为更容易引发大规模侵权，其侵害形态多样、因果关系抽象、受害主体分散、损害后果不确定。与姓名权、名称权、肖像权等具有一般财产属性的人格权不同，个人信息权附着有潜力可观的商业转化与社会控制价值。个人信息本质是信息时代的隐私、姓名、名誉等多种人格要素的总和，是互联网背景下民事主体的数据化人格。掌握了个人信息的控制权，微观上就接近于控制了特定自然人人格，宏观上就接近于掌握了大众行为心理与社会组织运行的密钥。

　　大规模集成性个人信息的归属权、采集权、利用权、控制权将被长期持续争夺。个人信息权附着的社会控制价值也将逐渐发挥潜能。法律视角下，真正切中要害和引领趋势的是那些发生在个人信息大规模商业化利用与社会控制过程中的利益冲突案件。终极的风险不是邻居摄像头的越界滋事或者自媒体上的侮辱诽谤，而是来自享有技术解释权的企业数据处理者、掌控合法性解释权的公共机构，以及具有成本优势与变现能力的数据黑色产业。超越地方性知识与法律解释技术，本质性的价值判断是：在人类文明共同体基本价值预设之下，个人信息究竟能在多大程度上运用于商业化与社会控制，个人信息主体究竟能在多大程度上对抗具有支配地位的实体对数据人格的破坏、伪造、消灭、替代、复制以及一切控制行为。

　　人们对个人信息权益的期待，可能更多是防范信息过度收集与不当处理，保护弱势自然人的数据人格安全。然而威胁来自权力、资源、信息、技术上的显著优势方。私法宣称保护私权与意思自治，而私权的真正威胁源于权力势差结构下的优势方，不是平等主体间的低程度互害。然而，私法的实际功能仅限于调整实质平等主体的利益冲突，这一定程度上造成我国个人信息保护体系中，行政执法与刑事司法长期屏障于民事诉讼之前并形成倒挂。尽管如此，近两年出现的“普通自然人诉（机构）数据处理者”的强弱对抗模式依然是重要的转向，它们包括且不限于围绕知情同意权的线上收集用户信息案件、银行卡第三方支付中的盗刷案件、企业涉嫌不当关联身份信息案件、企业擅自内部分流共享个人信息案件等。这些判决对于直接打击数据侵权的意义有限，但是为社会治理积累了场景素材与判决先例，也为弱势方保留了相应的底线权利，体现了司法裁判的价值作用。

　　（作者系中国人民公安大学网络空间安全与法治协同创新中心研究员）