|
法学院
|
|
□ 程啸
个人数据上承载了个人信息，自然人针对个人信息的处理享有个人信息权益，该权益受到民法典、个人信息保护法等法律的保护，对此不存在疑问。但是，理论界就是否应当区分个人数据与个人信息却有很大的争议。
个人数据与个人信息区分之质疑
（一）个人信息与个人数据的界定
民法典以“识别性”作为判断个人信息的核心要件，即任何能够单独或者与其他信息结合识别特定自然人的各种信息都属于个人信息。个人信息保护法在“识别性”上增加了“相关性”要件的要求，即除了经过匿名化处理的信息，任何与已识别或者可识别的自然人有关的各种信息都是个人信息。
我国法上的个人数据可被定义为：以电子或者其他方式记录的与已识别或者可识别的自然人有关的任何信息。“个人数据”这一概念的核心在于：它必须是与已识别或可识别的自然人有关的数据。至于该数据是否由个人所生产的或来源于个人的，则无关紧要。
（二）数据与信息的层次及关系
在表述数据和信息的关系时，经常被采用的表述为“数据是信息的载体，信息是数据的内容”。这句话中的“数据”是指符号层的数据，“信息”仅指语义层的信息。就符号层的数据与语义层的信息的关系而言，信息就是内容，人们通过获取信息就可以知道某些事情。数据就是形式，是用来记录信息或者承载信息的一系列符号。数据被认为是信息的载体，信息借助数据这一载体进行传播。然而，基于信息与数据的区别却并不能得出个人信息和个人数据是不同的民事权利客体、前者是人格权的客体而后者是财产权的客体的结论。
（三）民法上不应区分个人数据与个人信息
就本质而言，在网络信息时代，个人信息与个人数据紧密融合，是一体两面的关系。因此，无论是对个人信息的处理还是对个人数据的处理，必须是同时在符号层（数据）和内容层（信息）展开的活动。形而上地将个人数据与个人信息分离，不仅不符合实践，也违背了民事权利客体的基本要求。
只要是与已识别或可识别的自然人相关的信息或数据，就必定是个人信息或个人数据，从而可被纳入个人信息保护法的调整范围。个人数据的处理活动就是个人信息的处理活动，两者是一回事。
个人数据上经济利益的归属
（一）个人数据上的经济利益应归属于自然人
1.个人信息权益的法益分配功能
我国法上个人信息权益的核心内容在于：个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理，除非法律或行政法规另有规定。个人信息权益的此种法益分配功能意味着个人对其个人信息可以进行各种不违反法律、行政法规的强制性规定及公序良俗的利用，其中，当然也包括了自己或许可他人进行商业化利用。故此，自然人基于个人信息权益可以取得个人数据上的经济利益，禁止自然人对其个人数据的商业利用实质上就是非法限制了自然人的个人信息权益。
2.不应依据价值的高低判断个人数据经济价值的归属
仅以个人数据的经济价值低或稀薄为由，就将个人数据上的经济利益全部配置给数据处理者是不妥当的。随着大数据与人工智能技术的发展，不仅企业对数据的商业化利用程度越来越高，自然人对其个人数据能够进行的商业化利用方式也在变化发展，交易的形态日益丰富多彩。其中，既有一对一进行谈判而达成的显性交易，也有一对多的收集利用个人数据而在事实上形成的隐性交易。
（二）自然人享有个人数据的经济利益与企业数据产权不矛盾
一方面，虽然可以用“企业投入资本及人力物力，并对数据的生产负有经济上的责任”来论证企业数据财产权的正当性，但企业的数据财产权显然不应建立在剥夺自然人对个人数据的经济利益之基础上；另一方面，个人的同意或许可不会如同个人出售有体物那样导致权利转让的法律效果，作为人格权益的个人信息权益，是不得放弃、转让或者继承的。个人可以撤回同意或者解除个人数据许可使用合同，个人信息权益始终对企业数据财产权具有制约作用。
个人信息权益对经济利益的保护与实现
民法典、个人信息保护法所确立的个人信息权益完全能够保护并实现个人数据上自然人的经济利益。
（一）劳动赋权理论无法证成个人数据所有权
姑且不论能否认为个人数据完全就是个人劳动所产生的，即便可以这样认为，劳动赋权理论充其量也只能证明个人对其劳动所产生的个人数据应当享有受法律保护的权利，却无法证明该权利的性质就是个人数据所有权。事实上，个人数据能否被认为是个人劳动的产物，也是值得怀疑的。
（二）个人信息权益足以保护自然人的经济利益
“以个人信息权益保护自然人的精神利益，以个人数据所有权保护自然人的经济利益”的思路来源于以美国为代表的人格权保护“二元模式”。然而，我国法律始终采取的都是人格权保护“一元模式”，即通过人格权实现对姓名、名称、肖像等人格要素上的精神利益与经济利益的一体化保护。个人信息权益属于一种新型的人格权益，当然要适用民法典规定，而自然人针对个人信息（个人数据）的精神利益与经济利益也都受到个人信息权益的一体化保护。
（三）同意与许可是实现个人数据经济利益的两种方式
依据民法典和个人信息保护法，个人信息处理者在处理个人信息前必须告知并取得个人的同意，否则就不得处理个人信息，除非处理者具有法律、行政法规规定的不需要取得个人同意的情形。就基于同意的个人信息处理，个人可以无理由且不受限制地撤回同意。这种同意是效力最弱的同意。同时，民法典第九百九十三条规定，民事主体可以将自己的姓名、名称、肖像等许可他人使用，但是依照法律规定或者根据其性质不得许可的除外。据此，个人可以将个人信息许可他人使用，此种许可本质上也属于同意的范畴，但法律效力更强，即产生债务合同，使被许可使用人取得使用个人数据的权利。上述法律规定中的“个人同意”与“个人许可”都属于自然人基于个人信息权益而实现个人数据上经济利益的方式，但两者在法律性质、效果及适用场景上存在差异。
（四）个人信息权益与企业数据财产权关系的协调
事实上，企业对于其合法处理的个人数据也享有相应的财产权利，这种财产权利的正当性基础不仅在于企业为处理个人数据投入了人力、物力及资本，还在于其处理个人数据的行为是合法的，即因取得了个人的同意、与个人存在许可使用合同关系或者具备法律、行政法规规定的情形而存在合法性基础。故此，只有承认自然人针对个人数据享有个人信息权益并可以通过行使该权益而实现个人数据上的经济利益，才可能同时依据劳动赋权、权利人同意这两个私法上权益分配的正义标准，认可企业对其处理的个人数据也享有财产权，并最终确认企业对其投入资本及人力、物力所处理的所有数据享有支配和排他效力的财产权。
由于个人信息权益属于人格权益，效力位阶高于企业的数据财产权。故此，企业在行使数据财产权时，不仅要符合个人同意的内容、遵守其与个人之间订立的个人数据许可使用合同，还要服从于个人信息权益对数据产权的各种法定限制。
结语
个人信息与个人数据是一体两面的关系，它们都是个人信息权益的客体。个人信息权益不仅具有防御侵害的作用，可以排除他人非法处理个人数据；还具有法益分配的功能，确保个人可在数字经济中对其个人数据的商业化利用方式予以组织建构并据此实现经济利益。
（原文刊载于《中国法学》2024年第3期）
|
|
|
| 论个人数据经济利益的归属与法律保护
|
|
|
|
|
|
| （ 2024-08-21 ） 稿件来源： 法治日报法学院 |
|
|
□ 程啸
个人数据上承载了个人信息，自然人针对个人信息的处理享有个人信息权益，该权益受到民法典、个人信息保护法等法律的保护，对此不存在疑问。但是，理论界就是否应当区分个人数据与个人信息却有很大的争议。
个人数据与个人信息区分之质疑
（一）个人信息与个人数据的界定
民法典以“识别性”作为判断个人信息的核心要件，即任何能够单独或者与其他信息结合识别特定自然人的各种信息都属于个人信息。个人信息保护法在“识别性”上增加了“相关性”要件的要求，即除了经过匿名化处理的信息，任何与已识别或者可识别的自然人有关的各种信息都是个人信息。
我国法上的个人数据可被定义为：以电子或者其他方式记录的与已识别或者可识别的自然人有关的任何信息。“个人数据”这一概念的核心在于：它必须是与已识别或可识别的自然人有关的数据。至于该数据是否由个人所生产的或来源于个人的，则无关紧要。
（二）数据与信息的层次及关系
在表述数据和信息的关系时，经常被采用的表述为“数据是信息的载体，信息是数据的内容”。这句话中的“数据”是指符号层的数据，“信息”仅指语义层的信息。就符号层的数据与语义层的信息的关系而言，信息就是内容，人们通过获取信息就可以知道某些事情。数据就是形式，是用来记录信息或者承载信息的一系列符号。数据被认为是信息的载体，信息借助数据这一载体进行传播。然而，基于信息与数据的区别却并不能得出个人信息和个人数据是不同的民事权利客体、前者是人格权的客体而后者是财产权的客体的结论。
（三）民法上不应区分个人数据与个人信息
就本质而言，在网络信息时代，个人信息与个人数据紧密融合，是一体两面的关系。因此，无论是对个人信息的处理还是对个人数据的处理，必须是同时在符号层（数据）和内容层（信息）展开的活动。形而上地将个人数据与个人信息分离，不仅不符合实践，也违背了民事权利客体的基本要求。
只要是与已识别或可识别的自然人相关的信息或数据，就必定是个人信息或个人数据，从而可被纳入个人信息保护法的调整范围。个人数据的处理活动就是个人信息的处理活动，两者是一回事。
个人数据上经济利益的归属
（一）个人数据上的经济利益应归属于自然人
1.个人信息权益的法益分配功能
我国法上个人信息权益的核心内容在于：个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理，除非法律或行政法规另有规定。个人信息权益的此种法益分配功能意味着个人对其个人信息可以进行各种不违反法律、行政法规的强制性规定及公序良俗的利用，其中，当然也包括了自己或许可他人进行商业化利用。故此，自然人基于个人信息权益可以取得个人数据上的经济利益，禁止自然人对其个人数据的商业利用实质上就是非法限制了自然人的个人信息权益。
2.不应依据价值的高低判断个人数据经济价值的归属
仅以个人数据的经济价值低或稀薄为由，就将个人数据上的经济利益全部配置给数据处理者是不妥当的。随着大数据与人工智能技术的发展，不仅企业对数据的商业化利用程度越来越高，自然人对其个人数据能够进行的商业化利用方式也在变化发展，交易的形态日益丰富多彩。其中，既有一对一进行谈判而达成的显性交易，也有一对多的收集利用个人数据而在事实上形成的隐性交易。
（二）自然人享有个人数据的经济利益与企业数据产权不矛盾
一方面，虽然可以用“企业投入资本及人力物力，并对数据的生产负有经济上的责任”来论证企业数据财产权的正当性，但企业的数据财产权显然不应建立在剥夺自然人对个人数据的经济利益之基础上；另一方面，个人的同意或许可不会如同个人出售有体物那样导致权利转让的法律效果，作为人格权益的个人信息权益，是不得放弃、转让或者继承的。个人可以撤回同意或者解除个人数据许可使用合同，个人信息权益始终对企业数据财产权具有制约作用。
个人信息权益对经济利益的保护与实现
民法典、个人信息保护法所确立的个人信息权益完全能够保护并实现个人数据上自然人的经济利益。
（一）劳动赋权理论无法证成个人数据所有权
姑且不论能否认为个人数据完全就是个人劳动所产生的，即便可以这样认为，劳动赋权理论充其量也只能证明个人对其劳动所产生的个人数据应当享有受法律保护的权利，却无法证明该权利的性质就是个人数据所有权。事实上，个人数据能否被认为是个人劳动的产物，也是值得怀疑的。
（二）个人信息权益足以保护自然人的经济利益
“以个人信息权益保护自然人的精神利益，以个人数据所有权保护自然人的经济利益”的思路来源于以美国为代表的人格权保护“二元模式”。然而，我国法律始终采取的都是人格权保护“一元模式”，即通过人格权实现对姓名、名称、肖像等人格要素上的精神利益与经济利益的一体化保护。个人信息权益属于一种新型的人格权益，当然要适用民法典规定，而自然人针对个人信息（个人数据）的精神利益与经济利益也都受到个人信息权益的一体化保护。
（三）同意与许可是实现个人数据经济利益的两种方式
依据民法典和个人信息保护法，个人信息处理者在处理个人信息前必须告知并取得个人的同意，否则就不得处理个人信息，除非处理者具有法律、行政法规规定的不需要取得个人同意的情形。就基于同意的个人信息处理，个人可以无理由且不受限制地撤回同意。这种同意是效力最弱的同意。同时，民法典第九百九十三条规定，民事主体可以将自己的姓名、名称、肖像等许可他人使用，但是依照法律规定或者根据其性质不得许可的除外。据此，个人可以将个人信息许可他人使用，此种许可本质上也属于同意的范畴，但法律效力更强，即产生债务合同，使被许可使用人取得使用个人数据的权利。上述法律规定中的“个人同意”与“个人许可”都属于自然人基于个人信息权益而实现个人数据上经济利益的方式，但两者在法律性质、效果及适用场景上存在差异。
（四）个人信息权益与企业数据财产权关系的协调
事实上，企业对于其合法处理的个人数据也享有相应的财产权利，这种财产权利的正当性基础不仅在于企业为处理个人数据投入了人力、物力及资本，还在于其处理个人数据的行为是合法的，即因取得了个人的同意、与个人存在许可使用合同关系或者具备法律、行政法规规定的情形而存在合法性基础。故此，只有承认自然人针对个人数据享有个人信息权益并可以通过行使该权益而实现个人数据上的经济利益，才可能同时依据劳动赋权、权利人同意这两个私法上权益分配的正义标准，认可企业对其处理的个人数据也享有财产权，并最终确认企业对其投入资本及人力、物力所处理的所有数据享有支配和排他效力的财产权。
由于个人信息权益属于人格权益，效力位阶高于企业的数据财产权。故此，企业在行使数据财产权时，不仅要符合个人同意的内容、遵守其与个人之间订立的个人数据许可使用合同，还要服从于个人信息权益对数据产权的各种法定限制。
结语
个人信息与个人数据是一体两面的关系，它们都是个人信息权益的客体。个人信息权益不仅具有防御侵害的作用，可以排除他人非法处理个人数据；还具有法益分配的功能，确保个人可在数字经济中对其个人数据的商业化利用方式予以组织建构并据此实现经济利益。
（原文刊载于《中国法学》2024年第3期）
|
|
|
