关于《民法典（草案）》个人信息保护条款的完善建议思维导图

《民法典（草案）》（以下简称草案）第六章虽然尝试分立隐私权和个人信息保护规则，但基本贯彻了 20 世纪 80 年代德国信息自决权理论而对个人信息构建了类似隐私权的个人绝对控制权，强调收集处理的唯一合法基础是当事人同意。但该模式随着网络信息时代的到来已经日益捉襟见肘，原因在于很多个人信息不仅只体现个人利益，还同时负载了重大社会公共利益和经济价值，前者比如为了新冠肺炎疫情防控收集利用病患相关个人信息，后者比如个人信息是征信业和数字经济发展的重要资源，信息科技的运用使得个人信息上的多元利益日益凸显。一味强调个人绝对控制，会阻碍个人信息的正常利用和共享，不仅社会价值易被忽视，大数据等信息产业也难以发展。

因此，建议摒弃个人绝对控制权而构建个人信息多元利益平衡保护模式。具体而言：一是借鉴欧盟《一般数据保护条例》等域外立法，修改草案 1035条以规定收集处理个人信息的多元合法基础，除了保留当事人同意之外，增加“为维护公共利益所必需”以及下文所论及的其他合法基础，即以明确的规则取代该条第（一）项“征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外”中的“法律、行政法规另有规定的除外”，在民法典中为“合法”收集处理个人信息设定充分的民法基础规范。二是将草案第 1033 条“除权利人明确同意外，任何组织或者个人不得实施下列行为”修改为“除法律另有规定或者权利人明确同意外，任何组织或者个人不得实施下列行为”，明确即使是涉及个人私密信息等隐私，也可能根据其他法律的规定比如为了国家安全、追查刑事犯罪、防控疫情等公共利益需要予以合法限制，“权利人同意”并不是唯一的合法基础。

草案第 1037 条规定：“收集、处理自然人个人信息，有下列情形之一的，行为人不承担民事责任：（一）在该自然人或者其监护人同意的范围内实施的行为；（二）处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；（三）为维护公共利益或者该自然人合法权益，合理实施的其他行为。”这种免责事由的立法模式看似留出了收集处理个人信息的合法空间，但并未充分承认为维护国家安全、防控疫情等公共利益或者当事人合法权益等收集使用行为本身的合法性，这可能使得有关主体在行为时惧于担责有所顾虑而无法及时使用和共享个人信息。

建议将草案第 1037 条的免责事由修改纳入草案第 1035 条，直接作为收集处理个人信息的合法基础，将草案第 1035 条修改如下：“合法收集处理自然人个人信息应当符合下列条件之一：（一）征得该自然人或者其监护人同意；（二）处理该自然人已经合法公开的个人信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；（三）为维护公共利益或者该自然人合法权益所必需。”

在信息社会中，个人为了获取产品或服务必然会提交留痕个人信息，比如电子购物提供收货地址，网上约车提供地理位置信息等。虽然个人对这些信息的后续利用实际上已经难以查知控制，这些信息确有可能会被他人泄露或滥用，但这就是个人为享受信息科技便利而在数字化生存中需要容忍的风险。在互联网 环境下，个人在充分权衡利弊之后与在线服务商签订合同，就意味着已经同意对方为了合同目的处理其个人信息，法律应充分尊重和保障双方达成的合意。不能因为个人信息有可能被在线服务商之外的第三人窃取或滥用，就否认个人和服务商达成的合同效力。当然如果服务商违反法定或者约定义务，故意泄露或者未经当事人允许向他人提供个人信息，应当承担相应的法律责任。

建议将“为订立或者履行合同所必需”也规定为收集处理个人信息的合法基础，在上述第（二）点关于草案第 1035 条的修改建议条文中再增加一项，即“（四）为订立或者履行该自然人作为一方当事人的合同所必需”。强调“合同所必需”是为了忠于当事人之间的合同目的，可以避免合同宽泛条款对主体权益的不当限制。如此规定，在合同目的范围之内处理个人信息不必再征得个人同意，可以提高信息利用效率、降低信息授权成本。此外，还可以为信息控制者某些符合合同目的的正当处理行为即欧盟《一般数据保护条例》所言的数据控制者“正当利益”提供合法基础，比如为了履行合同需要确保信息安全而处理个人信息。

根据草案第 1033 条第（一）项规定，除权利人明确同意外，任何组织或者个人不得以短信、电话、即时通讯工具、电子邮件、传单等方式侵扰他人的私人生活安宁。从文义看，一旦发送未经请求的信息就有可能构成“侵扰”，而当事人明确同意成为唯一合法基础；当事人一旦同意似乎只能忍受侵扰，是否可以再拒绝以及如何拒绝并没有规定。可在实际生活中，为了联络沟通等目的，未经对方请求而发送信息是生活常态，而为联络对方却先要发信息征求对方同意实属罕见，且征求同意信息本身也是未经对方同意的。应该平衡正常联络沟通和保护私生活安宁的关系。

建议将草案第 1033 条第（一）项单独予以规定，并修改为：“自然人明确表示拒绝的，不得以短信、电话、即时通讯工具、电子邮件、传单等方式向其发送未经请求的信息。以电子方式发送信息的，应当明示发送人的真实身份和联系方式，并向接收人提供拒绝继续接收的方式。不得以频繁拨打电话或者发送信息等方式侵害他人的私人生活安宁。”如此规定可以区分发送未经请求信息的行为与以此侵害私人生活安宁的行为。对于发送未经请求信息的行为，吸纳我国《广告法》等相关规定，并借鉴欧盟、日本等立法经验，规定了当事人选择退出模式。对于发送未经请求信息害私人生活安宁的行为，明确只有达到“频繁”、超出当事人正常容忍程度才构成侵害，而且建议将“侵扰”改为“侵害”，也有利于从文义上将轻微干扰排除在外。