第142页

    2013年第十二届全国人大常委会第五次会议修正《消费者权益保护法》时，在原第14条中新增了消费者“享有个人信息依法得到保护的权利”，并在第50条就侵害该权利的民事责任作出了规定，这是我国法律首次从民事权利的角度对个人信息作出的规定。[4]自2017年10月1日起施行的《民法总则》第111条规定：“自然人的个人信息受法律保护。任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。”[5]此外，该法第127条还规定：“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”尽管就《民法总则》第111条是否规定了自然人个人信息权仍存在争议，但该条毕竟“从民事基本法的高度赋予了自然人个人信息保护的权利（权益），为个人信息保护在民法分则进一步细化规定提供了基础”[6]，因此，具有十分重要的意义。
    我国民法典编纂时，《民法总则》第111条被作为《民法典》第111条保留下来，同时，在《民法典》人格权编中，还对个人信息保护作出了更为详细的规定。一方面，在《民法典》人格权编的第六章“隐私权和个人信息保护”中，立法者使用6个条文（第1034条至1039条）对个人信息的概念和类型，个人信息保护与隐私权的关系，处理个人信息应当遵循的原则和符合的条件，自然人对其个人信息享有的查阅、抄录和复制的权利以及更正和删除的权利，侵害个人信息的免责事由，信息处理者的义务等，作出了较为详细的规定；另一方面，《民法典》人格权编的第一章“一般规定”和第五章“名誉权和荣誉权”中还就个人信息的合理使用（第999条）、信用信息处理的准用规则作出了规定（第1030条）。[7]
    （三）民法典保护个人信息的重要意义
    个人信息的保护需要公法与私法并重，公法对个人信息收集者、控制者确定的各种强制性义务以及行政责任、刑事责任，对于预防和制止个人信息遭受侵害具有非常重要的意义，同时，也有利于实现权益保护与信息自由的协调。但是，明确自然人对其个人信息享有的权益，并提供私法上的救济方法，也具有不可或缺的重要意义。我国《民法典》对个人信息保护作出专门规定，是个人信息私法保护的重要体现，具有以下几个方面的重要意义。
    1.个人信息保护的最终目的不是维护公共利益和公共秩序，而是维护自然人的合法权益。通过赋予自然人对个人信息享有相应的民事权益，不仅能够为保护自然人既有的人身、财产等民事权益建立起有效的防御屏障，还可以避免其他可能出现的新型侵害行为。尽管刑事制裁与行政处罚具有重要的预防和威慑作用，但无论是公安机关、网络安全主管部门还是市场监管部门，都不可能发现并查处每一个侵害个人信息的违法行为。况且，即便是对被发现的违法行为人进行了惩处，也不等于就填补了受害人的损害，并不能真正完全实现对受害人的个体保护。通过对个人信息的民法保护，赋予自然人对个人信息相应的民事权益，能够使广大自然人更加重视该权益，让他们真正认识到“线上平台的免费午餐券需要用我们的个人信息来换取”，而这种免费的成本已经变得越来越高了。[8]这样就能促使人们在日常生活中“认真对待个人信息”，积极保护个人信息。[9]在个人信息被非法收集、利用等侵害行为发生时，也可以更充分地调动自然人保护个人信息的积极性，使之“为权利而斗争”。这不仅可促使其在发现侵害个人信息的违法行为后及时向执法机关举报，也可以让其通过对侵权人提起民事诉讼获得补偿，进而对现实的和潜在的侵权人产生巨大的威慑作用。
    2.民法上对自然人个人信息的保护作出规定，不仅意味着民法认可了自然人对个人信息享有受保护的民事权益，彰显了法律对人格尊严和人格自由的尊重，也充分表明了在任何个人信息保护与数据权属的立法中都应始终关注自然人的民事权益保护与信息自由（信息的流动、共享与利用）这两个法律价值的权衡与协调。如果完全排除民法对个人信息的保护，一味基于所谓公共秩序或公共利益而仅由公法保护个人信息，必然导致价值权衡上的重大缺失，使个人信息的法律保护缺乏充分的正当性基础，由此也会使个人信息保护问题被简单化为数据收集者、数据控制者的利益与公共秩序、公共利益的矛盾冲突。在忽视甚至否定自然人对个人信息的民事权益的前提下，空谈公共利益或公共秩序，很可能会造成个人信息保护和数据权属立法最终沦为利益相关方（各类不同的数据企业之间）围绕着个人信息（数据）这一稀缺资源展开的争夺战，甚至使法律规定成为一方打击另一方，进而限制竞争、维护信息垄断地位的手段，最终损害整体的社会福利。反之，通过对个人信息进行民法保护，科学合理地承认自然人对个人信息应有的民事权益，不仅不会损害公共利益和公共秩序，反而可以在更坚实的正当性基础上建立相应的规则和制度，更好地实现维护公共利益和公共秩序的目标。现代法律中几乎没有完全不受公共利益和公共秩序限制的民事权益，我国民法也不例外。我国民法典已明确将公序良俗作为民法的基本原则之一。不仅如此，《民法典》第999条还明确规定，实施新闻报道、舆论监督等行为的，可以合理使用民事主体的个人信息。此外，民法对自然人就其个人信息的赋权性规范，可以为法律上细化有权机关针对大规模侵害个人信息的行为提起公益诉讼奠定基础，从而更好地维护公共秩序和公共利益。我国《民事诉讼法》第55条第1款明确规定，对侵害众多消费者合法权益等损害社会公共利益的行为，法律规定的机关和有关组织可以向人民法院提起诉讼。现代社会发生的非法收集、处理个人信息的行为往往构成对众多消费者合法权益的侵害，对此完全可以提起公益诉讼。[10]
    3.从比较法上来看，尽管各国（地区）对是否承认个人信息权有不同的看法，但没有哪个国家（地区）完全将个人信息的保护作为单纯的公法任务。各国（地区）都是综合利用公法与私法来实现对个人信息的有效保护的。例如，欧盟《一般数据保护条例》除了对数据控制人侵害个人信息的违法行为规定了巨额罚款等行政责任外，还专门在第82条就损害赔偿请求权和民事责任作出了规定。[11]德国《联邦数据保护法》第83条规定：如果数据控制人处理他人数据的行为违反本法或其他法律，并导致他人损害的，控制人或者其法人负有损害赔偿义务。但是在非自动化数据处理的情形下，如果损害并非控制人的过错所致，则其不负有赔偿义务。[12]我国台湾“个人资料保护法”更是专章规定了侵害个人资料（即个人信息）的“损害赔偿与团体诉讼”。它区分了公务机关与非公务机关的侵权行为，分别在第28条和第29条确立了侵害个人资料的侵权责任适用无过错责任与过错推定责任的规则，同时还对损害赔偿的数额作出了具体的规定。依据第28条第2—5项的规定，被害人不仅可以要求非财产上之损害赔偿，而且在被害人不易或不能证明其实际损害额时，还有权请求法院依侵害情节，以每人每一事件新台币50