第146页

    其次，即便个人信息的处理者在符合法律规定的前提下，可以处理敏感的个人信息，其在处理中负有的注意义务和法律上的要求也更高，否则如果因为处理者的安全防护措施不足而造成敏感的个人信息泄露的，则对自然人会造成很大的损害或风险。例如，对于依法收集的敏感的个人信息，在保管上，处理者负有更高度的注意义务，而法律法规对其有更严格的要求，如必须进行风险评估等。
    敏感的个人信息与作为私密信息的个人信息之间存在交叉的关系，有些个人信息既是私密的个人信息，也是敏感的个人信息，如医疗健康信息、性生活与性取向信息；有些个人信息虽然是私密的个人信息，却不是敏感的个人信息，如个人的嗜好、被他人性骚扰的个人信息；有些信息是敏感的个人信息却未必是私密的个人信息，如种族或民族信息、宗教信仰信息或政治主张信息等。
    （三）公开的个人信息与非公开的个人信息
    公开的个人信息是指已经合法公开的个人信息，至于那些因他人泄露或非法公开的个人信息，虽然客观上确实处于公开的状态，但不属于法律上所谓的公开的个人信息。[29]依据《民法典》第1036条第2项，合法公开的个人信息包括“该自然人自行公开的或者其他已经合法公开的信息”两大类型。其一，自然人自行公开的个人信息，如某教授将自己的办公室电话、手机号、电子邮箱、通信地址等在自己的个人网页上加以公开，从而使这些个人信息进入了公共领域，任何人都可以获得。其二，其他已经合法公开的个人信息，这主要包括两种情形：一是依据行政行为而公开的个人信息，即因政府机关履行职责而依法加以公开的个人信息，例如，依据《政府信息公开条例》第15条的规定，“涉及商业秘密、个人隐私等公开会对第三方合法权益造成损害的政府信息，行政机关不得公开。但是，第三方同意公开或者行政机关认为不公开会对公共利益造成重大影响的，予以公开。”再如，依据国务院颁发的《企业信息公示条例》的规定，企业通过企业信用信息公示系统向工商行政管理部门报送上一年度年度报告，并向社会公示。企业的年度报告中涉及个人信息的内容，如企业为有限责任公司或者股份有限公司的，其股东或者发起人认缴和实缴的出资额、出资时间、出资方式等信息，有限责任公司股东股权转让等股权变更信息等。二是依据司法行为而公开的个人信息，即因为法院的司法行为而公开法律文书，其中涉及的应当公开的个人信息。例如，依据《最高人民法院关于人民法院在互联网公布裁判文书的规定》，人民法院作出的裁判文书除涉及国家秘密、未成年人犯罪等不应公开的情形外，都应当在互联网上公开。人民法院在互联网公布裁判文书时，虽然应当删除“自然人的家庭住址、通讯方式、身份证号码、银行账号、健康状况、车牌号码、动产或不动产权属证书编号等个人信息”“家事、人格权益等纠纷中涉及个人隐私的信息”等信息，但是有些个人信息仍然应当在裁判文书中保留。依据该司法解释第11条第1项，人民法院在互联网公布裁判文书，“除根据本规定第八条进行隐名处理的以外，当事人及其法定代理人是自然人的，保留姓名、出生日期、性别、住所地所属县、区”。
    区分公开的个人信息和非公开的个人信息的最主要的意义在于：有助于判断处理这些个人信息是否需要得到自然人的同意。除非法律、行政法规另有规定，对于非公开的个人信息，必须告知且得到自然人或者其监护人的同意。但是，依据《民法典》第1036条，处理已经合法公开的个人信息，原则上是无须告知并得到自然人同意的，除非“该自然人明确拒绝或者处理该信息侵害其重大利益”，否则该处理行为不构成侵害个人信息的侵权行为。由此可见，即便是已经公开的个人信息也是受到法律保护的，只是在保护的强度和密度上要明显弱于非公开的个人信息。
    
    
    五、个人信息民事权益
    
    《民法典》第1034条第1款和第111条第1句皆明文规定，“自然人的个人信息受法律保护”。那么，自然人对其个人信息究竟享有何种民事权益呢？对此，存在很大的争议。[30]持民事权利说的学者认为，《民法典》确立了自然人对个人信息享有的是民事权利即个人信息权。[31]关于个人信息权的性质，多数人认为是一种新型的人格权，即个人信息权或个人信息自决权，它是指自然人对其个人信息享有支配和自主决定的权利，其内容包括个人对信息被收集、利用等的知情权，以及自己使用或授权他人使用等。[32]该权利是不同于隐私权、名誉权等的一种新型人格权。
    持民事利益说的学者则认为，自然人对个人信息享有的只是受法律保护的利益，并非民事权利。理由在于：一则在《民法典》中并没有使用“个人信息权”的表述，这意味着立法机关没有将个人信息作为一项具体的人格权利[33]，这也“为未来个人信息如何在利益上兼顾财产化以及与数据经济的发展的关系配合预留了一定的解释空间”[34]。二则《民法典》第111条采取了行为规制模式而非权利化模式来保护个人信息，即从对他人行为加以控制的角度来构建利益空间，维护利益享有者的利益。[35]
    本书认为，从法解释的角度来看，确实难以直接得出《民法典》确立了自然人对个人信息享有民事权利即个人信息权的结论。首先，第111条虽规定在总则编第五章“民事权利”中，可是立法者并未将个人信息明确规定为“个人信息权”。我国人格权法的主流观点认为，人格权应当如同物权法承认物权法定主义那样，采取人格权法定主义的立场。[36]从《民法通则》到《侵权责任法》的立法实践表明，凡是被立法者认可为某类具体人格权的，必定会使用“某某权”的表述。[37]《民法典》总则编的第五章“民事权利”在列举了自然人的生命权、身体权、健康权、姓名权、肖像权、名誉权、荣誉权、隐私权、婚姻自主权等具体人格权和身份权后，在第111条对个人信息的保护作出规定，且未使用“个人信息权”的表述。这足以表明，立法者只是认为自然人的个人信息应受到法律的保护，但没有将其确立为可称为“个人信息权”的一种具体人格权。
    其次，无论是民法典编纂之前的《侵权责任法》第2条、《民法总则》第120条，还是《民法典》第1164条，皆将侵权法保护的范围界定为“民事权益”，即人身财产权益。而《民法典》总则编的第五章正是对我国民法上受保护的民事权益所做的最详尽的列举。该章首先规定的是最重要的民事权益即人格权益（第109～111条），其次是身份权（第112条），最后是财产权益，包括物权（第114～117条）、债权（第118～122条）、知识产权（第123条）、继承权（第124条）、股权