一、个人信息及民法保护的必要性
（一）个人信息概述
1、个人信息的由来
1968 年联合国召开的德黑兰国际人权会议，关于个人信息的部分，首次提及了“资料保护”（data protection）的概念，而本文论述的个人信息也就来源于报告中提及的“资料保护”。随着“国际人权会议”的结束，德国政府认识到个人资料的社会价值，率先在 1970 年制定了《德国黑森州个人资料保护法》，而世界上第一部国家级的个人信息保护法是 1973 年《瑞典资料法》。自此，其他国家与地区纷纷开展了个人信息保护立法计划。在立法初期，法律文件上使用的概念称谓多数为“个人资料”，少部分国家会使用“个人信息”或“个人隐私”。由于各国的立法背景与社会文化的差异，也就导致了个人信息在学术层面上的认识差异，不同国家在立法层面上对个人信息的称谓也就不同。具体表现为：美国的《1974 年美国隐私法》与澳大利亚的《1988 年澳大利亚隐私法》立法采用的是“个人隐私”；而奥地利的 1978 年《奥地利信息保护法》采用的是“个人信息”的称谓；法国的 1978 年《法国资料法》、芬兰的 1987 年《芬兰个人资料保护法》、采用的则是“个人资料”；在 2018 年 5 月正式实施的欧盟《一般数据保护条例》（GDPR）中采用的是“个人数据”。目前，很多国家与国际组织的法律文件将个人信息与个人资料混同使用，其中美国法也直接将以上两个称谓等同。总体而言，国内大部分学者对称谓的选择还是倾向于“个人信息”的表述。7借此，在本文的论述当中也选择采用“个人信息”的表述。
.........................
（二）个人信息的民事权利属性
在探究个人信息的民事权利之时，应先分析个人信息中蕴含的法律属性。目前，大多数各国或地区已出台了专门的个人信息保护法，因此，关于个人信息法律属性的学说也逐渐趋于稳定。从最初 “所有权说”“隐私权说”“人格权说”与“基本人权说”四种学说的争论，到现在人格权客体说的选择。经历很长一段时间的学术争鸣，目前国内大多数学者观点趋向一致。总体而言，个人信息蕴含了信息主体自身的人格性利益，并与对个人信息实施的收集、处理或利用等一系列行为都直接或间接地关系到信息主体自身的人格尊严。13根据上文个人信息的界定可知，个人信息的可识别属性与信息主体是不可分的，为信息主体对其个人信息的控制提供保障，就是对信息主体的主体资格的尊重以及信息自由的维护，这样也就符合我国《宪法》第 38 条关于人格尊严的规定。国内有学者赞同此观点，具体表述为：人之本身即为其目的，作为人即享有自治、自决的权利，凡与其人格的发展有关联的事项，那么本人就有权依其自身自由意志作出决定，便可排除他治、他律与他决；在信息时代，谁都可以接近我们的信息数据，谁都可以掌握、利用甚至是歪曲我们的数据形象；与个人信息相关的一系列处理行为会直接或间接地关系到信息主体自身的人格尊严，可以说，个人信息自身体现出来的利益会是信息主体人格尊严，即信息主体对其产生的个人信息也就享有了其中的全部利益。
总体而言，个人信息可以定性为兼具精神利益与物质利益双重性质的民事权利——人格权。个人信息能识别信息主体的人格意义，则应统一作为人格权客体，不宜对其分别设立个人信息人格权与个人信息财产权。个人信息的精神利益与物质利益都来源于被识别的信息主体本身，尽管在识别作用上有原始性与附属性两种，但都内在于信息主体本身而存在。作为人格利益的一个层面，个人信息物质利益层面永远不能脱离精神利益层面而独立成为财产权的客体，否则将导致将人分裂为纯物质存在与纯精神存在。因为，这与人格化的物表现出的精神利益与物质利益有根本的区别。就个人信息精神利益而言，将物人格化后，其包含的精神利益并不来自于物本身，而是来源于物与人的关联，物上人格利益可以脱离物权而获得人格权的保护并表现为精神利益，物权则是该精神利益的载体。就个人信息的物质利益而言，其来源于具有民事主体资格的信息主体本身，是信息主体个人意志的载体，并且必须依附于信息主体才具有人格意义。
..........................
二、我国个人信息民法保护现状及问题
（一）我国个人信息民法保护的现状
1、民法总则对个人信息的保护
我国《中华人民共和国民法总则》（以下简称《民法总则》）颁布之前，对个人信息的保护都是借助一般人格权、具体人格权、个人隐私等相关范畴的规定，对个人信息进行保护。《中华人民共和国民法通则》第 5 条对公民的合法的民事权益受到法律保护作出了概括性的规定，并在第 99 条、第 100 条、第 101 条、第 120 条依次对公民的姓名权、肖像权、名誉权及侵害后承担的民事责任作出了明确的规定。但是基于信息时代中大数据的发展，个人信息的保护显然不能被以上权利内容所代替，这种间接保护的方式不能给个人信息带来全面的保护。在这样的背景下，个人信息权一直处于学理争论的层面上。我国齐爱民教授曾主张信息主体享有的个人信息权，从实质而言是个人信息控制权的简称，即信息主体依法对其个人信息所享有的控制、支配并可排除不特定人侵害的权利。近年来，随着个人信息研究的深入，国内学界关于个人信息的民事权利属性的主流观点认为：个人信息权是一项兼具精神利益与物质利益双重性质的民事权利。
《民法总则》第 111 条对个人信息保护进行了原则性的规定。从该条文的文义来看，该条款关于自然人个人信息保护方面，可以解读为以下两个部分。条文的前一部分实质上是义务的设定，以此明确信息控制者在收集个人信息时，必须履行“依法取得”的义务。对于“依法取得”的理解，可以根据《中华人民共和国网络安全法》（以下简称《网络安全法》）第 41 条规定25，信息控制者或其他主体对信息主体的个人信息收集必须以信息主体同意为前提，因此，可以推定出《民法总则》第 111 条包含了个人信息收集过程中信息主体的知情同意。后一部分实为强制性规定，为我国各级法院审理侵害个人信息案件提供了依据，可以依次追究侵害人的侵权赔偿责任或在其他情形下确认信息控制者收集信息主体个人信息行为属于无效行为。
...........................
（二）我国个人信息民法保护的问题
1、尚未确立个人信息权
从民法保护的现状来看，不管是《民法总则》，还是《侵权责任法》与《合同法》都未对个人信息权作出明确的规定。目前，个人信息的民法保护大多数是以隐私权或者是一般人格权的形式进行保护，这样对个人信息的保护只能起到间接性的作用。在《民法总则》正式实施之初，有些社会媒体误认为我国已经通过《民法总则》确立了一项新型的民事权利——个人信息权。实际上我国《民法总则》第 111 条仅对个人信息保护确立了基本规则，只起到了原则性保护的作用；单从第 111 条文义来看，该条款仅使用了“个人信息”的概念，但是保护民事主体合法利益的前提在于赋予其明确的权利，那么个人信息究竟是一种普通法益还是民事权利，至今仍是一个值得讨论的话题。笔者对于该问题，对国内学者关于个人信息的不同观点进行了总结。王利明教授认为：从我国《民法总则》第 111条来看，其中只是将个人信息视为法益，从该条款的文义只能看出自然人的个人信息作为一种客体，其应当受到民法的保护；并不像生民权、姓名权、隐私权等具体人格权一样确立为明确一项民事权利，因此，立法者并未将自然人的个人信息确立为一项具体人格权利。36此外，张新宝教授的观点主张个人信息近似于我国民法规定的人格权，基于个人信息中包含的权益，其实质也是自然人应当享有的一项重要权利；通过立法来明确个人信息，也是对自然人的人格自由与尊严的保护，这样才能保障自然人免受非法侵扰，对于社会秩序稳定与健康的保持才具有现实意义。最后，杨立新教授的观点主张个人信息权是纯粹的人格权，个人信息权的内涵实际已被明确，甚至对不特定的义务人负有不能侵害自然人个人信息权的义务都作出了明确的规定。分析以上三位学者的观点，虽然我国《民法总则》第 111 条确实未明确使用个人信息权的概念，应该是基于理论层面上尚未出现学术上的通说，我国各个学者就个人信息与个人信息权的选择存在分歧，《民法总则》第 111 条暂以“个人信息受民法保护”的表述形式对个人信息的保护作出规定。不过该形式是明确个人信息权利属性的前提基础，想要通过立法的层面对个人信息做出切实有效的保障，这样不仅会影响自然人一般人格权与具体人格权的保护机制架构，甚至会影响民事权利体系的整体构造，这也是我国民法总则中未将个人信息上升至权利层面的困境。
.........................
三、域外个人信息民法保护的考察 ...................... 20
（一）比较法视野下个人信息保护法的考察 ......................... 20
1、美国的分散立法模式 ......................... 20
2、美国的隐私权保护基础 ............................ 21
四、我国个人信息民法保护完善对策 ............................. 27
（一）在民法中确立个人信息权 ................................... 27
1、明确个人信息权的民事权利性质 .............................. 27
2、确认个人信息权的主体范围 .................................... 29
四、我国个人信息民法保护完善对策
（一）在民法中确立个人信息权
确立个人信息
