个人信息保护的界限，本文主要内容关键词为：个人信息论文,界限论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
DOI:10.14086/j.cnki.wujss.2016.04.013 在线评价平台具备web2.0的典型特征：网站发布的内容并不是由网站的经营者提供，而是由网站的用户在网站预先设定的框架内提供。正是这个特征使得一些在线评价平台面临侵害他人个人信息的法律风险。这些评价平台评价的对象并不是某种商品或者服务，而是特定职业的从业人员(教师、医生等)。对于被评价者来说，评价平台收集后直接发布或者经过一定处理后发布的评价信息属于其个人信息，评价平台收集、发布该信息的业务活动构成了对他人个人信息的收集、使用。根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》(以下简称《规定》)第2条第1款，网络服务提供者和其他企业事业单位在业务活动中收集、使用自然人个人电子信息，应当经被收集者同意。如果简单按照这一规定来保护被评价者的个人信息，在线评价平台只有征得被评价者的同意才能合法开展业务活动，评价者(在线评价平台及其用户)的言论自由就会被限定为发表不包含他人个人信息言论的自由，或者经他人同意发表包含他人个人信息言论的自由。这样一来，以互联网为媒介的评价根本无法进行，因为被评价者通常不会同意评价平台收集、发布对自己的消极评价，在线评价平台因为缺乏被评价者的授权而不得不删除所有消极评价(Plog&Baridehzadeh，2008：45)。 将个人信息保护到在线评价平台无法生存的程度，显然与人们在选择教育、医疗等服务时越来越依赖在线评价的发展趋势相矛盾。《规定》第2条第1款只是个人信息保护的原则性规定，不能简单按照该规定来保护被评价者的个人信息。实际上，《规定》颁布后，我国针对教师、医生等职业的在线评价平台并没有出现萎缩的趋势。在个人信息保护立法起步较早①、体系较为完备的欧洲②，虽然出现了被评价者以自己的个人信息遭受侵害为由起诉在线评价平台的案件，各国法院对此类案件的判决结果也不尽相同，甚至截然相反③，但并没有哪家法院以保护个人信息为由绝对禁止在线评价平台。既然如此，被评价者个人信息保护的界限到底在哪里？在线评价平台收集、使用他人个人信息的界限又在哪里？ 一、个人信息的认定 (一)在线评价平台收集、发布的信息 在线评价平台收集、发布的信息既包括用户评价，也包括被评价者基本资料。无论是自称“中国最大的选课择师指南网站”的“评师网”(www.pinglaoshi.com)④，还是自称“中国最大的医疗网站”的“好大夫在线”(www.haodf.com)，都收集、发布了用户评价和被评价者基本资料。在法国巴黎大审法院(一审)⑤和巴黎上诉法院(二审)⑥2008年判决的“评师网案”(www.note2be.com)以及德国联邦最高法院⑦2009判决的“评师网案”(www.spickmich.de)中，被告都经营针对中小学教师的在线评价平台，其收集、发布的信息既包括平台用户对教师的评价，也包括教师的姓名、任教学校、讲授科目等基本资料⑧。而在德国联邦最高法院⑨2014年判决的“评医网案”(www.jameda.de)中，被告经营针对医生的在线评价平台，其收集、发布的信息同样包括平台用户对医生的评价和医生姓名、就职医院、擅长专科等基本资料。 (二)认定个人信息的唯一标准：识别性 在线评价平台收集、发布的上述两类信息只有具备识别性，才属于受法律保护的个人信息。对于个人信息应当具备识别性，学界并无争议，许多国家的法律也有明文规定⑩。我国工业和信息化部2013年6月28日通过的《电信和互联网用户个人信息保护规定》第4条规定，“本规定所称用户个人信息，是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息”，同样要求个人信息具备识别性。我国首个个人信息保护国家标准《信息安全技术公共及商用服务信息系统个人信息保护指南》(以下简称《指南》)第3.2条也将个人信息界定为“可为信息系统所处理、与特定自然人相关、能够单独或通过其他信息结合识别该特定自然人的计算机数据”。 上述规定均将识别性作为认定个人信息的唯一标准，而《规定》第1条第1款则规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息(11)。”该规定不仅规定了识别性的标准，还规定了隐私性的标准。尽管如此，我国学界通常只要求个人信息具备识别性，并不要求其具备隐私性(王利明，2012：172)。最高人民法院《关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定》(以下简称法释[2014]11号)第12条采用“自然人基因信息、病例资料、健康检查资料、犯罪记录、家庭住址、私人活动等个人隐私和其他个人信息”的表述。这个条文将个人隐私和其他个人信息并列，说明最高人民法院也没有将隐私性作为认定个人信息的标准。因此，《规定》第1条第1款规定的隐私性并不是对个人信息本身的要求，而是对个人信息受保护的要求。具备识别性的信息，不论其是否具备隐私性，都属于个人信息。按照这一标准，在线评价平台收集、发布的被评价者基本资料，如教师的姓名、任教学校、讲授科目，医生的姓名、照片、职称、擅长专科、职业经历等，直接指向特定被评价者个人，具有直接识别性，当然属于被评价者的个人信息。教师、医生等的基本资料可以直接从相关学校、医院的主页上获得，属于对所有人开放的公共信息资源，这一事实只能说明上述基本资料不具备隐私性或者隐私性很弱，并不影响其识别性，因而也不影响该信息属于个人信息的认定。 具备识别性的信息就是个人信息，既不论其是否属于公共信息资源，也不论其是否属于单纯的事实陈述。只要具备识别性，所有针对特定个人的表述、评价和判断都可能构成该特定个人的个人信息，所有针对特定个人的私人行为或者职务行为的描述都可能侵害他人个人信息。因此，在线评价平台收集、发布的用户评价只要直接指向特定的个人(直接识别性)或与基本资料结合指向特定的个人(间接识别性)，就属于该特定个人的个人信息，而不论该评价是事实陈述，还是主观的价值判断。 (三)两类信息的结合 虽然用户评价和被评价者基本资料都属于被评价者的个人信息，但是，在线评价平台合法发布这两类个人信息的条件却并不相同(12)。被评价者基本资料通常已经在其个人主页或者其任职机构的主页上合法公开，属于法释[2014]11号第12条第1款第4项规定的例外情形(已公开个人信息)。因此，在线评价平台发布这类个人信息不需要满足法释[2014]11号第12条第1款规定的较为严格的条件，只需要满足该条第2款规定的较为宽松的条件。根据法释[2014]11号第12条第2款，在线评价平台原则上可以不经被评价者同意，发布被评价者(已公开的)基本资料，除非其以违反社会公共利益、社会公德的方式发布该信息或者发布该信息侵害被评价者值得保护的重大利益。与被评价者基本资料不同，用户评价并不属于已公开的信息，在线评价平台发布该信息应当满足法释[2014]11号第12条第1款规定的较为严格的条件。也就是说，在线评价平台未经被评价者同意原则上不得发布该信息。 尽管如此，在判断在线评价平台收集、公布个人信息的合法性时应当将用户评价和被评价者基本资料作为一个整体，统一适用针对用户评价的一般规则，而不适用针对被评价者基本资料的特殊规则。因为在线评价平台的性质，主要是由用户评价决定，而不是由被评价者基本资料决定。被评价者基本资料在在线评价平台上的作用是与用户评价结合从而使其具有识别性。没有用户评价，只有被评价者基本资料的网站，只能算是一个黄页，而不能算是在线评价平台。 二、个人信息受保护的条件 在线评价平台收集、发布的个人信息虽具识别性，却不一定能受到我国法律的保护。因为《规定》第1条第1款，“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息”。该法将隐私性规定为个人信息受保护的条件，反映了我国在个人信息保护上采用了隐私权模式，而不是信息自主权模式。 (一)我国的隐私权模式 1.两大模式 面对信息化给个人信息保护带来的挑战，美国和欧洲采取了不同的应对方式，各自形成了具有一定代表性的个人信息保护模式(王利明，2013：62-64)。以美国法为代表的隐私权模式是通过个案逐步扩大隐私权的保护范围，将隐私权从“个人自我独处”的消极权利逐步转变为“个人自主决定”以及“对于个人信息的控制”这种积极权利(王泽鉴，2008：21)，从而使得个人信息落入隐私权的保护范围。该模式的本质是通过保护隐私来保护个人信息。也正是因为这个原因，美国1974年个人信息保护立法的名称不是“个人信息保护法”，而是“联邦隐私法(The Federal Privacy Act of 1974)”。相反，欧洲法模式并不是通过已有的隐私法，而是另行制定个人信息保护法来保护个人信息(王利明，2013：62)。欧洲法模式以德国的信息自主权模式最为典型。之所以将德国法模式称作信息自主权模式，是因为德国法是在一般人格权的框架内创设信息自主权来保护自然人的个人信息。虽然信息自主权最初并不是一项法定的民事权利，而是由德国联邦宪法法院在1983年12月15日的“人口普查案”(13)判决中确立的宪法权利，但是，德国联邦宪法法院仍然在该判决以及后来的一系列判决中确认了信息自主权的所谓“第三人效力”(14)。因此，德国的信息自主权从创设之日起就不仅仅是一项宪法权利，还是一项民法意义上的一般人格权，其作用不仅仅局限于公民防御国家，还能对私法的价值体系产生影响(15)。不仅如此，德国早在1977就颁布了联邦数据保护法，统一规范公法与私法领域的个人信息保护。德国联邦数据保护法经多次修订，其中关于私法领域个人信息保护的规定实际上已经构成了保护民法意义上信息自主权的具体法律依据。正是因为信息自主权模式下的个人信息保护不需要借助于隐私权，而是有自己独立的构成要件，德国的个人信息保护法才可以称为“数据保护法”，而无需冠以“隐私法”之名。 2.我国的模式选择 在我国，虽然有学者主张采用信息自主权模式(齐爱民，2003：85)，在人格权法中设立独立于隐私权的个人信息权来保护自然人的个人信息(王利明，2012：68)，但到目前为止，该设想还只是处于学理讨论的阶段，侵权责任法第2条明文规定了隐私权，而信息自主权或者个人信息权尚无明确的法律依据。所以，在我国司法实践中，法院往往采取隐私保护的途径为遭受侵害的信息主体提供救济(16)(王利明，2012：72)。从这个意义上讲，我国的这种个人信息保护模式属于隐私权模式，而不属于信息自主权模式。《规定》第1条第1款将隐私性规定为个人信息受保护的条件，正是对隐私权模式的确认。 (二)隐私信息的保护 1.隐私权模式下的隐私范围 信息自主权模式保护所有个人信息，而隐私权模式只保护具有隐私性的个人信息。在隐私权模式下，隐私的范围越广，受保护个人信息的范围也就越广。为了提高个人信息保护的水平，采隐私权模式的国家一般“对隐私采广义的解释”(王泽鉴，2008：20)。在美国，隐私权保护的范围十分广泛，既保护传统隐私权所保护的私生活秘密，也保护姓名、肖像、电话号码等在一定范围内已经公开并且必须在一定范围内公开才能发挥其功能的信息。美国著名侵权行为法学家威廉·L.普若分析实务上案例所整理出来的4类侵害隐私的侵权行为，就包括“为自己利益而使用他人的姓名或特征”的行为(张新宝，2004：9)。美国的隐私权甚至还具有维护堕胎、子女教育、同性恋和性行为、安乐死等个人私生活自主的功能(王泽鉴，2008：8-11)，而该功能显然是信息自主权所不能涵盖的。从某种意义上讲，美国法正是因为对隐私采广义的解释并且不断扩展隐私权的保护范围，才能够在隐私权的框架内保护个人信息。 2.我国的隐私范围 在我国，隐私权是与姓名权、肖像权、名誉权等并列的人格权，隐私自然不应当像美国法一样包含姓名权、肖像权、名誉权的客体。但由于我国目前还没有完备的个人信息保护法，还主要是通过隐私权来保护个人信息，因此，我国只能通过扩大隐私的范围来提高个人信息的保护水平。隐私权所保护的个人信息，不应当仅仅局限于未公开的私生活秘密。实际上，我国的主流学说已经接受了美国法中生活安宁的概念，将隐私的范围扩展至“生活安宁不受他人非法干扰”(张新宝，2004：6-7；王利明，2012：520)。甚至有一些学者在此基础上进一步将生活安宁具体化为“个人对自己私人信息、私人生活和私人领域进行支配和控制的权利”(杨立新，2011：594-596；马俊驹，2009：285；马特、袁雪石，2007：260)。在司法实践中，一些法院也倾向于扩大隐私的范围。如在“孙伟国诉中国联合网络通信有限公司上海市分公司隐私权纠纷案”中，上海市浦东新区人民法院从“私人生活安宁不受他人非法干扰”的角度界定隐私，将“个人的姓名、性别、职业、学历、联系方式、家庭住址、婚姻状况等与个人及其家庭密切相关的信息”纳入隐私的范围(17)。虽然上述信息在一定范围内已经公开，但是，被告向第三人披露上述信息非法干扰了信息主体的私人生活安宁，也侵害了信息主体的隐私权。此外，上海市浦东新区人民法院还将隐私权的保护范围扩展到“是否向他人公开隐私以及公开范围的决定权”(18)。根据该院确立的原则，在一定范围内已经公开的个人信息也具有隐私性，信息主体不仅有权自主决定是否将自己的个人信息公之于众，而且有权自主决定在多大范围内将自己的个人信息公之于众(19)，违法扩大个人信息的公开范围也构成对隐私权的侵害。 在线评价平台收集、发布的个人信息，无论是用户评价，还是被评价者基本资料，通常并不涉及被评价者的私生活秘密。但是，如果在线评价平台的信息收集、发布行为干扰了被评价者的私生活安宁(如利用在线评价平台对被评价者进行人肉搜索)，那么，在线评价平台收集、发布的信息即使不涉及被评价者的私生活秘密，也具有隐私性，也属于受保护的个人信息。 (三)其他个人信息的保护 1.隐私权模式的缺陷 在线评价平台侵害他人信息隐私权的情形并不常见。因为即使扩大隐私的范围，隐私权也只能保护个人私生活秘密和私生活安宁(谢远扬，2015：107)，对隐私权的侵害主要表现为非法披露(私生活秘密)和骚扰(私生活安宁)(王利明，2013：67)。而大多数情形下，用户评价(包括被评价者基本资料)只是针对被评价者的职业活动，并不涉及被评价者的私生活，在线评价平台收集、发布这种评价一般也不会干扰被评价者的私生活安宁。不仅如此，被评价者的基本资料(教师姓名、任教学校、讲授科目，医生姓名、就职医院、擅长专科等)通常已由被评价者本人或者经被评价者授权的人合法上传至互联网，成为向所有人开放的公共信息资源(绝对公开状态)，在线评价平台收集、发布该信息不可能再扩大其公开范围。在线评价平台的信息收集、发布行为通常并不涉及被评价者的私生活秘密，也不会干扰被评价者的私生活安宁，因此，其收集、发布的信息通常不具有隐私性，不能受到《规定》第1条第1款的保护。 将在线评价平台收集、发布的个人信息排除于法律保护之外，暴露了我国现行隐私权模式的缺陷。除非完全无视隐私一词的汉语语义范围，否则，隐私的范围无论怎么扩大，也不可能覆盖所有的个人信息(20)。在隐私权模式下，总有一部分个人信息因不具有隐私性而得不到保护。而在个人信息上，信息主体除了享有隐私利益之外，还可能享有知悉个人信息被处理、个人信息正确和完整、个人信息处理符合特定目的等利益(Klippel，1983：410)。只保护具有隐私性的个人信息，就意味着上述“值得保护的重大利益”得不到保护。以在线评价平台为例，教师、医生等被评价者基本资料已向所有人公开，不具有隐私性，但是，被评价者也并非对这些信息不再享有任何利益。信息主体不仅可以决定是否公开自己的隐私信息，还应当参与隐私信息公开之后的维护(谢远扬，2015：107)。即使是收集、发布已公开的个人信息，信息主体仍然享有知悉权。当已公开个人信息被不当使用或者超出特定目的使用时，信息主体仍然可以要求使用人承担侵权责任。如果仅仅由于已公开个人信息缺乏隐私性而将其排除在法律保护之外，信息主体的上述“值得保护的重大利益”就得不到保护。另外，网络用户对教师、医生职业活动的评价属于与私生活无关的个人信息，同样不具有隐私性。但是，被评价者作为在线评价机制的当事人，在评价机制设置明显不合理时，应当有权提出异议。而如果将缺乏隐私性的用户评价排除于法律保护之外，被评价者的这一“值得保护的重大利益”同样得不到保护。 2.扩展保护 可能正是因为认识到隐私权模式的上述缺陷，最高人民法院在法释[2014]11号中将个人信息保护的范围扩展至不具有隐私性的个人信息。法释[2014]11号第12条第1款不仅保护构成“个人隐私”的信息，还保护不构成隐私的“其他个人信息”。不仅如此，法释[2014]11号第12条第2款还规定，网络用户或者网络服务提供者发布已公开的个人信息侵害信息主体值得保护的重大利益，信息主体请求网络用户或者网络服务提供者承担侵权责任的，人民法院应予支持。自然人自行在网络上公开的信息或者其他已合法公开的个人信息，通常不具有隐私性。而根据法释[2014]11号第12条第2款，发布这种不具有隐私性的个人信息可能侵害他人“值得保护的重大利益”。该规定实际上是承认了，在个人信息上，信息主体除了享有隐私利益，还可能享有其他值得保护的重大利益。 3.一般人格权的补充 虽然法释[2014]11号第12条将个人信息保护的范围扩展至不具有隐私性的个人信息，但是，我国法律没有明确规定独立于隐私权的个人信息权或者信息自主权，司法实务中也没有形成专门针对个人信息保护的构成要件(21)。因此，如何保护不具有隐私性的个人信息就成为了各级法院无法回避的难题。好在我国主流学说已经接受了一般人格权这一框架权利(王利明，2012：162；杨立新，2011：302；马特、袁雪石，2007：192)。最高人民法院《民事案由规定》也在生命权、健康权、身体权纠纷、姓名权纠纷、肖像权纠纷、名誉权纠纷、荣誉权纠纷、隐私权纠纷、婚姻自主权纠纷、人身自由权纠纷之外专门规定了一般人格权纠纷。在司法实务中，法院一般是将一般人格权作为八种具体人格权的补充。对于在审判实践中出现的、法律尚未规定的人格权，在不能依照八个具体人格权纠纷案由确定的情况下，可以使用一般人格权纠纷确定案由(22)。而在个人信息不具有隐私性，又无法通过其他具体人格权对其进行保护时，刚好也符合上述“使用一般人格权纠纷确定案由”的条件。在现行法律框架下，运用一般人格权来保护不具备隐私性的个人信息似乎是最合理的解决方案。其实，最迟在2011年，就有法院在隐私权之外用一般人格权保护个人信息。在“王某与某物业顾问公司一般人格权纠纷案”中，被告某物业顾问公司业务员对原告王某进行电话推销的行为(24天28次，最多一天8次)既不构成对原告的私生活秘密的披露，也“未造成王某生活上严重的不安宁”(23)，并不构成对原告隐私权的侵害。但是，上海市浦东新区人民法院认为被告的行为“滥用了其所掌握的原告王某个人信息，客观上滋扰了王某正常的生活安宁，侵犯了王某的合法权益，其侵权行为成立”(24)。从该院以及二审的上海市第一中级人民法院(25)将本案案由确定为“一般人格权纠纷”来看，原告遭受侵害的合法权益应该就是一般人格权。 三、个人信息受保护的程度 个人信息保护不以隐私信息为限，对于不具有隐私性的个人信息，信息主体仍然可能享有“值得保护的重大利益”。因此，在线评价平台的信息收集、发布行为即使没有侵害他人隐私权，仍可能侵害他人一般人格权。尽管如此，法律对个人信息的保护并非没有限度。个人信息收集、发布行为是否合法，取决于信息主体对于被收集、发布的个人信息是否享有值得保护的重大利益。而个人信息的类型不同，信息主体所享有利益的重大程度就不同，受保护的程度也就不同。 (一)领域理论的限制 1.限制的理论依据 领域理论的实质就是对个人信息进行类型化并据此确定信息主体享有利益的重大程度以及个人信息受保护的程度。根据该理论，个人生活领域在保护程度上存在一个等级体系(26)。按照受保护程度的强弱，个人生活领域可以划分为私密或者秘密领域、私人领域、公共或者社会领域。其中，私密或者秘密领域的实质内容来自于人性尊严的核心，享受绝对保护，任何侵害，无论是来自个人或公权力，均应被排除(王泽鉴，2008：17)。而公共或者社会领域受保护的程度则最弱。 领域理论源于采用信息自主权模式的德国。实际上，信息自主权正是德国法院在突破领域理论的基础上创设的(杨芳，2015：28)。然而，德国法院在创设了信息自主权后并没有放弃领域理论(27)。在信息自主权模式下，个人信息都应当受到保护。而根据领域理论，个人信息涉及的生活领域不同，受保护程度也不相同。这意味着，收集、发布他人私人或者社会领域的信息，也会产生个人信息保护的问题(28)。但是，仅仅涉及私人领域或者社会领域的个人信息，尤其是仅涉及社会领域的个人信息只能受到程度较弱的保护。这主要是因为人格发展不是孤立的，任何人都是在社会共同体中发展自己的人格，在社会共同体中，任何涉及某个个人的信息同时也是社会现实的一部分，不能仅仅归入该个人的名下(29)。亦即，该信息不仅承载了信息主体的人格利益，还承载了社会共同体其他成员的人格利益。此时，人们应当在社会共同体的成员相互关联和相互制约这一前提下正确处理好个人与社会共同体间的关系。只要在实现社会公共利益或者第三人的重大利益方面具备充分的理由，并且在对侵害的程度与合理侵害事由之间进行权衡后能认定对信息自主权的限制没有超出合理的限度，信息主体原则上就应当容忍对其信息自主权的限制(30)。从这个意义上讲，领域理论为限制信息自主权提供了理论依据。 2.限制的具体操作方法 不仅如此，领域理论还为限制信息自主权提供了具体操作方法。首先，领域理论将不同类型的个人生活领域置于一个同心圆模型之中。离圆心越近的生活领域，越不会与他人的生活领域发生重叠，因而受到的限制越少；离圆心越远的生活领域，越会与他人的生活领域发生重叠，因而受到的限制越多。其次，个人信息保护并不是保护信息主体对个人信息的绝对控制权，而是保护信息主体对个人信息所享有的值得保护的重大利益。再次，信息主体对个人信息是否享有值得保护的重大利益，取决于其个人信息所涉及的生活领域。私密领域处于同心圆模型的核心，一般不会与他人生活领域发生重叠。因此，对于涉及私密领域的个人信息，可以直接认定信息主体享有值得保护的重大利益。私人领域和社会领域处于同心圆模型的外围，可能与他人生活领域发生重叠。因此，对于涉及私人领域和社会领域的个人信息，信息主体对其享有值得保护的重大利益，应当结合个案的具体情况在信息主体的利益(隐私或者一般人格权)和社会公共利益(如相关公众的知情权)以及第三人的利益(如言论自由)之间进行权衡。此时，信息主体所享有的利益是否重大、是否值得保护，不仅仅取决于信息主体所享有的利益本身，还取决于信息主体的利益与社会公共利益以及第三人的利益之间的对比关系。只有在信息主体的利益不违背社会公共利益并且大于第三人的利益时，信息主体才享有“值得保护的重大利益”。在线评价平台收集、发布的评价，要么直接指向被评价者的职业活动，要么指向与被评价者职业活动相关的个人品质，都只涉及被评价者的社会领域，尚未侵入其私人领域。而社会领域处于个人生活领域的最外围，被评价者所享有的利益与相关公众的知情权或者如在线评价平台及其用户的言论自由相比，既不重大，也不值得保护。 法释[2014]11号第12条虽然没有直接采用领域理论，但其对个人信息的类型化以及针对个案的具体情况进行利益权衡的做法却与领域理论相一致。该条文将个人信息分为未公开信息和已公开信息。未公开信息一般与社会公共利益以及他人利益无关，可以直接确定信息主体享有值得保护的重大利益，而不需要在这些利益之间进行权衡。而对于已公开信息，信息主体的利益很可能与社会公共利益以及他人利益相互重叠，因此，要在信息主体的利益与社会公共利益以及他人利益之间进行权衡。在线评价平台收集、发布的部分个人信息(被评价者基本资料)属于已公开的信息。对于这部分信息，被评价者原则上不享有值得保护的重大利益。只有在法释[2014]11号第12条第2款规定的例外情形，被评价者才享有值得保护的重大利益。 3.制度化配置 在我国，一直存在反对个案利益权衡，主张对利益冲突双方所享有的权利(如言论自由和隐私权)确定优先保护顺序的所谓制度化配置理论(苏力，1996：69)。其中，影响较大的是“言论自由优先论”。该理论认为，作为宪法基本权利的言论自由应当优先于作为民事权利的隐私权受保护(31)(苏力，1996：72)。这一理论显然站不住脚：因为言论自由固然可以是宪法规定的基本权利，隐私权、名誉权等人格权同样可以在宪法中找到依据(32)。“言论自由与人格权同为宪法所保障的基本权利，其位阶次序不应因其为明文保障或未被列举而有不同(王泽鉴，2013：334)。”言论自由与隐私权的冲突仍然只能通过个案利益权衡的方法解决。 (二)个人信息敏感度的影响 我国法律没有直接根据个人信息涉及的生活领域，而是根据个人信息的敏感度来确定个人信息受保护的程度。《指南》将个人信息分为个人敏感信息和个人一般信息。根据《指南》第3.7条，个人敏感信息是指一旦遭到泄露或修改，会对标识的个人信息主体造成不良影响的个人信息。个人敏感信息是对社会或个人具有特殊风险，应当受到特殊保护的个人信息(汪全胜、方利平，2010：24)。从这个意义上讲，个人敏感信息和个人一般信息本身就是根据个人信息受保护程度的不同所做出的划分。由于文化传统的差异，不同国家的法律所规定个人敏感信息的范围并不相同(33)。此外，有些敏感个人信息还具有相对性的特点。也就是说，这些个人信息只在一定情形下才具有敏感性，而在一定情形下又不具有敏感性(34)。针对个人敏感信息不确定性和相对性的特点，《指南》第3.7条规定，“各行业个人敏感信息的具体内容根据接受服务的个人信息主体意愿和各自业务特点确定”。尽管如此，个人敏感信息的认定仍然具有一定的共性。涉及个人私生活的个人信息，尤其是涉及个人不愿向公众披露的私生活信息，通常属于敏感个人信息，应当受到较高程度的所谓“特殊保护”。而涉及个人社会领域，尤其是涉及职业活动的个人信息，一般都不具有敏感性，只能受到较低程度的保护。这样一来，个人敏感信息与个人一般信息的分类与领域理论根据个人生活领域所进行的分类具有一定的内在联系。一般说来，涉及个人私密或者秘密领域的信息属于个人敏感信息，而涉及公开或者社会领域的信息则属于个人一般信息(35)。 在线评价针对的是教师、医生等被评价者的职业活动。而对他人职业活动所做出的评价，仅仅涉及他人的社会领域，一般只能被认定为个人一般信息，只能受到较低程度的保护。在职业活动领域，人格发展从一开始就与周围的环境紧密相连(36)。发表涉及他人社会领域个人信息的言论，只有在对该他人的人格权产生重大不利影响的情形，才应当承担责任；对他人人格权产生重大不利影响，主要是指发表涉及他人社会领域个人信息的言论可能给他人造成永久性的污点、使他人被社会排斥或者使他人遭受示众羞辱的严重后果(37)。由于在线评价通常是匿名进行的，所以，客观上确实存在有人恶意注册多个用户对特定教师进行评价从而影响网站评价结果公正性的风险。但是，仅仅根据该风险显然不足以认定在线评价能够对被评价者造成谩骂式批评或者社会排斥、示众羞辱的严重后果。 四、个人信息使用的限度 在线评价平台收集、发布的个人信息虽然不因缺乏隐私性而被绝对排除于法律保护之外，却由于仅仅涉及被评价者的社会领域并且不具备敏感性而只能享受较低程度的保护。对于此类个人信息，信息主体一般不享有值得保护的重大利益，应当容忍他人使用。但是，就像个人信息保护有一定的限度，个人信息使用同样有一定的限度。因为使用他人个人信息，即使是使用上述只能享受较低程度保护的个人信息，也会限制该他人的人格权。判断对他人个人信息的使用是否超出了合理的限度，其实就是判断该使用行为对信息主体人格权的限制是否超出合理的限度。而对信息主体人格权的限制是否超出了合理的限度，可以用比例原则来检验(38)。对信息主体人格权的限制只要符合比例原则，就没有超出合理的限度。比例原则包含适当性原则、必要性原则和狭义比例原则三个子原则(陈新民，2001：368-372；韩大元，2005：9)。因此，对被评价者人格权的限制应当符合比例原则，就是相对于限制被评价者人格权所要实现的目的来说，对其人格权的限制应当是适当的、必要的，并且对人格权的限制与限制人格权所要实现的目的之间的比例关系应当是适当的(39)。 (一)适当性 所谓适当性原则，就是采取的方法应有助于目的实现。而探讨限制被评价者的人格权是否符合适当性原则，就是要探讨对人格权的限制是否有助于其所要实现的目的。 1.商业目的 在“在线评价平台合法性”的讨论中，有一种观点认为，在线评价平台收集、发布他人个人信息的行为是出于商业目的(40)。该观点的主要理由在于，在线评价平台为了获得平台运营所需要的资金而登载广告并从中获利。基于该理由认定在线评价平台是出于自身的商业目的显然是不正确的，因为被告为了获得网站运营所需要的资金而登载广告，并不是其收集、发布他人个人信息的目的(41)。 2.业务性使用 在线评价平台的信息收集、发布行为不属于商业活动，而是一种业务活动(Heller，2008，245)。《规定》虽然提及“在业务活动中收集、使用公民个人电子信息”，但并未对业务活动做出明确的定义。所谓业务活动，是指重复进行并持续一定时间的活动，并不要求该活动以营利为目的。以教师评价平台为例，教师评价平台简化并促进了中小学生之间的交流，也能够为相关学生、家长以及学校提供有用信息。此外，评价平台还能够为被评价的教师提供反馈信息，让其知道自己在学生中的接受度。教师评价平台在业务活动中收集、发布被评价教师个人信息的行为虽然对其人格权构成一定程度的限制，但该限制很显然有利于实现其业务活动的目的——促进交流、提供信息，因而符合适当性原则的要求(42)。 (二)必要性 所谓必要性原则，就是有多种同样能实现目的的方法时，应选择对他人权益损害最小的方法。在线评价平台收集、发布他人个人信息的行为是否适当，取决于是否存在同样能够实现信息收集、发布的目的但对被评价者损害较小的信息收集、发布方式。 1.当面交流 在教师评价平台与被评价教师的人格权纠纷案件中，被评价教师有时会提出这样的主张：中小学教师一般都会定期设定学生接待日、家长来访日并予以公布，任何学生和家长都可以在上述时间与相关教师就自己关心的问题进行当面交流，此外，在校内，学生之间也可以进行当面交流，这些机制能够为学生和家长提供足够的指导信息，因此，对所有人开放的教师评价机制是没有必要的(43)。首先应当承认，与对所有人开放的教师评价机制相比，学生接待日、家长来访日以及学生之间的当面交流对被评价教师的损害确实较小。但是，以互联网为媒介的交流无疑要比学生接待日、家长来访日上的交流、学生之间课间和课外的当面交流广泛得多。在进行必要性判断时，只能在效果相当的方式之间进行比较。学生接待日、家长来访日以及学生之间的当面交流并不能否定在线评价机制的必要性。 2.实名评价 网络用户在线发表评价通常是匿名进行的。有些在线评价平台虽然设置了注册访问的限制，却没有实名注册机制，任何人都可以匿名注册成该平台的用户并发表评价。所以，注册访问的限制并不能排除有人利用在线评价平台的匿名评价机制恶意注册多个用户对特定被评价者进行评价从而影响评价结果公正性的风险。相对于实名评价机制来说，上述风险确实构成了被评价者的额外损害。尽管如此，实名评价机制在促进交流、提供信息方面的效果不如匿名评价机制，因而也不能否定匿名评价机制的必要性。 匿名使用是互联网的固有属性(44)。《规定》第3、4条设置了保护网络用户个人电子信息不受网络服务提供者侵害的规定，为落实上述规定，工业和信息化部还制订了《电信和互联网用户个人信息保护规定》(45)。所有这些规定在很大程度上都是为了维护互联网匿名使用而设置。将言论自由限定为发表实名言论的自由，并不符合言论自由的本意(46)。如果所有人在发布评价时都有义务公开自己的姓名，那么，有些人就会因为担心遭到报复或者遭受其它不利后果而放弃发布评价的权利。而这种自我审查机制的存在本身，就与自由表达意见的基本权利相悖(Ballhausen&Roggenkamp，2008：406)。教师评价平台就是一个很好的例子：如果学生只能实名发表对教师的评价，那么许多学生就会因为担心遭到报复或者遭受其他不利后果而不参与评价或者发表与自己真实想法相悖的评价。教师评价平台在促进交流、提供信息方面的效果就会大打折扣。 在对在线评价平台合法性的讨论中，评价的公正性一直是争议的焦点(47)。应当承认，要求在线评价平台对用户的真实性进行审查确能提高评价的公正性，因此也确是一种对被评价者损害较小的信息使用方式。但是，要求网站对用户的真实性进行审查，本质就是要求其放弃匿名注册机制，改采实名注册机制。否则，网站不可能审查用户的真实性。而改采实名注册机制后，在线评价平台就不能真正发挥互联网交流的便捷优势，因而在促进信息交流上的效果同样可能大打折扣。 总而言之，实名评价机制(包括对用户真实性进行审查的网络评价机制)虽然对被评价者的损害较小，但在效果上不能与匿名评价机制同日而语，因此不能用来否定匿名评价机制的必要性。 (三)比例适当 所谓狭义的比例原则，即采取某种方法可能造成的损害与想要实现目的利益间要比例适当，不能显失均衡。因此，在判断在线评价平台是否符合狭义比例原则时，需要正确评估在线评价平台给被评价者造成的损害。该原则要求在线评价平台在实现其业务活动目的——促进交流、提供信息的同时，尽可能降低对被评价者造成的损害。为达到狭义比例原则的上述要求，在线评价平台可采取下列措施： 1.设置访问限制 在线评价平台设置访问限制，既能限制对被评价者缺乏基本了解的人员发表评价，又能将评价的传播限定在一定范围之内。限制缺乏基本了解的人员发表评价能够提高评价的公正性，从而降低对被评价者的损害(48)。而将评价尤其是消极评价的传播限定在对获取信息享有合法利益的人员范围之内，无疑也属于在线评价平台为降低被评价者损害而采取的措施(49)。 2.开发错误报告功能 设置错误报告按钮也能提高评价的公正性(50)。在在线评价平台上设置错误报告按钮，使得在线评价系统具备了纠错功能：某一用户在评价平台上善意或者恶意发布错误信息后，其他用户可以通过该功能要求平台予以纠正。毫无疑问，上述错误报告按钮使被评价者本人获得了参与交流，甚至是为自己辩解的机会。但是，并不能以被评价者本人未参与交流为由认定在线评价平台违反了狭义比例原则。因为，在线评价平台及其用户的言论自由不以信息主体参与交流为前提。被评价者本人并未注册为评价平台的用户参与在线交流这一事实并不能成为限制在线评价平台及其用户言论自由的理由，因为言论自由本来就不以信息主体参与交流为前提(51)。 3.设置自动甄别程序 除了设置错误报告按钮外，设置自动甄别程序，自动甄别用户提交的评价数据，也能提高在线评价的公正性，从而提高其说服力(52)。设置自动甄别程序作为在线评价平台为提高评价的公正性和说服力所做出的努力，可以作为认定在线评价平台信息收集、使用行为符合狭义比例原则的重要依据。 4.设置遗忘功能 最后还需注意的是，是否符合比例原则，只是根据某个时间点的具体情况所做出的判断，判断结果并非一成不变。因此，即使是合法的信息使用行为，其合法性也有一定的时效性。原本符合比例原则的信息使用行为，在经过一段时间后，也可能变成违反比例原则的侵权行为。合法使用期间经过后，使用人不再享有优先于他人人格权的重大利益，信息主体就有权要求使用者删除对其不利的信息。 在线评价平台收集、发布他人个人信息的合法性同样具有时效性。如果被评价者已经转行从事其他职业或者已经退休，在线评价平台收集、发布其个人信息的行为就可能不再符合比例原则的要求，不再合法。为使在线评价平台的信息收集、发布行为一直符合比例原则的要求，在线评价系统可以设定遗忘功能：超过一定期间无人对某一名教师提交新的评分，系统就会自动删除被评价者的个人信息。 五、结语 网络交易中，人们无论是在选购商品，还是在选择教育、医疗等服务时，都越来越依赖其他网络用户的评价。在这种背景下，探讨在线评价平台收集、发布他人个人信息的合法性无疑有重大现实意义。不仅如此，对这一具体问题的探讨还涉及个人信息保护法的模式选择、个人信息保护的程度、信息主体和信息使用人利益冲突的解决等核心理论问题。研究在线评价平台合法开展业务活动的限度和被评价者个人信息保护的限度，不仅有助于此类具体案件的解决，还有助于我国个人信息保护规则的完善。 一方面，个人信息保护不以隐私信息为限，不具有隐私性的“其他个人信息”同样需要保护。现有的隐私保护规则不足以保护个人信息。我国需要摆脱现有的隐私权模式，另行制定个人信息保护法。在个人信息保护法颁布前，通过一般人格权来保护不具有隐私性的个人信息是理想的选择。另一方面，保护个人信息也不是要赋予信息主体对个人信息的绝对支配权，而是要保护信息主体所享有的值得保护的重大利益。而信息主体是否享有值得保护的重大利益，需要对信息主体所享有的利益以及信息使用人所享有的利益进行权衡。《规定》第2条第1款无视个人信息的不同类型，无视信息主体与信息使用人之间的利益对比，这一点亟待完善。从这个角度看，尽快制定个人信息保护法同样必要。 注释： ①世界上第一部以“数据保护法”命名的法律就是德国黑森州1970年颁布的《黑森州数据保护法》。 ②在欧盟层面，有欧洲议会和欧盟理事会1995年10月24日关于涉及个人数据处理的个人保护以及此类数据自由流通的指令；而在国内法层面，许多国家制定了统一的个人信息保护法。 ③例如，同样是针对教师评价平台，德国联邦最高法院判决评价平台一方胜诉，而法国巴黎大审法院和巴黎上诉法院则判决评价平台败诉。 ④自2014年6月18日正式更名为“学邦网”(wwww.xuebang.com.cn)。 ⑤TGI v.3.3.2008,No 08/51680. ⑥Cour d'Appel de Paris v.25.6.2008,No 08/04727. ⑦BGH,Urteil von 23.6.2009-VI ZR 196/08-BGHZ 181,328. ⑧此外，该平台还设有“教师语录”栏目，用户可以在该栏目输入相关教师(滑稽或者令人厌恶)的言论。 ⑨BGH,Urteil von 23.9.2014-VI ZR 358/13. ⑩如德国《联邦数据保护法》第3条第1款规定，个人信息是指所有反映某个已识别的或可识别的自然人的人身或者财产情况的信息。 (11)该规定中的个人“电子信息”，实际上就是数字形态的个人信息，也就是个人数据。 (12)法释[2014]11号第12条没有采用“发布”他人个人信息的表述，而是采用“公开”他人个人信息的表述。其实，采用“发布”他人个人信息的表述更合适，因为采用“公开”的表述，该条第1款第4项就成了“公开他人已公开个人信息”的规定。而已公开的个人信息只能发布，不存在再次公开的问题。 (13)BVerfG,Urteil vom 15.12.1983-1 BvR 209/83 u.a.-BVerfGE 65,1 ff. (14)BVerfG,Beschluss vom 11.06.1991-1 BvR 239/90-BVerfGE 84,192(194); Urteil vom 2.3.2006-2 BvR 2099/04-BVerfGE 115,166(187); Urteil vom 27.2.2008-1 BvR 370/07,1 BvR 595/07-BVerfGE 120,274(303,311). (15)Vgl.BVerfG,
