规定个人信息保护法 “根据宪法”制定的深意

2021年8月20日结束的十三届全国人大常委会第三十次会议，三审表决通过了《中华人民共和国个人信息保护法》。

该法第一条规定：“为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。”其中“根据宪法，制定本法”是在这部法律的草案提交本次会议三审时新加入的。

在8月13日全国人大常委会法制工作委员会举行的记者会上，发言人臧铁伟指出：“我国宪法规定，国家尊重和保障人权，公民的人格尊严不受侵犯，公民的通信自由和通信秘密受法律保护。制定实施本法对于保障公民的人格尊严和其他权益具有重要意义。”

的确，增加“根据宪法，制定本法”的规定，对《个人信息保护法》（下称“个保法”）而言，具有十分重要的意义。

2012年12月由十一届全国人大常委会三十次会议通过的《全国人大常委会关于加强网络信息保护的决定》规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。”这一规定开启了我国个人信息保护法治化的道路。2017年的《民法总则》及2020年的《民法典》都明确“自然人的个人信息受法律保护”，使自然人的个人信息上的人格利益纳入人格权保护范畴。这是民事立法对个人信息保护的完美回应。

但是，从法源上讲，个人信息受法律保护源自宪法对公民人格尊严的保护。其背后的法理是，自然人有独立人格，有权自主塑造其在社会中的身份，自主决定其个人事务，因而个人有权防范他人不当处理涉及个人的信息，以维护主体尊严或人格自主。

1983年德国宪法法院创造性地将个人信息与人格自主之间联系起来，明确“个人信息自主决定”。之后，欧洲委员会在2012年修改《关于个人数据自动化处理的个人保护公约》（制定于1981年）时接受了《欧盟基本权利宪章》将“个人数据保护权”（right to protection of personal data）从《欧洲人权公约》的隐私权中独立出来的做法，将之明确为独立的公民基本权利。因此，我国“个保法”增加规定“依据宪法”不仅有着一定域外法源支撑，更重要的是，对我们正确地定位理解和适用个人信息保护法有着非常重要的意义。

首先，使“个保法”成为实施宪法，保护公民基本权利的法律。

在《民法典》之后制定“个保法”，最易使它被理解成为实施《民法典》中“个人信息受法律保护”之规定的法律。而增加“依据宪法制定本法”的规定，将使“个保法”成为保护公民基本权利的法律，使“个人信息受法律保护”上升为一种公民基本权利，可称之为“个人信息保护权”。在宪法层面称其为个人权利并不导致私法上“个人信息受法律保护”被误解为个人对个人信息享有决定权（支配权）。

在宪法层面理解个人信息受法律保护（即使简化为“个人信息保护权”）需要与其他的基本权利加以平衡，其真正的含义是“个人信息处理中的个人保护权”，保护的是个人主体权利不因个人信息处理而受到侵害。

也就是说，在宪法层面上的“个人信息保护权”并不是个人信息受保护，而是个人信息上的个人主体权利受保护（或受到尊重），不因社会中对个人信息的使用行为而受到侵犯。

其次，可能开启权衡个人信息和个人利益、社会利益和公共利益，进行协同治理的通路，避免个人信息保护权的私法化、绝对化。

任何个人均是社会的一份子，个人信息是参与社会必不可少的工具，也是社会各主体开展社会交往和社会活动必须掌握和运用的资料——识别个人的依据。因此，个人信息的使用就不应完全是所涉及的个人说了算。个人信息保护权就不应当理解为私权，理解为由个人自由意志决定是否为他人使用，进而形成“非经同意使用个人信息即侵权”的结论。《民法典》为保护个人信息上人格权益而规定的民事保护性质的复制权，就不应理解为一经请求就应当支持的绝对权。“个保法”可能确立的个人信息决定权、可携权等权利，也就不演绎为民法上的私权，导致个人信息个人决定，一经请求就应获得救济。在对个人信息的法律属性和保护有了更高的定位后，就可能开启个人信息治理保护模式，而不是再是“信息主体+信息处理者义务”范式。

再次，它使“个保法”以保护人民利益，改善人民福祉为基本遵循。

个人信息具有识别分析个人特性进而基于识别分析做出快速精准决策的社会资源属性，个人识别分析支撑了个性化服务、个性化定制、智能制造、产业融合或社会资源重新配置，因而包括个人信息在内的数据被2020年3月发布的《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》定格为区别于土地、劳动力、资本和技术之外的第五大生产要素。

个人信息成为生产要素，意味着个人信息应当成为社会可用的资源，成为可社会化配置和利用的经济资源。而这样的经济资源分享或流通利用正成为驱动社会创新，提升社会生产力，促进社会发展，改善社会福祉的新动能。

2019年国务院新闻办公室发布的《为人民谋幸福：新中国人权事业发展70年》白皮书指出“人民幸福生活是最大的人权”。因此，个人信息保护权显然是着重于个人信息上个人权利的保护，而当个人权利保护与全体人民利益保护相冲突的时候，个人权利保护就应当让位于人民利益保护。这不仅要求在解释和实施“个保法”时要坚持个人信息保护对个人权利的保护要与人民利益的保护相平衡原则，而且还进一步要求“个保法”以保护人民利益，改善人民福祉为基本遵循。只有在这样的定位下，“个保法”才会为个人信息的社会化利用留下一定的空间，为数据要素市场建设开辟一条通道。

最后，使“个保法”成为保护我国公民人权保障的利器。

在国际社会，个人信息保护定位于基本人权意义上的隐私权，即保护人作为主体的尊严或自由。各国均将“个保法”溯源于《世界人权宣言》第12条，以人权保护为理由来保护各自国家公民的个人信息，控制个人信息跨境自由流动。

2018年5月生效的欧盟《通用数据保护条例》（GDPR）的政治目的是，以保护欧盟公民的基本权利为由，构筑保障欧盟统一数字经济发展的屏障。在GDPR的引领下，个人信息保护问题越来越成为国际政治问题，个人信息本地化存储和跨境流动的控制成为国际贸易新“壁垒”，而制造这一新壁垒的正当理由是公民基本权利（尊严或自由）的保护。

为解决纠纷，国家之间必须谈判和协商，通过国际条约或双边协议来实现互惠流动或者遵循相同规则的流动。如果我们将个人信息保护权定位于民法人格权或人格权益，作为对抗、对话的基础，我们的工作就是缺乏力量、没有说服力的，将使中国在国际数字经济秩序谈判中处于劣势。而增加“根据宪法，制定本法”的规定，使个人信息保护权成为受宪法保护的人权，将使我国亦可以实现以人权制衡，平等地参与国际对话、对抗、谈判，为我国数字经济发展提供安全保障。