我国《个人信息保护法》中私人事务例外规则之解释

个人信息处理行为同时受《民法典》(尤其是人格权规范)和《个人信息保护法》的调整,但二者在诸多方面存在规范冲突。“私人事务例外规则”是《个人信息保护法》中法律适用范围的唯一划界条款,其内涵与范围显然攸关《个保法》之射程及其与《民法典》之适用关系。我国《个保法》并无欧盟条例中特有的“四类目的”和“合法利益”规范设计,若严格解释“私人事务例外规则”,将使《个保法》中严格的前置性程序化的规则适用范围过度扩张,从而干涉私人信息交往自由。我国特有规范体系背景下,对于私人事务的解释应当奉行宽松立场,将非大规模的、非针对不特定人的、非反复多次的、非以营利为目的或者非出于职业需要之个人信息处理行为纳入私人事务,排除《个保法》的调整,适用弹性的《民法典》人格权保护规则,以防止私人信息交往自由之空间因适用严格的个人信息保护规则,而受到不当限缩。

论图像采集设备安装行为的合法性边界

《个人信息保护法》第26条在法律层面上,首次对图像采集设备的安装设定严苛的合法性依据。图像采集设备的安装,不仅构成个人信息处理行为,还因部分个人信息之上承载人格利益,同时受到《民法典》人格权编,尤其是其中肖像权和隐私权规则的规范。两部法律在合法性判定上标准不同,被《民法典》评价为合法的行为极大可能被《个人信息保护法》第26条所禁止。人脸识别技术对个人信息权益存在较大的潜在加害风险,故人脸识别设备之安装应当直接适用《个人信息保护法》第26条。对于其他类型图像采集设备之安装,应当宽松解释《个人信息保护法》第72条的“私人事务例外规则”,构成私人事务的,排除《个人信息保护法》第26条的适用,依据《民法典》隐私保护路径判定其合法性:引入“公共空间的合理隐私期待”新型隐私观念,并于个案中衡量安装者对立利益。