个人信息侵权中过错的认定及对侵权责任的影响

过错对判定个人信息侵权责任成立与明确损害赔偿金额具有重要意义。就归责原则而言,《个人信息保护法》与《民法典》体系衔接不畅,引发了个人信息处理者与非个人信息处理者适用过错推定责任抑或过错责任的法律适用难题。就过错程度而言,非法收集、使用、获取、买卖、公开、泄露个人信息等单纯侵害个人信息权益的行为,行为人主观上多为故意,过失侵权多发生于网络信息侵权及信息公开侵权;将个人信息用于刑事犯罪、商业营销及人格侵权等以个人信息为媒介侵害其他民事权益的行为,上游个人信息侵权人对下游损害承担责任以故意为要件,但上下游信息处理者之间存在合同勾连关系时,即便上游个人信息侵权人仅为过失,也需对下游损害承担相应责任。

侵犯公民个人信息罪中敏感个人信息的特殊保护研究

大数据时代,敏感个人信息与公民人身、财产安全直接相关且易受侵犯,故需作特殊保护。近年来,侵犯公民个人信息罪中敏感个人信息特殊保护的规范,经历了从无到有、从有到优、从粗到细的过程,并由此形成了比较完善的敏感个人信息分类保护规则、从严保护规则、弹性保护规则。侵犯公民个人信息罪中敏感个人信息的范围和分类,可基于刑法保护法益的独立性原则,作适当有别于《个人信息保护法》的评判。侵犯公民个人信息罪中高度敏感个人信息与低度敏感个人信息的区别保护模式应继续坚持,高度敏感个人信息和低度敏感个人信息的既有数量标准不宜调整,高度敏感个人信息的既有种类不宜增加,高度敏感个人信息的司法认定应坚持实质标准从严慎重判断。《个人信息保护法》施行后,应在坚持刑法保护敏感个人信息的模式不变、力度不减的基础上,着力通过《个人信息保护法》等前置法的严格实施,增强敏感个人信息法律保护的整体效能。

深度合成技术处理个人信息“合理范围”界定路径研究

个人信息安全是我国信息法治体系的核心。新一代深度合成技术采用无监督训练、多途径收集和自主式生成的研发逻辑处理个人信息。技术革新为社会生活带来便利的同时,也存在内部身份失窃、交互数据泄露以及制造、传播虚假个人信息等法律风险。深度合成技术处理个人信息亟待明确个人信息的合理范围。本文探讨“合理范围”的界定路径,即通过进行主体资格审查,以开放状态分类处理个人信息,再结合公开目的与处理方式展开实质审查,借助比例原则实现信息利用和信息保护的平衡。

侵犯公民个人信息罪的法益界定及其路径

在法益二元论视域下,侵犯公民个人信息罪的保护法益并不符合集体法益的内涵特征,集体法益说存在一定的逻辑缺陷。侵犯公民个人信息罪的保护法益应当是基于公法法益观的个人法益——个人信息安全,兼顾个人信息的多元价值,回应网络社会保障公民个人信息合理利用之诉求。

科技定位技术滥用行为的刑法规制

科技定位技术滥用行为的刑法规制牵涉到的理论与实践问题,具有层次性、交叉性等特点。科技发展及数据红利导致对个人位置信息合法获取却滥用的行为难以通过技术规制,因此法律需要发挥效用。而对数据时代隐私权概念理解的滞后性导致学界在创设个人信息权之新权利的同时只能进行原则性保护。这就要求刑法走出对个人信息隐私权“限制转移”的规制逻辑,按照权利类型公平保护公民个人信息在各阶段的隐私权。侵犯公民个人信息罪的法益是个人隐私权,个人位置信息可描摹个人生活样貌,一旦滥用对隐私权侵害极大,从刑法法益评价及平衡刑法稳定性与实用性考虑,都应当对滥用个人位置信息行为予以刑法规制,而具体规制方式应以刑法谦抑性原则为指导。

刑事诉讼领域个人信息保护问题研究

刑事诉讼领域对公民个人信息保护依赖于现有刑事诉讼程序的执行,缺乏独立性。现行《刑事诉讼法》对公民个人信息采用的是被动保护的方式,完全依靠司法机关履行义务,公民无法积极主动保护个人信息,有悖于《公民个人信息保护法》中公民个人信息权的积极主动性质。刑事诉讼的私密性、公权性特征以及大数据技术使得刑事诉讼对公民个人信息的干涉程度加深;加强对司法人员的培训,促进司法人员树立保护公民个人信息的司法理念。结合《公民个人信息保护法》的规定,先行出台司法解释,时机成熟后再修法。

侵犯公民个人信息罪的法定犯意涵

个人信息刑法保护模式的选择离不开对侵犯公民个人信息罪本质属性的认识,目前多数学者将本罪理解为自然犯,但这种认识存在诸多误区。根据学界对自然犯/法定犯区分具有共识的三个标准:首先,从古代国家到现代国家、从现代社会到信息社会,个人信息在社会变迁中经历了“古今之变”,只有在信息社会中才得以获得法律的全面保护;其次,侵犯公民个人信息罪的保护法益兼具个人法益和超个人法益的双重面向,不应忽视个人信息作为社会交往之构成要素的集体法益维度;最后,侵犯公民个人信息罪中“违反国家有关规定”是法定犯的前置法律法规,其内涵是国家对个人信息处理者施加的合规义务。因此,侵犯公民个人信息罪是法定犯而非自然犯。以此为起点,开展以侵犯公民个人信息罪为代表的法定犯基础理论研究,是未来值得开拓的重要方向。

我国已公开个人数据刑法保护模式二元标准之提倡

在Web3.0时代,数据作为生产要素逐渐成为数字经济的直接驱动力,而对已公开个人数据的保护自然成为刑法研究不可回避的重要议题。我国刑法立法上的区分性保护使得行为本身的刑法定性跨越两个犯罪圈,人为地制造出法律适用障碍。侵犯公民个人信息罪在适用上存在口袋化趋势、司法解释碎片化严重、主观目的无法清晰判定等问题。当前的刑法保护模式分为两类即客观技术保护模式和主观目的保护模式。在我国,对已公开个人数据的刑法保护应当构建以客观公开标准为主、合目的性标准为辅的二元标准。客观公开标准强调公开且具有可访问性作为不法性判定的依据,合目的性标准主张数据处理行为应当符合具体数据犯罪立法的目的和社会相当性理论;前者重点在于入罪判定,后者重点在于罪数与量刑的评估。

处理已公开个人信息的入罪边界——基于对信息可访问程度的类型化考察

已公开个人信息仍然蕴含自然人的人格权益,应受法律保护,但个人信息一经合法公开就自动具有了社会属性,需要考虑信息的流动与利用。既有的合目的性考察与“二次同意”方案均有明显缺憾,故应当从客观标准入手进行类型化考察。因此,可将已公开个人信息的可访问程度作为尺度,由强到弱依次划分为:具备一般可访问性、具备局部可访问性和仅具备特殊可访问性。在此基础上,可以划定出相对客观且稳定的入罪边界,即处理具备一般可访问性的已公开个人信息不得侵犯人格权或用于犯罪活动;处理具备局部可访问性的已公开个人信息不得明显升高信息风险;处理仅具备特殊可访问性的已公开个人信息则需要获得权利人的二次同意。

基于数字赋能的个人信息刑法保护路径研究

随着大数据技术的发展,个人信息的泄露和滥用问题日益严重,个人信息受到侵害的案件频繁发生,给大众的人身和财产带来一定程度的损害。在大数据背景下,个人信息的刑法保护已经成为一个重要的议题,公民个人信息的刑法保障更加急迫和艰难。为了保护个人信息的安全和隐私,许多国家和地区都制定了相应的个人信息保护法律和规定,然而我国个人信息刑法保护仍存在一定的迟延性。因此,文章以大数据和个人信息为切入点,通过探究我国进入大数据时代以来,刑法对个人信息的保护力度和基本状况,总结司法实践中刑法关于个人信息保护存在的一些不足之处。基于上述问题,针对个人信息刑法保护问题,文章提出了相关建议,期望能够进一步完善我国针对个人信息保护的刑法体系。

个人信息权益侵权损害赔偿应然范围探讨:基于数字社会的场景

个人信息权益侵权损害赔偿范围的确定应与数字社会相契合。《中华人民共和国个人信息保护法》第69条规定的个人信息权益侵权损害赔偿范围应包括精神损害,且个人信息权益侵权精神损害赔偿应适度淡化“严重精神损害”的程度要件,降低证明标准。数字社会的个人信息具有显著的财产利益,如个人信息处理者擅自利用个人信息,个人将遭受个人信息财产利益损失,理应获得相应的赔偿。个人信息权益侵权损害往往具有潜伏性、未知性等特征,如个人未来遭受实际损害具有“客观合理可能性”,应将个人为防止未来损害发生所支出的预防费用纳入个人信息权益侵权损害赔偿范围,以契合数字社会中风险规制的需要。

论私密信息侵权归责原则的适用

《个人信息保护法》规定侵害私密信息致人损害适用过错推定原则,《民法典》将私密信息当作隐私权的保护对象,隐私侵权属于一般侵权行为,根据《民法典》适用的是过错原则。故个人信息权益与隐私权不可避免会发生重叠保护,亟待厘清。其中,因侵害私密信息构成侵权时,个人信息处理者的财产损害赔偿责任与精神损害赔偿责任适用过错推定原则;反之则适用过错原则,但为充分保护信息主体的合法权益,应降低信息主体对过错要件的证明标准。为了避免精神损害赔偿制度的滥用以及平衡信息主体与侵权主体之间的利益,应在对精神损害的“严重性”有所要求的同时降低对其认定的标准。

论个人信息大规模微额损害的私法救济路径完善

大数据时代,数据成为生产要素被赋予了巨大的经济价值。数据与个人信息存在差异,未经匿名化的个人信息被作为数据进行大规模处理,侵权主体收益巨大,但落实到单条个人信息则侵害轻微,二者存在矛盾。面临个人信息大规模微额损害,公法救济与公益诉讼救济路径不能回应受害人利益的个性化需求。《个人信息保护法》第69条虽然设定了私法救济,但面临损害与举证责任、证明标准的认定困难。对于私法救济所面临的困境,采用财产损害赔偿和精神损害赔偿算定“二择一”的方式来确定赔偿额,并以精神损害赔偿保底。关于举证责任和归责原则,在诉讼中可以采三元论的归责原则并引入违法推定过失规则;在证明标准上加强法官主动依职权调查证据权力,并采因果关系证明倒置的证明责任来减轻因证据偏在困境导致的原告举证难问题。

信息时代公民个人信息保护的刑法消极回应

在信息时代,刑法积极回应公民个人信息保护已成为主流,然而这在一定程度上也破坏了公民个人信息保护的完整性和系统性。公民个人信息的保护仍然需要以罪刑法定原则、刑法谦抑性为基础的刑法消极回应。刑法的消极回应是公民个人信息刑法治理和刑法规制稳定的需要。在预防公民个人信息危险时,应当在坚守多元治理规范框架的前提下,将侵犯公民个人信息罪中的公民个人信息限缩解释为可直接识别特定个人身份的公民个人信息。

大数据时代刑法介入公民个人信息保护的视域限缩

大数据时代,信息以数据为载体实现传输共享,高效利用的信息在产生巨大效益的同时不可避免地导致侵犯公民个人信息犯罪活动持续猖獗。在此背景下,我国刑事立法在公民个人信息保护中采取了积极介入的立场,体现了风险时代下的积极主义刑法观,但运用效果不佳且存在适用范围、罪名界定不清等弊端,由此产生的社会治理刑法化问题值得深思。此类问题的本质在于对个人信息保护和利用这对动态平衡的法益认识不足,由此产生对刑法在社会治理层面的消极定位认识不当。在公民个人信息保护的刑事立法中,仍应以法益作为成立犯罪的必要考察条件,纵向构建分层治理体系,基于刑法的谦抑性,充分发挥民商经济法的保护效用;内部建立多元排除机制,贯彻刑法在社会治理体系中兜底的消极定位,限缩刑法介入公民个人信息保护的视域,对公民个人信息进行体系化保护。

论个人信息保护机制的衔接路径

面对多元的个人信息保护机制,宜遵循融合性、互补性和优劣顺位的基本路径构建衔接方案。针对刑事制裁与民事公益诉讼并行适用的实践乱象,应修正民事公益诉讼的适用逻辑并限缩其适用范围。针对违法处理信息与违反安全保护义务两种情形配置不同的行刑衔接方案,对于前者构建多层次规制体系,对于后者限缩适用刑事责任。根据信息侵害危险是否具有紧迫性、持续性选择适用行政监管或行政公益诉讼制度。消费者组织或者国家网信部门确定的组织宜通过与检察机关或者行政机关建立联动机制发挥作用。应区分个人信息民事公益诉讼与一般侵权诉讼的适用情形与责任配置,采用行为规制进路的行政监管可以补足以损害或者风险为导向的侵权保护模式。

法秩序统一视野下“个人信息”的认定——从侵犯公民个人信息罪切入

个人信息已成为21世纪最有价值的资源之一。非法利用公民个人信息的行为不断涌现,成为当前刑事治理的重点领域。在司法实践中,混用个人信息与相关概念的现象屡屡发生,影响对侵犯公民个人信息罪犯罪构成要件的理解,也关系着刑罚的处罚边界。“个人信息”作为侵犯公民个人信息罪的行为对象,是刑民规范聚合的必然产物。因此,应当尝试在法秩序统一性原理的价值指引下解读“个人信息”概念:在形式上,以《民法典》的相关规定为基础,采取狭义的个人信息认定方式,将个人信息与个人数据、隐私进行明确区分;在实质上,深刻把握侵犯公民个人信息罪的法益内核,个人信息作为本罪的行为对象应当充分体现个人信息自决权的法益本质,从而为实现信息主体的选择权和决定权提供坚实基础。

论敏感个人信息的侵权保护

敏感个人信息与私密信息之间存在区分,“敏感性”需要客观的法律标准予以认定,“私密性”是主观认识。场景理论的引入将缓和敏感个人信息界定的僵化。敏感个人信息侵权的主要表现形式为对隐私权的侵害、诱发下游犯罪以及引起不必要的歧视。这些损失发生需要通过精神损害赔偿和财产性损害赔进行弥补。其中,损失可以通过缓和“严重的精神损害”、延伸“差额说”、信息主体获得利益等规则立体确定。《个人信息保护法》第二章规定的“敏感个人信息的处理规则”是事前防御性规则,处理敏感信息时违反该规定将被认为有过错。《个人信息保护法》中规定的过错推定原则与《民法典》中的过错原则并不存在实质冲突,而是协调统一的。

侵犯公民个人信息罪司法裁量的实证研究

通过对2009年2月至2021年7月间全国法院审结的侵犯公民个人信息罪案件进行量化分析后发现,我国法院裁量侵犯公民个人信息罪案件的实践与规范之间存在偏离现象,主要体现在法院实际判处的刑罚畸轻和未能准确识别个人信息的敏感程度。侵犯公民个人信息罪的设置过于注重预防功能和个人信息分级分类制度不健全,是导致司法裁量与应然规范出现偏离的原因。在数据安全形势不容乐观和个人信息行政法保护体系与民法保护体系逐步完善背景下,完善侵犯公民个人信息罪的立法方向,应包括调整定罪标准和细化敏感个人信息类型两个方面。未来应当以健全个人信息多部门法协同保护为目标,适时调整各部门法的保护边界,实现刑法与其他部门法的有效衔接,进而实现法律手段与其他规制手段的协同治理。

合理使用已公开个人信息作为出罪事由的规则适用

个人信息合理使用属于正当化事由,其正当性依据是社会团结义务。在合理使用已公开个人信息的成立条件中,已公开的个人信息是指不特定的人均可以通过合法途径获取的信息,此处的公开不限于信息主体自行公开的情况,但必须是合法的公开。在个案中,已公开个人信息的范围会受到行为人的身份等场景要素的影响。合理处理要求后续处理的目的和用途不能超出信息主体的合理预期,处理方式符合比例原则,且不会影响信息主体的重大利益。在具体场景中,如果后续处理被信息主体明确拒绝或者构成转换性使用,则该处理不属于合理处理。只有基于特定的目的和充分的必要性才可以处理已公开的敏感个人信息,但信息处理者是否具有营利目的并不重要。