映象新闻

行政机关所委托的是实施行政行为的代理权还是行政职权，也取决于行政机关依法所作的意思表示。

〔3 〕与直接个人信息相比，间接个人信息并非不具备可识别性，而是不具有直接识别的可能性。华东政法大学刑事法学院教授、博士生导师。

根据个人信息保护法第四章的有关规定，在敏感个人信息处理的整个过程中，信息主体享有知情权、决定权;查阅、复制权;请求更正、补充权，请求删除权;要求解释说明权等。〔39 〕个人信息保护法就是这样一部保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用的行业法、单行法和综合法。〔15 〕敏感个人信息是一旦被泄露或非法使用后将使信息主体的人格权或财产权益遭受实际损害的重要个人信息，权益侵害风险程度相对较高，应当受到强化保护，对于一般个人信息则可以采取相对宽松的保护措施。以下从公私法保护一体化的角度予以探讨。例如，人脸、指纹、虹膜、基因等个人生物信息通过智能技术被收集、存储，从而广泛应用到国境边防、社会治安、公共交通、医疗卫生、疫情防控等方面，并扩展到人工智能、区块链商业应用的新领域。

但如果以网络安全法为参照，从计算机信息系统安全法益保护的角度，前两种数据犯罪为一般法所规定的罪名，侵犯公民个人信息罪则为特别法所规定的罪名。实际上，个人信息的敏感性本身就是一个模糊性概念，即使从静态上判断仍然面临变量因素多而难以把握的难题。因此，个人信息保护有必要在界定个人、社会、国家法益层级的基础上，实行分类分级保护，以实现个人信息法益的一体化保护和法秩序的统一。

或者说，无论个人信息主体是否愿意为他人知晓，都不影响某一信息客观上是否属于敏感个人信息。在不同层级的立法中，不同类型个人信息的法益属性和保护重心是不一样的，个人信息分类分级具有重要的法益识别和风险防范功能。〔40〕参见曲广娣：《论法律体系的概念及其构建的一般条件——综合系统论和分析法学视角》，载《中国政法大学学报》2015年第3期。（二）敏感个人信息的强化保护规则 从国外立法来看，许多国家立法都以禁止处理敏感个人信息为原则，但禁止范围及法律效力存在差别。

从域外立法来看，许多国家均规定了敏感个人信息的定义，并采取列举方式限定个人信息的范围。〔43〕《个人信息安全规范》第3.6条规定，明示同意个人信息主体通过书面、口头等方式主动作出纸质或电子形式的声明，或者自主作出肯定性动作，对其个人信息进行特定处理作出明确授权的行为。

有学者指出：个人信息保护法中设置了大量的私法规范，确立了知情同意的原则性架构、过错推定侵权责任及公益诉讼等私法性救济机制，体现了公私法融合的立法趋势。〔28 〕相关法律法规也针对敏感个人信息规定了强化保护规则和分类分级保护制度。如果攻击者非法获取、泄露或未经授权访问生物特征参考样本、模板或模型，如护照上的面部图像，必须撤销和更新受侵害者的参考，并将合法的数据主体与新的生物特征参考联系起来。（三）敏感个人信息的分类分级保护 我国立法机关先后颁布实施了网络安全法、数据安全法和个人信息保护法，分别承担着保护网络安全、数据安全、信息安全的基本法职能，彼此之间也存在交叉重合关系。

〔39 〕个人信息保护法就是这样一部保护个人信息权益、规范个人信息处理活动、促进个人信息合理利用的行业法、单行法和综合法。美国2015年消费者隐私权利法案（草案）（CPBR）规定了敏感个人可识别信息，并将保障其安全作为该立法的主要任务。〔37〕参见同前注〔28〕，石佳友文。具体来说：其一，以禁止处理敏感个人信息为原则。

〔25〕参见孙笑侠：《人脸识别触及哪种权利？具有何种正当性？》，载《中国法律评论》2020年第6期。〔31〕参见黄忠：《民法如何面对公法：公、私法关系的观念更新与制度构建》，载《浙江社会科学》2017年第9期。

弱主要体现在数据控制者收集该类数据只需获得数据主体默示同意即可。〔27 〕随着生物信息资源的跨境转移和利用，一些国家通过多种途径收集个人生物信息，进行人类遗传信息资源的控制与争夺，输出国遗传信息资源流失的风险不断增大，个人生物识别信息也被赋予了公共秩序和国家安全的法益属性。

〔11 〕隐私权保护强调个人私生活的安宁不被干扰。〔48〕参见周光权：《转型时期刑法立法的思路与方法》，载《中国社会科学》2016年第3期。与一般个人信息处理采取概括同意不同，对于个人敏感信息的处理应当取得个人的单独同意。〔54〕参见陈兵、王骐：《公民个人信息的类别判断及数量认定方法》，载施伟东主编：《上海法学研究》2020年第23卷。相比之下，私密信息的范畴较为宽泛，可涵盖所有未公开的个人信息，而敏感信息的对象范围更为明确具体，在比较法上属于通行概念。而在动态过程中着重认定难度还可能会增大，需要发挥司法的裁量权进行实质解释和利益衡量，以实现个案公正，而不能一味依赖国家司法机关通过制定规范性司法解释条文将变量固化为定量。

人脸识别民案规定第3条规定，法院认定信息处理者承担侵害自然人人格权益的民事责任，应当适用民法典第998条的规定，并结合案件具体情况综合考量受害人是否为未成年人、告知同意情況以及信息处理的必要程度等因素。〔42 〕在我国，除了民法典、网络安全法、个人信息保护法等法律法规之外，《生物信息保护要求》《个人信息安全规范》等行业规范文件对于敏感个人信息的强化保护发挥着重要的参考作用。

（一）公私法融合与一体化保护理念 在一国法律体系中，根据所调整法律关系的不同、保护法益的差别等标准，部门法可分为公法与私法。在对公私法领域的个人信息进行分类的基础上，应综合考虑影响分级的各种定级要素，确定不同的保护层级，并有针对性地选择不同法律、采取不同方式加以保护。

〔36 〕个人信息保护法同时包含公法规范与私法规范，具有公法与私法的混合法属性。本文系国家社会科学基金重大项目网络时代的社会治理与刑法体系的理论创新（项目批准号：20ZD199）、数字经济的刑事安全风险防范体系建构研究（项目批准号：21ZD210）、国家社科基金一般课题大数据背景下公民个人信息刑法保护体系研究（项目批准号：19BFX074）、2021年度山东省人文社会科学课题大数据背景下个人生物识别信息的刑法保护研究（项目批准号：2021-TCFX-04）的阶段性研究成果。

由于敏感性的主观性较强，敏感度完全可能因不同的主体而完全不同，但并非完全无法认识和把握，可以社会一般人的认识标准加以判定，减少和消除其不确定性因素。〔24 〕有学者指出，民法典第1034条规定的个人信息权涉及身体的信息，如生物识别信息、健康信息、行踪信息等，与身体权有交叉和重叠。个人信息权利保护的法益既包括防御性的隐私权益，也包括人格尊严、财产权益、安全权益以及增强个人便利或个人信息能力的信息控制权。而离开了信息组合的关联性，就不能成为间接个人信息。

〔30〕参见苗连营、郑磊：《民法典编纂中的宪法三题》，载《法制与社会发展》2015年第6期。个人信息保护法第50条规定了处理者负有防止未经授权的访问以及个人信息泄漏或者被窃取、篡改、删除等义务。

第58条将提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者界定为重要平台企业，并赋予其比一般平台更多的守门人义务。而对于访问页面信息，一般来说，虽然其有可能涉及个人隐私，但是通常不会造成公民人格权利和财产权益的严重侵害，因此可归入非敏感个人信息的范畴，5000条以上的入罪标准。

〔7〕胡文涛：《我国个人敏感信息界定之构想》，载《中国法学》2018年第5期。〔29〕参见[日]美浓部达吉：《公法与私法》，黄冯明译，中国政法大学出版社2003年版，第250页。

个人信息作为权利客体或行为对象，其所蕴含的法益具有多元属性，具有权利、权益和利益三种形态，包括个人法益、公共法益和国家法益三个层次，即一是个人信息初始权利主体、个人信息处理主体的人格权益（隐私权、名誉权等）、财产权益（人格权衍生的财产权益），二是社会秩序和公共利益，三是国家安全利益，以及个人、公共或国家法益的复合体。〔54 〕 总之，不同的部门法所调整的对象范围和价值目标自然是不同的，民法的重心是保障个人权利自由，行政法的重心在于维护社会秩序，刑法的重心在于惩治犯罪，实现保障和保护的双面机能。刑法第253条之一侵犯公民个人信息罪以及《刑案解释》对公民个人信息的界定，与民法中个人信息的内涵及法益属性保持了一致性。具体来说，个人信息法益包括私法益与公法益两种类型，公法益其实是私法益的集合体，个人只有作为公民共同体的部分才具有价值 〔23 〕，在两者的关系上，公法益必须能够还原为私法益，包括刑法在内的公法才能予以保护。

〔45 〕就个人信息分类与分级的关系来看，两者属于不同维度，但密不可分。〔46 〕上述观点值得肯定。

从敏感重要性程度等方面考虑，个人简历信息应被视为非敏感个人信息。就敏感个人信息来说，从法益保护角度，判断某种个人信息的敏感程度及其是否应当纳入法律保护范围，应着重考量其所蕴含的人格权属性、与之关联的财产权属性。

上述行政法规中的敏感个人信息是否等同于刑法意义上的敏感个人信息，以及适用何种定罪标准存在认识分歧，有必要具体分析：（1）生物识别信息。从性质来看，个人信息保护法不是私法，但也不完全属于公法，而是专门规范个人信息处理活动和权益保护的单行法，属于民法与行政法的交叉型法律。