原创 张芷维 邢恩铭 上海市法学会 东方法学
张芷维
哈尔滨工程大学学生
邢恩铭
中国地质大学（武汉）学生
要目
一、问题的提出
二、实定法秩序概念的谱系化解构
三、秩序概念谱系中私密信息的保护架构
结语
在民法典和个人信息保护法的立法构造下，秘密基地隐私、个人信息和私密信息，共同构成了客体保护的秩序概念谱系，三者概念边界模糊，却享有迥异的保护规则。由此，概念的界清是私密信息保护规则适用的逻辑起点。通过解释论的方法，廓清秩序概念之间的内部联系，将私密信息在秩序概念的谱系中进行择出（提取判断标准）和归入（界清相互关系）。具体而言，私密信息是具有主观排他性、客观隐秘性和私人利益性的个人信息。同时，私密信息与敏感个人信息是动态交叉和静态交叉关系，而与一般个人信息仅存在动态转化关系。在私密信息的民事保护方面，应对民法典确立的优先适用隐私权保护的规则进行法教义学重释，从原本的“二阶递进”模式迈向“二阶同构”的规范构造，灵活地适用隐私权和个人信息权益两个维度的保护规则，避免实定法的适用陷入窠臼。
一、问题的提出
私密信息是民法典新造的法概念，但由于其游离在隐私和个人信息的交叠地带，因此存在规范适用上的冲突。为纾解这一冲突，民法典第1034条第3款确立了私密信息优先适用隐私权规定的保护规则，而个人信息的规定只能作为隐私权规定不充分时的补充适用规则。立法机关释义书对此阐释的理由是，“隐私权对私密信息的保护程度更高”。但这种解释似乎过于武断，因为个人信息的保护规则在某些情况下并不必然弱于隐私保护规则，甚至更有利于对私密信息的全面保护，后文将对此详细展开论证。因此，从目的解释看，对于私密信息的保护应该灵活地诉诸隐私权规定和个人信息保护规定，以实现私密信息更高阶的保护目的。但为了不违背民法典确立的隐私权优先适用原则，可以寻求一种解释论或者教义学的阐释维度，避免陷入僵化适用的窠臼之中。
出于法律“涵摄”的需要，私密信息民事保护架构的确立，需要准确对私密信息进行识别和判定。但是，私密信息并未被民法典赋予明确的定义，因此其判定标准依旧处于不确定之中，也即伯特·哈特所言的意思中心和不确定的阴影地带。在个人信息和隐私保护的语境下，存在“隐私”“个人信息”和“私密信息”等实定法概念，三者概念边界模糊不清，但保护规则却大相径庭。因此，确立私密信息保护架构的前提即是对实定法中相关的“秩序概念”，抑或“基石范畴”进行谱系化的解构，确立起私密信息保护规则建构的逻辑起点。
因此，下文将围绕两个目标进行论证：其一，通过厘清私密信息与隐私、个人信息的关系，确立彼此的边界，明晰私密信息的概念构造和判断标准，在秩序概念谱系之中进行择出和归入；其二，从教义学的方法论向度，确立私密信息灵活适用隐私权规定和个人信息保护规定的民事保护架构，以此建立“二阶同构”的保护规范构造。
二、实定法秩序概念的谱系化解构
私密信息民事保护架构的建立，需预先确定论域，即论证的基本范畴。原因在于，“解释论必须界定私密信息的性质，它决定了侵害他人私密信息的违法性应满足哪种体系的要件”。如上文所述，私密信息与隐私和个人信息之间界限不清，而后者又囊括了一般个人信息和敏感个人信息。由此，凭借解释工具对实定法中的秩序概念谱系进行解构和规划是后续论证的逻辑起点。
利益法学派的代表人物菲利普·黑克（Philip Heck）曾提出了三类法学概念，分别是用以获取“规范目标”的应然概念、为了厘清事实和“纯粹认知”的实然概念，以及旨在对结论予以“呈现和整理”的秩序概念。“秩序概念”通常是理论研究中积累的成果，但也可能在立法环节予以确立，具备体系构造的功能。李炳安认为，法律秩序是法学认识的“基石范畴”，也是法的逻辑起点，这与黑克所言的秩序概念存在共通之处，即法秩序下规范涵摄的根性就在于概念界清。但是，目前学界对私密信息保护的既有研究大多致力于规范适用矛盾的调和，鲜有研究立足于秩序概念之上。但是，脱离概念界清讨论规范适用难免缺乏正当性基础。这是因为，具体到私密信息保护的叙事之下，隐私、一般个人信息和敏感个人信息的保护规则迥异，如若无视概念关系的梳理而空谈私密信息如何处理规范适用冲突，会导致法益保护与法益位阶不适当，并无实在意义。因此，下文将对相关实定法概念进行渐次解构，以厘清相互关系。
私密信息的本质：“二律背反”的产物
关于私密信息的产生，学界有两种观点。一种是平面交叉说，认为隐私和个人信息存在客体重合，私密信息处于隐私和个人信息的交叉区域；另一种是立体投射说，认为私密信息是作为事实层面的隐私在信息层面的投射，即私密活动、私密空间等隐私的信息化表达。马克思主义认为，本质和现象是一对相对范畴，前者是事物的内部联系，后者是事物的外部表现。而无论是平面交叉说，还是立体投影说，均是从法的现象层面理解私密信息的产生机理，并没有对私密信息的本质进行更深层次的讨论。
从黑格尔的认识论来看，“当我们要谈论事物时，我们就称它们的本性或本质为它们的概念”。因此，必须从本质层面理解私密信息。法本质取决于物质生活条件，在第四次科技革命的背景之下，数据挖掘技术、物联网、云计算的高速发展，信息的资源性逐渐凸显，而“个人信息又建立在人格尊严之上”，由此形成了资源性和尊严性的价值冲突。德国古典哲学家康德提出了“二律背反”原理，意指双方各自依据普遍承认的原则建立起来的、公认为正确的两个命题之间的矛盾冲突。就私密信息而言，其上既承载了隐私的精神性价值和个人信息的“自我决断”性价值，也承载了信息的经济价值和社会价值等资源性价值。由此观之，从法律概念的本质上看，私密信息的保护基础就是尊严性和资源性法益价值的耦合，而这两种价值存在于“冲突和斗争”之中，在不断地调和中获得发展。
私密信息的识别：秩序概念谱系的择出与归入
目前学界对私密信息判断的既有理论研究大多援用美国学者海伦·尼森鲍姆（Helen Nissenbaum）在隐私法领域提出的“场景完整性理论”（Contextual Integrity），认为要判断隐私是否被侵害，应当从具体场景中信息的流转过程进行综合考察，包括信息类型、信息参与者和信息流转原则。但是，有学者指出，“场景完整性理论本身无法回答其应用中出现的许多规范性问题”，“该理论也并未发展出一般性的方法论以及操作规则，且与现行法律制度不相融、忽视了个人信息的聚合性特征，不宜作为判断私密信息的主流标准”。同时，我国法院应用的所谓“场景理论”本质是一种“个案平衡”，与尼森鲍姆强调的“动态风险控制”并不一致。因此，对于学界尚未探讨清楚，实践中应用存在偏差的理论，不宜成为当下私密信息的认定标准。对于私密信息的判断标准，应回归于私密信息的内部法益构造，从法益载体的特征对其进行综合认定。
1.私密信息的择出：界分于隐私和个人信息的解释论构造
在界定私密信息之前，需要先说明私密信息何以形成。而无论是上文所说的“平面交叉说”，还是“立体投射说”，均离不开隐私和个人信息这对概念。因此，二者关系的界清是对私密信息进行解释论构造的关键所在。
个人信息与隐私权是两个既有联系又不完全相同的范畴，相互关系十分复杂。比较两大法系的经验可以看出，隐私和个人信息之间的界限一直未能得到准确区分。美国一贯采用“大隐私权”的保护模式，将个人信息权益以及相关的人格权益内化其中，以“信息性隐私权”之名进行保护，并随着实践的发展不断丰富“大隐私”的内涵和外延。可见，美国事实上回避了对“隐私”和“个人信息”的概念界分与保护区分。日本也采取了类似的“一元化”保护模式，将隐私权视为信息的自我控制权，将姓名、家庭住址等个人信息作为不愿为人知晓的隐私处理。与美日的一元化体系架构不同，欧盟选择了隐私与个人信息二元化的保护架构，将两者视为不同的权利，也并非仅是纯粹象征性的区别。例如，在2018年的《一般数据保护条例》（GDPR）中，“个人数据受保护权”已经成为独立于隐私权的重要权利。但是，尽管欧洲将隐私和个人信息进行区分保护，但在实践中二者的边界仍处于模糊地带，二元化的保护体系也极易陷入一元化适用的窠臼之中。例如，在“sterreichis-cherRundfunk”案中，雇员的工资信息就被认定为隐私范畴。从比较法视野看，无论是对隐私和个人信息界分予以回避的美国法域，还是二元体系的欧洲，均反映了隐私和个人信息关系的复杂。二者关系密切体现在如下两个方面：一是具有“人格尊严”的共同法益价值构造，二是存在较大的客体重合。
在法益价值构造方面，二者均承载着人格尊严。人格尊严是人格权法的基本价值，体现了“作为人最起码的社会地位”。从隐私的角度来看，美国学者惠特曼（Whitman）认为，整个欧洲的隐私概念都奠基于人格尊严之上，隐私权存在的基础就是人格尊严。此外，也有学者指出，“隐私保护应直接建立在保护人类尊严的基础上，而不是间接地通过财产或言论自由等其他权利”。由此可见，尊严性是隐私的价值本位。此外，“信息自决”是实现对个人自由发展的重要方式，个人信息的重要价值基础就是人格尊严。因此，隐私和个人信息之上承载着私密信息的价值公约数：“尊严性”。
在客体外延方面，二者存在较大的重合。在信息学领域中，信息是对系统状态的描述，即对作为事实层面的系统的表达或呈现方式。因此，信息无法脱离内容而存在，例如，行程信息是对人行动轨迹事实的描述，生物识别信息是对人体生理特征事实的表述。因此，信息的内容决定了信息的性质。这也就意味着，如若个人信息储存了隐私内容，即在形式上构成私密信息。
我国民法典列举了四项隐私，分别是私人生活安宁、私密活动、私密空间和私密信息。其中，私人生活安宁并不是一种事实，而是人的内心状态，可以称之为“状态性隐私”。而私密活动和私密空间作为事实层面的隐私，如若以信息的方式表达，即构成私密信息。例如将他人的私密图片进行传播，即构成对他人私密信息的侵犯。因此，从法教义学看，我国的隐私仅包括两种：（1）状态性隐私权：即私人生活安宁不被侵扰的权利；（2）事实性隐私权：即私密活动、私密空间这类存在于现实空间的隐私不得被侵犯。而私密信息并非独立构成一种隐私，其仅是事实性隐私的信息化表达而已。
综上所述，信息的本质是对事实系统的描述和表达，而隐私即可以被视为一种现实系统，当信息的内容体现为状态性隐私和事实性隐私之时，隐私和个人信息就处于客体重合之中。有学者在论证“数字人权”是“第四代人权”时提出，信息革命是人权内涵变革的根本动因，并以隐私侵权为例，认为信息化社会下，隐私侵权不断机制化、客观化、耐受化和覆盖化。姑且不论“数字人权”是否属“第四代人权”，但在信息革命的过程中，信息的价值性逐渐侵蚀隐私利益是十分显性的趋势。因此，个人信息中承载隐私内容的情况也必然因此增多，二者客体重合的趋势也必将扩张，这也是导致隐私和个人信息区分困难的重要因素。下文将对私密信息的概念进行解释论构造，择出私密信息的判断标准，以区别于一般个人信息。
（1）主观排他性——不愿为他人知晓
作为西方自由主义哲学的产物，隐私权滥觞于美国法域。1890年沃伦和布兰迪斯初步提出了隐私权概念，认为其是“远离世事纷扰”和“个人独处的权利”。而我国民法典第1032条规定，“隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息”。同时，最高人民法院也提出“任何私人不愿意公开的信息都可以构成私人的秘密信息，只要这种隐匿不违反法律和社会公共道德”。由此可知，私密信息的判定必须首先满足不愿为人知晓的概念种差。
所谓“不愿为他人知晓”，本质是对权利人内心理念的判断。由此，隐私属性的初步判断就在于如何认定“不愿为他人知晓”，具体可以通过“静态核心+动态外延”的双重进路进行判定。在操作层面，可以采用主体拟制的法律塑造技术，即为促成法律实现而塑造出生动的理性人。在对私密信息的判定上，需要假想出观察主体，即以何者的思维方式去界定隐私。具体而言，“静态核心”和“动态外延”的私密信息界定应择取不同的拟制主体。
对于“静态核心”部分的私密信息，应当将观察主体拟制为“社会一般理性公众”，具体可以考虑“文化传统、社会普遍价值观、法律传统、风俗习惯等因素”。这种以“社会一般理性公众”为观察视角的判断，本质是一种基于普适性价值的抽象判断，其正当性基础在于人格尊严的绝对性。例如，个人的私密部位信息与个人的生殖尊严密切相关，从一般理性公众的拟制观察视角看，此类信息当然属于最核心的私密范畴。此外，某人的一些敏感疾病信息，如艾滋病等，一经泄露极易使其周围的人对其产生歧视，从而侵犯其人格平等权。此类信息与敏感个人信息有密切的关联，此部分的探讨将在“私密信息的归入”部分详细展开。
对于“动态外延”部分的私密信息，应当将观察主体拟制为“具有差异化隐私期待的个体”。这是因为，随着物质文化生活的丰富，个体的隐私差异逐步增大，不同群体对隐私的期待也产生了剧烈分化。例如，在某短视频平台，有些用户为了隐藏自己的点赞、收藏记录，会将账号设置为私密状态；相反，有些用户为了展示自己的审美、喜好，积极地向群体披露隐私状况。再如，有些人在读书App上积极展示自己的书单和浏览目录，秘密mmjidi.com以展示自己的文学审美和价值偏好，而有些人则因为所浏览书目涉及私人兴趣爱好而不愿袒露，以此塑造自身的社会形象。在信息爆炸、文化大繁荣的社会背景之下，隐私的差异性是不可忽视的，不能仅凭借“社会一般理性公众”的视角进行判断。保罗·戈登·劳伦认为，“世界上所有的生命，即使不同的人会有不同的差异，但所有人都应该被视为是神圣不可侵犯的个体；人人都应该是被爱的、被尊重的，同时也应该享有免于受到暴行对待的自由”。因此，“国家应通过法律使每个人相互尊重他人的尊严”。私以为，人的差异性乃是人存在和发展的根本标志，附属其上的人格尊严也必然存在差异。因此，差异化隐私应当得到足够的重视。
此外，当拟制主体为“具有差异化隐私期待的个体”时，对“动态外延”私密信息进行判定，可以考虑在“Katzv.UnitedStates”案中确立的“隐私合理期待理论”。该理论认为，对隐私的客观判断，可以通过权利人是否采取了保密措施进行认定。正如某平台设置私密账号、某读书平台隐藏读书目录等行为，均是当事人隐私期待的行为外化。诚然，该理论能够为司法实践提供一种隐私期待客观化的思路，但该理论的局限也很明显。具言之，数据挖掘、算法黑箱、信息聚合等技术在事实上形成了信息处理者和权利人之间权力结构和话语权的失衡，个体的隐私可能在不知不觉中被非法处理、泄露，此时无法苛求权利人通过保护措施等外显行为体现隐私期待。此时，司法应当诉诸对拟制主体的思考，并结合“静态核心”私密信息进行综合考量。
（2）客观隐秘性——信息的非公开状态
隐私作为私人领域的利益价值，必然不能处于人尽皆知的状态，正如波斯纳所言，“信息的隐秘性体现在对不愿为人知晓的个人信息的隐藏”。在美国的“Miler”案中，法院确立了“第三人主义”，意指如若权利人向第三人主动披露信息，则该信息将丧失私密性。与此类似，我国也有观点认为，“当信息主体自愿将私密信息披露给特定主体时，尽管信息传递在其预期之内进行且仍然没有被大范围的传递，但事实上私密信息已经丧失其私密属性”。此种观点颇为玩味，试举一例。一个艾滋病人为了治疗疾病，而向家人和医生袒露病情，并未大范围扩散。如若按照此种观点，那病人的病情在向医生披露后就不属于隐私了吗？这就等于丧失隐私期待了吗？难道隐私的“隐秘性”对权利人的要求如此苛刻吗？
事实上，私密信息的“隐秘性”不等于信息处于“完全的非公开状态”，而是作为一种理念贯穿式的“信息自决”。阿里·伊兹拉·沃尔德曼从信息分享的动机理论出发，认为“信任是隐私的本质，信息分享的动机取决于信任场景”。因此，权利人向特定主体披露私密信息并不意味着其丧失了隐私期待，也并不意味着信息的隐秘性被消解，其只是基于信息信任而在小范围内流转而已。而如若权利人主动向公众公开私密信息，则信息的隐秘性被解除，私密性也就随之被淡化，转化为一般个人信息或敏感个人信息。对于敏感个人信息的部分将会在下文探讨，而当私密信息转化为一般个人信息的时候，信息处理者则可以依据民法典第1036条，适用“合理处理”以及“合法公开”的免责事由对消除私密性的个人信息进行处理。
（3）私人利益性——适当地让位于公共利益
“法律是利益的调节器，法律的主要作用之一就在于价值的冲突与调和”。私密信息的私人利益性是指私密信息应当适当地让位于公共利益，即当信息与公共利益密切相关时，隐私的私人性被淡化。当隐私信息与公共利益联系越密切时，信息的私密性也就越低，这是对隐私正当性的考量。这是因为，隐私的本质是在“私人”和“公共”之间划出界线，因此隐私权也具有克减性。此外，我国民法典第1037条、欧盟GDPR和美国CCPA也将“为维护公共利益”作为免责事由，体现了公共利益在一定程度上具有优阶性。
但是，公共利益本身具有模糊性，如若一味以“公共利益”之名倾轧私人利益，也会导致免责事由泛化，使权利人私密信息的保护处于不稳定之中。因此，以公共利益淡化信息的私密性，本身是对权利的限制，但是为了不过度侵损私人利益，可以考虑适用比例原则的思想进行判断，其具体内容包括：“适当性、必要性和均衡性”，因此也有学者称之为“权利限制的限制”。具体到私益性层面方面，对私密信息的处理和利用必须在最大限度上有助于公共利益的实现，也必须采取最小侵害的方式。同时，如若不通过私密信息的处理将很难实现公共利益。以新冠疫情防控为例，在“成都女孩案”中，政府对其信息进行公开，在描述中表述其“无固定职业”“行程比较复杂”“出入多个酒吧”等，而这些具有一定私密性质的信息又致使网友对其进行了深度人肉搜索，最终致使其私密信息大量泄露。笔者认为，对阳性人员的行程轨迹进行公开是出于公共利益的考量，但“无固定职业”，“出入多个酒吧”等强调性的表述存在不当，“无固定职业”本身与疫情防控无关，此信息与“出入多个酒吧”“行程复杂”等描述更是存在客观上的不当引导。因此，私密信息的私益性应当得到足够的重视，不能披着“公共利益”的外衣不当地消解信息的私密性。
综上所述，私密信息是具有主观排他性（不愿为他人知晓）、客观隐秘性（信息处于非公开状态）和私人利益性（适当地让位于公共利益）的个人信息。为了检验私密信息概念构造的准确性和实践性，笔者以“北大法宝”为检索平台，以“私密信息”为关键词，以判决书为文书类型，设定案由为“人格权或侵权纠纷”，审结时间为2021年和2022年，共检索到判决书103份（截至2022年8月31日），剔除不符合研究目的样本后共计101个。通过对101个判决书中法官对私密信息判断标准的阐述，归纳出了五类理由，见表2。其中前三类判断标准与上文的分析不谋而合，而第四类为私人生活安宁，第五类是危害后果的严重性。
首先，私人生活安宁是民法典第1032条第2款单独列出的一类隐私，即上文所说的状态性隐私，其与私密信息是并列关系。其次，私人生活安宁本身就是一个极其抽象的概念，而法院采用私人生活安宁去判断私密信息的比重高达23.36%，可见相当一部分法院并没有找到私密信息具体的判断标准，只能根据私人生活安宁进行极其抽象和弹性的判断。因此，法院应当着眼从相对具体的标准对私密信息进行界定，即本文所提出的前三类标准。
而法院裁判的第五类标准即为损害后果的严重性。首先，危害的严重性虽然与信息的私密性有关，但与权益侵害方式、信息处理数量和个人信息处理者的身份更为密切，不能成为私密信息判断的有效标准。其次，损害后果严重性很大程度上是源于前两类理由，即主观上不愿为他人知晓和客观上信息处于隐秘的非公开状态。所以第五类理由更多是前两类理由和其他理由所造成的，不宜作为私密信息的判断标准。
表1 判决书中法院认定私密信息所选取的标准
2.私密信息的归入：实定法秩序概念谱系中的动态分布格局
上文通过解释论构造，在隐私和个人信息的界分之间择出了私密信息的判断标准。然而，私密信息与一般个人信息、敏感个人信息存在交叉和转化的关系。因此，本部分的主要目标是，在私密信息判断标准择出的基础上，梳理私密信息与一般个人信息和敏感个人信息的交叉转化关系，使私密信息准确“归入”实定法秩序概念的谱系之中，并展现其分布格局，为私密信息民事保护架构的建立确定逻辑起点。
在个人信息的实定法秩序概念的谱系之中，存在一般个人信息、私密信息和敏感个人信息的法律概念。三者并非完全静态的概念，而是共同塑造了“理一分殊”的流动性体系构造，它们均存在静态（核心）部分和动态（外缘）部分。图1为隐私、个人信息、敏感个人信息和私密信息的关系图，表2为个人信息的实定法秩序概念谱系。
表2 个人信息的实定法秩序概念谱系
图1 隐私、个人信息、敏感个人信息和私密信息的关系图
私密信息包含两个部分，第一部分为“静态私密信息”，即上文所述的核心部分的私密信息（A+B），也即以“社会一般理性公众”为拟制主体进行判定的部分；另一部分为动态私密信息（C+D），即以“具有差异化隐私期待的个体”为拟制主体进行判定的私密信息。前者既包括了“与静态敏感个人信息交叉的私密信息”（A），也包括了“纯粹静态的私密信息”（B）；后者包括了“根据个体差异性判断的私密信息”（C）以及“与动态敏感个人信息交叉的私密信息”（D）。这四类私密信息分布于整个概念谱系之中，与一般个人信息和敏感个人信息均存在关联。
静态个人信息即个人信息中最稳定、最核心的部分，很难构成私密信息或者敏感个人信息，例如个人的姓名和手机号码等信息。当然，有人会质疑，手机号码为何不属于隐私？原因在于，手机号码的使命就在于社会交往。而隐私与个人信息相比，是一种被动型的权利形态，我们很难想象一个人会利用自己的隐私进行社会交往。正因如此，有学者指出，“没有人会把手机号锁进保险柜保护得严严实实，恰恰相反，正是要通过手机号码的分享，来促进社会交往”。当然，这也并不意味着手机号码和隐私侵权毫无关联。如果一个人利用他人电话号码不断对其进行骚扰和刺探，严重影响了权利人的私人生活安宁，也可以构成隐私侵权。但在此种语境下，手机号码仅是作为侵权工具，而非是具有隐私地位的私密信息。
动态的个人信息包括两个部分。首先，对于C和C’部分的信息，需要根据“个体差异性”具体判断其属于私密信息还是一般个人信息。例如个人的成绩，有些人并不在意自己的成绩是否为人知晓，甚至还会进行传播。相反，有些人则对自身的成绩信息采取保密行为，不希望成绩为人知晓。需要注意的是，不愿为人知晓的成绩虽然可能构成私密信息，但是因为其很难达到“高风险的权益侵害程度”而无法成为敏感个人信息。其次，有些私密信息在个体主动公开后消除私密性，转化为一般个人信息，例如个人的性取向信息。
此外，正如表2所列，无论是静态私密信息还是动态私密信息都与敏感个人信息存在交叉之处，即A和A’、D和D’。因此，需要在此探讨私密信息和敏感个人信息的关系。
从法律标准上看，无论是私密信息还是敏感个人信息，都是个人信息的分类。其中，民法典采取了“私密信息和非私密信息”的分类，而个人信息保护法则采取了“敏感个人信息和非敏感信息”的分类。因此，想要探究私密信息和敏感个人信息的关系，要从两部法律的立法过程中寻求历史解释和目的解释。程啸认为，个人信息保护法与民法典对个人信息采取不同的划分方式并不矛盾，而由于二者规范目的的不同。“私密信息和非私密信息”的界分方式源于立法意图对隐私的强化保护，是从民事权益位阶的角度确定的划分标准；而“敏感个人信息和非敏感信息”的划分，强调需要对高风险信息的处理提出更高的要求，是从信息风险和处理义务角度采取的划分方式。而个人信息保护法的立法背景也是基于数字经济时代个人信息的收集和使用，达到了前所未有的规模，个人信息被非法处理、泄露的风险也与日俱增。因此，个人信息保护法采取了与民法典不同的划分方式也是实现立法目的的应有之义。
两部法律对个人信息采取了不同的划分标准，二者也享有不同的保护规则。因此，正确界分二者的关系是规范适用的逻辑前提。然而，学界对于如何界清私密信息和敏感个人信息的关系，存在极大的争议。对于二者关系如何，学界主要有“同质说”“分离说”“交叉说”和“包含说”几种观点。同质说认为，“私密信息和敏感信息都是信息主体不愿意为人知晓的信息，尽管概念上不统一，但实际意思是一致的”，因此，“应当将二者合并，没有必要过度区分”。分离说认为，“私密信息和敏感个人信息是相互分离的，不存在交叉重合的可能”。交叉说认为，“二者是交叉关系，医疗健康信息既属于私密信息又属于敏感信息，个人嗜好仅是隐私信息而不是敏感信息，宗教信仰是敏感信息却不属于私密信息”。而包含说又存在两种截然相反的观点，一种观点认为“敏感信息能被私密信息完全覆盖”，另一种则认为“敏感个人信息包含私密信息”。此外，也有学者认为，“在司法信息公开的语境下，司法机关无需囿于二者的严格区分”。由此可见，学界对二者关系的认识存在很大的差异，也存在相当程度上的区分困难，而本文更赞同二者是交叉关系。
个人信息保护法第28条将敏感个人信息定义为“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息”。由此，敏感个人信息中的“敏感”，可以从两个方面理解：（1）内容上的敏感，即信息内容指向人格尊严和人身财产安全；（2）风险程度的敏感，即泄露或非法使用极易引发侵权风险，也有学者称之为“更高风险兑现概率”。
从定义看，私密信息之上承载着隐私利益，而隐私利益是人格尊严的重要部分。同时，敏感个人信息的信息内容也有一部分指向人格尊严，二者载在法益价值上具备重合性。因此，最为核心、静态的私密信息，应该与敏感个人信息中涉及隐私人格尊严的部分重合。例如，某人艾滋病的医疗健康信息，与人格尊严密切相关，涉及个人核心静态部分的个人隐私。同时，该信息一经泄露极易导致权利人被歧视，其平等权容易受到损害，因此也属于敏感个人信息。再如，“基因信息能够检测出人的生活习惯、健康状况，其兼具私密性和敏感性已经成为共识”。所以，艾滋病等医疗信息、基因信息等属于静态私密信息和静态敏感个人信息的交叉部分，即表2中的A和A。此外，个体的行踪信息可以构成私密信息，也可以构成非私密信息，可以构成敏感个人信息，也可以构成非敏感个人信息。当行踪信息是权利人不愿透露的时候（如出入私密性的科室看病的行踪信息），其就落入了动态私密信息的范畴，也可能因为歧视风险而落入敏感个人信息的范畴。而当个人行踪信息体现为平常性的行踪时（如在学校的上课轨迹）既不属于私密信息，也并不会产生高风险的侵害概率而成为敏感个人信息。因此，此类信息构成表2的D和D类型的私密信息，即私密信息和敏感个人信息动态交叉的情况。
此外，还存在“纯粹静态的私密信息”（B），例如个人嗜好。此类信息因为涉及个人隐私尊严而导致权利人不愿被他人知晓，从而落入私密信息的范畴。但是，此类信息并未达到敏感个人信息所要求的“高风险侵害概率”，因此无法归入敏感个人信息的范畴。
还需澄清的是，敏感个人信息的风险信息内容不仅包括隐私内容，其人格尊严和人身财产安全还包括了“生命权、身体权、健康权、姓名权、肖像权、名誉权、荣誉权、物权、债权等广泛的个人权利类型”。因此，除隐私利益之外的部分当然不属于二者的交叉部分。私以为，私密信息应该是一种更靠近人格属性的信息内容，而非具有明显的财产属性。例如，个人财务信息、密码信息属于敏感个人信息中涉及财产安全的内容，一经泄露或非法处理会产生极大的侵权风险，这部分信息属于纯粹的敏感个人信息，而非私密信息。此外，有些私密信息被披露了，仍然可能构成敏感个人信息。这是因为，私密信息需要满足“隐秘性”，即信息客观上的非公开状态。但是，敏感个人信息是基于信息处理风险而产生的，其属于客观风险法律基准，不能因为信息的隐秘状态被打破而丧失敏感性。例如，个人的宗教信仰、行踪轨迹等都是个人信息保护法规定的敏感个人信息，即使信息处于非隐秘状态，也依然受到敏感个人信息处理规则的约束。
三、秩序概念谱系中私密信息的保护架构
立法抉择：私密信息为何优先适用隐私权的规定？
从民法典的规定看，直接涉及私密信息保护的主要是第1034条第3款，即“私密信息优先适用隐私权规定，而没有规定时才能适用个人信息保护的有关规定”。此条表明，“当隐私保护和个人信息保护制度竞合时，应当优先适用具体人格权制度，且隐私保护优先的规则在法律适用层面应当是强制性的”，“对法院具有刚性约束力”，同时也“解决了重叠保护的问题”。对此，有观点认为，这是出于“权利不得减损原则和人格尊严高于私法自治的保护原则”，且“隐私的目的价值高于个人信息的工具价值”，因此“隐私利益有更重要的意义”。也有观点认为，因为“隐私信息保护的基本规则是个人信息保护的‘黄金规则’”“二者在法律效果上有明显差别”，因此“私密信息和一般个人信息应该在保护强度以及权利层级上具有明显的差异”，私密信息优先受隐私权保护的立法目的是为其提供“强保护”。
上述解释从权利（权益）位阶、法益位阶、价值冲突与调和等方面解释了私密信息刚性地优先适用隐私权规定的理由。此外，如若从民法典的相关规定出发，似乎上述观点也具有一定道理。例如，民法典第990条第1款列举了众多具体人格权，其中包括隐私权而不包括“个人信息权”，其只属于第2款规定的“其他人格权益”。再如，根据民法典第999条规定，“公共利益”可以作为个人信息使用的免责事由，而隐私则不在其中。此外，处理隐私和个人信息的程序要求也有很大差异，根据民法典第1033条，处理他人隐私需要经过“权利人”的“明确同意”或者“法律另有规定”，而第1035条对个人信息处理的侵权阻却事由是“经过自然人或其监护人的同意”或者“法律、行政法规另有规定”。可见，在意思表示主体方面，隐私处理必须由权利人作出，而个人信息处理可以由其监护人作出；在作出意思表示的方式上，隐私处理对主体意思表示的要求是“明确同意”，而个人信息处理只需要“同意”，即可以通过默示的方式作出；个人信息处理的另一个免责事由是“法律、行政法规另有规定的”，而隐私处理的侵权阻却事由限缩为“法律另有规定”。因此，仅从民法典相关规定看，为了保护私密信息之上的隐私利益，规定其优先适用隐私权规定似乎并无不妥。但同时，这种规定也面临着许多挑战。
立法检视：优先适用隐私权规定真的能实现立法目的吗？
如上所述，立法者规定优先适用隐私权的初衷在于更好地实现对私密信息的保护。但是，这种规定能否真正实现规范目的，是值得推敲的。
第一，关于人格权请求权的适用。隐私权作为具体人格权，在适用人格权请求权上当然没有异议。但是，个人信息权益能否适用人格权请求权在学界并未达成共识。王利明教授指出，“个人信息权益等人格利益在适用人格权请求权上存在争议，而个人信息保护法也并未对此作出明确回应”。可见，立法者在此方面持有谨慎态度。程啸教授也认为，“自然人并不能基于个人信息而享有全部的人格权请求权”。此外，“由于人格权请求权本身门槛较低，如若明确通过人格权请求权制度对个人信息展开保护，不但违背民法典的相关规定，甚至还会导致司法行政化并制造各种矛盾”。
但是，从人格权编的体例结构上看，民法典第990条第2款就表明了人格权编除了调整第1款规定的具体人格权外，还保护其他人格权益。而第989条则规定了人格权编调整与人格权有关的民事关系，具有统领全编的总领地位。如若“其他人格权益”不受人格权编的保护，岂不是和第989条互相矛盾吗？据此，第989条的“人格权”应当做一定的扩大解释，即解释为人格权利（权益），而非仅是指具体人格权。由此，通过体系解释，个人信息权益适用人格权请求权便是法内之事。事实上，学界已有很多观点支持个人信息权益应当适用人格权请求权。杨立新教授认为，“个人信息主体可以通过人格权请求权的规定，保护自身的个人信息权益”。此外，也有学者从实证研究出发，认为“个人信息主体当然可以行使停止侵害、排除妨碍、消除危险、恢复名誉、赔礼道歉等人格权请求权”。虽然学界在个人信息权益适用人格权请求权方面有质疑的声音，但是“主流观点依然对此持肯定态度”。虽然个人信息保护法对此没有提及，个人信息权益也确实没发展成具体人格权，但从民法典的立法态度和体系结构上看，个人信息作为法律认可的民事权益，适用人格权请求权，也并无大碍。
第二，关于人格权禁令的适用。民法典第997条规定了人格权禁令制度，从而赋予了权利人在侵权可能之虞请求法院限制被申请人的命令。但是，个人信息权益能否受人格权禁令的保护呢？程啸教授认为，“将人格权禁令的适用范围扩大到个人信息会抹杀人格权与人格利益的区分，非法定具体人格权是否能受到保护应该在程序中确定，而不能在人格权禁令这种非诉程序中确认，不应把人格权禁令制度直接适用于保护程度较弱的人格利益”。由此，对人格权禁令的适用则又被拉回到了人格权编的保护范围问题上。上面已经论述，个人信息权益适用人格权请求权并不存在规范层面的障碍，而“人格权禁令的请求权基础是人格权请求权，是人格权防御性的外化形式”。因此，“即使将个人信息权益理解为一种人格利益，也不影响对其适用人格权禁令”。除此之外，民法典第997条对人格权禁令适用要件之一的表述是“不及时制止将使其合法权益受到难以弥补的损害的”。可见，此处的“损害”所指向的是“合法权益”而非一定是“具体人格权”，这也从一个侧面推定出个人信息权益适用人格权禁令是合乎规范的，并无不妥之处。
第三，关于预防性民事责任制度的适用。民法典第1167条规定了预防性民事责任制度，当侵权行为危及权利人身、财产安全时，侵权人应当对此承担停止侵害、排除妨碍、消除危险等侵权责任。关于本条的适用，并不存在争议，无论是作为具体人格权的隐私权，还是作为一种民事权益的个人信息权益，均可适用。
第四，关于隐私权和个人信息权益的权能。德国法学家卡尔·拉伦茨认为，“‘权利与权能’，是法律关系的重要组成部分”，权能是实现权利的重要方式。具体而言，根据作用属性的不同，权能可以分为积极（主动）权能和消极（被动）权能。因此，隐私权和个人信息权益保护强度的比较可以通过相关权能展开。
在我国，隐私权的权能以消极权能为主。民法典第1032条第1款和1033条即表明了不得以任何形式侵犯自然人隐私。在隐私侵权的语境之下，权利人往往是在隐私被侵犯之后寻求救济措施，“具有很大程度的事后防御性”。同时，“隐私权并不具有占有、使用、收益和处分等积极权能”。这是因为隐私权的价值内核在于对人格尊严和生活安宁的合理期待，“但是这种期待不具有确定性的边界，不能事先赋予权利人积极权能”。
此外，从比较法来看，目前有超过140个国家制定了“全面的隐私法”。其中，在以美国为代表的对隐私和个人信息进行一体化保护的法域之中，隐私权可以具备多种权能。加州消费者隐私法案（CCPA）的核心保护措施包括了一个强有力的信息权利，即为自然人提供删除权、选择权、知情权、选择不出售或分享的权利以及限制使用或披露敏感信息的权利信息。但是，我国选择了与美国相反的道路，通过民法典和个人信息保护法将隐私和个人信息分立保护。因此，我国的隐私权并不具备美国CCPA下隐私权享有的多种积极权能。即使是在二元化的欧盟，“GDPR也包含了对隐私的保护”，“其确立了一套最全面的隐私权利束”，包括查阅权、更正权、删除权、限制处理权、可携权、反对权以及免受自动化决策权等系列权能。与此不同，隐私权不当然享有以上权能。
与隐私权权能不同，我国的个人信息权益兼具一系列积极权能和防御性的消极权能。首先，从消极防御性权能来看。民法典第1035条规定了个人信息处理的“合法、正当和必要”原则，又具体列举了四项要求。第1038、1039条又详细规定了对个人信息处理者和国家机关的要求。而个人信息保护法又分别对个人信息处理规则、跨境提供规则、个人信息处理者义务以及对职责的部门的要求等方面，全面建构了个人信息权益的防御性保护体系。其次，与隐私权侧重防御抗制与事后救济的消极行权方式不同，个人信息权益侧重积极支配与自主控制。这是因为，信息在使用和传播的过程中产生了“不平等的社会关系”，或者说“非对称权力结构”，所以要赋予个人信息主体以积极权能，“构建以风险预防为主、事后救济为辅的综合性保护方式”。具体而言，我国个人信息主体的权益体系构造包括了“以知情权为核心的权利基础，以查阅权、复制权、异议权、更正权、删除权与可携带权为外在表征的系列权能”。因此，与单一消极性、被动性和防御性的隐私权权能相比，个人信息权益具有明显的双动性，具备“积极+消极”的整体性权能体系。
综上所述，从权能比较来看，法律赋予了个人信息权利主体完善的权能体系，比隐私权权能体系更加周全。
第五，侵犯隐私权和个人信息权的民事责任承担原则。由于民法典规定了私密信息优先适用隐私权的规定，而根据1165条第1款的规定，隐私权适用过错责任原则。与此不同，个人信息保护法表明，侵犯个人信息权益适用过错推定原则，这是因为，在权力结构不对称的情况之下，“个人证明个人信息处理者存在过错非常困难”。因此，过错推定原则将更多的证明义务附加给了侵权人，这明显更有利于权利人进行维权。但是，由于私密信息要优先适用隐私权的规定，便不能适用个人信息侵权的过错推定原则，而是必须通过证明对方过错来维护隐私权。这种规范的矛盾是民法典在处理隐私和个人信息规则竞合时留下的先天性缺陷，也与其增加隐私保护力度的规范目的存在严重抵牾。
第六，处理隐私和个人信息的要求。王利明教授认为，“根据民法典第1033条，处理自然人私密信息对权利人意思表示的要求是‘明确同意’，而第1035条对个人信息收集处理，只需‘同意’即可”。但是，这种理解并不准确。根据个人信息保护法第14条，处理自然人个人信息的，应当由个人在充分知情的前提下自愿、明确作出。由此可见，处理一般个人信息，也必须满足“明确同意”的要求，而非是“同意”。换言之，民法典第1035条的“明确”是一般性规定，而个人信息保护法作为特别法，第14条的“明确规定”是对民法典第1035条的特别规定，即处理个人信息当然要满足“明确同意”的要求。此外，个人信息保护法第14条还明确了“法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定”。这种例外规定即指个人信息保护法第23条、25条、26条、29和39条规定的五类个人信息。因此，这五类信息在满足“明确同意”的基础上，还必须满足“单独同意”或者“书面同意”的要求，这明显比处理隐私所仅要求的“明确同意”要更严格。但是，处理他人隐私仅能通过“权利人”作出意思表示，这一方面确实比个人信息处理要求的“权利人或其监护人”的要求强一些。但是，正如上面所分析的，在处理他人个人信息的意思表示形式来看，个人信息处理的要求是更严格的。因此，在处理行为的意思表示方面，最多得出二者各有侧重的结论，而不能认为隐私规则更强。
综上所述，从人格权请求权、人格权禁令、预防民事责任制度、权能、民事责任承担原则和意思表示强度等方面，个人信息的保护规则要更强一些，具体对比如表3所示。因此，立法者通过优先适用隐私权规定对私密信息进行“强保护”的目的恐怕会“化为泡影”。
表3 隐私权保护规则和个人信息保护规则的强弱比较
私密信息保护的教义学展开：从二阶递进迈向二阶同构
1.既有解释方案及其局限
如上所述，民法典确立的“私密信息优先适用隐私权规则”并不能真正达到立法目的，实现对隐私利益的强化保护。因此，本部分将就如何破解这一立法缺陷进行教义学展开，通过解释论的方法论向度纾解这一立法矛盾。目前学界围绕这一立法矛盾已经展开了一些探讨，但令人遗憾的是，多数研究或未详细展开，或存在较大不足。
有学者认为，“由于个人信息权和隐私权是同等地位的权利，因此应当删除‘优先适用隐私权’的规定”，“同等顺序适用两种保护规则”。虽然该观点能够在一定程度上解决私密信息刚性适用隐私权的困境，但也会带来请求权竞合的情况，也可能带来司法效率的降低。笔者认为，化解该问题可以通过解释论完成，未必需要在立法层面大动干戈。
还有学者认为，“根据特别法优于一般法的原则，应该确立个人信息保护规则在私密信息处理过程中的优先适用地位，并把私密信息限缩为在家庭事务场景中处理的私密信息”。同时，也有学者提出，“隐私权规则调整的是法律地位和能力平等的民事主体之间产生的隐私权纠纷，而个人信息保护法针对的就是在信息处理能力上不平等公权力机关和企业”。
首先，“特别法优于一般法”不能成为优先适用个人信息规则的合理解释，因为民法典已经明确规定了在一般情况下私密信息必须优先适用隐私权规则，这属于一般法中的特别规定，足以推翻法律效力位阶的解释。其次，这两种观点均认为，很多个人信息处理者，例如行政机关和企业等在事实上存在与自然人不平等的信息处理能力和地位，因此不应当适用民法典的隐私权规则（因为其调整对象所指向的是“平等主体”），而应诉诸为“信息处理不平等”而生的个人信息保护法。但这种解释有违民法基本理论，对民法所指涉的“平等主体”认识不清。所谓的“平等主体”包括了事实层面存在的“平等主体”以及规范意义上的“平等主体”，而民法典第2条规定的“平等主体”显然是指后者。规范层面上的平等是指民事主体的法律资格、法律地位、法律关系和法律适用的平等。例如，“任何一方当事人不得强迫另一方作出或不作出某种行为”。而在事实层面，自然人的身份、地位、财富、性别甚至种族都会存在“不平等”，企业之间的经济规模、市场地位和行业话语权也存在“不平等”。正因如此，科恩指出“任何企图证明人皆平等的努力，都是应该被否定的，也是不可能的，在许多重要方面，人显然是不平等的，我们也不会希望他们在这些方面平等，任何一个有头脑的人也不会有如此主张”。对此，拉伦茨更加直截了当地阐述道，“法学是一种探讨人们如何确立平等性的学问，其首要任务反不而是研究什么是平等的”。因此，“民法以平等为原则调整社会关系，无视主体的事实差别”。而具体到私密信息保护方面，“信息处理能力”不平等，不能成为排除民法典隐私权优先适用规则的合理解释，因为其仅是事实层面的能力不平等，而非规范地位上的不平等。借用拉德布鲁赫的一句话，“民法只认识‘人’，而对强大的企业或弱小的个人一无所知……”。
有学者认为，“应当将私密信息限缩为不具备识别性的其他个人信息”，只有这部分的私密信息适用隐私权规定，而其他信息适用个人信息保护的规定。但此种解释依然存在逻辑矛盾。前文已有阐述，私密信息只是承载着隐私内容的个人信息，其表现形式依然是个人信息。而无论是民法典第1034条，还是个人信息保护法第4条，均将“识别性”作为了个人信息的必要构成特征。换言之，无论是具有间接识别性的“可识别”信息，还是具有直接识别性的“已识别”信息，都象征着“身份识别”。按照上述的限缩方案，如若“私密信息”与“身份识别”无关，其也不可能成为“私密信息”，只是一般的隐私而已。
有学者认为，“处理自然人私密信息，但没有造成损害的，不需要考虑过错问题”。也有学者认为，“处理私密信息造成损害的，应承担过错推定责任，而不适用有关隐私权规定”。此外，有学者认为，“优先适用隐私权仅限于没有法律规定和明确授权以及处理（包括收集、储存、加工、传输、公开）他人的私密信息的情形，不包括日常的刺探和询问情形”。有学者认为，“当隐私规则和个人信息规则没产生竞合时，应当考虑个人信息规范的适用性”。但是，这些观点并没有详细地展开论证。
总体而言，学界对于如何破解民法典第1034第3款确立的僵化规则已有多种不同的探讨，或存在较大不足，或未深入论证。本文将通过解释论的方法进行详细的教义学展开，以促进私密信息保护规范适用的解释论重构。
2.规范构造：从“二阶递进”迈向“二阶同构”
由上述分析可知，私密信息保护如若单纯地优先适用隐私权规定无助于立法目的的实现。因此，不能僵化地优先适用隐私权的相关规定。具体而言，应当转变民法典第1034条第3款设立的“二阶递进”的保护模式，从而转向“二阶同构”的保护模式，在既定的实体规范下，通过解释论将隐私权规则和个人信息保护规则同时适用。
（1）一阶构造：隐私权保护规范的适用
如上所述，隐私权规则的适用范围无须限缩在“家庭实务”的范围内，按照民法典第2条的规定适用即可。但是，从归责原则来看，如若适用隐私权规定，则必须适用过错责任原则，而不能适用个人信息侵权的过错推定原则，这反而不利于权利人的权利实现。笔者认为，在过错责任原则之下，未必不能实现对权利人更好的保护。在操作层面，也未必一定要陷入实体法解释的泥淖之中，而是可以放眼在程序法解释层面，通过采取表见证明（Prima-facieBeweis）的方法，以及考察信息处理者是否违背成文法义务来判断其主观过错，来缓解权利人举证困难的窘态。
具体而言，个人信息规则之所以适用过错推定的归责原则，“是因为权利人往往面对的是实力悬殊的个人信息处理者，有时连信息被何人处理都难以确定，更遑论证明行为人之过错，其举证责任之重可见一斑”。可见，从归责原则上看，私密信息适用隐私权规定最大矛盾就是无法适用对其举证责任要求较低的过错推定责任原则。但是，实体法既已经规定其只能适用过错责任原则，同时很难从实体法层面有更合理以及合法的解释来规避这一难题，不妨考虑在程序上适用表见证明的方法，来纾解这一难题。
表见证明是指“将证明对象从要件事实转化为更容易证明的‘典型关联事实’，以盖然性较高的经验法则为基础进行事实推定”，其特征是“既不导致证明责任转换，也不导致证明标准降低，而是作为法官临时证明评价导致当事人具体举证责任的转换”。同时，对方当事人可以提交反证来证明“非典型事实经过”存在重大可能即可动摇表见证明的结论，无须直接提出反面证明。其中，“经验法则”分为“强制经验法则”“经验原则”和“简单经验法则”。具言之，强制经验法则具有完全盖然性，即无法推翻；经验原则具有高度盖然性；简单经验法则具有低盖然性。而表见证明之标准即要求经验法则的高度盖然性，并以建立在高度盖然性基础上的“典型关联事实”为适用前提。
具体到侵犯私密信息的过错责任的适用上，可以通过程序上采取表见证明的方法来缓解优先适用隐私权规定的不足。在庞某某诉某公司等隐私权纠纷一案中，法院适用表见证明的方法，通过“被告完整掌握信息的高度可能性”“其他主体掌握信息的低可能性”以及“多家媒体质疑其泄露用户信息”等具备高度盖然性的“典型关联事实”初步认定侵权事实的存在，而被告所举的反证也不足以推翻前述的高度盖然性，最终认定侵权事实的存在。
此外，通过表见证明确定事实之后，还需考量如何确定侵权人的过错。对此，可以将行为人是否违背法定义务作为其是否具有过错的衡量标准。此处的“法定义务”包括了处理他人隐私的法定义务，以及隐私权没有规定的法定义务（例如个人信息处理者的义务）。此种解释，既不违背民法典所确立的隐私权优先适用的规定，也能将个人信息规则用以补强过错责任原则适用的弱势境况。
（2）二阶构造：个人信息保护规范的适用
私密信息保护规范的第一阶构造通过表见证明，解决了权利人举证困难的问题，而第二阶保护规范构造应当包括两个方面：第一方面，以个人信息处理者的法定义务来衡量过错；第二方面，赋予私密信息主体以积极权能。
从规范基础上看，首先需要对二阶构造进行规范层面的证成，即为何能够通过上述两个方面对私密信息进行保护。这种证成可以通过解释民法典第1034条第3款中“没有规定的，适用有关个人信息保护的规定”来完成。石佳友认为，“民法典明明规定了处理他人私密信息是侵犯隐私权的情形，那么究竟什么是‘隐私权没有规定的’，引发了理论和实务界极大的困扰，着实令人费解”。学界对此的解释也相去甚远，王利明指出，“隐私权没有对企业利用个人私密信息进行自动化决策的事项进行规定，因此适用个人信息的有关规定”。张建文指出，“‘没有规定的’是指自然人因家庭实务以外的原因，或公权力机关、企业等处理的私密信息”。可见，学界对于“没有规定的”到底指涉的是什么，并没有明确的结论。而笔者认为，如若从更好地保护私密信息的角度看，“隐私权没有规定的”可以理解为民法典、个人信息保护法对个人信息处理者处理信息的要求和法定义务，以及个人信息主体享有的系列权能，以下将分别阐述。
首先，对于个人信息处理者过错的认定，可以考虑将个人信息处理者违背信息处理要求和义务来实现。因为，“民法典第1165条第1款统合了违法性与过错的功能，对行为人的外在违法性和内在可责性同时予以评价”，因此“违法行为应包含于过错之中”，过错可以吸收违法行为。具体而言，个人信息处理者的义务来源于民法典、个人信息保护法和其他法律规范。例如，民法典第1035条所规定了合法、正当、必要原则。再如，个人信息保护法第五章规定的个人信息分类管理义务、境外个人信息处理者的特定义务、合规审计义务、对特定五类信息进行事前影响评估义务、信息泄露后的补救告知义务、重要互联网平台的特定义务、受委托人处理个人信息的义务等。同时，个人信息保护法更是对敏感个人信息的处理提出了严格要求，即需要具备“特定目的”和“充分必要性”，必须取得权利人的“单独同意”或“书面同意”，必须采取“严格保护措施”等；其他法律规范例如消费者权益保护法第29条第2款规定的经营者对消费者信息的保密、保护义务等。此外，通过违反成文法义务或要求来认定个人信息处理者的过错，不但能够更好地保护权利人的私密信息，还有助于实现利益平衡。如上所述，私密信息的本质是尊严性和资源性价值耦合的产物，在考虑到如何保护权利人的利益时，个人信息处理者的利益考量同样不可偏废。因此，私密信息保护规范应当适度考虑到“信息保护与流通、共享及发展，更好地促进数据业的健康可持续发展，以此实现资源的优化配置”。而以成文法义务或要求来认定过错，便有助于实现这一目标，因为企业在处理个人信息时，会考虑到规范性文件来建立企业合规标准，在这一过程中个人信息处理者也会积极存证，这种要求对其“既不失之于严，也不失之于宽”。
其次，应当将个人信息主体享有的积极权能分配权利人，实现对私密信息真正的加强保护。据上文分析，隐私权以消极权能为主，法律效果指向事后防御，而个人信息权益有积极和消极的双重权能。因此，可以将个人信息权益内含的积极权能解释为“隐私权没有规定的”，进而赋予私密信息主体享有查阅权、复制权、删除权等积极权能的资格，以此促进私密信息的全面保护。此外，赋予私密信息主体以积极权能，还能促进我国隐私权从古典隐私观迈向现代隐私观。这是因为，“隐私权与个人信息保护具有协同性，两者均体现了个人决定在何种程度上与他人进行沟通和交流的自主权利法则”。由此，“随着时代的发展，隐私权逐渐由纯粹的消极性权利变得具有积极性”。同时，这也能与CCPA和GDPR中对隐私权能的赋予形成衔接，真正实现民法典第1034条对私密信息突出保护的立法目的。
结语
私密信息这一界分于隐私和个人信息的新生法律概念，体现了民法典人格权编的立法智慧。然而，“一百条法律，有一百零一个问题”，如何界清和保护私密信息，立法并未给出完美的答案，这就需要解释学上的努力。具体而言，本文首先厘清了隐私、个人信息和私密信息等秩序概念之间的关系。其次对私密信息的概念进行了解释论构造。由此，私密信息是具有主观排他性、客观隐秘性和私人利益性的个人信息，与敏感个人信息是动态交叉和静态交叉关系，而与一般个人信息仅存在动态转化关系。此外，民法典确立了私密信息二阶递进的保护模式，刚性地优先适用隐私权规定，柔性地补充适用个人信息规则，导致了隐私“强保护”的立法目的与“弱保护”的法律效果南辕北辙。为了调和这一矛盾，本文从法教义学层面对民法典第1034条第3款进行了解释论重释，促使私密信息保护模式从“二阶递进”迈向了“二阶同构”的规范构造。由此，能够更大程度上纾解立法矛盾，真正实现隐私权“强保护”的立法目标。
往期精彩回顾
原标题：《张芷维 邢恩铭｜解释论下私密信息的界清与保护——以实定法秩序概念的谱系化为进路》
