如何看待《个人信息保护法》与《民法典》之间的关系？

争议三：如何看待《个人信息保护法》与《民法典》之间的关系？

王利明：《个人信息保护法》与《民法典》是特别法与一般法的关系

《个人信息保护法》是一部保护个人信息的综合性立法，其所包含的个人信息的私法规则与《民法典》构成特别法与一般法的关系，《民法典》确立了个人信息的性质及其在民事权利体系中的位置，是解释、适用《个人信息保护法》相关规则的基础和依据。《个人信息保护法》的适用需要在《民法典》的框架体系中展开，其适用应当贯彻《民法典》确认的人格尊严价值，并结合《民法典》确认的人格权保护一般规则。《个人信息保护法》还需要注重与《民法典》相关条款的体系协调，从而实现对个人信息的体系化保护。

《民法典》是基础性法律，是私法的基本法，有学者将民法典与单行法的关系比喻为太阳与行星的关系，即民法典是“太阳”，而单行法则构成围绕“太阳”公转的“行星”；“行星”根据“太阳”所投射的“光芒”来进行解释。就《民法典》与《个人信息保护法》的关系而言，《民法典》确定了个人信息保护的基本框架、原则和理念、价值，界分了个人信息与隐私权等其他人格权的关系，为个人信息保护法确立了最基础的规则。《民法典》所确立的保护人格尊严、保障民事权利等价值，是解释《个人信息保护法》的基础。《民法典》关于个人信息处理等规则的规定，不仅提供了个人信息保护的正当性基础，也为个人信息保护立法提供了基本法律依据。《个人信息保护法》对个人信息的保护，也基本上是围绕《民法典》的规则而展开的。

《个人信息保护法》的适用应当在《民法典》的框架下展开。具体而言：

第一，《民法典》明确了个人信息的性质及其在民事权利体系中的位置。《民法典》总则编第五章在规定民事权利体系时，虽然专门规定了自然人的个人信息受保护，但并没有将其规定为一项具体人格权，人格权编第六章仍然延续了这一做法。《个人信息保护法》也遵循了此种制度模式。个人信息是整个民事权益体系中的重要组成部分，是其中的重要环节。从基本的民事权利出发，如果将基本的民事权利分为合同债权、物权、人格权和身份权，那么，个人信息就属于人格权益的重要组成部分，全面保护个人信息也就是保护个人在数字化时代所享有的基本民事权益。由于《民法典》将个人信息界定为一项人格利益，而非具体人格权，因而，在民事权利位阶中，按照权利优先于利益的规则，原则上除了一些特殊的敏感个人信息外，依据《民法典》第1034条第3款，一般个人信息与隐私权发生冲突时，应当优先保护隐私权。

第二，《民法典》将个人信息自主决定作为个人信息保护的价值基础，即个人对其个人信息的自主决定。个人信息保护的价值基础是个人的自决权，即个人自主决定其事务的权利，该概念由Wilhelm Steinmüller和Bernd Lutterbeck在1971年提出，并得到了普遍认可。作为私人自治的一项具体表现，个人信息自决权获得了广泛的承认。我国《民法典》在规定个人信息保护规则时，也是以个人信息的自我决定为基础而展开的。《个人信息保护法》内容庞杂，但是这些制度仍然是围绕着个人信息自主决定这条主线展开的。无论是第二章“个人信息处理规则”还是第三章“个人信息跨境提供规则”，都是对个人自主决定的落实。而第四章“个人在个人信息处理活动中的权利”和第五章“个人信息处理者的义务”，则是立法者对个人自主决定过程中的个人和处理者的权益和义务进行分配。《个人信息保护法》紧紧围绕规范个人信息处理活动、保障个人信息权益，构建了以“告知—同意”为核心的个人信息处理规则。严格地说，“告知—同意”实际上是平等主体之间私法自治内核的集中体现，也是《民法典》所确认的自愿原则的具体化，在以命令和服从为基础的公法关系中是不可能存在“告知—同意”规则的价值基础。《个人信息保护法》将个人在个人信息处理活动中的各项权利，包括知悉个人信息处理规则和处理事项、同意和撤回同意，以及个人信息的查询、复制、更正、删除等总结提升为知情权、决定权，明确个人有权限制其个人信息的处理，这都体现了对个人信息自主决定的尊重与保护。这些权利本质上都是个人信息自决权的具体展开，而此种自决权既是民法私法自治理念的彰显，也是作为绝对权益的个人信息权益所具有的支配效力的体现。如果不能从这种支配效力出发解释自主决定权，就很难准确把握该权益的性质和特点。

第三，《个人信息保护法》关于个人信息处理的制度和规则，是以《民法典》个人信息保护规范为基础而展开的。《民法典》在个人信息保护的相关规范中，确立了个人信息处理的各项基本规则，并规定了个人信息权利人的基本权利和处理人的义务及免责等基本问题，《个人信息保护法》在此基础上对上述制度和规则作出了细化规定。例如，《民法典》确立了个人信息处理的基本规则，《个人信息保护法》同样详细规定了个人信息处理规则，严格地说，《个人信息保护法》中的个人信息“处理”的概念范畴，来源于《民法典》第1035条第2款，只不过《个人信息保护法》第4条增加了“删除”二字，而有关个人信息处理的基本原则和框架仍然是由《民法典》所确定的。再如，《民法典》第1035条规定了个人信息处理需要取得个人同意的规则，《个人信息保护法》借鉴GDPR的经验，对人格权编规定的个人同意规则进行类型化处理，作出了更细致明确的规定，明确规定了透明化原则，即要求信息处理者处理个人信息前，必须以显著方式，清晰易懂的语言，真实、准确、完整地向个人告知法律规定的事项（第7条、第17条）；如果信息处理者是基于个人同意而处理个人信息，必须是由信息主体在充分知情的前提下，自愿明确地作出同意（第14条）。个人信息处理者不得以个人拒绝处理其个人信息为由，拒绝提供产品和服务（第16条）。无疑，这些规定可以看作是《民法典》个人信息保护规则的具体化。

第四，《个人信息保护法》关于相关国家机关保护个人信息义务的规定也是围绕《民法典》相关规则而具体展开的。《民法典》第1039条规定了国家机关、承担行政职能的法定机构及其工作人员的保密义务。严格地说，依据其职权处理个人信息的国家机关与信息主体之间并不是完全平等的民事关系，但是我国《民法典》第1039条为了全面保护个人信息，对国家机关以及承担行政职能的法定机构及其工作人员因依法履行职责处理他人个人信息作出了明确规定，要求信息处理者应当对信息予以保密，不得泄露或者向他人非法提供。虽然这些机构与个人并非平等交往的主体，但在前者履行职责过程中，可能掌握了他人的大量个人信息，且大多属于敏感、私密的个人信息，一旦泄露，将给他人造成重大损害。因此，从全面保护个人信息的角度出发，《民法典》对其保护个人信息的义务作出了规定。确认相关国家机关保护个人信息义务的规定，也表明个人信息权利可以对抗信息主体之外的任何组织和个人的不法侵害。《个人信息保护法》在第二章个人信息处理规则中，单设一节专门规定了国家机关处理个人信息的规则，正是对《民法典》上述规定的具体展开。这就表明，《个人信息保护法》对个人信息处理的规则不仅适用于平等主体之间的关系，还适用于国家机关以及法律、法规授权的具有公共事务管理职能的组织为了履行法定职责而处理个人信息的情形。

总之，《民法典》和《个人信息保护法》在性质上属于一般法与特别法的关系，二者在个人信息保护方面既有分工协同，又有衔接协调，《个人信息保护法》的解释与适用应当在《民法典》的框架下展开。

石佳友：《个人信息保护法》与《民法典》的关系具有多样性

《民法典》与《个人信息保护法》中的私法规范构成普通法与特别法的关系，在后者有明确规定的时候应优先适用，而在其没有规定的时候应适用《民法典》的规则。在个人信息保护的法律适用中，将二者割裂甚至对立起来的观点或者对《民法典》采取排斥封闭的态度，都会破坏法律体系的和谐和法律适用的统一，对个人信息保护来说也是不利的。

《民法典》与《个人信息保护法》中的私法规范构成普通法与特别法的关系；而《个人信息保护法》中公法规范，则可以视为是行政基本法典的特别法（以生态损害赔偿法为例，由于环境法和《民法典》中均有相关规定，因此，生态损害赔偿法可以被视为是环境法和《民法典》的特别法）。根据特别法优于普通法（lex specialis derogat legi generali）的原则，特别法有具体规定时应优先于普通法适用；而在特别法没有规定的情况下，可以适用普通法的规则。需要特别强调的是，特别法不是部门法、附属法，普通法/特别法不是法律部门的划分标准；因此，强调《个人信息保护法》中私法规范的特别法性质，不等于《个人信息保护法》是《民法典》的附属法，因此，并不存在对其地位的贬低或矮化。特别法与普通法也不存在位阶上的等级关系，很多时候普通法与特别法可能处于法律位阶的同一等级，譬如民法与商法；《民法典》的总则与分则也可以被视为是普通法与特别法的关系。厘清普通法/特别法的逻辑关系，仅仅是用来解决法律适用上的冲突问题，因为在两部法律均有规定的情况下，二者的不同规定无法同时进行平行适用，而只能相互补充：特别法有规定的时候适用特别法，特别法无规定的时候以普通法规范作为补充。因此，将《个人信息保护法》（至少是其中的私法规范）视为《民法典》的特别法，并非是所谓的“民法霸权主义”：真正的“民法霸权主义”是将民法规则的适用领域不当扩张至其他法律部门。

正好与之相反的是，将《个人信息保护法》视为《民法典》的特别法，恰恰是赋予《个人信息保护法》以优先适用的地位，其后果是确保《个人信息保护法》的具体规则的优先适用，而阻断了民法的一般性规则的适用；这正好体现的是对作为普通法地位的民法规则的一种抑制和约束，而完全不是所谓民法企图“毕其功于一役”的“包打天下”思路。更具体地说，《民法典》与《个人信息保护法》的关系，类似于《民法典》与《消费者权益保护法》的关系。《消费者权益保护法》与《个人信息保护法》都属于保护性规范，旨在保护特定的群体或利益，整体上都立足于国家保护义务：个人信息保护基于国家对人格尊严的保护义务，而消费者保护基于国家对平等、社会正义等价值的保护义务。