在个人信息处理和保护方面，《民法典》和《个人信息保护法》的规定有重叠也有不同，在适用时如何协调两者关系，理论界和实务界颇为关注，且观点不一、争论颇大。
三个基本前提
《个人信息保护法》第1条表明其立法依据为宪法，但其并非宪法领域的部门法或实施法，因其内容包含了大量的有关平等主体之间个人信息处理和保护的规范，它们并非旨在调整国家与人民关系的宪法性规范，而是典型的民事规范，与《民法典》的相关规范具有同质性。若不立足于《个人信息保护法》的内容，而仅仅着眼于其立法依据，很容易得出它不能直接适用于民事领域，因而与《民法典》没有直接关联的结论。这是理顺两者关系的第一个前提，可称为实质民法观。
【资料图】
第二个前提是地位平等观。根据《立法法》第7条第2、3款，《民法典》是全国人民代表大会制定的基本法律，《个人信息保护法》是全国人民代表大会常委会制定的其他法律，前者的地位看上去高于后者。实则不然，不仅因为《立法法》没有这样的效力层级划分，还因为根据《立法法》第7条第1、3款，全国人民代表大会和全国人民代表大会常委会的立法权只有权限不同，没有高低之别，基本法律和其他法律的地位完全平等。故而，《民法典》和《个人信息保护法》仅有制定主体差异，没有效力高下之分，在两者规定不一致时，不能径直以前者排斥后者。
这两个前提意在强调《民法典》和《个人信息保护法》的规范适用有关联性，在理顺时需针对具体规范具体分析。法律规范是国家立法权的实施结果，集中反映了最高立法机关的认识和意愿，在相关的立法材料——包括最高立法机关及其组成机构对法律草案的说明、审议报告、法条释义等——已明确具体规范内涵的情况下，应尊重这些结论，对此有不同意见的，要负担诸如具体规范与宪法抵触、与其法律的基本原则抵触、立法材料有矛盾、据此所得结论有违个案正义等论证义务。此即第三个前提，可称为尊重立法观。这实际意味着，在厘清《民法典》和《个人信息保护法》规范适用关系时，应首先从立法材料出发理解它们的调整任务、规制对象、适用范围、制度内涵等被立法者所明确的实然情况，而不宜抛开它们进行应然的解释，如针对某个词语或某个条款，就认为两者有不同的调整对象或适用范围，使它们井水不犯河水，否则会过分背离立法者的认识和意愿，不利于它们的正确适用。
三种适用关系
基于上述前提，根据不同情况，《民法典》和《个人信息保护法》有三种规范适用关系。
一是差别适用关系。尽管《民法典》和《个人信息保护法》均调整个人信息处理和保护，但受制于不同的立法目的，两者差别不少，适用时必须注重这些差别，不能张冠李戴。举其要者，应特别注意：（1）适用范围的差别。根据《个人信息保护法》第72条第1款，该法不适用于自然人因个人或者家庭事务处理个人信息的行为，《民法典》没有这种限定，可适用于与个人信息处理和保护有关的所有民事行为。（2）规制对象的差别。《个人信息保护法》第3条表明该法旨在规制个人信息处理者处理个人信息的活动，该法第73条第1项把个人信息处理者界定为在个人信息处理活动中自主决定处理目的、处理方式的组织、个人，而网络服务提供者未必完全符合该标准，并非个人信息处理者的网络服务提供者侵害他人个人信息的，不能适用《个人信息保护法》，但能适用《民法典》第1194条至第1197条。（3）制度设置的差别。比如，《民法典》第1034条第3款区分了私密信息和非私密信息，前者优先适用隐私权的规定，这表明私密信息与隐私权有实质交错的特性，以此为准，《个人信息保护法》第28条规定的生物识别、医疗健康等敏感个人信息完全有可能归为私密信息，但宗教信仰等敏感个人信息则大概率不属于私密信息，不能优先适用《民法典》的隐私权规定。
二是优先适用关系。《立法法》第92条前半句确立了“特别法优于一般法”规则。从形式上看，《个人信息保护法》是专门调整个人信息处理和保护的法律，且其适用范围和规制对象均有明确限定，与《民法典》相比具有特别性，似应优先适用。这种理解忽视了具体规范内容的区别，在分属《民法典》和《个人信息保护法》的两个规定能适用于同一情形时，若某一规定相较于另一规定在适用范围、构成要件或法律效果上更为特殊，表明立法者对此有特殊考量，有意使其优先适用，无论其在《民法典》还是在《个人信息保护法》，均属于优先适用的特别法。《民法典》的特别法适例为患者的个人信息保护规范。比如，患者的医疗费用属于《个人信息保护法》第4条第1款界定的个人信息，但《民法典》第1225条第1款将其从“病历资料”中剔除，它因此不在该条第2款规定的患者查阅、复制权的范围，结合《个人信息保护法》第18条第1款，就医疗费用信息，患者不受《个人信息保护法》第45条第1款的保护。又如，根据《个人信息保护法》第69条第1款，把处理个人信息侵害个人信息权益的侵权责任以损害为要件，但根据《民法典》第1226条，医院泄露患者个人信息，或未经患者同意公开其病历资料的侵权责任，不以损害为要件，自当优先适用。《个人信息保护法》的特别法适例为死者的个人信息保护规范。《民法典》第994条规定，死者的姓名等人格利益受到侵害的，近亲属有权请求行为人承担民事责任，而《个人信息保护法》第49条规定，死者近亲属只有为了自身合法、正当利益，才可对死者的相关个人信息行使查阅、复制、更正、删除等权利，死者生前另有安排的除外，两相对比，后者限定了排除情形（死者生前另有安排）、构成要件（死者近亲属为了自身合法、正当利益）等，更为特别，应优先适用。
《立法法》第92条后半句确立了“新法优于旧法”规则。与《民法典》相比，《个人信息保护法》无疑是新法，在适用该规则时，应特别注意：（1）适用于同一情形的规定有不一致之处，否则适用旧法亦无不可。在判断规定是否一致时，正如前文所述，应充分尊重立法，在此基础上综合运用文义解释、体系解释、目的解释等方法。比如，《民法典》第1034条第2款和《个人信息保护法》第4条第1款对个人信息的表述不完全一致，前者突出对自然人的“识别”，与后者在此基础上还突出与自然人“有关”，看似有别，但通过查阅立法材料，可知它们均以能否据信息识别特定自然人作为界定标准，不同于与自然人相关的信息均归为个人信息的界定标准，实质上应等同对待。（2）不能适用“特别法优于一般法”，否则应适用旧法的特别规定，前述的《民法典》有关患者的个人信息保护规范就是典型。适用“新法优于旧法”规则的例子为未经同意合理处理已公开的个人信息，根据《民法典》第1036条第2项，其责任构成需侵害个人重大利益，但根据《个人信息保护法》第27条第2句，对个人权益有重大影响是其责任构成，前者限定了利益范围，把非重大利益排除在外，后者则限定了影响程度，把对非重大影响排除在外。由于它们适用情形同一，又没有一般和特别之分，应适用《个人信息保护法》第27条第2句。
三是配合适用关系。《民法典》和《个人信息保护法》各有分工，就各自不及之处，可配合适用对方的相关规范。比如，《民法典》对告知同意、删除权等缺乏细节规定，可配合适用《个人信息保护法》的有关规定。又如，《个人信息保护法》未涉及人格权请求权、人格权禁令等保护机制，在侵权责任方面也缺乏细节规定，可配合适用《民法典》的有关规定。
（作者系北京大学法学院教授）
