【摘要】作为对层出不穷的死者个人信息处理行为的回应，我国《民法典》第994条与《个人信息保护法》第49条相继出台，构建起我国死者个人信息的民事法律保护体系，意在实现死者个人信息的充分保护。然，死者个人信息保护的权利来源存在争议，死者个人信息民事法律保护仍存在权利主体范围不清、权利内容不明、保护期限设定缺位、个人信息处理者侵害死者个人信息权益的民事责任适用规则不足等问题。消弭问题的关键在于，明确死者个人信息保护规则正当性基础，理清死者个人信息所承载的双重利益的二元保护进路，借鉴域外关于死者个人信息保护的先进经验，从而构建起本土化的死者个人信息民事法律保护体系。

【关键词】死者个人信息权益；权利主体；权利内容；保护期限；民事责任

时至今日，以《民法典》第994条与《个人信息保护法》第49条为基础，我国死者个人信息保护体系已初步构建。然，受制于死者个人信息保护所涵盖的广泛的民事权益范围，现行法下死者个人信息保护规则的嵌入彰显出与相关规则难以协调、利益冲突难以弥合等诸多困境。在此基础上，本研究尝试回顾从死者相关权益保护的立法源流，并结合域外有关死者个人信息保护的规定，探讨死者个人信息权益保护规则的适用性问题，以化解随着数字经济快速发展而日益增多的因自然人死亡引发的个人信息纠纷。

一、死者个人信息民事法律保护的理论基础

“保护死者个人信息的主要目的是为了维护死者近亲属的人格尊严和人身财产权益。”个人信息权益在信息主体死亡后并不当然灭失，死者个人信息所承载的双重利益仍将存续。死者的人格利益借由与生者的密切联系而存续，包括与近亲属人格利益实现联结，以及向社会公共利益的有效转化。死者个人信息承载的财产利益可被继承，具体而言，不同主体可分别基于继承关系、遗赠关系抑或是无主物规则取得财产利益。

（一）死者个人信息人格利益的继承

从《民法典》第994条、第112条、第1001条这三个相互关联的法条互动来看，近亲属可以借由身份联系，因死者人格权益受到侵犯提起诉讼，进而实现维护自身人格权的目的。学者普遍主张“近亲属权利保护说”，司法实践亦认可法律需要保护精神性人格权益。例如，在“李某、杨某等与汪某一等隐私权纠纷案”中，法院认为“死者的隐私与其近亲属密切关联，构成近亲属的感情因素或名誉利益的一部分，揭露死者的隐私，很可能使生存的近亲属遭受精神痛苦，对死者隐私的保护，也是对生存者名誉的维护。”侵害死者人格利益亦可能损害社会公共利益。王利明教授也提出“法益保护说”，认为对死者人格利益的保护，实际上保护的是社会利益而不是私人利益。死者个人信息中承载的人格利益亦可作为社会资源的一部分，转化为社会公共利益的组成部分。主要体现为以下两点：第一，死者个人信息中可能包含有价值的历史、医学、社会学等信息，这些信息有助于促进社会公共利益的研究和发展。第二，死者个人信息中的一些内容可能影响到公共利益的决策。例如，人口统计学研究。

（二）死者个人信息财产利益的继承

自然人死后，其财产利益可被继承。第一，继承人可以基于继承关系继受取得死者个人信息上承载的财产利益，继承人包括法定继承人和遗嘱继承人。《个人信息保护法》第49条规定的“死者生前另有安排的除外”，旨在尊重死者生前的意愿，允许死者通过遗嘱等方式处分其生前的个人信息。结合“Facebook案”德国联邦最高法院的裁判说理以及我国格式条款的效力规则，即使死者生前与网络服务提供者签订的合同中存在“虚拟财产禁止继承”条款，也可依据《民法典》第497条规定的情形，申请确认该条款无效，以避免网络服务提供者通过变更合同义务，限制继承人的主要权利，损害继承人的继承权。第二，受遗赠人可以凭借遗赠关系取得死者个人信息上承载的财产利益，此时，受遗赠人是国家、集体或法定继承人以外的人。第三，国家和集体组织根据无主物处理规则享有死者个人信息上承载的财产利益。吴国平教授认为，将国家或集体作为最后顺位的继承人，使其既享有权利又承担义务，“体现了权利与义务相一致的思想，且更有利于保护将来出现的继承人、遗产债权人以及受遗赠人的权利。”通过合理的公告、清偿程序，财产中各利益相关者的利益均得到保障。此时，国家或集体在不损害其利益的情况下，原始取得剩余财产。

二、我国死者个人信息民事法律保护遭遇的制度困境

对于死者的个人信息保护规则仍存在权利主体范围不清、权利内容不明、保护期限规定缺位、个人信息处理者侵害死者个人信息权益的民事责任适用规则不足这些需梳理之处。

（一）死者个人信息权益保护的主体范围不清

主体范围限制于“近亲属”范围无法兼顾保护死者个人信息权益承载的人格和财产双重利益。第一，在司法实践中，不乏因近亲属主体要件受限而影响死者人格利益保护全面性的案件。例如，在“陆世徽、黄宇辉一般人格权纠纷案”中，法院认为，原告并非死者三代以内的近亲属，故其不具备提起本案之诉的原告主体资格。当权利主体范围受限时，死者的人格权益延伸保护受影响。第二，若作为权利主体的近亲属同为侵权主体时会造成法律保护的适用冲突。近亲属行使积极性权利时，本身恰巧就是为了扭转、修改甚至歪曲死者生前所营造的“人设”，那么《个人信息保护法》第49条就是形同虚设，并不能起到防御性作用。第三，考虑到死者的个人信息既有可能涉及第三人的权益甚至是社会公共利益，处理死者个人信息免不了涉及第三人的形象乃至社会形象。

（二）死者个人信息权益保护的具体内容不明

《个人信息保护法》第49条虽使用“等权利”表述进行兜底，然该表述是否是完全列举有讨论空间。死者的近亲属对于死者的个人信息的处理能否享有转移权、补充权以及解释说明权等权利？或许可以从两个角度来思考。第一，从权利的性质和目的来看，这些权利是否只能由个人信息主体享有，近亲属不能享有。按照严格的文义解释，我国死者近亲属可以代为行使的个人信息权利无法涵盖知情、决定、可携带（转移）、要求解释和说明等其他权利。这是因为本条中未列举的权利需要告知个人信息主体并取得其同意（知情和决定权）、关系着是否信任信息处理者（可携带权）与对个人信息处理规则存在疑问或难以理解（要求解释和说明权），其权利基础或行使条件更加依赖于个人信息主体本人的意愿，只能由死者本人在生前行使，不适宜由死者近亲属等其他人代为行使。个人权利能力始于出生，终于死亡。丧失民事权利能力的死者无法对个人信息的使用表示同意或理解。第二，死者的近亲属有权查阅、复制、更正和删除死者个人信息，是否足以有效地保护他们的合法利益。

（三）死者个人信息权益保护的期限规定缺位

我国《个人信息保护法》并未针对死者个人信息的保护期限做出明确规定，即保护期限应否设置尚存争议，保护期限如何设置尚未明确。若依据我国《民法典》第994条规定，“等”字表述涵盖死者个人信息权益，通过解释论的进路，可认为我国死者个人信息保护期限为近亲属生存期限为限，有学者据此认为“不应施加期限限制”。但采取保护期限肯定说的有丹麦、美国、新加坡、爱沙尼亚等。以美国为例，尤其是对死者健康信息设置了50年的保护期限。从我国的《著作权法》规定来看，公民著作权的保护期为作者终生及其死亡后50年，截止于作者死亡后第50年的12月31日。我国《电子病历应用管理规范（试行）》第19条规定了相应保存期限。

（四）个人信息处理者侵害死者个人信息权益的民事责任不清

第一，适用过错责任原则无法兼顾死者个人信息承载的双重利益。《个人信息保护法》仅保护自然人的个人信息，即生者的个人信息，对死者个人信息权益的保护体现在民事责任体系中，是无法通过《个人信息保护法》对其进行侵害行为的责任归责的。而个人信息权益在性质属于人格权，在民事法律保护领域不仅受侵权法调整，也受到《民法典》第995条规定之人格权请求权的保护。但若无差别适用过错责任原则，保护力度或有不足。以死者健康信息、遗传基因信息为例，其敏感度较高，通过对此类死者个人信息的处理活动，有可能对死者整个家族的相关私密信息有妨害风险甚至造成侵害结果。

三、死者个人信息权益民事保护规则的域外借鉴

放眼域外，各个国家或地区的个人信息保护法或数据保护法普遍仅对活着的自然人有所勾画，而不适用于死者。

（一）美国相关立法的探索与规范

针对死者个人信息，美国建立了以法律和公司协议双轨制保护框架。一些州通过颁布法律，规定将死者的数字资产转让给其受益人或遗产。法律规定了如何让执行人和继承人在不违反隐私和安全规定的情况下，访问和管理死者的数字资产。除此之外，多个公司通过内部协议提供处理死者账户的政策，这些政策并非法律规定，而是各自公司的内部政策。在美国，对死者个人信息的民事法律保护也明确了以公共卫生保护为目的性要件，这是基于死者个人信息和隐私存在一定关联性。死者的健康信息是受保护的，通常由HIPAA管辖。HIPAA对死者健康信息的管理也作了细分明确的民事法律保护规则，限制了死者健康信息50年的具体保护期限。

（二）意大利相关立法的突破与革新

在意大利，死者的个人信息受到《数据保护法》（Legislative Decree No. 196/2003）的保护。通过立法，肯定了死者个人信息的可继承性，构建死者个人信息处理最低侵害标准，规定死者数字遗产的管理权和处理权由遗嘱所指定的人员或遗嘱执行人拥有。同时也增添了但书条款，即当法律有明确规定，抑或是数据主体生前曾以书面形式明确禁止或向数据控制者发出明确禁止表示的情形下，不允许前述主体代表死者行使权利。该规定肯认默示同意原则，较为积极地赋予死者的近亲属在法律范围内可对死者的个人信息有限度地行使权利。通过承认继承权，意大利法律确保了家属或受遗产人在遵守数据保护法的前提下，可以访问、使用和披露死者的个人信息，以维护遗产和家庭关系的连续性和完整性。

（三）西班牙相关立法的创新与发展

在西班牙，死者的继承人可以行使死者的信息访问权、删除权和更正权。但是，继承人在行使这些权利时需要遵守相关法律法规，以确保其他人的隐私和合法权益得到保护。这是因为西班牙的法律认为这是遗产的一部分，并允许继承人继承和使用这些信息。第一，死者的继承人的访问权。根据西班牙的数据保护法，死者的继承人有权访问死者的个人信息。例如，2014年西班牙国家法院裁定，作为唯一继承人的母亲有权访问其已故儿子的Facebook账户。第二，删除权。允许继承人删除死者的个人信息，例如社交媒体账户、云存储等。第三，更正权。允许继承人对死者的个人信息进行更正，例如修正错误的出生日期、姓名拼写等。

四、我国死者个人信息权益民事法律保护制度的建构

如何从《民法典》和《个人信息保护法》结合的角度保护死者个人信息权益，是一个值得研究的法律课题。死者个人信息权益的保护规则及其法律适用在我国仍有待考量，需要进一步构建体系。

（一）明晰死者个人信息权益保护的权利主体

第一，应以密切性联系原则为纽带认可近亲属的权利主体地位。在“梁某予诉孟某会继承纠纷案”中，法院认为，原告与该卡号有关的社会关系联系更为紧密，从生活便利和财产保护两个角度考虑，该号码的使用权归原告所有更为合理。根据德国联邦数据保护法，死者的个人信息必须得到特殊保护，死者的家属有权控制和决定这些信息是否被公开。

第二，应以财产性利益继承为依据肯定继承人可作为权利主体。在“梁某予诉孟某会继承纠纷案”中，法院认为，SIM卡的使用权是其个人遗产，公民有依法享有继承遗产的权利，未留有遗嘱情形下，故应由第一顺序继承人对该号码进行法定继承。美国佛罗里达州法律允许遗产的继承人访问和处理死者的数字资产。纽约州法律规定遗产的继承人可以访问死者的数字资产，但需要提供合法的证明文件。我国立法并未对死者个人信息中的财产利益作单独的保护性规定，但基于对死者个人信息中财产属性的思考，也应赋予继承人相应的权利。

第三，应当以有效的前置性委托关系为基础肯定代理人的权利主体地位。根据《民法典》第174条之规定，特殊情形下，被代理人死亡后，委托代理人实施的代理行为仍然有效。此时，代理人也可享有查阅、复制、更正、删除等权利。在侵害死者个人信息而未损害公共利益时，原则上近亲属有权对死者个人信息中的精神利益部分进行查阅、复制，继承人可对死者个人信息中的财产性利益担负保护义务，特殊情形下，亦可由代理人行使权利。

第四，应以公共性利益保护为限制肯定公权力机关可作为行使权利的代表主体。在侵害死者个人信息同时损害到公共利益时，原则上可援引《民法典》第185条之规定，借鉴民法对英烈等的保护规则，对死者的个人信息保护义务由有关公权力机关承担。扩大检察机关公益诉讼的范围，以应对保护无近亲属或其他继承人的死者个人信息权益的特殊情形。

（二）明确死者个人信息权益保护的权利内容

明确死者个人信息保护的权利内容可以从权利类型和权利内涵入手。

首先，死者近亲属对死者个人信息的利用应符合必要限度。可增设进一步访问的验证程序，比如于继承人而言，为有效进行继承事项，允许其通过目录索引，可登录死者电子邮箱、电子钱包等领域，进一步详细查询死者财务状况、遗嘱资料等，获知详细信息，甚至决定关闭或转移死者银行账户和资产。其次，通过分析立法目的，扩张性解释更正权是涵盖补充权的。从体系上看，法条的表述将更正、补充放置于一体，是因为两者功能上有所重合。为了实现对个人信息准确性、完整性的目的，对第49条中的更正权作合理扩张解释，此处的“更正”涵盖“补充”。最后，对删除权的行权方式应做差异性规制。删除死者个人信息的方式，最终的实际效果能够满足法定“删除死者个人信息”的要求即可，如将信息内容从公开状态要求转变为私密状态。

（三）设定死者个人信息权益的保护期限

对于死者一般个人信息的保护期限建议设为5年。在赋予近亲属等权利主体对死者个人信息享有一定的积极性权利基础上，有必要平衡个人信息处理者的在此过程中的成本与风险。若保护期限过长，将会不合理地加重个人信息处理者的负担。根据我国《征信业管理条例》第16条对个人不良信用信息的保存期限设定为5年的立法理由来看，如果保存期限过长, 将会增加信息主体信用重建的成本；反之若期限太短, 则对信息主体的约束力不够。

对于死者个人健康信息保护期限建议设为50年。在美国，关于HIPAA设定死者健康信息保护期限50年，主要基于个人隐私和公共利益的平衡考量。但如何界定死者个人健康信息是一个难点。《民法典》《个人信息保护法》在没有界定“生物识别信息”和“健康信息”。但“等”字包含了基因信息，原因在于：《民法典》第1034条第2款与《个人信息保护法》第4条第一款对“个人信息”外延的设定均为具备识别性的“各种”信息。亦即，个人信息的种类多、范围广。基因信息具有唯一性，显然符合识别性的要求，无疑是一种个人信息。

（四）确定个人信息处理者侵害死者个人信息权益的民事责任

优先适用《个人信息保护法》第49条规定。由于《个人信息保护法》第69条明确规定过错推定原则适用于“侵权责任”，故个人信息权人对于侵害其个人信息权益却未造成实际损害的情况，可通过行使人格权请求权来获得保护，此时适用无过错责任原则。人格权请求权因其固有权利之属性，而只须具备行使要件即可行使，无需考虑过错问题。《个人信息保护法》于《民法典》而言为特别法，特别法优于一般法的适用优先性，可证成优先适用《个人信息保护法》第49条是合理且正当的。《民法典》第995条可作为兜底性一般条款为死者个人信息权益的全面保护而适用。

存在《个人信息保护法》第69条的适用空间。基于死者个人信息承载的人格利益和财产利益与近亲属等权利主体之间存在密切联系，个人信息处理者侵害死者个人信息权益的侵权损害赔偿责任认定，实则回归个人信息处理者与自然人（此时为近亲属等权利主体）。于死者个人信息权益保护的特殊性而言，若适用侵权责任的一般归责原则，要求死者近亲属等权利主体作为受害人来证明行为人具有过错，不仅费时费力，而且难度颇大，不切实际。

五、结语

从世界范围来看，死者权利保障目前还是主要集中在与经济权益相关的知识产权、继承等传统领域，对死者个人信息权益保护仍处于探索阶段。我国《个人信息保护法》第49条对死者个人信息权益的保护无疑在全球个人信息保护领域添上了浓墨重彩的一笔。在法律已承认保护死者的个人信息权益的基础上，结合新的实践问题，对死者个人信息权益的保护路径进行完善构建，有助于我国法律对死者人格权益的保护与个人信息利用的利益衡平问题研究。

（作者单位：浙江省绍兴市人民检察院）