界定个人信息处理者范围的根本意义在于——

正确适用侵害个人信息权益损害赔偿规则

个人信息保护法专设公益诉讼条款，明确将个人信息保护纳入检察公益诉讼领域，个人信息处理者违反法律规定处理个人信息，侵害众多个人权益的，检察机关认为国家利益或者社会公共利益受到侵害的，可以依法向法院提起公益诉讼，提出要求违法者承担损害赔偿责任的诉求。民法典第1182条和个人信息保护法第69条均对侵害个人信息权益应承担侵权损害赔偿责任作出了相关规定，但规定的具体损害赔偿责任存在较大差别。在具体案件中是适用民法典还是适用个人信息保护法，关键在于违法行为人是否为个人信息处理者，因为只有个人信息处理者才能适用个人信息保护法调整，即适用个人信息保护法第69条规定，请求其承担相应的侵权损害赔偿责任。目前司法实践中，对个人信息处理者的界定尚存在分歧，现结合具体案例简要分析。

【基本案情】

2021年12月至2022年2月，宋某建立多个微信群，并拉拢手机营业厅工作人员进群。其中，包括李某在内的数名手机营业厅工作人员利用工作之便，将其为他人办理的手机号批量发入群内，为宋某非法买卖手机号码提供便利并以此获利。截至案发，宋某通过微信群获取手机号码11000余条，获利15280元。

【分歧观点】

根据个人信息保护法第73条第1项规定：“个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。”关于侵害个人信息的主体称谓，我国直接采用“个人信息处理者”定义，区别于欧盟立法中“控制者”和“处理者”分别命名做法。但是，侵害个人信息的主体之前是如何获取个人信息的，个人信息保护法并未明确。但在个人信息保护执法和司法领域，侵害个人信息的主体取得个人信息，存在合法取得与非法取得之分。个人信息的取得方式不同直接影响侵害个人信息的主体是否为个人信息保护法规定的个人信息处理者。

本案中，对宋某和李某是否为个人信息保护法所规定的个人信息处理者存在两种不同观点：一种观点认为，只要在个人信息处理活动中自主决定处理目的、处理方式的组织、个人，无论其使用合法或非法的方式获得个人信息，均为个人信息保护法中的个人信息处理者。本案中，宋某和李某自主决定将他人手机号码出卖给第三人，两人均为个人信息保护法规定的个人信息处理者，适用个人信息保护法的相关规定。另一种观点认为，使用非法手段获得个人信息进而处理个人信息的组织、个人，不是个人信息保护法规定的个人信息处理者。本案中，李某是手机营业厅工作人员，在为他人办理手机卡业务过程中合法获得他人手机号码信息后出卖给第三人，属于个人信息保护法规定的个人信息处理者，应适用个人信息保护法的相关规定，并补充适用民法典的相关规定；而宋某以谋取非法利益为目的，将以非法手段获得的手机号码出卖给第三人，其不属于个人信息保护法规定的个人信息处理者，应适用民法典中关于侵害个人信息权益的相关规定。

【观点评析】

笔者认为，非法获得个人信息进而处理个人信息的组织、个人，不是个人信息保护法规定的个人信息处理者。理由如下：

首先，个人信息处理者具有特殊法律特征。其主要有：第一，是个人信息处理活动的主体；第二，是对个人信息具有自主决定处理目的、处理方式的主体；第三，是对个人信息负有特别保护义务的主体；第四，其民事身份为自然人、法人、非法人组织，即组织、个人。个人信息处理者是对个人信息负有特别保护义务的主体，这一特征是个人信息处理者的显著法律特征。根据个人信息保护法第9条规定：“个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。”因此，个人信息处理者的法律地位应该是合法取得个人信息的主体。例如，微博软件后台工作人员知悉微博用户的账号、密码、地理定位；疫情期间持身份证买药，药店获得他人身份证号码等。这些以合法手段获得他人个人信息的主体对获得的个人信息具有特别保护义务，其自主决定处理目的、处理方式并进行个人信息处理活动的，即为个人信息处理者。

其次，个人信息处理者是合法信息持有者。个人信息保护法第10条规定：“任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。”从该规定可知，侵害个人信息的主体以非法方式获得他人个人信息的行为属于个人信息保护法中的禁止行为，因此，行使禁止行为的主体不是个人信息保护法规定的个人信息处理者。例如：黑客非法侵入他人手机，获得他人手机号码、身份证号码等个人信息；通过非法购买方式收集他人个人信息等。这些以非法手段获得他人个人信息的主体不是个人信息保护法规定的个人信息处理者。

【释法说理·侵权损害赔偿】

关于侵害个人信息权益损害赔偿规则，对个人信息处理者适用个人信息保护法第69条规定，即处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。而对个人信息处理者之外的其他侵害个人信息权益的主体则适用民法典第1182条规定，即侵害他人人身权益造成财产损失的，按照被侵权人因此受到的损失或者侵权人因此获得的利益赔偿；被侵权人因此受到的损失以及侵权人因此获得的利益难以确定，被侵权人和侵权人就赔偿数额协商不一致，向法院提起诉讼的，由法院根据实际情况确定赔偿数额。

虽然我国个人信息保护法依据民法典第1182条对侵害个人信息损害赔偿责任的确定方法作出了规定，但又有所不同。个人信息保护法第69条第2款规定中使用的是“损失”一词，而民法典第1182条规定使用的是“财产损失”的表述，也就是说，适用个人信息保护法时，只要侵害个人信息权益造成损失的，无论该损失是财产损失还是精神损失，都可以按照个人因此受到的损失或者个人信息处理者因此获得的利益确定，如果个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。但是，适用民法典时仅赔偿侵害个人信息权益造成的财产损失。

本案中宋某以谋取非法利益为目的，将非法获得的手机号码出卖给第三人的行为属于非法获得个人信息并处理个人信息，其作为侵害个人信息的主体不属于个人信息保护法规定的个人信息处理者，对宋某应适用民法典的相关规定承担损害赔偿责任。李某作为手机营业厅工作人员，违背他人意志将其利用业务便利而合法获得的他人手机号码出卖给第三人获利，其属于个人信息处理者；对于李某侵害个人信息权益的行为，应适用个人信息保护法相关规定确定损害赔偿责任。

综上，界定个人信息处理者范围的根本意义在于，选择适用侵害个人信息权益损害赔偿规则。虽然个人信息保护法是一部对个人信息保护进行全面规范兼具公法与私法性质的综合性法律，与民法典相辅相成，共同发挥着保护个人信息权益的作用，但民法典与个人信息保护法的保护方式存在明显区别，在具体案件中正确适用损害赔偿规则对维护公民的合法权益具有重要意义。

（作者单位：河北省沧州市吴桥县人民检察院）